要約

  • EDPBは、2019年の検索エンジンに関する欧州連合司法裁判所の考え方が、AIスクレイピングで偶発的・残余的に得た機微情報に関係し得るとする。ただし、個別事案で四つの条件を満たす必要がある。
  • 草案は、この限定的な考え方を収集前後、モデル開発中、提供開始後の対策と結び付ける。意見募集は2026年10月30日まで続く。

誰でも閲覧できるウェブページにも、AI開発者が集める意図のなかった個人データが含まれることがある。大規模な収集で、ある人の健康、政治的見解、民族的出自、性的指向を示す情報まで取り込んだらどうするのか。欧州データ保護会議（EDPB）は、生成AI開発におけるウェブスクレイピングに関するガイドライン03/2026の草案で、この問いを扱っている。意見募集の期限は10月30日23時59分（中央欧州時間）だ。まだ協議中の草案であり、確定した規則でもGDPRの新しい適用除外でもない。

草案の出発点は、意図的な処理と、対策をしても残るデータを分けることだ。特別カテゴリの個人データを意図してスクレイピングする場合、GDPR第9条第2項に基づく例外に加え、第6条上の適法な根拠が必要になる。草案が別に検討するのは、収集を防ぐ対策を講じたにもかかわらず、少量の該当データが残余として見つかる状況だ。EDPBは、2019年の欧州連合司法裁判所「GCほか対CNIL」事件（C‑136/17）で検索エンジンについて示された考え方が、参考になる場合があるとする。ただし、同事件は検索結果の索引と削除を扱ったもので、生成AIの学習ではない。裁判所の判断を、モデル開発者がそのまま使える許可とは位置付けていない。

草案は四つの条件を個別に確認するよう求める。処理は裁判所が検討した検索エンジンの活動と重要な点で似ていること。対象データの処理は意図的ではなく、偶発的かつ残余的であること。管理者が該当データの有無を事前に判断し、収集を防ぐことが困難または不可能であること。そして、管理者が自らの責任、権限、能力の範囲で、その情報の拡散を防ぐ対策を取ることだ。事実関係が条件に当てはまらなければ、検索エンジンの考え方を第9条の一般的な迂回路にはできない。

「偶発的」という説明には、工程全体を通じた裏付けが要る。収集前には、管理者が具体的な基準とフィルターを設け、構造的に機微情報を含むサイトを対象から外すべきだ。草案は、主に未成年者が利用するサイトを例に挙げる。収集後は、混入した情報を直ちに、または発見次第削除する。本人からの申し出に、該当データが第9条で禁じられた情報だと考えられるもっともな根拠があれば、削除すべきだ。モデル開発中には、情報の抽出やプライバシー攻撃への耐性を試し、機微情報が表に出る出力をフィルターで防ぐ。サービス提供後も、AIシステムの出力を継続的に監視し、情報が現れた場合はフィルターを強めたり、特定のプロンプトや機能を制限したりする。技術が進めば、モデルのアンラーニングや同等の効果を持つ方法も検討する。

EDPBは、四条件が当該事案に当てはまることと、対策が有効であることを管理者が示せるよう求める。定期検証は開発段階だけでなく利用段階も対象とし、効果がなければ別の対策を追加する。説明責任は運用記録に現れる。収集基準、除外した情報源、削除履歴、モデル試験、出力の問題とその後の対応に一貫性が必要だ。収集を「偶発的」と呼ぶだけでは、その証拠にならない。

この特別カテゴリの検討は、正当な利益を根拠とする処理の評価とは別だ。ウェブ上で公開されていること自体は、特定の目的でスクレイピングされることへの同意を意味しない。また、サイトに robots.txt の規則がないこともGDPR上の同意ではない。一方、サイトの制限は、正当な利益の比較衡量で本人がどのような処理を合理的に予測できるかを考える際の要素になり得る。こうした表示は事案の事実を左右するが、適法根拠や第9条の要件に代わるものではない。

草案の実務的な意味は、判断の焦点を収集前に移すことにある。無差別な収集をした結果として機微情報の判別が難しくなっただけなら、その難しさは処理が残余的だった証明にならない。提案されている考え方は、収集を防ぐ現実的な対策を講じたか、すり抜けた情報を発見して削除できたか、モデルによる再現を抑えられたかを問う。協議期間中、企業や個人は、EDPBが最終化する前に基準の明確さへ意見を述べられる。

出典

  1. EDPB「生成AIにおけるウェブスクレイピングに関するガイドライン03/2026」第67～77段落
  2. EDPBの意見募集ページと期限
  3. EDPBによる匿名化と生成AI向けウェブスクレイピングに関する発表
  4. 欧州連合司法裁判所「GCほか対CNIL」事件、C‑136/17