欧州委員会「デジタル・オムニバス」提案とGDPRの変容⑤ / noybによる批判的検討（Version 2.0）を中心に雑感

0　はじめに

　欧州データ保護法制は、今まさに重大な岐路に立たされている。2025年後半から議論が加速し、2026年1月時点でバージョン2.0として議論の俎上に載せられている欧州委員会のデジタル・オムニバス提案は、GDPR（一般データ保護規則）およびePrivacy指令に対する広範かつ抜本的な修正を企図するものだからである。

　今回は、オーストリアのプライバシー擁護団体noybが2026年1月に公表した分析レポートを基礎資料として、欧州委員会が目指す法改正の方向性と、それがデータ主体の基本的権利に及ぼす影響について検討を行う。

　本提案は、表向きには明確化や簡素化を名目としつつも、実質的にはAI開発やデジタル産業の要請に応える形で、GDPRが築き上げてきた保護水準を劇的に変質させる可能性を秘めている。AI開発における正当な利益の法的推定、個人データの定義そのものの変更、データ主体の権利行使に対する新たな制約など、その内容は極めて論争的である。本稿では、noybのレポートが指摘する法的論点を中心に、このオムニバス法案がもたらすパラダイムシフトの意味を読み解いていく。

1　問題の所在

　GDPRはその成立以来、技術中立的な規定ぶりと、欧州連合基本権憲章第8条に基づく高い保護水準によって、世界的なプライバシー法のゴールドスタンダードと見なされてきた。しかし、近年の生成AIの急速な普及や、デジタル市場におけるイノベーションの停滞に対する懸念から、産業界を中心にGDPRの硬直性を批判する声が高まっていたことも事実である。

　今回リークされたデジタル・オムニバス提案は、こうした産業界の要請を色濃く反映したものとなっている。noybのレポートが痛烈に批判するように、本提案は単なる運用の微修正ではなく、GDPRの核心概念を再定義し、実質的な規制緩和を行うものである。個人データ、科学的研究、目的外利用といった概念がその対象となる。

　最大の問題は、本提案が、データ主体の権利保護よりも、管理者の法的確実性や負担軽減を優先させる逆比例性テストに基づいているように見える点である。本来、基本権への干渉は必要最小限度であり、かつ均衡が保たれている必要がある。ところが本提案では、AI開発を不当に阻害しないことが優先され、権利制限の正当化事由として用いられている節がある。以下、noybの報告書に基づき、主要な論点について法的な分析を加える。

2　個人データ定義の主観化と断片化

2.1　識別可能性の主観的アプローチ

　本提案の最も根源的な変更の一つが、GDPR第4条1項における個人データの定義の修正である。現行法および従来の欧州司法裁判所の判例において、ある情報が個人データに該当するか否かは、管理者が識別する手段を保有しているかという点において、第三者の能力も含めた客観的・相対的な可能性を広く考慮して解釈されてきた。Breyer判決がその代表例である。

　しかし、今回の提案では、管理者が識別する手段を合理的に使用する可能性があるか否かという、より主観的な基準を導入しようとしている。ある事業者がデータを保有していても、その事業者が再識別を行う意図や能力、コスト等の観点から識別する可能性が低いと判断されれば、そのデータは当該事業者にとっては個人データとして扱われない可能性が生じる。これは、同じデータセットであっても、保有する主体によって個人データになったりならなかったりするという法的不安定さを招く。

　noybは、この変更が仮名化データをGDPRの適用範囲外へ逃がすための巨大な抜け穴になると指摘している。オンライン識別子を用いたトラッキングであっても、その事業者が氏名と突合する能力や意図を持たないと主張すれば、GDPRの規制を免れる余地が生まれるからである。これは、識別子を明示的に個人データとして扱ってきた従来の解釈を覆すものであり、SRB判決の射程を逸脱した拡張解釈であると批判されている。

　さらに、この変更は鶏と卵の問題を引き起こす。データ主体が自身のデータへのアクセス権を行使しようとしても、管理者がこれは当社にとっては個人データではないと主張すれば、その確認手段さえ失われる可能性があるからである。

2.2　欧州委員会への権限集中

　新設が提案されている第41a条は、欧州委員会に対し、どのような技術的措置を講じれば個人データではなくなるかを決定する実施権限を与えている。noybは、GDPRの核心的定義である個人データの解釈権限を行政機関に移譲することは、独立した監督機関や司法の役割を浸食する恐れがあると警鐘を鳴らす。政治的なロビー活動によって、本来保護されるべきデータが技術的基準によって非個人データとして定義されるリスクがあり、noybはこの条項の拒絶を強く推奨している。

3　科学的研究の定義拡張とイノベーション

　次に注目すべきは、第4条38項として提案された科学的研究の定義である。従来、GDPRにおける科学的研究の特例は、公益に資する学術的な研究等を念頭に厳格に解釈されてきた。第89条に基づく目的外利用や保存制限の例外がその典型である。

　しかし、新提案では、イノベーションを支援するあらゆる研究を含み、既存の知識を新しい方法で適用することも該当するとされている。この定義変更は極めて広範であり、事実上、企業の研究開発部門が行う商業的な製品開発やマーケティング分析までもが科学的研究の名の下に、GDPRの原則から逸脱することを許容することになる。

　noybが指摘するように、単にイノベーションに資するという理由だけで、本来の収集目的とは異なる二次利用を広範に認めることは、欧州連合基本権憲章第8条が要請する目的限定の原則を骨抜きにするものである。SNS事業者がユーザーの投稿データを、当初の目的とは無関係な革新的な広告アルゴリズムの開発に利用する場合も、この定義の下では正当化される恐れがある。これは、純粋な学術研究と商業的利益の境界を曖昧にし、データ主体が予見できない形でのデータ利用を助長するものである。

4　AI開発・運用に対する特権の付与

　本記事の読者層でいるかもしれないAI担当者にとって最も重要なのが、AIシステムに関する条項の新設である。提案は、AI開発および運用を促進するために、GDPRの技術中立性を放棄し、AIという特定の技術に対して優遇措置を設けようとしている。

4.1　AI特権の創設

　第一に、第88c条の新設である。ここでは、AI法で定義されるAIシステムの開発および運用において、個人データの処理が必要な場合、管理者の正当な利益を法的根拠とすることが明文で認められようとしている。

　従来、スクレイピング等による大規模なデータ収集が正当な利益として認められるかは議論があったが、本提案はこの点を立法的に解決し、AI開発における正当な利益の成立を事実上推定するものである。noybはこれをAI特権と呼び、他の技術的手段による処理と比較して不当に優遇されていると批判している。運用が含まれていることで、通常のソフトウェアではなくAIを使用することで規制を潜脱するインセンティブが働く点も問題視されている。

4.2　センシティブデータの利用解禁

　第二に、第9条2項(k)および同5項の追加である。これは、人種、信条、健康データなどの特別な種類の個人データであっても、AIシステムの開発・運用のためであれば、一定の条件の下で処理を認めるものである。適切な保護措置を講じること、データの除去が困難な場合に保護を行うことが条件とされている。

　特筆すべきは、AIモデルに含まれるセンシティブデータの除去が不均衡な努力を要する場合、データの保持が許容される点である。これは、一度学習してしまえば忘却が困難な大規模言語モデル等の特性を追認するものであり、データ主体の忘れられる権利や訂正権が、技術的な困難性を理由に制限されることを意味する。noybは、これが欧州連合基本権憲章第52条1項の比例性原則を満たしていないと指摘している。AI学習に対するオプトアウトの非実効性についても懸念を示しており、数千のAI管理者に対して個別にオプトアウトを行うことは、データ主体にとって現実的ではないとしている。

5　アクセス権への目的制限導入

　データ主体の権利行使、特に第15条のアクセス権に対しても、重大な制約が提案されている。

　提案された第12条5項の改正案は、データ主体による権利行使がデータ保護以外の目的でなされた場合、管理者は請求を拒否できるという文言を含んでいる。これは、ドイツ等の一部で議論されてきた、訴訟の証拠収集目的や嫌がらせ目的でのアクセス請求を制限したいという産業界の意向を反映したものである。

　しかし、欧州司法裁判所はこれまで一貫して、アクセス権の行使に動機は問われないという立場をとってきた。FT判決やPankki S判決がその例である。今回の提案は、この判例法理を覆し、データ主体に対して純粋なデータ保護目的であることを証明させる負担を課すものである。noybが懸念するように、実際には多くの管理者が、少しでも紛争性のある請求に対してデータ保護目的ではないと主張し、開示を拒否する口実として乱用されるリスクが高い。これは、情報の非対称性を是正するためのツールとしてのアクセス権の機能を著しく低下させる。

6　情報提供義務の免除と中小企業

　透明性の確保に関しても後退が見られる。第13条4項の改正案では、データ集約的でない活動を行う管理者が、データ主体との間に明確かつ限定的な関係がある場合、プライバシーポリシー等の情報提供義務を免除する規定が盛り込まれている。職人や小規模事業者等が想定されている。

　一見すると中小企業の負担軽減に見えるが、noybが指摘するように、現代のビジネスにおいてSaaSやクラウドサービスを利用しない事業者は稀であり、データが第三者に移転されるケースがほとんどである。そのため、この免除規定が適用できる場面は極めて限定的であるか、あるいは逆に、本来説明すべき複雑なデータ処理を行っているにもかかわらず、中小企業であることを理由に透明性が欠如する事態を招きかねない。

　第13条5項では、科学的研究目的での二次利用において、本人への通知が困難な場合の免除規定が設けられている。前述の科学的研究の定義拡大と相まって、データ主体が知らぬ間にデータを商用AI開発等に利用される事態を合法化するものとなり得る。

7　端末へのアクセスと自動シグナル

　最後に、長年の課題であるCookieバナーの問題についても触れておく。提案されている第88a条および88b条は、端末へのアクセスに関する同意取得の簡素化を目指している。

7.1　自動シグナルとワンクリック拒否

　第88b条は、ブラウザ等による自動化されたシグナルによる同意・拒否の意思表示を管理者が尊重する義務を課すものである。第88a条は、同意を拒否するためのワンクリックボタンの設置を義務付ける。これらは、現在の同意するボタンだけが目立つダークパターンへの対抗策として、また同意疲れへの解として一定の評価ができる。

7.2　セキュリティ目的のスキャンと二重基準

　しかし、noybは、第88a条3項(d)におけるセキュリティ維持目的での端末アクセスが、同意なしに広範に認められている点を問題視している。バランシングテストなしに認められるこの権限が乱用されれば、不正検知の名目でユーザーの端末内をスキャンする行為が正当化されかねないからである。

　ePrivacy指令第5条3項との整合性の問題も残る。本提案では、個人データに関わる端末アクセスはGDPRのより緩やかな新規定に従う一方、非個人データの場合は従来の厳格なePrivacy指令が適用されるという二重構造が生じる可能性がある。前述の通り個人データの定義が主観化され縮小すれば、どの法が適用されるかの判断が困難となり、実務的な混乱は避けられない。

8　むすびに

　以上、noybのレポートに基づき、欧州委員会のデジタル・オムニバス提案を概観してきた。

　本提案は、表向きはGDPRの簡素化と明確化を掲げているが、その実態は、AI時代における欧州の産業競争力を確保するために、データ保護の基本原則を緩和しようとする政治的な試みであると評価せざるを得ない。個人データ定義の主観化や、AI開発における正当な利益のデフォルト化は、GDPRが本来目指していた基本的権利としてのデータ保護という理念を、リスクベースの管理規制へと変質させるものである。noybのレポートが、個人データ定義、AI特権、アクセス権制限など多くの主要条項に対して拒絶を推奨している事実は重い。

　法学研究者や企業の法務・AI担当者は、この改正案が単なる手続きの変更ではなく、GDPRのアーキテクチャそのものの再設計を意味していることを理解する必要がある。もしこのまま提案が可決されれば、企業にとってはAI活用の法的ハードルが下がる一方で、データ主体との信頼関係の構築や、主観的基準に基づくコンプライアンス判断、そして将来的な欧州司法裁判所による無効判決リスクという新たな不確実性に直面することになるだろう。

　欧州のデータ保護法制は、今まさに岐路に立っている。今後の立法プロセスにおける欧州議会や加盟国の動向、そしてEDPBやEDPSの意見表明を注視していく必要がある。

9　EU AI法まとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。