一般データ保護規則（GDPR）と、California Privacy Rights Act（CPRA）により改正されたCalifornia Consumer Privacy Act（CCPA）は、国際的に事業を展開する組織にとって最も影響力の大きいプライバシー法制に数えられます。 いずれも個人が自己の個人情報をより強くコントロールできるようにするものですが、適用範囲、法的基盤、同意の要件、消費者の権利、侵害時の義務、執行の仕組み、コンプライアンス上の責任は大きく異なります。 本ガイドでは、GDPRとCCPAの要件を比較し、両者が重なる部分と異なる部分、そして両方に対応するプライバシープログラムの構築方法を解説します。
並列比較：GDPR 対 CCPA
| 項目 | 🇪🇺 GDPR | 🇺🇸 CCPA |
|---|---|---|
| 法域 | EU/EEAの枠組み | 米国カリフォルニア州 |
| 主要な法令 | Regulation (EU) 2016/679 | California Consumer Privacy Act（改正後） |
| 施行日 | 2018年5月25日 | 2020年1月1日。CPRAによる主な改正は2023年1月1日に施行 |
| 規制モデル | 包括的なデータ保護規則 | 消費者プライバシー・データ保護法 |
| 主な規制当局 | EU/EEAの監督機関およびEDPB | California Privacy Protection AgencyおよびCalifornia Attorney General（カリフォルニア州司法長官） |
| 適用対象 | GDPRの地理的基準または拠点基準を満たす管理者・処理者 | CCPAの適用要件を満たす事業者 |
| 法的根拠 | 処理には適法根拠が必要 | 6つの根拠に相当する枠組みはなし |
| 同意 | 複数ある適法根拠の一つ。特定の場面ではより厳格な要件を適用 | 主に一定のオプトイン要件と特定の利用に関係 |
| 販売・共有のオプトアウト | CCPA型の販売・共有の枠組みは直接にはなし | 消費者は販売または共有をオプトアウト可能 |
| 機微情報 | 特別な種類のデータを手厚く保護 | センシティブ個人情報に追加の規律を適用 |
| データ主体・消費者の権利 | アクセス、訂正、消去、ポータビリティなどの広範な権利 | 知る権利、削除、訂正、オプトアウト、利用制限、差別されない権利など |
| 侵害通知 | 必要な場合、原則として72時間以内に監督機関へ通知 | カリフォルニア州の侵害通知法は、原則として不合理な遅滞なく、可能な限り速やかに通知することを要求 |
| DPO | 一定の場合に選任が必要 | CCPAに一般的なDPO選任義務はなし |
| 現地代理人 | 一定のEU域外の組織に第27条の代理人の選任が必要となる場合あり | CCPAに相当する一般的な制度はなし |
| 越境データ移転 | GDPR第5章の要件に従う | これに相当する包括的な移転の仕組みはCCPAになし |
| 私人による訴訟 | データ主体はGDPR第82条に基づき損害賠償を請求可能 | 私人の訴権は主に一定のデータ侵害に関連 |
| GDPRの制裁金の上限 | 所定の違反について、最大2,000万ユーロまたは全世界年間売上高の4%のいずれか高い額 | 行政上の制裁金と法定損害賠償は、適用される規定と状況によって異なる |
GDPRとは
一般データ保護規則（GDPR）は、EUの包括的なデータ保護の枠組みです。個人データの処理を規律し、管理者および処理者として行動する組織の義務を定めています。
GDPRは、EU域内の個人への商品やサービスの提供、またはその行動のモニタリングに関わる一定の活動など、地理的適用範囲の要件を満たす場合、EU域外の組織にも適用されることがあります。
GDPRは、適法性・公正性・透明性、目的の制限、データの最小化、正確性、保存期間の制限、セキュリティ、アカウンタビリティといった原則を基礎としています。
CCPAとは
California Consumer Privacy Act（CCPA）は、カリフォルニア州の消費者に自己の個人情報に関する具体的な権利を与え、適用対象となる事業者に義務を課す法律です。
CCPAはCalifornia Privacy Rights Act（CPRA）により改正され、消費者の権利が追加されるとともに、California Privacy Protection Agency（CPPA）が創設されました。
現行のCCPAの枠組みには、透明性、消費者からの請求、個人情報の販売および共有、センシティブ個人情報、オプトアウト・プリファレンス・シグナル、その他のプライバシー管理策に関する要件が含まれます。
CPPAの現行規則には、2026年1月1日から適用される要件が含まれます。具体的には、改定されたCCPA規則のほか、一定の対象事業者に適用されるリスク評価、サイバーセキュリティ監査、自動化された意思決定技術に関する要件があります。
GDPRとCCPA：主な相違点
1. 地理的適用範囲
GDPR
GDPRは、第3条の条件を満たす場合、EU域内外を問わず組織に適用されることがあります。
これには、次のいずれかに該当するEU域外の組織が含まれる場合があります。
- EU域内の個人に商品やサービスを提供している
- EU域内の個人の行動をモニタリングしている
- EU域内の拠点を通じて事業を行っている
したがって、適用の有無は、組織の活動内容とGDPRの地理的適用範囲の要件に基づいて分析する必要があります。
CCPA
CCPAは、法律上の定義と所定の基準を満たす事業者に適用されます。カリフォルニア州居住者に関する情報を処理するすべての組織に適用される一般的なプライバシー法ではありません。
適用の有無は、組織の事業活動、収益、取り扱うカリフォルニア州の消費者の個人情報の量や性質などの要素によって決まります。
主な相違点： GDPRは地理的な適用範囲と、管理者・処理者といった役割を軸に構成されているのに対し、CCPAの適用は、対象事業者と法定の基準に重点を置いています。
2. 処理の法的根拠
GDPRとCCPAの最大の違いの一つは、適法な処理という考え方にあります。
GDPR
組織は、第6条に基づき、処理活動ごとに次のような適切な法的根拠を特定しなければなりません。
- 同意
- 契約
- 法的義務
- 生命に関する利益
- 公共の利益のための職務
- 正当な利益
特別な種類のデータを処理する場合には、追加の条件が適用されます。
CCPA
CCPAは、GDPRの6つの適法根拠というモデルを採用していません。
その代わりに、透明性、消費者の権利、一定の利用および開示の制限、個人情報の販売や共有などをオプトアウトできることに重点を置いています。
3. 同意とオプトアウト
GDPR
同意は利用可能な適法根拠の一つですが、すべての処理活動に自動的に求められるわけではありません。
同意を根拠とする場合、自由に与えられ、特定され、十分な説明を受けたうえでの、明確なものであることなど、GDPRの要件を満たす必要があります。
CCPA
CCPAは、消費者の選択とオプトアウトの権利を特に重視しています。
消費者は、次の事項についてオプトアウトする権利を有する場合があります。
- 個人情報の販売
- クロスコンテキスト行動ターゲティング広告を目的とする個人情報の共有
- センシティブ個人情報の一定の利用
- 一定の自動化された意思決定（該当する場合）
カリフォルニア州の枠組みは、一定の場合に、Global Privacy Control（GPC）などのオプトアウト・プリファレンス・シグナルも認めています。
4. 消費者およびデータ主体の権利
いずれの枠組みも個人に実質的なプライバシーの権利を与えていますが、用語と仕組みは異なります。
GDPR上の権利
状況に応じて、個人は次の権利を有する場合があります。
- 個人データへのアクセス
- 不正確なデータの訂正
- 個人データの消去
- 処理の制限
- 処理に対する異議
- データポータビリティ
- 同意の撤回
- 自動化された意思決定およびプロファイリングに関する権利
CCPA上の権利
カリフォルニア州の消費者は、次のような権利を有する場合があります。
- 知る権利
- 削除を求める権利
- 訂正を求める権利
- 販売または共有をオプトアウトする権利
- センシティブ個人情報の一定の利用および開示を制限する権利
- 一定の自動化された意思決定をオプトアウトする権利（該当する場合）
- 差別されない権利
カリフォルニア州司法長官（California Attorney General）は、CCPAが情報へのアクセス、削除、販売または共有のオプトアウト、差別の禁止に関する権利を消費者に与えていることを確認しています。
5. センシティブ個人情報
GDPR
GDPR第9条は、健康、識別に用いられる生体データ、遺伝データ、政治的意見、宗教上または思想上の信条などに関する情報を含む特別な種類の個人データについて、より手厚い保護を定めています。
処理には、原則として、第6条の法的根拠と適用可能な第9条の条件の両方が必要です。
CCPA
CCPAは、これとは別にセンシティブ個人情報を定義し、当該情報の一定の利用および開示に関する権利を消費者に与えています。
このように、カリフォルニア州の枠組みは、GDPRの特別な種類のデータというモデルとは異なるかたちで機微情報を取り扱っています。
6. データ侵害の通知
GDPR
個人データ侵害が個人の権利および自由にリスクをもたらすおそれがある場合、管理者は原則として、不当な遅滞なく、可能な場合には侵害を認識してから72時間以内に、所管の監督機関に通知しなければなりません。
侵害が個人に高いリスクをもたらすおそれがある場合には、影響を受ける個人への連絡も必要となることがあります。
CCPA・カリフォルニア州の侵害通知法
カリフォルニア州の侵害通知要件は、CCPAによる一律の72時間ルールではなく、同州のデータ侵害通知の枠組みと関連するプライバシー規定に基づいて運用されています。
対象となる組織は、適用されるカリフォルニア州の要件に照らしてインシデントを評価し、法律上求められる期間内に通知を行う必要があります。
主な相違点： GDPRは、対象となる侵害について72時間以内の監督機関への通知という固有の枠組みを定めていますが、カリフォルニア州は別の法定の侵害通知の枠組みを採用しています。
7. データ保護責任者
GDPR
データ保護責任者の選任は、第37条に定める場合に義務となることがあります。これには、中核的な活動が大規模かつ定期的・体系的なモニタリング、または特別な種類のデータの大規模な処理である一定の組織が含まれます。
CCPA
CCPAは、すべての対象事業者にGDPR型のデータ保護責任者の選任を求める一般的な義務を課していません。
ただし、活動内容と義務に応じて、プライバシー、セキュリティ、リスク評価、ガバナンスに関する適切な機能が必要となる場合があります。
8. プライバシー代理人
GDPR
EU域外に所在する一定の組織は、第27条が適用される場合、同条に基づきEU代理人を選任する必要があります。
代理人は、処理活動に関して、監督機関および個人の連絡窓口となります。
CCPA
CCPAには、GDPR第27条の代理人の要件に直接相当する制度はありません。
ただし、国際的に事業を行う企業には、カリフォルニア州に関する適切なプライバシーガバナンス、消費者からの請求への対応、規制当局との調整が引き続き必要となる場合があります。
9. 越境データ移転
GDPR
EU/EEA域外への個人データの国際移転は、GDPR第5章によって規律されます。
移転先と状況に応じて、次のような仕組みを利用できます。
- 十分性認定
- 標準契約条項（SCCs）
- 拘束的企業準則（BCRs）
- 該当する場合の特例
CCPA
CCPAは、GDPR第5章に相当する包括的な越境移転の制度を設けていません。
ただし、個人情報が国境を越えて移転またはアクセスされる場合には、契約、セキュリティ、透明性、ベンダー管理、その他適用される法的要件を引き続き検討する必要があります。
10. プライバシー通知と透明性
GDPRとCCPAはいずれも、処理活動について意味のある情報を提供することを組織に求めています。
GDPR
GDPRのプライバシー通知には、通常、次の事項を記載します。
- 管理者の名称および連絡先
- 処理の目的
- 法的根拠
- 個人データの種類
- 提供先
- 国際移転
- 保存期間
- データ主体の権利
- 苦情を申し立てる権利
- 自動化された意思決定（該当する場合）
CCPA
CCPAのプライバシーに関する開示には、通常、次の事項を記載します。
- 収集する個人情報の種類
- 収集および利用の目的
- 情報源の種類
- 提供先の種類
- 消費者の権利
- 販売・共有に関する開示
- センシティブ個人情報に関する開示
- オプトアウトの仕組み
11. 罰則と執行
GDPR
一定の重大な違反について、GDPRの制裁金は、2,000万ユーロまたは前会計年度の全世界年間総売上高の4%のいずれか高い額に達する可能性があります。
執行は各国の監督機関が担い、欧州データ保護会議（EDPB）を通じて調整されます。
CCPA
CCPAの執行は、California Privacy Protection Agency（CPPA）とカリフォルニア州司法長官（California Attorney General）が担っています。
CCPAには、行政上の制裁金に関する規定と、一定のデータ侵害に限定された私人の訴権が設けられています。制裁金の額と法定損害賠償は、適用される規定と状況によって異なります。
CPPAは現在、2025年から適用される基準額やその後の規則改定を含め、CCPAの枠組み、規則、金額基準を公表しています。
GDPRとCCPA：どちらが厳格か
一方の枠組みをあらゆる面で「より厳格」と評することは、必ずしも正確ではありません。
GDPRは一般に、次のようなより広範なアカウンタビリティの枠組みを課しています。
- 法的根拠の分析
- 処理の記録
- 該当する場合のデータ保護影響評価
- 所定の場合におけるデータ保護責任者の選任
- 国際移転の要件
- 管理者および処理者の詳細な義務
- 監督機関による監督
一方、CCPAは、消費者に対する透明性、販売・共有のオプトアウト、センシティブ個人情報、消費者からの請求、カリフォルニア州固有のプライバシー管理策を特に重視しています。
したがって、国際的に事業を展開する組織は、一方への準拠が自動的にもう一方を満たすと考えるのではなく、両方の枠組みを評価する必要があります。
GDPRとCCPA：1つのプライバシープログラムで両方に対応できるか
対応できます。ただし、共通のプライバシー管理フレームワークを軸とし、そのうえに法域固有の要件を重ねるかたちでプログラムを設計する必要があります。
統合されたプログラムには、次の要素を含めることができます。
データインベントリ
次の事項を特定します。
- どのような個人情報を収集しているか
- どこに保存しているか
- なぜ処理しているか
- 誰に提供しているか
- どのくらいの期間保存しているか
- どこに移転しているか
プライバシー権利の管理
次の事項に対応する一元的なプロセスを構築します。
- GDPRに基づくデータ主体からの請求
- カリフォルニア州の消費者からの請求
- 本人確認
- 請求の追跡
- 回答期限
- 例外とリーガルホールド
同意・プリファレンス管理
次の事項を管理します。
- GDPRの同意要件
- Cookieおよびトラッキングの設定
- CCPAの販売・共有のオプトアウト
- Global Privacy Controlシグナル
- 機微情報に関する設定
ベンダー・サードパーティ管理
次の事項を整理します。
- 処理者
- サービスプロバイダー
- コントラクター
- 広告パートナー
- アナリティクスプロバイダー
- データ共有の関係
インシデント対応
次の事項を特定できる、統一的な侵害対応プロセスを策定します。
- 適用される法域
- 通知の要否の基準
- 規制当局への通知要件
- 消費者への通知要件
- 証拠および文書化の要件
規制モニタリング
プライバシープログラムでは、EUとカリフォルニア州の双方の要件の変更を継続的にモニタリングする必要があります。
CPPAの現行の規制の枠組みには2026年1月1日から適用される改定が含まれており、カリフォルニア州のプライバシー法の適用を受ける組織にとって、継続的な規制モニタリングが特に重要になっています。
よくあるご質問
GDPRとCCPAの両方に対応する必要がありますか？
貴社がGDPRの地理的適用範囲の要件を満たし、かつCCPAの対象事業者にも該当する場合は、両方に対応する必要があります。2つの枠組みは透明性、アクセス、削除などの領域で重なりますが、要件は同一ではありません。
CCPAはGDPRと同じですか？
いいえ。いずれも共通する概念を持つ包括的なプライバシー法制ですが、規制の構造が異なります。GDPRはデータ保護の原則、適法根拠、管理者・処理者の義務を基礎としているのに対し、CCPAはカリフォルニア州の消費者の権利、透明性、オプトアウトの仕組みに重点を置いています。
CCPAでは、GDPRのように同意が必要ですか？
原則として必要ありません。CCPAはGDPRの適法根拠の枠組みを採用していません。ただし、未成年者に関わる一定の要件など、特定の場面では、CCPAの個別の要件により同意またはオプトインの仕組みが求められる場合があります。
CCPAには72時間以内の侵害通知ルールがありますか？
いいえ。CCPAに、GDPR第33条に相当する一律の72時間という侵害通知期限があるかのように説明すべきではありません。カリフォルニア州の侵害通知要件は、適用される同州法に基づいて運用されており、インシデントの性質と状況に応じて評価する必要があります。
CCPAではデータ保護責任者（DPO）の選任が必要ですか？
CCPAには、すべての対象事業者にGDPR型のDPOの選任を求める一般的な要件はありません。ただし、組織は、自らの義務とリスクプロファイルに応じて、適切なプライバシーガバナンスと責任体制を整備する必要があります。
CCPAでは第27条の代理人の選任が必要ですか？
いいえ。CCPAには、GDPR第27条のEU代理人の要件に直接相当する制度はありません。
GDPRへの対応はCCPAへの対応に役立ちますか？
はい。いずれの枠組みも透明性、プライバシー権利の管理、データガバナンス、アカウンタビリティを求めているため、成熟したGDPRプログラムはCCPA対応の強固な土台となります。ただし、カリフォルニア州固有の追加の管理策が必要です。
GDPRとCCPAのコンプライアンス診断を検討すべきなのは、どのような企業ですか？
両方を対象とする診断は、SaaS企業、テクノロジー企業、Eコマース事業者、広告・マーケティングプラットフォーム、AI企業、ヘルスケアテクノロジー事業者、フィンテック企業、グローバルな小売事業者、デジタルプラットフォーム、および複数の法域にまたがって消費者データを処理する企業にとって、特に有益です。
RegulatoryBridgeによるGDPR・CCPAコンプライアンス支援
GDPRとCCPAの要件を別々に管理すると、プロセスの重複、プライバシー通知の不整合、消費者からの請求対応ワークフローの分断を招くおそれがあります。
RegulatoryBridgeは、複数の法域にまたがる、連携のとれたグローバルなプライバシープログラムの構築を支援します。
当社の支援には、次のものが含まれます。
- GDPRコンプライアンス診断
- CCPA/CPRAコンプライアンス診断
- データマッピングとインベントリ
- プライバシー通知のレビュー
- データ主体および消費者からの請求対応ワークフロー
- 同意・プリファレンス管理
- Cookieおよびトラッキングに関するコンプライアンス
- ベンダーおよび処理者の評価
- 国際的なデータ移転の評価
- 侵害対応計画の策定
- プライバシーガバナンスとアカウンタビリティ
- 規制モニタリング
- 国境を越えたプライバシー代理人サービス
- 継続的なコンプライアンス支援
GDPRとCCPAを1つのプログラムでカバーしましょう。
コントロールを一度マッピングすれば、2つの規制に準拠できます。RegulatoryBridgeは、単一のDSARパイプライン、単一のDPO、単一の侵害対応ランブックを提供し、両方のフレームワークをカバーします。