LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

データを扱う事業を切り出すとき、EUには「別の法人でやること」を条件にする規則があります。データガバナンス法（規則(EU) 2022/868）です*1。2022年5月30日に採択され、適用は2023年9月24日から始まっています*1。

扱う対象は三つに分かれます。公的機関が持つ保護されたデータの再利用、データ仲介サービス、そしてデータ利他（data altruism）です*1。それぞれに別の規律が置かれ、事業者側から見ると、どの枠に入るかで手続も条件も変わります。

本記事は、データを扱う事業を検討する企業と、その仕組みを受託する立場に向けて、三つの規律の中身を整理します。自社の事業がどの枠に当たるかの判断は、公式資料と現地の法制に詳しい専門家への確認を経て進めてください。

どういう規則で、いつからか

まず位置づけです。この規則は、データを増やすというより信頼して出せる状態を作ることを狙っています*1。

正式には「欧州のデータガバナンスに関する規則であって規則(EU) 2018/1724を改正するもの」で、官報での公示は2022年6月3日です*1。法的な根拠は域内市場に関するEU機能条約第114条でした*1。

ラベルの制度も置かれました。この規則の要件を満たすデータ仲介サービスの提供者は「EUで認められたデータ仲介サービス提供者」というラベルを使うことができ、一般の利益にかなう目的のためにデータを大規模に利用可能にする法人は「EUで認められたデータ利他組織」として登録し、そのラベルを使えます*1。

個人データとの関係も明確にされています。この規則はGDPRなどの個人データ保護の法制を害するものではなく、規制対象の活動について個人データを処理する新しい法的根拠を作るものでもありません*1。両者が衝突する場合は、個人データ保護の法が優先します*1。GDPRの越境移転で扱う根拠の整理は、そのまま生きるということです。

なお、この規則の一部は見直しの対象になっています。2025年11月に提案されたデジタルオムニバスには、データ仲介の登録と表示の義務を撤廃し、任意のトラストマークに置き換える案が含まれました。いま動いている規律を押さえつつ、変わる方向も見ておくのが実務的でしょう。

公的機関のデータを、どう開くか

第II章は、公的機関が持つ保護されたデータの再利用を扱います*1。

対象になるのは、次の理由で保護されているデータです*1。営業上・職業上・会社の秘密を含む商業上の機密性、統計上の機密性、第三者の知的財産権の保護、そしてオープンデータ指令の範囲外にある限りでの個人データの保護の四つです*1。

いっぽうで、外れるものも列挙されました*1。公企業が持つデータ、公共放送とその子会社などが放送の任務を果たすために持つデータ、文化施設や教育施設が持つデータ、公共の保安・防衛・国家の保障のために保護されているデータ、そして提供が当該公的機関の公的な任務の範囲外にあたる活動であるデータです*1。公的機関が持っているというだけで、すべてが開かれるわけではありません。

独占の禁止も置かれています。第3条第1項の類型を含むデータの再利用について、独占的な権利を与える取り決めや慣行は禁じられます*1。特定の事業者だけがデータを使える形にはできない、という設計です。

公的機関は、再利用を認める条件と、再利用を請求する手続を、単一の情報窓口を通じて公に利用できる状態にします*1。条件そのものにも縛りがあり、差別的でなく、透明で、比例的で、客観的に正当化されるものでなければなりません*1。競争を制限するために使ってはならないとも明記されています*1。

保護の掛け方は具体的です。

設計として読むと、データを持ち出させるのではなく、データのある場所へ計算を持ち込ませるという発想です。分析の環境ごと提供する形になるため、受託の側では、環境の中で動く処理をどう納めるかが論点になります。

データ仲介サービスの届出

第III章が、事業者にとっていちばん直接的です*1。

データ仲介サービスを提供しようとする者は、データ仲介サービスの所管当局へ届出を提出します*1。届出は、そうしたサービスを提供する意図の申告にすぎず、規則が定める情報を出すだけで完了するものだ、と前文で説明されています*1。届出を出した後は、この章の条件に従うことを前提に、活動を始めることができます*1。関係する届出の後は、追加の届出の義務なく、どの加盟国でも活動できるとされました*1。

管轄の決め方も定められています。複数の加盟国に拠点を持つ提供者は、主たる拠点のある加盟国の管轄に服するとみなされます*1。域内における主たる拠点とは、域内における中央の管理の場所を指し、客観的な基準によって定められ、経営の活動が実効的かつ現実に行われていることを意味します*1。

そして域外の事業者です。EUに拠点を持たないが域内でデータ仲介サービスを提供する提供者は、そのサービスを提供する加盟国のいずれかに法定代理人を置かなければなりません*1。代理人は、提供者に加えて、あるいは提供者に代えて、所管当局やデータ主体・データ保有者から連絡を受ける立場として委任されます*1。当局の求めに応じて、提供者が適合のために採った措置と置いた仕組みを、協力して包括的に示すことも役割です*1。提供者は、代理人が所在する加盟国の管轄に服するものとみなされます*1。

実務としては、誰を代理人に立てるかが管轄そのものを決めるということです。GDPRの執行手続で主導監督機関がどこになるかが問われるのと、同じ構図が現れます。

仲介事業者に課される五つの条件

届け出れば自由、というわけではありません*1。

第12条は、データ仲介サービスの提供に条件を付けました。順に見ます。

目的の限定と法人の分離。提供者は、仲介の対象とするデータを、データ利用者の利用に供する以外の目的で使ってはなりません*1。そしてデータ仲介サービスは、別の法人を通じて提供することとされました*1。事業部門を分けるのではなく、法人を分ける水準です。

抱き合わせの禁止。価格を含む商業上の条件は、そのデータ保有者やデータ利用者が、同じ提供者や関係する事業体の他のサービスを使っているかどうか、またどの程度使っているかに依存してはなりません*1。

メタデータの用途制限。サービスの提供のために収集される、自然人や法人の活動に関するデータ——日時、位置情報、活動の継続時間、サービスの利用者が結んだ他者とのつながり——は、そのデータ仲介サービスの開発のためだけに使うこととされました*1。不正の検知やサイバーセキュリティのための利用は、この中に含まれうるとされています*1。加えて、求めがあればデータ保有者が利用できるようにすることも条件です*1。

形式の中立。提供者は、データ主体やデータ保有者から受け取った形式のままで交換を促すこととされ、変換は、分野の内外での相互運用性を高めるため、データ利用者から求められた場合、EU法で義務づけられる場合、または国際的・欧州的なデータ標準との調和を確保する場合に限られます*1。しかもEU法で義務づけられる場合を除き、変換については除外の選択肢を提供しなければなりません*1。

付随するサービスは可。データの交換を助ける目的に限って、一時的な保管、キュレーション、変換、匿名化、仮名化といった追加の道具やサービスを、データ保有者やデータ主体へ提供することは認められます*1。

並べると、データを預かって仲介する事業を、他の事業の集客や囲い込みに使わせないという設計です。データカタログとガバナンスで扱う仕組みを外部向けに開く場合、この線引きに当たるかどうかを先に確かめる必要があります。

データ利他という三つ目の枠

第IV章は、営利を目的としない枠組みです*1。

登録の要件は五つ挙げられています*1。データ利他の活動を行うこと。国内法に基づいて設立された法人であって、国内法が定める一般の利益にかなう目的を満たすものであること。非営利で運営され、営利で運営される事業体から法的に独立していること。他の活動から機能的に分離した体制で、データ利他の活動を行うこと。そして、規則が定めるルールブックに、委任法令の発効から遅くとも18か月以内に従うことです*1。

登録の効果も具体的です。各国の所管当局は、認められたデータ利他組織の公的な国内登録簿を保持し、定期的に更新します*1。欧州委員会は、情報提供のためのEU登録簿を保持します*1。国内登録簿に登録された事業体は、「EUで認められたデータ利他組織」というラベルを、書面でも口頭でも使うことができ、共通のロゴも使えます*1。

ロゴの扱いにも決まりがあります。認められたデータ利他組織は、データ利他の活動に関するオンラインとオフラインのあらゆる公表物に、共通のロゴを明確に表示しなければなりません*1。そして共通のロゴには、EU登録簿へのリンクを持つQRコードが添えられます*1。表示の設計そのものが規則で定められている点は、他の制度にはあまり見られない形です。

受託の立場から見ると、ラベルを名乗るためには法人の形と会計の独立まで整える必要があるということになります。既存の事業の一部門として始めることは想定されていません。

第三国からの要求にどう応じるか

第31条は、域外との関係を正面から扱っています*1。

対象になるのは、公的機関、第II章で再利用の権利を与えられた者、データ仲介サービスの提供者、そして認められたデータ利他組織です*1。これらは、域内に保持される非個人データについて、EU法や関係する加盟国の国内法と衝突するような国際的な移転や政府によるアクセスを防ぐため、契約上の取り決めを含む、あらゆる合理的な技術的・法的・組織的な措置を採ることとされました*1。

第三国の命令の扱いも定められています。第三国の裁判所や行政当局が、域内に保持される非個人データの移転やアクセスを求める決定や判決を出した場合、それが承認され、または執行されうるのは、要求する第三国とEU、あるいはその第三国と加盟国との間で効力を有する国際協定——たとえば刑事共助条約——に基づく場合に限られます*1。

国際協定がない場合にも道は残されています。命令の名宛人となった者が、それに従うとEU法や国内法と衝突する危険がある場合、第三国の当局への移転やアクセスは、一定の条件を満たすときにのみ行われます*1。その条件には、第三国の制度が、その決定の理由と比例性を求めていることが含まれます*1。

実務に引き寄せると、域外の親会社やグループ会社からの要求に、そのまま応じてよいとは限らないということです。契約上の取り決めを含む措置を採ることが条文で求められている以上、グループ内のデータ提供の取り決めそのものを見直す必要が出てきます。EUデータ法にも似た規律があり、あわせて確認しておきたいところです。

受託・システム側で押さえる要点

すでに適用されている規則です。順に確かめられることを挙げます。

第一に、自社の事業がどの枠に当たるかを見ることです。公的機関のデータを再利用する側か、データをつなぐ仲介の側か、非営利でデータを集める側か*1。枠が違えば、手続も条件もまったく異なります。

第二に、法人の分離が必要かを判断することです。データ仲介サービスは、別の法人を通じて提供することが条件です*1。既存の事業の一機能として組み込む設計だと、条件を満たせません。

第三に、価格の設計を確かめることです。他のサービスの利用の有無や度合いによって条件を変えてはならないとされました*1。抱き合わせの割引が、そのまま違反になりえます。

第四に、メタデータの使い道を切り分けることです。収集した活動のデータは、その仲介サービスの開発のためだけに使い、求めがあればデータ保有者へ利用可能にします*1。分析基盤で他の目的にも回している構成は、見直しの対象です。

第五に、変換の選択肢を用意することです。受け取った形式のまま交換することが原則で、変換には除外の選択肢が要ります*1。取り込み時に一律で正規化する作りだと、この要件に当たります。マスタデータの管理で扱う正規化の考え方とは、逆向きの要求になります。

受託で進める場合の注意点も挙げておきます。

代理人の指定が管轄を決めることを共有することです。域外の提供者は、法定代理人が所在する加盟国の管轄に服するとみなされます*1。どこに置くかは、事業の判断として扱うべき事項です。

安全な処理環境を前提に設計することです。公的機関のデータの再利用では、環境の中での遠隔アクセスや構内での利用が条件になりえます*1。手元へ持ってくる前提の分析基盤は、そのままでは使えません。

制度の見直しを追い続けることです。データ仲介の登録の義務は、デジタルオムニバスで撤廃が提案されました。いまの義務を満たしつつ、変更に耐える形にしておくのが現実的でしょう。欧州健康データスペースのように、分野ごとの仕組みがこの規則の上に積まれていく点も見ておきたいところです。

体制としては、データの扱いに関する制度の読み解きと、基盤の設計の両方を追える要員が入れるかが分かれ目になります。技術的にできることと、制度が許すことが、ここでは一致しません。

まとめ：データガバナンス法で押さえる3つの視点

EUのデータガバナンス法（規則(EU) 2022/868）は2022年5月30日に採択され、適用は2023年9月24日から始まっています。押さえたい視点は三つあります。第一に、枠組みが三つに分かれていることです。公的機関が持つ保護されたデータの再利用、データ仲介サービス、そしてデータ利他で、それぞれに別の規律が置かれます。公的機関のデータについては、個人データの匿名化や商業上の機密情報の加工に加え、公的機関が提供または管理する安全な処理環境の中での遠隔アクセスや、構内での利用といった条件を課すことができます。第二に、データ仲介サービスの規律です。所管当局への届出を出せば活動を始められますが、条件として、仲介の対象データを他の目的に使わないこと、別の法人を通じて提供すること、価格を他サービスの利用に依存させないこと、収集した活動のデータをその仲介サービスの開発のためだけに使うこと、受け取った形式のまま交換し変換には除外の選択肢を設けることが並びます。第三に、域外との関係です。EUに拠点を持たない提供者は、サービスを提供する加盟国のいずれかに法定代理人を置き、その所在する加盟国の管轄に服します。第三国の裁判所や行政当局の命令は、国際協定に基づく場合にのみ承認され、または執行されうるとされました。

よくある質問

出典

1. *1　参考：欧州連合官報「Regulation (EU) 2022/868 of the European Parliament and of the Council of 30 May 2022 on European data governance and amending Regulation (EU) 2018/1724 (Data Governance Act)」（2022年6月3日）（https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022R0868）。採択日と公示日および2023年9月24日からの適用、法的根拠であるEU機能条約第114条、二つのラベルと個人データ保護法制との関係、第5条の再利用の条件（匿名化・開示制御・安全な処理環境での遠隔アクセス・構内での利用・環境の完全性）と単一の情報窓口、第11条の届出と主たる拠点および域外提供者の法定代理人と管轄、第12条の五つの条件（目的の限定と別法人、抱き合わせの禁止、メタデータの用途制限、形式の中立と除外の選択肢、付随サービス）、第17条・第18条のデータ利他組織の登録要件と共通ロゴおよびQRコード、第31条の国際的な移転と第三国の命令の扱いの一次情報として（2026年8月確認）

Tweet