カリフォルニア州消費者プライバシー法（カリフォルニアしゅうしょうひしゃプライバシーほう、、略称CCPA）は、アメリカ合衆国カリフォルニア州の州法で、州の住民に自身の個人情報に関する権利を与え、事業者に義務を課すものである。2018年6月28日に州議会法案375号（AB 375）として成立し、カリフォルニア州民法典第1.81.5章（第1798.100条以下）に置かれ、2020年1月1日に施行された。2020年11月の住民投票で承認された提案24号（カリフォルニア州プライバシー権法、CPRA）が本法を改正し、2023年1月1日から追加の規定が適用されている。
概要 CCPAは、事業者が収集する個人情報を消費者が自分で管理できるようにすることを目的とする。権利の主体はカリフォルニア州の住民（州内に居住する自然人）であり、一時的に州外にいる間も含まれる。個人情報とは、消費者本人または世帯を識別し、これに関係し、あるいは合理的に結びつけられる情報を指し、氏名・電子メールアドレス・購買記録・閲覧履歴・位置情報のほか、他の個人情報から導かれる嗜好や特性についての推認も含む。政府の記録に由来する公開情報や、一定の医療情報・消費者信用報告情報は除かれる。
適用対象は、カリフォルニア州で事業を行う営利事業者のうち、年間総収入が2,500万ドルを超えるもの、10万人以上の州住民または世帯の個人情報を購入・販売・共有するもの、年間収入の50%以上を州住民の個人情報の販売から得ているもののいずれかである。非営利団体と政府機関には原則として適用されない。民法典第1798.145条は、医療保険の相互運用性と説明責任に関する法律（HIPAA）に基づく連邦規則の適用を受ける医療情報などを適用除外としている。
エリザベス・ハーディング（Elizabeth U. Harding）らは2019年の論文で、CCPAが規律するのはカリフォルニア州の消費者の個人情報を扱う事業活動だが、同州の規模・人口・経済的な位置から、その影響は州外の事業者にも及ぶとしている。ウィリアム・ストーリングス（William Stallings）は2020年の論文で、CCPAは米国の州レベルのデータプライバシー法として消費者に相当のプライバシー権を与えた最初のものであり、他州の法の手本になりうるとしている。
主な内容
消費者の権利 事業者が保持する個人情報の種類や具体的な内容、取得元・利用目的・開示先の種類を開示させる知る権利（年2回まで無償）、削除を求める権利、販売や共有を止めさせるオプトアウトの権利、権利を行使したことで差別的な取り扱いを受けない権利がある。ここでの「共有」は、金銭のやりとりの有無を問わず、文脈をまたぐ行動ターゲティング広告のために個人情報を第三者へ提供することを指す。2023年1月1日以降は、誤った個人情報の訂正を求める権利と、機微な個人情報の利用・開示を限定させる権利が加わった。16歳未満の消費者の個人情報の販売には積極的な承諾（オプトイン）が必要である。
事業者の義務 事業者は、収集の時点までに、収集する個人情報の種類と利用目的、販売または共有の有無を消費者に通知する。確認可能な消費者の要請に対しては受領から45日以内に開示・訂正・削除を行い、必要な場合は45日以内の通知により1回だけ45日延長できる。販売または共有を行う事業者は、ホームページに「」と題する明確なリンクを置く。
執行 州司法長官による民事訴訟と、カリフォルニア州プライバシー保護局（CPPA）が行う行政上の執行の2つの経路がある。いずれも違反1件あたりの金額の上限が条文に定められ、故意の違反および16歳未満であると事業者が実際に認識している消費者の個人情報に関する違反については上限が引き上げられている。
消費者による訴えの範囲 消費者が自ら事業者を訴えられるのは、合理的なセキュリティの手続と実務を実装・維持する義務に事業者が違反した結果として、暗号化も墨消しもされていない個人情報が不正なアクセス・窃取・開示を受けた場合に限られ、実際の損害額または条文が定める法定の額を請求できる。提起の前に、違反したと考える条項を特定した書面による30日間の通知が必要である。
規則 カリフォルニア州司法省が2020年8月14日に最初の規則を制定し、2021年3月15日に改正した。その後CPPAが規則を更新し、カリフォルニア州規則集第11編第6部第7001条以下として2023年3月29日に発効した。
2021年3月15日の改正では、「プライバシー・ザッカーリング」と呼ばれる、欺瞞的な手法でユーザーを個人情報を共有させるダークパターンが規制された。
経緯 2018年、カリフォルニア州議会は法案375号を可決し、同年6月28日に知事の承認を得て州務長官に届け出られた。立法参考局の要旨は、この法律の運用開始を、州の投票用紙から特定の住民発案が撤回されることを条件としていた。成立から施行までの間に、上院法案1121号（2018年法律第735号）と2019年の複数の改正法によって条文が修正された。
2020年1月1日に施行され、同年7月1日から州司法長官による法執行が始まった。個人情報保護委員会は施行版の仮日本語訳を公表している。
2020年11月、州の有権者が提案24号（2020年カリフォルニア州プライバシー権法、CPRA）を承認した。CPRAはCCPAに新たなプライバシー保護を追加し、追加された規定は2023年1月1日から適用されている。またCPRAは、法の実施と執行を担う新たな機関としてCPPAを設置した。CPPAは5人の委員からなる理事会によって統治される。
関連する法律 ジョーダン・ブランケ（Jordan M. Blanke）は2020年の論文で、個人データから導かれる推認に対する保護についてEU一般データ保護規則（GDPR）とCCPAを比較し、GDPRの保護が推認に及ぶかが問われてきたのに対し、CCPAは「導かれた推認」を個人情報の定義に明示的に含めているとしている。
関連項目 EU一般データ保護規則 個人情報の保護に関する法律 プライバシー ISO/IEC 27701
脚注
外部リンク California Consumer Privacy Act (CCPA)（英語） - カリフォルニア州司法省 California Privacy Protection Agency（英語） - カリフォルニア州プライバシー保護局