LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

規制が増える話が続いたあとで、減らす側の提案が出ています。欧州委員会が2025年11月19日に公表したデジタルパッケージは、AI、サイバーセキュリティ、データに関する既存の規則を簡素化するものです*2。

中身は二本立てになりました。個人データと非個人データ、そしてサイバーセキュリティの規則を改正する編と、AIの規則を改正する編です*1。本記事で扱うのは前者、つまりデータとサイバーの編にあたる部分です。

本記事は、EU域内でサービスを提供する事業と、その仕組みを受託する立場に向けて、何がどう変わる案なのかを整理します。これらはまだ提案であり、欧州議会と理事会の採択を待つ段階です*2。実際の対応は、確定した条文と専門家への確認を経て進めてください。

何が提案されたのか

まず、パッケージの形を押さえます*2。

公表は2025年11月19日で、掲げられた狙いは欧州の企業が行政上の負担を減らし、革新と成長に集中できるようにすることでした*2。パッケージには二つの柱があります。デジタルオムニバスと、欧州ビジネスウォレットです*2。

デジタルオムニバスの中身として挙げられているのは、高リスクのAIに関する規則への猶予、サイバー事案報告の単一窓口、GDPRの改正と近代化されたCookieの規則、そしてデータ法を通じたデータ利用の簡素化です*2。もう一方の欧州ビジネスウォレットは、企業が文書に電子的に署名し、時刻印を押し、封を施すこと、そして検証済みの文書を保護された形で作成・保管・交換できるようにする仕組みです*2。

目標の水準も示されました。2029年の終わりまでに行政上の負担を少なくとも25パーセント、中小企業については35パーセント減らすというものです*2。

そして手続の現在地です。デジタルオムニバスの提案は、採択のために欧州議会と理事会へ送られます*2。あわせて、公開の意見募集を伴うデジタル分野の適合性点検も始まりました*2。いま読むべきは、確定した義務ではなく変更の方向だということになります。

Cookieの同意が「ワンクリック」に

ウェブを作る側にとって、もっとも目に見える変更がこれです*1。

提案では、Cookieに関する規則がeプライバシー指令からGDPRへ移されます*1。同意が要らない処理の類型を広げることも、あわせて示されました*1。

操作の形も具体的です。受け入れることも拒否することも、一度の操作でできる仕組みが求められます*1。そしてウェブサイトは、利用者の選択を少なくとも6か月は尊重しなければなりません*1。同意を求める頻度そのものに、上限が置かれる形です。

執行の側も変わります。Cookieに関する違反は、GDPRの制裁金の枠組みで扱われるようになり、世界売上高の4パーセントまでという水準が及びます*1。簡素化と引き換えに、守らなかったときの重さは上がるという組み立てです。

効果の見積もりも出ています。企業にとって年間8億ユーロを超える削減とされました*1。

実装の観点では、三つのことが要ります。拒否を受け入れと同じ手数で提供できるか。選択を6か月以上保持できるか。そして同意が要らない類型に該当する処理を、要る類型と分けて扱えるかです。既存の同意管理の仕組みが、同意の取得だけを目的に作られていると、後者の二つで手が入ります。

GDPRについては、ほかにも整理が示されました。データ保護影響評価をいつ行うべきか、そして侵害を監督機関へいつどのように通知するかを明確にするという方向です*1。GDPRの執行手続を定めた規則とは別に、実体の側でも運用の負担を下げにいく形になっています。

データ法の絞り込み——クラウド切替と行政へのデータ提供

データ法についても、適用の範囲を狭める提案が並びます*1。

まずクラウドの切り替えです。切り替えに関する義務の免除は、特注のサービス、または従業員が749人未満の提供者に限られます*1。さらに、データ法の適用開始より前に締結された契約にのみ適用されるという限定も付きました*1。一時的な削減の見込みは約15億ユーロとされています*1。

次に、企業から行政へのデータ提供です。対象となる場面が、緊急の事態に限定されます*1。例として挙げられているのは、大規模な洪水や感染症の大流行です*1。年間の削減見込みは約2,000万ユーロでした*1。

そしてデータ仲介です。登録と表示の義務が撤廃され、規制上の義務に代えて任意のトラストマークが置かれます*1。届出をして初めて事業ができる形から、名乗りたい者が名乗る形へ変わる提案です。

EUデータ法のクラウド切り替えへの対応を進めている場合、自社が免除に当たるかどうかの判断基準が変わることになります。従業員749人という線と、契約の締結時期。この二つを自社の状況に当ててみるところからでしょう。

サイバー報告の単一窓口

受託の現場に効いてくるのが、この提案です*1。

いま、事案の報告義務は複数の制度にまたがっています。挙げられているのはNIS2指令、GDPR、デジタル・オペレーショナル・レジリエンス法（DORA）、重要主体レジリエンス指令、そしてEUデジタルアイデンティティ規則です*1。

提案は、これらの報告を一つの入口へ集めます。ENISAが、その基盤を構築し維持するという役割分担です*1。効果として、大多数の組織で報告の手間を半分に減らすことが示されました*1。

実務としての意味は、様式の統一よりも元になるデータの持ち方にあります。窓口が一つになっても、そこへ出す内容は制度ごとに異なる可能性が高いからです。一つの事案記録から複数の様式へ写せる作りにしておけば、窓口の変更に追随できます。

逆に、制度ごとに別々の手順と台帳を持っている組織は、単一窓口になった時点で、どの台帳から出すのかという問題に直面します。NIS2指令への対応と、サイバーレジリエンス法の報告義務への対応が別々に走っているなら、いまのうちに突き合わせておく価値があります。

なお、EUのサイバー対応の枠組みそのものは、別の規則でも積み増されています。サイバー連帯法が検知と対応の能力を用意する側だとすれば、この提案は報告する側の手数を減らす側です。

AIの編は別立てで動いている

もう一方の柱にも触れておきます*1。

AIの編では、高リスクのAIシステムに関する規則について、必要な支援の道具と標準が整ってから適用するという考え方が採られました*1。具体的には、附属書IIIに関する規則で16か月を上限とする猶予、附属書Iに関する規則ではさらに12か月を上限とする猶予が示されています*1。生成AIの検知可能性に関する要件については、6か月の移行期間が置かれました*1。

対象の広げ方にも変更があります。中小企業向けに用意されていた簡素化の扱いが、小規模中堅企業（SMC）にも広がるという提案です*1。これにより、欧州で8,250社が追加でその利点を得られるとされました*1。

この部分は、AI Actの高リスク要件と猶予で詳しく扱っています。データ・サイバーの編とAIの編は別の提案であり、審議の進み方も同じとは限らない点だけ、押さえておきたいところです。

もう一つの柱——欧州ビジネスウォレット

パッケージのもう半分は、規則の簡素化ではなく道具の提供です*2。

欧州ビジネスウォレットは、企業の行政上の費用を減らすための仕組みとして示されました*2。できることとして挙げられているのは二つです。文書に電子的に署名し、時刻印を押し、封を施すこと。そして、検証済みの文書を保護された形で作成し、保管し、交換することです*2。

導入の時間軸も出ています。EUの各層の行政機関が採用するまでに2年という見込みです*1。効果の見積もりは大きく、すべての企業が採用した場合、年間1,500億ユーロに上る削減とされました*1。

受託の立場から見ると、これは文書のやり取りが、添付ファイルの往復から検証可能な交換へ移りうるという話です。署名、時刻印、封という三つは、いずれも既存の電子的な信頼サービスの語彙で、業務システムから見れば外部の機能を呼ぶ形になります。

いま考えておけることは、自社の文書がどの段階で確定するのかを決められているかでしょう。見積書、発注書、検収書。どの時点の版に署名と時刻印を打つのかが決まっていないと、道具が来ても当てはめる先がありません。監査ログの設計で扱う、いつ何が確定したかを残す考え方と同じ土台です。

数字で見る削減の見込み

提案が掲げる効果を、並べて確かめます*1*2。

欧州ビジネスウォレットについては、導入の期間も示されました。EUの各層の行政機関が採用するまでに2年という見込みです*1。

数字の読み方には注意が要ります。これらは提案の段階で示された見込みであり、審議の過程で内容が変われば前提も変わります*2。自社の投資判断の根拠にするというより、欧州委員会がどこに負担を見ているかを読む材料として使うのが妥当でしょう。

読み違えやすい三点

簡素化という言葉から、実際とは違う像を描きやすいところがあります。三つ挙げます。

一つ目は、義務が消えるわけではないことです。Cookieについて変わるのは、同意を取る回数と操作の形、そして規則が置かれる場所です*1。取得した同意の管理も、同意が要らない類型かどうかの判断も、引き続き自社の仕事として残ります。

二つ目は、簡素化の裏で執行が強まる部分があることです。Cookieに関する違反はGDPRの制裁金の枠組みへ移り、世界売上高の4パーセントまでという水準が及びます*1。手続が軽くなることと、外したときの帰結が軽くなることは、別の話です。

三つ目は、範囲の絞り込みが自社に有利とは限らないことです。データ法のクラウド切り替えでは、免除の対象が特注のサービスと従業員749人未満の提供者に狭まります*1。免除が狭くなるということは、それ以外は義務の側に立つということでもあります。提供者としての立場か、利用者としての立場かで、読み方が反転します。

あわせて、欧州委員会は公開の意見募集を伴うデジタル分野の適合性点検も始めました*2。簡素化はこの提案で終わりではなく、続く可能性があるという含みだと読めます。制度の位置を年に一度は確かめる前提で、社内の資料を作っておくのが現実的でしょう。

受託・システム側で押さえる要点

採択を待つ段階ですが、いま確かめられることを順に挙げます。

第一に、同意管理の仕組みが拒否を対等に扱えるかを見ることです。受け入れも拒否も一度の操作でできることが求められます*1。拒否の導線が階層の奥にある実装は、作り直しの対象になります。

第二に、選択の保持期間を確かめることです。利用者の選択を少なくとも6か月は尊重することとされました*1。同意の再取得を短い周期で回している設計は、見直しが要ります。

第三に、事案記録を一つに寄せることです。報告の窓口が単一になる案である以上、出す側の材料も一つにまとまっていたほうが速く動けます*1。制度ごとに別の台帳を持っている状態が、いちばん手数がかかります。

第四に、データ法の免除条件を自社に当ててみることです。特注のサービスか、従業員749人未満か、そして契約の締結時期*1。この三つで、自社や取引先の位置づけが変わります。

第五に、確定していない前提を崩さないことです。提案は欧州議会と理事会へ送られた段階です*2。数字も条件も、審議の中で動きえます。

受託で進める場合の注意点も挙げておきます。

簡素化を軽量化と読み替えないことです。Cookieの違反はGDPRの制裁金の枠組みへ移り、世界売上高の4パーセントまでという水準が及びます*1。手数は減るが、外したときの重さは増すという方向です。

移行の設計を先に考えることです。eプライバシー指令からGDPRへ規則が移るなら、参照している社内文書や契約書の条項も影響を受けます*1。GDPRの越境移転で整えた文書と、同じ棚に置かれているはずです。

他制度との突き合わせを続けることです。報告の一元化は、EU域内の話にとどまります。米国の重要インフラ向け報告制度のように、別の時計を持つ制度は残ります。窓口が一つに減るからといって、報告の設計が一本になるわけではありません。

体制としては、規制の読み解きとウェブ・基盤の実装の両方を追える要員が入れるかが分かれ目になります。確定を待つ間にできるのは、いまの実装が新しい条件に当たったときにどこが壊れるかを、先に見つけておくことです。

まとめ：デジタルオムニバスで押さえる3つの視点

欧州委員会は2025年11月19日、AI、サイバーセキュリティ、データに関する既存の規則を簡素化するデジタルパッケージを公表しました。提案は欧州議会と理事会へ送られ、採択を待つ段階です。押さえたい視点は三つあります。第一に、Cookieと同意です。規則がeプライバシー指令からGDPRへ移り、受け入れも拒否も一度の操作でできる仕組みが求められ、利用者の選択は少なくとも6か月は尊重することとされました。同意が要らない処理の類型も広がります。いっぽうで違反はGDPRの制裁金の枠組みで扱われ、世界売上高の4パーセントまでという水準が及びます。第二に、データ法の絞り込みです。クラウド切り替えの義務の免除は特注のサービスまたは従業員749人未満の提供者に限られ、適用開始より前の契約にのみ及びます。行政へのデータ提供は緊急の事態に限定され、データ仲介の登録と表示の義務は撤廃されて任意のトラストマークに置き換わります。第三に、報告の単一窓口です。NIS2、GDPR、DORA、重要主体レジリエンス指令、EUデジタルアイデンティティ規則の報告を一つの入口へ集め、ENISAが基盤を構築し維持します。大多数の組織で報告の手間が半分になるとされました。

よくある質問

デジタルオムニバスはもう適用されていますか。

適用されていません。欧州委員会が2025年11月19日に提案を公表し、採択のために欧州議会と理事会へ送られた段階です。あわせて、公開の意見募集を伴うデジタル分野の適合性点検も始まりました。審議の過程で内容が変わる可能性があるため、現時点では変更の方向を読む材料として扱うのが妥当です。

Cookieの扱いはどう変わりますか。

提案では、Cookieに関する規則がeプライバシー指令からGDPRへ移り、同意が要らない処理の類型が広がります。操作としては、受け入れることも拒否することも一度の操作でできる仕組みが求められ、ウェブサイトは利用者の選択を少なくとも6か月は尊重することとされました。違反はGDPRの制裁金の枠組みで扱われ、世界売上高の4パーセントまでという水準が及びます。

データ法の免除はどう変わりますか。

クラウドの切り替えに関する義務の免除は、特注のサービス、または従業員が749人未満の提供者に限られる提案です。さらに、データ法の適用開始より前に締結された契約にのみ適用されるという限定も付きました。企業から行政へのデータ提供については、対象が大規模な洪水や感染症の大流行といった緊急の事態に限定されます。

報告の単一窓口とは何ですか。

NIS2指令、GDPR、デジタル・オペレーショナル・レジリエンス法、重要主体レジリエンス指令、EUデジタルアイデンティティ規則という五つの制度で求められる事案の報告を、一つの入口へ集める提案です。ENISAがその基盤を構築し維持することとされ、大多数の組織で報告の手間が半分になると示されました。

システム側では何から準備すべきですか。

同意管理の仕組みが拒否を受け入れと対等に扱えるか、利用者の選択を6か月以上保持できるかの確認からです。あわせて、制度ごとに分かれている事案記録を一つに寄せられるか、データ法の免除条件である特注性・従業員749人未満・契約の締結時期に自社や取引先が当たるかを点検します。提案の段階であるため、作り込みより現行実装の弱点を洗い出すのが先です。

出典

1. *1　参考：欧州委員会「Digital Package」よくある質問（Shaping Europe’s digital future）（https://digital-strategy.ec.europa.eu/en/faqs/digital-package）。Cookieのワンクリック同意と6か月の尊重、eプライバシー指令からGDPRへの移行と同意不要の類型の拡大、GDPRの制裁金の枠組みへの移行と年間8億ユーロ超の削減、データ法のクラウド切替の免除条件（特注・従業員749人未満・適用開始前の契約）と約15億ユーロ、行政へのデータ提供の緊急時限定と年約2,000万ユーロ、データ仲介の登録義務撤廃と任意のトラストマーク、NIS2・GDPR・DORA・重要主体レジリエンス指令・EUデジタルID規則の報告を集めるENISAの単一窓口と手間の半減、AI編の16か月・12か月・6か月と小規模中堅企業8,250社、欧州ビジネスウォレットの2年と年1,500億ユーロ、2029年までの50億ユーロという一次情報として（2026年8月確認）
2. *2　参考：欧州委員会「Simpler digital rules to help EU businesses grow」（2025年11月19日）（https://commission.europa.eu/news-and-media/news/simpler-digital-rules-help-eu-businesses-grow-2025-11-19_en）。2025年11月19日という公表日、デジタルオムニバスと欧州ビジネスウォレットという二つの柱、高リスクAIへの猶予・サイバー報告の単一窓口・GDPR改正とCookie規則の近代化・データ法によるデータ利用の簡素化という構成、2029年までに行政上の負担を少なくとも25パーセント（中小企業は35パーセント）減らすという目標、欧州議会と理事会へ採択のために送られること、適合性点検と公開の意見募集が始まったことの一次情報として（2026年8月確認）