要約

  • European Data Protection Boardが意見募集のために採択したガイドライン04/2026案は、GDPRの制裁金をほかの是正措置に加えるか、代わりに用いるかを決める五つの問いを示す。
  • 違反が軽微なら、通常は制裁金ではなく譴責が想定される。軽微でなければ制裁金を科す強い推定が働くが、その後も個別の比例性判断が必要となる。

個人データの違反を認定しただけでは、取るべき措置は決まらない。監督機関には、処理の停止、是正命令、譴責、活動の制限、制裁金など複数の選択肢がある。重要なのは、確認された問題にどの措置が合うのか、そしてその理由を説明できるかだ。

European Data Protection Board（EDPB）は、この選択を五段階で整理する案を示した。同じ会合では、DSAとGDPRの関係を扱う別のガイドライン03/2025も最終化された。こちらは制裁金を選ぶ新しい手法とは別の作業だ。EDPBは9月17日にガイドライン04/2026の第1版を採択し、意見募集を開始した。案では、担当する国内監督機関が順に確認する。まず、GDPRまたは国内法がその違反を制裁金の対象としているか。次に、調査対象者が問題となった義務を負う当事者か。違反は故意または過失によるものか。GDPR第83条第2項の要素は違反が軽微であることを示すか。そして、その案件で制裁金は有効、比例的かつ抑止的か。

第四段階が、この枠組みの最も重要な境目だ。草案は、軽微な違反には一般に制裁金ではなく譴責を用いるとしている。軽微でない場合は、制裁金を科す強い推定がある。ただし固定料金表ではない。第五段階で、制裁金が個別案件の法的目的にかなうか、通常の方針から外れる理由があるかをなお検討する。

この草案が扱うのは措置の選択であり、金額の算定ではない。EDPBのガイドライン04/2022は金額の算定を扱う。企業は新しい案を、違反を入力すれば一定額が出る計算表のように読まない方がよい。新しい制裁権限を設けるものでもない。法的根拠はGDPRの第58条、第83条などにあり、個別の決定を行うのは権限を持つ監督機関であって、EDPBという理事会そのものではない。

欧州司法裁判所はC-768/21 Land Hessen事件で、すでに大枠を示していた。データ保護当局は、違反を見つけるたびに必ず制裁金を科す必要はない。一方、問題を是正してGDPRを執行するうえで適切、必要かつ比例的な是正措置があるなら、当局は対応しなければならない。EDPB案は、執行義務をなくさずに、案件ごとの裁量をより明確にする試みだ。該当しない段階は省略でき、事例は判断の参考であって先例ではないとも明記する。

警告と制裁金の違いは、判断の順序が必要な理由を示す。GDPR上の警告は、まだ違反に至っていないが問題となり得る予定の処理を対象にする。草案では、同じ行為について警告と制裁金を併用できない。譴責、命令、制限は別の法的状況に対応し、異なる目的を持つことがある。違反状態の解消を主な目的とする措置もあれば、制裁金には抑止の機能もある。すべてを交換可能な手段として扱えば、当局が何を実現しようとしているかが見えなくなる。

意見募集の期限は2026年11月13日23時59分（中央ヨーロッパ時間）。EDPBは、迷惑送信など無許可の提出かどうかを確認した後、意見を公開する。公開されたくない個人情報やファイルのメタデータは投稿前に削除するよう呼びかけており、メールアドレスは公開しない。軽微な違反と制裁金の強い推定の境目が、当局の判断をそろえながら自動処罰を避けるほど明確かどうかが、意見募集で問われる。

参考資料

  1. EDPB 9月本会議の発表
  2. ガイドライン04/2026第1版
  3. 意見募集と提出条件
  4. GDPR、規則（EU）2016/679
  5. 欧州司法裁判所、C-768/21 Land Hessen事件
  6. 制裁金額の算定に関するEDPBガイドライン04/2022
  7. GDPRの制裁金と是正権限に関するEDPBの説明
  8. Land Hessen事件に関する欧州司法裁判所のプレスリリース149/24
  9. DSAとGDPRの関係に関するEDPBガイドライン03/2025