カリフォルニア州接続される機器（コネクテッド・デバイス）のセキュリティ法 仮訳

カリフォルニア州接続される機器（コネクテッド・デバイス）のセキュリティ法に州知事が署名しました。
以下は非常に粗い訳ですので、参照程度にご利用ください。

第1節
1798.91.04条以下の本法は、民法第3節第4部に追加される。

【接続される機器のセキュリティ】

1798.91.04条
(a) 接続される機器の製造者は、当該機器に合理的なセキュリティ機能または以下のすべてを備えているものとする。
(1) 機器の性質及び機能に適するもの
(2) 収集し、包有し、又は発信することができる情報にふさわしいもの
(3) 機器および機器に含まれる情報を、不正アクセス、破壊、使用、改変または開示から保護するように設計したもの
(b)接続される装置がローカルエリアネットワークの外部に認証手段を備えている場合、(a)項の要件を全て満たすことを条件として、以下のいずれかの要件が満たされている場合は小項目(a)に基づく合理的なセキュリティ機能とみなされるものとする。
(1) あらかじめプログラムされたパスワードは、製造された各機器に固有のものであること
(2) 当該機器は、初回アクセスが許可される前にユーザーが新しい認証手段を生成しなければならないセキュリティ機能を備えていること

1798.91.05条
本法の目的に照らして、次の用語は、次の意味を有するものとする。
(a) 「認証」とは、情報システム内のリソースにアクセスするユーザー、プロセスまたは装置の権限を検証する方法を意味するものとする。
(b) 「接続機器」とは、直接又は間接にインターネットに接続することができ、かつ、インターネットプロトコルアドレス又はブルートゥースアドレスを割り当てられた機器その他の物理オブジェクトをいうものとする。
(c) 「製造業者」とは、カリフォルニアにおいて販売または販売の申し出がなされている接続機器を製造する者、または他人と契約して当該他人のために製造する者を意味するものとする。本項の目的に照らし、他人に代わって製造することに係る他人との契約は、接続される装置の購入、または接続される装置の購入およびブランド設定のみの契約を含まない。
(d) 「セキュリティ機能」とは、装置に対してセキュリティを提供するように設計された装置の特徴を意味するものとする。
(e) 「不正アクセス、破壊、使用、変更又は開示」とは、消費者が許可していないアクセス、破壊、使用、変更又は開示をいうものとする。

1798.91.06条
(a) 本法は、接続される装置にユーザーの選択によって追加される無連携のサードパーティーのソフトウェアまたはアプリケーションに関連する接続される装置の製造者に義務を課すものとは解釈されないものとする。
(b) 本法は、電子ストア、ゲートウェイ、市場またはその他のソフトウェアもしくはアプリケーションの購入もしくはダウンロード手段の提供者に対し、本法の遵守の審査または執行を義務づけるものとは解釈されないものとする。
(c) 本法は、接続される装置の製造者に対し、ユーザーの裁量で装置上で動作するソフトウェアまたはファームウェアを修正する能力を含めて、ユーザーが接続される装置に対して完全な制御を行うのを防止する義務を課すものとは解釈されないものとする。
(d) 本法は、その機能性が、その執行権限に従って連邦政府機関により公布された連邦法、規則またはガイダンスに基づくセキュリティ要件の対象となる接続機器には、適用されない。
(e) 本法は、民事訴訟を提起する権利を付与するものと解釈してはならない。司法長官、市法務官、郡法務官又は地方法務官は、この法律を執行する排他的権限を有する。
(f) 本法により課される義務および義務は、他の法律に基づいて課されるその他の義務または義務に重複するものであり、いずれの当事者も免他の法律に基づいて課される義務から除されるとは解釈されないものとする。
(g) 本法は、法律または管轄裁判所の命令により権限を付与された製造業者から接続機器情報を取得する法執行機関の権限を制限するものと解釈されないものとする。
(h) 1996年連邦医療保険のポータビリティと説明責任に関する法律(HIPAA法)または医療情報の機密保持法(第1章2.6条(第56項以降)の適用対象となる企業、医療提供者、ビジネスアソシエイト、医療サービス計画、請負業者、雇用主、またはその他の個人は、これらの法律により規制される活動に関して、本法の適用を受けない。
(i) 本法は、2020年1月1日に発効する。

第2節
本法は、2017-18年通常会期の州議会下院法案1906も成立し、発効する場合に限り、発効するものとする。