ワイヤータッピングからWebトラッキングまで：なぜ貴社はカリフォルニア州プライバシー侵害法（CIPA）に注意すべきか

企業が、競争優位性を維持するためにより多様なデータ駆動型ツールやデジタルエンゲージメント戦略を取り入れることは、カリフォルニア州プライバシー侵害法（California Invasion of Privacy Act、以下「CIPA」といいます。）に基づく、想定外の法的課題に直面する可能性があります。近年、原告が、CIPAを根拠として、一般的なウェブサイト分析、ソフトウェア開発キット（SDK）、トラッキングピクセル、その他のウェブサイト分析関連技術の利用を争うケースを増やしていることに伴い、企業はCIPAに基づく法定の損害賠償や、高額なクラスアクション訴訟リスクにさらされています。

カリフォルニア州の包括的なデータプライバシー法である、カリフォルニア州消費者プライバシー法（カリフォルニア州プライバシー権法による改正を含みます。）が、カリフォルニア州居住者の個人情報の収集、利用および開示を規制し、特定のデータ侵害に関してのみ限定的な私的訴権を認めているのとは異なり、CIPAは私的通信の「傍受」を規制し、1件の違反につき最大5,000ドル、または原告の実損害額の3倍のいずれか高い方を法定損害とする損害賠償義務を課しています。

CIPAは、もともと1967年に電話盗聴に対処するために制定された刑事法ですが、近年では、原告により現代のデジタルツールにも適用されるものとして再解釈されています。このような原告は、ウェブサイト利用者のブラウザと対象となるウェブサイトとの間でやり取りされる情報を収集または監視するこれらのツールが、CIPA上の違法な「傍受」に該当すると主張しています。さらに、裁判所は、当該「傍受」が、カリフォルニア州内に物理的に所在する利用者によるウェブサイトまたはデジタル上のやり取りに関連する場合、企業が完全にカリフォルニア州外に所在していても、CIPAが域外適用され得ると判断しています。

もっとも、連邦裁判所は、近時増加している訴訟やデマンドレター（demand letters）について、より厳格な審査を開始しています。カリフォルニア州北部地区連邦地方裁判所の裁判官の一人は、現在のCIPAに基づく訴訟の状況を「法的に維持し得ない」と表現しています。特に、第9巡回区控訴裁判所は、被告がCIPAに基づく請求に対抗するためのいくつかの重要な先例を示しています。これらの先例では、①ウェブサイトのトラッキングツールによって収集されるデータは、損害の成立に必要な種類の私的情報には該当しないこと、②CIPAは通常のインターネット通信やウェブサイト運営者には及ばないこと、③法令違反を探し出すことを目的とする、いわゆる「テスター」原告による請求は、CIPAに基づく請求を提訴するための当事者適格を欠くことが示されており、CIPAに基づく訴訟における極めて重要なハードルとなっています。

このように継続的に変化するCIPAに基づく訴訟を取り巻く状況の中で、自社のウェブサイト上でトラッキング技術やデータ駆動型技術を利用している企業は、CIPAを遵守し、CIPAに基づく請求を受ける可能性を低減するために弁護士と密接に連携する必要があります。具体的には、企業は、プライバシーに関する法令および事業目的との整合性を確保するために自社のウェブサイト技術を定期的に監査すること、第三者ベンダーと連携して潜在的な責任の所在を整理すること、および、データの収集および利用実態が正確に開示されていることを確認するために定期的に弁護士と適用されるプライバシーポリシーや利用規約を見直し、改訂することがベストプラクティスとして実施する必要があります。これらに加えて、利用者からの同意取得は、引き続き、CIPAに基づく請求に対する最も強力な防御手段となります。企業は、事業で導入しているデータ駆動型ツールを展開する前に、利用者に対して明確な通知を行い、利用者による積極的な同意を求めるなど、強固な同意取得の枠組みを導入することを検討する必要があります。これらの対応を組み合わせることで、企業は、潜在的な請求に対する強固な防御の主張、自社に有利な解決または早期の却下判決の獲得を実現できる立場に立つことができます。

CIPAに関するご質問およびプライバシーコンプライアンス全般についてご不明な点がございましたら、ジェイク・べネット弁護士（jbennett@masudafunai.com）または増田・舟井法律事務所の弁護士までお問い合わせください。
 

_{増田・舟井法律事務所は、米国でビジネスを展開する日本企業の代理を主な業務とする総合法律事務所です。
当事務所は、シカゴ、デトロイト、ロサンゼルス、およびシャンバーグに拠点を有しています。}