米国人にはどんなプライバシー権があるのか？
米国人は広い「プライバシーの権利」があると思いがちですが、法的にはつぎはぎの状態です。憲法は政府による一定の侵入から保護し、連邦議会は特定の分野についてプライバシー法を制定し、州はそれぞれ独自の、しだいに包括的になりつつある消費者プライバシー法を加えてきました。避妊から婚姻に至る個人の自律としての憲法上のプライバシーについては、プライバシー権のページで扱っています。このページは情報とデジタルのプライバシーに焦点を当てます。
- 政府に対して
- 不合理な捜索からの修正第4条による保護
- 企業に対して
- 分野別法、州法、FTCによる執行
- 包括的な連邦法
- まだない
- 代表的な州法
- カリフォルニア州消費者プライバシー法（CCPA）、CPRAにより改正
鍵となる区別は、誰があなたのデータを集めているかです。憲法は一般に政府だけを拘束します。あなたの閲覧履歴を追跡する民間企業を規律するのは、修正第4条ではなく法律と契約です。この区分を理解すれば、米国のプライバシー法の大部分が説明できます。
デジタル時代の修正第4条
修正第4条は「不合理な捜索および押収に対して、身体、住居、書類および所有物の安全を保障される人民の権利」を保護します。カッツ対合衆国事件（1967年）で最高裁は、修正第4条が保護するのは場所ではなく人であるとし、「プライバシーの合理的な期待」という基準を採用しました。しかし第三者法理の下では、銀行記録やダイヤルした番号のように他者に任意に提供した情報は、一般にその保護を失うとされました（合衆国対ミラー事件、1976年、スミス対メリーランド州事件、1979年）。
デジタル技術は最高裁に調整を迫ってきました。ライリー対カリフォルニア州事件（2014年）では、携帯電話は「生活のプライバシー」を収めているため、逮捕時に押収した携帯電話を捜索するには原則として令状が必要だと全員一致で判断しました。カーペンター対合衆国事件（2018年）では、7日分以上の過去の基地局位置記録を取得することは令状を要する捜索に当たるとし、こうした詳細な追跡にまで第三者法理を拡張することを拒みました。これらの判例は、刑事手続において警察が証拠を集める方法を形づくっています。
- カッツ対合衆国（1967年）
- プライバシーの合理的な期待の基準。電話ボックスの盗聴は捜索に当たる
- ライリー対カリフォルニア州（2014年）
- 逮捕後の携帯電話の捜索には原則として令状が必要
- カーペンター対合衆国（2018年）
- 過去の基地局位置データには令状が必要
修正第4条は、手紙と鍵のかかった引き出しの時代に書かれました。最高裁はいま、生活のすべてが一台の電話に収まるとき「書類および所有物」が何を意味するのかを決めなければなりません。
連邦プライバシー法：分野ごとのアプローチ
連邦議会は一つの一般法を作る代わりに、特定の種類の情報を規制してきました。
- HIPAA（1996年）：医療保険プラン、医療提供者およびその業務提携者が保有する健康情報。
- FERPA（1974年）：連邦資金を受ける学校の学生の教育記録。
- COPPA（1998年）：13歳未満の子どもからのオンラインでの個人情報収集。検証可能な保護者の同意が必要（合衆国法典第15編第6501条以下）。
- ECPA（1986年）：通信の傍受と保存された通信へのアクセス。
- グラム・リーチ・ブライリー法（1999年）と公正信用報告法（1970年）：金融情報と信用情報。
- ビデオ・プライバシー保護法（1988年）：ビデオのレンタル・視聴記録。最高裁判事候補者のレンタル履歴が公表されたことを受けて制定。
これらの分野以外では、連邦取引委員会（FTC）が、不公正または欺瞞的な行為を禁じるFTC法第5条（合衆国法典第15編第45条）に基づき、主要なプライバシー規制機関として機能しています。企業が自らのプライバシーに関する約束を破ったり、データを適切に保護しなかったりした場合、FTCは執行措置をとり、数十年に及ぶ命令を課すことができます。
州のプライバシー法とCCPA
州は多くの隙間を埋めてきました。カリフォルニア州消費者プライバシー法（2018年）は、2020年に住民投票で承認されたカリフォルニア州プライバシー権法によって拡充され、住民に、企業が収集する個人情報を知る権利、削除する権利、訂正する権利、その販売や共有をオプトアウトする権利を与え、州の専門プライバシー機関を創設しました。その後、バージニア、コロラド、コネチカット、テキサスなど多くの州が包括的な消費者プライバシー法を制定しましたが、細部はそれぞれ異なります。
特定のリスクを対象とする州法もあります。イリノイ州の生体情報プライバシー法（2008年）は、指紋や顔の形状を収集する前に同意を求め、個人が訴訟を起こすことを認めており、大規模な和解につながっています。現在すべての州にあるデータ漏えい通知法は、データが侵害された場合に企業がその旨を本人に知らせることを義務づけています。
プライバシーと民事訴訟
個人はコモンロー上のプライバシー不法行為に基づいて訴えることもできます。私生活への侵入、私的事実の公表、誤った印象を与える公表（フォールス・ライト）、氏名や肖像の盗用です。1960年にウィリアム・プロッサーが整理し、ウォーレンとブランダイスの1890年の論文「プライバシーの権利」に根ざすこれらの不法行為は、私人による重大な侵害から保護しますが、公共の事柄に関する言論がかかわる場合、裁判所は慎重に適用します。
データ漏えいや追跡をめぐる訴訟には、原告適格というハードルがあります。トランスユニオン対ラミレス事件（2021年）で最高裁は、連邦裁判所で訴えるには具体的な損害が必要だと判断しました。そのため、不正確な信用ファイルが第三者に一度も共有されなかった人々は、法律違反があったにもかかわらず損害賠償を得られませんでした。個人データから作られたコンテンツの帰属をめぐる問題は、著作権の基礎とも重なります。
韓国と米国：包括型とつぎはぎ型
韓国は逆の道を選びました。個人情報保護法（개인정보 보호법、2011年）は公共部門と民間部門の両方に適用されます。個人情報の収集には一般に同意その他の法的根拠を求め、利用を明示された目的に限定し、本人に閲覧、訂正、削除、処理停止の権利を与えています。執行するのは独立した個人情報保護委員会で、2020年に中央行政機関として再編されました。韓国の憲法裁判所も、憲法上の個人情報自己決定権を認めています。
| 米国 | 韓国 | |
|---|---|---|
| 構造 | 分野別法と州法 | 一つの包括的な法律 |
| 主な規制機関 | FTC（および分野別機関、州） | 個人情報保護委員会 |
| 企業に対する原則 | 法律が制限しない限り許される | 同意などの法的根拠が必要 |
| 憲法上の根拠 | 政府に対する修正第4条 | 個人情報自己決定権 |
両制度はともに、国家権力を制限する権利章典の伝統に根ざしていますが、法が民間のデータ収集をどこまで制限すべきかという点で分かれています。
韓国では、企業があなたのデータを使うには通常理由が必要です。米国では、使わないために通常理由が必要です。この逆転した原則が、両制度の実務上の違いの大部分を説明します。
- 米国に連邦プライバシー法はある？
- 包括的なものはありません。HIPAA、FERPA、COPPA、ECPAなどの分野別法と、FTCによる執行があります。
- 修正第4条は企業から私のデータを守ってくれる？
- いいえ。修正第4条が制限するのは政府です。企業は法律、契約、州法によって規律されます。
- CCPAはどんな権利を与える？
- カリフォルニア州の住民は、企業が収集する個人情報を知り、削除・訂正し、その販売や共有をオプトアウトできます。
- 韓国のプライバシー法はどう違う？
- 韓国には公共部門と民間部門の両方を対象とする一つの包括的な法律があり、独立した委員会が執行しています。
参考文献と公式資料
- Fourth Amendment. Cornell LII
- 15 U.S.C. § 6501, Children's Online Privacy Protection. Cornell LII
- 15 U.S.C. § 45, Unfair methods of competition and deceptive acts. Cornell LII
- Riley v. California, 573 U.S. 373 (2014). Justia
- Carpenter v. United States, 585 U.S. 296 (2018). Justia
- 개인정보 보호법. 국가법령정보센터