LASSIC Media らしくメディア
メリーランド州Kids Code、なぜ影響評価が7営業日か
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 評価は製品単位：子どもがアクセスしやすい製品に要ります*1。
- 期限は90日と7営業日：新規公開後と提出要求後の日数です*1。
- 年齢ゲートは求められない：条文が明文で否定しています*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
海外向けのサービスで「子どもも使うかもしれない」機能を扱うとき、判断が要る場面が増えています。年齢確認を入れるかどうかではなく、既定値と評価文書の側で決まる要件があるからです。
米国メリーランド州の年齢適合設計コード法（Kids Code）は、その形の代表例です。2024年会期の第461章（下院法案603）として2024年5月9日に知事の承認を受け、2024年10月1日から効力を生じました*1。商法典に新しい小編を置き、対象の事業者にデータ保護影響評価を求める構造です*1。
確かめたい点は4つあります。誰が対象なのか、評価はいつまでに何を書くのか、既定値と画面に何が求められるのか、執行はどう動くのか。法文と、係争中の連邦地裁の記録から順に見ていきます。
目次
対象は3つのしきい値のどれかに当たる事業者
まず、誰に及ぶ法かです*1。
第14-4601条(H)は対象事業者を、個人事業、有限責任会社、法人、団体その他の法主体のうち、次のすべてに当たるものと定めます*1。株主その他の所有者の利益または財務上の便益のために組織され、または運営されていること、消費者の個人データを収集し、または自らのために他の主体を用いて収集させていること、単独で、または関連会社もしくは子会社と共同して、処理の目的および手段を決定していること、州内で事業を行っていることです*1。
そのうえで、規模のしきい値が3つ置かれました*1。年間総収入が2,500万ドルを超えること（奇数年ごとに消費者物価指数の変動を反映して調整）、単独で、または関連会社もしくは子会社と併せて、対象事業者の商業上の目的のために、年間5万人以上の消費者、世帯またはデバイスの個人データを購入、受領、販売または共有すること、年間収入の少なくとも50％を消費者の個人データの販売から得ていることのいずれかに当たれば対象です*1。
子どもの定義は年齢だけで置かれています*1。第14-4601条(E)は子どもとは、18歳未満の消費者を意味するとしました*1。13歳未満を対象とする連邦の枠組みより広い線です。米国連邦側の改正の中身は改正COPPA規則で扱う期限と併せて見ると、対象年齢の差が分かります。
対象となる製品の範囲も条文にあります*1。オンライン製品とは、オンラインのサービス、製品または機能を意味するとされ、合衆国法典第47編第153条に定める電気通信サービスと、オンライン小売業者が販売する物理的な製品の販売、引き渡しまたは使用は含まれません*1。
適用除外も第14-4602条に置かれました*1。連邦のグラム・リーチ・ブライリー法第5編や医療関係の連邦法（HITECH法、HIPAAの規則）に従って扱われるデータ、および臨床試験の一部として収集された情報が除かれます*1。
条番号については、参照する際に注意が要ります*1。成立した法文は商法典に第14-4601条から第14-4613条までを新設する形で書かれていますが*1、この法律をめぐる連邦地裁の判断は同法を商法典第14-4801条から第14-4813条として引用しています*2。編入後の条番号で検索したほうが現行条文に当たりやすい状態です*2。
評価の期限は2026年4月1日と、公開から90日
中核の義務は、製品ごとの評価です*1。
第14-4604条(A)(1)は子どもがアクセスする可能性が合理的に高いオンライン製品を提供する対象事業者は、当該オンライン製品についてデータ保護影響評価を作成するものとすると定めます*1。期限は既存と新規で分けられました*1。
既存の製品については第(A)(2)項です*1。2026年4月1日までに、対象事業者は、(1)の基準に当たり、2026年4月1日以前に公衆へ提供され、かつ2026年7月1日より後も公衆へ提供され続けるオンライン製品について、データ保護影響評価を作成するものとするという書き方です*1。3つの条件がそろった製品に、この期限がかかります*1。
新規の製品は第(A)(3)項が扱います*1。(1)の基準に当たり、2026年4月1日より後に初めて公衆へ提供されるオンライン製品については、対象事業者は、当該オンライン製品が公衆へ提供された後90日以内にデータ保護影響評価を完成させるものとすると定められています*1。
| 対象 | 条件 | 期限 |
|---|---|---|
| 既存の製品 | 2026年4月1日以前に公開され、2026年7月1日より後も提供を続けるもの | 2026年4月1日まで |
| 新規の製品 | 2026年4月1日より後に初めて公開するもの | 公開から90日以内 |
| 重要な変更 | 処理に関する重要な変更が生じたとき | 変更から90日以内に見直し |
評価の中身は第(B)項に並びます*1。オンライン製品の目的を特定すること、オンライン製品が子どものデータをどのように用いるかを特定すること、子どもの最善の利益に沿う形で設計され提供されているかを判断すること、最善の利益に沿って行動する義務を果たすために講じた措置および講じる予定の措置の記述を含めることの4つです*1。
3つ目の判断には、考慮すべき事項が列挙されました*1。子どもへの接触を生じさせないか、子どもが目撃し、参加し、または被る行為につながらないか、子どもが契約の当事者となる、または契約により搾取されることを許さないか、ターゲティング広告のシステムが害を生じないか、メディアの自動再生、滞在時間に対する報酬、通知といった利用を増やし、持続させ、または延ばすための設計上の機能を用いていないか、機微な個人データを収集または処理しているか、その目的は何か、製品の実験的な影響を理解するために収集したデータが、問題のある実務を明らかにしないか、用いているアルゴリズムが害を生じないか、そしてその他の要素です*1。
どの考慮事項についても、判断の基準となる害の型は共通しています*1。合理的に予見可能かつ重大な身体的または財務上の害、合理的に予見可能かつ極端な心理的または情緒的な害、プライバシーについての合理的な期待に対する著しく不快な侵入、人種や宗教、障害、性同一性などにもとづく差別の4つです*1。
作成済みの評価を使い回す道も残されました*1。第(C)(1)項は他の法律の遵守のために対象事業者が作成したデータ保護影響評価は、本条の要件を満たす場合には本条に適合するとし、第(C)(2)項は1つのデータ保護影響評価が、類似のリスクを示す複数の類似した処理の作業を含むことができるのは、関係する各オンライン製品が扱われている場合に限ると定めます*1。他の制度向けの評価から流用できる範囲と、まとめて書ける範囲が示された形です*1。評価を回す体制の考え方は中国の合規審計の制度で扱う仕組みと比べると差が見えます。
既定値と画面の側に置かれた5つの作為義務
評価を作る事業者には、5つの作為義務が続きます*1。
第14-4605条は、評価が求められる対象事業者について次を定めました*1。オンライン製品が子どもによってアクセスされる可能性が高い間、評価の文書を保管すること、当該オンライン製品に関する処理の重要な変更を反映するために、必要に応じて、当該変更から90日以内に各データ保護影響評価を見直すことです*1。
3つ目が、既定値の話です*1。他のいかなる法律にもかかわらず、当該オンライン製品が子どもに提供するすべての既定のプライバシー設定を、高い水準のプライバシーを提供するように構成すること。ただし、対象事業者が、異なる設定が子どもの最善の利益にかなうやむを得ない理由を示すことができる場合を除くという条文です*1。既定を寄せる方向が決まっており、外すには理由の提示が要ります*1。
4つ目と5つ目は、文面と操作の提供です*1。プライバシーに関する情報、利用規約、方針およびコミュニティ基準を、アクセスする可能性が高い子どもの年齢に適した明確な言葉で、簡潔かつ目立つ形で提供すること、子ども、または該当する場合はその親もしくは保護者が、権利を行使し懸念を申告することを助ける、目立つ、利用しやすい、かつ応答性のある手段を提供することです*1。
実装から見ると、この5項目は評価文書とは別の作業になります*1。既定値の一覧を持ち、子ども向けの表示文面を別に用意し、申告の窓口を画面から辿れるようにする。権限や同意を求める画面の作り方は権限リクエストのUXで扱う設計と地続きです。
年齢に合った言葉という要件は、翻訳の工程にも関わります*1。法文の前文は発達段階として0歳から5歳、6歳から9歳、10歳から12歳、13歳から15歳、16歳から17歳の5区分を挙げており*1、日本語で作った規約をそのまま英訳した文面がこの幅に応えているかは別問題です。
禁止は9項目、ただし年齢ゲートは求められない
禁止の側は第14-4606条(A)です*1。子どもによってアクセスされる、またはアクセスされる可能性が合理的に高いオンライン製品を提供する対象事業者について、9つの行為が挙げられました*1。
| 号 | 禁じられる行為 |
|---|---|
| (1) | 子どもの最善の利益に沿わない形で個人データを処理すること |
| (2) | 既定でのプロファイリング（適切な保護措置があり、提供に必要または最善の利益にかなう理由を示せる場合を除く） |
| (3) | 能動的かつ認識して関与している製品の提供に合理的に必要でないデータの処理 |
| (4) | 収集した目的以外の理由での処理 |
| (5) | 既定での精密な位置情報の処理（厳格に必要で、必要な限られた時間のみの場合を除く） |
| (6) | 収集中に子どもへ明らかな合図を示さない位置情報の処理 |
| (7) | ダークパターンで過剰なデータを提供させ、保護を回避し、または最善の利益に沿わない行動をとらせること |
| (8) | 年齢の推定のために、提供に合理的に必要でないデータを処理すること |
| (9) | 子どもと親・保護者へ先に通知せず、親・保護者以外の者による活動の監視を許すこと |
ダークパターンには定義が置かれています*1。第14-4601条(I)は利用者の自律性、意思決定または選択を損なわせ、または妨げる目的で設計され、または操作された利用者インターフェースとし、連邦取引委員会がダークパターンとして特定した実務を含むと続けます*1。表示の作り方で判断を誘導する論点はステルスマーケティングの規制で扱う考え方とつながります。
親による見守りは、別扱いになりました*1。第(B)項は対象事業者は、子どもの親または保護者が、子どものオンライン上の活動を監視し、または子どもの位置を追跡することを、監視または追跡されているときに子どもへ明らかな合図を示さないままでも許すことができるとしています*1。見守り機能の作り方は見守りアプリの開発で扱う設計と重なります。
判断そのもののためのデータ収集にも上限が置かれています*1。第(C)項はオンライン製品が子どもによってアクセスされる可能性が合理的に高いかどうかを判断するにあたり、対象事業者は、その判断を行うために合理的に必要な範囲を超えて個人データを収集または処理してはならないと定めました*1。
そして、実装の方向を左右する一文が第14-4610条にあります*1。この小編は年齢による制限の仕組みの実装を対象事業者に求めるものと解釈してはならないとされました*1。あわせてこの小編またはその他の法律にもとづく私的訴権を与えるもの、合衆国法典第47編第230条と矛盾する形で責任を課すもの、子どもが意図的または独自にコンテンツを検索し、または特定して求めることを妨げるものとも解釈されません*1。年齢確認を課す方向で組まれた他国の制度、たとえば豪州のSNS最低年齢や英国のオンライン安全法とは、この点で設計が異なります。
執行は5営業日と7営業日、是正の余地は90日
執行の入口は、評価の提出です*1。
第14-4607条(A)は部からの書面による要求を受けた後5営業日以内に、子どもがアクセスする可能性が合理的に高いオンライン製品を提供する対象事業者は、第14-4604条にもとづき完成させたすべてのデータ保護影響評価の一覧を部へ提出するものとすると定めます*1。ここでの部は、第14-4601条により司法長官室の消費者保護部を指します*1。
続く第(B)(1)項は部からの書面による要求を受けた後7営業日以内に、対象事業者は、完成させたデータ保護影響評価を部へ提出するものとするとし、第(B)(2)項が部は、提出のために認められる時間を7日を超えて延長することができると続けます*1。第(C)項は、提出に弁護士・依頼者間の秘匿特権または作業成果物の保護に服する情報が含まれる限りにおいて、その提出は当該特権や保護の放棄を構成しないと定めました*1。
評価そのものの秘密も条文にあります*1。第14-4611条は他のいかなる法律にもかかわらず、データ保護影響評価は秘密として保護され、メリーランド公文書公開法にもとづく場合を含め、公開開示から免除されるとしています*1。
制裁の枠は第14-4608条です*1。この小編の違反は、不公正、濫用的または欺瞞的な取引慣行であり、第13-410条を除き、本編第13編に定める執行の規定に服するとされ、金額は過失による違反1件につき影響を受けた子ども1人あたり2,500ドル、故意による違反1件につき影響を受けた子ども1人あたり7,500ドルを超えない額と定められました*1。人数に比例する形のため、規模が効いてきます*1。
一方で、是正の余地も置かれています*1。第14-4609条(A)は対象事業者が第14-4604条から第14-4606条までの要件に実質的に適合している場合、部は、第14-4608条にもとづく訴えを提起する前に、当該対象事業者へ書面による通知を行うものとするとし、第(B)項が通知は、部が違反されたと主張する本小編の具体的な規定を特定するものとすると続きます*1。
第(C)項は、制裁金の責任を負わないための条件を5つ挙げました*1。既存の製品について評価を完成させていること、新しい製品を公衆へ提供する前に評価を完成させていること、通知の発出から90日以内に、通知で特定された違反を是正すること、是正したことを書面で部へ提出すること、部が十分と認めた再発防止の措置をとることです*1。評価を先に作っておくことが、免責の条件そのものに組み込まれている形です*1。
受託側の準備としては、既定値の一覧を製品の資産として持つことが起点になります*1。設定項目と既定値、そして高い水準から外す理由をひとつの表で管理しておくと、評価文書との突き合わせが短く済みます。禁止のうちプロファイリングと位置情報は既定でという条件つきで書かれているため*1、既定で有効か、利用者の操作で有効になるのかを機能ごとに記録する形が条文に沿います。あわせて、一覧は5営業日、評価そのものは7営業日という期限で動けるよう、どの製品の評価がどこにあるかを引ける状態にしておくことになります*1。本人確認の手段そのものはオンライン本人確認で扱う違いが参考になります。
係争が続いている点も押さえておく値があります*2。業界団体のNetChoiceがこの法律の合憲性を争う訴えを提起し（事件番号RDB-25-0322）、2025年4月28日に8つの請求からなる修正訴状を提出しました*2。同裁判所は2025年11月24日付の意見および命令により、被告らの却下申立てを退けたと記録され*2、2026年7月7日には州際通商条項の請求を追加する第2次修正訴状の提出を認めています*2。この日の命令に、法の適用を止める内容は含まれていません*2。
まとめ：Kids Codeの対応で押さえる3つの視点
米国メリーランド州の年齢適合設計コード法は2024年会期の第461章として2024年5月9日に知事の承認を受け、2024年10月1日から効力を生じました。押さえたい視点は三つあります。第一に、対象と期限。営利で州内で事業を行い、処理の目的と手段を決める事業者のうち、年間総収入2,500万ドル超、年間5万人分の個人データの取扱い、収入の50％以上が個人データの販売由来のいずれかに当たる者が対象です。子どもは18歳未満の消費者と定義され、既存の製品は2026年4月1日まで、2026年4月1日より後に初めて公開する製品は公開から90日以内にデータ保護影響評価を作成します。第二に、評価と既定値。評価は製品の目的、子どものデータの使い方、最善の利益に沿うかの判断、講じた措置と講じる措置の記述を含みます。あわせて既定のプライバシー設定を高い水準へ寄せ、規約や方針を年齢に適した言葉で示し、権利行使と申告の手段を用意します。第三に、禁止と執行。既定でのプロファイリングや精密な位置情報の処理、目的外の利用、ダークパターンなどが禁じられる一方、年齢による制限の仕組みの実装は求められません。書面要求には5営業日で評価の一覧、7営業日で評価そのものを提出し、制裁金は影響を受けた子ども1人あたり過失で2,500ドル、故意で7,500ドルを超えない額です。実質的に適合していれば、提訴前の書面通知と90日以内の是正による免責の余地があります。
よくある質問
年齢確認を実装しないと、この法律に対応できませんか。
第14-4610条は、この小編を対象事業者に年齢による制限の仕組みの実装を求めるものと解釈してはならないと定めています。求められているのは、データ保護影響評価の作成、既定のプライバシー設定を高い水準へ寄せること、年齢に適した表示、そして第14-4606条の禁止事項を避けることです。同条(C)は、アクセスの可能性を判断するために必要な範囲を超えたデータの収集・処理も禁じています。
他の制度のために作った影響評価を流用できますか。
第14-4604条(C)(1)は、他の法律の遵守のために作成したデータ保護影響評価が本条の要件を満たす場合には本条に適合すると定めています。また同条(C)(2)は、類似のリスクを示す複数の類似した処理を1つの評価に含めることを、関係する各オンライン製品が扱われている場合に限って認めています。流用の可否は、要件を満たしているかと、製品ごとに記述があるかで判断されます。
評価はどのくらいの期間で提出を求められますか。
第14-4607条は、司法長官室の消費者保護部からの書面による要求を受けた後、完成させたすべての評価の一覧を5営業日以内に、評価そのものを7営業日以内に提出すると定めています。評価の提出については、部が7日を超えて期間を延長できるとされています。提出に秘匿特権や作業成果物の保護に服する情報が含まれる場合でも、その提出は特権や保護の放棄にはなりません。
違反した場合の制裁金はどう計算されますか。
第14-4608条は、過失による違反1件につき影響を受けた子ども1人あたり2,500ドル、故意による違反では7,500ドルを超えない民事上の制裁金を定めています。ただし第14-4609条により、第14-4604条から第14-4606条までに実質的に適合している場合は提訴前に書面の通知が行われ、評価の完成、通知から90日以内の是正、是正の書面報告、再発防止措置という条件を満たせば制裁金の責任を負いません。
出典
- *1 参考：メリーランド州 2024年法律 第461章（下院法案603）「Consumer Protection – Online Products and Services – Data of Children (Maryland Kids Code)」成立法文PDF（https://mgaleg.maryland.gov/2024RS/chapters_noln/Ch_461_hb0603T.pdf）。成立した法文の一次情報として。前文の5つの発達段階の区分、第14-4601条の定義（対象事業者の3つのしきい値、ダークパターン、データ保護影響評価ほか）、第14-4602条の適用除外、第14-4604条の評価の期限と内容、第14-4605条の5つの作為義務、第14-4606条の9つの禁止、第14-4607条の5営業日と7営業日、第14-4608条の制裁金、第14-4609条の通知と5条件、第14-4611条の秘密保護、および2024年10月1日から効力を生じる旨を確認した。PDFはpypdfのlayoutモードで抽出。確認日は2026年9月7日。（2026年9月確認）
- *2 参考：メリーランド連邦地方裁判所 NetChoice v. Brown ほか（事件番号RDB-25-0322）2026年7月7日付 メモランダム意見および命令（https://www2.mdd.uscourts.gov/Opinions/Opinions/Mem.%20Op.%20and%20Order_NetChoice%20v.%20Brown%20(RDB-25-0322).pdf）。係争の状況の一次情報として。2025年4月28日に8つの請求からなる修正訴状が提出されたこと、2025年11月24日付の意見および命令で却下申立てが退けられたこと、2026年7月7日に州際通商条項にもとづく請求を追加する第2次修正訴状の提出が認められたことを確認した。確認日は2026年9月7日。（2026年9月確認）
