CCPAの強制執行がアプリに与える影響

カリフォルニア消費者プライバシーアクト (CCPA) モバイルアプリがユーザーデータを取り扱う方法を変える中で、CCPAの執行はどのように影響するのか。ここでは、必要なことを知っておくこと。

• __CAPGO_KEEP_2__: 年間25万ドル以上の収益、100,000人以上のユーザーデータ、またはデータを売ることで50%以上の収益を得るアプリ
• __CAPGO_KEEP_3__:
  • : デバイスIDやIPアドレスなどのデータ収集方法を明らかにする。
  • : ユーザーがデータの共有から削除、またはオプトアウトするためのツールを提供する。
  • : データを暗号化し、データへのアクセスを制御する。
• __CAPGO_KEEP_4__: 違反は、1件あたり7988ドルまでの罰金につながる可能性があります。注目すべき事例には セフオラ （1,200万ドルの罰金）と ドアダッシュ （375万ドルの罰金）。
• 一般的なミス：「販売しない」リンクの欠如、グローバルプライバシーコントロール（GPC）信号の無視、非規制されたデータ共有。

クイックアドバイス：データアウディットから始め、プライバシーポリシーを更新し、ツールとして ワン・トラストを使用すること。 プライバシーポリシー データ共有 Osano 法的遵守を簡素化する。法的遵守は罰金を避けることだけではなく、ユーザーの信頼を築き、ビジネスを保護することです。

アプリのCCPAコア要件

データ収集の披露

アプリ開発者は、デバイスの識別情報、IPアドレス、家庭情報などのデータを収集する際に、明確かつ事前にお知らせする必要があります。これらの通知は、データがどのように使用されるかを説明し、ユーザーが容易にアクセスできるようにする必要があります。理想的には、アプリの設定内で、データ収集前に通知する必要があります。 [1]データカテゴリと目的を含むこの通知に記載する必要があります。 [3]ユーザーのデータを売りまたは共有する場合は、目立つ「私の個人情報を売りまたは共有しないでください」というリンクを表示する必要があります。 [3].

CCPAは、披露に伴うユーザーの権利の保護の重要性を強調しています。

ユーザーのプライバシー権

CCPAは、アプリユーザーに特定の権利を付与し、開発者はこれらの権利を指定された時期内に尊重する義務があります。ビジネスは、少なくとも2つの方法でユーザーが要求を提出できるようにする必要があります。たとえば、料金無料の電話番号。アプリの場合、インタラクティブなウェブフォームも利用可能でなければなりません。 [4].

ユーザーの要求を取り扱う方法

• アクセス要求: __CAPGO_KEEP_0__の受領を10日以内に確認し、要求されたデータを45日以内に提供する。
• 削除要求: 2段階の確認プロセスを使用して、要求を検証する。
• オプアウト要求: オプアウトプロセスを15日以内に完了し、過去90日間にユーザーのデータを受け取った第三者に通知する。

「CCPAに準拠するために遵守するには、GDPRのデータ主権者へのアクセス要求と同様の消費者要求の管理プロセスを実装することが大きな要因です。」 - TrustArc [4]

ユーザーのデータ保護は、これらのプライバシーの権利の重要な要素です。

データセキュリティ要件

CCPAは、これらのプライバシーの措置を支援するために厳格なデータセキュリティ基準を課しています。主な実践には次のものがあります。

• 暗号化: ストレージされたデータと送信されたデータの両方に強力な暗号化を適用する。
• アクセス制御: __CAPGO_KEEP_0__を厳密に認証および承認する。
• 定期テスト: 定期的なセキュリティアセスメントおよび侵入テストを実行する。
• インシデント対応: 不正アクセス通知手続きを最新に保つ。

プライバシー関連の活動およびユーザーの要求を24ヶ月間記録する必要があります。 [5].

CA司法長官によるモバイルアプリプライバシー強制推進

CCPA強制例

最近のケースでは、カリフォルニア州のプライバシーの強制が活発で、厳重な罰金が開発者にコンプライアンス基準を満たすことを明確に示しています。

厳重な罰金と罰則

カリフォルニア州司法長官およびカリフォルニアプライバシープロテクションエージェンシー(CPPA)は、カリフォルニア消費者プライバシー法(CCPA)の違反に対して積極的に取り組んでいます。以下は2つの注目すべきケースです。

Sephoraの$1.2百万の和解 (2022)
Sephoraは、複数の非準拠事例に対して、$1.2百万を支払うことに同意した:

• 消費者データの販売を明らかにしなかった
• グローバルプライバシーコントロール（GPC）信号を尊重しなかった
• オプトアウト要求を無視した
• 違反に対処するために30日以内に間に合わなかった [2]

“Technologies like the Global Privacy Control are a game changer for consumers looking to exercise their data privacy rights. But these rights are meaningless if businesses hide how they are using their customer’s data and ignore requests to opt-out of its sale. I hope today’s settlement sends a strong message to businesses that are still failing to comply with California’s consumer privacy law. My office is watching, and we will hold you accountable.” – AG Rob Bonta [6]

グローバルプライバシーコントロールのような技術は、消費者がデータプライバシーの権利を実行するために大きな変化をもたらします。 しかし、ビジネスが顧客のデータを使用している方法を隠し、オプトアウトの要求を無視することは、権利の意味をなくします。 私の事務所は、カリフォルニアの消費者プライバシーの法を準拠していないビジネスに強いメッセージを送りたいと思います。 私の事務所は監視しており、責任を負わせることになります。 – AG Rob Bonta
DoorDashの$375,000の罰金 (2024) [2].

DoorDashは、顧客データをマーケティング協同組合に共有したことに対して、明示的な同意を得ることなく罰金$375,000を科せられた

これらのケースは、再発する非準拠の問題を強調し、プライバシーの法を準拠することにビジネスが直面する課題を明らかにしています。

トップの非準拠のミス

2つの強制の移行について注目すべき点が2つあります:

• 違反に対する30日間の期限は削除されました。
• グローバルプライバシーコントロールの要件への準拠に伴う厳しい監視が高まっています。 [6].

“The Attorney General’s focus is on compliance with the law, giving consumers choices and control. But the intent is not to run up revenue in California’s privacy fund. It’s to encourage compliance.” – Melissa G. Powers, Associate at LewisRice [6]

最近の強制措置により、モバイルアプリ開発者は、プライバシーランドスケープの進化に適応しながら、Marketing目標を維持するために、準拠を優先する必要があります。

sbb-itb-f9944d2

CCPA準拠ガイド

準拠を維持することは、モバイルアプリにとって非常に重要です。特に、最近の強制措置の影響を受けています。このガイドは、主なステップを導くための実用的なガイドです。

データアクセスステップ

アプリが収集、処理、共有するユーザーデータの詳細なインベントリを作成してください。以下の手順に従ってください。

• データ収集ポイントの特定: 登録フォーム、購入、分析ツール、第三者SDKなど、データの入力元をすべてドキュメント化してください。
• データの分類: 以下のタイプに分類してください。
  • 識別情報（例：名前、メールアドレス、デバイスID）
  • 商用データ
  • オンライン活動
  • 位置情報
  • 生体情報
  • 職業情報

プライバシーポリシーの更新

プライバシーポリシーでは、CCPAに準拠してデータの取り扱いについて明確に説明する必要があります。以下の表を参考にしてください。

__CAPGO_KEEP_0__

ユーザー権限管理

CCPAに準拠するには、45日以内にプライバシーリクエストを処理するシステムが必要です。ここに注目すべき点があります。

• アクセスリクエスト:

  • アプリ内にプライバシーダッシュボードを追加する
  • ユーザー識別子を事前にフォームに埋め込む
  • 未登録ユーザーにデバイスIDトラッキングを使用する

• 削除リクエスト:

  • データ削除のワークフローを自動化してください。
  • 第三者 SDK がデータの削除をサポートすることを確認してください。
  • すべての削除要求の詳細な記録を保持してください。

データ セキュリティ設定

ユーザーデータの保護は、法的遵守の重要な部分です。セキュリティを強化する方法については、以下のとおりです。

• 技術的対策:

  • データの転送中のエンドツーエンド暗号化を使用してください。
  • 保存されたデータを暗号化して安全に保管してください。
  • 厳格なアクセス制御と認証を設定してください。
  • 定期的なセキュリティ監査を実施してください。

• 第三者監視:

  • 使用するすべての SDK が CCPA に準拠していることを確認してください。
  • __CAPGO_KEEP_0__のデータ共有方法をドキュメント化し、オプトアウトのオプションを提供します。
  • すべての第三者のセキュリティ慣行を定期的にレビューします。

例えば、 Flurry SDKにはユーザーの好みを尊重し、データ削除の要求を管理するオプトアウトAPIが含まれます。 [1].

CCPA適合性リソース

CCPA基準を満たすために、開発者はデータプライバシーを簡素化するための適切なツールが必要です。データプライバシーへの投資は信頼を築くだけでなく、1ドルあたり2.70ドルの収益をもたらす可能性があります [8]以下のツールは、コンプライアンス評価、プライバシーマネジメント、 アプリの更新 をより管理しやすくします。

コンプライアンス評価ツール

これらのツールは、CCPA要件に沿ったアプリの評価を支援します:

以下のプラットフォームでは、自動化されたギャップ分析とリアルタイムの適合性追跡が提供されています。例えば、Osanoは Lattice 運用上の複雑さを削減し、Marketingと適合性の取り組みを統合し、プライバシーファーストのコミットメントを維持するのに役立ちました。 [8].

プライバシーマネジメントソフトウェア

プライバシーマネジメントツールは、以下の4つの主な領域に焦点を当てています。

• 同意管理:ユーザーのプライバシー設定を自動的に収集して追跡します。
• データ発見:個人情報をスキャンしてカタログ化します。
• リクエスト自動化:ユーザーの権利要求を45日以内に必要な範囲で処理します。
• Third-Party Monitoring: Track how data is shared with external vendors.

Solutions like Usercentrics and iubenda deliver these features effectively. For instance, iubenda, rated 4.5/5 on Capterra, is known for its ability to help apps stay compliant while minimizing operational efforts [7].

Capgo: CCPA-Compliant App Updates

Beyond privacy management, platforms like Capgo アップデート時におけるCCPAの適合性を確保する Capgo 適合性をサポートする機能として以下を提供します。

• 端末間の暗号化 アップデート時におけるユーザデータの保護
• デバイス間のトラッキングのない または永続的な識別子なし
• データの透明性 統計情報の集約のみ
• ユーザの自律性 即時のアカウントとデータの削除オプション

Capgoは、1,800の実稼動アプリケーションを通じて、492.4百万回の更新を成功的に配信し、厳格なプライバシーガイドラインに従っています。 [9].

“Capgoは、開発者にとって必須のツールです。バグ修正のレビューを避けることは、金の価値です。” - Bessie Cooper [9]

これらのツールを定期的なアクセス審査と組み合わせることで、CCPAの適合性を維持することができます。

結論: CCPA適合性のステップ

前述の戦略を実践した後、CCPAの適合性を確実に実現するために、以下の主なアクションを実施する必要があります。ユーザーデータの保護を徹底することで、適合性を維持する必要があります。最近の適合性違反の処罰事例は、厳重な罰金を伴うリスクを強調しています。したがって、開発者はプライバシー対策を慎重に検討する必要があります。

以下の3つの主な分野に焦点を当ててください。

• データ管理と透明性

  • デバイス識別子やIPアドレスなどの個人情報を収集する際に、データインベントリを実施して、収集された情報をマップする必要があります。 [1].
  • 各ユーザーのデータの取り扱いを追跡し、記録する必要があります。
  • データ収集の実施前に、ユーザーにデータ収集の実施について明確に説明する必要があります。
  • 第三者SDKをレビューし、適合性基準を満たしていることを確認する必要があります。

• ユーザーの権利の実施

  • データアクセスと削除要求を処理するシステムを設定する。
  • ユーザーの要求は、必要な45日間のウィンドウ内で対応されるようにする。
  • 「私の個人情報を売ったり共有したりしない」という簡単に見つけることができるリンクを追加する。
  • ユーザーの要求を安全に管理するための身分確認プロセスを作成する。 [10].

• 技術インフラ

  • ユーザーデータを保護するために、端末間の暗号化を使用する。
  • ユーザーの同意を安全に保存する。
  • プライバシーに焦点を当てた更新ツールを選択する。たとえば、Capgo。
  • 定期的にセキュリティの検査を実行し、プライバシーポリシーを更新する。

継続的なコンプライアンスのために、CCPA規則を満たすように設計されたツールを使用することを検討する。たとえば、colensoはCapgoの経験を共有した。

「私たちはCapgo OTA更新を生産環境でロールアウトし、5000人以上のユーザーに適用しました。ほとんどのユーザーは、@CapgoにOTAが展開された後、数分以内に最新バージョンにアップグレードされました。」 [9]

「CCPAの適用がアプリにどのような影響を与えるか」というトピックから続ける。

If you are using How CCPA Enforcement Impacts Apps をセキュリティとコンプライアンスの計画に使用 暗号化 暗号化の実装詳細 コンプライアンス コンプライアンスの実装詳細 Capgo セキュリティ スキャナー Capgo セキュリティ スキャナーの製品ワークフロー Capgo セキュリティ Capgo セキュリティの製品ワークフロー Capgo トラスト センター Capgoの製品ワークフローについての信頼の中心