EU Kids Act、15歳未満を対象とした年齢確認を提案

欧州委員会は、EU Kids Act案を前進させた。この法案は、ソーシャルメディアプラットフォームに対する義務的な年齢確認を導入し、いわゆる依存的な設計機能を制限し、EU域内で事業を行うテクノロジー企業に新たな安全義務を課すものだ。提案によれば、15歳未満はソーシャルメディアアカウントの保有に制限を受けることになり、主要な規制機関が若者のオンラインプラットフォームへのアクセス方法を再形成しようとする、これまでで最も重要な試みの一つとなる。

EU Kids Actの背後にある意図は、未成年者を有害コンテンツ、依存的なアプリ設計、望まない接触から保護することだが、それを執行する仕組みである年齢確認は、それ自体が一連のプライバシー上の問題を提起する。大規模にユーザーの年齢を確認するには、通常、何らかの形の識別情報を収集する必要があり、それによってプラットフォームがそのデータをどのように扱い、保存し、潜在的に共有するかについて新たな検討事項が生じる。

EU Kids Actが実際に提案している内容

提案に関する報道によれば、EU Kids Actは、標準的なソーシャルメディアアカウントへのアクセスを許可する前に、プラットフォームにユーザーの年齢確認を義務付けるものとなる。15歳未満のユーザーは制限を受け、この法律は無限スクロール、自動再生、エンゲージメント主導の通知システムなど、依存性があるとみなされる設計機能も対象とする。プラットフォームはまた、有害コンテンツや望まない交流への露出を減らすことを目的とした新たな安全要件の対象にもなる。

この計画の詳細が表面化したのは今回が初めてではない。以前に漏えいした文書は、委員会の思考を国民に予告するものとなり、EU Kids Actの漏えいに関する以前の報道では、この提案が内部草案から正式な立法推進へとどのように発展したかを概説している。その漏えいは、現在の提案が公表されるずっと前から、委員会が年齢のしきい値とプラットフォームの義務をすでに検討していたことを示していた。

義務的な年齢確認におけるプライバシー上のトレードオフ

年齢確認は原則としては単純に聞こえる。ユーザーがプラットフォームを利用するのに十分な年齢であることを確認し、それに応じてアクセスを許可または制限するというものだ。しかし実際には、政府発行のID、生体データ、第三者による確認資格情報など、何らかの形の証明をプラットフォームが収集する必要がある。これらの選択肢にはそれぞれ、データ処理に関する含意がある。

核心的な緊張関係はこれだ。少なくとも理論上は、確認方法が厳格であるほど、より多くの個人データがやり取りされる。IDをプラットフォームのサーバーに対して直接照合するシステムは、基礎となる文書を共有することなく、年齢の可否のみを確認する独立したプライバシー保護型の確認レイヤーに依存するシステムとは、異なるリスクプロファイルを生み出す。EU Kids Actが最終的に確認をどのように実施し、どの主体がそれを実行することを信頼されるかによって、この法律が、子どもとその保護者に関してプラットフォームや第三者が保持する機微データの量を拡大することなく、未成年者を実質的に保護するかどうかが決まるだろう。

こうしたトレードオフを検討する家庭は、確認システムが存在するかどうかだけでなく、それがどのように構築されるかに細心の注意を払うべきだ。明確なデータ最小化の保護策なしに年齢確認を義務付ける法律は、あるリスク（監督されていないアクセス）を別のリスク（過剰なデータ収集）と引き換えにすることになりかねない。

VPNは新しい年齢確認を回避できるのか、そして回避すべきなのか

他の地域的制限と同様に、一部のユーザーは、同様の規則がない管轄区域からプラットフォームにアクセスしているように見せることで、EU Kids Actの年齢確認要件を回避する方法としてVPNに頼るかもしれない。技術的には、VPNはユーザーの位置情報を隠すことができ、それが、地理制限されたコンテンツや地域ロックされたサービスとともにしばしば議論される理由の一つだ。

しかし、未成年者を保護するために設計された年齢確認を回避するためにVPNを使用することは、一般的なプライバシーやアクセスの目的で使用することとは別問題だ。ほとんどのプラットフォームは、年齢確認を純粋にIPベースの地理的位置情報ではなく、アカウントレベルの確認に結び付けている。つまり、VPNだけでは信頼できる、あるいは完全な回避策にはなりそうにない。さらに重要なのは、EU Kids Actの目的は子どもの安全であり、その意図を回避することは、この法律が確立しようとしている保護を損なうということだ。保護者や後見人は、VPNを抜け穴として扱うよりも、プラットフォームが実際に設けている確認要件を理解する方が有益だ。

他の国の年齢確認法との比較

この種の立法を進めているのはEUだけではない。ニュージーランドは、16歳未満がソーシャルメディアアカウントを保有することを禁じる独自の法案を導入しており、これも厳格な年齢確認要件とプラットフォームへの罰則によって裏付けられている。ニュージーランドの16歳未満ソーシャルメディア法案に関する報道では、執行、プライバシー、確認方法に関する同様の懸念がすでにそこで表面化していることを詳述している。この2つの取り組みを比較すると、より広範な世界的パターンが見えてくる。規制当局は、実施方法とデータ保護に関する疑問が各管轄区域で依然としてほとんど未解決のままであるにもかかわらず、未成年者のアクセスを制限する主要な手段として年齢確認に収束しつつある。

これがあなたにとって意味すること

あなたがEUに住む保護者、後見人、または若いユーザーであれば、EU Kids Actの年齢確認提案は依然として立法過程を進んでいる途中であり、何かが発効する前に詳細が変わる可能性がある。確認方法がどのように定義されるかに注目する価値がある。なぜなら、その詳細がプラットフォームが実際にどれだけの個人情報を収集するかを決めるからだ。今のところ、家族はVPNのような単一の技術的回避策がコンプライアンス上の懸念を解決すると仮定するのではなく、どのプラットフォームが影響を受け、確認システムがどのようにデータを扱うかについて情報を得ておくべきだ。

主なポイント

• EU Kids Actは、ソーシャルメディアプラットフォームに対する義務的な年齢確認と依存的な設計機能の制限を提案しており、15歳未満のアカウントを対象とする具体的な制限を含んでいる。
• 確認の要件そのものよりも、確認の方法が重要だ。プライバシー保護型のアプローチはデータの露出を抑えるが、IDベースのシステムはそれを増やす可能性がある。
• VPNは、子どもの安全対策に結び付いた年齢確認を回避するための信頼できる、あるいは推奨される方法ではない。
• ニュージーランドを含め、同様の法律が世界的に登場しており、年齢確認が孤立したEUの政策ではなく、オンラインプラットフォームのより一般的な特徴になることを示唆している。
• 読者は、EU Kids Actのプライバシーへの影響について結論を出す前に、特にその確認システムの技術的詳細がどのように展開するかを追うべきだ。