より厳しい州法を優先する規定を含まない連邦法は、テレマーケティング消費者保護および詐欺防止法1である。この法律は、連邦取引委員会（FTC）に、電話勧誘禁止登録、ロボコールの禁止、重要情報の開示など、テレマーケティング慣行に関する規則を制定および施行する権限を与えている2。しかし、この法律は、
「この条項の規定の対象となる人物がテレマーケティング慣行に関する州の法律を、その州法がこの条項の規定と矛盾する場合を除き、また矛盾する場合でもその矛盾する範囲に限定して、無効にし、変更し、または影響を及ぼし、または免除すること」1。これは、州が連邦法よりも保護が劣らない限り、テレマーケティングに関する独自の法律を制定し、施行できることを意味します。対照的に、質問に挙げられている他の 3 つの法律には、電子通信、オンライン プライバシー、およびクレジット取引の特定の側面を規制する州の権限を制限または無効にする優先条項が含まれています 345。参考文献: 1: テレマーケティング消費者保護および詐欺防止法2: テレマーケティング販売規則 | 連邦取引委員会3: CAN-SPAM 法: ビジネス向けコンプライアンス ガイド4: 児童オンライン プライバシー保護規則 (「COPPA」) |連邦取引委員会5: 2003年公正かつ正確な信用取引法 - Wikipedia : IAPP CIPP/US 認定情報プライバシー専門家学習ガイド、第5章: 連邦取引委員会と消費者プライバシー、p. 144-145、149-150、
154-155

記録を保持する正当なビジネス上の目的は、参照、給付および年金の問い合わせ、法的手続き、法律または規制の保持要件、健康と安全の問題などに役立つ可能性があります。

データ分類とは、機密性と保護のレベルを決定するために、機密性と重要性に基づいてデータを分類するプロセスです。データ分類は、組織が適切なセキュリティとコンプライアンス対策を適用して、各カテゴリが適切に保護されるようにするのに役立ちます1。データ分類は、組織がGDPR、HIPAA、CCPAなどの特定のプライバシー法と規制の対象となるデータを特定し、データ主体の要求、データ侵害、法的証拠開示を処理する方法を決定するのにも役立ちます2。組織が、個人情報、財務情報、健康情報などの高機密に分類されたデータを、公開情報や内部情報などの低機密に分類されたデータと同じシステムで保持している場合、データ侵害が発生した場合に高機密データが漏洩するリスクが高まります。データ侵害は、法的結果、評判の低下、顧客や利害関係者からの信頼の喪失につながる可能性があります。したがって、分類に基づいてデータを分離し、各カテゴリに異なるレベルの暗号化、アクセス制御、監視を適用することをお勧めします3。このようにして、組織はデータ侵害の影響を最小限に抑え、データ資産のプライバシーとセキュリティを保護できます。参考文献:
* データ分類が重要な理由
* GDPR のデータ分類の説明
* データの分類とプライバシーに関する考慮事項

CCPA は、企業が合理的かつ適切なセキュリティを導入しなかったために、特定の機密性の高い個人情報カテゴリに影響するデータ セキュリティ侵害が発生した場合、消費者に法定損害賠償を求める民事訴訟権を与えています。CCPA では、この目的での個人情報を、個人の名前と、社会保障番号、運転免許証番号、口座番号、クレジットカード番号またはデビット カード番号、医療情報、健康保険情報のいずれかとの組み合わせと定義しています。CCPA では、消費者が 1 回のインシデントにつき 100 ドルから 750 ドルの損害賠償、または実際の損害のいずれか大きい方の金額を求めることができます。また、CCPA では、訴訟を起こす前に、消費者が企業に 30 日前に書面で通知し、違反を是正する機会を与えることも義務付けています。さらに、CCPA では、訴訟を起こしてから 30 日以内に司法長官に通知し、訴訟を進める前に司法長官の承認または異議なしの回答を得ることも義務付けています。したがって、ジョンは、データ侵害の結果として被った金銭的損害を回復するために、データ侵害について企業を訴えることができ、また、CCPA の要件を満たしている限り、金銭的損害を被ったかどうかに関係なく、状況によっては法定損害賠償を求めることができます。参考資料:
* CCPAはデータセキュリティ侵害に対する民事訴訟権を付与
* CCPA 民事訴訟権 - データ侵害セキュリティ要件
* データ保護違反に対する CCPA の罰金と罰則 | MatrixPoint

欧州のプライバシーに対するアプローチは、プライバシーを強力な法的保護と監視を必要とする基本的人権と認識することに基づいています。EU は、一般データ保護規則 (GDPR) や ePrivacy 指令など、個人データに関わるすべての分野と活動に適用される包括的かつ拘束力のあるプライバシー法を採用しています。また、EU には、プライバシー法の遵守を監視および強制する独立したデータ保護機関 (DPA) と、プライバシー問題に関するガイダンスと意見を発行する欧州データ保護委員会 (EDPB) があります。EU は、第三国または国際機関に転送される個人データに対しても、適切なレベルのプライバシー保護を要求しています。
対照的に、米国のプライバシーに対するアプローチは、連邦法と州法、業界の行動規範、消費者教育、市場の力の組み合わせに依存するセクター別および自主規制モデルに基づいています。
U.S. には、個人データに関わるすべての分野と活動を網羅する、包括的で執行可能な連邦プライバシー法は存在しません。その代わりに、米国には、健康、金融、子供、電子通信のプライバシーなど、特定の問題や分野に対処する連邦法と州法の寄せ集めがあります。
U.S. には、連邦取引委員会 (FTC)、連邦通信委員会 (FCC)、保健福祉省 (HHS) など、プライバシー問題に関する管轄権を共有するさまざまな連邦および州機関もあります。米国はまた、プライバシーに関する自主的な行動規範、基準、ベスト プラクティスを開発し、遵守する業界による自主規制に依存しています。米国では、データ主体が同意した場合、または転送がプライバシー シールドや標準契約条項などのメカニズムによってカバーされている限り、適切なレベルのプライバシー保護を要求せずに、個人データを第三国または国際組織に転送することも許可されています。
欧州のプライバシー保護の取り組みを支持する人々の中には、プライバシー保護の自主規制に懐疑的な人々もいる。自主規制はデータ主体の権利と利益を保護するには効果的でも一貫性もなく、説明責任も十分ではないと考えているからだ。彼らは、自主規制では業界がプライバシー規則を遵守したり、プライバシーを強化する技術や慣行を採用したりするのに十分なインセンティブや制裁が与えられない可能性があると主張している。また、自主規制ではデータ主体の意見や期待が反映されない可能性があり、新しい技術やビジネスモデルによってもたらされる新たな複雑なプライバシーの課題に対処できないとも主張している。彼らはまた、自主規制の透明性と正当性、データ主体が権利を行使してプライバシー侵害の救済を求める能力についても疑問視している。参考文献:
* IAPP CIPP/US 学習ガイド、第 1 章: 米国のプライバシー環境の概要、9-10、16-17 ページ
* IAPPウェブサイト、CIPP/US認証
* NICCSウェブサイト、米国認定情報プライバシー専門家（CIPP/US）トレーニング