GDPR初の大改革——中小企業免除が750人以下に拡大、€6.7B罰金の教訓

2018年の施行以来、世界のデータ保護規制の「ゴールドスタンダード」として君臨してきたGDPR（一般データ保護規則）が、ついに初の本格改革を迎える。欧州委員会が2026年3月に公表した「デジタルパッケージ」の中で、処理活動記録（ROPA）の免除対象を従業員250人未満から750人未満に3倍拡大する提案が盛り込まれた。さらに、データ保護影響評価（DPIA）の実施義務が発生するリスク閾値も「何らかのリスク」から**「高リスク」に引き上げ**られる。

これまでの8年間でGDPR違反による制裁金の累計は**€6.7B（約1兆1,000億円）、2,679件**に達している。中小企業にとって過度な負担だった遵守コストを緩和しつつ、大規模なデータ処理を行う企業には引き続き厳格な義務を課す——欧州委員会はこのバランスを模索している。

GDPRとは何か——8年間の実績と課題

GDPR（General Data Protection Regulation）は、EU域内の個人データ保護を統一的に規律する法律だ。2016年に採択され、2018年5月25日に施行された。それ以前はEU加盟国ごとにバラバラだったデータ保護法を一本化し、域外適用（EU市民のデータを扱う域外企業にも適用）という画期的な仕組みを導入した。

GDPRの主な特徴は以下のとおりだ。

• 同意の明示化: データ収集時に明確で具体的な同意を取得する義務
• データ主体の権利: アクセス権、削除権（忘れられる権利）、ポータビリティ権
• データ保護影響評価（DPIA）: 高リスクな処理を行う前にリスク評価を実施
• 処理活動記録（ROPA）: データ処理の目的・カテゴリ・保存期間などを文書化
• データ保護オフィサー（DPO）: 一定規模以上の組織に専門担当者の設置を義務化
• 72時間以内のデータ侵害通知: 当局への迅速な報告義務
• 最大€20Mまたは全世界年間売上高の4%: 違反時の制裁金上限

施行から8年が経過し、GDPRは確実にデータ保護の水準を引き上げた。しかし同時に、中小企業にとっての遵守コストが過大であるという批判も根強い。欧州中小企業連合（SMEunited）の調査によると、従業員50人未満の企業がGDPR遵守に費やすコストは年間平均€8,000〜€12,000にのぼり、これは大企業と比較して売上高に対する負担率が5倍以上になるケースもある。

改革の核心——デジタルパッケージの主要変更点

欧州委員会が提案したデジタルパッケージには、GDPR改革を含む複数の規制見直しが含まれている。GDPR関連の改革ポイントは大きく4つに整理できる。

1. ROPA免除の大幅拡大（250人→750人）

現行GDPRの第30条5項では、従業員250人未満の企業は処理活動記録（Records of Processing Activities）の作成義務が免除されている。ただし、「権利と自由に対するリスクを伴う処理」「恒常的な処理」「特別カテゴリのデータ処理」を行う場合はこの限りではなく、実質的にほぼすべての企業がROPAの作成を求められてきた。

改革案ではこの閾値を750人未満に引き上げ、かつ例外条件も限定的にすることで、EU域内の中小企業の約95%がROPA作成義務から実質的に解放される見込みだ。

2. リスク閾値の引き上げ（any risk → high risk）

DPIAの実施義務が発生する条件を、「何らかのリスク（any risk）」から**「高リスク（high risk）」**に変更する。これにより、一般的な顧客データの処理やメールマーケティングなど、日常的なビジネス活動に対してDPIAが不要になるケースが大幅に増える。

3. DPAへの苦情処理の効率化

各国のデータ保護当局（DPA）間の連携を強化し、越境案件の処理を迅速化する。現状では、越境データ処理に関する苦情の解決に平均18〜24カ月かかるケースもあり、これを大幅に短縮する仕組みが提案されている。

4. ダークパターン規制の明確化

同意取得時の「ダークパターン」（ユーザーを誤誘導するUI設計）に対する規制を明確化する。2024年にフランスのCNIL（情報処理及び自由に関する国家委員会）がGoogleに対し**€100M（約165億円）の制裁金**を科したケースは、Cookie同意バナーのダークパターンが問題視されたものだ。

以下の図は、現行GDPRと改革案の主要な変更点を比較しています。

€6.7Bの制裁金——国別・企業別の実態

GDPR施行から8年間で、EU全体の制裁金は累計€6.7B（約1兆1,000億円）、2,679件に達した。この数字は、GDPRが「歯のある規制」であることを如実に示している。

国別の制裁件数

制裁件数で圧倒的トップに立つのは**スペイン（1,033件）**だ。スペインのデータ保護当局AEPDは、比較的少額（€1,000〜€100,000）の制裁を大量に発行する「高頻度・低額」戦略を採用しており、中小企業への警告効果を狙っている。

一方、制裁金額で大きなインパクトを与えているのはアイルランドとフランスだ。アイルランドのDPCは、Meta（旧Facebook）に対して2023年に**€1.2B（約1,980億円）**というGDPR史上最高額の制裁金を科した。これはFacebookがEU市民のデータを米国に移転する際の法的根拠が不十分だったためだ。

以下の図は、GDPR制裁金の国別分布を示しています。

高額制裁金トップ5

順位	企業	制裁金額	国	違反内容
1	Meta（Facebook）	€1.2B	アイルランド	EU-米国間データ移転の法的根拠不備
2	Amazon	€746M	ルクセンブルク	ターゲティング広告の同意取得不備
3	Meta（Instagram）	€405M	アイルランド	未成年者のデータ処理不備
4	Meta（WhatsApp）	€225M	アイルランド	プライバシーポリシーの透明性不足
5	Google	€100M	フランス	Cookie同意バナーのダークパターン

この表からわかるのは、制裁金の上位はほぼすべてビッグテック企業が占めているということだ。GDPRの制裁は「売上高の4%」を上限としているため、グローバル企業への制裁金額は自然と巨額になる。一方で中小企業に対しても、スペインを中心に数千件の制裁が科されており、企業規模を問わずGDPR遵守が求められている現実がある。

中小企業にとっての実務的影響

ROPA免除拡大の具体的メリット

現行のROPA作成には、以下のようなコストがかかる。

• 初期作成コスト: 外部コンサルタントへの依頼で€5,000〜€15,000
• 年間メンテナンスコスト: 内部担当者の工数として年間100〜200時間
• ツール導入費: データマッピングツールのライセンスで年間€2,000〜€8,000

750人未満の企業がROPA義務から解放されれば、これらのコストの大部分が削減される。ただし注意すべきは、**ROPA免除はROPA作成が「不要」になるのではなく「義務でなくなる」**という点だ。データ保護のベストプラクティスとしてROPAを自主的に作成・維持することは、依然として推奨される。

リスク閾値引き上げの実務効果

「何らかのリスク」から「高リスク」への閾値引き上げにより、以下のような一般的なデータ処理がDPIA不要となる可能性が高い。

• 顧客の注文情報の管理
• 従業員の給与・人事データの処理
• 一般的なメールマーケティング
• Webサイトのアクセス解析（匿名化済み）

一方、以下の処理は引き続き「高リスク」としてDPIAが必要と考えられる。

• 大規模なプロファイリング（AI/機械学習を用いた行動分析）
• 生体認証データの処理
• 公共空間での体系的な監視
• 特別カテゴリデータ（健康情報、政治的見解など）の大規模処理

日本への影響——十分性認定と越境データ移転

日本・EU間の十分性認定

日本とEUは2019年1月に相互の十分性認定を発効させた。これにより、日本企業がEU市民の個人データを日本国内に移転する際、標準契約条項（SCC）などの追加的な安全措置なしにデータ移転が可能になっている。

GDPR改革が十分性認定に直接影響する可能性は低いが、改革によってEU側のデータ保護基準が変わる場合、日本の個人情報保護法との整合性が再検証される可能性はある。

日本企業への実務的影響

EU域内に拠点を持つ日本企業、またはEU市民のデータを取り扱う日本企業にとって、今回の改革は以下の点で影響がある。

恩恵を受ける企業:

• EU域内に従業員250〜750人規模の拠点を持つ日本企業
• EU向けにECサービスを提供する中規模の日本企業
• EU企業とのBtoBデータ連携を行う日本のSaaS企業

引き続き注意が必要な企業:

• 大規模なプロファイリングやAIを活用するサービスを提供する企業
• ヘルスケアや金融など、特別カテゴリのデータを取り扱う企業
• EU域内で大規模なデータセンターを運用する企業

日本の個人情報保護法への波及

日本の個人情報保護法は、2025年の改正（いわゆる「3年ごとの見直し」）で、漏えい報告の義務拡大やCookieなどの識別子の規制強化が進められている。GDPRの改革が「中小企業への配慮」を明確に打ち出したことは、日本の規制当局にとっても参考になる先例だ。

特に、日本では個人情報保護法の遵守コストが中小企業にとって大きな負担になっているという声が経済界から上がっている。GDPRの「750人未満免除」モデルが、日本の今後の法改正に影響を与える可能性は十分にある。

他の主要データ保護規制との比較

規制	対象地域	施行年	制裁金上限	中小企業免除
GDPR（現行）	EU/EEA	2018年	売上高4%または€20M	250人未満（限定的）
GDPR（改革案）	EU/EEA	2027年（予定）	同上	750人未満（拡大）
CCPA/CPRA	カリフォルニア州	2020/2023年	$7,500/件	年間売上$25M以上が対象
PIPL	中国	2021年	売上高5%または5,000万元	なし
個人情報保護法	日本	2022年改正	1億円（法人）	実質なし

この比較表から明らかなように、GDPRの改革案は世界の主要データ保護規制の中で最も明確な中小企業免除メカニズムを持つことになる。

今後のスケジュールと施行見通し

欧州委員会の提案は、今後以下のプロセスを経て法制化される。

1. 2026年3〜6月: 欧州議会と欧州理事会での審議開始
2. 2026年下半期: 委員会、議会、理事会による三者対話（トリローグ）
3. 2027年前半: 最終合意と採択（見込み）
4. 2027年後半〜2028年: 加盟国での国内法化と施行

ただし、EU法の立法プロセスは複雑であり、特にデータ保護に関しては加盟国間の意見対立が生じやすい。GDPRの初版が2012年の提案から施行まで6年かかったことを考えると、今回の改革も予定より遅延する可能性は十分にある。

まとめ——企業が今すぐ取るべきアクション

GDPR初の大改革は、中小企業にとって大きな朗報だ。しかし、改革が施行されるまでには少なくとも1〜2年かかる見込みであり、現行GDPRの遵守は引き続き必要だ。以下のアクションステップを推奨する。

1. 現行GDPR遵守の継続: 改革案はまだ提案段階であり、現行規則への違反は引き続き制裁対象。現時点でROPAやDPIAの義務を緩めてはならない
2. 改革案のモニタリング: 欧州委員会、欧州議会の動向を定期的にチェックし、自社への影響を早期に把握する。特に750人の閾値が最終的にどの数字で確定するかは要注目
3. データ保護体制の「スケーラブル化」: 規制が緩和されてもデータ保護のベストプラクティスを維持しつつ、義務でなくなった部分のコストを最適化する戦略を策定する
4. 日本本社との連携強化: EU拠点を持つ日本企業は、本社の法務・コンプライアンス部門とEU拠点の間で改革の影響を共有し、グローバルなデータ保護ポリシーの見直しを開始する

€6.7B、2,679件という制裁金の実績が示すとおり、GDPRは「歯のある規制」だ。今回の改革は中小企業の負担軽減という正しい方向への一歩だが、データ保護そのものの重要性は変わらない。規制の変化を好機と捉え、コンプライアンスコストの最適化とデータ保護の質の維持を両立させる——それが、改革時代に求められる企業の姿勢だ。