ワシントン州がテクノロジー業界の支援を受けた法案でデータプライバシー法をようやく可決できた理由

ワシントン州は今年、欧州やカリフォルニア州の法律に類似したデータプライバシー規制を可決しようとしており、3年連続でこの法案を提出してきた同州上院議員ルーベン・カーライル氏によると、3度目の正直で成功するかもしれないという。

ワシントン州プライバシー法は、FacebookやGoogleなどの企業が保有する消費者データにアクセスし、転送、修正、削除する権利を消費者に付与しています。また、この法律に基づき、消費者はターゲティング広告や個人データの販売をオプトアウトすることもできます。

この法案は、欧州連合（EU）の一般データ保護規則（GDPR）や2018年に可決されたカリフォルニア州消費者プライバシー法の原則を多く参考にしている。カーライルは、これらの規則を遵守している企業は、ワシントンの法案の基準を満たすために多大な労力を費やす必要はないだろうと述べた。

「私はGDPRのベストプラクティスとカリフォルニア州法のベストプラクティス、そしてワシントンの独自性を取り入れ、証拠に基づいた法案のベストプラクティスを考え出そうと努めた」とカーライルは述べた。

新しい規則は、ワシントン州で事業を行っている、または同州の住民にサービスを提供し、以下の基準の 1 つ以上を満たす企業に適用されます。

• 同社は年間10万人以上の消費者のデータを管理または処理している
• 会社の総収益の25%以上が個人データの販売から得られており、その会社は25,000人以上の消費者からのデータを処理または管理している

政府機関、航空会社、および保護された医療データの処理業者は規制の対象外です。

カーライル氏は、テクノロジー業界の支持と司法長官の執行権限強化により、これまでの試みが失敗に終わった第三世代法案が成功すると確信している。マイクロソフトとワシントン・テクノロジー・インダストリー・アソシエーション（WTIA）の公共政策担当者は、今月行われたオンライン公聴会で、この法案を支持する証言を行った。

「これは、米国のプライバシー法を近代化するという喫緊のニーズに対応する、思慮深いアプローチだと考えています」とマイクロソフトの公共政策担当シニアディレクター、ライアン・ハーキンス氏は述べた。

「ワシントン州は、世界最大級のテクノロジー企業と最も刺激的なスタートアップ企業が集積する、世界的なテクノロジーハブです」と、WTIAの政府関係担当副社長、モリー・ジョーンズ氏は公聴会で述べた。「技術開発をリードするだけでなく、プライバシー規制においてもワシントン州が主導権を握るよう州議会が尽力していることを高く評価します。」

アマゾンは、GeekWireが入手したカーライル宛の書簡の中で、この法案への支持を表明した。

「データプライバシーの問題は複雑であり、経済のあらゆる分野に大きな影響を与えていることを私たちは認識しています」と、Amazonの公共政策担当副社長ブライアン・ヒューズマン氏は書簡の中で述べています。「私たちは長年にわたりプライバシーに対する連邦政府のアプローチを支持してきましたが、州レベルで進行中の重要な取り組みに感謝しており、これらの重要な問題について、私たちの地元であるワシントン州の政策立案者と協力する機会を得られたことに感謝いたします。」

ワシントン州は過去にもオンラインプライバシー規制の成立に近づいたが、土壇場で法案が行き詰まった。しかし、過去に法案成立を阻んだ問題点は、今回の法案でも完全には解決されていない。

過去数年間、この法案は個人消費者がデータプライバシー権の侵害を理由にテクノロジー企業を訴える権利を欠いているとして、批判者から実効性がないと批判されてきました。しかし、個人消費者として訴訟を起こす権利、いわゆる民事訴訟権は、今回の法案には含まれていません。以前の法案と同様に、法律違反を訴える権利は州司法長官にあります。

この新たな法案は確かに司法長官の執行権限を強化するものだが、ACLUを含むこの法案の最も頑固な反対者らを説得するには十分ではない。

「この法案はプライバシー保護の幻想を与えるだけで、本当のプライバシーは提供しない」とワシントンのACLUの技術・自由担当マネージャー、ジェニファー・リー氏は公聴会で述べた。

リー氏は、この法案には強力な執行メカニズムが欠けていると述べた。

「この法案は、企業が人々のプライバシー権を侵害した場合に、人々がその責任を問うことを禁じているため、私たちの情報が収集、使用、共有されるかどうか、またどのように収集、使用、共有されるかを人々が実質的に管理する権限を与えていない」と彼女は述べた。

こうした懸念にもかかわらず、最新の法案は、以前の法案では問題となっていた物議を醸す顔認識技術の規制を除外しているため、より受け入れやすい可能性がある。ワシントン州議会は昨春、顔認識ソフトウェアに関する新たな規制を定める法案を可決した。カーライル氏は「現時点でこの問題に再び取り組む必要性を感じていない」と述べた。

「昨年成立した法律は、公共部門と民間部門が顔認識技術を責任ある方法で活用するための枠組みを構築しました」と彼は述べた。「私たちは、政策面で実質的かつ意義深い前進を遂げたと感じています。」

連邦規制がない中で、全米のいくつかの州がデータプライバシー法案を検討している。アマゾン、マイクロソフト、その他多くの有力なテクノロジー企業の本拠地であるワシントン州がカリフォルニア州に倣うことで、データプライバシーに関する法案を連邦議会に提出し、州法の寄せ集めに取って代わるよう圧力が高まる可能性がある。

ワイヤレス業界のベテランで、複数のテック系スタートアップ企業の取締役を務めた経験を持つカーライル氏にインタビューし、ワシントンで議論されている規制について詳細に議論しました。編集後のQ&Aは以下をご覧ください。

GeekWire:この法案の根本的な目的は何ですか?

カーライル：根本的な目標は、個人が自身のデータがどのように収集されているかを理解し、そのデータを修正、削除、そしてターゲティング広告や販売への利用をオプトアウトする権利を行使できる新たな権利を創出することです。私たちは、消費者であれ市民であれ、個人に関するデータが私たちの生活にとって最も重要な財産となっている時代に入りました。そのため、データの利用と個人がデータを管理する権利について、私たちがコントロール意識を持ち、理解を深めることが、これまで以上に重要になっています。

GW:この法案が今回の会期で成立する確率は、これまでの会期よりも高いと思われますか?

カーライル：その通りです。司法長官をはじめとする主要な関係者から、説得力のある明確な証言が得られました。

司法長官事務所は、法案の文言を現状のままで執行できるかどうかは司法長官事務所の解釈によるものだと明言しました。以前、司法長官事務所は議会議員に対し、昨年の文言は執行可能ではないと感じていると積極的にロビー活動を行っていました。事実上、司法長官は政策上の区別を設け、民事訴訟権を優先する一方で、今回の法案の下では、司法長官事務所は文言に基づき、法案を執行可能にするための法的権限と運用権限を有していると考えていると述べ、民事訴訟権に関する政策決定は議会に委ねられていると述べました。私は、これが状況を一変させる要因だと確信しています。

2 つ目のデータ ポイントは、今年の法案に是正の権利を盛り込んだことです。これは、個々の消費者データの取り扱いに問題がある場合、企業に是正の機会が与えられ、問題が訴訟レベルにエスカレートする前に解決する機会が与えられることを意味します。

第三に、多くの点で、全米屈指の消費者擁護団体はコンシューマー・レポートだと思います。彼らはこの法案に関して事実上中立的な立場をとっており、3年間かけて洗練されてきた執行能力と文言は許容できるレベルに達していると考えています。私は彼らの代わりに話しているわけではありませんが、彼らの公聴会での証言に基づいて意見を述べています。ですから、これらは昨年には見られなかった進展だと思います。

最後に、この州ではプライバシーが個人の生活の質にとっていかに重要かという認識が高まっていることから、下院議員が法案の成立に賛成するという政治的力学があります。

GW:テクノロジー業界はこの法案を支持していますか?

カーライル：はい、テクノロジー業界からの圧倒的な支持を得ています。マイクロソフトからは公式コメントをいただき、アマゾンも法案に賛成を表明しました。Facebookは中立的な立場をとっています。Twitterは水面下ではそれほど熱心ではありませんでしたが、WTIAは支持を表明しています。つまり、概ね賛成です。データに関する消費者の権利拡大に消極的な企業も例外ではありませんが、総じてテクノロジー業界は概ね賛成です。

GW:その場合、この法案の主な反対者は誰ですか?

カーライル：公聴会での証言を見ると、ACLUは、すべてのデータと識別情報は、オプトアウトではなく、本質的にオプトインであるべきだという強い信念を持っています。さて、私の法案にはオプトインを含む重要な要素があり、それは機密データに関するものです。GDPR、カリフォルニア州法、そしてワシントン州の独自性を考慮し、証拠に基づいたベストプラクティスに基づいた法案を作り上げようと努めてきました。ACLUは、完全なオプトイン関係に基づいていない企業とのビジネスや金融関係を個人が事実上容易にするような規制枠組みに、依然として強く反対しています。そのため、彼らはこの法案にも強く反対しています。

GW:企業が EU の GDPR とカリフォルニア州の CCPA に準拠している場合、ワシントン州の法律にも準拠することになりますか?

カーライル：重複は非常に大きくなっています。ワシントン州の法律に準拠している企業であれば、それに伴う時間、労力、そして追加コストはごくわずかです。GDPRやカリフォルニア州法に準拠していない、あるいはそれらに関する知識がない企業は、もちろん多少の労力が必要になるかもしれませんが、だからこそ、ユーザー数やデータ処理による収益の割合という観点から、企業規模に関して比較的高いハードルを設けているのです。

私の目標は、まずは消費者と比較して膨大な量のデータを処理する主要なグローバルプラットフォームや大企業に重点的に取り組み始めることです。新たな権利の創出において、重要かつ歴史的な一歩を踏み出すことを目指しています。ただし、業界と連携し、これらの権利が効果的に実現されるよう努めます。このプログラムを効果的に運用し、個々の消費者にとって効果的に機能させるには、運用の完全性に細心の注意を払います。

GW:この法案は前回の会期で提出された法案とどう違うのでしょうか?

カーライル：まず第一に、法案を3年間かけて進化させることで、強力なアウトリーチ活動が可能になります。今回の法案はいくつかの点で異なります。まず、司法長官が法律を独占的に執行する権限を強化しました。以前の法案では、司法長官の主な懸念は、司法長官室が、民事訴訟権なしに付与されるこれらの新たな消費者の権利を適切に執行するための技術的および法的権限を有していないと感じているという点でした。今回の法案では、司法長官に民事訴訟権なしに、より大きな権限を与えました。つまり、司法長官が強力な執行権限と能力を持つようにすると同時に、根拠のない個別の訴訟を氾濫させることがないよう配慮しています。

2つ目の大きな違いは、企業と政府の両方が接触追跡データをどのように扱うべきかに関する規制枠組みを盛り込んだことです。接触追跡は、何世紀にもわたって世界中の公衆衛生当局にとって、エビデンスに基づいたベストプラクティスとされてきました。しかし、誰もがテクノロジーと超高性能なコンピューターをポケットに持っているにもかかわらず、接触追跡が適切に管理され、成功していることを保証するために必要なほど国民の信頼が高まっていない状況にあります。私の目標は、個人が、企業と政府の両方によって自分のデータが責任を持って扱われていることに、より高い信頼を持てるようにすることです。

GW:司法長官の執行権限が具体的に強化される理由は何でしょうか?

カーライル：これは「当然の権限」と呼ばれる法律用語で、司法長官に推定権を与えます。司法長官が訴訟を起こす際に、越える必要のない推定、つまり法的ハードルがいくつかあります。司法長官は推定権を有利に利用しており、当然のことながら、司法長官レベルの執行枠組みは、個々の違反よりも、組織的な濫用のパターンを探すことに重点を置いています。

具体的な不正使用のパターンを調査する中で、例えば、ブラウザはデータを取得し、それをマーケティング業者に不適切に販売しているでしょうか？ISPは公共の利益に反する方法でデータを取得し、販売しているでしょうか？様々なデータ集約企業がデータを不適切に使用しているでしょうか？私たちは、体系的な不正使用のパターンを調査しており、司法長官に広範な執行権限を与える推定を与えていますが、民事訴訟権に関連する個別の損失については認めていません。

GW:他に追加したいことはありますか?

カーライル：私たちの州憲法には、連邦政府よりも強力な、憲法に基づくプライバシー保護規定があることを忘れてはなりません。そしてもちろん、私たちはAmazonやMicrosoftといった、数多くの一流のグローバル企業を擁するテクノロジーイノベーションの拠点です。プライバシー保護をリードするにふさわしい州です。

最後に、ワシントンD.C.では国家レベルのプライバシー法制化について活発な議論が行われていますが、実際に実現するまでには何年もかかるでしょう。だからこそ、私たちの州は消費者に新たな権利をもたらす強力な枠組みの構築において、思想的リーダーとなることができるのです。データ時代において、自分のデータにアクセスし、誰がそのデータを保有しているかを把握し、データを修正し、削除し、データの販売やターゲティング広告をオプトアウトする権利は、消費者にとっての基本的権利であるべきだということを、改めて認識しておくことが重要です。だからこそ、私は消費者と市民がこれらの新たな権利を正式に享受できるようにし、ワシントンの人々のためにこれらの新たな権利を創設したという歴史的な意義を軽視すべきではないのです。