I. プライバシー／パーソナルデータ総論（根拠、中身、歴史）
II. ルール
１ 米国憲法・連邦法
A. 米国憲法
B. 連邦法・Healthcare Industry（健康・医療関連情報）
C. 連邦法・Financial Industy（財務・信用関連情報）
D. 連邦法・Education Industy（生徒の教育関連情報）
E. 連邦法・Marketing Industry（マーケティング関連の個人情報）
F. 連邦法・Internet/Child’s Online Privacy（子供のオンラインプライバシー情報） ← ココの話
２ 州憲法・州法
３ その他の米国国内ルール／ソフトロー／ガイドライン
A. FTC法第5条
B. FIPPs
C. …
４ 国際的なルール
A. OECDガイドライン
B. EUデータ保護指令 ＋ Safe Harbor
C. …
III. エンフォースメント
A. 政府によるエンフォースメント
B. 私人によるエンフォースメント（民事訴訟）
米国連邦法は、セクトラル方式であり、財務情報、ヘルスケア情報、教育関連情報、子どものオンラインプライバシー情報等、特定のエリア以外については連邦法がない、と書きました。
これらの個別の連邦法の中で、日本人や日本の企業が提供するウェブサイトにかかってくる可能性が高いのが、子どものオンラインプライバシー情報に関するChildren’s Online Privacy Protection Act、通称COPPAです。
これについて、まとめてみたいと思います。
とても大雑把にいうと、ウェブサイトやモバイルアプリ等のオンラインサービスにおいて、13歳未満の子どもから個人情報を取得する場合には、その取得の前に、親の同意を得なければならない、というルールを持つのがCOPPAです。
規制の対象となるのは、(1)子ども向けオンラインサービスの提供者、又は(2)一般向けのオンラインサービスの提供者のうち、13歳未満から個人情報を取得している現実の認識のある者。
外国企業の運営するウェブサイト等でも、米国の子どもから個人情報を取得する場合には適用され得ます。正確な定義等は後で記載します。
COPPAは、2000年4月に施行され、2013年7月から改正法が施行されています。
以下の4つの事案は、2013年改正COPPAでもエンフォースメントが来たぞ、ということで注目されました。
United States of America (on behalf of the FTC) v. Yelp Inc.
クチコミサイトYelp（注1）は、通常のウェブサイト上では、年齢スクリーニングを行い、13歳未満はアカウント登録ができないようにしており、プライバシーポリシーにも、13歳未満向けではないことを明示していた。しかし、2009年からスタートしたYelpのモバイルアプリへのアカウント登録については、2013年まで年齢スクリーニングをしなかった。その結果、Yelpは、親の同意なく、数千人規模の13歳未満の子供の個人情報（氏名、メールアドレス、プロフィール写真、GPSに基づく位置情報等）を取得した。アカウント登録時には、登録者は必ず生年月日を入力しなければならなかったため、Yelpは13歳未満の子どもが登録していたことについて、現実の認識があったとみなされる、とFTCは主張。
（注1） サンフランシスコ生まれの、食べログみたいなレビューサイト。レストランだけでなく、公共施設等を含む全てのローカルビジネスについてクチコミとランク付け（満点は5つ星）ができ、例えば、税務署などについて、「待たされ過ぎ。しかも窓口の対応がクソ」などと書かれていることもある（が、「知ってた」となる）。
Yelpは、45万ドルの民事制裁金の支払、取得した子ども（登録時に13歳未満の者）の個人情報の削除、FTCに対するコンプライアンスレポートの提出、以後10年間COPPA遵守の証明に必要な記録の作成（保管義務5年）等を受け入れて和解にて終結（2014年9月）。
United States of America (on behalf of the FTC) v. TinyCo, Inc.
携帯アプリ開発会社TinyCoは、複数の子ども向け無料アプリ（注2）を販売していたが、2011年以降、親の同意なく、多数の13歳未満の子どもらからメールアドレスを取得していた。
（注2） アプリ内でアイテムを購入することができた。また、Eメールアドレス登録者にはアプリ内で使用できる通貨を提供していた。どんなアプリだったかはコチラから見られます。
TinyCoは、30万ドルの民事制裁金の支払、取得した子どもの個人情報の削除、FTCに対するコンプライアンスレポートの提出等を受け入れて和解にて終結（2014年9月）。
以上の2つはFTC（連邦取引委員会）によるエンフォースメントですが、各州の司法長官にも、一定のCOPPAのエンフォースメント権限があります。
昨年6月にはメリーランド州で、Snapchatに対して、おととしの11月にはニュージャージー州でDokogeoという携帯アプリ会社に対して、州によるCOPPAエンフォースメントがなされています。
これらは、携帯アプリを介した個人情報取得に対するエンフォースメントだという点で共通しています。業界では「アプリ要注意」の空気が感じられます。
COPPAの概要 （主にFTCのコチラのページをもとにしています。日本語の用語はコチラを参考にしました。）
以下、ルールの概要です。
■対象者
(1) 13歳未満の子ども向け営利的ウェブサイト及びオンラインサービス（アプリ含む）（注3）のオペレータで、子どもから（注4）個人情報を取得、使用又は第三者開示を行う者；又は
(2) 一般向けのウェブサイト又はオンラインサービスのオペレータで、13歳未満の子どもから直接個人情報を取得、使用又は第三者開示を行っていることにつき現実の認識のある者（注5）
（注3） オンライン以外の情報取得は対象外です。非営利団体も基本的に適用外です。また、オンラインサービスは、インターネットを介して提供されるいかなるサービスをも広く含みます。例えば、オンラインゲーム、ソーシャルネットワーキング、Eコマース、オンラインアドの配信、他のオンラインコンテンツとの連携を含みます。
（注4） 子ども「からの」情報取得が対象となっており、子どもの情報を大人から取得する場合には基本的に適用されません。例えば、少年野球チームのコーチが、チームの写真をアップロードする場合には適用はありません。
（注5） 他のウェブサイトのユーザー又はオンラインサービスにおいて直接個人情報を取得していることにつき現実の認識のあるウェブサイト又はオンラインサービス、例えば自社以外のウェブサイトに広告を出しているアド提供者にも適用されます。
■対象者の義務
(1) プライバシーポリシーの掲示義務（注6）
(2) 事前の親への通知義務
個人情報取得前に、検証可能な親の同意を得るための、親に対する直接の通知を行う義務
(3) 親に対して選択権を与える義務
親に対し、オペレータの個人情報取得と内部的使用は同意しながら、第三者開示を禁止する選択を与える義務（第三者開示がウェブサイト又はサービスの不可欠な要素となっている場合は除くが、その場合でもその旨親に明示する義務アリ）
(4) 親に対してアクセスを与える義務
親に対し、子どもの個人情報を閲覧し、and/or 削除するためのアクセスを与える義務
(5) 親に対して同意の撤回の機会を与える義務
親に対し、子どもの個人情報の以後の使用と取得をストップさせる機会を与える義務
(6) セキュリティ維持義務
子どもから取得した個人情報の秘密性、セキュリティそして完全性を維持する義務（秘密性とセキュリティを維持できる第三者にのみ個人情報を提供するための合理的手段をとることを含む）
(7) 必要最低限の情報のみを蓄積する義務
取得した個人情報を、取得の目的のために必要な範囲を超えて蓄積しない義務、不正アクセス又は不正使用されない合理的な方法により情報を削除する義務
（注6） 筆者の理解では、米国では、個別の法律がない限り、一般的なプライバシーポリシーの掲示義務はありません。
■個人情報の定義
・氏名
・住所
・オンラインコンタクト情報（Eメールアドレス等）
・オンラインコンタクト情報として機能するスクリーンネーム、ユーザーネーム（注7）
・電話番号
・ソーシャルセキュリティ番号
・時の経過とともに、又は他のウェブサイト・オンラインサービスから得られる情報と合わせることによって、ユーザーを特定するために使用される永続的識別子（注8）（注9）
・写真、ビデオ、オーディオファイル（子どもの画像や声を含むもの）
・位置情報（具体的な住所を特定できるもの）（注10）
・オペレータが子どもまたはその親から取得した情報で、上に挙げた情報と組み合わせて使用するもの
（注7） メールアドレスをユーザーネームとして使用する場合に限らず、プロフィール写真等も含まれます。
（注8） クッキー内の顧客番号、IPアドレス、端末シリアル番号、端末固有識別子も、ユーザーを特定するために使用され得るのであれば、他の個人情報と組み合わされなくても、永続識別子に含まれます。
（注9） 永続識別子には、例外があります。後で詳細を書きますが、永続識別子以外の個人情報を一切取得しない場合で、かつ、内部的オペレーションのみに用いる場合です。例えばIPアドレスを単なるアクセス解析に用いるような場合などがこれに該当すると思われます。
（注10） 子どもに対して、位置情報通知を「オフ」にする選択を提供しても、無効です（親への通知が必要）。また、ストリートアドレスを特定できない郵便番号レベルの粗い位置情報はこれに含まれません。緯度経度情報は基本的に含まれます。
（続く）
★ ← もしこのまま優勝したら、彼がMVP取っちゃうかもしれませんね！