GDPR制裁金と罰則:最新執行トラッカー(2026年版)

GDPR第83条は2つの制裁金階層を定めている。組織上の違反については最大1,000万ユーロまたは全世界年間売上高の2%、中核的な処理原則、データ主体の権利、または移転要件の違反については最大2,000万ユーロまたは4%であり、いずれもより高い方が適用される。

GDPRは、欧州のデータ保護当局に対し、その規定に違反した組織に相当な行政制裁金を科す権限を与えている。2018年5月25日の規則発効以来、EU全域の監督機関は2,800件を超える制裁金、総額71億ユーロ以上を科してきた。

本ガイドでは、制裁の構造を詳細に説明し、制裁金算定に関するEDPBの方法論をカバーし、企業責任に関する画期的なDeutsche Wohnen判決を分析し、最大級の制裁金とその現在の状況を一覧にし、第82条に基づく民事賠償請求を含む制裁金以外の帰結を扱う。規則自体の概要についてはGDPRとは何かガイドを参照されたい。

本記事は情報提供のみを目的としており、法的助言を構成するものではない。貴自身の状況に特化した助言については、有資格のデータ保護弁護士またはプライバシー専門家に相談されたい。

簡潔な回答:GDPRの制裁とは何か

GDPRの制裁は第83条に基づき2つの階層に分かれる。

より重大な違反(中核的な処理原則、データ主体の権利、同意規則、国際移転要件の違反)については、上限は**2,000万ユーロまたは組織の全世界年間総売上高の4%**のいずれか高い方である。

組織上・手続上の違反(記録の不備、必要な場合にDPOを任命しなかったこと、不十分な侵害通知)については、上限は**1,000万ユーロまたは全世界年間売上高の2%**のいずれか高い方である。

大規模な多国籍企業にとっては、割合による上限が固定のユーロ額を大きく上回る。年間売上高300億ユーロの企業は、4%の階層で最大12億ユーロの上限に直面し得るが、これはまさに2023年にMetaに科された金額である。

制裁金を超えて、当局は処理を禁止し、データ消去を命じ、遵守是正命令を課し、国際データ移転を停止させることができる。個人はまた、第82条に基づき、管理者または処理者から直接、物的損害および非物的損害についての賠償を請求することができる。

第83条に基づく2段階の制裁金構造

GDPR第83条は、2段階の制裁金上限枠組みを確立している。適用される階層は、どの規定が違反されたかに完全に依存する。

下位階層:最大1,000万ユーロまたは全世界売上高の2%

下位階層は、第8条、第11条、第25条から第39条、第42条、第43条に定める管理者・処理者の義務の違反に適用される。これらは主に組織上・手続上の要件である。

• 処理活動記録の未整備(第30条)
• 必要なデータ保護影響評価の未実施(第35条)
• 必要な場合にDPOを任命しないこと(第37条)
• 不十分な侵害通知手続(第33条)
• 認証機関および監視機関による不履行

これらの違反は重大であるが、個人データの利用方法を規律する基本原則の違反よりも軽度なものとして扱われる。

上位階層:最大2,000万ユーロまたは全世界売上高の4%

上位階層は、GDPRのデータ保護枠組みの中心に位置する規定の違反に適用される。

• 処理の基本原則および適法な処理の条件(第5条、第6条、第7条、第9条)
• データ主体の権利:アクセス、訂正、消去、制限、ポータビリティ、異議申立(第12条から第22条)
• 国際データ移転規則(第44条から第49条)
• 第IX章に基づき採択された国内法の規定
• 監督機関の拘束力ある命令への不遵守

制裁金は常に該当する階層内でより高い方の額となる。 全世界年間売上高100億ユーロの企業について、4%は4億ユーロの上限を生じさせ、これは2,000万ユーロの固定上限の20倍である。

故意・過失要件:Deutsche Wohnen判決

初期のGDPR執行における重要な論点は、制裁金が厳格責任基準の下で企業に科され得るのか、それとも違反が故意または過失によるものである場合に限られるのか、というものであった。

CJEUは、**事件C-807/21(Deutsche Wohnen)**についての2023年12月5日の判決でこれを解決した。この事件は、賃借人データが不要になった後も保持し続けたことについて、ベルリンのデータ保護当局が不動産会社に科した1,450万ユーロの制裁金から生じたものである。

CJEUは3つの重要な判断を下した。

第一に、故意・過失要件が適用される。GDPRの行政制裁金は、違反が故意または過失によって行われた場合にのみ科すことができる。厳格責任は第83条と両立しない。これは、企業が合理的に特定または防止する手段を持たなかった違反について制裁金を科され得るという主張に終止符を打った。

第二に、特定された自然人は不要である。当局は、法人に制裁金を科す前に、組織内の特定された個人に違反を帰属させる必要はない。企業は、特定の個人に対する別個の認定なしに、その機関、従業員、または代理人の行為に基づき直接制裁され得る。

第三に、企業は「事業体」として制裁される。制裁金の上限を算定するにあたり、管理者は競争法上の意味における「事業体」として扱われる。これは、上限が直接の管理者であった子会社や事業体のみではなく、経済単位全体の全世界売上高に対して算定されることを意味する。親会社の売上高も含まれる。

この判決は、当局が制裁金調査にどのように取り組むか、また企業がどのようにそれに対して防御できるかの両方を形作るため、実務上重要である。違反が過失によるものでなかったこと(文書化された合理的なコンプライアンス努力を通じて)を示すことは、今や有効な抗弁となっている。

GDPR制裁金の算定方法:EDPBガイドライン04/2022

行政制裁金の算定に関するEDPBガイドライン04/2022は、すべてのEU加盟国の監督機関が従う5段階の方法論を定めている。このガイドラインは、パブリックコンサルテーションを経て2023年6月に最終化された。

この方法論は自動化された計算式ではない。制裁金は各段階の枠組みの中で監督機関の裁量に委ねられているが、この枠組みは管轄区域間の一貫性を生み出している。

ステップ1:処理業務および適用条文を特定する

当局は、どの処理業務が問題となっているか、どのGDPR規定が違反されたかを特定する。同一の処理業務群から複数の違反が生じる場合、第83条(3)が適用される。すなわち、各違反ごとに個別の制裁金を科すのではなく、最も重大な違反について単一の制裁金が科される。これにより、機能的には一つの行為の course of conduct に対する制裁の人為的な増殖が防止される。

ステップ2:基準額を決定する

基準額は3つの変数を反映する。

違反の性質:第83条のどの階層が適用されるか。違反された規定はデータ主体の基本的権利にとって中心的なものか、それとも組織上の手続か。

重大性:具体的にどの程度深刻な違反か。影響を受けるデータ主体の数、関係するデータの機微性(健康や生体データなどの特別カテゴリーデータはより重大に扱われる)、データ主体が被った財務的またはその他の損害、地理的範囲である。

継続期間:違反はどのくらいの期間続いたか。数日以内に発見・是正された違反は、数年間継続した違反とは異なる扱いを受ける。

基準額はまた、事業体の売上高に対しても調整される。中小企業にとって抑止的な制裁金は、多国籍企業にとっては無視できるものとなるため、絶対額は組織の規模に応じて調整される。

ステップ3:加重・軽減事由を評価する

第83条(2)は、当局が考慮しなければならない特定の要素を列挙している。これらは算定額を上下させる。

協力は、実務上最も重要な要素の一つである。透明性をもって関与し、迅速に是正措置を実施し、情報要求に十分に対応する組織は、遅延や妨害を行う組織よりも一貫して低い制裁金を受ける。

ステップ4:法定上限を適用する

算定された金額は、該当する階層の適用上限と照合される。事情がどれほど深刻であっても、制裁金がその上限を超えることはない。

ステップ5:有効性、比例性、抑止力を評価する

最終的な金額は、第83条(1)に基づく3つの要件を満たさなければならない。有効性(遵守を確保できること)、比例性(違反および組織の状況に照らして過剰でないこと)、抑止力(将来の違反を抑止できること)である。当局は、これら3つの要件のいずれかを満たさない場合、金額を調整することができる。

2026年3月のAmazonの制裁金無効化は、この段階の重要性を示している。ただし、これは裁判所が挙げた2つの無効化理由のうち第2の理由である。ルクセンブルクのCour administrative(行政控訴裁判所)は、2026年3月12日の判決第52757C号において、CNPDが違反の認定から制裁金の賦課へとほぼ自動的に移行しており、自らが採りうる措置のうちどれが最も適切かを分析していなかったと認定した。主たる理由はこれとは別で、CNPDが故意・過失、すなわち違反が故意または過失によって行われたかどうかを一度も分析していなかった点にある。

2026年9月:制裁金を科すべきか否かに関する新たなEDPBガイドライン

ガイドライン04/2022が答えているのは、制裁金をいくらにすべきかという問いである。EDPBは2026年9月の全体会合で、これとは別に他の是正権限との関係における行政制裁金を科す権限の行使に関するガイドラインを採択し、2026年9月21日に公表した。こちらは、そもそも制裁金を科すべきか、科すとして単独でか他の是正措置と併せてかという、前段の問いに答えるものである。

この判断について、同ガイドラインは独自の5段階の方法論を定めている。監督機関はまず、当該違反が制裁金の対象となりうるかを、GDPR自体または国内法のいずれかに根拠を求めて確認する。次に、調査対象の当事者が当該違反について制裁金を科されうるかを判断する。これは、違反された規定に拘束されるのが管理者か処理者かによって決まる。第3に、違反が故意または過失によって行われたかを評価する。有責な違反であることが制裁金を科す要件だからである。第4に、加重事由および軽減事由を検討する。違反が軽微であれば通常は制裁金ではなく戒告が発せられ、軽微でない場合には制裁金を科すべきであるという強い推定が働く。第5に、制裁金が有効、比例的かつ抑止的であるかを評価し、その際、当該事案において標準的な取扱いから逸脱する理由があるかを考慮することができる。

同ガイドラインはさらに、各国監督機関が有する是正権限とその相互関係を概観しており、警告、戒告、命令、禁止を含む制限、および認証の取消しを取り上げるとともに、措置の選択に関する14の実務例を示している。これらは行政制裁金の適用および設定に関するWP29ガイドラインを置き換えるものであり、ガイドライン04/2022については、これを差し替えるのではなく補完するものである。

同ガイドラインは2026年11月13日まで実施される公開協議を前提として採択されたものであり、最終版が示されるまでに文言が変わる可能性がある。制裁金の額の算定については、引き続きガイドライン04/2022が適用される方法論である。

第83条(2):要素の全リスト

第83条(2)は、監督機関が考慮しなければならない11の要素を規定している。これらは組織が文書化できる事項に直接対応する。

1. 違反の性質、重大性、継続期間
2. 違反が故意または過失によるものであったか
3. 損害を軽減するために講じられた措置
4. 第25条および第32条に基づく技術的・組織的措置を踏まえた責任の程度
5. 管理者または処理者による過去の関連違反
6. 監督機関との協力の程度
7. 影響を受けた個人データのカテゴリー
8. 当局がどのように違反を認識したか(自己申告か苦情による発見か)
9. 同一の管理者に対して過去に第58条(2)に基づく措置が命じられたことがあるか
10. 承認された行動規範(第40条)または認証メカニズム(第42条)の遵守
11. その他の該当する加重・軽減事由

最大級のGDPR制裁金とその現在の状況

以下の表は、これまでに科された制裁金上位10件をカバーしている。控訴状況は2026年5月時点で確認済みであるが、2026年のUberの行のみ、オランダの監督機関自身の決定ページに基づき2026年9月3日に確認した。 2026年のGoogleの行は、アイルランドデータ保護委員会自身の発表およびEDPBによる当該国内事案の記録に基づき、2026年10月8日に確認した。 Amazonの行は、ルクセンブルク司法当局自身による判決第52757C号の要旨およびCNPDの報道発表に基づき、2026年9月24日に確認した。

主要な事件の注記

Meta 12億ユーロ(2023年5月)。 アイルランドDPCは、EDPBの拘束力ある決定を受けてこの記録的な制裁金を科した。Metaは標準契約条項に基づきEUのFacebook利用者データを米国に移転していたが、EDPBは、米国の監視法制を踏まえるとSCCがEUデータを適切に保護できないと認定した。MetaはEU一般裁判所に控訴し、その控訴は2026年初めのCJEU手続上の判断を経て正式に凍結解除され、現在も係属中である。Metaは今後の移転メカニズムとしてEU・米国間のデータプライバシーフレームワークを採用したが、これは過去の違反を遡及的に治癒するものではない。

Uber 8億2,499万ユーロ(2026年8月)。 オランダAPは、自動化されたドライバーのブロッキングに関してUberに対し、これまでで2番目に大きいGDPR制裁金を科した。2018年から2022年にかけて、Uberのソフトウェアは不正の疑いを理由にドライバーアカウントを一時的に停止し、顧客評価が継続的に低いことを理由に恒久的に停止していたが、その決定が発効する前に人間による審査は行われていなかった。APは、これがGDPRの完全自動化された意思決定の禁止に違反しており、Uberがこれについてドライバーに十分に説明していなかったと認定した。この事件は、ワンストップショップメカニズムを通じてオランダの規制当局に持ち込まれた。171人のフランス人ドライバーがLigue des droits de l'Hommeに苦情を申し立て、同団体がCNILに苦情を提出し、UberのEU本社がオランダにあることからAPが調査を引き継いだ。APは、GDPRの4%の上限に対して、Uberの2025年の全世界売上高が約445億ユーロであったことに言及した。Uberは控訴を提起しており、APはこれを同社に対する4件目の制裁金として記録している。

Amazon 7億4,600万ユーロ(2021年、2026年3月に無効化)。 ルクセンブルクのCNPDは、行動ターゲティング広告の法的根拠として「正当な利益」を用いたことについてこの制裁金を科した。2026年3月12日、ルクセンブルクのCour administrative(行政控訴裁判所であり終審)は、判決第52757C号により、CNPDの2021年7月15日の決定をそのすべての部分において無効とし、事件を規制当局に差し戻した。この裁判所は、2025年3月18日にAmazonの訴えを棄却した第一審のtribunal administratif(行政裁判所、第46578号)とは別の裁判所である。

Cour administrativeは2つの理由を挙げており、いずれもCNPDが行っていなかった分析に関するものである。主たる理由は故意・過失である。CJEUがDeutsche Wohnen(C-807/21)およびNacionalinis(C-683/21)の両判決(いずれも2023年12月5日)で判示したとおり、制裁金は違反が故意または過失によって行われた場合にのみ科すことができるが、CNPDはその分析を一度も行っていなかった。第2の理由は措置の選択である。CNPDは違反の認定から制裁金の賦課へとほぼ自動的に移行しており、自らが採りうる是正措置のうちどれが最も適切かを適切に分析していなかった。

裁判所は実体面でAmazonの主張を認めたわけではない。裁判所は、Amazonが関心に基づく広告の法的根拠として正当な利益に依拠することはできないこと、および決定当時その透明性に関する措置が適合的でなかったことを含め、違反の実体を確認した。是正命令およびこれに付随する1日あたり74万6,000ユーロの履行強制金は、2026年1月8日の審理までにAmazonが処理を適合的な状態にしており、CNPD側の代理人自身がこれを認めたことから、意味を失ったものと宣言された。現時点で支払うべき制裁金は存在しない。事件はCNPDに戻っており、CNPDは双方の分析を行ったうえで新たな制裁金を科すことができる。

TikTok 5億3,000万ユーロ(2025年5月2日)。 アイルランドDPCはTikTokに対し、EEA利用者に対し中国からの自らのデータへのアクセスの可能性について情報提供しなかったこと(第13条違反)について4,500万ユーロ、第46条に基づく実効的な保護措置なしにEEA利用者データを中国に移転したことについて4億8,500万ユーロを科した。DPCはまた、TikTokに対し6か月以内に移転を停止するよう命じた。TikTokは2025年5月にアイルランド高等裁判所に控訴した。2025年11月、裁判所は控訴審理中のデータ移転停止命令を保留した。すなわち、TikTokは手続の継続中、中国への移転を停止する必要はない。5億3,000万ユーロの制裁金自体は保留されていない。

Google 4億300万ユーロ(2026年9月21日)。 アイルランドDPCはGoogle Ireland Limitedに対し総額4億300万ユーロの行政制裁金を公表し、2026年9月21日、Googleの主導的監督機関として2020年2月にBEUCを含む複数の欧州の消費者団体からの苦情を受けて開始した職権調査を終結させた。調査は、GDPRの適用開始日である2018年5月25日から2020年2月4日までの期間における、ウェブとアプリのアクティビティ、ロケーション履歴、位置情報の精度という3つの機能でのGoogleによる位置情報データの処理を対象としていた。データ保護コミッショナーのDes Hogan、Dale Sunderland、Niamh Sweeneyは、4つの点について違反を認定した。ウェブとアプリのアクティビティおよびロケーション履歴における位置情報データ処理の適法性と公正性、Googleが位置情報の精度について適法性・公正性・透明性の原則の遵守を証明できなかったという説明責任義務、3つの機能すべてにおける透明性義務、ならびにウェブとアプリのアクティビティおよびロケーション履歴における位置情報データの保存である。DPCはまた、Googleに対し6か月以内に処理を適合させるよう命じた。EDPBはこの決定を国内事案として記録しており、第65条に基づく拘束力ある決定ではないとし、法的根拠として第5条、第6条、第12条および第13条を挙げている。

DPCは完全な決定を適時に公表するとしており、4億300万ユーロが個々の違反にどのように配分されたかは現時点では公表されていない。 DPC自身の公表文は条番号を挙げておらず、決定本文が公表されるまで、各認定の理由を直接読み取ることはできない。

LinkedIn 3億1,000万ユーロ(2024年10月)。 アイルランドDPCは、LinkedInが行動分析および広告について、無効な同意、不適法な正当な利益、不適法な契約上の必要性を法的根拠として利用していたと認定した。LinkedInは、制裁金が不釣り合いであると主張して高等裁判所に控訴した。控訴は係属中である。

Uber 2億9,000万ユーロ(2024年8月)。 オランダAPはUberに対し、犯罪歴、医療データ、位置情報を含むEUドライバーデータを、2年以上にわたりいかなる移転メカニズムもなく米国本社に移転したことについて制裁金を科した。Uberは控訴しており、手続は最長4年を要する見込みである。

なぜアイルランドが最大級の制裁金を独占するのか

上位10件のうち7件はアイルランドのデータ保護委員会によって科されたものである。GDPRのワンストップショップメカニズムは、企業がEU域内の主たる拠点を置く加盟国のDPAに主たる監督機関の地位を割り当てる。Meta、Google、Apple、TikTok、LinkedIn、Microsoftはいずれもダブリンを選択しており、アイルランドDPCがそれらの主導的な監督機関となっている。DPCの執行ペースは、大手テクノロジープラットフォームの執行不足とみなしたEDPBおよび他のEU当局からの継続的な圧力を受け、2022年以降加速した。

制裁金を超えた帰結

行政制裁金はGDPR執行の最も目に見えるツールであるが、監督機関は第58条(2)に基づく幅広い是正権限のツールキットを有しており、個人は第82条に基づく独立した民事賠償請求権を有する。

第58条(2)に基づく是正権限

監督機関は、制裁金とは別に、またはそれに加えて、以下のいずれかを発出することができる。

• 警告および戒告:軽度な違反または初犯者に用いられる
• 遵守命令:管理者または処理者に対し、定められた期間内に処理を適合させるよう要求する
• 一時的または恒久的な処理禁止:特定の処理活動を禁止する
• データ消去命令:GDPR違反により収集された個人データの削除を要求する
• データ移転の停止:第三国への個人データの移転を禁止する
• データ主体への通知命令:管理者が通知を怠った場合に個人への通知を要求する

処理禁止および移転停止は、影響を受ける活動に事業が依存する企業にとって存立にかかわるものとなり得る。TikTokがアイルランドDPCの移転停止命令について裁判所の一時停止を得たのは、中国への移転を停止することが5億3,000万ユーロの制裁金よりも業務上大きな打撃を与えると考えられたためである。この命令には金銭は関わっておらず、訴訟を動かしたのは業務上の帰結であった。

第82条に基づく民事賠償

第82条は、GDPR違反の結果として物的または非物的損害を被ったあらゆる者に対し、責任のある管理者または処理者から賠償を求める権利を与えている。管理者および関与するすべての処理者は連帯して責任を負い、処理者は自らに過失がないことを示す場合に限り責任を免れることができる。

CJEUは、2023年5月の**事件C-300/21(Österreichische Post)**判決において第82条の範囲を明確化した。3つの原則が示された。

3つの条件がすべて満たされなければならない:GDPR違反、実際に被った損害、違反と損害との間の因果関係である。損害が証明されない違反は、請求者に賠償を受ける権利を与えない。

非物的損害について最低限の重大性の閾値はない。第82条は、精神的苦痛や不安が賠償の対象となるために一定の深刻さに達することを要求しない。加盟国は独自の重大性の閾値を課すことはできない。

賠償額は、EUの同等性および実効性の原則に従いつつ、国内法によって決定される。裁定額は加盟国間で大きく異なる。

実務上、第82条の請求は、規制執行と並行して、集団訴訟手続を通じて、または独立の民事訴訟において提起される。規制上の制裁金と民事賠償請求は同時に進行することができ、同一のGDPR違反について二重の責任リスクを生じさせる。

執行動向:2024年から2026年

トラッカーの状況(2026年10月8日確認): 2026年にこれまでに科された最高額の制裁金は、オランダAPによるUberに対する8億2,499万ユーロの制裁金である(2026年8月21日、完全自動化されたドライバーアカウントの停止措置について科された)。これはまた、Metaの12億ユーロの移転に関する制裁金に次いで、これまでで2番目に大きいGDPR制裁金でもあり、Uberは控訴している。2026年で次に高額なのは、アイルランドDPCがGoogle Ireland Limitedに科した4億300万ユーロの制裁金であり(2026年9月21日、位置情報データの処理について公表)、これまでの最高額一覧では6位に入る。それ以前は、2026年最大の制裁金はCNILによるFree Mobileに対する2,700万ユーロの制裁金であった(2026年1月13日発表、2024年に発生し約2,400万件の契約者アカウントに影響を及ぼした情報漏えいに関するもので、同一の措置においてFreeに対する1,500万ユーロの付随的な制裁金も併せて科された)。上記で取り上げたTikTokに対する5億3,000万ユーロの制裁金を支持したアイルランド高等法院による2026年6月3日の判決は、引き続き今年の重要な執行上の動きである。なお、論点の変化にも注目したい。Uberの決定は、これまでの記録的な制裁金の大半を生んできた国際移転の理論ではなく、自動化された意思決定に基づくものである。

2025年の統計とEDPB年次報告書

EDPBは2026年4月に2025年年次報告書を公表した。国内データ保護当局は、2025年中に合計11億5,000万ユーロの制裁金を科したが、そのほぼ全ては、アイルランドDPCのTikTok決定によるものである。2018年5月以降の累計は、2,800件を超える処分で71億ユーロを超えた。

EDPBの2025年協調執行枠組み(CEF)アクションは、第17条に基づく消去権に焦点を当てた。32のDPAが参加し、中小企業から大企業、公的団体に至るヨーロッパ全域の764の管理者を調査した。

CEF 2026アクションは、第13条および第14条に基づく透明性および情報提供義務を対象とし、組織がデータ主体に明確、完全、アクセス可能なプライバシー通知を提供しているかどうかを検証している。一般的または不完全なプライバシーポリシーを持つ組織は、2026年に精査が強化されることになる。

執行が集中している領域

2024年から2026年にかけて、複数のパターンが執行を特徴づけている。

国際データ移転は依然として最大級の制裁金の主要な要因の一つである。 GDPR最大の制裁金であるMetaの12億ユーロは、十分性認定のない国へのEU個人データの移転に関わるものであり、TikTokの5億3,000万ユーロの制裁金や、2024年のオランダAPによるUberに対する2億9,000万ユーロの制裁金も同様である。金額で見て次に大きい2件は異なる理論に基づいており、移転は表の上位を占める支配的な要因ではあるが、その全てではない。2026年のオランダAPによるUberに対する8億2,499万ユーロの制裁金は完全自動化された意思決定に関するものであり、無効とされたAmazonの7億4,600万ユーロの制裁金は行動ターゲティング広告の法的根拠が無効であったことによるものである。2023年7月に採択されたEU・米国間データプライバシーフレームワークは、認証された企業にとって法的なメカニズムを提供しているが、その有効性はEUの裁判所で依然として争われている。中国その他の国への移転については、十分性認定は存在せず、精査は激しい。

行動ターゲティング広告と無効な法的根拠。 「正当な利益」および「契約上の必要性」が行動プロファイリングとターゲティング広告を支えることができないという判断は、Meta、Amazon、LinkedInその他に対して重大な制裁金を生じさせてきた。収益モデルが行動ターゲティング広告に依存する企業は、特定の有効な同意を取得しない限り、継続的なリスクにさらされている。

AIとデータ処理。 EDPBの2025年4月の意見は、大規模言語モデルがGDPR準拠の匿名化を達成することはまれであることを明確にした。個人データを処理する第三者AIツールを導入する管理者は、その法的根拠を評価し、該当する場合は正当な利益評価を文書化しなければならない。

単なるインシデントの結果ではなくガバナンスの失敗。 執行は、実際に侵害が発生したかどうかにかかわらず、構造的な不備(暗号化の欠如、脆弱なベンダー管理、不十分なアクセス制御)を罰する方向にシフトしている。

GDPRオムニバスIV:提案されている改革

2025年11月、欧州委員会は、行政負担の軽減を目的とした対象を絞った改正を提案するオムニバスIVパッケージを公表した。主な提案には、第30条に基づく記録保持の適用除外を(現在の250人未満から)従業員750人未満の組織に拡大すること、およびSME向け規定を「小規模中堅企業」に拡大することが含まれる。

EDPBおよびEDPSは一部の側面を歓迎しつつ、明確化を求めた。このパッケージは、早くとも2026年後半までは正式に採択される見込みはない。現行の提案では第83条に基づく制裁金構造は影響を受けない。

GDPR制裁金のリスクを低減する方法

監督機関は、制裁金を算定する際にコンプライアンス姿勢、協力、是正措置を考慮する。以下のステップは、違反を防止すると同時に、違反が発生した場合の制裁金を軽減する。

すべてを文書化する

GDPRのアカウンタビリティ原則(第5条(2))は、組織に単に遵守することだけでなく、遵守を証明することを求めている。処理活動記録、完了したDPIA、法的根拠の評価、職員研修記録、第28条条項を含むベンダー契約、最新のプライバシーポリシーを維持する。文書化は誠実な取り組みの証拠であり、軽減事由として直接機能する。

インシデントに直ちに対応する

侵害またはコンプライアンス上の不備が発生した場合、速さが重要である。72時間の侵害通知期間は法的義務であるが、迅速な対応もまた軽減要素となる。即時の是正、監督機関への迅速な通知、透明なコミュニケーションはいずれも組織に有利に働く。詳細な報告プロセスについては、GDPR 72時間侵害通知ルールのガイドを参照されたい。

監督機関の調査に協力する

情報要求に迅速に対応し、検査のためのアクセスを許可し、推奨される変更を実施する組織は、あらゆる段階で遅延や争訟を行う組織よりも一貫して低い制裁金を受ける。全面的な協力は、第83条(2)(f)に基づき明示的に軽減事由として列挙されている。

国際データ移転を監査する

国境を越えたデータ移転は、依然としてGDPR最大の制裁金および上位10件の中の他の複数の事案の背景となっているため、すべての外向きのデータフローをマッピングし、有効な移転メカニズムを検証することは優先度の高いコンプライアンス課題である。標準契約条項には、十分性認定のない国への移転について移転影響評価を伴わせなければならない。

広告・分析のための法的根拠を検証する

Meta、Amazon、LinkedInその他に対する無効な法的根拠についての制裁金の波は、正当な利益がプロファイリングおよびターゲティング広告のセーフハーバーではないことを示している。分析または広告のためにこの根拠に依拠する組織は、GDPR執行に精通した弁護士による評価の見直しを受けるべきである。

職員研修とプライバシー・バイ・デザインに投資する

多くの違反は、従業員の誤りや、データ最小化原則を組み込まずに構築された製品に起因する。定期的で文書化された研修、および新製品・新機能のプライバシー・バイ・デザインによる見直しは、違反の可能性と、Deutsche Wohnen判決の下で制裁金を加重させる過失認定の両方を低減する。

GDPRコンプライアンスチェックリストを活用する

当社のGDPRコンプライアンスチェックリストは、主要な義務を構造化された形式ですべてカバーしている。文書化されたコンプライアンスプログラムを有する組織は、監督機関が求めるアカウンタビリティを証明する上でより有利な立場にある。

その他のGDPRガイド

• GDPRとは何か 規則とその範囲の包括的な概要
• GDPRコンプライアンスチェックリスト 組織向けのステップバイステップのコンプライアンスガイド
• GDPRデータ主体の権利 8つの個人の権利とそれらへの対応方法
• GDPR同意要件 第7条に基づく有効な同意の要件
• GDPR侵害通知72時間ルール 侵害報告義務および期限
• 中小企業向けGDPR 中小企業向けのコンプライアンスガイダンス
• EUデータプライバシー法 EUデータ保護の枠組みの全体像

よくある質問

GDPRの最大の制裁金はいくらですか?

GDPRの最大の制裁金は、2,000万ユーロまたは組織の前会計年度における全世界年間総売上高の4%のいずれか高い方である。この上位階層の制裁は、第83条(5)に基づく中核的な処理原則、データ主体の権利、同意規則、国際移転要件の違反に適用される。記録保持や DPO任命の不備といった下位階層の違反については、上限は1,000万ユーロまたは全世界売上高の2%である。

これまでに科された最大のGDPR制裁金は何ですか?

確定した最大のGDPR制裁金は、2023年5月にアイルランドのデータ保護委員会がMeta Platforms Ireland Limitedに科した12億ユーロで、EU Facebook利用者データを適切な保護措置なしに米国に移転したことによるものである。この制裁金はEDPBの拘束力ある決定に由来する。Metaは EU一般裁判所に控訴しており、控訴は2026年時点でも係属中である。これまでで2番目に大きい制裁金は、オランダAPによるUberに対する8億2,499万ユーロの制裁金であり、2026年8月21日、完全自動化されたドライバーアカウントの停止措置について科された。Uberは控訴している。かつて2番目に大きかったAmazonの7億4,600万ユーロの制裁金は、2026年3月にルクセンブルクのCour administrativeによって無効化され、再評価のため規制当局に差し戻された。

規則違反の意図がなくても企業はGDPRの下で制裁されますか?

されない。CJEUは2023年12月のDeutsche Wohnen判決(事件C-807/21)において、GDPRの制裁金は違反が故意または過失によって行われたことを要求すると確認した。厳格責任は第83条と両立しない。ただし、過失の基準は低い。合理的なコンプライアンス措置を講じなかったことは一般的にこれを満たす。真に文書化された遵守の取り組みを行いつつも過ちを犯した組織には、制裁金の軽減を求める有効な主張がある。

GDPRの制裁金はどのように算定されますか?

監督機関はEDPBガイドライン04/2022に従い、これは5段階のプロセスを定めている。違反を特定し、複数の違反について第83条(3)を評価する。性質、重大性、継続期間、組織の売上高に基づき基準額を決定する。故意性、協力、過去の違反、データカテゴリー、是正措置を含む加重・軽減事由を評価する。該当する階層の法定上限を適用する。最終的な金額が有効、比例的、かつ抑止的であるかを評価する。

GDPRの制裁金はEU域外の企業にも適用されますか?

適用される。GDPRは、EU域内の人々の個人データを処理する世界中のあらゆる組織に適用され、制裁金は非EU企業にも等しく適用される。TikTok(中国資本、アイルランドDPCを通じて5億3,000万ユーロ)、Amazon(米国拠点、ルクセンブルクCNPDを通じて7億4,600万ユーロ、現在は控訴で無効化)、Uber(米国拠点、オランダAPを通じて2024年に2億9,000万ユーロ、2026年に8億2,499万ユーロ)はいずれも、EU域外に本社を置くにもかかわらず大規模な制裁金を受けている。

Amazonの7億4,600万ユーロのGDPR制裁金はどうなりましたか?

行動ターゲティング広告に無効な法的根拠を用いたことについて2021年にルクセンブルクのCNPDが科したAmazonの7億4,600万ユーロの制裁金は、2026年3月12日にルクセンブルクのCour administrative(行政控訴裁判所であり終審)により判決第52757C号で無効とされた。主たる理由は、CJEUがDeutsche Wohnen(C-807/21)およびNacionalinis(C-683/21)で要求する故意・過失、すなわち違反が故意または過失によって行われたかどうかを、CNPDが一度も分析していなかった点にある。第2の理由は、CNPDが採りうる措置のうちどれが最も適切かを適切に分析していなかった点である。裁判所は実体面でAmazonの主張を認めたわけではなく、正当な利益が関心に基づく広告を支えられないことを含め、違反の実体を確認した。現時点で支払うべき制裁金は存在せず、事件はCNPDに戻っており、CNPDは双方の分析を行ったうえで新たな制裁金を科すことができる。

個人はGDPR違反について訴訟を提起できますか?

できる。第82条は、GDPR違反によって生じた物的・非物的損害について、管理者または処理者から賠償を求める権利を個人に与えている。CJEUはÖsterreichische Post事件(C-300/21、2023年5月)において、最低限の重大性の閾値はなく、証明されたいかなる苦痛も賠償の対象となり得ることを確認した。ただし、請求者は実際の違反、実際の損害、および因果関係を証明しなければならない。規制執行と民事請求は同時に進行することができる。

GDPR制裁金を最も多く科しているEU加盟国はどこですか?

スペインのデータ保護庁(AEPD)は、2018年以降1,000件を超える個別の制裁金を科しており、件数では最多で、主に国内企業を対象とした小規模な制裁金が中心である。アイルランドのデータ保護委員会は、Meta、TikTok、LinkedIn、Google、Appleを含む大手テクノロジー企業がダブリンに欧州本社を置いており、ワンストップショップメカニズムの下でアイルランドDPCがそれらの主導的な監督機関となっているため、累計制裁金額では40億ユーロ超で首位に立っている。

制裁金につながる最も一般的なGDPR違反は何ですか?

制裁金を生じさせる最も一般的な違反は、第6条に基づく有効な法的根拠なしのデータ処理、データ侵害につながる不十分な技術的セキュリティ措置、適切な保護措置のない違法な国際データ移転、法定期限内にデータ主体の権利要求に対応しなかったこと、プライバシー通知における透明性の不足である。最大級の制裁金は、国際移転と行動ターゲティング広告に対する無効な法的根拠に集中してきたが、2026年8月以降は、これまでで2番目に大きい制裁金がさらに別の理論、すなわち完全自動化された意思決定の禁止に基づいている。