カリフォルニア州のデータ保護法案、州知事が拒否権発動

大きな注目を集めていたカリフォルニア州のデータ保護法案だが、同州知事の Arnold Schwarzenegger 氏が13日に拒否権を発動したことで、州法成立への道が険しくなった。

問題の法案『Assembly Bill 779』は、カリフォルニア州議会の上下院をともに大差で通過していた。

だが同法案は、より厳格なデータ保護措置を強制し、場合によってはコスト負担増を招く恐れがあるとして、インターネット/通信/小売といった分野の企業や業界団体から強い批判を受けていた。一方、消費者保護団体やクレジットユニオン、同州の法執行機関などは同法案を支持している。

拒否権発動にあたり、共和党の Schwarzenegger 氏は業界側の懸念に同調したことになる。同氏は、州議会への返答の中でこの法案の問題点を詳述し、特に同法案が既存の保護措置を不必要に強化しようとしている点を指摘した。

Schwarzenegger 氏は次のように述べた。「市場はすでに責任と義務を担っており、それらが消費者の保護を図っている」

同法案は、米国でも最も厳しいものの1つで、カリフォルニア州の住人を相手に商業行為を行なう企業に対し「特定の例外を除き (中略) 決済関連データの保管、保持、送信、アクセス制限不履行」といった行為を禁止するものだ。

同法案では、カード番号、個人識別番号、確認コードといった「機密に属する認証データを、認証手続き後に」企業が保持することを原則的に禁止している。口座番号についても「保管場所がどこであれ、正当な権限を持たない者が閲覧、利用できない形式」でなければ、同様に保持が禁じられる。

同法案は、現行法よりも強力で具体的で、企業が商取引で得たデータのうち、保存が許されるものを大幅に限定するものだった。現行のカリフォルニア州法では企業に対し、顧客記録の破棄、セキュリティ対策の維持、セキュリティ侵害事案の開示、第三者への個人情報開示に関する情報の顧客への提供といったことに関し、「妥当な」手段をとるよう定めている。