EU KIDS法提案はIDデータを危険にさらすと批判者らが警告

EU KIDS法がプラットフォームとユーザーに求めるもの

2026年9月17日、欧州委員会は「EU KIDS法」と呼ぶ提案を公表した。この草案は、欧州連合全域でソーシャルメディアおよび動画共有プラットフォームにアクセスするための最低年齢要件を定め、これらのプラットフォームに対し、アクセスを許可する前にユーザーの年齢を確認することを義務付けるものとなる。対象となる事業者には、主要なソーシャルメディアおよび動画共有プロバイダーが含まれ、ユーザーの年齢をどのように確認するか、また未成年者のアカウントをどのように扱うかに関連する新たなコンプライアンス義務を負うことになる。

これは、15歳未満のユーザーに対する年齢確認に焦点を当てた以前の草案を発展させたものである。それについては、以前の記事EU KIDS法が提案する15歳未満への年齢確認で扱った。最新の提案は範囲を拡大し、年齢確認を任意の安全対策ではなく法的要件として正式に位置付け、執行責任をプラットフォーム自身に明確に負わせている。

年齢確認は通常どのように機能するか

義務的な年齢確認は、理論上は単純に聞こえる。アカウントを作成させる前に、ユーザーが十分な年齢であることを確認するというものだ。しかし実際には、プラットフォームはさまざまな方法を組み合わせてきたが、ユーザーのプライバシーを等しく保護するものは一つもない。

最も直接的な方法は、パスポートや国民身分証などの政府発行IDを提出し、プラットフォームまたは第三者の確認サービスが、ユーザーが申告した年齢と照合するものである。生体認証、多くの場合には顔の年齢推定も一般的な方法だ。ユーザーが自撮り写真または短い動画を撮影し、アルゴリズムが年齢基準を満たすかどうかを推定する。第三の方法は、アカウントの存在期間、支払履歴、活動パターンなど、行動上またはアカウント上のシグナルに依拠し、書類確認なしで推定される年齢範囲を推測するものである。

欧州の規制当局は第四の選択肢にも関心を示している。それは、ユーザーが年齢基準を満たすかどうかだけを確認し、ユーザーの身元、生年月日、その他の個人情報をプラットフォーム自体と共有しないように設計された、集中型でプライバシー保護型の確認システムである。この種のシステムは、適切に実装されれば、個々のプラットフォームが収集・保存する機微なデータの量を減らせる可能性がある。しかし、提案されているEU KIDS法では、実装、執行、技術標準に関する重要な詳細が依然として未解決のままであり、近い将来にどの確認方法を採用するかは、最終的には個々のプラットフォーム次第である。

プライバシー上のトレードオフ：データ収集対子どもの安全

EU KIDS法の背後にある政策目標は明白だ。子どもを年齢に適さないプラットフォームやコンテンツから遠ざけ、依存を促す設計機能や不適切な素材などの害への露出を減らすことである。その目的に反対する人はほとんどいないだろう。

複雑なのは、現在のほとんどの年齢確認方法が、子どもも大人も含めたユーザーに対し、アクセス資格を証明するために機微な個人データを渡すことを求めている点である。IDに基づく確認では、パスポートや運転免許証のスキャン画像をプラットフォームまたは第三者ベンダーにアップロードすることになる。生体認証では、顔スキャンを提出することになり、アカウントに紐づく恒久的な生体記録が作成される。行動追跡の方法でさえ、プラットフォームが本来よりも多くのユーザー活動データを収集・保持することを必要とする。

これらのデータフローはどれも潜在的な標的になる。アップロードされたIDや顔スキャンのデータベースが、プラットフォームのサーバー上または第三者の確認ベンダーに存在することは、データ侵害や不正アクセスを引き寄せるまさにその種の資産である。パスワードとは異なり、政府発行IDや生体スキャンは、一度流出しても単純にリセットすることはできない。未成年者を保護することを目的とした法律において、特に限られたセキュリティ予算しか持たない小規模プラットフォームが、短期間でこれらのシステムを構築またはライセンス供与することが求められる場合、確認プロセスそのものが弱点になるという現実的なリスクがある。

これがあなたにとって何を意味するか

EU KIDS法が提案どおりに進めば、EU全域のユーザーは、大人も未成年者も、今後数か月以内に主要なソーシャルメディアおよび動画共有プラットフォームで年齢確認のプロンプトに遭遇することを予想すべきである。それは、各プラットフォームがどの方法を実装することを選ぶかによって、IDのアップロード、生体分析のための自撮り、または集中型年齢確認システムを通じた認証を意味する可能性がある。

保護者は、子どもに確認手続きをさせてよいか判断する前に、プラットフォームがどの確認方法を用いているかに注意を払い、提出されたIDまたは生体データをプラットフォームが保存するのか、またどのくらいの期間保存するのかを尋ねるべきである。大人も同様に慎重であるべきだ。未成年者向けに構築された確認システムは、しばしば全員に適用されるため、大人のユーザーも、長年利用してきたサービスを使い続けるために年齢を証明するよう求められる可能性がある。

主な要点

EU KIDS法は、子どものオンライン上の安全に対する真摯で広く共有された懸念を反映しており、その根底にある目標は真剣に支持されるに値する。しかし、その目標を達成するために選ばれた仕組みである義務的な年齢確認には、同等の精査に値する独自のプライバシー上およびセキュリティ上のトレードオフがある。

この法律がEUの承認プロセスを進む中で、ユーザーは、プラットフォームがどの確認方法を採用するかに関する最新情報に注意を払い、IDや生体データを提出する前にプライバシーポリシーを読み、データ保持を最小限に抑え、プライバシー保護型の確認設計を約束するプラットフォームを選好すべきである。EU KIDS法の年齢確認要件がどのように最初に形作られたかについてのより多くの背景については、以前の報道15歳未満への提案された年齢確認が、この法律の起源と範囲を詳しく説明している。EU KIDS法の年齢確認とプライバシーに関する議論が続く中で、情報を把握しておくことが、ユーザーが子どもと自身のデータの両方を保護するための最良の手段となるだろう。