欧州連合のデジタルオムニバスは簡素化パッケージとして提示されており、最も目に見える約束の一つがCookieバナーの削減だ。しかし、EUデジタルオムニバスによるGDPRの変更はポップアップにとどまらない。私たちが確認した報道によると、この提案はCookieのルール、個人データの定義方法、そしてAIシステムのトレーニング方法に影響を与える可能性がある。ここでは、何が議題に上がっているのか、これまでに理事会が何を提案してきたのか、そしてそれがいつ発効し得るのかを平易な言葉で見ていく。

デジタルオムニバスが変えるもの

デジタルオムニバスは、欧州委員会が2025年11月19日に提示した改正提案のパッケージだ。これには、一般データ保護規則（GDPR）、Cookieおよびデバイスアクセスに関するルール、高リスクAI義務のスケジュールなど、複数のデジタル法への変更がまとめられている。掲げられている目的は、特に中小企業にとって、重複とコンプライアンス負担を減らすことだ。

このパッケージに関する法的分析は、日常的なプライバシーにとって最も重要な3つの領域を浮き彫りにしている。すなわち、データがいつ個人データとみなされるかという問題、AIトレーニングのための個人データの利用、そしてCookieおよび類似の追跡ツールの取り扱いだ。その他の報告されている要素はより事務的であり、例えば冗長な漏洩報告の削減や、一部の免除されたAIシステムの登録要件の調整などがある。

これはあくまで提案であることを忘れてはならない。ここで述べられていることはまだ法律ではなく、理事会と議会の交渉によって文言は変わり得る。

Cookieバナーの削減、保護の弱体化？

欧州委員会の売り込みは、人々が延々と続く同意プロンプトをクリックすることなく、本当の選択を表明し、デバイスを安全に保てるようにすべきだというものだ。実際には、このパッケージはデバイスに保存された情報へのアクセスに関する主要規定をePrivacyの枠組みからGDPRへと移すことになる。

デジタル権利団体EDRiを含む批判者たちは、この移行がePrivacyの枠組みを弱めると主張している。彼らは、ほとんどの用途で同意は依然として必要とされるため、この変更は同意の全面撤廃ではないと指摘する。議論の的は例外規定と、企業が尋ねることなくデバイス上のデータを読み取ったり保存したりできる余地がどれほどになるかということだ。

第二の懸念は個人データの定義だ。この提案の分析によると、特定の組織が現実的にそのデータから個人を識別できるかどうかに応じて、一部のデータはGDPRの対象外となる。これは重要だ。なぜなら、同じデータセットが一つの企業にとっては個人データであり、別の企業にとってはそうでない可能性があるからだ。読者にとっての実際のリスクは、あなたに関する情報がプロファイリングや追跡に使われているにもかかわらず、GDPRの保護の外に置かれ得るということだ。

理事会側の見解については、EU理事会が4億5000万人のユーザー向けにGDPRを緩和する合意に近づいているという以前の報道で取り上げており、交渉が法律の実際の保護内容をどのように形作っているかを説明している。

個人データによるAIトレーニングはどう機能し得るか

この提案はまた、個人データをAIモデルのトレーニングにいつ使用できるかを明確にするものだ。法的解説によれば、これはすべてのケースで同意を要求するのではなく、正当な利益を根拠として依拠するものとされている。支持者は、開発者に法的確実性を与えると述べる。プライバシー擁護派は、ウェブからスクレイピングされた素材を含む個人情報の大規模な利用への扉を開き、チェックが少なくなると懸念している。

健康情報や政治的意見などの特別カテゴリーのデータは、GDPR第9条により一般的に処理が禁止されている。オムニバスに関する報道によると、この分野でもいくつかの変更が示唆されているため、例外がどのように起草され、どのような保護措置が残るのかを注視する価値がある。

このパッケージはまた、高リスクAIルールの条件付きスケジュールを提案しており、一部の義務の適用開始時期が変わることになる。

いつ法律になり得るか、そして今できること

オムニバスはまだEUの立法プロセスを通過しなければならない。理事会は立場を策定中であり、欧州議会も最終的な文言が合意される前に意見を述べる。確認した資料の中では採択の確定日は見当たらないため、目にするスケジュールは推定値として扱うべきだ。採択後も、新しいルールには通常移行期間が設けられる。

つまり、準備をし、議論を追随する時間はあるということだ。

あなたにとっての意味

  • プロンプトは減るが、細かい字を確認しよう。 バナーが減るのは便利かもしれないが、その代償はデバイスに保存されるものに対する目に見える制御の減少だ。
  • あなたのデータは異なる扱いを受けるかもしれない。 個人データの定義が狭まれば、あなたに関する一部の情報がアクセスや削除といったGDPRの権利の外に置かれる可能性がある。
  • AIトレーニングはより大きな問題だ。 正当な利益が受け入れられる根拠となれば、あなたが公開したコンテンツがモデルのトレーニングに容易に使われ得る。
  • 今日は何も変わらない。 提案が議論されている間、あなたの現在のGDPRの権利は有効なままだ。

実践的なポイント

  • ブラウザのCookie設定を見直し、可能な限りサードパーティCookieを削除またはブロックしよう。
  • ブラウザの組み込み追跡保護を有効にしよう。
  • 使用するプラットフォームのプライバシー設定を確認し、提供されている場合はAIトレーニングのオプトアウトも含めて確認しよう。
  • GDPRの権利が完全に適用されている間は、データへのアクセスや削除を請求する権利を使い続けよう。
  • 立法プロセスを追随しよう。ルールをめぐる争いについてより深い背景を知りたい場合は、EU理事会のGDPR交渉に関する報道を読んでほしい。

EUデジタルオムニバスによるGDPRの変更はまだ進行中であり、Cookie、データ定義、AIに関する規定の最終的な形が、ヨーロッパの人々がどれだけのプライバシーを保てるかを決めることになる。情報を入手し続け、今すぐ自分の設定を厳格にすることが、主導権を保つ最も確実な方法だ。