米国各州のデータ・プライバシー法に関する2024年の更新情報

2018年にカリフォルニア州消費者プライバシー法(California Consumer Privacy Act)（以下「CCPA」といいます）が施行され、2020年に、CCPAがカリフォルニア州プライバシー権法(California Privacy Rights Act)（以下「CPRA」といいます）によって改定されて以来、米国では、住民の個人データの保護を強化し、データの収集および使用に関する権利と選択肢を拡大するための包括的なデータ・プライバシー法を制定する州が急速に増えています。

これらの州法は、CCPAおよびCPRAをモデルとしており、事業者のプライバシー・ポリシーの開示を通じてどのような個人データが収集され、それがどのように利用されるかを知る権利、事業者が保有する個人データの修正または削除を要請する権利、個人データの販売をオプトアウトする（販売を許可しない）権利を含む、個人データに関する幅広い権利を州の住民に対して付与します。2023年だけでも、4州（コロラド州、コネチカット州、ユタ州、バージニア州）で包括的データ・プライバシー法が施行されました。2024年には、モンタナ州、オレゴン州、テキサス州でも包括的データ・プライバシー法が施行される予定です。以下では、2024年に施行されたこれらの新たなデータ・プライバシー法の要点をまとめてみます。

モンタナ州：　モンタナ州消費者データ・プライバシー法(Montana Consumer Data Privacy Act)（以下「MTCDPA」といいます）は、2024年10月1日に施行されます。MTCDPAは、(1) 50,000人以上のモンタナ州住民の個人データを管理または処理するか、あるいは(2)　25,000人以上のモンタナ州住民の個人データを管理または処理し、同データを販売することにより総収益の25%以上を得ている事業者に適用されます。モンタナ州司法長官(Attorney General)がMTCDPAを執行します。違反者には60日間の是正期間が与えられますが、その期間に違反が是正されなければ、1件の違反につき最高7,500ドルの罰金が科されます。違反者は私的訴権を有しません。

オレゴン州：　オレゴン州消費者プライバシー法(Oregon Consumer Privacy Act)（以下「OCPA」といいます）は、2024年7月1日に施行されます。OCPAは、(1)　100,000人以上のオレゴン州住民の個人データを管理または処理するか、あるいは(2)　25,000人以上のオレゴン州住人の個人データを管理または処理し、同データを販売することにより総収益の25%以上を得ている事業者および非営利団体に適用されます。OCPAの違反者には30日間の是正期間が与えられますが、その期間に違反が是正されなければ、1件の違反につき最高7,500ドルの罰金が科されます。主にオレゴン州司法長官(Attorney General)がOCPAを執行します。違反者は私的訴権を有しません。