個人情報保護・プライバシー 2023年の振り返りと2024年の展望 ～欧州編～

1 法令改正・立法（EU）

　EUにおいては、データに関連して従前より多岐にわたる法令改正・立法の動きがありますが、そのうち、2023年の主な法令改正及び立法に関する動向は以下のとおりです。

(1) GDPRに関連する法令改正・立法

① GDPR執行規則案

　GDPR関連では、2023年7月4日に欧州委員会によって、GDPR執行規則案（Proposal for a Regulation laying down additional procedural rules relating to the enforcement of the GDPR）が公表されました。同規則案は、EU各加盟国の監督機関の行政手続を調和させ、監督機関の間での協力に関するルールを合理化することで、複数の監督機関が関与する執行事案のより効率的な処理を促進することを目的とする規則（regulation）※1の案であり、現在、採択に向けて欧州議会及びEU理事会に提出されています。

② 米国への越境移転に関する十分性認定

　2023年7月10日、欧州委員会は、米欧データ・プライバシー・フレームワーク（EU-U.S. Data Privacy Framework、以下「DPF」といいます。）に関する十分性認定を採択しました※2。これにより、EUからDPFに参加している米国企業に対して、十分性認定に依拠して個人データを移転させることが可能になりました。

(2) データに焦点を当てた法令改正・立法

① データガバナンス法

　2023年9月24日にデータガバナンス法（Regulation on European data governance（Data Governance Act））の適用が開始されました。同法は、公共機関が保有するデータの再利用や、データ仲介事業者、公益目的でのデータ利用に関するルールを定める規則です。

② データ法

　2024年の出来事にはなりますが、同年1月11日にデータ法（Regulation on harmonised rules on fair access to and use of data）が発効しました。同法は、IoT機器の普及を踏まえて、データのポータビリティの強化やデータの提供者と受領者の関係を規律するルールの整備により、データの生み出す価値を公平に分配することを目的とする規則で、2025年9月からの適用開始が予定されています。

(3) AI関連の法令改正・立法

① 改正製造物責任指令案

　2023年10月9日に、改正製造物責任指令案（Proposal for a Directive on liability for defective products）について、欧州議会、EU理事会及び欧州委員会の三者協議が開始されました。なお、日本法の下ではハードウェアに組み込まれていないソフトウェアは製造物責任法の適用対象ではありませんが、同指令案では、AIシステムを含むソフトウェアも製造物責任の対象としています。

(4) デジタル市場関連の法令改正・立法

① デジタル市場法（DMA）

　2023年5月2日に、デジタル市場法（DMA）（Regulation on contestable and fair markets in the digital sector（Digital Markets Act））の適用が開始されました。同法は、公正で開かれたデジタル市場を実現することを目的とし、一定の基準を満たすオンラインプラットフォームをゲートキーパーとして指定した上で、ゲートキーパーが遵守すべき義務を規定するものです。ゲートキーパーは、同年9月6日に指定されており、2024年3月6日までに同法上の義務を遵守する必要があります。

② デジタルサービス法（DSA）

　デジタルサービス法（DSA）（Regulation on a Single Market For Digital Services（Digital Services Act））※3が先行して適用される、大規模オンラインプラットフォーム（VLOP: Very Large Online Platforms）及び大規模検索エンジン（VLOSE: Very Large Online Search Engines）として、2024年1月18日現在までに17の事業者、22のサービスが指定されました。同法は、オンラインプラットフォーム等の仲介サービスを対象として、事業者の違法コンテンツへの対策に関する責任等を定め、ユーザーの保護を強化するとともに、サービスの透明性やアカウンタビリティを高める枠組みを提供するものです。本年2月17日からは、全ての対象事業者に対して適用が開始されます。

(5) サイバーセキュリティ関連の法令改正・立法

① 改正ネットワーク及び情報システム指令、重要事業体のレジリエンスに関する指令

　2023年1月16日に、改正ネットワーク及び情報システム指令（NIS2指令）（Directive on measures for a high common level of cybersecurity across the Union）、及び、重要事業体のレジリエンスに関する指令（CER指令）（Directive on the resilience of critical entities）が発効しました。NIS2指令は、サイバーセキュリティリスクの対策に関する措置及び報告義務のベースラインを定める指令（directive）※4、CER指令は、重要事業体のレジリエンスの強化に関する国家戦略の策定や定期的なリスク評価の実施、重要事業体の特定等の加盟国の義務等を定める指令です。EU加盟国は本年10月18日までにNIS２指令及びCER指令に対応する国内法を制定する必要があります。

② 金融セクターに関するデジタル・オペレーショナル・レジリエンス法

　同じく2023年1月16日に、金融セクターに関するデジタル・オペレーショナル・レジリエンス法（DORA）（Regulation on digital operational resilience for the financial sector）も発効しました。DORAは、金融機関のITセキュリティを強化し、深刻なオペレーション上の障害に対する金融セクターのレジリエンスを確保することを目的とした規則で、2025年1月17日からの適用開始が予定されています。

③ サイバー連帯法案

　2023年4月18日に、欧州委員会によって、サイバー連帯法案（Proposal for a Regulation laying down measures to strengthen solidarity and capacities in the Union to detect, prepare for and respond to cybersecurity threats and incidents）が公表されました。同法案は、重大で大規模なサイバーセキュリティ上の脅威及び攻撃について検知、準備、対応する能力の強化を目的とした規則案であり、現在、採択に向けて欧州議会及びEU理事会に提出されています。

④ サイバーセキュリティ認証スキーム

　さらに、欧州委員会は、本年1月31日に、EUサイバーセキュリティ認証スキーム（EUCC）に関する執行規則（Commission Implementing Regulation laying down rules for the application of Cybersecurity Act as regards the adoption of the European Common Criteria-based cybersecurity certification scheme）を採択しました。同スキームは、セキュリティ関連部品を含むIT製品を対象として、認証に関する手続や脆弱性開示義務等のルールを定めるものです。

2 法令改正・立法（英国）

　2023年の英国における主な法令改正及び立法に関する動向は以下のとおりです。

(1) UK GDPR関連の法令改正・立法

　2023年3月8日には、データ保護・デジタル情報法案（The Data Protection and Digital Information Bill）が議会に提出されました。同法案については、2022年に第一次案が提出されていたものの立法手続が止まっていたところ、改めて第二次案が提出されたものです。同法案は、書類作成やデータ取得時のポップアップを削減し、英国企業の法令遵守のコスト及び負担を軽減すること等を内容としています。

　2023年10月12日には、英国・米国間のデータ保護（十分性）に関する規則（The Data Protection (Adequacy) (United States of America) Regulations 2023）が発効しました。これにより、英国の事業者は、DPFに参加した上で英国への拡張（UK Extension）をしている米国企業に対し、UK GDPRに定める保護措置を講じることなく、個人データを移転することが可能になりました。

(2) AI関連の法令改正・立法

　2023年11月22日には、AI法案（Artificial Intelligence (Regulation) Bill）が議会に提出されました。同法案は、AIに関する政策の調整等を行う当局の設置や、AIに関する規則を制定する閣内大臣の義務等を定めています。

(3) デジタル市場関連の法令改正・立法

　2023年4月25日には、デジタル市場、競争及び消費者法案（Digital Markets, Competition and Consumers Bill）が議会に提出されました。同法案は、競争・市場庁の権限強化、不公正な商行為やサブスクリプション契約に関する消費者保護等を定めるものです。

　2023年10月26日には、オンライン安全法（Online Safety Act 2023）が成立しました。同法はSNS等を運営する対象事業者に対して、違法コンテンツの削除や子どもが有害ないし不適切なコンテンツにアクセスすることを防止する義務等を負わせるものです。

3 当局ガイダンス

　2023年にEU及び英国で採択又はアップデートされた主なガイダンス（ガイドライン、報告書等を含みます）は以下のとおりです。

(1) EU

(2) 英国

(3) AI関連（生成AIを含む）

　欧州では、2023年3月30日にイタリアのデータ保護機関（Garante）がChat GPTを運営するOpen AI社に対してデータ処理の一時的な制限を命じた事例が注目を集めましたが※6、2023年は、上記のとおりAIに関するガイダンスが見られ、この他にも、各国のデータ保護機関がAIの使用に関するガイダンスを公表したり※7、EDPBがChat GPTに関するタスクフォースの立上げを発表するといった動きが見られました※8。

4 当局による執行事例等

(1) 主な執行事例及び判断

　2023年のEU及び英国における主な執行事例及び判断は以下のとおりです。

(2) 主な裁判例

　2023年のEUにおける主な裁判例は以下のとおりです。

5 2024年の展望

(1) 米国への越境移転に関する十分性認定に関する動向

　DPFに関する十分性認定により、個人データをEUから米国に移転している企業にとっては、DPFを利用することにより、米国に個人データを適法に移転する新たなルートが追加されたといえます。特に、DPFに依拠してEUから米国へと個人データを適法に移転する場合、SCCに依拠する場合と異なり、事業者において高いコストのかかる移転影響評価を実施する必要がないというメリットがあります。

　もっとも、DPFの前身であるプライバシーシールド及びそのさらに前のセーフハーバールールが欧州司法裁判所の判断によって無効化されてきたこともあり、欧州司法裁判所が今回のDPFを無効と判断する可能性が完全に否定されたわけではないため、動向については引き続き注視が必要です※9。

(2) 2024年の法令改正・立法

① AI法案

　2024年に見込まれている立法としては、まず、早ければ本年前半に、AI法（AI Act）案（Proposal for a Regulation laying down harmonized rules on artificial intelligence）が正式に採択されることが予想されています。同法案は、AIに関する横断的な法的枠組みを提供することを目的とし、リスクベースアプローチに従って、提供の禁止や、AIが満たすべき一定の要件、提供者の義務等を定める規則案で、2023年12月8日に、欧州議会及びEU理事会が政治的合意に至ったことが発表されています。また、AIについては、上記のとおり2023年に各国のデータ保護機関がAIの使用に関するガイダンスを公表したことなども踏まえると、2024年も引き続きAIについては執行に向けた動きを含めて各国のデータ保護機関の動向について注視が必要といえます。

② サイバーレジリエンス法案

　また、サイバーレジリエンス法（CRA）案（Proposal for a Regulation on horizontal cybersecurity requirements for products with digital elements）も本年前半に発効することが予想されています。同法案は、デジタル要素を含む製品について、そのライフサイクル全体を通じて満たすべきサイバーセキュリティ上の要件を定める規則案で、2023年11月30日に、欧州委員会、EU理事会及び欧州議会が合意に至ったことが発表されています。

③ その他の法案

　その他にも、全てのプラットフォームに対するDSAの適用開始（2月17日）や、DMA上の義務の適用開始（3月6日）、NIS２指令及びCER指令の国内法制定期限（10月18日）が予定されています。

(3) おわりに

　2023年もデータに関連して多岐にわたる法令改正・立法の動きがあり、また、当局からのガイダンスも数多く公表されると共に執行についても積極的に行われ、さらにはGDPRの解釈についての重要な裁判例も出てきています。そして、近時は、技術の発展に伴う個人の権利利益の保護の必要性がますます高まっていることから、2024年もこれらの傾向は続くことが予想されます。このため、企業としては引き続き欧州の動向について注視していくことが重要といえます。