【論説】CCPAでオプトアウト権行使対象となる「売却」の範囲


【コラム】カリフォルニア州消費者プライバシー法において広告目的の個人情報開示はオプトアウト権の対象となるか

昨年6月、カリフォルニア州消費者プライバシー法(以下「CCPA」)が制定され、これまで業種・領域ごとにプライバシー規制が行われていたアメリカで、初めての包括的・セクター横断的な本格的プライバシー保護法として注目されている。CCPAによる規制の中でも最も注目すべきものは「オプトアウト権」である。オプトアウト権とは、消費者が、自身に関する個人情報を企業が第三者に販売(sell)することをやめるよう指示する権利である。オプトアウト権の対象となる「販売」とはどのような行為だろうか?デジタル広告テクノロジーを利用した広告カスタマイズの目的のためにアドテック事業者が提供するタグをwebページに設置し、アドテック事業者に閲覧情報を提供することや、広告スペースの入札要請のために個人の閲覧情報などから推論した当該個人の属性情報を開示することなどは、オプトアウト権の対象である「販売」に該当するのだろうか。

「販売」について、CCPAは以下のように定義する。

1798.140(t)(1)
“Sell,” “selling,” “sale,” or “sold,” means selling, renting, releasing, disclosing, disseminating, making available, transferring, or otherwise communicating orally, in writing, or by electronic or other means, a consumer’s personal information by the business to another business or a third party for monetary or other valuable consideration.

(仮訳)
消費者の個人情報を、企業が、別の企業または第三者に対し、金銭的約因その他の価値ある約因のために、口頭で、書面で、電子的手段で、またはその他の方法で、売り、賃貸し、リースし、開示し、伝播し、利用可能とし、その他、伝達することをいう。

ポイントは、クッキー(Cookie)利用などによりアドテック企業に個人の閲覧データなどを開示することが「価値ある約因のために」行われていると言えるかどうかである。ブランドサイト管理者は、お金をもらってアドテック企業に閲覧情報を提供するわけではなく、むしろ、最も大きなマーケテイング効果が期待できる広告スペースを買うことを目的として、アドテック企業に料金を払いつつ閲覧情報を提供している。つまりブランドサイト管理者は、金銭を支払う側であり、このような開示が金銭的約因のために行われているということはできない。であれば、このような開示は、金銭以外の価値ある約因のために行われていると言えるだろうか?

CCPAがその一部を構成するカリフォルニア州民事法典(civil code)のうち、契約法にあたるDivision3-Part2の1605条に約因(consideration)の定義がある。

Any benefit conferred, or agreed to be conferred, upon the promisor, by any other person, to which the promisor is not lawfully entitled, or any prejudice suffered, or agreed to be suffered, by such person, other than such as he is at the time of consent lawfully bound to suffer, as an inducement to the promisor, is a good consideration for a promise.

ここでは、本来ならば法的には受ける権利がない何らかの利益を受けることを約束されること、または契約相手方が、本来ならば法的には被る義務がない何らかの不利益を受けることを約束することは、約束の有効な約因(good consideration)である、と定義されている。

ブランドサイト管理者は、クッキーなどを利用することにより、閲覧者の個人データをアドテック企業に開示することの効果として、アドテック企業がなるべく大きな広告効果が見込まれる的な広告スペースを買って自社の広告を掲載させることを期待し、このような役務提供を内容とするサービス利用契約をアドテック企業と締結し、これに基づいて、閲覧者の属性情報を導き出すために閲覧者の個人データを開示する。このような「効果的な媒体への広告掲載」が個人情報開示の価値ある約因として認められれば、アドテック企業が関連する閲覧情報の開示は、CCPAがオプトアウト権の対象とする個人データの販売とされることになる。

最終的な結論は、今後カリフォルニア州司法長官が公表するガイドラインを待たなければならない。しかし、そもそもCCPAが制定された契機のひとつは、デジタルマーケティング業界で取引される個人データのコントロールを消費者に取り戻そうということだったわけで、広告目的の個人データ利用は規制対象としてきわめて重視されるはずである。したがって、広告目的の閲覧情報の取引は、CCPAが創設するオプトアウト権の対象となる可能性が高いと思われる。CCPAの執行(enforcement)は来年7月までずれこむことが見込まれるが、アメリカ市場での販売を目的として製品・サービスを紹介するブランドサイトを運営する企業は、準備が必要である。

株式会社インターネットイニシアティブ
鎌田博貴
(この記事の内容は、筆者の私見です。)

関連記事