Term

GDPR

別名: General Data Protection Regulation, EU一般データ保護規則, 一般データ保護規則, GDPR

Overview

最終更新: 2026年7月9日

GDPR（General Data Protection Regulation、一般データ保護規則）は、欧州連合（EU）が個人データの保護を目的として制定した法的枠組みである。2016年に採択され2018年5月から適用が開始されており、EU域内の個人データを取り扱う企業や組織に対し、データ収集・処理・保管に関する厳格な義務を課す。域外に本社を置く企業であってもEU居住者のデータを扱う場合は適用対象となり、違反時には高額な制裁金が科される。

概要

GDPRは、個人データの処理に関する同意取得、データポータビリティ、忘れられる権利など、個人の情報自己決定権を強化する条項を含む。テクノロジー企業にとっては、AIモデルの学習データやユーザー行動データの取得方法、位置情報・生体情報などセンシティブデータの取り扱いに直接的な影響を及ぼす規制として位置づけられている。

沿革

2016年にEUで採択され、2018年5月25日から加盟国全体で適用が開始された。以降、Cookie同意バナーの普及やプライバシーポリシーの厳格化など、グローバルなIT企業の運用実務に大きな変化をもたらしてきた。

技術的位置づけ

近年ではWi-Fiセンシングや脳波データなど、従来想定されていなかった種類のデータがGDPRの適用範囲において議論の対象となっている。これらの新技術は、明示的な同意なしに個人を特定・追跡できる可能性があるため、既存の法規制の枠組みが十分に対応できるかが技術者・法律家双方から問われている。

主要な動向

2026年5月28日には、カールスルーエ工科大学の研究チームがWi-Fi 5以降の規格に含まれるビームフォーミング制御データ「BFI」を傍受し、99.5%の精度で人物を特定する手法「BFId」を発表した。暗号化されていないBFIが生体情報を記録する仕組みは、GDPRが想定してきた明示的なデータ収集とは異なる形での個人特定を可能にし、既存のWi-Fiネットワークが監視インフラ化する懸念を提起した。

同様の脆弱性は2026年6月8日に報じられたオープンソース監視技術「RuView」でも指摘されており、数十ドル規模の汎用チップと汎用Wi-Fi電波によって壁越しに人の動作や生体情報を抽出できることが示された。これらの技術は物理層におけるデータ収集がGDPRの規制対象として明確に位置づけられていない領域であることを浮き立たせている。

一方、2026年5月6日には、Google Chromeがユーザーの明示的な同意なしに約4GBのGemini Nanoモデルファイルを自動ダウンロードしていた事例が報じられ、EUのプライバシー法違反の可能性が指摘された。このファイルは削除しても自動的に再ダウンロードされる仕様であり、無効化には設定変更が必要とされた。この事例は、AIモデルの配布プロセス自体がGDPRの同意原則と衝突する可能性を示すものとして注目された。

さらに2026年6月8日には、欧州発のゲームエンジン「The Immense Engine」がGDPRを含む欧州の厳格な法規制への準拠を前提に設計されていることが発表され、防衛・物流分野の3Dシミュレーション用途におけるデータ管理上の課題に応える製品として位置づけられた。また2026年4月17日には、脳波などのニューラルデータを収集・商用化する動きが報じられ、GDPRが対象とすべきデータの範囲がさらに拡張されつつあることが示唆されている。

Mentioned Articles

16 件

よくある質問

GDPRとは何ですか?
GDPRは、EUが個人データの保護を目的として制定した法的枠組みである。2018年5月から適用が開始され、EU居住者の個人データを扱う企業に厳格な同意取得や管理義務を課している。
GDPRはEU域外の企業にも適用されますか?
適用される。企業の本社所在地に関わらず、EU居住者の個人データを収集・処理する場合はGDPRの対象となり、域外企業も規制を順守する必要がある。
GDPRに違反した場合どうなりますか?
GDPRは違反企業に対して高額な制裁金を科す制度を設けている。違反の程度や企業規模に応じて罰則額が決定される仕組みとなっている。
最近GDPRに関連してどのような技術的問題が指摘されていますか?
2026年5月にはWi-Fiのビームフォーミング制御データを傍受して人物を特定する手法が報告され、同6月にはGoogle Chromeが同意なくAIモデルを自動ダウンロードしていた事例がGDPR違反の懸念として指摘された。
AIモデルの配布はGDPRとどう関係しますか?
AIモデルの学習や配布プロセスで個人データを利用する場合、明示的な同意取得が求められる。無通知でのデータ収集やモデル配布はGDPRの同意原則に抵触する可能性がある。

External Mentions

10 件