LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

子ども向けのアプリやサービスを米国で提供している場合、2026年4月22日が期限になります*1。米国連邦取引委員会（FTC）の改正COPPA規則の遵守期限です*1。

改正は2025年4月22日に連邦官報へ掲載され、2025年6月23日に施行されました*1。そのうえで、第312.11条(d)(1)、(d)(4)および(g)を除き、規制対象事業者は2026年4月22日までに遵守することとされています*1。

追加された義務のうち、実装に直接影響するのは保存方針の文書化、情報セキュリティ計画、第三者提供の別同意の三つです*1。子ども向け機能を持つサービスの開発を受託する立場に向けて、規則本文から要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

「無期限に持たない」が明文化された

まず保存の話です*1。

第312.10条（データの保存と削除の要件）は、ウェブサイトまたはオンラインサービスの運営者が、子どもからオンラインで収集した個人情報を、収集の目的を達成するために合理的に必要な期間だけ保存することとしています*1。

不要になった後の扱いも定められています*1。収集の目的のために合理的に必要でなくなった場合、削除に伴う権限のないアクセスや利用から情報を保護するための合理的な措置を用いて削除することとされています*1。

そして一文で線を引いています*1。子どもからオンラインで収集した個人情報を無期限に保存してはならない*1。

最低限やることとして、文書化した保存方針の策定・実施・維持が求められます*1。方針に書く内容は三つです*1。

加えて、この文書化した保存方針を、第312.4条(d)に基づくウェブサイトまたはオンラインサービス上の通知に掲載することとされています*1。つまり社内文書で終わらせられません*1。

実装で問われるのは、「いつ消すか」を決められるかです*1。ログ、分析用のデータ、バックアップ——子どもの個人情報がどこに何日残るかを把握していないと、方針の文面が書けません*1。ミネソタ州法が求める棚卸しと同じ作業が、ここでも前提になります*1。

情報セキュリティ計画に必要な五つの要素

次が第312.8条です*1。

同条(a)は、運営者が子どもから収集した個人情報の機密性、セキュリティおよび完全性を保護するための合理的な手続を確立し維持することとしています*1。

同条(b)が具体化です*1。最低限、子どもから収集した個人情報の機微性と、運営者の規模・複雑さ・活動の性質および範囲に応じた保護措置を含む、文書化した情報セキュリティ計画を確立し、実施し、維持することとされ、そのために次の五つを行うこととされています*1。

読むと分かるのは、「対策を入れた」で終わらない構造です*1。指定した担当、年1回の評価、試験と監視、年1回の見直し——回し続ける仕組みが要件になっています*1。

受託開発の観点では、どこまでを納品物に含めるかが論点になります。保護措置の実装は開発の範囲ですが、年1回の評価と見直しは運用の範囲です。保守契約に含めるのか、発注側が担うのかを決めておかないと、期限の後に空白が生まれます。

第三者提供の別同意と、混合オーディエンス

同意の取り方も変わります*1。

第312.5条(a)(1)は従来どおり、子どもの個人情報の収集、利用または開示の前に、検証可能な親の同意を得ることを求めます*1。以前に親が同意した収集・利用・開示の実務に重要な変更がある場合の同意も含みます*1。

加わったのが同条(a)(2)です*1。運営者は、子どもの個人情報の第三者への開示に同意しないまま、収集と利用に同意する選択肢を親に与えなければならないとされています*1。ただし、当該開示がウェブサイトまたはオンラインサービスに不可欠な場合は別です*1。

そして、この選択肢を与えることが求められる運営者は、当該開示について別個の検証可能な親の同意を得なければならないとされています*1。

実装の話に落とすと、同意の粒度が二段になります*1。「サービスを使うための同意」と「第三者へ渡すための同意」を分けて記録し、後者だけを撤回された状態を扱えるようにする——広告や分析のSDKを組み込んでいる構成では、SDKごとに送信を止められるかが問われます*1。

同意の方法も列挙されています*1。第312.5条(b)(2)は、親が署名して郵送・ファクシミリ・電子スキャンで返送する同意書、取引に際してクレジットカード・デビットカードその他、名義人へ個別の取引の通知が行われるオンライン決済手段を使わせるやり方、訓練を受けた担当者が対応するフリーダイヤルへの電話、訓練を受けた担当者とのビデオ会議、政府発行の身分証明書をデータベースと照合して本人性を確認し、確認後は速やかに当該身分証明書を記録から削除するやり方などを挙げています*1。

定義の見直しも実務に効きます*1。個人情報には、政府発行の識別子と、個人の自動または半自動の識別に用いうる生体識別子が加わりました*1。オンライン連絡先情報には携帯電話番号が含まれます*1。内部運用の支援の定義も、列挙された活動のために収集した情報を当該活動の実施のために利用または開示できることを明確にする形に整理されています*1。

新設された混合オーディエンスのウェブサイトまたはオンラインサービスの定義は、次のとおりです*1。子ども向けの基準（子どもを対象とするウェブサイトまたはオンラインサービスの定義の第1項）に当たるが、子どもを主たる対象とはしておらず、かつ年齢情報の収集または利用可能な技術に照らして訪問者が子どもかどうかを判断するために合理的に算定された他の手段を用いる前は、第312.5条(c)に定める限定された目的以外に訪問者から個人情報を収集しないものです*1。

ここに一文が付いています*1。年齢情報の収集その他の判断手段は、既定の年齢に寄せたり、訪問者に年齢情報の虚偽入力を促したりしない中立的な方法で行わなければならない*1。年齢確認の画面設計が、そのまま要件になっている書き方です*1。

期限が二段になっている理由

日付の読み方を整理しておきます*1。

連邦官報の記載は施行日と遵守期限を分けています*1。施行日は2025年6月23日、遵守期限は2026年4月22日で、後者から除かれているのが第312.11条(d)(1)、(d)(4)および(g)です*1。

第312.11条はセーフハーバー・プログラムに関する条です*1。同条(a)は、業界団体その他の者が自主規制のプログラム指針について委員会の承認を申請できるとし、申請は委員会の長官室へ提出すること、委員会が連邦官報に公衆の意見を求める文書を掲載することを定めています*1。

つまり除外されている部分は、承認済みプログラムの運営側に関わる要件です*1。自社が事業者としてCOPPAに対応する立場であれば、2026年4月22日を一本の期限として扱って差し支えない読み方になります*1。逆に、セーフハーバー・プログラムに参加している場合は、プログラム側の要件がいつ変わるかを運営団体へ確認しておくことになります*1。

期限までの残り時間を工程に落とすとき、順序を間違えやすいのが通知の改定です*1。通知には保存方針を載せる必要があるため、保存方針が固まらないと通知が書けません*1。そして保存方針は、データの所在と削除の実装が決まらないと書けません*1。「所在の把握 → 削除の実装 → 方針の文書化 → 通知の改定」という順に並ぶわけです*1。

同意の分離も似た構造です*1。第三者提供への同意を別に取る設計にするなら、どの送信を止められるかが先に分かっていないと、同意画面の文言を確定できません*1。SDKの棚卸しが先、同意設計が後です*1。

着手の順序と、受託で進めるときの要点

優先順位を付けるなら、次の順です。

第一に、子どもの個人情報の所在です。アプリ本体、分析基盤、広告SDK、サポートの記録、バックアップ——どこに何が何日残るかを一覧にします*1。保存方針は、この一覧がないと書けません*1。

第二に、削除の実装です。方針に書いた時期で実際に消える仕組みが必要です*1。手作業の運用に頼る設計は、方針との不一致が残ります。

第三に、通知の改定です。第312.4条(d)の通知に保存方針を載せます*1。通知の版管理も併せて整えておくと、後から「いつ何を書いていたか」を示せます。

第四に、同意の分離です。収集と利用への同意と、第三者提供への同意を分けて記録します*1。提供先ごとの停止が技術的に可能かを確認します*1。

第五に、セキュリティ計画の器づくりです。担当の指定、年1回の評価、試験と監視、年1回の見直し——実施の記録が残る形で回し始めます*1。

あわせて、年齢の扱い方も決めておく必要があります。混合オーディエンスの定義は、年齢情報の収集などで子どもかどうかを判断する前は、限定された目的以外の収集をしないことを前提にしています*1。実装では、年齢を確認する画面より手前で何を送っているかが問題になります。起動直後に走る初期化処理や、クラッシュ収集、広告IDの取得——このあたりは、確認前に動いていないかを見ておく箇所です*1。

削除の実装で見落としやすいのは派生データです。集計後の数値やモデルの学習に使った特徴量が、個人情報として残っているかどうかは設計によります。方針に書いた削除の時期を守るには、どこまでを削除の対象とするかを先に定義しておくほうが、後の齟齬が出にくくなります*1。

受託で進める場合の要点を三つ挙げます。

年齢確認の画面を早めに決めることです。混合オーディエンスの定義は、年齢の確認を中立的な方法で行うことを求めています*1。既定値を置く実装や、年齢を大きく入力させたくなる導線は、後から直すと影響範囲が広くなります*1。

SDKの棚卸しを納品物にすることです。広告や分析のSDKは、第三者提供に直結します*1。どのSDKが何を送っているかを一覧にして引き渡すと、同意設計の議論が具体化します。

運用の担い手を決めることです。第312.8条(b)の年1回の評価と見直しは、開発が終わった後も続きます*1。保守の範囲に含めるかを契約時に決めておきます。

他の法域との重なりも見ておく価値があります。子どもや未成年に関する義務は、米国の州法にも入っています。コネチカット州とデラウェア州は、13歳以上18歳未満の消費者へのターゲティング広告と販売を制限しています*1。COPPAは13歳未満を対象とする連邦の規則で、年齢の区切りが違います。同じサービスで両方に当たる場合、年齢帯ごとに動作を分ける設計が必要になります。

期限の管理としては、2026年4月22日のほかに、年1回の周期が加わる点も押さえておきます*1。第312.8条(b)は少なくとも年1回のリスク評価と計画の見直しを求めているため、期限を過ぎた後も毎年同じ時期に作業が発生します*1。初回の実施日を決めるときに、翌年以降の繰り返しを見込んだ時期を選ぶほうが運用が続きます。

規則の全文は連邦官報の公式版として公開されています*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：改正COPPA規則で押さえる3つの視点

米国連邦取引委員会（FTC）の改正COPPA規則は、2025年4月22日に連邦官報へ掲載され、2025年6月23日に施行されました。第312.11条(d)(1)、(d)(4)および(g)を除き、規制対象事業者は2026年4月22日までに遵守することとされています。押さえたい視点は三つです。第一に、保存の上限。第312.10条は、子どもからオンラインで収集した個人情報を収集の目的の達成に合理的に必要な期間だけ保存し、必要でなくなった場合は削除に伴う権限のないアクセスや利用から情報を保護する合理的な措置を用いて削除することとし、無期限の保存を認めていません。最低限、収集の目的・保存の業務上の必要・削除の時期の枠組みを記した文書化された保存方針を策定して実施し維持し、第312.4条(d)の通知に掲載することが求められます。第二に、情報セキュリティ計画。第312.8条(b)は、子どもの個人情報の機微性と運営者の規模や活動の範囲に応じた保護措置を含む文書化された計画について、調整する従業員の指定、少なくとも年1回のリスク評価、特定したリスクを制御する保護措置の設計と実施と維持、有効性の定期的な試験と監視、少なくとも年1回の評価と修正という五つを求めます。第三に、同意と定義。第312.5条(a)(2)は、第三者への開示に同意しないまま収集と利用に同意する選択肢を親に与えることを求め、当該開示がサービスに不可欠な場合を除き、開示について別個の検証可能な親の同意を得ることとしています。個人情報の定義には政府発行の識別子と自動または半自動の識別に用いうる生体識別子が加わり、オンライン連絡先情報には携帯電話番号が含まれます。新設された混合オーディエンスの定義は、年齢情報の収集などの判断手段を、既定の年齢に寄せたり虚偽入力を促したりしない中立的な方法で行うことを求めています。

よくある質問

出典

1. *1　参考：Federal Trade Commission「Children’s Online Privacy Protection Rule（Final Rule、90 FR 16918、2025年4月22日）」（https://www.govinfo.gov/content/pkg/FR-2025-04-22/pdf/2025-05904.pdf）。改正規則が2025年6月23日に施行され、第312.11条(d)(1)・(d)(4)・(g)を除き規制対象事業者が2026年4月22日までに遵守することとされていること、第312.10条（収集目的の達成に合理的に必要な期間に限る保存、必要でなくなった場合の合理的な措置による削除、無期限の保存の禁止、収集の目的と保存の業務上の必要と削除の時期の枠組みを記した文書化された保存方針の策定と実施と維持、第312.4条(d)の通知への掲載）、第312.8条（(a)の合理的な手続の確立と維持、(b)の文書化された情報セキュリティ計画と(1)従業員の指定・(2)少なくとも年1回のリスク評価・(3)特定リスクを制御する保護措置・(4)有効性の定期的な試験と監視・(5)少なくとも年1回の評価と修正）、第312.5条（(a)(1)の収集・利用・開示前の検証可能な親の同意と重要な変更への同意、(a)(2)の第三者開示に同意しない選択肢の提供と不可欠な場合の例外および開示についての別個の同意、(b)(2)の同意方法の例示）、個人情報の定義への政府発行の識別子および自動または半自動の識別に用いうる生体識別子の追加、オンライン連絡先情報への携帯電話番号の追加、内部運用の支援の定義の明確化、ならびに新設された混合オーディエンスのウェブサイトまたはオンラインサービスの定義と年齢確認を中立的な方法で行うべきことの一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet