米国全土で「共通するデータ保護」が求められている
2019年10月21日から24日まで開催された41th International Conference of Data Protection and Privacy Commissioners（ICDPPC2019）でも、CCPAを巡る議論として注目すべきものがあった。ICDPPCは各国のデータ保護機関（DPA）、政府機関、事業者および研究者などが参加し、国際的な個人データ保護の促進や強化などについての議論や情報交換を行う会議である。データ保護関係では最大級の国際会議で、日本の個人情報保護委員会も2017年度から正式メンバーとなった。このなかで、Industry KeynoteとしてMicrosoft社Presidentで最高法務責任者のブラッド・スミス氏によるプレゼンテーションが行われた。
プレゼンテーションのテーマは「ベースラインとなる法制度が必要」というもの。Microsoft社のセキュリティやプライバシーの取り組みが紹介される一方で、これらのリスクは年々増加しており、より法制度側の役割が大きくなるであろうことを示唆する内容であった。
今やプライバシーの問題とビジネスモデルは不可分になりつつあり、膨大な量のパーソナルデータが分析されるようになってきている。これらのデータ処理は国境に閉じたものではなく、国境を跨いだ利用が益々進むだろう。こうした中で、第3のプライバシーの波「法規制」が押し寄せており、Microsoft社はよりベースラインとなるような法制度を欲しているのだ（通知と同意の独立性、データ乱用の防止、データを収集する企業への適用、データブローカーへの適用、という視点を含んでいる）。
またブラッド氏によるプレゼンテーションでは、いくつかのあたらしい技術に対して、特定のルールが必要になるだろうことが示唆された。加えて、プライバシーは既存の、そして新しいルールとの統合が必要になるであろうことも示唆され、国際的なプライバシーの協定が必要であることが訴えられた。政府により早い動きを求め、ともに協力したい旨が述べられたのだ。
つまり、米国の産業界の意向は、CCPAのような州法が個別に整備されていくことは望ましくないというものだと理解できる。全米50州で50通りの規制が生まれてしまった場合、事業者は50通りの対応策を考えなければならない。これは非常にコストがかかることだ。また、GAFAやMicrosoft社といった世界市場で戦う事業者は、GDPRの全面適用に合わせて、既に対応を行っており、GDPRと同水準の規制であれば、それほどコストをかけずに対応可能ということもあるのだろう。2018年のICDPPCではApple社のティム・クック氏が「GDPRと同水準の連邦法を望む」という趣旨の発言をしている。オバマ政権の時とは異なり、産業界が連邦法の成立を望むという状況があるのだ。
日本企業も国際的な法的ベースラインを見据えた議論が必要
以上のようにCCPAの成立から1年ほどの間に、米国においては急速に連邦法に向けた議論の機運が高まりつつある。CCPAが米国における新しいデータ保護の扉を開いたともいえる。では、米国では今後、どのような議論が進むのであろうか。2つの根拠を示しつつ、筆者の予想を最後に述べたい。
まず、1つ目の根拠として、国際的なプレイヤー（事業者）は、国内独自でなく国際的な法的ベースラインを望んでいるということだ。GDPR以降、国外の大きな市場で対応を進めてきた米国企業にとっては、米国内で新たな規制が設けられることはコスト以外の何物でもない。むしろ、GDPRと同等の規制が導入されることになった方が、国内の対応が進んでいないプレイヤーに比して、有利に事業を進めることができるだろう。それから、欧米（あるいはそれらと相互承認を行う日本）で共通した規制が設けられれば、その他の国や地域（たとえば中国）に対して、共通した基準を示すことができるだろう。
2つ目の根拠としては、米国はプライバシー発祥の地であるという自負があるということだ。ウォーレンとブランダイスの論文以降、プライバシーに関する議論は米国において進んできたという自負が彼らにはある。そのような中で、国際的にインパクトのあるプライバシー保護を打ち出してくる可能性があるだろう。つまり、実際の規制部分についてはGDPRと同等で相互運用性があるような、一方で理念的にはプライバシー保護に一歩踏み込んだ、そのような連邦法を提示してくるのではないだろうか。
欧州はGDPRをはじめとした厳格なデータ保護、一方で米国は自主規制を中心として、日本はその間をいく、あるいは日本も米国型を指向すべきではないかと言った議論が過去には我が国でなされていたこともある。しかし、米国におけるデータ保護の議論の状況は最早そのような前提にない。米国がデータ保護の連邦法の議論を深めようとしている中で、我が国は個人情報保護法2,000個問題が存在するなど国内のデータ利活用も儘ならない状況だ。日本企業も国際的な法的ベースラインを見据えて、議論を、そして事業を進める時期に来ているのではないだろうか。
