顧客のメールアドレスを収集していたり、ロイヤルティプログラムを運営していたり、自社サイトにトラッキングピクセルを一つでも設置しているなら、2026年7月1日はあなたの法的義務を静かに変えてしまった――たとえコネチカット州、アーカンソー州、ユタ州のプライバシー法について聞いたことがなくてもだ。もともとはビッグテックを標的にしたひと握りの州プライバシー法だったものが、わずか2年の間に20を超える州にまたがるパッチワークへと拡大し、データブローカーの巨大企業だけでなく、ごく普通の中小企業にまで及ぶようになっている。
2026年半ばの波は、これまでの動きと一つの重要な点で異なる。それは、「適用対象」とみなされる基準が下がり続け、「機微(センシティブ)」データの分類が拡大し続けていることだ。2024年時点では安全に規制の網の外にいた企業が、今日ではまさにその法律の対象内に入ってしまっているかもしれない。ここでは、実際に何が変わったのか、誰に適用されるのか、そしてどう対処すべきかを解説する。
2026年7月1日に何が変わったのか
コネチカット州、アーカンソー州、ユタ州の3州で、2026年7月1日に主要なプライバシー法の規定が施行された。これは、年の前半からすでに段階的に導入が進んでいたカリフォルニア州の拡張されたデータブローカー規制に重なる形となる。これらを合わせると、各州が包括的なプライバシー法を制定し始めて以来、最も影響の大きい年央のプライバシー関連アップデートとなる。これらの法律はどれも内容が同一ではなく、基準値や定義も統一されていない。まさにそれゆえに、参入する州が増えるほどコンプライアンスは容易になるどころか、かえって難しくなっているのだ。
コネチカット州: 適用基準が大幅に引き下げられた
コネチカット州のデータプライバシー法(CTDPA)はSB 1295によって改正され、目玉となる変更点は適用基準の引き下げだ。これまでは、年間で少なくとも10万人のコネチカット州住民の個人データを処理する事業者のみが対象だった。7月1日以降、その数は35,000人にまで引き下げられる――ほぼ3分の2の減少であり、これにより、地域密着型や複数州にまたがる中小企業の相当数が、初めて適用対象に組み込まれることになる。
さらに、もう一つのより厳しい適用条件もある。事業者が何らかの「機微データ」を処理している場合、あるいは個人データの販売に何らかの形で関与している場合、取扱件数の多寡にかかわらず対象となるのだ。つまり、社員5人の会社であっても、コネチカット州の顧客わずか数百人分の機微情報を扱っているだけで、この法律の対象になり得るということだ。
コネチカット州はまた、機微データの定義を拡大し、政府発行のID、金融口座番号、社会保障番号、そして特筆すべきは神経データ(ブレイン・コンピュータ・インターフェース機器によって生成される情報)まで含めるようにした。機微データは、収集前にオプトイン方式の同意が必要となり、消費者の明示的な承認なしには販売できなくなった。
今回の改正で最も新しいのは、新設されたAI透明性要件だ。企業は、大規模言語モデルの学習を目的として個人データを収集・使用・販売しているかどうかを、プライバシー通知の中で開示しなければならない。顧客データをベンダーにライセンス提供していたり、入力内容を学習に使うチャットボットプラットフォームを利用していたり、利用規約の中に「モデル改善」という文言が埋め込まれた契約を結んでいたりする場合、今後はそれを公に明示する必要がある。これはこの種の義務としては州レベルで初めてのものであり、他の州も追随することが予想される。
アーカンソー州: 未成年者への行動ターゲティング広告を全面禁止
同じく7月1日に施行されたアーカンソー州の「子どもとティーンのオンラインプライバシー保護法」(ACTOPPA)は、既存の同種の法律の中でも最も厳格な立場を取っている。12歳以下の子どもについては、個人データを収集する前に、確認可能な形での保護者の同意が必要となる。13歳から16歳のティーンについては、本人または保護者のいずれかが同意を与えることができる。
多くの企業が不意を突かれるのが広告に関する規定だ。この法律の下では、未成年者への行動ターゲティング広告は例外なく全面的に禁止されており、同意による例外も、オプトインの抜け道も、保護者による回避策も一切認められていない。リターゲティング、類似オーディエンス、興味関心に基づく広告キャンペーンを何らかの形で実施しており、対象ユーザーに17歳未満が含まれるなら、利用規約にチェックボックスを一つ加える程度では済まず、広告スタック自体に年齢に応じたガードレールを組み込む必要がある。
未成年者からのデータ収集も、サービス提供に「合理的に必要」な範囲に限定されており、これは近年の新しい州法群に共通して見られるデータ最小化の考え方を反映したものだ。一つ安心材料があるとすれば、ACTOPPAを執行できるのはアーカンソー州司法長官のみであり、私人による訴訟提起権(プライベート・ライト・オブ・アクション)は認められていない点だ。これにより訴訟リスクは軽減される(ただし完全になくなるわけではない)。
ユタ州: データ訂正権とソーシャルメディアのポータビリティ
ユタ州の動きであるHB 418は、同州のデジタル・チョイス法を改正し、消費者に新たに二つの権利を付与するものだ。一つ目は、不正確な個人データを訂正する権利――消費者は、自分に関する誤った情報について、削除や販売のオプトアウトだけでなく、修正を事業者に求められるようになった。二つ目は、よりプラットフォーム寄りの規定で、ソーシャルメディアサービスに対する新たなデータポータビリティおよび相互運用性の要件であり、ユーザーが競合プラットフォーム間で自分のデータを移動できるようにすることを目的としている。
ほとんどの中小企業にとって重要なのは訂正権のほうだ。CRM、メールリスト、会員データベースといった顧客記録を保有しているなら、訂正リクエストを受け付け、検証するワークフローが必要になる。これは、多くの企業がすでに以前のプライバシー法の下で削除リクエスト向けに構築してきた仕組みと似たものになるだろう。
カリフォルニア州: データブローカーは取引相手の名前を明かさなければならない
SB 361によって強化され、2026年を通じて段階的に導入が進むカリフォルニア州のデータブローカー規制は、登録済みのデータブローカーに対し、収集しているデータの分類を開示するだけでなく、そのデータを外国主体、政府機関、法執行機関、あるいは生成AI開発者と共有・販売したかどうかも開示するよう義務付けている。「外国主体」には、中国、ロシア、イラン、北朝鮮を含む敵対国と結びついた事業体が具体的に含まれる。
この規制が主に影響するのは、カリフォルニア州の法律上のデータブローカーの定義に該当する事業者――すなわち、直接の取引関係のない第三者に消費者データを販売する企業だ。しかし、あなたのビジネスがベンダーとしてデータブローカーと取引していたり、収益モデルの一環として拡充した顧客データを再販していたりするなら、次のCPPA年次登録期限が来る前に、自社がこの分類に該当するかどうかを確認しておく価値がある。
これらの法律は実際に自社に適用されるのか
これは多くの中小企業経営者を悩ませる問いだ。なぜなら、正直な答えは「あなたのビジネスの所在地ではなく、顧客がどこに住んでいるかによる」というものだからだ。州のプライバシー法は一般に、事業者の本拠地や従来型の意味での企業規模ではなく、データを処理する対象者の居住地に基づいて適用される。
自社が何らかの形で対象になっている可能性を示す、実務上のいくつかのシグナルを挙げる。
- コネチカット州に顧客、メール購読者、またはウェブサイト訪問者がいて、新たに拡大された機微データの分類(金融情報、政府発行ID、健康データなど)のいずれかを処理している。
- 自社で構築していないサードパーティの広告プラットフォーム経由も含め、マーケティング活動がアーカンソー州の17歳未満のユーザーに接触している。
- ユタ州住民の顧客記録を保有しているが、訂正リクエストに対応するプロセスをまだ構築していない。
- データブローカー、広告ネットワーク、リストレンタル業者のいずれかを利用しているが、それらの業者が情報をどう扱っているか確認したことがない。
これらのいずれにも当てはまらないなら、現時点では本当に適用対象外である可能性が高い――ただし、「現時点では」という言葉には大きな含みがある。基準値がこれほどのスピードで下がり続けていることを考えれば、なおさらだ。
実践的なコンプライアンス・チェックリスト
基本を押さえるのに、コンプライアンス部門を設ける必要はない。まずはここから始めよう。
- 収集しているデータを棚卸しする。 マッピングしていないデータ分類のルールには対応しようがない。ウェブサイトのフォーム、POSシステム、メール登録、広告ピクセルなど、顧客データが自社に入ってくるすべての経路をリストアップする。
- ベンダー契約にAI学習に関する文言がないか確認する。 CRM、チャットボット、分析ツールを利用しているなら、自社のデータを使ってモデルを「改善」または「学習」させるという条項がないか確認する。コネチカット州では、これを公に開示することが義務付けられている。
- プライバシーポリシーを更新する。 該当する場合はLLM学習に関する開示文言を追加し、ポリシーの内容が実際の運用と一致していることを確認する。規制当局は、ポリシーの文言と実際の運用実態を照らし合わせるケースを増やしている。
- 軽量なリクエスト対応プロセスを構築する。 顧客がデータの訂正、削除、または販売のオプトアウトを申請できる単一のメールアドレスやフォームを用意しておけば、各州の義務の大部分をカバーできる。
- 該当する場合は、未成年者向けの広告ターゲティングをセグメント分けする。 対象ユーザーに若年層が多いなら、州ごとに例外対応を作り込もうとするのではなく、そのセグメントに対する興味関心ベースの広告やリターゲティング広告を無効化する。
財務記録も、データポリシーと同じくらいクリーンに保とう
プライバシーコンプライアンスと財務の記帳は、根底にある規律を共有している。それは、自分が何を集めているのか、それがどこにあるのか、誰がそれを見られるのかを正確に把握しておくことだ。Beancount.ioは、バージョン管理され、監査可能で、ベンダーロックインのないプレーンテキスト会計によって、その同じ透明性を帳簿にもたらす――ブラックボックスはなく、何がいつ変わったのか推測する必要もない。無料で始めることで、コンプライアンスプログラムと同じくらい整理された財務データを維持しよう。