「California Consumer Privacy Act -CCPA- 要点と対応の勘所」

企業は、消費者から請求があった場合、本人に対して45日以内に情報の開示、削除または個人情報の売却を停止する義務がある（直近12カ月の期間に収集、販売、処理された情報が対象）。これを適切かつ迅速に回答・通知するためには、保有している個人情報の資産やそれらの入手経路、入手方法に関する情報を精査し、管理・保管できる体制を整える必要がある。

具体的な措置として、下記2点を取り上げる。

① 情報資産の把握（個人情報の精査・ラベルつけ）
② 消費者が収集・販売される個人情報について知る権利を担保する手段を整備
（アクセシビリティとポータビリティ）

① 情報資産の把握（個人情報の精査・ラベルつけ）
まずは、企業が保有している情報資産の詳細を把握する。これは消費者への対応のためだけではなく、万が一、企業が訴追を受けた場合に正しい情報を速やかに提示し大きな損害を受けないための守りの対応でもある。

ステップ1：
前述のCCPAにおける個人情報「名、姓およびクレジットカードやパスポート番号などの情報分類10種のうちいずれか1つ以上」に該当する情報を有しているか否かを判別する。

ステップ2：
それらの個人情報の入手方法やどのような目的で誰に向けてその情報を開示したのか、また削除やオプトアウトの請求があった場合の履歴をはじめとする詳細をラベルつけて管理・保管する。

一見すると、これらは「誰が」「いつ」「どの商品を」「どこで」「いくつ購入した」といった事業目的と直接関連しない情報であるため見落としがちなので気を付けたい。

②消費者が収集・販売される個人情報について知る権利を担保する手段を整備
（アクセシビリティとポータビリティ）
どのような状況、環境に置かれた消費者も自身の個人情報の使われ方について容易にアクセス・権利行使できるよう配慮をした上での仕組化も必要である。

アクセシビリティ：
消費者が個人情報の ①利用の目的、②オプトアウト、③（個人情報を提供することで受けられる） インセンティブ、④プライバシーポリシーに無償で速やかにアクセス可能である状態にしておく必要がある。具体的には、消費者が企業に問合せをする際のフォームが適切に設置されているか、プライバシーポリシーを知りたい場合に検索エンジンで容易に調べることが可能であるかといった確認の手段が整備されているかをチェックする。

ポータビリティ：
消費者が郵便・電子メールなどのあらゆる手段で情報の提供を受けて保持することができ、必要に応じて法的機関へ連携が可能な仕組みを設けなければならない。

①②は一度、情報の精査や体制を整えたから対策完了ではなく、請求に対する開示・削除・販売停止などの手順や管理方法が適切に運用されているかを確認し、定期的な更新が必要だ。顧客情報の管理・運用方法についての意識を全社員が統一して持つことも重要である。