EU、個人情報保護と競争法の共同指針策定へ　10月15日に関係者協議

欧州データ保護会議（EDPB）と欧州委員会は、データ保護法と競争法（独占禁止法）の関係に関する共同ガイドラインの策定に向け、2026年10月15日にステークホルダーとのリモート協議を開催すると発表した。プライバシー規則への違反と競争の阻害につながり得るデータ利用を行うプラットフォームに対し、両分野の規制当局が足並みをそろえて執行する体制の構築を進める。参加希望者の正式な募集は今後数週間以内に始まる予定で、ガイドラインの最終採択時期はまだ公表されていない。

■プラットフォーム企業が利用し得た「2つの規制当局のねじれ」

これまで、プライバシー規制当局と競争当局の双方から同時に調査を受ける支配的なテクノロジープラットフォームは、両当局の判断の違いを利用する余地があった。独占禁止法上の判断に対してデータ保護当局の異なる判断を引き合いに出したり、プライバシー問題に関する和解によって競争法上の調査は排除されると主張したりすることが可能だった。

現在策定が進められている共同ガイドラインは、大量のデータ収集によって市場支配力を固定化する同一の行為が、データ保護法と競争法の双方に同時に違反するのはどのような場合かについて、両分野の規制当局を一貫した解釈に基づいて行動させるものとなる。これにより、EU域内で事業を展開する主要プラットフォーム各社を取り巻く規制執行の構図が変わる。

このガイドラインが必要とされる理由をたどると、解決までに10年を要した1つの事案に行き着く。2019年2月、ドイツ連邦カルテル庁（Bundeskartellamt）は、Facebook（現Meta）が、利用者から意味のある同意を得ずにInstagram、WhatsApp、第三者のウェブサイトからユーザーデータを収集・結合したことについて、ドイツのソーシャルネットワーク市場における支配的地位を濫用したと判断した。Metaはこの判断に異議を唱え、競争当局が独占禁止法上の事案でデータ保護基準を適用できるかという法的問題が欧州連合司法裁判所（CJEU）に持ち込まれた。

CJEUは2023年7月4日、「Meta Platforms対Bundeskartellamt事件（Case C-252/21）」で判断を示した。EU加盟国の競争当局は、企業によるデータ処理が「欧州連合の機能に関する条約（TFEU）」第102条に基づく支配的地位の濫用に該当する場合、データ保護監督当局が同じ行為を別途審査していても、そのデータ処理を調査し、制裁を科す権限を持つとした。両方の調査が並行して進められる場合、競争当局は管轄するデータ保護当局と緊密に協議し、同当局が過去に下した決定に従わなければならない。

CJEUは、競争当局が支配的地位の濫用を評価する枠組みからデータ保護規則を除外することは、「経済発展の現実を無視し、欧州連合域内における競争法の有効性を損なうことになる」と明記した。2023年7月に示されたこの判断が、今回の共同ガイドライン策定を支える法的基盤となっている。

法律事務所Cleary Gottliebのパートナー、トーマス・グラフ（Thomas Graf）氏は当時、この判決は競争当局がGDPR（EU一般データ保護規則）の執行機関になることを無条件で認めたものではないと注意を促した。同氏は「それが独占禁止法とどのように関係するのかを説明し、競争制限効果と濫用を立証する必要がある。また、GDPR当局との調整も必要になる」と述べた。現在策定中のガイドラインが具体化しようとしているのは、まさにこうした調整要件であり、2023年以降も残されてきた課題である。

■10月15日の関係者協議と連携戦略の歩み

EDPBの公式ウェブサイトで発表された2026年10月15日のリモートイベントには、企業、プライバシー擁護団体、研究者、各国の規制当局、市民社会組織など、関連する意見を持つすべてのステークホルダーが参加を申請できる。正式な参加意向の募集は、EDPBのウェブサイト（edpb.europa.eu）と欧州委員会の競争政策関連ページで今後数週間以内に公表される予定だ。このプロセスで組織的にステークホルダーの意見を聴取する機会としては、2026年6月29日に開催された第1回に続き、今回が2回目となる。

この共同イニシアチブは2026年4月28日、欧州委員会競争総局とEDPBが、「データ保護法が競争法上の評価に関係する特定の状況と、逆に競争上の考慮事項がデータ保護に関係する特定の状況」を対象とするガイダンスの策定で協力すると発表したことで正式に確認された。欧州委員会はこの取り組みについて、2025年10月に公表されたデジタル市場法（DMA）とGDPRに関する共同ガイドラインの経験を直接生かすものと説明している。これは、両機関が規制ガイダンス文書を共同で作成した初めての事例だった。

今回の発表は単発の措置ではなく、2025年夏に正式に始まったEDPBの継続的な組織戦略の一環である。2025年7月、EDPBは「明確性、支援、関与の強化に関するヘルシンキ声明」を採択した。同声明では、他の規制当局と積極的に連携し、共同ガイドラインを策定するとともに、複数の規制分野にまたがる具体的な事案で組織的な協力を進める方針を示した。これは、GDPR、DMA、デジタルサービス法（DSA）、AI法、さらに競争法とデータ保護法の相互作用によってEUのデジタル規制環境が複雑化し、各制度を切り離して運用することが難しくなったとのEDPBの公式な認識を表すものだった。

2026年2月に採択されたEDPBの「2026～2027年作業計画」は、こうした方針を具体的な取り組みに移した。同計画には、GDPRとAI法の関係に関するガイドラインと並び、競争法とデータ保護法の相互作用に関する共同ガイドラインが明記されている。

EDPBは2026年3月17日、ブリュッセルで規制分野横断型の大規模な会議を開催し、策定中のガイドラインを支える考え方を初めて詳しく公の場で議論した。最初のパネルでは、データ保護当局と競争当局による協力の重要性が強調され、特に2023年のBundeskartellamt事件判決を踏まえ、両分野が互いから何を学べるかが議論された。

会議では異なる見解も示された。一部の登壇者は、規制当局が幅広く足並みをそろえ、共通する消費者保護上の目的を認識すべきだと主張した。一方で、データ保護上の考慮事項を競争法上の分析に取り入れるのは、直接関係する場合に個別事案ごとに判断すべきであり、DMAをGDPRより優先させるべきではないとの慎重な意見も出た。

EDPBのアヌ・タルス（Anu Talus）議長は、「デジタル経済は縦割りで機能していない。したがって、私たちも縦割りであってはならない」と一貫して説明している。この考え方は、策定されているものが単なる解釈文書ではなく、両分野の当局が事案をどのように開始し、情報を共有し、解決するかに影響する調整メカニズムであることを示している。

今回の発表に先立つ直近の動きとして、EDPBは2026年7月16～17日にダブリンで開いたハイレベル会合で、ガイドラインの策定からさらに一歩踏み込んだ。隣接する権限分野を担当する規制当局間で情報を共有するための法的根拠を提案するよう、欧州委員会に要請した。単なる指針ではなく法制化を求めたことは、EDPBが、現在の調整手段では取り扱う事案の複雑さに十分対応できないと考えていることを示している。

■巨大IT企業が直面する重複規制と法的確実性

テクノロジープラットフォームにとって、実務上の影響は大きく、具体的なものとなる。Meta、Google、Apple、Microsoftはすでに、GDPR、DMA、TFEU第102条に基づく手続きに重複して直面している。こうした手続きは従来、別々の経路で進められ、同じ行為について相反するシグナルを生むこともあった。

その例が、WhatsAppとAIを巡る独占禁止法上の暫定措置の事案である。欧州委員会は2026年6月9日、ChatGPTやその他の競合AIアシスタントによるWhatsApp Business APIへのアクセスを回復するようMetaに命じた。欧州委員会は、MetaのWhatsAppに関する方針がTFEU第102条に違反すると判断し、データへのアクセスと市場からの排除を、同一の行為が持つ2つの側面として扱った。この事案は、これまで別々だった規制分野がどのように交差し得るかを示している。形成されつつある共通の枠組みの下では、将来、同種の行為を調査する際に、各当局がデータ保護面と競争面について完全に独立した分析を別々に構築する必要はなくなる。

プライバシー擁護団体にとって、ガイドラインには別の意味がある。競争法上の手続きにおいて、データ保護の規範をより重く受け止めるための制度的な道筋が作られるからだ。市場での地位を固定化する目的で個人データを大規模に収集する支配的なプラットフォームは、その収集行為自体が単なるプライバシー問題ではなく、独占禁止法上の問題でもあるとの明示的な判断を、拘束力を持つ共同ガイダンスの中で示される可能性がある。

法律事務所Quinn Emanuelが2026年1月に公表した競争法分析は、隣接するDMAの枠組みに基づき2025年にAppleへ科された約5億ユーロと、Metaへ科された約2億ユーロの制裁金について、「私人による権利行使への道を開く」ものだと指摘した。また、プラットフォーム企業は手続きが深刻化するまで待つのではなく、先回りして対応する必要があることを確認するものだとしている。

EDPBはすでに2025年1月、データ保護法と競争法の相互作用に関する意見書で、データ保護当局と競争当局の協力体制を改善するよう提言していた。10月15日の協議は、影響を受ける企業を含む外部のステークホルダーが、こうした協力の仕組みを共同ガイドラインにどのように盛り込むかについて意見を示す機会となる。

企業にとって共同ガイドラインは、別々で、ときに矛盾する2つの規制手続きに対応する代わりに、一貫した解釈の枠組みを参照できることを意味する。一方の制度への対応が他方の制度とどのように関係するかについて、より明確な指針を得られるため、法的不確実性が実際に軽減される可能性がある。EDPBと欧州委員会は、両制度が相互補完的な目的を達成すると同時に、「経済主体と執行機関に、その権利と義務について明確性を与える」ことをガイドラインの目的としている。

一方、規制当局にとっては、企業が自社に有利なデータ保護当局の判断を示して競争法上の調査から逃れたり、同じ事実について異なる結論を出した競争当局を引き合いに出してデータ保護上の判断に異議を唱えたりすることが難しくなる。両分野の当局が共通の解釈枠組みに基づいて行動するようになれば、制度間の違いを利用する「規制アービトラージ」は構造的に行いにくくなる。

欧州委員会のヘンナ・ヴィルクネン（Henna Virkkunen）執行副委員長は2026年3月の会議で、欧州委員会は「異なる枠組み間の切れ目のない協力」に取り組む一方、「規制当局間の協力強化を通じて、法令順守を支援してほしいというステークホルダーの要請に耳を傾けてきた」と述べた。規制当局間の連携と企業の法令順守支援という2つの目標は対立するものではなく、同じ取り組みをそれぞれ異なる立場から捉えたものである。

10月15日のリモートイベントには、関連する意見を持つすべてのステークホルダーが参加を申請できる。参加意向の募集は今後数週間以内に、EDPBのウェブサイト（edpb.europa.eu）と欧州委員会の競争政策関連ページで公表される予定だ。競争法とデータ保護法の関係について意見を持つ組織、企業、研究者、市民社会団体が対象となる。

■注目ポイントQ&A

●GDPRとEU競争法（独占禁止法）はどのような関係にあり、なぜこれまで曖昧だったのですか？

GDPRは組織による個人データの収集と利用を規律し、TFEU第102条に基づくEU競争法は、市場で支配的な地位にある企業がその地位を濫用することを禁止しています。両制度は異なる当局によって執行されており、プライバシー規則はEDPBが調整する各国のデータ保護当局、競争法は欧州委員会と各国の競争当局が担当します。同じ行為がプライバシー規則への違反と支配的地位の濫用の双方に当たる場合に適用できる共通の解釈枠組みがなかったため、企業が両方の制度に基づく調査を受けた際、判断が一致せず、場合によっては矛盾する可能性がありました。2026年に策定が進められている共同ガイドラインは、この曖昧さの解消を目的としています。

●EUの競争当局は、すでに企業に対してGDPRのルールを執行できるのですか？

2023年7月の欧州連合司法裁判所による「Meta Platforms対Bundeskartellamt事件（Case C-252/21）」の判決で示された範囲内で、データ保護規則を考慮できます。EU加盟国の競争当局は、企業がTFEU第102条に基づく支配的地位の濫用を行ったかどうかを判断する際、データ保護規則を考慮できます。ただし、関係するデータ保護監督当局と緊密に協議し、その当局が過去に下した決定に従わなければなりません。2023年の判決では、協議を具体的にどう進めるか、規制当局間でどのような情報を共有できるか、重複する事案でどの当局が主導権を持つかについて、包括的な枠組みまでは示されませんでした。2026年の共同ガイドラインは、この空白を補うことを目的としています。

●この規制当局間の連携は、企業のコンプライアンス戦略にどのような影響を与えますか？

大規模に個人データを処理し、デジタル市場で重要な地位を持つ企業は、自社のデータ利用をデータ保護法と競争法の両面から同時に評価する必要があります。対象には、DMA上のゲートキーパーに該当するプラットフォームに加え、より広く、特定のデジタル分野で支配的な地位を持つ企業も含まれます。GDPR違反と判断されたデータ収集は、形成されつつある連携枠組みの下で、競争法上の審査対象にもなり得ます。また、データの集約を伴う支配的地位の濫用に関する事案では、同じ手続きの中でデータ保護上の分析が必要になる場面が増えると考えられます。これまで別々に活動してきた法務、コンプライアンス、データの各部門は、同一の行為が持つ複数分野の規制リスクを評価する共通の枠組みを整える必要があります。

●10月15日のステークホルダー協議後は、どのような手続きが予定されていますか？

10月15日のイベントは意見を収集するためのものであり、規制上の決定を行う場ではありません。ステークホルダーから提出された意見は、EDPBと欧州委員会による共同ガイドラインの草案作成に反映されます。2025年12月4日まで公開協議が行われ、その後に最終版が作成・採択されたDMAとGDPRの共同ガイドラインの例に基づけば、今回のガイドラインも、草案の作成、公開協議、最終採択という複数段階の手続きをたどる可能性があります。今回の発表時点で、最終ガイドラインの採択期限は公表されていません。

元記事: EU Regulators Unify Privacy and Antitrust Enforcement With Joint Guidelines