カリフォルニア州で初めて年齢適正デザインコード法（Age-Appropriate Design Code Law）を採択

カリフォルニア州年齢適正デザインコード法は、１８歳未満のユーザーを対象とした又はユーザーがアクセスする可能性のあるオンライン製品、サービス、機能を持つ事業に対するプライバシー要件を拡大するものです。

２０２２年９月１５日、カリフォルニア州知事ギャビン・ニューサムはカリフォルニア州年齢適正デザインコード法に署名し、同法が成立しました。これは、児童が利用するオンラインサービスの提供を具体的に規制する初の州のプライバシー法で、連邦児童オンラインプライバシー保護法（COPPA）が求める以上の義務を課しています。同法は２０２４年７月１日に施行されるため、企業が遵守体制を整えるまで２年もありません。

同法は、近々施行されるカリフォルニア州プライバシー権法（California Privacy Rights Act）の対象となる事業者のうち、児童が「アクセスする可能性がある」オンラインサービス、製品、機能を提供する企業又は児童がアクセスすることが分かっている事業者に対して適用されます。ここでいう「児童」とは１８歳未満の個人をいいます。企業のオンラインサービス、製品又は機能が児童によって「アクセスされる可能性がある」かどうかは、COPPAの定義にある「児童向け」かどうかを含む多くの要素を評価することで判断されます。同法は、COPPAよりも広く、オンライン製品、サービス、機能に相当数の児童がアクセスしている、あるいは日常的にアクセスする可能性がある場合には、対象事業者の知見に関係なく適用されます。

同法の重要な要件は以下のとおりです。

• 対象事業者が(i)児童に著しく有害な方法で児童の個人情報を利用すること、(ii)児童をデフォルトでプロファイリングすること、(iii)オンライン製品、サービス、又は機能を提供するために必要でないにもかかわらず、児童の個人情報を収集、販売、共有、保持すること、(iv)当初、情報収集をした目的以外の目的で児童の個人情報を利用すること、又は(v) 合理的に予想される以上の個人情報の提供をするように児童を誤解させたり、促すこと、は禁止されています。
• プライバシーポリシー、利用規約、行動規範は児童の年齢に適した明確な表現を用いて、目立つように表示されなければなりません。対象事業者はこれらのポリシー及び利用規約を実施しなければなりません。
• 親や他の消費者が児童を追跡・監視できる製品やサービスには、児童が追跡・監視されているときにそれを児童に示す明白なシグナルが含まれていなければなりません。また対象事業者は児童の正確なジオロケーションをデフォルトで収集、共有、販売してはなりません。
• 企業は２０２４年７月１日までにデータ保護影響評価（DPIA）を完了し、２年ごとに見直しを行い、関連文書を保管しなければなりません。DPIAは要請があれば、カリフォルニア州司法長官（CA AG）に提供しなければなりません。

同法は、児童の権利、コンピューターサイエンス、健康などの分野に精通したメンバーで構成されるワーキンググループを設立しています。ワーキンググループは、対象事業者が指針を得るために参考にできる、同法を実施するためのベストプラクティスについての報告書を議会のために作成する予定です。

同法は、CA AGのみによって執行されます。CA AGは差止命令と、過失による違反の場合には児童一人当たり２５００ドル、故意による違反の場合には児童一人当たり７５００ドルを上限とする民事罰の適用を求めることができます。同法は私訴権を規定していませんが、他の州法で認められている場合、これらの要件に対する違反に対して個人が補償的損害賠償を求める能力を制限したり、限定することはありません。

本アラートは、アメリカでオンライン事業を行う日本企業にとって重要なトピックと考えられることから紹介する次第です。詳細は、Jones Day Alert “California Is First State to Adopt Age-Appropriate Design Code Law Alert”（オリジナル英語版）をご参照ください。