CCPAでは、消費者（カリフォルニア州の住民）に8つのプライバシーの権利を与え、当該消費者の個人情報を処理する事業者に8つの義務を定めています。

ここで挙げられている消費者の権利は現在のプライバシー関連法規制で一般的になっているものもありますが、一部に他より更に厳格な内容が含まれます。具体的には、業者が第三者に対して情報を販売することを止めるよう命令できる権利(個人情報の販売に関するオプトアウト権)がそれに当たります。

なお、ここでいう消費者とは、カリフォルニア州の住民を指しており、事業者は下記条件を全て満たすものが対象となります。

つまり、カリフォルニア州民の個人情報を収集している場合には、日本企業であってもCCPAで言う事業者に該当する可能性が考えられます。また、その企業のグループ企業も上図の定義２の要件により事業者と認識される可能性があります。

個人情報について、CCPAでは「特定の消費者又は世帯を、識別し、関連し、叙述し、関連付けることができ、又は直接的にもしくは間接的に合理的にリンクさせることのできる情報」と幅広く規定しています。

日本では、会員情報等と紐付けられる場合のみIPアドレスが個人情報扱いになっていますが、CCPAではIPアドレスのみでも個人情報と扱われるため、より厳格です。

また、CCPAに違反した場合、事業者は違反1件につき最大2,500ドル（故意による違反の場合、最大7,500ドル）の罰金が科せられます。

次に、CCPAとGDPR、日本の個人情報保護法を比較していきます。

三者を比較した場合、部分的にはCCPAがより厳格なものの、その制裁金の大きさから言っても、全体的にはGDPRが最も厳格で、次にCCPA、個人情報保護法が続きます。

個人情報の定義として、GDPRとCCPAでは、単体で個人を直接識別できない情報（クッキー情報やIPアドレス）であっても、何らかの追加情報(例えば会員情報)と組み合わせて個人特定ができる場合は個人情報扱いになるのに対し、日本では個人情報と容易に照合できる場合のみ個人情報扱いになります。

データ移転では、CCPAは個人データを持つ本人との同意は不要なものの、金銭やその他価値のある対価のために行われるデータ移転は販売とみなされ、事業者が対応する義務が発生します。GDPRは個人データの移転は原則違法、個人情報保護法に関しては同意を取得していれば、データ移転が可能となっています。

また、罰則、制裁金の観点で見ると、GDPRはCCPA、日本の個人情報保護法と比較して、罰則金が圧倒的に高く、やはりGDPRには特に留意する必要があります。

前述しているように、現在カリフォルニア州に住む消費者の個人情報を処理している企業は、ある程度以上のビジネス規模であれば、日本企業であってもCCPA適用対象になり得ます。

CCPAの適用対象か曖昧な場合にも、CCPA適用対象と見なされる可能性はあるとして、それに備えた準備を進めることが望ましく、適用対象外と判断する場合には、その根拠を整理し、説明できるようにしておくことが重要です。

また、プライバシー法規制の厳格化という意味において、GDPRもCCPAも同じ方向性ではあるものの、個人情報の定義等、主要な要件では異なる部分が多々あるため、GDPRに準拠しているからと言って、そのままCCPAにもその運用が通用する訳ではない、という点にも注意が必要です。

個々の法律に一つ一つ対応していくのは相当な負荷がかかりますが、GDPR などを含む世界各国のプライバシー法規制に対応できる包括的な運用体制・仕組みをカバーした認証基準として、ISO27701:2019も発行されており、これに対応する企業も今後増加することが見込まれます。

いずれにしろ、企業としてはこのようなプライバシー法を軽視することなく、自社にどのような影響があるのかをしっかりと把握した上で、法規制に対応していくことが求められるでしょう。