コネチカット州とカリフォルニア州SB923に学ぶB2Bデータプライバシー規制の違いと実務対応策

米国のアカウントをターゲットにするB2Bグロースチームにとって、データ取得戦略は州ごとに異なるプライバシー保護法制の壁に直面しています。ビジネス上の連絡先と一般の消費者との法的な区別は、州境を越えると一律ではありません。コネチカット州が商業目的のコミュニケーションに対して明確な除外規定を設けている一方で、カリフォルニア州はデータブローカー、エンリッチメントベンダー、第三者パートナーから取得したデータにまで消費者の削除要請権を拡大しました。

アウトバウンドリストを管理するには、州の法制度によって個人情報の定義がどのように異なるのか、削除義務がエンリッチされた見込み顧客データにどのように影響するのか、そしてコンプライアンス上の摩擦を防ぐためにどのような運用管理が必要なのかを理解しておく必要があります。

根本的な相違点：商業的役割と普遍的な消費者ステータス

コネチカット州データプライバシー法（CTPA）とカリフォルニア州消費者プライバシー法（CCPA）の運用上の最も決定的な違いは、ビジネス環境で接触する個人を各法律がどのように分類しているかにあります。

コネチカット州は、2022年に公法22-15に基づいてプライバシー保護フレームワークを確立した際、商業活動との境界を明確に引きました。コネチカット州法において「消費者（consumer）」という用語は、商業的または雇用の文脈で行動している個人、あるいは企業の従業員、所有者、取締役、役員、業務受託者として行動し、その通信や取引が専ら社内での役割の範囲内で行われる個人を明示的に除外しています。2026年7月1日に主要条項が施行され、同法を改正したコネチカット州公法25-113では、一般的な適用基準となる消費者数の閾値が10万人から3万5,000人へ引き下げられ、対象範囲が拡大されました。しかし、純粋に職業上の立場として行動している個人に対する根本的な適用除外規定は変更されていません。

カリフォルニア州のアプローチはこれとは大きく異なります。CCPAはカリフォルニア州の居住者を広く「消費者」として保護しており、B2Bコミュニケーションに対する恒久的一括除外は認めていません。企業がカリフォルニア州のビジネスパーソンに関する情報を処理する場合、法定の売上高やデータ件数の基準を満たしていれば、その担当者は州法の下で消費者の権利を保持します。

レベニューオペレーションチームにとって、この構造的な違いは実務上の対応の差を意味します。ハートフォードに拠点を置くセールスディレクターへのアウトリーチは、連絡内容が相手の企業における職務に厳格に紐づいている限り、CTPAの標準的な消費者データ権利を引き起こしません。一方、サンフランシスコにいる全く同じ役職のエグゼクティブにアプローチする場合は、義務付けられたオプトアウトの追跡や消費者からの削除要請への対応など、カリフォルニア州のプライバシー保護要件に準拠する必要があります。

カリフォルニア州SB 923：第三者提供データへの削除権拡大

2026年9月27日、カリフォルニア州のギャビン・ニューサム知事は、「プライバシー権拡大法（Expanding Privacy Rights Act）」として知られる上院法案923（SB 923）に署名しました。この法律はカリフォルニア州民法第1798.105条および第1798.130条を改正するもので、施行日は2027年1月1日と定められています。

これまで、CCPA第1798.105条の下で対象企業が対応を義務付けられていた削除要請は、主として消費者本人から直接収集した個人情報に限定されていました。そのため、多くのアウトバウンドチームは、第三者リストを購入したり、データアグリゲーターを通じて勤務先メールアドレスを検証したり、CRMレコードに携帯電話番号をエンリッチメントとして追加したりしながら、そうした外部提供フィールドを消費者削除要請の対象外として扱ってきました。

Nixon Peabodyの分析によると、SB 923は削除義務の対象を消費者「から、または消費者について（from or about）」収集された情報へと拡大することで、この区別を撤廃しました。この新基準に基づき、確認可能な削除要請を受け取った対象企業は、直接送信されたフォームやアカウント情報だけでなく、データブローカーから購入したデータ、パイプラインのエンリッチメント過程で付加された属性、データマッチングによって推測された情報もすべて削除しなければなりません。

TrustArcのコンプライアンス解説では、この変更により、レベニューチームは自社の下流データフローを包括的に把握する必要があると指摘されています。見込み顧客が削除権を行使した場合、企業はアクティブな営業シーケンスから連絡先を削除するだけでなく、保管中の第三者エンリッチメントデータも含め、連携しているすべてのシステムから付随する属性を消去しなければならなくなります。

運用上のセーフガード：配信停止リストの設計とウェブフォーム義務化

継続的に新規開拓を行う営業現場の実情に配慮し、SB 923には特定の運用セーフガードが盛り込まれています。CalPrivacyの公式発表にある通り、企業は削除要請の記録と、配信停止（サプレッション）リストを維持するために必要な最小限のデータを保持することが認められています。

このセーフガードがなければ、企業がエンリッチされたレコードを削除しても、3か月後に別のベンダーから新規データベースを購入した際に、削除したはずの見込み顧客を誤って再びアウトバウンドのリストへインポートしてしまう恐れがあります。最小限のデータを用いた除外リストを管理することで、新しい外部データセットを取り込んだ場合でも、削除対象の連絡先が再び営業リストに混入するのを防ぐことができます。

同時に、SB 923は企業が消費者の要請を受け付ける方法も改定しています。2027年1月1日以降、消費者と直接の関係を持ち、専らオンラインで事業を展開する対象企業は、問い合わせ専用のメールアドレスのみに頼ることはできなくなります。個人情報の開示、訂正、削除の要請を処理するために、メールアドレスに加えて、インタラクティブなウェブフォームや専用のプライバシーポータルなどのオンライン窓口を提供することが義務付けられます。

アウトバウンド開拓における州法フレームワークの比較

これら2つの法規制アプローチの実務的な差異は、セールスオペレーションチームが米国の各地域でリードリストを作成し、パイプラインを開拓する方法に直接影響を与えます。

上記の対比から明らかなように、全米で一律のアウトバウンド手順を踏むことにはリスクが潜んでいます。コネチカット州では、通信内容が純粋にビジネスに関連するものである限り、企業の連絡先データを問題なく活用できます。一方、カリフォルニア州では、第三者から取得した連絡先データであっても、将来的な削除要請や受付チャネル要件への対応義務が伴います。

コンプライアンスに準拠したB2Bインテリジェンスの構築

こうした州ごとの規制の違いに対処するためには、無差別にリストを購入する手法から脱却し、目的を持ったアカウントリサーチへと舵を切る必要があります。大量購入した古いデータベースに依存したアプローチは、データクリーニングの運用負荷を増大させ、複雑な除外管理を招くだけでなく、バウンス率の上昇によってドメインの到達性（レピュテーション）を損なう原因にもなります。

米国の見込み顧客を対象としたアウトバウンドキャンペーンを計画するチームは、以下の3つの運用体制を整える必要があります。

1. 管轄区域を考慮したセグメンテーション： 消費者の定義が厳格な州のレコードと、明確な商業目的の除外規定がある州のレコードを明確に分離します。あるいは、米国全土のリードに対してカリフォルニア州水準の厳格な削除管理を一律適用すれば、業務フローを複雑化させることなく防御力を高めることができます。
2. 堅牢な配信停止ガバナンス： SB 923に基づいて削除要請を行った連絡先が将来のリスト更新時に再登録されないよう、不可逆的なハッシュ化や最小限の除外テーブルを実装します。
3. 大量スクレイピングからインテント重視の開拓へ： アウトバウンドの成果は、配信ボリュームよりもメッセージの関連性や企業の具体的な契機（トリガー）に左右される傾向が強まっています。検証されていないデータを漫然と蓄積するのではなく、的を絞った企業インサイトとタイムリーな兆候を捉えて対話を開始することが求められます。

コンプライアンスに準拠したアプローチと技術的な配信基準の詳細は、ドメインレピュテーションを守るためのGoogleの一括送信者ガイドライン：個人用GmailとWorkspaceや、プラットフォームの規約が第三者データ取得をどう規定しているかを解説したLinkedIn ProAPIs判決がB2Bセールスに意味することで確認できます。パイプライン構築の総合的なプレイブックについては、セールス向けナレッジガイドも参照してください。

現代のアウトバウンド営業には、コンタクトする時点での正確性が不可欠です。Ember Lead Intelligenceのようなプラットフォームは、自動でメッセージを一斉送信するのではなく、誰に、なぜ今、どのような角度でアプローチすべきかを特定し、検証されたビジネス連絡先情報をオンデマンドで取得することを重視しています。文脈に応じた関連性と正確なサプレッション管理を組み合わせることで、進化する州のプライバシー規制に安全に対応しながら、拡張性の高いパイプラインを構築することが可能になります。