連邦取引委員会 (FTC) は、米国における消費者プライバシーおよびデータ セキュリティ法を執行する主要な連邦機関です。FTC は、FTC 法第 5 条に基づき、商取引に影響を及ぼす不公正または欺瞞的な行為や慣行に関与する企業に対して執行措置を講じる権限を有しています。
不公正な行為または慣行とは、消費者が合理的に回避できず、消費者または競争に対する相殺利益によって上回られない、消費者に重大な損害を引き起こす、または引き起こす可能性のある行為または慣行を指します。欺瞞的な行為または慣行とは、状況下で合理的に行動する消費者を誤解させる可能性のある重要な表示、省略、または慣行を伴う行為または慣行を指します。
2005 年の BJ's Wholesale Club に対する FTC の措置は、欺瞞ではなく公平性の問題に基づいていたという点で特異なものでした。FTC は、倉庫型店舗とガソリンスタンドを運営する小売業者である BJ's Wholesale Club が、クレジットカードやデビット カードの磁気ストライプから収集した名前、カード番号、有効期限などの顧客の機密情報に対して適切なセキュリティを提供できなかったと主張しました。FTC は、この情報が権限のない人物によって使用され、数百万ドルの不正購入が行われたと主張しました。FTC は、BJ's Wholesale Club がデータ セキュリティ慣行に関して虚偽または誤解を招くような陳述や省略を行ったとは主張していませんが、適切なセキュリティ対策を講じなかったことは、FTC 法第 5 条に違反する不公正な慣行であると主張しています。FTC は、BJ's Wholesale Club のセキュリティが不十分だったために、消費者が合理的に回避できず、消費者や競争への利益によって上回られることのない重大な損害が消費者に生じたか、生じる可能性があったと主張しました。
FTC による BJ's Wholesale Club に対する措置は、FTC が不公平行為権限を使用してデータ セキュリティの問題に対処した最初のケ​​ースの 1 つであり、消費者データを保護できない企業に対する今後の執行措置の先例となりました。和解により、BJ's Wholesale Club は包括的な情報セキュリティ プログラムを導入し、20 年間にわたり 2 年ごとに独立した第三者セキュリティ専門家による監査を受けることが義務付けられました。参考資料:
* FTC苦情、第1-23段落
* 同意命令を含むFTC協定、第1～9項
* パブリックコメントを支援するための同意命令案の FTC 分析、1 ～ 3 ページ
* [IAPP CIPP/US 学習ガイド]、69-70ページ

米国では、パンデミック接触追跡アプリは、単一の包括的な枠組みではなく、連邦および州のプライバシー法の寄せ集めに基づいて規制されている。接触追跡の取り組みには、位置情報や健康情報などの機密データの収集と処理が含まれることが多く、管轄区域やデータの種類に応じて異なる法的制度の対象となる可能性がある。
接触追跡アプリに影響を与える主な規制:
* 州のプライバシー法:
* カリフォルニア州（カリフォルニア州消費者プライバシー法 - CCPA）などの州では、特に個人データが収集または共有される場合に、接触追跡アプリに適用される可能性があるプライバシー法が定められています。
* 州レベルの健康プライバシー法によって、健康関連データの収集方法と使用方法も規定される場合があります。
* HIPAA:
* HIPAA (医療保険の携行性と責任に関する法律) は、アプリが対象事業体 (医療提供者や健康保険など) によって、またはその代理で使用される場合にのみ適用されます。アプリが HIPAA 対象事業体と関係のない民間企業によって運営されている場合、HIPAA は適用されない可能性があります。
* 連邦政府のガイダンス:
* 連邦取引委員会 (FTC) は、不公正または欺瞞的な行為を禁止する FTC 法第 5 条に基づいて一般的なプライバシー保護を実施しています。
* FTC は、健康関連アプリのプライバシーに関する考慮事項に関するガイダンスも発行しています。
* その他の連邦法およびセクター固有の法律:
* アプリが健康関連のデータを収集する場合、アメリカ障害者法（ADA）などの法律や業界固有の規則に基づく義務が発生する可能性もあります。
オプションの説明:
* A. 接触追跡は、医療保険の携行性と責任に関する法律 (HIPAA) のみの対象です。これは誤りです。HIPAA は対象となる事業体とそのビジネス関連者にのみ適用され、すべての接触追跡アプリや取り組みに広く適用されるわけではありません。
* B. 接触者追跡は米国疾病予防管理センター（CDC）によって規制されています。
これは誤りです。CDC は公衆衛生に関するガイダンスと推奨事項を提供していますが、接触追跡アプリに対する規制権限はありません。
* C. 接触追跡は連邦および州のプライバシー法の寄せ集めの対象です。これは正解です。
米国の接触追跡アプリは、さまざまな連邦法、州法、および業界固有の法律によって規制されており、不完全な規制枠組みを形成している。
* D. 接触者追跡は米国では規制されていない: これは誤りです。接触者追跡には単一の規制枠組みはありませんが、この行為は複数の連邦法と州法の対象となります。
CIPP/US 資料からの参照:
* IAPP CIPP/US 認定テキスト: 接触追跡アプリを含む健康関連テクノロジーへの HIPAA、州のプライバシー法、連邦規制の適用について説明します。
* 健康アプリに関する FTC ガイダンス: 健康関連データを扱うアプリ開発者向けのプライバシーに関する考慮事項について詳しく説明します。

電子情報開示とは、当事者が電子的に保存された情報 (ESI) を共有、確認、収集し、法的事項の証拠として使用するプロセスです1。電子情報開示の規則は、訴訟のニーズとテクノロジーの現実のバランスをとる方法で ESI を保存、収集、確認、および作成するための標準と手順を確立するため、主にビジネス慣行とテクノロジーの保護手段の間の矛盾を防ぎます2。たとえば、連邦民事訴訟規則 (FRCP) は、電子情報開示の範囲、タイミング、形式、方法、および電子情報開示の義務に従わなかった場合の制裁に関するガイダンスを提供します3。この規則は、電子情報開示の問題を効率的かつ効果的に解決するために、当事者と裁判所間の協力とコミュニケーションも奨励しています4。電子情報開示の規則に従うことで、当事者は、互換性のない、または一貫性のないビジネス慣行とテクノロジー慣行から生じる可能性のある紛争、遅延、およびコストを回避できます。
その他のオプションは、eDiscovery 規則の主な目的ではありませんが、eDiscovery 規則と関連したり、eDiscovery 規則の影響を受ける可能性があります。eDiscovery 規則は、訴訟が合理的に予想される場合に、関連する ESI を保存する義務を課していますが、不適切なデータ保持慣行による情報の損失を直接防止するものではありません5。eDiscovery 規則は、従業員が個人用デバイスを仕事に使用する慣行を直接防止するものではありません6。ただし、当事者に、個人用デバイスを含む、開示の対象となる可能性のある ESI のソースを特定して開示することを要求しています6。eDiscovery 規則は、組織のデータ保持プログラムの違反を直接防止するものではありません7。ただし、当事者に、ESI を合理的に使用可能な形式で作成し、特権情報または機密情報を保護することを要求しています7。
参考文献: 1: 「E-Discovery について知っておくべきことすべて」、The National Law Review。2: 「E-Discovery: E-Discovery の基本ガイド - Exterro」、Exterro.com。3: 「連邦裁判所および政府機関の E-Discovery のルールとガイドライン」、Crowell & Moring LLP。4: 「FRCP ルール 1」、コーネル大学ロースクール。5: 「FRCP ルール 37」、コーネル大学ロースクール。6: 「FRCP ルール 26」、コーネル大学ロースクール。7: 「FRCP ルール 34」、コーネル大学ロースクール。