「壁にスパゲッティを投げつけるようなものだ」。ローブ＆ローブ法律事務所（Loeb and Loeb）のパートナーで、プライバシーやセキュリティ、データイノベーション関連訴訟を担当するグループの共同主任を務めるジェシカ・リー氏は、カリフォルニア州消費者プライバシー法（CCPA）に基づいて企業に対して訴訟を起こす時に人々が取ってきた取り組みをこう説明した。

個人情報を企業が販売することをカリフォルニア州の住民が制限できるカリフォルニア州のプライバシー法は、曖昧なことで悪名高いため、人々は、明確にしようと訴訟を起こしてきた。

CCPA関連訴訟を追跡する弁護士によると、2020年1月1日の施行後に起こされた訴訟の多くは、企業が個人情報の販売を人々がオプトアウトできるようにしなかったり、個人情報をサードパーティと共有することを公表しなかったりしたと主張するものだという。一方、カリフォルニア州のザビエル・ベセラ司法長官の広報担当者は、同司法長官事務所が、CCPA違反につながる問題の是正を求める数十件の通知を企業に送付したと述べている。

Advertisement

新法の成立時は、訴訟を試す段階であるのが一般的だと、ケリー・ドライ＆ウォーレン法律事務所（Kelley Drye and Warren）のパートナーで、プライバシー及びセキュリティ関連訴訟担当主任を務めるアリサ・フットニク氏は指摘する。「原告は、可能な限りありとあらゆる手段を試そうとしている」。

これまで、こうした訴訟関連の件で結論が下されたものはほとんどないため、CCPAがどのような形で適用可能かを左右する要因が、いまだにはっきりしない。本記事のためにインタビューした弁護士は、このような初期段階では前例がないことを示唆した。

法律上の線引きを小手調べ

CCPAには、法に反するデータ侵害で個人や団体が企業を提訴できる行動の私権が含まれている。しかし、こうした訴訟を起こす個人や団体は、CCPAに基づいてどのような違反を訴える権利があるのかを、境界線を押し広げて試そうとしている場合もあると、CCPA訴訟を追跡している弁護士は話す。

データプライバシー及びセキュリティ専門の弁護士によると、場合によっては、訴訟で、不正競争防止法など、カリフォルニア州のほかの法に違反したと主張して、CCPAの行動制限に関する私権の回避が試みられるという。たとえば、一部の訴訟では、実際には個人情報をサードパーティに提供したのに、販売していないと企業が主張する場合、事実に反する陳述をしたとされる。

「戦略としては、カリフォルニア州の既存のプライバシー法に、CCPAを組込もうとしているようだ」と、リー氏はいう。モリソン・フォースター法律事務所も、こうした傾向を報告している。

これまでに正確に何件のCCPA関連訴訟が起こされてきたのかは不明だ。パーキンス・コイ法律事務所（Perkins Coie）の話では、101件の訴訟が起こされたという。モリソン・フォースター法律事務所は1月に、次のように述べている。「データ漏えい絡みか、（プライバシー関連のほかの申し立てに肉付けするためにCCPAをよりいっそう利用して）CCPAで保証されているほかの消費者の権利を侵害したとの主張に基づき、損害賠償を求める訴訟が50件近く起こされた」。

カリフォルニア州司法長官からパブリッシャーへの通知数十件

そして警告だ。訴訟に加えて、カリフォルニア州司法長官事務所は、小売や金融、健康関連のウェブサイトのパブリッシャーのような企業に対して、CCPAを遵守していないことを知らせる通知を送ってきた。パーキンス・コイ法律事務所のパートナーで、アドテクのプライバシー及びデータ管理関連訴訟担当共同主任であるドミニク・シェルトン・ライプツィヒ氏によると、これらの違反には、データの削除や非売を求める人々への適切な対応を怠った、会社のプライバシーポリシーの更新をしていない、といったものが含まれるという。

カリフォルニア州司法長官事務所が送った「是正要求通知」は、CCPA遵守のために変更を加えるのに30日間の猶予を企業に与えている。同事務所の広報担当者によれば、通知は非公開で、送付された通知件数は部外秘だが、「数十件」だという。

シェルトン・ライプツィヒ氏によれば、特定のパートナー企業の名を挙げずに、「広告パートナー」とデータを共有しているとしかウェブサイトに記載されていない場合に、通知を受け取ったウェブサイトパブリッシャーもいるという。

ほかの執行通知はこれまで、容易に解決できる問題だったと語るのは、全米広告主協会（Association of National Advertisers：ANA）で政府関係担当グループエグゼクティブバイスプレジデントを務めるダン・ジャッフェ氏だ。「『オプトアウトのボタンはどこ？』というのが多かった」

猶予期間は一時的

30日間の猶予期間内に調整を行って司法長官の要求を満たすことをしない企業は、交渉期間に入るかもしれない、とリー氏は語る。その後、交渉が満足のいく是正につながらない場合、「司法長官による公的執行を目にし始めるだろう」。そうなれば、通知後の違反1件につき7500ドル（約79万円）の民事制裁金の形を取る可能性もある。

だが、こういった類の通知を受け取る企業に与えられる30日間の遵守猶予期間は、今後なくなる。2020年に成立したカリフォルニア州の最新のプライバシー法「カリフォルニア州プライバシー権法（CPRA）」が、2023年1月1日に施行されると、CCPAに置き換わるが、CPRAにはそうした条項がないのだ。

「CPRAには、30日間の是正猶予期間がない。だから、状況はもう少し厳しくなるかもしれない」と、ジャッフェ氏は語った。

［原文：People file lawsuits to test boundaries of California’s privacy law］

KATE KAYE（翻訳：矢倉美登里／ガリレオ、編集：長田真）