In a previous post on the leaked “Digital Omnibus” draft, I played with the idea hidden in noyb’s name: None of Your Business – in other words, irrelevant. My point was that the GDPR already contains, in plain sight, a principle that should be at the core of the debate but is almost never mentioned: Article 5(1)(c)’s demand that data be adequate, relevant and limited to what is necessary in relation to a purpose. The real question is not how much “personal data” the law can cover in the abstract, but which data are any controller entitled to take into account for a given decision.
Since then, the Digital Omnibus proposal has been published, and noyb has issued a long report criticising it. The public debate has largely been framed as a familiar clash: on one side, a Commission accused of “watering down” the GDPR by narrowing the definition of personal data and creating new exceptions for AI and research; on the other, civil-society actors defending a maximal scope for “personal data” and a strong version of data minimisation.
In this post I want to argue that this is the wrong axis of conflict. Both sides are fighting over how broad the law’s coverage should be, while largely ignoring what the law was actually designed to control. The Omnibus debate is being treated as a war over definitions, when it should be treated as an opportunity to recover the original focus of data protection: the fairness of decisions about individuals, and the prevention of their being made on the basis of irrelevant data.
To make that case, I will first say something about the “maximal scope” paradigm that dominates current criticism of the Omnibus. I will then turn to the research and AI provisions, explain why both the Commission and noyb mis-locate the risks, and finally suggest a different way of looking at scope – one that re-reads “processing of personal data” in line with its directive-era function.
A central target of current criticism of the Digital Omnibus proposal is the suggested rewording of Article 4(1) GDPR, the definition of “personal data”. In noyb’s reading, the new text would introduce a strongly controller-relative element into identifiability: whether information is “personal data” would depend on the specific controller’s perspective, resources or reasonable efforts. Pseudonymised data held by actors who lack re-identification keys might therefore fall outside the definition for them, even if another actor could identify the same records.
For noyb, this is not just an unfortunate drafting choice but a constitutional problem. The reasoning, roughly, is as follows:
On this view, the definition of “personal data” in Directive 95/46/E.C., as interpreted in landmark CJEU judgments, has been effectively “constitutionalised” by Article 8 of the Charter. And what is “constitutionalised” is understood as the breadth of the definition: the more generously we interpret “any information relating to an identified or identifiable natural person”, the more robust the protection of Article 8 must be.
From this vantage point, the only safe strategy is to insist that almost any information that can, in some chain of events, be linked to an individual must be treated as “personal data”, and that almost any operation involving that information must be treated as “processing”. The Omnibus proposal is thereby cast as an attempt to introduce controller-relative “subjectivity” into what ought to remain an objective, all-encompassing definition – a move that would undermine legal certainty, fragment enforcement and invite a race to the bottom.
I will call this way of thinking the maximal scope paradigm: the belief that the primary way to protect fundamental rights is to push the conceptual reach of “personal data” and “processing” as far as possible and then defend that maximal line against any retreat. Different actors occupy this paradigm in different ways – NGOs like noyb, some authorities and parts of the academic debate – but what they share is the assumption that “more situations legally qualifying as processing of personal data” almost automatically means “more effective protection.”
Historically, however, the normative focus of European data protection instruments has never been “data as such”. It has been the use of data in systems of decision-making: credit scoring, employment screening, social security adjudication, policing, risk assessment, and so on. The early data protection laws, as well as their international precursors, were motivated by concerns that automated or computer-supported decisions about individuals could be made in opaque ways, based on incomplete, irrelevant or biased information, compiled in powerful, centralised files.
This orientation is visible in two features that are often overlooked in current debates.
First, the concept of processing was originally tied to what one might call an informational pipeline: a systematic sequence of operations through which data are collected, stored, combined, analysed and used to support decisions or actions. It was this pipeline – and the risks it created for individuals subjected to it – that justified a set of procedural and substantive constraints. The inclusion of “collection”, “use”, “disclosure” and “erasure” in the definition was meant to capture the different stages of that pipeline, not to transform any isolated mention of a person’s name into “processing” in the full legal sense.
Secondly, the much-cited triad of “adequate, relevant and not excessive” was framed as a data quality principle for decision-making. Its function was to ensure that decisions affecting individuals are based on information that has a rational link to the purpose of the decision, that is sufficiently complete and accurate for that purpose, and that does not include extraneous or prejudicial details. The idea was not to minimise data in the abstract, but to constrain the informational basis of decisions so that they are fair, non-arbitrary and non-discriminatory.
If one keeps this decision-oriented perspective in view, the relation between scope and protection looks different. What matters is not primarily how many pieces of information fall under the label “personal data”, but which informational pipelines and which decision contexts are brought within the reach of data protection law. A conception of “processing” that indiscriminately covers everything from one-off journalistic mentions to complex, automated profiling systems may be rhetorically expansive, but it risks obscuring precisely those structural features – centralisation, automation, iterative use – that generated the need for a specific legal regime in the first place.
From this angle, the maximal scope paradigm is problematic in two ways.
It is over-broad, in that it extends the full conceptual and doctrinal apparatus of “processing of personal data” to contexts where the characteristic risks of data protection law are only marginally present. Treating every isolated reference to an individual, every casual photograph, or every transient log entry as “processing” subject to the GDPR may be logically possible under a literal reading of “any information relating to…”, but it stretches the concept far beyond the original risk profile it was designed to address. In doing so, it invites either pervasive non-compliance in everyday life or the proliferation of exceptions and derogations, which in turn make the law more complex and less intelligible.
At the same time, it is under-protective where protection is most urgently needed. By focusing energy on defending the outer conceptual perimeter of “personal data”, it diverts attention from the internal structure of those processing operations that truly matter: large-scale profiling, scoring and decision-support systems. Here, the crucial questions are not whether some fragment of information can be said to “relate” to an individual in the abstract, but whether the overall pipeline of processing is structured in such a way that decisions about individuals are based on adequate and relevant data, subject to meaningful contestation, and constrained by clear prohibitions on certain kinds of inferences.
Put differently, insistence on an ever-expanding notion of “personal data” risks functioning as a substitute for the harder work of identifying, and regulating, those decision contexts that require heightened protection. It can make it politically easier to denounce any perceived narrowing of scope – such as controller-relative identifiability in Article 4(1) – without having to say very much about which kinds of processing the fundamental right to data protection actually targets, and why.
To get out of this dead end, we need to recall that data protection law has always worked on two layers at once:
The rest of this post will unpack this two-layer structure and show how it helps to reframe the Omnibus debates about scientific research, AI and personal data definitions.
A second focal point of the Omnibus debate is the proposed new definition of “scientific research” in Article 4(38) and the accompanying changes to purpose limitation and information duties, notably Article 13(5). The Commission’s draft defines scientific research, in essence, as “any research” that “can also support innovation”, supplemented by a long list of criteria referring to growth of society’s “knowledge and wellbeing”, adherence to “ethical standards in the relevant research area”, and similar elements.
noyb’s report offers a sharp and, in many respects, justified critique of this approach. It points out that:
On this basis, noyb argues that the proposed definition, combined with an expanded framework for research exemptions, amounts to a “blanket allowance of further processing for a broadly and ill-defined ‘research purpose’”, which would likely fail the Charter’s requirements of necessity and proportionality. The Commission appears, in this reading, to be sacrificing the Article 7 and 8 rights on the altar of an amorphous “innovation” agenda.
At first glance, this critique appears squarely aligned with a rights-protective stance. Yet its internal logic again rests on two familiar premises: first, that the core of data protection is data minimisation as a direct emanation of Articles 7 and 8 and Article 52(1), and second, that the main threat posed by an overbroad research definition is the erosion of this minimisation and of purpose limitation as such. The questions of which types of research, and which decision contexts, ought to fall under stricter scrutiny remain largely implicit.
A decision-oriented perspective – one that takes seriously the role of adequacy and relevance in decision-making – suggests a different way to cut the problem.
On the one hand, there are forms of research that do not themselves feed into concrete decisions about identifiable individuals. Classic statistical and scientific uses of data, where the outputs are aggregate patterns, coefficients or models describing populations, may raise important issues of ethics, distributive justice and epistemic bias. But in terms of data protection, their risk profile is largely mediated by what happens after research: whether and how the resulting insights are embedded into operational decision systems.
On the other hand, there are forms of research that are structurally wired into treatment decisions: credit risk models developed on customer databases, hiring algorithms trained on past applicants, insurance pricing models, fraud detection tools. Here, the line between “research” and “operation” is thin. The same structured datasets used to develop the models are used, or readily usable, to support consequential decisions about individuals.
In this second family, what matters for data protection is not that “research” in the abstract uses more data than strictly necessary, but that the resulting decision systems may operate on data that are not relevant to the decision purpose. The core risk is arbitrary or discriminatory treatment: music taste influencing credit limits, social media activity affecting hiring, neighbourhood proxies standing in for ethnicity in insurance pricing. These are precisely the kinds of problems the adequacy and relevance requirement was originally meant to prevent.
From this angle, the Omnibus proposal’s changes to Article 4(38) and 13(5) are problematic, but not primarily because they offend an abstract ideal of data minimisation. They are problematic because they:
noyb’s critique rightly attacks the vagueness of the definition and the risk of “innovation” being used as a carte blanche for further processing. But by casting the issue mainly in terms of Charter-compliant data minimisation, it misses the opportunity to ask the decisive question: which research-generated datasets are likely to flow into decision contexts, and how should their re-use be constrained to prevent irrelevant or discriminatory decision-making? This is the perspective I developed in my earlier post on the Omnibus debate, where I argued that both the Commission and noyb tend to overlook the GDPR’s explicit relevance requirement in Article 5(1)(c).
The same pattern recurs, in sharper form, in the Omnibus proposal for Article 9(2)(k) and (5), dealing with AI and special categories of data. The draft introduces a new derogation for “processing in the context of the development and operation of an AI system … or an AI model”, accompanied by a paragraph 5 that requires controllers to implement “appropriate organisational and technical measures” to avoid the processing of special categories in training, testing and validation, and to remove such data where identified, or at least to prevent them from influencing outputs or being disclosed if removal would require disproportionate effort. The proposed recital 33 expressly frames this as a derogation from the Article 9(1) prohibition “in order not to disproportionately hinder the development and operation of AI”.
noyb criticises this structure on familiar grounds. It argues that AI is precisely the kind of opaque, large-scale processing that the data protection principles were originally designed to constrain; carving out a new derogation for AI development and operation is therefore backward-looking and threatens to hollow out the very safeguards that were written with such systems in mind. It also points out the loose drafting (“in the context of”, “appropriate measures”, “disproportionate effort”) and the risk that the derogation becomes a general permission for AI developers to retain special categories so long as they can claim to have implemented some minimisation efforts.
Again, this line of attack is understandable, but it presupposes that “AI development” is a unitary activity and that the relevant Charter risk can be captured by the volume and sensitivity of data processed. The actual situation is more complex.
As I argued in that earlier blog post, the label “AI development” currently covers two fundamentally different activities:
Treatment AI, such as credit scoring, hiring and insurance models, trains on genuine systematic datasets: customer or candidate databases that are prototypical “personal data” in the sense of data protection law. Here, database-oriented requirements make structural sense: minimise unnecessary special categories in training sets, remove them where inappropriately included, protect the sensitive training data against disclosure or misuse.
Generative AI training on public web text, by contrast, operates on scattered fragments of already public information to extract statistical patterns. It does not create systematic individual records; the resulting models do not, in normal operation, contain addressable records of specific persons’ sensitive characteristics. The main risks lie not in disclosure of special categories about identified individuals, but in the amplification of biases and stereotypes in generated content.
For the second family, Article 9(5)’s requirements are simply mis-specified. Instructing controllers to “remove” special categories from a corpus of heterogeneous web pages assumes a database-like structure that does not exist: what exactly is to be removed – sentences, paragraphs, entire documents? The “where possible” qualifier acknowledges the impracticality without providing a coherent standard. The language about preventing “disclosure” of special categories presupposes a context in which disclosure means revealing specific individuals’ sensitive data from a controlled database, not producing new text in which health or religion are mentioned in the abstract.
By lumping these structurally different activities together under a single derogation, the Omnibus proposal repeats the conceptual conflation already visible in the personal data definition. At the same time, and more importantly from a decision-oriented viewpoint, it misplaces regulatory attention:
Generative AI training on scattered public text, which normatively should not be treated as personal data processing at all because it never constructs systematic datasets suitable for decisions about individuals, becomes the direct target of impractical, database-oriented requirements.
Treatment AI operation, where structured datasets are used to make consequential decisions about individuals, receives relatively little targeted attention. Article 88c recognises AI operation as a legitimate interest, but provides no mechanism to enforce the relevance requirement of Article 5(1)(c) in this context. Irrelevant characteristics such as music preferences, social media activity or religious affiliation may thus be factored into decisions under the banner of “legitimate interest”, subject only to an individual right to object.
In short, both the Omnibus proposal and much of its criticism, including noyb’s, focus on how much and what kind of data AI systems may process, while leaving largely untouched the question whether the data used in AI-supported decisions are relevant to the decision purpose and how to prevent cross-context re-use of data in ways that generate arbitrary or discriminatory outcomes. That is precisely the gap that a relevance-based reading of Article 5(1)(c) is meant to fill.
At this point the obvious question is: if both the Commission and noyb are framing the problem in the wrong way, what would a better treatment of research and AI actually look like? It seems clear that one political driver of both the new research definition and the AI derogation in Article 9(2)(k) – and of the attempt to redefine personal data – is the fear that, under the current reading of “processing of personal data”, even web-scale AI training and other large-scale analytics are automatically sucked into the full GDPR regime.
My answer is essentially the same as in my earlier post on the leaked Omnibus draft, but extended to the new definition and AI proposals.
Keep the existing statistical/research framework for the learning phase.
Europe already has a coherent way to deal with large-scale analysis that does not itself feed into decisions about individuals: the combination of
the “compatibility” rule for statistical and scientific purposes in Article 5(1)(b) GDPR; and
the older Council of Europe framework on statistical processing, which allows restrictions of individual rights as long as no decisions or measures concerning individuals are taken on the basis of the statistical results.
AI training belongs here. Training a model on large datasets is, in substance, statistical processing. In this phase there is, by definition, no concrete decision purpose yet, so it makes little sense to apply a relevance test at the level of the model or its inputs. The adequacy and relevance requirement is a constraint on the informational basis of decisions, not on the structure of models in the abstract. The core protected interest is not offended simply because a learning algorithm has “seen” certain variables; it is offended when those variables are actually used as part of a decision pipeline about individuals.
This distinction is crucial. A model may internally contain parameters influenced by many features, including features that would be irrelevant if used explicitly at decision time. What matters for data protection is which data are in fact taken into account when deciding about a person – which variables are read, combined and acted upon in the operational system. The legal architecture should therefore be very simple:
learning / training = statistical or research processing, covered by existing rules for such purposes, on the strict condition that the outputs are not used directly to decide about individuals;
operation = decision-making, subject to full data-quality scrutiny, including a serious enforcement of “adequate, relevant and not excessive” under Article 5(1)(c) with respect to the inputs actually used in the decision.
No special AI derogation is needed – and a broad one would be harmful.
If we treat AI training as statistical processing and AI operation as ordinary (but highly consequential) decision-making, there is no need for a new, AI-specific derogation in Article 9(2)(k) or elsewhere. On the contrary, a blanket derogation “for AI development and operation” risks doing exactly what I criticised in my previous post: it invites controllers to invoke “AI” as a magic keyword to justify both phases at once, while never asking the simple question at the operational phase: are the data we actually use in these AI-supported decisions relevant to the decision purpose?
Special categories do not need an AI-only regime either.
For the learning phase, the right question is not “how can we purge every trace of special categories from web-scale training corpora?”, but “how do we make sure that training corpora used for statistical purposes are not casually re-purposed into decision systems where special categories – direct or inferred – would be irrelevant to the decision purpose?”.
For the operation phase, if relevance is properly enforced, the distinction between directly revealed and inferred sensitive data becomes less important: both are ruled out wherever they are “none of your business” in light of the decision purpose. The problem, as I argued in the earlier post, is that we are currently trying to slim down Article 9 without first building the enforcement muscle around relevance at the decision layer.
In other words, instead of inventing AI-specific exceptions and research-specific shortcuts, we should put AI training back where it belongs – under the existing statistical/research framework – and concentrate regulatory energy on AI operation, where the relevance requirement finally has to be taken seriously at the point where decisions are made.
The discussion so far already suggests that data protection operates on two interlocking layers:
We can now make this structure more explicit and ask how the Omnibus proposals affect each layer.
From a functional perspective, EU data protection law operates on two distinct but interdependent layers.
First, there is direct governance of decisions. Whenever personal data are actually used to make or support decisions about individuals, data protection law requires that the informational basis of those decisions meets the traditional data-quality standard: the data must be adequate and relevant to the purpose of the decision and not excessive. In modern language, there must be a rational link between the data items used and the legitimate decision purpose. This is where the classic “adequate, relevant and not excessive” formula belongs: it is a constraint on how decisions are made, not an abstract call to minimise data.
Second, there is preventive governance of data flows. Purpose limitation, restrictions on further use and onward disclosure, and the construction of “data silos” are not mysterious relics of a bygone era of database regulation. They are ex ante tools designed to prevent future violations of adequacy and relevance. The empirical intuition is simple:
Once data start to flow into new contexts, the probability that they will be re-used in decisions for which they are not relevant rises sharply.
If a dataset collected for one clearly defined purpose can be repurposed, combined and traded without structural constraints, it is only a matter of time before some actor uses it as input for decisions to which the data have no rational connection – credit scoring based on music taste, insurance pricing based on social media activity, hiring decisions based on political affiliation, and so on.
Seen in this light, purpose limitation is not a decorative recital about fairness. It is the central legal mechanism through which the law tries to shape the future graph of data flows: to determine which data can realistically end up feeding which decision systems. The decision layer governs the content of decisions (adequacy and relevance); the flow layer governs the routes through which data can travel into decision contexts in the first place.
Any attempt to redraw the boundary of “personal data” therefore has two effects:
The risk of the Omnibus proposal on personal data definitions is best understood at this second level.
The Omnibus proposal does not invent the idea that personal-data status may depend on the means of a particular controller; it codifies the Court’s relative approach, especially as expressed in more recent case law. The core idea is that information counts as personal data for a controller only if that controller has means that are “reasonably likely to be used” to identify the individuals concerned. Pseudonymised datasets held by actors who lack re-identification keys might therefore fall outside the definition for them, even if another actor could identify the same records.
On its face, this move is presented as a technical solution to a real problem: without some relativisation of identifiability, any data that someone could link to a person risks being treated as personal data for everyone. But once we look at the two-layer structure, a different picture emerges.
Consider a stylised scenario. A company collects information on music preferences – whether customers prefer jazz, rock or classical – linked to stable internal identifiers. At the time of collection, it pseudonymises the data and declares that they are used purely for market research. Under a relative definition, the company might argue:
If accepted, this position has a crucial consequence: purpose limitation never attaches to the dataset. The data have been collected and processed in structured form, but as long as they are treated as “non-personal” for that controller, the entire flow-governance layer of data protection simply does not apply.
Fast-forward several years. The company changes strategy and enters the credit-scoring market. It discovers that music preference correlates, in its dataset, with repayment history. It now has strong incentives to:
At that moment, the company will insist that it now has identification means and that the data now constitute personal data. But purpose limitation will be invoked too late. Because the data were originally classified as “non-personal”, there was no legal obligation to tie their collection and retention to a specific, limited set of purposes, or to treat later re-use for credit scoring as a purpose change requiring a fresh legal basis and renewed guarantees for the individuals concerned.
This is not an exotic edge case. It describes a systematic pattern of “purpose drift through claimed non-identification”:
The same logic applies not only to isolated companies, but to entire chains of actors. If upstream entities can treat rich, individual-level structured datasets as “non-personal” on the basis that they lack re-identification keys, those datasets can circulate freely until they reach actors who do have the means and incentives to link them to identified persons and embed them in decision systems. Purpose limitation was meant to constrain exactly such cross-context flows; a relative definition makes it easy to step outside its reach during the most critical stages of dissemination.
The Omnibus proposal’s empowerment of the Commission to designate certain categories of pseudonymised datasets as “non-personal” through implementing acts would exacerbate this risk. Once such a designation is made, entire classes of structured data can travel as if they were mere technical exhaust, while remaining perfectly suited for later reintegration into decision pipelines. What disappears is not only some marginal transparency duty; it is the ex ante requirement to ask, at each step of the flow, “what purposes justify moving these data into this next context?”
From a decision-and-flow-oriented perspective, then, the danger of the Omnibus redefinition is not primarily that it makes the GDPR less “broad” in an abstract sense. It is that it removes structured, decision-capable datasets from the preventive flow-governance layer at precisely the stages where that layer does its most important work.
At the same time, it is worth recalling that the GDPR already contains a gate in the form of its material scope clause. Article 2 confines the Regulation to the “processing of personal data”. The popular complaint that “the GDPR applies to everything” does not stem from the absence of such a gate, but from the way in which “processing” has gradually been flattened into “any handling of any information about a person” – including, in the political imagination, web crawling for AI training or other large-scale analytics. The Omnibus proposals take this perception of overbreadth at face value and try to cure it at the level of the definition of personal data itself. The maximal scope paradigm reacts from the opposite direction and defends the broadest possible reading of “personal data” and “processing”. What both moves have in common is that they leave the structural notion of processing untouched – and with it, the original idea that the material scope of the GDPR was meant to capture systematic, file-like processing pipelines, not every scattered mention of an individual.
Against that background, if we take seriously both layers of protection, an alternative way of framing the scope question suggests itself. Rather than asking how far we can conceptually stretch the notions of “personal data” and “processing”, we should ask in which situations EU data protection law must, at a minimum, apply with full force across both layers.
A decision-and-flow-oriented test could be formulated, in preview, along these lines:
Systematic pipeline
There must be a systematic informational pipeline in the original sense of “processing”: a structured sequence of operations on data organised according to stable categories or formats, not merely isolated mentions or ad hoc exchanges. This is the threshold that distinguishes “data” from scattered “information” and captures what early data protection instruments were designed to regulate.
Decision context
The outputs of this pipeline are, or are reasonably likely to be, used in decision contexts that affect individuals’ legal or social position: credit, employment, insurance, social benefits, access to services, law enforcement, and comparable domains. Here the decision layer kicks in: Article 5(1)(c) must be interpreted and enforced as a genuine relevance requirement, demanding a rational link between each category of processed data and the stated decision purpose.
Cross-context flow risk
The data in the pipeline can realistically flow into other decision contexts in which they would not be relevant, unless purpose limitation and onward-transfer rules apply. Where such cross-context drift is structurally plausible – as in large-scale analytics, AI development and platform ecosystems – the flow layer should apply from the moment the data are collected in structured form, regardless of whether the controller currently claims to have identification means.
On this view, the problem with the Omnibus redefinition of personal data is not that it abandons an abstract ideal of maximal scope. The problem is that it allows controllers to step outside this three-part test at will by declaring, at collection time, that they lack identification means – even when they are building exactly the kind of structured datasets that can later be fed into consequential decision systems. Once those datasets are born outside the legal category of “personal data”, the law’s ex ante capacity to shape their future flows is crippled.
The same test also helps to separate, conceptually, different families of AI-related processing. Generative-AI training on scattered public text corpora may fail the first and third prongs: it does not create systematic, individual-addressable datasets, and its outputs are not naturally wired into decision contexts. By contrast, treatment AI – credit scoring, hiring algorithms, insurance pricing models – falls squarely within all three: it operates on structured records, directly supports decisions about individuals, and its datasets have obvious cross-context re-use potential.
This interpretive proposal is not a call to rewrite the text of Article 4(1) GDPR. It is a call to re-read the existing concepts of “processing of personal data” and “personal data” in light of their directive-era function.
Historically, the structural understanding of “processing” was not an accidental by-product of outdated “file” concepts. The Commission’s 1990 proposal still spoke the language of files, but when the Parliament insisted on replacing “file” by “processing of personal data”, this was not meant to abandon the structural requirement altogether. It was meant to capture file-like processing pipelines, including on-the-fly decision systems that reproduce the same risks without a literal, centralised file. The shift from “file” to “processing of personal data” thus extended the concept along a functional line, rather than dissolving it into “any handling of any information”.
Some judgments – particularly in borderline cases – can be read as stretching the concept for specific factual constellations without turning “processing” into “any handling of any information” as a general rule. Where genuine tensions remain, they suggest that the Omnibus is premature in constitutionalising a maximalist scope at precisely the moment when the underlying concept still requires careful doctrinal clarification.
If you only read the open letters and press releases around the Digital Omnibus, it looks like a familiar drama. On one side, the Commission, accused of “watering down the GDPR” by narrowing the definition of personal data and creating new derogations for AI and research. On the other side, noyb and others, defending a maximal scope for personal data and a strong version of data minimisation.
My argument in this post, building on my earlier analysis, is that this is the wrong axis of conflict. Both sides are fighting over how broad the law’s coverage should be, while largely ignoring what the law was actually designed to control. From the 1970s onward, European data protection law was not about “data” in the abstract. It was about systems of decision-making: the pipelines through which structured data are collected, organised and used to allocate jobs, credit, insurance, social benefits and other advantages and burdens.
Seen from that angle, the core of the GDPR is not an abstract horror of “too much data”, but a pair of linked questions: which data may legitimately be taken into account in decisions about individuals, and how should we prevent data from flowing into decision contexts where they have no rational link to the purpose? That is what the data-quality principle and purpose limitation were originally built to address.
At this point, two natural questions may arise.
The first is that this may still sound like data minimisation by another name. After all, Article 5(1)(c) GDPR now literally speaks of data being “adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed”, and Directive 95/46/EC already spoke of “adequate, relevant and not excessive”. Hasn’t the law always been about minimising data?
My answer is that, historically, this triad was framed as a data-quality principle for decisions, not as a free-floating command to collect “as little data as possible”. “Not excessive” – and its later rephrasing as “limited to what is necessary” – was embedded in a standard that also demanded adequacy and relevance for a given decision purpose. Supervisory guidance often glosses “adequate” as “sufficient to properly fulfil your stated purpose”. But “sufficient” sometimes means more data, not less: more complete income information to avoid arbitrary denials of credit, more context to avoid misinterpreting a single data point, more nuance to prevent crude profiling. A pure minimisation reading, which treats “less data” as always better from a fundamental-rights perspective, erases this ambivalence and collapses adequacy and relevance into a one-dimensional “volume” metric. In that light, rebadging Article 5(1)(c) as the data minimisation principle is itself part of the problem: it obscures the original focus on relevance and sufficiency for decisions, and makes it easier to overlook situations where better protection in fact requires better – not thinner – data.
A second, closely related question is whether all this ultimately collapses into a call to strengthen Article 22 GDPR on automated decision-making. The recent battles around Article 22 are, in a way, a symptom of the same misframing. Because we forget that the data-quality principle already governs the informational basis of all decisions that take personal data into account, there is a tendency to load every concern about profiling and AI onto the narrow category of “solely automated” decisions in Article 22. One camp therefore demands an ever broader Article 22, hoping it will cure problems that actually belong in the general regime of Article 5(1)(c). Another camp concludes that Article 22 is an overreach that stigmatises even proper profiling that respects adequacy and relevance, and pushes to hollow it out or abolish it – a mood that is not entirely absent from the Omnibus debates.
What both sides risk forgetting is that Article 22 is a lex specialis for a very small subset of cases. The basic standard I have tried to reconstruct here is more general and more basic: it applies whenever personal data are used in decision-making at all, regardless of the mix of automation and human involvement. That standard lives primarily in Article 5(1)(c) and the surrounding data-quality and purpose-limitation provisions, not in Article 22. Strengthening Article 22 cannot substitute for taking the relevance requirement seriously across the board. Weakening Article 22 does not make decision systems benign if we continue to ignore adequacy and relevance at the decision layer and to relax flow governance so that irrelevant data can silently seep into consequential decisions.
Against that background, the real promise and danger of the Digital Omnibus become clearer. The promise is that the current controversy could have forced us to reopen the basic questions: what counts as “processing of personal data” in the structural sense? where do the characteristic risks of data protection actually arise? how should we distinguish statistical or learning phases from operational decision-making? The danger is that we instead constitutionalise a maximalist reading of scope at the very moment when the underlying concept of processing still needs careful doctrinal work – and, at the same time, quietly open back doors for exactly those structured datasets that most urgently require tight flow governance.
The alternative sketched in this post is modest in textual ambition but radical in effect. It does not call for rewriting Article 4(1); it calls for re-reading “processing of personal data” and Article 5(1)(c) in line with their directive-era function. It suggests that AI training should be treated as statistical processing under existing rules, and that the real regulatory energy should be directed at AI operation and other decision systems, where the adequacy and relevance requirement finally has to bite. And it suggests that both the Commission and its critics would do better to shift their attention from how far the legal concept of personal data can be stretched, to how the law governs the pipelines by which data flow into decisions. That, after all, was what data protection was for.
本来であれば、学術論文の形で発表すべき（根拠となる文献をふんだんに引用して*1）ところであり、実際その執筆作業は一部進めているのだが、何ヶ月もかけて悠長にしていられる状況ではない。EUの政治は今まさに動いており、このままでは混迷を深めるばかりで、もはや今のEDPB・EDPSでは頼りになるとは期待しがたい*2。仮名化データを個人データとみなすかどうかは、GDPRの立法過程でも争点となったところだし、そもそも欧州評議会1997年勧告の段階で既に認識されていた課題である。CETS 108以来の「データ品質」原則が、GDPRの立法過程でドイツ的な誤訳を経た「データ最小化」原則へと捻じ曲げられ、それを当時の欧州理事会が辛うじて押し返していたことも、今となっては欧州でどれだけ共有されているのか心許ない。前回の投稿について思い切ってドイツのレジェンド教授にメールでお伝えしたところ、なんと、すぐに読んで頂けたようでお返事があり、称賛のお言葉とともに、わしはもう歳じゃから君がやりなさいとの励ましを頂いた。
そんなわけで、取り急ぎ大規模言語モデルの力を借りて、あちらの人たちに刺さる表現になるよう工夫して生成したのが上に掲載した英語ブログである。これは以下の手順で生成した。まず、前回の続きでClaudeに書かせていたのだが、イマイチあちらに刺さる感じに仕上がらなかったのでボツとし、ChatGPT（5.1）に一から書かせた。ChatGPTの調査力はかなり（特に8月のGPT-5以降）良く、ここ半年はChatGPTをメインに調査していたので、そのメモリー機能によってChatGPTは、私がどういう調査をしてどのような立場なのかを概ね把握しているようであり、何も言わなくても大筋の判断はできてしまうようだった。それでも材料が足りなかったので、ボツにしたClaude原稿（それは私の既発表論文群をソースにして生成されている）を読ませて観点を補充し、最終的にこちらから足りない要素を指摘して補完させ、完成に至った。
そのプロンプトを以下に開示しておく。完成版の日本語訳（Claudeによる翻訳）は最後に置いたので、結論から読みたい人は最後のターンまでスキップするとよい。
（略）
もし必要なら、あなたの立場（processing 概念やスコープ論）から見て「ここは使える／ここはずれている」という仕分けも、条文ごとにやっていきましょう。
記号はこんな感じで付けています：
（略）
ざっくり言うと、この Digital Omnibus レポートは「GDPR＝Charter 7/8条の最大限のスコープを死守する」という立場に振り切れていて、あなたの「決定指向＋スコープを整理する」路線から見ると、ツッコミどころの宝庫です。
以下、「こういう点で noyb がダメ、本当はこう考えるべきだ」という形で、論点ごとに“使い方”を書きます。
（略）
とりあえず「どういうストーリーで書けば欧州方面に刺さるか」を、かなり具体的に組み立ててみます。
（略）
（略）
別途Claudeに書かせた原稿案がある … 参考になる要素を拾ってみる？
ぜひやりたいです。
今こちらで組んだ 4章の骨格があるので、（略）
（略）
あとは、セクション4だけど、さっきの内容だと、まだ尻切れ感がある。結論セクションを追加するのかな？
（略）
（略）
（略）
（略）
（略）
（略）
（略）
（略）
いまやった主な調整はこんな感じです：
（略）
いま入れた修正はこんな方針です：
（略）
（略）
（略）
（略）
（略）
（略）
（略）
これで完成。これをClaudeで日本語訳させたのが以下である。
（略）
その後、デジタル・オムニバス提案が公表され、noybはこれを批判する長大なレポートを公開した。公の議論は、おなじみの対立構図として描かれている。一方には、個人データの定義を狭め、AIや研究のための新たな例外を設けることでGDPRを「骨抜きにしている」と非難される欧州委員会。他方には、「個人データ」の最大限のスコープと、データ最小化の強いバージョンを擁護する市民社会のアクターたち。
本稿で私が主張したいのは、これが間違った対立軸だということである。両陣営とも、法の射程をどこまで広げるべきかをめぐって争っているが、法が本来何をコントロールするために設計されたのかという点はほとんど無視されている。オムニバスをめぐる議論は、定義をめぐる戦争として扱われているが、本来はデータ保護の原点──個人に関する決定の公正さ、そして無関係なデータに基づく決定の防止──を取り戻す機会として扱われるべきなのだ。
この主張を展開するために、まずオムニバス批判を支配している「最大スコープ」パラダイムについて述べる。次に研究とAIに関する規定に目を向け、なぜ欧州委員会もnoybもリスクの所在を見誤っているのかを説明する。最後に、スコープについての別の見方──「個人データの処理」を指令時代の機能に即して読み直すアプローチ──を提案したい。
デジタル・オムニバス提案に対する現在の批判の中心的な標的は、GDPR 4条1項、すなわち「個人データ」の定義の改正案である。noybの読み方によれば、新しい条文は識別可能性に強く管理者相対的な要素を導入するものだという。すなわち、ある情報がpersonal dataであるかどうかは、当該管理者の視点、リソース、あるいは合理的な努力に依存することになる。再識別のための鍵を持たない主体が保有する仮名化データは、たとえ別の主体が同じレコードを識別できるとしても、その主体にとっては定義の外に落ちる可能性がある。
noybにとって、これは単なる起草上の不備ではなく、憲法上の問題である。その論理は概ね次のようなものだ。
この見方によれば、データ保護指令におけるpersonal dataの定義は、EU司法裁判所の画期的判決を通じて解釈されてきたとおり、EU基本権憲章8条によって事実上「憲法化」されている。そして「憲法化」されたものは、その定義の広さとして理解される。「識別された又は識別可能な自然人に関するあらゆる情報」をより寛大に解釈すればするほど、8条の保護はより堅固になるはずだ、と。
この観点からすれば、唯一の安全な戦略は、何らかの事象の連鎖によって個人と結びつきうるほぼすべての情報をpersonal dataとして扱うべきだと主張し、その情報を含むほぼすべての操作をprocessingとして扱うべきだと主張することになる。オムニバス提案は、客観的で包括的であるべき定義に、管理者相対的な「主観性」を持ち込もうとする試みとして描かれる。それは法的安定性を損ない、執行を分断し、底辺への競争を招くものだ、と。
私はこのような考え方を最大スコープ・パラダイムと呼ぶことにする。基本権を保護する主要な方法は、personal dataとprocessingの概念的到達範囲を可能な限り押し広げ、その最大線をいかなる後退からも守ることだという信念である。このパラダイムには様々なアクターが様々な形で位置している──noybのようなNGO、一部の当局、そして学界の一部──しかし彼らが共有しているのは、「個人データの処理として法的に該当する状況が増える」ことがほぼ自動的に「より効果的な保護」を意味するという想定である。
しかし歴史的に見れば、欧州のデータ保護法制の規範的焦点は「データそのもの」に向けられたことはなかった。それは意思決定システムにおけるデータの利用に向けられていた。信用スコアリング、雇用審査、社会保障の裁定、警察活動、リスク評価などである。初期のデータ保護法、およびその国際的な先行規範は、個人に関する自動化された、あるいはコンピュータ支援による決定が、不透明な方法で、不完全、無関係、あるいは偏った情報に基づいて、強力で中央集権的なファイルにまとめられた形で行われうることへの懸念を動機としていた。
この方向性は、現在の議論ではしばしば見過ごされている二つの特徴に見て取れる。
第一に、processingの概念は、本来、いわば情報パイプラインと結びついていた。データが収集され、保存され、結合され、分析され、決定や行為を支援するために使用される、という一連の体系的な操作のことである。一連の手続的・実体的制約を正当化したのは、このパイプライン──そしてそれにさらされる個人に対してパイプラインが生み出すリスク──であった。定義に「収集」「利用」「開示」「消去」が含まれていたのは、このパイプラインの各段階を捉えるためであり、ある人物の名前への孤立した言及をすべて完全な法的意味でのprocessingに変換するためではなかった。
第二に、よく引用される「十分であり、関連性があり、過度でない」という三要素は、意思決定のためのデータ品質原則として構成されていた。その機能は、個人に影響を及ぼす決定が、決定目的と合理的な関連を持つ情報に基づいて行われ、その目的にとって十分に完全かつ正確であり、無関係な詳細や偏見を含まないことを保証することであった。その趣旨は、データを抽象的に最小化することではなく、決定の情報的基盤を制約して、決定が公正で、恣意的でなく、差別的でないようにすることだった。
この決定志向の視点を念頭に置けば、スコープと保護の関係は違って見える。重要なのは、主として「個人データ」というラベルの下にどれだけ多くの情報が入るかではなく、どの情報パイプラインとどの決定文脈がデータ保護法の射程内に入るかである。一回限りのジャーナリスティックな言及から複雑な自動プロファイリングシステムまで、あらゆるものを無差別にカバーするprocessingの概念は、レトリックとしては拡張的かもしれないが、そもそも特別な法的レジームを必要とした構造的特徴──中央集権化、自動化、反復的使用──をまさに覆い隠してしまうリスクがある。
この観点から見ると、最大スコープ・パラダイムは二つの点で問題がある。
それは過剰に広い。「個人データの処理」という概念的・教義的な装置一式を、データ保護法の特徴的なリスクがごくわずかしか存在しない文脈にまで拡張してしまう。個人へのあらゆる孤立した言及、あらゆる何気ない写真、あらゆる一時的なログエントリをGDPR上の「processing」として扱うことは、「…に関するあらゆる情報」という文言の字義通りの解釈として論理的には可能かもしれないが、それは概念を、本来対処すべきリスク・プロファイルをはるかに超えて拡張してしまう。そうすることで、日常生活における広範な遵守不能か、例外と適用除外の増殖を招き、後者は法をより複雑で理解しにくいものにする。
同時に、それは最も保護が切実に必要とされる場面では保護が不十分である。personal dataの概念的外縁を守ることにエネルギーを集中させることで、真に重要な処理操作──大規模プロファイリング、スコアリング、決定支援システム──の内部構造から注意をそらしてしまう。ここで決定的な問いは、ある情報の断片が抽象的に個人と「関連する」と言えるかどうかではなく、処理のパイプライン全体が、個人に関する決定が十分かつ関連性のあるデータに基づいて行われ、有意義な異議申立ての対象となり、一定の種類の推論に対する明確な禁止によって制約されるような形で構造化されているかどうかである。
言い換えれば、「個人データ」概念の際限のない拡張への固執は、より困難な作業──高度な保護を必要とする決定文脈を特定し規制すること──の代替物として機能するリスクがある。それは、データ保護の基本権が実際にどのような種類の処理を標的としているのか、そしてなぜなのかについてあまり語らなくても、4条1項における管理者相対的な識別可能性のようなスコープの縮小と見えるものを非難することを政治的に容易にしてしまう。
この袋小路から抜け出すためには、データ保護法が常に二つの層で同時に機能してきたことを思い出す必要がある。
本稿の残りでは、この二層構造を詳しく解きほぐし、それがオムニバスをめぐる科学研究、AI、およびpersonal dataの定義についての議論をどのように再構成するのに役立つかを示す。
オムニバス論争の第二の焦点は、4条38項で提案されている「科学研究」の新しい定義と、それに伴う目的制限と情報義務の変更、特に13条5項である。欧州委員会の草案は、科学研究を本質的に「イノベーションをも支援しうるあらゆる研究」と定義し、社会の「知識と福祉」の成長、「当該研究分野における倫理基準」の遵守、および類似の要素を参照する長いリストの基準を付け加えている。
noybのレポートは、このアプローチに対して鋭く、多くの点で正当な批判を展開している。それは次のように指摘する。p>
この分析に基づき、noybは、提案された定義は、研究適用除外の拡大された枠組みと組み合わさって、「広範かつ不明確に定義された『研究目的』のためのさらなる処理を一律に許容する」ことになり、憲章の必要性と比例性の要件を満たさない可能性が高いと主張する。この読み方によれば、欧州委員会は無定形の「イノベーション」アジェンダの祭壇に7条と8条の権利を犠牲として捧げているように見える。
一見すると、この批判は権利保護的な立場と完全に一致しているように見える。しかしその内部ロジックは、やはり二つのおなじみの前提に依拠している。第一に、データ保護の核心は、7条・8条および52条1項の直接的な発現としてのデータ最小化であるという前提。第二に、過度に広い研究定義がもたらす主要な脅威は、このデータ最小化と目的制限そのものの浸食であるという前提。どの種類の研究が、そしてどの決定文脈が、より厳格な審査の対象とされるべきかという問いは、ほとんど暗黙のままである。
決定志向の視点──意思決定における十分性と関連性の役割を真剣に受け止める視点──は、この問題を切り分ける別の方法を示唆する。
一方には、識別可能な個人に関する具体的な決定に直接供されない形態の研究がある。古典的な統計的・科学的データ利用、すなわち産出物が集団を記述する集計的パターン、係数、モデルであるような利用は、倫理、分配的正義、認識論的バイアスの重要な問題を提起しうる。しかしデータ保護の観点からは、そのリスク・プロファイルは主として研究の後に何が起こるかによって媒介される。すなわち、得られた知見が運用上の決定システムにどのように、どの程度組み込まれるかである。
他方には、処遇決定に構造的に接続されている形態の研究がある。顧客データベースで開発される信用リスクモデル、過去の応募者で訓練される採用アルゴリズム、保険価格モデル、不正検知ツールなどである。ここでは、「研究」と「運用」の境界は薄い。モデルを開発するために使用されるのと同じ構造化されたデータセットが、個人に関する重大な決定を支援するために使用される、あるいは容易に使用可能である。
この第二の類型において、データ保護にとって重要なのは、抽象的な「研究」が厳密に必要な以上のデータを使用することではなく、結果として生じる決定システムが決定目的と関連しないデータに基づいて運用されうることである。核心的なリスクは恣意的または差別的な処遇である。音楽の趣味が与信限度額に影響を与える、ソーシャルメディア活動が採用に影響する、近隣の代理変数が保険価格において民族性の代わりに使われる。これらはまさに、十分性と関連性の要件が本来防止するはずだった種類の問題である。
この観点からすれば、オムニバス提案の4条38項および13条5項の変更は問題があるが、それは主としてデータ最小化という抽象的な理想を侵害するからではない。それらが問題なのは、以下の理由による。
noybの批判は、定義の曖昧さと「イノベーション」がさらなる処理の白紙委任として使われるリスクを正しく攻撃している。しかし、問題を主として憲章に適合するデータ最小化の観点から捉えることで、決定的な問いを発する機会を逃している。どの研究生成データセットが決定文脈に流入する可能性が高く、無関係または差別的な意思決定を防ぐためにその再利用はどのように制約されるべきか？ これは、以前のオムニバス論争に関する投稿で私が展開した視点であり、そこで私は欧州委員会もnoybも5条1項(c)のGDPRの明示的な関連性要件を見落としがちだと主張した。
同じパターンが、AIと特別カテゴリーのデータを扱う9条2項(k)および5項に関するオムニバス提案において、より鮮明な形で繰り返されている。草案は「AIシステム…またはAIモデルの開発および運用の文脈における処理」のための新たな適用除外を導入し、5項では管理者に対し、訓練、テスト、検証において特別カテゴリーの処理を避けるための「適切な組織的・技術的措置」を講じ、特定された場合はそのようなデータを削除するか、削除に不均衡な努力を要する場合は少なくとも出力への影響や開示を防止することを求めている。提案された前文33は、これを「AIの開発と運用を不均衡に妨げないために」9条1項の禁止からの適用除外として明示的に位置づけている。
noybはこの構造をおなじみの論拠で批判している。AIはまさにデータ保護原則が本来制約するために設計された、不透明で大規模な処理の一種であり、AI開発・運用のための新たな適用除外を設けることは後ろ向きであり、そのようなシステムを念頭に置いて書かれたまさにその保障を骨抜きにする恐れがある、と。また、緩い起草（「の文脈における」「適切な措置」「不均衡な努力」）と、何らかの最小化努力を講じたと主張できる限りAI開発者が特別カテゴリーを保持することを一般的に許可することになるリスクも指摘している。
ここでも、この批判路線は理解できるが、それは「AI開発」が単一の活動であり、関連する憲章上のリスクは処理されるデータの量と機微性によって捕捉できるという前提に立っている。実際の状況はより複雑である。
以前のブログ投稿で私が主張したように、「AI開発」というラベルは現在、根本的に異なる二つの活動をカバーしている。
処遇AI、例えば信用スコアリング、採用、保険モデルは、真正な体系的データセット──データ保護法の意味でのプロトタイプ的な「個人データ」である顧客または候補者のデータベース──で訓練される。ここでは、データベース志向の要件が構造的に意味を持つ。訓練セットにおける不必要な特別カテゴリーを最小化し、不適切に含まれている場合は削除し、機微な訓練データを開示や悪用から保護する。
生成AIの公開ウェブテキストに対する訓練は、対照的に、すでに公開されている情報の散在する断片を処理して統計的パターンを抽出する。それは体系的な個人レコードを作成しない。結果として生じるモデルは、通常の運用において、特定の人物の機微な特性についてアドレス可能なレコードを含まない。主要なリスクは、識別された個人についての特別カテゴリーの開示ではなく、生成されたコンテンツにおけるバイアスやステレオタイプの増幅にある。
第二の類型について、9条5項の要件は単に的外れである。管理者に対し、異質なウェブページのコーパスから特別カテゴリーを「削除」するよう指示することは、存在しないデータベース的構造を前提としている。正確には何を削除すべきなのか──文、段落、文書全体か？「可能な場合」という修飾語は、首尾一貫した基準を提供することなく実行不可能性を認めている。特別カテゴリーの「開示」を防止するという文言は、開示が管理されたデータベースから特定の個人の機微データを明らかにすることを意味する文脈を前提としており、健康や宗教が抽象的に言及される新しいテキストを生成することではない。
これらの構造的に異なる活動を単一の適用除外の下にまとめることで、オムニバス提案はpersonal dataの定義においてすでに見られた概念的混同を繰り返している。同時に、決定志向の観点からより重要なことに、それは規制上の注意を誤った場所に向けている。
散在する公開テキストに対する生成AIの訓練は、個人に関する決定に適した体系的データセットを構築することがないため、規範的にはpersonal dataの処理として扱われるべきではないにもかかわらず、実行不可能なデータベース志向の要件の直接の標的となる。
処遇AIの運用──構造化されたデータセットを使用して個人に関する重大な決定を行う場面──は、比較的少ない的を絞った注目しか受けない。88c条はAI運用を正当な利益として認めているが、この文脈で5条1項(c)の関連性要件を執行する仕組みを提供していない。したがって、音楽の好み、ソーシャルメディア活動、宗教的所属といった無関係な特性が、「正当な利益」の旗印の下で決定に織り込まれうることになり、個人の異議申立権のみが制約となる。
要するに、オムニバス提案もその批判の多く（noybを含む）も、AIシステムがどれだけの、どのような種類のデータを処理しうるかに焦点を当て、AI支援決定に使用されるデータが決定目的と関連しているかどうか、そして恣意的または差別的な結果を生む形でのデータの文脈横断的再利用をどのように防ぐかという問いは、ほとんど手つかずのまま残している。これがまさに、5条1項(c)の関連性に基づく解釈が埋めるべきギャップなのである。
この時点で明白な問いが浮かぶ。欧州委員会もnoybも問題を間違った形で捉えているなら、研究とAIのより良い扱いは実際にはどのようなものになるのか？ 新しい研究定義と9条2項(k)のAI適用除外──そしてpersonal dataを再定義しようとする試み──の両方に共通する政治的な動因の一つは、現在の「個人データの処理」の解釈の下では、ウェブスケールのAI訓練やその他の大規模分析さえもGDPRの完全なレジームに自動的に吸い込まれてしまうという恐れであることは明らかだろう。
私の答えは、リークされたオムニバス草案に関する以前の投稿と本質的に同じだが、新しい定義とAI提案にまで拡張される。
学習フェーズには既存の統計・研究の枠組みを維持する
欧州にはすでに、個人に関する決定にそれ自体が供されない大規模分析を扱う首尾一貫した方法がある。それは以下の組み合わせである。
GDPR 5条1項(b)における統計・科学目的のための「両立性」ルール
欧州評議会の統計処理に関する古い枠組み。これは、統計結果に基づいて個人に関する決定や措置が取られない限り、個人の権利の制限を認めている。
AI訓練はここに属する。大規模データセットでモデルを訓練することは、実質的に統計処理である。この段階では、定義上、まだ具体的な決定目的がないので、モデルやその入力のレベルで関連性テストを適用することにはあまり意味がない。十分性と関連性の要件は、決定の情報的基盤に対する制約であり、抽象的なモデルの構造に対する制約ではない。保護される核心的利益は、学習アルゴリズムが特定の変数を「見た」というだけで侵害されるのではない。それは、それらの変数が実際に個人に関する決定パイプラインの一部として使用されるときに侵害される。
この区別は決定的に重要である。モデルは内部的に、決定時に明示的に使用されれば無関係となる特徴を含む多くの特徴に影響されたパラメータを含んでいるかもしれない。データ保護にとって重要なのは、ある人物について決定する際に実際にどのデータが考慮されるか──運用システムにおいてどの変数が読み取られ、結合され、行動の基礎とされるか──である。したがって、法的アーキテクチャは非常にシンプルであるべきだ。
学習・訓練＝統計または研究処理。そのような目的のための既存ルールでカバーされ、産出物が直接に個人について決定するために使用されないことを厳格な条件とする
運用＝意思決定。完全なデータ品質審査の対象となり、決定に実際に使用される入力に関して5条1項(c)の「十分であり、関連性があり、過度でない」の真摯な執行を含む
特別なAI適用除外は不要であり、広範なものは有害である
AI訓練を統計処理として、AI運用を通常の（しかし極めて重大な）意思決定として扱うなら、9条2項(k)その他における新たなAI固有の適用除外は必要ない。むしろ、「AI開発・運用のための」一律適用除外は、以前の投稿で私が批判したまさにそのことを招くリスクがある。管理者が「AI」をマジックワードとして援用し、両フェーズを同時に正当化することを可能にし、運用フェーズにおけるシンプルな問い──このAI支援決定に実際に使用するデータは、決定目的と関連しているか？──を問うことがなくなる。
特別カテゴリーもAI専用レジームを必要としない
学習フェーズについて、正しい問いは「ウェブスケールの訓練コーパスから特別カテゴリーのあらゆる痕跡をどのように除去できるか？」ではなく、「統計目的で使用される訓練コーパスが、特別カテゴリー──直接的であれ推論されたものであれ──が決定目的と無関係となる決定システムにカジュアルに転用されないようにするにはどうすればよいか？」である。
運用フェーズについて、関連性が適切に執行されれば、直接明らかにされた機微データと推論された機微データの区別はさほど重要ではなくなる。両方とも、決定目的に照らして「あなたには無関係」である場合には排除される。以前の投稿で私が主張したように、問題は、我々が決定層における関連性についての執行力をまず構築することなく、9条をスリム化しようとしていることである。
言い換えれば、AI固有の例外や研究固有のショートカットを発明する代わりに、AI訓練を本来の場所──既存の統計・研究の枠組み──に戻し、規制上のエネルギーを、関連性要件が決定がなされる時点でついに真剣に受け止められなければならないAI運用に集中させるべきなのである。
ここまでの議論は、データ保護が相互に連関する二つの層で機能していることをすでに示唆している。
この構造をより明確にし、オムニバス提案が各層にどのように影響するかを問うことができる。
機能的な観点から見ると、EUのデータ保護法は二つの別個だが相互依存的な層で機能している。
第一に、決定の直接的ガバナンスがある。個人データが実際に個人に関する決定を行う、または支援するために使用される場合、データ保護法は、それらの決定の情報的基盤が伝統的なデータ品質基準を満たすことを要求する。データは決定の目的にとって十分であり関連性があり、過度であってはならない。現代の言葉で言えば、使用されるデータ項目と正当な決定目的との間に合理的な関連がなければならない。古典的な「十分であり、関連性があり、過度でない」という定式が属するのはここである。それは決定がどのように行われるかに対する制約であり、データを抽象的に最小化せよという呼びかけではない。
第二に、データ流通の予防的ガバナンスがある。目的制限、再利用と転送の制限、「データサイロ」の構築は、過ぎ去ったデータベース規制時代の不可解な遺物ではない。それらは十分性と関連性の将来の違反を防止するために設計された事前のツールである。経験的な直観はシンプルである。
データがいったん新しい文脈に流入し始めると、それが関連性のない決定に再利用される確率は急激に上昇する。
ある明確に定義された目的のために収集されたデータセットが、構造的制約なしに転用、結合、取引されうるなら、ある主体がそれを、データと合理的な関連のない決定への入力として使用するのは時間の問題である──音楽の趣味に基づく信用スコアリング、ソーシャルメディア活動に基づく保険価格設定、政治的所属に基づく採用決定など。
このように見れば、目的制限は公正さについての装飾的な前文ではない。それは、どのデータが現実的にどの決定システムに供されうるかというデータ流通の将来のグラフを法が形成しようとする中心的な法的メカニズムである。決定層は決定の内容（十分性と関連性）を規律し、流通層はデータがそもそも決定文脈にたどり着きうる経路を規律する。
したがって、「個人データ」の境界を引き直そうとする試みは二つの効果を持つ。
オムニバス提案のpersonal dataの定義に関するリスクは、この第二のレベルで最もよく理解される。
オムニバス提案は、personal dataの地位が特定の管理者の手段に依存しうるという考えを発明したのではない。それは裁判所の相対的アプローチ、特により最近の判例法で表明されたものを法典化している。核心的な考えは、情報がある管理者にとってpersonal dataとしてカウントされるのは、その管理者が当該個人を識別するために「合理的に使用される可能性がある」手段を持っている場合に限られるというものである。再識別のための鍵を持たない主体が保有する仮名化データセットは、たとえ別の主体が同じレコードを識別できるとしても、その主体にとっては定義の外に落ちる可能性がある。
表面上、この措置は現実の問題に対する技術的解決策として提示されている。すなわち、識別可能性を何らかの形で相対化しなければ、誰かが人物と結びつけうるあらゆるデータがすべての者にとってpersonal dataとして扱われるリスクがある、という問題である。しかし二層構造を見れば、異なる像が浮かび上がる。
単純化した仮想事例を考えよう。ある会社が、顧客がジャズ、ロック、クラシックのどれを好むかという音楽の好みに関する情報を、安定した内部識別子に紐づけて収集している。収集時点で、データを仮名化し、純粋に市場調査のためにのみ使用すると宣言する。相対的な定義の下では、会社は次のように主張しうる。
もしこの立場が認められれば、決定的な帰結が生じる。目的制限がデータセットに一切付着しない。データは構造化された形式で収集・処理されているが、その管理者にとって「非個人」として扱われる限り、データ保護の流通ガバナンス層全体が単純に適用されない。
数年後に早送りしよう。会社は戦略を変更し、信用スコアリング市場に参入する。そのデータセットにおいて、音楽の好みが返済履歴と相関することを発見する。今や会社には、以下の強いインセンティブがある。
その時点で、会社は今は識別手段を持っており、データは今はpersonal dataを構成すると主張するだろう。しかし目的制限は遅すぎる形で援用される。データが当初「非個人」として分類されていたため、その収集と保持を特定の限定された目的のセットに結びつける法的義務も、後の信用スコアリングへの再利用を、新たな法的根拠と当該個人への新たな保証を必要とする目的変更として扱う義務もなかった。
これは奇抜なエッジケースではない。それは「識別手段がないとの主張を通じた目的漂流」という体系的パターンを記述している。
同じロジックは、孤立した会社だけでなく、主体の連鎖全体にも適用される。上流の主体が、再識別の鍵を持っていないことを根拠に、豊かで個人レベルの構造化されたデータセットを「非個人」として扱えるなら、それらのデータセットは、識別された人物と結びつけ、決定システムに組み込む手段とインセンティブを持つ主体に到達するまで、自由に流通しうる。目的制限はまさにそのような文脈横断的流通を制約するはずだった。相対的な定義は、普及の最も重要な段階においてその射程から外れることを容易にする。
欧州委員会に対し、実施法を通じて仮名化データセットの特定のカテゴリーを「非個人」として指定する権限を与えるオムニバス提案は、このリスクを悪化させるだろう。そのような指定がなされれば、構造化されたデータのクラス全体が、後に決定パイプラインに再統合されるのに完全に適している間も、単なる技術的な排気ガスであるかのように移動しうる。消失するのは、何か周辺的な透明性義務だけではない。流通の各段階において「これらのデータをこの次の文脈に移動させることを正当化する目的は何か？」と問う事前の要件が消失するのである。
決定と流通志向の観点からすれば、オムニバスの再定義の危険は、主としてGDPRを抽象的な意味で「広くなくする」ことではない。それは、構造化され、決定に使用可能なデータセットを、予防的な流通ガバナンス層がその最も重要な仕事をするまさにその段階において、その層から除外することである。
同時に、GDPRはその適用対象範囲条項の形で、すでにゲートを持っていることを思い出す価値がある。2条は、規則を「個人データの処理」に限定している。「GDPRは何にでも適用される」という広く聞かれる不満は、そのようなゲートが存在しないからではなく、processingが次第に「ある人物に関するあらゆる情報のあらゆる取扱い」へと平坦化されてきた──政治的想像力においては、AI訓練のためのウェブクローリングやその他の大規模分析を含めて──からである。オムニバス提案はこの過広認識を額面通りに受け取り、personal dataの定義そのもののレベルでそれを治療しようとしている。最大スコープ・パラダイムは逆方向から反応し、personal dataとprocessingの可能な限り広い解釈を擁護している。両方の動きに共通しているのは、processingの構造的概念を手つかずのまま放置していることである──そしてそれとともに、GDPRの適用対象範囲は体系的でファイル的な処理パイプラインを捉えるためのものであり、個人への散在するあらゆる言及を捉えるためのものではなかったという、本来の考えも放置している。
この背景に照らして、保護の両方の層を真剣に受け止めるなら、スコープの問いを構成する別の方法が示唆される。personal dataとprocessingの概念をどこまで概念的に拡張できるかを問う代わりに、どの状況においてEUのデータ保護法が、最低限、両方の層にわたって完全な力で適用されなければならないかを問うべきである。
決定と流通志向のテストは、予告的に、次のように定式化できよう。
体系的なパイプライン
processingの本来の意味での体系的な情報パイプラインが存在しなければならない。安定したカテゴリーやフォーマットに従って組織化されたデータに対する、構造化された一連の操作であり、単なる孤立した言及やアドホックなやり取りではない。これが、「データ」を散在する「情報」から区別し、初期のデータ保護法制が規制しようとしたものを捉える閾値である。
決定文脈
このパイプラインの産出物が、個人の法的・社会的地位に影響を与える決定文脈──信用、雇用、保険、社会給付、サービスへのアクセス、法執行、およびそれに類する領域──で使用される、または合理的に使用される可能性がある。ここで決定層が作動し、5条1項(c)は、処理される各データカテゴリーと表明された決定目的との間に合理的な関連を要求する、真正な関連性要件として解釈・執行されなければならない。
文脈横断的流通リスク
パイプライン内のデータが、目的制限と転送制限が適用されない限り、それらが関連性を持たない別の決定文脈に現実的に流入しうる。このような文脈横断的な漂流が構造的にあり得る場合──大規模分析、AI開発、プラットフォームエコシステムにおけるように──流通層は、管理者が現時点で識別手段を持っていると主張するかどうかにかかわらず、データが構造化された形式で収集された瞬間から適用されるべきである。
この見方によれば、オムニバスのpersonal data再定義の問題は、最大スコープという抽象的な理想を放棄することではない。問題は、それが管理者がこの三部構成のテストから任意に離脱することを許容する点にある。収集時点で識別手段を持たないと宣言するだけで──たとえ後に重大な決定システムに投入されうるような構造化されたデータセットをまさに構築している最中であっても──テストから外れることができてしまう。そのようなデータセットがpersonal dataという法的カテゴリーの外側で生まれてしまえば、その将来の流通を事前に形成する法の能力は損なわれる。
同じテストは、概念的に、AI関連処理の異なる類型を区別するのにも役立つ。散在する公開テキストコーパスに対する生成AIの訓練は、第一と第三の要件を満たさないかもしれない。それは体系的で個人宛（individual-addressable）のデータセットを作成せず、その産出物は自然に決定文脈に接続されない。対照的に、処遇AI──信用スコアリング、採用アルゴリズム、保険価格モデル──は三つの要件すべてに該当する。構造化されたレコードを操作し、個人に関する決定を直接支援し、そのデータセットには明らかな文脈横断的再利用可能性がある。
この解釈的提案は、GDPR 4条1項の条文を書き換えることを求めるものではない。既存のprocessing of personal dataおよびpersonal dataという概念を、その指令時代の機能に照らして読み直すことを求めるものである。
歴史的に、processingの構造的理解は、時代遅れの「ファイル」概念の偶然の副産物ではなかった。欧州委員会の1990年提案はなおファイルの言葉で語っていたが、欧州議会が「ファイル」を「個人データの処理」に置き換えることを主張したとき、それは構造的要件を完全に放棄することを意味していなかった。それは、文字通りの中央集権的ファイルなしに同じリスクを再現するオンザフライの決定システムを含め、ファイル的な処理パイプラインを捉えることを意図していた。「ファイル」から「個人データの処理」への移行は、概念を機能的な線に沿って拡張したのであり、「あらゆる情報のあらゆる取扱い」へと溶解させたのではなかった。
一部の判決──特に境界事例において──は、processingを「あらゆる情報のあらゆる取扱い」という一般則に変換することなく、特定の事実関係のために概念を拡張したものとして読むことができる。真の緊張が残る場合、それは、基礎にある概念がなお慎重な教義的明確化を必要としているまさにその時に、オムニバスが最大主義的スコープを憲法化するのは時期尚早であることを示唆している。
デジタル・オムニバスをめぐる公開書簡やプレスリリースだけを読めば、おなじみのドラマに見える。一方には、個人データの定義を狭め、AIや研究のための新たな適用除外を設けることでGDPRを「骨抜きにしている」と非難される欧州委員会。他方には、個人データの最大スコープとデータ最小化の強いバージョンを擁護するnoybその他のアクター。
本稿で私が以前の分析を踏まえて主張してきたのは、これが間違った対立軸だということである。両陣営とも、法の射程をどこまで広げるべきかをめぐって争っているが、法が本来何をコントロールするために設計されたのかという点はほとんど無視している。1970年代以降、欧州のデータ保護法は抽象的な「データ」を対象としていたわけではない。それは意思決定システムを対象としていた。構造化されたデータが収集され、組織化され、雇用、信用、保険、社会給付その他の利益と負担を配分するために使用されるパイプラインである。
この観点から見れば、GDPRの核心は「データが多すぎる」ことへの抽象的な恐怖ではなく、一対の関連する問いである。個人に関する決定においてどのデータが正当に考慮されてよいのか、そしてデータが目的と合理的な関連を持たない決定文脈に流入することをどのように防ぐべきか？ これこそが、データ品質原則と目的制限が本来対処するために構築されたものである。
ここで、二つの自然な疑問が浮かぶかもしれない。
第一に、これは結局、名前を変えたデータ最小化ではないのか、という疑問である。結局のところ、GDPR 5条1項(c)は今や文字通り、データは処理目的との関係で「十分であり、関連性があり、必要なものに限定される」べきだと述べており、データ保護指令もすでに「十分であり、関連性があり、過度でない」と述べていた。法は常にデータを最小化することを目指してきたのではないか？
私の答えは、歴史的に見れば、この三要素は決定のためのデータ品質原則として構成されていたのであり、「できるだけ少ないデータを収集せよ」という宙に浮いた命令ではなかった、というものである。「過度でない」──そして後に「必要なものに限定される」と言い換えられたもの──は、所与の決定目的にとっての十分性と関連性をも要求する基準の中に埋め込まれていた。監督当局のガイダンスはしばしば「十分」を「表明された目的を適切に果たすのに足りている」と解説している。しかし「足りている」は時として、より少ないデータではなく、より多くのデータを意味する。恣意的な信用拒否を避けるためのより完全な収入情報、単一のデータポイントの誤解を避けるためのより多くの文脈、粗雑なプロファイリングを防ぐためのより多くのニュアンス。「より少ないデータ」を基本権の観点から常により良いと扱う純粋な最小化の読み方は、この両義性を消し去り、十分性と関連性を一次元的な「量」の指標に押しつぶしてしまう。この観点からすれば、5条1項(c)をデータ最小化原則とリブランドすること自体が問題の一部なのである。それは決定にとっての関連性と十分性という本来の焦点を覆い隠し、より良い保護が実際にはより薄いデータではなくより良いデータを必要とする状況を見落としやすくする。
第二の、密接に関連する疑問は、これは結局、自動化された意思決定に関するGDPR 22条の強化を求めることに帰着するのではないか、というものである。22条をめぐる最近の戦いは、ある意味で、同じ誤った枠組みの症状である。データ品質原則がpersonal dataを考慮に入れるすべての決定の情報的基盤をすでに規律していることを忘れているがゆえに、プロファイリングやAIに関するあらゆる懸念を、22条の「専ら自動化された」決定という狭いカテゴリーに背負わせる傾向がある。そこで一方の陣営は、実際には5条1項(c)の一般的レジームに属する問題を治癒してくれることを期待して、22条をますます広げることを要求する。もう一方の陣営は、22条は十分性と関連性を尊重した適切なプロファイリングさえも烙印を押す行き過ぎだと結論づけ、それを骨抜きにするか廃止することを推進する──この雰囲気はオムニバス論争においても皆無ではない。
両陣営が忘れがちなのは、22条は非常に小さなサブセットのケースのための特別法（lex specialis）だということである。私がここで再構成しようとしてきた基本的な基準は、より一般的でより基本的なものである。それは、自動化と人間の関与の組み合わせがどうであれ、personal dataが意思決定に使用されるすべての場合に適用される。その基準が主として根拠を置くのは5条1項(c)および周辺のデータ品質・目的制限規定であり、22条ではない。22条を強化することは、関連性要件を全面的に真剣に受け止めることの代替にはなりえない。22条を弱体化しても、決定層における十分性と関連性を無視し続け、無関係なデータが重大な決定に密かに浸透できるように流通ガバナンスを緩和するなら、決定システムが無害になるわけではない。
この背景に照らせば、デジタル・オムニバスの真の約束と危険がより明確になる。約束とは、現在の論争が基本的な問いを再び開かせる契機となりえたはずだということである。構造的な意味で「個人データの処理」として何がカウントされるのか？ データ保護の特徴的なリスクは実際にはどこで生じるのか？ 統計・学習フェーズと運用上の意思決定をどのように区別すべきか？ 危険とは、processingの基礎概念がなお慎重な教義的作業を必要としているまさにその時に、最大主義的なスコープ解釈を憲法化してしまうこと──そして同時に、最も緊急に厳格な流通ガバナンスを必要とするまさにその構造化されたデータセットのために、密かにバックドアを開けてしまうことである。
本稿で素描した代替案は、条文上の野心は控えめだが、効果においてはラディカルである。それは4条1項を書き換えることを求めていない。「個人データの処理」と5条1項(c)を、その指令時代の機能に即して読み直すことを求めている。AI訓練は既存のルールの下で統計処理として扱われるべきであり、真の規制上のエネルギーは、十分性と関連性の要件がついに効力を発揮しなければならないAI運用やその他の決定システムに向けられるべきだと提案している。そして、欧州委員会もその批判者たちも、personal dataという法的概念をどこまで引き伸ばせるかから、データが決定に流入するパイプラインを法がどのように規律するかへと注意を移した方がよいと提案している。結局のところ、それこそがデータ保護の存在理由だったのだから。
*1 例えば、ドイツが歴史的にデータ品質原則を一度も理解した様子がないことを裏付けるには、1973年のSpiros Simitisの初期の構想「Datenschutz - Notwendigkeit und Voraussetzungen einer gesetzlichen Regelung」（DVR 2巻138頁以下）で「Relevanz」概念がどう書かれていたか、1977年のOtto Mallmannが「Zielfunktionen des Datenschutzes: Schutz der Privatsphäre, korrekte Information; mit einer Studie zum Datenschutz im Bereich von Kreditinformationssystemen」で、信用情報システム分野を題材に、被影響者の差別のリスクに言及しながら「正確性」「完全性」に並び「文脈依存性の維持」を挙げて問題の本質に迫っていたにもかかわらず、その出口を必要性（Erforderlichkeit）に求めてしまったこと、その後もSimitisは一貫して何らかの具体的基準の必要性を訴え続けるものの、その答えは示されず、2000年ごろから出口が見えないままDatensparsamkeitに傾倒して行き、ついにはHans Peter Bullに、データ禁欲（Datenaskese）とか正気か？と窘められるという展開があったこと、Bull自身は、データ保護の趣旨を正しく理解し、より多くのデータ項目を要することもある旨を指摘していた（しかしDPDのデータ品質原則がそれをカバーしていることには触れていない）こと、ドイツでも労働法分野では古くから関連性（sachlicher Zusammenhang）を要件とする判例と学説が確立していたが、データ保護法制のデータ品質原則がそれをカバーしているとは気づいていない様子がある（Peter GolaのBDSGコンメンタールなど）こと、国内法のBDSGは長らくDPDのデータ品質原則を無視して（比例原則と勘違いして）導入しなかった（対応済みだと勘違いして）こと、それが原因でSCHUFAの住所を用いたGeoscoringに対処できず、BDSG 2010で個別の規制条項を導入していること、それにもかかわらず問題は解決せず、結局GDPR 22条に活路を見出そうとして現在も迷走していること、Alexander Roßnagelが、1990年代から2010年代にかけて常にDatensparsamkeitを強調し、GDPRの成立に際しても、Datensparsamkeitが徹底されなかったことを指摘し、22条の自動決定規制をもっと強化すべきとGDPRの改正を主張していたこと、などなどを示す必要があるだろう。情報的自己決定権を持ち出してDatensparsamkeitを強調する者には、国勢調査判決以来の「Informationelle Selbstbestimmung」がドイツの学説でどう論じられてきたか、特に2010年のGabriele Britz「Informationelle Selbstbestimmung zwischen rechtswissenschaftlicher Grundsatzkritik und Beharren des Bundesverfassungsgerichts」（Offene Rechtswissenschaft: ausgewählte Schriften von Wolfgang Hoffmann-Riem mit begleitenden Analysen、561頁以下）がどう結論づけているかなどを挙げるのがいいし、ドイツ以外でのデータ保護法制のrelevant要件の意味が、本当に私の言うような意味のものだったのかについては、Paul SieghartやJon Bingの文献の他、英国Lindopレポートの記述と、米国FCRA 1970立法過程の公聴会の記録を参照するのがよいだろう。
*2 このことは日本にとっても他人事ではない。生成AIの台頭に伴って日本の個人情報保護委員会も一昨年、要配慮個人情報の収集についてOpenAI社に対して無理のある注意喚起を出し、保護の方向性について自民党から疑問視される事態になっていたのは、欧州とよく似た状況である。ちょうどその頃始まっていた日本の個人情報保護法の3年ごと見直しでは、この問題に対処するべく、私の提出意見が通り、生成AIの学習段階を統計処理と捉えて、要配慮個人情報が含まれてしまうことを問題視しないようにする改正が予定（昨日の新聞報道）されている。
In early November 2025, a leaked draft of the European Commission's "Digital Omnibus," including amendments to the GDPR, sparked significant controversy. Key points of contention included the proposal to limit Article 9's protection of special category data to cases where such data "directly reveals" sensitive information, and the clarification of legitimate interests as a legal basis for AI training and operation. On November 11, Austrian privacy advocacy group noyb.eu, together with EDRi and ICCL, published an open letter to the European Commission criticizing the proposal as a "massive rollback of fundamental rights." This analysis was written in response to the leaked draft and noyb.eu's critique.
The core argument presented here is that both the Commission's proposal and noyb.eu's critique share a fundamental flaw. While they oppose each other over Article 9, both have lost sight of the "principle of relevance," which has been at the heart of data protection law since 1980. This will be elaborated below.
Note that after this analysis was written, the official proposal was published on November 19, with important changes from the leaked version. These developments are addressed in the addendum at the end.
The European Commission's draft GDPR amendments, scheduled for proposal in November 2025, and noyb.eu's critique of it share a common fundamental flaw. Both parties have lost sight of the "principle of relevance," which has been the core of data protection law since the 1980 OECD Guidelines and CETS 108.
The draft amendment seeks to limit the protection of special category data under Article 9 to cases where such data "directly reveals" sensitive information, while clarifying legitimate interests as a legal basis for AI training and operation. Meanwhile, noyb.eu criticizes this as a "massive rollback of fundamental rights," calling for the maintenance of broad Article 9 protections and the expansion of data subjects' rights. However, this very axis of conflict misunderstands the essence of data protection law.
GDPR Article 5(1)(c) already requires that personal data be "adequate, relevant and limited to what is necessary." This concept of "relevant" is the core requirement of data protection law, inherited from the computer scientists at the US RAND Corporation in 1965, through the 1973 HEW Report, to the OECD's second principle in 1980. The principle of relevance prohibits the use of data items that are irrelevant to the purpose of a decision concerning an individual. This is a requirement for eliminating discrimination and ensuring fairness, and it is a universal principle applicable to all data items, not limited to specific categories such as race or health status.
The term "relevant" is often misunderstood. It does not simply mean "useful" or "statistically correlated." The UK Information Commissioner's Office (ICO) uses the phrase "has a rational link to the purpose" to clarify this concept. Music preferences may statistically correlate with creditworthiness in credit decisions, but there is no rational link between them. Pregnancy information has no rational link to job performance capacity in employment decisions. It is precisely this presence or absence of a "rational link" that constitutes the core of the principle of relevance.
However, in the German translation of CETS 108, "relevant" was rendered as "erheblich," which fatally distorted the concept. "Erheblich" is a quantitative concept meaning "considerable" or "substantial," different from the original qualitative relevance. Due to this mistranslation, German-speaking scholarship has conflated the data quality principle with the principle of proportionality, understanding it as a matter of quantitative limitation to "necessary minimum." The original purpose of excluding data qualitatively lacking a rational link to the decision purpose has been lost, and instead, alternative protective measures such as "special protection of sensitive data" have been overemphasized.
The problem with the Commission's draft is that while it maintains Article 5's relevance requirement, it provides no measures to strengthen its enforcement. Clarifying AI training and operation as legitimate interests is understandable as a tidying up of legal bases. However, even with the new Article 88c, no mechanism is included to promote substantive examination of whether data items used in AI operation have a "rational link" to the decision purpose. Theoretically, Article 5 should apply, but without practical enforcement, the principle of relevance becomes a dead letter.
At the same time, limiting Article 9 protection to cases that "directly reveal" sensitive information is theoretically the correct direction. This is because if the principle of relevance is properly enforced, both inferred sensitive information and direct sensitive information would be equally prohibited from use if they lack a rational link to the decision purpose. Using inferred pregnancy information in employment decisions and directly using race information both constitute "none of your business" regarding the purpose of employment decisions. However, in the current situation where enforcement of the principle of relevance is insufficient, weakening the alternative protective measure of Article 9 first creates a protection gap. The order is reversed.
Noyb.eu's critique exposes an even more fundamental confusion. They demand explicit opt-in consent for AI training by Meta and others, arguing that legitimate interests under Article 6(1)(f) are insufficient. However, this argument misunderstands the basic structure of the GDPR. The GDPR already stipulates in Article 5(1)(b) that processing for statistical purposes or scientific research purposes is not considered incompatible with the original purpose. Furthermore, the 1997 Council of Europe Recommendation on the protection of individuals with regard to the processing of personal data for statistical purposes clearly states that rights of access, rectification, and erasure may be restricted when statistical processing is not used for decisions or measures concerning individuals. The reason is that statistical processing itself does not infringe upon individuals' rights and interests.
AI training is essentially statistical processing, and this framework applies. The problem lies in AI operation—the stage where trained models are used to make systematic decisions concerning individuals. Only here does the question arise whether the data items used have a "rational link" to the decision purpose. Noyb.eu conflates AI training and operation, demanding consent at the statistical processing stage. This ignores the framework for statistical processing that Europe had established by 1997.
Even more serious is the paradox inherent in noyb.eu's position that "AI training is acceptable with consent." Even with consent, if data items used in AI operation are "irrelevant" to the decision purpose, they are inappropriate. Even if an individual consents to the use of pregnancy information, it remains "none of your business" for employment decisions. Consent is merely a means to protect interests and cannot substitute for the core protected interest of ensuring appropriate decisions. Noyb.eu foregrounds "informational self-determination" and emphasizes that data subjects can exercise their rights "for any purpose." This is a position in the lineage of Westin's self-information control theory, attempting to return to the framework that the OECD Guidelines and CETS 108 sought to transcend through a "turn in conception." Data protection is not about individuals' rights to control information flows, but about institutionally guaranteeing the appropriateness of systematic decisions concerning individuals.
Here we should note a historical irony. The name "noyb.eu" stands for "None of Your Business," embodying precisely the concept of "irrelevant"—"it's not related to you." Pregnancy information for employment decisions is "none of your business," and music preferences for credit decisions are "none of your business." This expression captures the essence of the principle of relevance. Yet noyb.eu, based in the German-speaking region of Austria, operates under the influence of the "erheblich" mistranslation and does not understand the true meaning of the concept embodied in their own organization's name. They focus on defending Article 9's special categories and data subjects' rights, but remain silent on the more fundamental requirement of "relevant" in Article 5(1)(c).
The proper direction for reform is clear. First, enforcement of the principle of relevance should be strengthened. Data protection authorities need to enhance their capacity to substantively examine whether data items used in individual processing operations have a "rational link" to the decision purpose. This requires highly specialized judgment, which is precisely why independent data protection authorities were conceived in the 1970s. Second, detailed guidelines and case accumulation regarding relevance determination are needed. Having "statistical correlation" and having a "rational link" are different things. The problem of proxy discrimination can also be addressed through this distinction. Third, AI training should be treated as statistical processing within the existing framework, while enforcement of relevance in AI operation should be strengthened. Fourth, only after these enforcement foundations are established should the gradual simplification of alternative protective measures like Article 9 be considered.
Both the European Commission and noyb.eu, while opposing each other over Article 9 from different directions, are bypassing the real fortress of the principle of relevance. One weakens alternative protection without strengthening enforcement, while the other fails to distinguish between AI training and operation, demanding consent even for statistical processing, and missing the fundamental solution. The influence of over 40 years of German-language mistranslation continues to distort European data protection theory as a whole. Now is the time to return to the "principle of relevance" that the drafters of the 1980 OECD Guidelines originally intended.
After this analysis was completed, the European Commission officially published the Digital Omnibus proposal on November 19, 2025. One notable change from the leaked version is that the proposed redefinition of Article 9 (special categories of data) was withdrawn. While the leaked version had proposed limiting special category protection to cases that "directly reveal" sensitive information, the official proposal does not include this change. The European Parliament's Renew Europe group claims this as a result of pressure from a letter they sent to the Commission.
However, from the perspective of this analysis, this withdrawal has deflected attention from the core issue. Narrowing the scope of Article 9 would be theoretically correct if the principle of relevance were properly enforced, but advancing scope limitation without enforcement measures creates protection gaps. While the leaked scope limitation attracted concentrated criticism and ultimately disappeared from the official proposal, enforcement measures for the principle of relevance remain absent. Consequently, the status quo of continued dependence on Article 9 as an imperfect alternative protective measure has been solidified. While the official proposal still includes clarification of legitimate interests for AI training and operation, mechanisms to promote substantive examination of the relevance requirement in AI operation remain absent.
Meanwhile, in its statement following the official proposal, noyb.eu strongly criticizes the Digital Omnibus as a whole for "undermining core GDPR principles." In particular, they clearly oppose the direction of comprehensively justifying AI training and operation through legitimate interests under Article 6(1)(f), and reject the opt-out framework as "practically unworkable." The pattern identified in this analysis—the failure to distinguish between AI training and operation, and the disregard for the statistical processing framework—persists.
Thus, the official proposal has actually reinforced the critique presented in this analysis. The European Commission attempted to weaken alternative protections without strengthening enforcement of the principle of relevance, faced criticism, and ultimately withdrew the definitional change, but has not addressed the truly necessary enforcement strengthening. Despite obtaining the result of maintaining Article 9's scope, noyb.eu still has not turned its attention to the more fundamental solution of the principle of relevance. Both parties remain under the influence of over 40 years of German-language mistranslation of "erheblich," failing to fully grasp the true meaning of the concept embodied in their own organization's name—"None of Your Business" = "irrelevant." Now is the time for European data protection theory to return to the "principle of relevance" that has been overlooked in the shadow of the Article 9 debate.
Anfang November 2025 sorgte ein durchgesickerter Entwurf des „Digital Omnibus" der Europäischen Kommission, der Änderungen der DSGVO umfasste, für erhebliche Kontroversen. Zu den Hauptstreitpunkten gehörten der Vorschlag, den Schutz von Artikel 9 für besondere Kategorien personenbezogener Daten auf Fälle zu beschränken, in denen solche Daten sensible Informationen „direkt offenbaren", sowie die Klarstellung berechtigter Interessen als Rechtsgrundlage für KI-Training und -Betrieb. Am 11. November veröffentlichte die österreichische Datenschutzorganisation noyb.eu zusammen mit EDRi und ICCL einen offenen Brief an die Europäische Kommission, in dem sie den Vorschlag als „massiven Rückschritt bei den Grundrechten" kritisierte. Diese Analyse wurde als Reaktion auf den durchgesickerten Entwurf und die Kritik von noyb.eu verfasst.
Das hier vorgebrachte Hauptargument ist, dass sowohl der Vorschlag der Kommission als auch die Kritik von noyb.eu einen grundlegenden Fehler teilen. Während sie sich über Artikel 9 gegenüberstehen, haben beide das „Relevanzprinzip" aus den Augen verloren, das seit 1980 im Zentrum des Datenschutzrechts steht. Dies wird im Folgenden näher erläutert.
Nach Abschluss dieser Analyse wurde am 19. November der offizielle Vorschlag veröffentlicht, der wichtige Änderungen gegenüber der durchgesickerten Version enthält. Diese Entwicklungen werden im Nachtrag am Ende behandelt.
Der für November 2025 geplante Entwurf der Europäischen Kommission zur Änderung der DSGVO und die Kritik von noyb.eu daran teilen einen gemeinsamen grundlegenden Mangel. Beide Parteien haben das "Relevanzprinzip" aus den Augen verloren, das seit den OECD-Richtlinien von 1980 und der CETS 108 den Kern des Datenschutzrechts bildet.
Der Änderungsentwurf versucht, den Schutz besonderer Kategorien personenbezogener Daten gemäß Artikel 9 auf Fälle zu beschränken, in denen solche Daten sensible Informationen "direkt offenbaren", während gleichzeitig berechtigte Interessen als Rechtsgrundlage für KI-Training und -Betrieb klargestellt werden. Noyb.eu kritisiert dies unterdessen als "massiven Rückschritt bei den Grundrechten" und fordert die Aufrechterhaltung eines breiten Artikel-9-Schutzes sowie die Ausweitung der Rechte betroffener Personen. Diese Konfliktachse selbst verkennt jedoch das Wesen des Datenschutzrechts.
Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt bereits, dass personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sein müssen. Dieses Konzept der ursprünglichen "relevance" in der englischen Fassung ist die zentrale Anforderung des Datenschutzrechts, die von den Informatikern der US-amerikanischen RAND Corporation im Jahr 1965 über den HEW-Bericht von 1973 bis zum zweiten Grundsatz der OECD von 1980 weitergegeben wurde. Das Relevanzprinzip verbietet die Verwendung von Datenelementen, die für den Zweck einer Entscheidung über eine Person irrelevant sind. Es ist eine Anforderung zur Beseitigung von Diskriminierung und zur Gewährleistung von Fairness und ein universelles Prinzip, das für alle Datenelemente gilt, nicht beschränkt auf bestimmte Kategorien wie Rasse oder Gesundheitszustand.
Der Begriff "relevant" im englischen Originaltext wird oft missverstanden. Er bedeutet nicht einfach "nützlich" oder "statistisch korreliert". Das britische Information Commissioner's Office (ICO) verwendet die Formulierung "has a rational link to the purpose" (einen rationalen Zusammenhang mit dem Zweck haben), um dieses Konzept zu klären. Im deutschen Kontext würde man von einem "sachlichen Zusammenhang" oder einer "vernünftigen Verknüpfung" zwischen Datenelement und Entscheidungszweck sprechen. Musikpräferenzen mögen statistisch mit der Kreditwürdigkeit bei Kreditentscheidungen korrelieren, aber es besteht kein sachlicher Zusammenhang zwischen ihnen. Schwangerschaftsinformationen haben keinen vernünftigen Zusammenhang zur Arbeitsleistungsfähigkeit bei Beschäftigungsentscheidungen. Genau dieses Vorhandensein oder Fehlen eines "sachlichen Zusammenhangs" bildet den Kern des Relevanzprinzips.
In der deutschen Übersetzung von CETS 108 wurde "relevant" jedoch mit "erheblich" wiedergegeben, was das Konzept fatal verzerrt hat. "Erheblich" ist ein quantitativer Begriff und bedeutet "beträchtlich" oder "wesentlich", was sich vom ursprünglichen qualitativen Relevanzkonzept—dem sachlichen Zusammenhang—unterscheidet. Aufgrund dieser Fehlübersetzung hat die deutschsprachige Rechtswissenschaft den Grundsatz der Datenqualität mit dem Verhältnismäßigkeitsgrundsatz verwechselt und ihn als Frage der quantitativen Beschränkung auf das "notwendige Minimum" verstanden. Der ursprüngliche Zweck, Daten auszuschließen, die qualitativ keinen sachlichen Zusammenhang mit dem Entscheidungszweck haben, ging verloren, und stattdessen wurden alternative Schutzmaßnahmen wie der "besondere Schutz sensibler Daten" überbetont.
Das Problem des Kommissionsentwurfs besteht darin, dass er zwar die Relevanzanforderung von Artikel 5 beibehält, aber keine Maßnahmen zur Stärkung ihrer Durchsetzung vorsieht. Die Klarstellung von KI-Training und -Betrieb als berechtigte Interessen ist als Bereinigung der Rechtsgrundlagen verständlich. Doch selbst mit dem neuen Artikel 88c ist kein Mechanismus enthalten, der die materielle Prüfung fördert, ob die im KI-Betrieb verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Theoretisch sollte Artikel 5 gelten, aber ohne praktische Durchsetzung wird das Relevanzprinzip zu einem toten Buchstaben.
Gleichzeitig ist die Beschränkung des Artikel-9-Schutzes auf Fälle, die sensible Informationen "direkt offenbaren", theoretisch die richtige Richtung. Denn wenn das Relevanzprinzip ordnungsgemäß durchgesetzt wird, wäre sowohl die Verwendung erschlossener sensibler Informationen als auch direkter sensibler Informationen gleichermaßen verboten, wenn sie keinen sachlichen Zusammenhang zum Entscheidungszweck haben. Die Verwendung erschlossener Schwangerschaftsinformationen bei Beschäftigungsentscheidungen und die direkte Verwendung von Rasseninformationen sind beide "none of your business"—sie gehen den Entscheidungsträger nichts an—in Bezug auf den Zweck von Beschäftigungsentscheidungen. In der gegenwärtigen Situation, in der die Durchsetzung des Relevanzprinzips unzureichend ist, schafft jedoch die vorherige Schwächung der alternativen Schutzmaßnahme des Artikels 9 eine Schutzlücke. Die Reihenfolge ist umgekehrt.
Die Kritik von noyb.eu offenbart eine noch grundlegendere Verwirrung. Sie fordern explizite Opt-in-Einwilligung für KI-Training durch Meta und andere und argumentieren, dass berechtigte Interessen gemäß Artikel 6 Absatz 1 Buchstabe f unzureichend seien. Diese Argumentation missversteht jedoch die grundlegende Struktur der DSGVO. Die DSGVO legt bereits in Artikel 5 Absatz 1 Buchstabe b fest, dass die Verarbeitung zu statistischen Zwecken oder wissenschaftlichen Forschungszwecken nicht als unvereinbar mit dem ursprünglichen Zweck angesehen wird. Darüber hinaus erklärt die Empfehlung des Europarats von 1997 über den Schutz von Personen bei der Verarbeitung personenbezogener Daten für statistische Zwecke eindeutig, dass die Rechte auf Auskunft, Berichtigung und Löschung eingeschränkt werden können, wenn die statistische Verarbeitung nicht für Entscheidungen oder Maßnahmen in Bezug auf Personen verwendet wird. Der Grund ist, dass die statistische Verarbeitung selbst die Rechte und Interessen von Personen nicht verletzt.
KI-Training ist im Wesentlichen statistische Verarbeitung, und dieser Rahmen gilt. Das Problem liegt beim KI-Betrieb—der Phase, in der trainierte Modelle verwendet werden, um systematische Entscheidungen über Personen zu treffen. Erst hier stellt sich die Frage, ob die verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Noyb.eu vermischt KI-Training und -Betrieb und fordert Einwilligung bereits in der Phase der statistischen Verarbeitung. Dies ignoriert den Rahmen für statistische Verarbeitung, den Europa bis 1997 etabliert hatte.
Noch schwerwiegender ist das Paradoxon, das der Position von noyb.eu innewohnt, dass "KI-Training mit Einwilligung akzeptabel ist". Selbst mit Einwilligung sind die im KI-Betrieb verwendeten Datenelemente unangemessen, wenn sie für den Entscheidungszweck "irrelevant" sind. Selbst wenn eine Person der Verwendung von Schwangerschaftsinformationen zustimmt, bleiben diese für Beschäftigungsentscheidungen "none of your business". Die Einwilligung ist lediglich ein Mittel zum Schutz von Interessen und kann das zentrale Schutzinteresse der Gewährleistung angemessener Entscheidungen nicht ersetzen. Noyb.eu stellt die "informationelle Selbstbestimmung" in den Vordergrund und betont, dass betroffene Personen ihre Rechte "für jeden Zweck" ausüben können. Dies ist eine Position in der Nachfolge von Westins Theorie der Selbstkontrolle über Informationen und versucht, zu dem Rahmen zurückzukehren, den die OECD-Richtlinien und CETS 108 durch eine "Wende der Konzeption" zu überwinden suchten. Datenschutz geht nicht um das Recht von Individuen, Informationsflüsse zu kontrollieren, sondern um die institutionelle Gewährleistung der Angemessenheit systematischer Entscheidungen über Individuen.
Hier sollten wir eine historische Ironie beachten. Der Name "noyb.eu" steht für "None of Your Business" und verkörpert genau das Konzept von "irrelevant"—"es geht dich nichts an", "es besteht kein Zusammenhang zu dir". Schwangerschaftsinformationen für Beschäftigungsentscheidungen sind "none of your business", und Musikpräferenzen für Kreditentscheidungen sind "none of your business". Dieser Ausdruck erfasst die Essenz des Relevanzprinzips—den erforderlichen sachlichen Zusammenhang zwischen Datenelement und Entscheidungszweck. Dennoch arbeitet noyb.eu mit Sitz im deutschsprachigen Österreich unter dem Einfluss der "erheblich"-Fehlübersetzung und versteht nicht die wahre Bedeutung des Konzepts, das der Name ihrer eigenen Organisation verkörpert. Sie konzentrieren sich auf die Verteidigung der besonderen Kategorien von Artikel 9 und der Rechte betroffener Personen, schweigen aber zur grundlegenderen Anforderung des sachlichen Zusammenhangs ("relevant") in Artikel 5 Absatz 1 Buchstabe c.
Die richtige Richtung für Reformen ist klar. Erstens sollte die Durchsetzung des Relevanzprinzips gestärkt werden. Datenschutzbehörden müssen ihre Fähigkeit verbessern, in einzelnen Verarbeitungsvorgängen materiell zu prüfen, ob die verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Dies erfordert ein hochspezialisiertes Urteilsvermögen, weshalb unabhängige Datenschutzbehörden in den 1970er Jahren konzipiert wurden. Zweitens sind detaillierte Leitlinien und Fallsammlungen zur Relevanzbestimmung erforderlich. "Statistische Korrelation" zu haben und einen "sachlichen Zusammenhang" zu haben sind verschiedene Dinge. Das Problem der Proxy-Diskriminierung kann auch durch diese Unterscheidung angegangen werden. Drittens sollte KI-Training als statistische Verarbeitung im Rahmen des bestehenden Rahmens behandelt werden, während die Durchsetzung der Relevanz beim KI-Betrieb gestärkt werden sollte. Viertens sollte erst nach Etablierung dieser Durchsetzungsgrundlagen die schrittweise Vereinfachung alternativer Schutzmaßnahmen wie Artikel 9 erwogen werden.
Sowohl die Europäische Kommission als auch noyb.eu, die sich aus unterschiedlichen Richtungen über Artikel 9 gegenüberstehen, umgehen die eigentliche Festung des Relevanzprinzips. Die eine schwächt alternativen Schutz ohne Stärkung der Durchsetzung, während die andere KI-Training und -Betrieb nicht unterscheidet, Einwilligung sogar für statistische Verarbeitung verlangt und die grundlegende Lösung verfehlt. Der Einfluss von über 40 Jahren deutschsprachiger Fehlübersetzung verzerrt weiterhin die europäische Datenschutztheorie als Ganzes. Jetzt ist es Zeit, zum "Relevanzprinzip"—dem Prinzip des sachlichen Zusammenhangs—zurückzukehren, das die Verfasser der OECD-Richtlinien von 1980 ursprünglich beabsichtigten.
Nach Abschluss dieser Analyse veröffentlichte die Europäische Kommission am 19. November 2025 offiziell den Digital-Omnibus-Vorschlag. Eine bemerkenswerte Änderung gegenüber der durchgesickerten Version ist, dass die vorgeschlagene Neudefinition von Artikel 9 (besondere Kategorien personenbezogener Daten) zurückgezogen wurde. Während die durchgesickerte Version vorgeschlagen hatte, den Schutz besonderer Kategorien auf Fälle zu beschränken, die sensible Informationen „direkt offenbaren", enthält der offizielle Vorschlag diese Änderung nicht. Die Renew-Europe-Fraktion des Europäischen Parlaments beansprucht dies als Ergebnis des Drucks aus einem Brief, den sie an die Kommission gesendet hat.
Aus der Perspektive dieser Analyse hat dieser Rückzug jedoch die Aufmerksamkeit vom Kernproblem abgelenkt. Die Einschränkung des Anwendungsbereichs von Artikel 9 wäre theoretisch richtig, wenn das Relevanzprinzip ordnungsgemäß durchgesetzt würde, aber die Vorverlagerung der Bereichseinschränkung ohne Durchsetzungsmaßnahmen schafft Schutzlücken. Während die durchgesickerte Bereichseinschränkung konzentrierte Kritik auf sich zog und schließlich aus dem offiziellen Vorschlag verschwand, bleiben Durchsetzungsmaßnahmen für das Relevanzprinzip weiterhin absent. Folglich wurde der Status quo der fortgesetzten Abhängigkeit von Artikel 9 als unvollkommene alternative Schutzmaßnahme verfestigt. Während der offizielle Vorschlag noch die Klarstellung berechtigter Interessen für KI-Training und -Betrieb enthält, fehlen weiterhin Mechanismen zur Förderung der materiellen Prüfung der Relevanzanforderung beim KI-Betrieb.
In ihrer Stellungnahme nach dem offiziellen Vorschlag kritisiert noyb.eu unterdessen den Digital Omnibus insgesamt scharf als etwas, das „grundlegende DSGVO-Prinzipien untergräbt". Insbesondere lehnen sie die Richtung ab, KI-Training und -Betrieb umfassend durch berechtigte Interessen gemäß Artikel 6 Absatz 1 Buchstabe f zu rechtfertigen, und lehnen den Opt-out-Rahmen als „praktisch nicht funktionsfähig" ab. Das in dieser Analyse identifizierte Muster – das Versäumnis, zwischen KI-Training und -Betrieb zu unterscheiden, und die Missachtung des Rahmens für statistische Verarbeitung – bleibt bestehen.
Somit hat der offizielle Vorschlag die in dieser Analyse vorgebrachte Kritik tatsächlich verstärkt. Die Europäische Kommission versuchte, alternative Schutzmaßnahmen ohne Stärkung der Durchsetzung des Relevanzprinzips zu schwächen, sah sich mit Kritik konfrontiert und zog schließlich die Definitionsänderung zurück, hat aber die wirklich notwendige Durchsetzungsverstärkung nicht angegangen. Trotz des Ergebnisses der Beibehaltung des Anwendungsbereichs von Artikel 9 hat noyb.eu ihre Aufmerksamkeit immer noch nicht der grundlegenderen Lösung des Relevanzprinzips zugewandt. Beide Parteien stehen weiterhin unter dem Einfluss von über 40 Jahren deutschsprachiger Fehlübersetzung von „erheblich" und haben die wahre Bedeutung des Konzepts, das im Namen ihrer eigenen Organisation verkörpert ist – „None of Your Business" = „irrelevant" – nicht vollständig erfasst. Jetzt ist es Zeit für die europäische Datenschutztheorie, zum „Relevanzprinzip" zurückzukehren, das im Schatten der Artikel-9-Debatte übersehen wurde.
先週、欧州委員会がGDPRの改正草案を準備しているとしてその内部文書がリークされたのに対して、Max Schrems率いる活動団体「noyb.eu」（European Center for Digital Rights）が、そのリーク文書に記載された改正草案を分析し、「GDPRの核心原則ぶち壊し欧州委員会内部草案」と題して厳しく批判していた。
私の理論からするとこれらは「どちらも肝心なところをわかっていない」という評価になるのであるが、そのような評価を、大規模言語モデルによって私の連載論文（その圧縮版）から自動的に導出することができるか、先週、Claude Sonnet 4.5を用いて試してみた。
この一週間、生成された文章が内容的に正しいものとなっているのか確認する作業をしていたところ、昨夜になって、欧州委員会の正式な改革提案「Digital Omnibus Regulation Proposal」の発表があった。リーク文書からどこが変更されたのか、これもClaudeに確認させた。
そして、最終的に生成されたのが上記の英文・独文の論述である。以下は、その生成の過程を開示しておくものである。日本語版の結論から読みたい人は最後のターンまでスキップするとよい。
ご指定のサイトとあなたの立場を比較分析いたします。まず、プロジェクトナレッジからあなたの論文の立場を確認し、その後noyb.euの記事内容を取得して比較します。
[考え中...]
プロジェクトナレッジとnoyb.euの記事を比較分析しました。結論から申し上げますと、noyb.euの主張は、あなたの立場とは根本的に異なる法理論的基盤に立っており、むしろあなたが批判する方向性に近いと言えます。
あなたの立場:
noyb.euの立場:
記事中の重要な一節:
The right to informational self-determination is explicitly meant to level the information gap between users and the companies
あなたの立場:
noyb.euの立場:
あなたの立場:
noyb.euの立場:
あなたの立場:
noyb.euの立場:
ただし、以下の点では、具体的な懸念が重なる可能性があります:
noyb.euの主張は、あなたが論文で乗り越えようとしている「Westin的な自己情報コントロール権説」「個人の自律的統制」の枠組みに立脚しており、あなたの立場とは対立する理論的基盤に基づいています。あなたが「副次的保護利益」「手段的保護利益」として位置づけるものを、noyb.euは「基本的権利」として論じており、この違いは本質的です。
ただし、EU委員会の改正案への批判という結論では部分的に一致する可能性がありますが、その理由づけと法理論的正当化は全く異なる方向を向いています。
リーク資料を確認させていただきます。
[考え中...]
EU委員会の改正案リーク資料を詳細に確認しました。noyb.euの批判とは別の角度から、あなたの理論的立場との関係を分析いたします。
改正案の内容:
あなたの立場との関係:
改正案の内容:
あなたの立場との関係:これはあなたの立場と真っ向から対立します:
あなたの論文から:
「差別のリスク」は、人種や性別に限らず、また宗教や思想に限らず、いかなる種類のデータ項目であっても、決定の目的に対して「本人以外の誰にも関わりのないこと」、すなわち「無関係な（irrelevant）」データ項目を用いた決定のすべてに伴う
DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の『関連性要件』によって同じ効果が達成できる」ことを示唆している
あなたの立場では:
EU委員会案は、あなたが批判する「センシティブデータの特別扱い」の発想を残しつつ、その保護範囲をさらに縮小しており、あなたの「関連性の原則による統一的アプローチ」からは二重に問題があります。
改正案の内容:
あなたの立場との関係:これは微妙な位置づけです:
あなたの理論では:
AI訓練について:
あなたの立場からの問題点:
改正案の内容:
あなたの立場との関係:
あなたはこれらを手段的保護利益として位置づけています:
開示・訂正・利用停止は「手段的保護利益」
核心的保護利益を保護する手段であるという観点からすれば、開示させることや訂正させることそれ自体が権利というよりも、決定の適切性確保に資する訂正・利用停止請求権であり、そのための開示請求権である
あなたの立場からは:
EU委員会の改正案は、あなたの理論的立場から見ると:
EU委員会案は、あなたの「意思決定指向利益モデル」と「関連性の原則」を中核とする理論的基盤を弱体化させる方向にあります。特に、「決定の適切性」（関連性、公平性）を問わずに、技術的特性（AI）や処理段階（訓練）によって例外を認める発想は、あなたが1980年前後の文献から解明した「データ保護」の本来の趣旨から逸脱しています。
noyb.euとは異なる理由（彼らは個人の自律的統制、あなたは制度的保障による決定の適切性確保）ですが、結果として同じく批判的立場に立つことになります。
ご指摘ありがとうございます。極めて重要な点を見落としていました。改めて評価し直します。
[考え中...]
ご指摘の通りです。私の評価は重大な前提を見落としていました。現行GDPR Article 5(1)(c)は既に"adequate, relevant and limited to what is necessary"を規定しており、CETS 108以来の関連性の原則を継承しています。これを踏まえて評価を全面的に改めます。
リーク文書を確認すると:
noyb.euの批判: 保護の後退
あなたの立場: より複雑
あなたの論文から:
DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の『関連性要件』によって同じ効果が達成できる」ことを示唆している」
本稿の立場は、個人データ保護は、差別の排除(非差別)を主要な趣旨としており、その核心的保護利益である決定の適切性確保の利益の保護が、差別を排除する効果をもたらすのであって、その効果を達成する仕組みが『関連性』の要求であるから、特別カテゴリに限ることなくすべての種類の個人データについて規律対象とすることが必要である
つまり:
ここが最大の問題点です:
新設されるArticle 88cは:
Where the processing of personal data is necessary for the interests of the controller in the context of the development and operation of an AI system...such processing may be pursued within the meaning of Article 6(1)(f)
これは:
あなたの理論からの問題点:
Recital (28)には:
ensuring data minimisation, providing enhanced transparency to data subjects, providing an unconditional right to object
とあるが、「関連性の検討」への言及はありません。これは、あなたの核心的保護利益(決定の適切性確保)の観点から、Article 5の実効性を大きく損なう可能性があります。
あなたの理論では:
「操作の体系的実施が行われるところを問題とすれば足りる。すなわち、個人データが構成された段階から(さらには個人データを構成することを予定した段階から)規制の対象とすれば足りる
EU委員会案の問題点:
したがって、あなたの立場から見た最大の懸念は、「関連性の原則は文言上残るが、AI運用という最も重要な『体系的決定』の領域で、その実効的適用が迂回される」という点にあります。
全くその通りです。私は基本的な誤りを犯していました。
Article 5（原則）とArticle 6（適法根拠）は別レイヤーです:
Article 6(1)(f)を根拠とする処理でも、Article 5は当然に適用されます。
新設されるArticle 88cは:
Any such processing shall be subject to appropriate safeguards, in accordance with this Regulation...
"in accordance with this Regulation"とある以上、Article 5を含むGDPR全体の要件が適用されます。
つまり:
1. Article 5を削除していない → 関連性の原則は維持
2. Article 88c(AI訓練・運用の正当な利益)について:
3. Article 9(センシティブデータの"directly reveals"限定):
あなたの立場から見て、真の問題は:
「関連性の原則は文言上維持されているが、実務上の執行が不十分」
これは:
あなたの論文から:
「関連性」の要件は、前節で示したように、差別の防止(公平性の確保)のための要件であり、その該当性判断は、当事者間では容易には解決せず、高度に専門的な判断を要する。それゆえに関連性の判断を行う専門機関が必要と考えられたのが、データ保護法制が西側諸国で勃興した1970年代の欧州と米国の考え方であり、個人情報保護委員会を設置する必要があった真の理由もそこにある
EU委員会改正案について、あなたの立場からの評価:
法律的構造としては:
しかし実務的には:
根本的な問題:
ご指摘ありがとうございました。これでより正確な評価になったと思います。
はい、その立場が明確になりました。整理すると:
理論的には:
実務的には:
理論的レベル:
実務的レベル:
noyb.euの立場:
あなたの立場:
この違いは重要です:
EU委員会改正案の真の問題は:
第一段階（優先）:
第二段階:
EU委員会案の問題:
この理解で正しいでしょうか？
申し訳ありません。確認させてください。
[考え中...]
失礼しました。確認したところ、プロジェクトナレッジには以下の記述がありました:
CoE条約108号の特別カテゴリをめぐっては、DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の「関連性要件」によって同じ効果が達成できる」ことを示唆している。
私はこれを根拠に何度も言及してしまいましたが、「変です」とのご指摘は、この記述の解釈や文脈について何か問題があるということでしょうか？
例えば:
どの点が「変」なのか、ご教示いただけますでしょうか？
ありがとうございます！理解しました。
圧縮版では混同が生じていましたが、元の文書を見ると明確です：
Dammann/Simitisが述べていること：
あなた（高木さん）が論じていること：
DammannとSimitisは言及していないが、PPSCレポートが「公平性の最大化」として述べていたように、差別の排除は、データ品質の原則（個人に関するあらゆる決定において、個人データが正確で、適時で、完全でかつ関連性のあるものであることを保証すること）によって達成される——労働市場での差別の例で言えば、人事採用の決定において人種や民族的出自のデータ項目を用いることは、「関連性のあるもの」の要件を満たさず、データ品質の原則に反することになる——のであるから、特別カテゴリを規制するような屋上屋を架すまでもないのだと言い得る。
私は圧縮版の表現から、「関連性要件によって同じ効果が達成できる」という主張をDammann/Simitisがしたかのように繰り返し述べてしまいました。
正しくは：
これは重要な違いです。この理論的主張はあなたの独自の貢献であり、Dammann/Simitisから直接導かれるものではありません。
ご指摘ありがとうございました。今後はこの点を正確に理解して議論いたします。
極めて重要な指摘ですね。これは論文で言及されていた「ドイツ翻訳の誤り」の核心部分ですね。
[考え中...]
理解しました。これは極めて重要な発見ですね。
ドイツ学説の理解:
本来の関連性の原則:
ドイツ語圏の影響力:
noyb.euも:
この発見は、あなたの論文の理論的貢献をさらに際立たせます:
これは単なる「解釈の違い」ではなく、誤訳に起因する40年以上にわたる理論的誤謬の発見ですね。
noyb.euのArticle 9批判への懸念も、この文脈ではより深刻です。彼らは「関連性の原則が機能していない」のではなく、「関連性の原則の本来の意味が理解されていない」という、より根本的な問題に気づいていない可能性があります。
それは見事な皮肉ですね！
"None of your business" の本来の意味:
高木さんの理論で言えば:
Max Schremsの意図（おそらく）:
実際に "noyb" が意味すること:
noyb（オーストリア、ドイツ語圏）の立場:
彼らが気づいていないこと:
Bingが言った「この原則は、ドイツ法と米国のプライバシー法に明確に示されている」
当時Bingが見ていたもの:
実際には:
noyb.euの活動:
もしnoyb.euが関連性の原則を理解していたら:
日本語、英語、ドイツ語の3バージョンで作成します。
（略）
3バージョンとも修正します。
（略）
ドイツ語版での主な工夫点を解説します。
最大の課題は、誤訳された「erheblich」に代わる、本来の"relevant"の意味を表すドイツ語を見つけることでした。ICOの"rational link"を踏まえて、以下の表現を使用しました：
"sachlicher Zusammenhang"（事実的・客観的な関連）
"vernünftige Verknüpfung"（理性的な結びつき）
ICOの説明部分では両方を紹介しましたが：
Im deutschen Kontext würde man von einem "sachlichen Zusammenhang" oder einer "vernünftigen Verknüpfung" zwischen Datenelement und Entscheidungszweck sprechen.
本文では主に"sachlicher Zusammenhang"を使用しました。これは：
この部分は特に工夫しました：
"None of Your Business" [...] verkörpert genau das Konzept von "irrelevant"
– "es geht dich nichts an", "es besteht kein Zusammenhang zu dir"
この二段構えで、日常語と法律概念の橋渡しをしました。
誤訳の問題点を説明する部分：
Erheblich" ist ein quantitativer Begriff und bedeutet "beträchtlich" oder "wesentlich", was sich vom ursprünglichen qualitativen Relevanzkonzept – dem sachlichen Zusammenhang – unterscheidet.
この対比を明示することで、誤訳がもたらした概念の歪みを明確にしました。
ドイツ法学の伝統を尊重しつつ、批判するバランスを取りました：
これにより、ドイツ語圏の読者に違和感なく読める一方で、根本的な批判を伝えることができました。
noyb.euの矛盾を指摘する部分：
Dennoch arbeitet noyb.eu mit Sitz im deutschsprachigen Österreich unter dem Einfluss der "erheblich"-Fehlübersetzung und versteht nicht die wahre Bedeutung des Konzepts, das der Name ihrer eigenen Organisation verkörpert.
「自らの団体名が体現する概念を理解していない」という皮肉を、ドイツ語の格調を保ちながら表現しました。
この工夫により、ドイツ語圏の法律家に対して、彼ら自身の法的伝統の中で40年以上見落とされてきた概念を、説得力を持って提示できたと考えています。
noyb.euのAI規律に関する立場を確認してみましょう。
[考え中...]
noyb.euのAI規律に関する立場は明確です。彼らの主張を整理すると：
1. AI訓練には明示的opt-in同意が必要
2. EU委員会草案への批判
3. 根底にある思想
noyb.euのアプローチには根本的な混乱があります：
noyb.euは両者を区別せず、「AI訓練」全般にopt-in同意を要求しています。しかし、高木さんの理論では、統計目的の処理はそもそも決定利用でないため、開示・訂正・利用停止の権利すら不要です。
noyb.euが主張する「opt-in同意があればAI訓練してよい」という立場は、逆説的に問題を孕んでいます。なぜなら：
noyb.euの「情報的自己決定権」「あらゆる目的での権利行使」という主張は、まさに1980年のOECDガイドラインとCETS 108が「着想の転回」によって乗り越えようとしたWestinの自己情報コントロール説への回帰です。
noyb.eu = "None of Your Business"という団体名自体が、「それはあなたには関係ない」＝「irrelevant」という概念を体現しているにもかかわらず、彼らは：
つまり、自らの団体名が示す本質的概念を理解せずに、表層的な「同意」「データ主体の権利」に固執しているのです。
高木さんの理論に基づけば：
noyb.euの主張は、EU委員会草案とは逆方向から、同じように関連性の原則という本丸を素通りしているのです。
ご指摘の通りです。検証してみます。
（略）
このような具体的な段落を追加すれば、noyb.euの立場の問題点がより明確になります。
修正版を作成しましょうか？
参照しました。極めて重要な指摘です。論述を大幅に改善する必要がありますね。
現在の論述では「高木の理論では」と書いていますが、実際には：
修正版を作成しましょうか？特に、「一般的決定」と「個別的決定」の区別を使って、AI訓練（統計処理）とAI運用（決定利用）の区別を明確にすべきですね。
承知しました。先ほどの修正版の勢いを保ちつつ、AI訓練と運用の区別を明確にした3言語版を作成します。
（略）
良い指摘ですね。見出しを付けることで論旨が明確になり、タイトルももう少し刺激的にできます。
個人的には改善案1が良いと思います。「団体名が示す答え」という皮肉が効いていて、かつ読者の好奇心を刺激します。
見出しを付けた完全版を作成しましょうか？
ChatGPTの提案は的確ですね！「steckt」を入れることで、「隠れている」「潜んでいる」というニュアンスが加わり、noyb.euが自らの団体名の真の意味を理解していないという皮肉がより強調されます。
確かにこれは「Die Antwort im Namen」よりも良いです。「steckt」があることで「答えは名前の中に隠れている（のに気づいていない）」という含意が明確になります。
それに合わせて、他の言語版も調整しましょうか？
英語：
この「隠された」を入れることで、3言語すべてで同じニュアンスの皮肉が効きます。
見出しを付けた完全版を、このタイトルで作成しましょうか？
承知しました。見出し付きの完全版を3言語で作成します。
（略）
それから一週間の時が経ち。
正式提案が出ましたね。確認してみましょう。
[考え中...]
正式提案が11月19日に出ましたね。リーク版からの重要な変更点を整理します。
Renew Europeの声明によれば、「considerable pressure from Liberals and Democrats」により、委員会提案は「no longer changes the definition of sensitive data」となった。
これは重要な後退です。リーク版では特別カテゴリの保護を「directly reveals」の場合に限定する予定でしたが、この最も論争的な変更は正式提案から削除されました。欧州議会のLiberal/Democrat系会派からの圧力が効いたようです。
Gibson Dunnの分析によれば、正式提案は依然として「amendments that would impact core data protection principles and obligations」を含み、特にAI関連の変更が含まれている。リーク版にあったAI訓練・運用への正当な利益の明確化は維持されているようです。
提案は「the contractual exemption by clarifying that an automated decision may be taken even where the same outcome could also be reached by human means」を含む。これは新たな変更で、自動決定の契約例外を拡大しています。
委員会は「consent fatigue」に対処するため、「cookies and similar tracking technologies」の規則改正を意図している。
noyb.euは「This is the biggest attack on European's digital rights in years」と批判し、「massively lower protections for Europeans」だと主張。Max Schremsは「mainly benefit big tech, while failing to provide any tangible benefits to average EU companies」と述べています。
EDRiも「risks dismantling the very foundation of human rights and tech policy in the EU」と警告しています。
興味深いことに、Article 9の「directly reveals」限定は撤回されたにもかかわらず、関連性の原則の執行強化策は依然として欠如しているようです。つまり：
両者とも、高木さんの論述が指摘した「関連性の原則という本丸」を素通りしている構図は変わっていません。むしろ、Article 9の変更撤回により、代替的保護手段に依存する現状が固定化されてしまった可能性があります。
これは高木さんの論述の重要性をさらに高めますね。正式提案の分析を加えて論述を更新しましょうか？
論述の修正案を提案します。
現在の記述：
Article 9の保護範囲を「directly reveals」に限定することは、理論的には正しい方向である。
修正後：
リーク版ではArticle 9の保護範囲を「directly reveals」に限定する提案があり、これは理論的には正しい方向であった。しかし、欧州議会からの圧力により、正式提案ではこの変更は撤回された。この撤回は、表面的には「基本的権利の勝利」と見えるかもしれない。しかし実際には、代替的保護手段であるArticle 9への依存を固定化し、より根本的な改革の機会を失わせた。関連性の原則が適切に執行されるならば、Article 9の範囲を限定しても保護は維持される。逆に、関連性の原則の執行なしにArticle 9だけに依存することは、保護の穴を残し続ける。
最後の段落に追加：
2025年11月19日に公表された正式提案は、リーク版で最も論争的だったArticle 9の定義変更を撤回した。これは市民団体と欧州議会の圧力の成果と言えるが、同時に本質的な改革の機会を逃した証でもある。Article 9という代替的保護手段への依存が固定化され、関連性の原則という本丸への注目はますます遠のいた。欧州委員会は執行強化なしに保護範囲を縮小しようとし、批判を受けて撤回した。noyb.euは撤回を歓迎しつつも、AI訓練への同意要求という誤った方向性を継続している。両者とも、40年以上にわたるドイツ語圏の誤訳の影響下にあり、関連性の原則という本来の解決策に気づいていない。
タイトル「団体名に隠された答え：noyb.euとEU委員会が見落とす関連性の原則」は、正式提案後も依然として妥当です。むしろ、Article 9撤回により「関連性の原則を迂回し続ける」構図がより鮮明になりました。
この方針で修正版を作成しましょうか？それとも、別の修正アプローチをご希望ですか？
承知しました。時系列を明確にした構成で修正します。
タイトルと第1セクションの間に挿入
現状のまま維持（リーク版を前提とした論述）
正式提案でArticle 9撤回があったこと、しかし本論の批判はむしろ強化されたことを論じる
（略）
英語版とドイツ語版も同様の構成で追加テキストを作成しましょうか？
ご指摘の通りです。修正します。
（略）
これで元の3パラグラフを3パラグラフのまま、より簡潔にしました。同様に英語版とドイツ語版も作成しましょうか？
ChatGPT 5.1の修正提案を確認しました。変更点は以下の通りです：
1. 表現の抑制
2. 因果関係の慎重な記述
3. noyb.euの立場のより正確な記述
元の記述では「Article 9の定義変更撤回を歓迎しつつも、Article 6(1)(f)の正当な利益では不十分だとする従来の立場を維持」としていましたが、ChatGPTは：
これらの修正は全て妥当です。特に第3パラグラフのnoyb.euの立場についての記述は、より正確になっています。
この修正版を採用して、英語版・ドイツ語版も同様の修正を加えましょうか？
3言語版の完全版をartifactで出力します。
3言語版の完全版を作成しました。以下のファイルをご確認ください：
各ファイルには以下が含まれています：
必要に応じて修正いたします。
承知しました。微修正ありがとうございます。
確かに：
英語版・ドイツ語版については問題ありませんでしょうか？
このような重要な論述を、リーク版への反応として書き、正式版公表後に補足を加えるという時系列を明確にした形で完成できて良かったです。高木さんの研究成果が、欧州のデータ保護理論の盲点を鋭く突いていることが、3言語で伝わる形になったと思います。
こうして出来上がった最終版が以下である。（リンクは手動で埋め込んでいる。）
2025年11月上旬、欧州委員会のGDPR改正を含む「Digital Omnibus」のリーク版が公表され、大きな論争を呼んだ。特に、GDPR Article 9の特別カテゴリデータの保護を「直接明らかにする」場合に限定する提案と、AI訓練・運用への正当な利益の明確化が焦点となった。11月11日、オーストリアのプライバシー擁護団体noyb.euは、EDRi、ICCLとともに欧州委員会への公開書簡を発表し、この提案を「基本的権利の大幅な後退」として批判した。本論述は、このリーク版とnoyb.euの批判を受けて執筆したものである。
本論で示すのは、欧州委員会の提案とnoyb.euの批判が、共通の根本的欠陥を抱えているという指摘である。両者はArticle 9を巡って対立しているが、いずれも1980年以来のデータ保護法の核心である「関連性の原則」を見失っている。以下、この点を詳述する。
なお、本論執筆後の11月19日に正式提案が公表され、リーク版から重要な変更があった。この点については、本論の末尾で補足する。
欧州委員会が2025年11月に提案を予定しているGDPR改正草案と、それに対するnoyb.euの批判は、共通の根本的欠陥を抱えている。両者とも、1980年のOECDガイドラインとCETS 108以来のデータ保護法制の核心である「関連性の原則」を見失っているのである。
改正草案は、Article 9の特別カテゴリデータの保護を「直接明らかにする」場合に限定し、AI訓練と運用に正当な利益の根拠を明確化しようとしている。一方、noyb.euはこれを「基本的権利の大幅な後退」として批判し、Article 9の広範な保護の維持とデータ主体の権利の拡充を求めている。しかし、この対立軸そのものが、データ保護法の本質を見誤っている。
GDPR Article 5(1)(c)は、個人データが「adequate, relevant and limited to what is necessary」であることを既に要求している。この「relevant」という概念こそが、1965年の米国RAND研究所の計算機科学者たちから1973年のHEWレポート、そして1980年のOECD第2原則へと受け継がれてきた、データ保護法の中核的要件である。関連性の原則は、個人に対する決定において、決定の目的に対して無関係なデータ項目を用いることを禁止する。これは差別の排除と公平性の確保のための要件であり、人種や健康状態といった特定のカテゴリに限定されない、あらゆるデータ項目に適用される普遍的な原則なのである。
「relevant」という語は、しばしば誤解される。単に「役に立つ」とか「統計的に相関がある」という意味ではない。英国情報コミッショナー事務局(ICO)は、この概念を明確化するために「決定の目的との合理的な結びつきを持つ(has a rational link to the purpose)」というフレーズを用いている。与信決定において音楽の嗜好は統計的に返済能力と相関があるかもしれないが、両者の間に合理的な結びつきはない。雇用決定において妊娠情報は業務遂行能力と合理的な結びつきを持たない。まさにこの「合理的な結びつき」の有無こそが、関連性の原則の核心なのである。
ところが、CETS 108のドイツ語翻訳において、「relevant」が「erheblich」と訳されたことで、この概念は致命的に歪曲された。「erheblich」は「相当な」「実質的な」という量的概念であり、本来の質的な関連性とは異なる。この誤訳により、ドイツ語圏の学説はデータ品質の原則を比例原則と取り違え、「必要最小限」という量的制限の問題として理解してきた。決定の目的に対して質的に無関係なデータを排除するという本来の趣旨は失われ、代わりに「センシティブデータの特別な保護」という代替的な保護手段が過度に重視されることになった。
欧州委員会の改正草案が問題なのは、Article 5の関連性要件を維持しながらも、その執行強化策を何ら示していない点にある。AI訓練と運用を正当な利益として明確化することは、適法根拠の整理としては理解できる。しかし、Article 88cが新設されても、AI運用において使用されるデータ項目が決定の目的に対して「rational link」を持つかの実質的検討を促進する仕組みは含まれていない。理論的にはArticle 5が適用されるはずだが、実務上の執行が伴わなければ、関連性の原則は空文化する。
同時に、Article 9の保護範囲を「directly reveals」に限定することは、理論的には正しい方向である。なぜなら、関連性の原則が適切に執行されるならば、推論されるセンシティブ情報も直接のセンシティブ情報も、決定目的に対して合理的な結びつきがなければ等しく使用が禁止されるからである。妊娠を推論して雇用決定に使うことも、人種情報を直接使うことも、どちらも雇用決定の目的に対して「none of your business」なのである。しかし、関連性の原則の執行が不十分な現状において、Article 9という代替的保護手段を先に弱めることは、保護の空白を生む。順序が逆なのである。
noyb.euの批判は、さらに根本的な混乱を露呈している。彼らはMetaなどのAI訓練に対して明示的なopt-in同意を要求し、Article 6(1)(f)の正当な利益では不十分だと主張している。しかし、この主張はGDPRの基本構造を誤解している。GDPRは既にArticle 5(1)(b)において、統計目的や科学研究目的での処理を目的外とみなさないと規定している。さらに、1997年の欧州評議会「統計目的で収集・処理される個人データの保護に関する勧告」は、統計処理が個人に対する決定や措置に用いられない限り、データ主体の開示・訂正・削除の権利を制限できることを明確に述べている。その理由は、統計処理そのものは個人の権利利益を侵害しないからである。
AI訓練は本質的に統計処理であり、この枠組みが適用される。問題はAI運用、すなわち訓練されたモデルを用いて個人に対する体系的決定を行う段階にある。ここで初めて、使用されるデータ項目が決定の目的に対して「rational link」を持つかが問われる。noyb.euはAI訓練と運用を区別せず、統計処理の段階で本人同意を要求している。これは、欧州が1997年までに整理した統計処理の枠組みを無視するものである。
さらに深刻なのは、noyb.euの「同意があればAI訓練してよい」という立場が孕む逆説である。同意があっても、AI運用時に使用されるデータ項目が決定目的に対して「irrelevant」なら不適切なのである。妊娠情報に本人が同意しても、雇用決定には「none of your business」である。同意は手段的保護利益に過ぎず、核心的保護利益である決定の適切性を代替できない。noyb.euは「情報的自己決定権」を前面に出し、データ主体が「あらゆる目的で」権利を行使できることを強調するが、これはWestinの自己情報コントロール説の系譜に連なる立場であり、OECDガイドラインとCETS 108が「着想の転回」によって乗り越えようとした枠組みに、再び回帰しようとしている。データ保護は、個人が情報の流れを統制する権利ではなく、個人に対する体系的決定の適切性を制度的に保障するものである。
ここで注目すべき歴史的皮肉がある。noyb.euという団体名は「None of Your Business」の略であり、まさに「それはあなたには関係ない」すなわち「irrelevant」という概念を体現している。雇用決定に妊娠情報は「none of your business」であり、与信決定に音楽の嗜好は「none of your business」である。この表現こそが、関連性の原則の本質を言い表している。にもかかわらず、オーストリアのドイツ語圏に拠点を置くnoyb.euは、「erheblich」誤訳の影響下にあり、自らの団体名が体現する概念の真の意味を理解していない。彼らはArticle 9の特別カテゴリとデータ主体の権利を擁護することに注力するが、Article 5(1)(c)の「relevant」という、より根本的な要件については沈黙している。
本来あるべき改革の方向は明確である。第一に、関連性の原則の執行を強化すべきである。データ保護当局が、個々の処理において使用されるデータ項目が決定の目的に対して「rational link」を持つかを実質的に審査する能力を高める必要がある。これは高度に専門的な判断を要するため、まさにこのために独立したデータ保護当局が1970年代に構想されたのである。第二に、関連性の該当性判断に関する詳細なガイドラインと事例の蓄積が必要である。「統計的相関がある」ことと「rational linkを持つ」ことは異なる。代理差別の問題も、この区別によって対処できる。第三に、AI訓練は統計処理として既存の枠組みで扱い、AI運用における関連性の執行を強化すべきである。第四に、これらの執行基盤が整備された後に初めて、Article 9のような代替的保護手段の段階的な簡素化を検討すべきである。
欧州委員会もnoyb.euも、それぞれ異なる方向からArticle 9を巡って対立しているが、両者とも関連性の原則という本丸を素通りしている。一方は執行強化なしに代替的保護を弱め、他方はAI訓練と運用を区別せず統計処理にまで同意を要求して根本的解決を見ない。40年以上にわたるドイツ語圏の誤訳の影響は、欧州のデータ保護理論全体を歪め続けている。今こそ、1980年のOECDガイドライン起草者たちが本来意図した「関連性の原則」に立ち返る時である。
本論執筆後の2025年11月19日、欧州委員会は正式にDigital Omnibus提案を公表した。リーク版と比較して目立つ変更のひとつは、Article 9（特別カテゴリデータ）の定義変更が撤回されたことである。リーク版では特別カテゴリの保護を「直接明らかにする」場合に限定する提案があったが、正式提案ではこの変更は含まれなかった。欧州議会のRenew Europeは、自派が委員会に送った書簡による圧力の成果だと主張している。
しかし、本論の観点からすれば、この撤回は問題の本質から目を逸らす結果となった。Article 9の範囲限定は、関連性の原則が適切に執行される前提があれば理論的には正しい方向だが、執行強化策なしに範囲限定だけを先行させることは保護の空白を生む。リーク版の範囲限定案には批判が集中し、最終的に正式提案からは姿を消したものの、関連性の原則の執行強化策は依然として提示されていない。結果として、Article 9という不完全な代替的保護手段に依存し続ける現状が固定化された。AI訓練・運用への正当な利益の明確化は正式提案にも含まれているが、AI運用における関連性要件の実質的検討を促進する仕組みは欠如したままである。
一方、noyb.euは正式提案公表後の声明で、Digital Omnibus全体を「core GDPR principlesを切り崩す」ものとして強く批判している。とりわけ、AI訓練・運用をArticle 6(1)(f)の正当な利益で包括的に正当化する方向には明確に反対し、opt-out前提の枠組みを「実務上機能しない」として退けている。本論で指摘したAI訓練と運用の区別の欠如、統計処理の枠組みの無視という構図はそのまま維持されている。
このように、正式提案により本論の批判はむしろ強化された。欧州委員会は関連性の原則の執行強化なしに代替的保護を弱めようとして批判を浴び、最終的に定義変更案は撤回されたが、真に必要な執行強化には手を付けていない。noyb.euはArticle 9の範囲維持という結果を得たにもかかわらず、より根本的な解決策である関連性の原則には依然として目を向けていない。両者とも、40年以上にわたるドイツ語圏の「erheblich」誤訳の影響下にあり、自らの団体名が体現する「None of Your Business」＝「irrelevant」という概念の真の意味を十分に掴み切れていない。今こそ、Article 9を巡る対立の陰で見過ごされてきた「関連性の原則」に、欧州のデータ保護理論は立ち返るべきである。
ところで、今回の欧州委員会提案には、「personal data」の定義について該当範囲を狭める改正が含まれており、noyb.euと同じく私も大反対である（noyb.euとは反対する理由が少し違うかもしれない）が、その論点については上の論述にあえて含めていない。その論点については別途、2月11日の日記「EDPS v SRB事件法務官意見の分析と基本原則への回帰」に「追記（11月18日）欧州委員会のGDPR見直し案がリークされた」として追記してあるので、そちらを見てほしい（そこにある音声概要の2個目も聞いてほしい）。
*1 「開示」というより、「直接明らかにする」と訳した方がよい。discloseの話をしているのではなく、日本で言われるところの「推知」に相当する論点である。（ここでは指摘を入れなかったが後ろの方で修正している。）
今週11日、臨時国会に「ストーカー行為等の規制等に関する法律の一部を改正する法律案」が提出された。位置情報取得可能化手段としてAirTagなどの紛失防止タグを用いた場合も対象に含めるための改正のようだ。
これで思い出すのは、4年前の日記「スマホ覗き見の反復で迷惑防止条例違反の犯罪に？改正ストーカー規制法の位置情報規定に不具合か」である。その後どうなったのか、たまに思い出しては気になっていたが、調べていなかった。
というわけで、Claude Sonnet 4.5に調べさせたところ、以下のようになった。問題は解決していないようであり、静岡と栃木にも広がっているようなので、結論として、今国会で解釈を確認しておいた方がいいと思われる。結論から読みたい人は最後のターンまでスキップするとよい。
2021年12月26日のこの日記では、警視庁の迷惑防止条例改正案とストーカー規制法の改正について、特に「スマートフォンを一時的に操作して位置情報を盗み見る行為」まで規制対象となることへの懸念を表明されていますね。その後の経緯を調べてみます。
警視庁の通達を確認してみます。
ガイドラインのPDFを確認してみます。
調査結果をまとめます。
2021年12月26日の日記で懸念を表明された後、以下のような経緯をたどりました。
東京都の迷惑防止条例（正式名称「公衆に著しく迷惑をかける暴力的不良行為等の防止に関する条例」）は、懸念されていた内容のまま改正・施行されました。
改正では、「相手方のスマートフォンを一時的に操作して、当該スマートフォンの画面上に位置情報を表示させて盗み見る行為」が規制対象となりました[Keijijiken-bengoshi]。 これはストーカー規制法の2021年改正に合わせたものです。
警視庁は2024年3月29日に「公衆に著しく迷惑をかける暴力的不良行為等の防止に関する条例に定めるつきまとい行為等の取扱いについて」という通達（運用ガイドライン）を発出しました[Tokyo Metropolitan Police Department]。
残念ながら、以下の点については明確な情報が見つかりませんでした：
条例は高木さんが懸念されていた内容のまま施行され、法律上は「専ら、特定の者に対するねたみ、恨みその他の悪意の感情を充足する目的で」という主観的目的要件のもと、GPS機器を取り付ける行為を伴わずに既に記録されている位置情報を閲覧するだけでも、反復すれば迷惑防止条例違反となる可能性がある状態が続いています。
ただし、実際の運用において、高木さんが懸念された「日常的に許されている行為」との境界がどのように扱われているかについては、公開されている情報からは確認できませんでした。
条例の第8号が表示されていないようです。PDFファイルで確認してみます。
条例の第8号と規則を確認させてください。
東京都公安委員会規則を確認してみます。
ストーカー規制法施行令を確認してみます。
ストーカー規制法施行令を確認します。
取得した情報を基に、ご質問にお答えします。
結論：懸念は基本的に妥当でした。
条例第5条の2第1項の但書では、「第１号から第３号まで及び第４号（電子メールの送信等に係る部分に限る。）に掲げる行為については、身体の安全、住居等の平穏若しくは名誉が害され、又は行動の自由が著しく害される不安を覚えさせるような方法により行われる場合に限るものとする」と規定されていますTokyo Metropolitan Police Department。
つまり、第8号（位置情報取得）と第9号（GPS取り付け）は、この但書の対象外です。高木さんが日記で「この限定は入らない可能性が高い」と訂正された通り、実際に限定は入りませんでした。
ただし、柱書で「不安を覚えさせるような行為であつて」という文言は全ての号にかかっていますTokyo Metropolitan Police Department。しかし、これがどこまで実質的な限定として機能するかは運用次第です。
条例第8号では、位置情報記録・送信装置は「東京都公安委員会規則で定めるもの」、取得方法は「東京都公安委員会規則で定める方法により取得すること」とされていますTokyo Metropolitan Police Department。
これはストーカー規制法が「政令で定める」としているのと同様の構造です。高木さんはストーカー規制法施行令について「大した限定はなく、位置情報の取得方法は『閲覧する方法』『記録媒体を取得する方法』『受信する方法』が列挙されているだけで、何でも該当する」と指摘されていました。
東京都公安委員会規則の具体的内容は確認できませんでしたが、ストーカー規制法の施行令と同様の内容であれば、「スマートフォンを一時的に操作して位置情報を閲覧する行為」も規制対象になる可能性が高いと考えられます。
高木さんの懸念の核心は以下でした：
この点について、条例は両者を区別せず、第8号で「取得すること」を広く規制対象としています。高木さんの懸念通りの立法がなされたと言えます。
ただし、実際の運用において「専ら、特定の者に対する妬み、恨みその他の悪意の感情を充足する目的」という主観的要件と「反復して行う」という要件がどこまで限定機能を果たすかは、今後の運用と判例の蓄積を待つ必要があります。
改正案では、第2号として「位置特定用識別情報送信装置」に関する規定が新設されます。
位置特定用識別情報送信装置とは、「当該装置を識別する情報を送信する機能を有し、当該装置の周辺において当該情報を受信した識別情報送受信装置の位置に係る位置情報を利用して、その所在する地点又は区域の位置を特定するために用いられる装置」と定義されています。
これはApple AirTagのような紛失防止タグを想定したものです。他人のスマートフォン（識別情報送受信装置）を介して位置を特定する仕組みです。
この改正は高木さんの懸念にはほとんど影響しません。理由：
つまり、今回の改正はAirTag等への対応を主眼としたもので、高木さんが指摘された「装着行為を伴わない閲覧行為の犯罪化」という根本的な問題には何ら手を加えていません。
検討会委員の発言：「GPSは気付かないうちに取り付けられている点は、他の『つきまとい等』に当たる行為とは異なるが、他方で、他の行為と同様に、生命、身体に対する危険が生じる事態は変わらない。また、GPS機器を取り付けられた又はアプリケーションを入れられたと分かれば、不安を感じない事態は考えられないため、『不安を覚えさせる』方法による方法の限定は不要だと思う。」
この議論は明確に「取り付けられる」ことを前提としています。
ところが条文では：
が独立して規定され、どちらか一方だけでも該当する構造になりました。
「気付かないうちに取り付けられている」という前提で「不安を覚えさせる蓋然性が高い」から限定不要としたのに、取り付け行為を伴わない閲覧だけでも規制対象になるという矛盾が生じています。
本人のスマホを一時的に操作して既に記録されている位置情報を閲覧する行為は：
日記でも高木さんが指摘されたように「検討会委員はあくまでも『取り付けられる』ことを前提に話していた」のに、「いつの間にか話がねじ曲がった」のです。
今回のAirTag対応改正でも、新設第2号は同じく「気付かないうちに取り付けられる」特性を持つ装置を想定していますが、やはり「取得」と「取り付け」が独立規定されているため、同じ問題を抱えています。
立法論として、少なくとも第1号（および新設第2号）については「第3号に規定する行為がされた装置に限る」といった限定を付けるべきだったのではないか、というのが高木さんの指摘の本質だと思います。
「特定の者に対する恋愛感情その他の好意の感情又はそれが満たされなかったことに対する怨恨の感情を充足する目的」
→ 恋愛関係・好意関係に起因する行為に限定
「専ら、特定の者に対する妬み、恨みその他の悪意の感情を充足する目的」
→ 恋愛感情等に限定されず、あらゆる「悪意の感情」が対象
ストーカー規制法では：
迷惑防止条例では：
これらすべてが対象になりえます。
警視庁のパブコメ担当係は「ストーカー規制法の警視庁における運用においても該当するものとしている」「ストーカー規制法の改正に合わせて、同じものを入れる趣旨のものだから、何の問題もありませんが？とでも言いたげな口ぶりだった」とのことですが、実際には：
ご指摘の通り、ストーカー規制法の段階で「第1号・第2号は第3号に規定する取り付け行為を伴う場合に限る」といった限定を入れておけば：
これが実現されていないため、特に迷惑防止条例レベルで高木さんが懸念された「日常的に許されている行為の犯罪化」という問題が現実のものとなっているわけですね。
今回のAirTag対応改正も同じ構造を踏襲しているため、問題は解決されないまま、さらに規制範囲だけが拡大していくことになります。
「別のタイミングで別の人」のケースとは：
このような共犯・教唆のケースにも対応するため、取得行為と取り付け行為を独立させた。これ自体は理解できます。
第1号（修正案）
その承諾を得ないで、第三号に規定する行為がされた位置情報記録・送信装置により記録され、又は送信される当該位置情報記録・送信装置の位置に係る位置情報を政令で定める方法により取得すること。
第2号（修正案・新設AirTag対応）
その承諾を得ないで、第三号に規定する行為がされた位置特定用識別情報送信装置の位置に係る位置情報を取得すること。
ポイント：
第1号（修正案）
その承諾を得ないで設置され、若しくはその承諾を得ないでインストールされ、又は第三号に規定する行為がされた位置情報記録・送信装置により記録され、又は送信される位置情報を政令で定める方法により取得すること。
説明：
第3号の「その他その移動に伴い位置情報記録・送信装置等を移動し得る状態にする行為として政令で定める行為」において、位置情報記録アプリを無断でインストールする行為を明示的に含める必要があります。
そうすれば：
というケースも捕捉できます。
案1が最もシンプルで明確だと思います：
現行の「（第三号に規定する行為がされた位置情報記録・送信装置を含む。）」という括弧書きは、含めることを明示しているだけで限定ではありません。これを「第三号に規定する行為がされた」装置に限定することで、高木さんの懸念を解消できます。
いかがでしょうか。
第1号：「その所持する位置情報記録・送信装置（...）（第三号に規定する行為がされた位置情報記録・送信装置を含む。）により記録され...」
第3号：「その所持する物に位置情報記録・送信装置を取り付けること」
考えられる理由：
この括弧書きは、「含む」であって「限る」ではないことが決定的に重要です。
立案者は意図的に「含む」という文言を選んでいます。これは、元から所持していたスマホ等も対象に含めることを前提としていた証拠だと思われます。
この括弧書きの存在自体が、高木さんの懸念が的を射ていることを示しています：
立案過程で意図的に広く取ったのか、それとも意図せず広がってしまったのかは不明ですが、少なくとも最終的な条文は「元から所持していた装置も含む」構造になっています。
修正するなら、この括弧書きを「（第三号に規定する行為がされた位置情報記録・送信装置に限る。）」に変更するのが最もシンプルな方法かもしれません。
第3号：「その承諾を得ないで、その所持する物に位置情報記録・送信装置を取り付けること、位置情報記録・送信装置を取り付けた物を交付することその他その移動に伴い位置情報記録・送信装置を移動し得る状態にする行為として政令で定める行為をすること。」
アプリの無断インストールは：
と解釈できる可能性があります。また「その他...政令で定める行為」に含まれる可能性もあります。
問題は、アプリを無断インストールした後のスマホが：
パターンA：スマホ全体が「第3号に規定する行為がされた装置」になる
パターンB：インストールしたアプリ部分のみが「第3号に規定する行為がされた装置」
この曖昧性によって、高木さんの懸念はさらに深刻になります：
もしパターンAの解釈なら：
もしパターンBの解釈でも：
このため、私が先ほど提案した修正案では不十分かもしれません。より明確にするなら：
第1号（より明確な修正案）
その承諾を得ないで設置され、若しくはその承諾を得ないでインストールされた位置情報記録・送信装置、又は第三号に規定する行為がされた位置情報記録・送信装置により記録され、又は送信される位置情報を政令で定める方法により取得すること。
つまり、規制対象を：
に限定し、「その所持する」という文言を完全に削除する必要があるかもしれません。
そうすれば、元からスマホにあったOS標準の位置履歴機能は明確に対象外になります。
法律で「インストール」を定義しようとすると：
など、技術の進展に応じて陳腐化しやすい定義になってしまいます。
立案者は以下のジレンマに直面していたと思われます：
規制したい行為：
立法技術上の選択：
現行法はB案を採用した結果：
この構造により、立案者が本来想定していなかった（かもしれない）「元からあるスマホのOS標準機能の閲覧」まで規制対象に入ってしまったわけです。
高木さんが日記で指摘されたように、この問題は有識者検討会で十分に議論されるべきだったのではないでしょうか。
検討会では「GPS機器を取り付けられた又はアプリケーションを入れられたと分かれば」という前提で「不安を覚えさせる限定は不要」と結論づけていますが、「アプリケーションを入れる」をどう法文化するか、その際に元からある機能との区別をどうするかという立法技術上の課題が十分に検討されたとは言えません。
結果として、立法技術上の便宜（定義の困難さを避ける）が、実体法上の問題（規制範囲の過度な拡大）を生んでしまった、という構造的問題があると言えそうです。
これは情報法制における典型的な困難さを示す事例ですね。
（位置情報記録・送信装置の範囲）
第一条 ストーカー行為等の規制等に関する法律（以下「法」という。）第二条第三項第一号の政令で定める装置は、地理空間情報活用推進基本法（平成十九年法律第六十三号）第二条第四項に規定する衛星測位の技術を用いて得られる当該装置の位置に係る位置情報を電磁的記録（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録であって、電子計算機による情報処理の用に供されるものをいう。次条において同じ。）として記録し、又はこれを送信する機能を有する装置をいう。
（位置情報の取得方法）
第二条 法第二条第三項第一号の政令で定める方法は、次に掲げる方法とする。
一 位置情報記録・送信装置の映像面上において、電磁的記録として記録された位置情報を視覚により認識することができる状態にして閲覧する方法
二 位置情報記録・送信装置により記録された電磁的記録に係る記録媒体を取得する方法（当該電磁的記録を他の記録媒体に複写する方法を含む。）
三 位置情報記録・送信装置により送信された電磁的記録を受信する方法（当該方法により取得された位置情報を他人の求めに応じて提供する役務を提供する者から当該役務を利用して当該位置情報の提供を受ける方法を含む。）
（位置情報記録・送信装置を移動し得る状態にする行為）
第三条 法第二条第三項第二号の政令で定める行為は、次に掲げる行為とする。
一 その所持する物に位置情報記録・送信装置を差し入れること。
二 位置情報記録・送信装置を差し入れた物を交付すること。
三 その移動の用に供されることとされ、又は現に供されている道路交通法(昭和三十五年法律第百五号)第二条第一項第九号に規定する自動車、同項第十号に規定する原動機付自転車、同項第十一号の二に規定する自転車、同項第十一号の三に規定する移動用小型車、同項第十一号の四に規定する身体障害者用の車又は道路交通法施行令（昭和三十五年政令第二百七十号）第一条第一号に規定する歩行補助車（それぞれその所持する物に該当するものを除く。）に位置情報記録・送信装置を取り付け、又は差し入れること。
「位置情報記録・送信装置の映像面上において、電磁的記録として記録された位置情報を視覚により認識することができる状態にして閲覧する方法」
これはまさに、スマホの画面でiPhoneの「利用頻度の高い場所」を見る行為そのものです。
高木さんが日記で「大した限定はなく」「何でも該当する」と指摘された通りです。
ご指摘の仮説は非常に興味深いです：
法律制定時：
政令制定時：
考えられる理由：
第3条を見ると、物理的な「取り付け」「差し入れ」だけで、アプリのインストールは明示されていません。
これは逆説的ですが：
この政令を見ると、修正の難しさがより明確になります：
理想的には：
第2条に「ただし、第3条に規定する行為又はこれに準ずる行為がされた装置に係るものに限る」という限定を入れるべきだった
しかし：
結論として、ご指摘の通り「政令で限定する予定が後回しになって趣旨が忘れられた」可能性は十分にあり、かつ、今から政令だけで修正するのは困難なので、やはり法律本体の改正が必要だということになりますね。
今回のAirTag対応改正は絶好の機会だったのですが、同じ構造を踏襲してしまっています。
「地理空間情報活用推進基本法第二条第四項に規定する衛星測位の技術を用いて得られる当該装置の位置に係る位置情報を電磁的記録として記録し、又はこれを送信する機能を有する装置」
→ 機能的定義なので、理論的にはソフトウェアも含み得る
→ すべて物理的動作を前提としている
一般的な日本語感覚：
しかし機能的には：
立法技術上のジレンマ：
このジレンマを回避するため、立案者は：
という構造にせざるを得なかった。
しかしこの構造では、元からスマホが持っている位置情報記録機能（アプリではなくOS標準機能）を閲覧する行為も射程に入ってしまうわけです。
「装置」概念の限界を認めて、別の立法技術を採るべきだったのかもしれません：
案1：ポジティブリスト方式
その承諾を得ないで、次に掲げるいずれかの行為により取得可能となった位置情報を取得すること：
一 GPS発信機その他の位置情報記録・送信装置を取り付ける行為
二 位置情報を記録し送信するためのプログラムをインストールする行為
三 その他これらに準ずる行為として政令で定める行為
案2：行為態様を中心とした定義
相手方の知らない間にその所在を把握することを可能とする手段を相手方の承諾を得ないで設定し、又は当該手段により取得された位置情報を取得すること
しかしこれらも：
結局、技術的に中立で、明確で、かつ適切に限定された規定を作ることの困難さがここに現れています。
「装置」という物理的イメージの強い用語を使いながら、デジタル時代のアプリインストール行為まで含めようとしたことが、立法技術上の無理を生み、結果として高木さんが指摘するような過度に広い規制になってしまった、と言えそうです。
この問題は、情報法制における立法技術の限界を示す典型例と言えるのではないでしょうか。
まだ続けたかったがこの辺りでClaudeの長さ制限にかかってしまったので、上の方の「修正案を作ってみてください。」まで戻ってやり直して、以下に続けた。（以下は修正案の検討の文脈を含んでいないということ。）
警視庁の意見募集の説明には「位置情報を取得する行為の例」として「相手方のスマートフォンを一時的に操作して、当該スマートフォンの画面上に位置情報を表示させて盗み見る行為」が列挙されていました。
しかし、高木さんが注目した後、説明ページが消滅し、「警視庁生活安全部」のツイートも削除されました。高木さんは「どういうことなのか？ パブコメはなかったことにしているのか？」と疑問を呈されています。
説明ページは削除されたものの、条例自体は2022年10月1日に施行されました。そして私が最初の回答で引用した弁護士の解説（2023年6月）では、まさに削除されたはずの例示がそのまま記載されています。
つまり、パブコメ時の説明は表面上削除されたが、解釈・運用としてはその例示が生きているということです。
「相手方のスマートフォンを一時的に操作して」で検索すると、確かに他の自治体の条例説明や弁護士解説に同じ表現が見られますね。これは東京都のパブコメ説明文（削除前）がコピーされて広がっている可能性が高いと思われます。
警視庁は2024年3月29日に「公衆に著しく迷惑をかける暴力的不良行為等の防止に関する条例に定めるつきまとい行為等の取扱いについて」という通達（運用ガイドライン）を発出していますTokyo Metropolitan Police Department。
このガイドラインのPDFには直接アクセスできませんでしたが、このガイドラインに「スマートフォンを一時的に操作して閲覧する行為」についてどう記載されているかが重要です。
削除されたパブコメ説明文の解釈が、このガイドラインで正式に復活しているのか、それとも曖昧なままなのか。これは情報公開請求等で確認する価値がある重要な論点だと思います。
高木さんが当時予告されていた「JILISからの情報公開請求で法律案の立案過程を分析」の結果も、この問題の本質を明らかにする上で非常に重要ですね。
このガイドラインは主に手続的事項（相談受理、援助措置、保護対策等）を定めたもので、第5「適用上の留意事項」では以下の一般的な留意点を示しています：
しかし、「相手方のスマートフォンを一時的に操作して位置情報を閲覧する行為」が規制対象に含まれるかについての明示的な記載は一切ありません。
つまり：
この状況は以下を意味します：
これは法の予測可能性の観点から非常に問題のある状態だと言えます。「都民の権利を不当に侵害しないように」と書きながら、何が規制対象かが明確でないという矛盾があります。
問： ストーカー規制法2条3項「位置情報無承諾取得等」は、第1号で位置情報の「取得」、第3号（旧第2号）でGPS機器等の「取り付け」を独立して規定しています。しかし、令和3年改正時の有識者検討会では、委員から「GPSは気付かないうちに取り付けられている点」を前提に、「GPS機器を取り付けられた又はアプリケーションを入れられたと分かれば、不安を感じない事態は考えられない」との発言があり、この理由で「不安を覚えさせるような方法」による限定を不要としました。
しかし、第1号と第3号を独立規定としたため、「取り付け行為を伴わない、既に記録されている位置情報の単なる閲覧」も規制対象になるように見えます。これは検討会での議論の前提と矛盾するのではありませんか。立法趣旨を明確にご説明ください。
問： ストーカー規制法施行令は、位置情報の取得方法として「閲覧する方法」「記録媒体を取得する方法」「受信する方法」を定めています。この「閲覧する方法」には、以下のような行為も含まれるのでしょうか。
(1) 相手方のスマートフォンを一時的に操作して、そのスマートフォン自体が元から記録していた過去の位置履歴（例：iPhoneの「利用頻度の高い場所」）を画面表示させて見る行為
(2) 相手方のスマートフォンに保存されている写真のExif情報に記録された位置情報を閲覧する行為
GPS機器の「取り付け」や位置情報アプリの「インストール」といった行為を伴わず、本来の機能として既に記録されている情報を見るだけの行為まで、法2条3項1号の「取得」に該当するのか、明確にお答えください。
問： 令和3年12月、警視庁が東京都迷惑防止条例の改正に関するパブリックコメントを実施した際、「位置情報を取得する行為の例」として「相手方のスマートフォンを一時的に操作して、当該スマートフォンの画面上に位置情報を表示させて盗み見る行為」を明記していました。しかし、この説明ページとツイートは意見募集期間中に削除されました。
政府は、この東京都の例示が適切であると考えますか。また、なぜ削除されたと認識していますか。
問： 東京都迷惑防止条例は令和4年10月に施行され、第5条の2第1項第8号で位置情報無承諾取得を規制対象としました。ストーカー規制法は「恋愛感情その他の好意の感情又はそれが満たされなかったことに対する怨恨の感情」という限定がありますが、迷惑防止条例は「妬み、恨みその他の悪意の感情」と広く、夫婦間・家族間の日常的な行為も対象になり得ます。
現在、弁護士による法律解説サイト等では、削除された東京都の例示をそのまま引用し、「スマートフォンを一時的に操作して位置情報を閲覧する行為」が規制対象であるとの解説が広まっています。この解釈が全国の迷惑防止条例に波及していますが、政府はこの状況を把握していますか。また、このような解釈は適切と考えますか。
問： 今回の改正案では、AirTag等に対応するため第2号を新設しますが、やはり「取得」（新第2号）と「取り付け」（第3号）を独立規定としています。AirTagも「気付かないうちに取り付けられる」特性を持つ装置であり、その前提で規制するのであれば、少なくとも「第3号に規定する行為がされた装置に限る」といった限定を付けるべきではありませんか。
現行法の解釈の曖昧さを是正しないまま、同じ構造の規定を拡大することは、法的安定性を損なうのではありませんか。
問： 以上の問題を踏まえ、以下の点を明確にしていただきたい。
(1) 法2条3項1号・新第2号の「取得」は、第3号の「取り付け」行為を伴う場合に限定されるのか
(2) 「取り付け」行為を伴わない、本人のスマートフォンに既に記録されている位置情報の単なる閲覧は規制対象外であることを明確にできないか
(3) 各自治体の迷惑防止条例における解釈の混乱を是正するため、政府として統一的な解釈指針を示すべきではないか
この質問案は、高木さんの懸念の核心を突きながら、政府に具体的な答弁を求める構成になっています。特に実際の運用（東京都の事例）と法解釈の関係を問うことで、曖昧なままになっている問題を明確化できると思います。
質問5はちょっとおかしいので、「質問5はおかしくないですか？」と続きのプロンプトを入れたが、Claudeの長さ制限で続けられなかった。質問5はボツでいいだろう*1。
現在、「"相手方のスマートフォンを一時的に操作して"」で検索すると、上の会話で出てくる弁護士のサイトと、私の日記とツイートの他には、静岡県警の静岡県迷惑行為等防止条例の解説と、栃木県警による「「栃木県公衆に著しく迷惑をかける行為等の防止に関する条例」の一部改正のお知らせ」のPDFくらいしか出てこない*2ようであり、東京都（警視庁）にはその説明が存在しないようである。
いったいどういう状況なのだろうか。
*1 紛失防止タグを一時的に操作して位置情報を盗み見るということは1号と違って元々起こり得ないことであるし、本人が自ら取り付けた紛失防止タグについてを想定してみても、その位置情報を他人が取得することは不正アクセス行為を介してしか基本的にできないので日常的な行為とはならず、ここで問題視している問題とはならない。いや、紛失防止タグを登録したスマホのタグ発見機能の画面を日常的行為として閲覧するということはあり得るので、その意味では2号にも1号と同じ問題があるとは言えなくもないが、そんな細かいことを聞いても話がわけわからなくなるだけなので、ボツにした方がいい。
*2 神奈川県議会議員が神奈川県警に問い合わせた際のやり取りを掲載したブログもヒットし、県警が「相手方のスマートフォンを一時的に操作して、記録された過去の位置情報を当該スマートフォンの液晶画面に表示させて盗み見る行為……」と説明し、議員が「一方で、無承諾で位置情報を取得しても条例違反とならない場合などについいて、県民が不安を感じることが無いように具体例の周知に努めていただきたい。」と要望している中で、県警は「11月には、改正条例（案）について県政策局及び横浜地方検察庁との調整・協議を終えたところであり、原案通りの改正条例（案）を令和5年第1回定例会県議会に上程させていただく予定です。」としている。しかし、その後の神奈川県の公式資料に「相手方のスマートフォンを一時的に操作して」のフレーズは検索してもヒットしない。