米国データプライバシー保護法: ブランドが知っておくべきこと

50 州すべてで消費者のプライバシー権を保護する主要な法案が、米国下院委員会を通過しました。このような抜本的な法案がここまで進んだのは初めてです。

アメリカのデータおよびプライバシー保護法 (ADPPA) が法制化されるまでには長い道のりがありますが、ブランドはその規定とビジネスへの潜在的な影響を認識する必要があります。

アメリカのデータプライバシーおよび保護法とは何ですか?

ADPPA は、非営利団体を含む企業や組織が、個人を特定する情報や個人に合理的に関連付けることができる情報を含む個人データをどのように取り扱うべきかについての要件を定めています。

この法案は、ほとんどのデータ収集エンティティに影響を与えます。 また、いわゆる「対象データ」を処理し、連邦取引委員会法 (FTC 法) の対象となる事業体にも適用されます。 個人に合理的に関連付けることができるデータを収集、処理、または転送する企業または非営利団体は、法律の対象となる可能性があります。 政府機関には適用されません。

ADPPA は、個人を特定できるデータのビジネスでの使用を制限します。 個人が要求するサービスを提供するために合理的に必要な範囲を超えて、組織が個人データを収集、処理、または転送することを大部分禁止しています。

ただし、法案には 17 の許容される例外が含まれており、ユーザー認証の必要性や詐欺行為の防止などの活動がカバーされています。

データブローカーは、これらのエンティティの名前を含む検索可能なオンラインレジストリを確立および維持する FTC への登録を含む、ADPPA の下でより多くの義務に直面することになります。 また、ユーザーが 30 日以内にデータ ブローカーに自分の情報を削除するよう要求できるようにする「収集しない」レジストリもあります。

消費者のプライバシー保護とデータ セキュリティ

プライバシー擁護者は、消費者が自分の個人情報をより可視化し、制御できるようにすることを長い間求めてきました。 提案された米国データ プライバシーおよび保護法の下で、企業は、ユーザーが自分の個人データにアクセスし、修正し、削除できるようにする必要があります。

企業は、すべてのユーザー要求に対応して、組織が所有するデータをすべて表示および調整するためのメカニズムを整備する必要があります。

ADPPA により、立法者はデータ セキュリティを義務化することでデータ侵害の数を減らすことを目指しています。 今年の上半期だけで、約 2,000 件のデータ侵害があり、その多くは個人を特定できる情報 (PII) に関係していました。

顧客データを保護するために最善を尽くしたことを証明できない企業は、最終的に厳しい罰金や罰則に直面する可能性があります。これを処理します)。

従業員が 15 人を超える企業には、プライバシー担当者とデータ セキュリティ担当者も必要です。

追加の ADPPA 条項

起草されているように、データ プライバシー法案は、企業が消費者データをどのように処理し、どのように保護するかについて透明性を確保する必要があります。 は、プライバシー ポリシーを「明確に、目立つように、誤解を招くことなく、すぐにアクセスできる方法で」公開する必要があります。

ポリシーには、組織が収集するデータの種類と、収集、処理、および転送の方法と時期を詳述する必要があります。

ADPPA は、特に未成年者を対象としたさまざまな形式のターゲット広告を制限または禁止しています。 これにより、米国、そしておそらく世界で最も厳しい制限が課されると言う人もいます。

企業は、未成年者に不必要な個人データを開示するよう圧力をかけたり、未成年者に直接マーケティングや広告を向けたりすることを避けるために、細心の注意を払う必要があります。

消費者は、プライバシー侵害の疑いで企業を訴えることができます。 ADPPA の成立から 2 年後、ユーザーは、組織が自分の個人データを誤って処理したと考える場合、差し止めによる救済、損害賠償、合理的な弁護士費用などの救済を求める訴訟を起こすことができました。

連邦データプライバシー法: 確かな賭け

法案の規定に対するデータのプライバシーと消費者の支持について何かをしたいという超党派の願望にもかかわらず、法案の通過にはかなりの障害が残っています。

たとえば、コネチカット、コロラド、ユタ、バーモント、カリフォルニアなど、既存のプライバシー ルールを持つ州の議員は、ADPPA が、自国民に対してすでに制定している保護よりも優先される可能性があるという懸念を表明しています。 特に、カリフォルニア州の議員は、2018 年の画期的なカリフォルニア州消費者プライバシー法 (CCPA) や、来年発効する別のイニシアチブが損なわれることを懸念しています。

カリフォルニア州のロブ・ボンタ司法長官は、オンライン ビジネスに対する強制的な一掃の後、8 月にセフォラとの 120 万ドルの和解を発表しました。その違反に十分に迅速に対処できていません。 他の小売業者は、CCPA 違反を是正しなければならないという通知を受け取りました。

ADPPA の修正案は、明確に CCPA が引き続き有効であると主張する文言でカリフォルニア州議員をなだめようとしていますが、州法を脅威と見なし、連邦法に反対する人もいます。

当然のことながら、データ ブローカーはそれに反対しており、米国商工会議所はそれを「実行不可能」と呼んでいます。

これらの戦いに関係なく、国会議事堂には楽観的な感覚があり、ADPPA は通過のための十分なサポートを見つけるでしょう。 激しい交渉の後、法案は下院エネルギー商業委員会から比較的無傷で提出されました。 ただし、11 月に中間選挙が予定されているため、議員は次の議会に ADPPA の将来を決定させることを好む可能性があります。

たとえ批准されなくても、ADPPA の背後にある勢いは、連邦データ プライバシー法が存在することを示唆しており、企業は対応する準備ができている必要があります。