英国は2025年にデータ保護法の一部を書き換え、その変更の大部分はすでに適用されている。Data (Use and Access) Actは新しいGDPRではない。これはUK GDPR、2018年データ保護法、およびPECRのクッキー規則を改正するものである。公開されているウェブデータを収集するチームにとって、これらの改正のいくつかは非常に重要であり、その一部についてよく見られる解釈は行き過ぎている。
本ガイドでは、何が施行されているか、適法根拠、研究、通知、クッキー、自動化された意思決定、移転について何が変わったか、そしてこの法律が変えなかったことについて説明する。これは一般的な情報であり、法的助言ではない。
何が施行されていて、いつ施行されるか
この法律は2025年6月19日に国王の裁可(Royal Assent)を受け、施行規則によって段階的に施行された。
| 日付 | 発効した内容 |
|---|---|
| 2025年6月19日 | 開示請求に対する「合理的かつ比例的な」検索 |
| 2025年8月20日 | スマートデータの権限、および著作権とAIに関する報告義務 |
| 2025年12月1日 | デジタル検証サービスの枠組み |
| 2026年2月5日 | UK GDPRとPECRの主な変更:適法根拠、研究、通知、自動化された意思決定、移転、クッキー、罰金 |
| 2026年6月19日 | 管理者は苦情処理プロセスを運用しなければならない |
| 2026年9月30日 | 情報コミッショナー事務局(Information Commissioner’s Office)が情報委員会(Information Commission)になる |
したがって、人々が「新しい英国のルール」について話すとき、ほとんどの場合、2026年2月5日に始まったパッケージを指している。
適法根拠:聞いていたより変更は少ない
この法律は新しい適法根拠である「認識された正当な利益(recognised legitimate interests)」を追加する。処理は、バランステストなしで、固定リストにある目的の一つのために必要である場合に適法となる。このリストは公益目的を対象としている:公的機関への開示、国家安全保障と防衛、緊急事態、犯罪、および脆弱な人々の保護である。通常の商業的データ収集はこのリストに含まれていない。
商業的な作業については、おなじみの正当な利益の根拠は変更されていない。これは依然として、あなたの利益が「データ主体の利益または基本的権利および自由によって上回られていない」場合にのみ適用される。この法律は、正当な利益となり得る処理の例を追加しており、これにはダイレクトマーケティング、グループ内での内部管理のための共有、ネットワークセキュリティが含まれる。これらは例であって、免除ではない。バランステストは依然として適用される。
スクレイピングに関して言えば、規制当局の見解は変わっていない。2024年12月の生成AIに関する協議への回答の中で、同局は、ウェブスクレイピングされた個人データで生成AIを訓練する際に利用可能な適法根拠は正当な利益のみである可能性が高く、しかも開発者が目的、必要性、バランスという三部構成のテストに合格した場合に限ると述べた。同局はまた、スクレイピングを高リスクで、大部分が見えない処理として扱っている。スクレイピングプロジェクトの前に法務部門が尋ねることについての当社のガイドでは、そうした事案に備える方法を解説している。
研究の定義がより広くなった
この法律は科学的研究の定義をUK GDPRに書き込んでいる。それは「公的資金であるか民間資金であるか、商業活動として行われるか非商業活動として行われるかを問わず、合理的に科学的と説明できるあらゆる研究」を意味し、技術開発や応用研究も含まれる。
これが重要なのは、研究目的には、以下の通知免除を含む有用な免除が伴うからである。しかし基準は依然として「合理的に科学的と説明できる」ことであるため、すべての分析プロジェクトが該当するわけではない。統計目的についてもより厳密な定義がある:結果は個人データではない集計データでなければならず、特定の個人についての意思決定に使用されてはならない。
この法律はまた、目的が当初完全には特定できない研究分野に対する「広範な同意(broad consent)」を認めている。これは参加者がいる研究には役立つが、誰にも尋ねられていないスクレイピングされたデータにはほとんど役に立たない。
人々への通知:通知の問題
スクレイピングされた個人データは本人から取得されたデータではないため、UK GDPRの第14条が適用される:原則として、人々にプライバシー通知を提供しなければならない。大規模なデータセット内の全員に連絡することはめったに不可能であり、この法律は今、いつ免除に頼ることができるかを明確にしている。
| 免除 | 内容 |
|---|---|
| 第14条(5)(e) | 情報の提供が「不可能である、または不均衡な努力を伴う」場合 |
| 第14条(5)(f) | 通知が処理の目的を「不可能にする、または著しく損なう」場合 |
| 第14条(6) | 不均衡な努力かどうかは「データ主体の数、個人データの経過期間、および適切な保護措置」による |
| 第14条(7) | それでも適切な措置を取らなければならず、「情報を公に利用可能にすることを含む」 |
実務上の結果:不均衡な努力を根拠とする場合、何を、どこから、なぜ収集するか、そして人々がどのように異議を申し立てられるかについて、明確な通知を公開すること。各要素をどのように検討したかの記録を残すこと。別の第13条の変更により、管理者は、研究、アーカイブ、統計のためだけにデータを再利用する場合、同じ不可能または不均衡な努力のテストの下で、新たな通知を省略できるようになった。
クッキーと同意の壁
PECRは今や、サイトが同意なしに一部のクッキーを設定することを認めている:サービスの利用状況に関する統計のため、訪問者の好みを記憶するため、サイトの外観を改善するため、そしてセキュリティや不正防止といった厳密に必要な目的のためである。最初の2つについては、ユーザーは明確な情報と、簡単かつ無料で異議を申し立てる方法を得なければならない。クッキーおよびマーケティング違反に対する罰金は、今や1750万ポンドまたは全世界売上高の4%のいずれか高い方に達する。
これはまず自社サイトに影響する。サイトがバナーを調整するにつれて、クローラーが英国のページで目にするものが変わる可能性もあるため、同意の壁のレイアウトに依存するパーサーがあれば確認すること。国別の同意の壁についての当社の調査は、これらのページがすでにどれほど異なっているかを示している。
自動化された意思決定と移転
スクレイピングされたデータが、リードスコアリングや候補者選考などの人々についての意思決定に利用される場合、自動化された意思決定に関するルールは今や異なって適用される。重大な影響を及ぼす完全に自動化された意思決定は、もはや一般的には禁止されていないが、そうした意思決定について人々に伝え、意見を述べさせ、人による介入を提供し、結果に異議を申し立てさせなければならない。特別カテゴリーのデータを使用する意思決定は引き続き厳しく制限されている。
海外への移転については、新しい基準は、移転先での保護が英国における保護と比べて「実質的に低くない」かどうかであり、輸出者は「合理的かつ比例的に行動」してその判断に至ることができる。EUは2025年12月19日、2031年12月27日まで、英国に対する十分性認定を更新したため、個人データはEUから英国へ引き続き流れることができる。
この法律が変えなかったこと:AIと著作権
この法律の最も争点となった部分は、何が除外されたかである。貴族院(House of Lords)は、AI開発者に訓練に使用した著作物の開示を義務付ける修正案を繰り返し追加し、庶民院(Commons)はそのたびにこれを削除した。その代わりに、この法律は政府に著作権とAIに関する報告書および経済的影響評価を公表するよう求めた。
両方とも2026年3月18日に公表された。報告書は、権利者にオプトアウトを認める広範な著作権の例外は「もはや政府が望む方向性ではない」と述べ、代替案は提示せず、まず証拠を集めることを選択した。したがって英国の著作権法は変わっていない。1988年著作権・意匠・特許法第29A条のテキストおよびデータマイニングの例外は、依然として非商業的研究のみを対象としている。機械可読なオプトアウトは、英国では今のところ特別な法的効力を持たないが、それでも意図を示す信号ではある:robots.txtとAIの権利留保信号についての当社のガイドでは、その読み方を解説している。
データチームがすべきこと
- 適法根拠を確認する。 正当な利益に依拠する場合は、最新の評価を維持すること。認識された正当な利益のリストが自分たちをカバーしていると想定しないこと。
- 研究の主張を検証する。 研究免除は、合理的に科学的と呼べる作業にのみ使用し、その理由を文書化すること。
- 通知を公開する。 不均衡な努力に依拠する場合は、収集と異議申し立てについて説明する公開通知を作成し、自らの判断理由を記録として保管すること。
- 人々についての意思決定をマッピングする。 あなたのデータが利用されるあらゆる自動化された意思決定をリストアップし、保護措置を追加すること。
- データがどこから来たかを記録する。 ソースのURL、日付、そして当時有効だった通知を保管すること。AI訓練パイプラインにおける来歴についての当社のガイドでは、実用的な形式を示している。
- 著作権の動向を注視する。 英国には現在、商業的マイニングの例外がなく、政府は立法前にさらなる証拠を望んでいると述べている。
プロキシの位置づけ
プロキシはリクエストがどこから来るかを変えるが、法律が何を許すかを変えるものではない。英国のIPから、あるいは他のどこからであれ、英国の個人データを収集することは、同じUK GDPRの義務の対象となる。レジデンシャルプロキシは、価格監視、広告検証、同意バナーの表示確認といった作業のために、現地の訪問者が見るように英国の公開ページを見るのに役立つ。それらはあなたの適法根拠、通知義務、あるいは誰かの著作権を変えるものではない。
結論
Data (Use and Access) Actは英国の一部のルールを緩和したが、多くのウェブデータチームが期待していたルールではなかった。商業的な収集には依然として、バランステストを伴う正当な利益の論拠が必要である。通知義務はより明確になり、通知の公開は今や取引の一部となっている。研究はより広くなったが、真に科学的でなければならない。AI訓練については、著作権の問題はまだ未解決である。規制当局がその新しい名称にまだ落ち着いている今のうちに、自らの選択を文書化しておくこと。
出典および参考文献
- Data (Use and Access) Act 2025、制定時の条文: legislation.gov.uk
- 第67条、研究および統計目的の意味: legislation.gov.uk
- 第77条、データ主体に提供すべき情報: legislation.gov.uk
- 附則4、認識された正当な利益: legislation.gov.uk
- 附則12、端末設備への情報の保存: legislation.gov.uk
- UK GDPR第6条、改正後: legislation.gov.uk
- 施行第1号規則2025年(SI 2025/904): legislation.gov.uk
- 施行第4号規則2025年(SI 2025/1213): legislation.gov.uk
- 施行第6号規則2026年(SI 2026/82): legislation.gov.uk
- 施行第9号規則2026年(SI 2026/1015): legislation.gov.uk
- DSIT、Data (Use and Access) Act 2025:施行計画: gov.uk
- ICO、生成AIモデルを訓練するためのウェブスクレイピングの適法根拠: ico.org.uk
- DSIT、DCMS、IPO、著作権と人工知能に関する報告書および影響評価(2026年3月18日): gov.uk
- 欧州委員会、英国に対する十分性認定の更新(2025年12月19日): ec.europa.eu