LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

改正が一度にまとまって施行されると、次に来るのはどの案件にどちらの法が当たるのかという問いです。英国は、その線を規則で引きました。

データ（利用およびアクセス）法2025（第6次施行ならびに経過および留保の規定）規則2026（SI 2026/82）が2026年1月29日に制定され、多くの条を2026年2月5日に、苦情の規定を2026年6月19日に施行しました*1。

英国向けのサービスを運用する立場から、何が動いたのか、どの日付で分かれるのか、何を記録しておくのかを順に見ていきます。

2026年2月5日に、広い範囲がまとめて動いた

まず全体像です*1*2*3*4。

この規則は、データ（利用およびアクセス）法2025の第142条第1項および第143条第1項と、規制緩和法2015の第104条第1項(a)に基づく第6次の施行規則です*1。

第3条は別の日を定めました*1。第103条（データ主体による苦情）と別表10（苦情：軽微な改正および付随改正）が、2026年6月19日に施行しています*1。

自動意思決定の側は、この後さらに実務規範へつながりました。規範の位置づけはAIと自動意思決定の実務規範で整理しています*1。

応答の期限は、起算点そのものが変わった

施行した条のうち、日々の運用に直接響くのが第76条です*2。

同条はUK GDPRの第12条を改め、「請求の受領から1か月以内」という文言を「適用される期間（第12A条を見よ）の終了前」に置き換えました*2。第4項も同じく「不当に遅れることなく、いかなる場合も適用される期間の終了前に」という形になっています*2。

新しい第12A条が、その「適用される期間」を定義します*2。第1項は関係する時から始まる1か月の期間とし、第2項が関係する時を次のうち最も遅いものと定めました*2。管理者が当該請求を受け取った時、第12条第6項に関連して求めた情報（もしあれば）を管理者が受け取った時、そして第12条第5項に基づき請求に関連して課した手数料（もしあれば）が支払われた時です*2。

延長の仕組みも条文に入りました*2。第3項は、データ主体が行った請求の複雑さまたはその請求の数のために必要な場合に、データ主体へ通知することにより、適用される期間をさらに2か月延長できるとします*2。第4項は、その通知を関係する時から始まる1か月の期間の終了前に行うことと、遅延の理由を述べることを求めました*2。

本人確認の扱いも変わりました*2。第12条第6項には「身元が確認されるまで請求への対応を遅らせる」ことができる旨が加えられています*2。従来は期限が請求の受領から固定で走っていたところが、確認が済むまで起点が動く形になった、と読めます*2。

実務では、請求の受付、追加情報の受領、手数料の入金という三つの時刻を、それぞれ機械が記録しているかどうかが分かれ目になります*2。最も遅いものが起点になるため、一つでも記録が抜けると期限を自分で計算できません*2。

新旧を分ける基準は「いつの、何か」

経過措置は、対象ごとに数える日付が違います*1。

並べてみると、基準が一つではないことが分かります*1。請求は受け取った日、自動意思決定は決定した日、制裁金は意図の通知の日、苦情は受け取った日、PEC規則は行為の日です*1。同じ案件の中で、条ごとに違う日付を見ることになります*1。

第5条の書き方には注意が要ります*1。単に「2026年2月5日より前の決定」ではなく、その決定にUK GDPR第22条第3項または2018年法第14条・第50条第2項が適用されたものという限定が付いています*1。旧法の自動意思決定の枠に入っていた決定だけが、留保の対象です*1。

第12条は、条文の側の日付の整理です*1。2018年法の第183A条第4項、第183B条第5項(b)、第186A条第5項にあった「データ（利用およびアクセス）法2025の第106条第2項（または第4項）が施行する日」という参照を、いずれも「2025年8月20日」という具体的な日付へ置き換えました*1。

PEC規則の執行だけは、二本立てで走る

電子通信の側は、経過措置が四つに分かれています*1。

そもそも何が変わったのかを先に見ておきます*4。第115条はPEC規則を改め、第5B条（個人データ侵害：監査）を削除し、第31条を差し替えて、データ保護法2018の第5部から第7部の一定の規定を修正のうえ適用する形にしました*4。第31A条（第三者への情報通知）と第31B条（その不服申立て）も削られています*4。執行の道具立てが、データ保護法の側へ寄せられた改正です*4。

そのうえで規則の第8条が、調査の権限について定めます*1。2026年2月5日以後は、その権限の行使が関係する行為がいつ起きたかを問わず、第115条第5項により差し替えられた第31条が適用する調査の権限を行使できるという内容です*1。ただし第2項が歯止めを置きました*1。同日より前に起きた作為または不作為について、執行上の制裁を科すことを認めるものではないのです*1。

第9条は、始まっている権限の行使についてです*1。2026年2月5日より前にコミッショナーが旧規則の権限を行使しており、その行使が取り消されても撤回されてもいない場合には、その行使を完了する目的で、旧規則が引き続き効力を持つとされました*1。

第10条が監査です*1。同日より前に開始され、取り消されていない監査を完了する目的で、PEC規則の第5条第6項および第5B条が引き続き効力を持ちます*1。削除された条が、終わっていない監査のためだけ生き残る構造です*1。

第11条が、制裁の側の振り分けです*1。違反となる作為または不作為が2026年2月5日より前に起きた場合、それに関する執行は、同日の直前に効力を持っていた規則に基づいて行わなければなりません*1。同日以後に起きた場合は、第115条および別表13により改正された規則に基づきます*1。第3項は、旧規則が、同日より前の行為について金銭的制裁その他の制裁を科す目的、およびそれらに関する不服申立てを提起し、または判断する目的で、引き続き効力を持つと定めました*1。

端末設備への情報の保存についても、条文の形が変わっています*3。第112条はPEC規則の第6条を差し替え、別表A1に従うことを条件として、何人も加入者または利用者の端末設備に情報を保存し、またはそこに保存された情報へアクセスしてはならないという形にしました*3。保存やアクセスを教唆することを含むこと、アクセスには、端末設備が自動的に発する情報を収集し、または監視することを含むことも明記されています*3。あわせて第6A条が新設され、国務大臣が規則により禁止の例外を追加し、削り、または変更できるようになりました*3。その規則には情報コミッショナーへの協議と両院の承認が要ります*3。

記録しておくべき日付が増えた

条文を運用へ落とすと、押さえる点は四つです*1*2。

第一に、請求に関する三つの時刻です*2。受付、追加情報の受領、手数料の入金のうち最も遅いものが期限の起点になります*2。どれか一つでも記録がなければ、期限を自社で計算できません*2。延長の通知にも関係する時から1か月以内という期限があるため、起点は延長の判断にも効いてきます*2。

第二に、決定の日付です*1。自動意思決定については、決定が行われた日で新旧が分かれます*1。処理の実行時刻ではなく、決定として成立した時点を記録できているかが問われます*1。

第三に、苦情の受付日です*1。2018年法の第164A条第3項・第4項の義務は、2026年6月19日以後に管理者が受け取った苦情にだけ当たります*1。同じ内容の苦情でも、受付日で扱いが変わります*1。

第四に、行為の日付です*1。PEC規則の違反については、作為または不作為が起きた日で適用する規則が決まります*1。長期にわたる配信や計測のように、行為が期間として続く場合には、いつからいつまで、どの設定で動いていたかを復元できるようにしておく必要があります*1。

あわせて、この改正の一部は監督機関そのものの再編にもつながっています*1。第120条（情報委員会への財産等の移転）が同じ日に施行しており、その後の経緯は情報委員会への移行で整理しました*1。

まとめ：英国のデータ保護改革の施行で押さえる3つの視点

英国では、データ（利用およびアクセス）法2025（第6次施行ならびに経過および留保の規定）規則2026が2026年1月29日に制定され、第2条が2026年2月5日に、第3条が2026年6月19日に、同法の規定を施行しました。押さえたい視点は三つあります。第一に、何が動いたか。2026年2月5日には、研究および統計の目的、科学研究への同意、処理の適法性と別表4、目的の限定と別表5、応答の期限、提供する情報、自動意思決定と別表6、設計による保護、第三国等への移転と別表7から別表9、行動規範、制裁金の通知、端末設備への情報の保存と別表12、慈善団体による電子メールの直接広告、PEC規則の執行権限と別表13、情報委員会への財産等の移転、保健・成人社会ケアの情報標準と別表15などが施行しました。データ主体による苦情に関する第103条と別表10は、2026年6月19日です。第二に、期限の起算点。第76条はUK GDPRに第12A条を挿入し、適用される期間を、請求の受領、求めた情報の受領、手数料の支払いのうち最も遅い時から始まる1か月としました。複雑さや数を理由に、通知によりさらに2か月延長でき、その通知は関係する時から1か月以内に、理由を述べて行います。第三に、新旧の分かれ目。応答の期限は請求を受け取った日、自動意思決定は決定が行われた日、制裁金は意図の通知が出された日、管理者への苦情は苦情を受け取った日、PEC規則の執行は作為または不作為が起きた日で決まります。PEC規則については、調査の権限だけは行為の時期を問わず行使できる一方、同日より前の行為に制裁は科せず、開始済みの権限の行使と監査は旧規則のまま完了させます。

よくある質問

出典

1. *1　参考：英国法令データベース「The Data (Use and Access) Act 2025 (Commencement No. 6 and Transitional and Saving Provisions) Regulations 2026」（SI 2026 No. 82 (C. 10)・2026年1月29日制定）（https://www.legislation.gov.uk/uksi/2026/82/made）。施行と経過措置の一次情報として。前文（データ（利用およびアクセス）法2025 第142条第1項・第143条第1項および規制緩和法2015 第104条第1項(a)に基づく第6次の施行規則であること）、第1条の定義、第2条（2026年2月5日に施行する第67条から第133条第4項までの条と別表4から別表15の一覧）、第3条（2026年6月19日に第103条および別表10を施行する旨）、第4条（第76条の改正が2026年2月5日より前に受け取った請求へ適用されない旨と、対象となる3つの章）、第5条（第80条および別表6の改正が同日より前に行われた決定へ適用されない旨と、その決定の範囲）、第6条（第101条の改正が同日より前に意図の通知が出された場合へ適用されない旨）、第7条（第164A条第3項・第4項の義務が2026年6月19日以後に受け取った苦情にだけ適用される旨）、第8条から第11条（PEC規則の調査権限の遡及的な行使と制裁の不遡及、開始済みの権限の行使と監査の完了、行為の日による適用規則の振り分け）、第12条（2018年法 第183A条・第183B条・第186A条の施行日の参照を2025年8月20日に置き換える旨）、および説明覚書を確認した。確認日は2026年9月15日。（2026年9月確認）
2. *2　参考：英国法令データベース「Data (Use and Access) Act 2025」第76条（データ主体の請求への応答の期限）（https://www.legislation.gov.uk/ukpga/2025/18/section/76）。期限の一次情報として。第2項（UK GDPR 第12条第3項の「請求の受領から1か月以内」を「適用される期間（第12A条を見よ）の終了前」に置き換え、第2文・第3文を削ること、第4項の文言の置き換え、第6項に身元が確認されるまで対応を遅らせられる旨を加えること）、および第3項が挿入する第12A条（第1項の「適用される期間」＝関係する時から始まる1か月、第2項の「関係する時」＝請求の受領・求めた情報の受領・手数料の支払いのうち最も遅いもの、第3項の複雑さまたは数を理由とする2か月の延長、第4項の通知の期限と理由の記載）を確認した。確認日は2026年9月15日。（2026年9月確認）
3. *3　参考：英国法令データベース「Data (Use and Access) Act 2025」第112条（端末設備への情報の保存）（https://www.legislation.gov.uk/ukpga/2025/18/section/112）。端末設備の一次情報として。第2項（PEC規則 第6条の差し替え。別表A1に従うことを条件として、加入者または利用者の端末設備への情報の保存および保存された情報へのアクセスを禁じること、保存やアクセスの教唆を含むこと、アクセスには端末設備が自動的に発する情報の収集または監視を含むこと）、および第3項が挿入する第6A条（国務大臣が規則により例外を追加・削除・変更でき、付随・補足・経過等の規定を設けうること、情報コミッショナーその他への協議、両院の承認が要ること）を確認した。確認日は2026年9月15日。（2026年9月確認）
4. *4　参考：英国法令データベース「Data (Use and Access) Act 2025」第115条（コミッショナーの執行権限）（https://www.legislation.gov.uk/ukpga/2025/18/section/115）。執行の一次情報として。第2項（PEC規則 第5条第6項の削除）、第3項（第5B条＝個人データ侵害の監査の削除）、第4項（第5C条の改正と、国務大臣が規則により金額を変更できる旨、協議と両院の承認）、第5項（第31条の差し替え。別表1により、データ保護法2018の第5部から第7部の一定の規定を修正のうえ適用すること、第32条・第33条にいう「執行の機能」の意義）、ならびに第6項・第7項（第31A条＝第三者への情報通知および第31B条＝その不服申立ての削除）を確認した。確認日は2026年9月15日。（2026年9月確認）

Tweet