米国法とCCPA

CCPAの解説：カリフォルニア消費者のオプトアウト管理方法

2026年7月7日 · 16 分で読める

クイックアンサー: カリフォルニア消費者プライバシー法（CCPA）は、カリフォルニア州の住民に対して、個人情報の販売または共有をオプトアウトする権利を付与します。2026年1月1日から、改正された規則により、企業はオプトアウトの優先信号（グローバルプライバシーコントロールなど）を尊重し、それらの信号が処理されたことを明示的に確認し、オプトアウトの流れがオプトインの流れよりも複雑であってはならないことが求められます。違反した場合、意図的な違反につき最大7,500ドルの民事罰が科される可能性があります。

主なポイント

CCPAは、特定の収益、データ量、またはデータ販売の閾値を満たす営利企業に適用され、カリフォルニアで事業を行うすべての企業に適用されるわけではありません。
2026年1月1日以降、企業はオプトアウトの優先信号（グローバルプライバシーコントロールなど）が認識され、尊重された際に明示的な確認を表示しなければなりません。[3]
オプトアウトのメカニズムは、オプトインの流れと同じくらい使いやすくなければならず、オプトアウトを妨げるダークパターンは2026年の改正により明示的に禁止されています。[7]
企業は、消費者のオプトアウト要求を受け取った後、15営業日以内にそれを尊重しなければなりません。[2]
CCPAにおける「個人情報」は広範であり、IPアドレス、閲覧履歴、位置情報データ、消費者行動から導き出された推論などが含まれます。
CCPAとGDPRは根本的に異なる同意モデル（オプトアウト対オプトイン）で運用されており、多くの企業は両方に同時に準拠する必要があります。
CCPAの権利を反映するようにプライバシーポリシーを更新しないこと自体がコンプライアンスのギャップであり、技術的なオプトアウトの失敗とは別の問題です。
Biscotti CMPのような同意管理プラットフォームは、信号の検出、オプトアウト確認の表示、および優先記録の保持を自動化できます。

CCPAとは何か、そしてそれがあなたのビジネスにとって重要な理由

カリフォルニア消費者プライバシー法は、カリフォルニア州の住民に対して、企業が個人データを収集、使用、販売する方法に関する特定の権利を付与する州レベルのプライバシー法です。カリフォルニアは世界で5番目に大きな経済圏であり、カリフォルニアの消費者に関わる企業は、本社がどこにあっても法的に遵守が求められる場合があります。

CCPAは2018年に制定され、2020年にカリフォルニアプライバシー権法（CPRA）によって強化され、2025年9月22日にカリフォルニア州行政法局によって承認された規則で再度実質的に更新され、2026年1月1日に施行されます。[1][5] これらの2026年の改正では、自動意思決定技術（ADMT）、リスク評価、そして多くの企業にとって重要なオプトアウトメカニズムの設計と確認要件に関する新たな義務が追加されました。[1][7]

カリフォルニア消費者向けのオプトアウト管理方法を理解することは、対象となる企業にとってもはや任意ではありません。規制の基準が引き上げられ、執行もそれに従っています。

CCPAが私の会社に適用されるかどうかを知るにはどうすればよいか

CCPAは、カリフォルニアで事業を行い、以下のいずれかの閾値を少なくとも1つ満たす営利企業に適用されます：

年間総収益が2500万ドルを超える
年間で100,000人以上のカリフォルニアの消費者または世帯の個人情報を購入、販売、受け取る、または共有する
年間収益の50%以上をカリフォルニアの消費者の個人情報の販売または共有から得る[4][6]

特定の収益以下の小規模企業にCCPAは適用されますか？ 一般的には、いいえ。企業が3つの閾値すべてを下回る場合、それはCCPAの対象企業ではありません。ただし、対象企業のためにデータを処理するサービスプロバイダーや契約者は、独立して資格を満たさない場合でも、契約上のCCPA義務に従う必要があります。[2]

エッジケース：収益が2500万ドル未満の小規模SaaS企業でも、大規模な無料プランのユーザーベースがあれば、気づかないうちに100,000消費者データの閾値を超える可能性があります。

CCPAにおける個人情報の定義

CCPAにおける個人情報は、特定の消費者または世帯を識別、関連、記述、または合理的に結びつけることができる情報として広く定義されています。これは名前やメールアドレスを超えたものです。

対象となるカテゴリーには以下が含まれます：

カテゴリー	例
識別子	名前、メール、IPアドレス、デバイスID
商業情報	購入履歴、閲覧行動
生体データ	指紋、顔認識データ
インターネット活動	クッキー、検索履歴、サイトの相互作用
位置情報	モバイルデバイスからの正確な位置
推論	行動データから構築されたプロファイル
敏感な個人情報	社会保障番号、健康データ、正確な位置情報

消費者データからの推論に基づいて、好み、特性、または行動に関するプロファイルを作成することが明示的に含まれます。[4] これは広告技術、分析、パーソナライズパイプラインにとって重要です。

CCPAのオプトアウトとオプトインの違い

CCPAはオプトアウトモデルで運用されています：企業はデフォルトで消費者データを収集および使用できますが、消費者は自分のデータが販売または共有されないことを要求する権利を持っています。オプトインの同意は、16歳未満の消費者の個人情報を扱う場合など、特定の状況でのみ必要です。[4][6]

これは、ほとんどのデータ処理が始まる前に明示的な同意を必要とするオプトインモデルで運用されるGDPRとの根本的な構造の違いです。CCPAの下では、沈黙は同意ではありませんが、処理を妨げるものでもありません。GDPRの下では、沈黙は同意ではなく、同意なしに処理を開始することはできません。

オプトインロジックを選ぶべき場合: 未成年者（16歳未満）のデータを扱う場合や、カリフォルニア法の下で明示的な同意が必要な敏感な個人情報のカテゴリーを処理する場合。

オプトアウトロジックを選ぶべき場合: 成人の標準的な消費者データを扱い、CCPAの対象企業である場合。

「Do Not Sell or Share My Personal Information」リンクを設定する方法

個人情報を販売または共有するすべての対象企業は、ホームページおよびプライバシーポリシーに「Do Not Sell or Share My Personal Information」という明確で目立つリンクを提供しなければなりません。[4][6]

ステップバイステップの設定：

データフローを監査して、あなたのビジネスがCCPAで定義された個人情報を販売または共有しているかどうかを確認します。
必要なリンクをウェブサイトのフッターとモバイルアプリの設定メニューに追加します。
同意管理プラットフォームを設定して、オプトアウト要求をキャプチャし、タイムスタンプを付けます。
オプトアウトの流れがオプトインの流れよりも多くのステップを必要としないことを確認します。2026年の規則では非対称の摩擦が明示的に禁止されています。[7]
あなたのビジネスがブラウザベースのデータを処理する場合、グローバルプライバシーコントロール（GPC）信号を自動的に尊重します。
オプトアウトが認識されたことを示す明示的な確認を表示します。例えば、「オプトアウト優先信号が尊重されました」と表示されるバナーやトグル状態です。[3]

Biscotti CMPのようなプラットフォームは、ステップ3から6を自動化し、GPC信号の検出とコンプライアンス確認の表示を含めることができます。

消費者のオプトアウト要求に応じるのにどれくらいの時間が必要ですか

企業は、消費者のオプトアウト要求を受け取った15営業日以内に尊重しなければなりません。[2] これは、他の消費者権利要求（アクセスや削除など）に適用される45日間の応答ウィンドウとは異なります。

要求が尊重された後、企業は、過去90日間に消費者のデータを販売または共有した第三者に通知し、そのデータの使用を停止するよう指示しなければなりません。[6] この下流通知義務はしばしば見落とされ、一般的なコンプライアンスのギャップを表しています。

顧客がオプトアウトした後もデータを使用できますか

消費者が販売または共有をオプトアウトした後、企業はその消費者の個人情報を今後販売または共有することはできません。ただし、企業は消費者との関係に沿った内部目的でデータを使用することはできます。[4]

オプトアウト後に明示的に禁止されていること：

第三者とデータを販売または共有し、クロスコンテキストの行動広告に使用すること
収集されたコンテキストと矛盾する方法でデータを使用すること

オプトアウト後に許可されていること：

消費者が要求した取引またはサービスの履行
内部分析および詐欺防止
法的義務の遵守

一般的な誤解: オプトアウトが完全なデータ削除を意味するということ。そうではありません。消費者はその権利を発動させるために別途削除要求を提出する必要があります。

CCPAとGDPR：どちらに従う必要がありますか

あなたのビジネスがカリフォルニア州の住民と欧州連合の住民の両方にサービスを提供している場合、両方に準拠する必要がある可能性が高いです。CCPAとGDPRは相互排他的ではなく、コンプライアンス要件が異なるため、単一のポリシーで両方を満たすことは稀です。

要素	CCPA	GDPR
同意モデル	オプトアウト（デフォルト処理が許可される）	オプトイン（最初に同意が必要）
地理的範囲	カリフォルニア州の住民	EU/EEAの住民
対象	閾値を満たす営利企業	EU住民データを処理する任意の主体
罰則	意図的な違反につき最大7,500ドル	世界の年間売上高の最大4%
削除権	はい	はい（消去の権利）
データポータビリティ	はい	はい

実際の意味：GDPRに準拠した同意バナーは自動的にCCPAに準拠するわけではありません。なぜなら、CCPAは同意ゲートではなく特定のオプトアウトメカニズムを要求するからです。

CCPA要件に従わないとどうなるか

コンプライアンス違反は、企業に対して意図しない違反につき最大2,500ドル、意図的な違反につき最大7,500ドルの民事罰を科すリスクがあります。これはカリフォルニアプライバシー保護機関（CPPA）によって執行されます。[4][6] 未成年者のデータに関する違反は、デフォルトで意図的なものとして扱われます。

消費者はまた、企業が合理的なセキュリティ対策を実施しなかったことによるデータ侵害に対して、1件あたり100ドルから750ドルの法定損害賠償を請求する私的権利を持っています。[4]

2026年の改正により、CPPAの監査権限が拡大され、リスク評価要件に該当する企業は、反応的な執行だけでなく、積極的な規制の監視に直面する可能性があります。[1][7]

CCPAのためにプライバシーポリシーを更新する必要がありますか

はい。対象企業は、少なくとも以下の内容を開示するプライバシーポリシーを維持する必要があります：

収集される個人情報のカテゴリーと収集の目的
個人情報が販売または共有されるかどうか、および関与する第三者のカテゴリー
CCPAの下で利用可能な消費者の権利（オプトアウト、削除、アクセス、修正、ポータビリティ）
消費者がそれらの権利を行使するための要求を提出する方法
各カテゴリーの個人情報の保持期間[4][6]

プライバシーポリシーは、少なくとも12ヶ月ごとに更新する必要があります。データ慣行における重要な変更（新しい分析ベンダーの追加など）の後にポリシーを更新しないことは、コンプライアンス違反となります。

消費者のオプトアウト要求が正当であることを確認するにはどうすればよいか

オプトアウト要求に関して、CCPAは企業に対して要求を行う消費者の身元を確認することを要求していません。[2] これは意図的です：オプトアウトに対して身元確認を要求すると、権利を損なう摩擦が生じるからです。

ただし、企業は、要求が詐欺でないことを確認するために合理的な手段を使用することができます。例えば、アカウントに関連付けられたメールアドレスを確認することなどです。オプトアウトの確認基準は、データを開示または破棄する要求に適切な身元確認が必要な削除やアクセス要求よりも意図的に低く設定されています。

エッジケース: オプトアウト要求が自動信号（GPC）を介して届いた場合、追加の確認ステップは必要なく、許可されません。その信号自体が有効な要求を構成します。[3][7]

オプトアウトメカニズムはモバイルアプリとウェブサイトでどのように機能しますか

ウェブサイトでは、オプトアウトメカニズムはフッターに「Do Not Sell or Share My Personal Information」リンクを含め、ブラウザレベルのGPC信号を尊重しなければなりません。[3][7] モバイルアプリでは、要件は機能的に同等ですが、実装は異なります：

モバイルアプリは、アプリの設定メニューまたはプライバシー設定セクションにオプトアウトオプションを含める必要があります。
アプリストアを通じて配布されるアプリは、iOSのアプリトラッキング透明性など、追加のプラットフォームレベルのプライバシー要件に準拠する必要がありますが、これらのプラットフォーム要件はCCPAの準拠を代替するものではありません。
モバイルオペレーティングシステムからの自動信号は、ビジネスがそのデータを処理する場合、ブラウザベースのGPC信号と同様に尊重されなければなりません。

2026年の規則は、チャネル（ウェブ対アプリ）が根本的な義務を変更するものではなく、技術的な実装のみが異なることを明確にしています。

CCPAコンプライアンスにおける企業の一般的な誤り

意図的な企業でも、以下のような誤りを頻繁に犯します：

オプトアウトをオプトインとして扱う: 消費者にオプトアウトを複数のステップで確認させることは、2026年の改正における対称性要件に違反します。[7]
GPC信号を無視する: 自社の技術スタックを構成して、グローバルプライバシーコントロールのブラウザ信号を検出し、尊重しないことは、現在では有効なオプトアウト要求と見なされます。[3]
オプトアウト確認を表示しない: 2026年の規則では、信号が処理されたことを示す明示的な確認が必要であり、バックエンドのログエントリは不十分です。[3]
下流のベンダーを見落とす: オプトアウトが受け取られた後、第三者のデータ受取人に通知しないこと。
静的なプライバシーポリシー: 年次またはデータ慣行の重要な変更後にポリシーを更新しないこと。
サービスプロバイダーと第三者を混同する: 契約に基づいてデータを処理するサービスプロバイダーは、自分の目的でデータを受け取る第三者とは異なる義務があります。

FAQ

CCPAは非営利団体に適用されますか？ いいえ。CCPAは営利企業にのみ適用されます。非営利団体は対象企業ではありませんが、他のカリフォルニアのプライバシー法に従う必要がある場合があります。

グローバルプライバシーコントロール（GPC）とは何ですか、そしてそれを尊重する必要がありますか？ GPCは、消費者のオプトアウトの優先を自動的に伝えるブラウザレベルの信号です。2026年1月1日以降、ブラウザデータを処理する対象企業は、GPC信号を有効なオプトアウト要求として尊重し、その信号が処理されたことを確認する必要があります。[3][7]

企業はオプトアウトした消費者に異なる価格を請求できますか？ 一般的には、いいえ。CCPAは、プライバシー権を行使する消費者に対して差別することを禁止しており、異なる価格を請求することも含まれます。ただし、その違いが消費者のデータの価値に合理的に関連している場合は例外です。[4]

オプトアウト記録はどれくらいの期間保持する必要がありますか？ CCPAはオプトアウト記録の普遍的な保持期間を指定していませんが、企業は監査や執行行動の際にコンプライアンスを示すために十分な期間記録を保持する必要があります。通常、少なくとも24ヶ月が合理的な基準と見なされます。[6]

クッキーバナーはCCPAのオプトアウト要件を満たしますか？ クッキーバナーだけでは不十分です。CCPAは専用の「Do Not Sell or Share My Personal Information」リンクを要求しており、2026年の改正では、企業がクッキー同意の相互作用とは独立してGPC信号を尊重し確認することを求めています。[3][7]

CCPAにおける「販売」と「共有」の違いは何ですか？ 「販売」は、金銭的対価と引き換えに個人情報を交換することを指します。「共有」は、支払いなしであっても、クロスコンテキストの行動広告のために個人情報を開示することを含みます。どちらもオプトアウト権を引き起こします。[4]

各データカテゴリーに対して別々のオプトアウトメカニズムが必要ですか？ いいえ。販売と共有をカバーする単一のオプトアウトメカニズムで十分ですが、企業はプライバシーポリシーでどのデータカテゴリーがカバーされているかを明確に説明する必要があります。

2026年のCCPA改正におけるリスク評価とは何ですか？ 個人情報を処理する方法が重大なプライバシーリスクをもたらす企業は、自動意思決定技術の使用を含め、その処理を開始する前にリスク評価を実施し、文書化する必要があります。[1][7]

結論

CCPAの解説：カリフォルニア消費者のオプトアウト管理方法は、変化するターゲットであり、2026年の改正により基準が大幅に引き上げられました。明確なオプトアウトメカニズムを提供し、消費者の要求を15営業日以内に尊重し、プライバシーポリシーを更新するという基本的な義務は依然として基盤です。しかし、GPC信号確認、ダークパターン禁止、ADMTリスク評価に関する新しい要件は、静的なフッターリンクでは提供できないより体系的なアプローチを求めています。

対象企業のための実行可能な次のステップ：