LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

ブラジル向けのサービスで確認する法令が、この2年で増えました。個人データ保護のLGPD（法13.709/2018）に加えて、子どもと青少年をデジタル環境で保護する法15.211/2025（ECA Digital）が2026年3月17日から施行されているためです*1。

監督する当局は同じです。国家データ保護庁（ANPD）は、2025年9月17日の政令12.622号によりECA Digitalの適用を担う権限を与えられ*1、さらに2026年2月25日の法15.352号によって規制庁（agência reguladora）へ改組されました*1。所管が広がり、位置づけも変わったという状況です。

本記事では、ブラジルにデータを持つ、あるいはブラジル向けにサービスを出している企業の情報システム担当と、その仕組みづくりを受託する立場に向けて、越境移転の手段と、子ども保護で求められる年齢の扱いを整理します。制度の解釈が要る部分は法令の本文と専門家の確認を経て進めてください。

越境移転に使える五つの手段

まず、データを国外へ出す側の話です*2。

ANPDは決議CD/ANPD第19号（2024年8月23日）、いわゆる越境移転規則を定めています*2。LGPD（法13.709/2018）の規定、ANPD内部規程、そして2023-2024年の規制アジェンダの第4イニシアチブに沿ったものと説明されています*2。

規則が具体化している手段は五つです*2。

実務で効いてくるのは、標準契約条項を「変更せずに」用いるという点です*2。規則の附属書IIの条項をそのまま組み込むこととされ、実施の期限は規則の公表から12か月以内と定められています（第2条単項）*2。自社の契約書の書式に合わせて文言を調整する、という進め方は取れません。

もう一つ、個別の契約条項は「標準契約条項の利用が困難であることが立証できる例外的な場合」に限られ、ANPDの事前承認が必要とされています*2。標準条項が使えない前提で設計を始めると、承認の手続きが工程に入ってきます。

EUの枠組みに慣れている場合、GDPRの越境移転と標準契約条項で扱う考え方と構造は近く見えます。ただし、条項の本文も、同等と認めるかどうかの判断も、ブラジル側で別に定まります。EU向けに整えた契約をそのまま流用できるとは限りません。

ANPDの位置づけが変わった

次に、監督する側の変化です*1。

2025年9月17日に成立した法15.211号（ECA Digital）を受けて、同日付の政令12.622号が発せられ、ANPDに新しい法律の適用を担い、その一部を規則で定め、全国で遵守を監督する権限が与えられました*1。

さらに、2026年2月25日の法15.352号により、ANPDは規制庁へと法的な位置づけを変えています*1。あわせて政令12.881/2026号が新しい組織の構成を定め、ANPDは同法への適合計画を公表しています*1。計画は、組織構造、内部規程、規制の策定プロセスという三つの柱で内部改革の日程を示すものとされています*1。

この変化から読める実務上の含意を挙げます。

第一に、窓口が一つになったことです。個人データの保護と、子どもの保護。別々の当局に対応するのではなく、同じANPDが監督します。社内で担当が分かれていると、同じ当局に対して整合しない説明をしてしまう恐れがあります。

第二に、規則の整備が続くことです。規制庁への改組にともなって、規制の策定プロセス自体が見直されています*1。いま存在する指針が、そのまま最終形とは限りません。

第三に、監督の手段が明確になることです。後述するロードマップでは、制裁に関する規則の更新も日程に含まれています*1。何が違反にあたり、どう処分されるかの筋道が示される方向です。

ECA Digitalが求める年齢の確認

ECA Digital（法15.211号、2025年9月17日）は、デジタル環境における子どもと青少年の保護について新しい規則を定めました*1。

デジタルプラットフォームに課された義務として挙げられているのは、保護者による監督、年齢の確認（aferição de idade）、電子ゲーム、商業広告に関する規定です*1。子どもに向けたリスクの予防と軽減を目的とするものと説明されています*1。

法律は2026年3月17日から施行されており、2026年3月18日付の政令12.880号が、デジタル環境における子どもと青少年の保護に関する規定を詳細化し、デジタル環境における子ども・青少年の権利保護に関する国家政策を定めています*1。公的機関と、デジタル環境で活動する事業者との連携の指針を示すものとされています*1。

年齢確認について、ANPDは暫定的な指針を公表しています*1。対象は、子どもと青少年に向けた、あるいはその層がアクセスする可能性が高い情報技術の製品・サービスの提供者です*1。指針は、確定した指針が公表されるまでの間、ANPDの監視活動の基準となるとされています*1。2026年5月には更新案が示され、意見募集（Tomada de Subsídios）にかけられました*1。

ここで注意したいのは、指針がプライバシーとの両立を条件にしている点です*1。年齢を確認する仕組みが、子どもと青少年のプライバシーおよび個人データ保護の権利と両立する形で実装されることを求めるとされています*1。年齢を確かめるために身分証明書の画像を集める、といった単純な実装は、その両立の観点から見直しを迫られる可能性があります。

システムとして考えるべき点を挙げます。

年齢の情報をどこに持つかです。アカウントの属性として持つのか、端末やプラットフォームから受け取る「年齢のシグナル」に依拠するのか。後者であれば、自社で年齢そのものを保持せずに済む可能性があります。

確認の強度を用途で分けられるかです。すべての機能に同じ強度を課すと、利用の障壁が高くなります。リスクの水準に応じて分けられる設計かどうかが問われます。

収集した情報の保存期間です。確認のために取得した情報を、確認後も保持し続ける必要があるかを整理しておく必要があります。保持しない設計にできるなら、そのほうが説明は容易です。

同意や属性の扱いを実装からどう組み立てるかという観点では、同意管理とプライバシー情報の実装で扱う内容が土台になります。

監督のロードマップは公表されている

ANPDは、年齢確認の仕組みの導入について段階ごとの日程を公表しています*1。

第I段階は2026年3月からです*1。年齢確認の暫定指針の公表、ECA Digitalに関する説明を集めた専用ページの開設、そしてアプリストアとOSの監視が挙げられています*1。この二者を先に置く理由として、端末そのもので年齢の確認と保護者による監督の設定を可能にする、構造的な役割を持つことが挙げられています*1。市場が少数の企業に集中しているため、限られた対象への働きかけが広い範囲に効果を及ぼす、という説明です*1。

実際に、Apple（App Store）、Google（Google Play Store）、Microsoft（Windows）が、システムの構成、データの流れ、年齢確認の仕組み、社内の方針など、ECA DigitalとLGPDへの適合を示す情報と文書を7月までに提出するとされています*1。

また、2026年4月からは「情報技術の製品・サービスの提供者：ECA Digitalの範囲と一般的な義務」に関するガイドの意見募集が行われ、2026年6月15日まで意見を受け付けるとされました*1。

第II段階は2026年8月からです*1。年齢確認の仕組みに関する指針と規範的な基準を公表し、第II段階の監視の優先事項を示すとされています*1。監視の対象は、第I段階で得られた情報とECA Digitalの基準、とくに製品やサービスごとのリスクの水準に基づいて、他の分野や提供者の群へ広げられます*1。2026年8月から11月は適応と実装の監視の期間とされ、2026年11月からは監督と制裁の適用に関する規則が更新されるとされています*1。

第III段階は2027年1月からです*1。優先テーマの計画に沿って監督の措置が行われ、とくに年齢確認に関する義務への適合が対象とされています*1。

なお、この日程に沿った監視は、他の監督措置を排除するものではないとされています*1。通報を受けた場合や、子どもと青少年の保護に高いリスクをもたらす違反が把握された場合には、随時の措置があり得るという記載です*1。

逆算すると、準備の時間は2026年内ということになります。8月から11月が適応の期間とされている以上、その間に実装を終えられる計画が要ります。

着手の順序と、受託で進めるときの要点

優先順位をつけるなら、次の順になります。

第一に、移転の根拠の棚卸しです。ブラジルから国外へ出しているデータについて、どの手段に拠っているかを整理します*2。標準契約条項を使うなら、附属書IIの条項をそのまま組み込めているかを確認します*2。

第二に、子ども・青少年が利用者に含まれるかの判定です。対象は、その層に向けた製品・サービスだけでなく、アクセスする可能性が高いものも含むとされています*1。「対象外」と判断するなら、その根拠を残しておく必要があります。

第三に、年齢の扱いの設計です。どこで確認し、何を保持し、どの機能に効かせるか*1。指針の確定は2026年8月からとされているため、確定を待って作り込む部分と、先に用意する部分を分けます*1。

第四に、記録です。移転の根拠も、年齢の確認も、実施したことを示せなければ意味がありません。

受託で進める場合の要点も挙げます。

標準契約条項を編集しないことです。変更せずに用いることとされています*2。契約書の体裁を揃えるために文言を調整すると、根拠として使えなくなる恐れがあります。契約の管理システムで扱う場合も、テンプレートの改変が起きない運用にしておく必要があります。

年齢を保持しない選択肢を検討することです。端末やプラットフォーム側の仕組みを利用できるなら、自社で年齢そのものを持たずに済みます*1。持てば、その保護と保存期間の管理が発生します。

指針の更新に追随できる形にすることです。暫定指針は更新案が意見募集にかけられている段階です*1。判定の基準を条件分岐に埋め込むと、更新のたびに改修が必要になります。

他国の枠組みと並べて確認することです。韓国の個人情報保護法の改正や米国州法への対応で扱うような要求とも、記録の項目は重なります。国ごとに別の台帳を立てると、更新が片方だけ止まります。

体制としては、契約の実務とプロダクトの実装、その双方に触れられる要員が入れるかが分かれ目になります。移転の実態、契約の締結状況、年齢に関する画面の作り。これらは仕様書の項目名だけを見ていても判断できません。業務側と設計側が同じ場で話せる形を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。

まとめ：ブラジル対応で押さえる3つの視点

ブラジルでは、個人データ保護のLGPD（法13.709/2018）に加えて、子どもと青少年をデジタル環境で保護する法15.211/2025（ECA Digital）が2026年3月17日から施行されています。押さえたい視点は三つです。第一に、越境移転には手段が要ること。決議CD/ANPD第19号（2024年8月23日）は、十分性認定、標準契約条項、同等と認められた条項、個別の契約条項、グローバル内部規則という五つを定めています。標準契約条項は規則の附属書IIを変更せずに用いることとされ、実施の期限は規則の公表から12か月以内と定められています。第二に、監督する当局が同じANPDであること。2025年9月17日の政令12.622号でECA Digitalの適用を担う権限が与えられ、2026年2月25日の法15.352号で規制庁へ改組されました。第三に、監督の日程が公表されていること。2026年3月からアプリストアとOSの監視が始まり、2026年8月から指針の確定と対象の拡大、8月から11月が適応の期間、11月から制裁規則の更新、そして2027年1月から監督の措置が始まるとされています。まずは移転の根拠の棚卸しと、子ども・青少年が利用者に含まれるかの判定から着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：国家データ保護庁（ANPD、ブラジル）「Eca Digital」（https://www.gov.br/anpd/pt-br/assuntos/eca-digital）。法15.211号（2025年9月17日、ECA Digital）が保護者による監督・年齢の確認・電子ゲーム・商業広告に関する義務を定めたこと、政令12.622号（2025年9月17日）がANPDに適用・規則制定・監督の権限を与えたこと、法15.352号（2026年2月25日）でANPDが規制庁へ改組されたこと、法律が2026年3月17日から施行され政令12.880号（2026年3月18日）が規定を詳細化し国家政策を定めたこと、年齢確認の暫定指針とその更新案の意見募集、監督ロードマップ（第I段階=2026年3月からの暫定指針公表・専用ページ開設・アプリストアとOSの監視、Apple/Google/Microsoftの7月までの資料提出、2026年4月からのガイド意見募集と6月15日の締切、第II段階=2026年8月からの指針と規範的基準の公表と対象拡大・8月から11月の適応期間・11月からの監督と制裁規則の更新、第III段階=2027年1月からの監督措置）、政令12.881/2026号による組織構成と適合計画の三つの柱の一次情報として（2026年8月確認）
2. *2　参考：国家データ保護庁（ANPD、ブラジル）「Transferência Internacional de Dados」（https://www.gov.br/anpd/pt-br/assuntos/assuntos-internacionais/transferencia-internacional-de-dados）。決議CD/ANPD第19号（2024年8月23日、越境移転規則）がLGPD（法13.709/2018）等に基づくこと、規制する五つの手段（十分性認定、標準契約条項、同等と認められた標準条項、個別の契約条項、グローバル内部規則）とそれぞれの位置づけ、標準契約条項を附属書IIのまま変更せずに用い規則の公表から12か月以内に実施すること（第2条単項）、個別の契約条項が標準契約条項の利用が困難であることを立証できる例外的な場合に限られANPDの事前承認を要することの一次情報として（2026年8月確認）

Tweet