144カ国がデータ保護法を施行——グローバルプライバシー規制の新時代

国際プライバシー専門家協会（IAPP）の最新調査によると、世界144カ国以上がデータ保護に関する包括的な法律を施行していることが明らかになった。これは国連加盟国193カ国の**約75%**に相当する。わずか10年前には包括的なデータ保護法を持つ国は80カ国程度だったことを考えると、プライバシー規制のグローバル化は驚異的なスピードで進んでいる。

データ保護法の普及は、もはや先進国だけの話ではない。アフリカでは36カ国、南米では12カ国、アジア太平洋では28カ国が包括的なデータ保護法を施行しており、データ主権とプライバシー保護がグローバルなインフラストラクチャとして定着しつつある。

データ保護法の世界的普及——144カ国の実態

地域別の施行状況

IAPPの「Global Privacy Law and DPA Tracker」によると、2026年3月時点のデータ保護法の施行状況は以下のとおりだ。

地域	施行済み	法案審議中	未整備	施行率
ヨーロッパ	44カ国	1カ国	2カ国	94%
アフリカ	36カ国	8カ国	10カ国	67%
アジア太平洋	28カ国	5カ国	15カ国	58%
南北アメリカ	20カ国	6カ国	9カ国	57%
中東	16カ国	3カ国	1カ国	80%
合計	144カ国	23カ国	37カ国	75%

ヨーロッパが94%と最も高い施行率を誇るのは、GDPRのEU加盟国への一律適用に加え、EEA（欧州経済領域）や英国も含めた広範な適用範囲による。中東の80%という高い施行率は、湾岸諸国がデジタル経済の推進と並行してプライバシー規制を急速に整備していることを反映している。

データ保護法の3つの「波」

データ保護法のグローバル普及は、大きく3つの波に分けて理解できる。

第1の波（1970〜2000年代）: 先進国の先行整備

1970年にドイツのヘッセン州が世界初のデータ保護法を制定して以来、スウェーデン（1973年）、フランス（1978年）、英国（1984年）といった欧州諸国が相次いでデータ保護法を整備した。日本も2003年に個人情報保護法（APPI）を制定し、この波に含まれる。この時期のデータ保護法は、主にオフラインの個人情報（紙の記録、データベース）を想定していた。

第2の波（2010〜2020年代前半）: GDPRのグローバル波及効果

2016年のGDPR採択（2018年施行）が世界のデータ保護法制に革命的な影響を与えた。GDPRの域外適用、高額な制裁金、そして「十分性認定」メカニズムが、各国にGDPR水準のデータ保護法整備を促した。ブラジルのLGPD（2020年）、タイのPDPA（2022年）、インドのDPDP Act（2023年）などがこの波に含まれる。

第3の波（2024年〜現在）: AI時代への対応

最新の波は、AI技術とデータ保護の融合だ。EU AI Act（2024年施行開始）をはじめ、データ保護法にAIガバナンスの要素を組み込む動きが加速している。従来の「個人データの収集・利用・保管」に加え、「AIによるプロファイリング」「自動化された意思決定」「生成AIの学習データ」への規制が各国で導入されつつある。

以下の図は、世界のデータ保護法の施行状況を地域別に示したものです。

この図のとおり、データ保護法は地理的にも偏りなく普及が進んでいる。特にアフリカ大陸での急速な整備が目立ち、デジタル経済の成長と規制整備が同時進行している。

主要データ保護規制の詳細比較

グローバルに事業を展開する企業にとって、各国・地域のデータ保護法の違いを理解することは不可欠だ。ここでは主要6規制を詳細に比較する。

GDPR（EU一般データ保護規則）

• 施行年: 2018年（2016年採択）
• 適用範囲: EU/EEA居住者の個人データを処理するすべての組織（世界中）
• 法的根拠: 同意、契約履行、法的義務、正当利益など6つの根拠
• 制裁金: 全世界売上の4%または€20Mのいずれか高い方
• 特徴: 域外適用、十分性認定メカニズム、DPO設置義務、72時間侵害通知

GDPRは依然として世界のデータ保護規制のゴールドスタンダードだ。その影響力は条文の内容だけでなく、「Brussels Effect」と呼ばれる規制の域外波及効果にある。多くの国がGDPRをモデルにデータ保護法を策定しており、事実上のグローバル標準となっている。

CCPA/CPRA（カリフォルニア州消費者プライバシー法/権利法）

• 施行年: CCPA 2020年、CPRA 2023年
• 適用範囲: カリフォルニア州居住者のデータを扱う一定規模以上の企業
• 法的根拠: オプトアウト方式（消費者が拒否しない限り処理可能）
• 制裁金: $2,500/件（過失）、$7,500/件（故意）
• 特徴: 「個人情報の売却禁止」権、プライバシー権利行使のインターフェース義務

米国には連邦レベルの包括的なデータ保護法がなく、カリフォルニア州のCCPA/CPRAが事実上のリーダーだ。2026年3月時点で、米国の19州が独自のデータプライバシー法を施行または制定しており、企業にとっては州ごとの規制対応がパッチワーク的な負担となっている。連邦プライバシー法（American Privacy Rights Act）の議論は継続中だが、議会での合意形成は難航している。

PIPL（中国個人情報保護法）

• 施行年: 2021年
• 適用範囲: 中国国内で個人情報を処理する組織、および中国国民のデータを域外で処理する組織
• 法的根拠: 同意が原則、他の根拠は限定的
• 制裁金: 売上の5%または¥50M（約10億円）、責任者個人に最大¥1M
• 特徴: 厳格なクロスボーダー移転規制、セキュリティアセスメント義務、データローカライゼーション要件

PIPLはGDPRに匹敵する包括性を持つが、データローカライゼーション要件と国家安全保障との関連性において独自の特徴がある。「重要情報インフラ運営者」に分類される企業は、個人情報を中国国内に保管する義務があり、域外移転にはCAC（中国サイバースペース管理局）によるセキュリティアセスメントが必要だ。

LGPD（ブラジル一般データ保護法）

• 施行年: 2020年
• 適用範囲: ブラジル国内で個人データを処理、またはブラジル居住者にサービスを提供する組織
• 法的根拠: 同意、正当利益、契約履行など10の根拠
• 制裁金: 売上の2%または最大R$50M（約15億円）
• 特徴: ANPD（国家データ保護庁）による執行、GDPRとの高い互換性

LGPDはGDPRをモデルに策定されたが、いくつかの独自の特徴がある。法的根拠が10種類とGDPR（6種類）より多く、「信用保護」という独自の根拠が含まれる。ANPDは2023年から本格的な執行を開始し、2025年には初の大型制裁金を科した。

PDPA（タイ個人情報保護法）

• 施行年: 2022年（完全施行）
• 適用範囲: タイ国内で個人データを処理する組織
• 法的根拠: 同意が原則、正当利益は限定的
• 制裁金: 最大THB 5M（約2,000万円）+ 刑事罰あり
• 特徴: 刑事罰の存在、DPO設置義務、クロスボーダー移転制限

ASEAN地域でGDPR型のデータ保護法を初めて全面施行した国の一つであり、タイのPDPAはASEAN諸国のデータ保護法制のモデルケースとなっている。

DPDP Act（インドデジタル個人データ保護法）

• 施行年: 2023年（段階的施行中）
• 適用範囲: インド国内で個人データを処理する組織、域外のインド国民のデータ処理
• 法的根拠: 同意と正当な利用（Legitimate Uses）
• 制裁金: 最大₹250Cr（約45億円）
• 特徴: 同意マネージャー制度、データローカライゼーション（部分的）

14億人の人口を持つインドのデータ保護法は、その適用規模において世界最大だ。段階的施行が進んでおり、2026年中に主要条項が完全施行される見込みだ。

以下の図は、主要データ保護規制の制裁金水準と適用範囲を視覚的に比較したものです。

この図が示すように、制裁金の水準は規制ごとに大きく異なるが、全体として「厳格化」のトレンドが続いている。

クロスボーダーデータ移転の課題

144カ国がデータ保護法を施行している現在、最大の実務的課題はクロスボーダーデータ移転だ。各国の規制が異なるため、国境を超えたデータの流れが複雑化している。

主要なデータ移転メカニズム

メカニズム	対応規制	概要
十分性認定	GDPR	移転先国のデータ保護水準がEUと同等と認定
標準契約条項（SCC）	GDPR	EU承認の契約テンプレートで移転を合法化
拘束的企業準則（BCR）	GDPR	グループ企業内のデータ移転ルール
APEC CBPR	APEC諸国	自主認証による越境移転フレームワーク
セキュリティアセスメント	PIPL	CACによる事前審査（一定規模以上）
個人情報保護委員会への届出	APPI	外国提供時の本人への情報提供義務

Schrems II判決の影響と現在

2020年のSchrems II判決は、EU-米国間のデータ移転の枠組みであった「Privacy Shield」を無効とした。これにより、多くの企業がEUから米国へのデータ移転に法的不確実性を抱えることとなった。

2023年にEU-US Data Privacy Framework（DPF）が採択され、一定の解決が図られたが、プライバシー擁護団体のnoyb（Max Schrems氏が率いる）はDPFの有効性にも異議を申し立てている。「Schrems III」判決が出る可能性も指摘されており、EU-米国間のデータ移転は依然として不安定な状況にある。

データローカライゼーションの台頭

一部の国は、個人データの国外持ち出しを制限する「データローカライゼーション」要件を導入している。

• 中国（PIPL）: 重要情報インフラ運営者は中国国内でのデータ保管が義務
• ロシア: 個人データの一次保管はロシア国内のサーバーで実施
• インド（DPDP Act）: 政府が指定する「重要個人データ」はインド国内保管が必要
• ベトナム: サイバーセキュリティ法によりデータローカライゼーションを要求
• インドネシア: 政府規則により戦略的データの国内保管を義務化

データローカライゼーションは、データ主権の確保と国家安全保障の観点から支持される一方、グローバル企業にとっては各国にサーバーを設置するコスト増や、クラウドサービスの利用制限といった実務的な課題をもたらす。

データ保護と AI ガバナンスの融合

2024年のEU AI Act施行以降、データ保護法とAIガバナンスの融合が加速している。

AI関連のデータ保護課題

学習データの適法性: 生成AIモデルの学習に使われる個人データの法的根拠が問題となっている。イタリアのDPA（Garante）は2023年にChatGPTの一時禁止を命じ、その後OpenAIに年齢確認と透明性の強化を求めた。2025年にはアイルランドDPCがMetaのAIモデル学習へのFacebookデータ使用について調査を開始している。

プロファイリングと自動化された意思決定: GDPRの第22条は、個人に法的影響を及ぼす完全自動化された意思決定に対する異議申立権を規定している。AIの判断がローン審査、採用選考、保険査定などに使われるケースが増える中、この規定の実務的な適用が注目されている。

AIガバナンスフレームワークの各国比較

国・地域	アプローチ	主な規制	データ保護との関係
EU	リスクベースの包括規制	EU AI Act + GDPR	AIとデータ保護を統合的に規制
米国	セクター別の自主規制	大統領令 + 州法	連邦レベルの統合なし
中国	技術・目的別の個別規制	生成AI管理弁法 + PIPL	AI管理とデータ保護が並行
日本	ソフトロー中心	AI事業者ガイドライン + APPI	ガイドラインベースの柔軟な対応
英国	プロイノベーション	AI Safety Institute	データ保護はICOが担当

日本のAPPI——グローバルポジションの評価

日本の個人情報保護法（APPI）は、グローバルなデータ保護規制の中でどのような位置づけにあるのか。

APPIの強み

十分性認定の取得: 日本は2019年にEUから十分性認定を取得し、2023年に更新された。これにより、EU居住者の個人データを日本に移転する際にSCCなどの追加的な保護措置が不要となっている。アジア太平洋地域で十分性認定を取得しているのは日本と韓国のみであり、これは日本の貿易競争力にとって大きな優位性だ。

3年ごとの見直しメカニズム: APPIには法律の「見直し条項」が含まれており、3年ごとに法律の運用状況を評価し、必要に応じて改正を行う仕組みがある。2015年改正、2020年改正、2023年改正と、継続的にアップデートされてきた。

APEC CBPRへの参加: 日本はAPEC越境プライバシールール（CBPR）システムに参加しており、アジア太平洋地域でのデータ移転を円滑化している。

APPIの課題

制裁金の低さ: APPIの制裁金上限は1億円であり、GDPRの売上4%と比較すると抑止力が限定的だ。売上高1兆円の企業にとって、GDPRでは最大400億円の制裁金リスクがあるが、APPIでは1億円にとどまる。

独立監督機関の権限: 個人情報保護委員会（PPC）は独立機関として設置されているが、GDPRのDPA（各国データ保護当局）と比較すると、執行権限と人員規模で差がある。PPCの職員数は約200名であるのに対し、フランスのCNILは約260名、英国のICOは約900名のスタッフを擁する。

クッキー規制の不在: GDPRおよびePrivacy指令ではクッキーの事前同意が必須だが、APPIにはクッキーに対する明示的な規制がない。2022年改正で「個人関連情報」の概念が導入されたが、クッキーバナーの義務化には至っていない。

データポータビリティの不在: GDPRが保障するデータポータビリティ権（自分のデータを他サービスに移転する権利）は、APPIには規定されていない。デジタル市場の競争促進の観点から、今後の法改正で議論される可能性がある。

日本の主要なデータ保護指標の国際比較

指標	日本	EU	米国	中国
UNCTAD評価	○ 包括的	◎ 世界標準	△ パッチワーク	○ 包括的
十分性認定（EU）	○ 取得済	-	△ DPF条件付	× 未取得
制裁金上限	1億円	売上4%	$7,500/件	売上5%
独立監督機関	○ PPC	◎ 各国DPA	△ FTC他	○ CAC
侵害通知義務	○ あり	◎ 72時間	△ 州による	○ あり
AI規制との統合	△ ガイドライン	◎ AI Act	△ 大統領令	○ 個別規制

グローバル企業のコンプライアンス戦略

144カ国のデータ保護法に対応するために、グローバル企業は以下の戦略的アプローチを採用している。

「GDPR+α」アプローチ

多くのグローバル企業は、GDPRを基準としてグローバルなデータ保護ポリシーを策定し、各国固有の要件を追加する「GDPR+α」アプローチを採用している。GDPRが最も包括的で厳格な規制の一つであるため、GDPRに準拠すれば多くの国の要件を満たせるという考え方だ。

ただし、このアプローチには限界もある。中国のPIPLやロシアのデータローカライゼーション要件など、GDPRとは根本的に異なるアプローチを取る規制には、別途対応が必要だ。

プライバシーバイデザイン

製品・サービスの設計段階からプライバシー保護を組み込む「プライバシーバイデザイン」の原則は、GDPR第25条で法的義務として規定されている。データ最小化（必要最小限のデータのみ収集）、目的限定（収集時の目的以外に使用しない）、デフォルト設定の厳格化（opt-inをデフォルトにしない）といった原則を、システム設計に反映させるアプローチだ。

データマッピングとインベントリ

複数国のデータ保護法に対応するための前提条件は、「自社がどのデータを、どこで、どのように処理しているか」を正確に把握することだ。データマッピング（データの流れの可視化）とデータインベントリ（データの一覧管理）は、コンプライアンスの基盤となる。

2026年の注目動向

新たに施行予定のデータ保護法

2026年中に新たなデータ保護法の施行が予定されている主な国・地域は以下のとおりだ。

• サウジアラビア: 個人データ保護法の完全施行（2024年に部分施行）
• インド: DPDP Actの主要条項の完全施行
• 米国各州: フロリダ、テキサス、オレゴンなど新たな州法の施行
• カナダ: CPPA（消費者プライバシー保護法）の審議継続

AI関連データ保護規制の動き

EU AI Actの段階的施行（2024年8月から2027年8月まで）に伴い、各国がAI時代のデータ保護規制を強化している。特に以下の分野で新たな規制動向が注目される。

• 生成AIの学習データ: 個人データを学習に使用する場合の同意取得ルール
• AIによるプロファイリング: 信用スコアリング、採用AI等の規制
• 合成データ: 個人データから生成された合成データの法的取扱い
• 説明可能性: AI判断の理由を本人に説明する義務

日本企業が取るべき戦略——「プライバシーを競争力に」

144カ国がデータ保護法を施行している現在、プライバシー規制への対応はコストではなく、ビジネス上の競争優位性として捉えるべきだ。

EU十分性認定の活用

日本がEUの十分性認定を取得していることは、欧州進出を目指す日本企業にとって大きなアドバンテージだ。中国、インド、東南アジアの多くの国はこの認定を取得しておらず、EU企業との取引においてSCCなどの追加的な契約手続きが必要になる。日本企業はこの優位性を積極的にアピールすべきだ。

APEC CBPRの活用

日本が参加するAPEC CBPRシステムは、アジア太平洋地域でのデータ移転を円滑化するフレームワークだ。米国、カナダ、韓国、シンガポール、フィリピンなども参加しており、このシステムの認証を取得することで、域内のデータ移転が容易になる。

2025年改正APPIへの対応

日本の個人情報保護法は2025年にも改正が行われ、以下の点が強化された。改正内容を理解し、自社の運用に反映することが急務だ。

• 個人情報の不適正利用の禁止規定の具体化
• 個人データの越境移転に関する情報提供の充実
• 仮名加工情報の利活用促進
• 個人情報保護委員会の執行力強化

まとめ——今すぐ取るべき3つのアクション

144カ国がデータ保護法を施行している現在、プライバシー規制はグローバルビジネスの「前提条件」となった。対応を先送りするリスクは、年々大きくなっている。

1. 自社のデータフローを可視化する: まずは自社がどの国の個人データを、どこで、どのように処理しているかを洗い出す。データマッピングツールを導入し、クロスボーダーデータ移転の現状を把握すること。これが全ての規制対応の出発点となる

2. 「GDPR+α」ポリシーを策定する: GDPRを基準としたグローバルなデータ保護ポリシーを策定し、各国固有の要件を追加対応する。特に中国PIPL（データローカライゼーション）、米国CCPA/CPRA（オプトアウト対応）、インドDPDP Act（同意マネージャー）については、個別の対応計画を立てること

3. プライバシーを競争力に転換する: EU十分性認定やAPEC CBPR認証を営業ツールとして活用し、海外取引先に対してデータ保護の信頼性をアピールする。2026年のAPPI改正動向を注視し、法改正に先行した対応を行うことで、規制をビジネスチャンスに変えること