LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

年齢確認というと「身分証を撮ってもらう」実装が思い浮かびますが、それを禁じている法律があります。オーストラリアのオンライン安全法（Online Safety Act 2021）に、2024年の改正法で加えられた第4A編です*1。

この改正は「Online Safety Amendment (Social Media Minimum Age) Act 2024」（2024年法律第127号）として2024年12月10日に裁可され、翌11日に施行されました*1。義務そのものは大臣が告示で指定する日から効力を持つ形が取られ*1、個人情報保護委員会（OAIC）は2025年12月10日から、年齢制限つきSNSの提供者が16歳未満の豪州人にアカウントを作らせない・保持させないための合理的な措置をとることになると公表しています*2。

本記事では、利用者投稿を扱うサービスを持つ企業の情報システム担当と、その仕組みづくりを受託する立場に向けて、対象の判定と、年齢確認に「使ってはいけない手段」を整理します。制度の解釈が要る部分は条文と専門家の確認を経て進めてください。

義務は「合理的な措置」、罰は3万ペナルティユニット

中心の条文は第63D条です*1。

年齢制限つきSNSプラットフォーム（age-restricted social media platform）の提供者は、年齢制限対象の利用者がそのプラットフォームでアカウントを持つことを防ぐため、合理的な措置をとらなければならないとされています*1。民事罰は3万ペナルティユニットです*1。

「年齢制限対象の利用者（age-restricted user）」は、16歳に達していない豪州の子どもと定義されています*1。

効力の発生については第63E条が定めています*1。第63D条は大臣が告示（notifiable instrument）で指定する日から効力を持ち、その日は同条の施行から12か月を超えてはならないとされています*1。OAICの公表によれば、その日は2025年12月10日です*2。

ここで見落としやすいのが第63E条第4項です*1。義務は、効力発生日以降に存在するアカウントについて適用されるとされ、効力発生日より前から存在していたアカウント、さらには同条の施行より前から存在していたアカウントも含むと明記されています*1。新規登録だけを止めれば済む話ではない、ということです。

システムとして考えるべき点を挙げます。

既存アカウントの棚卸しが必要になります。新規の導線だけを直しても、義務を満たしません*1。すでにいる利用者について、年齢をどう扱うかを決めることになります。

「合理的な措置」の中身は条文にありません。eSafetyコミッショナーが、そのための指針を作成する権限を与えられています*1。指針は法令ではないとされており*1、その位置づけを踏まえて読む必要があります。

証跡が問われます。合理的な措置をとったことを説明できるかが判断の軸になります。何をどう実装し、どの程度の精度だったのか。記録が残っていなければ、説明が組み立てられません。

身分証を集めてはいけない、という条文

この法律を他国と分けているのが、第63DB条です*1。

年齢制限つきSNSの提供者は、第63D条を遵守する目的で（またはそれを含む目的で）、政府発行の身分証明資料を収集すること、および認定サービス（Digital ID Act 2024にいうaccredited service）を使用することをしてはならないとされています*1。民事罰は3万ペナルティユニットです*1。

「政府発行の身分証明資料」には、連邦・州・準州またはその機関が発行した身分証明文書（その写しを含む）と、それらが発行したデジタルID（Digital ID Act 2024にいうもの）が含まれるとされています*1。

例外は置かれています*1。提供者が、これらの資料やサービスを用いない代替の手段を個人に提供しており、かつその手段が状況に照らして合理的である場合には、この禁止は適用されないとされています*1。

あわせて第63DA条は、第63D条の遵守を目的として収集してはならない情報の類型を、大臣が法定規則で指定できるとしています*1。指定にあたっては、コミッショナーと情報コミッショナーの双方に助言を求め、その助言を考慮しなければならないとされています*1。

設計への含意は明確です。「本人確認と同じ仕組みを流用する」という発想が使えません。身分証の画像を受け取って保管する実装は、この法律の下では出発点にできないということです。

同意や属性の扱いを実装から組み立てる考え方は、同意管理とプライバシー情報の実装で扱う内容が土台になります。

集めた情報は使い終えたら破棄する

収集の制限に続いて、集めたあとの扱いも定められています*1。

第63F条は、年齢制限つきSNSでの年齢制限対象利用者のアカウント保有を防ぐための合理的な措置という目的で（またはそれを含む目的で）収集された個人情報について、次のように定めています*1。

目的外の利用・開示は「プライバシーの侵害」とみなされます*1。その個人が年齢制限対象の利用者かどうかを判断する目的、豪州プライバシー原則6.2(b)(c)(d)(e)が適用される場合、または本人の同意がある場合を除き、利用や開示はプライバシー法1988にいうプライバシーの侵害にあたるとされ、同法第13条の対象になるとされています*1。

同意についても要件があります*1。自発的であること、情報を与えられたうえでのものであること、現在のものであること、特定的であること、明確であること。そして本人が、容易にアクセスできる方法で同意を撤回できることが必要とされています*1。

使い終えたら破棄する義務があります*1。収集された目的のために利用または開示したあと、その情報を破棄しなければならないとされ、破棄しない場合はそれ自体がプライバシーの侵害とみなされるとされています*1。

この条文が設計に与える影響は大きいものです。

保持期間の既定値が「持たない」になります。ログや監査のために残しておく、という一般的な設計が、そのまま義務違反になり得ます。年齢確認に使った情報だけは別の扱いにする必要があります。

破棄の実行を記録する必要があります。破棄したことを示せなければ、破棄していないと見られる可能性があります。削除の実行そのものは記録し、対象データは残さないという分離が要ります。

第三者の年齢確認サービスにも及びます。条文の主語は「エンティティ」であり、プライバシー法1988第III部第1節の意味とされています*1。OAICは、年齢制限つきSNSと第三者の年齢保証プロバイダーの双方に向けて、第4A編に関するプライバシーの指針を公表しています*2。委託先の実装も自社の説明責任の範囲に入ります。

監督の体制も二重です*2。OAICはeSafetyと共同でこの枠組みを規律しており、第63F条のプライバシー規定の遵守と執行を監督するとされています*2。窓口が一つではない点は、社内の対応体制を決めるときに効いてきます。

対象の判定は「重要な目的」で広がる

自社が対象になるかは、第63C条の定義で決まります*1。

年齢制限つきSNSプラットフォームとは、次の条件を満たす電子サービスとされています*1。2人以上の利用者どうしのオンラインでの社会的な交流を可能にすることが、そのサービスの唯一の目的または重要な目的（significant purpose）であること、利用者が他の利用者の一部または全部とリンクしたり交流したりできること、利用者がサービス上に素材を投稿できること、そして法定規則が定めるその他の条件です*1。法定規則で個別に指定されたサービスも含まれます*1。

説明資料は、この定義が既存の「ソーシャルメディアサービス」（第13条）より広いことを明記しています*2。第13条の「唯一または主たる目的」というテストを、「重要な目的」というテストへ拡張したためです*2。年齢制限つきSNSは第13条のソーシャルメディアサービスであることも、そうでないこともあり得るとされています*2。

この拡張の理由も説明されています*2。規制を避ける目的でサービスを拡張することを防ぐためであり、例として動画共有プラットフォームが新たにメッセージ機能を付けても、メッセージが唯一または主たる目的にならない限り「メッセージサービス」としての除外は主張できないとされています*2。逆に、除外されているプラットフォームが提供内容を根本的に変えて主たる目的が変われば、義務の対象に入り得るとされています*2。

判定にあたって見るべきものも示されています*2。プラットフォームの機能と特徴、それらがどう展開され利用者の関与・行動・体験にどう影響するか、そして謳われている用途ではなく実際の利用です*2。掲げている目的も関連し得るものの、機能や利用者体験より軽く扱われ、他の要素から切り離して考えることはできないとされています*2。

除外については、2025年7月30日に「Online Safety (Age-Restricted Social Media Platforms) Rules 2025」が作られ、年齢制限つきSNSに当たらない電子サービスが類型として指定されています*2。これらの規則は固定されたものではなく、技術や環境の変化に応じて更新され得るとされています*2。また、オンライン安全法第239B条により、効力発生から2年以内にこの枠組みの見直しを行うこととされています*2。

読み取れる実務の要点は一つです。「うちはSNSではない」という自己認識は根拠になりません。投稿でき、利用者どうしがつながれる機能があるなら、それが重要な目的かどうかで判定されます。機能の追加が判定を変え得る点も、リリース計画に関わってきます。

着手の順序と、受託で進めるときの要点

優先順位をつけるなら、次の順になります。

第一に、対象の判定です。投稿・つながり・交流の三つが揃っているか、それが重要な目的かを確認します*1*2。豪州の利用者がいるかも同時に見ます。

第二に、既存アカウントの扱いです。義務は効力発生日より前からあるアカウントにも及びます*1。

第三に、年齢確認の方式です。政府発行の身分証と認定デジタルIDが使えない前提で選びます*1。

第四に、破棄の実装です。使い終えたら破棄することとされています*1。保持しない設計を先に決めます。

受託で進める場合の要点も挙げます。

本人確認の仕組みを流用しないことです。金融や取引で使う本人確認と、この年齢確認は要求が逆を向いています*1。同じ基盤に載せると、保持期間の設定が衝突します。

代替手段をあらかじめ用意することです。身分証や認定サービスを使う場合でも、それらを用いない合理的な代替手段を提供していれば禁止は適用されないとされています*1。逆に言えば、代替手段がなければ選択肢が消えます。

破棄を機能として作ることです。運用で消す前提にすると、担当が変わったときに残ります。確認の完了をトリガーに破棄が走る形が確かです。

他国の年齢確認と要求を突き合わせることです。英国オンライン安全法は高い実効性を、ブラジルのECA Digitalはプライバシーとの両立を求めます。豪州はさらに手段そのものを制限します。共通の実装で 3か国すべてを満たそうとすると、どこかで矛盾します。

体制としては、プロダクトの設計と個人情報の取扱いの実務、その双方に触れられる要員が入れるかが分かれ目になります。既存利用者の年齢の持ち方、確認に使う情報の流れ、破棄の実行。これらは仕様書の項目名だけを見ていても判断できません。業務側と設計側が同じ場で話せる形を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。

まとめ：豪州のSNS最低年齢で押さえる3つの視点

オーストラリアは、オンライン安全法2021に第4A編を加える形でSNSの最低年齢を導入しました。改正法は2024年法律第127号として2024年12月10日に裁可され、翌11日に施行されています。押さえたい視点は三つです。第一に、義務の内容と時期。年齢制限つきSNSの提供者は、16歳に達していない豪州の子どもがアカウントを持つことを防ぐ合理的な措置をとることとされ、民事罰は3万ペナルティユニットです。効力の発生日は大臣の告示で指定することとされ、OAICは2025年12月10日からと公表しています。義務は効力発生日より前から存在するアカウントにも及びます。第二に、手段が制限されていること。この義務のために政府発行の身分証明資料を収集することと、Digital ID Act 2024にいう認定サービスを使うことは原則としてできません。ただし、それらを用いない合理的な代替手段を提供していれば適用されません。第三に、集めた情報を持ち続けられないこと。目的外の利用・開示はプライバシーの侵害とみなされ、目的のために使ったあとは破棄することとされ、破棄しないこと自体も侵害とみなされます。対象の判定は「重要な目的」という広いテストで行われるため、自社をSNSと認識していなくても入り得る点にも注意が要ります。

よくある質問

出典

1. *1　参考：オーストラリア連邦法令登録簿「Online Safety Amendment (Social Media Minimum Age) Act 2024（No. 127, 2024）」（https://www.legislation.gov.au/C2024A00127/asmade/text）。2024年12月10日の裁可と翌11日の施行、オンライン安全法2021への第4A編の追加、第63C条（年齢制限つきSNSプラットフォームの定義＝社会的な交流を可能にすることが唯一または重要な目的、リンク・交流、投稿が可能であること、法定規則による指定と除外）、age-restricted userの定義（16歳に達していない豪州の子ども）、第63D条（合理的な措置の義務と民事罰3万ペナルティユニット）、第63DA条（法定規則で指定された情報の収集禁止と助言の要件）、第63DB条（政府発行の身分証明資料の収集と認定デジタルIDサービスの使用の禁止、代替手段がある場合の適用除外、政府発行の身分証明資料の範囲）、第63E条（大臣の告示による効力発生日の指定、施行から12か月以内という上限、既存アカウントへの適用）、第63F条（目的外の利用・開示のプライバシー侵害みなし、同意の要件、使用後の破棄義務と破棄しない場合のみなし規定）、第27条（コミッショナーによる指針の作成と、その指針が法令でないこと）の一次情報として（2026年8月確認）
2. *2　参考：オーストラリア情報コミッショナー事務局（OAIC）「Social Media Minimum Age」（2025年10月23日公表）（https://www.oaic.gov.au/privacy/your-privacy-rights/social-media-minimum-age）。2025年12月10日から年齢制限つきSNSプラットフォームが16歳未満の豪州人にアカウントを作らせない・保持させないための合理的な措置をとることになること、OAICがeSafetyと共同でこの枠組みを規律し、オンライン安全法2021第4A編第63F条のプライバシー規定の遵守と執行を監督すること、OAICが年齢制限つきSNSと第三者の年齢保証プロバイダーに向けて第4A編に関するプライバシー指針を公表していることの一次情報として（2026年8月確認）
3. *3　参考：オーストラリア連邦法令登録簿「Online Safety (Age-Restricted Social Media Platforms) Rules 2025」説明文書（2025年7月30日登録）（https://www.legislation.gov.au/F2025L00889/asmade/2025-07-30/es/original/pdf）。規則が第63C条第6項(b)に基づき年齢制限つきSNSに当たらない電子サービスを指定するものであること、改正法が2024年11月29日に可決されたこと、第63C条の定義が第13条の「ソーシャルメディアサービス」より広く「唯一または主たる目的」を「重要な目的」へ拡張したものであること、目的テストの趣旨（メッセージ機能を追加しただけでは除外を主張できない等）、判定にあたって機能・展開のされ方・実際の利用を見ること、eSafetyコミッショナーが実施・監視・執行を主に担い情報コミッショナーがプライバシー面を担うこと、規則が固定でなく更新され得ること、第239B条により効力発生から2年以内に見直しを行うことの確認として（2026年8月確認）

Tweet