https://chezo.uno/categories/%E3%82%AB%E3%83%8A%E3%82%BF%E7%94%9F%E6%B4%BB/カナダ生活HugoBlox Kit (https://hugoblox.com)en-us©Fri, 24 Apr 2026 17:27:00 -0700https://chezo.uno/media/icon_hu_423f10ccd06de889.pnghttps://chezo.uno/categories/%E3%82%AB%E3%83%8A%E3%82%BF%E7%94%9F%E6%B4%BB/https://chezo.uno/post/2026-04-24-tiktok%E3%81%A6%E5%8B%9D%E6%89%8B%E3%81%AB%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E3%81%8B%E4%BD%9C%E3%82%89%E3%82%8C%E7%B6%9A%E3%81%91%E3%82%8B%E3%81%AE%E3%81%A6claude%E3%81%A6%E3%82%AB%E3%83%8A%E3%82%BF%E3%81%AEprivacy%E6%B3%95%E3%81%AB%E5%89%87%E3%81%A3%E3%81%A6%E9%80%9A/Fri, 24 Apr 2026 17:27:00 -0700https://chezo.uno/post/2026-04-24-tiktok%E3%81%A6%E5%8B%9D%E6%89%8B%E3%81%AB%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E3%81%8B%E4%BD%9C%E3%82%89%E3%82%8C%E7%B6%9A%E3%81%91%E3%82%8B%E3%81%AE%E3%81%A6claude%E3%81%A6%E3%82%AB%E3%83%8A%E3%82%BF%E3%81%AEprivacy%E6%B3%95%E3%81%AB%E5%89%87%E3%81%A3%E3%81%A6%E9%80%9A/ <div class="callout flex px-4 py-3 mb-6 rounded-md border-l-4 bg-orange-100 dark:bg-orange-900 border-orange-500" data-callout="warning" data-callout-metadata=""> <span class="callout-icon pr-3 pt-1 text-orange-600 dark:text-orange-300"> <svg height="24" xmlns="http://www.w3.org/2000/svg" viewBox="0 0 24 24"><path fill="none" stroke="currentColor" stroke-linecap="round" stroke-linejoin="round" stroke-width="1.5" d="M12 9v3.75m-9.303 3.376c-.866 1.5.217 3.374 1.948 3.374h14.71c1.73 0 2.813-1.874 1.948-3.374L13.949 3.378c-.866-1.5-3.032-1.5-3.898 0zM12 15.75h.007v.008H12z"/></svg> </span> <div class="callout-content dark:text-neutral-300"> <div class="callout-title font-semibold mb-1">Warning</div> <div class="callout-body"><p>この記事は、Claude Opus 4.7とのやり取りを通じて解決した問題の顛末を、Opusに書かせたものです。ある程度のレビューはしていますが、情報の確実性はご自身で再検証することをおすすめします。</p></div> </div> </div> <h2 id="tldr">tl;dr</h2> <ul> <li>自分が使った覚えのない TikTok アカウントが、僕のメアドで2つ作られていた（@chezou2 と @nigtg679）</li> <li>TikTok はメアド認証なしでアカウント登録を許可している。これが構造的な同意の欠落</li> <li>TikTok サポート経由で1つ目を削除させたが、しばらくして別のアカウントが同じメアドで作成され再発</li> <li>カナダの規制機関2つに通報した <ul> <li> <strong>（</strong> <strong>）</strong> に 違反として通報</li> <li> <strong>（Office of the Privacy Commissioner of Canada）</strong> に 違反として正式 complaint 提出</li> </ul> </li> <li>OPC は2025年9月に既に TikTok 相手に joint investigation の Report of Findings ( ) を出しており、僕の complaint はその文脈に乗る形になった</li> <li>カナダ居住者なら同様のケースで使える手順をまとめておく</li> </ul> <hr> <h2 id="何が起きたか">何が起きたか</h2> <p>2025年11月頃から、<code>noreply@account.tiktok.com</code> という送信元から「新しいデバイス（LGE LM-Q730）からログインがありました」というメールが届くようになりました。僕は LG の Android 端末を持っていません。そもそも TikTok のアカウントを作ったことがありません。</p> <p>メールの宛先は僕のプライベートのGmailのメアド。メール内では <code>@chezou2</code> というハンドルが言及されていて、僕のハンドル（@chezou ベースのもの）に近い名前で誰かがアカウントを作ったらしい、ということがわかりました。</p> <p>ここで気付いた違和感: <strong>TikTok は、メアド認証なしでアカウントを作らせている</strong>。僕のメアドに「このメアドで TikTok アカウントを作ろうとしている人がいます、本人ですか？」という確認メールは一度も来ていない。にもかかわらずアカウントが成立している。</p> <p>つまり、登録時のメアド入力に対する所有確認が一切行われていません。誰でも他人のメアドでアカウントを作ることができ、本来の所有者は通知メールを受け取り続ける構造になっている。</p> <h2 id="1回目の対応3月にtiktokサポートへ">1回目の対応：3月にTikTokサポートへ</h2> <p>3月15日、TikTok の privacy report フォーム（https://www.tiktok.com/legal/report/privacy）から「Report a potential privacy violation」として通報しました。</p> <p>返信は <code>feedback@tiktok.com</code> から、テンプレ的な内容で「アカウントを削除したい場合は、ログインして設定画面から削除してください」というもの。<strong>そもそも自分のアカウントじゃないからログインできない</strong>、というのが問題の本質なのに、こちらが所有者であることを前提とした応答が来る。</p> <p>返信して「これは僕のアカウントではない、誰かが僕のメアドで作ったものだ、削除してほしい、PIPEDA 適用の話だ」と書きました。すると次の返信で、こう言われた。</p> <blockquote class="border-l-4 border-neutral-300 dark:border-neutral-600 pl-4 italic text-neutral-600 dark:text-neutral-400 my-6"> <p>アカウント所有を確認するため、以下の情報を提供してください: 登録日、最初のログイン場所、登録時のデバイス、登録時の電話番号、リンクされた SNS アカウント&hellip;</p> </blockquote> <p>これに答えられるわけがない。<strong>答えられないこと自体が、僕が所有者でない証拠</strong>です。再度返信して、「これらの情報を提供できないこと自体が、僕がアカウントを作っていない証拠だ。所有者であることを示せという要求は、non-user からの申し立てには構造的に応えられない」と書きました。あわせて「30日以内に解決しない場合は OPC に formal complaint を出す」と通告。</p> <p>その後、@chezou2 は削除されました。</p> <h2 id="ところが再発">ところが再発</h2> <p>僕が TikTok への返信で「30日以内に解決しなければ OPC に formal complaint を出す」と通告していたのですが、その期限が過ぎた翌日の4月16日から、別の送信元（<code>notification@service.tiktok.com</code>、Reply-To が <code>edm.feedback@tiktok.com</code>）からメールが来るようになりました。今度は <strong>@nigtg679</strong> という別のハンドル宛て。フランス語で「Mrs-mama💕✨️😘 t&rsquo;a envoyé un message」みたいな、フランス語圏ユーザーからのメッセージ通知。</p> <p>つまり、@chezou2 が削除された後、また別の誰かが僕のメアドでアカウントを作ったわけです。</p> <p>ここで個人の問題を超えていることがはっきりしました。<strong>個別アカウントを削除しても、TikTok がメアド認証を実装しない限り、永遠に同じことが繰り返される</strong>。</p> <p>ちなみに Reply-To にある <code>edm.feedback@tiktok.com</code> の <code>edm</code> は業界でいう &ldquo;Electronic Direct Mail&rdquo;、つまりマーケティングメール基盤の符牒。TikTok 自身がこれらの通知メールを marketing email infrastructure 内で扱っている、という小さな証拠でもあります。</p> <h2 id="規制当局ルートを2本">規制当局ルートを2本</h2> <p>ここで「個別削除を申請し続ける」のは無限ループだと判断し、規制当局に持ち込むことにしました。カナダで使えるルートは2本あります。</p> <h3 id="caslcanadas-anti-spam-legislation--crtc"> （Canada&rsquo;s Anti-Spam Legislation） / </h3> <p>CASL は同意なき商業電子メッセージ（CEM）の送信を規制する法律。ポイントは：</p> <ul> <li>違反に対して <strong>罰金を課す権限</strong> が CRTC にある</li> <li>TikTok からの通知メールは「TikTok プラットフォームへの利用を促進する」 = 商業活動の促進、と解釈できる</li> <li>transactional notification（アカウント所有者向けの取引通知）の例外は、僕が <strong>アカウント所有者ではない</strong> ので適用できない</li> </ul> <p>通報先は （spam@fightspam.gc.ca）。実は <strong>メールに直接転送できる</strong>（オンラインフォームより楽）。コンテキスト説明メールを1通送り、添付として証拠メールを <code>.eml</code> 形式で5通同梱して送信しました。</p> <p>注意点: SRC は個別の case outcome を complainant にフィードバックしません。だから「処理が終わったら教えて」という期待はできない。集積されたデータが enforcement target の特定に使われる、という形。</p> <h3 id="pipedapersonal-information-protection-and-electronic-documents-act--opc"> （Personal Information Protection and Electronic Documents Act） / </h3> <p>PIPEDA は個人情報の収集・使用・開示に同意を求める法律。本件で問われるのは Schedule 1 の Principle 4.3（Consent）。</p> <p>OPC への formal complaint は 経由。ここで <strong>罠</strong> がありました。</p> <h4 id="フォームの自動ロック問題">フォームの自動ロック問題</h4> <p>最初に試した時、フォーム内に「他の機関に同じ件で complaint を提出していますか？」という質問がありました。CRTC SRC に出しているので素直に「Yes」と答えたら、システムが自動的にセッションを終了させ、「他の手続きを完了させてからまた来てください」というメッセージで蹴られました。</p> <p>しかし SRC は個別フィードバックを出さない（前述）ので、待っていても「終了」は永遠に来ない。これでは PIPEDA 申立てが事実上不可能になる。</p> <h4 id="information-centre-経由でリカバリ">Information Centre 経由でリカバリ</h4> <p>OPC には があり、自由記述2,000文字以内で問い合わせができます。ここに「自動ロックされた、CASL と PIPEDA は対象としている問題が違う、どうしたらいいか」という旨を送ったところ、24時間以内に OPC の担当から書面で返信が来ました。</p> <p>返信内容は要約すると：</p> <ul> <li>TikTok の privacy contact（TikTok Inc., Culver City）へ書面で連絡することを推奨</li> <li>それでも解決しない場合は、formal complaint を提出してよい</li> <li>フォームの「他機関への complaint」質問には <strong>「No」と答え、free text section で状況を説明</strong> してほしい</li> </ul> <p>OPC自身がフォームのバグ的挙動を認識していて、回避方法を書面で指示してくれた、というわけです。</p> <h4 id="formal-complaint-の構成">Formal complaint の構成</h4> <p>OPC オンラインフォームは Part A（組織への接触履歴）/ Part B（管轄判定）/ Part C（詳細・救済）の3部構成。Part C は4つの自由記述欄があり、それぞれ500〜2,500文字制限。</p> <p>法的根拠の組み立てとしては:</p> <ul> <li><strong>Principle 4.3 (Consent)</strong>: 同意なしに個人情報（メアド）を収集・使用している</li> <li><strong>Principle 4.3.2 (Meaningful consent)</strong>: メアド認証がない以上、同意の存在を裏付ける機構がそもそも存在しない</li> <li><strong>Reasonable expectations of a non-user</strong>: PIPEDA Findings （Facebook が non-user のメアドを friend suggestion に使った件）が直接の precedent</li> </ul> <p>要望としては:</p> <ol> <li><strong>PIPEDA s.17.1 に基づく Compliance Agreement</strong> — メアド認証義務化、non-ownership-based の苦情プロセス整備</li> <li>僕のメアドに紐づく全アカウントの削除</li> <li>僕のメアドの blocklist 登録</li> <li>Public Report of Findings の発行（僕と同じ被害に遭っている人がいるはず）</li> </ol> <p>添付資料は8ページ以内、25MB以内で、TikTok サポートとの3月の往復スレッド・OPC Information Centre からの返信・11月の security notification・4月の social notification サンプルを PDF 化して同梱しました。</p> <h2 id="既存の-opc--tiktok-の文脈">既存の OPC × TikTok の文脈</h2> <p>書きながら気付いたのですが、<strong>OPC はすでに2025年9月に TikTok 相手の Report of Findings (</strong> <strong>) を出しています</strong>。OPC、CAI（Quebec）、OIPC BC、OIPC AB の4機関 joint investigation で、主に未成年者からの同意取得とターゲティング広告の問題に焦点が当てられたもの。</p> <p>僕のケースは未成年者問題ではなく、non-user の同意を得ない個人情報利用という別の角度ですが、「TikTok の同意取得の実務全般に問題がある」という OPC の認識と整合する話。投稿のタイミングとしては悪くない（OPC の興味の射程内に入りやすい）。</p> <p>ちなみにこの Findings の中では、BC PIPA と PIPEDA の jurisdiction 関係についても整理されていて、cross-border data flow の場合は両者が &ldquo;airtight seal&rdquo; で適用される、という理屈が示されています。僕が BC 在住で TikTok（シンガポール法人）相手という構図でも、PIPEDA 適用に問題がない理由がここで補強されます。</p> <h2 id="カナダ居住者へのチェックリスト">カナダ居住者へのチェックリスト</h2> <p>同じような状況に遭遇した人向けに、手順を整理します。</p> <p><strong>ステップ0: 現状把握</strong></p> <ul> <li>不審なメールの送信元、送信日時、本文内容を保全する</li> <li>Gmail なら spam フォルダから救出してラベル付け（30日で自動削除されるので注意）</li> <li>本文中に出てくる「自分のものではないアカウントハンドル」をメモ</li> </ul> <p><strong>ステップ1: 相手企業に書面で連絡</strong></p> <ul> <li>企業の privacy report channel から書面で連絡する（メール、フォーム、どちらでもよい）</li> <li>PIPEDA を引用する（信頼性が変わる）</li> <li>「自分は所有者ではない」「メアド所有者として削除を要求する」を明確にする</li> <li>30日以内の解決を促す</li> </ul> <p><strong>ステップ2: CRTC SRC に CASL 通報（マーケ性のあるメール）</strong></p> <ul> <li> に状況説明＋証拠 .eml を添付して送る</li> <li>フォーム経由より、メール直接転送のほうがヘッダー情報が完全に保持されて証拠能力が高い</li> <li>個別フィードバックは来ない前提</li> </ul> <p><strong>ステップ3: OPC に PIPEDA complaint</strong></p> <ul> <li>まず Information Centre に状況を聞く（フォーム経由、2,000字以内）</li> <li>24〜48時間で返信が来る</li> <li>指示に従って formal complaint を提出</li> <li>添付資料は8ページ以内、25MB以内</li> </ul> <p><strong>注意点</strong></p> <ul> <li>OPC は現在処理遅延あり（数ヶ月）。すぐに結果は出ないと割り切る</li> <li>BC OIPC（州機関）にも管轄が及ぶ可能性があるが、cross-border の場合は PIPEDA 適用が筋。OPC が必要なら自動的に振り分ける</li> <li>OPC は order-making power を持たない（罰金を課したり強制執行したりはできない）。最強のツールは <strong>Compliance Agreement (s.17.1)</strong> で、これは Federal Court で強制執行可能。だから明示的に要求する価値がある</li> </ul> <h2 id="雑感">雑感</h2> <p>（ここは人間が書いています）</p> <ul> <li>今回、Sonnet 4.6で調査を開始したのだが、正式にcomplaintする段になって念のため出たばかりのOpus 4.7で検証をさせたところ、だいぶ間違いや思い込みを正せたのでよかった <ul> <li>たとえば「30日対応がなければ OPC に行ける」という Sonnet の主張は、実は法的根拠がなく Sonnet が圧力装置として勝手に設定した期限だった、というのを Opus に指摘された。これは戦術的には機能するものの、法的デッドラインと誤認すると別の判断ミスにつながるので、確認できてよかった。</li> </ul> </li> <li>こういう法律系の調査を全部自力でやるの相当厳しいので、リファレンスはAIに取ってこさせて自分でも確認するのが良さそう</li> <li>こういった重めのトラブル解決を考えると、個人でLLM系のサービスを契約しないと辛いですね&hellip;</li> </ul>