COPPAとは？児童オンラインプライバシー保護法の仕組みとウェブサイトの準拠状況を徹底解説

COPPA（Children's Online Privacy Protection Act：児童オンラインプライバシー保護法）は、13歳未満の子どもを保護することを目的としたアメリカのデータ保護法です。

COPPAが導入される以前は、オンラインプライバシーに関する法律は年齢に関係なくすべての人に同じように適用されていました。しかし同法の下では、未成年者に対して追加的な保護が提供されます。

では、COPPAはどのように機能し、実際に効果があるのでしょうか。

COPPAはなぜ制定されたのか

COPPAは1998年に成立しましたが、法律として施行されたのは2000年のことです。当初は、インターネットマーケティングの手口がますます子どもを標的にするようになった実態を受けて可決されました。

当時、ほとんどのウェブサイトにはプライバシーポリシーが存在せず、子ども向けサイトは同意なしに個人情報を収集していました。専門家の中には、子どもは自分の情報がどのように不利益に使われるかを理解できないため、そもそも同意する能力がないと主張する者もいました。

同法の下では、企業が子どもの個人情報を収集したい場合、まず保護者の同意を得なければなりません。

COPPAの対象となるのは誰か

FTC（米国連邦取引委員会）によると、以下のいずれかに該当する場合、COPPAの対象となります。

• 13歳未満の子どもをターゲットとしたウェブサイトやウェブサービスを運営しており、彼らの個人情報を収集している場合
• 一般の利用者をターゲットとしたウェブサイトやウェブサービスを運営しているが、13歳未満の子どもの個人情報を収集していることを実際に把握している場合
• 広告ネットワークを運営しており、13歳未満の子ども向けのウェブサイトやサービスを訪れたユーザーの個人情報を収集している場合

COPPAコンプライアンスとは何か

COPPAに準拠していると認められるためには、すべての企業が遵守すべき複数のルールがあります。

主なルールは以下の通りです。

• 子どもの個人情報を収集する前に、どのようなデータが収集されるのかを明確に説明したプライバシーポリシーを掲載しなければならない。このページには、保護者の同意が法的要件である旨の通知も含める必要があります。
• 子どもの個人情報を収集する前に、保護者から検証可能な同意を得なければならない。例えば、保護者に同意書への署名や知識ベースの質問への回答を求めることができます。
• 保護者がいつでも同意を撤回できる選択肢を提供しなければならない。その撤回方法も明確に説明する必要があります。
• 子どもの個人情報を収集する企業は、そのデータが盗難に遭ったり、必要以上に長く保持されたりすることを防ぐ手順を実装しなければならない。このルールは、その後データを受け取るすべての第三者にも適用されます。

ウェブサイトはCOPPAに準拠しているのか

COPPA導入前は、ほとんどのウェブサイトは子どものデータプライバシーを真剣に考えていませんでした。違反しても実質的なペナルティがなかったからです。

同法の可決後、多くのウェブサイトはデータ収集ポリシーを全面的に見直すことを余儀なくされました。現在、13歳未満の訪問者を受け入れるウェブサイトの大多数はCOPPAに準拠しています。また、同法の影響で、多くのサイトが13歳未満のユーザーの登録自体を認めなくなっています。

FTCによると、COPPAの要件を満たさなかった企業は、1件につき最大43,280ドルの罰金を科される可能性があります。

高額な訴訟リスクがあるにもかかわらず、COPPAを無視する企業も存在します。これは数々の著名な訴訟事例からも見て取れます。

同法に基づいて処罰された企業には、2014年に45万ドルの罰金を科されたYelpや、2019年に570万ドルの罰金を科されたTikTokなどがあります。

YouTubeはCOPPAに準拠しているのか

COPPAの影響が最も顕著に現れているのがYouTubeでしょう。2019年、FTCはGoogleに対して1億7,000万ドルの罰金支払いを命じました。これは同法史上最大の罰金額であり、和解条件としてGoogleはプラットフォーム全体にわたる大規模な変更に合意しました。

当時FTCは、Googleが保護者の同意を得ることなく、意図的に子どもの個人情報を収集していたと主張しました。

新しいルールでは、すべてのコンテンツ制作者に対し、自分のコンテンツが子どもをターゲットにしたものであるかどうかを尋ねています。この設定は動画単位またはチャンネル単位で指定できます。動画やチャンネルが「子ども向け」とラベル付けされると、YouTubeは視聴者から収集する個人情報を大幅に減らすようになりました。

これはユーザーの年齢にかかわらず適用されます。

この変更の結果、YouTube自体も子ども向けコンテンツの制作者も、広告収入の大幅な減少を経験しました。YouTubeはターゲット広告によって大きく収益化されており、個人情報を収集しなければターゲット広告はほぼ不可能だからです。

COPPAへの批判

しかし、COPPAは批判を受けていないわけではありません。批評家たちは同法を「違憲」であり「非効率」であると評しています。

違憲とされるのは、現在多くのウェブサイトが13歳未満のユーザーの登録を拒否しているためです。これはこうしたユーザーが言論の自由という権利を行使できなくなるおそれがあると主張されています。

非効率だとされる理由には以下のようなものがあります。

• 同法の文言は曖昧で解釈の余地が大きい。例えば、あるウェブサイトが本当に子どもをターゲットにしているかどうかはしばしば議論の分かれるところであり、起訴が困難になることがあります。
• 保護者の同意を取得するために使われる一部の仕組みは、簡単に偽装できる。多くのユーザーは単純に年齢を偽っています。
• ウェブサイトが子どもの登録を拒否すると、その子どもはむしろ安全性の低い別のサイトへ移動する可能性があると指摘されています。
• 同法が最初に起草された当時、インターネットは今とはまったく異なる場所でした。例えばYouTubeはまだ存在していませんでした。それにもかかわらず、COPPAに対する改正はごくわずかしか行われていません。

COPPAは十分に効果的か

オンラインでのデータ収集に伴う問題は今や広く知られており、COPPAの導入は13歳未満の子どもたちをそうした問題から守るための重要な第一歩となりました。同法のおかげで、インターネットは子どもにとってより安全な場所になっています。

とはいえ、同法が本来達成できるはずの、あるいは達成すべき水準ほど効果的ではないことも否定できません。もし本当に効果的であれば、これほど多くの著名な訴訟事例は存在しなかったはずです。そして今日でも、一部のウェブサイトは何の結果も伴わずに同法を無視し続けています。