カリフォルニアDROPツール、個人データ削除を一元化
カリフォルニア州が運用するDROPツールは、1回の申請で614社のデータブローカーに対し個人情報の削除と販売停止を要求できる。プライバシー保護の実効性を高める仕組みとして注目される。
Hayley Tsukayama が EFF Deeplinks で報じたところによれば、カリフォルニア州が提供するDROP（Delete Request and Opt-out Platform）ツールが、個人データ保護の新たな手段として注目を集めている。このツールは、州に登録された全データブローカーに対して、1回の申請で個人情報の削除と販売停止を要求できる仕組みだ。
DROPの基本機能
DROPリクエストとは、カリフォルニア州のデータブローカーレジストリに登録された全事業者に対し、個人情報のデータベースからの削除と、情報の販売・共有の停止を求める機能を提供する。現時点で、1回のDROP申請で614社のブローカーにリーチできる。
データブローカーとは、個人に関する情報を収集し、再パッケージ化して販売する企業を指す。多くの場合、名前、住所、電話番号、メールアドレス、購買履歴などが収集・売買の対象となる。
申請後、データブローカーには2026年8月1日以降、45日以内の対応義務が課される。DROPツール自体は2026年1月1日に正式ローンチしていたが、企業側には同年8月1日までの準備期間が与えられていた。現在申請を行えば、この制度の初期段階から恩恵を受けられる立場となる。
法改正の背景
EFFはこのDROPツールを生み出した法律、すなわちDelete Actの制定を支援してきた。カリフォルニア州の消費者には、企業に対し自身の情報削除を要求する権利と、情報の販売を拒否する権利が既に存在していた。
しかし実務上の課題は、これらの権利行使が極めて煩雑で時間を要する点にあった。データブローカーは相互に情報を売買・交換するため、消費者自身がどの企業に申請すべきか把握することすら困難だった。個別の申請作業も負担が大きい。
DROPはこれらの申請をデータブローカーレジストリと連携させることで、プロセスを大幅に短縮した。EFFは、このツールがプライバシー法のユーザーフレンドリー化を促進し、個人情報の無秩序な収集・販売が日常生活にもたらすリスクを低減すると評価している。
個人への実質的メリット
DROP申請には複数の実質的な利点がある。第一に、データブローカーはスパム送信者（あるいはスパム業者と同様の手法を用いる企業）に対してメールアドレスや電話番号を提供する主要な情報源となっている。ブローカーリストから自身の情報を削除すれば、こうした迷惑メッセージの減少が期待できる。
第二に、個人情報を保有する企業数を減らすことは、個人のサイバーセキュリティ向上に直結する。情報を保持する事業者が少なければ、その分ハッキングによる情報漏洩のリスクも低減される。
第三に、自身の個人情報がどのように収集・利用されるかについて、より強いコントロールを行使できる点が挙げられる。オプトアウトしない限り、データブローカーは個人情報を悪質な企業に販売する可能性がある。
制度の意義と課題
カリフォルニア州のDROPツールは、消費者プライバシー保護の実効性を高める取り組みとして位置づけられる。従来の個別申請方式では、多数のブローカーへの対応は事実上不可能に近かった。ワンストップの申請窓口を設けることで、権利行使のハードルを下げた点は評価に値する。
一方で、いくつかの課題も指摘できる。DROPはカリフォルニア州居住者のみを対象としており、他の州の住民は利用できない。また、データブローカーが適切に申請を処理しているかを監視する体制や、違反時の罰則の実効性については、今後の運用実績を注視する必要がある。
614社という数字は多いが、全てのデータブローカーがカリフォルニア州のレジストリに登録されているわけではない。制度のカバレッジには限界があり、完全なデータ削除を保証するものではない点には留意が必要だ。
編集部の見解
DROPツールの登場は、プライバシー規制の実効性を高める一つのモデルケースと見ることができる。短期的には、カリフォルニア州居住者の間で申請が増加し、迷惑メールや不要なターゲティング広告の減少といった直接的な効果が現れる可能性が高い。また、他州の消費者団体や議員が同様の制度を検討する契機となるだろう。データブローカー業界にとっては、コンプライアンス対応コストの増加を迫られることになる。 長期的視点では、DROPのような一元申請ツールが全米または国際的に普及するかどうかが焦点となる。EUのGDPRにおけるワンストップショップ制度のように、プライバシー権行使の統合窓口は理論的には有効だが、規制の分散化が進む米国では実現へのハードルは高い。また、データブローカーによる回避行為（削除後の再収集など）への対策も、制度の持続可能性を左右する。 編集部からの問いとして、技術的な観点から二つの論点を提示したい。一つは、DROP申請の処理を自動化・検証するためのAPI整備の必要性である。申請の到達確認や処理状況の追跡が可能になれば、消費者の信頼はさらに高まる。
参考
- 「Protect Your Privacy with California’s DROP Tool」, by Hayley Tsukayama — EFF Deeplinks, 2026-07-20T21:55:28.000Z (CC BY)
- 元記事URL: https://www.eff.org/deeplinks/2026/07/what-you-need-know-about-californias-drop-tool
よくある質問
- DROPツールは誰が使えるのか
- カリフォルニア州に居住する個人が利用できる。申請は州の公式ポータルサイトから行い、身分証明の提出が必要となる。現時点ではカリフォルニア州外の住民は対象外である。
- DROP申請後にデータブローカーが対応しない場合の救済手段はあるか
- カリフォルニア州プライバシー保護局（CPPA）が監督権限を持ち、違反事業者に対して罰則を科すことができる。申請者は対応状況を追跡し、問題があればCPPAに報告することが推奨される。
- DROP申請を行っても個人情報が完全に削除される保証はないのか
- 完全な削除を保証するものではない。データブローカーが他のルートで情報を再取得する可能性や、登録されていないブローカーが情報を保持し続ける可能性がある。定期的な申請と、他のプライバシー保護手段との併用が効果的である。
コメント