「ユーロプライバシー」認証とはなにか――日本企業が取得する意義（第3回･完）　セバスチャン・ジーグラー／［聞き手］藤原成和

欧州認証・プライバシーセンター（ECCP）プレジデント
国際専門家委員会 委員長
セバスチャン・ジーグラー（Dr Sébastien Ziegler）

［聞き手］（北浜法律事務所・外国法共同事業）
欧州認証・プライバシーセンター（ECCP）　弁護士

藤　原　成　和

 

［編集部より］ 　EUの一般データ保護規則（GDPR）適用の監督・調整機関である「欧州データ保護会議（EDPB）」は2026年4月15日、「ユーロプライバシー（Europrivacy）」認証制度を①日本企業を含む欧州以外の企業も取得可能にするとともに、②越境移転ツールとして承認することを内容とする意見を採択した。 　「ユーロプライバシー（Europrivacy）」認証制度はGDPR第42条に基づく「欧州データ保護シール」であり、企業のデータ取扱活動がGDPRの規制を遵守していることを法的に認証する仕組み。企業は認証を受けることによって、制裁金リスクの軽減などの望ましい法的効果や欧州企業との取引上のメリットを有する。 　本記事では、「ユーロプライバシー（Europrivacy）」認証制度を開発し、制度オーナーである「欧州認証・プライバシーセンター（ECCP）」プレジデントのセバスチャン・ジーグラー氏（Dr Sébastien Ziegler）へのインタビューを通じ、本認証制度の仕組み、日本企業が取得する意義、既存の認証制度との関係性、ECCPの今後のビジョンなどをEUのデータ・AI規制動向にも触れつつ全3回でお届けする。今回が最終回。 　聞き手はECCPの藤原成和弁護士（北浜法律事務所・外国法共同事業併任）が務める。（4月6日収録） ［目　次］ Ⅰ　ユーロプライバシー　［第1回］ Ⅱ　制度（エコシステム） Ⅲ　日本・国際展開 Ⅳ　インタープライバシーなどの他の認証　［以上第2回］ Ⅴ　規制動向・今後の展望 Ⅵ　おわりに　［以上第3回･完］

 

Ⅴ　規制動向・今後の展望

27．ブリュッセル効果、つまりGDPRの発効以降、私たちは日本に所在しているにも関わらず、EUの規制動向を注視してきました。最近では、オムニバス・パッケージなどの動きも見られます。今後数年間で、EUのデータ保護はどのように進化していくとお考えですか？ 
After the Brussels effect, I mean after the coming into force of the GDPR, we've closely seen regulatory developments in the EU, even from Japan. Recently we've seen some developments, such as the Omnibus package. How do you see the EU Data Protection evolving in the coming years?

　ヨーロッパで見られる状況です。ここでは、2つのニーズがうまく調和する方法を模索しています。一方で、個人データを保護する必要性があります。これは明白であり、今後も変わらないでしょう。同時に、コンプライアンスが我々にとって負担に感じられたり、逆効果になったりしないようにする必要もあります。規制があるとしても、企業が効果的にその規制を遵守できるようにすることが重要です。それをプラクティス（実務）に移せるようにし、何らかの形で簡素化したり、より実用的で効率的なものにしたりする必要があります。我々は今まさに、尊重すべき基本的権利が何であるかという明確なビジョンはあるものの、課題はそれをいかにしてより効率的、より現実的、より運用可能なものにするかというプロセスにあると思います。これは非常に興味深い進化だと考えます。なぜなら、中小企業の皆様を含めて基本的権利をより容易に実施できるようになれば、長期的には、かえって基本的権利を強化することになるでしょうから。ふと、あることを思い出しました。日本の規制に盛り込まれている、非常に興味深い点を思い出させます。日本の規制には、すでにこの考え方が取り入れられており、規制において、3年ごとに規制を見直し、改善すべき点を確認する必要があることが定められているのです。そして、欧州は、現在、規制を洗練・改善していく過程にあるのだと思います。これはまさに、私の理解が正しければ――ご指摘いただければ幸いです、「改善」呼ばれるものですね。規制は時とともに進化するものだと考えますし、我々はまさにその過程にあるのです。これは、欧州が日本から学ぶことができる点であり、日本が欧州から学ぶことができる点でもあります。国々は互いに学び合うことができます。

 

In Europe, there are two needs, which are trying to find a good way to come together hand-in-hand . There is, on the one hand, the need to protect personal data as fundamental rights. I think this is clear and  will remain so. Now, there is a need at the same time to ensure that compliance is not something which goes, or is perceived to go, against companies. If you have regulations, it is important that companies can effectively comply with the regulations. You need to ensure that it can be put into practice, that it can perhaps be simplified somehow, or made more pragmatic, more efficient. I think we are really in this process where there's a clear vision of  the fundamental rights to be respected, but the challenge is now to make it more efficient, more pragmatic, and more operational. I think that is a very interesting evolution, because probably it will even reinforce, in the long run, the fundamental rights, if the fundamental rights can be more easily implemented, including by small companies and by SMEs. It reminds me of something very interesting that you have in the Japanese regulation, where every three years there is a need to reassess the regulations to see what should be improved. And I think Europe is in this process of refining and improving its regulation. It's really what in Japanese, if I'm correct, you will correct me, you name Kaizen（改善）, which is a continuous improvement. And I think regulations evolve over time and we are currently in this process. And that's something where Europe can also learn from Japan. Japan can learn from Europe. Different countries can learn from each other.

 

28．この質問は、お答えするのが難しいかもしれませんが、お伺いさせてください。プライバシー認証は、AI法、データ法、データガバナンス法といった新たな規制とどのように関わっていくのでしょうか？
This may be a difficult question to answer, but let me ask you this. How will privacy certifications interact with the emerging regulations, such as the AI Act, Data Act, and the Data Governance Act?

　欧州においては、新しい規制はGDPRを補完するものであり、置き換えるものではないことが非常に明確です。したがって、GDPRはAIにも適用されます。AIを利用する場合でも、AI法自身が、依然として、AIによって取り扱われる個人データにGDPRが適用される旨述べています。GDPRは、個人データ保護の包括的な規制であり続けるのです。また、個人データと非個人データの規制間の補完関係を調和させるための進化も見られるでしょう。だからこそ、オムニバス規制に関する協議が進められており、もし承認されれば、異なる義務や規制を段階的に統合された枠組みへとまとめ上げていくことになります。しかし、GDPRは間違いなく存在しています。欧州においては、それが明白です。しかし、重要なのは、実践を通じて学び、改善し、異なる要素をいかにしてより良く統合できるかを検討することです。つまり、規制が多すぎる状況を避けるため、規制の数を減らし、誰もが遵守しやすいようにするということです。これが私の個人的な見解です。

 

In Europe, it's very clear that the new regulations will complement, but not replace GDPR. So, GDPR is applicable to AI. If you are using AI, the AI Act itself states that GDPR remains applicable to personal data processed with AI. The GDPR remains the overarching regulation for personal data protection. There will also be an evolution to harmonize the complementarities between regulations of personal data or non-personal data. That's why we have ongoing negotiations for the Omnibus regulation, which, if approved, will progressively bring together different obligations and regulations into a more integrated framework. But GDPR, clearly is here to stay. That's clear in Europe. But the idea is, again, to learn from practice and to improve it, and to see how the different elements can be better integrated. So instead of having too many regulations, perhaps reducing the number, so that it's easier for everyone to respect it. That's my personal understanding.

 

Ⅵ　おわりに

29．ECCP設立の背景にはどのような課題があったのでしょうか。また、この分野に取り組まれている個人的な動機もお聞かせください。
That's interesting. What challenges do the establishment of the ECCP overview and what motivated you personally to engage in this field?

　非常に単純なことです。ユーロプライバシーは、多くの専門家や当局との素晴らしい協働の成果です。そして、研究から得られた成果が実際に活用されることが、我々にとって重要でした。そして、この研究に取り組む研究コミュニティ内で合意されたのは、研究成果を非常に専門的な方法で広く一般に提供することを担当する専任の組織が必要であるという点でした。その組織は、業界標準や業界の要件に完全に合致できるものでなければなりません。そのため、我々はECCPを制度オーナーとして設立し、その設立を支援することを決定しました。ECCPは多くの専門家によって支えられ、 ECCPは、研究や法学部、産業界の専門知識と市場の需要との架け橋となるという使命を掲げました。その後、ECCPは現在、より多くの欧州の研究活動に参画しています。つまり、専門知識をもたらし、あるいは動員することであり、我々は日本の専門家や研究者、大学の方々と協力できることを心より楽しみにしています。そして、我々の目標は、規制遵守に有用な知識とリソースを市場に提供することです。我々が研究に投資してきた成果を、産業界や市場、そして社会にとって利用可能かつ有用なものにしたいと強く願っています。つまり、我々の貢献を市場に還元し、再び社会や産業界にとって有益なものにすることです。それがまさに我々の原動力です。

 

It's very simple. Europrivacy is the result of an amazing work with many experts and authorities. It was important for us that what we developed from the research could be used. And then we agreed among the research community working on it that it was important to have a dedicated entity in charge of making the result of the research available to all in a very professional manner, an entity which can be fully aligned with industry standards and industry requirements. That's why we decided to support the establishment of ECCP as a scheme owner, supported by many experts. ECCP had a mission to serve as a bridge among the expertise from the research, from the law faculties, industry, and the market demand. Then, progressively ECCP is now engaged in more research activities. So, bringing expertise or mobilizing expertise, and we are very much looking forward to engaging with Japanese experts, researchers, and universities to work with us too. And the ambition is really to make knowledge and resources, useful for regulatory compliance, available to the market. We really want to turn what we have invested in terms of research to make it available and useful to the industry, to the market and to the society. It's really bringing our contributions to the market and to make it useful for, again, the society and the industry. That's really the motivation.

 

30．ECCPが目指すデータ保護・プライバシー、認証に関する中長期的なビジョンを教えてください。
What is ECCP’s long-term vision for data protection, privacy, and certification?

　先ほども申し上げましたように、認証を可能な限りシンプルでユーザーフレンドリーなものにしつつ、同時に可能な限り信頼性の高いものにするという野心を持っています。つまり、我々には二つのニーズ、二つの要件があるのです。一方で、我々は、私やあなたのデータが非常に複雑で扱いにくい方法で処理される世界に住んでいます。例えば、私がそのデータを大学やサービスプロバイダーなどと共有した場合、彼らはそのデータを他のサービスプロバイダーと共有し、さらにそのプロバイダーが別のサービスと共有するかもしれません。これを管理することは非常に困難ですが、同時に、ある程度の保護レベルを提供する必要もあります。我々はその重要性を認識しています。では、この複雑さにいかに効率的に対処すべきでしょうか？　つまり、コンプライアンスをユーザーフレンドリーで、かつ、同時に、信頼性の高いものに変えることです。ISOの観点から言い換えれば、達成に必要な労力やリソースを最小限に抑えつつ、得られる成果を最大化するという意味で、コンプライアンスをより「効率的」なものにすることが、全体的な課題なのです。この課題に本当に取り組んでいかなければなりません。ですから、ECCPの将来へのビジョンは、このプロセスを支援し、明日、明後日にはコンプライアンスの証明がますます容易になり、企業に負担をかけずに信頼を築けるようにすることです。つまり、非常にシンプルでユーザーフレンドリーなものにし、社会や業界、市場において必要とされるこのレベルの信頼を築き上げていくことです。

 

I think, as I mentioned, the ambition is to make certification as simple and user-friendly as possible, but at the same time as reliable as possible. So, we have two needs, two requirements. On the one hand, we live in a world where my data, your data, are processed in a very complex manner that is difficult to handle. So, if I share it with, for instance, a university or service provider, they may share the data with some other service provider, and so on. It's very difficult to control it, and at the same time, there is a need to provide a level of protection. We realise that it's important. So how to address this complexity in an efficient manner? And so the whole challenge is to turn compliance into something user-friendly and reliable at the same time. We need to make compliance more efficient in the sense of ISO, that you maximize the results you achieve while minimizing the effort and resources to achieve it. We are working on it. The vision of ECCP for the future is to support this process, so that tomorrow and the day after tomorrow, it will become easier and easier to demonstrate compliance, to build trust without being burdensome for companies. So making it very simple, very user-friendly, and then building and bringing this level of trust that is needed in the society and in the industry and on the market.

 

31．非常に広い視野をお持ちですね。プレシデントとして、最優先事項は何でしょうか？
You have a very wide perspective. As a President, what are your top priorities? 

　現在、ECCPの国際専門家委員会のプレシデントとして、明らかに、我々が付加価値をもたらせると考える分野で支援を行い、我々が果たすべき具体的な役割を果たすことです。そのため、先ほど申し上げたように、国や地域に関して言えば、プレシデントとしての私にとって優先すべき国はいくつかありますが、一方で、適切なパートナーが開発を進めてくれるため、我々が主導する必要はないと考える国もあります。私にとって最優先の国は、日本です。なぜなら、日本の同僚たちが我々の活動に容易にアクセスできるよう、特別な取組みが必要だと認識しているからです。ですから、我々が開発したものが、日本の方々に理解していただけるよう、確実にしたいと考えています。この制度を理解するために、英語を学ぶ必要はありません。日本語で提供できるようにしたいのです。利用を容易にしたいのです。ですから、国という観点では、日本は明らかに優先国です。次に開発の面では、現在、人工知能やテクノロジーを活用して認証の実施を簡素化する新たな研究プロジェクトに取り組んでいます。これがもう一つの側面です。我々はこの分野で非常に積極的に活動しており、協力関係を築くことも目指しています。ですから、日本との連携には非常に強い関心を持っています。制度の利用に関心のあるパートナーだけでなく、当局、研究者、法律事務所、DPO（データ保護オフィサー）とも連携し、どのように協力できるか、また日本側のニーズをより深く理解するにはどうすればよいかを検討したいと考えています。単に我々のソリューションを提供するだけでなく、日本のDPOが何を求めているのか、DPOにとって何が不足しているのかを聞くことも重要です。我々は、日本のDPOと欧州のDPOを結びつけたいと考えています。例えば、日本の研究者と欧州の研究者を結びつけ、共同で取り組んでいきたいと考えています。ですから、我々はこの連携を強化することに非常に、非常に強い関心を持っています。

 

Currently, I would say, as President of the ECCP's International Board of Experts, clearly it's to bring our support where we think we can add value, and where we have a specific role to play. That's why, as I mentioned, in terms of countries or regions, for me as a President, there are a certain number of countries, which are priority countries, but there are countries where, again, we think we do not need to lead, because we have the right partners to develop it. The country, which for me is number one in terms of priorities, is Japan, because we know that we need to do a specific effort to help our colleagues in Japan to have an easy access to what we are doing. So, we want to ensure that what we have developed can be understood by the Japanese. They don't need to learn English to understand the scheme. We want to make it available in Japanese. We want to facilitate the use. So, Japan is clearly, in terms of countries, a priority. Then, in terms of development, we are currently working on new research projects to simplify the implementation of the certification with artificial intelligence and technology. That's another part. We are very active on this to develop cooperation. So, we are very much interested, again, to engage with Japan, not only with partners interested to use the scheme, but also with authorities, researchers, law firms and with DPOs, to engage and to see how we can collaborate, how we can also better understand the needs on the Japanese side. It's not only to come with our solutions, it's also to listen to, what are Japanese DPOs looking for? What is missing for them? We'd like to bring them together with European DPOs. For instance, we would like to bring together Japanese researchers with European researchers to work together. So, we are very, very interested in reinforcing this collaboration.

 

32．そのようなコラボレーションを大変楽しみにしております。それでは、最後の質問です。日本のリーダーの方々、そして日本の読者の皆様に、どのようなメッセージをお伝えしたいですか？ 
We are really looking forward to such a collaboration. This is the final question. What message would you like to share with readers in Japan?

　繰り返しになりますが、日本の同僚やパートナーの皆様と協力できることは、大変光栄であり、喜びでもあります。我々は、日本とその伝統、品質へのこだわり、そして専門知識を非常に高く評価しております。我々は互いに学び合えると考えており、日本との強固な連携を築くことを心から楽しみにしております。また、日本側からも、我々との協力に関心を持ってくださることを願っております。そして、この連携は双方にとって真に有益なものになると確信しております。繰り返しになりますが、新しい日本の同僚やパートナーの皆様と協力できることを心より楽しみにしております。ありがとうございました。

 

Again, it will be a great honor and pleasure to collaborate with Japanese colleagues and partners. We have a very high esteem for Japan, for its tradition, for its sense of quality, its expertise. We think that we can learn from each other, and we are really looking forward to developing strong collaboration with Japan, and we hope there will be an interest on the Japanese side to engage with us in cooperation. We really see this collaboration as something that can be positive on both sides. And again, really looking forward to collaborating with new Japanese colleagues and partners. Thank you.

 

（完）