2026年8月24日〜8月30日のデジタルプライバシー関連ニュースをまとめてお届けします。
ヘッドライン
年齢確認・SNS規制
Meta、子どものSNS依存訴訟で180億ドルの和解に合意
Meta Platformsが8月26日、FacebookとInstagramを子どもが依存するように設計したとして全米のほぼすべての州から訴えられていた裁判で、今後10年間に最大180億ドル（約2兆6,000億円）を支払うことで和解しました。ニューメキシコ州は和解に参加せず、フロリダ州は「州への支払いは被害に比べれば雀の涙だ」として訴訟を継続します。
金銭よりも注目すべきは、Metaが同意した利用制限の内容です。保護者の同意がない限り、18歳未満のFacebook・Instagram利用は1日2時間までに制限され、深夜0時から午前6時までの利用はブロックされます。学校の時間帯にあたる午前8時から午後3時は、10代のユーザーへのプッシュ通知がほぼ無効化されます。年齢制限コンテンツへのアクセス防止策も強化されます。
一方で、この和解はパーソナライズされたレコメンデーションやターゲティング広告の廃止までは求めていません。「依存させる設計」の中核であるアルゴリズムには手を付けないまま、利用時間の制限で決着した形です。
SNS企業に対しては個人・学区・自治体などから依然として数千件の訴訟が続いており、今回の和解は他の訴訟や、オーストラリアの16歳未満SNS禁止をはじめとする各国の規制の雛形になる可能性があります。
ブラジル、TikTok運営元のByteDanceに約2,980万ドルの制裁金
ブラジルのデータ保護当局ANPDが8月25日、TikTokを運営するByteDanceのブラジル法人に対し、一般データ保護法（LGPD）違反で1億5,380万レアル（約2,981万ドル）の制裁金を科しました。13歳から18歳の個人データを有効な法的根拠なしに処理していたと認定されたものです。
とくに問題視されたのが、アカウントを作らなくてもコンテンツを閲覧できる「ログアウト状態のフィード」です。ANPDによれば、この機能はブラジルでは利用できる一方、米国や欧州では登録ユーザーに限定されており、実効的な年齢確認のないまま子どもが広くTikTokを利用できる状態を生んでいました。同じ機能でも国や地域によって扱いが異なるという、プラットフォーム規制の難しさを示す事例でもあります。
ByteDanceは、制裁の根拠が2021年までさかのぼる古い実装であり、2025年にANPD自身が承認したコンプライアンス計画やその後の改善が考慮されていないと反論し、法的手段も検討しつつ当局との対話を続けるとしています。
ANPDは今月、Discordにライブ配信機能の停止を命じたほか、22のプラットフォームを対象とする監視手続きも開始しており、ブラジルの子ども保護規制は急速に強まっています。
カリフォルニア州、OS年齢確認法からLinuxを除外する修正法案を全会一致で可決
カリフォルニア州議会が、OSに年齢確認を義務付ける「デジタル年齢保証法（Digital Age Assurance Act）」からオープンソースOSを除外する修正法案AB 1856を可決しました。2027年1月1日の施行を目前にして「Linuxディストリビューションもアカウント設定時に年齢データの収集を強制されるのか」という約1年越しの不透明さに決着がつきました。
修正の中心は「OS提供者」の定義変更です。複製・再配布・改変を認めるライセンスでソフトウェアを配布する事業者が適用対象から外れ、GPL・MIT・BSD・Apacheライセンスで配布されるDebian、Fedora、Ubuntu、ArchなどのLinuxディストリビューションやBSD系OSは対象外となります。
GrapheneOSも、MIT・Apacheライセンスでの配布を理由に完全に適用対象外となります。
aptやpacmanのようなパッケージマネージャーで配布されるライブラリ、ブラウザ拡張機能ストアも適用範囲から除かれました。
ArchベースながらプロプライエタリなSteamクライアントと一体で配布されるSteamOSの扱いは、まだはっきりしていません。
Windows、macOS、iOS、Androidは引き続き完全な適用対象で、2027年1月以降はアカウント設定時の年齢収集が義務付けられます。
このほか修正では、法律上の義務がある場合を除いて年齢シグナルの要求を禁止する条項も追加されました。年齢確認APIが汎用のデータ収集チャネルとして悪用される余地を塞ぐもので、年齢確認の義務化とプライバシー保護をどう両立させるかという議論において重要な前例になりそうです。
監視・プライバシー
警察官がナンバープレート監視網Flockで元交際相手を2,000回以上追跡し逮捕
米国ケンタッキー州シャイブリー警察の巡査が、自動ナンバープレート読み取り（ALPR）システム「Flock」を悪用して元交際相手を追跡していたとして逮捕されました。
捜査記録によれば、巡査は1月から5月にかけて、被害者名義の車両2台を対象に2,048回の検索を実行しており、うち241回は被害者が申し立てた保護命令の有効期間中に行われていました。検索理由の欄には「薬物捜査」と記載されていましたが、被害者はそうした捜査の対象ではありませんでした。
今回の悪用を検知したのは、Flock Safety社が導入を必須化したAI監査ツールです。警察官による異常な検索パターンを自動検出するもので、導入の翌日には巡査が公務員職権濫用などの罪で身柄を拘束されるという速さでした。
Flockをめぐっては、警察官がストーキングに悪用する事例が相次いでおり、処分を受けた警察官は少なくとも47人いるとされています。
AI・テクノロジー
Microsoft PaintとPhotos、ローカル生成のAI画像にも不可視の識別子を埋め込み
MicrosoftのPaintとPhotosが、AI生成画像のピクセルに目に見えないサーバー発行の識別子を埋め込んでいることが、ソフトウェアエンジニアXusheng Li氏のリバースエンジニアリングで明らかになりました。対象には、Copilot+ PCのNPUを使って端末上でローカル生成された画像も含まれます。
MicrosoftはAI画像ツールがオンラインのコンテンツフィルタリングを使いC2PA情報を付与することは文書化していますが、モデレーションサーバーが発行した識別子が不可視の形でピクセルに埋め込まれる点は明確に開示していません。
このGUIDは生成1回ごとに固有で、デバイスやユーザーを永続的に識別するものではないとみられます。
VPN・インターネット規制
Proton調査、米アプリストアのVPNアプリ85%にトラッカー、64本は中国資本
Proton VPNを運営するProtonが、米国のApple App StoreとGoogle Playで配布されている390本のVPNアプリのうち、85%にユーザーデータを収集・共有するトラッカーが含まれ、64本は中国企業の所有だったと発表しました。中国資本64本のうち31本は、シンガポール・香港・英国などに登記したペーパーカンパニーの背後に実際の所有者を隠していました。
ただし、この調査は個別アプリごとの詳細データが公表されておらず、検証手法もExodus Privacyのトラッカー検出と外部のダウンロード推計に依拠しています。
Proton自身がVPN事業者であり、競合の無料アプリを批判する立場にある点も割り引いて読む必要があります。それでも、アプリストアの上位に並ぶ無料VPNの多くが宣伝と正反対の挙動をしているという指摘は、過去の同種調査とも一致しており、無料VPNを選ぶ際は所有者の透明性と独立監査の有無を確認することが欠かせません。
最新のプライバシーニュースは、X（@vpn_taizen）でご確認ください。
