2026年8月21日、米司法省(DOJ)が、動画共有サービスの運営元との和解を発表した。13歳未満の子どもの個人情報を、保護者の同意なく扱っていたとされる問題だ。金額は4億ドル(約640億円)。児童オンラインプライバシー保護法(COPPA、コッパ)をめぐる争いとしては、過去最大級の回収額となった。
何が起きたのか — 4億ドル和解の中身
今回の和解で、TikTokは合計4億ドルを支払うことに合意した。まず3億ドルを即時に支払い、残る1億ドルは、前身であるMusical.lyに過去下されていた同意判決を無効化する命令が確定した後に支払われる、という二段構えだ。当局はこれを、子どものプライバシー保護をめぐる案件として史上最大級の回収だと位置づけている。
訴訟の起点は2024年。運営元とその親会社バイトダンス(ByteDance)を相手取り、カリフォルニア州中部地区の連邦地裁に提訴されたもので、連邦取引委員会(FTC)からの付託を受けて司法省の民事部門が担当した。数字で整理すると、次のようになる。
COPPAとは — 13歳未満を守る米国のルール
COPPAは2000年に施行された連邦法で、13歳未満の子どもの個人情報を、事業者が集める際のルールを定めている。所管は連邦取引委員会(FTC)。子ども向けサービスであれば、年齢確認の仕組みを入れていても対応義務は消えない、という設計になっている。
重要なのは、この法律が2026年4月22日に大幅改正されたことだ。2013年以来はじめての本格的な見直しで、第三者へのデータ提供には、保護者による「オプトイン(明示的な事前同意)」が原則として義務化された。ターゲティング広告(行動追跡型の広告)やプロファイリング(利用者の傾向分析)が主な標的で、今回の和解は、この潮流の象徴とも言える。
なぜ子どもの個人情報が問題になるのか
大人でも、自分の行動履歴がどこまで追われているかを把握するのは難しい。まして子どもは、利用規約を読み、同意の意味を理解したうえでアプリを使っているわけではない。集められたデータは、興味関心の推定、広告の最適化、そして「もっと見たくなる」タイムラインの設計に使われていく。
各国の規制当局が繰り返し挙げているのは、ネットいじめ、依存的な長時間利用、心身の発達への影響、そして不適切なコンテンツへの接触だ。データそのものの漏えいリスクに加えて、「集めたデータで滞在時間を伸ばす設計」自体が、子どもにとって過剰な負荷になりうる、という論点である。
世界の潮流 — オーストラリアの「16歳未満SNS禁止」
米国が「和解と執行」で攻めるなか、もっと踏み込んだのがオーストラリアだ。2024年のオンライン安全性改正法にもとづき、2025年12月10日、16歳未満のSNS利用を原則として認めない仕組みが世界ではじめて施行された。TikTokを含む主要10社が対象になっている。
注目すべきは、罰則が子どもや保護者ではなく、事業者側に向いている点だ。違反企業には最大4,950万豪ドル(約51億円)の制裁が科されうる。「子どもを罰する」のではなく「環境を用意する責任を企業に負わせる」という発想である。
施行から1カ月で、10代のアカウント約470万件が停止された。ところが医学誌の研究によれば、3カ月後も16歳未満の約86パーセントが対象サービスを使い続けていたという。抜け道は多く、「禁止しても実際には使われる」という、規制の実効性という難題が早くも浮き彫りになっている。スペインやギリシャなどにも同様の動きは広がりつつある。
日本の現在地 — 一律規制か、環境整備か
では日本はどうか。結論から言うと、いまのところ一律の年齢制限には慎重で、「環境整備を先に進める」方向だ。総務省は2026年6月の報告書案で、年齢確認の厳格化を求めつつ、諸外国のような一律制限は望ましくないと明記した。
こども家庭庁の作業部会も、2026年7月にまとめた中間報告書案で、一律の年齢制限については「議論を継続する」との立場をとった。SNSが子どもにとって貴重な居場所になっている点を重く見たかたちだ。事業者にはリスク評価と保護措置の実施・公表を求め、違反には罰則も検討する。2027年の通常国会での青少年インターネット環境整備法の改正案提出を目指している。
現役エンジニアのつぶやき
忖度なしで書くと、この手の議論は「禁止するかどうか」で盛り上がりがちだが、エンジニアとして本当に難しいのは年齢確認そのものだ。自己申告は誰でも突破できるし、身分証やAIによる推定を挟めば、今度は子どもの生体情報や書類という、より機微なデータを集めることになる。プライバシーを守るために、より深いプライバシー侵害を招きかねない。ここに構造的なジレンマがある。
金融系のシステム設計で叩き込まれる考え方が、ここでも効く。ひとつは最小権限(least privilege、必要な分だけ持たせる)。子どものデータは、そもそも集めない・持たないのが最強の防御だ。もうひとつは監査証跡(audit trail、誰が何を触ったかを残す)。同意を取ったか、いつ削除したかを追跡できなければ、規制は絵に描いた餅になる。設計の段階でプライバシーを織り込む発想が問われている。
そして86パーセントが使い続けたという事実。ルールは、抜け道の存在を前提に設計しないと機能しない。禁止という一本の壁より、多層の防御(データ最小化、既定値の安全化、家庭での対話)を重ねるほうが現実的だ、というのが個人的な見立てである。
いま保護者・利用者にできること
📝 まとめ
4億ドルという金額は、単なる罰金ではない。「子どものデータは自由に使ってよい資源ではない」という、規制当局からの明確なメッセージだ。世界は、オーストラリア型の「一律禁止」と、日本型の「環境整備」のあいだで揺れている。どちらが正解かは、まだ誰にも断言できない。
はっきりしているのは、技術は諸刃の剣だということ。データを集める技術も、子どもを守る技術も、同じエンジニアリングの産物だ。だからこそ、何を集め、何を集めないかという「設計の思想」が、これからますます問われていく。忖度なしで言えば、勝負はルールの厳しさよりも、設計の誠実さで決まる。