2025年11月19日、欧州委員会は、欧州全域のデジタル・データ・ガバナンスのあり方を変更するための提案パッケージであるデジタル・オムニバスを公表しました。
これらの提案は、企業の事務・コンプライアンス負担を軽減し、法規制環境を合理化し、イノベーションを支援することで、欧州全体の競争力と成長を向上させることを目的としています。
デジタル・オムニバスにおける主な提案
提案されている変更の主な内容は以下の通りです：
- EUのデータ関連法制をデータ法（Data Act）および一般データ保護規則（GDPR）に統合し、企業の規制遵守の簡素化を目指す。
- 個人データの定義を変更し、当該管理者がデータから個人を識別できる場合にのみ個人データとみなす。
- 処理の適法性根拠を拡張し、AIシステムの開発に個人データを利用することを含める。
- データ主体アクセス要求（Data Subject Access Request (DSAR)）：DSARが過剰、反復的、またはデータ主体の個人データ保護以外の目的であると判断される場合、管理者は合理的な手数料を請求するか、対応を拒否できる。
- データ侵害：侵害により自然人の権利および自由に対して高いリスクが生じる恐れがある場合、管理者は侵害の報告に関する新たな統一窓口を通じて、96時間以内に監督当局へ通知しなければならない。
- ワンクリックで設定を一括管理できる機能により、クッキーに関するガバナンスの負担を軽減し、クッキーバナーのわずらわしさを解消する。
デジタル・オムニバス変更への準備
これらの提案はまだ最終化されていませんが、企業は変更が確定した際の円滑な移行に向けて、今から計画を立て始めることができます。
- 現行のGDPRおよびeプライバシーに関するポリシーを見直し、現行の法令に照らして堅牢かつ適合していることを確認する必要がある。
- データ侵害やサイバーインシデントに対処する際には、準備が鍵となるため、包括的な侵害対応計画を策定しておくことを推奨する。
- また、企業はDSARへの対応方法を十分に理解し、それに応じたスタッフ研修を実施しておく必要がある。
提案されている変更に関する今後のスケジュール
2026年5月時点で、欧州議会、欧州連合理事会、欧州委員会はデジタル・オムニバスのデータプライバシーに関する事項について引き続き協議しており、規則や法律の変更は最終決定に至っていません。ただし、交渉の進展次第では、これらの変更の一部が年末までに行われる可能性があります。
3CS にできること
これらの変更に伴い、データ処理に関する文書、ガバナンス体制、実務運用を見直し、修正や更新が必要な点がないか確認することを推奨します。弊所はお客様がデータプライバシーに関する義務を理解し、GDPRやUK GDPRを含む規制を遵守するための措置を講じるように支援してきた実績があるため、この評価作業についてサポートが可能です。
弊所は、スタッフ向けの研修やワークショップを定期的に提供するほか、プライバシーコンプライアンス監査の実施、プライバシーポリシー・通知、処理活動記録、個人データの国外移転に関する契約書、クッキーポリシー等の各種文書の作成も行っています。また、データ侵害時の対応や、データ主体アクセス請求への対応についても助言を行っています。
ご相談やガイダンスについては、お問合せください。
