EUがVPNを「法の抜け穴」と認定、年齢確認の死角に踏み込む
欧州議会調査局がVPNを「塞ぐべき法の抜け穴」と位置づけた。子供保護の名のもとに、プライバシー保護の最後の砦がいま規制対象として俎上に載せられようとしている。
「塞ぐべき抜け穴」と名指しされたVPN
欧州議会調査局（European Parliamentary Research Service、EPRS）が今年1月に公表したブリーフィング文書のなかで、VPN（仮想プライベートネットワーク）をオンライン年齢確認制度の「法の抜け穴」と明確に位置づけ、その対応を促した。文書は欧州議会の議員と職員向けに作成された政策資料で、執筆はEPRSのMar Negreiro氏。EPRSは5月6日、文書の要点をXで発信し、各国メディアの注目を集めた。
EPRSの文書は淡々とした体裁を取りつつ、その中身は明確に方向性を持っている。VPNが年齢確認を回避する手段として急速に広がっている現状を「塞ぐ必要がある法の抜け穴」と表現し、VPNサービス自体に年齢確認を義務付けるべきだとする声を紹介している。
英国のオンライン安全法（Online Safety Act）が本格施行された2025年以降、英国のアプリストアでは無料アプリの上位10本のうち半数がVPNサービスで占められる事態が起きていた。あるVPN事業者の開発元は、施行直後の1ヶ月でダウンロード数が 1800%急増 したと報告している。
EPRSはこの数字を「規制の意図が回避されている証拠」として扱った。
VPNが守ってきたものの正体
VPNは1990年代半ば、企業の遠隔勤務を安全に行うための技術として生まれた。インターネット通信を暗号化し、IPアドレスを隠してリモートサーバー経由で接続するというシンプルな仕組みだ。
その用途は時とともに広がった。企業の業務利用に加え、ISPによる通信追跡からの保護、広告事業者の追跡回避、サイバー犯罪者からの防御、そして権威主義国家における検閲回避まで。EPRSの文書自身も、VPNが「情報の自由とデジタル包摂を支える」役割を果たしていることを認めている。
問題は、同じ技術が 地理的制限の回避 にも使える点にある。年齢確認を導入した国の住民が、その制限がない国を経由してアクセスする──VPNの仕組みからすれば、それは年齢確認を「破る」のではなく、単に別の国からアクセスしているのと区別がつかない。
ここに規制当局の苛立ちがある。法律で網を張っても、技術的にすり抜けられてしまう。だから網の方を強化したい、という発想だ。
EPRS文書の核心は、VPNを「規制の対象とすべき技術」として枠づけた点にある。これまでVPNは「規制の道具」ではなく「規制をすり抜ける道具」として議論されてきたが、EUの政策資料が転換点を文書化した形になる。
「子供のため」と「全員の匿名性」のトレードオフ
イングランドの子どもコミッショナー、レイチェル・デ・スーザ氏は2025年10月の報告書で、VPNを成人専用にすべきだと主張していた。BBC Newsnightでも「VPNへの年齢確認は絶対に必要だ。それは塞ぐべき抜け穴だ」と発言している。EPRS文書はこの英国側の議論を、EU圏の政策論議に組み込もうとしている。
ここで立ち止まる必要がある。VPNに年齢確認を義務付けるとは、具体的に何を意味するのか。
VPNを使うすべての人が、サービスに登録する時点で身分証明書か顔認証を提供することになる。匿名性を求めてVPNを使う人にとって、これは矛盾そのものだ。匿名性ツールへの身元提示 が要件化されることは、サービスの存在理由そのものを掘り崩す。
スウェーデンのVPN事業者Mullvadは、英国のVPN規制議論に対し「年齢確認ではなく、実質的には身元確認だ」と指摘している。Mullvadは数字IDだけで登録できる匿名性を売りにしてきた事業者で、身分証の提出が義務化されればその事業モデルは成立しなくなる。
Protonの創業者でCEOのアンディ・イェン氏は4月、世界各国で進む年齢確認義務化を「オンライン上の匿名性の死」と表現した。年齢確認のために集積される身分証データは、ハッカーにとって魅力的な攻撃対象になる。Discordは2025年10月、年齢確認業務を委託していた第三者業者から約7万枚の政府発行身分証画像が漏洩したと公表した。
「子供を守るため」という目的そのものに反対する人はほとんどいない。だが、その手段として全ユーザーの匿名性を解体する必要があるのか──ここが論点として浮上している。
規制のうねりは欧州だけではない
EPRSが文書を公表した時期と前後して、各地で同様の動きが進んでいる。米ユタ州では今月6日、SB 73（オンライン年齢確認改正法）が施行された。
SB 73は米国で初めて、年齢確認の文脈でVPN利用を明示的に対象とした州法だ。条文の核心は、ユーザーの位置を「IPアドレスではなく 物理的な所在地 」で定義する点にある。VPNやプロキシでIPを隠しても、ユタ州内に物理的にいる限りユタ州のユーザーとして扱われ、ウェブサイト側は年齢確認の義務を負う。違反すれば1件あたり2500ドル（約39万円）から、累犯で5000ドル（約78万円）の制裁金が科される。
電子フロンティア財団（EFF）はこの法律を「技術的なモグラ叩き」と呼び、修正第一条違反を指摘している。SB 73は対象サイトがVPNの使い方を説明することすら禁じており、合法な技術についての真実な情報の流通を州が制限する構造になっているからだ。NordVPNは「解決不能なコンプライアンス・パラドックス」と批判した。
施行直後にはアダルトコンテンツ事業者がユタ州を提訴し、州側はVPN関連条項の執行を9月まで停止することに合意している。
法律が施行された当日に係争入りした事実は、この種の規制が技術的にも憲法上も成立しにくいことを示している。それでも州議会は法案を通した。「効果があるか」より「規制した姿勢を見せたか」が政治的に重要だった、という見方もできる。
英国の状況はさらに深刻だ。先月成立した児童福祉・学校法（Children's Wellbeing and Schools Act）の枠組みのなかで、政府はVPNを含む年齢制限の拡大を協議している。今月5日、Mozilla、Mullvad、Proton、Tor Project、EFF、ExpressVPN、Tutaなど19の組織が連名で公開書簡を公表し、英国議会に「開かれたウェブを損なうな」と訴えた。
書簡の論旨は明確だ。年齢確認の対象が静的なウェブサイトやVPN、ゲームにまで広がれば、それは子供保護を超えて ネット構造そのものへの介入 の規模になる。署名団体は、現在の年齢確認技術が「不十分に不正確、プライバシー侵害的、または広く利用可能でない」と指摘した。
検証手法の進化と、規制側の自覚
興味深いのは、EPRS文書自体が現在の年齢確認システムの限界を率直に認めている点だ。
文書はフランスで実装されている「ダブルブラインド」方式を紹介している。これは年齢確認サービス側がユーザーが訪問するウェブサイトを知らず、ウェブサイト側がユーザーの個人情報を知らない仕組みだ。プラットフォームは「このユーザーは年齢要件を満たす」という事実だけを受け取り、確認サービス側は「誰のために確認したか」を知らない。
カリフォルニア州が採用したデバイス側年齢確認も挙げられている。デバイスのセットアップ時に保護者がユーザーの年齢を申告し、その情報を暗号化したシグナルとしてアプリに渡す方式だ。アプリ側はユーザーの実年齢を知る必要がなく、年齢区分のシグナルだけで対応できる。
これらの仕組みが機能するなら、VPNを規制しなくても子供保護の目的は達成できるかもしれない。EPRS文書はその可能性を認めながら、同時にVPN規制も検討対象に入れている。
ダブルブラインド方式は、年齢確認サービスとアダルトサイトの双方が「ユーザーの素性」と「閲覧先」を結びつけられない構造を持つ。技術的には実装可能で、フランスでは2025年4月以降、対象事業者にこの方式の導入が求められている。VPNを規制する代わりにこの方式を広げる選択肢は、政策議論のテーブルにすでに乗っている。
規制側にとって便利な手段 が常に存在することと、その手段が必要であることは別の話だ。VPN規制は実装コストが低く、政治的に「やった感」を出しやすい。だが匿名性の対価としては、あまりに大きすぎる。
残された問い
EPRS文書の最後の段落は、EUのサイバーセキュリティ法の改正において「VPNの悪用を防ぐ児童保護要件」が導入される可能性に言及している。これは予言ではなく観測で、EPRSが議員に対して「こういう法律が今後出てくるだろう」と知らせる役割の文書だ。
イェン氏が言うように、世界各国の規制が同じ方向に動いている。英国、フランス、ユタ州、ウィスコンシン州（VPN禁止条項は土壇場で削除）、ミシガン州、オーストラリア──それぞれが異なる文脈で、しかし類似のゴールに向かっている。
Mullvadは「年齢確認ではなく、実質的には身元確認だ」と公式に表明している。VPNが守ってきた「IDなしで通信を保護する」という原則が崩れる瞬間、それはVPN事業の根幹が消えることを意味する。
Mullvadが訴えたように、VPN規制は実質的に身元確認制度の導入だ。子供を守るためにすべての大人が 身元を晒さなければならない世界 が、政策論議の現実的な選択肢として浮上している。
EPRSの文書はその扉を、政策決定者に向けて開いた。扉をくぐるかどうかの判断は、各国の議会と裁判所に委ねられている。子供のためという旗印は、いつから万能な切り札になったのだろうか。
参照元
- EPRS公式ブリーフィング - Virtual private networks and the protection of children online
- European Parliamentary Research Service (@EP_EPRS) - Xポスト
