カリフォルニア州で中小企業を営んでいて、消費者プライバシー法はテック大手だけが気にすればいい話だと思っていたなら、その前提が崩れるのが2026年だ。W-4に記載された社会保障番号、指紋認証の打刻機、FMLA休暇のための診断書、さらには応募者がメールで送ってきた履歴書まで――日々あなたの会社が収集している従業員・応募者データは、いまやカリフォルニア州のプライバシー法の対象にしっかりと組み込まれており、2026年1月1日に発効する州の新たな規則が、そのデータの取り扱い基準をさらに引き上げる。
なぜ「消費者」向けプライバシー法が従業員データまでカバーするのか
カリフォルニア消費者プライバシー法(CCPA)が最初に成立したとき、雇用主には猶予が与えられていた。自社の従業員、応募者、契約社員に関するデータは、雇用分野に特化した別のルールを立法者が検討する間、大部分が適用除外とされていたのだ。この適用除外はもともと一時的なものであり、2023年1月1日にカリフォルニア・プライバシー権利法(CPRA)の改正が全面施行されたことで失効した。それ以降、人事ファイル、給与記録、福利厚生の加入データ、応募者管理システムは、顧客の購入履歴と同じ扱いを受けている。つまり、法律上のアクセス権、削除権、訂正権、開示ルールが適用される個人情報として扱われるということだ。
このたった一つの失効日が、大量の日常的な業務書類のあり方を一変させた。すべてのI-9、すべての口座振込フォーム、すべての人事考課、すべての生体認証タイムクロックのスキャンデータ――そのすべてが、従業員が閲覧・訂正し、多くの場合は削除まで求められる法的権利を持つ個人情報となったのだ。
実際に誰が対応義務を負うのか
すべての中小企業が対象になるわけではなく、規模の閾値はメディアの見出しが示唆する以上に重要だ。CPRAは、カリフォルニア州内で事業を行い、カリフォルニア州民(従業員を含む)の個人情報を収集する営利企業のうち、以下のいずれか一つに該当する場合に適用される。
- 年間総収入が2,500万ドルを超える(暦年の1月1日時点)、または
- カリフォルニア州の消費者、世帯、または端末の個人情報を年間10万件以上購入・販売・共有している、または
- 消費者の個人情報の販売・共有から年間収入の50%以上を得ている
実際には多くの純粋な中小企業がこれら三つの閾値をすべて下回り、対象外となる。しかし二番目の基準――消費者、世帯、あるいは端末10万件――は、経営者が想像する以上に多くの企業を対象に含めてしまう。「端末」には、顧客や従業員だけでなく、クッキーで追跡されるウェブサイト訪問者も含まれ得るからだ。人気ブログを運営する10人規模のコンサルティング会社や、トラフィックの多いECサイトは、100人目の従業員を雇うよりずっと前にこの閾値を超えてしまうことがある。自社がどちら側に位置するか確信が持てない場合は、法律が適用されないと決めつける前に弁護士に確認する価値がある。後述する罰則リスクを考えると、当てずっぽうで済ませるのは危険な戦略だ。
従業員に実際に与えられている権利
対象となる雇用主のもとでは、現従業員、元従業員、求職者、独立契約者は、カリフォルニア州が消費者に与えているのと同じ中核的な権利を得る。
- 知る権利 — どのカテゴリーの個人情報を、なぜ収集しているのかを知る権利
- アクセス権 — 保有している具体的なデータのコピーを取得する権利
- 訂正権 — 不正確な情報を訂正させる権利
- 削除権 — 個人情報を削除させる権利(ただし例外あり。税務記録、法令遵守、係争中の法的請求のために必要なデータは保持できる)
- 機微個人情報の利用を制限する権利 — 社会保障番号、金融口座の詳細、正確な位置情報、人種・民族的出自、健康情報、本人確認のために収集された生体データなどが含まれるカテゴリー
最後のカテゴリーで、多くの中小企業が不意を突かれる。生体認証タイムクロックは、なりすまし打刻を減らせるため、小売業、飲食店、倉庫業、建設業で広く使われている。CPRAのもとでは、打刻に使われる指紋やてのひらスキャンは「機微個人情報」に当たり、通常のタイムシートよりも厳格な通知義務と利用制限義務が課される。
実務的には、コンプライアンス対応として、何をなぜ収集しているかを説明する書面のプライバシー通知、従業員がリクエストを提出できる仕組み、そして――ここでつまずく企業が多いのだが――リクエストを受け付ける方法を少なくとも二つ用意することが求められる。そのうち一つはフリーダイヤルの電話番号である必要が原則としてあり、加えてウェブフォームやメールアドレスなど、もう一つの選択肢も必要だ。「人事部にメールしてください」という付箋一枚では、このルールを満たせない。
2026年1月1日に発効する新規則
CPRAの基本的な要件に加えて、カリフォルニア・プライバシー・プロテクション局(CPPA)は2025年に新たな規則を確定させ、2026年1月1日から段階的に施行される。この規則は、雇用主が従業員管理にテクノロジーをどう使うかに特に踏み込んでいる。
- 高リスク処理の前のリスクアセスメント。 対象企業が「重大なリスク」を伴う活動――個人情報の販売・共有、機微個人情報の処理、重要な意思決定のための自動意思決定技術の利用、本人確認のための生体認証の利用――を開始する(または継続する)前に、文書化されたリスクアセスメントを完了させなければならない。当該活動が2026年1月1日より前からすでに行われていた場合、アセスメントの期限は2027年12月31日まで猶予され、既存プログラムには一定の準備期間が与えられる。
- 自動意思決定技術(ADMT)に関する規則。 2027年1月1日を遵守期限として段階的に導入される。これは人事部門が特に注視すべきものだ。雇用、報酬、懲戒に関する「重要な意思決定」にAI支援の履歴書選考、アルゴリズムによるシフト管理ツール、自動化された人事評価スコアリングシステムを使う場合、消費者への通知、オプトアウトの権利、アクセス権の付与が必要になる。
- 年次の独立したサイバーセキュリティ監査。 収入規模に応じて段階的に導入され、2028年に最大手企業から始まり、2030年までに対象となるより小規模な企業へと広がる。
これらはフォーチュン500企業並みのコンプライアンス部門を要求するものではない。ただし、AIによる履歴書ランキング機能付きの既製の応募者管理ツールや、給与ベンダーの生体認証打刻機能を使っている中小企業は、そのベンダーがデータをどう扱っているかを実際に確認する必要がある。なぜなら、雇用主であるあなた自身が、従業員や規制当局に対して責任を負う立場だからだ。ベンダーではない。
現実的なシナリオ:指紋打刻機を使うレストラングループ
ロサンゼルス郡に3店舗を構える40人規模のレストラングループを想像してほしい。なりすまし打刻を防ぐために生体認証タイムクロックを使い、時給スタッフの応募が多いためAIによる履歴書選考機能付きの応募者管理プラットフォームを利用し、口座振込と源泉徴収データを保管する給与サービス業者と契約している。これ単体では特に珍しいことではない――複数店舗を持つ飲食業にとってはごく標準的な運営だ。しかしCPRAのレンズを通して見ると話が変わる。指紋スキャンは特定の通知と利用制限の開示が必要な機微個人情報であり、AIによる履歴書選考はまさに2026〜2027年の規則が対象とする自動意思決定技術そのものであり、給与システム内のすべてのW-4と口座振込フォームは、従業員がリクエスト・訂正・削除を求められる個人情報となっている。
このグループがCPRAの収入またはデータ量の閾値を超えている場合、これら三つのシステムはいずれも、プライバシー通知、従業員からのリクエストを処理する文書化されたプロセス、そして――ADMT規則が段階的に導入されれば――アルゴリズムが履歴書をスコアリングしていることを応募者に通知し、オプトアウトさせる仕組みなしには、そのままの形では運用を続けられない。これはテクノロジーを撤去することを求めているのではない。そのテクノロジーが何をしているかを文書化し、法律がいま従業員に保証している可視性とコントロールを与えることを求めているのだ。
求職者にも採用された従業員と同じ保護が適用される
「従業員のプライバシー」は雇用初日から始まるものだと考えがちだが、この文脈でのCPRAの「従業員」の定義はそれよりもさらに遡る。求職者も対象に含まれるため、バックグラウンドチェック、履歴書解析ソフト、採用前アセスメントを行っているあらゆる企業に関わってくる。不採用となった候補者にも、採用プロセス中に収集された個人情報について知る権利があり、係争中の法的保持などの例外を除き、削除を求める権利も同様にある。応募者管理システムが「念のため」不採用者の履歴書を無期限に保持しているなら、その保持慣行こそが、プライバシー・リスクアセスメントが洗い出すべきまさに典型例だ。
自動意思決定ルールが最も厳しく効いてくる場面
ADMTの要件は特に注意が必要だ。なぜなら、これは中小企業が採用や勤務管理の時間短縮のために導入した、まさにそのツール群を標的としているからだ。アルゴリズムによる履歴書ランキング、自動化された面接スコアリング、生産性スコアに基づいて勤務時間を割り当てるシフト管理ソフト、人が介在する前に従業員を審査対象としてフラグ付けするパフォーマンス監視ツール――これらのツールが禁止されるわけではない。しかし2027年1月1日以降、これらを雇用・昇進・懲戒・解雇といった「重要な意思決定」に使う場合には、対象者にADMTが使われたことの明確な通知、多くの場合はオプトアウトの権利、そして意思決定にどの要素が使われたかを開示請求できる仕組みが必要になる。自社の人事システムに「AI搭載」を謳うツールが一つでもあれば、それは2027年の期限が来る前にリスクアセスメントのリストに載せるべき強いシグナルだ。
罰則は小規模事業者にとっても他人事ではない
ここでの執行は仮定の話ではない。違反には、意図しない違反1件につき最大2,500ドル、意図的な違反1件につき最大7,500ドルの民事罰が科され得る。しかも罰金は通常、影響を受けた個人ごとに算定されるため、対応を誤ったデータリクエスト1件や、数百人分の従業員記録に及ぶ暗号化されていないデータ漏えいが、その規模の企業にとってはあっという間に大きな金額に膨らみかねない。カリフォルニア州司法長官とCPPAの両方が執行権限を持っており、他の一部の州法とは異なり、カリフォルニア州はすべての違反類型について正式な是正期間を義務付けているわけではない。
実践的なチェックリスト
自社が対象となる雇用主である(あるいは閾値に近いかもしれない)場合、以下から着手しよう。
- 実際に収集しているデータを棚卸しする。 給与、福利厚生、生体認証タイムクロック、バックグラウンドチェック、人事考課、応募者管理データ――通知文を書く前に、まずすべてを一つのリストにまとめる。
- 機微個人情報を個別にフラグ付けする。 社会保障番号、健康情報、生体データ、金融口座番号には追加の取り扱い要件が課される。
- 従業員向けプライバシー通知を作成(または更新)する。 現在のデータカテゴリー、利用目的、保持期間を反映させる。
- リクエスト受付チャネルを少なくとも二つ設ける。 必要な場合はフリーダイヤル番号を含める。
- 人事テック・給与ベンダーに直接確認する。 採用や人事評価の判断に自動意思決定を使っているかどうかを尋ね、その回答を書面で残す。
- 自社に該当するリスクアセスメントの期限をカレンダーに登録する。 新規の高リスク処理は2026年1月1日、既存の処理は2027年12月31日が目安だ。
データプライバシー体制と同じくらい財務記録もクリーンに保つ
従業員データの取り扱いを正しく整えようとすると、簿記でもよく見られるのと同じギャップが浮かび上がることが多い――何がいつ起きたのかを、誰も明確で監査可能な形で示せないという問題だ。プライバシーリクエストへの回答を容易にする規律――何を持っているか、どこにあるか、誰が触れたかを正確に把握しておくこと――は、確定申告の時期を楽にする規律でもある。Beancount.ioは、完全に透明でバージョン管理されたプレーンテキスト会計を提供するため、すべての給与費用や福利厚生コストに、ブラックボックスではなく明確で監査可能な履歴が残る。無料で始めると、なぜ開発者や財務に強い経営者たちがプレーンテキスト会計に移行しているのかがわかるはずだ。