GDPR、CCPA、クッキー法：あなたとモバイルアプリへの意味

Adaloでアプリを開発する方々——Adaloはデータベース駆動のウェブアプリとネイティブiOS・Androidアプリを1つのバージョンで構築し、Apple App StoreとGoogle Playに公開できるノーコードアプリビルダーです——にとって、ユーザーデータを収集するアプリをリリースする前にこれらの法的要件を理解することは必須です。

このガイドでは、米国・EU規制から実際の実装ステップまで、モバイルアプリのプライバシーコンプライアンスについて知っておくべきすべてを解説します。

モバイルアプリの一般的な法的要件

世界中のプライバシー法は、個人データを処理するアプリに共通の要件を課しています。以下を満たす必要があります：

• 包括的なプライバシーポリシーを通じて、データ処理活動に関する情報を開示すること
• 個人データを保護する有効なセキュリティ対策を確保すること
• ユーザーの同意を受け取る方法や、同意を撤回する方法を実装すること

同意とは、特定のイベントやプロセスに参加することへの、個人による自発的かつ情報に基づく合意を指します。チェックボックス、テキストフィールド、トグルボタン、確認メールの送信など、ユーザーが積極的かつ検証可能な行動を取ることを必要とする任意の方法で取得できます。

一般的に、ユーザーには以下の情報が通知される必要があります：

• アプリオーナーの詳細情報および連絡先
• プライバシーポリシーの発効日
• ポリシー変更の通知プロセス
• 収集されるデータの内容とその理由
• 第三者によるデータへのアクセス（第三者が誰で、どのデータを収集しているか）
• アクセス、修正、削除を含む自分のデータに関する権利

これらの要件は、アプリの構築方法に関わらず適用されます。AdaloのAIアシスト構築ツールを使用している場合も、従来の開発方法を使用している場合も、法的義務は同じです。

米国、EU、国際：適用法の特定方法

一般的に、特定の地域の法律は以下の場合に適用されます：

• その地域で事業を展開している場合
• その地域に拠点を置く処理サービスやサーバーを使用している場合
• サービスがその地域のユーザーを対象としている場合

これは実質的に、その地域に所在しているかどうかにかかわらず、地域の規制があなたやあなたのビジネスに適用される可能性があることを意味します。そのため、データ処理活動を最も厳格な適用規制を念頭に置いて行うことが常に推奨されます。

簡単なルールとして：

• 準拠法：事業を展開している国の法律と、アプリの対象となる国の法律に準拠すること
• 書類の言語：法的書類はアプリと同じ言語で記載し、ユーザーが理解できるようにすること

Adaloで300万以上のアプリが作成され、ユーザーがグローバル市場に広がる中、ほとんどのアプリ開発者は米国とEUの両方の規制を考慮する必要があります。各主要要件を見ていきましょう。

米国法：CalOPPAとCCPA

米国では現在、データ規制に関する包括的な連邦法は存在しません。様々な州法、業界ガイドライン、特定の連邦法が複雑な要件を形成しています。オンラインのアプリ活動が1つの州に限定されることはほとんどないため、カリフォルニア州のような最も厳格な適用規制に従うことが常に最善です。

カリフォルニア州オンラインプライバシー保護法（CalOPPA）

CalOPPAはプライバシーポリシーを義務付けた最初の州法です。カリフォルニア州居住者の個人データを処理するウェブサイトやアプリを持つすべての個人または企業に適用されます。上記の一般的に必要な開示事項に加え、CalOPPAでは以下が必要です：

• ウェブサイト/アプリのホームページにプライバシーポリシーを掲載すること
• ユーザーが個人データの変更を要求できるプロセスの説明を含めること（そのようなプロセスが存在する場合）
• 「Do Not Track（追跡拒否）」リクエストの処理方法に関する声明を含めること
• データに影響するセキュリティ侵害が発生した場合、影響を受けるユーザーに通知すること

同意に関して、米国法は一般的にユーザーに同意を撤回するための明確なオプション（オプトアウト）を提供することを要求しています。ただし、健康情報、信用報告書、学生データ、または13歳未満の子どもの個人情報などの「センシティブデータ」が関わる場合は異なるルールが適用されます。その場合、チェックボックスをクリックするなどの検証可能なオプトインアクションが必要です。

カリフォルニア州消費者プライバシー法（CCPA）

CCPAはCalOPPAを補完しますが、置き換えるものではありません——両方が引き続き適用されます。2020年7月1日から完全施行されたCCPAは、カリフォルニア州居住者の消費者プライバシー権を強化します。

CCPAの下で、カリフォルニア州の消費者を対象とする事業者はプライバシーポリシーに特定の開示事項を含める必要があります：

• 消費者の権利の説明
• 処理パートナーとその目的
• データのソースと収集されるカテゴリ
• データの販売または共有に関する情報

カリフォルニア州のユーザーには、自分のデータが販売される可能性について通知される必要があります。ここでの「販売」とは「金銭的またはその他の利益のために第三者と共有すること」と考えることができます。この開示はホームページから見える位置に配置し、オプトアウト（DNSMPI）リンクを含める必要があります。

CCPAの詳細はこちらをご覧ください。

EU法：GDPRとePrivacy指令（クッキー法）

GDPRは個人データを合法的に処理する方法を規定しており、会社がEUに拠点を置いているかどうかにかかわらず適用される場合があります。アプリがEUユーザーに使用される場合（またはEUに拠点を置く場合）、GDPRが適用されます。

GDPRの同意要件

米国の規制と比較して、GDPRは同意に関してより厳格です。GDPRの下では、同意は「明確かつ自由に与えられた」ものでなければなりません。これは、同意を取得するメカニズムが明確で、明示的な「オプトイン」アクションを含む必要があることを意味します。この規制は、事前にチェックされたボックスや類似の「オプトアウト」メカニズムを明確に禁止しています。

GDPRの詳細はこちらをご覧ください。

ePrivacy指令（クッキー法）

EUユーザーにはクッキーの使用について通知し、同意するか拒否するかの選択肢を与える必要があります。ePrivacy指令は、ユーザーのデバイスにクッキーを保存し追跡する前に、ユーザーの informed consent（インフォームドコンセント）を要求しています。アプリ（またはアプリが使用する第三者サービス）がクッキーを使用する場合、インストール前に有効な同意を取得する必要があります。

これはあらゆるプラットフォームで構築されたアプリに適用されます。AdaloアプリをApp StoreとGoogle Playに公開する際、これらのクッキー同意要件は両方のストアに公開されたアプリにも引き続き適用されます。

プライバシーポリシーの要件

ほとんどの国の法律では、プライバシーとデータ処理活動に関する詳細を開示することが義務付けられています。モバイルアプリも例外ではなく、プライバシーポリシーを提供する必要があり、クッキーや類似のトラッキング技術を使用する場合はクッキーポリシーも必要です。

コンプライアンスを確保するには、ポリシーが以下の条件を満たす必要があります：

• 最新のデータ慣行を反映していること
• 平易な言語でわかりやすいこと
• 収集するデータとその理由について明確であること
• アプリ全体で簡単にアクセスできること

準拠法によっては、ユーザー、第三者、監督当局への追加的な開示についても責任を負う場合があります。

プライバシーポリシーなしでは、App Storeからの拒否リスクがあります

Apple App StoreとGoogle Playはどちらも、アプリに有効なプライバシーポリシーがあり、適用法に従っていることを要求しています。これを怠ると、多額の罰金、App Storeからの拒否、訴訟リスク、そしてアプリの信頼性への悪影響を招く可能性があります。

これは特に、単一コードベースから両方のApp Storeに直接公開するAdaloのようなプラットフォームを使用する開発者にとって重要です。プライバシーポリシーは、AppleとGoogleの要件を同時に満たす必要があります。

iOSアプリのプライバシー要件

App Store Connectは、すべての新規アプリとアップデートにプライバシーポリシーを要求しています。AppleのApp Store審査ガイドライン第5.1条では、Appleのプライバシーガイドラインとこれらの条件が満たされない場合の拒否根拠の概要が記載されています。

データ収集と保存に関する第5.1.1条では以下が規定されています：

（i）プライバシーポリシー：すべてのアプリは、App Store Connectのメタデータフィールドおよびアプリ内の簡単にアクセスできる場所にプライバシーポリシーへのリンクを含める必要があります。プライバシーポリシーは明確かつ明示的に以下を行う必要があります：

• アプリ/サービスが収集するデータ（もしあれば）、その収集方法、およびすべての使用目的を特定すること
• 分析ツール、広告ネットワーク、サードパーティSDK、ならびに親会社、子会社、その他の関連エンティティなど、アプリがユーザーデータを共有する第三者が、アプリのプライバシーポリシーに記載されているものと同等以上のユーザーデータ保護を提供することを確認すること
• データの保持/削除ポリシーを説明し、ユーザーが同意を撤回したり、データの削除を要求したりする方法を説明すること

アプリのプライバシーポリシーリンクまたはテキストは、アプリの新しいバージョンを提出する際にのみ編集可能です。有料プランで無制限のアプリ更新が含まれるAdaloでは、プライバシー慣行が変更された際にいつでも修正して再公開できます。

iOSアプリのプライバシーポリシーについての詳細はこちらをご覧ください。

Androidアプリのプライバシー要件

Google Playは、以下の場合にプライバシーポリシーへのリンクをアプリのストアリストページおよびアプリ内に表示することを明示的に要求しています：

• アプリがユーザーデータポリシーで定義されている個人または機密性の高いユーザーデータを処理する場合（個人を特定できる情報、金融・決済情報、認証情報、電話帳または連絡先データ、マイクおよびカメラセンサーデータ、機密デバイスデータを含む）
• アプリが「ファミリー向け」プログラムに参加している場合（センシティブな権限またはデータへのアクセスに関わらず）

ただし、プラットフォーム要件とは別に、カリフォルニア州のCalOPPA、CCPA、GDPRを含む大多数の法律において、プライバシー通知はGoogleの特定の義務に関わらず法的に要求されることに注意することが重要です。

Androidアプリがその機能に関係のない理由で個人データを処理する場合、この使用についての追加の明確に見える開示を行い、必要に応じてユーザーの同意を収集する必要があります。

Androidアプリのプライバシーポリシーについての詳細はこちらをご覧ください。

クッキー、トラッカー、類似技術

多くのアプリ開発者は、使用統計からリターゲティング広告まで、アプリ内またはアプリのウェブサイトを通じてクッキーを使用しています。非適用除外クッキー（統計、広告、またはプロファイリングクッキー）を使用し、EUベースのユーザーがいる場合、ePrivacy指令とGDPRの下で法的要件を遵守することが——AppleやGoogleなどの法律遵守の第三者によっても——要求されています。

クッキー法は、ユーザーのデバイスにクッキーを保存したり追跡したりする前に、ユーザーのインフォームドコンセントを必要とします。EUベースのユーザーがいて、アプリ（またはアプリが使用する第三者サービス）がクッキー、トラッカー、類似のトラッキング技術を使用する場合：

• ユーザーにデータ収集活動について通知し、それが許可されるかどうかを選択するオプションを提供する必要があります
• それらのクッキーをインストールする前にインフォームドコンセントを取得する必要があります

クッキー関連要件の実践

以下が必要になります：

• クッキーポリシーを提供すること
• ユーザーの最初のアクセス時にクッキーバナーを表示すること
• ユーザーの同意を得る前に非適用除外クッキーをブロックすること（インフォームドコンセントが提供された後にのみリリースすること）

一般的に、有効なクッキーポリシーとクッキー同意管理ソリューションを整備する必要があります。

クッキーポリシーの要件

クッキーポリシーには以下が必要です：

• インストールされるクッキーの種類（統計、広告など）を示すこと
• クッキーのインストール目的を詳細に説明すること
• クッキーをインストールまたはインストールする可能性のあるすべての第三者を、それぞれのポリシーへのリンクおよびオプトアウトフォームとともに示すこと
• サービスが提供されるすべての言語で利用可能であること

クッキーバナーの要件

クッキーバナーは以下を行う必要があります：

• アプリが使用するクッキーについてユーザーに通知すること
• それらのクッキーを実行する前にユーザーの同意を求めること（どのアクションが同意を意味するかを明確に示すこと）
• 目立つよう十分に目立たせること
• 様々なクッキーカテゴリの目的と関与する第三者を説明するクッキーポリシーへのリンクを含めること

同意前の非適用除外クッキーのブロック

GDPRとePrivacyの下でインフォームドオプトインまたは事前同意が要求されるため、「同意する」ボタンをクリックするなどの積極的なアクションを通じてユーザーが同意するまで、非適用除外クッキーをブロックするメカニズムが必要です。同意前は、適用除外クッキーを除き、クッキーをインストールすることはできません。

また、サードパーティの広告を掲載することでアプリを収益化している場合は、参加する広告ネットワーク全体でユーザーの同意を設定し、消費者の同意を伝達することができるIABの透明性と同意フレームワークを活用することで業界標準を満たすことを検討してください。これを怠ると、広告ネットワークへのアクセスが制限され、最終的に広告収益が減少する可能性があります。

子ども向けアプリの特別要件

アプリが13歳未満の子どもの個人情報を意図的に収集、使用、または開示する場合、米国法とEU法を含む大多数の法律の下で遵守が求められる特別なガイドラインがあります。

米国：COPPAの要件

児童オンラインプライバシー保護法（COPPA）は、13歳未満の子どもの個人データと権利を保護する米国連邦法です。COPPAの下で、13歳未満の子どもを対象とするウェブサイトやオンラインサービスの運営者（または13歳未満の子どもから個人情報を収集していることを実際に知っている者）は以下を行う必要があります：

• 保護者に通知すること
• 個人情報を収集、使用、または開示する前に検証可能な同意を取得すること
• 子どもから収集した情報を安全に保管すること

「検証可能」とは、子どもが容易に偽ることができず、成人によって与えられる可能性が実証できる同意取得方法を使用することを意味します——例えば、確認の質問やクレジットカード認証など。

この法律の中心的な要件は、COPPA準拠のプライバシーポリシーを整備することです。

EU：子ども向けGDPR要件

EU GDPRの下では、同意は子どものデータを処理するための合法的な根拠の1つです。13歳未満の子どものデータ処理のためにこの根拠を使用する場合、サービスが予防またはカウンセリングサービスでない限り、保護者または後見人から検証可能な同意を取得する必要があります。

同意を与える人物が実際に子どもの親権を持っていることを（利用可能な技術を使用して）合理的な努力で検証する必要があります。さらに、13歳以上の子どもを対象とする場合、子どもたちが何に同意しているかを理解できるよう、明確で年齢に適したプライバシー通知を書く必要があります。

子ども向けアプリの法的要件についての詳細はこちらをご覧ください。

数分でアプリをコンプライアンス対応にする方法

アプリのプライバシーポリシーを作成し、クッキー同意を処理することは大変な作業になりえます。iubendaのソリューションが役立ちます：プライバシーポリシージェネレーターとクッキー管理ソリューションは、複数の法律とアプリプラットフォーム要件への準拠を容易にします。

ソリューションの特長：

• 独立した開発者や小チームにも手頃な価格
• 国際的な法律チームによって作成
• 特定のデータ慣行に完全にカスタマイズ可能
• 8言語に対応
• COPPA、CCPA、GDPRなど主要なグローバル法律に常に最新の対応

GDPR、CCPA、ePrivacy、主要なApp Store要件を満たすためのプライバシーポリシー生成とクッキー同意管理のためにiubenda.com/en/mobileをご覧ください。

Adaloでプライバシーコンプライアンスアプリを構築する

Ada（AdaloのAIビルダー）は、説明するだけでアプリを生成します。Magic Startは説明からアプリの完全な基盤を作成し、Magic Addは自然言語で機能を追加します。

AdaloのAI搭載アプリビルダーは、最初からアプリにプライバシーコンプライアンスを組み込むことを容易にします。Magic Startでは、説明から完全なアプリ基盤を生成できます——同意管理をサポートするユーザー認証フローを含めて。Magic Addでは「プライバシーポリシー同意画面を追加する」などの必要な機能を説明するだけで、プラットフォームが必要なコンポーネントを生成します。

プラットフォームのモジュラーインフラは月間数百万人のアクティブユーザーのアプリをサポートするためにスケールし、有料プランではデータベースレコードに上限がありません。これにより、プライバシー同意記録、ユーザー設定、コンプライアンスログをストレージ制限なく管理できます——他のプラットフォームでは一般的な制約です。

使用量やデータベースレコードに基づいて課金するプラットフォームとは異なり、Adaloの有料プランには使用量に制限のない無制限使用が含まれており、料金の急増はありません。ユーザーベースが成長してより多くの同意レコードが生成されても予期しない料金は発生しません。

アプリを新たな高みへ引き上げたいが、どこから始めればよいかわからない場合は、アプリの構築、デバッグ、コンプライアンス要件の確保を支援できる世界クラスのAdaloエキスパートチームの助けを借りましょう。エキスパートから1対1のコーチングを受けて問題を解決することもできます——詳細を見る。

重要ポイント

• プライバシーポリシーは必須——ほとんどの法域でApp Store承認と法的コンプライアンスに必要です
• 最も厳格な適用法に従う——米国とEUの両方のユーザーを対象とする場合、GDPRのオプトイン要件を基準にすべきです
• クッキー同意には事前ブロックが必要——ユーザーが積極的に同意するまで非適用除外クッキーを実行することはできません

よくある質問

他のアプリ構築ソリューションではなくAdaloを選ぶ理由は？

AdaloはAI搭載のアプリビルダーで、真のネイティブiOSおよびAndroidアプリを作成します。ウェブラッパーとは異なり、ネイティブコードにコンパイルし、単一のコードベースからApple App StoreとGoogle Play Storeの両方に直接公開します——アプリ起動の最も難しい部分が自動的に処理されます。有料プランにはデータベースレコードが無制限で含まれ、使用量に基づく料金はありません。

App Storeにアプリを構築・公開する最も速い方法は？

Adaloのドラッグ＆ドロップインターフェースとAIアシスト構築ツールにより、アイデアから公開済みアプリまで数ヶ月ではなく数日で達成できます。Magic Startは説明から完全なアプリ基盤を生成し、プラットフォームが複雑なApp Store提出プロセスを処理するため、証明書やプロビジョニングプロファイルではなく機能に集中できます。

アプリをプライバシー法に法的に準拠させるのは簡単ですか？

はい。Adaloはiubendaなどのソリューションと統合し、プライバシーポリシーの生成とクッキー同意の管理を支援します。法的専門知識なしでGDPR、CCPA、CalOPPA、App Storeガイドラインの要件を満たせるようにします。

モバイルアプリにプライバシーポリシーは必要ですか？

はい、Apple App StoreとGoogle Playの両方がアプリに有効なプライバシーポリシーを必要としています。プラットフォーム要件の他に、CalOPPA、CCPA、GDPRなどの法律が個人データを収集するアプリのプライバシーポリシーを法的に義務付けています。準拠したプライバシーポリシーがなければ、App Storeからの拒否、法的罰金、アプリの信頼性への損害のリスクがあります。

米国とEUのプライバシー法要件の違いは何ですか？

CalOPPAやCCPAなどの米国法は一般的にオプトアウト同意メカニズムとデータ慣行に関する特定の開示を要求しています。EUのGDPRはより厳格で、チェックボックスのクリックなど明確な積極的アクションによる明示的なオプトイン同意を要求しています。アプリが両地域のユーザーを対象とする場合、あらゆる場所でのコンプライアンスを確保するためにより厳格なGDPR要件に従ってください。

アプリにクッキー同意管理は必要ですか？

アプリがクッキー、トラッカー、または類似技術を使用し、EUベースのユーザーがいる場合、ePrivacy指令（クッキー法）とGDPRに準拠する必要があります。これはクッキーバナーの表示、非適用除外クッキーをインストールする前のインフォームドコンセントの取得、収集するデータとその理由を説明する詳細なクッキーポリシーの提供を意味します。

アプリが子どもに使用される場合、どのような特別要件が適用されますか？

アプリが13歳未満の子どものデータを収集する場合、米国ではCOPPA、EUではGDPR条項に準拠する必要があります。どちらも子どものデータを収集する前に、子どもが容易に偽ることができない方法を使用して検証可能な親の同意を取得することを要求しています。COPPA準拠のプライバシーポリシーと年齢に適したプライバシー通知も必要です。

アプリをプライバシーコンプライアンス対応にするのにどのくらい時間がかかりますか？

iubendaのプライバシーポリシージェネレーターなどのツールを使用すると、数分で準拠したプライバシーポリシーを作成できます。クッキー同意管理の実装には少し時間がかかりますが、通常は半日で完了できます。重要なのは早期に始めることです——最初からコンプライアンスをアプリに組み込む方が、後から追加するよりも簡単です。

アプリがプライバシーに準拠していない場合はどうなりますか？

非準拠の場合、App Storeからの拒否でアプリがユーザーに届かなくなる可能性があります。それ以上に、GDPR違反は年間総売上高の4%または2,000万ユーロの罰金が科される可能性があります。CCPA違反には意図しない違反に対して2,500ドル、意図的な違反に対して7,500ドルの罰金が科されます。プライバシー侵害による評判へのダメージも同様にコストがかかる可能性があります。

プライバシー要件はウェブアプリとネイティブモバイルアプリで異なりますか？

法的要件は本質的に同じです——GDPR、CCPAなどのプライバシー法はプラットフォームに関わらず適用されます。ただし、App StoreとGoogle Playに公開されるネイティブモバイルアプリは追加のプラットフォーム固有の要件に直面します。AppleとGoogleはどちらもプライバシーポリシーを義務付けており、承認のために満たす必要があるデータ収集開示に関する独自のガイドラインを持っています。