2022.12.01

海外進出・海外展開：ウェブサイト上の運用に年齢確認の強化を加えるカリフォルニアの州法AB2273

by 弁護士小野智博

1 はじめに
2 法律の要件
3 法律の背景
4 英国「Children’s Code」との関係
5 海外展開・海外進出を検討される場合には専門家にご相談を

はじめに

カリフォルニア州では、ほぼすべてのウェブサイトに影響を与える可能性のある、抜本的な法律「California Age-Appropriate Design Code Act（AB2273）」が2022年9月に成立しました（https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202120220AB2273）（2024年7月施行）。

California Age-Appropriate Design Code Act（AB2273）は、英国のAge Appropriate Design Code（一般に「Children’s Code」と呼ばれます）（https://ico.org.uk/for-organisations/guide-to-data-protection/ico-codes-of-practice/age-appropriate-design-a-code-of-practice-for-online-services/）をモデルに作られたもので、カリフォルニア州の青少年がアクセスする可能性のあるウェブページを提供する企業に対し、サイトをデザインする際に青少年の利益を考慮するよう求める内容となっています。

カリフォルニア州の青少年保護を対象とした州法ではありますが、現実問題として、カリフォルニアの子どもたちはどこの国・地域で公開されたウェブサイトにも簡単にアクセスできます。そのため、この法律は、世界中、少なくとも米国内のウェブサイトに対して、広範囲な影響を与える可能性があります。

そこで本稿では、California Age-Appropriate Design Code Act（AB2273）について概説するとともに、企業がウェブサイトを運用する際に注意すべきポイントについて紹介します。

法律の要件

California Age-Appropriate Design Code Act（AB2273）は2022年8月29日に議会を通過し、翌日には上院を通過。2022年9月15日にギャビン・ニューサム知事の署名を受けて成立しました。

2024年7月1日以降、「カリフォルニアで事業を行い」、「子どもがアクセスする可能性が高いオンラインサービス、製品、または機能を提供する」ウェブサイトまたはアプリは、現在整備が進められている法典に従う必要があります。しかしながら、具体的なガイドラインとなる規定はまだ発表されておらず、企業としてはどのような対策を取るべきか悩ましいところでしょう。そこで、ここでは現状わかっている範囲の要件を紹介します。

1つは、ウェブサイトはデータ管理の慣行をカリフォルニア州政府機関に報告する必要があります。また、司法長官や市の弁護士には、利用規約を掲示しなかったり、定期的に州への報告書を提出しなかったりする違反者に対して民事措置を取る権限も与えています。2つ目に、ウェブサイトは、子供がウェブサイトを使用するために必要不可欠なデータ(地理的情報を含む)以外を収集または販売することはできません。3つ目に、ウェブサイトは、親または保護者がそのサイトでのアクティビティを追跡しているときに子どもに通知する必要があります。

AB2273の成立が大きな話題となっている背景に、ウェブサイトは「合理的なレベルの確実性で子どもユーザーの年齢を推定する」必要があるという要件が挙げられます。これはどのユーザーが何を体験すべきか（ウェブサイト上で表示される内容）を判断することを目的としています。

企業としては、全てのコンテンツを子ども向けにすることで、大人への価値提案が低減されることが危惧されます。そのため、すべてのユーザーの年齢を認証してから、大人か子どもかを分離し、それぞれに異なるサービスを提供する仕組みを作る必要があります。

ただし、ウェブサイトがどのようにして「子どもユーザーの年齢を推定」するのかについて具体的な方法は明確ではありません。ウェブサイトによって異なる方法を採用する可能性もあります。例えば、年齢確認のために身分証明書を提出する、あるいは自分の顔をスキャンして顔認識を行うなどが考えられます。

また、重要なことに、AB2273はカリフォルニア州内に限らず、全世界のウェブサイトやユーザーに影響を与える可能性があります。なぜなら、保護対象者はカリフォルニア州の住民に限定していたとしても、カリフォルニアからは全世界のウェブサイトにアクセスできるためです。

そこで、ウェブサイトは以下2つのどちらかの対応をする必要があると考えられます。

カリフォルニア州のユーザーの地理位置情報を特定して、アクセスを禁止する
すべてのユーザーにルールを適用する

前者のようにカリフォルニア州のユーザーをブロックすることは、大きな市場を失うことにもなり、企業の利益に反することが予想されます。そのため、多くのウェブサイトでは、後者の運用を選ぶことになるでしょう。

法律の背景

AB2273の条文では以下のような宣言が記載されており、この法律が策定されるに至った背景を読み取ることができます。

「国連子どもの権利条約は、子どもが生活のあらゆる側面で特別な保護と配慮を必要とすることを認めています。子どもたちがネットの世界に接する時間が増えるにつれ、ネット上の製品やサービスの設計が子どもたちの幸福に与える影響が大きな関心事となってきています。
カリフォルニア州では、子どもたちが学び、探索し、遊ぶために、より安全なオンライン空間を作るためにもっと努力する必要があるということが、超党派で合意されています。また、データ保護に関して、より高い安全性と幸福はより高いプライバシーにより達成されるという理解は世界で一致しており、子どものプライバシー保護を強化する措置が活発になっています。

子どもは、子ども専用のオンライン製品・サービスだけでなく、子ども向けではなくてもアクセスの可能性のあるすべてのオンライン製品・サービスにおいても保護されるべきです。

すべての年齢の子どもに同じデータ保護体制は適切ではありませんが、それでもすべての年齢の子どもにプライバシーと保護が与えられるべきであり、オンライン製品やサービスは、その製品やサービスにアクセスする可能性の高い年齢の子どもに適したデータ保護体制を採用するべきです。オンライン製品、サービス及び機能の設計を支援するために、企業は、以下の発達段階に応じて、異なる年齢層の固有のニーズを考慮する必要があります。

0～5歳：preliterate and early literacy
6～9歳：core primary school years
10～12歳：transition years
13～15歳：early teens
16～17歳：approaching adulthood

2019年には、有権者の81％が、企業が親の同意なしに子どもの個人情報を収集することを禁止したいと回答しており、2018年にカリフォルニア州の親とティーンを対象に行われた世論調査では、SNSのインターネットサイトがユーザーのデータを使って何をするのかを明示できていると答えたティーンは36％、親は32％にとどまっています。

子どもがアクセスする可能性のあるオンラインサービス、製品、または機能は、子どもの以前の行動、閲覧履歴、または他の子どもとの類似性の仮定を用いて子どもをプロファイルし、有害な資料を提供する機能を無効にするなど、設計上およびデフォルトで強力なプライバシー保護を提供する必要があります。」（AB2273本文中より）

英国「Children’s Code」との関係

AB2273は、英国の「Children’s Code」を模倣する形で作成されています。

Children’s Codeは、様々な影響をすでに与えており、例えばYouTubeは18歳未満のユーザーの自動再生機能を無効にしました。他にも、Instagramは、フォロー外の18歳未満のユーザーに大人がメッセージを送ることを禁止、TikTokは、時間帯によって18歳未満に対するプッシュ通知の送信を停止するなど、対応を余儀なくされています。

英国のChildren’s Codeの前例があるからこそ、AB2273が与える影響の大きさに懸念が高まっているともいえます。

海外展開・海外進出を検討される場合には専門家にご相談を

AB2273は、オンラインで事業を営む企業に多くの新しい要件を課すことになります。その中には、ウェブサイトへのアクセスを許可する前に、すべての訪問者の年齢を確認する義務があります。
実際、AB2273の支持者であり、Accountable Tech（https://accountabletech.org/）の事務局長であるNicole Gill氏は次のように述べています。

「この法律は、小さな子どもや十代の若者がオンラインでポジティブな経験を確実に得られるようにするための変革的なモデルとなるでしょう。全米の州が注意を払い、カリフォルニア州だけでなく、すべての子供が虐待や搾取から保護されるように、ビッグテックにこれらの基準をグローバルに採用するよう圧力をかけるものとなります。」

つまり、この新しい法律の影響は、すべてのインターネットユーザーに年齢確認が適用され、あらゆるウェブサイトで年齢を提供する時代がやってくる可能性を秘めています。

カリフォルニア州には、シリコンバレーなどのベイエリアを中心に世界をリードするテクノロジー企業が集結しています。カリフォルニア州は、現在ウェブサイト規制の強化を活発に進めており、カリフォルニア州の新しい規制が今後米国の標準あるいは全世界的な標準になる可能性もあります。

海外展開・海外進出の中では、現地の法律に準拠することが非常に重要です。さらに、今回のカリフォルニア州の新しい法律のように、施行開始が決定しているものの具体的なガイドラインは未決定というような場合には、企業としては最新情報を常に把握しながら、企業内の体制を新法律に合わせていく必要があります。インターネット関連の規制では、企業の物理的な拠点ではなく、サービス提供範囲として、包括的な適用範囲となる可能性も高く、海外進出・海外展開する企業への影響は多大です。

プライバシー保護や青少年保護の規制は、海外の方が日本国内よりも厳しい基準となっていることも多いため、法律違反により懲罰の対象とならないよう十分な注意が必要となります。

ファースト＆タンデムスプリント法律事務所では、お客様が海外展開・海外進出の目標を達成できるようなガイダンスとサポートを提供します。国際的な拡張計画に対して、弁護士によるご相談やリーガルチェックのご依頼をお受けしていますので、いつでもお問合せください。

※本稿の内容は、2022年11月現在の法令・情報等に基づいています。
本稿は一般的な情報提供であり、法的助言ではありません。正確な情報を掲載するよう努めておりますが、内容について保証するものではありません。

執筆者：弁護士小野智博
弁護士法人ファースト＆タンデムスプリント法律事務所　代表弁護士
企業の海外展開支援を得意とし、日本語・英語の契約審査サービス「契約審査ダイレクト」を提供している。
また、ECビジネス・Web 通販事業の法務を強みとし、EC事業立上げ・利用規約等作成・規制対応・販売促進・越境ECなどを一貫して支援する「EC・通販法務サービス」を運営している。
著書「60分でわかる！ECビジネスのための法律超入門」