LASSIC Media らしくメディア

英国の利用者に向けてサービスを提供している。あるいは、英国と取引のある企業のためにシステムを開発している——。そんな企業にとって、2025年に成立した「DUAA（Data Use and Access Act／データ利用・アクセス法）」は気に留めておきたい動きです。英国のデータ保護に関する新しい法律で、これまでの枠組みを土台にしつつ、一部のルールを手直しするものになります。名前だけ見ると大がかりな新法のようですが、実際は既存のUK GDPRを置き換えるのではなく、部分的に見直す性格が強い法律です。

とはいえ、Cookieの扱いや自動での意思決定など、実務に関わる変更も含まれているのです。本記事では、英国と接点のある事業やシステム開発に携わる情報システム部門・事業部門の担当者に向けて、DUAAとは何か、UK GDPRとの関係、主な変更点、そして受託・委託開発で何を押さえるべきかを整理します。なお、本記事は一般的な情報の整理であり、法的な助言ではありません。個別の適否は、公式情報（英国の情報コミッショナー office など）や専門家にご確認ください。

英国データ保護法（DUAA）とは

DUAA（Data Use and Access Act）とは、英国が2025年に成立させた、データの利用とアクセスに関する法律です。個人データの保護に関わるルールを含み、これまで英国で使われてきたデータ保護の枠組みを、一部見直す内容になっています。英国は以前、EUの離脱にともなって、EUのGDPRを自国版として引き継いだ「UK GDPR」を持つに至りました。DUAAは、そのUK GDPRなどに手を入れ、英国の実情に合わせて調整するための法律だと捉えると分かりやすいでしょう。

ここで大切なのは、DUAAが既存のルールを丸ごと置き換えるものではない、という点です。UK GDPRや、その関連ルールは引き続き土台として残り、DUAAはそのうえで部分的な変更を加えます。いわば、家を建て替えるのではなく、必要なところを手直しするようなイメージです。だからこそ、まずは土台となる枠組みを踏まえたうえで、どこがどう変わるのかを押さえる、という順序で理解するのが近道になります。全体像を図にまとめました。

UK GDPRを置き換えず、手直しする

DUAAを理解するうえで、まず腑に落としておきたいのが、既存の枠組みとの関係です。英国のデータ保護は、UK GDPRを中心に、データ保護法（DPA 2018）や、電子的な連絡に関するルール（PECR）などで組み立てられてきました。DUAAは、これらを廃止して置き換えるのではなく、それぞれに改正を加える形をとります。つまり、対応の土台は依然としてUK GDPRであり、DUAAはその上に乗る「変更点の集まり」だと捉えるのが実態に近いのです。

この性格は、実務にとって心強い面があります。すでにUK GDPRに沿った対応を進めてきた企業であれば、一から作り直す必要はなく、変わった部分を押さえて手当てすればよいわけです。いっぽうで、「新法ができた＝ゼロから対応」と早合点すると、かえって混乱を招きかねません。革命というより、進化。そう捉えておくと、落ち着いて向き合えるでしょう。

主な変更点

では、DUAAはどこを手直しするのでしょうか。実務に関わりの深い変更を中心に、主なものを整理しました。

とりわけ実務に響きやすいのが、Cookieと罰則の扱いです。統計の取得やサイトの機能改善といった、危険度の低い用途のCookieについては、同意を取らずに使える場合が設けられました。利用者の同意を求める場面が、少し整理されるわけです。いっぽうで、電子的な連絡に関するルール（PECR）の罰則は、UK GDPR並みの水準へ引き上げられます。守るべき義務が緩む部分と、破ったときの重さが増す部分の、両方があると捉えておくとよいでしょう。加えて、研究目的でのデータ利用の考え方が明確化されたり、苦情に対応する手続きを整える義務が設けられたりと、運用に関わる変更も含まれています。

いつ何が変わるのか

時期についても押さえておきましょう。DUAAは2025年6月に成立しました（英国では、法案が正式に法律となる手続きを「ロイヤル・アセント」と呼ぶのです）。ただし、成立と同時にすべてが動きだすわけではありません。変更点は、その後の細かな規則の整備を経て、段階的に施行されていく想定です。おおよそ2025年から2026年にかけて、順を追って効いてくると見込まれています。

ですから、いま慌ててすべてを作り替える、という話ではありません。とはいえ、変更点のなかには、自社の運用に関わるものも含まれます。どの変更が、いつから、自社のどの部分に関わるのか。この見取り図を早めに描いておくと、施行のタイミングに合わせて、落ち着いて手当てを進められます。公式の情報を折に触れて確かめ、段階に応じて対応する姿勢が役立ちます。

日本企業に関わる理由と各国ルールとの違い

DUAAが日本企業に関わりうるのは、土台となるUK GDPRに、域外適用の考え方があるためです。英国に拠点がなくても、英国の個人に向けて商品やサービスを提供したり、英国にいる人の行動を追跡したりする場合には、UK GDPRの対象になりえます。その土台のうえでルールが手直しされる以上、英国の利用者と接点のある企業は、DUAAの変更点も視野に入れておく意味があるのです。

あわせて、各国のルールと並べて捉えておくと、混同を避けられます。EUのGDPRと英国のUK GDPRは、もともと同じ流れをくむものですが、DUAAによって英国は少しずつ英国ならではの道を歩み始めているのです。米国のプライバシー法が州ごとのパッチワークであるのとも、日本の個人情報保護法が全国一律であるのとも、成り立ちが異なります。自社がどの国の、どの利用者を相手にしているのかを軸に、それぞれのルールを見ていくのが確かな進め方です。

受託・委託開発で押さえる実務ポイント

英国と関わるサービスやシステムを外部と開発する場合、DUAAについても、いくつかの点をすり合わせておくと見通しが立ちます。まず、土台となるUK GDPRへの対応が、そもそもどこまでできているかの確認です。DUAAは手直しである以上、土台がぐらついていては、変更点だけを追っても足元が固まりません。既存の対応状況を棚卸ししたうえで、変わる部分を上乗せしていく、という順序が要になります。

次に、変更点のうち実装に関わるものの扱いです。とりわけCookieの同意管理は、DUAAの変更と直接かかわる部分です。どの用途のCookieを、同意ありで扱い、どれを同意なしで用いるのか。この線引きを、英国向けの画面や仕組みにどう反映するかを、あらかじめ相談しておきたいところです。自動での意思決定や、苦情に対応する窓口の整備なども、設計に関わってきます。土台の対応から変更点の反映までを見通して一緒に描ける相手だと、任せたあとも安定して運用しやすくなります。

まとめ：DUAAで押さえる3つの視点

英国データ保護法（DUAA）は、既存の枠組みを土台に、英国のデータ保護を手直しする法律です。押さえておきたい視点は三つに整理できます。第一に、DUAAはUK GDPRなどを置き換えるのではなく、一部を改正する2025年成立の法律であること。第二に、Cookieの扱いや自動での意思決定、罰則の水準など、実務に関わる変更が含まれ、2026年にかけて段階的に施行されること。第三に、UK GDPRはもともと域外にも及ぶため、英国の個人と接点のある日本企業も、変更点を視野に入れる意味があることです。まずは、自社が英国の利用者とどう関わっているのか、土台のUK GDPRにどこまで対応できているのかを見極めるところから。判断に迷う部分があれば、公式情報の確認とあわせて、外部の知見を頼るのも堅実な選び方といえます。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　参考：ICO（英国 情報コミッショナー office）「Data (Use and Access) Act 2025」（https://ico.org.uk/about-the-ico/what-we-do/legislation-we-cover/data-use-and-access-act-2025/）。制度の概要・変更点の参考として。
2. *2　参考：GOV.UK「Data (Use and Access) Act 2025: data protection and privacy changes」（https://www.gov.uk/guidance/data-use-and-access-act-2025-data-protection-and-privacy-changes）。成立時期・施行の考え方の参考として。

Tweet