SB 923が法律に：CCPAの削除権がサードパーティデータにも及ぶ

あなたのビジネスが他の誰かから消費者データを購入、ライセンス取得、または付加している場合、カリフォルニア州の削除要求がそれをカバーするようになります。そして、プライバシーリクエストのためにメールアドレスしか提供していないサイトは、フォームを追加するために1月1日までに猶予があります。 何が起こったのか カリフォルニア州プライバシー保護庁（CalPrivacy）によると、9月27日、ニューサム知事はプライバシー権拡大法であるSB 923に署名しました。この法案はジョシュ・ベッカー上院議員（民主党・メンローパーク）が起草しました。8月26日に州議会を49対14で通過し、翌日には上院で36対0で可決されました。変更は2027年1月1日から施行されます。 この法案は、CCPAが制定されて以来存在していたギャップを修正するものです。第1798.105条は、消費者に企業が収集した個人情報を削除する権利を与えていましたが、データブローカーから購入したデータやエンリッチメントベンダーを通じて取り込んだデータは、この要求の対象外でした。SB 923は、情報源に関わらず、「消費者から、または消費者について」収集された情報にまで削除権を拡大するよう書き換えています。サードパーティデータの場合、企業は要求の記録と、情報が削除されたこと、そしてそれ以外の目的で使用されないことを確認するために必要な最小限のデータを保持することで対応します。実際には、これはサプレッションリスト（抑制リスト）を意味し、同じレコードが次の四半期のデータ更新で再度取り込まれるのを防ぎます。 CalPrivacyのエグゼクティブディレクターであるトム・ケンプ氏は、「削除権は、最終的に人々が期待する通りの機能、つまり、企業がその情報をどのように入手したかに関わらず、削除を実行できるようになります」と述べています。 2つ目の変更は、第1798.130条を修正するものです。現在、事業が完全にオンラインで運営されており、消費者と直接的な関係がある場合、通知、削除、または訂正のリクエストに対してメールアドレスのみで対応できます。2027年からは、メールアドレスに加えて、ウェブフォームやポータルなどのオンラインでの受付方法も提供する必要があります。 同日、知事は、企業が機微な個人情報の販売または共有を完全に禁止するAB 1542を拒否しました。機微なデータの使用を制限する既存の権利は、そのまま維持されます。 ウェブサイト所有者が取るべき対策 まず、顧客レコードの出所を確認してください。CRMプロファイルをエンリッチしたり、リードリストを購入したり、データパートナーを通じてオーディエンスをマッチングしたりする場合、それらのソースは削除要求の対象となり、あなたの削除ワークフローはそれらが供給するすべてのシステムに及ぶ必要があります。不正防止、研究、法的義務に関する免除は引き続き適用されるため、法律で保持が許可されているものを削除することを強制されるものはありません。 次に、サプレッション（抑制）ステップを構築してください。ベンダーが1か月後にレコードを返送した場合、一度削除するだけでは不十分であり、新しい法律はそれを停止するために必要な最小限のデータを保持することを明確に期待しています。 最後に、リクエストの受付方法を確認してください。メールボックスのみをリクエストチャネルとするオンライン専業企業は、1月1日には時代遅れになります。新しい条文が施行されたら、プライバシーポリシーも、より広範な削除権を正確に記述するように更新する必要があります。 Privisyがどのように役立つか Privisyのポリシー分析ステージは、すでにプライバシーポリシーを読み取り、削除権の開示情報を確認し、4つのCCPA権のうち少なくとも2つをカバーするインタラクティブなリクエストフォームを探してリンクをたどります。指定されたメールアドレスのみが見つかった場合、レポートにその旨が記載されます。現行法では、オンライン専業企業にとってその発見は助言的なものですが、2027年からは、その同じギャップがSB 923によって埋められます。今監査を実行することで、締め切り後にリストを入手するのではなく、締め切り前にリストを入手できます。 1月前にリクエスト受付を確認してください Privisyは、プライバシーポリシー、リクエストメカニズム、トラッカーの動作を、現在施行されているCCPAルールと今後施行されるルールに対して監査します。 監査を取得する