CCPA/CPRA

CCPA（加州消費者隱私法）および2023年1月1日施行のCPRA（加州消費者隱私權法）は、カリフォルニア州の個人情報保護法規です。CPRAはGDPRと同様に、個人情報の定義を拡大し、機密個人情報（Sensitive Personal Information）の保護を強化しました。企業は、個人情報の収集、使用、共有、販売に関する透明性を確保し、消費者からの削除請求やオプトアウト（Opt-out）要求に対応する仕組みを構築する必要があります。これはISO 22301（事業継続管理）やISO 27701（プライバシー情報管理）とも密接に関連する、現代の企業リスク管理における最優先事項の一つです。

実務的な導入は以下の3ステップで行われます。第一に「データマッピング」：組織内の個人情報の種類、保存場所、共有先を特定します。第二に「権利行使メカニズムの構築」：ウェブサイトに「Do Not Sell or Share My Personal Information」リンクを設置し、消費者からの削除・修正・オプトアウト請求に対応するワークフローを確立します。第三に「リスク評価と監査」：CPRAに基づき、高リスクなデータ処理に関するDPIA（データ保護影響評価）を実施します。例えば、年間売上高が2億ドルを超える企業では、CCPA違反による罰金が1件あたり最大7,500ドルに達するため、PIMS導入によるリスク低減は投資対効果が極めて高い判断となります。

台湾企業が直面する課題は、第一に「GDPRとの混同」です。GDPRとCCPA/CPRAは類似していますが、オプトアウトの仕組みや「販売（Sale）」の定義が異なります。第二に「技術的対応力」：既存システムがデータ削除要求に即時対応できないケースが多いこと。第三に「供應商管理」：米国市場に展開する台湾企業は、多くの米国ベンダーを利用しており、その連鎖的な責任が課題となります。克服策として、まずISO 27701を基盤としたPIMSを導入し、GDPRとの差異を吸収する「共通管理項目リスト」を作成することを推奨します。これにより、一つの管理体制で複数の法規に対応可能となり、コスト効率が大幅に向上します。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業CCPA/CPRA相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家企業。申請免費機制診斷：https://winners.com.tw/contact