EUデジタル・オムニバス提案⑩ / GDPRの「簡素化」という名の改変 雑感

Ⅰ　規制簡素化がもたらす基本権保護の後退懸念

　欧州委員会が進めるデジタル・オムニバス提案に対し、法規制の簡素化という名目で消費者のプライバシー保護が実質的に切り崩されるのではないかという懸念が欧州で広がっている。専門家から厳しい目が向けられており、十分な影響評価を欠いたまま一部の巨大IT企業の意向に沿う形で基本的人権が弱体化することへの憂慮、欧州議会担当者をめぐる利益相反への指摘、さらには労働者の権利後退への警鐘など、議論は多岐にわたる。

　こうした状況下で、欧州消費者機構（BEUC）が2026年2月に公表した意見書は、同提案が一般データ保護規則（GDPR）とePrivacy指令の実質的な改定に踏み込み、長年築かれてきた消費者保護の枠組みを大きく揺るがすと警告している〔注1〕。同意見書が「これは『ターゲットを絞った修正』をはるかに超えており、長年にわたる消費者保護とプライバシーを弱体化させるものだ」と評価した意味の重さを、以下で具体的に検討する。

1　個人データ定義の縮小と立証の困難

　BEUCが最も強く反発している論点の一つが、GDPR第4条における個人データ定義の変更である。欧州委員会は、2025年9月の欧州連合司法裁判所（CJEU）によるEDPS v SRB事件判決（C-413/23）を根拠として〔注2〕、「潜在的な後続受信者がその情報を特定の自然人に結びつける手段を有するとしても、それだけでは当該情報は個人的なものとはならない」旨を条文に明示しようとしている〔注1〕。

　しかしBEUCはこの手法が単一判決への選択的依拠であると批判し、2026年2月には欧州データ保護監督官（EDPS）と欧州データ保護委員会（EDPB）も共同意見書を発表し、現提案は当該判決の本来の意味を「正確に反映しておらず、明らかにそれを超えるものだ」と指摘した〔注3〕。

　クッキーID、デバイスID、ハッシュ化されたメールアドレスといった擬似匿名識別子は、オンライン環境において異なる主体間で共有・結合される過程で容易に個人を特定しうるため、従来は個人データとして保護されてきた。これらが保護対象から外れれば、消費者はGDPR違反を主張するにあたり、まず当該データが個人データに該当することを自ら証明しなければならないという、構造的に不均衡な立証負担を負わされることになる。

　さらに、欧州委員会は新たなGDPR第41a条を設けることで、仮名化されたデータがいかなる場合に個人データでなくなるかを「実施行為（implementing acts）」によって定義する権限を自らに付与しようとしている。個人データ概念という規則の根幹に関わる事項を、欧州議会による事後的統制の対象とならない行為形式に委ねることは、EU法秩序の論理とも緊張する。BEUCは、デジタルサービス法において欧州司法裁判所が監督手数料制度の重要事項は実施行為ではなく委任行為によるべきであったと判示したことを想起し、同様の轍を踏むべきではないと警告している〔注1〕。

2　AI開発における正当な利益の拡大と機微データ

　AIシステムに関するデータ処理の規律変更も看過できない。提案の新88c条は、AIシステムの学習・運用に向けたデータ処理を管理者の「正当な利益（legitimate interests）」のみを根拠として許容しようとしており、この変更の下では処理しうる個人データの量・種類に理論的な上限が存在しない。ソーシャルメディアへの投稿や私的なメッセージのやり取り、第三者から取得したデータも対象となりうる。

　BEUCが指摘するように、消費者はAIシステムへのデータ提供に同意した時点では、そのデータがどのような形で二次利用されるかを予測することが事実上困難であり、「AIデータ処理連鎖における最も脆弱なリンク」にとどまる〔注1〕。異議申立権は形式上残されるものの、現実の手続きの複雑さを踏まえれば実効的な保護として機能するかは疑わしい。

　また、このような変更が現在提案の中心となりながら、大手テック企業自身の政策立場と密接に一致しているとの指摘も見逃せない。Corporate Europe Observatoryは2026年1月、同提案の条文ごとに大手テック企業のロビイング内容と比較した詳細な分析を公表し、両者の一致を具体的に示している〔注4〕。EU法の場でこのような指摘が公式文書のレベルで出されること自体、事態の深刻さを示すものであろう。

　さらに、GDPRが現行9条で原則禁止する生体情報や健康状態といった「特別カテゴリ」のデータについても、早期削除や出力への非表示といった技術的措置を条件にAI開発への利用を認める例外規定が提案されている。一度AIモデルに統合されたデータを事後的に完全に制御することは技術的に困難であり、保険・銀行・信用機関がAIを通じてリスク査定や与信判断を行う文脈では、差別や排除を消費者に固定化する危険性を伴うと理解する。

Ⅱ　法の簡素化と権利保護の境界

　デジタル・オムニバス提案は、データ侵害時のインシデント報告の単一窓口化など、実務負担を軽減する前向きな要素も含んでいる。BEUCもこの「一度報告、多数と共有（report once, share many）」原則については条件付きで支持を表明しており、法の執行を円滑にし過度な事務手続きを削減することに一定の意義があることは認められる。

　しかし、「科学的研究」の定義を大幅に拡張し、目的外利用の制限や情報提供義務を事実上免除する提案にみられるように、研究名目でのデータ利用が十分な透明性の裏付けなしに民間企業に開放されれば、消費者の自己決定権は空洞化する。欧州委員会自身の試算によれば、今回の改正が年間800億ユーロを超える新たなコンプライアンスコストを生み出す可能性があるという報道も出ており〔注5〕、競争力強化という名目すら成立しない可能性がある。

　現在の提案が、GDPRの遵守に真摯に取り組んできた責任ある企業の努力を後退させ、データの寡占を推進する一部の企業を利する結果を招くおそれがある、というBEUCの評価は、法政策の観点からも傾聴に値する。

Ⅲ　むすびにかえて

　EUにおけるデータ保護法制は、個人の権利保護を前提としつつ適正なデータ流通を図るという精緻な均衡のうえに成り立ってきた。デジタル・オムニバスを通じたGDPRの改定案は、限定的な修正という説明とは裏腹に、個人データ定義の縮小、AIへの正当利益条項の適用、「科学的研究」の定義拡張、アクセス権の制限、自動化された意思決定の拡張という点において一貫して消費者の権利を後退させる構造になっている。個々の変更はそれぞれ技術的な調整として説明されうるが、束ねてみると一つの方向性が浮かび上がる。

　法制度の整備において、基本的人権の保護と産業的要請をいかに調整するかは常に問われる課題である。法の簡素化が実質的な権利の後退を招くことへの市民社会からの警告は重く、欧州議会での審議過程を引き続き注視したい。

◾️EUデジタル・オムニバス提案関連

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。