EU理事会、GDPR・Cookie・サイバー報告の簡素化案で交渉方針　法改正はまだ成立せず

1 日前

読了時間: 4分

EU理事会は2026年10月21日、個人情報保護、ウェブ上のCookie、サイバーセキュリティ事故の報告制度などを見直す「Digital Omnibus（デジタル・オムニバス）」の交渉方針に合意した。公式発表は22日に理事会の交渉文書を追加して更新された。EUで事業を展開する日本企業にも関係し得る変更だが、現段階ではEU理事会の立場がまとまったにすぎず、改正法の成立や施行を意味しない。

ブリュッセルの欧州委員会ベルレモン本部前に掲げられた複数のEU旗。今回のデジタル・オムニバス協議当日の写真ではない。 — EU旗と欧州委員会のベルレモン本部の参考写真（2021年）。© European Union, 2021／CC BY 4.0。写真：欧州委員会Audiovisual Service。建築：Lucien De Vestelほか／Berlaymont 2000。今回の理事会議事の実写ではない。

10月21日に決まったのは「理事会の立場」

今回の合意は、欧州委員会が提示した規則改正の提案に対し、加盟国政府で構成されるEU理事会が今後の交渉方針を決めたものだ。欧州議会が独自の立場を確定した後、両機関などの間で最終的な条文に向けた協議が進む。したがって、ウェブ事業者や企業がこのニュースだけを根拠にCookie同意や個人情報の扱いを直ちに変えるのは適切でない。

GDPR：個人データの定義は維持

理事会はGDPR（一般データ保護規則）の現行の「個人データ」の定義を維持する一方、仮名化したデータと個人の識別可能性に関するルールを明確化する方針を示した。根拠のない、または過度な開示請求への対応や、個人のリスクが低い一定の場合の情報提供義務も簡素化の対象とする。ただし、個人情報を自由に使えるようにするという意味ではない。

研究利用・AI開発には追加の論点

科学研究を原則ベースで定義し、研究機関が個人データを扱う際の一部の義務を整理する方向性が盛り込まれた。AIシステムの開発・運用や生体認証に関連する機微な情報の処理についても、例外の可能性を検討しつつ、権利保護のための追加措置を求める。ここで示されているのは法制度上の提案と交渉方針であり、個別のAI製品が既に適法と判断されたわけではない。

欧州議会の資料写真として撮影された、黄色い星が見える欧州旗のクローズアップ。2026年のEU理事会会議の写真ではない。 — 欧州旗のクローズアップ（2024年3月撮影）。© European Parliament、CC BY 2.0、Wikimedia Commons経由。今回の理事会会合当日の写真ではない。

Cookie同意の例外を明確化

理事会案は、オンライン追跡技術に関する既存のePrivacy指令上の枠組みを維持しながら、同意が不要になり得る用途をより明確にする。具体例として、サービス提供に不可欠な場合、利用状況の測定、利用者の機器の安全を守る場合などが挙げられた。狙いは不必要なCookie同意バナーを減らすことだが、あらゆる広告・追跡目的のCookieを無条件で使用できるようにするものではない。

サイバー事故の報告窓口は各国単位へ

企業が複数のEU法に基づいて事故を報告する場合、窓口が分散する負担が課題になっている。理事会は、欧州委員会案にあったEU全域の単一提出窓口ではなく、各加盟国に報告の入り口を置く方式を支持した。EUレベルの情報窓口や国境をまたぐ通知の調整も提案する。GDPRの個人データ漏えい報告期限を延長する提案も支持しているが、具体的な義務や期限は最終的な成立条文で確認する必要がある。

データ共有と営業秘密の保護

データ仲介や公共部門のデータ再利用に関する制度も整理する方針だ。特に営業秘密が第三国に漏れるリスクへの対応として、機密性を保つ措置が講じられた後でなければ営業秘密の開示を求めない考え方を示した。規制緩和の一方で、企業秘密や個人の権利を保護する条件をどう具体化するかが審議の焦点になる。

日本企業が確認すべき点

EU顧客にサービスを提供するウェブサイト、SaaS、EC、データ処理委託先、AI開発会社などは、今回の交渉方針を将来の規制変更のシグナルとして捉えられる。実務上は、現行GDPR・Cookie同意・事故報告義務を維持し、①欧州議会の交渉方針、②最終的な法律の文言、③適用開始日、④加盟国の窓口制度を追跡することが先決だ。「EUがCookie規制を廃止した」「GDPRが緩和され施行済み」といった見出しは現時点では正確でない。