コネクテッドカーの普及によって個人データの収集量が増える中、自動車メーカーは州ごとに異なるプライバシー保護規制への対応に苦慮している。

◇包括的な連邦法なし

オートモーティブ・ニュースによると、米国にはプライバシー保護に関する連邦法が存在しないため、企業は州単位で規則に従わなければならず、法令対応は年々複雑になっている。カリフォルニア州は2018年に包括的なプライバシー関連法（州消費者プライバシー法=CCPA）を制定、20年に施行したが、その後22州が同様の州法を制定した。

環境は常に変化しているため、企業が全米で通用する最善の方法を導入したと思っても、実際は40州程度でしか通用しないような事態も発生する。大手自動車メーカーを代表する自動車イノベーション協会（AAI）は、こうした状況が法令順守を不必要に難しくしているとして、連邦レベルの統一的な法律制定を求めるロビー活動を行っている。

各州法の基本的な枠組みは似ており、多くは個人データの収集・利用に関する通知、特定のデータ利用について利用者の同意取得（オプトイン/オプトアウト）、個人が自分のデータに関する権利を行使できる仕組み…を義務付けている。データ保護のための安全対策も義務付けているものの、その内容はあいまいな場合が多く、これが業界の不満の種といわれている。自動車メーカーの場合、コネクテッドカーが収集する位置情報が代表的な州法適用例だが、必要最小限しか収集しない「データの最小化」を義務づけるかどうか、利用目的ごとに必要な同意の種類、機微情報の定義などが州によって異なり、折り合いをつけるのが難しい。

◇加州の基準適用だけでは不十分に

自動車メーカーは概して、全米で通用しそうな最も厳しい州の基準を採用するか、州ごとに規制に対応するかの選択を迫られるが、各州が次々と独自の規制を導入しているため前者の選択は難しくなっている。一部の自動車メーカーはカリフォルニア州を基準としながら他州の独自の基準を上乗せして対応している。

こうした判断は、メーカーのリスク許容度や、どの州がプライバシー関連法を積極的に施行しているかによって左右される。トヨタの場合、カリフォルニア州でCCPAが成立した後、同法を全米で適用することにしたが、何年かはうまく機能したこのモデルも、各州法がますます独自色を強める中で課題も増えている。プライバシー規制への対応を怠っていたメーカーは、今になってあわてて体制整備を進めている。

一方、規制当局による取り締まりは本格化している。昨年はホンダが、CCPAに違反したとしてカリフォルニア州から63万ドルを超える罰金を科された。この3月にはフォードが、データ利用のオプトアウト手続きを複雑にしていたとして同州から約37万6000ドルの罰金を要求された。5月には、GMが顧客データを信用情報会社へ販売していた問題で、同社がデータ販売を5年間停止することなどを条件に1275万ドルで加州と和解した。こうした例はまだ始まりに過ぎず、今後は州司法長官同士の連携や専門部署の拡充によって取り締まりがさらに強まると見られている。

(U.S. Frontline News, Inc.社提供)