EU理事会、4億5千万人ユーザー向けにGDPR緩和の合意に近づく

GDPRは世界で最も引用されるプライバシー法としてほぼ8年間を過ごしてきたが、EU理事会内部で急速に進む交渉が、その実際の保護対象を静かに書き換える可能性がある。進行中の協議に関する報道によると、EU理事会の外交官たちはデジタルオムニバス合意に迫りつつあり、それによって広告トラッキングIDが特定の処理者にとってデータ保護法の適用外となり、AI開発者にはトレーニングデータに対する同意不要の近道が与えられ、一般ユーザーがトラッキングをオプトアウトしやすくするために設計された自動ブラウザシグナルが廃止されることになる。データ収集に対する法的後ろ盾としてGDPRに依存する4億5千万人のEU居住者にとって、今週の交渉はほとんどの人が気づいている以上に重要である。

デジタルオムニバス合意がGDPRに何をもたらすか

デジタルオムニバスは簡素化パッケージとして、重複するEUデジタル規則を扱う企業の規制上の摩擦を減らす方法として提案された。しかし現在理事会を通過しつつある版は、行政上の整理を超えている。現在の報道に基づくと、この合意は特定のデータ処理者が広告トラッキング識別子をGDPRの適用範囲外として扱えるようにする例外を設けるものである。これは意味のある転換である。トラッキングIDは行動ターゲティング広告の基盤であり、それらをデータ保護法の適用除外とすることは、GDPR発効以来適用されてきた監督の層を一層取り除くことになる。同じ交渉はまた、AIトレーニング活動にユーザー同意を必要としない法的近道を与えるとも報じられており、これもまた狭められつつあるGDPRの核心原則である。

執行の数字は、この区別がなぜ重要かを示している。世界中の規制当局が同様のプライバシー枠組みを採用する中、GDPRの累積制裁金はすでに40億ユーロを超えている。この執行記録が存在するのは、GDPRの同意および処理規則が規制当局に明確な違反行為を示し、行動を取らせてきたからである。これらの定義を緩めることは、将来の事例に影響するだけでなく、そもそも何が違反と見なされるかを変えるのである。

誰が恩恵を受けるか：アドテックとAIトレーニングの免除

報じられた合意における二つの最大の適用除外は、どちらも同じ方向を指している。大規模に個人データを収益化する企業の摩擦を減らすことである。アドテク企業は、リアルタイム入札やクロスサイトトラッキングを遅らせる同意要件に長年反発してきた。トラッキングIDが一部の処理者にとって適用除外と再分類されれば、アドテク企業は現在適用されているのと同じ同意義務なしに識別子を収集・共有する、よりクリーンな法的道筋を得ることになる。

AI開発者も同様に利益を得る立場にある。トレーニングデータに対する同意不要の近道は、AI規制における最も議論の多い未解決の疑問の一つに対処するものである。すなわち、モデルトレーニングのためにスクレイピングまたはライセンス供与された個人データが、他の処理と同じ同意基準を必要とするかどうかである。この要件を撤廃すれば、AI企業はブリュッセルでAIの透明性やデータの来歴に関する議論が続く中でも、EU居住者のデータでより少ない法的リスクでトレーニングできるようになる。

これらの免除はいずれもGDPRを完全に廃止するものではない。しかし、過去数年間で個人データ収集が最も急速に拡大したまさにその二つの領域において、その適用範囲を狭めるのである。

廃止されたブラウザシグナルとオプトアウトにとっての意味

おそらく報じられた合意の中で最も重大な詳細は、最も小さなものである。訪問するすべてのサイトで同意バナーをクリックすることなく、ユーザーがトラッキングのオプトアウトを登録できるようにする自動ブラウザシグナルの削除である。このようなシグナルは、プライバシー管理の負担を個々のユーザーからブラウザレベルのデフォルトへ移し、一つの設定でウェブ全体にわたって個人の選好を伝えられるようにするためのものである。デジタルオムニバスパッケージからこの仕組みを削除することは、ユーザーがトラッキングを拒否するための標準化された低摩擦の方法を失い、サイトごとに同意ポップアップを手動で管理する方へ押し戻されることを意味する。ほとんどの人はそれを読まずにクリックして通過するのである。

これがあなたにとって何を意味するか

もしこの合意が報じられた通りに進めば、EU居住者は一夜にしてGDPRを失うことはないが、トラッキングが最も蔓延しているまさにその領域、すなわち広告とAIにおいて、その実効性の一部を失うことになる。ブラウザレベルのオプトアウトシグナルがなければ、トラッキングを制限する責任は自動化されたツールではなく、さらに個人へと移る。それは個人のプライバシー習慣をより重要にこそすれ、より軽視させるものではない。ブラウザのプライバシー設定を調整し、サードパーティCookieを制限し、VPNを使って広告ネットワークからIPアドレスと位置情報を隠すことは、強力な規制枠組みが提供するものを置き換えることはできないが、今週ブリュッセルの交渉がどう終わるかに依存しない制御の層を加えるものである。

主なポイント

この理事会交渉がどう決着するかを見守るべきである。トラッキングID免除とAI同意近道に関する最終文言は、採択前にまだ変わる可能性がある。その間、規制が追いつくのを待ってはならない。ブラウザのトラッキング保護設定を見直し、どのサイトが広告識別子を設定できるかを制限し、GDPRの範囲がどう進化するかに関わらずクロスサイトトラッキングへの露出を減らす実用的な方法としてVPNを検討しよう。GDPRの執行がすでに数十億の制裁金を生み出してきたことを踏まえれば、この法律の核心的価値は証明されている。まさにそれゆえに、デジタルオムニバスに関する今週の理事会の決定は公衆の注目に値するのである。