健康データ、生体認証スキャン、政府発行ID番号をコネチカット州民からほんの数人分でも収集しているなら、2026年7月1日に施行された法律によって、企業規模に関係なく、全米で最も厳格なデータプライバシー規制の対象に組み込まれた可能性があります。
コネチカット州データプライバシー法（CTDPA）は2023年から施行されていましたが、今年7月に成立した改正により、中小企業に極めて重要な3つの点でルールが書き換えられました。適用対象となる規模の基準が引き下げられたこと、「センシティブデータ」の定義にニューラルデータが追加されたこと、そして顧客情報にAIを使用するすべての企業がその旨を平易な言葉で明記する義務を負うことです。CTDPAは「大企業の問題」だと思っていた企業は、今週中にその前提を見直す必要があります。
以前は適用除外だった企業に今回この法律が適用される理由
当初のCTDPAは、コネチカット州の消費者10万人以上の個人データを処理する事業者、またはデータ販売による収益が25%超の場合に2万5千人以上の消費者のデータを処理する事業者にのみ適用されていました。この基準により、事実上ほとんどの中小企業は適用除外とされていました。
2026年の改正は、そのセーフハーバー条項を撤廃します。2026年7月1日以降、CTDPAはコネチカット州で事業を展開する、以下のいずれか1つに該当するすべての事業者に適用されます。
- 暦年内に35,000人以上の消費者の個人データを処理した場合（10万人から引き下げ）。支払取引の完了のみを目的として処理されるデータは除く
- 消費者の人数に関わらず、センシティブデータを1件でも処理した場合
- 個人データを販売に供した場合（数量を問わない）
2番目のトリガーが中小企業を不意打ちにしています。下限はありません。5人規模の医療請求事務所、健康診断フォームを保管するブティック型フィットネススタジオ、政府発行ID番号を使って身元調査を行う地元の派遣会社などは、コネチカット州の顧客が合計数百人しかいなくても、CTDPAの義務が発生する可能性があります。
「センシティブデータ」の新たな定義 — ニューラルデータを含む
改正により、処理量に関わらず適用対象となるセンシティブデータのカテゴリが大幅に拡大されました。現在、以下のものが含まれます。
- 人種または民族的出身、宗教的信念、健康状態または診断
- 性的指向および性自認
- 市民権または移民ステータス
- ニューラルデータ — 脳または神経系からの信号。EEGヘッドバンド、瞑想用ウェアラブル、ブレイン・コンピュータ・インターフェースなどの消費者向けニューロテック機器によって収集されるデータを含む
- 生体認証データ（指紋、声紋、顔の形状）および遺伝子データ
- 正確な位置情報
- 政府発行の識別番号
- 金融口座番号およびログイン認証情報
- 13〜17歳の既知の未成年者の個人データ
- 犯罪被害者であるステータス
ニューラルデータは見出しを飾る追加項目であり、コネチカット州はこれをセンシティブな個人データとして明示的に規制する最初の州の1つです。製品がウェルネステック、瞑想アプリ、集中力トラッキングウェアラブル、またはブレイン・コンピュータ・インターフェースに触れているなら、明確に適用対象です。しかし、より一般的なカテゴリ（健康状態、政府発行ID、金融資格情報）は通常の中小企業の記録管理（従業員のI-9フォーム、クライアント受付フォーム、保険書類）に常に登場するため、「処理量を問わない」トリガーがこれほど重要なのです。
新しいAIおよびLLMトレーニング開示義務
センシティブデータの拡大とは別に、改正ではAIブームに直接狙いを定めた開示要件が追加されています。プライバシー通知には、事業者が消費者の個人データを以下の目的で使用するかどうかを、明確かつ明確かつ障害者にもアクセス可能な方法で記載する必要があります。
- 大規模言語モデルまたはその他のAIシステムのトレーニング
- 自動意思決定に使用されるプロファイルの構築
- ターゲット広告のサポート
これは、「AI」の使用がカスタマーサポートの文字起こしをファインチューニングパイプラインに流し込むことや、アップロードしたデータをトレーニングに使用するサードパーティのAIツールを使用することに限定されている場合でも適用されます。CRM、チャットボットベンダー、アナリティクスプラットフォームが顧客データをモデルのトレーニングに使用しているかどうか不明な場合は、今こそ確認すべき時です。プライバシー通知は、社内でその質問をしたかどうかに関わらず、その答えを示す必要があるからです。
改正により、消費者は新たな権利も獲得しました。法的または同様に重大な影響を及ぼす決定（信用、雇用、住宅、保険、医療）に使用されるプロファイリングをオプトアウトする権利、自動決定の説明を要求する権利、そしてデータを受け取った特定の第三者機関のリストを入手する権利です。これは、単に受領者のカテゴリを挙げるよりも厳格な基準です。
その他の知っておくべき運用変更点
プロファイリング影響評価。 法的に重要な決定にプロファイリングを使用する事業者は、2026年8月1日以降に生成されたそのような処理について、文書化された影響評価を完了する必要があります。これはチェックボックスを付けるだけの作業ではありません。規制当局は、検討されたリスクと適用された緩和策の文書記録を期待しています。
未成年者保護のさらなる強化。 13〜17歳のすべての個人へのターゲット広告と、そのデータの販売は、今回の改正で完全に禁止されました。同意があっても許されません。改正ではまた、未成年者を対象とした「エンゲージメント最大化」デザイン機能（無限スクロール、自動再生、連続記録などのメカニズム）も制限されています。
60日間の治癒期間は廃止されました。 当初のCTDPAでは、コンプライアンス違反を発見された企業には、司法長官が罰金を追求する前に問題を修正するための60日間の保証期間がありました。この保証は失効し、施行当局は警告の機会を与える義務がなくなりました。コネチカット州司法長官は、改正前の法律の下で、少なくとも1件の公的な罰金（不十分なプライバシー通知に対する85,000ドルの和解）をすでに発行しており、改正法の範囲拡大と治癒期間の廃止により、より多くの企業がそのような措置にさらされ、静かに間違いを修正する余地が少なくなっています。
罰金。 民事罰は、故意の違反の場合、1件あたり最大5,000ドル、非故意の違反の場合は1件あたり最大2,500ドルで、違反ごとに評価されます。これは、顧客ベース、ベンダー契約、または複数の欠陥がある複数ページのプライバシー通知全体で急速に積み上がる可能性があります。
中小企業向けの実践的なコンプライアンスチェックリスト
コンプライアンス部門がなくても、基本を正しく行うことはできます。以下のステップを実行してください。
- 実際に収集しているものを棚卸しする。 触れるすべての個人データカテゴリ（顧客記録、従業員ファイル、ベンダーのW-9、受付フォーム、ウェアラブルまたはアプリのデータ）をリストアップします。拡大されたセンシティブデータリストに該当するもの、特に健康、政府発行ID、金融資格情報、（製品に関連する場合）ニューラルデータをフラグ付けします。
- コネチカット州での存在感を数える。 35,000人の消費者には遠く及ばない場合でも、センシティブデータを処理しているか、個人データを販売しているかを確認します。どちらのトリガーも最低数量なしで適用されます。
- AIとベンダースタックを監査する。 使用するすべてのSaaSツール、チャットボット、アナリティクスベンダーに、送信した顧客データがモデルのトレーニングに使用されるかどうかを尋ねます。回答は書面で取得します。正確な開示を書くために必要です。
- プライバシー通知を更新する。 AI/LLMトレーニング、プロファイリング、ターゲット広告の使用について、明確かつアクセス可能なステートメントを追加します。コネチカット州の以前の85,000ドルの和解のような欠陥請求自体を引き起こす可能性のある、密度の濃い法的定型文に埋めないでください。
- オプトアウトと説明のプロセスを構築する。 消費者が重要な決定のためのプロファイリングをオプトアウトし、説明を要求するための、実際に機能するメカニズムが必要です。単に存在を約束する一文ではなく。
- プロファイリング影響評価を文書化する。 信用、雇用、保険、医療、住宅関連の結果に自動意思決定を使用する場合。
- 未成年者向け機能を見直す。 10代の若者が製品を使用する場合、その年齢層へのターゲット広告とデータ販売の露出を完全に削除し、彼らを対象としたエンゲージメントメカニズムを再検討します。
コネチカット州は単独で行動しているわけではありません。インディアナ州、ケンタッキー州、ロードアイランド州も2026年に新しい包括的なプライバシー法を施行しており、ニューラルデータとAIトレーニングの開示は他の州の改正にも登場しています。州境を越えて事業を展開している場合、コネチカット州のリストを、一回限りの地域特有のものではなく、コンプライアンス要件が全国的に向かう方向性のプレビューとして扱ってください。
帳簿と同じくらい明確なコンプライアンスの記録を
プライバシーコンプライアンスと財務記録管理は、同じ基盤となる規律を共有しています。どのデータを、なぜ、誰が触れるのかを正確に把握することです。Beancount.ioは、プレーンテキスト会計で財務に同じ明確さをもたらします。透明性があり、バージョン管理された記録で、ブラックボックスもベンダーロックインもありません。無料で始める そして、プライバシー慣行と同じくらい監査可能な財務データを維持してください。
