はじめに

世界的に、子どものオンラインサービス規制・個人情報保護規制は重要なテーマになっている。
日本においても、本テーマへの関心が高まっている。たとえば、個人情報保護法改正案に子どもの保護に関する規律が追加されている^注1）。また、こども家庭庁では、現在「青少年インターネット環境整備法の在り方等に関する検討ワーキンググループ」により、青少年インターネット環境整備法の今後の在り方等についての検討が進められている^注2）。さらに総務省では、「デジタル空間における情報流通の諸課題への対処に関する検討会　青少年保護ワーキンググループ」により、インターネット上の違法・有害情報から青少年を保護するための適切な機能の在り方等に関する検討が進められている^注3）。
このように、日本においても今後更に本テーマの検討が進むと予想されるが、本稿は、外国の規制のポイントを紹介し、外国法のコンプライアンスの参考としていただくためのものであり、日本においても特定の国の特定の制度を導入すべきといった主張を行うものではない。もっとも、外国の規制の動向や実務上の対応は今後の日本の規制の動向や実務上の対応の参考にもなるとは考えられるので、海外事業を展開していない企業の実務担当者にも参照していただければ幸いである。
本稿では、あえて国別ではなく、①個人情報保護規制、②年齢シグナル法（アプリストア責任法）、③ソーシャルメディア等規制、④AIチャットボット規制、⑤その他の有害コンテンツ規制、⑥包括的な消費者等保護規制の順に、テーマごとに規制を取り上げている。前編は、①～③を取り上げ、後編では④～⑥を取り上げる。各テーマで取り上げるものはあくまで代表的なものの例示となっており、世界の規制を網羅的に取り上げるものではないことはご了承いただきたい。

個人情報保護規制

個人情報保護規制の一環として、子ども関係の規制が設けられることは多い。以下では米国法と欧州・英国法を取り上げる。

米国法

（1） 全体像

米国では、連邦レベルでは、民間向けの統一の包括的な連邦個人情報保護規制が存在しておらず、個別の連邦法が存在するのみである。その中に、子ども関係の著名な連邦法として、児童オンラインプライバシー保護法（Children’s Online Privacy Protection Act of 1998：COPPA）があり、本稿でもこれを中心に取り上げる（下記（2）参照）。
州レベルでは、多数の州で包括的な個人情報保護規制が存在している。たとえば、カリフォルニア州の消費者プライバシー法（California Consumer Privacy Act of 2018：CCPA）が有名である。CCPAでは、カリフォルニア居住者の個人情報の販売・共有について、原則オプトアウトの対応をする義務があるが、事業者が当該カリフォルニア州居住者が16歳未満であることを現実に認識している場合にはオプトイン同意が必要になる（§1798.120（c））。また、最近の規則改正により、事業者が当該カリフォルニア州居住者が16歳未満であることを現実に認識している場合のその者の個人情報が機微個人情報に加えられており（§7001（bbb）（4））、法定の場合を除いて制限権が及ぶ。
また、個別州法も存在している。たとえば、カリフォルニア州では、Ⅱ2.で後述する英国の年齢適正デザインコード（UK Children’s Code）をモデルとした年齢適正デザインコード法（Age-Appropriate Design Code Act）が存在しているが、現在、裁判所の仮差止命令により執行ができない状態となっている。他の例として、たとえば、アーカンソー州の青少年オンラインプライバシー保護法（Teens’ Online Privacy Protection Act）やニューヨーク州の児童データ保護法（Child Data Protection Act）^注4）がある。

（2） 児童オンラインプライバシー法（COPPA）

COPPA（Children’s Online Privacy Protection Act of 1998：児童オンラインプライバシー保護法）は、ウェブサイトやオンラインサービスで収集される13歳未満の子どもの個人情報保護を目的とした連邦法である。COPPAに違反した場合には、連邦取引委員会（FTC）法５条（後編のVで後述）違反により、FTCにより執行される可能性がある。FTCが2026年4月3日に公表した5か年計画^注5）「COPPAの執行はFTCの最も重要な仕事のうちの一つである」とされている。2025年6月にはCOPPA規則（以下、「規則」という）が改正され、規制が強化されている。
適用対象事業者は、①13歳未満の子ども向けウェブサイトの運営者・オンラインサービス提供者および②13歳未満の子どもから個人情報を取得していることを現実に認識しているウェブサイト運営者・オンラインサービス提供者である。②のみならず、①が存在するため、13歳未満の子どもから個人情報を取得していることを現実に認識していなくても、子ども向けウェブサイト・オンラインサービスであると認められれば、COPPA対応は必要になる。13歳未満の子ども用のウェブサイト・オンラインサービスであるとされれば、Age Gate（ウェブサイト・オンラインサービスで年齢を確認する仕組み）による年齢確認を行ってもCOPPA対応を免れることはできない。実務上は、13歳以上と13歳未満のユーザーが混在している混合対象サービスが重要であり、これについては、中立的なAge Gateにより13歳以上と判断された者については、COPPA対応をしないことが可能である（規則改正で、§ 312.2で混合対象サービスについて明文化された）。
COPPAにおける個人情報とは、「オンラインで収集される、特定の個人を識別できる情報」を指し、含まれる情報が例示列挙^注6）されている。

COPPAの適用対象となる事業者は、以下の二つの通知義務を負う（規則§312.4）。

①　保護者への直接通知：子どもから収集・利用する情報の詳細や、事業者のデータ開示プラクティスについて、保護者へ通知する義務

②　オンライン上の公開通知：ウェブサイトやオンラインのサービス画面上で、所定事項を通知する義務

なお、規則改正によって上記の義務は強化された。具体的には、①の保護者への直接通知に「個人情報の用途」および「第三者への開示時の詳細」を通知する義務が追加されたほか、②の通知義務についても強化されている。
事業者は、子どもからの個人情報取得の前に、あらかじめ、保護者から検証可能な同意を取得しなければならない（規則§312.5）。
ただし、一定の一回的な情報利用（規則§ 312.5（c）（3））や、内部運用のための永続識別子の利用（規則§ 312.5（c）（7））については、例外的に同意不要である。もっとも、規則改正により、内部運用のための永続識別子の利用の例外に依拠する場合、目的外利用を防止するための対策について通知が必要である（規則§312.4（d）（3））。
さらに、規則改正により、①収集・利用用の同意と、②第三者開示用の同意（サービス提供に不可欠なものを除く）を分けて取得する義務が追加された。

検証可能な同意の取得方法は、規則で認められているか、FTCの承認プロセスを経て承認されていることが必要であり、規則で示されている具体的な方法は図表1のとおりである（規則§312.5（b）（2）^注7））。実務上は、②の親のクレジットカードの利用により、検証可能な同意を取得する方法が広く使われている。具体的には、有料サービスについては代金分の、無料サービスについては1ドルの名目決済等をもって、親が同意したものとする方法である。

図表1　検証可能な同意取得の具体策

事業者は、子どもの個人情報を内部目的のみに使用する場合（第三者への開示や公開を行わない場合）には、上記の方法に加え、E-mailプラス／テキストプラス方式^注8）による保護者同意を利用することも可能である。

上記の義務以外にも、事業者は以下の義務を遵守する必要がある。

子どもがアクティビティ（ゲームや懸賞等）に参加するための条件として、必要となる以上の情報を取得してはならない（規則§312.7）。

・　子どもから収集した個人情報の機密性、安全性、完全性を保護するための合理的な手順を確立し維持しなければならない。文書化された情報セキュリティプログラムを策定・維持・実施しなければならず、年次リスク評価を行うことおよび、第三者ベンダのデューデリジェンスを行って書面による保証を得ることが必要である（規則§312.8）。

・　オンラインで子どもから収集した個人情報を、その情報が収集された目的を果たすために合理的に必要な期間のみ保持し、無期限に保持してはならない。加えて、文書化された保持方針を策定・実施・維持しなければならない（規則§312.10）。

現在、COPPAで保護される年齢（13歳未満）を、17歳未満まで拡大し、子どもおよびティーンに対するターゲティング広告の禁止や、未成年者自身または保護者がオンラインサービス上の情報を削除できる「イレイサーボタン」の設置を義務化する、Children and Teen’s Online Privacy Protection Act（COPPA 2.0）法案が提出されている^注9）。

EU/英国法

（1） GDPR

EUでは、統一的なデータ保護規制としてGDPR が存在しており、これに加えて各国法が存在している。英国は、EUを離脱した際に、GDPRを英国法（UK GDPR）として取り込み、従来から存在した国内法Data Protection Act 2018と併存していたが、データ（利用およびアクセス）法（Data （Use and Access） Act）により改正された。本稿では、UK GDPRについてもGDPRと一体として論じる。
子どもは脆弱なデータ主体であり、GDPRの前文38は、子どもに対する特別な保護の必要性に言及し、GDPR12条1項は透明性の原則を定める中で、「特に、子どもに対して格別に対処する情報提供のために、適切な措置を講じる」としている。GDPR57条1項（b）は、各国当局は、「とりわけ、子ども向けの活動に格別の注意を払わなければならない」としている。
また、GDPR8条1項は、子どもに対する直接的な情報社会サービスの提供との関係において、個人データの処理の法的根拠として「同意」（GDPR6条1項（a））に依拠する場合に子どもが自ら同意できる年齢について16歳以上としつつ、加盟国法では13歳を下回らない限りより低い年齢を定めることができるとしている。なお、GDPRでは、同意は個人データの処理の法的根拠の一つに過ぎず、あくまで同意により個人データの処理をする場合にのみ同意年齢が問題となる。

（2） 英国（UK Children’s Code）

英国のチルドレンズ・コード（年齢適正デザインコード）（Children’s Code（Age appropriate design code））には、オンラインサービスが遵守すべき15の基準が含まれる。

本コードは法律ではないが、Data Protection Act 2018の123条に基づき定められた、UK GDPRが情報社会サービスを利用する子どもにどのように適用されるかについて定める実務規範である。
18歳未満の子どもがアクセスする可能性が高い情報社会サービス（通常、報酬を得て、遠隔地で、電子的手段により、サービスを受ける人の個別の要求に応じて提供されるサービス）に適用される。ターゲット層でなくても、子どもがサービスにアクセスする可能性が高い場合は本コードを検討する必要があるため、ほとんどの営利目的のオンラインサービスがこれに該当しうる。
適用対象は、英国に拠点を置く企業と、英国の子どもの個人データを処理する英国以外の企業である。
英国データ保護当局（ICO）は、本コードが定める15の基準に対応する「セルフリスクアセスメントツール」を公表しており、企業が子どものプライバシー保護について自社の状況を評価する際に有益な指標となる。

図表2　UK Children’s Codeが定める15の基準

※1　ICOから、DPIAのサンプル①オンラインリテール、②コネクティッドトイ、③アプリ／ゲームが公表されている。
※2　子ども向けのプライバシーノーティスを策定することが想定される。たとえば、実例として、①RoosterMoney、②LEGO、③Yotiがある。

透明性についての年齢ごとの推奨事項は図表3のとおりである。

図表3　透明性についての年齢ごとの推奨事項

年齢シグナル法（アプリストア責任法）

米国では近時、複数の州で、未成年者のアプリ利用の際の安全を強化するための年齢シグナル法（アプリストア責任法）が可決されている。
アプリストア責任法は、たとえば、以下のような規律を課している。

①　アプリストアは、ユーザーが当該アプリストアでアカウント作成をする際、年齢確認を行う

②　アプリ開発者は、各アプリおよびアプリを通じて購入できる各商品に年齢レーティングを設定する

③　アプリ開発者は、アプリストアから受領した年齢確認情報を使用して各アプリユーザーの年齢区分を確認し（アプリ開発者自身がユーザーに対して直接年齢確認を行う必要はない）、ユーザーが未成年者（18歳未満）の場合には、ユーザーの保護者の同意の有無を確認するためのシステムを構築・実施する

④　アプリ開発者は、アプリに適用される利用規約またはプライバシーポリシーに重要な変更を加える際には事前にアプリストアへ通知し、当該通知を受けたアプリストアは保護者の同意を更新する

現在アプリストア責任法が可決されている州は図表4のとおりである。

図表4　アプリストア責任法が可決済みの州

特にカリフォルニア州法のようなモデルの法令を制定する動きは、今後、他の州にも広がっていく可能性がある。各アプリストアは、対応のためのAPI提供を含めて、アプリストア責任法への対応方針（Google / Apple）を公表している。実際にアプリストア責任法に対応することによりユーザーの年齢確認情報をアプリストアから受領する場合、13歳未満と確認されたユーザーに関しては、COPPA（Ⅱ1.（2）参照）を遵守する必要が生じることにも注意が必要である。
なお、連邦119th Congressには、州のアプリストア責任法と同様の規制を連邦レベルで導入する法案として、App Store Accountability Act法案が提出されている。

1. 個人情報保護委員会「「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について」（令和8年4月7日）。[↩]
2. こども家庭庁「青少年インターネット環境整備法の在り方等に関する検討ワーキンググループ（第4回）」（令和8年4月30日）。[↩]
3. 総務省「デジタル空間における情報流通の諸課題への対処に関する検討会　青少年保護ワーキンググループ（第4回）配布資料」（令和8年4月22日）。[↩]
4. 2025年6月20日施行。参考資料：ガイダンス、AGオフィスの子どもの保護のページ。[↩]
5. Federal Trade Commission Strategic Plan for Fiscal Years 2026-2030[↩]
6. 以下が例示されている。（1）名および姓（2）番地および市区町村名を含む、自宅その他の物理的住所（3）本条に定義されるオンライン連絡先情報（4）本条に定義されるオンライン連絡先情報と同様の方法で機能するスクリーンネームまたはユーザー名（5）電話番号（6）社会保障番号、州発行の身分証明書番号、出生証明書番号、またはパスポート番号などの政府が発行する識別番号（規則改正で追加）。（7）時間の経過および異なるウェブサイトまたはオンラインサービス間においてユーザーを認識するために使用され得る永続的識別子。これには、クッキーに保存される顧客番号、インターネット・プロトコル（IP）アドレス、プロセッサまたは端末のシリアル番号、もしくは固有のデバイス識別子などが含まれるが、これらに限定されない。（8）当該ファイルに子どもの画像または音声が含まれる写真、動画、または音声ファイル（9）番地および市区町村名を特定できる程度に十分な位置情報（10）指紋、手形、網膜パターン、虹彩パターン、DNA配列を含む遺伝情報、声紋、歩行パターン、顔テンプレートまたはフェイスプリントなど、個人を自動または半自動で識別するために使用され得る生体識別情報（規則改正で追加）（11）本定義に記載された識別子と組み合わされ、事業者がオンラインで子どもから収集する、当該子どもまたはその親に関する情報。[↩]
7. ⑤、⑥は、規則改正で最近追加されたものである（規則§312.5（b）（2）（vi）（vii））。[↩]
8. 規則§312.5（b）（2）（viii）（ix）。保護者のオンライン連絡先に送付する直接通知（E-mail／テキストメッセージ）の中で、返信により同意の意思表示を求める。ただし、この方法を適切に利用するためには、保護者からの返信を受け取った後に追加の確認措置（ここがプラスの部分）を講じる必要がある。具体的には以下の二つのいずれかが含まれる。
   ・同意の返信受領後に（合理的な期間をおいて）保護者へ確認のメールを別途送信して改めて同意を確認すること。
   ・保護者から郵送先住所や電話番号を取得し、書面または電話により同意を確認すること。
   ※この方法を用いる事業者は、保護者が当該電子メールに基づいて与えた同意を撤回できる旨を通知しなければならない。[↩]
9. 上院版は2026年3月16日に上院を可決し、下院に送られた。／下院版。[↩]