米国 CCPA/CPRA の適用判定（独立開発者版）

2026/9/17

背景与問題

出海方向（C）。欧州 GDPR（c-eu-launch-compliance）・中国 PIPL に続き米国側の法制度。CCPA/CPRA は規模閾値があるので、独立開発者は「適用されるかどうか」の判定自体が最初の実務。判定の型と、適用時の最小動作を作る。

（出典はいずれも 2026-09-17 アクセス）

適用閾値（いずれか 1 つで適用）：①年間粗収益 2,500 万ドル超（2025-01-01 から 26,625,000 ドルに調整）②年間 10 万人以上のカリフォルニア消費者/世帯の個人情報を売買・共有 ③年間収益の 50% 以上を個人情報の売却から得る（CA 司法長官公式、Jackson Lewis FAQ）。
CPRA 改正は 2023-01-01 施行：データ売却/共有のオプトアウト権、センシティブ個人情報の利用制限権、削除権、サービスプロバイダとの DPA 締結など（同公式）。
開発者視点の核心：Service Provider / Contractor か否かで義務の所在が変わる——他人のデータを代行処理するか、自分が直接の事業者か（Atlassian CCPA 101）。
技術 checklist の例：データ棚卸し・消費者権利対応・API 監査ログなど 14 項目（Moesif）。2026-01-01 施行の新 CPPA regulations あり（Jackson Lewis、要二次確認）。

適用判定を 1 枚に固定し年 1 回自家点检：3 閾値をチェックし、超えていないことを記録するだけ。GDPR と決定的に違うのは規模免除がある点——solo の標準ケースは「現状非適用」で正しい判定が取れる。
適用時の最小動作を先に把握しておく：オプトアウト（売却/共有停止）・削除権対応・DPA。核心の問いは GA4・広告 SDK が"sale/share"に該当するか——EU の consent 設計（地域別 ON/OFF）と同じ部品で吸収できる。
削除動線は store-account-deletion の既存実装を共通インフラとして使い回す（GDPR・CCPA・store 要件の三役）。
2026 年新規 regulations の内容はウォッチ項目に（未二次確認）——年越し点检の「制度差分確認」項に追加。