カリフォルニア州の盗聴法を超党派で改正し、インターネット上の監視行為をめぐって訴訟を起こす権利が廃止されることになりました。制定から57年になる盗聴法の主要な規定が終わりを迎えます。推進派は、根拠の乏しい訴訟を防ぐための「遅きに失した是正」だと説明しています。一方、プライバシー擁護団体は、消費者のデジタルプライバシー権に対する打撃だと批判しています。
カリフォルニア州プライバシー侵害法（California Invasion of Privacy Act、CIPA）は1967年に成立し、電話通話の盗聴、傍受、録音には裁判所の命令を必要とすると定めています。その後、裁判所はこの法律の適用範囲を広げ、電子メールやウェブサイトなど、インターネットを使った通信の大半も対象としてきました。
2015年には、ペンレジスターなど特定のインターネット追跡技術を無断で使用した企業を、州民が訴えられる規定が追加されました。違反1件につき最大5,000ドルの罰則に加え、3倍の損害賠償も認められる内容です。先週、ギャビン・ニューサム州知事はSB 690に署名し、法として成立させました。この規定は、ウェブサイトやモバイルアプリに対する私的な訴訟権を認めていたものです。
ニューサム知事と法案の提案者は、この規定が数千件もの訴訟や示談要求書を生んだと指摘しています。標的になったのは、正当な事業目的で使われるブラウザCookieのような一般的な追跡ツールを使う企業です。
ペンレジスターやトラップ・アンド・トレース装置は主に、地元警察、FBI、DEAなどの法執行機関や、国家安全保障機関が、犯罪捜査や防諜捜査の際に使います。裁判所の命令に基づき、捜査官はペンレジスターで発信側のメタデータ（ダイヤルした電話番号、IPアドレス、タイムスタンプなど）を記録します。着信側の接触にはトラップ・アンド・トレースのツールを使います。通話の内容は聞かずに、容疑者の通信ネットワークを把握する仕組みです。
ニューサム知事は署名時の声明で、次のように述べました。「この措置は、CIPAに基づく訴訟や示談要求書が悪用されている問題に対処するものです。小規模事業者は、知らないうちにウェブサイトへソフトウェアを導入し、そのソフトウェアが訪問者の情報を追跡・共有していたことがありました。そうした事業者から和解金を引き出すために、訴訟や要求書が使われてきたのです。提案者の取り組みを称賛するとともに、今日の複雑な技術環境を想定せずに書かれた法律に基づく過剰な訴訟から、小規模事業者を守るという目標に賛同します」
法律事務所Kelley Dryeのプライバシー担当弁護士によると、2015年にペンレジスターとトラップ・アンド・トレースの規定を加えた目的は、CIPAに違反せずに法執行機関が電話のメタデータを取得するための裁判所命令を、明文化することでした。
この規定に基づいて起こされた訴訟の件数については、推計に大きな開きがあります。法案は商工会議所など、事業者団体から幅広い支持を受けました。商工会議所は昨年、法案への支持を表明したカリフォルニア州の数百団体の一つです。
法案を後押ししたバージニア州拠点のロビー団体Alliance for Legal Fairnessは、書面コメントの中で、2025年にこの規定に基づく訴訟を約600件確認したと説明しています。同団体は現在、その数が「爆発的に増え」、4,000件を超えたと主張しています。
法律事務所Pillsburyのプライバシー担当弁護士、シュルティ・ブータニ・アローラ氏とクリスティン・マストロモナコ氏によると、原告や訴訟予定者は「Cookieやアナリティクスソフトウェアやピクセルといったありふれたウェブサイトのツールを使っているとして、CIPAのペンレジスター・トラップ・アンド・トレース規定に基づく集団訴訟をちらつかせる要求書を、企業に数万通も送りつけて」います。
カリフォルニア州議会のプライバシー・消費者保護委員会の報告書は、ペンレジスター規定を「濫用的な訴訟の象徴」と評しました。
委員会は次のように記しています。「進取の気性に富む原告側弁護士が、この法律を大規模に悪用してきました。標的は、自社サイトで広告を配信するためにサードパーティ製ソフトウェアを使う企業です。賠償責任が巨額になりうるため、企業は急いで和解に応じるのが一般的です。その結果、訴訟を乱発する者たちは、要求書の一斉送付を続けるようになります」
一方で、カリフォルニア州の主要な労働組合の大半が、この法律に反対しました。米国自由人権協会（ACLU）、Consumer Federation of California、Privacy Rights Clearinghouse、Electronic Privacy Information Center（EPIC）、数十の市民権団体も反対しています。
委員会の報告書も、「プライバシー、市民社会、法律、移民の権利に関わる幅広い団体」が反対していると指摘しました。
とりわけ電子フロンティア財団（EFF）は、長年にわたりこの法案と闘ってきました。SB 690の初期の案では、他のプライバシー規定も私的訴訟の対象から外す内容でした。しかし後の案では、適用除外がペンレジスターとトラップ・アンド・トレース装置だけに絞られました。
プライバシー団体は、この適用除外によって、企業が消費者データを追跡、収集し、データブローカーを含む第三者に販売しやすくなると主張します。同時に、個人が法的措置を取ることは難しくなるといいます。
EFFの州政策担当ディレクター、ヘイリー・ツカヤマ氏はCyberScoopの取材に対し、この法案は「署名されるべきではなかった」と語りました。EFFはニューサム知事に拒否権の行使を働きかけたものの、実らなかったとしています。
ツカヤマ氏は声明で次のように述べました。「CIPAはもともと、私的な通信が監視される脅威から個人のプライバシーを守るために作られました。しかしこの『改革』は、違法なメタデータ監視を行う企業を、一般の人々が訴えることを不可能にし、プライバシーを損ないます。連邦政府などの法執行機関が、政治的信条や宗教的所属、健康に関する選択に基づいて人々を標的にするため、企業やデータブローカーにデータを求めている現状では、特に恐ろしいことです」
カリフォルニア州は2018年に重要なプライバシー法を成立させ、デジタルプライバシー関連法を執行するカリフォルニア州プライバシー保護局を設立しました。同州には、全米でも最も厳格なデータブローカー規制があります。ブローカーには、政府への登録と、データ収集に関する簡単で統一的なオプトアウトの手段を消費者に提供することを義務づけています。
翻訳元: https://cyberscoop.com/california-cipa-pen-register-privacy-lawsuit-bill/
