州プライバシー法の動向

文書基準: 2026年8月

概要

米国にはEU GDPRに相当する連邦レベルの包括的(comprehensive)個人情報保護法は存在しません。 代わりにHIPAA(ヘルスケア)、GLBA(金融)、COPPA(児童)など分野別の連邦法が個別に機能する一方、一般消費者の個人情報を扱う規制は各州(state)が独自に立法してきました。その結果、2026年現在20以上の州が互いに異なる(しかし多くの部分で類似した)プライバシー法を施行しており、企業は事業対象州ごとに要件を個別に確認しなければならない「パッチワーク(patchwork)」構造に置かれています。本稿ではこの構造の背景、施行中の主要な州法の共通要件、そしてマルチステートアーキテクチャ設計上の示唆を整理します。

連邦包括法不在の構造

連邦レベルの包括的プライバシー法の立法試みは何度もありましたが、いずれも成立には至りませんでした。

ADPPA(American Data Privacy and Protection Act, H.R.8152、第117議会2022年発議): 下院エネルギー商業委員会を53対2で通過しましたが本会議採決にはかけられず、第117議会の終了とともに廃案
APRA(American Privacy Rights Act, H.R.8818、第118議会2024年発議): 上下両院が共同草案を作成し発議(Introduced)され、下院エネルギー商業委員会の小委員会が討議草案(discussion draft)を審査しましたが、カリフォルニアなど強力な州法を無力化(専占、preemption)するか否か、個人の直接訴訟権(private right of action)の認定範囲をめぐる意見対立により正式な委員会採決・通過には至らず係属中で廃案

2026年8月現在まで、これに代わる新規連邦法案は制定されておらず、州(state)の立法と州司法長官(Attorney General)による執行が事実上、米国プライバシー規制の中心的役割を担っています。

施行中の州プライバシー法の現況 (2026年8月時点)

2026年上半期時点で約20の州が包括的消費者プライバシー法を施行しており、さらに複数の州が法律を制定したものの施行日がまだ到来していない状態です。確認されている施行中の州は次のとおりです。

州	法律	施行日
カリフォルニア	CCPA(2018) / CPRA改正(2023)	2020.1.1 / 2023.1.1
バージニア	VCDPA	2023.1.1
コロラド	CPA	2023.7.1
コネチカット	CTDPA	2023.7.1
ユタ	UCPA	2023.12.31
オレゴン、モンタナ、テキサス(TDPSA)など	各州法	2024年中
デラウェア、アイオワ、メリーランド、ミネソタ、ネブラスカ、ニューハンプシャー、ニュージャージー、テネシーなど	各州法	2024〜2025年中
インディアナ、ケンタッキー、ロードアイランド	各州法	2026.1.1

CCPA/CPRA — 事実上の基準線

カリフォルニアは米国で最も早く(2018年)消費者プライバシー法を制定し、2023年のCPRA改正でGDPRに近い要件(権利拡大、監督機関新設)を備えたことで、他州の立法における参照モデルの役割を果たしてきました。執行機関はCPPA(California Privacy Protection Agency) で、米国の州単位としては珍しい専任の個人情報監督機関です。

2026年1月1日に発効した最新の改正規則には次が含まれますが、義務ごとに施行猶予(phase-in)期間が異なる点に注意が必要です。

機微情報(Sensitive Personal Information)範囲の拡大: 神経データ(neural data)が新たに含まれましたが、これは2026年の規則ではなく2025年1月1日に発効した法律改正によるものです。
自動化意思決定技術(ADMT、Automated Decision-Making Technology)規制: 雇用・融資・医療など重大な影響を及ぼす自動化決定に対する透明性・オプトアウト要件が規定されましたが、実際の遵守義務の施行日は2027年1月1日です。
サイバーセキュリティ監査およびリスク評価の義務化: リスク評価義務は2026年から段階的に適用され、サイバーセキュリティ監査認証義務は事業者規模に応じて2028〜2030年の間に順次施行されます。
サービス提供者契約要件の強化: 目的外使用禁止、ADMT遵守支援、下位ベンダー(subcontractor)承継条項などを契約に明示

カリフォルニアは最近、積極的なプライバシー執行姿勢を見せています。2026年2月にカリフォルニア州司法長官(Attorney General、Rob Bonta) がDisney/ABCとの275万ドルでの合意を発表しました(CCPA関連で史上最大規模の合意と報じられています)。CPPAも別途、同年3月にPlayOn Sportsなどを対象に約110万ドルの制裁を発表するなど、州司法長官とCPPAがそれぞれの執行トラックで活動しています。

共通要件

州ごとに細部の条文は異なりますが、多くの州法がバージニアVCDPAモデルまたはカリフォルニアCPRAモデルを基盤としているため、次の要件が広く共有されています。

消費者の権利: アクセス(access)、訂正(correction)、削除(deletion)、移行(portability)、オプトアウト(opt-out) — 大半は45日以内(延長時45日追加)の対応義務
オプトアウト権3種: ターゲティング広告(targeted advertising)、個人情報販売(sale)、法的・重大な効果を及ぼすプロファイリングに対するオプトアウト
機微情報の取り扱い: 人種・民族、宗教、健康診断、性的指向、移民ステータス、生体・遺伝情報、精密位置情報、児童(13歳未満)情報などを「機微情報」として別途規定。VCDPA・CPAなど多くの州は機微情報の取り扱いにオプトイン(事前同意) を要求 — 一般個人情報のオプトアウト原則と対比される点
ダークパターン禁止: 消費者の選択を妨害・歪曲するインターフェース設計(dark pattern)を禁止 — テキサスTDPSAなどに明示的条項
ユニバーサルオプトアウトメカニズム(UOOM、Universal Opt-Out Mechanism)認識義務: 2026年1月時点でカリフォルニア、コロラド、コネチカット、デラウェア、メリーランド、ミネソタ、モンタナ、ネブラスカ、ニューハンプシャー、ニュージャージー、オレゴン、テキサスなど12州が、ブラウザレベルのオプトアウト信号(代表例がGPC、Global Privacy Control)を自動的に認識・処理するよう要求。一方、バージニア・ユタ・アイオワ・インディアナ・ケンタッキー・テネシーなどバージニアモデル基盤の州法にはこの要件がない
是正期間(cure period): 多くの州が初期違反に対して一定期間(例: 30日)の是正機会を付与していますが、コロラドは2025年1月1日付でこの猶予期間が日没(sunset)となり、即時執行が可能になりました

ヘルスケア特化事例 — ワシントン州My Health My Data Act(MHMDA)

ワシントン州MHMDA(2023年制定、大部分の条項は2024年3月31日施行)は、HIPAAがカバーしない健康関連消費者データを規制する別個の法律で、一般的なプライバシー法とは性格が異なります。

別途の「消費者健康データプライバシーポリシー」掲示義務(マーケティング的な文言を含まない独立文書として)
新規カテゴリー収集・目的変更時の事前同意(affirmative consent)が必要
医療施設半径2,000フィート以内でのジオフェンシング(geofencing)に基づく位置追跡の禁止
個人訴訟権(private right of action) の認定 — 違反はワシントン州消費者保護法(Consumer Protection Act, CPA)違反として扱われ、州司法長官の執行に加え消費者が直接訴訟可能で、救済・損害賠償の範囲はCPA基準(案件ごとに最大7,500ドルの上限を含む)に従います

MHMDAは「健康データ」をHIPAAより広く定義しているため、ヘルスケア・ウェルネスアプリがHIPAAさえ遵守すれば十分だと想定するのは危険です。

GDPRとの構造的な違い

区分	GDPR	米国州プライバシー法(典型)
適用範囲	EU居住者対象の処理に域外適用、単一法	州別売上高・データ量の閾値基準、法律が州ごとに異なる
同意モデル	原則として処理根拠(適法根拠)が必要、多くの場面でオプトイン	原則としてオプトアウト — 事業者は告知後に処理可能(機微情報は例外的にオプトイン)
監督機関	各加盟国DPA + EDPB	大半は州司法長官の執行、カリフォルニアのみ専任機関(CPPA)保有
個人訴訟権	広範に認定	大半の州は司法長官専属の執行、カリフォルニア(データ漏洩に限定)・ワシントンMHMDAなど一部のみ個人訴訟権認定
制裁規模	最大2,000万ユーロまたは全世界売上高の4%	州ごとに異なる(例: TDPSA違反最大7,500ドル/件だが、テキサス州司法長官は別途消費者保護法を根拠にMeta14億ドル・Google13.75億ドルなど大型和解を引き出した例あり)

核心的な違いは米国が依然として「オプトアウト+告知」モデルを基盤としている点です。GDPRのように処理自体に適法根拠を要求せず、事業者はプライバシーポリシーで処理目的を告知し、消費者が拒否する権利を保障すれば足りる構造がデフォルトです。ただし機微情報・児童情報・健康情報など高リスクカテゴリーは例外的にGDPRに類似したオプトイン方式へ収斂する傾向にあります。

マルチステート対応アーキテクチャ

複数州で同時に事業を運営する場合、州ごとに個別対応するよりも次のような共通アーキテクチャに収斂させるのが実務的です。

データマッピング(Data Mapping): どの個人情報を、どの州の居住者から、どの目的で、どのベンダー・サービスを経由して収集・保存しているかを全社的にインベントリ化。機微情報カテゴリーは別途タグ付け
同意・設定管理プラットフォーム(CMP、Consent Management Platform): 州ごとに異なるオプトイン/オプトアウト要件を地理的位置(州)基準で分岐処理。GPCなどUOOM信号を自動検知し、販売・ターゲティング広告オプトアウトへマッピングするロジックが必須
最高水準基準(highest common denominator)の採用: 多くの企業は州ごとに異なるUXを運用する代わりに、カリフォルニアCPRA水準の要件(最も厳格な部類)を全米ユーザーに一律適用し、運用の複雑さを下げる戦略を採用
機微情報・健康データの別経路処理: MHMDA型の健康データ、生体情報、精密位置情報は一般個人情報と分離した同意・削除ワークフローを設計
ベンダー・DPA管理: クラウド・SaaSベンダーとの契約(DPA)にサービス提供者の義務(目的外使用禁止、下位ベンダー承継、消費者要求対応支援)が含まれているか確認 — 関連アーキテクチャはデータ保護とワークロードセキュリティ参照
漏洩通知対応の自動化: 州ごとに異なるデータ漏洩通知期限・基準を事前にマッピングし、インシデント発生時に自動で該当州の要件を算出するプロセスを備えることが望ましい — 関連内容はセキュリティインシデント対応参照

実務上の示唆

連邦法制定を前提に設計しない: ADPPA・APRAはいずれも繰り返し失敗しており、2026年8月現在も再立法の議論があるのみで確定した法案はありません。州単位のパッチワークが当面継続するという前提でアーキテクチャを設計する必要があります。
カリフォルニア基準を事実上の最低ラインに: CPPAの積極的な執行姿勢とCPRAの広範な要件(ADMT、リスク評価、神経データなど)を踏まえると、カリフォルニア要件を満たすよう設計すれば他の大半の州要件も併せて満たされる場合が多いです。
UOOM/GPC信号処理は選択ではなく多くの州の義務: 12州以上が要求しているため、バナー型同意UIだけでは不十分で、ブラウザ信号を自動認識する技術的実装が必要です。
健康・生体データはHIPAA遵守だけでは安心できない: MHMDA類の州法はHIPAAの死角を狙って制定されているため、ヘルス・ウェルネスサービスは別途の検討が必要です。
最新性再確認プロセスの内在化: 新規州プライバシー法の制定が毎年続いているため、事業拡大の都度、対象州の法施行状況を公式ソースで再確認する手続きをガバナンスに組み込みます。