カリフォルニア州は、全米で最も野心的なデータブローカー法の施行を開始したが、初期の結果はすでに業界がどこで不足しているかを示している。州のプライバシー保護局（CPPA）は、Delete Actに基づく登録を怠ったデータブローカーに対して執行命令を発出しており、特にLocateSmarterという企業に関する案件は、登録違反が消費者のオプトアウトおよび削除リクエストの処理方法に関するより深い問題をどのように隠蔽し得るかを浮き彫りにした。

このカリフォルニア州のデータブローカー執行の波は、州境をはるかに超えて重要である。カリフォルニア州はしばしば全米のプライバシー規制の方向性を決定づけることが多く、CPPAがこれらの初期案件をどのように扱うかは、独自のプライバシー法を持つ州だけでなく、すべての州におけるデータブローカーの行動を形成する可能性が高い。

カリフォルニア州のDelete Actがデータブローカーに求めるもの

Delete Actはシンプルな考え方に基づいて構築された。企業がカリフォルニア州民に関する個人情報を、その個人との直接的な関係なしに購入、販売、またはライセンス供与する場合、それはデータブローカーとみなされ、州への登録が必要となる。登録は単なる書類手続きではない。それは消費者がどの企業が自分のデータを保有しているかをまず知ることを可能にする基盤であり、この法律が創設したより広範な削除およびオプトアウトのインフラストラクチャに組み込まれている。

CPPAの執行措置によると、一部のデータブローカーはまったく登録せず、法律の基本義務を無視していた。その失敗だけでも執行を開始するのに十分だが、LocateSmarterの案件が示すように、登録違反は氷山の一角に過ぎない可能性がある。規制当局が企業の登録状況を調査し始めると、その企業がデータ販売のオプトアウトや情報の完全削除に関する消費者からのリクエストを実際にどのように処理しているかについて、関連するコンプライアンス上の欠陥を見つけることがよくある。

LocateSmarter案件がオプトアウトのコンプライアンス上の欠陥をどのように暴露したか

LocateSmarterの決定は、「登録していない」という単純な違反を超えている点で注目に値する。CPPAの審査では、同社が消費者に対し、オプトアウトまたは削除リクエストを提出するだけで過剰な個人情報の提供を要求していたことが判明した。これは重大な問題である。データブローカーがプライバシーリクエストを処理するために必要な以上の情報を要求する場合、法律が保証することになっている権利を行使することを人々に躊躇させる障壁が生じるからだ。

これは、規制当局がますます注目している種類の摩擦である。データブローカーが技術的にオプトアウトの仕組みを提供していても、その仕組みが意図的かどうかにかかわらず、プロセスを必要以上に困難にするように設計されている場合、それでは不十分である。LocateSmarterの案件は、カリフォルニア州の規制当局が、企業が登録したかどうかだけでなく、そのプライバシーツールが実際にどれだけ使いやすく、誠実であるかを精査する用意があることを示している。

現在のあなたのデータ削除権利にとってこれが意味すること

消費者にとって、この執行の波は、データブローカーのコンプライアンスが自動的ではなく、背景で行われていると単純に想定すべきものではないということを思い出させるものである。個人データを売買する企業はDelete Actに基づく明確な登録およびオプトアウトの義務を負っているにもかかわらず、規制当局は依然としてルールを完全に無視したブローカーや、人々が利用することを静かに妨げるオプトアウトプロセスを構築したブローカーを発見している。

データブローカーに削除またはオプトアウトリクエストを提出し、そのプロセスが混乱を招く、過度に要求が多い、または応答がないと感じた場合、それはあなたの想像ではない。これらはまさにカリフォルニア州の規制当局が現在標的にしている種類の慣行である。取引した企業がカリフォルニア州でデータブローカーとして登録されているかを確認する価値があり、リクエストが過剰または妨害的だと感じた場合、その摩擦自体が報告に値するコンプライアンス上の危険信号である可能性がある。

州レベルのプライバシー執行がカリフォルニア州を超えてどのように拡大しているか

カリフォルニア州だけが、有意義な透明性や同意なしに消費者データを収益化する資産として扱う企業を取り締まっているわけではない。他州の司法長官も、秘密裏に個人データを収集または使用したとされる企業に対して同様の攻勢をかけている。例えばテキサス州は、非開示のデータ慣行をめぐって大手プラットフォームを追及しており、テキサス州司法長官がNetflixを秘密のユーザーデータ収集で提訴した訴訟では、同社が適切な同意なしに加入者情報を収集・収益化したと非難している。

総合すると、これらの案件はより広範な傾向を示している。州の規制当局はもはやデータブローカーの登録および開示規則を形式的なものとして扱っていない。彼らは企業のオプトアウトの仕組み、データ収集慣行、同意プロセスが精査に耐えられるかどうかを積極的にテストしており、耐えられない場合には執行措置を講じる用意がある。

重要なポイント

カリフォルニア州のDelete Act執行はまだ初期段階だが、LocateSmarterの案件はすでに、登録違反がより深いオプトアウトおよび削除の問題をしばしば明らかにすることを示している。自分のデータを守りたいなら、規制当局がすべての悪質な業者を捕まえるのを待ってはいけない。あなたの情報を扱う企業が適切に登録されているか確認し、オプトアウトおよび削除の権利を直接行使し、リクエストを処理するだけで必要と思われる以上の個人情報を企業が求めてきた場合には異議を唱えよう。カリフォルニア州のデータブローカー執行が拡大し、他の州も独自の措置で追随する中、プライバシー権利に対して積極的に行動し続けることが、あなたが共有に同意したことのない相手の手に個人データが渡らないようにする最も確実な方法である。