定義
Do Not Sell My Personal Information は、米国カリフォルニア州の消費者プライバシー法（CCPA／CPRA）に基づき、消費者が自身の個人情報の「販売」を事業者に対して停止するよう要求できる権利です。ECサイトやDTCブランドのフッターに設置される「Do Not Sell My Personal Information」リンクは、このオプトアウト権を行使するための入り口となります。
ここでいう「販売（Sell）」は、金銭のやり取りに限定されません。個人情報を第三者に提供し、その見返りとして金銭的・その他の価値ある利益（広告配信、データ拡張、リターゲティングなど）を得る行為も含まれます。つまり、広告ピクセルの設置やデータクリーンルームへの連携も「販売」に該当し得る点が、日本のEC事業者にとって最も誤解されやすいポイントです。
類比
日本のEC実務に置き換えると分かりやすくなります。
- 楽天市場やAmazonで「おすすめ商品」を出すために、購買履歴を広告会社に渡す → CCPA上は「販売」に該当する可能性が高い。
- メルマガ配信のためにShopifyアプリへ顧客メールを連携する → 委託先が「サービスプロバイダー」契約下にあれば「販売」ではないが、契約形態が曖昧だとリスク。
- Meta広告のカスタムオーディエンス用に顧客リストをアップロードする → 典型的な「販売」行為。
要するに、「無料で使っている便利ツールに顧客データを流す」行為は、CCPAの世界では「対価を得たデータ提供」とみなされやすいのです。
公式
CCPAにおける「販売」の判定は、次のように整理できます。
販売 = 個人情報の移転
× 第三者への提供
× 価値ある対価（金銭・非金銭を問わない）
− サービスプロバイダー契約による例外
オプトアウト率の計算式も押さえておきましょう。
オプトアウト率(%) = (Do Not Sell申請件数 ÷ 対象ユーザー数) × 100
たとえば、月間10万人のカリフォルニア州ユーザーがいて、250件のオプトアウト申請があった場合、オプトアウト率は 0.25% です。業界平均は 0.1〜0.3% 程度で推移しており、0.5%を超えると広告収益への影響が無視できなくなる とされています。
比較表
| 項目 | 日本法（個人情報保護法） | CCPA／CPRA |
|---|---|---|
| オプトアウト権 | 第三者提供の同意撤回 | Do Not Sell / Share の権利 |
| 「販売」概念 | 原則として金銭対価 | 金銭・非金銭の価値ある対価を含む |
| リンク設置義務 | なし | あり（フッター等に明示） |
| 対象者 | 日本国内の個人 | カリフォルニア州居住者 |
| 罰則 | 勧告・命令・罰金 | 故意違反で最大$7,500/件 |
| 未成年保護 | 15歳未満は親権者同意 | 16歳未満はオプトイン必須 |
| 対応期限 | 速やか | 15営業日以内 |
応用場面
DTC／越境ECで「Do Not Sell My Personal Information」が実際に効いてくる場面は、主に次の4つです。
1. Shopifyストアのフッター設計
カリフォルニア州向けに販売している場合、フッターにリンクを設置しないとCCPA違反リスクがあります。Shopifyアプリ「CCPA Compliance」などで自動化可能です。
2. KlaviyoやMailchimpとの連携
メール配信ツールに顧客データを同期する行為は、契約形態によって「販売」とみなされることがあります。DPA（データ処理契約）の締結が必須です。
3. Meta／Google広告のピクセル設置
ピクセル経由で収集したデータを広告配信に使う場合、オプトアウトしたユーザーのデータは除外する必要があります。Consent Mode v2 の実装が事実上の標準です。
4. データクリーンルーム（Snowflake、LiveRamp等）
顧客データを匿名化せずに連携すると「販売」に該当。ハッシュ化＋契約上の制限 が必須です。
具体的な数値例として、あるDTCブランドがカリフォルニア州で月商 $120,000、広告経由の売上が 40% の場合、オプトアウト率0.3%が適用されると、単純計算で月 $144 の広告売上が消失します。年間では 約$1,728。小規模に見えますが、罰金$7,500/件 と比較すると、コンプライアンス対応コストの方がはるかに安いことが分かります。
よくある誤解
- 「日本企業だから関係ない」 → カリフォルニア州居住者に商品を売っている時点で適用対象です。
- 「リンクを置けばOK」 → 実際にオプトアウトを処理し、第三者への提供を停止する仕組みが必要です。
- 「Cookieバナーと同じ」 → 別物です。Cookie同意はGDPR、Do Not SellはCCPA。両方必要なケースもあります。
- 「売上ゼロなら不要」 → 年間収益が$25M未満でも、10万人以上の個人情報を扱う 場合は適用されます。
- 「サービスプロバイダーなら例外」 → 契約書に「販売しない」「目的外利用しない」条項がないと例外不成立です。
関連用語
- CCPA（カリフォルニア州消費者プライバシー法）
- CPRA（カリフォルニア州プライバシー権法）
- Opt-Out（オプトアウト）
- Notice at Collection（収集時の通知）
- Service Provider（サービスプロバイダー）
- Global Privacy Control（GPC）
- Consent Mode v2
- DPA（データ処理契約）