EUのデジタル規制の簡素化がまた一歩進んだ。2026年10月21日、EU理事会は交渉マンデート（交渉授権）を採択し、GDPR、eプライバシー指令下のCookieルール、サイバーセキュリティおよびデータインシデント報告義務について「保護水準を下げない簡素化」を進めることに合意。翌日にはマンデート全文が公開された。
何が起きたのか
これはEUの「オムニバス簡素化」計画における7つ目の立法パッケージで、EUのデジタルルールブックをより明確で適用しやすくし、企業や公的機関のコンプライアンスコストを下げるのが狙いだ。なお、同じパッケージのうちAI調和ルールの実施簡素化については2026年6月29日に既に採択済み。今回理事会が承認したのはもう半分、デジタル立法枠組みの簡素化である。
主な内容：
- GDPR改正：個人データの定義は維持。仮名化と自然人の識別に関する新規定、根拠のない・過剰なデータ主体の請求や低リスクの情報提供義務の簡素化、「科学研究」の原則ベースの定義と研究機関向けの限定的免除、生体認証やAIシステムの開発・運用におけるセンシティブデータ処理の保障措置付き免除、AI関連の個人データ処理の法的根拠の明確化、個人データ侵害の通知期限の延長、EU統一の高リスク処理カテゴリー一覧と共通コンプライアンステンプレートの導入。
- Cookieルール：eプライバシー指令下のCookie・追跡ルールは維持しつつ、同意なしにCookieを設置できる場合を拡充。サービス提供、オーディエンス測定、利用者のデバイス保護などが例示され、ウェブ上のCookieバナーは大幅に減る見通し。
- プラットフォーム・データ規則：プラットフォーム対事業者（P2B）規則の一部規定を廃止。「データ法体系（data acquis）」を統合。公的機関は超大規模企業、とりわけ指定ゲートキーパーによるデータ再利用に高い料金を設定可能に。営業秘密の第三国への流出防止を強化し、データ保有者と利用者が必要な機密保持措置をすべて講じるまで開示義務は生じない。
- インシデント報告：EU単一の報告窓口ではなく、各加盟国に国家報告窓口を設置し、EUレベルのインシデント報告情報ポイントを補完。統一的なインシデント通知枠組みと越境通知ルールも整備する。一方でEU AI法はすでに執行段階に入っており (/article/2612-eu-ai-acts-first-enforcement-why-openai-and-anthropic-got-letters)、コンプライアンスの圧力は現実のものだ。
次のステップは、欧州議会が独自の交渉立場を採択した後、理事会議長国が議会と三者協議に入ること。2026年4月に署名された「一つの欧州、一つの市場」ロードマップでは、2027年末までに全簡素化パッケージの完了を目指している。
誰に影響するか
適用範囲はEU。EU域内で事業を行う企業、公的機関、EU市民すべてに影響する。
- EUでAIサービスを提供する企業、AIで個人データを処理する企業：AIの学習・運用におけるデータの法的根拠や、生体認証シナリオのコンプライアンス経路に新たな免除の余地が生まれる可能性がある。英国のデータ規制当局はすでに10社のモデル開発者にデータ慣行の是正を命じており (/article/2519-uk-ico-names-10-model-developers-changing-data-practices-and-xai-faces-a-separat)、データ処理のコンプライアンスは引き締まる方向だ。
- プライバシー・セキュリティチーム：侵害通知期限の延長は朗報だが、報告は国家窓口＋統一枠組みへ移行するため、社内の対応手順の見直しが必要。
- ウェブサイト運営者・広告測定事業者：同意管理ツールを新しい免除対象に合わせて再設定する必要がある。
- 公共部門のデータ保有者と大規模データ再利用企業：ゲートキーパーによる公共データ再利用の料金が上がる可能性があり、営業秘密の域外出の保護ハードルも上がる。
何をすべきか
- 最終テキストを待たない：自社のAI学習・運用パイプラインで処理する個人データの法的根拠と仮名化措置を今すぐ棚卸しし、ギャップリストを作っておく。法案成立後すぐに動ける。
- 生体認証シナリオは個別に管理：新しい免除には必ず保障措置が付く。リリース前にコンプライアンスレビューを行い、「免除」を「青信号」と読み替えない。
- 侵害対応プロセスの更新：通知期限は延びる可能性があるが、統一通知枠組みと国家窓口への移行で、テンプレートと報告チャネルは作り直しになる。
- 三者協議を追跡する：理事会マンデートは交渉の出発点に過ぎず、議会はまだ立場を採択していない。仮名化規定、研究免除、Cookie免除の範囲など重要事項は採択前に変わり得る。
リスクはどこにあるか
最大のリスクは、これを既に施行された法律と誤認すること。あくまで理事会の交渉マンデートであり、欧州議会との交渉がこれから始まる。時期も最終内容も変わり得る。また「簡素化」は「規制緩和」ではない。プレスリリースは高水準の保護維持を繰り返し強調しており、生体認証やAIデータ処理の免除はすべて保障措置とセット。コンプライアンス対応を早々に止めてはならない。
地域的境界にも注意。これはEUの規則であり、米国など他の法域には適用されない。多国籍企業は法域ごとに管理し、EUの免除を他地域にそのまま当てはめてはならない。
