FATF
企業に求められるTPRM（サードパーティ・リスクマネジメント）の対応と課題
本記事ではサプライチェーンリスクマネジメントの観点から、企業がサードパーティリスクを管理するための具体的な取り組みや関連する規制、課題について解説します。OFAC規制や反贈収賄規定、人権デューデリジェンス等、企業が直面する効果的なリスク対策を紹介し、先進事例から実践的なヒントを提供します。
オーストラリアは先月、世界で最も厳しいソーシャルメディア規制の一つとして、16歳未満の若者に対するソーシャルメディアの利用を禁止する法案を可決しました。この法律「Online Safety Amendment (Social Media Minimum Age) Act 2024」（通称「OSA」）は、2024年11月29日に成立し、2025年後半に施行される予定です。(https://www.aph.gov.au/Parliamentary_Business/Bills_Legislation/Bills_Search_Results/Result?bId=r7284)
さて、未成年者のソーシャルメディア利用を制限することについて賛否両論がある中で、この新しいOSA法案はいくつかの興味深い問題を提起しています。これらの問題は、他の国々における規制モデルの先駆けとなる可能性があります。
この記事では以下の点について考えてみましょう。
目次
３．この規制はどのように機能し、そして、どのように回避される可能性があるのか
1.この法律がもたらす結果と影響
第2読会演説（オーストラリア連邦議会の立法プロセスにおける重要なステップ）で、通信大臣は次のように述べました（強調は筆者による）：
この法案は、未成年者を守るための基本的な保護策を確保するために、ソーシャルメディアプラットフォームに責任を負わせています。親や若者自身にその責任を負わせるのではなく、プラットフォーム側が適切な対策を講じることを求めています。
つまり、プラットフォームは、未成年者がアカウントを作ったり保持したりできないようにするためのシステムや設定を導入する責任を負うことになります。もしそれを怠ると、違反と見なされることになります。
「ソーシャルメディアにアクセスすること」ではなく、「アカウントを持つこと」を規制することで、若者を危険から守りつつ、一般の人々にかかる規制の負担を減らそうとしています。
「年齢制限のあるソーシャルメディアプラットフォーム」の定義には、サービスの「主な目的」として2人以上のユーザーがオンラインで交流できることが含まれています。
この定義は非常に広範ですが、この法案は、立法規則を用いることで、範囲を絞ったり、さらに特定の対象を追加したりする柔軟性を持たせています。政府はまず、メッセージング機能、オンラインゲーム、利用者の教育や健康を主な目的とするサービス、そしてYouTubeを規制の対象外とする規則を作ることを提案しています。主要な法律ではなく規則で対応することで、政府は急速に進化するソーシャルメディアの環境に柔軟に対応しようとしているのです。
また、OSAの下で「年齢制限付きソーシャルメディアプラットフォーム」として分類されるプラットフォームがどれになるかは明確ではありません。オーストラリア政府が発行した公式の「OSAに関するファクトシート」（法的拘束力はありません）によれば、以下の条件にあてはまるプラットフォームが「年齢制限付きソーシャルメディアプラットフォーム」として該当するとしています：
- サービスの主な目的、または重要な目的がユーザー同士のオンラインでの交流を可能にしていること
2人以上のユーザーが交流できること - ユーザー同士がリンクしたり、他のユーザーと交流したりできること
- ユーザーにコンテンツを投稿できるようにすること
- さらに、立法規則で定められたその他の条件にあてはまること
政府はまず、メッセージングサービス、オンラインゲーム、利用者の教育や健康をサポートするサービス、そしてYouTubeは規制対象から外すことを提案しています。
オーストラリア政府が発行した公式の「OSAに関するファクトシート」
Facebook、Instagram、Tiktok、4Chan、Tumblr、Snapchat、X（旧Twitter）は、ほぼ確実に規制対象に含まれると見込まれていますが、Reddit、Discord、またはオンラインコミュニティを「主な目的」とする他のプラットフォームがどの程度規制の範囲に入るかは不明です。なお、公式の「ファクトシート」によると、YouTubeやメッセージング、オンラインゲームのプラットフォームは、OSAの規定に基づき規制対象外となる可能性が示唆されています。しかし、YouTubeは「ソーシャルメディア」の主要なプラットフォームであり、広範な（そして悪名高い）コメント機能やチャット機能を備えています。また、多くのオンラインゲームプラットフォーム（例えば、Fortniteや各種MMORPGなど）も非常に充実したチャット機能を持ち、これらは実質的にコミュニティプラットフォームとして利用されている現状があります。
OSAの詳細の多くが規則に委ねられている点も非常に重要です（上記の「OSAに関するファクトシート」引用を参照）。これにより、オーストラリア政府はOSAの詳細や範囲を柔軟に定めることができ、特定のプラットフォームを追加したり削除したりする際に立法過程で求められる議論や公的な審査を避けることができます。
一方、ソーシャルメディアプロバイダーにとっては、コストや収益の側面も重要です。元Googleのデザイン倫理学者であるトリスタン・ハリス氏の有名な言葉「もしあなたがその製品にお金を払っていないのなら、あなた自身がその製品である。」がありますが、16歳未満の若者は、主要なソーシャルメディアプラットフォームにとって非常に収益性の高い「製品」と言えるのです。
2022年1月31日締めの決算で、Facebookオーストラリアはオーストラリア証券投資委員会（ASIC）に2億2460万ドルの収益を報告していますが、オーストラリア競争消費者委員会（ACCC）は実際の収益が年間約40億オーストラリアドルに達すると推定しています（出典：has estimated）。仮にその10%がティーンエイジャーや若年層向けの収益だとすると、年間4億オーストラリアドルの収益に相当します。
ソーシャルメディアプラットフォームは、ユーザーとの「エンゲージメント」（関わり）を基盤に運営されており、収益の大部分は広告（直接的な広告やインフルエンサーを通じた広告など）から得られています。OSAによる規制は、ソーシャルメディアプラットフォームにとって実施に多大なコストがかかるだけでなく、オーストラリアのティーンエイジャーや若年層という重要な市場を失うことにもつながります。そのため、Metaなどのソーシャルメディアを所有する企業は、これらの収益源を補うために新たな方法を探さなければなりません。具体的には、16歳未満のユーザーと接触できる新しいプラットフォームを作ったり、既存のプラットフォームを再活用したりすることが考えられます。こうした新しいプラットフォームは、意図的に「年齢制限付きソーシャルメディアプラットフォーム」の定義から外れるように設計されるでしょう。
2.誰がこの法律に従う義務を負うのか
OSAに違反すると、ソーシャルメディア提供者は最大4950万オーストラリアドル（約48億円）の罰金を科される可能性があります。
この法律は、政府の政策が「DeepPocket」つまり多額の資金やリソースを持つ人や組織をターゲットにしている典型的な例です。未成年者（16歳未満）がソーシャルメディアにアクセスすることを制限する責任を親や法定代理人に負わせるのではなく、サービス提供者にその管理と監視の責任を一手に負わせるのです。システムに問題が生じた場合、罰則を受けるのは提供者のみということになります。例えば、親が子どもに適切なテレビ番組やストリーミングメディアを見せないよう監視する責任を負うのと対照的です。NetflixやDisney+などのストリーミングサービスも、ソーシャルメディアと同様にユーザーのログインが必要ですが、ストリーミングサービスは基本的に有料であるのに対し、ソーシャルメディアは多くの場合無料で提供されているのです。
この法律の遵守がどう機能するかは非常に興味深い問題であり、世界中の規制当局が、この「プロバイダー負担」の体制がどのように進展するか注目しており、遵守にかかるコストは非常に大きくなると予測されています。
３．この規制はどのように機能し、どのように回避されてしまう可能性があるのか
OSAの審議段階で、野党のマット・キャナヴァン上院議員からの質問に対し、法案の作成者たちは、16歳未満のユーザーがソーシャルメディアにアクセスできないようにするためには、オーストラリア国内のすべてのソーシャルメディアユーザーが、ソーシャルメディアを通じてオーストラリア政府に対し重要な個人情報を提供する必要があることを認めました。このように多くの個人情報を一箇所に集めることは、サイバー犯罪者にとって新たな標的となり、深刻なデータ漏洩のリスクを引き起こす可能性があります。そのリスクがどれほど重大になるかは、実際の運用方法に大きく依存しており、詳細はまだ決まっていません。
また、オーストラリア政府は国内のソーシャルメディアにしか管轄権を持っていないため、国外に拠点を置くプラットフォーム（つまり、ほとんどの主要なソーシャルメディア）はどう扱うのかという問題があります。Netflixの地域制限をVPNで回避するのと同様に、VPNを使うことで、ユーザーはあたかも自分がオーストラリア国外からアクセスしているかのように見せかけて、年齢制限を簡単に回避できることはほぼ確実です。
これらの回避策を考え出すには技術的な知識が必要かもしれませんが、皮肉なことに、現代のオンラインソーシャルメディアでは、「ハック」が数日、あるいは数時間で何百万ものユーザーに広まってしまいます（例えば、YouTubeのような規制対象外のプラットフォームで）。
これは、犯罪組織が株式の持ち分を再編成して、UBO（実質的支配者）規制や日本の「犯収法（犯罪収益法）」の監視を回避する手法に似ています。ただし、企業の再編成は複雑で高額な費用がかかるのに対し、個人がOSAの規制を回避するのは、安価で簡単である可能性が高いです。さらに、OSAでは責任がユーザーではなくソーシャルメディアの提供者にのみ課せられるため、ユーザーが規制を回避しても法的な影響はほとんど受けないと考えられます。この「DeepPocketを狙う」というアプローチは、最終的には政府がソーシャルメディアプラットフォームに対して、ユーザーによる回避行為を検出したり防いだりするために、より多くの時間とお金を投資させることが予測できます。
４． 日本にとって、これはどういう意味を持つのか
オーストラリア国民は、子どもの「ソーシャルメディア」利用に制限を設けることを圧倒的に支持しており、この考え方はオーストラリア国内で与野党を問わず広い政治的支持があるようです。日本社会も同様の考えを持っている可能性が高いと思われます。ただし16歳以上のオーストラリアのユーザーが、無料のソーシャルメディアを利用するために、どれほどの個人情報を政府や大手テック企業に提供することになるかは不明です。
日本の消費者は、世界の多くの国と比べてオンラインサービスや政府機関への信頼が高いですが、サイバー犯罪やオンライン詐欺、データ漏洩などの問題が増えてきているため、この信頼が時間とともに減少する可能性もあります。
さらに重要なのは、OSAの「100%提供者負担」方式が、ヨーロッパや日本、その他の国々で導入されているUBO（実質的支配者）やその他のコンプライアンス制度と似ている点です。この方法が、消費者向けの無料サービスにおいて実行可能（あるいは少なくとも政治的に効果的）だと証明されれば、日本のような国でも、企業間取引（B2B）や企業と消費者間の取引（B2C）において、同じような「100%提供者負担」の仕組みが導入される可能性があります。その場合、膨大なコンプライアンスコストが発生し、規制に違反した企業に対して厳しい罰則が科されることで、該当する業界に大きな影響が及ぶことになるかもしれません。
著者のご紹介
ウオリック・マセウス
ウオリック・マセウス(Warwick Matthews)
最高技術責任者 兼 最高データ責任者
複雑なグローバルデータ、多言語MDM、アイデンティティ解決、「データサプライチェーン」システムの設計、構築、管理において15年以上の専門知識を有し、最高クラスの新システムの構築やサードパーティプラットフォームの統合に従事。 また、最近では大手企業の同意・プライバシー体制の構築にも携わっている。
米国、カナダ、オーストラリア、日本でデータチームを率いた経験があり、 最近では、ロブロー・カンパニーズ・リミテッド（カナダ最大の小売グループ）および米国ナショナル・フットボール・リーグ（NFL）のアイデンティティ・データチームのリーダーとして従事。
アジア言語におけるビジネスIDデータ検証、言語間のヒューリスティック翻字解析、非構造化データのキュレーション、ビジネスから地理のIDデータ検証など、いくつかの分野における特許の共同保有者でもある。