パート2:プライバシー・コンプライアンス A. プライバシーの一般的概念
米国では、連邦取引委員会が、民間企業が顧客の個人識別情報をどのように収集し、使用し、開示するかを消費者に確認するよう促す重要な役割を果たしています。*17 企業が情報を受け取る際に消費者に通知しなかった場合、FTCは、顧客の知らないうちに情報を収集した企業に対して苦情を申し立てることができます。*18 ここでFTCが強調している考え方は、運営者が消費者のデータをどう扱うかをウェブサイトが開示していない場合、消費者は同意を与えることができないということです。*19
個人を特定できる情報には複数の定義がありますが、個人を特定できる情報とは、「単独で、あるいは他の個人情報や特定の個人に結びつく、あるいは結びつけることができる情報と組み合わせ て、個人の身元を識別したり追跡したりするために使用できるデータ」であることに留意する必要があります。*20 個人を特定できる情報の例としては、個人の社会保障番号、生年月日および出生地、個人の財務情報、雇用記録、犯罪歴などが挙げられますが、これらに限定されるものではありません。*21
企業が個人を特定できる情報を収集、使用、開示することを顧客に知らせるためにプライバシーポリシーを起草する際には、これらの措置について詳細に言及しなければなりません。重要なのは、企業が収集する情報の種類と情報を受け取る方法、企業が情報をどのように使用し保護するか、企業が第三者と共有する情報の種類、および情報に対する顧客のコントロールを明らかにすることです。*22
ジョンは、自分のオンライン・コーヒー・ビジネスに必要な顧客情報にはどのようなものがあるかを考え始めました。ジョンは、自分の会社が、連絡先、支払情報、第三者の配送情報(例:顧客の友人の住所)、顧客のデバイス識別子(例:顧客のコンピュータのIPアドレス)、顧客の閲覧履歴など、様々な種類の個人情報を収集していることに気付きました。*23 フォーダムコーヒーの顧客の中には、パソコンで商品を購入する人もいれば、スマートフォンやタブレットで商品を購入する人もいるでしょう。*24 また、フォーダムコーヒーのウェブサイトでは、顧客の情報を保存しておき、顧客がウェブサイトにアクセスするたびに情報を入力する必要がないようなシステムを採用する予定です。*25
ジョンは、個人識別情報を収集する方法を書き出した後、収集したデータをどのように使用し、保護するかを考えなければなりません。ジョンは、どの年齢層がどのようなコーヒーを好むかを知りたいので、顧客情報をマーケティング会社やその他のサービス会社と共有したいと考えています。また、自分のウェブサイトで詐欺や犯罪行為が行われていると疑われる場合には、顧客情報を公的機関に提供することもあるでしょう。詐欺やその他の犯罪を防ぐためには、会社だけでなく顧客も自分自身を守る努力をする必要があるとジョンは考えています。例えば、顧客はパスワードを長くて複雑なものにすることで、パスワードが盗まれる可能性から身を守ることができます。*26 また、ジョンは、お客様が個人を特定できる情報をある程度コントロールできること、つまり、ウェブサイトを通じてジョンに提供する情報の量を調整できることをお客様に伝えることが重要であると考えています。*27
次にジョンは、Fordham Coffeeのプライバシーポリシーに何を記載するかを決めます。ポリシーの作成を始めた彼は、実店舗からオンラインストアへの移行に伴い、顧客の範囲という実質的な変化があることに気づきます。ジョンが実店舗でコーヒービジネスを展開していた頃は、顧客のほとんどが地元の近隣住民でした。それが今では、米国の全州から顧客がやってくる可能性があります。*28 ジョンは、いくつかの州に特別なプライバシー法があるかどうかを確認するために、関連する法律を調べ、カリフォルニア州には独自のプライバシーポリシーがあることを知りました。
B. カリフォルニア州消費者プライバシー法(CCPA)
カリフォルニア州には複雑なプライバシー法がいくつかありますが、その中でも最も対応に手間のかかる法律の一つが、2020年1月1日に施行された「California Consumer Privacy Act of 2018 (CCPA)」です。
CCPAによれば、プライバシーポリシーは、(1)カリフォルニア州の住民が、企業が収集した情報を 要求する権利を有していること、および企業がその要求に応える義務があることを開示すること、(2)顧客が情報を要求できる代替手段(電話番号、電子メールアドレスなど)を提供すること、(3)顧客が個人識別情報を第三者に提供しないことを選択できるオプションがあることを顧客に知らせること、(4) 企業が収集したすべての種類の情報のリスト、(5) 情報のソース(企業が情報を受け取るソース)の開示、(6) 情報収集の目的の開示、そして(7) 企業が第三者に開示する情報を列挙しなければいけません。 *29
ジョンは、カリフォルニア州の住民に特に適用される条項についてメモを書いた後、プライバシーポリシーを作成します。一方、ジョンは友人のウェブデザイナーにフォーダムコーヒーのウェブサイトの作成を依頼します。フォント、色、音などの好みを聞かれたジョンは、どのようなWebサイトが顧客にとって魅力的かを考えます。よく来るお客さんの中に耳の聞こえない人がいることを思い出しました。また、何か法律やガイドラインに従わなければならないのではないかとも考えました。
誰もがアクセス可能なウェブサイトをデザインするには、4つの原則に従ってください：知覚可能、操作可能、理解可能、そして堅牢でなければなりません。
パート3:ADA(米国障害者法)への対応 A. “パブリック・アコモデーション“の解釈
障害を持つアメリカ人法(ADA)では、公共の宿泊施設は、障害に基づく差別が禁止されており、ADAの基準に準拠することが求められています30が、ウェブサイトが公共の宿泊施設とみなされるかどうかは問題です。ADAのタイトルIIIでは、公共の宿泊施設とは、ビジネスが商業に影響を与える施設であり、宿泊場所、飲食物を提供する施設、展示または娯楽の場所、公共の集まりの場所、販売またはレンタルの施設、サービス施設、公共交通機関のターミナル(発着所または駅)、公共の展示または収集の場所、レクリエーションの場所、教育の場所、ソーシャルサービスセンターの施設、運動またはレクリエーションの場所など、12のカテゴリーのいずれかに該当するとされています31。法律では、ウェブサイトが公共施設の定義に含まれるかどうかが明示されていないため、公共施設の範囲を決定するためには、判例法を調べる必要があります。
Winn-Dixie事件では、視覚障害者である原告が、地域の食料品店チェーンであるWinn-Dixie Stores 社に対して、ADAのタイトルIIIに基づいて訴訟を起こしました。*32 争点の一つは、原告がアクセスできない同店のウェブサイトが、公共の宿泊施設のサービスとみなされるかどうかでした。連邦裁判所は、ウェブサイトが実店舗と「密接に統合」されており、 実店舗への「ゲートウェイとして運営」されていたことから、ウェブサイトは公共宿泊施設のサービスであると結論付けました。*33 また、ゴメス事件では、裁判所はウェブサイトが実店舗と「完全に無関係」である場合には、ウェブサイトはADA上の公共施設ではないと判断しました。*34 Webサイトが実店舗と「密接に統合されていない」「完全につながっていない」企業が、障害のある顧客のためにWebサイトを利用できるようにすべきかどうかは疑問かもしれません。しかし、ADAの目的である、障害者が「公共の宿泊施設の商品、サービス、施設、特権、利点、または便宜を完全かつ平等に享受すること」を考えると、ウェブサイトが実店舗と少しだけつながっている企業でもADAを適用できる可能性があると考えるべきかもしれません。*35 言い換えれば、多くの民間企業は、自社のウェブサイトがADA基準に準拠していない場合、責任を負う可能性があるということです。ここで重要なのは、たとえ第三者がウェブサイトを運営していても、そのウェブサイトがアクセシビリティを欠いていれば、企業は責任を負う可能性があるということです。*36 ここでは、企業がどのような基準に準拠すべきかという実質的な問題に直面します。
B. ウェブコンプライアンス
ADAでは、企業が従うべき特定の基準については言及されていませんが、米国司法省は、Webアクセシビリティを向上させるための基準を設定する国際団体であるWorld Wide Web Consortium が作成したWeb Content Accessibility Guidelines (WCAG)を引用しています。*37 WCAGは、誰もがアクセス可能なWebサイトをデザインするために、Webサイトの設計者に対して、「Webサイトは知覚可能であること(ユーザーが情報を知覚できなければならない)」、 「操作可能であること(ユーザーがWebサイトを操作できなければならない)」、「理解可能であること(ユーザーがデータやWebサイトの操作を理解できなければならない)」、「堅牢であること(技術が進化してもコンテンツはアクセス可能であり続けるべきである)」という4つの原則に従うことを推奨しています。*38 これらの原則のもと、World Wide Web Consortiumは、アクセシブルなWebサイトを作成する際に12のガイドラインを遵守することを推奨しています。*39
知覚可能性については、WCAGではウェブサイトに以下のようなものを提供することを推奨しています。(1)テキストの代替品(例:大きな文字、よりシンプルな言葉)、(2)時間軸のあるメディアの代替品(例:同期したメディアコンテンツのスクリーンプレイ)、(3)異なる方法で提示できるコンテンツ、(4)見やすく聞き取りやすいコンテンツ、などです。*40
操作性については、WCAGではウェブサイトに以下のようなものを用意することを推奨しています。(5)すべての操作をキーボードから可能にするオプション、(6)コンテンツを読んで利用するのに十分な時間、(7)発作（てんかん）を起こさないコンテンツ、(8)ユーザーによるナビゲーションの改善に役立つ方法、などです。*41
理解しやすさについては、WCAGはウェブサイトが以下の基準を満たすことを推奨しています。 (9)読みやすく理解しやすいこと、(10)予測可能な方法で機能すること、(11)ユーザーがインターネットを利用する際の落とし穴(=ミス)を避けることができること、などです。*42
ロバスト性については、WCAGでは、デザイナーは(12)開発中の技術との互換性を最大限に確 保するように勧告しています。*43
ジョンは、WCAGの基準を調べ、WCAGが推奨する12のガイドラインをすべて満たす機能を盛り 込むよう、ウェブデザイナーに指示します。また、WCAGのウェブサイトを定期的にチェックして 更新情報を確認し、自分のウェブサイトが新しいアクセシビリティ基準にタイムリーに対応してい ることを確認するようにしています。
