CCPA(カリフォルニア州消費者プライバシー法)とは？CPRAへの改正内容・GDPRとの違い・対応方法を解説

CCPAは、カリフォルニア州の消費者プライバシーを保護するアメリカ・カリフォルニア州法です。一定の要件を満たす営利企業に適用され、カリフォルニア州外の日本企業でも対象となる場合があります。2020年の施行後、2023年のCPRA改正を経て、2026年1月1日からはCPPAの新規則が発効し、さらに2027年以降はブラウザ側のオプトアウト信号をめぐる新制度も始まるため、最新要件の確認が重要です。

本記事では、CCPAの基本からCPRAへの改正点、GDPRとの違い、2026年の最新動向、そしてウェブサイトで必要な具体的な対応までを体系的に解説します。

CCPAとは、アメリカ・カリフォルニア州の消費者プライバシー法のこと

CCPA（California Consumer Privacy Act：カリフォルニア州消費者プライバシー法）は、カリフォルニア州の消費者に対してプライバシーに関する権利を付与し、個人情報を扱う企業に、個人情報の収集・利用・第三者提供に関する義務を課す州法です。個人データの大規模な流用問題を契機にプライバシー保護への機運が高まる中、2020年1月に施行され、アメリカで初めて包括的なプライバシー保護を定めた州法として注目を集めました。

CCPAにおける、消費者に認められる主な権利は以下のとおりです。

• 知る権利：企業が収集する個人情報の種類・利用目的・第三者への提供状況を知る権利
• 削除する権利：収集された個人情報の削除を求める権利
• オプトアウトする権利：個人情報の販売・共有などの停止を求める権利
• 非差別的な取り扱いを受ける権利：オプトアウトを行使したことを理由に不当な扱いを受けない権利

CCPAでの「個人情報（Personal Information）」の範囲は、日本の個人情報保護法よりも広く設定されています。氏名や住所といった一般的な情報に加え、CookieIDやIPアドレス、デバイスIDなどのオンライン識別子、ウェブサイトの閲覧履歴や購買行動のデータも対象に含まれます。

なお、2023年施行のCPRAにより、オプトアウト権の対象は「販売」に加えて、クロスコンテキスト行動広告（いわゆるターゲティング広告）を目的とする「共有」にも拡張されました。また、訂正権（不正確な個人情報の訂正を求める権利）や、センシティブ個人情報の利用・開示を一定目的に制限する権利が追加されています。CPRAの改正点については次のセクションで詳しく解説します。

CPRAとは？CCPAからの主な改正点

CPRA（California Privacy Rights Act：カリフォルニア州プライバシー権法）は、CCPAを大幅に強化した改正法です。2020年11月のカリフォルニア州住民投票で可決され、2023年1月1日に主要部分の適用が始まり、同年7月以降に執行が本格化しました。CCPAが立法府による改正に委ねられていたのと異なり、CPRAは有権者の直接投票による成立のため、民意を直接反映した規制として位置づけられています。

以下では、CPRAで変わった主要なポイントを解説します。

1.「共有」概念の追加とオプトアウト対象の拡張

CCPAでは「販売（sell）」のオプトアウトが中心でしたが、CPRAでは「共有（share）」という概念が加わりました。ここでいう共有は、対価の有無にかかわらず、クロスコンテキスト行動広告のために個人情報を第三者へ提供する行為を指します。広告目的のデータ提供は、金銭その他の価値ある対価を伴う場合には従来の「販売」に該当し得ますが、CPRAにより、販売に当たらない広告目的の共有もオプトアウト対象であることが明確化されました。

2.消費者の権利の追加

CCPAの権利（知る権利・削除権・オプトアウト権・非差別的取り扱いを受ける権利等）に加え、CPRAにより、訂正権（不正確な個人情報の訂正を求める権利）と、センシティブ個人情報の利用・開示を一定目的に制限する権利が追加されました。現行法では、開示・削除・訂正・販売/共有のオプトアウト・センシティブ情報の利用制限・非差別/報復禁止などを含む複数の権利を前提に対応する必要があります。

3.センシティブ情報カテゴリの新設

CPRAでは、通常の個人情報よりも慎重な取り扱いが求められる「センシティブ個人情報（Sensitive Personal Information）」というカテゴリが新設されました。センシティブ個人情報には、社会保障番号、金融口座情報、正確な位置情報、人種・民族的出自、宗教・哲学的信念、健康情報、性的指向、通信内容、遺伝データや生体情報などが含まれます。日本の要配慮個人情報と比べ、金融口座情報や正確な位置情報なども対象に含まれる点が特徴です。消費者には、一定の例外を除き、センシティブ個人情報の利用・開示を必要最小限の目的に制限させる権利が認められています。

4.データ最小化・目的制限の義務化

収集する個人情報は、提供するサービスに必要な範囲に限定しなければならないという「データ最小化」の原則が明文化されました。収集した情報を当初の目的以外に利用することも制限されています。ウェブサイト上で収集しているデータの棚卸しと、利用目的の見直しが求められます。

5.執行機関CPPAの設立

CCPAの執行は州司法長官府も担いますが、CPRAではカリフォルニア州プライバシー保護機関（CPPA：California Privacy Protection Agency）が専門の独立機関として新たに設立され、規則制定・執行・啓発を担うようになりました。州司法長官府の権限がなくなったわけではありませんが、CPPAの設立により、プライバシー専門機関による執行が加わっています。

GDPRとCCPA・CPRAの違い

海外のプライバシー規制を調べると、GDPRとCCPA・CPRAが並んで言及されることが多く、混同しやすいポイントがあります。両者は目指す方向性こそ共通していますが、設計の根本が異なります。主な相違点を整理します。

オプトイン vs オプトアウトの違い

両者の最も大きな違いは、個人情報の処理に対する同意の方式です。

GDPRでは、個人データの処理ごとに同意・契約履行・法的義務・正当な利益などの法的根拠が必要です。すべての処理で明示的同意が必要なわけではありませんが、広告・解析などの非必須Cookieについては、ePrivacy規制とGDPR上の同意要件が組み合わさり、事前同意を求める設計が中心になります。Cookie同意バナーは、こうした事前同意や拒否・撤回の機会を提供するために設置されます。

一方、CCPA・CPRAは、個人情報の処理全般を事前同意制にするのではなく、販売・共有、センシティブ個人情報の一定利用などについて消費者が停止を求められるオプトアウト中心の設計です。企業は収集時通知やプライバシーポリシーでの開示、消費者請求への対応を行ったうえで、消費者が「販売・共有を止めてほしい」と申し出た場合に応じる必要があります。このため、ウェブサイトには「Do Not Sell or Share My Personal Information」（＝「個人情報を販売・共有しないでください」）等のリンクや選択肢の設置が求められます。

適用地域・対象の違い

GDPRとCCPA・CPRAは、いずれも個人データの保護を目的としながらも、適用地域・対象企業・同意の考え方が大きく異なります。以下に主な違いをまとめます。

比較項目	GDPR	CCPA・CPRA
適用地域	EUおよびEEA全域	カリフォルニア州
対象者	EU・EEA域内に所在する個人（国籍不問）	カリフォルニア州の消費者
適用企業	EU・EEA域内に拠点がある、またはEU・EEA域内向け提供・行動監視を行う企業等（規模要件なし）	一定条件を満たす営利企業（売上・データ件数・収益比率）
同意方式	処理ごとの法的根拠が必要。広告Cookie等は事前同意が中心	販売・共有等はオプトアウト中心。一部はオプトイン
執行機関	各EU加盟国のデータ保護機関	CPPAおよび州司法長官府

なお、同一のウェブサイトがGDPRとCCPA・CPRAの両方の対象となるケースも珍しくありません。その場合は、EU・EEA向けには非必須Cookie等の事前同意を中心に設計し、カリフォルニア向けには販売・共有のオプトアウト手段やGPC等のオプトアウト信号への対応を並行して実装する必要があります。

CCPA・CPRAに違反した場合のリスクと罰則

CCPA・CPRAに違反した場合、1件あたり最大2,663ドル、故意の違反または16歳未満の消費者に関する違反では最大7,988ドルの行政制裁金が科され得ます（この金額は消費者物価指数（CPI）に連動して奇数年ごとに改定され、2025年1月1日に現行額へ更新されました）。金額はCPIに連動して調整されるため、最新額の確認が必要です。数千件・数万件の違反が重なれば、総額が膨大になりえます。

実際の執行事例として注目されるのが、自動車メーカーのAmerican Honda Motor Co.に対するCPPAの措置です。CPPAは、オプトアウトやセンシティブ個人情報の利用制限リクエストに過度な本人確認を求めたこと、プライバシー選択画面が対称的でなかったこと、代理人によるリクエストを困難にしていたこと、広告技術事業者との契約に必要条項が不足していたことなどを問題視しました。2025年3月、同社は63万2,500ドルの支払いを含む和解に応じています。

なお、CPRAの施行以降、違反発覚時に30日以内に是正すれば必ず制裁を免れられる制度は廃止されています。執行機関の裁量で是正機会が与えられる場合はあり得るものの、違反が確認された時点で制裁対象となり得る点に注意が必要です。

CCPA・CPRAの適用対象となる企業の条件

CCPAおよびCPRAは、すべての企業に適用されるわけではありません。対象となるのは、以下の前提条件をすべて満たしたうえで、3つのしきい値（基準）のいずれかに該当する営利企業です。なお、カリフォルニア州外に本社がある企業でも、カリフォルニア州でビジネスを行い閾値を満たせば対象となります。日本企業も例外ではありません。

3つのしきい値（いずれか1つを満たせば対象）

条件	しきい値
1. 年間総収入	2,662万5,000ドル以上※
2. 個人情報の売買・共有の対象となる消費者または世帯数	年間10万件以上
3. 個人情報の販売・共有から得る収入の割合	年間収益の50%以上

※1の金額のしきい値は消費者物価指数（CPI）に連動して奇数年ごとに改定されます。2025年1月1日時点の現行値は2,662万5,000ドル以上です。

注目すべきは2の条件です。広告配信やアクセス解析などで取得したCookieデータ等を第三者と販売・共有しているサービスでは、対象となる消費者または世帯が年間10万件以上に達すると適用対象となり得ます。売上規模だけで判断できないため、英語版サービスを提供しているケースや越境ECを運営している日本企業も、自社の状況を確認することをおすすめします。

CCPA・CPRAの最新動向

CCPA・CPRAを取り巻く規制環境は、現在も進化を続けています。CPPAが2025年に採択した新規則の多くは2026年1月1日に発効しましたが、ADMT、リスクアセスメント、サイバーセキュリティ監査などは段階的な適用・提出期限が設けられています。さらに2027年以降を見据えたブラウザ側のオプトアウト信号に関する法律も成立しており、対応の必要性は増しています。

2026年施行：8つの改正点

カリフォルニア州プライバシー保護機関（CPPA）は2025年7月に新たな規則を採択し、同年9月に行政法局（OAL）の承認を受けました。多くの規定は2026年1月1日に発効しています。

主な内容は以下の8点です。ウェブサイト運営に直接関わる担当者が特に関連性が高いのは、1.UIの対称性とダークパターン規制、2.オプトアウト状態表示への対応です。ADMT、リスクアセスメント、サイバーセキュリティ監査は対象業務・規模・時期が限定されるため、自社の処理内容に応じて確認しましょう。

1.UIの対称性とダークパターン規制

オプトアウトおよびオプトインに関するUI（同意バナー・設定画面等）では、プライバシーを保護する選択肢への導線を、同意・承諾の導線より長く、難しく、時間がかかるものにしてはならないことが明確化されました。色・大きさ・配置などで一方の選択だけを不当に目立たせる設計も、消費者の自律的な選択を実質的に妨げる場合はダークパターンとして問題になり得ます。

2. オプトアウト状態表示

消費者がオプトアウトを行使した後、企業はその処理が完了したことを画面上で表示する必要があります。規則では「Opt-Out Request Honored」（＝「オプトアウトのリクエストを受け付けました」 ）のような文言の表示や、トグル・ラジオボタンでオプトアウト済みの状態を示す例が示されています。オプトアウトを受け付けたままフィードバックがない状態は不十分と評価され得ます。

3. ADMT（自動意思決定技術）の規制

ADMT（Automated Decisionmaking Technology：自動意思決定技術）とは、人間の意思決定を置き換える、または実質的に置き換えるために個人情報を処理する技術を指します。新規則では、雇用・住宅・金融・教育・医療など、消費者に重大な影響を与える決定にADMTを利用する場合に、事前通知、アクセス権、オプトアウト権などの義務が設けられました。もっとも、ADMTに関する主要義務の適用開始は2027年1月1日とされており、一般的な行動ターゲティング広告の利用が直ちにすべてADMT規制の対象になるわけではありません。

4. リスクアセスメントの義務化

一定の高リスク処理を行う企業には、プライバシーリスクと便益を評価するリスクアセスメントの実施が義務付けられました。対象には、個人情報の販売・共有、センシティブ個人情報の処理、重大な決定に用いるADMT、公開場所・センシティブな場所でのプロファイリング、ADMTや顔認識等の技術訓練などが含まれます。2026年1月1日以降に開始する対象処理は開始前に評価が必要で、同日前から継続している処理は2027年末までに評価を完了し、2028年4月1日までにCPPAへ認証・概要を提出するスケジュールです。

5. サイバーセキュリティ監査の義務化

一定規模以上または高リスクな個人情報処理を行う企業には、年次のサイバーセキュリティ監査が義務付けられました。対象は、個人情報の販売・共有から年間収益の50%以上を得る企業や、年間総収入のしきい値を満たし、かつ大量の個人情報・センシティブ個人情報を処理する企業などです。初回の監査報告・認証提出期限は、事業規模に応じて2028年4月1日、2029年4月1日、2030年4月1日に段階化されています。

年間売上規模	初回監査報告・認証提出期限
1億ドル超	2028年4月1日
5,000万ドル超〜1億ドル以下	2029年4月1日
5,000万ドル以下	2030年4月1日

6.保険会社へのCCPA適用の明確化

保険会社については、保険取引に関連して保険法の対象となる個人情報だけでなく、ウェブサイト訪問者情報や広告目的のCookieなど、保険取引と直接関係しない個人情報の処理についてCCPAが適用され得ることが明確化されました。

7.接続機器・AR/VR環境でのオプトアウト通知義務

スマートテレビやスマートウォッチなどの接続機器、またはAR/VRアプリを通じて個人情報を販売・共有する場合や、センシティブ個人情報を収集・利用する場合には、収集前または収集時点で、販売・共有のオプトアウト通知またはセンシティブ個人情報の利用制限権に関する通知を消費者が確認できる形で提供することが求められます。単に長いプライバシーポリシーに埋め込むだけでは不十分となる可能性があります。

8.DROPシステムにおける本人確認の強化

データブローカーを対象とする一元的な削除リクエストプラットフォーム（DROP）について、リクエスト送信者の本人確認や代理権限確認に関する手続きが整備されました。これは主にデータブローカー向けの制度であり、通常の事業者向けCCPA対応とは分けて確認する必要があります。

2027年施行：ブラウザ側オプトアウト信号の義務化

2025年、カリフォルニア州でカリフォルニア・オプトミーアウトアクト（California Opt Me Out Act）が成立しました。これは、ブラウザに、利用者が一度の設定で各ウェブサイトへ販売・共有のオプトアウト意思を送信できる仕組みを搭載することを求める法律です。GPC（Global Privacy Control）はその代表的な技術仕様として利用されていますが、法律上はGPCという特定仕様だけに限定されるものではなく、オプトアウト選好信号（OOPS）への対応として理解するのが正確です。

対象はブラウザの開発・保守事業者で、カリフォルニア州外に本社があっても、カリフォルニア州でそのブラウザが利用できる状態であれば対象となり得ます。2027年1月1日以降、ユーザーが一度の設定でオプトアウト意思を各ウェブサイトに伝えられる機能、わかりやすい設定UI、公開説明の整備が求められます。

GPC等のオプトアウト選好信号への対応は、すでにCCPA上の義務として位置づけられています。なお、カリフォルニア・オプトミーアウトアクトはブラウザの開発・保守事業者に信号の搭載を義務付ける一方、信号を受け取ったブラウザ事業者自身は、ウェブサイト側がその信号を守らなかった場合の責任を免れる仕組みになっています。つまり、信号を実際に検知し、オプトアウトとして処理する法的な義務は、ウェブサイトを運営する事業者側にあります。カリフォルニア・オプトミーアウトアクトによってブラウザ側の実装が広がれば、ウェブサイト運営側が信号を受信・処理できる状態を整える重要性はさらに高まります。

ウェブサイトにおけるCCPA・CPRAへの具体的な対応方法

法律の内容を把握したうえで、次に求められるのはウェブサイトへの実装です。CCPA・CPRAへの対応は多岐にわたりますが、まず優先すべきはウェブサイト上で完結する対応です。

特に1.オプトアウト導線の設置、2.UIの対称性確保、3.GPC等のオプトアウト信号への対応は、2026年新規則で実務上の重要性が高まった項目です。4.プライバシーポリシーの整備と5.消費者リクエストへの対応体制は社内整備も伴うため、外部ツールの導入と並行して進めると効率的です。

1.オプトアウト導線の設置

CCPA・CPRAへの対応としてまず必要なのが、「Do Not Sell or Share My Personal Information」「Your Privacy Choices」「Your California Privacy Choices」などの文言のリンクを設置することです。このリンクは、すべてのページから視認しやすい場所（多くの場合フッターエリア）に設置し、消費者がクリックしてオプトアウトを申し出られるようにする必要があります。なお、GPC等のオプトアウト選好信号をフリクションレスに処理する場合でも、消費者が手動で選択できる導線を整備しておくことが実務上重要です。

2.UIの対称性とオプトアウト状態表示の確保

2026年1月1日より発効した対応事項です。同意・拒否ボタンのいずれか一方を不当に目立たせたり、プライバシーを保護する選択肢（拒否・オプトアウト）への手順を同意より長く・難しくしたりしないようにする必要があります。また、消費者がオプトアウトを行使した後は「Opt-Out Request Honored」などの文言やトグル表示で処理済みの状態をUI上に示すことも求められます。現在のウェブサイトのUIを早急に確認することをおすすめします。

3.GPCへの対応

GPC（Global Privacy Control：グローバルプライバシーコントロール）は、ブラウザからウェブサーバーに「データを販売・共有しないでほしい」という意思を送信する代表的な技術仕様です。CCPA・CPRAのもとでは、対象事業者がGPC等の有効なオプトアウト選好信号を受信した場合、その信号を販売・共有のオプトアウト申し出として処理する必要があります。

GPCに対応する際には、余計な手間や障壁を設けないことが求められる「フリクションレス要件」も守る必要があります。

これらの要件を満たさないと、GPC等のオプトアウト選好信号への対応が不十分とみなされCCPA違反となり得ます。2022年にはカリフォルニア州司法長官府がSephoraとの和解を公表し、販売・共有のオプトアウトやGPC対応の不備が執行上の重要論点であることが示されました。

4.プライバシーポリシーの整備

CCPA・CPRAは、プライバシーポリシーで開示すべき事項を具体的に定めています。最低限、以下の内容を記載する必要があります。

プライバシーポリシーは少なくとも12か月ごとに更新する必要があり、法改正のたびに内容を見直すことが重要です。

5.消費者リクエストへの対応体制の整備

CCPA・CPRAでは、消費者から権利行使リクエストを受けた際の対応期限が権利の種類ごとに定められています。ウェブサイト上にメールフォーム・専用ウェブフォームなどのリクエスト受付窓口を設置し、対応フローを整備しておくことが必要です。

リクエストの種類	対応内容	期限
知る権利・削除権・訂正権（情報開示・データ削除・誤情報の訂正）	受領確認	10営業日以内
同上	回答	45暦日以内（最大90日まで延長可）
オプトアウト・センシティブ情報の利用制限（データ販売・共有停止・センシティブ情報の利用制限）	処理完了	15営業日以内

対応期限を超えた場合はCCPA違反とみなされ、制裁金の対象となりえます。社内に対応フローがない場合は早急に整備することをおすすめします。

6.未成年者への対応

CCPA・CPRAでは、16歳未満の消費者の個人情報を販売・共有する場合、オプトアウトではなくオプトインの事前同意が必要です。13歳以上16歳未満の場合は本人の明示的な許可、13歳未満の場合は保護者の許可が求められます。未成年ユーザーを対象とするウェブサービスを運営している場合は、通常の対応とは異なる同意取得フローの整備が必要です。

CMPツールでCCPA・CPRA対応を効率化しよう

ここまで解説した対応事項（オプトアウト導線の設置、プライバシーポリシーの整備、GPCシグナルへの対応、UIの対称性確保、オプトアウト後の状態表示）を自社の開発リソースだけで整備しようとすると、相応のエンジニア工数と継続的なメンテナンスが必要になります。

そこで活用が広まっているのが、CMP（Consent Management Platform：同意管理プラットフォーム）ツールです。CMPツールは、ウェブサイトにタグを1つ設置するだけで、同意・オプトアウトの収集・記録・管理を自動化できるように設計されたサービスです。

CMPツールが対応できる主な機能は以下のとおりです。

• 「Do Not Sell or Share My Personal Information」のオプトアウトUIの自動生成
• GPCシグナルの自動検知と処理
• オプトアウト状態の表示（処理完了フィードバック）
• プライバシーポリシーページとの連携
• 同意・オプトアウトの記録

法改正のたびに社内で対応を追いかける必要がなく、CMPツールがアップデートする形で新しい要件に継続対応できる点も、導入メリットの一つです。

webtruならCCPA・CPRA対応を最短即日で実現

CMPツールの中でも、日本企業がCCPA・CPRAに対応する際に検討の選択肢の一つとなるのが『webtru（ウェブトゥルー）』です。webtruは国産唯一のGoogle認定CMPパートナープログラムに対応した国産CMPツールで、国産シェアNo.1（2026年3月時点）の実績を持ちます。

webtruの主な特長は以下のとおりです。

• CCPA・CPRA・GDPRなど複数規制への同時対応：カリフォルニア州向けのオプトアウトUI、GDPRのオプトインバナー、GPC等のオプトアウト選好信号対応をひとつのツールで管理
• 最短即日導入：タグを1つ設置するだけで対応が完了するため、エンジニアへの大規模な依頼が不要
• 国産Google認定CMPパートナー：Googleが認定した唯一の国産CMPとして、Google関連の同意管理要件との整合性を取りやすい設計
• 日本語サポート：日本語での無料サポート対応が可能

webtruの機能について詳しくは無料の資料をご確認ください。

CCPAにおいてよくある質問