Twitterで、12月12日の「AI時代の知的財産権検討会（第10回）」の配布資料「AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル型コード（仮称）（案）」が、これはひどいと話題になっているのが流れてきたので、読んでみたところ、色々言いたいことが思い浮かんだ。本来ならば論文で指摘するべき話だが、他に先に書かないといけないことばかりで、いつになったらできるかわからない。今動いている話なので、急ぎここに記す必要があるが、書くのが面倒なので、生成AIに書かせた。自分で書けばぐちぐちと悩みながら2、3日かけるところだが、もはや生成AIのおかげで、気づいてから半日で完成だ。（どういうプロンプトで書かせたかは末尾に開示しておく。）
関係者の皆さんには読んでほしい。方向付けさえすれば自然にここまで言われてしまうという事態の深刻さを受け止めてほしい。
5月に「処遇AIと生成AIの区別ができていない」と指摘した。国会審議で、処遇AI（人事評価の差別）について質問されているのに、大臣が生成AI（差別を助長する出力を防ぐ）のことを答弁してしまう事態が起きていた。AI事業者ガイドラインの「差別」「バイアス」への言及も、精査してみると生成AIの出力についてしか述べられていなかった。
12月には欧州向けに、EUのDigital Omnibus規則案についても同様の混同が起きていると批判した。欧州委員会もnoybも、「GDPRのスコープを広げるか狭めるか」という間違った軸で戦っており、データ保護法の本丸である「決定の適切性」と「関連性の原則」が見失われている、と。
そして今、さらなる混同が発生している。今度は「知財面からのAI規制」においてである。
先週金曜日（12月12日）に開催された「AI時代の知的財産権検討会」第10回会合の資料が公開され、「プリンシプル・コード（仮称）（案）」が示された。これを見た人々からX上で悲鳴が上がっている。
「日本が20年続けてた負けパターンに嵌ってきた感」「クソデカため息しか出ない」「会議内容から失われた日本を絶対に取り戻さない強い意志を感じる」——。
政府は「世界で最もAIを開発・活用しやすい国」を標榜している。その方針自体は正しい。だが、この資料を見る限り、その方針とは真逆の方向に進んでいるように見える。
より具体的な指摘もある。「責任追跡を書類と掲示で担保しようとしている」「全部書けば透明性と思っていそう」「新聞で言えば取材源を全部公開しろと言っているようなもので、副作用を考えていない」「学習データ開示やログ管理が数兆トークン規模で不可能」「EUに合わせた以外の根拠がない」「OpenAIは絶対応じないだろう」——。
さらに、「EU AI Actをほぼ丸パクリしつつ強制力なしのため正直者だけバカを見る」「ゲーム開発者も対象になり得る定義の広さで、国外事業者は無視して国内だけ萎縮する」「NDAや営業秘密のセーフハーバー（免責）が考慮されていない」といった指摘もある。
これらの不満は、感情的な反発ではない。制度設計として当然の帰結を指摘している。問題は「規制が厳しいか緩いか」ではない。規制の目的と手段が噛み合っていないのである。
知財検討会の第10回資料2「プリンシプル・コード（仮称）（案）」を見ると、「透明性確保のための措置」として、学習データ、クローラ、トレーニングプロセス等の開示が列挙されている。ここまでは知財（著作権）の観点から一定の合理性がある。
なお、この文書は自ら「EU AI Actにおける取組」を参照し、「comply-or-explain」方式を採用すると明記している。EUを手本にしていることは、文書自身が認めているところである。
問題はその先である。同じ「透明性」の箱に、「アカウンタビリティ関係」として次の記述がある。
AIシステム・サービスの開発・提供・利用中に行われた意思決定等について、技術的に可能かつ合理的な範囲で追跡・遡求が可能な状態の内容（記録方法、頻度、保存期間 等）
そしてこの根拠として、脚注でAI事業者ガイドラインの「検証可能性の確保」を引用している。そこにはこう書かれている。
AIの判断にかかわる検証可能性を確保するため、データ量又はデータ内容に照らし合理的な範囲で、AIシステム・サービスの開発過程、利用時の入出力等、AIの学習プロセス、推論過程、判断根拠等のログを記録・保存する
ログの記録・保存にあたっては、利用する技術の特性及び用途に照らして、事故の原因究明、再発防止策の検討、損害賠償責任要件の立証上の重要性等を踏まえて、記録方法、頻度、保存期間等について検討する
「AIの判断」「推論過程、判断根拠」——これは何のための規律か。「事故の原因究明」——これはまた別の話ではないか。
ここで改めて、5月から使っている概念を確認し、一つ追加しておく。
処遇AIとは、個人をデータに基づいて他の個人らと異なって扱うことを目的としたAIである。採用判定、与信判断、保険料算定、行政給付の決定、監視対象の選別などがこれに当たる。処遇AIの規律で問題となるのは、決定の適切性である。関連性のないデータで人を分けていないか。誤ったデータで不利益な決定をしていないか。不当な差別が生じていないか。決定に対して異議申立ての途が開かれているか。
生成AIとは、表現（文章、画像、音声など）を生成するAIである。生成AIの規律で問題となるのは、主に出力段階の問題である。ディープフェイク、偽情報、出力が既存著作物に類似する場合の著作権侵害、悪用防止などがこれに当たる。学習段階で問題となるのは、取得手段の違法性（不正アクセス等）程度である。
製品AIとは、物理的な動作や制御を担うAIである。自動運転車、産業用ロボット、医療機器などがこれに当たる。製品AIの規律で問題となるのは、製品安全である。事故が起きたときの原因究明と再発防止がこれに当たる。従来の製品安全法制の延長線上にある。
この三つは、規律の目的が根本的に異なる。
処遇AIで必要な「透明性」は、本人救済と監査のための透明性であり、「この人をこう扱った理由」が争える形で残っていることを意味する。
生成AIで必要な「透明性」は、出力段階での検証と悪用抑止のための透明性であり、「生成物がAI製であること」の表示や、問題ある出力への対応窓口などを意味する。
製品AIで必要な「透明性」は、事故調査のための透明性であり、「何が起きたか」を事後に再現できることを意味する。
三者を混ぜると、規制は必ず変になる。
プリンシプル・コード案の「意思決定等について…追跡・遡求が可能」という文言は、実は二通りに読める。
一つは、「事業者の意思決定」——開発・提供・利用を決めた経緯の記録という読み方である。これなら知財紛争での立証に関係しうる。
もう一つは、「AIの意思決定」——AIが個人に対して行った判断の記録という読み方である。これは処遇AIの規律に属する。
文言だけなら前者の読み方も不可能ではない。だが、脚注で引用されているAI事業者ガイドラインを見れば、話は明らかである。ガイドラインは「AIの判断」「推論過程、判断根拠等のログ」と言っている。これは「事業者がどう決めたか」ではなく、「AIがどう判断したか」の記録を求める語彙である。
さらにガイドラインは、ログの目的として「事故の原因究明」を挙げている。これは製品AI寄りの語彙である。
知財検討会は知財（著作権）の問題を扱う場である。著作権の観点から透明性が問題になるとすれば、取得手段の適法性や、出力が既存著作物に類似する場合の検証などであって、「AIがどのような推論をしたか」や「事故原因の究明」ではない。
ところが知財検討会の「プリンシプル・コード案」は、AI事業者ガイドラインの「検証可能性」をそのまま引用している。処遇AI向けの「AIの判断ログ」と、製品AI向けの「事故・安全」の語彙が、生成AI×知財の文脈に「キーワード」として流れ込んでいる。「透明性」という一語の下に、目的の異なる規律が同居してしまっている。
これがまさに、X上で指摘されている「全部書けば透明性と思っていそう」の正体である。
この文書が自らEU AI Actを参照しているというなら、EU AI Actの構造を確認しよう。
EU AI Actでは、ログ・トレーサビリティの義務は高リスクAI（その多くが処遇AIに当たる）に課されている。Article 12は、高リスクAIシステムがイベント（logs）の自動記録を技術的に可能にすべきことを定め、その目的を「高リスクAIシステムの機能の追跡可能性（traceability of the functioning）」と明示している。採用判定や与信判断などに用いられるAIでは、誰がいつどのように評価されたかを事後に検証できるようにするためである。Article 86には「個人の決定に対する説明を受ける権利（Right to explanation of individual decision-making）」まである。
一方、GPAI（汎用目的AI）モデルに課される義務は別の束である。Article 53は、技術文書の作成、下流事業者への情報提供、著作権ポリシーの策定、学習データの要約の公開などを求めている。ここには「個別の意思決定ログ義務」は含まれていない。
つまりEUは、高リスクAI（処遇AI寄り）とGPAI（生成AI寄り）で義務の束を分けている。ログ・トレーサビリティは高リスクAI向けであり、GPAIには「技術文書」「著作権ポリシー」「学習データ要約」という別の透明性が課されている。
日本が「EU整合」を唱えるなら、輸入すべきはキーワードではない。輸入すべきは「区別」である。
EUから聞き齧ったルールが「何のためにどのように働くルールなのか」を理解しないまま、キーワードだけを輸入する。「透明性」「追跡可能性」「責任」「Code of Practice」「robots.txt」「EU整合」——こうした単語を、目的も前提も異なる領域にベタ貼りする。
すると何が起きるか。「どの害を防ぐためのルールか」という問いが消え、「とにかく開示」「とにかくログ」「とにかく掲示」という書類主義の万能薬になる。
X上の不満はその帰結である。「全部書けば透明性」「取材源公開みたい」「根拠がない」——これらは感情的反発ではなく、制度設計の欠陥への正当な指摘である。
だが、なぜキーワードが「流れ込んでくる」のか。それは、本来の居場所で定着していないからである。
「追跡可能性」「検証可能性」「ログ」——これらは本来、処遇AIの領域で使われるべき語彙である。人を選別するAIにおいて、「なぜこの人をこう扱ったのか」を事後に検証し、争えるようにする。そのための規律である。
そして処遇AIの規律の本来の居場所は、個人情報保護法である。個人データに基づいて人を評価し、決定する——これこそが個人情報保護法制の本丸の保護利益である。私は個人情報保護委員会の3年ごと見直しに提出した意見書でもこの点を指摘している。
ところが、処遇AIの規律が正面から設計されていない。だから語彙だけが浮遊し、関係のない領域に紛れ込んでくる。
5月の国会審議では、処遇AI（人事評価の差別）についての質問に対して、大臣は生成AI（差別を助長する出力を防ぐ）のことを答弁した。AI事業者ガイドラインの「差別」「バイアス」への言及も、精査すると生成AIの出力についてしか述べられていない。
処遇AIで本当に必要なのは、決定ガバナンスである。目的の明確化（何の決定のためのAIか）、入力データの関連性（決定目的に関係ないデータで人を分けない）、正確性・最新性、不当な差別の検証、異議申立て・再審査・人手関与、そして監査可能性（ログ）——ただし「全部開示」ではなく、救済と監督のための合理的範囲で。
この本丸が宙に浮いているから、「追跡可能性」「ログ」という言葉だけが一人歩きし、知財検討会のような場にまで流れ着く。もちろん、知財検討会で処遇AIの規律をやれという話ではない。だが、しかるべき場所で本丸が設計されていれば、知財検討会は知財の問題に集中できたはずである。
いま起きている混乱は、規制の「強さ」の問題ではない。規制の「カテゴリ誤り」の問題である。
処遇AI、生成AI、製品AIを区別すれば、それぞれの不満が同時に解ける。
生成AI側では、出力段階の問題（ディープフェイク、偽情報、悪用）への対応を中心に透明性を組み立てる。「全部開示」ではなく、問題ある出力への対応窓口や、生成物がAI製であることの表示などである。
処遇AI側では、決定ガバナンス（関連性・救済）を本丸として、しかるべき場所で制度化する。ここで初めて「透明性」「追跡可能性」「ログ」という語彙が本来の意味を回復する。人を選別する領域でこそ、これらの規律は意味を持つ。
製品AI側では、従来の製品安全法制の枠組みで、事故調査・原因究明の仕組みを整備する。
5月、12月と続けて指摘してきた問題が、今度は知財の領域にまで及んでいる。このまま放置すれば、AI規制は誰も得をしない形で迷走を続ける。
第10回会合の議事録はまだ公開されていない。委員の先生方からこの点について的確な指摘があったのかどうか、気になるところである。
続いて、AIネットワーク社会推進会議の「AIガバナンス検討会（第28回）」の資料「AI事業者ガイドラインの更新に向けた論点」の話も流れてきたので、これも同じ話なので上記の続編としてAIに書かせた。これも合わせて一度に掲載してしまおう。
前回、知財検討会の「プリンシプル・コード案」が、処遇AI向けの規律（追跡可能性、ログ）を生成AI×知財の文脈に持ち込んでいる問題を指摘した。「透明性」という一語の下に、目的の異なる規律が同居してしまっている、と。
だが、これは知財検討会だけの問題ではない。知財検討会が脚注で参照したAI事業者ガイドライン自体に、同じ病巣がある。
12月2日に開催されたAIガバナンス検討会（総務省・経産省）で、AI事業者ガイドラインの次期更新に向けた論点が示された。
主な論点は三つ。第一に、AIエージェント／エージェンティックAIに関する記載の追加。第二に、フィジカルAIに関する記載の追加。第三に、リスク評価手法の追加である。
一見すると、技術の進展に対応した妥当な更新に見える。だが、ここにも同じ問題が潜んでいる。
資料に示されたAIエージェントのリスク案を見ると、異質なものが同一リストに並んでいる。
判断根拠が不明瞭──非決定的な判断で根拠の追跡が困難
誤情報の拡散──間違いを繰り返し学習・出力して広める
ツールの悪用──許可された範囲のツールで意図しない操作を実行
権限の乗っ取り──他のシステムから権限を奪い高い権限を取得
人間の過信誘導──AIを過信させて有害な行動に導く
「判断根拠の追跡」は、処遇AIで「なぜこの人をこう扱ったか」を検証するための規律なのか、それとも製品AIで「事故原因を究明する」ための規律なのか。「誤情報の拡散」は生成AIの出力段階の問題である。「権限の乗っ取り」はセキュリティの問題である。「人間の過信誘導」はまた別の問題系である。
「AIエージェント」という技術的特性で箱を作ったため、規律の目的が異なるリスクが一緒くたになっている。これでは、それぞれのリスクに対して「何をすべきか」が見えてこない。
一方、フィジカルAIのリスク案を見ると、比較的整合が取れている。
物理的事故の発生──ロボットの誤作動で人や物に損害を与える
判断のブラックボックス化──内部処理が不透明で原因特定や責任追及が困難になる
これは前回整理した「製品AI」に対応する。自動運転車や産業用ロボットなど、物理的な動作を担うAIでは、製品安全が問題になる。「事故原因の究明」「責任追及」という語彙は、この文脈でこそ意味を持つ。
フィジカルAIについては、規律の目的（製品安全）と手段（事故調査のためのトレーサビリティ）が対応している。「判断のブラックボックス化」が問題になるのは、事故が起きたときに原因を特定できないからである。
リスク評価の手法を議論する箇所で、EU AI Actの高リスク8領域が「参考」として挙げられている。
これらはまさに処遇AI的な領域——個人をデータに基づいて評価・選別・決定する用途——である。
だが、これは「リスク評価の参考」として言及されるだけである。処遇AIの規律の本丸——関連性のあるデータのみを使う、不当な差別を検証する、異議申立ての途を開く、救済可能な形でログを残す——は正面から扱われていない。
技術軸（AIエージェント、フィジカルAI）の議論が中心になり、「何のための規律か」という目的軸の整理が抜け落ちている。
同じ資料には、AI事業者ガイドラインの利活用に関する事業者からの意見が並んでいる。
全体像を簡単に理解するのが困難な文章量になっているのが現バージョンの最大の問題点だと思います。
項目間の対応・依存関係が不明なため検索しづらい
本文の方は、概念を整理し、何を行うべきか（What）を網羅的に掲載しようとしているように見える。別の言い方をすると、辞典やリファレンスマニュアルのような構成になっている。一方、このガイドラインの想定される利用者は、自分達でやりたいことがあり、その際に具体的に実施すべき手順（How）を知りたいのであろう。
文章中には一部、“適切な”等の漠然とした表現の箇所があるため、具体的にどうすればいいのかわからないと思う方もいるのではないかと推測します。
これは「キーワード政策」の当然の帰結である。
規律の目的を整理しないまま、「透明性」「追跡可能性」「責任」「公平性」といったキーワードを技術軸の箱に放り込むと、すべてが抽象的になる。「何のために」「誰に対して」「どのような場面で」が明確でないまま「適切に対応せよ」と言われても、事業者は動きようがない。「辞典みたいでHowがわからない」という苦情は、まさにこの構造から生じている。
問題の構造はこうである。
現行のガイドラインは技術軸で分類している。従来AI、生成AI、AIエージェント、フィジカルAI……と、技術の進展に応じてカテゴリが増えていく。
だが、規律の目的は技術軸と一致しない。本来あるべき整理は目的軸である。
処遇AIでは、決定の適切性が問題になる。関連性のないデータで人を分けていないか。不当な差別が生じていないか。決定に対して異議申立ての途が開かれているか。
生成AIでは、出力段階の問題が中心になる。ディープフェイク対策、偽情報対策、著作権との関係。
製品AIでは、製品安全が問題になる。事故が起きたときの原因究明と再発防止。
技術軸でキーワードを増やしても、規律の目的は整理できない。むしろ、新しい技術カテゴリ（「AIエージェント」など）が登場するたびに、異なる目的の規律が同一の箱に混入し、混乱が増殖する。
知財検討会の問題は、AI事業者ガイドライン自体の問題でもある。
ガイドラインが「キーワード辞典」になっているから、下流の検討会で参照されるときに、目的の異なる語彙が文脈を無視して流入する。事業者が「何をすればいいかわからない」と困惑するのも当然である。
解決策は、技術軸ではなく目的軸で規律を整理し直すことである。処遇AI、生成AI、製品AIの区別を明確にし、それぞれに固有の規律を設計する。そうすれば、「何のために何をすべきか」が見えるようになり、キーワードの一人歩きも止まる。
政府は「世界で最もAIを開発・活用しやすい国」を標榜している。だが、規律の目的を整理しないままキーワードを増やし続ければ、「何をすればいいかわからない」ガイドラインが肥大化するだけである。それは開発・活用のしやすさとは正反対の帰結をもたらす。
さて、どのようなプロンプトでこれらを書かせたかであるが、もういちいち掲載するのも面倒だが、開示しておこう。
まず、ChatGPT 5.2 Thinkingに、Twitterで噴出している不満を把握させ、私の基本的立場を示し、政府資料を把握させ、批判の方向性を指示し、引用すべき箇所を把握させ、それらの材料を使ってブログの骨組みを提案させ、論調のトーンを指定して、本文を書かせてみた。しかし、ChatGPTの日本語作文は下手なので、これらの会話をClaude Opus 4.5に与えて、状況を把握させ、ChatGPTと並行して重要な箇所をいくつか指摘して方向性を定め、表題と本文を生成させた。そこから細かいところの修正を指示し、取り上げるTwitterでの反応を増やすために、Grok に調べさせて、その結果をClaudeの原稿に反映させた。
（略）
補足：X本体のページは、こちらの環境だと本文・スレッド全体を展開取得できず（検索結果に出てくる“本文断片”中心になります）、上は 検索で確認できたテキスト断片ベースの整理です。もしスレッド中で「具体的にどの文書／どの条文（ガイドライン等）」を指しているかが分かる追加ポストがあれば、そこまで含めて不満の類型をもう少し精密に分解できます。
（略）
（略）
（略）
この2点を、同じ素材（政府資料・議事録＋今回の不満）で両側から刺せます。
（略）
（略）
必要なら、次のステップとして 「AI時代の知的財産権検討会」の“該当回”をもう2〜3回分追加して、（a）どこから“開示・透明性”が肥大化したか／（b）誰がEU整合を強く意識しているか を、議事要旨ベースで時系列の“引用束”に拡張できます。
（略）
（略）
（略）
（略）
（略）
日本のAI規制議論が混乱しているのは、「処遇AI」と「生成AI」という、規律目的が根本的に異なる二つの領域を区別せずに、EUから聞き齧ったキーワード（「透明性」「追跡可能性」「責任」等）をベタ貼りしているからだ。
論調のトーン：「EU整合」という呪文で思考停止し、ルールの目的も働き方も理解しないまま「ワンセンテンス政策」で走っている政府への批判。強め。
この理解で正しければ、本文の執筆に入ります。ChatGPTの骨組みは概ね妥当ですが、日本語の文章としてはまだ硬く、論旨の流れにも改善の余地があります。私の方で書き直します。
（略）
必要なら次は、この材料を使ってブログ本文の中核となる “カテゴリ誤り（treatment AI rules ≠ generative AI rules）” の段落を、英語・論文調で「引用（最小限）＋論証（厚め）」の形に組み直します。どの読者層（国内政策ウォッチャー向け／海外向け／研究者向け）に寄せますか。
（略）
後者であれば、知財紛争での立証用（「我々はこういう判断でこのデータを使った」）として一応筋は通ります。
EUの元の条文を確認しましょう。
（略）
（略）
12月6日のブログを確認しました。これで全体の流れが明確になりました。
「知財検討会にまで及ぶAI規制の混迷──処遇AIと生成AIを混ぜると、全部壊れる」
（略）
この構成でよろしいでしょうか？ よければ本文の執筆に入ります。
（略）
以上が本文案です。タイトルは後で決めるとのことでしたが、仮に「知財検討会にまで及ぶAI規制の混迷──処遇AIと生成AIを混ぜると、全部壊れる」としています。ご確認ください。
（略）
以上が修正版です。主な変更点：
（略）
（略）
ただ、これらは「規制が厳しすぎて日本が負ける」という方向の嘆きなので、私の論点（強弱ではなくカテゴリ誤り）とはやや角度が違います。入れすぎると「規制緩和派のブログ」と誤解されるかもしれません。
現状の引用のままでよいでしょうか？ それとも何か追加・調整しますか？
（略）
（略）
そのうえで、直したほうが強くなる（＝弱めるのでなく、刺さりが増す）ポイントだけ、絞って提案します。
あなた（＋Claude）の疑義、「それは“AIの意思決定”なのか、“事業者の意思決定（開発・提供・利用を決めた経緯）”なのか？」は、この文章の急所です。
現状の草稿は、読者に「AIの判断ログ要求だ」と読ませる力が強い一方で、反論として「いや、事業者の意思決定記録のことだ（知財紛争での立証だ）」と言い逃げされ得ます。ここは先回りして、
…という形にすると、反論耐性が一気に上がります。
（略）
（略）
これらは私の主題（カテゴリ誤り）とは別の論点ですが、X上の批判として正当なものなので、「さらに」で区切って並記しています。
これで完成。
続けて、続編もお願いしようとしたところ、Claudeの長さ制限（圧縮機能が自動で働いたがそれでも圧縮しきれず）に到達。新しい会話で以下の通り続けた。
（略）
（略）
（略）
（略）
（略）
この構成で執筆に入ってよろしいでしょうか？
（略）
（略）
これでいかがでしょうか？
これで完成。2つ目は晩御飯食べながらであっという間だった。
In a previous post on the leaked “Digital Omnibus” draft, I played with the idea hidden in noyb’s name: None of Your Business – in other words, irrelevant. My point was that the GDPR already contains, in plain sight, a principle that should be at the core of the debate but is almost never mentioned: Article 5(1)(c)’s demand that data be adequate, relevant and limited to what is necessary in relation to a purpose. The real question is not how much “personal data” the law can cover in the abstract, but which data are any controller entitled to take into account for a given decision.
Since then, the Digital Omnibus proposal has been published, and noyb has issued a long report criticising it. The public debate has largely been framed as a familiar clash: on one side, a Commission accused of “watering down” the GDPR by narrowing the definition of personal data and creating new exceptions for AI and research; on the other, civil-society actors defending a maximal scope for “personal data” and a strong version of data minimisation.
In this post I want to argue that this is the wrong axis of conflict. Both sides are fighting over how broad the law’s coverage should be, while largely ignoring what the law was actually designed to control. The Omnibus debate is being treated as a war over definitions, when it should be treated as an opportunity to recover the original focus of data protection: the fairness of decisions about individuals, and the prevention of their being made on the basis of irrelevant data.
To make that case, I will first say something about the “maximal scope” paradigm that dominates current criticism of the Omnibus. I will then turn to the research and AI provisions, explain why both the Commission and noyb mis-locate the risks, and finally suggest a different way of looking at scope – one that re-reads “processing of personal data” in line with its directive-era function.
A central target of current criticism of the Digital Omnibus proposal is the suggested rewording of Article 4(1) GDPR, the definition of “personal data”. In noyb’s reading, the new text would introduce a strongly controller-relative element into identifiability: whether information is “personal data” would depend on the specific controller’s perspective, resources or reasonable efforts. Pseudonymised data held by actors who lack re-identification keys might therefore fall outside the definition for them, even if another actor could identify the same records.
For noyb, this is not just an unfortunate drafting choice but a constitutional problem. The reasoning, roughly, is as follows:
On this view, the definition of “personal data” in Directive 95/46/E.C., as interpreted in landmark CJEU judgments, has been effectively “constitutionalised” by Article 8 of the Charter. And what is “constitutionalised” is understood as the breadth of the definition: the more generously we interpret “any information relating to an identified or identifiable natural person”, the more robust the protection of Article 8 must be.
From this vantage point, the only safe strategy is to insist that almost any information that can, in some chain of events, be linked to an individual must be treated as “personal data”, and that almost any operation involving that information must be treated as “processing”. The Omnibus proposal is thereby cast as an attempt to introduce controller-relative “subjectivity” into what ought to remain an objective, all-encompassing definition – a move that would undermine legal certainty, fragment enforcement and invite a race to the bottom.
I will call this way of thinking the maximal scope paradigm: the belief that the primary way to protect fundamental rights is to push the conceptual reach of “personal data” and “processing” as far as possible and then defend that maximal line against any retreat. Different actors occupy this paradigm in different ways – NGOs like noyb, some authorities and parts of the academic debate – but what they share is the assumption that “more situations legally qualifying as processing of personal data” almost automatically means “more effective protection.”
Historically, however, the normative focus of European data protection instruments has never been “data as such”. It has been the use of data in systems of decision-making: credit scoring, employment screening, social security adjudication, policing, risk assessment, and so on. The early data protection laws, as well as their international precursors, were motivated by concerns that automated or computer-supported decisions about individuals could be made in opaque ways, based on incomplete, irrelevant or biased information, compiled in powerful, centralised files.
This orientation is visible in two features that are often overlooked in current debates.
First, the concept of processing was originally tied to what one might call an informational pipeline: a systematic sequence of operations through which data are collected, stored, combined, analysed and used to support decisions or actions. It was this pipeline – and the risks it created for individuals subjected to it – that justified a set of procedural and substantive constraints. The inclusion of “collection”, “use”, “disclosure” and “erasure” in the definition was meant to capture the different stages of that pipeline, not to transform any isolated mention of a person’s name into “processing” in the full legal sense.
Secondly, the much-cited triad of “adequate, relevant and not excessive” was framed as a data quality principle for decision-making. Its function was to ensure that decisions affecting individuals are based on information that has a rational link to the purpose of the decision, that is sufficiently complete and accurate for that purpose, and that does not include extraneous or prejudicial details. The idea was not to minimise data in the abstract, but to constrain the informational basis of decisions so that they are fair, non-arbitrary and non-discriminatory.
If one keeps this decision-oriented perspective in view, the relation between scope and protection looks different. What matters is not primarily how many pieces of information fall under the label “personal data”, but which informational pipelines and which decision contexts are brought within the reach of data protection law. A conception of “processing” that indiscriminately covers everything from one-off journalistic mentions to complex, automated profiling systems may be rhetorically expansive, but it risks obscuring precisely those structural features – centralisation, automation, iterative use – that generated the need for a specific legal regime in the first place.
From this angle, the maximal scope paradigm is problematic in two ways.
It is over-broad, in that it extends the full conceptual and doctrinal apparatus of “processing of personal data” to contexts where the characteristic risks of data protection law are only marginally present. Treating every isolated reference to an individual, every casual photograph, or every transient log entry as “processing” subject to the GDPR may be logically possible under a literal reading of “any information relating to…”, but it stretches the concept far beyond the original risk profile it was designed to address. In doing so, it invites either pervasive non-compliance in everyday life or the proliferation of exceptions and derogations, which in turn make the law more complex and less intelligible.
At the same time, it is under-protective where protection is most urgently needed. By focusing energy on defending the outer conceptual perimeter of “personal data”, it diverts attention from the internal structure of those processing operations that truly matter: large-scale profiling, scoring and decision-support systems. Here, the crucial questions are not whether some fragment of information can be said to “relate” to an individual in the abstract, but whether the overall pipeline of processing is structured in such a way that decisions about individuals are based on adequate and relevant data, subject to meaningful contestation, and constrained by clear prohibitions on certain kinds of inferences.
Put differently, insistence on an ever-expanding notion of “personal data” risks functioning as a substitute for the harder work of identifying, and regulating, those decision contexts that require heightened protection. It can make it politically easier to denounce any perceived narrowing of scope – such as controller-relative identifiability in Article 4(1) – without having to say very much about which kinds of processing the fundamental right to data protection actually targets, and why.
To get out of this dead end, we need to recall that data protection law has always worked on two layers at once:
The rest of this post will unpack this two-layer structure and show how it helps to reframe the Omnibus debates about scientific research, AI and personal data definitions.
A second focal point of the Omnibus debate is the proposed new definition of “scientific research” in Article 4(38) and the accompanying changes to purpose limitation and information duties, notably Article 13(5). The Commission’s draft defines scientific research, in essence, as “any research” that “can also support innovation”, supplemented by a long list of criteria referring to growth of society’s “knowledge and wellbeing”, adherence to “ethical standards in the relevant research area”, and similar elements.
noyb’s report offers a sharp and, in many respects, justified critique of this approach. It points out that:
On this basis, noyb argues that the proposed definition, combined with an expanded framework for research exemptions, amounts to a “blanket allowance of further processing for a broadly and ill-defined ‘research purpose’”, which would likely fail the Charter’s requirements of necessity and proportionality. The Commission appears, in this reading, to be sacrificing the Article 7 and 8 rights on the altar of an amorphous “innovation” agenda.
At first glance, this critique appears squarely aligned with a rights-protective stance. Yet its internal logic again rests on two familiar premises: first, that the core of data protection is data minimisation as a direct emanation of Articles 7 and 8 and Article 52(1), and second, that the main threat posed by an overbroad research definition is the erosion of this minimisation and of purpose limitation as such. The questions of which types of research, and which decision contexts, ought to fall under stricter scrutiny remain largely implicit.
A decision-oriented perspective – one that takes seriously the role of adequacy and relevance in decision-making – suggests a different way to cut the problem.
On the one hand, there are forms of research that do not themselves feed into concrete decisions about identifiable individuals. Classic statistical and scientific uses of data, where the outputs are aggregate patterns, coefficients or models describing populations, may raise important issues of ethics, distributive justice and epistemic bias. But in terms of data protection, their risk profile is largely mediated by what happens after research: whether and how the resulting insights are embedded into operational decision systems.
On the other hand, there are forms of research that are structurally wired into treatment decisions: credit risk models developed on customer databases, hiring algorithms trained on past applicants, insurance pricing models, fraud detection tools. Here, the line between “research” and “operation” is thin. The same structured datasets used to develop the models are used, or readily usable, to support consequential decisions about individuals.
In this second family, what matters for data protection is not that “research” in the abstract uses more data than strictly necessary, but that the resulting decision systems may operate on data that are not relevant to the decision purpose. The core risk is arbitrary or discriminatory treatment: music taste influencing credit limits, social media activity affecting hiring, neighbourhood proxies standing in for ethnicity in insurance pricing. These are precisely the kinds of problems the adequacy and relevance requirement was originally meant to prevent.
From this angle, the Omnibus proposal’s changes to Article 4(38) and 13(5) are problematic, but not primarily because they offend an abstract ideal of data minimisation. They are problematic because they:
noyb’s critique rightly attacks the vagueness of the definition and the risk of “innovation” being used as a carte blanche for further processing. But by casting the issue mainly in terms of Charter-compliant data minimisation, it misses the opportunity to ask the decisive question: which research-generated datasets are likely to flow into decision contexts, and how should their re-use be constrained to prevent irrelevant or discriminatory decision-making? This is the perspective I developed in my earlier post on the Omnibus debate, where I argued that both the Commission and noyb tend to overlook the GDPR’s explicit relevance requirement in Article 5(1)(c).
The same pattern recurs, in sharper form, in the Omnibus proposal for Article 9(2)(k) and (5), dealing with AI and special categories of data. The draft introduces a new derogation for “processing in the context of the development and operation of an AI system … or an AI model”, accompanied by a paragraph 5 that requires controllers to implement “appropriate organisational and technical measures” to avoid the processing of special categories in training, testing and validation, and to remove such data where identified, or at least to prevent them from influencing outputs or being disclosed if removal would require disproportionate effort. The proposed recital 33 expressly frames this as a derogation from the Article 9(1) prohibition “in order not to disproportionately hinder the development and operation of AI”.
noyb criticises this structure on familiar grounds. It argues that AI is precisely the kind of opaque, large-scale processing that the data protection principles were originally designed to constrain; carving out a new derogation for AI development and operation is therefore backward-looking and threatens to hollow out the very safeguards that were written with such systems in mind. It also points out the loose drafting (“in the context of”, “appropriate measures”, “disproportionate effort”) and the risk that the derogation becomes a general permission for AI developers to retain special categories so long as they can claim to have implemented some minimisation efforts.
Again, this line of attack is understandable, but it presupposes that “AI development” is a unitary activity and that the relevant Charter risk can be captured by the volume and sensitivity of data processed. The actual situation is more complex.
As I argued in that earlier blog post, the label “AI development” currently covers two fundamentally different activities:
Treatment AI, such as credit scoring, hiring and insurance models, trains on genuine systematic datasets: customer or candidate databases that are prototypical “personal data” in the sense of data protection law. Here, database-oriented requirements make structural sense: minimise unnecessary special categories in training sets, remove them where inappropriately included, protect the sensitive training data against disclosure or misuse.
Generative AI training on public web text, by contrast, operates on scattered fragments of already public information to extract statistical patterns. It does not create systematic individual records; the resulting models do not, in normal operation, contain addressable records of specific persons’ sensitive characteristics. The main risks lie not in disclosure of special categories about identified individuals, but in the amplification of biases and stereotypes in generated content.
For the second family, Article 9(5)’s requirements are simply mis-specified. Instructing controllers to “remove” special categories from a corpus of heterogeneous web pages assumes a database-like structure that does not exist: what exactly is to be removed – sentences, paragraphs, entire documents? The “where possible” qualifier acknowledges the impracticality without providing a coherent standard. The language about preventing “disclosure” of special categories presupposes a context in which disclosure means revealing specific individuals’ sensitive data from a controlled database, not producing new text in which health or religion are mentioned in the abstract.
By lumping these structurally different activities together under a single derogation, the Omnibus proposal repeats the conceptual conflation already visible in the personal data definition. At the same time, and more importantly from a decision-oriented viewpoint, it misplaces regulatory attention:
Generative AI training on scattered public text, which normatively should not be treated as personal data processing at all because it never constructs systematic datasets suitable for decisions about individuals, becomes the direct target of impractical, database-oriented requirements.
Treatment AI operation, where structured datasets are used to make consequential decisions about individuals, receives relatively little targeted attention. Article 88c recognises AI operation as a legitimate interest, but provides no mechanism to enforce the relevance requirement of Article 5(1)(c) in this context. Irrelevant characteristics such as music preferences, social media activity or religious affiliation may thus be factored into decisions under the banner of “legitimate interest”, subject only to an individual right to object.
In short, both the Omnibus proposal and much of its criticism, including noyb’s, focus on how much and what kind of data AI systems may process, while leaving largely untouched the question whether the data used in AI-supported decisions are relevant to the decision purpose and how to prevent cross-context re-use of data in ways that generate arbitrary or discriminatory outcomes. That is precisely the gap that a relevance-based reading of Article 5(1)(c) is meant to fill.
At this point the obvious question is: if both the Commission and noyb are framing the problem in the wrong way, what would a better treatment of research and AI actually look like? It seems clear that one political driver of both the new research definition and the AI derogation in Article 9(2)(k) – and of the attempt to redefine personal data – is the fear that, under the current reading of “processing of personal data”, even web-scale AI training and other large-scale analytics are automatically sucked into the full GDPR regime.
My answer is essentially the same as in my earlier post on the leaked Omnibus draft, but extended to the new definition and AI proposals.
Keep the existing statistical/research framework for the learning phase.
Europe already has a coherent way to deal with large-scale analysis that does not itself feed into decisions about individuals: the combination of
the “compatibility” rule for statistical and scientific purposes in Article 5(1)(b) GDPR; and
the older Council of Europe framework on statistical processing, which allows restrictions of individual rights as long as no decisions or measures concerning individuals are taken on the basis of the statistical results.
AI training belongs here. Training a model on large datasets is, in substance, statistical processing. In this phase there is, by definition, no concrete decision purpose yet, so it makes little sense to apply a relevance test at the level of the model or its inputs. The adequacy and relevance requirement is a constraint on the informational basis of decisions, not on the structure of models in the abstract. The core protected interest is not offended simply because a learning algorithm has “seen” certain variables; it is offended when those variables are actually used as part of a decision pipeline about individuals.
This distinction is crucial. A model may internally contain parameters influenced by many features, including features that would be irrelevant if used explicitly at decision time. What matters for data protection is which data are in fact taken into account when deciding about a person – which variables are read, combined and acted upon in the operational system. The legal architecture should therefore be very simple:
learning / training = statistical or research processing, covered by existing rules for such purposes, on the strict condition that the outputs are not used directly to decide about individuals;
operation = decision-making, subject to full data-quality scrutiny, including a serious enforcement of “adequate, relevant and not excessive” under Article 5(1)(c) with respect to the inputs actually used in the decision.
No special AI derogation is needed – and a broad one would be harmful.
If we treat AI training as statistical processing and AI operation as ordinary (but highly consequential) decision-making, there is no need for a new, AI-specific derogation in Article 9(2)(k) or elsewhere. On the contrary, a blanket derogation “for AI development and operation” risks doing exactly what I criticised in my previous post: it invites controllers to invoke “AI” as a magic keyword to justify both phases at once, while never asking the simple question at the operational phase: are the data we actually use in these AI-supported decisions relevant to the decision purpose?
Special categories do not need an AI-only regime either.
For the learning phase, the right question is not “how can we purge every trace of special categories from web-scale training corpora?”, but “how do we make sure that training corpora used for statistical purposes are not casually re-purposed into decision systems where special categories – direct or inferred – would be irrelevant to the decision purpose?”.
For the operation phase, if relevance is properly enforced, the distinction between directly revealed and inferred sensitive data becomes less important: both are ruled out wherever they are “none of your business” in light of the decision purpose. The problem, as I argued in the earlier post, is that we are currently trying to slim down Article 9 without first building the enforcement muscle around relevance at the decision layer.
In other words, instead of inventing AI-specific exceptions and research-specific shortcuts, we should put AI training back where it belongs – under the existing statistical/research framework – and concentrate regulatory energy on AI operation, where the relevance requirement finally has to be taken seriously at the point where decisions are made.
The discussion so far already suggests that data protection operates on two interlocking layers:
We can now make this structure more explicit and ask how the Omnibus proposals affect each layer.
From a functional perspective, EU data protection law operates on two distinct but interdependent layers.
First, there is direct governance of decisions. Whenever personal data are actually used to make or support decisions about individuals, data protection law requires that the informational basis of those decisions meets the traditional data-quality standard: the data must be adequate and relevant to the purpose of the decision and not excessive. In modern language, there must be a rational link between the data items used and the legitimate decision purpose. This is where the classic “adequate, relevant and not excessive” formula belongs: it is a constraint on how decisions are made, not an abstract call to minimise data.
Second, there is preventive governance of data flows. Purpose limitation, restrictions on further use and onward disclosure, and the construction of “data silos” are not mysterious relics of a bygone era of database regulation. They are ex ante tools designed to prevent future violations of adequacy and relevance. The empirical intuition is simple:
Once data start to flow into new contexts, the probability that they will be re-used in decisions for which they are not relevant rises sharply.
If a dataset collected for one clearly defined purpose can be repurposed, combined and traded without structural constraints, it is only a matter of time before some actor uses it as input for decisions to which the data have no rational connection – credit scoring based on music taste, insurance pricing based on social media activity, hiring decisions based on political affiliation, and so on.
Seen in this light, purpose limitation is not a decorative recital about fairness. It is the central legal mechanism through which the law tries to shape the future graph of data flows: to determine which data can realistically end up feeding which decision systems. The decision layer governs the content of decisions (adequacy and relevance); the flow layer governs the routes through which data can travel into decision contexts in the first place.
Any attempt to redraw the boundary of “personal data” therefore has two effects:
The risk of the Omnibus proposal on personal data definitions is best understood at this second level.
The Omnibus proposal does not invent the idea that personal-data status may depend on the means of a particular controller; it codifies the Court’s relative approach, especially as expressed in more recent case law. The core idea is that information counts as personal data for a controller only if that controller has means that are “reasonably likely to be used” to identify the individuals concerned. Pseudonymised datasets held by actors who lack re-identification keys might therefore fall outside the definition for them, even if another actor could identify the same records.
On its face, this move is presented as a technical solution to a real problem: without some relativisation of identifiability, any data that someone could link to a person risks being treated as personal data for everyone. But once we look at the two-layer structure, a different picture emerges.
Consider a stylised scenario. A company collects information on music preferences – whether customers prefer jazz, rock or classical – linked to stable internal identifiers. At the time of collection, it pseudonymises the data and declares that they are used purely for market research. Under a relative definition, the company might argue:
If accepted, this position has a crucial consequence: purpose limitation never attaches to the dataset. The data have been collected and processed in structured form, but as long as they are treated as “non-personal” for that controller, the entire flow-governance layer of data protection simply does not apply.
Fast-forward several years. The company changes strategy and enters the credit-scoring market. It discovers that music preference correlates, in its dataset, with repayment history. It now has strong incentives to:
At that moment, the company will insist that it now has identification means and that the data now constitute personal data. But purpose limitation will be invoked too late. Because the data were originally classified as “non-personal”, there was no legal obligation to tie their collection and retention to a specific, limited set of purposes, or to treat later re-use for credit scoring as a purpose change requiring a fresh legal basis and renewed guarantees for the individuals concerned.
This is not an exotic edge case. It describes a systematic pattern of “purpose drift through claimed non-identification”:
The same logic applies not only to isolated companies, but to entire chains of actors. If upstream entities can treat rich, individual-level structured datasets as “non-personal” on the basis that they lack re-identification keys, those datasets can circulate freely until they reach actors who do have the means and incentives to link them to identified persons and embed them in decision systems. Purpose limitation was meant to constrain exactly such cross-context flows; a relative definition makes it easy to step outside its reach during the most critical stages of dissemination.
The Omnibus proposal’s empowerment of the Commission to designate certain categories of pseudonymised datasets as “non-personal” through implementing acts would exacerbate this risk. Once such a designation is made, entire classes of structured data can travel as if they were mere technical exhaust, while remaining perfectly suited for later reintegration into decision pipelines. What disappears is not only some marginal transparency duty; it is the ex ante requirement to ask, at each step of the flow, “what purposes justify moving these data into this next context?”
From a decision-and-flow-oriented perspective, then, the danger of the Omnibus redefinition is not primarily that it makes the GDPR less “broad” in an abstract sense. It is that it removes structured, decision-capable datasets from the preventive flow-governance layer at precisely the stages where that layer does its most important work.
At the same time, it is worth recalling that the GDPR already contains a gate in the form of its material scope clause. Article 2 confines the Regulation to the “processing of personal data”. The popular complaint that “the GDPR applies to everything” does not stem from the absence of such a gate, but from the way in which “processing” has gradually been flattened into “any handling of any information about a person” – including, in the political imagination, web crawling for AI training or other large-scale analytics. The Omnibus proposals take this perception of overbreadth at face value and try to cure it at the level of the definition of personal data itself. The maximal scope paradigm reacts from the opposite direction and defends the broadest possible reading of “personal data” and “processing”. What both moves have in common is that they leave the structural notion of processing untouched – and with it, the original idea that the material scope of the GDPR was meant to capture systematic, file-like processing pipelines, not every scattered mention of an individual.
Against that background, if we take seriously both layers of protection, an alternative way of framing the scope question suggests itself. Rather than asking how far we can conceptually stretch the notions of “personal data” and “processing”, we should ask in which situations EU data protection law must, at a minimum, apply with full force across both layers.
A decision-and-flow-oriented test could be formulated, in preview, along these lines:
Systematic pipeline
There must be a systematic informational pipeline in the original sense of “processing”: a structured sequence of operations on data organised according to stable categories or formats, not merely isolated mentions or ad hoc exchanges. This is the threshold that distinguishes “data” from scattered “information” and captures what early data protection instruments were designed to regulate.
Decision context
The outputs of this pipeline are, or are reasonably likely to be, used in decision contexts that affect individuals’ legal or social position: credit, employment, insurance, social benefits, access to services, law enforcement, and comparable domains. Here the decision layer kicks in: Article 5(1)(c) must be interpreted and enforced as a genuine relevance requirement, demanding a rational link between each category of processed data and the stated decision purpose.
Cross-context flow risk
The data in the pipeline can realistically flow into other decision contexts in which they would not be relevant, unless purpose limitation and onward-transfer rules apply. Where such cross-context drift is structurally plausible – as in large-scale analytics, AI development and platform ecosystems – the flow layer should apply from the moment the data are collected in structured form, regardless of whether the controller currently claims to have identification means.
On this view, the problem with the Omnibus redefinition of personal data is not that it abandons an abstract ideal of maximal scope. The problem is that it allows controllers to step outside this three-part test at will by declaring, at collection time, that they lack identification means – even when they are building exactly the kind of structured datasets that can later be fed into consequential decision systems. Once those datasets are born outside the legal category of “personal data”, the law’s ex ante capacity to shape their future flows is crippled.
The same test also helps to separate, conceptually, different families of AI-related processing. Generative-AI training on scattered public text corpora may fail the first and third prongs: it does not create systematic, individual-addressable datasets, and its outputs are not naturally wired into decision contexts. By contrast, treatment AI – credit scoring, hiring algorithms, insurance pricing models – falls squarely within all three: it operates on structured records, directly supports decisions about individuals, and its datasets have obvious cross-context re-use potential.
This interpretive proposal is not a call to rewrite the text of Article 4(1) GDPR. It is a call to re-read the existing concepts of “processing of personal data” and “personal data” in light of their directive-era function.
Historically, the structural understanding of “processing” was not an accidental by-product of outdated “file” concepts. The Commission’s 1990 proposal still spoke the language of files, but when the Parliament insisted on replacing “file” by “processing of personal data”, this was not meant to abandon the structural requirement altogether. It was meant to capture file-like processing pipelines, including on-the-fly decision systems that reproduce the same risks without a literal, centralised file. The shift from “file” to “processing of personal data” thus extended the concept along a functional line, rather than dissolving it into “any handling of any information”.
Some judgments – particularly in borderline cases – can be read as stretching the concept for specific factual constellations without turning “processing” into “any handling of any information” as a general rule. Where genuine tensions remain, they suggest that the Omnibus is premature in constitutionalising a maximalist scope at precisely the moment when the underlying concept still requires careful doctrinal clarification.
If you only read the open letters and press releases around the Digital Omnibus, it looks like a familiar drama. On one side, the Commission, accused of “watering down the GDPR” by narrowing the definition of personal data and creating new derogations for AI and research. On the other side, noyb and others, defending a maximal scope for personal data and a strong version of data minimisation.
My argument in this post, building on my earlier analysis, is that this is the wrong axis of conflict. Both sides are fighting over how broad the law’s coverage should be, while largely ignoring what the law was actually designed to control. From the 1970s onward, European data protection law was not about “data” in the abstract. It was about systems of decision-making: the pipelines through which structured data are collected, organised and used to allocate jobs, credit, insurance, social benefits and other advantages and burdens.
Seen from that angle, the core of the GDPR is not an abstract horror of “too much data”, but a pair of linked questions: which data may legitimately be taken into account in decisions about individuals, and how should we prevent data from flowing into decision contexts where they have no rational link to the purpose? That is what the data-quality principle and purpose limitation were originally built to address.
At this point, two natural questions may arise.
The first is that this may still sound like data minimisation by another name. After all, Article 5(1)(c) GDPR now literally speaks of data being “adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed”, and Directive 95/46/EC already spoke of “adequate, relevant and not excessive”. Hasn’t the law always been about minimising data?
My answer is that, historically, this triad was framed as a data-quality principle for decisions, not as a free-floating command to collect “as little data as possible”. “Not excessive” – and its later rephrasing as “limited to what is necessary” – was embedded in a standard that also demanded adequacy and relevance for a given decision purpose. Supervisory guidance often glosses “adequate” as “sufficient to properly fulfil your stated purpose”. But “sufficient” sometimes means more data, not less: more complete income information to avoid arbitrary denials of credit, more context to avoid misinterpreting a single data point, more nuance to prevent crude profiling. A pure minimisation reading, which treats “less data” as always better from a fundamental-rights perspective, erases this ambivalence and collapses adequacy and relevance into a one-dimensional “volume” metric. In that light, rebadging Article 5(1)(c) as the data minimisation principle is itself part of the problem: it obscures the original focus on relevance and sufficiency for decisions, and makes it easier to overlook situations where better protection in fact requires better – not thinner – data.
A second, closely related question is whether all this ultimately collapses into a call to strengthen Article 22 GDPR on automated decision-making. The recent battles around Article 22 are, in a way, a symptom of the same misframing. Because we forget that the data-quality principle already governs the informational basis of all decisions that take personal data into account, there is a tendency to load every concern about profiling and AI onto the narrow category of “solely automated” decisions in Article 22. One camp therefore demands an ever broader Article 22, hoping it will cure problems that actually belong in the general regime of Article 5(1)(c). Another camp concludes that Article 22 is an overreach that stigmatises even proper profiling that respects adequacy and relevance, and pushes to hollow it out or abolish it – a mood that is not entirely absent from the Omnibus debates.
What both sides risk forgetting is that Article 22 is a lex specialis for a very small subset of cases. The basic standard I have tried to reconstruct here is more general and more basic: it applies whenever personal data are used in decision-making at all, regardless of the mix of automation and human involvement. That standard lives primarily in Article 5(1)(c) and the surrounding data-quality and purpose-limitation provisions, not in Article 22. Strengthening Article 22 cannot substitute for taking the relevance requirement seriously across the board. Weakening Article 22 does not make decision systems benign if we continue to ignore adequacy and relevance at the decision layer and to relax flow governance so that irrelevant data can silently seep into consequential decisions.
Against that background, the real promise and danger of the Digital Omnibus become clearer. The promise is that the current controversy could have forced us to reopen the basic questions: what counts as “processing of personal data” in the structural sense? where do the characteristic risks of data protection actually arise? how should we distinguish statistical or learning phases from operational decision-making? The danger is that we instead constitutionalise a maximalist reading of scope at the very moment when the underlying concept of processing still needs careful doctrinal work – and, at the same time, quietly open back doors for exactly those structured datasets that most urgently require tight flow governance.
The alternative sketched in this post is modest in textual ambition but radical in effect. It does not call for rewriting Article 4(1); it calls for re-reading “processing of personal data” and Article 5(1)(c) in line with their directive-era function. It suggests that AI training should be treated as statistical processing under existing rules, and that the real regulatory energy should be directed at AI operation and other decision systems, where the adequacy and relevance requirement finally has to bite. And it suggests that both the Commission and its critics would do better to shift their attention from how far the legal concept of personal data can be stretched, to how the law governs the pipelines by which data flow into decisions. That, after all, was what data protection was for.
本来であれば、学術論文の形で発表すべき（根拠となる文献をふんだんに引用して*1）ところであり、実際その執筆作業は一部進めているのだが、何ヶ月もかけて悠長にしていられる状況ではない。EUの政治は今まさに動いており、このままでは混迷を深めるばかりで、もはや今のEDPB・EDPSでは頼りになるとは期待しがたい*2。仮名化データを個人データとみなすかどうかは、GDPRの立法過程でも争点となったところだし、そもそも欧州評議会1997年勧告の段階で既に認識されていた課題である。CETS 108以来の「データ品質」原則が、GDPRの立法過程でドイツ的な誤訳を経た「データ最小化」原則へと捻じ曲げられ、それを当時の欧州理事会が辛うじて押し返していたことも、今となっては欧州でどれだけ共有されているのか心許ない。前回の投稿について思い切ってドイツのレジェンド教授にメールでお伝えしたところ、なんと、すぐに読んで頂けたようでお返事があり、称賛のお言葉とともに、わしはもう歳じゃから君がやりなさいとの励ましを頂いた。
そんなわけで、取り急ぎ大規模言語モデルの力を借りて、あちらの人たちに刺さる表現になるよう工夫して生成したのが上に掲載した英語ブログである。これは以下の手順で生成した。まず、前回の続きでClaudeに書かせていたのだが、イマイチあちらに刺さる感じに仕上がらなかったのでボツとし、ChatGPT（5.1）に一から書かせた。ChatGPTの調査力はかなり（特に8月のGPT-5以降）良く、ここ半年はChatGPTをメインに調査していたので、そのメモリー機能によってChatGPTは、私がどういう調査をしてどのような立場なのかを概ね把握しているようであり、何も言わなくても大筋の判断はできてしまうようだった。それでも材料が足りなかったので、ボツにしたClaude原稿（それは私の既発表論文群をソースにして生成されている）を読ませて観点を補充し、最終的にこちらから足りない要素を指摘して補完させ、完成に至った。
そのプロンプトを以下に開示しておく。完成版の日本語訳（Claudeによる翻訳）は最後に置いたので、結論から読みたい人は最後のターンまでスキップするとよい。
（略）
もし必要なら、あなたの立場（processing 概念やスコープ論）から見て「ここは使える／ここはずれている」という仕分けも、条文ごとにやっていきましょう。
記号はこんな感じで付けています：
（略）
ざっくり言うと、この Digital Omnibus レポートは「GDPR＝Charter 7/8条の最大限のスコープを死守する」という立場に振り切れていて、あなたの「決定指向＋スコープを整理する」路線から見ると、ツッコミどころの宝庫です。
以下、「こういう点で noyb がダメ、本当はこう考えるべきだ」という形で、論点ごとに“使い方”を書きます。
（略）
とりあえず「どういうストーリーで書けば欧州方面に刺さるか」を、かなり具体的に組み立ててみます。
（略）
（略）
別途Claudeに書かせた原稿案がある … 参考になる要素を拾ってみる？
ぜひやりたいです。
今こちらで組んだ 4章の骨格があるので、（略）
（略）
あとは、セクション4だけど、さっきの内容だと、まだ尻切れ感がある。結論セクションを追加するのかな？
（略）
（略）
（略）
（略）
（略）
（略）
（略）
（略）
いまやった主な調整はこんな感じです：
（略）
いま入れた修正はこんな方針です：
（略）
（略）
（略）
（略）
（略）
（略）
（略）
これで完成。これをClaudeで日本語訳させたのが以下である。
（略）
その後、デジタル・オムニバス提案が公表され、noybはこれを批判する長大なレポートを公開した。公の議論は、おなじみの対立構図として描かれている。一方には、個人データの定義を狭め、AIや研究のための新たな例外を設けることでGDPRを「骨抜きにしている」と非難される欧州委員会。他方には、「個人データ」の最大限のスコープと、データ最小化の強いバージョンを擁護する市民社会のアクターたち。
本稿で私が主張したいのは、これが間違った対立軸だということである。両陣営とも、法の射程をどこまで広げるべきかをめぐって争っているが、法が本来何をコントロールするために設計されたのかという点はほとんど無視されている。オムニバスをめぐる議論は、定義をめぐる戦争として扱われているが、本来はデータ保護の原点──個人に関する決定の公正さ、そして無関係なデータに基づく決定の防止──を取り戻す機会として扱われるべきなのだ。
この主張を展開するために、まずオムニバス批判を支配している「最大スコープ」パラダイムについて述べる。次に研究とAIに関する規定に目を向け、なぜ欧州委員会もnoybもリスクの所在を見誤っているのかを説明する。最後に、スコープについての別の見方──「個人データの処理」を指令時代の機能に即して読み直すアプローチ──を提案したい。
デジタル・オムニバス提案に対する現在の批判の中心的な標的は、GDPR 4条1項、すなわち「個人データ」の定義の改正案である。noybの読み方によれば、新しい条文は識別可能性に強く管理者相対的な要素を導入するものだという。すなわち、ある情報がpersonal dataであるかどうかは、当該管理者の視点、リソース、あるいは合理的な努力に依存することになる。再識別のための鍵を持たない主体が保有する仮名化データは、たとえ別の主体が同じレコードを識別できるとしても、その主体にとっては定義の外に落ちる可能性がある。
noybにとって、これは単なる起草上の不備ではなく、憲法上の問題である。その論理は概ね次のようなものだ。
この見方によれば、データ保護指令におけるpersonal dataの定義は、EU司法裁判所の画期的判決を通じて解釈されてきたとおり、EU基本権憲章8条によって事実上「憲法化」されている。そして「憲法化」されたものは、その定義の広さとして理解される。「識別された又は識別可能な自然人に関するあらゆる情報」をより寛大に解釈すればするほど、8条の保護はより堅固になるはずだ、と。
この観点からすれば、唯一の安全な戦略は、何らかの事象の連鎖によって個人と結びつきうるほぼすべての情報をpersonal dataとして扱うべきだと主張し、その情報を含むほぼすべての操作をprocessingとして扱うべきだと主張することになる。オムニバス提案は、客観的で包括的であるべき定義に、管理者相対的な「主観性」を持ち込もうとする試みとして描かれる。それは法的安定性を損ない、執行を分断し、底辺への競争を招くものだ、と。
私はこのような考え方を最大スコープ・パラダイムと呼ぶことにする。基本権を保護する主要な方法は、personal dataとprocessingの概念的到達範囲を可能な限り押し広げ、その最大線をいかなる後退からも守ることだという信念である。このパラダイムには様々なアクターが様々な形で位置している──noybのようなNGO、一部の当局、そして学界の一部──しかし彼らが共有しているのは、「個人データの処理として法的に該当する状況が増える」ことがほぼ自動的に「より効果的な保護」を意味するという想定である。
しかし歴史的に見れば、欧州のデータ保護法制の規範的焦点は「データそのもの」に向けられたことはなかった。それは意思決定システムにおけるデータの利用に向けられていた。信用スコアリング、雇用審査、社会保障の裁定、警察活動、リスク評価などである。初期のデータ保護法、およびその国際的な先行規範は、個人に関する自動化された、あるいはコンピュータ支援による決定が、不透明な方法で、不完全、無関係、あるいは偏った情報に基づいて、強力で中央集権的なファイルにまとめられた形で行われうることへの懸念を動機としていた。
この方向性は、現在の議論ではしばしば見過ごされている二つの特徴に見て取れる。
第一に、processingの概念は、本来、いわば情報パイプラインと結びついていた。データが収集され、保存され、結合され、分析され、決定や行為を支援するために使用される、という一連の体系的な操作のことである。一連の手続的・実体的制約を正当化したのは、このパイプライン──そしてそれにさらされる個人に対してパイプラインが生み出すリスク──であった。定義に「収集」「利用」「開示」「消去」が含まれていたのは、このパイプラインの各段階を捉えるためであり、ある人物の名前への孤立した言及をすべて完全な法的意味でのprocessingに変換するためではなかった。
第二に、よく引用される「十分であり、関連性があり、過度でない」という三要素は、意思決定のためのデータ品質原則として構成されていた。その機能は、個人に影響を及ぼす決定が、決定目的と合理的な関連を持つ情報に基づいて行われ、その目的にとって十分に完全かつ正確であり、無関係な詳細や偏見を含まないことを保証することであった。その趣旨は、データを抽象的に最小化することではなく、決定の情報的基盤を制約して、決定が公正で、恣意的でなく、差別的でないようにすることだった。
この決定志向の視点を念頭に置けば、スコープと保護の関係は違って見える。重要なのは、主として「個人データ」というラベルの下にどれだけ多くの情報が入るかではなく、どの情報パイプラインとどの決定文脈がデータ保護法の射程内に入るかである。一回限りのジャーナリスティックな言及から複雑な自動プロファイリングシステムまで、あらゆるものを無差別にカバーするprocessingの概念は、レトリックとしては拡張的かもしれないが、そもそも特別な法的レジームを必要とした構造的特徴──中央集権化、自動化、反復的使用──をまさに覆い隠してしまうリスクがある。
この観点から見ると、最大スコープ・パラダイムは二つの点で問題がある。
それは過剰に広い。「個人データの処理」という概念的・教義的な装置一式を、データ保護法の特徴的なリスクがごくわずかしか存在しない文脈にまで拡張してしまう。個人へのあらゆる孤立した言及、あらゆる何気ない写真、あらゆる一時的なログエントリをGDPR上の「processing」として扱うことは、「…に関するあらゆる情報」という文言の字義通りの解釈として論理的には可能かもしれないが、それは概念を、本来対処すべきリスク・プロファイルをはるかに超えて拡張してしまう。そうすることで、日常生活における広範な遵守不能か、例外と適用除外の増殖を招き、後者は法をより複雑で理解しにくいものにする。
同時に、それは最も保護が切実に必要とされる場面では保護が不十分である。personal dataの概念的外縁を守ることにエネルギーを集中させることで、真に重要な処理操作──大規模プロファイリング、スコアリング、決定支援システム──の内部構造から注意をそらしてしまう。ここで決定的な問いは、ある情報の断片が抽象的に個人と「関連する」と言えるかどうかではなく、処理のパイプライン全体が、個人に関する決定が十分かつ関連性のあるデータに基づいて行われ、有意義な異議申立ての対象となり、一定の種類の推論に対する明確な禁止によって制約されるような形で構造化されているかどうかである。
言い換えれば、「個人データ」概念の際限のない拡張への固執は、より困難な作業──高度な保護を必要とする決定文脈を特定し規制すること──の代替物として機能するリスクがある。それは、データ保護の基本権が実際にどのような種類の処理を標的としているのか、そしてなぜなのかについてあまり語らなくても、4条1項における管理者相対的な識別可能性のようなスコープの縮小と見えるものを非難することを政治的に容易にしてしまう。
この袋小路から抜け出すためには、データ保護法が常に二つの層で同時に機能してきたことを思い出す必要がある。
本稿の残りでは、この二層構造を詳しく解きほぐし、それがオムニバスをめぐる科学研究、AI、およびpersonal dataの定義についての議論をどのように再構成するのに役立つかを示す。
オムニバス論争の第二の焦点は、4条38項で提案されている「科学研究」の新しい定義と、それに伴う目的制限と情報義務の変更、特に13条5項である。欧州委員会の草案は、科学研究を本質的に「イノベーションをも支援しうるあらゆる研究」と定義し、社会の「知識と福祉」の成長、「当該研究分野における倫理基準」の遵守、および類似の要素を参照する長いリストの基準を付け加えている。
noybのレポートは、このアプローチに対して鋭く、多くの点で正当な批判を展開している。それは次のように指摘する。p>
この分析に基づき、noybは、提案された定義は、研究適用除外の拡大された枠組みと組み合わさって、「広範かつ不明確に定義された『研究目的』のためのさらなる処理を一律に許容する」ことになり、憲章の必要性と比例性の要件を満たさない可能性が高いと主張する。この読み方によれば、欧州委員会は無定形の「イノベーション」アジェンダの祭壇に7条と8条の権利を犠牲として捧げているように見える。
一見すると、この批判は権利保護的な立場と完全に一致しているように見える。しかしその内部ロジックは、やはり二つのおなじみの前提に依拠している。第一に、データ保護の核心は、7条・8条および52条1項の直接的な発現としてのデータ最小化であるという前提。第二に、過度に広い研究定義がもたらす主要な脅威は、このデータ最小化と目的制限そのものの浸食であるという前提。どの種類の研究が、そしてどの決定文脈が、より厳格な審査の対象とされるべきかという問いは、ほとんど暗黙のままである。
決定志向の視点──意思決定における十分性と関連性の役割を真剣に受け止める視点──は、この問題を切り分ける別の方法を示唆する。
一方には、識別可能な個人に関する具体的な決定に直接供されない形態の研究がある。古典的な統計的・科学的データ利用、すなわち産出物が集団を記述する集計的パターン、係数、モデルであるような利用は、倫理、分配的正義、認識論的バイアスの重要な問題を提起しうる。しかしデータ保護の観点からは、そのリスク・プロファイルは主として研究の後に何が起こるかによって媒介される。すなわち、得られた知見が運用上の決定システムにどのように、どの程度組み込まれるかである。
他方には、処遇決定に構造的に接続されている形態の研究がある。顧客データベースで開発される信用リスクモデル、過去の応募者で訓練される採用アルゴリズム、保険価格モデル、不正検知ツールなどである。ここでは、「研究」と「運用」の境界は薄い。モデルを開発するために使用されるのと同じ構造化されたデータセットが、個人に関する重大な決定を支援するために使用される、あるいは容易に使用可能である。
この第二の類型において、データ保護にとって重要なのは、抽象的な「研究」が厳密に必要な以上のデータを使用することではなく、結果として生じる決定システムが決定目的と関連しないデータに基づいて運用されうることである。核心的なリスクは恣意的または差別的な処遇である。音楽の趣味が与信限度額に影響を与える、ソーシャルメディア活動が採用に影響する、近隣の代理変数が保険価格において民族性の代わりに使われる。これらはまさに、十分性と関連性の要件が本来防止するはずだった種類の問題である。
この観点からすれば、オムニバス提案の4条38項および13条5項の変更は問題があるが、それは主としてデータ最小化という抽象的な理想を侵害するからではない。それらが問題なのは、以下の理由による。
noybの批判は、定義の曖昧さと「イノベーション」がさらなる処理の白紙委任として使われるリスクを正しく攻撃している。しかし、問題を主として憲章に適合するデータ最小化の観点から捉えることで、決定的な問いを発する機会を逃している。どの研究生成データセットが決定文脈に流入する可能性が高く、無関係または差別的な意思決定を防ぐためにその再利用はどのように制約されるべきか？ これは、以前のオムニバス論争に関する投稿で私が展開した視点であり、そこで私は欧州委員会もnoybも5条1項(c)のGDPRの明示的な関連性要件を見落としがちだと主張した。
同じパターンが、AIと特別カテゴリーのデータを扱う9条2項(k)および5項に関するオムニバス提案において、より鮮明な形で繰り返されている。草案は「AIシステム…またはAIモデルの開発および運用の文脈における処理」のための新たな適用除外を導入し、5項では管理者に対し、訓練、テスト、検証において特別カテゴリーの処理を避けるための「適切な組織的・技術的措置」を講じ、特定された場合はそのようなデータを削除するか、削除に不均衡な努力を要する場合は少なくとも出力への影響や開示を防止することを求めている。提案された前文33は、これを「AIの開発と運用を不均衡に妨げないために」9条1項の禁止からの適用除外として明示的に位置づけている。
noybはこの構造をおなじみの論拠で批判している。AIはまさにデータ保護原則が本来制約するために設計された、不透明で大規模な処理の一種であり、AI開発・運用のための新たな適用除外を設けることは後ろ向きであり、そのようなシステムを念頭に置いて書かれたまさにその保障を骨抜きにする恐れがある、と。また、緩い起草（「の文脈における」「適切な措置」「不均衡な努力」）と、何らかの最小化努力を講じたと主張できる限りAI開発者が特別カテゴリーを保持することを一般的に許可することになるリスクも指摘している。
ここでも、この批判路線は理解できるが、それは「AI開発」が単一の活動であり、関連する憲章上のリスクは処理されるデータの量と機微性によって捕捉できるという前提に立っている。実際の状況はより複雑である。
以前のブログ投稿で私が主張したように、「AI開発」というラベルは現在、根本的に異なる二つの活動をカバーしている。
処遇AI、例えば信用スコアリング、採用、保険モデルは、真正な体系的データセット──データ保護法の意味でのプロトタイプ的な「個人データ」である顧客または候補者のデータベース──で訓練される。ここでは、データベース志向の要件が構造的に意味を持つ。訓練セットにおける不必要な特別カテゴリーを最小化し、不適切に含まれている場合は削除し、機微な訓練データを開示や悪用から保護する。
生成AIの公開ウェブテキストに対する訓練は、対照的に、すでに公開されている情報の散在する断片を処理して統計的パターンを抽出する。それは体系的な個人レコードを作成しない。結果として生じるモデルは、通常の運用において、特定の人物の機微な特性についてアドレス可能なレコードを含まない。主要なリスクは、識別された個人についての特別カテゴリーの開示ではなく、生成されたコンテンツにおけるバイアスやステレオタイプの増幅にある。
第二の類型について、9条5項の要件は単に的外れである。管理者に対し、異質なウェブページのコーパスから特別カテゴリーを「削除」するよう指示することは、存在しないデータベース的構造を前提としている。正確には何を削除すべきなのか──文、段落、文書全体か？「可能な場合」という修飾語は、首尾一貫した基準を提供することなく実行不可能性を認めている。特別カテゴリーの「開示」を防止するという文言は、開示が管理されたデータベースから特定の個人の機微データを明らかにすることを意味する文脈を前提としており、健康や宗教が抽象的に言及される新しいテキストを生成することではない。
これらの構造的に異なる活動を単一の適用除外の下にまとめることで、オムニバス提案はpersonal dataの定義においてすでに見られた概念的混同を繰り返している。同時に、決定志向の観点からより重要なことに、それは規制上の注意を誤った場所に向けている。
散在する公開テキストに対する生成AIの訓練は、個人に関する決定に適した体系的データセットを構築することがないため、規範的にはpersonal dataの処理として扱われるべきではないにもかかわらず、実行不可能なデータベース志向の要件の直接の標的となる。
処遇AIの運用──構造化されたデータセットを使用して個人に関する重大な決定を行う場面──は、比較的少ない的を絞った注目しか受けない。88c条はAI運用を正当な利益として認めているが、この文脈で5条1項(c)の関連性要件を執行する仕組みを提供していない。したがって、音楽の好み、ソーシャルメディア活動、宗教的所属といった無関係な特性が、「正当な利益」の旗印の下で決定に織り込まれうることになり、個人の異議申立権のみが制約となる。
要するに、オムニバス提案もその批判の多く（noybを含む）も、AIシステムがどれだけの、どのような種類のデータを処理しうるかに焦点を当て、AI支援決定に使用されるデータが決定目的と関連しているかどうか、そして恣意的または差別的な結果を生む形でのデータの文脈横断的再利用をどのように防ぐかという問いは、ほとんど手つかずのまま残している。これがまさに、5条1項(c)の関連性に基づく解釈が埋めるべきギャップなのである。
この時点で明白な問いが浮かぶ。欧州委員会もnoybも問題を間違った形で捉えているなら、研究とAIのより良い扱いは実際にはどのようなものになるのか？ 新しい研究定義と9条2項(k)のAI適用除外──そしてpersonal dataを再定義しようとする試み──の両方に共通する政治的な動因の一つは、現在の「個人データの処理」の解釈の下では、ウェブスケールのAI訓練やその他の大規模分析さえもGDPRの完全なレジームに自動的に吸い込まれてしまうという恐れであることは明らかだろう。
私の答えは、リークされたオムニバス草案に関する以前の投稿と本質的に同じだが、新しい定義とAI提案にまで拡張される。
学習フェーズには既存の統計・研究の枠組みを維持する
欧州にはすでに、個人に関する決定にそれ自体が供されない大規模分析を扱う首尾一貫した方法がある。それは以下の組み合わせである。
GDPR 5条1項(b)における統計・科学目的のための「両立性」ルール
欧州評議会の統計処理に関する古い枠組み。これは、統計結果に基づいて個人に関する決定や措置が取られない限り、個人の権利の制限を認めている。
AI訓練はここに属する。大規模データセットでモデルを訓練することは、実質的に統計処理である。この段階では、定義上、まだ具体的な決定目的がないので、モデルやその入力のレベルで関連性テストを適用することにはあまり意味がない。十分性と関連性の要件は、決定の情報的基盤に対する制約であり、抽象的なモデルの構造に対する制約ではない。保護される核心的利益は、学習アルゴリズムが特定の変数を「見た」というだけで侵害されるのではない。それは、それらの変数が実際に個人に関する決定パイプラインの一部として使用されるときに侵害される。
この区別は決定的に重要である。モデルは内部的に、決定時に明示的に使用されれば無関係となる特徴を含む多くの特徴に影響されたパラメータを含んでいるかもしれない。データ保護にとって重要なのは、ある人物について決定する際に実際にどのデータが考慮されるか──運用システムにおいてどの変数が読み取られ、結合され、行動の基礎とされるか──である。したがって、法的アーキテクチャは非常にシンプルであるべきだ。
学習・訓練＝統計または研究処理。そのような目的のための既存ルールでカバーされ、産出物が直接に個人について決定するために使用されないことを厳格な条件とする
運用＝意思決定。完全なデータ品質審査の対象となり、決定に実際に使用される入力に関して5条1項(c)の「十分であり、関連性があり、過度でない」の真摯な執行を含む
特別なAI適用除外は不要であり、広範なものは有害である
AI訓練を統計処理として、AI運用を通常の（しかし極めて重大な）意思決定として扱うなら、9条2項(k)その他における新たなAI固有の適用除外は必要ない。むしろ、「AI開発・運用のための」一律適用除外は、以前の投稿で私が批判したまさにそのことを招くリスクがある。管理者が「AI」をマジックワードとして援用し、両フェーズを同時に正当化することを可能にし、運用フェーズにおけるシンプルな問い──このAI支援決定に実際に使用するデータは、決定目的と関連しているか？──を問うことがなくなる。
特別カテゴリーもAI専用レジームを必要としない
学習フェーズについて、正しい問いは「ウェブスケールの訓練コーパスから特別カテゴリーのあらゆる痕跡をどのように除去できるか？」ではなく、「統計目的で使用される訓練コーパスが、特別カテゴリー──直接的であれ推論されたものであれ──が決定目的と無関係となる決定システムにカジュアルに転用されないようにするにはどうすればよいか？」である。
運用フェーズについて、関連性が適切に執行されれば、直接明らかにされた機微データと推論された機微データの区別はさほど重要ではなくなる。両方とも、決定目的に照らして「あなたには無関係」である場合には排除される。以前の投稿で私が主張したように、問題は、我々が決定層における関連性についての執行力をまず構築することなく、9条をスリム化しようとしていることである。
言い換えれば、AI固有の例外や研究固有のショートカットを発明する代わりに、AI訓練を本来の場所──既存の統計・研究の枠組み──に戻し、規制上のエネルギーを、関連性要件が決定がなされる時点でついに真剣に受け止められなければならないAI運用に集中させるべきなのである。
ここまでの議論は、データ保護が相互に連関する二つの層で機能していることをすでに示唆している。
この構造をより明確にし、オムニバス提案が各層にどのように影響するかを問うことができる。
機能的な観点から見ると、EUのデータ保護法は二つの別個だが相互依存的な層で機能している。
第一に、決定の直接的ガバナンスがある。個人データが実際に個人に関する決定を行う、または支援するために使用される場合、データ保護法は、それらの決定の情報的基盤が伝統的なデータ品質基準を満たすことを要求する。データは決定の目的にとって十分であり関連性があり、過度であってはならない。現代の言葉で言えば、使用されるデータ項目と正当な決定目的との間に合理的な関連がなければならない。古典的な「十分であり、関連性があり、過度でない」という定式が属するのはここである。それは決定がどのように行われるかに対する制約であり、データを抽象的に最小化せよという呼びかけではない。
第二に、データ流通の予防的ガバナンスがある。目的制限、再利用と転送の制限、「データサイロ」の構築は、過ぎ去ったデータベース規制時代の不可解な遺物ではない。それらは十分性と関連性の将来の違反を防止するために設計された事前のツールである。経験的な直観はシンプルである。
データがいったん新しい文脈に流入し始めると、それが関連性のない決定に再利用される確率は急激に上昇する。
ある明確に定義された目的のために収集されたデータセットが、構造的制約なしに転用、結合、取引されうるなら、ある主体がそれを、データと合理的な関連のない決定への入力として使用するのは時間の問題である──音楽の趣味に基づく信用スコアリング、ソーシャルメディア活動に基づく保険価格設定、政治的所属に基づく採用決定など。
このように見れば、目的制限は公正さについての装飾的な前文ではない。それは、どのデータが現実的にどの決定システムに供されうるかというデータ流通の将来のグラフを法が形成しようとする中心的な法的メカニズムである。決定層は決定の内容（十分性と関連性）を規律し、流通層はデータがそもそも決定文脈にたどり着きうる経路を規律する。
したがって、「個人データ」の境界を引き直そうとする試みは二つの効果を持つ。
オムニバス提案のpersonal dataの定義に関するリスクは、この第二のレベルで最もよく理解される。
オムニバス提案は、personal dataの地位が特定の管理者の手段に依存しうるという考えを発明したのではない。それは裁判所の相対的アプローチ、特により最近の判例法で表明されたものを法典化している。核心的な考えは、情報がある管理者にとってpersonal dataとしてカウントされるのは、その管理者が当該個人を識別するために「合理的に使用される可能性がある」手段を持っている場合に限られるというものである。再識別のための鍵を持たない主体が保有する仮名化データセットは、たとえ別の主体が同じレコードを識別できるとしても、その主体にとっては定義の外に落ちる可能性がある。
表面上、この措置は現実の問題に対する技術的解決策として提示されている。すなわち、識別可能性を何らかの形で相対化しなければ、誰かが人物と結びつけうるあらゆるデータがすべての者にとってpersonal dataとして扱われるリスクがある、という問題である。しかし二層構造を見れば、異なる像が浮かび上がる。
単純化した仮想事例を考えよう。ある会社が、顧客がジャズ、ロック、クラシックのどれを好むかという音楽の好みに関する情報を、安定した内部識別子に紐づけて収集している。収集時点で、データを仮名化し、純粋に市場調査のためにのみ使用すると宣言する。相対的な定義の下では、会社は次のように主張しうる。
もしこの立場が認められれば、決定的な帰結が生じる。目的制限がデータセットに一切付着しない。データは構造化された形式で収集・処理されているが、その管理者にとって「非個人」として扱われる限り、データ保護の流通ガバナンス層全体が単純に適用されない。
数年後に早送りしよう。会社は戦略を変更し、信用スコアリング市場に参入する。そのデータセットにおいて、音楽の好みが返済履歴と相関することを発見する。今や会社には、以下の強いインセンティブがある。
その時点で、会社は今は識別手段を持っており、データは今はpersonal dataを構成すると主張するだろう。しかし目的制限は遅すぎる形で援用される。データが当初「非個人」として分類されていたため、その収集と保持を特定の限定された目的のセットに結びつける法的義務も、後の信用スコアリングへの再利用を、新たな法的根拠と当該個人への新たな保証を必要とする目的変更として扱う義務もなかった。
これは奇抜なエッジケースではない。それは「識別手段がないとの主張を通じた目的漂流」という体系的パターンを記述している。
同じロジックは、孤立した会社だけでなく、主体の連鎖全体にも適用される。上流の主体が、再識別の鍵を持っていないことを根拠に、豊かで個人レベルの構造化されたデータセットを「非個人」として扱えるなら、それらのデータセットは、識別された人物と結びつけ、決定システムに組み込む手段とインセンティブを持つ主体に到達するまで、自由に流通しうる。目的制限はまさにそのような文脈横断的流通を制約するはずだった。相対的な定義は、普及の最も重要な段階においてその射程から外れることを容易にする。
欧州委員会に対し、実施法を通じて仮名化データセットの特定のカテゴリーを「非個人」として指定する権限を与えるオムニバス提案は、このリスクを悪化させるだろう。そのような指定がなされれば、構造化されたデータのクラス全体が、後に決定パイプラインに再統合されるのに完全に適している間も、単なる技術的な排気ガスであるかのように移動しうる。消失するのは、何か周辺的な透明性義務だけではない。流通の各段階において「これらのデータをこの次の文脈に移動させることを正当化する目的は何か？」と問う事前の要件が消失するのである。
決定と流通志向の観点からすれば、オムニバスの再定義の危険は、主としてGDPRを抽象的な意味で「広くなくする」ことではない。それは、構造化され、決定に使用可能なデータセットを、予防的な流通ガバナンス層がその最も重要な仕事をするまさにその段階において、その層から除外することである。
同時に、GDPRはその適用対象範囲条項の形で、すでにゲートを持っていることを思い出す価値がある。2条は、規則を「個人データの処理」に限定している。「GDPRは何にでも適用される」という広く聞かれる不満は、そのようなゲートが存在しないからではなく、processingが次第に「ある人物に関するあらゆる情報のあらゆる取扱い」へと平坦化されてきた──政治的想像力においては、AI訓練のためのウェブクローリングやその他の大規模分析を含めて──からである。オムニバス提案はこの過広認識を額面通りに受け取り、personal dataの定義そのもののレベルでそれを治療しようとしている。最大スコープ・パラダイムは逆方向から反応し、personal dataとprocessingの可能な限り広い解釈を擁護している。両方の動きに共通しているのは、processingの構造的概念を手つかずのまま放置していることである──そしてそれとともに、GDPRの適用対象範囲は体系的でファイル的な処理パイプラインを捉えるためのものであり、個人への散在するあらゆる言及を捉えるためのものではなかったという、本来の考えも放置している。
この背景に照らして、保護の両方の層を真剣に受け止めるなら、スコープの問いを構成する別の方法が示唆される。personal dataとprocessingの概念をどこまで概念的に拡張できるかを問う代わりに、どの状況においてEUのデータ保護法が、最低限、両方の層にわたって完全な力で適用されなければならないかを問うべきである。
決定と流通志向のテストは、予告的に、次のように定式化できよう。
体系的なパイプライン
processingの本来の意味での体系的な情報パイプラインが存在しなければならない。安定したカテゴリーやフォーマットに従って組織化されたデータに対する、構造化された一連の操作であり、単なる孤立した言及やアドホックなやり取りではない。これが、「データ」を散在する「情報」から区別し、初期のデータ保護法制が規制しようとしたものを捉える閾値である。
決定文脈
このパイプラインの産出物が、個人の法的・社会的地位に影響を与える決定文脈──信用、雇用、保険、社会給付、サービスへのアクセス、法執行、およびそれに類する領域──で使用される、または合理的に使用される可能性がある。ここで決定層が作動し、5条1項(c)は、処理される各データカテゴリーと表明された決定目的との間に合理的な関連を要求する、真正な関連性要件として解釈・執行されなければならない。
文脈横断的流通リスク
パイプライン内のデータが、目的制限と転送制限が適用されない限り、それらが関連性を持たない別の決定文脈に現実的に流入しうる。このような文脈横断的な漂流が構造的にあり得る場合──大規模分析、AI開発、プラットフォームエコシステムにおけるように──流通層は、管理者が現時点で識別手段を持っていると主張するかどうかにかかわらず、データが構造化された形式で収集された瞬間から適用されるべきである。
この見方によれば、オムニバスのpersonal data再定義の問題は、最大スコープという抽象的な理想を放棄することではない。問題は、それが管理者がこの三部構成のテストから任意に離脱することを許容する点にある。収集時点で識別手段を持たないと宣言するだけで──たとえ後に重大な決定システムに投入されうるような構造化されたデータセットをまさに構築している最中であっても──テストから外れることができてしまう。そのようなデータセットがpersonal dataという法的カテゴリーの外側で生まれてしまえば、その将来の流通を事前に形成する法の能力は損なわれる。
同じテストは、概念的に、AI関連処理の異なる類型を区別するのにも役立つ。散在する公開テキストコーパスに対する生成AIの訓練は、第一と第三の要件を満たさないかもしれない。それは体系的で個人宛（individual-addressable）のデータセットを作成せず、その産出物は自然に決定文脈に接続されない。対照的に、処遇AI──信用スコアリング、採用アルゴリズム、保険価格モデル──は三つの要件すべてに該当する。構造化されたレコードを操作し、個人に関する決定を直接支援し、そのデータセットには明らかな文脈横断的再利用可能性がある。
この解釈的提案は、GDPR 4条1項の条文を書き換えることを求めるものではない。既存のprocessing of personal dataおよびpersonal dataという概念を、その指令時代の機能に照らして読み直すことを求めるものである。
歴史的に、processingの構造的理解は、時代遅れの「ファイル」概念の偶然の副産物ではなかった。欧州委員会の1990年提案はなおファイルの言葉で語っていたが、欧州議会が「ファイル」を「個人データの処理」に置き換えることを主張したとき、それは構造的要件を完全に放棄することを意味していなかった。それは、文字通りの中央集権的ファイルなしに同じリスクを再現するオンザフライの決定システムを含め、ファイル的な処理パイプラインを捉えることを意図していた。「ファイル」から「個人データの処理」への移行は、概念を機能的な線に沿って拡張したのであり、「あらゆる情報のあらゆる取扱い」へと溶解させたのではなかった。
一部の判決──特に境界事例において──は、processingを「あらゆる情報のあらゆる取扱い」という一般則に変換することなく、特定の事実関係のために概念を拡張したものとして読むことができる。真の緊張が残る場合、それは、基礎にある概念がなお慎重な教義的明確化を必要としているまさにその時に、オムニバスが最大主義的スコープを憲法化するのは時期尚早であることを示唆している。
デジタル・オムニバスをめぐる公開書簡やプレスリリースだけを読めば、おなじみのドラマに見える。一方には、個人データの定義を狭め、AIや研究のための新たな適用除外を設けることでGDPRを「骨抜きにしている」と非難される欧州委員会。他方には、個人データの最大スコープとデータ最小化の強いバージョンを擁護するnoybその他のアクター。
本稿で私が以前の分析を踏まえて主張してきたのは、これが間違った対立軸だということである。両陣営とも、法の射程をどこまで広げるべきかをめぐって争っているが、法が本来何をコントロールするために設計されたのかという点はほとんど無視している。1970年代以降、欧州のデータ保護法は抽象的な「データ」を対象としていたわけではない。それは意思決定システムを対象としていた。構造化されたデータが収集され、組織化され、雇用、信用、保険、社会給付その他の利益と負担を配分するために使用されるパイプラインである。
この観点から見れば、GDPRの核心は「データが多すぎる」ことへの抽象的な恐怖ではなく、一対の関連する問いである。個人に関する決定においてどのデータが正当に考慮されてよいのか、そしてデータが目的と合理的な関連を持たない決定文脈に流入することをどのように防ぐべきか？ これこそが、データ品質原則と目的制限が本来対処するために構築されたものである。
ここで、二つの自然な疑問が浮かぶかもしれない。
第一に、これは結局、名前を変えたデータ最小化ではないのか、という疑問である。結局のところ、GDPR 5条1項(c)は今や文字通り、データは処理目的との関係で「十分であり、関連性があり、必要なものに限定される」べきだと述べており、データ保護指令もすでに「十分であり、関連性があり、過度でない」と述べていた。法は常にデータを最小化することを目指してきたのではないか？
私の答えは、歴史的に見れば、この三要素は決定のためのデータ品質原則として構成されていたのであり、「できるだけ少ないデータを収集せよ」という宙に浮いた命令ではなかった、というものである。「過度でない」──そして後に「必要なものに限定される」と言い換えられたもの──は、所与の決定目的にとっての十分性と関連性をも要求する基準の中に埋め込まれていた。監督当局のガイダンスはしばしば「十分」を「表明された目的を適切に果たすのに足りている」と解説している。しかし「足りている」は時として、より少ないデータではなく、より多くのデータを意味する。恣意的な信用拒否を避けるためのより完全な収入情報、単一のデータポイントの誤解を避けるためのより多くの文脈、粗雑なプロファイリングを防ぐためのより多くのニュアンス。「より少ないデータ」を基本権の観点から常により良いと扱う純粋な最小化の読み方は、この両義性を消し去り、十分性と関連性を一次元的な「量」の指標に押しつぶしてしまう。この観点からすれば、5条1項(c)をデータ最小化原則とリブランドすること自体が問題の一部なのである。それは決定にとっての関連性と十分性という本来の焦点を覆い隠し、より良い保護が実際にはより薄いデータではなくより良いデータを必要とする状況を見落としやすくする。
第二の、密接に関連する疑問は、これは結局、自動化された意思決定に関するGDPR 22条の強化を求めることに帰着するのではないか、というものである。22条をめぐる最近の戦いは、ある意味で、同じ誤った枠組みの症状である。データ品質原則がpersonal dataを考慮に入れるすべての決定の情報的基盤をすでに規律していることを忘れているがゆえに、プロファイリングやAIに関するあらゆる懸念を、22条の「専ら自動化された」決定という狭いカテゴリーに背負わせる傾向がある。そこで一方の陣営は、実際には5条1項(c)の一般的レジームに属する問題を治癒してくれることを期待して、22条をますます広げることを要求する。もう一方の陣営は、22条は十分性と関連性を尊重した適切なプロファイリングさえも烙印を押す行き過ぎだと結論づけ、それを骨抜きにするか廃止することを推進する──この雰囲気はオムニバス論争においても皆無ではない。
両陣営が忘れがちなのは、22条は非常に小さなサブセットのケースのための特別法（lex specialis）だということである。私がここで再構成しようとしてきた基本的な基準は、より一般的でより基本的なものである。それは、自動化と人間の関与の組み合わせがどうであれ、personal dataが意思決定に使用されるすべての場合に適用される。その基準が主として根拠を置くのは5条1項(c)および周辺のデータ品質・目的制限規定であり、22条ではない。22条を強化することは、関連性要件を全面的に真剣に受け止めることの代替にはなりえない。22条を弱体化しても、決定層における十分性と関連性を無視し続け、無関係なデータが重大な決定に密かに浸透できるように流通ガバナンスを緩和するなら、決定システムが無害になるわけではない。
この背景に照らせば、デジタル・オムニバスの真の約束と危険がより明確になる。約束とは、現在の論争が基本的な問いを再び開かせる契機となりえたはずだということである。構造的な意味で「個人データの処理」として何がカウントされるのか？ データ保護の特徴的なリスクは実際にはどこで生じるのか？ 統計・学習フェーズと運用上の意思決定をどのように区別すべきか？ 危険とは、processingの基礎概念がなお慎重な教義的作業を必要としているまさにその時に、最大主義的なスコープ解釈を憲法化してしまうこと──そして同時に、最も緊急に厳格な流通ガバナンスを必要とするまさにその構造化されたデータセットのために、密かにバックドアを開けてしまうことである。
本稿で素描した代替案は、条文上の野心は控えめだが、効果においてはラディカルである。それは4条1項を書き換えることを求めていない。「個人データの処理」と5条1項(c)を、その指令時代の機能に即して読み直すことを求めている。AI訓練は既存のルールの下で統計処理として扱われるべきであり、真の規制上のエネルギーは、十分性と関連性の要件がついに効力を発揮しなければならないAI運用やその他の決定システムに向けられるべきだと提案している。そして、欧州委員会もその批判者たちも、personal dataという法的概念をどこまで引き伸ばせるかから、データが決定に流入するパイプラインを法がどのように規律するかへと注意を移した方がよいと提案している。結局のところ、それこそがデータ保護の存在理由だったのだから。
*1 例えば、ドイツが歴史的にデータ品質原則を一度も理解した様子がないことを裏付けるには、1973年のSpiros Simitisの初期の構想「Datenschutz - Notwendigkeit und Voraussetzungen einer gesetzlichen Regelung」（DVR 2巻138頁以下）で「Relevanz」概念がどう書かれていたか、1977年のOtto Mallmannが「Zielfunktionen des Datenschutzes: Schutz der Privatsphäre, korrekte Information; mit einer Studie zum Datenschutz im Bereich von Kreditinformationssystemen」で、信用情報システム分野を題材に、被影響者の差別のリスクに言及しながら「正確性」「完全性」に並び「文脈依存性の維持」を挙げて問題の本質に迫っていたにもかかわらず、その出口を必要性（Erforderlichkeit）に求めてしまったこと、その後もSimitisは一貫して何らかの具体的基準の必要性を訴え続けるものの、その答えは示されず、2000年ごろから出口が見えないままDatensparsamkeitに傾倒して行き、ついにはHans Peter Bullに、データ禁欲（Datenaskese）とか正気か？と窘められるという展開があったこと、Bull自身は、データ保護の趣旨を正しく理解し、より多くのデータ項目を要することもある旨を指摘していた（しかしDPDのデータ品質原則がそれをカバーしていることには触れていない）こと、ドイツでも労働法分野では古くから関連性（sachlicher Zusammenhang）を要件とする判例と学説が確立していたが、データ保護法制のデータ品質原則がそれをカバーしているとは気づいていない様子がある（Peter GolaのBDSGコンメンタールなど）こと、国内法のBDSGは長らくDPDのデータ品質原則を無視して（比例原則と勘違いして）導入しなかった（対応済みだと勘違いして）こと、それが原因でSCHUFAの住所を用いたGeoscoringに対処できず、BDSG 2010で個別の規制条項を導入していること、それにもかかわらず問題は解決せず、結局GDPR 22条に活路を見出そうとして現在も迷走していること、Alexander Roßnagelが、1990年代から2010年代にかけて常にDatensparsamkeitを強調し、GDPRの成立に際しても、Datensparsamkeitが徹底されなかったことを指摘し、22条の自動決定規制をもっと強化すべきとGDPRの改正を主張していたこと、などなどを示す必要があるだろう。情報的自己決定権を持ち出してDatensparsamkeitを強調する者には、国勢調査判決以来の「Informationelle Selbstbestimmung」がドイツの学説でどう論じられてきたか、特に2010年のGabriele Britz「Informationelle Selbstbestimmung zwischen rechtswissenschaftlicher Grundsatzkritik und Beharren des Bundesverfassungsgerichts」（Offene Rechtswissenschaft: ausgewählte Schriften von Wolfgang Hoffmann-Riem mit begleitenden Analysen、561頁以下）がどう結論づけているかなどを挙げるのがいいし、ドイツ以外でのデータ保護法制のrelevant要件の意味が、本当に私の言うような意味のものだったのかについては、Paul SieghartやJon Bingの文献の他、英国Lindopレポートの記述と、米国FCRA 1970立法過程の公聴会の記録を参照するのがよいだろう。
*2 このことは日本にとっても他人事ではない。生成AIの台頭に伴って日本の個人情報保護委員会も一昨年、要配慮個人情報の収集についてOpenAI社に対して無理のある注意喚起を出し、保護の方向性について自民党から疑問視される事態になっていたのは、欧州とよく似た状況である。ちょうどその頃始まっていた日本の個人情報保護法の3年ごと見直しでは、この問題に対処するべく、私の提出意見が通り、生成AIの学習段階を統計処理と捉えて、要配慮個人情報が含まれてしまうことを問題視しないようにする改正が予定（昨日の新聞報道）されている。
In early November 2025, a leaked draft of the European Commission's "Digital Omnibus," including amendments to the GDPR, sparked significant controversy. Key points of contention included the proposal to limit Article 9's protection of special category data to cases where such data "directly reveals" sensitive information, and the clarification of legitimate interests as a legal basis for AI training and operation. On November 11, Austrian privacy advocacy group noyb.eu, together with EDRi and ICCL, published an open letter to the European Commission criticizing the proposal as a "massive rollback of fundamental rights." This analysis was written in response to the leaked draft and noyb.eu's critique.
The core argument presented here is that both the Commission's proposal and noyb.eu's critique share a fundamental flaw. While they oppose each other over Article 9, both have lost sight of the "principle of relevance," which has been at the heart of data protection law since 1980. This will be elaborated below.
Note that after this analysis was written, the official proposal was published on November 19, with important changes from the leaked version. These developments are addressed in the addendum at the end.
The European Commission's draft GDPR amendments, scheduled for proposal in November 2025, and noyb.eu's critique of it share a common fundamental flaw. Both parties have lost sight of the "principle of relevance," which has been the core of data protection law since the 1980 OECD Guidelines and CETS 108.
The draft amendment seeks to limit the protection of special category data under Article 9 to cases where such data "directly reveals" sensitive information, while clarifying legitimate interests as a legal basis for AI training and operation. Meanwhile, noyb.eu criticizes this as a "massive rollback of fundamental rights," calling for the maintenance of broad Article 9 protections and the expansion of data subjects' rights. However, this very axis of conflict misunderstands the essence of data protection law.
GDPR Article 5(1)(c) already requires that personal data be "adequate, relevant and limited to what is necessary." This concept of "relevant" is the core requirement of data protection law, inherited from the computer scientists at the US RAND Corporation in 1965, through the 1973 HEW Report, to the OECD's second principle in 1980. The principle of relevance prohibits the use of data items that are irrelevant to the purpose of a decision concerning an individual. This is a requirement for eliminating discrimination and ensuring fairness, and it is a universal principle applicable to all data items, not limited to specific categories such as race or health status.
The term "relevant" is often misunderstood. It does not simply mean "useful" or "statistically correlated." The UK Information Commissioner's Office (ICO) uses the phrase "has a rational link to the purpose" to clarify this concept. Music preferences may statistically correlate with creditworthiness in credit decisions, but there is no rational link between them. Pregnancy information has no rational link to job performance capacity in employment decisions. It is precisely this presence or absence of a "rational link" that constitutes the core of the principle of relevance.
However, in the German translation of CETS 108, "relevant" was rendered as "erheblich," which fatally distorted the concept. "Erheblich" is a quantitative concept meaning "considerable" or "substantial," different from the original qualitative relevance. Due to this mistranslation, German-speaking scholarship has conflated the data quality principle with the principle of proportionality, understanding it as a matter of quantitative limitation to "necessary minimum." The original purpose of excluding data qualitatively lacking a rational link to the decision purpose has been lost, and instead, alternative protective measures such as "special protection of sensitive data" have been overemphasized.
The problem with the Commission's draft is that while it maintains Article 5's relevance requirement, it provides no measures to strengthen its enforcement. Clarifying AI training and operation as legitimate interests is understandable as a tidying up of legal bases. However, even with the new Article 88c, no mechanism is included to promote substantive examination of whether data items used in AI operation have a "rational link" to the decision purpose. Theoretically, Article 5 should apply, but without practical enforcement, the principle of relevance becomes a dead letter.
At the same time, limiting Article 9 protection to cases that "directly reveal" sensitive information is theoretically the correct direction. This is because if the principle of relevance is properly enforced, both inferred sensitive information and direct sensitive information would be equally prohibited from use if they lack a rational link to the decision purpose. Using inferred pregnancy information in employment decisions and directly using race information both constitute "none of your business" regarding the purpose of employment decisions. However, in the current situation where enforcement of the principle of relevance is insufficient, weakening the alternative protective measure of Article 9 first creates a protection gap. The order is reversed.
Noyb.eu's critique exposes an even more fundamental confusion. They demand explicit opt-in consent for AI training by Meta and others, arguing that legitimate interests under Article 6(1)(f) are insufficient. However, this argument misunderstands the basic structure of the GDPR. The GDPR already stipulates in Article 5(1)(b) that processing for statistical purposes or scientific research purposes is not considered incompatible with the original purpose. Furthermore, the 1997 Council of Europe Recommendation on the protection of individuals with regard to the processing of personal data for statistical purposes clearly states that rights of access, rectification, and erasure may be restricted when statistical processing is not used for decisions or measures concerning individuals. The reason is that statistical processing itself does not infringe upon individuals' rights and interests.
AI training is essentially statistical processing, and this framework applies. The problem lies in AI operation—the stage where trained models are used to make systematic decisions concerning individuals. Only here does the question arise whether the data items used have a "rational link" to the decision purpose. Noyb.eu conflates AI training and operation, demanding consent at the statistical processing stage. This ignores the framework for statistical processing that Europe had established by 1997.
Even more serious is the paradox inherent in noyb.eu's position that "AI training is acceptable with consent." Even with consent, if data items used in AI operation are "irrelevant" to the decision purpose, they are inappropriate. Even if an individual consents to the use of pregnancy information, it remains "none of your business" for employment decisions. Consent is merely a means to protect interests and cannot substitute for the core protected interest of ensuring appropriate decisions. Noyb.eu foregrounds "informational self-determination" and emphasizes that data subjects can exercise their rights "for any purpose." This is a position in the lineage of Westin's self-information control theory, attempting to return to the framework that the OECD Guidelines and CETS 108 sought to transcend through a "turn in conception." Data protection is not about individuals' rights to control information flows, but about institutionally guaranteeing the appropriateness of systematic decisions concerning individuals.
Here we should note a historical irony. The name "noyb.eu" stands for "None of Your Business," embodying precisely the concept of "irrelevant"—"it's not related to you." Pregnancy information for employment decisions is "none of your business," and music preferences for credit decisions are "none of your business." This expression captures the essence of the principle of relevance. Yet noyb.eu, based in the German-speaking region of Austria, operates under the influence of the "erheblich" mistranslation and does not understand the true meaning of the concept embodied in their own organization's name. They focus on defending Article 9's special categories and data subjects' rights, but remain silent on the more fundamental requirement of "relevant" in Article 5(1)(c).
The proper direction for reform is clear. First, enforcement of the principle of relevance should be strengthened. Data protection authorities need to enhance their capacity to substantively examine whether data items used in individual processing operations have a "rational link" to the decision purpose. This requires highly specialized judgment, which is precisely why independent data protection authorities were conceived in the 1970s. Second, detailed guidelines and case accumulation regarding relevance determination are needed. Having "statistical correlation" and having a "rational link" are different things. The problem of proxy discrimination can also be addressed through this distinction. Third, AI training should be treated as statistical processing within the existing framework, while enforcement of relevance in AI operation should be strengthened. Fourth, only after these enforcement foundations are established should the gradual simplification of alternative protective measures like Article 9 be considered.
Both the European Commission and noyb.eu, while opposing each other over Article 9 from different directions, are bypassing the real fortress of the principle of relevance. One weakens alternative protection without strengthening enforcement, while the other fails to distinguish between AI training and operation, demanding consent even for statistical processing, and missing the fundamental solution. The influence of over 40 years of German-language mistranslation continues to distort European data protection theory as a whole. Now is the time to return to the "principle of relevance" that the drafters of the 1980 OECD Guidelines originally intended.
After this analysis was completed, the European Commission officially published the Digital Omnibus proposal on November 19, 2025. One notable change from the leaked version is that the proposed redefinition of Article 9 (special categories of data) was withdrawn. While the leaked version had proposed limiting special category protection to cases that "directly reveal" sensitive information, the official proposal does not include this change. The European Parliament's Renew Europe group claims this as a result of pressure from a letter they sent to the Commission.
However, from the perspective of this analysis, this withdrawal has deflected attention from the core issue. Narrowing the scope of Article 9 would be theoretically correct if the principle of relevance were properly enforced, but advancing scope limitation without enforcement measures creates protection gaps. While the leaked scope limitation attracted concentrated criticism and ultimately disappeared from the official proposal, enforcement measures for the principle of relevance remain absent. Consequently, the status quo of continued dependence on Article 9 as an imperfect alternative protective measure has been solidified. While the official proposal still includes clarification of legitimate interests for AI training and operation, mechanisms to promote substantive examination of the relevance requirement in AI operation remain absent.
Meanwhile, in its statement following the official proposal, noyb.eu strongly criticizes the Digital Omnibus as a whole for "undermining core GDPR principles." In particular, they clearly oppose the direction of comprehensively justifying AI training and operation through legitimate interests under Article 6(1)(f), and reject the opt-out framework as "practically unworkable." The pattern identified in this analysis—the failure to distinguish between AI training and operation, and the disregard for the statistical processing framework—persists.
Thus, the official proposal has actually reinforced the critique presented in this analysis. The European Commission attempted to weaken alternative protections without strengthening enforcement of the principle of relevance, faced criticism, and ultimately withdrew the definitional change, but has not addressed the truly necessary enforcement strengthening. Despite obtaining the result of maintaining Article 9's scope, noyb.eu still has not turned its attention to the more fundamental solution of the principle of relevance. Both parties remain under the influence of over 40 years of German-language mistranslation of "erheblich," failing to fully grasp the true meaning of the concept embodied in their own organization's name—"None of Your Business" = "irrelevant." Now is the time for European data protection theory to return to the "principle of relevance" that has been overlooked in the shadow of the Article 9 debate.
Anfang November 2025 sorgte ein durchgesickerter Entwurf des „Digital Omnibus" der Europäischen Kommission, der Änderungen der DSGVO umfasste, für erhebliche Kontroversen. Zu den Hauptstreitpunkten gehörten der Vorschlag, den Schutz von Artikel 9 für besondere Kategorien personenbezogener Daten auf Fälle zu beschränken, in denen solche Daten sensible Informationen „direkt offenbaren", sowie die Klarstellung berechtigter Interessen als Rechtsgrundlage für KI-Training und -Betrieb. Am 11. November veröffentlichte die österreichische Datenschutzorganisation noyb.eu zusammen mit EDRi und ICCL einen offenen Brief an die Europäische Kommission, in dem sie den Vorschlag als „massiven Rückschritt bei den Grundrechten" kritisierte. Diese Analyse wurde als Reaktion auf den durchgesickerten Entwurf und die Kritik von noyb.eu verfasst.
Das hier vorgebrachte Hauptargument ist, dass sowohl der Vorschlag der Kommission als auch die Kritik von noyb.eu einen grundlegenden Fehler teilen. Während sie sich über Artikel 9 gegenüberstehen, haben beide das „Relevanzprinzip" aus den Augen verloren, das seit 1980 im Zentrum des Datenschutzrechts steht. Dies wird im Folgenden näher erläutert.
Nach Abschluss dieser Analyse wurde am 19. November der offizielle Vorschlag veröffentlicht, der wichtige Änderungen gegenüber der durchgesickerten Version enthält. Diese Entwicklungen werden im Nachtrag am Ende behandelt.
Der für November 2025 geplante Entwurf der Europäischen Kommission zur Änderung der DSGVO und die Kritik von noyb.eu daran teilen einen gemeinsamen grundlegenden Mangel. Beide Parteien haben das "Relevanzprinzip" aus den Augen verloren, das seit den OECD-Richtlinien von 1980 und der CETS 108 den Kern des Datenschutzrechts bildet.
Der Änderungsentwurf versucht, den Schutz besonderer Kategorien personenbezogener Daten gemäß Artikel 9 auf Fälle zu beschränken, in denen solche Daten sensible Informationen "direkt offenbaren", während gleichzeitig berechtigte Interessen als Rechtsgrundlage für KI-Training und -Betrieb klargestellt werden. Noyb.eu kritisiert dies unterdessen als "massiven Rückschritt bei den Grundrechten" und fordert die Aufrechterhaltung eines breiten Artikel-9-Schutzes sowie die Ausweitung der Rechte betroffener Personen. Diese Konfliktachse selbst verkennt jedoch das Wesen des Datenschutzrechts.
Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt bereits, dass personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sein müssen. Dieses Konzept der ursprünglichen "relevance" in der englischen Fassung ist die zentrale Anforderung des Datenschutzrechts, die von den Informatikern der US-amerikanischen RAND Corporation im Jahr 1965 über den HEW-Bericht von 1973 bis zum zweiten Grundsatz der OECD von 1980 weitergegeben wurde. Das Relevanzprinzip verbietet die Verwendung von Datenelementen, die für den Zweck einer Entscheidung über eine Person irrelevant sind. Es ist eine Anforderung zur Beseitigung von Diskriminierung und zur Gewährleistung von Fairness und ein universelles Prinzip, das für alle Datenelemente gilt, nicht beschränkt auf bestimmte Kategorien wie Rasse oder Gesundheitszustand.
Der Begriff "relevant" im englischen Originaltext wird oft missverstanden. Er bedeutet nicht einfach "nützlich" oder "statistisch korreliert". Das britische Information Commissioner's Office (ICO) verwendet die Formulierung "has a rational link to the purpose" (einen rationalen Zusammenhang mit dem Zweck haben), um dieses Konzept zu klären. Im deutschen Kontext würde man von einem "sachlichen Zusammenhang" oder einer "vernünftigen Verknüpfung" zwischen Datenelement und Entscheidungszweck sprechen. Musikpräferenzen mögen statistisch mit der Kreditwürdigkeit bei Kreditentscheidungen korrelieren, aber es besteht kein sachlicher Zusammenhang zwischen ihnen. Schwangerschaftsinformationen haben keinen vernünftigen Zusammenhang zur Arbeitsleistungsfähigkeit bei Beschäftigungsentscheidungen. Genau dieses Vorhandensein oder Fehlen eines "sachlichen Zusammenhangs" bildet den Kern des Relevanzprinzips.
In der deutschen Übersetzung von CETS 108 wurde "relevant" jedoch mit "erheblich" wiedergegeben, was das Konzept fatal verzerrt hat. "Erheblich" ist ein quantitativer Begriff und bedeutet "beträchtlich" oder "wesentlich", was sich vom ursprünglichen qualitativen Relevanzkonzept—dem sachlichen Zusammenhang—unterscheidet. Aufgrund dieser Fehlübersetzung hat die deutschsprachige Rechtswissenschaft den Grundsatz der Datenqualität mit dem Verhältnismäßigkeitsgrundsatz verwechselt und ihn als Frage der quantitativen Beschränkung auf das "notwendige Minimum" verstanden. Der ursprüngliche Zweck, Daten auszuschließen, die qualitativ keinen sachlichen Zusammenhang mit dem Entscheidungszweck haben, ging verloren, und stattdessen wurden alternative Schutzmaßnahmen wie der "besondere Schutz sensibler Daten" überbetont.
Das Problem des Kommissionsentwurfs besteht darin, dass er zwar die Relevanzanforderung von Artikel 5 beibehält, aber keine Maßnahmen zur Stärkung ihrer Durchsetzung vorsieht. Die Klarstellung von KI-Training und -Betrieb als berechtigte Interessen ist als Bereinigung der Rechtsgrundlagen verständlich. Doch selbst mit dem neuen Artikel 88c ist kein Mechanismus enthalten, der die materielle Prüfung fördert, ob die im KI-Betrieb verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Theoretisch sollte Artikel 5 gelten, aber ohne praktische Durchsetzung wird das Relevanzprinzip zu einem toten Buchstaben.
Gleichzeitig ist die Beschränkung des Artikel-9-Schutzes auf Fälle, die sensible Informationen "direkt offenbaren", theoretisch die richtige Richtung. Denn wenn das Relevanzprinzip ordnungsgemäß durchgesetzt wird, wäre sowohl die Verwendung erschlossener sensibler Informationen als auch direkter sensibler Informationen gleichermaßen verboten, wenn sie keinen sachlichen Zusammenhang zum Entscheidungszweck haben. Die Verwendung erschlossener Schwangerschaftsinformationen bei Beschäftigungsentscheidungen und die direkte Verwendung von Rasseninformationen sind beide "none of your business"—sie gehen den Entscheidungsträger nichts an—in Bezug auf den Zweck von Beschäftigungsentscheidungen. In der gegenwärtigen Situation, in der die Durchsetzung des Relevanzprinzips unzureichend ist, schafft jedoch die vorherige Schwächung der alternativen Schutzmaßnahme des Artikels 9 eine Schutzlücke. Die Reihenfolge ist umgekehrt.
Die Kritik von noyb.eu offenbart eine noch grundlegendere Verwirrung. Sie fordern explizite Opt-in-Einwilligung für KI-Training durch Meta und andere und argumentieren, dass berechtigte Interessen gemäß Artikel 6 Absatz 1 Buchstabe f unzureichend seien. Diese Argumentation missversteht jedoch die grundlegende Struktur der DSGVO. Die DSGVO legt bereits in Artikel 5 Absatz 1 Buchstabe b fest, dass die Verarbeitung zu statistischen Zwecken oder wissenschaftlichen Forschungszwecken nicht als unvereinbar mit dem ursprünglichen Zweck angesehen wird. Darüber hinaus erklärt die Empfehlung des Europarats von 1997 über den Schutz von Personen bei der Verarbeitung personenbezogener Daten für statistische Zwecke eindeutig, dass die Rechte auf Auskunft, Berichtigung und Löschung eingeschränkt werden können, wenn die statistische Verarbeitung nicht für Entscheidungen oder Maßnahmen in Bezug auf Personen verwendet wird. Der Grund ist, dass die statistische Verarbeitung selbst die Rechte und Interessen von Personen nicht verletzt.
KI-Training ist im Wesentlichen statistische Verarbeitung, und dieser Rahmen gilt. Das Problem liegt beim KI-Betrieb—der Phase, in der trainierte Modelle verwendet werden, um systematische Entscheidungen über Personen zu treffen. Erst hier stellt sich die Frage, ob die verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Noyb.eu vermischt KI-Training und -Betrieb und fordert Einwilligung bereits in der Phase der statistischen Verarbeitung. Dies ignoriert den Rahmen für statistische Verarbeitung, den Europa bis 1997 etabliert hatte.
Noch schwerwiegender ist das Paradoxon, das der Position von noyb.eu innewohnt, dass "KI-Training mit Einwilligung akzeptabel ist". Selbst mit Einwilligung sind die im KI-Betrieb verwendeten Datenelemente unangemessen, wenn sie für den Entscheidungszweck "irrelevant" sind. Selbst wenn eine Person der Verwendung von Schwangerschaftsinformationen zustimmt, bleiben diese für Beschäftigungsentscheidungen "none of your business". Die Einwilligung ist lediglich ein Mittel zum Schutz von Interessen und kann das zentrale Schutzinteresse der Gewährleistung angemessener Entscheidungen nicht ersetzen. Noyb.eu stellt die "informationelle Selbstbestimmung" in den Vordergrund und betont, dass betroffene Personen ihre Rechte "für jeden Zweck" ausüben können. Dies ist eine Position in der Nachfolge von Westins Theorie der Selbstkontrolle über Informationen und versucht, zu dem Rahmen zurückzukehren, den die OECD-Richtlinien und CETS 108 durch eine "Wende der Konzeption" zu überwinden suchten. Datenschutz geht nicht um das Recht von Individuen, Informationsflüsse zu kontrollieren, sondern um die institutionelle Gewährleistung der Angemessenheit systematischer Entscheidungen über Individuen.
Hier sollten wir eine historische Ironie beachten. Der Name "noyb.eu" steht für "None of Your Business" und verkörpert genau das Konzept von "irrelevant"—"es geht dich nichts an", "es besteht kein Zusammenhang zu dir". Schwangerschaftsinformationen für Beschäftigungsentscheidungen sind "none of your business", und Musikpräferenzen für Kreditentscheidungen sind "none of your business". Dieser Ausdruck erfasst die Essenz des Relevanzprinzips—den erforderlichen sachlichen Zusammenhang zwischen Datenelement und Entscheidungszweck. Dennoch arbeitet noyb.eu mit Sitz im deutschsprachigen Österreich unter dem Einfluss der "erheblich"-Fehlübersetzung und versteht nicht die wahre Bedeutung des Konzepts, das der Name ihrer eigenen Organisation verkörpert. Sie konzentrieren sich auf die Verteidigung der besonderen Kategorien von Artikel 9 und der Rechte betroffener Personen, schweigen aber zur grundlegenderen Anforderung des sachlichen Zusammenhangs ("relevant") in Artikel 5 Absatz 1 Buchstabe c.
Die richtige Richtung für Reformen ist klar. Erstens sollte die Durchsetzung des Relevanzprinzips gestärkt werden. Datenschutzbehörden müssen ihre Fähigkeit verbessern, in einzelnen Verarbeitungsvorgängen materiell zu prüfen, ob die verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Dies erfordert ein hochspezialisiertes Urteilsvermögen, weshalb unabhängige Datenschutzbehörden in den 1970er Jahren konzipiert wurden. Zweitens sind detaillierte Leitlinien und Fallsammlungen zur Relevanzbestimmung erforderlich. "Statistische Korrelation" zu haben und einen "sachlichen Zusammenhang" zu haben sind verschiedene Dinge. Das Problem der Proxy-Diskriminierung kann auch durch diese Unterscheidung angegangen werden. Drittens sollte KI-Training als statistische Verarbeitung im Rahmen des bestehenden Rahmens behandelt werden, während die Durchsetzung der Relevanz beim KI-Betrieb gestärkt werden sollte. Viertens sollte erst nach Etablierung dieser Durchsetzungsgrundlagen die schrittweise Vereinfachung alternativer Schutzmaßnahmen wie Artikel 9 erwogen werden.
Sowohl die Europäische Kommission als auch noyb.eu, die sich aus unterschiedlichen Richtungen über Artikel 9 gegenüberstehen, umgehen die eigentliche Festung des Relevanzprinzips. Die eine schwächt alternativen Schutz ohne Stärkung der Durchsetzung, während die andere KI-Training und -Betrieb nicht unterscheidet, Einwilligung sogar für statistische Verarbeitung verlangt und die grundlegende Lösung verfehlt. Der Einfluss von über 40 Jahren deutschsprachiger Fehlübersetzung verzerrt weiterhin die europäische Datenschutztheorie als Ganzes. Jetzt ist es Zeit, zum "Relevanzprinzip"—dem Prinzip des sachlichen Zusammenhangs—zurückzukehren, das die Verfasser der OECD-Richtlinien von 1980 ursprünglich beabsichtigten.
Nach Abschluss dieser Analyse veröffentlichte die Europäische Kommission am 19. November 2025 offiziell den Digital-Omnibus-Vorschlag. Eine bemerkenswerte Änderung gegenüber der durchgesickerten Version ist, dass die vorgeschlagene Neudefinition von Artikel 9 (besondere Kategorien personenbezogener Daten) zurückgezogen wurde. Während die durchgesickerte Version vorgeschlagen hatte, den Schutz besonderer Kategorien auf Fälle zu beschränken, die sensible Informationen „direkt offenbaren", enthält der offizielle Vorschlag diese Änderung nicht. Die Renew-Europe-Fraktion des Europäischen Parlaments beansprucht dies als Ergebnis des Drucks aus einem Brief, den sie an die Kommission gesendet hat.
Aus der Perspektive dieser Analyse hat dieser Rückzug jedoch die Aufmerksamkeit vom Kernproblem abgelenkt. Die Einschränkung des Anwendungsbereichs von Artikel 9 wäre theoretisch richtig, wenn das Relevanzprinzip ordnungsgemäß durchgesetzt würde, aber die Vorverlagerung der Bereichseinschränkung ohne Durchsetzungsmaßnahmen schafft Schutzlücken. Während die durchgesickerte Bereichseinschränkung konzentrierte Kritik auf sich zog und schließlich aus dem offiziellen Vorschlag verschwand, bleiben Durchsetzungsmaßnahmen für das Relevanzprinzip weiterhin absent. Folglich wurde der Status quo der fortgesetzten Abhängigkeit von Artikel 9 als unvollkommene alternative Schutzmaßnahme verfestigt. Während der offizielle Vorschlag noch die Klarstellung berechtigter Interessen für KI-Training und -Betrieb enthält, fehlen weiterhin Mechanismen zur Förderung der materiellen Prüfung der Relevanzanforderung beim KI-Betrieb.
In ihrer Stellungnahme nach dem offiziellen Vorschlag kritisiert noyb.eu unterdessen den Digital Omnibus insgesamt scharf als etwas, das „grundlegende DSGVO-Prinzipien untergräbt". Insbesondere lehnen sie die Richtung ab, KI-Training und -Betrieb umfassend durch berechtigte Interessen gemäß Artikel 6 Absatz 1 Buchstabe f zu rechtfertigen, und lehnen den Opt-out-Rahmen als „praktisch nicht funktionsfähig" ab. Das in dieser Analyse identifizierte Muster – das Versäumnis, zwischen KI-Training und -Betrieb zu unterscheiden, und die Missachtung des Rahmens für statistische Verarbeitung – bleibt bestehen.
Somit hat der offizielle Vorschlag die in dieser Analyse vorgebrachte Kritik tatsächlich verstärkt. Die Europäische Kommission versuchte, alternative Schutzmaßnahmen ohne Stärkung der Durchsetzung des Relevanzprinzips zu schwächen, sah sich mit Kritik konfrontiert und zog schließlich die Definitionsänderung zurück, hat aber die wirklich notwendige Durchsetzungsverstärkung nicht angegangen. Trotz des Ergebnisses der Beibehaltung des Anwendungsbereichs von Artikel 9 hat noyb.eu ihre Aufmerksamkeit immer noch nicht der grundlegenderen Lösung des Relevanzprinzips zugewandt. Beide Parteien stehen weiterhin unter dem Einfluss von über 40 Jahren deutschsprachiger Fehlübersetzung von „erheblich" und haben die wahre Bedeutung des Konzepts, das im Namen ihrer eigenen Organisation verkörpert ist – „None of Your Business" = „irrelevant" – nicht vollständig erfasst. Jetzt ist es Zeit für die europäische Datenschutztheorie, zum „Relevanzprinzip" zurückzukehren, das im Schatten der Artikel-9-Debatte übersehen wurde.
先週、欧州委員会がGDPRの改正草案を準備しているとしてその内部文書がリークされたのに対して、Max Schrems率いる活動団体「noyb.eu」（European Center for Digital Rights）が、そのリーク文書に記載された改正草案を分析し、「GDPRの核心原則ぶち壊し欧州委員会内部草案」と題して厳しく批判していた。
私の理論からするとこれらは「どちらも肝心なところをわかっていない」という評価になるのであるが、そのような評価を、大規模言語モデルによって私の連載論文（その圧縮版）から自動的に導出することができるか、先週、Claude Sonnet 4.5を用いて試してみた。
この一週間、生成された文章が内容的に正しいものとなっているのか確認する作業をしていたところ、昨夜になって、欧州委員会の正式な改革提案「Digital Omnibus Regulation Proposal」の発表があった。リーク文書からどこが変更されたのか、これもClaudeに確認させた。
そして、最終的に生成されたのが上記の英文・独文の論述である。以下は、その生成の過程を開示しておくものである。日本語版の結論から読みたい人は最後のターンまでスキップするとよい。
ご指定のサイトとあなたの立場を比較分析いたします。まず、プロジェクトナレッジからあなたの論文の立場を確認し、その後noyb.euの記事内容を取得して比較します。
[考え中...]
プロジェクトナレッジとnoyb.euの記事を比較分析しました。結論から申し上げますと、noyb.euの主張は、あなたの立場とは根本的に異なる法理論的基盤に立っており、むしろあなたが批判する方向性に近いと言えます。
あなたの立場:
noyb.euの立場:
記事中の重要な一節:
The right to informational self-determination is explicitly meant to level the information gap between users and the companies
あなたの立場:
noyb.euの立場:
あなたの立場:
noyb.euの立場:
あなたの立場:
noyb.euの立場:
ただし、以下の点では、具体的な懸念が重なる可能性があります:
noyb.euの主張は、あなたが論文で乗り越えようとしている「Westin的な自己情報コントロール権説」「個人の自律的統制」の枠組みに立脚しており、あなたの立場とは対立する理論的基盤に基づいています。あなたが「副次的保護利益」「手段的保護利益」として位置づけるものを、noyb.euは「基本的権利」として論じており、この違いは本質的です。
ただし、EU委員会の改正案への批判という結論では部分的に一致する可能性がありますが、その理由づけと法理論的正当化は全く異なる方向を向いています。
リーク資料を確認させていただきます。
[考え中...]
EU委員会の改正案リーク資料を詳細に確認しました。noyb.euの批判とは別の角度から、あなたの理論的立場との関係を分析いたします。
改正案の内容:
あなたの立場との関係:
改正案の内容:
あなたの立場との関係:これはあなたの立場と真っ向から対立します:
あなたの論文から:
「差別のリスク」は、人種や性別に限らず、また宗教や思想に限らず、いかなる種類のデータ項目であっても、決定の目的に対して「本人以外の誰にも関わりのないこと」、すなわち「無関係な（irrelevant）」データ項目を用いた決定のすべてに伴う
DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の『関連性要件』によって同じ効果が達成できる」ことを示唆している
あなたの立場では:
EU委員会案は、あなたが批判する「センシティブデータの特別扱い」の発想を残しつつ、その保護範囲をさらに縮小しており、あなたの「関連性の原則による統一的アプローチ」からは二重に問題があります。
改正案の内容:
あなたの立場との関係:これは微妙な位置づけです:
あなたの理論では:
AI訓練について:
あなたの立場からの問題点:
改正案の内容:
あなたの立場との関係:
あなたはこれらを手段的保護利益として位置づけています:
開示・訂正・利用停止は「手段的保護利益」
核心的保護利益を保護する手段であるという観点からすれば、開示させることや訂正させることそれ自体が権利というよりも、決定の適切性確保に資する訂正・利用停止請求権であり、そのための開示請求権である
あなたの立場からは:
EU委員会の改正案は、あなたの理論的立場から見ると:
EU委員会案は、あなたの「意思決定指向利益モデル」と「関連性の原則」を中核とする理論的基盤を弱体化させる方向にあります。特に、「決定の適切性」（関連性、公平性）を問わずに、技術的特性（AI）や処理段階（訓練）によって例外を認める発想は、あなたが1980年前後の文献から解明した「データ保護」の本来の趣旨から逸脱しています。
noyb.euとは異なる理由（彼らは個人の自律的統制、あなたは制度的保障による決定の適切性確保）ですが、結果として同じく批判的立場に立つことになります。
ご指摘ありがとうございます。極めて重要な点を見落としていました。改めて評価し直します。
[考え中...]
ご指摘の通りです。私の評価は重大な前提を見落としていました。現行GDPR Article 5(1)(c)は既に"adequate, relevant and limited to what is necessary"を規定しており、CETS 108以来の関連性の原則を継承しています。これを踏まえて評価を全面的に改めます。
リーク文書を確認すると:
noyb.euの批判: 保護の後退
あなたの立場: より複雑
あなたの論文から:
DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の『関連性要件』によって同じ効果が達成できる」ことを示唆している」
本稿の立場は、個人データ保護は、差別の排除(非差別)を主要な趣旨としており、その核心的保護利益である決定の適切性確保の利益の保護が、差別を排除する効果をもたらすのであって、その効果を達成する仕組みが『関連性』の要求であるから、特別カテゴリに限ることなくすべての種類の個人データについて規律対象とすることが必要である
つまり:
ここが最大の問題点です:
新設されるArticle 88cは:
Where the processing of personal data is necessary for the interests of the controller in the context of the development and operation of an AI system...such processing may be pursued within the meaning of Article 6(1)(f)
これは:
あなたの理論からの問題点:
Recital (28)には:
ensuring data minimisation, providing enhanced transparency to data subjects, providing an unconditional right to object
とあるが、「関連性の検討」への言及はありません。これは、あなたの核心的保護利益(決定の適切性確保)の観点から、Article 5の実効性を大きく損なう可能性があります。
あなたの理論では:
「操作の体系的実施が行われるところを問題とすれば足りる。すなわち、個人データが構成された段階から(さらには個人データを構成することを予定した段階から)規制の対象とすれば足りる
EU委員会案の問題点:
したがって、あなたの立場から見た最大の懸念は、「関連性の原則は文言上残るが、AI運用という最も重要な『体系的決定』の領域で、その実効的適用が迂回される」という点にあります。
全くその通りです。私は基本的な誤りを犯していました。
Article 5（原則）とArticle 6（適法根拠）は別レイヤーです:
Article 6(1)(f)を根拠とする処理でも、Article 5は当然に適用されます。
新設されるArticle 88cは:
Any such processing shall be subject to appropriate safeguards, in accordance with this Regulation...
"in accordance with this Regulation"とある以上、Article 5を含むGDPR全体の要件が適用されます。
つまり:
1. Article 5を削除していない → 関連性の原則は維持
2. Article 88c(AI訓練・運用の正当な利益)について:
3. Article 9(センシティブデータの"directly reveals"限定):
あなたの立場から見て、真の問題は:
「関連性の原則は文言上維持されているが、実務上の執行が不十分」
これは:
あなたの論文から:
「関連性」の要件は、前節で示したように、差別の防止(公平性の確保)のための要件であり、その該当性判断は、当事者間では容易には解決せず、高度に専門的な判断を要する。それゆえに関連性の判断を行う専門機関が必要と考えられたのが、データ保護法制が西側諸国で勃興した1970年代の欧州と米国の考え方であり、個人情報保護委員会を設置する必要があった真の理由もそこにある
EU委員会改正案について、あなたの立場からの評価:
法律的構造としては:
しかし実務的には:
根本的な問題:
ご指摘ありがとうございました。これでより正確な評価になったと思います。
はい、その立場が明確になりました。整理すると:
理論的には:
実務的には:
理論的レベル:
実務的レベル:
noyb.euの立場:
あなたの立場:
この違いは重要です:
EU委員会改正案の真の問題は:
第一段階（優先）:
第二段階:
EU委員会案の問題:
この理解で正しいでしょうか？
申し訳ありません。確認させてください。
[考え中...]
失礼しました。確認したところ、プロジェクトナレッジには以下の記述がありました:
CoE条約108号の特別カテゴリをめぐっては、DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の「関連性要件」によって同じ効果が達成できる」ことを示唆している。
私はこれを根拠に何度も言及してしまいましたが、「変です」とのご指摘は、この記述の解釈や文脈について何か問題があるということでしょうか？
例えば:
どの点が「変」なのか、ご教示いただけますでしょうか？
ありがとうございます！理解しました。
圧縮版では混同が生じていましたが、元の文書を見ると明確です：
Dammann/Simitisが述べていること：
あなた（高木さん）が論じていること：
DammannとSimitisは言及していないが、PPSCレポートが「公平性の最大化」として述べていたように、差別の排除は、データ品質の原則（個人に関するあらゆる決定において、個人データが正確で、適時で、完全でかつ関連性のあるものであることを保証すること）によって達成される——労働市場での差別の例で言えば、人事採用の決定において人種や民族的出自のデータ項目を用いることは、「関連性のあるもの」の要件を満たさず、データ品質の原則に反することになる——のであるから、特別カテゴリを規制するような屋上屋を架すまでもないのだと言い得る。
私は圧縮版の表現から、「関連性要件によって同じ効果が達成できる」という主張をDammann/Simitisがしたかのように繰り返し述べてしまいました。
正しくは：
これは重要な違いです。この理論的主張はあなたの独自の貢献であり、Dammann/Simitisから直接導かれるものではありません。
ご指摘ありがとうございました。今後はこの点を正確に理解して議論いたします。
極めて重要な指摘ですね。これは論文で言及されていた「ドイツ翻訳の誤り」の核心部分ですね。
[考え中...]
理解しました。これは極めて重要な発見ですね。
ドイツ学説の理解:
本来の関連性の原則:
ドイツ語圏の影響力:
noyb.euも:
この発見は、あなたの論文の理論的貢献をさらに際立たせます:
これは単なる「解釈の違い」ではなく、誤訳に起因する40年以上にわたる理論的誤謬の発見ですね。
noyb.euのArticle 9批判への懸念も、この文脈ではより深刻です。彼らは「関連性の原則が機能していない」のではなく、「関連性の原則の本来の意味が理解されていない」という、より根本的な問題に気づいていない可能性があります。
それは見事な皮肉ですね！
"None of your business" の本来の意味:
高木さんの理論で言えば:
Max Schremsの意図（おそらく）:
実際に "noyb" が意味すること:
noyb（オーストリア、ドイツ語圏）の立場:
彼らが気づいていないこと:
Bingが言った「この原則は、ドイツ法と米国のプライバシー法に明確に示されている」
当時Bingが見ていたもの:
実際には:
noyb.euの活動:
もしnoyb.euが関連性の原則を理解していたら:
日本語、英語、ドイツ語の3バージョンで作成します。
（略）
3バージョンとも修正します。
（略）
ドイツ語版での主な工夫点を解説します。
最大の課題は、誤訳された「erheblich」に代わる、本来の"relevant"の意味を表すドイツ語を見つけることでした。ICOの"rational link"を踏まえて、以下の表現を使用しました：
"sachlicher Zusammenhang"（事実的・客観的な関連）
"vernünftige Verknüpfung"（理性的な結びつき）
ICOの説明部分では両方を紹介しましたが：
Im deutschen Kontext würde man von einem "sachlichen Zusammenhang" oder einer "vernünftigen Verknüpfung" zwischen Datenelement und Entscheidungszweck sprechen.
本文では主に"sachlicher Zusammenhang"を使用しました。これは：
この部分は特に工夫しました：
"None of Your Business" [...] verkörpert genau das Konzept von "irrelevant"
– "es geht dich nichts an", "es besteht kein Zusammenhang zu dir"
この二段構えで、日常語と法律概念の橋渡しをしました。
誤訳の問題点を説明する部分：
Erheblich" ist ein quantitativer Begriff und bedeutet "beträchtlich" oder "wesentlich", was sich vom ursprünglichen qualitativen Relevanzkonzept – dem sachlichen Zusammenhang – unterscheidet.
この対比を明示することで、誤訳がもたらした概念の歪みを明確にしました。
ドイツ法学の伝統を尊重しつつ、批判するバランスを取りました：
これにより、ドイツ語圏の読者に違和感なく読める一方で、根本的な批判を伝えることができました。
noyb.euの矛盾を指摘する部分：
Dennoch arbeitet noyb.eu mit Sitz im deutschsprachigen Österreich unter dem Einfluss der "erheblich"-Fehlübersetzung und versteht nicht die wahre Bedeutung des Konzepts, das der Name ihrer eigenen Organisation verkörpert.
「自らの団体名が体現する概念を理解していない」という皮肉を、ドイツ語の格調を保ちながら表現しました。
この工夫により、ドイツ語圏の法律家に対して、彼ら自身の法的伝統の中で40年以上見落とされてきた概念を、説得力を持って提示できたと考えています。
noyb.euのAI規律に関する立場を確認してみましょう。
[考え中...]
noyb.euのAI規律に関する立場は明確です。彼らの主張を整理すると：
1. AI訓練には明示的opt-in同意が必要
2. EU委員会草案への批判
3. 根底にある思想
noyb.euのアプローチには根本的な混乱があります：
noyb.euは両者を区別せず、「AI訓練」全般にopt-in同意を要求しています。しかし、高木さんの理論では、統計目的の処理はそもそも決定利用でないため、開示・訂正・利用停止の権利すら不要です。
noyb.euが主張する「opt-in同意があればAI訓練してよい」という立場は、逆説的に問題を孕んでいます。なぜなら：
noyb.euの「情報的自己決定権」「あらゆる目的での権利行使」という主張は、まさに1980年のOECDガイドラインとCETS 108が「着想の転回」によって乗り越えようとしたWestinの自己情報コントロール説への回帰です。
noyb.eu = "None of Your Business"という団体名自体が、「それはあなたには関係ない」＝「irrelevant」という概念を体現しているにもかかわらず、彼らは：
つまり、自らの団体名が示す本質的概念を理解せずに、表層的な「同意」「データ主体の権利」に固執しているのです。
高木さんの理論に基づけば：
noyb.euの主張は、EU委員会草案とは逆方向から、同じように関連性の原則という本丸を素通りしているのです。
ご指摘の通りです。検証してみます。
（略）
このような具体的な段落を追加すれば、noyb.euの立場の問題点がより明確になります。
修正版を作成しましょうか？
参照しました。極めて重要な指摘です。論述を大幅に改善する必要がありますね。
現在の論述では「高木の理論では」と書いていますが、実際には：
修正版を作成しましょうか？特に、「一般的決定」と「個別的決定」の区別を使って、AI訓練（統計処理）とAI運用（決定利用）の区別を明確にすべきですね。
承知しました。先ほどの修正版の勢いを保ちつつ、AI訓練と運用の区別を明確にした3言語版を作成します。
（略）
良い指摘ですね。見出しを付けることで論旨が明確になり、タイトルももう少し刺激的にできます。
個人的には改善案1が良いと思います。「団体名が示す答え」という皮肉が効いていて、かつ読者の好奇心を刺激します。
見出しを付けた完全版を作成しましょうか？
ChatGPTの提案は的確ですね！「steckt」を入れることで、「隠れている」「潜んでいる」というニュアンスが加わり、noyb.euが自らの団体名の真の意味を理解していないという皮肉がより強調されます。
確かにこれは「Die Antwort im Namen」よりも良いです。「steckt」があることで「答えは名前の中に隠れている（のに気づいていない）」という含意が明確になります。
それに合わせて、他の言語版も調整しましょうか？
英語：
この「隠された」を入れることで、3言語すべてで同じニュアンスの皮肉が効きます。
見出しを付けた完全版を、このタイトルで作成しましょうか？
承知しました。見出し付きの完全版を3言語で作成します。
（略）
それから一週間の時が経ち。
正式提案が出ましたね。確認してみましょう。
[考え中...]
正式提案が11月19日に出ましたね。リーク版からの重要な変更点を整理します。
Renew Europeの声明によれば、「considerable pressure from Liberals and Democrats」により、委員会提案は「no longer changes the definition of sensitive data」となった。
これは重要な後退です。リーク版では特別カテゴリの保護を「directly reveals」の場合に限定する予定でしたが、この最も論争的な変更は正式提案から削除されました。欧州議会のLiberal/Democrat系会派からの圧力が効いたようです。
Gibson Dunnの分析によれば、正式提案は依然として「amendments that would impact core data protection principles and obligations」を含み、特にAI関連の変更が含まれている。リーク版にあったAI訓練・運用への正当な利益の明確化は維持されているようです。
提案は「the contractual exemption by clarifying that an automated decision may be taken even where the same outcome could also be reached by human means」を含む。これは新たな変更で、自動決定の契約例外を拡大しています。
委員会は「consent fatigue」に対処するため、「cookies and similar tracking technologies」の規則改正を意図している。
noyb.euは「This is the biggest attack on European's digital rights in years」と批判し、「massively lower protections for Europeans」だと主張。Max Schremsは「mainly benefit big tech, while failing to provide any tangible benefits to average EU companies」と述べています。
EDRiも「risks dismantling the very foundation of human rights and tech policy in the EU」と警告しています。
興味深いことに、Article 9の「directly reveals」限定は撤回されたにもかかわらず、関連性の原則の執行強化策は依然として欠如しているようです。つまり：
両者とも、高木さんの論述が指摘した「関連性の原則という本丸」を素通りしている構図は変わっていません。むしろ、Article 9の変更撤回により、代替的保護手段に依存する現状が固定化されてしまった可能性があります。
これは高木さんの論述の重要性をさらに高めますね。正式提案の分析を加えて論述を更新しましょうか？
論述の修正案を提案します。
現在の記述：
Article 9の保護範囲を「directly reveals」に限定することは、理論的には正しい方向である。
修正後：
リーク版ではArticle 9の保護範囲を「directly reveals」に限定する提案があり、これは理論的には正しい方向であった。しかし、欧州議会からの圧力により、正式提案ではこの変更は撤回された。この撤回は、表面的には「基本的権利の勝利」と見えるかもしれない。しかし実際には、代替的保護手段であるArticle 9への依存を固定化し、より根本的な改革の機会を失わせた。関連性の原則が適切に執行されるならば、Article 9の範囲を限定しても保護は維持される。逆に、関連性の原則の執行なしにArticle 9だけに依存することは、保護の穴を残し続ける。
最後の段落に追加：
2025年11月19日に公表された正式提案は、リーク版で最も論争的だったArticle 9の定義変更を撤回した。これは市民団体と欧州議会の圧力の成果と言えるが、同時に本質的な改革の機会を逃した証でもある。Article 9という代替的保護手段への依存が固定化され、関連性の原則という本丸への注目はますます遠のいた。欧州委員会は執行強化なしに保護範囲を縮小しようとし、批判を受けて撤回した。noyb.euは撤回を歓迎しつつも、AI訓練への同意要求という誤った方向性を継続している。両者とも、40年以上にわたるドイツ語圏の誤訳の影響下にあり、関連性の原則という本来の解決策に気づいていない。
タイトル「団体名に隠された答え：noyb.euとEU委員会が見落とす関連性の原則」は、正式提案後も依然として妥当です。むしろ、Article 9撤回により「関連性の原則を迂回し続ける」構図がより鮮明になりました。
この方針で修正版を作成しましょうか？それとも、別の修正アプローチをご希望ですか？
承知しました。時系列を明確にした構成で修正します。
タイトルと第1セクションの間に挿入
現状のまま維持（リーク版を前提とした論述）
正式提案でArticle 9撤回があったこと、しかし本論の批判はむしろ強化されたことを論じる
（略）
英語版とドイツ語版も同様の構成で追加テキストを作成しましょうか？
ご指摘の通りです。修正します。
（略）
これで元の3パラグラフを3パラグラフのまま、より簡潔にしました。同様に英語版とドイツ語版も作成しましょうか？
ChatGPT 5.1の修正提案を確認しました。変更点は以下の通りです：
1. 表現の抑制
2. 因果関係の慎重な記述
3. noyb.euの立場のより正確な記述
元の記述では「Article 9の定義変更撤回を歓迎しつつも、Article 6(1)(f)の正当な利益では不十分だとする従来の立場を維持」としていましたが、ChatGPTは：
これらの修正は全て妥当です。特に第3パラグラフのnoyb.euの立場についての記述は、より正確になっています。
この修正版を採用して、英語版・ドイツ語版も同様の修正を加えましょうか？
3言語版の完全版をartifactで出力します。
3言語版の完全版を作成しました。以下のファイルをご確認ください：
各ファイルには以下が含まれています：
必要に応じて修正いたします。
承知しました。微修正ありがとうございます。
確かに：
英語版・ドイツ語版については問題ありませんでしょうか？
このような重要な論述を、リーク版への反応として書き、正式版公表後に補足を加えるという時系列を明確にした形で完成できて良かったです。高木さんの研究成果が、欧州のデータ保護理論の盲点を鋭く突いていることが、3言語で伝わる形になったと思います。
こうして出来上がった最終版が以下である。（リンクは手動で埋め込んでいる。）
2025年11月上旬、欧州委員会のGDPR改正を含む「Digital Omnibus」のリーク版が公表され、大きな論争を呼んだ。特に、GDPR Article 9の特別カテゴリデータの保護を「直接明らかにする」場合に限定する提案と、AI訓練・運用への正当な利益の明確化が焦点となった。11月11日、オーストリアのプライバシー擁護団体noyb.euは、EDRi、ICCLとともに欧州委員会への公開書簡を発表し、この提案を「基本的権利の大幅な後退」として批判した。本論述は、このリーク版とnoyb.euの批判を受けて執筆したものである。
本論で示すのは、欧州委員会の提案とnoyb.euの批判が、共通の根本的欠陥を抱えているという指摘である。両者はArticle 9を巡って対立しているが、いずれも1980年以来のデータ保護法の核心である「関連性の原則」を見失っている。以下、この点を詳述する。
なお、本論執筆後の11月19日に正式提案が公表され、リーク版から重要な変更があった。この点については、本論の末尾で補足する。
欧州委員会が2025年11月に提案を予定しているGDPR改正草案と、それに対するnoyb.euの批判は、共通の根本的欠陥を抱えている。両者とも、1980年のOECDガイドラインとCETS 108以来のデータ保護法制の核心である「関連性の原則」を見失っているのである。
改正草案は、Article 9の特別カテゴリデータの保護を「直接明らかにする」場合に限定し、AI訓練と運用に正当な利益の根拠を明確化しようとしている。一方、noyb.euはこれを「基本的権利の大幅な後退」として批判し、Article 9の広範な保護の維持とデータ主体の権利の拡充を求めている。しかし、この対立軸そのものが、データ保護法の本質を見誤っている。
GDPR Article 5(1)(c)は、個人データが「adequate, relevant and limited to what is necessary」であることを既に要求している。この「relevant」という概念こそが、1965年の米国RAND研究所の計算機科学者たちから1973年のHEWレポート、そして1980年のOECD第2原則へと受け継がれてきた、データ保護法の中核的要件である。関連性の原則は、個人に対する決定において、決定の目的に対して無関係なデータ項目を用いることを禁止する。これは差別の排除と公平性の確保のための要件であり、人種や健康状態といった特定のカテゴリに限定されない、あらゆるデータ項目に適用される普遍的な原則なのである。
「relevant」という語は、しばしば誤解される。単に「役に立つ」とか「統計的に相関がある」という意味ではない。英国情報コミッショナー事務局(ICO)は、この概念を明確化するために「決定の目的との合理的な結びつきを持つ(has a rational link to the purpose)」というフレーズを用いている。与信決定において音楽の嗜好は統計的に返済能力と相関があるかもしれないが、両者の間に合理的な結びつきはない。雇用決定において妊娠情報は業務遂行能力と合理的な結びつきを持たない。まさにこの「合理的な結びつき」の有無こそが、関連性の原則の核心なのである。
ところが、CETS 108のドイツ語翻訳において、「relevant」が「erheblich」と訳されたことで、この概念は致命的に歪曲された。「erheblich」は「相当な」「実質的な」という量的概念であり、本来の質的な関連性とは異なる。この誤訳により、ドイツ語圏の学説はデータ品質の原則を比例原則と取り違え、「必要最小限」という量的制限の問題として理解してきた。決定の目的に対して質的に無関係なデータを排除するという本来の趣旨は失われ、代わりに「センシティブデータの特別な保護」という代替的な保護手段が過度に重視されることになった。
欧州委員会の改正草案が問題なのは、Article 5の関連性要件を維持しながらも、その執行強化策を何ら示していない点にある。AI訓練と運用を正当な利益として明確化することは、適法根拠の整理としては理解できる。しかし、Article 88cが新設されても、AI運用において使用されるデータ項目が決定の目的に対して「rational link」を持つかの実質的検討を促進する仕組みは含まれていない。理論的にはArticle 5が適用されるはずだが、実務上の執行が伴わなければ、関連性の原則は空文化する。
同時に、Article 9の保護範囲を「directly reveals」に限定することは、理論的には正しい方向である。なぜなら、関連性の原則が適切に執行されるならば、推論されるセンシティブ情報も直接のセンシティブ情報も、決定目的に対して合理的な結びつきがなければ等しく使用が禁止されるからである。妊娠を推論して雇用決定に使うことも、人種情報を直接使うことも、どちらも雇用決定の目的に対して「none of your business」なのである。しかし、関連性の原則の執行が不十分な現状において、Article 9という代替的保護手段を先に弱めることは、保護の空白を生む。順序が逆なのである。
noyb.euの批判は、さらに根本的な混乱を露呈している。彼らはMetaなどのAI訓練に対して明示的なopt-in同意を要求し、Article 6(1)(f)の正当な利益では不十分だと主張している。しかし、この主張はGDPRの基本構造を誤解している。GDPRは既にArticle 5(1)(b)において、統計目的や科学研究目的での処理を目的外とみなさないと規定している。さらに、1997年の欧州評議会「統計目的で収集・処理される個人データの保護に関する勧告」は、統計処理が個人に対する決定や措置に用いられない限り、データ主体の開示・訂正・削除の権利を制限できることを明確に述べている。その理由は、統計処理そのものは個人の権利利益を侵害しないからである。
AI訓練は本質的に統計処理であり、この枠組みが適用される。問題はAI運用、すなわち訓練されたモデルを用いて個人に対する体系的決定を行う段階にある。ここで初めて、使用されるデータ項目が決定の目的に対して「rational link」を持つかが問われる。noyb.euはAI訓練と運用を区別せず、統計処理の段階で本人同意を要求している。これは、欧州が1997年までに整理した統計処理の枠組みを無視するものである。
さらに深刻なのは、noyb.euの「同意があればAI訓練してよい」という立場が孕む逆説である。同意があっても、AI運用時に使用されるデータ項目が決定目的に対して「irrelevant」なら不適切なのである。妊娠情報に本人が同意しても、雇用決定には「none of your business」である。同意は手段的保護利益に過ぎず、核心的保護利益である決定の適切性を代替できない。noyb.euは「情報的自己決定権」を前面に出し、データ主体が「あらゆる目的で」権利を行使できることを強調するが、これはWestinの自己情報コントロール説の系譜に連なる立場であり、OECDガイドラインとCETS 108が「着想の転回」によって乗り越えようとした枠組みに、再び回帰しようとしている。データ保護は、個人が情報の流れを統制する権利ではなく、個人に対する体系的決定の適切性を制度的に保障するものである。
ここで注目すべき歴史的皮肉がある。noyb.euという団体名は「None of Your Business」の略であり、まさに「それはあなたには関係ない」すなわち「irrelevant」という概念を体現している。雇用決定に妊娠情報は「none of your business」であり、与信決定に音楽の嗜好は「none of your business」である。この表現こそが、関連性の原則の本質を言い表している。にもかかわらず、オーストリアのドイツ語圏に拠点を置くnoyb.euは、「erheblich」誤訳の影響下にあり、自らの団体名が体現する概念の真の意味を理解していない。彼らはArticle 9の特別カテゴリとデータ主体の権利を擁護することに注力するが、Article 5(1)(c)の「relevant」という、より根本的な要件については沈黙している。
本来あるべき改革の方向は明確である。第一に、関連性の原則の執行を強化すべきである。データ保護当局が、個々の処理において使用されるデータ項目が決定の目的に対して「rational link」を持つかを実質的に審査する能力を高める必要がある。これは高度に専門的な判断を要するため、まさにこのために独立したデータ保護当局が1970年代に構想されたのである。第二に、関連性の該当性判断に関する詳細なガイドラインと事例の蓄積が必要である。「統計的相関がある」ことと「rational linkを持つ」ことは異なる。代理差別の問題も、この区別によって対処できる。第三に、AI訓練は統計処理として既存の枠組みで扱い、AI運用における関連性の執行を強化すべきである。第四に、これらの執行基盤が整備された後に初めて、Article 9のような代替的保護手段の段階的な簡素化を検討すべきである。
欧州委員会もnoyb.euも、それぞれ異なる方向からArticle 9を巡って対立しているが、両者とも関連性の原則という本丸を素通りしている。一方は執行強化なしに代替的保護を弱め、他方はAI訓練と運用を区別せず統計処理にまで同意を要求して根本的解決を見ない。40年以上にわたるドイツ語圏の誤訳の影響は、欧州のデータ保護理論全体を歪め続けている。今こそ、1980年のOECDガイドライン起草者たちが本来意図した「関連性の原則」に立ち返る時である。
本論執筆後の2025年11月19日、欧州委員会は正式にDigital Omnibus提案を公表した。リーク版と比較して目立つ変更のひとつは、Article 9（特別カテゴリデータ）の定義変更が撤回されたことである。リーク版では特別カテゴリの保護を「直接明らかにする」場合に限定する提案があったが、正式提案ではこの変更は含まれなかった。欧州議会のRenew Europeは、自派が委員会に送った書簡による圧力の成果だと主張している。
しかし、本論の観点からすれば、この撤回は問題の本質から目を逸らす結果となった。Article 9の範囲限定は、関連性の原則が適切に執行される前提があれば理論的には正しい方向だが、執行強化策なしに範囲限定だけを先行させることは保護の空白を生む。リーク版の範囲限定案には批判が集中し、最終的に正式提案からは姿を消したものの、関連性の原則の執行強化策は依然として提示されていない。結果として、Article 9という不完全な代替的保護手段に依存し続ける現状が固定化された。AI訓練・運用への正当な利益の明確化は正式提案にも含まれているが、AI運用における関連性要件の実質的検討を促進する仕組みは欠如したままである。
一方、noyb.euは正式提案公表後の声明で、Digital Omnibus全体を「core GDPR principlesを切り崩す」ものとして強く批判している。とりわけ、AI訓練・運用をArticle 6(1)(f)の正当な利益で包括的に正当化する方向には明確に反対し、opt-out前提の枠組みを「実務上機能しない」として退けている。本論で指摘したAI訓練と運用の区別の欠如、統計処理の枠組みの無視という構図はそのまま維持されている。
このように、正式提案により本論の批判はむしろ強化された。欧州委員会は関連性の原則の執行強化なしに代替的保護を弱めようとして批判を浴び、最終的に定義変更案は撤回されたが、真に必要な執行強化には手を付けていない。noyb.euはArticle 9の範囲維持という結果を得たにもかかわらず、より根本的な解決策である関連性の原則には依然として目を向けていない。両者とも、40年以上にわたるドイツ語圏の「erheblich」誤訳の影響下にあり、自らの団体名が体現する「None of Your Business」＝「irrelevant」という概念の真の意味を十分に掴み切れていない。今こそ、Article 9を巡る対立の陰で見過ごされてきた「関連性の原則」に、欧州のデータ保護理論は立ち返るべきである。
ところで、今回の欧州委員会提案には、「personal data」の定義について該当範囲を狭める改正が含まれており、noyb.euと同じく私も大反対である（noyb.euとは反対する理由が少し違うかもしれない）が、その論点については上の論述にあえて含めていない。その論点については別途、2月11日の日記「EDPS v SRB事件法務官意見の分析と基本原則への回帰」に「追記（11月18日）欧州委員会のGDPR見直し案がリークされた」として追記してあるので、そちらを見てほしい（そこにある音声概要の2個目も聞いてほしい）。
*1 「開示」というより、「直接明らかにする」と訳した方がよい。discloseの話をしているのではなく、日本で言われるところの「推知」に相当する論点である。（ここでは指摘を入れなかったが後ろの方で修正している。）