子どものデータ保護 ― 欧米における国際的な動向

英国・欧州の動向

1. 法規制やガイダンス

(1) GDPRにおける子どものデータ保護に関する規制

　欧州で2018年5月に適用が開始されたGDPRは、前文38項において、子どもは個人データに関して特別の保護を享受する旨を規定し※2、透明性の原則を定める中で、「特に、子どもに対して格別に対処する情報提供のために、適切な措置を講じる」ものとしています（GDPR 12条1項）。また、個人データの処理の法的根拠が本人の同意に基づく場合、本人が16歳※3未満であれば、親権者の同意による必要があります（GDPR 8条1項）。この場合、個人データの管理者は、親権者の同意があったことを確認するための合理的な努力をしなければならないとされています（GDPR 8条2項）。

　さらに、欧州各国のデータ保護機関の職務として、処理と関連するリスク、ルール、保護措置および権利について公衆の注意喚起をすることが挙げられ、そこでは、特に、子ども向けの活動に特別の注意を払うものとされています（GDPR 57条1項(b)）。

　その他にも、プロファイリングを含む個人に対する自動化された意思決定（GDPR 22条）につき、条文上は子どもかどうかを区別していないものの、前文71項では法的効果または類似の重大な効果をもたらすプロファイリングを含むもっぱら自動化された意思決定は子どもには適用されるべきでないとの説明がされており※4、また、個人の権利および自由に対する高いリスクを発生させるおそれがある場合についてデータ保護影響評価（Data Protection Impact Assessment）を行わなければならないとされているところ（GDPR 35条1項）、監督機関によっては子どものプロファイリング等の個人データの処理についてデータ保護影響評価を行うべきこととしている場合もあります（GDPR 35条5項）※5。

(2) 英国のChildren’s code

　英国では、2020年9月2日に年齢適正デザインコード（Age Appropriate Design Code: Children’s Code）が発効し、その12カ月後の2021年9月2日より、GDPRの義務の遵守に関してChildren’s Codeが考慮されることとなりました。なお、GDPRは英国のEU離脱後はUK GDPRとして英国の国内法として維持されており、UK GDPRの内容は現状ではGDPRの規律とほぼ同様です。

　Children’s Codeは、英国における「18 歳未満の子どもがアクセスする可能性が高いオンラインサービス（情報社会サービス）」※6に適用されます。なお、Children’s CodeはUK GDPRの域外適用を前提としているため、同様に域外適用があり得ます。

　具体的には、UK Children’s Codeは以下のような15の基準から構成されています。

　各基準の具体的内容についてはChildren’s Codeにおいて詳細な説明がされています。このうち、例えば、1つ目の基準として「子どもの最善の利益を第一に考慮」すべきことが挙げられていますが、これは子どもの権利条約における概念を採り入れたものです。ここでは、子どもがアクセスする可能性が高いオンラインサービスの設計および開発をする際には子どもの最善の利益を考慮することとされており、他の基準への対応を考える上でも重要な要素であると考えられます※7。また、データ保護影響評価についてもどのように実施すべきかが実務的には課題となりうるところですが、ICOはそのウェブサイトにおいてデータ保護影響評価のテンプレートやリスクアセスメントのツールなどを提供しています。

(3) フランスのデータ保護機関による勧告

　フランスのデータ保護機関（Commission Nationale de l’Informatique et des Libertés: CNIL）は、2021年8月、子どもの保護のために、以下のような8つの勧告を公表しています。これらは子ども、親・教育者、オンラインサービスプロバイダーの3つの視点を主軸に構成されていますが、内容は以下のとおりです。

表2 フランスのデータ保護機関による8つの勧告

(4) アイルランドのデータ保護機関による14の基本事項(Fundamentals)

　アイルランドのデータ保護機関（Data Protection Commission: DPC）は、2021年12月に策定した2022年から2027年の規制戦略（Regulatory Strategy）において、子どもおよびその他の脆弱性のある集団の保護を目標の1つに掲げています。

　また、DPCは、GDPRに基づく子どもについてのデータ保護の義務を明確化する14の基本事項(14 Fundamentals)を2021年12月に公表しました。当該基本事項は、18歳未満の子ども向けのサービスまたは子どもがアクセスする可能性の高いサービスを提供し、子どものデータを処理する全ての組織に適用され、オンラインとオフラインの両方においてこれらの基本事項を遵守する必要があるとされています。その具体的な内容は以下のとおりです。

表3 アイルランドのデータ保護機関による14の基本事項(Fundamentals)

2. 子どものデータ保護についての当局による最近の執行事例

　英国・欧州の子どものデータ保護に関連する当局による最近の主な執行事例としては以下の二つが挙げられます。

【事案①】
アイルランドのデータ保護機関であるDPCが、2022年9月に、インスタグラムのGDPR違反について4億500万ユーロの制裁金を課すことを公表

（違反の概要）

【事案②】
英国のデータ保護機関であるICOが、2023年4月に、TikTokのUK GDPR違反について1,270万ポンドの制裁金を課すことを公表（2018年5月から2020年7月の違反）

（違反の概要）

米国における動向

1. 子どもオンラインプライバシー保護法(COPPA)による保護

　米国では、子どもの保護のための連邦法として、Children’s Online Privacy Protection Act of 1998（児童オンラインプライバシー保護法）があります。

　COPPAは、①13歳未満の子ども向けのウェブサイト・オンラインサービス運営者、および②13歳未満の子どもから個人情報を収集・保持していることについて「現実の認識」を有しているウェブサイト・オンラインサービス運営者を適用対象としており、COPPAにおいては、これらのウェブサイト・オンラインサービス運営者が何の情報を子どもから収集するか、どのように利用するか、および当該情報の開示の実務についてウェブサイト等で通知すること、および子どもからの個人情報の収集、利用または開示について検証可能な親の同意を得ることが求められます。

2. COPPAについての当局による最近の執行事例

　子どもデータ保護に関して最近社会の耳目を集めた執行事例としては、以下の事案が挙げられます。

【事案】
米国の連邦取引委員会（Federal Trade Commission: FTC）が、2022年12月に、ゲーム「Fortnite」の運営会社について、COPPA違反等のプライバシーの侵害により2億7,500万米ドルの罰金を支払うべきこと、違法なダークパターン等による課金について2億4,500万米ドルの返金（リファンド）をすべきことを公表。

（違反の概要）

3. 州レベルでの動向

(1) カリフォルニア州の年齢適正デザインコード法の制定

　カリフォルニア州では、2022年9月15日に州知事が年齢適正デザインコード法（California Age-Appropriate Design Code Act）に署名しました。その内容としては、18歳未満の子どもがアクセスする可能性の高いオンラインサービス、製品または機能を提供する事業者に対して、英国のChildren’s Codeと同様に以下のような事項が義務付けられ、または禁止されますが、これらの義務または禁止事項については2024年7月1日に発効することとなっています※8。

(ア) 主な義務

(イ) 主な禁止事項

　なお、同法の規定への違反については、差し止めや、過失による違反についての影響を受けた子ども1人当たり2,500米ドル以下の民事罰、または故意による違反について影響を受けた子ども1人当たり7,500米ドル以下の民事罰が課されるとされています。ただし、事業者が同法で求めるデータ保護影響評価についての規定を実質的に遵守している場合、カリフォルニア州司法長官が当該事業者に執行する前に違反について書面で通知し、事業者が90日以内に違反を治癒し将来の違反を防止する十分な措置をとった旨を州司法長官に対して書面で通知すれば民事罰を課されないとの規定も設けられています。

(2) その他の州の動向（ユタ州など）

　カリフォルニア州以外にも、子どものデータ保護に関連する立法の動きが見られます。例えば、ユタ州では、18歳未満の子どもがソーシャルメディアのアカウントを維持または作成するために親の同意が必要になる旨の法律、およびソーシャルメディア企業がプラットフォームを利用するにあたって子どもに害が生じた際には責任を負う旨の法律がそれぞれ2023年3月23日に成立し、いずれも2024年3月に発効することとなっています※9。

今後の実務的な対応に向けて

　上記の欧米の動向を踏まえると、子どものデータ保護についての事業者の対応の必要性は、今後ますます高まってくることが予想されます※10。もっとも、子どものデータ保護の重要性自体については疑義がないとしても、どの程度事業者が対応することが実務上可能かといった点については留意が必要であると思われます※11。

　そして、実務的な対応については、例えば英国のICOは上記のとおりそのウェブサイトにおいてデータ保護影響評価のテンプレートやリスクアセスメントのツールなどを提供しており、これらの当局が公表する資料が参考になると考えられます。

　また、個別の業界に着目すると、例えばゲーム産業における子どものデータ保護は上記の米国FTCによる執行事例もあるとおり重要であるといえるところ、ICOはゲームデザイナー向けにChildren’s Codeを適用する際に以下のような内容のtipsを公表しており、このようなtipsを参照することは、ゲームについての設計やこれに関する個人データの処理にあたって重要であると思われます。当該tipsにおいては、ゲーム設計者が「すべきこと」（should）と「できること」（could）についてそれぞれ具体例を掲げています。

　グローバルで子どもに向けたサービスを提供している企業はもちろんのこと、国内の子ども向けのサービスを提供している企業においても、今後の国内外の規制動向については注視していくことが必要であり、当事務所としても、皆様にとって参考になる情報を引き続き発信していきたいと考えています。