EUのGDPR・クッキー規則の見直し、加盟国が交渉方針を決定 「個人データの定義」は維持、同意バナーは減る方向
「デジタル・オムニバス」のデータ保護部分。欧州議会との交渉はこれから
EU理事会（加盟国）は10月21日、GDPRやクッキー規則を簡素化する「デジタル・オムニバス」のデータ保護部分について交渉方針を決めました。個人データの定義は変えず、クッキーの同意が不要な場面を広げ、サイバー事故の報告窓口は各国に置く内容です。まだ法律ではなく、欧州議会との交渉を経て決まります。
まず、これだけ押さえたい
- EU理事会は10月21日、GDPR・クッキー規則などの簡素化について加盟国側の交渉方針を決めました。
- 個人データの定義は維持し、クッキーの同意が不要な場面を広げ、AI開発でのデータ利用の根拠を明確にする内容です。
- まだ法律ではなく、欧州議会が立場を決めた後の三者協議で最終的な中身が決まります。
経営への示唆編集部の分析
EUで顧客データを扱う日本企業にとって、今回の交渉方針はすぐに対応を変えるものではありません。ただ、クッキーの同意管理、AI開発での個人データの利用、データ漏えいの通知、サイバー事故の報告といった、実務上の負担が大きい分野が見直しの対象になっています。最終的な規則がどうなるかで、ウェブサイトの同意管理の仕組みやAI開発のデータ方針、事故対応の手順を改修する範囲が変わります。現行のGDPRを守りつつ、三者協議の論点を追い、改修の計画を柔軟にしておくことが現実的です。
この記事の目次
画像: AI生成のイメージ画像（Codexで作成）。実際の場面ではありません
EU理事会（加盟国の閣僚で構成する立法機関）は2026年10月21日、EUのデジタル規則を簡素化する「デジタル・オムニバス」のうち、データ保護・プライバシー・サイバー報告に関する部分について、交渉方針（マンデート）で合意しました（EuropaWire（EU理事会発表の転載）（外部サイトが新しいタブで開きます）、IAPP（外部サイトが新しいタブで開きます））。
今回決まったことの位置づけ
決まったのは「加盟国側の交渉方針」で、法律の改正ではありません。 EUの法律は、欧州委員会の提案をもとに、理事会と欧州議会がそれぞれ立場を決め、三者協議で最終案をまとめます。欧州委員会がこの見直しを提案したのは2025年11月で、欧州議会はまだ自らの立場を決めていません（IAPP（外部サイトが新しいタブで開きます））。理事会は、議会が立場を決めしだい交渉に入り、早期の合意を目指すとしています（EuropaWire（外部サイトが新しいタブで開きます））。
なお、オムニバスのうちAI法に関する部分は、2026年6月29日にすでに採択されています（EuropaWire（外部サイトが新しいタブで開きます））。
データ保護（GDPR）で何が変わるのか
主な内容は次のとおりです（EuropaWire（外部サイトが新しいタブで開きます）、IAPP（外部サイトが新しいタブで開きます））。
- 個人データの定義は維持：欧州委員会が提案した定義の変更を採らず、現行の定義を残しました。そのうえで、仮名化（氏名などを置き換えて個人を特定しにくくする処理）に関する規定を加えます
- AI開発のための処理：AIの開発・運用に個人データを使う際の法的根拠を明確にし、保護措置を設けます。生体認証やAI開発のために機微なデータを扱う例外にも、追加の保護措置を付けます
- 負担の軽減：明らかに根拠のない請求への対応や、リスクの低い場合の情報提供義務を簡素化し、データ漏えいの通知期限を延ばします
- 共通化：高リスクとなる処理の種類をEUで一つのリストにまとめ、共通のひな形を用意します
クッキーとサイバー報告はどうなるのか
クッキーの規則はeプライバシー指令に残したまま、同意が要らない場面を広げます。 サービスの提供、利用状況の測定（オーディエンス測定）、端末の安全確保などのためのクッキーは同意を不要とし、同意を求めるバナーを減らす狙いです（EuropaWire（外部サイトが新しいタブで開きます））。
サイバー事故の報告については、欧州委員会が提案したEU共通の単一窓口を採らず、加盟国ごとに窓口を置く案としました。あわせて、EUレベルの情報窓口と、国をまたぐ事故の通知ルールの統一を求めています（EuropaWire（外部サイトが新しいタブで開きます）、IAPP（外部サイトが新しいタブで開きます））。
慎重な意見も根強い
欧州データ保護監察機関（EDPS）のヴィエヴィオルフスキ氏は、欧州委員会の当初案について、個人データの概念を大きく狭めると懸念を示していました。理事会が定義の変更を退けた背景には、こうした意見があります（IAPP（外部サイトが新しいタブで開きます））。
企業にとっての意味
現時点ではGDPRの義務は何も変わっていません。ただ、クッキーの同意やAI開発でのデータ利用など、EU向けの事業で負担の大きい部分が見直しの対象になっています。三者協議の行方を見ながら、システム改修の時期を判断することになります。
経営会議で確認したい3つのこと
- EU向けのウェブサイトやアプリで、クッキーの同意管理にどれだけの費用と手間をかけているか把握しているか。
- EU域内の個人データをAIの開発や運用に使う計画があり、その法的根拠を整理しているか。
- EU域内でサイバー事故が起きた場合の報告先と期限を、各国ごとに把握しているか。
用語の補足（6語）
- デジタル・オムニバス
- EUのデジタル関連の複数の法律（GDPR、eプライバシー指令、データ関連法、AI法など）をまとめて簡素化する改正案の総称。欧州委員会が2025年11月に提案した。
- GDPR
- EU一般データ保護規則。EU域内の個人データの取り扱いを定める法律で、域外の企業にも適用される場合がある。違反には高額の制裁金が科される。
- eプライバシー指令
- 電子通信のプライバシーを守るEUの指令。ウェブサイトのクッキーなど、利用者の端末に情報を保存・読み取る際の同意のルールを定めている。
- EU理事会
- EU加盟国の閣僚で構成する機関。欧州議会とともにEUの法律を決める。
- 三者協議（トリローグ）
- EUの立法で、欧州委員会・EU理事会・欧州議会の三者が最終案をまとめるために行う非公式の交渉。
- 仮名化
- 氏名などの直接個人を特定できる情報を別の記号に置き換え、追加の情報がなければ個人を特定できないようにする処理。
根拠資料・出典
一次情報に関する注記: EU理事会の発表本文（consilium.europa.eu）はアクセス制限（403）で開けなかったため、同発表を転載したEuropaWireと、IAPPの報道に依拠しています。
二次報道・参考
訂正履歴
訂正はありません。最終更新: 2026年10月28日 18:00
誤りにお気づきの場合はお問い合わせからお知らせください。
