**カリフォルニア州消費者プライバシー法（CCPA）**はモバイルアプリのユーザーデータ取り扱いを改革しています。以下が重要なポイントです：

• 対象：年間収益2,500万ドル以上、10万人以上のユーザーデータを扱う、またはデータ販売による収益が50%以上の企業
• 主な要件：
  • データ収集方法の開示（デバイスIDやIPアドレスなど）
  • ユーザーがデータにアクセス、削除、共有を拒否できるツールの提供
  • 暗号化とアクセス制御によるデータ保護
• 執行：違反1件につき最大7,988ドルの罰金。注目すべき事例にはSephora（1,200万ドルの罰金）やDoorDash（37.5万ドルの罰金）があります
• よくある間違い：「販売拒否」リンクの欠如、グローバルプライバシーコントロール（GPC）シグナルの無視、規制のないデータ共有

クイックヒント：データ監査から始め、プライバシーポリシーを更新し、OneTrustやOsanoなどのツールを使用してコンプライアンスを簡素化しましょう。コンプライアンスは罰金を避けるだけでなく、ユーザーの信頼を構築し、ビジネスを保護します。

CCPAのアプリに関する主要要件

データ収集の開示

アプリ開発者は、デバイス識別子、IPアドレス、世帯情報などの収集するデータについて、明確な事前通知を提供する必要があります[1]。これらの通知は、データの使用方法を説明し、データ収集前にアプリの設定内で簡単にアクセスできるようにする必要があります。すべてのデータカテゴリとその目的をこの通知に含めてください[3]。ユーザーデータを販売または共有する場合、「個人情報を販売または共有しない」リンクを目立つように表示する必要があります[3]。

CCPAは、これらの開示とともにユーザーの権利保護の重要性を強調しています。

ユーザーのプライバシー権

CCPAは、開発者が指定された期間内に尊重しなければならない特定の権利をアプリユーザーに付与します。企業はフリーダイヤルなど、ユーザーが要求を提出するための少なくとも2つの方法を提供する必要があります。アプリの場合、インタラクティブなウェブフォームも利用可能にする必要があります[4]。

ユーザー要求の処理方法：

• アクセス要求：10日以内に受領を確認し、45日以内に要求されたデータを提供
• 削除要求：2段階の確認プロセスで要求を確認
• オプトアウト要求：15日以内にオプトアウトプロセスを完了し、過去90日間にユーザーのデータを受け取った第三者に通知

「CCPAに準拠しようとする人々にとって重要な要素は、GDPRのデータ主体アクセス要求と同様に、消費者要求を管理するプロセスを実装することです」- TrustArc [4]

ユーザーデータの保護は、これらのプライバシー権の重要な要素です。

データセキュリティ要件

これらのプライバシー対策をサポートするため、CCPAは厳格なデータセキュリティ基準を施行しています。主な実践事項：

• 暗号化：保存データと送信データの両方に強力な暗号化を適用
• アクセス制御：厳格な認証と認可プロトコルの実装
• 定期的なテスト：定期的なセキュリティ評価と侵入テストの実施
• インシデント対応：侵害通知手順を最新に保ち、準備しておく

さらに、企業はプライバシー関連の活動とユーザー要求の記録を24ヶ月間保持する必要があります[5]## カリフォルニア州司法長官によるモバイルアプリのプライバシー執行強化

[[HTML_TAG]][[HTML_TAG]]

CCPA執行の事例

最近の事例は、モバイルアプリに対するカリフォルニア州のプライバシー法執行への積極的なアプローチを示しており、多額の罰金は開発者にコンプライアンス基準を満たすことの重要性を明確に警告しています。

主な罰金と処罰

カリフォルニア州司法長官とカリフォルニアプライバシー保護局（CPPA）は、カリフォルニア消費者プライバシー法（CCPA）違反に対して積極的に対処してきました。注目すべき2つの事例を紹介します：

Sephoraの1,200万ドルの和解（2022年）
Sephoraは複数のコンプライアンス違反で1,200万ドルの支払いに同意しました：

• 消費者データの販売の非開示
• グローバルプライバシーコントロール（GPC）シグナルの無視
• オプトアウト要求の無視
• 違反を是正するための30日間の猶予期間を逃した [2]

「グローバルプライバシーコントロールのような技術は、データプライバシーの権利を行使しようとする消費者にとってゲームチェンジャーです。しかし、企業が顧客データの使用方法を隠し、販売のオプトアウト要求を無視する場合、これらの権利は無意味です。今日の和解が、カリフォルニアの消費者プライバシー法を依然として遵守していない企業に強いメッセージを送ることを願っています。私のオフィスは監視しており、責任を追及します」 – 司法長官 Rob Bonta [6]

DoorDashの375,000ドルの罰金（2024年）
DoorDashは、明示的な同意を得ずに顧客データをマーケティング協同組合と共有したことで375,000ドルの罰金を科されました [2]

これらの事例は、繰り返されるコンプライアンスの問題を浮き彫りにし、企業がプライバシー法を遵守する上での課題を強調しています。

主なコンプライアンスの誤り

モバイルアプリは特定のCCPA要件で苦戦することが多く、一般的な違反につながっています。以下は頻繁な誤りとその回避方法の内訳です：

執行における2つの重要な変更点：

• 違反に対する30日間の是正期間が撤廃
• グローバルプライバシーコントロール要件の遵守に対する監視強化 [6]

「司法長官の焦点は法律の遵守、消費者への選択肢とコントロールの提供にあります。目的はカリフォルニアのプライバシー基金の収入を増やすことではなく、コンプライアンスを促進することです」 – LewisRiceのアソシエイト、Melissa G Powers [6]

これらの執行活動は明確です：モバイルアプリ開発者は、マーケティング目標を維持しながら進化するプライバシー環境をナビゲートするためにコンプライアンスを優先しなければなりません。

sbb-itb-f9944d2

CCPAコンプライアンスガイド

最近の執行活動を考慮すると、コンプライアンスを維持することはモバイルアプリにとって極めて重要です。以下は主要なステップをナビゲートするための実践的なガイドです。

データ監査ステップ

アプリが収集、処理、共有するすべてのユーザーデータの詳細な目録作成から始めましょう。アプローチ方法は以下の通りです：

• データ収集ポイントの特定: 登録フォーム、購入、分析ツール、サードパーティSDKなど、すべてのデータ入力ソースを文書化
• データの分類: 以下のような種類に分類：
  • 識別子（例：