【初心者向け】CCPA（カリフォルニア州消費者プライバシー法）とは？GDPRとの違いや混同注意用語をIT資格試験対策と共に徹底解説

IT関連の勉強をしていて、『CCPA』という言葉に出会い、『いまいちピンとこない……』と頭を悩ませていませんか？

試験では単なる用語の暗記だけではなく、その仕組みや活用シーンが問われます。せっかく勉強するなら、試験に受かるだけでなく、仕事でも役立つ『一生モノの知識』として身につけたいですよね。

この記事では、CCPAの本質を、分かりやすい『例え話』を交えながら解説します。難しい理屈を徹底的に噛み砕き、専門用語を使わずにその正体を解き明かします。

肩の力を抜いて、気楽に読み進めましょう。この記事を読み終える頃には、小難しい専門用語がスッと頭に入り、自信を持って問題に挑めるようになっているはずです。試験合格のその先を見据えた『使える知識』を、日本一分かりやすくお届けします。

CCPAとは何か

CCPA（California Consumer Privacy Act）は、アメリカのカリフォルニア州で定められた「個人のプライバシーを守るための法律」です。日本語では「カリフォルニア州消費者プライバシー法」と呼ばれます。

一言で言うと、「私の個人情報を勝手に売ったり、知らないところで使ったりしないで」と企業に対して言える権利を、消費者に強力に与えるルールです。

IT業界では、ヨーロッパの「GDPR」と並んで、世界で最も影響力のあるプライバシー規制の一つとして知られています。カリフォルニア州の法律ですが、シリコンバレー（GoogleやMetaなど）がある場所のルールであるため、実質的に世界中のIT企業が対応を迫られています。

なぜこの法律ができたのか

インターネットが普及し、私たちの行動履歴や購買データが企業にとって「お金になる資産」として扱われるようになりました。しかし、データ流出事故や、本人の知らないところでデータが売買されるケースが増え、不安が高まりました。

そこで、「自分のデータは自分でコントロールできるようにすべきだ」という考えのもと、2020年にこの法律がスタートしました。その後、さらにルールを厳しくした「CPRA（カリフォルニア州プライバシー権法）」という改正も行われ、現在では非常に強力な法律となっています。

消費者に与えられた「3つの権利」

CCPAによって、私たち（カリフォルニア州の住民）には主に以下の権利が認められています。

1. 知る権利（Right to Know）

企業が自分について「どんな情報を」「どこから集めて」「何に使っているか」を開示するように請求できます。

2. 削除する権利（Right to Delete）

企業が持っている自分の個人データを削除するように依頼できます。

3. 売らせない権利（Right to Opt-Out）

これがCCPAの最大の特徴です。自分の個人情報を第三者に「売る（販売・共有する）」ことを拒否できます。Webサイトで「私の個人情報を売らないで（Do Not Sell My Personal Information）」というリンクやボタンを見たことがあるかもしれませんが、それはこの権利を守るために設置されています。

日本の企業にも関係があるのか

「アメリカの法律だから関係ない」とは言い切れません。以下の条件に当てはまる場合、日本の企業であってもCCPAを守る義務が発生します。

• カリフォルニア州の住民の個人情報を扱っている。
• 年間の売り上げが2,500万ドル（約30億円以上）を超えている。
• 10万人以上の消費者や世帯のデータを売買・共有している。
• 収益の50%以上を個人データの販売から得ている。

特に、越境EC（海外向け通販）や、グローバルなアプリ運営をしている企業は対応が必須となるケースが多いです。

CCPAとGDPRの違い

よく比較されるヨーロッパの「GDPR」との違いを整理しました。一番の違いは「基本のスタンス」です。

GDPRは「原則禁止」からスタートするのに対し、CCPAは「ビジネス活動は認めるけれど、消費者が嫌だと言ったら止めなさい」という、アメリカらしいビジネス重視の姿勢が見えます。

CCPAで誤解しやすいポイント

アメリカ全体の法律ではなく「州」の法律

CCPAは「カリフォルニア州消費者プライバシー法」であり、アメリカ合衆国全体に適用される連邦法ではありません。あくまでカリフォルニア州の法律です。試験問題で「アメリカの個人情報保護法」と説明されていても、それがCCPAを指しているとは限らないので注意が必要です。アメリカには連邦レベルの包括的な個人情報保護法は存在せず、各州が独自の法律を制定している状況です。

カリフォルニア州以外にも、バージニア州やコロラド州など、他の州が独自のプライバシー法を制定しています。試験では「CCPAはカリフォルニア州の法律である」という点を正確に理解しておくことが重要です。

日本企業も対象になる可能性がある

CCPAは「カリフォルニア州の法律だから日本企業には関係ない」と誤解されがちですが、実際には日本企業も対象になる可能性があります。重要なのは「企業の所在地」ではなく、「カリフォルニア州の消費者の個人情報を取り扱っているか」という点です。

例えば、日本企業がオンラインショップを運営していて、カリフォルニア州の住民が顧客として登録・購入している場合、その企業はCCPAの対象となる可能性があります。試験では「海外の法律は日本企業には無関係」という思い込みに注意しましょう。

事前同意不要の「オプトアウト方式」である

CCPAの最も誤解されやすいポイントは、個人情報の収集・利用に「事前の同意が不要」という点です。CCPAは「オプトアウト方式」を採用しており、企業は消費者に通知さえすれば個人情報を収集・利用できます。消費者は、後から「販売や共有をやめてほしい」と要求する権利（オプトアウト権）を持っています。

これは、事前に明示的な同意を得なければならない「オプトイン方式」のGDPRとは大きく異なります。試験では、「CCPAは事前同意が必要」という誤った選択肢に注意が必要です。ただし、16歳未満の未成年者の情報については例外的にオプトイン（事前同意）が必要です。

保護対象は個人だけでなく「世帯」も含む

CCPAの個人情報の定義で見落とされがちなのが、「世帯（household）」も保護対象に含まれる点です。つまり、特定の個人を識別できなくても、特定の家庭を識別できる情報であれば、CCPAの保護対象となります。

例えば、ある家庭の購買履歴やインターネット利用パターンなどの情報も、世帯レベルで識別可能であればCCPAで保護されます。日本の個人情報保護法やGDPRは基本的に「個人」を対象としているため、この点はCCPA特有の特徴として覚えておく必要があります。

適用対象企業の基準は「OR条件」である

CCPAの適用対象となる企業の条件を「AND条件（すべて満たす必要がある）」と誤解するケースがあります。正しくは「OR条件（いずれか1つを満たせば該当）」です。

これらのうち、1つでも該当すればCCPAの対象企業となります。試験問題で「すべての条件を満たす企業」という表現があれば誤りです。

「販売」の定義が非常に広い

CCPAにおける個人情報の「販売（sale）」の定義は、一般的なイメージよりもはるかに広く解釈されています。金銭的な対価を伴う取引だけでなく、「有価的な対価（valuable consideration）」と引き換えに個人情報を第三者に提供する行為全般が含まれます。

例えば、広告配信のために第三者の広告ネットワークに個人情報を提供する行為や、Cookieを通じてユーザー行動データを共有する行為も「販売」に該当する可能性があります。「無料でデータ提供しているから販売ではない」という理解は誤りです。

罰則は「1件あたり」で計算される

CCPAの罰則は「1件あたり最大2,500ドル（意図しない違反）または7,500ドル（意図的違反）」と定められています。ここで注意が必要なのは、「1件あたり」という点です。

例えば、10万人の個人情報について違反があった場合、理論上は最大で2,500ドル×10万件＝2億5,000万ドルの罰金となる可能性があります。金額自体はGDPRより低く見えますが、件数が多ければ総額は巨額になります。試験では「罰金が低いから軽微な法律」という誤解に注意しましょう。

混同注意！CCPAと間違いやすい用語

GDPR（EU一般データ保護規則）

CCPAと最も混同されやすいのがGDPR（General Data Protection Regulation）です。どちらも個人情報保護に関する重要な法律ですが、適用地域や基本的なアプローチが異なります。

試験では「個人情報保護に関する国際的な法律」という文脈で両者が出題される可能性があります。GDPRの方が先に施行され、CCPAはGDPRの影響を受けて制定された経緯がありますが、内容は異なります。特に「オプトイン（GDPR）」と「オプトアウト（CCPA）」の違いは重要なポイントです。

個人情報保護法（日本）

日本の「個人情報の保護に関する法律（個人情報保護法）」とCCPAも混同されやすい組み合わせです。どちらも個人情報を保護する法律ですが、適用範囲や規制内容が異なります。

試験対策としては、「日本の個人情報保護法は日本国内に適用される法律」「CCPAはカリフォルニア州の法律だが日本企業も対象になりうる」という点を押さえておきましょう。また、日本の個人情報保護法には「匿名加工情報」という特殊な概念がありますが、CCPAにはこれに相当する明確な規定はありません。

CPRA（カリフォルニア州プライバシー権法）

CPRAは「California Privacy Rights Act（カリフォルニア州プライバシー権法）」の略称で、CCPAとは別の法律ではなく、CCPAを大幅に改正・強化したものです。2020年11月の住民投票で可決され、2023年1月から施行されています。

試験では「CCPAとCPRAは別々の法律」と誤解しないよう注意が必要です。現在は改正版であるCPRAが適用されていますが、一般的には「CCPA」という名称で引き続き呼ばれることが多いです。「CPRAはCCPAの改正版・強化版」と理解しておきましょう。

プライバシーマーク（Pマーク）

プライバシーマーク（Pマーク）は日本国内の「認証制度」であり、法律ではありません。CCPAやGDPRは「法律」であり、違反すれば罰則があります。

試験では「個人情報保護に関する制度」という広いカテゴリーで出題される可能性があります。CCPAは法的義務であるのに対し、プライバシーマークは企業が任意で取得する認証制度です。プライバシーマークは日本の個人情報保護法をベースにしたJIS規格に基づいており、海外の法律とは直接関係ありません。

PIPEDA（カナダ個人情報保護法）

PIPEDA（Personal Information Protection and Electronic Documents Act）はカナダの個人情報保護法です。北米という地理的な近さから、CCPAと混同される可能性があります。

試験で「北米の個人情報保護法」という表現が出た場合、CCPAとPIPEDAを混同しないよう注意しましょう。PIPEDAはカナダの連邦法であり、カナダ全土に適用されます。一方、CCPAはアメリカの一つの州の法律に過ぎません。

HIPAA（医療保険の相互運用性と説明責任に関する法律）

HIPAA（Health Insurance Portability and Accountability Act）はアメリカの連邦法ですが、「医療情報」に特化した法律です。CCPAは一般的な個人情報全般を対象としています。

試験では「アメリカの個人情報保護関連法」として両者が登場する可能性がありますが、HIPAAは医療分野に限定された専門的な法律であり、CCPAは広く一般消費者の個人情報を対象としている点が大きく異なります。HIPAAで保護される情報（PHI: Protected Health Information）には、診療記録、検査結果、処方箋情報などが含まれます。

SOX法（サーベンス・オクスリー法）

SOX法（Sarbanes-Oxley Act）はアメリカの連邦法ですが、「財務報告の透明性」を目的とした法律であり、個人情報保護法ではありません。

試験では「アメリカの法律」という共通点から混同される可能性がありますが、SOX法は会計・監査に関する法律であり、CCPAとは目的が全く異なります。ただし、両者とも企業のコンプライアンス体制に影響を与える重要な法律という点では共通しています。

【試験別】出題傾向と対策

各試験の出題傾向と対策について解説します。受験予定のタブを切り替えて確認しましょう。

例題・過去問演習

CCPAは現時点でIPA試験での出題実績が確認されていません。しかし、GDPRなど国際的なプライバシー法規は頻出テーマです。

ここでは、CCPAの理解を深めるための類題と、関連するGDPRの過去問を掲載します。

まとめ

この記事の大事なポイントは以下の通りです。

• CCPAは、アメリカのカリフォルニア州で作られた「プライバシーを守る法律」である。
• 「自分のデータを売らないで」と企業に拒否する権利（オプトアウト）が特徴である。
• カリフォルニア州の法律だが、IT企業が多い場所なので世界標準のような影響力がある。
• 日本企業でも、カリフォルニア州の顧客データを持っていれば対応が必要になる場合がある。
• ヨーロッパのGDPR（オプトイン）とは違い、CCPAは「拒否権（オプトアウト）」を重視している。

まけまけ

フルスタックエンジニア

会社の研修でpythonを勉強し始めました。