欧州データ保護会議（EDPB）は、GDPRの執行の実務を変える可能性のあるガイドライン草案を公表した。草案の要約によれば、この提案は軽微でない違反に対するEDPBによるGDPR制裁金の推定を定め、過失を認定するための意図的に低い基準を組み合わせたものである。平たく言えば、規制当局は重大な違反には制裁金が科されるべきだという前提から出発し、企業側がなぜそうすべきでないかを示す責任をより多く負うことになる。

本記事で利用可能な資料は要約のみに限られているため、本稿はその要約に記載されている内容にとどめ、想定される影響を一般的な観点から説明する。

EDPBのガイドライン草案が提案する内容

草案の核心は、デフォルトの考え方の転換にある。これまで監督当局は、GDPRの下で叱責や遵守命令から行政制裁金に至るまで、さまざまな是正権限を有してきた。ガイドライン草案は、軽微でない違反については、制裁金が数ある選択肢の一つではなく、当然の結果であるべきだと提案している。

要約の中で際立つ要素は二つある:

  • 軽微でない違反に対する制裁金を支持する推定。
  • 過失に関する意図的に低い基準。これは、制裁金を科すための重要な条件が過失であるため重要である。

要約はまた、組織が適切な注意を払って行動したことを示すために、堅牢な措置を立証する必要があると指摘している。草案は提案であり最終的なガイダンスではないため、協議を経て詳細が変わる可能性がある。

過失基準の引き下げが執行を変える理由

GDPRの下での制裁金は、一般に違反が意図的であったか過失であったかに依存する。過失の立証が困難であれば、規制当局は制裁金をためらったり、企業が何を知っていたか、あるいは知るべきであったかをめぐる議論で事件が停滞したりする可能性がある。

低い基準はこの力学を変える。企業が合理的に注意深い組織であれば取るはずの措置を怠った場合、それ以上の詳細な調査なしに過失を認定できる。制裁金の推定と組み合わされれば、組織が違反は単なる不運や誠実な見落としであったと主張することが難しくなる。

これは一貫性を求める広範な動きと整合する。EDPBはすでに制裁金を算定するための5段階アプローチを導入しており、それについてはEDPBの5段階GDPR制裁金方式に関する解説で扱っている。この方式は制裁金がいくらであるべきかを扱う。新たな草案は、そもそも制裁金を科すべきかという、より前段の問題を扱う。制裁金の段階と過失の役割に関する背景については、2026年のGDPR制裁金と罰則に関するガイドを参照されたい。

あなたにとっての意味

一般の人々にとって、実際の影響は間接的ではあるが意味のあるものとなるだろう。プライバシー権は、それが無視されたときに結果が伴って初めて、紙上の権利として意味を持つ。制裁金が重大な違反に対する当然の対応となれば、企業には次のようなより強い財務上の理由が生まれる:

  • そもそも個人データの収集を減らすこと。
  • 保持するデータを保護し、その方法を文書化すること。
  • アクセス、消去、異議申立ての請求に期限内に対応すること。
  • 顧客データを扱う従業員の研修とベンダーの審査を行うこと。

これは、すべての苦情が制裁で終わることを意味するものではなく、個人にとってより迅速な結果を保証するものでもない。軽微な違反は異なる扱いが想定されており、ガイドラインはまだ草案の段階である。しかし、進む方向は実効性を伴う執行に向かっている。

一方、組織は証拠に重点を置くことになるだろう。このアプローチの下では、記録、リスク評価、迅速な是正措置を示せるかどうかが、制裁金かより軽い対応かの分かれ目になり得る。

今日からGDPRの権利を行使する方法

ガイドラインの最終化を待つ必要はない。あなたがEUまたはEEAにいる場合、あるいは企業がGDPRの下であなたのデータを処理している場合、すでに行動を起こすことができる:

  1. アクセスを求める。 データ主体アクセス請求を送り、企業があなたについてどのような情報を保有し、どのように利用しているかを確認する。
  2. 消去を請求する。 データがもはや不要である場合や同意を撤回した場合、企業に削除を求める。
  3. 処理に異議を唱える。 ダイレクトマーケティングを含む特定の利用に異議を唱えることができる。
  4. 記録を残す。 請求と回答の写しを日付とともに保存する。
  5. 無視された場合はエスカレーションする。 企業が適切に回答しない場合、各国のデータ保護機関に苦情を申し立てることができる。

文書化された根拠のある苦情は、規制当局が行動できる種類の証拠であり、より強固な執行姿勢はそうした苦情をより意味のあるものにするだろう。

主な要点

EDPBによるGDPR制裁金の推定は、草案どおりに採択されれば、軽微でない違反に対する通常の対応を制裁とし、過失の認定を容易にする。これにより企業は個人データを注意深く扱うよう圧力を受け、個人の権利により実効的な力が与えられる。

すでに有している権利を活用しよう。アクセスを請求し、消去を求め、適切な場合には異議を唱えよう。制裁金が俎上に載った後に罰則がどのように算定されるかを理解するには、EDPBの5段階制裁金方式とGDPRの罰則段階に関する解説をお読みいただきたい。