LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EUの個人データを扱っていて、ある日、監督機関から調査の連絡が来る。そのとき何がどの順で進み、いつまでに何が言えるのか。これまで国ごとにばらついていたその部分に、共通の手続が置かれました*1。

GDPR手続規則（規則(EU) 2025/2518）は2025年11月26日に採択され、12月12日に官報で公示されました*1。正式名は「規則(EU) 2016/679の執行に関する追加的な手続規則を定める規則」で、適用は2027年4月2日からです*1。GDPRそのものの義務を書き換えるものではありません*1。

本記事は、EU域内の個人データを扱う事業と、その仕組みを受託する立場に向けて、手続の骨格と、調査に応じる側で効いてくる部分を整理します。個別の事案への当てはめは、公式資料とEUの法制に詳しい専門家への確認を経て進めてください。

何を変える規則なのか

まず、この規則が触る範囲を押さえます*1。

GDPRは分権的な執行の仕組みを採っています*1。越境処理に関する事案では、規則の解釈と適用が一貫するように監督機関どうしが協力する建て付けです*1。今回の規則は、その協力と紛争解決の仕組みを実際に機能させるため、越境処理に関する手続の進め方を定めるものです*1。決定を出す前の意見聴取のあり方も、ここに含まれます*1。

手当てされなかった部分は各国の法に委ねられます。この規則が調和させていない事項については、加盟国の手続法が引き続き監督機関に適用されるという整理です*1。ただし、実効性と同等性の原則を妨げない限りで、という条件が付きます*1。

日付の並びも確認しておきます。欧州議会の立場は2025年10月21日、理事会の決定は同年11月17日、採択は11月26日、官報での公示は12月12日でした*1。法的な根拠はEU機能条約第16条です*1。発効は公示から20日後、適用は2027年4月2日からという二段構えになっています*1。

経過措置も明確です。監督機関の協力、調査対象の手続上の権利、申立人の関与を扱う章は、2027年4月2日より後に開始された職権調査と、その日より後に申し立てられた事案に適用されます*1。紛争解決と緊急手続の章も、その日より後に付託された事案が対象です*1。進行中の調査には及びません*1。

入口が揃う——受理の要件と移送の期限

変化がはっきり出るのが、申立の受け付け方です*1。

越境処理に関する申立が受理されるには、規則が指定する情報を含んでいる必要があります*1。重要なのは裏側の縛りで、受理のために、規則が指定する以上の情報を求めてはならないとされました*1。どの国の監督機関に出しても、同じ材料で受理の可否が判断されることになります。

ただし、各国の手続法上の運用は残ります。言語、時効、本人確認の方法、電子的な様式、特定の書式、署名といった行政上の要件は、申立を受けた監督機関の国内法に従って引き続き適用される形です*1。

期限も具体的です。

もう一点、受理の判断は主導監督機関を拘束するとされました*1。最初に受けた機関が受理と判断すれば、後から入口で覆されることはありません。

申立人の側の負担にも触れられています。申立をする前に調査対象へ連絡している必要はないというのが原則です*1。ただし、管理者への請求を前提とする本人の権利の行使に関する申立であれば、その請求を先に行っておく必要があります*1。GDPRの越境移転で扱う根拠の整理とは別に、問い合わせ窓口の運用そのものが影響を受けます。

何が「申立」にあたるのか

手続の話に入る前に、入口の言葉が整理されています*1。

この規則では、GDPR第77条または第80条に基づいて監督機関へ提起されたものが申立にあたります*1。いっぽうで、申立とは扱われないものも明示されました*1。

挙げられているのは三つです。本人自身の個人データの処理に関わらない、違反の申告にとどまるもの。管理者や処理者からの助言の求め。そして、管理者・処理者・自然人のいずれからであっても、GDPRの適用に関する一般的な問い合わせです*1。

この線引きは、受け取る側の運用にも効きます。監督機関へ何かが届いたときに、それが手続の時計を動かすものなのか、そうでないのかが分かれるからです。事業者の側から見れば、当局からの連絡が調査の始まりなのか一般的な照会なのかを、早い段階で見分ける手がかりになります。

申立を出す側への配慮も置かれました。監督機関は、必要な情報を申立人が提出しやすいように、書式や電子的なフォームを用意するなどして手助けすることが想定されています*1。欧州データ保護会議の指針を踏まえた、使いやすい電子的な形での受け付けにも言及があります*1。連絡先として挙がるのは、郵送先の住所、居住地、そして利用できる場合の電子メールのアドレスです*1。

早期解決という近道

手続には、途中で降りる道も用意されました*1。

監督機関は、適切な場合には早期解決の手続によって申立を解決するよう努めるとされます*1。判断の材料は、申立で主張された違反が終了し、申立の目的が失われたと言えるかどうかです*1。

条件も置かれました。申立人が、違反は終了しており申立の目的は失われたという判断に対して期限内に異議を出していない場合に限られます*1。加盟国が、この手続のために国内法へ新しい制度を導入する必要はないとも書かれています*1。

効果は手続の軽さに表れます。早期解決で処理された申立には、協力と権利に関する多くの条文が適用されません*1。主導監督機関は、主要な論点の要約や暫定的な所見を作って回付することなく、決定案を直接ほかの監督機関へ提出できる形です*1。

ただし、逃げ切りにはなりません。早期解決は、同じ事柄についてGDPR第58条の権限を行使することを妨げないと明記されています*1。是正を早く終えることには意味があるが、それで調査の可能性が消えるわけではないという設計です。

12か月と15か月——進行の時計

調査の長期化は、この規則が正面から扱った問題です*1。

基本の期限は、主導監督機関が権限を確認してから15か月以内に決定案を提出するというものです*1。欧州データ保護会議の拘束力ある決定を経た場合は、その決定からの起算になります*1。

争いの少ない事案には、短い道が用意されました。単純な協力の手続を適用する場合は12か月以内です*1。国内法が事前または事後の国内手続を要求するために期限内の提出が難しい場合は、1回だけ2か月を超えない範囲で延長できます*1。

この単純な協力を使える条件も定められています。調査の範囲、とくに主張されている違反に関わるGDPRの条文について合理的な疑いがないこと。そして、特定された法律上・事実上の論点が、複雑な調査で必要になるような追加の協力を要しないことです*1。類似の事案での過去の決定に照らして扱える場合が想定されています*1。逆に、複数の加盟国にまたがる体系的または反復的な問題、解釈や執行に関する一般的な法律問題、他の法制度との交差といった事案では、原則として使われません*1。

延長の手続も具体的です。事案の複雑さを理由に、1回だけ、12か月を超えない期間で延長できます*1。その場合、期限の満了の少なくとも4週間前に、期間と理由を他の監督機関へ知らせます*1。知らされた機関は2週間以内に理由を付して異議を出すことができ、主導監督機関はそれを十分に考慮しなければなりません*1。

途中で回るものも定められています。主導監督機関は、調査の主要な論点についての暫定的な見解を示す主要な論点の要約を、ほかの関係する監督機関へ提供します*1。時期の置き方に条件があり、ほかの機関の見解を実効的に取り込める程度に早く、かつ主導監督機関が見解を形成できるだけの材料が揃った段階とされました*1。必要に応じて予備的な分析や初期の調査措置を経る形です*1。この要約には、材料が揃っていれば、採りうる是正措置の予備的な特定も含まれます*1。調査の早い段階で、当局の側がどの方向を見ているかが形になるということです。

期限を守らなかった場合の帰結まで書かれています。延長された期限内にも決定案が出ない場合、行動の必要を伝えていた監督機関は、自国の領域で暫定的な措置を採ることができ、その際は緊急に行動する必要があると推定されます*1。期限は形式ではなく、越えると他国の機関が動きうる仕掛けになっているということです。

防御の権利——暫定的所見と行政ファイル

調査を受ける側から見て、もっとも実務的なのがこの部分です*1。

手続の途中で、調査対象は主張された事実と状況の真実性および関連性、そして監督機関が提示した異議について、自らの見解を述べる機会を実効的に持つべきだとされました*1。その中核に置かれたのが暫定的な所見です*1。

暫定的な所見は、調査を経た時点での、主張されている違反に関する暫定的な立場を示す文書です*1。意見を聴かれる権利が守られていることを担保する、本質的な手続上の保障と位置づけられました*1。簡潔であっても、調査対象が主張されている違反の性質を適切に特定できる程度には明確でなければならないとされています*1。

加えて、暫定的な所見は調査の範囲を画し、したがって将来の最終決定の範囲も画します*1。後から論点が増えることを防ぐ機能があると読めます。

防御のための資料も用意されます。行政ファイルは、主導監督機関と関係する監督機関が調査手続の中で取得または作成し、主導監督機関がまとめた文書で構成され、不利な証拠と有利な証拠の双方を含みます*1。監督機関の内部連絡は含まれません*1。調査対象の請求があれば、主導監督機関はアクセスを認めます*1。決定が自らの利益を不利に左右しうる申立人も、請求できます*1。

監査ログの設計や記録の保存で扱う証跡は、この場面で意味を持ちます。有利な証拠もファイルに含まれる以上、自社に有利な事実を示す記録が残っているかどうかが、そのまま防御の材料になります。

秘密の扱いと、申立人の関与

開示と保護の線引きも定められました*1。

行政ファイルへのアクセスを認めるとき、監督機関は営業秘密とその他の機密情報の保護を確保することとされています*1。その他の機密情報とは、営業秘密以外で、EU法または国内法に照らして機密と見なされうる情報のうち、開示されれば管理者、処理者、あるいは自然人・法人に重大な損害を与えるものを指します*1。

具体的には、限られた人数にしか知られておらず、開示されれば提供した者や第三者に深刻な損害を生じさせうるもので、開示によって害される利益が客観的に保護に値するもの、と説明されています*1。監督機関は、文書や陳述を提出した調査対象に対して、その扱いについて求めることができるとも書かれました*1。

申立人の関与にも線が引かれています。申立人は、自らの個人データの処理に関する申立に関係する限りで、暫定的な所見について書面で見解を述べる機会を持ちます*1。いっぽうで、調査対象や第三者の営業秘密やその他の機密情報にはアクセスできません*1。

期限の置き方にも配慮があります。調査対象と申立人が暫定的な所見について見解を述べる期限を定めるとき、監督機関は所見で提起された論点の複雑さを考慮することとされました*1。意味のある反論ができる時間を確保するためです*1。

監督機関どうしのやり取りにも形式が求められます。関連性のある理由を付した異議は、十分に明確で、一貫していて、正確でなければならず、必要な場合には修正すべき決定案の要素を特定することとされました*1。

受託・システム側で押さえる要点

適用まで時間がありますが、いま確かめられることを順に挙げます。

第一に、主導監督機関がどこになるかを把握することです。手続は、権限を持つ機関の確定から動き出します*1。EU域内の主たる拠点がどこかによって、相手も言語も変わります。グループ内の拠点構成を、この観点で一度整理しておきます。

第二に、有利な事実を示す記録を残すことです。行政ファイルには不利な証拠と有利な証拠の双方が含まれます*1。同意の取得、設定の変更、削除の実行。やったことを後から示せなければ、有利な材料はファイルに入りません。

第三に、機密として扱ってほしい情報を区別できるようにすることです。営業秘密とその他の機密情報は保護されますが、区別は自明ではありません*1。提出する文書のどこが該当するのかを、その場で切り分けられる状態にしておきます。

第四に、本人からの請求への応答を記録することです。本人の権利の行使に関する申立では、管理者への請求が先に行われている必要があります*1。請求を受けた事実と応答の内容は、申立の入口に直結します。問い合わせ窓口の記録が、その証跡になります。

第五に、是正を早く終えられる体制を持つことです。早期解決は、主張された違反が終了していることを前提にします*1。設定の是正や削除の実行に時間がかかる作りだと、この道は使えません。

受託で進める場合の注意点も挙げておきます。

期限に合わせた資料提出の体制を見込むことです。暫定的な所見への回答期限は、論点の複雑さを考慮して定められます*1。とはいえ短い期間で相応の分量を出すことになります。運用の記録を都度たどる作りだと、そこで手が止まります。

他制度の記録と土台を共有することです。中国の個人情報保護の監査や台湾の個人資料保護法でも、説明のための記録が問われます。制度ごとに別の台帳を作ると、同じ情報を何度も集めることになります。

データの流れを図で持つことです。越境処理かどうかが手続の入口を決めます*1。どのデータがどの拠点を通り、どこに置かれているのか。クラウドの切り替えを検討する場面でも、同じ図が使えます。

体制としては、データ保護の実務とシステムの設計の両方を追える要員が入れるかが分かれ目になります。適用は2027年4月2日からで、対象になるのはその日より後に始まる事案です*1。時間があるうちに、いま持っている記録で何が示せるのかを確かめておきたいところです。

まとめ：GDPR手続規則で押さえる3つの視点

GDPR手続規則（規則(EU) 2025/2518）は2025年11月26日に採択され、12月12日に官報で公示されました。適用は2027年4月2日からです。押さえたい視点は三つあります。第一に、範囲です。GDPRそのものの義務を書き換えるものではなく、越境処理に関する事案の手続と期限を共通化する規則です。調和されていない事項については、引き続き各加盟国の手続法が適用されます。第二に、時計です。指定された情報を欠く申立は受領から2週間以内に不受理が通知され、受理された越境事案は6週間を超えない時期に主導監督機関へ移送されます。主導監督機関は6週間以内に権限を確認し、決定案は単純な協力の手続なら12か月以内、通常は15か月以内に提出します。複雑な事案では1回だけ12か月を超えない延長が認められ、その場合は満了の4週間前までに他機関へ知らせ、他機関は2週間以内に異議を出せます。第三に、防御です。暫定的な所見が通知され、調査対象は不利な証拠と有利な証拠の双方を含む行政ファイルにアクセスできます。営業秘密とその他の機密情報は保護され、申立人はそれらにはアクセスできません。適用対象はその日より後に始まる事案であるため、いまのうちに記録の整備を進める余地があります。

よくある質問

GDPR手続規則はいつから適用されますか。

規則(EU) 2025/2518は2025年11月26日に採択され、12月12日に官報で公示されました。発効は公示から20日後で、適用は2027年4月2日からです。監督機関の協力や調査対象の手続上の権利を扱う章は、その日より後に開始された職権調査と、その日より後に申し立てられた事案に適用されます。進行中の調査には及びません。

GDPRの義務そのものが変わりますか。

変わりません。この規則は、越境処理に関する事案について、監督機関の協力と紛争解決の仕組みを機能させるための手続を定めるものです。決定を出す前の意見聴取のあり方もここに含まれます。規則が調和させていない事項については、引き続き各加盟国の手続法が監督機関に適用されます。

調査にはどのくらいの期間がかかりますか。

主導監督機関は、権限を確認してから15か月以内に決定案を提出することとされています。争いの少ない事案で単純な協力の手続を適用する場合は12か月以内で、国内法上の事情があれば1回だけ2か月を超えない範囲で延長できます。事案の複雑さを理由とする延長は1回だけ、12か月を超えない期間で認められ、満了の4週間前までに他機関へ知らせる必要があります。

調査を受ける側にはどんな権利がありますか。

暫定的な所見が通知され、主張されている違反の性質を特定できる程度の明確さが求められます。これは意見を聴かれる権利を担保する手続上の保障です。あわせて、請求により行政ファイルへアクセスできます。ファイルの中身は、主導監督機関と関係機関が取得または作成した文書で、不利な証拠と有利な証拠の双方が入ります。監督機関の内部連絡は含まれません。

システム側では何から準備すべきですか。

自社のEU域内の拠点構成から、主導監督機関がどこになりうるかを把握するところからです。あわせて、有利な事実を示せる記録が残っているか、本人からの請求と応答が記録されているか、機密として扱ってほしい範囲を文書の中で切り分けられるか、そして是正を短い時間で終えられる作りかを点検します。適用は2027年4月2日からで、対象はその日より後に始まる事案です。

出典

1. *1　参考：欧州連合官報「Regulation (EU) 2025/2518 of the European Parliament and of the Council of 26 November 2025 laying down additional procedural rules on the enforcement of Regulation (EU) 2016/679」（2025年12月12日）（https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32025R2518）。採択日と公示日、第37条の発効および2027年4月2日からの適用、第36条の経過措置、法的根拠であるEU機能条約第16条、申立の受理要件と2週間・6週間の期限、受理判断の拘束力、早期解決の手続と第58条の権限との関係、単純な協力の手続と12か月・15か月・延長12か月・4週間・2週間という期限、暫定的な所見の性格と行政ファイルの範囲、営業秘密とその他の機密情報の保護、申立人の関与の範囲、関連性のある理由を付した異議の要件の一次情報として（2026年8月確認）