過去数か月にわたり、カリフォルニア州は国内のウェブサイト、オンラインサービス、モバイルアプリケーションの運営者に影響を与える複数の新たなプライバシー・データ保護法を可決した。これには未成年者向けの「インターネット消去サービス」を定める法律や、州のデータ侵害通知要件の変更が含まれる。 最新の法案はカリフォルニア州オンラインプライバシー保護法（CalOPPA）を改正するもので、ウェブサイト運営者は2014年1月1日までにプライバシーポリシーを更新し、ウェブブラウザの「Do Not Track（追跡禁止）」機能への対応方法を明示する必要があります。これらの新たな「Do Not Track」要件への準備は整っていますか？
新法は何を要求しているのか？
カリフォルニア州オンラインプライバシー保護法（CalOPPA）では、ウェブサイト運営者は既に、個人を特定できる情報のカテゴリーや共有先を明記したプライバシーポリシーを目立つ場所に掲示することが義務付けられていた。 議会法案370による改正により、ウェブサイトおよびモバイルアプリケーション運営者は、いわゆる「Do Not Track（追跡禁止）」メカニズムへの対応方法をユーザーに開示することが新たに義務付けられた。これらは通常、クッキーに類似した小さなコード片であり、ウェブサイトやモバイルアプリケーションに対し、ユーザーが分析ツール、広告ネットワーク、その他のデータ収集・追跡手法を含むサイト訪問の追跡を望まないことを通知するものである。
要件は私に適用されますか？
本法は、カリフォルニア州居住者から追跡情報を収集するすべての企業に適用され、したがって、カリフォルニア州で事業を行いカリフォルニア州居住者を追跡する企業には、当該企業がカリフォルニア州に物理的な拠点を有していない場合であっても適用される。
ユーザーの「追跡拒否」設定を尊重する必要がありますか？
特に、カリフォルニア州は、ウェブサイトおよびモバイルアプリケーションの運営者に対し、ユーザーの「Do Not Track」機能の使用を尊重するよう義務付けてはいない。義務付けられているのは、当該機能がどのように対応されるかについてユーザーに開示することのみである。
どうすれば順守できますか？
ウェブサイト運営者は、新たな要件を満たすために、「運営者が従うプログラムまたはプロトコル（消費者に[追跡されない]選択肢を提供するものである）の説明（その効果を含む）を掲載したオンライン上の場所へ、運営者のプライバシーポリシー内に明確かつ目立つハイパーリンクを提供すること」によって対応できる。 デジタル広告連合（DAA）のオンライン行動ターゲティング広告自主規制プログラムは、ウェブ活動追跡に基づくターゲティング広告のオプトアウトを消費者が選択できるように企業を支援する、広く利用されている自主規制プログラムである。
注：遵守期限は2014年1月1日です。
プライバシーポリシーを更新しなかった場合、罰則はありますか？
新たな要件への不遵守は、違反1件につき2,500ドルの罰金対象となる可能性があります。モバイルアプリケーションに関しては、カリフォルニア州司法長官は、新たな要件を満たさないモバイルアプリケーションのダウンロード1件ごとに違反が成立し、罰金の対象となり得ると表明しています。
コンプライアンスのためのベストプラクティス
カリフォルニア州オンラインプライバシー保護法（CalOPPA）の新たな「追跡禁止」要件に準拠するため、プライバシーポリシーを更新する一環として、ウェブサイト所有者および運営者は以下のベストプラクティスを実施すべきです：
- ウェブサイトおよびオンラインサービス上で実施されている追跡メカニズムを特定すること。これには以下が含まれる：(a) 追跡メカニズムによって収集される個人情報の具体的な種類、(b) ユーザーが当該メカニズムの使用の有無および方法を制御する選択肢を有するか否か、ならびに事業者がユーザーの選択を尊重するか否か。リストには、事業者自身が使用する追跡メカニズムに加え、広告主や分析サービスを含む第三者が設置した追跡メカニズムも記載すること。
- 第三者が採用する追跡メカニズムの場合、事業者は当該メカニズムがユーザーの個人情報を収集するかどうかを判断すべきである。たとえメカニズムが個人情報を収集しない場合でも、第三者事業者が追跡データを他の情報源から収集したユーザーの個人情報と組み合わせる可能性があるため、事業者はプライバシーポリシーにおいて当該メカニズムを特定することが望ましい。
- ソーシャルメディアプラグインを含め、ユーザーから個人情報を収集するその他の仕組みを特定してください。CalOPPAの変更は必ずしもこうしたデータ収集手段を対象としていませんが、事業者はプライバシーポリシーにおいてユーザーに開示することを検討すべきです。
- 上記で特定された情報を、ウェブサイトのプライバシーポリシーの開示内容に組み込むこと。これには、ウェブサイト活動の追跡に関連してユーザーから収集される情報、およびユーザーがその情報の収集や追跡情報に基づくターゲティング広告の受信をオプトアウトする方法が含まれる。
議会法案370の全文はこちらから入手できます。
