LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

ブラジルの利用者の個人データを、日本のサーバーで扱ってよいのか。子ども向けではないサービスでも、年齢確認の仕組みが要るのか——。ブラジル向けにサービスを提供している企業の情報システム部門では、こうした疑問が出てきます。背景には、ブラジルの一般個人データ保護法（LGPD、法13.709/2018）に加えて、子どもと青少年をデジタル環境で保護する法15.211/2025（ECA Digital）が2026年3月17日から施行されたことがあります。^*1 LGPDは、個人データを国外へ移すときの条件も定めています。

二つの法律を監督するのは、どちらも国家データ保護庁（ANPD）です。越境移転の手段は規則で具体的に定められ、年齢確認は監督の日程まで公表されているので、企業が何から手を付けるかは決めやすい状況にあります。ただし、年齢確認の指針はまだ更新の途中で、いま作る仕組みにも後から見直しが要る場合があります。本記事では、ブラジルにデータを持つ企業の情報システム担当者と、その仕組みづくりを受託する事業者に向けて、越境移転の手段、ANPDの位置づけの変化、年齢確認で求められること、監督の日程、そして外部に委託するときに確認したい点を整理します。

越境移転に使える手段とは

ANPDは、2024年8月23日の決議CD/ANPD第19号で、いわゆる越境移転規則を定めました。^*2 LGPDの規定とANPDの内部規程に沿って、個人データを国外へ移すときの手続と規則を定めたものです。規則が具体的に定めている手段は、十分性認定、標準契約条項、同等と認められた条項、個別の契約条項、グローバル内部規則の五つです。

十分性認定を受けた国や国際機関へ移すときは、追加の手段は要らないとされています。認定を受けていない国へ移すときは、残りの四つのどれかに拠ります。このうち既存の契約に組み込んで使えるのが標準契約条項で、文言の扱いに注意が要ります。

標準契約条項で注意したい点

実務でいちばん影響が大きいのは、標準契約条項を「変更せずに」用いるという点です。規則の附属書IIの条項をそのまま組み込むこととされ、実施の期限は規則の公表から12か月以内とされていました（第2条単項）。^*2 自社の契約書の書式に合わせて文言を調整する、という進め方は取れません。契約の管理システムで条項のひな形を扱う場合も、ひな形が書き換えられない運用にしておく必要があります。

標準契約条項を使わない個別の契約条項は、「標準契約条項の利用が困難であることが立証できる例外的な場合」に限られ、ANPDの事前承認が必要とされています。^*2 個別の契約条項に拠るなら、ANPDの承認を待つ期間を日程に見込んでおく必要があります。

EUの一般データ保護規則（GDPR）に慣れている場合、ブラジルの標準契約条項も考え方と構造は近く見えます。GDPRの側の仕組みは「GDPRの越境移転と標準契約条項」で扱っています。ただし、条項の本文も、同等と認めるかどうかの判断も、ブラジル側で別に定まります。EU向けに整えた契約をブラジルからの移転に使う前に、ブラジルの条項と照らし合わせておく必要があります。

ANPDの位置づけはどう変わったのか

監督する側も変わりました。2025年9月17日に法15.211号（ECA Digital）が成立すると、同じ日付の政令12.622号が、この法律の適用を担い、規定の一部を規則で定め、全国で遵守を監督する権限をANPDに与えました。さらに2026年2月25日の法15.352号で、ANPDは規制庁へ改組されています。^*1

企業の側から見ると、変化は三つあります。一つ目は、個人データの保護と子どもの保護を、同じANPDが監督することです。社内で担当が分かれていると、同じ当局に対して食い違う説明をしてしまうおそれがあります。二つ目は、規則の整備が続くことです。改組にともなって規制の策定プロセスそのものが見直されているので、いまある指針もこの先改められる可能性があります。三つ目は、監督の手段が明確になっていくことです。後で見る日程には、制裁に関する規則の更新も入っています。

ECA Digitalが求める年齢確認

ECA Digitalは、デジタル環境で子どもと青少年を守るための新しい規則を定めた法律です。デジタルプラットフォームには、保護者による監督、年齢の確認、電子ゲーム、商業広告に関する義務が課されました。子どもが受けるリスクを予防し、軽くすることが目的とされています。法律は2026年3月17日から施行され、翌18日付の政令12.880号が規定を詳しく定めるとともに、デジタル環境における子ども・青少年の権利保護に関する国家政策を定めました。^*1

年齢確認については、ANPDが暫定的な指針を公表しています。対象は、子どもと青少年に向けた情報技術の製品・サービスの提供者だけでなく、その層がアクセスする可能性が高い製品・サービスの提供者も含みます。^*1 指針は、確定した指針が出るまでの間、ANPDが監視をするときの基準になるとされ、2026年5月には更新案が意見募集にかけられました。

注意したいのは、指針がプライバシーとの両立を条件にしている点です。年齢確認の仕組みは、子どもと青少年のプライバシーと個人データ保護の権利と両立する形で実装することが求められます。年齢を確かめるために身分証明書の画像を集める、といった単純な実装は、この観点から見直しを求められる可能性があります。自社のサービスが子ども向けでなくても、子どもや青少年が使う可能性が高ければ対象になり得るので、対象外と判断するなら、その根拠を記録しておきます。

監督はどう進むのか

ANPDは、年齢確認の仕組みの導入について、三つの段階に分けた日程を公表しています。第I段階は2026年3月からで、年齢確認の暫定指針の公表、ECA Digitalの説明を集めた専用ページの開設、そしてアプリストアとOSの監視が挙げられています。^*1 アプリストアとOSが先に対象になったのは、端末そのもので年齢確認と保護者による監督の設定をできるようにする役割を持つためとされています。

実際に、Apple（App Store）、Google（Google Play Store）、Microsoft（Windows）は、システムの構成、データの流れ、年齢確認の仕組み、社内の方針など、ECA DigitalとLGPDへの適合を示す情報と文書を7月までに提出するとされています。あわせて2026年4月からは、「情報技術の製品・サービスの提供者：ECA Digitalの範囲と一般的な義務」というガイドの意見募集が行われ、2026年6月15日まで意見を受け付けました。^*1

第II段階は2026年8月からです。年齢確認の仕組みに関する指針と規範的な基準を公表し、第II段階で優先して監視する事項を示すとされています。監視の対象は、第I段階で集めた情報と、ECA Digitalの基準、とくに製品やサービスごとのリスクの水準に基づいて、ほかの分野や提供者へ広げられます。^*1 2026年8月から11月は、事業者が対応を整える適応の期間で、ANPDはその実装を監視します。11月からは、監督と制裁の適用に関する規則が更新されます。

第III段階は2027年1月からで、優先テーマの計画に沿って監督の措置が行われます。とくに年齢確認に関する義務への適合が対象です。^*1 8月から11月が適応の期間とされているので、11月までに実装を終えられる計画が要ります。

システムで確かめておきたい点

着手の順番をつけるなら、まず移転の根拠の棚卸しです。ブラジルから国外へ出しているデータごとに、五つの手段のどれに拠っているかを一覧にし、標準契約条項を使うなら附属書IIの条項をそのまま組み込めているかを確かめます。次に、子どもや青少年が利用者に含まれるかを判定し、その結果と根拠を残します。そのうえで年齢確認の設計に進み、最後に、移転の根拠も年齢確認も、実施したことを記録で示せるようにします。

年齢確認の設計では、三つの点を決めておきます。一つ目は、年齢の情報をどこに持つかです。アカウントの属性として自社で持つのか、端末やプラットフォームから受け取る年齢の情報に頼るのか。端末やプラットフォームの情報に頼れば、自社で年齢そのものを持たずに済む可能性があります。二つ目は、確認の強さを機能ごとに分けられるかです。すべての機能に同じ強さの確認を課すと、利用者が使い始めるまでの手間が大きくなります。リスクの水準に応じて分けられる設計かどうかが問われます。

三つ目は、確認のために取得した情報の保存期間です。確認の後も持ち続ける必要があるかを整理し、持たない設計にできるなら、そのほうが当局への説明はしやすくなります。同意や属性の扱いを実装でどう組み立てるかは、同意管理とプライバシー情報の実装で扱っています。

外部に委託するときに確認しておきたい点

仕組みづくりを外部に委託するときは、次の点を委託先と確かめておきます。一つ目は、標準契約条項を編集しないことです。契約書の体裁をそろえるために文言を調整すると、移転の根拠として使えなくなるおそれがあります。二つ目は、年齢を自社で保持しない方法を検討することです。端末やプラットフォームの仕組みを使えるなら年齢を持たずに済み、持てばその保護と保存期間の管理が発生します。

三つ目は、指針の更新に合わせて直しやすい作りにすることです。暫定指針は更新案が意見募集にかけられた段階なので、判定の基準をプログラムの条件分岐に直接書き込むと、更新のたびに改修が必要になります。四つ目は、他国の制度と並べて管理することです。韓国の個人情報保護法の改正や米国州法への対応で扱う要求とも、記録の項目は重なります。国ごとに別の台帳を作ると、更新が片方だけ止まりやすくなります。

体制の面では、契約の実務とプロダクトの実装の両方に関われる担当者がいるかどうかで、進めやすさが変わります。移転の実態、契約の締結状況、年齢確認の画面の作りは、仕様書の項目名を見ているだけでは判断できません。業務の担当者と設計の担当者が同じ場で話せる体制を作れるかを、委託先を選ぶ基準に入れておくとよいでしょう。

まとめ：ブラジル対応で確かめておきたい3つの点

ブラジル向けのサービスでLGPDとECA Digitalに対応するうえで、確かめておきたい点は3つに整理できます。第一に、国外へのデータ移転がどの手段に拠っているかを一覧にし、標準契約条項を使うなら附属書IIの条項を変更せずに組み込むこと。第二に、子どもや青少年が利用者に含まれるかを判定し、年齢確認で何を確かめ、何を保持するかを決めること。第三に、2026年8月から11月の適応の期間と、2027年1月からの監督措置に間に合う計画を立てることです。この3点を踏まえておけば、「契約は整えたつもりだったのに、条項の文言を書き換えていて移転の根拠にならなかった」という事態を避けやすくなります。移転の根拠の整理や年齢確認の設計に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：国家データ保護庁（ANPD、ブラジル）「Eca Digital」（https://www.gov.br/anpd/pt-br/assuntos/eca-digital）。法15.211号（2025年9月17日、ECA Digital）が保護者による監督・年齢の確認・電子ゲーム・商業広告に関する義務を定めたこと、政令12.622号（2025年9月17日）がANPDに適用・規則制定・監督の権限を与えたこと、法15.352号（2026年2月25日）でANPDが規制庁へ改組されたこと、法律が2026年3月17日から施行され政令12.880号（2026年3月18日）が規定を詳細化し国家政策を定めたこと、年齢確認の暫定指針とその更新案の意見募集、監督ロードマップ（第I段階=2026年3月からの暫定指針公表・専用ページ開設・アプリストアとOSの監視、Apple/Google/Microsoftの7月までの資料提出、2026年4月からのガイド意見募集と6月15日の締切、第II段階=2026年8月からの指針と規範的基準の公表と対象拡大・8月から11月の適応期間・11月からの監督と制裁規則の更新、第III段階=2027年1月からの監督措置）、政令12.881/2026号による組織構成と適合計画の三つの柱の一次情報として（2026年9月確認）
2. *2　参考：国家データ保護庁（ANPD、ブラジル）「Transferência Internacional de Dados」（https://www.gov.br/anpd/pt-br/assuntos/assuntos-internacionais/transferencia-internacional-de-dados）。決議CD/ANPD第19号（2024年8月23日、越境移転規則）がLGPD（法13.709/2018）等に基づくこと、規制する五つの手段（十分性認定、標準契約条項、同等と認められた標準条項、個別の契約条項、グローバル内部規則）とそれぞれの位置づけ、標準契約条項を附属書IIのまま変更せずに用い規則の公表から12か月以内に実施すること（第2条単項）、個別の契約条項が標準契約条項の利用が困難であることを立証できる例外的な場合に限られANPDの事前承認を要することの一次情報として（2026年9月確認）

Tweet