CCPAメールマーケティング：カリフォルニア州プライバシー法対応ガイド

カリフォルニア州消費者プライバシー法（CCPA）は、カリフォルニア州プライバシー権利法（CPRA）によって改正され、米国の州レベルで最も包括的なプライバシー法となっています。CAN-SPAM のようなメール固有の規制ではありませんが、CCPA は企業がメールアドレスや購読者データを収集、使用、共有する方法に大きな影響を与えます。このガイドでは、カリフォルニア州のプライバシー法がメールマーケティングにどのように影響するかを説明し、実践的なコンプライアンス戦略を提供します。

CCPA と CPRA の理解

メールマーケティングへの影響を掘り下げる前に、これらの法律が何であり、誰に適用されるかを理解しましょう。

CCPA とは何か？

カリフォルニア州消費者プライバシー法は、2020 年 1 月 1 日に施行され、カリフォルニア州住民に個人情報に対する新しい権利を与え、それを収集する企業に義務を課します。

CCPA の中核原則：

• 透明性：消費者はどのデータが収集され、なぜ収集されるかを知る必要がある
• 管理：消費者はデータにアクセス、削除、およびデータ販売のオプトアウトができる
• 非差別：企業は権利を行使した消費者に不利益を与えることはできない
• 説明責任：企業は合理的なセキュリティ対策を実施する必要がある

CPRA とは何か？

カリフォルニア州プライバシー権利法は、2023 年 1 月 1 日に施行され、CCPA を改正および強化します：

CPRA の主要な追加事項：

• 執行のためにカリフォルニア州プライバシー保護局（CPPA）を設立
• 追加の保護を伴う「機密個人情報」カテゴリを追加
• 不正確な情報の「訂正権」を導入
• 機密データの「使用制限権」を確立
• データ最小化要件を拡大
• 新しい契約者およびサービスプロバイダーの義務を創設

誰が遵守する必要があるか？

CCPA/CPRA が適用される企業：

• カリフォルニア州でビジネスを行っている、かつ
• 以下のしきい値のいずれかを満たす：
  • 年間総収益が 2,500 万ドル超
  • 年間 10 万人以上のカリフォルニア州住民/世帯の個人情報を購入、販売、または共有
  • 年間収益の 50% 以上を個人情報の販売/共有から得ている

重要な説明：

• カリフォルニア州に物理的な拠点を持つ必要はありません
• 「カリフォルニア州でビジネスを行う」には、カリフォルニア州の顧客を持つことが含まれます
• しきい値は毎年評価されます
• 小規模企業でも、大量の個人データを扱う場合は対象となる可能性があります

CCPA における個人情報とは何か？

個人情報は、特定の消費者または世帯を識別する、関連する、記述する、合理的に関連付けることができる、または合理的にリンクできる情報として広く定義されています。

メールマーケティングに関連する例：

• メールアドレス
• 氏名
• IP アドレス
• デバイス識別子
• 閲覧履歴
• 購入履歴
• 上記のいずれかから導き出された推論

機密個人情報（CPRA における追加の保護）：

• 政府発行 ID 番号
• 金融口座情報
• 正確な位置情報
• 人種/民族的起源
• 宗教的信念
• 遺伝子データ
• 生体認証データ
• 健康情報
• 性生活/性的指向データ

ほとんどのメールマーケティング担当者にとって、標準的な個人情報規則が適用されます。機密個人情報は通常、メールマーケティングのコンテキストでは収集されません。

CCPA の消費者権利とメールマーケティング

CCPA はカリフォルニア州住民に、メール購読者データの管理方法に影響を与える特定の権利を付与します。

知る権利（アクセス）

意味：消費者は以下の開示を要求できます：

• 収集された個人情報のカテゴリ
• 収集された個人情報の特定の部分
• 情報の出所
• 収集のビジネス目的
• 情報が共有される第三者のカテゴリ

メールマーケティングへの影響：

• 購読者について保持しているすべてのデータを提供する準備をする
• メールアドレス、氏名、エンゲージメントデータ、購入履歴を含める
• データ収集の出所と目的を文書化する
• 第三者との共有を追跡する（ESP、アナリティクス、広告主）

リクエストへの応答要件：

• 応答する前に消費者の身元を確認する
• 45 日以内に応答する（通知により 90 日まで延長可能）
• 情報を無料で提供する
• ポータブルで、すぐに使用可能な形式で配信する

削除権

意味：消費者は、特定の例外を除き、個人情報の削除を要求できます。

メールマーケティングへの影響：

• リクエストに応じてメールアドレスと関連データを削除する必要がある
• マーケティングリスト、CRM、アナリティクスプラットフォームから削除する
• サービスプロバイダーにも削除を指示する
• 再追加を防ぐために抑制リストのエントリを保持できる

削除の例外：

• データが収集された取引の完了
• セキュリティインシデントの検出
• 言論の自由の権利の行使
• 法的義務の遵守
• 消費者の期待に沿った内部使用

実践的なアプローチ： 削除リクエストは配信停止リクエストと同様に扱いますが、より包括的に—メールの送信を停止するだけでなく、すべてのデータを削除します。

訂正権（CPRA）

意味：消費者は不正確な個人情報の訂正を要求できます。

メールマーケティングへの影響：

• プロフィール情報を更新するメカニズムを提供する
• 45 日以内に訂正リクエストを処理する
• データが保存されているすべてのシステムで更新する
• サービスプロバイダーにも訂正を通知する

販売/共有のオプトアウト権

意味：消費者は、企業が個人情報を販売または共有しないように指示できます。

CCPA における「販売」： 広く定義されています—金銭的またはその他の価値ある対価のためにデータを交換することを含みます。

CPRA における「共有」： 支払いがなくても、クロスコンテキストの行動広告のためにデータを開示することを含みます。

メールマーケティングへの影響：

• ターゲティングのために購読者データを広告プラットフォームと共有する場合、それは「共有」を構成する可能性がある
• メールリストに基づくリターゲティングはオプトアウト権をトリガーする可能性がある
• 第三者を通じたデータエンリッチメントは「販売」を伴う可能性がある

「私の個人情報を販売または共有しないでください」リンク： データを販売または共有する場合、ウェブサイトに必要です。以下である必要があります：

• 明確で目立つ
• 見つけやすい（通常はフッターに）
• アカウント作成なしで機能する

機密個人情報の使用制限権

意味：消費者は、機密個人情報の使用をサービス提供に必要なものに制限できます。

メールマーケティングへの影響： ほとんどのメールマーケティングは機密個人情報を含みません。ただし、以下を収集する場合：

• ローカルオファーのための正確な位置データ
• 健康関連マーケティングのための健康情報
• 金融サービスマーケティングのための金融データ

「私の機密個人情報の使用を制限する」リンクを提供し、制限リクエストを尊重する必要があります。

非差別の権利

意味：企業は CCPA の権利を行使した消費者に対して差別することはできません。

禁止される行為：

• 商品やサービスの拒否
• 異なる価格の請求
• 異なる品質レベルの提供
• 上記のいずれかの脅迫

メールマーケティングへの影響：

• リクエストされたトランザクションメールの送信を拒否できない
• 権利を行使した人に劣ったメールコンテンツを提供できない
• オプトアウトリクエスト後にメール購読に追加料金を請求できない

許可される差別化： データ共有に対してインセンティブを提供できますが、以下が必要です：

• データ価値と合理的に関連している
• 事前に開示されている
• 強制的でない

メールマーケティング担当者のための CCPA コンプライアンス

では、CCPA の要件を実践的なメールマーケティングコンプライアンスに変換しましょう。

プライバシーポリシーの要件

必須の開示：

収集された個人情報のカテゴリ： 過去 12 か月間に収集したものをリストします：

• 識別子（氏名、メール、IP アドレス）
• インターネット活動（閲覧、メールエンゲージメント）
• 商業情報（購入履歴）
• 推論（導き出された好み、セグメント）

個人情報の出所：

• 消費者から直接（サインアップフォーム）
• 自動的に（Cookie、メール開封）
• 第三者から（購入リスト、エンリッチメント）

ビジネス目的：

• マーケティングコミュニケーション
• パーソナライゼーション
• アナリティクスと改善
• 不正防止

第三者のカテゴリ：

• メールサービスプロバイダー
• アナリティクスプロバイダー
• 広告プラットフォーム
• データエンリッチメントサービス

消費者の権利とその行使方法：

• 各権利の説明
• リクエストの提出方法
• 検証プロセス
• 応答期限

販売/共有しない開示： データを販売/共有するかどうかを記載します。はいの場合、オプトアウトリンクを含めます。

プライバシーポリシーのベストプラクティス

形式要件：

• 合理的にアクセス可能
• 取引を行う言語で利用可能
• 少なくとも年 1 回更新
• 最終更新日を記載

ベストプラクティス：

• 明確で平易な言葉を使用する
• ヘッダーとセクションで整理する
• カリフォルニア固有のセクションを含める
• ウェブサイトとサインアップフォームから目立つようにリンクする

データ収集慣行

収集時の通知： 個人情報を収集する前に、消費者に以下を通知します：

• 収集される情報のカテゴリ
• 収集の目的
• 情報が販売/共有されるかどうか
• 保持期間（または決定基準）

メールサインアップフォームの場合：

メールアドレスを提供することにより、EmailVerify からの
マーケティングコミュニケーションを受け取ることに同意します。
当社は、コンテンツをパーソナライズし、サービスを改善するために
メール、氏名、およびエンゲージメントデータを収集します。
当社は個人情報を販売しません。カリフォルニア州の
プライバシー権利の詳細については、プライバシーポリシーをご覧ください。

データ最小化（CPRA）： 開示された目的に合理的に必要なもののみを収集します。メールマーケティングの場合：

• メールアドレス（必須）
• 氏名（パーソナライゼーションに合理的）
• 広範な人口統計データ（明確な目的なしに過剰である可能性がある）

第三者管理

サービスプロバイダー契約： メールサービスプロバイダーと購読者データを共有する場合、契約に以下が含まれていることを確認します：

• 契約目的へのデータ使用の制限
• データの販売または共有の禁止
• 消費者リクエストへの対応要件
• 適切なセキュリティ対策
• 下請業者の使用に関する制限

第三者広告： 広告プラットフォームにメールリストをアップロードする場合：

• これは CPRA における「共有」を構成する可能性がある
• 「販売または共有しない」リンクが必要
• オプトアウトリクエストを尊重する必要がある
• 露出を減らすためにハッシュ化されたメールの使用を検討する

消費者リクエストの処理

検証プロセス： リクエストに応答する前に、リクエスト者が実際の消費者であることを確認します：

知る権利/削除の場合：

• 記録内の識別情報を照合する
• 追加の検証を要求する（メール確認、セキュリティ質問）
• リスクに基づく合理的な検証方法

オプトアウトの場合：

• 検証は不要
• アカウント作成なしで受け入れる必要がある
• 直ちに尊重する

応答プロセス：

1. 10 日以内に受領を確認する
2. 身元を確認する
3. すべての個人情報を見つける
4. 45 日以内にリクエストを履行する
5. リクエストと応答を文書化する

指定されたリクエスト方法： 少なくとも 2 つの方法を提供します：

• フリーダイヤル番号
• ウェブサイトフォーム
• メールアドレス（許容）
• オンラインアカウントがある場合：アカウントベースのリクエスト

CCPA におけるメールリスト管理

CCPA は、メールリストの構築、維持、および使用方法に影響します。

リスト構築のコンプライアンス

ファーストパーティ収集：

• 収集時の通知を提供する
• プライバシーポリシーへのリンク
• 受け取るメールを明確に記載する
• 無関係なサービスにメールを要求しない

第三者リスト： 購入またはレンタルリストの使用は CCPA においてリスクがあります：

• 販売者が適切な同意を得ていることを確認する必要がある
• 最初の連絡時に通知を提供する必要がある
• 消費者は削除を要求できる
• 個人情報の「購入」を構成する可能性がある

ベストプラクティス：自分自身の収集努力を通じてリストを有機的に構築します。これはより準拠しており、パフォーマンスも優れています。

リストの検証と品質

クリーンなメールリストの維持は CCPA コンプライアンスをサポートします：

リスト品質が重要な理由：

• 無効なアドレスは不適切なデータ慣行を示唆する
• 購入リストは多くの場合、適切な同意を欠いている
• バウンスは削除すべきデータを示す

メール検証の使用： EmailVerify のメール検証はコンプライアンスの維持に役立ちます：

• 収集時に検証して正確性を確保する
• 定期的な一括検証で無効なアドレスを削除する
• データ正確性の原則をサポートする
• 潜在的に問題のある出所を特定する

データ保持

CPRA の要件： 合理的に必要な期間を超えて個人情報を保持しないでください。

メールマーケティングの考慮事項：

• 非アクティブな購読者をどのくらい保持するか？
• エンゲージメント履歴をいつ削除するか？
• 保持ポリシーは何か？

実践的なアプローチ：

• 各データタイプの保持期間を定義する
• 自動削除プロセスを実装する
• 保持決定を文書化する
• メールエンゲージメントデータには 2-3 年を検討する
• ポリシーを毎年レビューおよび更新する

消費者リクエストの尊重

アクセスリクエスト： 以下を提供する準備をします：

• メールアドレス
• 氏名とプロフィールデータ
• エンゲージメント履歴（開封、クリック）
• 購入履歴
• セグメント割り当て
• 収集の出所

削除リクエスト： 以下から削除します：

• プライマリマーケティングデータベース
• メールサービスプロバイダー
• CRM システム
• アナリティクスプラットフォーム
• バックアップシステム（合理的な時間内に）
• 共有したエンリッチメントプロバイダー

抑制リストに保持： アドレスの再追加を防ぐために抑制レコードを維持します。これは削除後も許可されています。

CCPA と他のプライバシー法

CCPA が他の規制とどのように関連するかを理解することは、包括的なコンプライアンスの構築に役立ちます。

CCPA と GDPR

実践的なアプローチ：EU とカリフォルニアの両方の購読者がいる場合、GDPR コンプライアンスは一般に CCPA 要件をカバーし、追加の同意対策も含まれます。

包括的な GDPR ガイダンスについては、GDPR メールマーケティングガイドをご覧ください。

CCPA と CAN-SPAM

CAN-SPAM と CCPA はメールの異なる側面に対処します：

CAN-SPAM：商業メールのコンテンツと送信慣行

• 配信停止メカニズム
• 正確なヘッダー
• 物理的な住所

CCPA：データプライバシーと消費者の権利

• データへのアクセス
• 削除権
• データ販売のオプトアウト

両方が必要：メールコンテンツには CAN-SPAM、データ慣行には CCPA を遵守します。

CAN-SPAM ガイダンスについては、CAN-SPAM コンプライアンスガイドをご覧ください。

他の州のプライバシー法

カリフォルニアが先導しましたが、他の州も追随しています：

バージニア州消費者データ保護法（VCDPA）：2023 年 1 月施行 コロラド州プライバシー法（CPA）：2023 年 7 月施行 コネチカット州データプライバシー法（CTDPA）：2023 年 7 月施行 ユタ州消費者プライバシー法（UCPA）：2023 年 12 月施行

さらに来る： テキサス、オレゴン、モンタナ、デラウェア、その他の州がプライバシー法を可決または提案しています。

実践的なアプローチ：新しい州法に適応できるコンプライアンスフレームワークを構築します。中核原則は同様です—透明性、消費者の権利、データ保護。

CCPA コンプライアンスチェックリスト

このチェックリストを使用して、メールマーケティングの CCPA コンプライアンスを評価します。

プライバシーポリシーと通知

• [ ] プライバシーポリシーにすべての必須 CCPA 開示が含まれている
• [ ] カリフォルニア固有のセクションが州の権利に対処している
• [ ] ポリシーが過去 12 か月以内に更新されている
• [ ] ポリシーがウェブサイトフッターからアクセス可能
• [ ] 「販売または共有しない」リンクが存在する（該当する場合）
• [ ] 「機密個人情報を制限する」リンクが存在する（該当する場合）
• [ ] データ収集前に収集時の通知が提供されている

データ収集

• [ ] メールサインアップフォームにプライバシー通知が含まれている
• [ ] 収集時の通知がカテゴリと目的をカバーしている
• [ ] データ最小化の原則に従っている
• [ ] 第三者リストソースが文書化されている
• [ ] 各レコードの収集ソースをトレースできる

消費者リクエストの処理

• [ ] 少なくとも 2 つのリクエスト提出方法が利用可能
• [ ] 検証プロセスが文書化されている
• [ ] 10 日間の確認プロセスが導入されている
• [ ] 45 日間の応答プロセスが導入されている
• [ ] スタッフがリクエスト処理についてトレーニングを受けている
• [ ] リクエストログが維持されている

データ管理

• [ ] すべてのデータストレージ場所が文書化されている
• [ ] サービスプロバイダー契約に CCPA 規定が含まれている
• [ ] 削除プロセスがすべてのシステムをカバーしている
• [ ] 抑制リストが維持されている
• [ ] 保持期間が定義されている
• [ ] 定期的なメール検証が実施されている

第三者関係

• [ ] サービスプロバイダー契約が CCPA 用に更新されている
• [ ] 共有/販売活動が文書化されている
• [ ] オプトアウトメカニズムがすべてのデータ共有を尊重している
• [ ] 第三者に削除リクエストが通知されている
• [ ] 広告プラットフォームの使用が「共有」について評価されている

メールマーケティングにおける一般的な CCPA の間違い

これらの頻繁なコンプライアンスの落とし穴を避けてください。

間違い 1：カリフォルニアにいないため CCPA を無視する

問題：地理的距離が CCPA が適用されないことを意味すると仮定する。

現実：カリフォルニアの顧客がいて、しきい値を満たす場合、場所に関係なく遵守する必要があります。

修正：カリフォルニアの顧客ベースを評価し、それらの住民に CCPA 保護を適用します。

間違い 2：不完全なプライバシーポリシー

問題：プライバシーポリシーにすべての必須 CCPA 開示が含まれていない。

修正：

• CCPA 要件に対してポリシーを監査する
• カリフォルニア固有のセクションを追加する
• 毎年更新する

間違い 3：消費者リクエストのプロセスがない

問題：アクセス、削除、またはオプトアウトリクエストを処理するシステムがない。

修正：

• 各リクエストタイプの受付プロセスを作成する
• スタッフに処理についてトレーニングする
• 追跡と文書化を実装する
• リクエストの履行をテストする

間違い 4：すべてのシステムから削除しない

問題：メインリストから削除するが、ESP、CRM、またはアナリティクスを忘れる。

修正：

• 購読者データを保持しているすべてのシステムを文書化する
• 各システムをカバーする削除ワークフローを作成する
• 削除の完了を確認する
• 抑制リストを維持する

間違い 5：サービスプロバイダー契約を更新しない

問題：メールサービスプロバイダーとの契約に CCPA 必須規定が欠けている。

修正：

• 既存の契約をレビューする
• 必要な制限と義務を追加する
• コンプライアンス認証言語を確保する
• 規制の進化に応じて更新する

間違い 6：CCPA を一度限りのプロジェクトとして扱う

問題：コンプライアンスを一度実装して維持しない。

修正：

• 年次ポリシーレビューをスケジュールする
• 規制更新を監視する
• 新しいスタッフに要件についてトレーニングする
• 定期的にコンプライアンスを監査する

持続可能なコンプライアンスプログラムの構築

長期的な CCPA コンプライアンスには継続的なコミットメントが必要です。

文書化のベストプラクティス

文書化すべきこと：

• データインベントリ（収集するものと場所）
• 各データポイントの収集ソース
• 各データタイプの目的
• 第三者関係と契約
• 消費者リクエストログ
• スタッフトレーニング記録
• コンプライアンス評価

文書化の利点：

• 誠実なコンプライアンスを示す
• 消費者リクエストの履行を簡素化する
• 監査応答をサポートする
• 一貫したプロセスを可能にする

スタッフトレーニング

トレーニングが必要な人：

• マーケティングチームメンバー
• カスタマーサービススタッフ
• IT およびデータチーム
• 法務およびコンプライアンス

トレーニングトピック：

• CCPA/CPRA の基本
• 消費者の権利の概要
• リクエスト処理手順
• データ処理要件
• エスカレーションプロセス

継続的な監視

定期的な活動：

• 年次プライバシーポリシーレビュー
• 四半期ごとのデータインベントリ更新
• 月次リクエスト処理監査
• 継続的な規制監視
• 定期的な第三者評価

メールマーケティング業務との統合

ワークフローにコンプライアンスを組み込む：

• サインアッププロセスにプライバシー通知を含める
• リストインポート手順に検証を追加する
• 配信停止ワークフローに削除を組み込む
• リクエスト処理を CRM に接続する

コンプライアンスをサポートするツール：

• データ正確性のための EmailVerify のようなメール検証サービス
• 同意管理プラットフォーム
• プライバシーリクエスト自動化ツール
• データマッピングソリューション

結論

CCPA と CPRA は、メールマーケティング担当者が購読者データを収集、使用、共有する方法に影響する重要なプライバシー保護を追加します。コンプライアンスには継続的な努力が必要ですが、マーケティング効果も向上させるベストプラクティス—透明な収集、品質データ、および消費者の好みの尊重—と一致しています。

重要なポイント：

1. 義務を知る：CCPA のしきい値を満たすかどうか、どの要件が適用されるかを判断します。

2. プライバシーポリシーを更新する：包括的な CCPA 開示が含まれ、最新であることを確認します。

3. リクエスト処理プロセスを構築する：必要な期間内にアクセス、削除、およびオプトアウトリクエストを履行する準備をします。

4. 第三者を管理する：サービスプロバイダー契約を更新し、共有慣行を評価します。

5. データ品質を維持する：正確性要件をサポートするためにメール検証とリスト衛生を使用します。

6. 最新の状態を保つ：プライバシー法は急速に進化しています。進展を監視し、それに応じて適応します。

カリフォルニア州のプライバシー法は、個人データに対する消費者のコントロールへの大きなシフトを表しています。メールマーケティングプログラムでこれらの原則を受け入れることにより、現在の要件を遵守するだけでなく、全国的に出現しているより広範なプライバシーの景観に備えることができます。

複数の規制をカバーする包括的なメールコンプライアンスガイダンスについては、メールコンプライアンスガイドをご覧ください。EmailVerify のメール検証サービスで購読者データが正確で適切に維持されていることを確認してください。