EUの個人データ規則は自社に及ぶか｜適用の条件と最初の一手

「EUに拠点がないので、うちには関係ないと思っていました」「欧州向けのページは作っていないから対象外ですよね」——法務や情報システムの担当者から相談を受けると、最初に出てくるのはたいていこの2つです。ただ、この規則が見ているのは会社がどこにあるかではありません。本当は誰のデータを、どういう相手に向けて扱っているかで決まります。この記事では、EUの個人データ規則が自社に及ぶ条件と、及ぶと分かったときに最初に踏む手順を、順に見ていきます。

「拠点がないから関係ない」が成り立たない理由

この思い込みは、規則の名前から来ています。欧州の規則なのだから欧州の会社の話だ、という連想です。ところが条文が見ているのは事業者の所在地ではなく、処理している個人データが誰のものかと、その事業者がその人たちに何をしているかです。フランスのデータ保護当局の解説でも、EU域内に所在する個人に関するデータの処理について、商品やサービスの提供に関連する場合と、域内にいる個人の行動の監視に関連する場合に規則が適用される、という形で整理されています。

この読み方が実務で効くのは、日本の会社が「欧州向けの事業をしている」という自覚を持たないまま条件を満たしてしまう場面があるからです。海外の展示会で集めた名刺、英語版のサイトから届いた問い合わせ、現地法人に勤める従業員の情報、代理店を経由して届く技術的な問い合わせ。どれも欧州向けの販売計画とは別の経路で社内に入ってきます。所在地で切ると、この経路がまるごと視界から外れます。

逆に言えば、条件を確かめる作業は「欧州でどれだけ売っているか」を数える作業ではありません。手元にある名簿と履歴に、欧州にいる人がどう混ざっているかを見る作業です。出発点をここに置き換えるだけで、後の手順の順番が自然に決まります。売上がゼロでも名簿に混ざっていることはあり、その逆はほとんどありません。

もう1つ、所在地で切ると必ず抜けるのが従業員と応募者の情報です。欧州に駐在している社員、現地法人で採用した社員、欧州から届いた採用の応募。これらは営業の名簿とは別の場所で管理されているうえ、人事の部門はマーケティングやシステムの検討の場に呼ばれないことが多い。適用の検討を顧客のデータだけで進めると、この経路はそのまま残ります。最初の声かけの範囲を営業・マーケティング・人事・情報システムの4部門に広げておくと、後から作り直す手間が減ります。声をかける順番としては、名簿の器を最も多く持っている部門から始めると、全体像が早く見えます。

決めているのは所在地ではなく、相手と行為の2つ

条文の構造を、実務で使える形に言い直します。ひとつ目は、EU域内にいる人に商品やサービスを差し出しているかどうか。ふたつ目は、EU域内にいる人の行動を見ているかどうか。このどちらかに当たれば、事業者が日本にあっても射程に入ります。相手が欧州の国籍かどうかではなく、その人がEU域内にいるかどうかで見る点が、日本の名簿管理の感覚と食い違います。

この違いは具体的な場面で効きます。日本に住んでいる欧州出身の担当者は、この観点だけで見れば対象になりません。逆に、日本の会社に勤めていて欧州に駐在している日本人の担当者は、その人が域内にいる間の扱いが対象になり得ます。国籍の欄をいくら見ても答えは出ません。所在の情報を持っているかどうかが分かれ目になります。

そのため、最初に確かめるのは名簿の項目です。所在地の欄がない、あるいは国名が自由記入で表記がばらついている名簿では、この判定そのものができません。判定ができないことと、対象でないことは違います。ここを混同したまま「対象外」と社内に説明してしまうのが、最も多い事故の入口です。

「向けている」と言えるのはどういう状態か

商品やサービスを差し出している、という条件は、サイトが世界中から見えるという事実だけでは満たされません。実務では、欧州の相手に届けるつもりがあると外から読み取れる痕跡があるかどうかで考えます。判断材料になるのは、通貨や言語の用意、配送や導入の対象地域の記載、欧州の連絡先や現地の電話番号、欧州の顧客の実績紹介、欧州に向けた検索広告への出稿といった要素です。

一方で、日本語だけのサイトに欧州から偶然たどり着いた、という状態は、それだけでは「向けている」ことになりません。ここを混同すると対象を広く取りすぎ、手続きが止まって何も進まなくなります。意図が外から読み取れるかという軸を1本通しておくと、社内の議論が短く済みます。

BtoBの場面で厄介なのは、この痕跡が営業とマーケティングの側に散らばっていることです。英語版の会社案内、海外向けのウェビナー、海外の見込み客に送っているメール、代理店に渡した提案資料。マーケティング部門が持っている素材が、そのまま判断材料になります。法務だけで決めきれないのはそのためで、素材の一覧を先に渡せるかどうかで所要日数が変わります。

痕跡の集め方にも順番があります。まず公開されているもの、つまり誰でも見られるサイトと配布物から集めます。次に、外へ出しているが公開ではないもの、たとえば個別に送っているメールや代理店に渡した資料を集めます。公開されている痕跡だけで条件に触れるなら、その先を調べるまでもなく結論は出ます。逆に、公開の範囲では触れないと分かってから非公開の範囲を調べれば、調べる量そのものが大きく減ります。順番を逆にすると、量の多い非公開の資料から手を付けることになり、途中で力尽きます。

「行動を見ている」に当たりやすいのはマーケの仕組み

もうひとつの条件は、域内にいる人の行動を見ているかどうかです。マーケティングの実務では、こちらのほうが引っかかりやすい。サイトの計測、広告の追跡、メールの開封や閲覧の記録、資料のダウンロード履歴、見込み度合いの点数付け。いずれも人の行動を継続的に見て、次の打ち手に使う仕組みです。

仕組み	記録しているもの	確かめること
サイトの計測	閲覧した頁・滞在・流入元	欧州からの訪問を分けて見られるか
広告の追跡	訪問後の行動と再訪	配信対象の地域から欧州を外しているか
メールの配信	開封・クリックの履歴	配信先の名簿に欧州の所在が混ざるか
点数付け	行動の蓄積と自動の格付け	点数が扱いの差につながっていないか

注意したいのは、この条件が販売の意図と切り離して働くことです。欧州に売るつもりがなくても、欧州から来た訪問者の行動を記録して分析していれば、条件に当たり得ます。計測のタグをサイト全体に入れている会社は、実質的に「見ている」状態を全ページで作っています。計測の設計を法務の話として扱ったほうが、結果的に早く片づきます。

最初の一手を5つの工程に置く

及ぶ可能性があると分かったあと、いきなり方針の文書を書き始めると必ず止まります。事実を集める工程と、判断する工程を分けるのが先です。次の5つの順番で進めると、途中で戻る回数が減ります。

この5工程のうち、社内で最も時間がかかるのは1と2です。逆に言えば、ここさえ終わっていれば、法律の判断は専門家に短時間で渡せます。判断を先に外へ出そうとして、事実を渡せずに何往復もするのが、最もよくある遠回りです。

工程1でつまずくのは、名簿が1か所にないから

名簿を書き出す作業は、始めてみると器の数の多さで止まります。営業部門の表計算、配信基盤の一覧、問い合わせの受信箱、ウェビナーの申込者、過去に配った資料のダウンロード記録。所在の欄があるものとないものが混在し、国名の表記も「ドイツ」「独」「欧州」とばらばらです。ここを人手だけで揃えようとすると、それだけで数週間が消えます。

この揃える作業は、AIに寄せられる数少ない工程です。列の意味を推定して名前を揃える、国名の表記ゆれをまとめる、所在の欄がない器に印を付ける、といった作業は、判断ではなく整理だからです。AIに任せるのは整理であって、対象かどうかの判定ではありません。この線を最初に引いておかないと、後で出力をそのまま結論に使ってしまいます。

実際に指示するときは、器の一覧と列名だけを渡し、中身の個人データは渡さない形から始めます。出力には必ずその判断の根拠になった列名を併記させると、人が確かめる手間が大きく減ります。根拠を書けない行は、そのまま人が見る行として残します。

工程3：預けている先に、生成AIのツールを必ず入れる

預け先を並べる作業で抜けやすいのが、部門が個別に契約している生成AIのツールです。配信基盤やサポートの仕組みは情報システムの台帳に載っていますが、対話型のAIは部門の経費で入ることが多く、台帳の外に出ます。ところが実務では、そこに顧客の名前や問い合わせの本文が最も入りやすいのが実情です。

並べるときは、契約の有無ではなく実際に何を打ち込んでいるかで棚卸しします。問い合わせの原文を貼って返信案を作らせている、名刺の情報を貼って会社概要を調べさせている、商談の記録を貼って要約させている。この3つは、どの会社でも出てきます。

外部のツールに打ち込んだ時点で、それは自社の中で完結した処理ではなくなります。学習に使わないという条項が付いていても、預けたという事実は変わりません。預けた先の一覧に載っていない預け先がある状態が、説明を求められたときにいちばん困る形です。

棚卸しの進め方としては、部門に「何を使っているか」と聞くより、「先月、外部のツールに貼り付けた文章を1つ挙げてください」と聞くほうが早く実態が出ます。契約の一覧では見えない使い方が、この聞き方だと1回で出てきます。出てきたものを責めない、という前置きを添えておくのが、実際に集めるうえでの勘どころです。隠されたまま使われ続けるより、台帳に載って条件を付けられる状態のほうが、はるかに安全だからです。

工程4：外に出す根拠は3つの枠組みから選ぶ

欧州の外へデータを持ち出すときの根拠は、大きく3種類に整理できます。フランスのデータ保護当局の解説では、十分性の決定に基づく移転、標準契約条項などの適切な保障措置に基づく移転、そして本人の明示的な同意などの特定の状況における例外、という並びで説明されています。

根拠の種類	使える場面	実務での重さ
十分性の決定	対象とされた国・地域が相手のとき	追加の枠組みを組まずに済む
適切な保障措置	対象外の国が相手のとき	契約と移転先の状況の確認が要る
特定の状況の例外	限られた場面に絞られる	常用の根拠にはしない

同じ当局の移転影響評価の手引きでは、移転先が欧州委員会の十分性の決定の対象である場合や、例外の規定に基づく移転の場合には、この評価は必要ないとされています。逆に言えば、それ以外の国へ持ち出す場合は、移転の前に評価を行うことが前提になります。日本も十分性の決定を受けた側に数えられていますが、対象の範囲と条件は改定されることがあるため、最新の公表資料で確かめるのが安全です。

ここで押さえておきたいのは、移転の枠組みが整うことと、規則が及ばなくなることは別だという点です。持ち出しの根拠が用意できても、本人への説明、記録、請求への対応といった義務がなくなるわけではありません。この2つを混ぜて「十分性の決定があるから大丈夫」と説明すると、後で作り直しになります。

生成AIのツールに渡すときに増える確認

欧州の在住者の個人データを生成AIのツールに渡す場合、通常の外部委託に加えていくつか確認が増えます。ひとつは、入力した内容がどこで処理され、どこに保存されるか。ふたつ目は、入力と出力が学習に使われるかどうか。3つ目は、保存された履歴を後から取り出せるか、削除できるか。4つ目は、その事業者がさらに別の事業者を使っている場合に、その先まで説明できるか。

この4点は、無料の個人向けプランと法人向けの契約とで扱いが大きく違います。同じ製品名でも、契約の形が変われば説明できる範囲が変わります。製品名で管理せず、契約の単位で管理するほうが、実態と合います。

• 問い合わせの原文をそのまま貼る：氏名・所属・連絡先が本文に含まれたまま外へ出る
• 個人向けプランで業務の記録を扱う：契約上の説明ができず、後から根拠を作れない
• 履歴の削除方法を確かめずに使い始める：本人から請求が来たときに応じる手段がない
• 試用のつもりで始めて、そのまま常用にする：台帳にも規程にも載らない預け先が残る

実務上いちばん効くのは、入力の前に人が名前と連絡先を落とす工程を1つ挟むことです。手間に見えますが、後から取り消せない持ち出しを1件も作らないための最も安い保険になります。

自動で選別・格付けする仕組みに置かれた追加の要求

見込み度合いの点数付け、与信の判断、応募者の絞り込みのように、人の手を介さずに扱いを分ける仕組みには、追加の要求が置かれています。フランスのデータ保護当局の解説では、本人は自動化された処理のみに基づく法的効果を伴う決定の対象とされない権利を持つ、という形で説明されています（一定の場合の例外があります）。

マーケティングの現場に引き寄せると、点数が付くこと自体が直ちに問題になるわけではありません。効いてくるのは、その点数だけで扱いが自動的に決まる場面です。点数が低いだけで問い合わせへの返信が止まる、応募が自動で落ちる、といった作りになっていると、人が関与する余地がない状態になります。

設計としての対処ははっきりしています。自動の結果を最終決定にせず、人が見る工程を1つ残すこと。そして、点数の根拠になった要素を後から示せるようにしておくことです。AIに点数を出させてよいが、扱いの分岐は人が確定させる。この線を引いておくと、説明を求められたときに答えが用意できます。

作り始める前に織り込む設計の勘どころ

適用の条件を確かめる作業と並行して進めておきたいのが、これから作る仕組みの設計です。フランスのデータ保護当局が開発者向けに出している手引きでは、保護の考え方を開発の最初から組み込むこと、収集を厳密に必要な範囲に絞ること、保存の周期と削除の仕組みを用意すること、権利を行使できる窓口がどこかを利用者に明示すること、通信を暗号化すること、追跡の仕組みを置く前に同意を得ることが、技術側の責任として並べられています。

この並びが実務で効くのは、どれも後から足すと高くつく項目だからです。収集を絞るのは、集め始めたあとでは既存のデータの扱いを説明しなければなりません。保存の周期は、溜まってから決めると削除の作業そのものが工数になります。権利行使の窓口は、問い合わせが来てから作ったのでは間に合いません。新しい仕組みを作るときに、この6点を設計の項目として先に並べておくのが、結果としていちばん安く済みます。

生成AIを組み込む仕組みでも、当てはめ方は変わりません。入力に載せてよい項目を絞る、履歴の保存期間を決める、削除の手段を実際に試す、通信の経路を確かめる。作ってから規則に合わせるのではなく、規則の項目を設計の項目として持つ。この順番にしておくと、後から適用の有無が判明したときの手戻りが小さく済みます。設計の記録に、この6点をどう満たしたかを1行ずつ残しておくと、説明を求められたときにそのまま使えます。

侵害が起きたときの通知は72時間が目安

個人データの侵害が起きたときの通知には、期限があります。デンマークのデータ保護当局の案内では、不当な遅滞なく、可能な場合には把握してから72時間以内に監督機関へ通知することとされ、対象となった人にリスクが生じるおそれが低い場合は通知が不要とされています。72時間は、原因が判明してからではなく把握してから数える点が実務では重い制約です。

同じ案内では、通知に載せる内容として、連絡先、事案の説明、対象となった人の区分と人数、対象となった記録の区分と件数、事案の前に講じていた措置、影響を抑えるために取った措置、本人へ通知したかどうかとその方法・時期、通知していない場合はその理由が挙げられています。件数と区分を短時間で出せるかどうかが、この期限を守れるかどうかを決めます。

• 把握した時刻を記録する担当を、部門ごとに1人決めておく
• 件数と区分を出すための集計手順を、平時に1度試しておく
• 外部の預け先で起きた場合に、何時間以内に自社へ連絡が来るかを契約で確かめる
• 国内の報告先への対応と、欧州側への通知は別の段取りとして並べておく

制裁金の上限は2段階で、売上高で計算される

制裁金の上限は、違反の重さによって2段階に分かれています。フランスのデータ保護当局の解説では、重い側は全世界の年間売上高の4パーセントか2,000万ユーロのいずれか高いほう、軽い側は2パーセントか1,000万ユーロのいずれか高いほう、という形で説明されています。固定額と売上高に対する割合の、高いほうが上限になるという決め方です。

この決め方が意味するのは、売上が大きい会社ほど固定額が意味を持たなくなるということです。国内の事業が中心で欧州の売上がわずかでも、計算の分母は全世界の年間売上高です。欧州での事業規模で上限が決まるわけではない、という点が、社内で予算を確保するときの説明材料になります。

なお、当局が使える手段は制裁金だけではありません。同じ当局の公表では、金銭的な制裁のほかに、是正の命令、注意、支払いの確定といった処分が並んでいます。金額の話だけを持ち出すより、処理の停止を命じられる可能性を併せて説明したほうが、現場に伝わります。配信や計測を止められると、その期間の施策がまるごと動かせなくなるからです。

社内で予算と工数を確保するときに使いやすいのは、金額そのものより計算の分母が全世界の年間売上高であることの一点です。欧州向けの売上が全体のごくわずかでも、上限は全社の売上高から計算される。この構造を先に共有しておくと、「欧州の事業は小さいから後回しでよい」という判断が出にくくなります。金額の大きさを競う説明よりも、決め方の構造を伝えるほうが、必要な工数の確保につながります。

「小さい会社は関係ない」が成り立たない理由

規模で線が引かれていない、というのがまず理由の1つです。適用の条件は、EU域内にいる人に向けているか、その行動を見ているかであって、従業員数でも売上高でもありません。小さい会社でも、英語のサイトから欧州の問い合わせを受けていれば条件に触れます。

2つ目は、取引の連鎖から来ます。欧州の企業と取引すると、相手方から自社の取り扱いについて説明を求められます。答えられないと、規則の適用の有無とは別に取引の条件として詰まる。実務では、当局からの指摘より先にこちらが起きます。

3つ目は、体制の話です。小さい組織ほど、名簿が個人の端末や個人の受信箱に散らばりがちで、洗い出しに時間がかかります。規模が小さいことは、作業が軽いことを意味しません。むしろ器が台帳に載っていないぶん、最初の工程が重くなることが多いのが実感に近いところです。

では小さい組織はどこから手を付けるか。現実的なのは、器の数を増やさない方向に寄せることです。名簿を持てる場所を絞る、個人の受信箱で管理していた問い合わせを1か所に集める、使っていない配信の仕組みを閉じる。守る範囲を広げるのではなく、守る対象を減らすほうが早い。この整理は規則への対応としてだけでなく、日々の運用の手間も同時に減らします。工数の説明としても通りやすい進め方です。

適用の有無はAIに判定させない

ここまでの工程で、AIに寄せてよいのは事実を集めて揃える部分だけです。器の一覧を作る、表記のゆれを揃える、預け先を突き合わせる、契約書の中から該当しそうな条項を拾う。いずれも後から人が検算できる作業です。

一方で、自社が対象かどうか、どの根拠で持ち出しを説明するか、通知が必要な事案かどうかは、条文の解釈が入ります。ここをAIに答えさせると、それらしい結論が返ってきてしまうぶん、かえって危険です。出させるのは根拠と候補であって、結論ではありません。指示の形も「対象かどうか判定して」ではなく「判断に必要な事実がどこにあるか列挙して」に変えると、扱いやすい出力になります。

運用としては、AIの出力に必ず参照した列名・文書名・条項名を書かせること、そして根拠を示せない項目は空欄のまま人に回すことの2つを決めておきます。空欄が残ることを許さない運用にすると、埋めるために作り話が入ります。埋まらないことが分かる状態のほうが、実務では価値があります。

確認する項目の一覧

ここまでの内容を、着手前に確かめる形にまとめます。すべてに答えられなくても構いません。答えられない項目がどれかが分かることが、この一覧の目的です。

• 名簿と履歴が入っている器を、持ち主の氏名まで含めて一覧にできているか
• 器ごとに、所在地の欄があるかどうかを確かめたか
• 欧州の在住者が入ってくる経路を、5つ以内に整理できているか
• 英語版の資料・海外向けの配信・代理店に渡した素材を、判断材料として並べたか
• 計測と追跡が、どの地域からの訪問に何を記録しているかを書き出したか
• 外部の預け先の一覧に、部門が個別に契約している生成AIのツールが載っているか
• 預け先ごとに、持ち出しの根拠をどの枠組みで説明するかを1つ選んだか
• 自動の点数付けが、人の関与なしに扱いを分ける作りになっていないか
• 侵害を把握した時刻を記録する担当と、72時間の段取りが決まっているか
• AIに任せる工程と、人と専門家が確かめる工程を文書で分けたか

この一覧は、法務に相談する前の材料集めとしても使えます。埋まった項目をそのまま渡せば、相談は短く済みます。埋まらなかった項目こそが、相談すべき論点です。

まとめ

EUの個人データ規則が自社に及ぶかどうかは、会社がどこにあるかではなく、EU域内にいる人に向けているか、その人たちの行動を見ているかで決まります。だから最初の一手は方針の文書を書くことではなく、名簿と履歴のどこに欧州の在住者が混ざるかを洗い出すことになります。器を並べ、経路を追い、預け先を並べ、持ち出しの根拠を1つ選び、通知の段取りを名前入りで決める。この5つの工程を事実の側から先に埋めれば、条文の判断は専門家に短時間で渡せます。AIは器の整理と突き合わせに使い、対象かどうかの判断と条文の解釈は人と専門家が確かめる。この線を最初に引いておくことが、いちばん確実な備えになります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。