---
title: "SB2420（アプリストア責任法）とは？執行状況と開発者の対応【2026年11月時点】"
url: "https://www.issoh.co.jp/tech/details/10203/"
published: 2025-12-10
updated: 2026-11-10
categories: ["モバイル（iOS・Android）"]
publisher: "株式会社一創"
---

# SB2420（アプリストア責任法）とは？執行状況と開発者の対応【2026年11月時点】

SB2420は、テキサス州がアプリストアとアプリ開発者に年齢確認と保護者同意への対応を義務づけた州法です。第121.001条がApp Store Accountability Act（アプリストア責任法）という短縮名称を定めています。2026年1月1日の施行直前に連邦地裁が全面的に差し止めましたが、6月4日に第5巡回区控訴裁判所がその差止を停止し、法律は執行できる状態になりました。日本の開発者でも、テキサス州の利用者へ配信していれば条文上の対象です。本稿は2026年11月10日時点の条文と裁判記録をもとに、いま必要な実装と、まだ作らなくてよい機能を分けて説明します。

## まとめ：2026年11月時点の執行状況と開発者の対応

- **SB2420は執行可能な状態です。**差止は2026年6月4日に停止され、連邦最高裁も7月6日に停止の取消しを認めませんでした。第5巡回区の口頭弁論は8月4日に開かれ、本案判決は確認できていません。
- **年齢区分は13歳・16歳・18歳を境に4つです。**18歳未満はダウンロードや購入のたびに保護者の個別同意が必要です。
- **開発者の主な義務は4つです。**アプリと購入ごとのレーティング付与、重要な変更の事前通知、ストア情報による年齢と同意の検証、受領データの目的外利用禁止と削除です。
- **実装の入口はAppleのDeclared Age Range APIとGoogleのPlay Age Signals APIです。**Googleのライブラリは0.0.4で呼び出し方が変わりました。
- **違反は州の欺瞞的取引慣行法（DTPA）の対象で、1件最大1万ドルの民事制裁金があります。**
- **他州の施行は2027年に集中します。**ユタ州は2027年5月6日、ルイジアナ州は2027年7月1日へ義務の開始が延び、アラバマ州は新法として2027年1月1日に施行されます。

## SB2420の規制対象：アプリストアの定義と配布形態ごとの判定

SB2420はテキサス州商業法典に第121章を新設する法律です。[成立版の条文](https://capitol.texas.gov/tlodocs/89R/billtext/html/SB02420F.HTM)によれば、第121.002条(2)のapp storeは「モバイル機器の利用者へ、アプリの所有者または開発者からソフトウェアアプリケーションを配布する、一般に利用可能なウェブサイト、アプリ、その他の電子的サービス」です。AppleとGoogleを名指ししていません。

### App StoreとGoogle Playで配信する開発者の適用条件

開発者側の規定は、第121.051条により「アプリストアを通じて州内の利用者に提供するアプリの開発者」に適用されます。事業者の所在地による限定はありません。米国向けに配信しているアプリは、日本の開発者のものでも文言上は対象に入ります。

### Webアプリ・APK直配布の適用範囲と未確定の論点

条文は「配布（distributes）」を定義していません。法律事務所Barclay Damonの[2026年8月11日の解説](https://www.barclaydamon.com/alerts/could-your-website-be-an-app-store-under-texass-app-store-accountability-act)は、配布形態ごとのリスクを次のように分けています。同事務所も、この点を判断した裁判所はまだないとしています。

| 配布形態               | app storeに当たる可能性 |
| ------------------ | ---------------- |
| ブラウザのみで使うサービス      | 比較的低い            |
| App Store等へ誘導するサイト | 低い               |
| 自社サイトでAPK等を直接配布    | 高い               |
| 複数アプリを直接配布するサイト    | さらに高い            |

企業向けにAPKを自社サイトで配っている場合は、開発者としてだけでなくストア運営者としての義務まで検討が及びます。社内配布の仕組みが「一般に利用可能」かどうかを、まず確かめてください。

## アプリストアと開発者の義務：第121章の条文別整理

### 年齢区分4つと保護者の個別同意

第121.021条は、州内の個人がアカウントを作成するときに、ストアが商業的に合理的な方法で年齢区分を確認するよう求めています。区分は13歳未満（child）、13歳以上16歳未満（younger teenager）、16歳以上18歳未満（older teenager）、18歳以上（adult）です。身分証や顔認証といった具体的な手段は列挙されていません。

18歳未満は保護者アカウントとの紐付けが必要で、第121.022条によりダウンロード、アプリの購入、アプリ内課金の1件ごとに同意を取ります。複数の取引をまとめて認める包括同意は、第121.026条(a)(3)で違反と明記されています。同意免除は第121.022条(h)の要件を満たす場合に限られます。緊急サービスへの直接アクセスを提供するアプリでは、収集データの限定、アカウント作成不要、運営・提携主体などの条件が必要です。高等教育の入学・クラス配置用標準テストに関わる非営利団体のアプリにも、団体の役割や教育法典の適用条件があります。

### 開発者の4つの義務と単位

| 条文        | 義務              | 単位       |
| --------- | --------------- | -------- |
| 第121.052条 | 年齢レーティングの付与と提供  | アプリと購入ごと |
| 第121.053条 | 重要な変更の事前通知      | 変更のたび    |
| 第121.054条 | ストア情報で年齢と同意を検証  | 利用者ごと    |
| 第121.055条 | 目的外利用の禁止と検証後の削除 | 検証完了時    |

既存のストア審査と最も違うのは第121.052条の単位です。アプリ本体だけでなく「アプリ内で行える各購入」にレーティングが要ります。受領した年齢データの用途は第121.055条(a)で、年齢制限と保護の実施、法令遵守、安全機能と初期設定の実装の3つに限られます。広告や分析には使えません。第121.056条(a)は、同意のない未成年者への契約や利用規約の強制、レーティングの故意の虚偽表示、取得した個人データの共有や開示も違反としています。

### 「重要な変更」の4条件とリリース時の判定

第121.053条は、利用規約またはプライバシーポリシーの重要な変更を事前にストアへ通知するよう求めています。重要に当たるのは、収集・保存・共有する個人データの種類または区分が変わる場合、レーティングやその根拠が変わる場合、購入機会や広告といった収益化機能を足す場合、機能や利用者体験を実質的に変える場合の4つです。

4つ目は文言の広い規定です。第5巡回区の6月4日の命令は、親が未成年者の継続利用を認めるかどうかに影響し得る変更と説明していますが、差止停止の段階の判断にとどまります。リリース手順に判定根拠と通知要否の記録欄を設けておかないと、変更ごとの判断を後から説明できません。

## 全面差止から執行再開までの裁判経過

| 日付          | 出来事                   |
| ----------- | --------------------- |
| 2025年5月27日  | 州知事が署名（施行日は2026年1月1日） |
| 2025年10月16日 | CCIAと学生団体SEATがそれぞれ提訴  |
| 2025年12月23日 | テキサス西部地区連邦地裁が全面仮差止    |
| 2026年5月28日  | 第5巡回区が暫定的に差止を停止       |
| 2026年6月4日   | 第5巡回区が上訴中の差止停止を命令     |
| 2026年7月6日   | 連邦最高裁が停止の取消申立てを却下     |
| 2026年8月4日   | 第5巡回区で口頭弁論            |

争点は審査基準でした。地裁は内容規制として厳格審査を適用しましたが、[第5巡回区の6月4日の公表命令](https://www.ca5.uscourts.gov/opinions/pub/25/25-51073-CV0.pdf)（事件番号25-51073、26-50001併合）は、SB2420が規制するのは多くとも商業的取引を提案する表現であり、中間審査のCentral Hudson基準に服すると述べました。[連邦最高裁の事件25A1389](https://www.supremecourt.gov/docket/docketfiles/html/public/25a1389.html)でも申立ては退けられています。

どちらも本案の判決ではありません。8月4日の弁論は[裁判所の録音](https://www.ca5.uscourts.gov/OralArgRecordings/25/25-51073%5F8-4-2026.mp3)で確認できますが、公表された本案判決は確認できていません。実装を判決待ちで止める理由はなく、判決で覆ったら止める順序で進めてください。

## 違反時の制裁額とセーフハーバーの条件

第121章に金額の規定はありません。第121.101条が違反を欺瞞的取引慣行とし、DTPA（第17章サブチャプターE）で訴えられるとしています。州の訴訟は[同サブチャプターの第17.47条](https://tcss.legis.texas.gov/Docs/bc/htm/bc.17.htm)によります。同条(c)(1)の民事制裁金は違反1件あたり最大1万ドルで、州は原則として提訴の少なくとも7日前に相手方へ連絡しますが、送達回避や記録破棄のおそれ、緊急性がある場合などは事前連絡が不要です。連絡の後で違反をやめても訴訟は失効しません。同条は「1件」の数え方を定めておらず、金額は違反の重大性、過去の違反歴、抑止に必要な額などを考慮して事実認定者が決めます（同条(g)）。

開発者のセーフハーバーは第121.056条に2つあります。同条(b)は、広く採用された業界標準で一貫して誠実にレーティングを判定していれば第121.052条の責任を負わないとします。同条(c)は、ストアから受け取った年齢区分と同意情報を誠実に信頼し、同条の他の要件も満たしていれば第121.054条の責任を負わないとします。自前の年齢推定を作り込むより、ストアのAPIをそのまま使う設計が条文に沿います。

2026年11月10日時点で、Chapter 121を根拠にした州司法長官の提訴は一次資料では確認できていません。これは執行がないことの証明ではありません。

## AppleのDeclared Age Range APIで実装する範囲

[Appleの2026年6月3日の告知](https://developer.apple.com/news/?id=sg176nne)によれば、SB2420対応は6月4日からテキサス州の新規Apple Accountに適用されています。すべての機能を使うには、[公式Q&A](https://developer.apple.com/support/age-assurance/)のとおりXcode 26.2以降とiOS 26.2以降のSDKでビルドします。Xcodeでは[Apple Developer Program](/tech/details/7317/)のチームでDeclared Age Range capabilityを有効にします。

### 適用判定と年齢区分の取得（iOS 26.2以降）

まず`isEligibleForAgeFeatures`で、その利用者に法的な年齢確認が必要かを判定します。次の例は[AgeRangeServiceの公式の記載例](https://developer.apple.com/documentation/declaredagerange/agerangeservice)の境界を、SB2420の13・16・18へ置き換えたものです。公式例の13・15・18のままだと、アプリ側の分岐がSB2420の区分と合いません。規制のある地域では、指定した値と異なる区分をシステムが返す場合もあります。

```
import SwiftUI
import DeclaredAgeRange

@Environment(\.requestAgeRange) var requestAgeRange

func checkAgeCategory() async {
    guard (try? await AgeRangeService.shared.isEligibleForAgeFeatures) == true else {
        return // 対象外または適用判定エラー。エラー時は年齢確認不要と断定しない
    }
    guard let response = try? await requestAgeRange(ageGates: 13, 16, 18),
    case let .sharing(ageRange) = response else {
        return // 共有を拒否、またはエラー
    }
    guard let lowerBound = ageRange.lowerBound else {
        return // 13歳未満
    }
    if lowerBound >= 18 {
        // 18歳以上
    } else if lowerBound >= 16 {
        // 16-17歳
    } else {
        // 13-15歳
    }
}
```

iOS 26.4以降の`requiredRegulatoryFeatures`は、年齢共有や重要な変更の同意が必要かを個別に返します。年齢の確認方法を示す`AgeRangeDeclaration`は、[iOS 26.5](/tech/details/11705/)以降、クレジットカードや政府発行IDでの確認を1つの`confirmed`で返すようになりました。古い`paymentChecked`などに依存した分岐を更新し、iOS 26.5以降のSDKで再ビルドする必要があります。

### 重要な変更、同意撤回、サンドボックス検証

重要な変更はPermissionKitの`SignificantAppUpdateTopic`で保護者の同意を求め、同意が得られるまでアクセスを制限します。どの変更が重要かの判定は、Appleではなく開発者の責任です。保護者が同意を撤回すると、Appleがアプリの起動を止めます。サーバー側はApp Store Server Notificationsの`RESCIND_CONSENT`を受けて利用状態を更新する処理が要ります。

検証はiOS 26.2以降のSandboxで、年齢の場面、所在地による制限、同意状態の変化、撤回を再現できます。レーティングの申告も動いており、App Store Connectは[2026年11月16日から位置情報共有と出会い・交際の項目を追加](https://developer.apple.com/news/?id=yxkh08us)し、全アプリに2027年1月12日までの申告を求めています。

## GoogleのPlay Age Signals APIで実装する範囲（ライブラリ0.0.4）

Play Age Signals APIはbeta表記のままで、対応するのはAndroid 6.0以降の端末です。[2026年7月の0.0.4](https://developer.android.com/google/play/age-signals/release-notes)で呼び出しが2段階に変わり、`userStatus`は廃止されました。古い実装は差し替えが必要です。依存関係は`com.google.android.play:age-signals:0.0.4`です。

### requestAgeSignalsAccessとcheckAgeSignalsの呼び出し順

[公式の手順](https://developer.android.com/google/play/age-signals/request-age-signals)では、`requestAgeSignalsAccess`で共有状態を確かめ、`SHARED`のときだけ`checkAgeSignals`を呼びます。

```
val manager = AgeSignalsManagerFactory.create(applicationContext)
val request = AgeSignalsAccessRequest.builder().setActivity(this).build()

manager.requestAgeSignalsAccess(request).addOnSuccessListener { access ->
    if (access.ageSignalsStatus() == AgeSignalsStatus.SHARED) {
        manager.checkAgeSignals(AgeSignalsRequest.builder().build())
            .addOnSuccessListener { result ->
                val lower = result.ageLower()    // 例：13
                val upper = result.ageUpper()    // 例：15（最上位の帯はnull）
            }
    }
}
```

テキサス州のように法律で年齢提供が義務の州では、アプリ内の共有確認は出ません。利用者はPlayストア側で年齢確認や保護者管理の設定を求められ、未完了なら`VERIFICATION_REQUIRED`が返ります。アプリは年齢不明として扱い、Playストアでの解決へ案内してください。単体テストには`FakeAgeSignalsManager`が使えます。

### レスポンスの項目と年齢帯の設定

| 項目                            | 内容                          |
| ----------------------------- | --------------------------- |
| ageLower／ageUpper             | 年齢帯の下限と上限                   |
| ageRangeSource                | TIER\_AからTIER\_D（年齢情報の出どころ） |
| significantChangeStatus       | APPROVED／PENDING／DECLINED   |
| significantChangeApprovalDate | 直近の承認済み変更の発効日               |
| installId                     | 保護者管理下のインストールのID            |

既定の年齢帯は0-12、13-15、16-17、18+で、SB2420の4区分と一致します。[カスタム年齢帯](https://developer.android.com/google/play/age-signals/understand-age-signals-responses)は最低年齢を3つまで設定できますが、テキサス州対応のためだけに変える必要はありません。

### 重要な変更の申告と承認撤回の受け取り

重要な変更は、[Play Consoleのヘルプ](https://support.google.com/googleplay/android-developer/answer/16569691)のとおり新しい版を公開しなくても、Age signalsページから申告できます。何が重要かを決めるのは開発者です。保護者が承認しなくてもGoogle Playはアプリを無効化しないため、`significantChangeStatus`を見て機能を止める処理はアプリ側で書きます。

保護者が承認を撤回すると、[Age signalsページの一覧](https://developer.android.com/google/play/age-signals/revoked-app-approval)に`installID`が載り、CSVで取得できます。掲載は90日で消えるので、週次などで取得して自社のDBへ取り込みます。利用条件も厳格で、年齢情報を広告、マーケティング、プロファイリング、分析に使うと、APIの停止やアプリの公開停止、削除に至ることがあります。

## APIを入れても開発者に残る判断

対象の利用者の範囲は確認が要ります。テキサス州の条文は年齢確認をアカウント作成時と定めており、Appleの適用も新規Apple Accountです。Googleの公開ヘルプは州の施行日に従うと述べるだけで、対象アカウントの作成日条件は確認できませんでした。既存アカウントから何が返るかは、実際のAPI応答で確かめます。

AppleもGoogleも、法令遵守の責任は開発者にあると明記しています。APIは情報の経路を用意するだけで、適法性を保証しません。第121.056条(c)の免責は第121.054条の年齢・同意検証に関する責任に限られ、レーティング付与、データ削除、重要な変更の通知といった別の義務への違反までは免責しません。

## ユタ州・ルイジアナ州・アラバマ州との施行日と義務の違い

4州の年齢区分は同じ13・16・18の境界ですが、施行日と執行の方法は違います。旧来の解説でユタ州やルイジアナ州の2026年施行とされている部分は、いずれも延期されています。

| 州     | 義務の開始     | 既存アカウント       | 執行         |
| ----- | --------- | ------------- | ---------- |
| テキサス  | 2026年1月1日 | 条文は作成時        | 州司法長官、DTPA |
| アラバマ  | 2027年1月1日 | 2027年10月1日より前 | 州司法長官のみ    |
| ユタ    | 2027年5月6日 | 開始から12か月以内    | 被害者の私訴のみ   |
| ルイジアナ | 2027年7月1日 | 条文は作成時        | 州司法長官      |

ユタ州は[H.B.498](https://le.utah.gov/~2026/bills/hbillenr/HB0498.pdf)で義務を2027年5月6日へ延ばし、法典番号は第13-76章です。欺瞞的取引慣行としての執行規定を削除し、害を受けた未成年者と親の私訴のみを残しました。「重要な変更」の定義からも機能や体験の変更が外れ、テキサス州より狭くなっています。CCIAは[2026年4月21日に訴えを取り下げました](https://www.jdsupra.com/legalnews/challenge-to-utah-s-app-store-6173927/)。

ルイジアナ州は[Act 185](https://www.legis.la.gov/legis/ViewDocument.aspx?d=1475238)で旧Act 481を発効させず、R.S. 51:1771以下を2027年7月1日に施行します。制裁は1件最大1万ドルで、州司法長官は提訴の少なくとも45日前に書面で通知します。通知受領後45日以内に是正し、是正済みで今後違反しない旨の書面を提出すれば原則として提訴されませんが、同じ規定に再び違反した場合は提訴できます。テキサス州の「是正しても訴訟は失効しない」とは逆の設計です。アラバマ州の[HB161](https://alison.legislature.state.al.us/files/pdf/SearchableInstruments/2026RS/HB161-enr.pdf)は、故意または無謀な違反に1件最大7,500ドルを定め、2026年10月2日時点の既存アカウントにも2027年10月1日より前の確認を求めます。

連邦法案のH.R.3149は、[2026年3月5日に下院委員会を26対23で通過](https://docs.house.gov/meetings/IF/IF00/20260305/119031/CRPT-119-IF00-Vote010-20260305.pdf)しましたが、本会議以降の状況は確認できていません。カリフォルニア州のAB1043は[2027年1月1日に適用が始まる](https://www.gov.ca.gov/wp-content/uploads/2025/10/AB-1043-Signing-Message.pdf)別の法律です。

日本の[スマホ新法](/column/details/10347/)もアプリストアを対象にしますが、目的は競争促進で、未成年者の年齢確認を義務づけるものではありません。

## 日本の開発者が着手する順番と、作らなくてよい機能

米国で配信していないアプリは、SB2420への対応は不要です。米国で配信しているアプリは、規模にかかわらず次の順で進めます。

- Declared Age RangeとPlay Age Signalsを組み込み、13・16・18で分岐する
- 受領した年齢データを3目的に限定し、検証後に削除する
- アプリ内購入ごとのレーティングを整理する
- 重要な変更の判定をリリース手順に組み込む
- 同意撤回の受け取り（RESCIND\_CONSENT、installIDのCSV）を実装する

18+のレーティングでも対応は省けません。Appleは、法律が求める地域では18+のアプリでもAPIで年齢を確認するよう案内しています。第121.054条はストア情報による検証を求めており、免責もその前提なので、SB2420のためだけに自前の年齢確認基盤を作る必要はありません。他法令による独自の年齢確認義務は別途確認してください。既存アカウントへの対応は、ストア側の提供仕様と各州の期限を確認して準備し、独自の確認フローの要否は他法令も含めて判断してください。

課金経路の見直しが必要なアプリでは、[Google Play Billing Libraryの実装](/tech/details/9759/)に同意状態の確認を足す形になります。iOSとAndroidの両方で配信条件を確かめながら進める場合は、[スマホアプリ開発の支援](/service/apps/native/)もご相談いただけます。年齢データの扱いの考え方は、[ChatGPTの年齢確認](/tech/details/10695/)の事例も参考になります。条文の適用判断は、最終的に米国法の弁護士へ確認してください。

## よくある質問

### SB2420はいつから施行されていますか？

施行日は2026年1月1日と定められましたが、2025年12月23日に連邦地裁が全面的に差し止めました。第5巡回区が2026年6月4日に差止を停止したことで執行できる状態となり、Appleも同日からテキサス州の新規Apple Accountに適用しています。本案判決はまだ確認できていないため、結論が変わる余地は残っています。

### SB2420の罰則はいくらですか？

第121章に金額はなく、第121.101条が違反をDTPA上の欺瞞的取引慣行と定めています。DTPA第17.47条(c)(1)により、民事制裁金は違反1件あたり最大1万ドルです。65歳以上の消費者を対象とする行為には同条(c)(2)で上乗せがあります。第121.102条により、他の法律の救済とも併存します。

### 日本の事業者にも適用されますか？

条文に事業者の所在地による限定はありません。第121.051条はアプリストアを通じて州内の利用者に提供するアプリの開発者に適用すると定めており、米国で配信している日本の開発者のアプリも文言上は対象です。SB2420対応はAppleとGoogleのAPIによる検証が中心ですが、他法令による年齢確認義務まで免除されるわけではありません。

### requestAgeSignalsAccessは何をするメソッドですか？

Play Age Signalsライブラリ0.0.4で追加された、年齢シグナルの共有状態を確かめるメソッドです。利用者の選択で共有を決める地域では共有確認のプロンプトも表示します。戻り値の`ageSignalsStatus`は`SHARED`、`NOT_SHARED`、`VERIFICATION_REQUIRED`のいずれかで、`SHARED`のときに`checkAgeSignals`を呼ぶと年齢帯を取得できます。0.0.4以降はこの2段階の呼び出しが必須です。

### 13+などのレーティングとSB2420の年齢区分は同じですか？

別のものです。4+や13+はアプリの内容を示すレーティングで、SB2420の4区分は利用者の年齢を分類します。開発者は第121.052条のレーティング付与と、第121.054条の利用者の年齢区分の検証を両方扱います。Appleのレーティングが13+のアプリでも、保護者の許可があれば13歳未満の子どもが利用できる場合があります。

## 関連記事

- [Google Play Billing Libraryとは？最新9.1の実装手順と8・9で消えたAPI【2026年10月】](/tech/details/9759/)
- [Apple Developer Programとは？年会費99ドル（アプリ経由12,800円）の中身・登録方法・ログイン先](/tech/details/7317/)
- [iOS 26.5はいつ配信？日本時間5月12日のリリースと新機能、26.5.1・26.5.2の修正内容](/tech/details/11705/)
- [ChatGPTの年齢確認（年齢予測）は危ない？顔写真の扱い・嘘をつくとどうなる・誤判定の解除方法](/tech/details/10695/)
- [スマホ新法とは？施行で変わったiPhone・Androidと手数料、企業の対策をわかりやすく解説](/column/details/10347/)

---

出典: [SB2420（アプリストア責任法）とは？執行状況と開発者の対応【2026年11月時点】](<https://www.issoh.co.jp/tech/details/10203/>)（株式会社一創）