今日、グローバル企業がアメリカで直面するサイバーセキュリティ・コンプライアンス課題の多くは、州法に起因するものとなっています。
州は、しばしば「民主主義の実験室」と称されます。サイバーセキュリティとプライバシーの分野においても、まさにその言葉通り、各州が連邦政府に先駆けて新しい規制アプローチを試み、その成功例が他の州、ひいては連邦レベルの議論に影響を与えるというダイナミックな動きが見られます。カリフォルニア州がプライバシー保護の新たな基準を打ち立てれば、それに追随する州が次々と現れ、全米50州すべてがデータ侵害の通知を義務付ける法律を持つに至りました 。
しかし、この州レベルでの規制の活発化は、企業にとってはコンプライアンスの複雑化を意味します。事業を展開する州ごとに異なる法律、異なる要件、異なる罰則に対応しなければならず、全米一律の対応が困難な場面が多々あります。
5-1. 包括的州プライバシー法の広がり
2010年代後半以降、アメリカのプライバシー・データセキュリティ規制の流れを決定づけたのは、間違いなく州レベル、特にカリフォルニア州の動きです。連邦議会で包括的なプライバシー法案の議論が停滞する中、カリフォルニア州は消費者の権利保護を旗印に、EUのGDPRにも比肩する強力な法律を制定し、これが全米に広がる新たな規制の波の起点となりました。
カリフォルニア州（CCPA/CPRA）の影響と「合理的なセキュリティ」の要求
2018年に成立し、2020年に施行されたカリフォルニア州消費者プライバシー法（California Consumer Privacy Act, CCPA）は、アメリカのプライバシー法制における分水嶺となりました 。CCPAは、消費者に自らの個人情報に対する広範な権利（知る権利、削除する権利、オプトアウトする権利など）を付与し、対象となる事業者に透明性の高い情報管理を義務付けました 。
さらに、2020年の住民投票で承認され、2023年に完全に施行されたカリフォルニア州プライバシー権法（California Privacy Rights Act, CPRA）は、CCPAをさらに強化・拡張するものです。サイバーセキュリティの観点から、これらの法律が持つ最も重要な意味は、以下の2点に集約されます。
- 「合理的（Reasonable）」なセキュリティ対策の法的義務化：
CCPA/CPRAは、個人情報を収集・維持する事業者に対し、「その情報の性質に適した、合理的（Reasonable）なセキュリティ手順及び慣行を導入・維持する」ことを法的な義務として明確に課しました 。これは、これまでFTCの執行や判例法の中で形成されてきた「合理的な注意義務」を州の成文法として具体的に要求するものです。事業者は、NIST CSFなどの業界標準を参考に、自社が取り扱う個人情報のリスクに応じた適切なセキュリティ体制を構築・維持していることを、規制当局に対して説明できなければなりません。 - データ侵害に起因する私的訴訟権（Private Right of Action）：
CCPA/CPRAの最も強力な執行メカニズムの１つが、私的訴訟権です。これは、事業者が上記の「合理的なセキュリティ」義務に違反した結果、暗号化されていない特定の個人情報がデータ侵害（不正アクセス、窃取、開示）の対象となった場合、影響を受けた消費者が事業者に対して直接、損害賠償を求める訴訟を起こすことができるという権利です 。- 法定損害賠償： 消費者は、実際の損害を証明せずとも、1インシデント・1消費者あたり100ドルから750ドルの法定損害賠償を請求できます 。
- クラスアクションのリスク： この規定により、大規模なデータ侵害が発生した場合、事業者は数百万ドル、あるいは数億ドル規模のクラスアクション（集団訴訟）に直面するリスクを負うことになります。これは、企業にとって極めて大きな財務的リスク・レピュテーションリスクであり、セキュリティ対策への投資を促す強力なインセンティブとなっています。
他州（バージニア州、コロラド州など）の動向と比較
CCPA/CPRAの成功は、他の州にも大きな影響を与えました。2021年以降、バージニア州（VCDPA）、コロラド州（CPA）、ユタ州（UCPA）、コネチカット州（CTDPA）など、多くの州が類似の包括的プライバシー法を次々と制定しています 。
これらの法律は、カリフォルニア州のモデルに倣い、消費者に対する情報アクセス権や削除権を認めるとともに、事業者に対してデータ保護評価の実施や「合理的」なセキュリティ対策の導入を義務付けています 。
ただし、重要な違いも存在します。多くの州法は、カリフォルニア州と異なり、データ侵害に対する広範な私的訴訟権を認めていません。これらの州では、法律の執行は主に州司法長官（AG）の権限とされています。この点は、企業が直面する訴訟リスクのレベルを左右する大きな違いですが、「合理的なセキュリティ」を維持する義務自体は共通しており、州司法長官による執行リスクは依然として存在します。
5-2. 全米50州のデータ侵害通知法
州レベルのサイバーセキュリティ規制として、早い段階から存在したのがデータ侵害通知法（Data Breach Notification Law）です。2003年にカリフォルニア州が全米で初めて制定して以来、現在では全米50州・コロンビア特別区の全てが独自のデータ侵害通知法を定めています 。
これらの法律の基本的な考え方は共通しており、「事業者が管理する州民の特定の個人情報が不正にアクセスまたは取得された（侵害された）場合、事業者は影響を受けた州民や関係当局にその事実を通知しなければならない」というものです。しかし、その具体的な要件は州ごとに異なり、この多様性が、インシデント対応における実務上の大きな課題となっています。
各州の要件（対象情報、通知期限、通知先）の違いと実務上の課題
大規模なデータ侵害が発生し、全米の顧客に影響が及んだ場合、企業は50以上の異なる法律の要件を同時に満たす必要があります。特に注意すべき相違点は以下の通りです。
1. 通知のトリガーとなる「個人情報」の定義：
- 基本セット： 多くの州では、「氏名」と社会保障番号・運転免許証番号・金融口座番号（パスワード等を伴う）のいずれかの組み合わせを「個人情報」と定義してきました。
- 拡張セット： 近年、この定義は拡大しており、医療情報・健康保険情報・オンラインアカウントの認証情報・生体情報等も対象に含める傾向にあります。
- 例外： 暗号化されておりかつ暗号鍵が侵害されていない個人情報は、多くの場合、通知義務の対象外となります（セーフハーバー）。
2. 通知期限：
通知のタイミングは、州によって大きく異なります。
- 「不当な遅滞なく」： 多くの州が採用する一般的な基準ですが、解釈の幅があります 。
- 具体的な期限の設定：より厳格な州では、侵害の発見から特定の日数以内の通知を義務付けています。
- 30日以内：フロリダ州、メイン州等
- 45日以内：アリゾナ州、オハイオ州、ワシントン州等
- 60日以内：コネチカット州、デラウェア州等
3. 通知先：
通知は、影響を受けた個人に対して行うのが基本ですが、多くの場合、それ以外の関係者への通知も義務付けられています。
- 影響を受けた個人：すべての州で要求されます。
- 州司法長官（AG）：多くの州では、一定数（例：500人）以上の州民に影響が及んだ場合に、州司法長官への通知が必要です。
- 信用情報機関：大規模な侵害（例：1,000人以上）の場合、Equifax、Experian、TransUnionといった主要な信用情報機関への通知を義務付ける州もあります。
これらの要件の違いは、インシデント発生時の混乱の中で、法務・コンプライアンス部門に大きな負担を強います。どの州の住民が何人影響を受けたかを正確に把握し、それぞれの州法が定める期限内に、適切な内容と方法で、適切な相手に通知を行うという、極めて複雑なプロジェクト管理が求められることになります。
5-3. セクター特化型の厳格な州規制
包括的プライバシー法やデータ侵害通知法に加え、一部の州では、特定の産業分野や特定の種類のデータに対して、連邦法を上回るほど詳細かつ厳格なサイバーセキュリティ規制を導入しています。これらの規制は、しばしば全米の同業他社にとっての事実上のベンチマークとなり、業界全体のセキュリティ水準に大きな影響を与えています。
ニューヨーク州金融サービス局（NYDFS）サイバーセキュリティ規則（Part 500）
2017年に施行されたニューヨーク州金融サービス局（NYDFS）のサイバーセキュリティ規則（23 NYCRR Part 500）は、アメリカの州レベルの規制の中で最も影響力のあるものの１つです。この規則は、ニューヨーク州で事業を行う銀行・保険会社その他の金融サービス事業者（NYDFSの免許・認可を受ける事業者）を対象としています。
NYDFS規則は、NIST CSFのようなリスクベースのフレームワークの考え方を取り入れつつも、事業者が実施すべき具体的な対策を義務として詳細に規定している点で画期的です。
主要な義務：
- サイバーセキュリティプログラムの確立とCISOの任命
- 定期的なリスクアセスメント・侵入テスト・脆弱性評価
- アクセス権限の管理・監査証跡の維持・アプリケーション・セキュリティ
- 第三者サービスプロバイダーのセキュリティ管理
- 多要素認証（MFA）と暗号化の義務付け
- インシデント対応計画の策定と72時間以内のインシデント通知
- 年次準拠証明の提出
この規則は、金融機関の経営層にサイバーセキュリティに対する明確な説明責任を課すものであり、その詳細かつ規範的なアプローチは他の州や連邦レベルの規制にも大きな影響を与えています。
生体情報プライバシー法（イリノイ州BIPAなど）のリスク
もう１つ、企業にとって重大な訴訟リスクをもたらす州法が生体情報プライバシー法です。その代表例が、2008年に制定されたイリノイ州生体情報プライバシー法（Biometric Information Privacy Act, BIPA）です。
BIPAは、企業が個人から生体認証情報（指紋、声紋、顔貌・網膜スキャンなど）を収集・利用する際に、非常に厳格な手続きを義務付けています。
- 書面によるポリシーの公開
- 事前の書面による通知と同意（オプトイン）
- 原則として開示・販売の禁止
- 合理的なセキュリティ対策の義務
BIPAが特に注目される理由は、私的訴訟権と法定損害賠償を定めている点です。
- 過失による違反：1違反あたり1,000ドル
- 意図的または無謀な違反：1違反あたり5,000ドル
イリノイ州最高裁判所は、BIPA違反の訴訟を提起するにあたり、消費者は実際の損害を証明する必要はないとの判断を示しています。つまり、同意手続の不備といった形式的な違反だけでも、企業は巨額のクラスアクションに直面する可能性があるのです。このBIPAのリスクは、テキサス州やワシントン州等、類似の法律を制定する他の州にも広がっており、生体情報を扱う企業にとって最大のコンプライアンス課題となっています。