age-verification-methods

年齢確認および年齢推定の方法

概要

年齢確認と年齢推定は、適切なデータ保護措置を適用する目的で、ユーザーが子どもかどうかを判断するための、異なるものの相互に補完し合うアプローチです。年齢確認では、書類や取引の証拠を通じて年齢を確定します。年齢推定では、顔分析、行動分析、デバイスシグナルなどの技術的手法を用いて、年齢を確率的に評価します。適切な方法を選択するには、精度、プライバシーへの影響、アクセシビリティ、比例性のバランスを取る必要があります。このスキルでは、利用可能なあらゆる方法、その規制上の背景（GDPR、UK AADC、COPPA、EUデジタルサービス法（DSA）や英国オンライン安全法2023などの新たな法律を含む）を取り上げ、ICOとCNILの推奨事項に基づく実装ガイダンスを示します。

規制上の背景

GDPR 第8条第2項

「管理者は、利用可能な技術を考慮したうえで、このような場合に、子どもに対する親権者が同意を与えているか、同意を承認しているかを確認するため、合理的な努力を行うものとする。」

「合理的な努力」の基準は状況によって異なります。EDPBは特定の技術を定めていませんが、管理者には、処理のリスクに見合った確認方法を採用することを求めています。

UK AADC 基準3 — 年齢に応じた適用

「個々のユーザーの年齢を把握するためにリスクベースのアプローチを取り、この規範の基準を子どものユーザーに効果的に適用してください。」ICOのガイダンスでは、求められる確実性の水準は、処理が子どもにもたらすリスクによって異なるとしています。リスクが高いほど、より堅牢な年齢確認方法が必要です。

英国オンライン安全法2023

第11条第3項では、規制対象のユーザー間サービスおよび検索サービスのプロバイダーに対し、子どもが子どもに有害な優先度の高いコンテンツに接触するのを防ぐために設計された「相応のシステムまたはプロセス」を使用するよう求めています。Ofcomの実務規範では、ポルノコンテンツに対する推奨措置として年齢確認を、より幅広いコンテンツカテゴリに対する推奨措置として年齢推定を定めています。

EUデジタルサービス法 — 第28条

未成年者が利用できるオンラインプラットフォームのプロバイダーは、サービス上で未成年者のプライバシー、安全、セキュリティを高い水準で確保するため、適切かつ相応の措置を講じる必要があります。これには、コンテンツ制限のあるサービスに対する年齢確認が含まれます。

フランス — Loi SREN（2024年）

デジタル空間の規制と安全確保に関するフランスの法律は、ポルノサイトへのアクセスに年齢確認を義務付け、ユーザーを特定せずに年齢を確認する、CNIL認定の技術的ソリューションを求めています。CNIL承認の基準システムでは、ユーザーの身元とコンテンツへのアクセスを、本人確認プロバイダーとコンテンツプロバイダーのどちらも結び付けられない「ダブルブラインド」アーキテクチャが求められます。

年齢確認の方法

方法 1：書類による確認

説明：ユーザーが政府発行の身分証明書（パスポート、国民 ID カード、運転免許証）をアップロードまたは提示し、書類のセキュリティ機能と照合し、必要に応じて政府のデータベースとも照合して確認します。

技術的な実装：

• 光学文字認識（OCR）で生年月日や書類の詳細を抽出します
• ICAO Doc 9303 に準拠したパスポートおよび ID カードの機械読取領域（MRZ）を検証します
• 書類の真正性を確認します。ホログラムの検出、マイクロ文字の分析、UV 機能の検証（物理的に提示された場合）
• 任意：ICAO 9303 Part 10 に準拠した電子パスポートの NFC チップを読み取ります
• 任意：書類を提示する人物が写真と一致することを確認するため、生体検知を行います

精度：非常に高い（生体検知と組み合わせた場合、99% 以上）

プライバシーに関する考慮事項：

• 非常に機微な本人確認データ（ID 番号、氏名、住所、写真）を収集します
• データの最小化：生年月日のみを抽出し、確認後すぐに書類画像全体を破棄します
• 保存：書類画像や本人確認データ全体は保持せず、年齢確認済みを示す二値フラグと確認トークンのみを保持します
• 本人確認書類の大規模な処理に該当するため、第 35 条に基づく DPIA が必要です

アクセシビリティ：政府発行の ID を持たない人（2021 年の選挙委員会のデータによると、英国の成人の約 150 万人が写真付き ID を持っていません）が利用できません。唯一の方法として使用するのは適切ではありません。

ユースケース：年齢制限のあるコンテンツ（ギャンブル、アルコール、成人向けコンテンツ）、高リスクのサービス

方法 2：顔による年齢推定（AI ベース）

説明：機械学習モデルが、デバイスのカメラで撮影した顔画像からユーザーの年齢を推定します。推定結果は正確な年齢ではなく、「18 歳以上」や「13～17 歳」などの年齢範囲で示されます。

技術的な実装：

• 大規模な年齢ラベル付き顔画像データセットで学習した畳み込みニューラルネットワーク（CNN）
• 顔画像をサーバーに送信しないよう、デバイス上でリアルタイムに処理します（エッジコンピューティング）
• 写真や動画の再生によるなりすましを防ぐため、生体検知を行います
• 年齢推定は信頼区間を出力します（例：推定年齢 14 歳 +/- 2 歳、信頼度 95%）
• 顔画像は揮発性メモリで処理し、保存しません

精度：モデルや人口統計的属性に応じて、平均絶対誤差（MAE）は 1.5～3 年です。精度は、年齢層（8 歳未満の子どもや 65 歳以上の成人では低下）、民族性（一部の商用システムでバイアスが報告されています）、照明、画像品質によって異なります。

プライバシーに関する考慮事項：

• 顔画像は、個人を一意に識別する目的で使用される場合、GDPR 第 4 条（14）および第 9 条（1）に基づく生体データに該当します
• 年齢推定のみを目的として使用する場合（個人の識別には使用しない場合）、第 9 条にいう「個人を一意に識別する目的の生体データ」の処理には該当しない可能性があります。ICO は、子どものための規範に関するガイダンスでこの解釈を確認しています
• サーバーに送信せずデバイス上で処理することで、プライバシーリスクを大幅に低減できます
• 顔データは機微な情報であるため、デバイス上で処理する場合も DPIA の実施が推奨されます

主なプロバイダー：Yoti（Age Estimation）、VerifyMyAge（EstimateMyAge）、Privately SA

ICO の見解：ICO は、画像をローカルで処理し、画像を保存せず、個人を特定しない顔による年齢推定技術は、年齢確認のための比例的な方法になり得ると述べています。ICO は 2022 年に、オーストラリア情報コミッショナー（OAIC）と共同で Yoti の年齢推定技術を監査し、適切な保護措置を講じて実装されている場合、データ保護要件を満たすと結論付けました。

方法 3：デジタル ID 検証

説明：ユーザーは、信頼できるデジタル ID プロバイダー（eID、デジタルウォレット、オープンバンキング）を通じて認証します。このプロバイダーは、依拠当事者（サービスプロバイダー）に完全な身元情報を開示することなく、年齢を確認します。

技術的な実装：

• 属性ベースの検証には、Identity Assurance 向けの OpenID Connect（OIDC4IDA）プロトコルを使用します
• ID プロバイダーは、署名付きアサーションを通じて特定の属性（例：「is_over_18」：true）を確認します
• 依拠当事者が受け取るのは年齢属性のみで、ユーザーの氏名、住所、その他の ID データは受け取りません
• EU デジタル ID ウォレット（eIDAS 2.0 規則、2026 年の展開予定）により、属性の選択的開示が可能になります
• 英国の Digital Identity and Attributes Trust Framework（DIATF）は、ID プロバイダー向けの認証制度を提供します

精度：非常に高い（基礎となる ID の検証精度に依存します）

プライバシーに関する考慮事項：

• 開示するデータは最小限です。共有されるのは特定の年齢属性のみです
• 二重盲検アーキテクチャを使用する場合、ID プロバイダーはユーザーの身元を把握しますが、ユーザーがどのサービスを利用しているかは把握しません
• サービスプロバイダーはユーザーが自社のサービスを利用していることを把握しますが、ユーザーの完全な身元は把握しません
• 年齢検証に関する CNIL 推奨の「二重盲検」方式に準拠しています

ユースケース：eIDAS 2.0 デジタル ID ウォレットへの対応を進める EU/EEA のサービス、DIATF 認定プロバイダーを利用する英国のサービス

方法 4：リスク軽減策を伴う自己申告

説明：ユーザーは、生年月日欄または年齢範囲の選択欄を通じて年齢を申告します。この申告を基準とし、虚偽の申告を検出するためのリスクベースの対策で補完します。

技術的な実装：

• 中立的な年齢確認プロンプト：「生年月日を入力してください」とし、スクロール可能な日付ピッカーを使用します（カレンダーの初期値を現在の日付にしません）
• 「正しい」回答や適用される年齢基準を示しません
• 虚偽の申告を示す可能性のある行動シグナル：異なる日付を直ちに再入力する、以前の申告を示す Cookie の証拠、申告した年齢と一致しないタイピング速度のパターン
• 虚偽の申告が疑われる場合は、より高い保証レベルの検証方法に切り替えます

精度：単独の方法としては低い精度です。子どもはオンラインで年齢を偽ることがよくあります。Ofcom の 2023 年の調査では、英国の 8～17 歳のうち 33％が、プラットフォームの最低年齢に達していないにもかかわらず、ソーシャルメディアのプロフィールを持っていることが判明しました。

プライバシーに関する考慮事項：収集するデータは最小限です（申告された生年月日のみ）。生体認証処理はありません。本人確認書類の収集もありません。

ユースケース：低リスクのサービスにおける第一段階のスクリーニング策。中リスクおよび高リスクのサービスでは、常に追加の保護策と組み合わせます

方法 5：クレジットカードまたは決済による検証

説明：ユーザーがクレジットカード（通常は 18 歳以上の成人にのみ発行されます）を所持していることを、金銭取引を通じて確認し、年齢を推定します。

技術的な実装：

• 少額決済（0.50 USD/EUR/GBP）を行い、48 時間以内に請求を取り消して返金します
• カードはクレジットカードである必要があります（未成年者にも発行される可能性があるデビットカードやプリペイドカードは不可）
• カード名義人に取引通知を送信し、監査証跡を提供します
• ID の保証レベルをさらに高めるため、3D Secure（3DS2）認証を使用する実装もあります

精度：中程度です。クレジットカードを利用できることは確認できますが、それは 18 歳以上であることと相関するにすぎません。カード名義人の具体的な年齢は確認できません。子どもが親のカードを使用する可能性があります。

プライバシーに関する考慮事項：決済カードデータには PCI DSS 要件が適用されます。サービスではカード情報の全項目を保存しないでください。取引確認情報と「クレジットカードを所持している」という二値フラグのみを保持してください。

手法 6：モバイルネットワーク事業者（MNO）による年齢確認

説明：モバイルネットワーク事業者は、SIM／eSIMに関連付けられた加入者情報に基づいてユーザーの年齢層を確認します。この際、確認を求めるサービスにユーザーの本人情報を開示しません。

技術的な実装：

• ユーザーの携帯電話番号を使ってMNOにAPIを呼び出します（GBG、boku、Sinchなどのアグリゲーター経由）
• MNOは本人情報を開示せず、真偽値（例：「is_over_18」：true／false）を返します
• MNOが加入者登録時に収集した年齢データを利用します（販売時の本人確認）

精度：18歳以上か未満かの判定精度は高くなります。MNOの登録時には通常、本人確認が行われるためです。MNOが正確な生年月日を記録していない場合があるため、細かな年齢の判定（例：13歳と15歳の区別）の確実性は低くなります。

プライバシーに関する考慮事項：サービスが把握するのは年齢層のみです。仲介アーキテクチャによって防止されない限り、MNOはユーザーがどのサービスにアクセスしているかを把握します。MNOによるデータ処理にはDPIAの実施が推奨されます。

精度とプライバシーのトレードオフのマトリックス

手法	精度	プライバシーへの影響	比例性が認められる用途
書類による確認	非常に高い	非常に大きい（IDの収集）	年齢制限のある製品（ギャンブル、アルコール）
顔による年齢推定	高い（MAE 1.5～3年）	中程度（デバイス上）から大きい（サーバー側）	一般的なオンラインサービス、ソーシャルメディア
デジタルID	非常に高い	小さい（属性のみを開示）	あらゆるサービス。プライバシーと精度のバランスが最良
自己申告	低い	非常に小さい	初期スクリーニング。リスクの低いサービスのみ
クレジットカード	中程度	中程度（決済データ）	保護者の同意に関する補足的な確認
MNOによる確認	高い	小～中程度	モバイルファーストのサービス。補足的な確認

リスクに基づく選択フレームワーク

ステップ 1：サービスのリスクレベルを分類する

リスクレベル	基準	例
高	見知らぬ人とのダイレクトメッセージ、見知らぬ人にも公開されるユーザー生成コンテンツ、年齢制限のあるコンテンツ、子どもを対象とする収益化機能	ソーシャルメディア、デーティングアプリ、ギャンブル、オンラインマーケットプレイス
中	コンテンツのパーソナライズ、アプリ内購入、モデレーション付きのコミュニティ機能、プロファイリングを伴う教育サービス	EdTechプラットフォーム、ゲーム、ストリーミングサービス
低	静的なコンテンツ配信、ソーシャル機能なし、データ共有なし、プロファイリングなし	情報提供ウェブサイト、オフラインのシングルプレイヤーゲーム

ステップ 2：必要最小限の確認レベルを選択する

リスクレベル	必要最小限の確認	推奨される方法
高	書類による確認、または顔による推定＋生体検知	書類による確認。代替手段としてデジタルIDを用意
中	顔による年齢推定（デバイス上）、または自己申告＋リスクシグナル	段階的に確認レベルを引き上げる方法を備えた顔による年齢推定
低	自己申告＋中立的なプロンプト	Cookieに基づく再アクセス検知を伴う自己申告

ステップ 3：比例性テストを適用する

選択した各手法について、次の点を記録します。

1. 子どもを保護するために、なぜこの手法が必要なのでしょうか？
2. 侵襲性の低い手法で、同じレベルの保護を実現できますか？
3. この手法のプライバシーへの影響を最小限に抑えるために、どのような安全策を講じますか（データ最小化、デバイス上での処理、即時削除など）？
4. IDを持たないユーザーや障害のあるユーザーなど、アクセシビリティに関する課題にこの手法はどう対応しますか？

BrightPath Learning Inc. — 年齢確認の実装

BrightPath Learning Inc. は、中リスクに分類される教育プラットフォームを運営しています（進捗の追跡とパーソナライズを伴う教育コンテンツを提供し、見知らぬ人とのソーシャル機能はありません）。

実装したアプローチ：多層的な確認

1. レイヤー 1 — 自己申告：登録時に、中立的な生年月日の入力を求め、スクロール可能な日付ピッカーを表示します。初期の振り分け（子ども用アカウントか成人用アカウントか）を判断します。
2. レイヤー 2 — 保護者アカウント：適用される基準年齢に満たないと申告したユーザーには、保護者の同意フローが開始されます。保護者はアカウントを作成し、クレジットカードによる少額取引で確認を行います。
3. レイヤー 3 — 異常検知：不整合がないか、行動シグナルを監視します。子ども用アカウントと保護者アカウントの IP アドレスの不一致、自己確認を示唆する同一のメールドメイン、短期間に同じ保護者から複数の子ども用アカウントが作成されることなどが対象です。
4. レイヤー 4 — エスカレーション：異常が検知された場合、保護者にビデオ通話での確認、または政府発行の身分証明書のアップロードを求めます（確認後、直ちに削除します）。

年齢確認データの保持期間：

• 自己申告された生年月日：アカウントのライフサイクル全体にわたって保持します
• クレジットカード取引記録：90 日間保持（照合のため）した後に削除し、「保護者確認済み」フラグのみ保持します
• 政府発行の身分証明書の画像：メモリ上で処理し、保存しません。確認結果は保持します
• 顔画像：収集しません（BrightPath は顔による年齢推定を使用しません）

新たな標準規格と法令

IEEE 2089.1-2024 — 年齢に適したデジタルサービスのフレームワーク

デジタルサービスで年齢に適した設計を実装するためのフレームワークを定めた公開規格です。年齢確認手法や、さまざまなリスク状況に応じた適用方法に関するガイダンスが含まれています。

ISO/IEC 27566 — 年齢確認システム（策定中）

年齢確認と年齢推定の両方を対象とする、年齢確認システムの作業草案規格です。精度、プライバシー、アクセシビリティ、相互運用性、ガバナンスの要件を扱います。

EU デジタル ID ウォレット（eIDAS 2.0）

改正 eIDAS 規則により、EU 加盟国は 2026 年までに市民にデジタル ID ウォレットを提供することが義務付けられています。このウォレットは選択的属性開示に対応し、ユーザーは身元や生年月日の全情報を明かさずに、特定の年齢以上であることを証明できます。これは、EU のサービスで優先される年齢確認方法となります。

統合ポイント

• GDPR に基づく保護者の同意：Art. 8 に基づき保護者の同意が必要かどうかを判断する前提として、年齢確認が必要です
• 英国 AADC の実装：AADC Standard 3 では、リスクに応じた年齢確認が求められます
• 年齢制限サービス：年齢確認の結果に基づいて、年齢制限の判断（アクセス許可、リダイレクト、またはブロック）を行います
• COPPA への準拠：COPPA では、保護者の同意フローの一環として年齢のスクリーニングが求められます
• 子どものプライバシー通知：年齢確認の結果に基づいて、表示するプライバシー通知のバージョン（子ども向けまたは標準）を決定します