現在、20の州が包括的なデータプライバシー法を施行しており、2026年1月1日時点でインディアナ州、ケンタッキー州、ロードアイランド州がその仲間入りを果たした。あなたが中小企業を経営していて、「データプライバシー・コンプライアンス」に対する自分のイメージがいまだに「あれはカリフォルニアの話で、うちは年間売上2500万ドルもないから関係ない」というものなら、考え直したほうがいい。今、小規模な雇用主にとって最も重要なルールは、もはや顧客についてのものではない——あなたの人事システムのどこか(フォルダの中か、あるいはSaaSダッシュボードの中)に眠っている、従業員自身の社会保障番号、銀行口座情報、医療メモ、そして生体認証タイムカードのスキャンデータについてのものなのだ。
ややこしいのは、これらの法律が州ごとに「従業員データ」の扱いをまったく統一していないという点だ。カリフォルニア州は人事記録を一般的な消費者プライバシー法に組み込んでいる。コロラド州とバージニア州は、広範なプライバシー法規から雇用記録の大半を除外している——しかしコロラド州は、多くの中小企業を不意打ちする、生体認証データに関する狭いが強力な例外規定をつい最近追加した。あなたが記帳担当者であれ、オペレーション責任者であれ、給与に関わるオーナーであれ、ここでは実際に何が変わったのか、誰に適用されるのか、そして従業員からの苦情(あるいは原告側弁護士)があなたの問題になる前に何をすべきかを解説する。
なぜ「従業員データ」はこれまで盲点だったのか
各州が包括的なプライバシー法を制定し始めたとき——2021年のバージニア州とコロラド州を皮切りに、その後数年で他の多くの州が続いた——そのほぼすべてが似たような構造を採用した。「消費者」を定義し、消費者に権利(アクセス、削除、訂正、販売のオプトアウト)を与え、個人データを管理する事業者にその権利の遵守を義務づける、というものだ。
しかしカリフォルニア州を除くほぼすべての法律は、雇用の文脈で行動する者を「消費者」の定義から明確に除外している。コロラド州の法律はそれを明記しており、バージニア州の法律も同様だ。その論理は、雇用関係はすでに労働法・雇用法によって規制されているため、立法者は枠組みを二重にしたくなかった、というものだった。実務上の効果としては、リッチモンドやデンバーの従業員は一般に、自州の消費者プライバシー法を根拠に、雇用主に人事ファイルの削除、人事評価の訂正、あるいは社内の分析ツールが自分について何を推測したかの説明を求めることはできない。
カリフォルニア州はその逆を行った。カリフォルニア州消費者プライバシー法(CCPA)の従業員データに関する適用除外が2023年1月1日に失効すると、カリフォルニア州プライバシー権利法(CPRA)は、アクセス、削除、訂正、オプトアウトなど消費者権利の全メニューを、従業員、求職者、独立契約者にまで拡大した。適用対象となるカリフォルニアの雇用主にとって、従業員は今や、顧客が自分の購入履歴に対して持つのとほぼ同じ権利を、自分の人事ファイルに対して持つことになる。
この分岐が重要なのは、「自分は対象になるのか」という問いに全国共通の答えなど存在しない、ということを意味するからだ——それは州ごとに、そしてますますデータの種類ごとに判断すべき問題になっている。
カリフォルニア州：人事データが完全に適用対象となる唯一の州
カリフォルニア州の居住者である従業員や契約社員が一人でもいるなら、まずここから確認してほしい。
適用対象となる事業者。 CCPA/CPRAは、カリフォルニア州内で事業を行う営利企業のうち、次の3つの基準のいずれか1つを満たすものに適用される：(1) 年間総売上高が2500万ドルを超える、(2) 年間に10万人以上のカリフォルニアの消費者または世帯の個人情報を売買・共有・取得している、(3) 個人情報の販売または共有から年間売上高の50%以上を得ている。多くの中小企業は、2500万ドルという売上基準を満たさなければ適用除外だと思い込んでいる——しかし2番目と3番目の基準はそもそも売上高とは無関係であり、第三者にデータを「共有」する広告テック用ピクセルや分析ツールを使っている事業者は、従業員、求職者、サイト訪問者をすべて合算すると、思いのほか早く10万人の閾値を超えてしまうことがある。
人事データについて具体的に求められるようになったこと。 適用対象となる雇用主は、収集する個人情報のカテゴリーとその目的を説明するプライバシー通知を従業員・応募者に提供し、個人情報へのアクセス・訂正・削除の請求に対応し(法的な保存義務がある例外を除く——保有が義務づけられている税務・給与記録を削除することはできない)、社会保障番号、正確な位置情報、健康情報といった機微な個人情報の特定の利用については事前に同意を得る必要がある。
2026年の注目すべき変更点：自動化ツールに関するリスクアセスメント。 2026年1月1日以降、カリフォルニア州は、求職者・従業員・契約社員について「重大な決定」を行うために自動意思決定技術(ADMT)を使用する前に、文書化されたプライバシー・リスクアセスメントを行うことを義務づけている——履歴書のスクリーニングソフト、動画面接のスコアリング、アルゴリズムによるシフト管理や人事評価ツールなどが該当する。ADMTの完全な遵守(自動判断へのオプトアウトや異議申し立ての手段を労働者に提供することなど)は2027年1月1日にかけて段階的に導入されるが、2026年以前の処理に関するアセスメント義務の期限は2027年末までだ。あなたの事業が「AI搭載」の履歴書ランキング機能を持つ応募者管理システムや、人事評価スコアを自動生成する人員管理ツールを使っているなら、これは書類上ではなくツールの内部に埋もれているため見落としがちな部分だ。
コロラド州：雇用記録は適用除外——ただし生体認証データは別
コロラド州プライバシー法は、バージニア州の法律と同様、求職者・従業員としての立場にある人物についての情報を一般的に適用除外としている。その適用除外は依然として原則のままだ。変わったのは、狭いが重大な影響を持つ修正条項——2025年7月1日施行の「生体認証識別子およびデータのプライバシーに関する法律(HB24-1130)」だ。
この法律は通常の規模要件を撤廃している——コロラド州居住者何人分のデータを扱っているかは関係ない。指紋スキャン、顔認証ログイン、手のひら形状のタイムカードなど、コロラド州居住者(従業員を含む)から生体認証識別子を収集していれば、この法律の対象となる。収集前に、通知を行い、明示的で具体的、かつ十分な説明を受けた上での同意を得なければならない——従業員ハンドブックの片隅に埋もれた一文では足りない。雇用主が生体認証への同意を雇用条件にできるのは、安全な施設や安全なハードウェアへのアクセスといった狭い範囲のセキュリティ目的に限られる。従業員の所在地を追跡したり、あるアプリケーションの利用時間を監視したりするために同意を要求することはできない。さらに、生体認証データの保存期間、セキュリティ・インシデント対応手順、削除方法を定めた、書面による一般公開ポリシーも必要になる。
実際にこの対象となるのは: バッジのタッチ式ではなく指紋認証や顔認証のタイムカードを使う——なりすまし打刻を防ぐ人気の方法だ——小規模製造業者、倉庫、レストラン、クリニック、さらに生体認証による建物の入退室管理やPOSログインを使うあらゆる事業者だ。もしそれがあなたの会社なら、「売上2500万ドルもないから大抵のプライバシー法は関係ない」という理屈は、ここではまったく通用しない。
バージニア州：まだ義務はないが、傾向には注意
バージニア州の消費者データ保護法は、雇用記録に対する一般的な適用除外を維持しており、2026年時点ではコロラド州の生体認証に関する例外規定に相当するものは存在しない。それでも注意すべき理由は、そのパターンにある。コロラド州は、特定のデータ種別(生体認証)が目に見えるリスクになった途端、雇用適用除外の一部を切り離した。イリノイ州は10年以上前から、私訴権を伴う専用の生体認証プライバシー法を持っており、それが国内で最大級の雇用関連プライバシー訴訟の和解を生み出してきた。バージニア州、あるいは他の州が、生体認証、AI採用ツール、あるいは他の何かについて独自の従業員データ例外を切り出すのは、時間の問題であって、起こるかどうかの問題ではない。自社が収集している従業員データとその理由を今のうちから記録しておく習慣を作っておけば、自州が追随したときに慌てずに済む。
中小企業向けの実践チェックリスト
基本を押さえるのにコンプライアンス部門は必要ない:
- 実際に収集しているものを棚卸しする。 給与のための社会保障番号や銀行口座情報、休暇申請のための健康情報、タイムカードや入退室システムからの生体認証データ、そして人事・応募者管理プラットフォームが自動的に推測するあらゆるもの(「エンゲージメントスコア」や自動化された候補者ランキングなど)。
- タイムカードを確認する。 指紋や顔をスキャンするタイプなら、売上規模にかかわらず、書面による生体認証ポリシーと記録された同意がおそらく必要になる。
- ベンダー契約を読み込む。 給与計算サービス、身元調査サービス、応募者管理システムは、あなたが渡したデータを保護することを契約上約束すべきだ——「SOC 2準拠」は出発点であって、書面によるデータ処理契約の代わりにはならない。
- カリフォルニア州の従業員がいるなら、今のうちに請求対応プロセスを構築する。 アクセス・訂正・削除の請求に対して法定期限内に対応する責任者を決め、削除請求があっても法的に保有が義務づけられている記録(たとえば税務記録)がどれかを誰かが把握しておく必要がある。
- 「州が雇用記録を適用除外にしている」ことを恒久的な盾だと思わない。 今日の時点ではほとんどの州で事実だが、コロラド州は狭い例外がいかに素早く現れうるかを示したばかりだ。
記帳がコンプライアンスの物語にどう関わるか
これはそもそも会計ソフトの話ではない——どの機微なデータがどこにあるかを把握し、規制当局や従業員から問われたときに、自分の作業内容を示せることの話だ。それは法律の問題であると同時に、記録管理の問題でもある。財務記録が不透明で独自形式のまま複数のツールに散らばっていると、誰が何にアクセスできるのかを監査したり、方針で定めた以上の期間データを保持していないことを証明したりするのは、実際のところ難しい。
Beancount.ioはその逆のアプローチを取っている。プレーンテキストでバージョン管理された会計により、すべての記帳が透明で、監査可能で、あなた自身の管理下に置かれる——あなたの財務履歴を人質に取るブラックボックスのベンダーは存在しない。生体認証の同意ポリシーを書いてくれるわけではないが、「誰がこのデータを見られるのか、どのくらいの期間なのか」に事業全体を通じて明確に答えられるようになりたいのなら、まず自分が完全に所有する財務記録から始めるのは良い習慣づくりになる。無料で始めて、プレーンテキスト会計が実際にどのようなものか確かめてほしい。