LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

同じ個人データでも、どの法域のどの部で処理するかが変われば、守るべき義務の束ごと変わります。英国が、その切り替えを申請制にしました。

データ保護法2018（適格権限機関）規則2025（SI 2025/1128）が2025年10月27日に制定され、制定の21日後に施行しました*1。同じ日に、データ（利用およびアクセス）法2025の第89条による第82条の改正と、第82A条から第82E条が施行しています*2。

共同で個人データを扱う仕組みを設計する立場から、誰が対象か、何が条件か、いつまで続くのかを順に見ていきます。

第4部の射程が、情報機関の外まで広がった

まず全体像です*1*2*3*4。

データ保護法2018の第4部は、もともと情報機関による処理のための部でした*2。第82条第2項は、その情報機関を保安局、秘密情報局、政府通信本部と定めています*2。

そこへ第A1項が挿入されました*2。この部が適用されるのは、(a) 情報機関による個人データの処理と、(b) 適格権限機関による個人データの処理であって、その処理が、その時点で効力を有する指定通知の対象であるものの二つである、という書き方です*2。

同時に第2A項も入りました*2。この部でいう権限機関は第3部と同じ意味とし、適格権限機関は国務大臣が定める規則において指定され、または記述された権限機関と定義します*2。第4項により、この規則は肯定的決議手続によります*2。

規則の説明覚書は、狙いをはっきり書いています*1。従来は共同で処理できなかった管理者が、単一の共通の制度の中で個人データを処理できるようになること、そして第4部の統制と保護措置が、そうした共同処理のすべてに適用されることです*1。

この改正は、2026年2月5日にまとめて動いた一連の改正とは別の日に施行しています*2。施行日ごとの切り分けはデータ保護改革の施行日と経過措置で整理しました*2。

適格権限機関は、規則で名指しされている

その名指しを行ったのがSI 2025/1128です*1。

この規則は、データ保護法2018の第82条第2A項に基づいて作られました*1。前文によれば、国務大臣は同法第182条第2項に従いコミッショナーその他適切と考える者と協議し、第82条第4項および第182条第7項に従い、草案が両院の決議で承認されています*1。施行は制定の日の翌日から数えて21日目で、適用地域はイングランドおよびウェールズ、スコットランド、北アイルランドです*1。

並びを見ると、警察と軍の警務、税と犯罪の捜査、そして電子的監視の担い手が中心であることが分かります*1。土地登記所や仮釈放の機関のように、一見すると捜査から遠い機関も含まれています*1。

ここに載っていることは、指定通知を申請できる資格があるという意味にとどまります*1。実際に第4部へ移るのは、指定通知の対象になった処理だけです*2。機関そのものが第4部へ移るわけではありません*2。

指定の条件は、共同管理者であることと国家安全保障

指定通知の要件が第82A条です*2。

第1項は二つの条件を並べます*2。この条に従って処理の指定の申請があることと、国務大臣が、その処理の指定が国家安全保障を守るために必要であると認めることです*2。

第2項が範囲を絞りました*2。国務大臣が指定できるのは、適格権限機関が、少なくとも1つの情報機関との共同管理者として行う処理に限られるのです*2。第9項は、この共同管理者をその処理に関する第4部の遵守についての責任が、第104条に基づく取決めにより定められている管理者と定義しました*2。単独で行う処理は、はじめから対象外です*2。

第3項は禁止です*2。英国外の国もしくは地域、または国際機関への個人データの移転から成る処理は、指定できません*2。越境移転を指定通知で第4部へ逃がすことはできない、という線引きです*2。

手続きも共同で行います*2。第5項は、申請を適格権限機関と、その処理を共に行う情報機関とが共同で行わなければならないとし、第6項は複数の適格権限機関について、また複数の情報機関との処理について、一つの申請ができるとしました*2。

申請の記載事項は第7項です*2。意図する目的および処理の方法を含む、処理の内容の記述と、国家安全保障を守るために指定が必要であると申請者が考える理由の説明です*2。第8項により、国務大臣は指定通知を出す前にコミッショナーと協議しなければなりません*2。

通知そのものの記載は第4項にあります*2。指定される処理と適格権限機関を特定し、または記述することと、指定の申請者へ通知を与えることです*2。

5年で失効し、少なくとも年1回点検される

期間の設計が第82B条、見直しが第82C条です*3。

撤回の仕方も条文にあります*3。第6項は、撤回通知が指定通知を完全に撤回するものでなければならないことと、効力の発生時を記すことを求めます*3。一部だけを残す撤回はできません*3。

効力発生時の決め方には、二つの考慮が並びます*3。第7項は、国務大臣が処理の指定ができるだけ早く終わることの望ましさと、関係する場合には、個人データの処理に関する新しい取決めへ秩序立てて移行するために必要な時間を考慮しなければならないとしました*3。

実務へ置き換えると、指定が切れた後の受け皿を先に用意しておく必要がある、ということです*3。5年という上限が条文にある以上、第4部での処理は恒久的な状態ではありません*3。切れたときにどの部へ戻り、どの義務が復活するのかを、設計の時点で決めておくことになります*3。

記録は公表され、審判所で争える

透明性の仕組みが第82D条です*4。

第1項は、国務大臣が指定通知を出したときにその写しをコミッショナーへ送らなければならないことと、コミッショナーが通知の記録を公表しなければならないことを定めます*4。

記録に載せる項目は第2項です*4。国務大臣の氏名、通知が出された日、撤回されない場合に通知が効力を失う日、そして第3項に従うことを条件として通知の残りの本文です*4。

その第3項が例外です*4。国務大臣が、本文またはその一部を公表することが、国家安全保障の利益に反する、公益に反する、または何人かの安全を危うくするおそれがあると判断し、その判断をコミッショナーへ通知した場合には、コミッショナーはその部分を公表してはなりません*4。第4項により、通知が効力を有する間、記録は公衆が利用できる状態に保たれます*4。第5項は、撤回通知についても写しをコミッショナーへ送ることを求めました*4。

争う道は第82E条です*4。第1項は指定通知により直接に影響を受ける者が、審判所へ不服を申し立てられると定めます*4。第2項は、審判所が司法審査の申立てにおいて裁判所が用いる原則を適用して、国務大臣に通知を出す合理的な根拠がなかったと認める場合に、不服を認容し、通知を取り消すことができるとしました*4。

記録の公表先がコミッショナーである点は、あわせて押さえておきたいところです*4。その職は2026年9月30日に廃止され、機能は情報委員会へ移りました。経緯は情報委員会への移行で整理しています*4。

共同で処理する仕組みを作る側から見ると、この制度は三つの記録を求めます*2*3*4。誰と共同管理者になっているかを定める第104条の取決め、指定の対象とした処理の記述、そしてなお必要だと説明できる根拠です*2*3。いずれも、求められてから作るには重い書類です*3。

まとめ：英国の共同処理の指定通知で押さえる3つの視点

英国では、データ保護法2018（適格権限機関）規則2025が2025年10月27日に制定され、制定の21日後に施行しました。同じ日に、データ（利用およびアクセス）法2025の第89条による同法第82条の改正と、第82A条から第82E条が施行しています。押さえたい視点は三つあります。第一に、射程。第82条第A1項により、第4部は情報機関による処理に加えて、適格権限機関による処理であってその時点で効力を有する指定通知の対象であるものにも適用されます。適格権限機関は第82条第2A項に基づく規則で指定され、政府の各省、地域および特別の警察、軍の警務、歳入関税庁、国家犯罪対策庁、土地登記所、仮釈放の機関、電子的監視の責任者などが挙げられています。第二に、指定の条件。第82A条により、指定通知は申請があり、かつ国務大臣が国家安全保障を守るために必要と認める場合に限り出されます。対象は、適格権限機関が少なくとも1つの情報機関との共同管理者として行う処理に限られ、英国外の国・地域または国際機関への移転から成る処理は指定できません。申請は適格権限機関と情報機関が共同で行い、処理の内容と必要性の説明を含め、国務大臣は通知の前にコミッショナーと協議します。第三に、期間と透明性。第82B条により通知は効力発生から5年、通知にそれより短い期間があればその末日、撤回のいずれか早い時に失効します。第82C条は少なくとも年1回の見直しと、必要でなくなった場合の撤回の義務を定めます。第82D条によりコミッショナーが記録を公表し、第82E条により直接に影響を受ける者は審判所へ不服を申し立てられます。

よくある質問

出典

1. *1　参考：英国法令データベース「The Data Protection Act 2018 (Qualifying Competent Authorities) Regulations 2025」（SI 2025 No. 1128・2025年10月27日制定）（https://www.legislation.gov.uk/uksi/2025/1128/made）。指定の一次情報として。前文（データ保護法2018 第82条第2A項に基づくこと、第182条第2項に従いコミッショナーその他と協議したこと、第82条第4項および第182条第7項に従い草案が両院の決議で承認されたこと）、第1条（制定の21日後の施行、適用地域）、第2条（適格権限機関として指定された機関の一覧。政府の省、各警察の長、軍の憲兵司令官、港湾関係の巡査団の長、協力協定による団体、歳入関税庁、国家犯罪対策庁、土地登記所、仮釈放の機関、保護観察委員会、電子的監視の責任者）、および説明覚書（データ（利用およびアクセス）法2025 第89条・第90条により、従来は共同で処理できなかった管理者が単一の共通の制度の中で処理できるようになること、第4部の統制と保護措置がすべての共同処理に適用されること）を確認した。確認日は2026年9月15日。（2026年9月確認）
2. *2　参考：英国法令データベース「Data Protection Act 2018」第82条・第82A条（第4部の範囲と指定）（https://www.legislation.gov.uk/ukpga/2018/12/section/82A）。射程と要件の一次情報として。第82条第A1項（第4部が情報機関の処理と、効力を有する指定通知の対象である適格権限機関の処理に適用される旨）、第2項（情報機関＝保安局・秘密情報局・政府通信本部）、第2A項（権限機関は第3部と同じ意味、適格権限機関は国務大臣の規則で指定・記述される者）、第4項（規則は肯定的決議手続）、ならびに第82A条第1項から第9項（申請と国家安全保障の必要性、共同管理者としての処理に限る旨、英国外への移転から成る処理の除外、通知の記載事項、共同での申請と複数機関のまとめての申請、申請に記す処理の記述と理由、コミッショナーへの協議、共同管理者の定義＝第104条の取決めにより責任が定められた管理者）を確認した。あわせて第A1項・第2A項・第82A条から第82E条が2025年11月17日にデータ（利用およびアクセス）法2025 第89条およびSI 2025/996により施行した旨を確認した。確認日は2026年9月15日。（2026年9月確認）
3. *3　参考：英国法令データベース「Data Protection Act 2018」第82B条・第82C条（期間と見直し・撤回）（https://www.legislation.gov.uk/ukpga/2018/12/section/82B）。期間の一次情報として。第82B条第1項から第3項（効力の発生時の記載、5年・より短い期間・撤回のうち最も早い時に効力を失う旨、さらなる指定通知を出しうる旨）、および第82C条第2項から第7項（申請者が必要でなくなったと考える場合の遅滞ない届出、国務大臣の求めに応じた処理の記述と理由の提供、少なくとも年1回の見直しと必要性の検討、撤回通知を出しうる場合と出さなければならない場合、撤回は完全に行い効力の発生時を記すこと、効力発生時の決定にあたり考慮する2つの事項）を確認した。確認日は2026年9月15日。（2026年9月確認）
4. *4　参考：英国法令データベース「Data Protection Act 2018」第82D条・第82E条（記録の公表と不服申立て）（https://www.legislation.gov.uk/ukpga/2018/12/section/82D）。透明性と争訟の一次情報として。第82D条第1項から第5項（国務大臣が写しをコミッショナーへ送る義務とコミッショナーの公表義務、記録に含める4項目、国家安全保障の利益・公益・何人かの安全を理由とする非公表と国務大臣からの通知、通知が効力を有する間の公衆の利用可能性、撤回通知の写しの送付）、および第82E条第1項・第2項（直接に影響を受ける者による審判所への不服申立て、司法審査の原則を適用して合理的な根拠がなかったと認める場合に不服を認容し通知を取り消しうる旨）を確認した。確認日は2026年9月15日。（2026年9月確認）

Tweet