gdpr-parental-consent

GDPR における保護者の同意確認

概要

GDPR 第 8 条では、情報社会サービスが子どもに直接提供される場合、同意に基づく個人データの処理が適法となるのは、子どもが 16 歳以上である場合に限られると定めています。加盟国は、この年齢基準を最低 13 歳まで引き下げることができます。子どもが該当する年齢基準に達していない場合、親権者が同意を与えるか、同意を承認する必要があります。管理者は、利用可能な技術を考慮しつつ、同意を与える者が親権者であることを確認するため、合理的な努力を行わなければなりません。このスキルは、EDPB ガイドライン 5/2020、各国の実施法、執行事例を踏まえ、第 8 条への準拠を実現するための包括的な枠組みを提供します。

法的根拠 — GDPR 第 8 条

第 8 条第 1 項 — 子どもの同意に関する条件

情報社会サービスが子どもに直接提供されることに関連して第 6 条第 1 項（a）（同意）が適用される場合、子どもが 16 歳以上であれば、処理は適法です。子どもが 16 歳未満の場合、子どもに対する親権者が同意を与えるか、同意を承認した場合に限り、かつその範囲において、処理は適法です。加盟国は、これらの目的における年齢を法律で引き下げることができます。ただし、引き下げ後の年齢は 13 歳未満であってはなりません。

第 8 条第 2 項 — 確認義務

管理者は、このような場合に、利用可能な技術を考慮しつつ、同意が子どもに対する親権者によって与えられたか、または承認されたことを確認するため、合理的な努力を行わなければなりません。

第 8 条第 3 項 — その他の適法な根拠への影響なし

第 8 条第 1 項は、子どもに関する契約の有効性、成立、効力に関する規則など、加盟国の一般契約法に影響を与えません。

EU／EEA 加盟国ごとの年齢基準

国	年齢基準	国内法
オーストリア	14	オーストリアデータ保護法（DSG）第 4 条第 4 項
ベルギー	13	2018 年 7 月 30 日法第 7 条
ブルガリア	14	個人データ保護法第 25a 条
クロアチア	16	GDPR 実施法第 19 条
キプロス	14	法律 125(I)/2018 第 8 条
チェコ	15	法律第 110/2019 Sb. 号第 7 条
デンマーク	13	デンマークデータ保護法第 6 条第 2 項
エストニア	13	個人データ保護法第 8 条
フィンランド	13	データ保護法 1050/2018 第 5 条
フランス	15	情報処理および自由法第 45 条
ドイツ	16	GDPR の標準年齢 — 引き下げる法律は未制定
ギリシャ	15	法律 4624/2019 第 21 条
ハンガリー	16	GDPR の標準年齢 — 法律 CXII of 2011 を改正
アイルランド	16	データ保護法 2018 第 31 条
イタリア	14	立法令 101/2018 第 2-quinquies 条
ラトビア	13	個人データ処理法第 10 条
リトアニア	14	個人データの法的保護に関する法律第 5 条
ルクセンブルク	16	2018 年 8 月 1 日法第 8 条
マルタ	13	データ保護法 Cap. 586 第 30 条
オランダ	16	GDPR の標準年齢 — UAVG では引き下げず
ノルウェー	13	個人データ法第 5 条
ポーランド	16	GDPR の標準年齢 — 2018 年 5 月 10 日法
ポルトガル	13	法律 58/2019 第 16 条
ルーマニア	16	GDPR の標準年齢 — 法律 190/2018
スロバキア	16	GDPR の標準年齢 — 法律 18/2018
スロベニア	16	GDPR の標準年齢 — 個人データ保護法
スペイン	14	組織法 3/2018 第 7 条
スウェーデン	13	法律 2018:218 第 2 章第 4 条
英国（ブレグジット後）	13	データ保護法 2018 第 9 条、英国 GDPR 第 8 条

第8条が適用される場合の判断

第8条は、以下の条件をすべて満たす場合にのみ適用されます。

1. 情報社会サービス：通常、報酬を得て、遠隔で、電子的手段により、受け手個人の要求に応じて提供されるサービス（指令2015/1535、第1条(1)(b)）。ソーシャルメディア、ゲームプラットフォーム、電子商取引、ストリーミング、教育アプリが含まれます。子どもに提供される予防サービスやカウンセリングサービスは含まれません。

2. 子どもに直接提供される：サービスが子どもを対象としているか、管理者がユーザーベースに子どもが含まれることを認識している必要があります。判断材料には、子ども向けのデザイン、コンテンツ、マーケティング、またはアプリストアで子ども向けカテゴリに掲載されていることが含まれます。

3. 適法性の根拠が同意である：処理が第6条(1)(a)の同意に基づいている必要があります。管理者が別の適法性の根拠（正当な利益、契約の履行、法的義務）に依拠する場合、第8条は適用されません。ただし、前文38に基づき、子どもの最善の利益は引き続き考慮に関係します。

4. 子どもが該当する国内の年齢基準を下回っている：データ主体が、該当する加盟国の定める年齢基準に達していない必要があります。

保護者の確認方法

Tier 1 — 高い確実性（センシティブデータや高リスクの処理に推奨）

方法	説明	長所	短所
電子ID確認（eIDAS）	保護者が国の電子IDを使用して認証します	法的拘束力があり、確実性が高い	国境を越えた利用が限られます
ビデオ通話による確認	保護者が身分証明書を提示するライブビデオ通話	視覚的に強く確認できます	リソースを大量に消費し、拡張性がありません
クレジットカード取引	保護者のクレジットカードに少額を請求し、返金します	金融上の本人確認ができます	銀行口座を持たない保護者は利用できません
政府発行IDのアップロード	保護者が政府発行の写真付き身分証明書をアップロードします	書類に基づく確認ができます	身分証明書の偽造リスクがあり、データ最小化の観点で懸念があります

Tier 2 — 中程度の確実性（標準的な処理に適しています）

方法	説明	長所	短所
メールと追加確認	保護者にメールを送り、知識ベースの確認を行います	大規模でも妥当な労力で実施できます	子どもがメールにアクセスできる可能性があります
折り返し確認付きSMS認証	保護者の携帯電話番号にSMSコードを送信します	物理デバイスと結び付けられます	子どもが保護者の電話にアクセスできる可能性があります
保護者アカウントの連携	保護者が自身の確認済みアカウントを作成し、子どものアカウントと連携します	継続的な監督が可能です	保護者アカウントの作成が負担になります
電子署名	保護者が同意書に電子署名します	法的に有効で、監査可能です	保護者にデジタルリテラシーが必要です

Tier 3 — 基本的な確実性（低リスクの処理に必要な最低限）

方法	説明	長所	短所
メール認証	保護者が提供したアドレスに確認メールを送信します	手間が少なく、拡張性があります	確実性が最も低い方法です
チェックボックスによる申告	保護者がチェックボックスで自身の立場を確認します	実装コストが最小限です	簡単に回避できます

確認レベルの選択 — リスクベースのアプローチ

適切な確認レベルは、以下の要素によって異なります。

• 収集するデータの性質：特別カテゴリーのデータ（第9条）にはTier 1の確認が必要です
• データ量：子どもの広範なプロファイリングや監視にはTier 1が必要です
• 処理の目的：マーケティングや行動ターゲティング広告には、教育ツールより高い確実性が必要です
• 子どもに対するリスク：見知らぬ人とのダイレクトメッセージや交流を可能にするサービスにはTier 1が必要です
• 利用可能な技術：管理者は第8条(2)に従い、実装時点で利用可能な技術を考慮しなければなりません

同意記録の要件

Art. 7(1) の立証義務を満たすため、すべての保護者の同意について、以下のフィールドを記録する必要があります。

フィールド	説明	例
consent_id	同意記録の一意の識別子	PC-2026-0001457
child_identifier	仮名化された子どもの識別子	child_a3b7c9d2
child_age_at_consent	同意時点での子どもの年齢	12
applicable_threshold	適用される国内の年齢しきい値	13 (Belgium)
parent_identifier	仮名化された保護者の識別子	parent_f4e8a1b6
verification_method	保護者としての責任を確認するために使用した方法	credit_card_transaction
verification_outcome	確認結果	verified
purposes	同意の対象となる具体的な処理目的	["account_creation", "content_personalization"]
data_categories	対象となる個人データのカテゴリ	["name", "age", "usage_data"]
consent_text_version	表示した同意文の SHA-256 ハッシュ	a1b2c3d4...
timestamp	同意の ISO 8601 タイムスタンプ	2026-03-14T10:30:00Z
withdrawal_mechanism	保護者が同意を撤回する方法	parental_dashboard
expiry_date	同意の確認・有効期限日	2027-03-14

BrightPath Learning Inc. — 実装例

BrightPath Learning Inc. は、EU 全域の 8～15 歳の子どもを対象とする教育ゲームプラットフォームを運営しています。このプラットフォームは、フランス（しきい値：15 歳）、ドイツ（しきい値：16 歳）、スペイン（しきい値：14 歳）、ベルギー（しきい値：13 歳）で利用できます。

実装手順

ステップ 1：年齢の収集（中立的な設計）

• アカウント作成時に、スクロール式の日付セレクター（自由入力欄ではありません）を使って「生まれた年を教えてください」と尋ねます
• 年齢に関する質問では、質問の理由や「正しい」回答が何かを示しません
• 回答に基づいて年齢を算出し、子どもの居住国のしきい値を適用します

ステップ 2：しきい値に基づく振り分け

• フランス在住の 14 歳の子ども → しきい値（15 歳）未満です。保護者の同意が必要です。
• ベルギー在住の 14 歳の子ども → しきい値（13 歳）以上です。子どもが独自に同意できます。
• ドイツ在住の 15 歳の子ども → しきい値（16 歳）未満です。保護者の同意が必要です。

ステップ 3：保護者の確認フロー

• 子どもが保護者のメールアドレスを入力します
• プラットフォームが、ワンタイムリンクを記載した確認メールを保護者に送信します
• 保護者がリンクをクリックし、保護者監督用アカウントを作成します
• 保護者がクレジットカードの少額決済（0.50 EUR、48 時間以内に返金）で本人確認を行います
• 保護者が具体的な処理目的を確認し、承認します
• 保護者に、保護者用ダッシュボードへのリンクを記載した確認通知が届きます

ステップ 4：継続的な保護者の監督

• 保護者用ダッシュボードに、目的ごとの詳細を含む有効な同意がすべて表示されます
• 保護者はいつでも、任意の目的に対する同意を撤回できます
• プラットフォームは毎年、同意の更新を促すリマインダーを送信します
• 子どもが適用される年齢しきい値に達すると、プラットフォームは保護者と子どもの両方に通知し、同意の権限を子どもに移行します

同意記録の例

{
  "consent_id": "PC-2026-0003891",
  "child_identifier": "child_bp_8f3a2d",
  "child_age_at_consent": 12,
  "applicable_threshold": 15,
  "applicable_country": "FR",
  "parent_identifier": "parent_bp_c7e4f1",
  "verification_method": "credit_card_micro_transaction",
  "verification_outcome": "verified",
  "verification_timestamp": "2026-03-14T14:22:00Z",
  "purposes": [
    {
      "purpose_id": "edu_content_delivery",
      "description": "Deliver educational gaming content appropriate to child's learning level",
      "consented": true
    },
    {
      "purpose_id": "progress_tracking",
      "description": "Track learning progress and generate reports for parent",
      "consented": true
    },
    {
      "purpose_id": "personalized_recommendations",
      "description": "Recommend games based on learning progress and preferences",
      "consented": false
    }
  ],
  "data_categories": ["name", "age", "learning_progress", "game_interactions"],
  "consent_text_version": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
  "timestamp": "2026-03-14T14:25:00Z",
  "withdrawal_mechanism": "parental_dashboard",
  "expiry_date": "2027-03-14",
  "controller": "BrightPath Learning Inc.",
  "controller_address": "200 Education Lane, Amsterdam, 1012 AB, Netherlands"
}

執行事例

• TikTok（アイルランドDPC、2023年）：13歳未満の子どもに対する適切な保護者同意の仕組みの未導入、子どものアカウントの公開プロフィールのデフォルト設定、ならびに第5条（1）（a）、第5条（1）（c）、第12条、第13条、第24条、第25条に基づく透明性の不備などの違反に対し、3億4,500万ユーロの制裁金。
• Instagram（アイルランドDPC、2022年）：13～17歳の子どもが公開がデフォルト設定のビジネスアカウントを運用できるようにし、子どもの連絡先情報を公開したことに対し、4億500万ユーロの制裁金。第8条および第25条の義務の不十分な履行に関連します。
• Google/YouTube（FTC、2019年）：検証可能な保護者の同意を得ずに、ターゲティング広告の配信に用いる子どもの個人情報（永続的識別子）を収集したことによる、COPPA違反について、1億7,000万米ドルで和解。
• Fortnite/Epic Games（FTC、2022年）：保護者への通知または同意なく13歳未満の子どもの個人情報を収集し、見知らぬ相手とのリアルタイムの音声およびテキスト通信をデフォルトで有効にしていたことについて、2億7,500万米ドルで和解。
• フランスCNIL — TIKTOK（2022年）：プラットフォーム上でCookieを拒否しにくくしていたことについて、500万ユーロの制裁金。子どもの利用者が多いことも、加重要素として考慮されました。

よくあるコンプライアンス上の不備

1. EU全域で年齢基準を一律に適用：子どもの居住国で適用される基準ではなく、すべての加盟国で単一の基準（例：16歳）を適用する
2. 自己申告のみ：検証の仕組みを設けず、子ども本人の年齢申告だけに依存する
3. 保護者の確認なし：保護者のメールアドレスを収集するものの、そのメールアドレスの保有者が実際に親権または保護者責任を有するか確認しない
4. 同意の一括取得：目的ごとに個別の同意を取得せず、単一のチェックボックスであらゆる処理目的について保護者の同意を取得する
5. 同意の期限切れへの対応なし：保護者の同意を定期的に更新せず、または子どもが該当する年齢基準に達した際に権限を移行しない
6. 子ども向けCookieウォール：分析や広告を含むすべてのCookieへの同意を条件として、サービスへのアクセスを拒否する

連携ポイント

• 年齢確認方法：第8条（2）では、保護者の同意が必要かどうかを判断する前に、年齢を確認するための合理的な努力が求められます
• 子どものプライバシー通知：第12条の透明性義務により、保護者と子どもの双方に明確に伝える必要があります
• 子どものデータ最小化：前文第38項に従い、子どものデータを処理する場合、第5条（1）（c）のデータ最小化は厳格に解釈されます
• 英国AADCの実施：英国の年齢相応のデザインコードは、15の設計基準によって英国GDPR第8条を補完します
• COPPAへの準拠：13歳未満の米国の子どもも対象とするサービスでは、COPPAの要件がGDPR第8条と並行して適用されます