Europolの公開ネット情報収集基盤、EDPSが個人データの収集・保存に厳格な条件

欧州データ保護監督官（EDPS）は、欧州刑事警察機構（Europol）が公開インターネット上の情報を収集・選別する新たな基盤について、個人データの取り込みや保存期間、分析機能を制限し、包括的な監督体制を整えるよう求めた。背景には、選別用の一時的な環境が大規模な分析基盤へと拡大し、犯罪捜査と関係のない人のデータまで処理される懸念がある。

■公開ネット情報を扱うIFOE-QRA

審査対象となった「Internet-Facing Operational Environment - Quick Reaction Area（IFOE-QRA）」は、Europolがインターネット上のデータを取得し、関連性を確認するために計画した環境である。一般にアクセスできる情報に個人データが含まれる場合もあり、不要なデータを選別してEuropolの通常の業務環境へ移す前段階として位置付けられている。

Europolのインターネット照会部門は、オンライン上のテロ関連コンテンツや児童性的虐待に関するコンテンツを確認し、プラットフォーム事業者へ照会する業務などを担う。一方、公開されている情報であっても、個人を識別できる情報をEuropolが収集・分析する場合には、EUの個人データ保護法制に従う必要がある。

新技術などを利用するデータ処理が個人の権利や自由に高いリスクを及ぼす場合、Europolは欧州データ保護規則とEuropol規則に基づいてEDPSへ事前に協議しなければならない。EDPSの意見書は、それ自体が稼働を許可または禁止する行政認可ではないが、Europolには適用法を順守し、指摘された問題に対応する責任がある。

EDPSは、IFOE-QRAがEuropolの通常の業務環境と並行する本格的なデータ処理環境になり、関連性の確認という限定的な目的を超えて使われる危険を指摘した。犯罪捜査との具体的な関係が確認されていない人の個人データが、広範に収集・分析される事態への懸念である。

このためEDPSは、取り込む個人データをさらに限定する方針を職員向けに定めることや、保存期間と分析ツールを不要なデータの特定・除外に必要な範囲へ制限することを必要な措置として挙げた。Europolが処理を管理し、説明責任を果たせるよう、包括的な監督の仕組みも求めている。

■過去の大規模データ処理を巡る問題

今回の懸念の背景には、Europolが過去に運用していたComputer Forensic Network（CFN）を巡る問題がある。CFNはもともとデジタル・フォレンジック向けの環境だったが、2015年11月のパリ同時多発テロ事件後に加盟国から大量のデータが集まり、大規模な犯罪分析にも使われるようになった。

2026年5月にCORRECTIV、Solomon、Computer Weeklyが公表した共同調査は、Europolの内部文書や流出メール、元職員の証言を基に、CFNが本来の設計範囲を超えて使われていたと報じた。電話記録、本人確認書類、金融取引、位置情報など、犯罪の容疑をかけられていない人に関する情報も処理されていたという。

同調査が引用したEuropol内部のデータ保護報告によると、2019年には同機関の業務データの99％がCFNで保存・処理されていた。データ量は約2000テラバイトに上り、当時の公式犯罪データベースの約420倍だったとされる。

内部報告では、パスワード管理や管理操作の記録が不十分で、職員がソフトウェアを自由にインストールできる状態にあったことも指摘された。誰がデータへアクセスし、変更したかを確実に確認できる監査証跡も不足していたという。

EDPSは2022年1月、Europolが犯罪との関係を確認できないまま長期間保有していた大量のデータについて、削除を命じた。個人が犯罪活動と誤って関連付けられ、私生活や移動の自由、職業生活などに重大な影響を受ける危険があると判断したためである。

■「Pressure Cooker」を巡り説明が対立

共同調査は、CFNとは別に「Pressure Cooker」と呼ばれるデータ処理環境が使われていたとも報じた。流出メールや元Europol幹部の証言によると、職員が機微な業務データを迅速に保存・分析するための仕組みで、正式な管理の外側に置かれていた疑いがあるという。

2022年10月5日付の内部メールには、EDPSが「Pressure Cookerを巡る不規則な状況」を発見する可能性への警告が記されていた。元幹部の一人は共同調査に対し、EDPSの査察はサーバーを押収するような捜索ではなく、Europol側の説明と資料提出を中心としていたため、問題を把握しにくかったと語った。

Europolは、システムをEDPSから隠していたとの見方を否定している。同機関の広報担当者は共同調査に対し、業務用のデータ処理システムやアプリケーションについて透明性をもってEDPSへ報告しており、処理環境を隠したとの主張は事実を誤って伝えていると説明した。

Europolによれば、「Pressure Cooker」は法令に従って運用していたInternet-Facing Operational Environment（IFOE）の内部呼称にすぎない。これに対し、共同調査で引用された元職員や内部文書は、正式な環境とは異なる並行システムだったことを示している。EDPSは報道後、これまで報告されていた内容より広範な仕組みだった可能性を調べる考えを示した。

■事前協議と監督の実効性

EDPSは、Europolのデータ基盤を巡って約150件の勧告を出してきた。Wojciech Wiewiórowski監督官は2026年2月、Europolに関する合同議会監視グループで、CFNを対象とした監視を終了すると説明したが、この時点で15件は未実施だった。

EDPSによると、未実施の項目には安全対策など「特に重要な」問題が含まれていた。長期にわたる監視を経てもすべての勧告が履行されなかった経緯は、新たなIFOE-QRAで指摘された措置が実際に導入されるかを確認する必要性を浮き彫りにしている。

事前協議は、計画されたデータ処理が始まる前にリスクを評価し、必要な変更を求める制度である。EDPSは違反が認められた場合、処理の是正や停止を命じる権限を持つが、事前協議意見そのものはEuropolに対する許可証や拘束力のある拒否権ではない。

現行のEuropol規則には、緊急時を対象とする事前協議の手続きも設けられている。欧州委員会が2026年6月に欧州議会へ示した回答によると、この緊急手続きが利用されたのは2025年の1回だった。

■権限拡大案でもデータ保護が焦点

欧州委員会は2026年6月24日、Europolの権限を拡大する新たな規則案を公表した。加盟国間の情報交換を高速化するほか、Europolのクラウド基盤や、各国の捜査機関が共同作業を行う「Police Shared Data Space」を設ける内容である。

規則案は、EuropolをEUの情報、業務、技術・イノベーションの中核機関として強化することを目的とする。欧州委員会は、国境を越える犯罪やテロ、オンライン犯罪が複雑化する中で、加盟国への分析・技術支援を拡充する必要があるとしている。

一方、EDPSは規則案に関する意見18/2026で、Europolの任務とデータ処理能力が大幅に拡大すれば、処理される個人データの量が増え、犯罪捜査や刑事手続きとの関係が確認されていない人の情報も対象になり得ると指摘した。目的と保存期間を厳格に制限し、実効的な監督と法執行の仕組みを整えるよう求めている。

市民社会団体からも懸念が出ている。European Digital RightsのChloé Berthélémyは、規則案がEuropolの不適法なデータ処理慣行を常態化させるものだと批判し、Access NowのCaterina Rodelliは、EUの規制緩和と軍事化の方針を反映していると評した。

Open Rights GroupのJim Killockは、Europolの判断が厳しい法的審査に耐えられるものでなければならないとし、問題の範囲や証拠の完全性への影響を説明するよう求めた。IFOE-QRAについても、EDPSが示したデータ収集、保存、分析、監督上の措置がどのように実施されるかが、今後の焦点となる。

元記事: EU Watchdog: Europol’s Internet Surveillance Tool Cannot Launch Without Oversight Conditions