カリフォルニア州で2023年より従業員およびB2Bデータ に関する新たな規制の可能性

カリフォルニア州消費者プライバシー法(California Consumer Privacy Act)（以下「CCPA」といいます）は、2018年に制定されて以来、個人のパーソナルデータ、プライバシーに影響を与える最も包括的な州レベルの法律です。しかし、これまでCCPAが会社組織の従業員に関する個人情報または事業者間で共有される（以下「B2B」といいます）パーソナルデータに与える影響は、ごくわずかでした。

今般、カリフォルニア州では、2023年1月1日に従業員およびB2Bデータに関する例外規定が失効する予定です。その結果、カリフォルニア州で事業を行っている雇用主には、カリフォルニア州の従業員およびB2Bの連絡先に対して、どのような情報を収集し、それをどのように利用しているかを知る権利、および収集された情報を削除する権利など、多くの権利を付与する義務が生じます。

しかし、現在、カリフォルニア州議会は、このような従業員およびB2Bデータに関する規制を大きく変更し得るいくつかの法案を検討しています。法案AB 2871は、従業員およびB2Bデータの大部分を規制なく無期限で保持するというもので、法案AB 2891は、2026年までは、同データの大部分を規制なく保持するというものです。一方、法案AB 1651は、従業員に有利な多数の権利を付与し、雇用主による従業員データの利用手段を制限するとともに、カリフォルニア州の雇用規制当局にこれら権利の行使を委ねることを提案しています。AB 1651については、カリフォルニア商工会議所が、多くの雇用主にとって実行が現実的ではないとして、すでに反対意見を表明しています。最後に、法案SB 1189では、カリフォルニア州におけるバイオメトリック（生体認証）データの収集と使用に関して、様々な制限が提案されることが予測されます。これらの法案のうち、カリフォルニア州議会で可決されたものはまだありません。

今年の残りの期間内に議会が迅速に法案を可決しない限り、これまで消費者だけに適用されてきたCCPAの権利の多くが、2023年1月1日から従業員およびB2Bデータにも適用されることになります。さらに、カリフォルニア州の企業は、すべての個人の個人情報の取り扱い方について、新たな制限を課される可能性もあります。カリフォルニア州で事業を行う企業としては、今年残りの数か月間、州議会の動向を注視する必要があります。