ニュージャージー州プライバシー法：バージニア州モデル、コネチカット州との相違点

ニュージャージー州が州ごとのプライバシー法のパッチワークに加わる

ニュージャージー州消費者データプライバシー法（正式引用 PL 2023, c. 266 (NJDPL)）により、同州は住民に個人データの正式な管理権を与える州の増加する一団に加わった。Stauss PLLC の法的分析によれば、この法律は一般的に、国内で最も早期に成立し広く模倣されているバージニア州プライバシー法の構造を踏襲している。しかし同じ分析は、注目に値する点も指摘している。コネチカット州のような法律に見られる条項や規定の一部が、ニュージャージー州版には欠けているのだ。

その違いは重要だ。より多くの州が独自の消費者データプライバシー法を成立させるにつれて、誰が対象となるか、どのような権利が存在するか、そしてその権利がどれほど厳格に執行されるかの詳細は、州によって大きく異なる。ニュージャージー州のアプローチは、同じ基本枠組みに基づいて作られた法律であっても、最終化される段階で重要な点で分岐しうることを示している。州は着実にこのパッチワークに加わり続けている。ルイジアナ州は最近、包括的なプライバシー法を制定した22番目の州となり、この法分野がいかに急速に拡大し、複数の州で事業を展開する企業にとって遵守義務がいかに不均衡になっているかを浮き彫りにした。

誰が遵守する必要があるか：法律を発動させる閾値

ほとんどの州プライバシー法と同様に、ニュージャージー州の法律はすべての企業に適用されるわけではない。特定の閾値を設け、企業が法律の要件に従う「管理者」に該当するかどうかを判断する。一般的に、この法律は、支払い取引の完了のためだけに処理されるデータを除き、少なくとも10万人のニュージャージー州消費者の個人データを処理する事業体に適用される。また、少なくとも2万5千人の消費者のデータを処理し、かつその個人データの販売から収益を得ている小規模企業にも適用される。

注目すべき特徴の一つは、ニュージャージー州法は、特定の金額基準でカバレッジを定めるカリフォルニア州プライバシー法とは異なり、管理者の収益基準を含んでいない点だ。つまり、企業の総収益だけでは、ニュージャージー州法の適用対象となるかどうかの判断要因にはならない。代わりに、処理される消費者データの量と、そのデータが販売されているかどうかに焦点が当てられる。

NJDPL の下での消費者権利と、欠けているもの

この法律の下でのニュージャージー州の消費者は、一般的に他の州のプライバシー法に類似した権利を得る。すなわち、企業が自分のデータを処理しているかどうかを確認し、そのデータにアクセスし、不正確な点を修正し、削除を要求し、自分の情報のポータブルなコピーを入手する能力だ。消費者は通常、自身のデータがターゲティング広告に使用されたり、第三者に販売されたり、法的または同様に重大な影響を伴う特定の種類のプロファイリングに使用されたりすることからオプトアウトすることもできる。

より微妙な点は、Stauss PLLC の分析がコネチカット州法と比較して欠けていると指摘する詳細にある。コネチカット州の法律は、いくつかの同格の州よりも詳細な消費者保護と手続き要件を含んでいるとして、プライバシー専門弁護士によってしばしば引用される。ニュージャージー州法がコネチカット州法に含まれる規定を省いているという事実は、ニュージャージー州の消費者が意味のある権利を持つ一方で、執行メカニズムと特定の保護は、より新しいまたはより詳細な法律を持つ他の州の居住者が受けるものほど包括的ではない可能性を示唆している。

これがあなたにとって意味すること

ニュージャージー州にお住まいであれば、この法律によって、州レベルで初めて、実際に使用可能な個人データに関する権利が与えられます。企業に対し、あなたの情報で何をしているのかを尋ねたり、修正や削除を要求したり、上記の閾値を満たす企業に対しては、データの販売やターゲティング広告への使用からオプトアウトしたりすることができます。データを販売せず、10万人の消費者マークに達しない小規模事業者は、法律の範囲外となる可能性があるため、あなたがやり取りするすべての企業がこれらの要求に応答する義務を負うわけではありません。

また、ニュージャージー州の保護は現実のものではあるものの、現在全国的に施行されている消費者データプライバシー法の中では最も強力なバージョンではないことを理解する価値があります。もしここでの自分の権利を、コネチカット州のような州の友人や家族が持つ権利と比較するなら、彼らの法律がより具体的な手続きや保護を明記していても驚いてはいけません。米国プライバシー法のパッチワーク的な性質は、少なくとも連邦法が成立してベースラインが標準化されるまでは、居住地域の郵便番号によって自分の権利が実際に異なりうることを意味します。

実践的なポイント

ニュージャージー州の居住者にとって最も有用なステップは、単に何を要求すべきかを学ぶことです。すなわち、自分のデータへのアクセスを要求し、企業にもはや必要とされないデータの削除を依頼し、企業が法的にその要求を尊重する義務を負っている場合には、データ販売やターゲティング広告からオプトアウトすることです。ニュージャージー州で事業を展開する企業にとっては、自社がいずれかの処理閾値を満たすかどうかを確認し、この法律が準拠するバージニア州スタイルの枠組みに対して自社の慣行がどのように比較されるかを今のうちに検討することが重要です。コネチカット州のようなより厳格な州との比較におけるギャップは、必ずしも他州での遵守義務が軽いことを意味しないからです。より多くの州が独自の消費者データプライバシー法を成立させ続ける中、自分の州の規定とその限界について情報を入手し続けることが、与えられた権利を実際に活用するための最善の方法であり続けます。