CCPA対応を簡単に！プライバシー保護のために知っておきたいこと

「私たちの会社は日本にあるから、海外の法律は関係ないよね？」

あなたも、そう考えていませんか？

特に、「CCPA（カリフォルニア州消費者プライバシー法）」と聞いても、遠い国の話のように感じてしまう方も少なくないでしょう。

しかし、もしあなたの会社がWebサイトを持っていて、海外のお客様が訪れる可能性があるなら、この話は決して他人事ではないかもしれません。

今回は、CCPAとは何か、そしてどうすればあなたのビジネスを守れるのかを、わかりやすく解説します。

セキュリティー診断さん

シーシーピーエー…？一体何だろう？うちみたいな小さな会社にも関係あるのかな…？

CCPAって何？なぜ日本の会社も気にする必要があるの？

まずCCPAとは、とても簡単に言うと「カリフォルニア州在住の人々の個人情報を守るためのルール」です。

アメリカのカリフォルニア州で決められた法律ですね。

ここで言う「個人情報」とは、名前や住所、メールアドレスだけではありません。

その人があなたのWebサイトでどんな商品を見たか、どんなページをクリックしたか、といった情報も含まれるんです。

「でも、うちは日本の会社だし…」と思うかも知れませんが、そこが重要なポイントです。

もし、あなたの会社のWebサイトにカリフォルニア州に住んでいる人がアクセスして、商品を買ったり、サービスに登録したりすることがあれば、あなたの会社もこのCCPAのルールを守る必要があるかもしれないのです。

つまり、インターネットを通じて世界とつながっている現代では、日本の会社であっても海外の法律と無関係ではいられなくなってきている、ということです。

知らなかったでは済まされないケースもあるので、少しでも気にしてみることが大切です。

あなたの会社はCCPAの対象？3つのチェックポイント

では、あなたの会社がCCPAの対象になる可能性があるのか、簡単なチェックリストで確認してみましょう。

ここではざっくりとした目安として考えてみてください。

• 会社の年間の売上が2500万ドル（日本円で約39億円）以上ありますか？
• カリフォルニアに住んでいる5万人以上の人（または5万世帯以上）の個人情報を扱っていますか？
• 会社の売上の半分以上が、個人情報を他の会社に売ることで得られていますか？

これらのどれか1つでも当てはまる場合、あなたの会社はCCPAの対象になる可能性が高いと言えます。

また、「うちはそんなに大きくないから大丈夫」と思っていても、将来的にビジネスが成長すれば対象になるかもしれません。

なお、3つ目に挙げた内容の「個人情報を売る」という表現は少し驚かれるかもしれませんが、これは名簿を売買するような行為ではなく、広告配信のために顧客データを第三者に提供することなどが含まれる場合があります。

とはいえ、この基準に該当するのは特殊なビジネスモデルの会社がほとんどで、一般的な企業にはあまり当てはまりません。

CCPAで求められることって具体的に何？

もしあなたの会社がCCPAの対象になった場合、具体的に何をしなければならないのでしょうか。

これも、私たちの身近なことに例えて考えてみましょう。

例えば、あなたがどこかのお店に会員登録したとします。

その時、あなたは自分自身の情報をそのお店に預けているわけですよね。

CCPAは、その「預けた情報」について、あなたにいくつかの権利を与えてくれるルールなのです。

お店側（つまりあなたの会社）は、お客様から次のようなお願いをされたら、きちんと対応しなければなりません。

• 「私が登録した個人情報を、どのように使っているのか教えてほしい」と聞かれたら、正直に答える
• 「私の個人情報を、データベースから削除してほしい」と言われたら、それに応じる
• 「私の個人情報を、他の会社に販売しないでほしい」とお願いされたら、販売を停止する

もし、こうしたお客様からのお願いを無視してしまうと、CCPAに基づいて大きな罰金を支払わなければならなくなる可能性があります。

会社の信頼を守るためにも、お客様の情報を大切に扱う姿勢が今まで以上に求められているのです。

セキュリティー診断さん

えっ、お客さんから「情報を消して！」って言われたら、全部探して消さないといけないの？それは大変だ…！それに、もしその情報が誰かに盗まれたら、もっと大変なことになっちゃうよね？

まずは「プライバシーポリシー」を見直そう

CCPAへの対応で、今すぐできることがあります。

それは、あなたの会社のWebサイトに掲載されている「プライバシーポリシー」のページを見直すことです。

プライバシーポリシーとは、「私たちはお客様の情報をこのように扱います」という会社からのお約束を記した大切なページです。

CCPAでは、このページに書くべき内容が具体的に決められています。

例えば、どんな種類の個人情報を集めているのか、それを何のために使っているのかを、わかりやすく説明する必要があります。

さらに、「あなたの個人情報を他の会社に売ることを拒否できますよ」という権利があることと、そのお願いをするための連絡先をはっきりと示す必要もあります。

一度、あなたの会社のWebサイトのプライバシーポリシーをチェックしてみてください。

お客様が安心してサービスを利用できるように、必要な情報がきちんと書かれているかを確認する良い機会です。

一番大切なのは「情報を守る」こと

ここまで、CCPAのルールを守るための対応についてお話ししてきました。

プライバシーポリシーを整えたり、お客様からの依頼に対応できる体制を作ったりすることは、もちろん非常に重要です。

しかし、それ以上に根本的に大切なことがあります。

それは、お客様から預かった大切な個人情報を「そもそも外部に漏らさない」ということです。

ルールを守っていても、もしサイバー攻撃を受けて顧客情報がごっそり盗まれてしまったら、元も子もありませんよね。

実は、CCPAも「企業は顧客の個人情報を守るために、しっかりとした安全対策をしなければならない」と定めています。

不正を働く人や集団は、企業が大切に保管している個人情報を常に狙っています。

攻撃者にとって、法律で守られている価値の高い個人情報は、まさに「宝の山」なのです。

あなたのサイト、本当に安全ですか？

「うちのサイトは専門の会社に作ってもらったから大丈夫」「今まで何も問題が起きていないから安全なはず」

もしそう思っているとしたら、それは危険な考えかも知れません。

Webサイトは、私たちが普段見ている表側のデザインだけでなく、目に見えない裏側のプログラムで動いています。

そして、その裏側には、専門家でなければ見つけられないような「セキュリティの弱点（専門用語で脆弱性と言います）」が隠れていることが少なくないのです。

家で例えるなら、鍵のかかっていない窓や、誰も気づいていない壁の小さな穴のようなものです。

サイバー犯罪者はそうした弱点を見つけ出して、そこから静かに忍び込み、会社の重要な情報やお客様の個人情報を盗み出してしまいます。

もし、CCPAの対象となるカリフォルニア住民の個人情報が盗まれた場合、適切なセキュリティ対策を怠っていたとして法律上の責任を問われる可能性があり、ビジネスに大きな打撃を与えることになりかねません。

サイトの「健康診断」で安心を手に入れよう

「セキュリティ対策って、何から手をつけていいかわからない…」「専門知識もないし、難しそう…」

多くの経営者や担当者の方が、そう感じているのではないでしょうか。

そんな悩みを解決するのが、『セキュリティー診断さん』です。

これは、あなたのWebサイトの安全性をチェックしてくれる、いわばサイト専門の「健康診断」サービスです。

AIが「本物のサイバー犯罪者」の手口を模して、あなたのWebサイトに弱点がないかを徹底的に探してくれます。

自分たちでは気づけないような隠れた弱点まで見つけ出し、サイバー攻撃のリスクを未然に防ぐ手助けをしてくれるのです。

もちろん、これは安全な環境で行われる模擬テストなので、サイトが傷つくことは一切ありません。

人間が毎年健康診断を受けるように、Webサイトも定期的にチェックすることで、大きな問題が起こる前に原因を発見し、対処することができます。

セキュリティー診断さん

専門家にお願いしなくても、AIが自動で調べてくれるのか！しかも、どこが危ないか教えてくれるなら、僕でも対策できるかも！(๑•̀ㅂ•́)و✧

専門知識がなくても大丈夫な理由

『セキュリティー診断さん』は、セキュリティの専門知識がまったくなくても使える手軽さも魅力です。

まず、Webサイトに表示されている価格がそのまま診断料金になる「明朗会計」なので、「いくらかかるんだろう…」と不安になる必要がありません。

面倒な見積もりのやり取りは一切不要で、申し込みも非常に簡単です。

決済が完了したら、いくつかの簡単な方法から選んで「このサイトは間違いなくあなたのものですよ」という証明、つまり「所有者確認」が終われば、すぐにAIによる診断がスタートします。

そして、診断が終わると届くのが、非常にわかりやすい報告書です。

発見された弱点が、どれくらい危険かに応じてランク分けされているので、どこから手をつければいいかが一目でわかります。

これなら、専門家でなくても、優先順位をつけて効率的に対策を進めることができますね。

まとめ：安心できるサイトを目指して、第一歩を踏み出そう

「CCPA」はもはや遠い国の話ではなく、インターネットでビジネスを行う多くの日本企業に関係する重要なルールです。

このルールへの対応を怠ると、高額な罰金だけでなく、お客様からの信頼も失いかねません。

まずは、あなたの会社が対象になる可能性があるかを確認し、Webサイトのプライバシーポリシーを見直すことから始めてみてください。

そして、何よりも大切なのが、お客様から預かった情報をサイバー攻撃から守るための具体的な安全対策です。

どこから手をつけていいかわからない、という場合には、サイトのセキュリティ診断が非常に有効な第一歩となります。

たとえば『セキュリティー診断さん』なら、専門知識がなくても、見積もり不要の明朗会計ですぐに始められて、あなたの会社の強力な味方になってくれるでしょう。

CCPAへの対応を、会社のセキュリティ全体を見直す良い機会と捉え、ビジネスの土台をより強固なものにしていきましょう。

セキュリティー診断さん

ヨシ！まずはうちのサイトがCCPAの対象か調べて、プライバシーポリシーを確認するところからだね！診断もお願いして、お客さんの情報をしっかり守るぞ！