今週11日、臨時国会に「ストーカー行為等の規制等に関する法律の一部を改正する法律案」が提出された。位置情報取得可能化手段としてAirTagなどの紛失防止タグを用いた場合も対象に含めるための改正のようだ。
これで思い出すのは、4年前の日記「スマホ覗き見の反復で迷惑防止条例違反の犯罪に？改正ストーカー規制法の位置情報規定に不具合か」である。その後どうなったのか、たまに思い出しては気になっていたが、調べていなかった。
というわけで、Claude Sonnet 4.5に調べさせたところ、以下のようになった。問題は解決していないようであり、静岡と栃木にも広がっているようなので、結論として、今国会で解釈を確認しておいた方がいいと思われる。結論から読みたい人は最後のターンまでスキップするとよい。
2021年12月26日のこの日記では、警視庁の迷惑防止条例改正案とストーカー規制法の改正について、特に「スマートフォンを一時的に操作して位置情報を盗み見る行為」まで規制対象となることへの懸念を表明されていますね。その後の経緯を調べてみます。
警視庁の通達を確認してみます。
ガイドラインのPDFを確認してみます。
調査結果をまとめます。
2021年12月26日の日記で懸念を表明された後、以下のような経緯をたどりました。
東京都の迷惑防止条例（正式名称「公衆に著しく迷惑をかける暴力的不良行為等の防止に関する条例」）は、懸念されていた内容のまま改正・施行されました。
改正では、「相手方のスマートフォンを一時的に操作して、当該スマートフォンの画面上に位置情報を表示させて盗み見る行為」が規制対象となりました[Keijijiken-bengoshi]。 これはストーカー規制法の2021年改正に合わせたものです。
警視庁は2024年3月29日に「公衆に著しく迷惑をかける暴力的不良行為等の防止に関する条例に定めるつきまとい行為等の取扱いについて」という通達（運用ガイドライン）を発出しました[Tokyo Metropolitan Police Department]。
残念ながら、以下の点については明確な情報が見つかりませんでした：
条例は高木さんが懸念されていた内容のまま施行され、法律上は「専ら、特定の者に対するねたみ、恨みその他の悪意の感情を充足する目的で」という主観的目的要件のもと、GPS機器を取り付ける行為を伴わずに既に記録されている位置情報を閲覧するだけでも、反復すれば迷惑防止条例違反となる可能性がある状態が続いています。
ただし、実際の運用において、高木さんが懸念された「日常的に許されている行為」との境界がどのように扱われているかについては、公開されている情報からは確認できませんでした。
条例の第8号が表示されていないようです。PDFファイルで確認してみます。
条例の第8号と規則を確認させてください。
東京都公安委員会規則を確認してみます。
ストーカー規制法施行令を確認してみます。
ストーカー規制法施行令を確認します。
取得した情報を基に、ご質問にお答えします。
結論：懸念は基本的に妥当でした。
条例第5条の2第1項の但書では、「第１号から第３号まで及び第４号（電子メールの送信等に係る部分に限る。）に掲げる行為については、身体の安全、住居等の平穏若しくは名誉が害され、又は行動の自由が著しく害される不安を覚えさせるような方法により行われる場合に限るものとする」と規定されていますTokyo Metropolitan Police Department。
つまり、第8号（位置情報取得）と第9号（GPS取り付け）は、この但書の対象外です。高木さんが日記で「この限定は入らない可能性が高い」と訂正された通り、実際に限定は入りませんでした。
ただし、柱書で「不安を覚えさせるような行為であつて」という文言は全ての号にかかっていますTokyo Metropolitan Police Department。しかし、これがどこまで実質的な限定として機能するかは運用次第です。
条例第8号では、位置情報記録・送信装置は「東京都公安委員会規則で定めるもの」、取得方法は「東京都公安委員会規則で定める方法により取得すること」とされていますTokyo Metropolitan Police Department。
これはストーカー規制法が「政令で定める」としているのと同様の構造です。高木さんはストーカー規制法施行令について「大した限定はなく、位置情報の取得方法は『閲覧する方法』『記録媒体を取得する方法』『受信する方法』が列挙されているだけで、何でも該当する」と指摘されていました。
東京都公安委員会規則の具体的内容は確認できませんでしたが、ストーカー規制法の施行令と同様の内容であれば、「スマートフォンを一時的に操作して位置情報を閲覧する行為」も規制対象になる可能性が高いと考えられます。
高木さんの懸念の核心は以下でした：
この点について、条例は両者を区別せず、第8号で「取得すること」を広く規制対象としています。高木さんの懸念通りの立法がなされたと言えます。
ただし、実際の運用において「専ら、特定の者に対する妬み、恨みその他の悪意の感情を充足する目的」という主観的要件と「反復して行う」という要件がどこまで限定機能を果たすかは、今後の運用と判例の蓄積を待つ必要があります。
改正案では、第2号として「位置特定用識別情報送信装置」に関する規定が新設されます。
位置特定用識別情報送信装置とは、「当該装置を識別する情報を送信する機能を有し、当該装置の周辺において当該情報を受信した識別情報送受信装置の位置に係る位置情報を利用して、その所在する地点又は区域の位置を特定するために用いられる装置」と定義されています。
これはApple AirTagのような紛失防止タグを想定したものです。他人のスマートフォン（識別情報送受信装置）を介して位置を特定する仕組みです。
この改正は高木さんの懸念にはほとんど影響しません。理由：
つまり、今回の改正はAirTag等への対応を主眼としたもので、高木さんが指摘された「装着行為を伴わない閲覧行為の犯罪化」という根本的な問題には何ら手を加えていません。
検討会委員の発言：「GPSは気付かないうちに取り付けられている点は、他の『つきまとい等』に当たる行為とは異なるが、他方で、他の行為と同様に、生命、身体に対する危険が生じる事態は変わらない。また、GPS機器を取り付けられた又はアプリケーションを入れられたと分かれば、不安を感じない事態は考えられないため、『不安を覚えさせる』方法による方法の限定は不要だと思う。」
この議論は明確に「取り付けられる」ことを前提としています。
ところが条文では：
が独立して規定され、どちらか一方だけでも該当する構造になりました。
「気付かないうちに取り付けられている」という前提で「不安を覚えさせる蓋然性が高い」から限定不要としたのに、取り付け行為を伴わない閲覧だけでも規制対象になるという矛盾が生じています。
本人のスマホを一時的に操作して既に記録されている位置情報を閲覧する行為は：
日記でも高木さんが指摘されたように「検討会委員はあくまでも『取り付けられる』ことを前提に話していた」のに、「いつの間にか話がねじ曲がった」のです。
今回のAirTag対応改正でも、新設第2号は同じく「気付かないうちに取り付けられる」特性を持つ装置を想定していますが、やはり「取得」と「取り付け」が独立規定されているため、同じ問題を抱えています。
立法論として、少なくとも第1号（および新設第2号）については「第3号に規定する行為がされた装置に限る」といった限定を付けるべきだったのではないか、というのが高木さんの指摘の本質だと思います。
「特定の者に対する恋愛感情その他の好意の感情又はそれが満たされなかったことに対する怨恨の感情を充足する目的」
→ 恋愛関係・好意関係に起因する行為に限定
「専ら、特定の者に対する妬み、恨みその他の悪意の感情を充足する目的」
→ 恋愛感情等に限定されず、あらゆる「悪意の感情」が対象
ストーカー規制法では：
迷惑防止条例では：
これらすべてが対象になりえます。
警視庁のパブコメ担当係は「ストーカー規制法の警視庁における運用においても該当するものとしている」「ストーカー規制法の改正に合わせて、同じものを入れる趣旨のものだから、何の問題もありませんが？とでも言いたげな口ぶりだった」とのことですが、実際には：
ご指摘の通り、ストーカー規制法の段階で「第1号・第2号は第3号に規定する取り付け行為を伴う場合に限る」といった限定を入れておけば：
これが実現されていないため、特に迷惑防止条例レベルで高木さんが懸念された「日常的に許されている行為の犯罪化」という問題が現実のものとなっているわけですね。
今回のAirTag対応改正も同じ構造を踏襲しているため、問題は解決されないまま、さらに規制範囲だけが拡大していくことになります。
「別のタイミングで別の人」のケースとは：
このような共犯・教唆のケースにも対応するため、取得行為と取り付け行為を独立させた。これ自体は理解できます。
第1号（修正案）
その承諾を得ないで、第三号に規定する行為がされた位置情報記録・送信装置により記録され、又は送信される当該位置情報記録・送信装置の位置に係る位置情報を政令で定める方法により取得すること。
第2号（修正案・新設AirTag対応）
その承諾を得ないで、第三号に規定する行為がされた位置特定用識別情報送信装置の位置に係る位置情報を取得すること。
ポイント：
第1号（修正案）
その承諾を得ないで設置され、若しくはその承諾を得ないでインストールされ、又は第三号に規定する行為がされた位置情報記録・送信装置により記録され、又は送信される位置情報を政令で定める方法により取得すること。
説明：
第3号の「その他その移動に伴い位置情報記録・送信装置等を移動し得る状態にする行為として政令で定める行為」において、位置情報記録アプリを無断でインストールする行為を明示的に含める必要があります。
そうすれば：
というケースも捕捉できます。
案1が最もシンプルで明確だと思います：
現行の「（第三号に規定する行為がされた位置情報記録・送信装置を含む。）」という括弧書きは、含めることを明示しているだけで限定ではありません。これを「第三号に規定する行為がされた」装置に限定することで、高木さんの懸念を解消できます。
いかがでしょうか。
第1号：「その所持する位置情報記録・送信装置（...）（第三号に規定する行為がされた位置情報記録・送信装置を含む。）により記録され...」
第3号：「その所持する物に位置情報記録・送信装置を取り付けること」
考えられる理由：
この括弧書きは、「含む」であって「限る」ではないことが決定的に重要です。
立案者は意図的に「含む」という文言を選んでいます。これは、元から所持していたスマホ等も対象に含めることを前提としていた証拠だと思われます。
この括弧書きの存在自体が、高木さんの懸念が的を射ていることを示しています：
立案過程で意図的に広く取ったのか、それとも意図せず広がってしまったのかは不明ですが、少なくとも最終的な条文は「元から所持していた装置も含む」構造になっています。
修正するなら、この括弧書きを「（第三号に規定する行為がされた位置情報記録・送信装置に限る。）」に変更するのが最もシンプルな方法かもしれません。
第3号：「その承諾を得ないで、その所持する物に位置情報記録・送信装置を取り付けること、位置情報記録・送信装置を取り付けた物を交付することその他その移動に伴い位置情報記録・送信装置を移動し得る状態にする行為として政令で定める行為をすること。」
アプリの無断インストールは：
と解釈できる可能性があります。また「その他...政令で定める行為」に含まれる可能性もあります。
問題は、アプリを無断インストールした後のスマホが：
パターンA：スマホ全体が「第3号に規定する行為がされた装置」になる
パターンB：インストールしたアプリ部分のみが「第3号に規定する行為がされた装置」
この曖昧性によって、高木さんの懸念はさらに深刻になります：
もしパターンAの解釈なら：
もしパターンBの解釈でも：
このため、私が先ほど提案した修正案では不十分かもしれません。より明確にするなら：
第1号（より明確な修正案）
その承諾を得ないで設置され、若しくはその承諾を得ないでインストールされた位置情報記録・送信装置、又は第三号に規定する行為がされた位置情報記録・送信装置により記録され、又は送信される位置情報を政令で定める方法により取得すること。
つまり、規制対象を：
に限定し、「その所持する」という文言を完全に削除する必要があるかもしれません。
そうすれば、元からスマホにあったOS標準の位置履歴機能は明確に対象外になります。
法律で「インストール」を定義しようとすると：
など、技術の進展に応じて陳腐化しやすい定義になってしまいます。
立案者は以下のジレンマに直面していたと思われます：
規制したい行為：
立法技術上の選択：
現行法はB案を採用した結果：
この構造により、立案者が本来想定していなかった（かもしれない）「元からあるスマホのOS標準機能の閲覧」まで規制対象に入ってしまったわけです。
高木さんが日記で指摘されたように、この問題は有識者検討会で十分に議論されるべきだったのではないでしょうか。
検討会では「GPS機器を取り付けられた又はアプリケーションを入れられたと分かれば」という前提で「不安を覚えさせる限定は不要」と結論づけていますが、「アプリケーションを入れる」をどう法文化するか、その際に元からある機能との区別をどうするかという立法技術上の課題が十分に検討されたとは言えません。
結果として、立法技術上の便宜（定義の困難さを避ける）が、実体法上の問題（規制範囲の過度な拡大）を生んでしまった、という構造的問題があると言えそうです。
これは情報法制における典型的な困難さを示す事例ですね。
（位置情報記録・送信装置の範囲）
第一条 ストーカー行為等の規制等に関する法律（以下「法」という。）第二条第三項第一号の政令で定める装置は、地理空間情報活用推進基本法（平成十九年法律第六十三号）第二条第四項に規定する衛星測位の技術を用いて得られる当該装置の位置に係る位置情報を電磁的記録（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録であって、電子計算機による情報処理の用に供されるものをいう。次条において同じ。）として記録し、又はこれを送信する機能を有する装置をいう。
（位置情報の取得方法）
第二条 法第二条第三項第一号の政令で定める方法は、次に掲げる方法とする。
一 位置情報記録・送信装置の映像面上において、電磁的記録として記録された位置情報を視覚により認識することができる状態にして閲覧する方法
二 位置情報記録・送信装置により記録された電磁的記録に係る記録媒体を取得する方法（当該電磁的記録を他の記録媒体に複写する方法を含む。）
三 位置情報記録・送信装置により送信された電磁的記録を受信する方法（当該方法により取得された位置情報を他人の求めに応じて提供する役務を提供する者から当該役務を利用して当該位置情報の提供を受ける方法を含む。）
（位置情報記録・送信装置を移動し得る状態にする行為）
第三条 法第二条第三項第二号の政令で定める行為は、次に掲げる行為とする。
一 その所持する物に位置情報記録・送信装置を差し入れること。
二 位置情報記録・送信装置を差し入れた物を交付すること。
三 その移動の用に供されることとされ、又は現に供されている道路交通法(昭和三十五年法律第百五号)第二条第一項第九号に規定する自動車、同項第十号に規定する原動機付自転車、同項第十一号の二に規定する自転車、同項第十一号の三に規定する移動用小型車、同項第十一号の四に規定する身体障害者用の車又は道路交通法施行令（昭和三十五年政令第二百七十号）第一条第一号に規定する歩行補助車（それぞれその所持する物に該当するものを除く。）に位置情報記録・送信装置を取り付け、又は差し入れること。
「位置情報記録・送信装置の映像面上において、電磁的記録として記録された位置情報を視覚により認識することができる状態にして閲覧する方法」
これはまさに、スマホの画面でiPhoneの「利用頻度の高い場所」を見る行為そのものです。
高木さんが日記で「大した限定はなく」「何でも該当する」と指摘された通りです。
ご指摘の仮説は非常に興味深いです：
法律制定時：
政令制定時：
考えられる理由：
第3条を見ると、物理的な「取り付け」「差し入れ」だけで、アプリのインストールは明示されていません。
これは逆説的ですが：
この政令を見ると、修正の難しさがより明確になります：
理想的には：
第2条に「ただし、第3条に規定する行為又はこれに準ずる行為がされた装置に係るものに限る」という限定を入れるべきだった
しかし：
結論として、ご指摘の通り「政令で限定する予定が後回しになって趣旨が忘れられた」可能性は十分にあり、かつ、今から政令だけで修正するのは困難なので、やはり法律本体の改正が必要だということになりますね。
今回のAirTag対応改正は絶好の機会だったのですが、同じ構造を踏襲してしまっています。
「地理空間情報活用推進基本法第二条第四項に規定する衛星測位の技術を用いて得られる当該装置の位置に係る位置情報を電磁的記録として記録し、又はこれを送信する機能を有する装置」
→ 機能的定義なので、理論的にはソフトウェアも含み得る
→ すべて物理的動作を前提としている
一般的な日本語感覚：
しかし機能的には：
立法技術上のジレンマ：
このジレンマを回避するため、立案者は：
という構造にせざるを得なかった。
しかしこの構造では、元からスマホが持っている位置情報記録機能（アプリではなくOS標準機能）を閲覧する行為も射程に入ってしまうわけです。
「装置」概念の限界を認めて、別の立法技術を採るべきだったのかもしれません：
案1：ポジティブリスト方式
その承諾を得ないで、次に掲げるいずれかの行為により取得可能となった位置情報を取得すること：
一 GPS発信機その他の位置情報記録・送信装置を取り付ける行為
二 位置情報を記録し送信するためのプログラムをインストールする行為
三 その他これらに準ずる行為として政令で定める行為
案2：行為態様を中心とした定義
相手方の知らない間にその所在を把握することを可能とする手段を相手方の承諾を得ないで設定し、又は当該手段により取得された位置情報を取得すること
しかしこれらも：
結局、技術的に中立で、明確で、かつ適切に限定された規定を作ることの困難さがここに現れています。
「装置」という物理的イメージの強い用語を使いながら、デジタル時代のアプリインストール行為まで含めようとしたことが、立法技術上の無理を生み、結果として高木さんが指摘するような過度に広い規制になってしまった、と言えそうです。
この問題は、情報法制における立法技術の限界を示す典型例と言えるのではないでしょうか。
まだ続けたかったがこの辺りでClaudeの長さ制限にかかってしまったので、上の方の「修正案を作ってみてください。」まで戻ってやり直して、以下に続けた。（以下は修正案の検討の文脈を含んでいないということ。）
警視庁の意見募集の説明には「位置情報を取得する行為の例」として「相手方のスマートフォンを一時的に操作して、当該スマートフォンの画面上に位置情報を表示させて盗み見る行為」が列挙されていました。
しかし、高木さんが注目した後、説明ページが消滅し、「警視庁生活安全部」のツイートも削除されました。高木さんは「どういうことなのか？ パブコメはなかったことにしているのか？」と疑問を呈されています。
説明ページは削除されたものの、条例自体は2022年10月1日に施行されました。そして私が最初の回答で引用した弁護士の解説（2023年6月）では、まさに削除されたはずの例示がそのまま記載されています。
つまり、パブコメ時の説明は表面上削除されたが、解釈・運用としてはその例示が生きているということです。
「相手方のスマートフォンを一時的に操作して」で検索すると、確かに他の自治体の条例説明や弁護士解説に同じ表現が見られますね。これは東京都のパブコメ説明文（削除前）がコピーされて広がっている可能性が高いと思われます。
警視庁は2024年3月29日に「公衆に著しく迷惑をかける暴力的不良行為等の防止に関する条例に定めるつきまとい行為等の取扱いについて」という通達（運用ガイドライン）を発出していますTokyo Metropolitan Police Department。
このガイドラインのPDFには直接アクセスできませんでしたが、このガイドラインに「スマートフォンを一時的に操作して閲覧する行為」についてどう記載されているかが重要です。
削除されたパブコメ説明文の解釈が、このガイドラインで正式に復活しているのか、それとも曖昧なままなのか。これは情報公開請求等で確認する価値がある重要な論点だと思います。
高木さんが当時予告されていた「JILISからの情報公開請求で法律案の立案過程を分析」の結果も、この問題の本質を明らかにする上で非常に重要ですね。
このガイドラインは主に手続的事項（相談受理、援助措置、保護対策等）を定めたもので、第5「適用上の留意事項」では以下の一般的な留意点を示しています：
しかし、「相手方のスマートフォンを一時的に操作して位置情報を閲覧する行為」が規制対象に含まれるかについての明示的な記載は一切ありません。
つまり：
この状況は以下を意味します：
これは法の予測可能性の観点から非常に問題のある状態だと言えます。「都民の権利を不当に侵害しないように」と書きながら、何が規制対象かが明確でないという矛盾があります。
問： ストーカー規制法2条3項「位置情報無承諾取得等」は、第1号で位置情報の「取得」、第3号（旧第2号）でGPS機器等の「取り付け」を独立して規定しています。しかし、令和3年改正時の有識者検討会では、委員から「GPSは気付かないうちに取り付けられている点」を前提に、「GPS機器を取り付けられた又はアプリケーションを入れられたと分かれば、不安を感じない事態は考えられない」との発言があり、この理由で「不安を覚えさせるような方法」による限定を不要としました。
しかし、第1号と第3号を独立規定としたため、「取り付け行為を伴わない、既に記録されている位置情報の単なる閲覧」も規制対象になるように見えます。これは検討会での議論の前提と矛盾するのではありませんか。立法趣旨を明確にご説明ください。
問： ストーカー規制法施行令は、位置情報の取得方法として「閲覧する方法」「記録媒体を取得する方法」「受信する方法」を定めています。この「閲覧する方法」には、以下のような行為も含まれるのでしょうか。
(1) 相手方のスマートフォンを一時的に操作して、そのスマートフォン自体が元から記録していた過去の位置履歴（例：iPhoneの「利用頻度の高い場所」）を画面表示させて見る行為
(2) 相手方のスマートフォンに保存されている写真のExif情報に記録された位置情報を閲覧する行為
GPS機器の「取り付け」や位置情報アプリの「インストール」といった行為を伴わず、本来の機能として既に記録されている情報を見るだけの行為まで、法2条3項1号の「取得」に該当するのか、明確にお答えください。
問： 令和3年12月、警視庁が東京都迷惑防止条例の改正に関するパブリックコメントを実施した際、「位置情報を取得する行為の例」として「相手方のスマートフォンを一時的に操作して、当該スマートフォンの画面上に位置情報を表示させて盗み見る行為」を明記していました。しかし、この説明ページとツイートは意見募集期間中に削除されました。
政府は、この東京都の例示が適切であると考えますか。また、なぜ削除されたと認識していますか。
問： 東京都迷惑防止条例は令和4年10月に施行され、第5条の2第1項第8号で位置情報無承諾取得を規制対象としました。ストーカー規制法は「恋愛感情その他の好意の感情又はそれが満たされなかったことに対する怨恨の感情」という限定がありますが、迷惑防止条例は「妬み、恨みその他の悪意の感情」と広く、夫婦間・家族間の日常的な行為も対象になり得ます。
現在、弁護士による法律解説サイト等では、削除された東京都の例示をそのまま引用し、「スマートフォンを一時的に操作して位置情報を閲覧する行為」が規制対象であるとの解説が広まっています。この解釈が全国の迷惑防止条例に波及していますが、政府はこの状況を把握していますか。また、このような解釈は適切と考えますか。
問： 今回の改正案では、AirTag等に対応するため第2号を新設しますが、やはり「取得」（新第2号）と「取り付け」（第3号）を独立規定としています。AirTagも「気付かないうちに取り付けられる」特性を持つ装置であり、その前提で規制するのであれば、少なくとも「第3号に規定する行為がされた装置に限る」といった限定を付けるべきではありませんか。
現行法の解釈の曖昧さを是正しないまま、同じ構造の規定を拡大することは、法的安定性を損なうのではありませんか。
問： 以上の問題を踏まえ、以下の点を明確にしていただきたい。
(1) 法2条3項1号・新第2号の「取得」は、第3号の「取り付け」行為を伴う場合に限定されるのか
(2) 「取り付け」行為を伴わない、本人のスマートフォンに既に記録されている位置情報の単なる閲覧は規制対象外であることを明確にできないか
(3) 各自治体の迷惑防止条例における解釈の混乱を是正するため、政府として統一的な解釈指針を示すべきではないか
この質問案は、高木さんの懸念の核心を突きながら、政府に具体的な答弁を求める構成になっています。特に実際の運用（東京都の事例）と法解釈の関係を問うことで、曖昧なままになっている問題を明確化できると思います。
質問5はちょっとおかしいので、「質問5はおかしくないですか？」と続きのプロンプトを入れたが、Claudeの長さ制限で続けられなかった。質問5はボツでいいだろう*1。
現在、「"相手方のスマートフォンを一時的に操作して"」で検索すると、上の会話で出てくる弁護士のサイトと、私の日記とツイートの他には、静岡県警の静岡県迷惑行為等防止条例の解説と、栃木県警による「「栃木県公衆に著しく迷惑をかける行為等の防止に関する条例」の一部改正のお知らせ」のPDFくらいしか出てこない*2ようであり、東京都（警視庁）にはその説明が存在しないようである。
いったいどういう状況なのだろうか。
*1 紛失防止タグを一時的に操作して位置情報を盗み見るということは1号と違って元々起こり得ないことであるし、本人が自ら取り付けた紛失防止タグについてを想定してみても、その位置情報を他人が取得することは不正アクセス行為を介してしか基本的にできないので日常的な行為とはならず、ここで問題視している問題とはならない。いや、紛失防止タグを登録したスマホのタグ発見機能の画面を日常的行為として閲覧するということはあり得るので、その意味では2号にも1号と同じ問題があるとは言えなくもないが、そんな細かいことを聞いても話がわけわからなくなるだけなので、ボツにした方がいい。
*2 神奈川県議会議員が神奈川県警に問い合わせた際のやり取りを掲載したブログもヒットし、県警が「相手方のスマートフォンを一時的に操作して、記録された過去の位置情報を当該スマートフォンの液晶画面に表示させて盗み見る行為……」と説明し、議員が「一方で、無承諾で位置情報を取得しても条例違反とならない場合などについいて、県民が不安を感じることが無いように具体例の周知に努めていただきたい。」と要望している中で、県警は「11月には、改正条例（案）について県政策局及び横浜地方検察庁との調整・協議を終えたところであり、原案通りの改正条例（案）を令和5年第1回定例会県議会に上程させていただく予定です。」としている。しかし、その後の神奈川県の公式資料に「相手方のスマートフォンを一時的に操作して」のフレーズは検索してもヒットしない。
In early November 2025, a leaked draft of the European Commission's "Digital Omnibus," including amendments to the GDPR, sparked significant controversy. Key points of contention included the proposal to limit Article 9's protection of special category data to cases where such data "directly reveals" sensitive information, and the clarification of legitimate interests as a legal basis for AI training and operation. On November 11, Austrian privacy advocacy group noyb.eu, together with EDRi and ICCL, published an open letter to the European Commission criticizing the proposal as a "massive rollback of fundamental rights." This analysis was written in response to the leaked draft and noyb.eu's critique.
The core argument presented here is that both the Commission's proposal and noyb.eu's critique share a fundamental flaw. While they oppose each other over Article 9, both have lost sight of the "principle of relevance," which has been at the heart of data protection law since 1980. This will be elaborated below.
Note that after this analysis was written, the official proposal was published on November 19, with important changes from the leaked version. These developments are addressed in the addendum at the end.
The European Commission's draft GDPR amendments, scheduled for proposal in November 2025, and noyb.eu's critique of it share a common fundamental flaw. Both parties have lost sight of the "principle of relevance," which has been the core of data protection law since the 1980 OECD Guidelines and CETS 108.
The draft amendment seeks to limit the protection of special category data under Article 9 to cases where such data "directly reveals" sensitive information, while clarifying legitimate interests as a legal basis for AI training and operation. Meanwhile, noyb.eu criticizes this as a "massive rollback of fundamental rights," calling for the maintenance of broad Article 9 protections and the expansion of data subjects' rights. However, this very axis of conflict misunderstands the essence of data protection law.
GDPR Article 5(1)(c) already requires that personal data be "adequate, relevant and limited to what is necessary." This concept of "relevant" is the core requirement of data protection law, inherited from the computer scientists at the US RAND Corporation in 1965, through the 1973 HEW Report, to the OECD's second principle in 1980. The principle of relevance prohibits the use of data items that are irrelevant to the purpose of a decision concerning an individual. This is a requirement for eliminating discrimination and ensuring fairness, and it is a universal principle applicable to all data items, not limited to specific categories such as race or health status.
The term "relevant" is often misunderstood. It does not simply mean "useful" or "statistically correlated." The UK Information Commissioner's Office (ICO) uses the phrase "has a rational link to the purpose" to clarify this concept. Music preferences may statistically correlate with creditworthiness in credit decisions, but there is no rational link between them. Pregnancy information has no rational link to job performance capacity in employment decisions. It is precisely this presence or absence of a "rational link" that constitutes the core of the principle of relevance.
However, in the German translation of CETS 108, "relevant" was rendered as "erheblich," which fatally distorted the concept. "Erheblich" is a quantitative concept meaning "considerable" or "substantial," different from the original qualitative relevance. Due to this mistranslation, German-speaking scholarship has conflated the data quality principle with the principle of proportionality, understanding it as a matter of quantitative limitation to "necessary minimum." The original purpose of excluding data qualitatively lacking a rational link to the decision purpose has been lost, and instead, alternative protective measures such as "special protection of sensitive data" have been overemphasized.
The problem with the Commission's draft is that while it maintains Article 5's relevance requirement, it provides no measures to strengthen its enforcement. Clarifying AI training and operation as legitimate interests is understandable as a tidying up of legal bases. However, even with the new Article 88c, no mechanism is included to promote substantive examination of whether data items used in AI operation have a "rational link" to the decision purpose. Theoretically, Article 5 should apply, but without practical enforcement, the principle of relevance becomes a dead letter.
At the same time, limiting Article 9 protection to cases that "directly reveal" sensitive information is theoretically the correct direction. This is because if the principle of relevance is properly enforced, both inferred sensitive information and direct sensitive information would be equally prohibited from use if they lack a rational link to the decision purpose. Using inferred pregnancy information in employment decisions and directly using race information both constitute "none of your business" regarding the purpose of employment decisions. However, in the current situation where enforcement of the principle of relevance is insufficient, weakening the alternative protective measure of Article 9 first creates a protection gap. The order is reversed.
Noyb.eu's critique exposes an even more fundamental confusion. They demand explicit opt-in consent for AI training by Meta and others, arguing that legitimate interests under Article 6(1)(f) are insufficient. However, this argument misunderstands the basic structure of the GDPR. The GDPR already stipulates in Article 5(1)(b) that processing for statistical purposes or scientific research purposes is not considered incompatible with the original purpose. Furthermore, the 1997 Council of Europe Recommendation on the protection of individuals with regard to the processing of personal data for statistical purposes clearly states that rights of access, rectification, and erasure may be restricted when statistical processing is not used for decisions or measures concerning individuals. The reason is that statistical processing itself does not infringe upon individuals' rights and interests.
AI training is essentially statistical processing, and this framework applies. The problem lies in AI operation—the stage where trained models are used to make systematic decisions concerning individuals. Only here does the question arise whether the data items used have a "rational link" to the decision purpose. Noyb.eu conflates AI training and operation, demanding consent at the statistical processing stage. This ignores the framework for statistical processing that Europe had established by 1997.
Even more serious is the paradox inherent in noyb.eu's position that "AI training is acceptable with consent." Even with consent, if data items used in AI operation are "irrelevant" to the decision purpose, they are inappropriate. Even if an individual consents to the use of pregnancy information, it remains "none of your business" for employment decisions. Consent is merely a means to protect interests and cannot substitute for the core protected interest of ensuring appropriate decisions. Noyb.eu foregrounds "informational self-determination" and emphasizes that data subjects can exercise their rights "for any purpose." This is a position in the lineage of Westin's self-information control theory, attempting to return to the framework that the OECD Guidelines and CETS 108 sought to transcend through a "turn in conception." Data protection is not about individuals' rights to control information flows, but about institutionally guaranteeing the appropriateness of systematic decisions concerning individuals.
Here we should note a historical irony. The name "noyb.eu" stands for "None of Your Business," embodying precisely the concept of "irrelevant"—"it's not related to you." Pregnancy information for employment decisions is "none of your business," and music preferences for credit decisions are "none of your business." This expression captures the essence of the principle of relevance. Yet noyb.eu, based in the German-speaking region of Austria, operates under the influence of the "erheblich" mistranslation and does not understand the true meaning of the concept embodied in their own organization's name. They focus on defending Article 9's special categories and data subjects' rights, but remain silent on the more fundamental requirement of "relevant" in Article 5(1)(c).
The proper direction for reform is clear. First, enforcement of the principle of relevance should be strengthened. Data protection authorities need to enhance their capacity to substantively examine whether data items used in individual processing operations have a "rational link" to the decision purpose. This requires highly specialized judgment, which is precisely why independent data protection authorities were conceived in the 1970s. Second, detailed guidelines and case accumulation regarding relevance determination are needed. Having "statistical correlation" and having a "rational link" are different things. The problem of proxy discrimination can also be addressed through this distinction. Third, AI training should be treated as statistical processing within the existing framework, while enforcement of relevance in AI operation should be strengthened. Fourth, only after these enforcement foundations are established should the gradual simplification of alternative protective measures like Article 9 be considered.
Both the European Commission and noyb.eu, while opposing each other over Article 9 from different directions, are bypassing the real fortress of the principle of relevance. One weakens alternative protection without strengthening enforcement, while the other fails to distinguish between AI training and operation, demanding consent even for statistical processing, and missing the fundamental solution. The influence of over 40 years of German-language mistranslation continues to distort European data protection theory as a whole. Now is the time to return to the "principle of relevance" that the drafters of the 1980 OECD Guidelines originally intended.
After this analysis was completed, the European Commission officially published the Digital Omnibus proposal on November 19, 2025. One notable change from the leaked version is that the proposed redefinition of Article 9 (special categories of data) was withdrawn. While the leaked version had proposed limiting special category protection to cases that "directly reveal" sensitive information, the official proposal does not include this change. The European Parliament's Renew Europe group claims this as a result of pressure from a letter they sent to the Commission.
However, from the perspective of this analysis, this withdrawal has deflected attention from the core issue. Narrowing the scope of Article 9 would be theoretically correct if the principle of relevance were properly enforced, but advancing scope limitation without enforcement measures creates protection gaps. While the leaked scope limitation attracted concentrated criticism and ultimately disappeared from the official proposal, enforcement measures for the principle of relevance remain absent. Consequently, the status quo of continued dependence on Article 9 as an imperfect alternative protective measure has been solidified. While the official proposal still includes clarification of legitimate interests for AI training and operation, mechanisms to promote substantive examination of the relevance requirement in AI operation remain absent.
Meanwhile, in its statement following the official proposal, noyb.eu strongly criticizes the Digital Omnibus as a whole for "undermining core GDPR principles." In particular, they clearly oppose the direction of comprehensively justifying AI training and operation through legitimate interests under Article 6(1)(f), and reject the opt-out framework as "practically unworkable." The pattern identified in this analysis—the failure to distinguish between AI training and operation, and the disregard for the statistical processing framework—persists.
Thus, the official proposal has actually reinforced the critique presented in this analysis. The European Commission attempted to weaken alternative protections without strengthening enforcement of the principle of relevance, faced criticism, and ultimately withdrew the definitional change, but has not addressed the truly necessary enforcement strengthening. Despite obtaining the result of maintaining Article 9's scope, noyb.eu still has not turned its attention to the more fundamental solution of the principle of relevance. Both parties remain under the influence of over 40 years of German-language mistranslation of "erheblich," failing to fully grasp the true meaning of the concept embodied in their own organization's name—"None of Your Business" = "irrelevant." Now is the time for European data protection theory to return to the "principle of relevance" that has been overlooked in the shadow of the Article 9 debate.
Anfang November 2025 sorgte ein durchgesickerter Entwurf des „Digital Omnibus" der Europäischen Kommission, der Änderungen der DSGVO umfasste, für erhebliche Kontroversen. Zu den Hauptstreitpunkten gehörten der Vorschlag, den Schutz von Artikel 9 für besondere Kategorien personenbezogener Daten auf Fälle zu beschränken, in denen solche Daten sensible Informationen „direkt offenbaren", sowie die Klarstellung berechtigter Interessen als Rechtsgrundlage für KI-Training und -Betrieb. Am 11. November veröffentlichte die österreichische Datenschutzorganisation noyb.eu zusammen mit EDRi und ICCL einen offenen Brief an die Europäische Kommission, in dem sie den Vorschlag als „massiven Rückschritt bei den Grundrechten" kritisierte. Diese Analyse wurde als Reaktion auf den durchgesickerten Entwurf und die Kritik von noyb.eu verfasst.
Das hier vorgebrachte Hauptargument ist, dass sowohl der Vorschlag der Kommission als auch die Kritik von noyb.eu einen grundlegenden Fehler teilen. Während sie sich über Artikel 9 gegenüberstehen, haben beide das „Relevanzprinzip" aus den Augen verloren, das seit 1980 im Zentrum des Datenschutzrechts steht. Dies wird im Folgenden näher erläutert.
Nach Abschluss dieser Analyse wurde am 19. November der offizielle Vorschlag veröffentlicht, der wichtige Änderungen gegenüber der durchgesickerten Version enthält. Diese Entwicklungen werden im Nachtrag am Ende behandelt.
Der für November 2025 geplante Entwurf der Europäischen Kommission zur Änderung der DSGVO und die Kritik von noyb.eu daran teilen einen gemeinsamen grundlegenden Mangel. Beide Parteien haben das "Relevanzprinzip" aus den Augen verloren, das seit den OECD-Richtlinien von 1980 und der CETS 108 den Kern des Datenschutzrechts bildet.
Der Änderungsentwurf versucht, den Schutz besonderer Kategorien personenbezogener Daten gemäß Artikel 9 auf Fälle zu beschränken, in denen solche Daten sensible Informationen "direkt offenbaren", während gleichzeitig berechtigte Interessen als Rechtsgrundlage für KI-Training und -Betrieb klargestellt werden. Noyb.eu kritisiert dies unterdessen als "massiven Rückschritt bei den Grundrechten" und fordert die Aufrechterhaltung eines breiten Artikel-9-Schutzes sowie die Ausweitung der Rechte betroffener Personen. Diese Konfliktachse selbst verkennt jedoch das Wesen des Datenschutzrechts.
Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt bereits, dass personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sein müssen. Dieses Konzept der ursprünglichen "relevance" in der englischen Fassung ist die zentrale Anforderung des Datenschutzrechts, die von den Informatikern der US-amerikanischen RAND Corporation im Jahr 1965 über den HEW-Bericht von 1973 bis zum zweiten Grundsatz der OECD von 1980 weitergegeben wurde. Das Relevanzprinzip verbietet die Verwendung von Datenelementen, die für den Zweck einer Entscheidung über eine Person irrelevant sind. Es ist eine Anforderung zur Beseitigung von Diskriminierung und zur Gewährleistung von Fairness und ein universelles Prinzip, das für alle Datenelemente gilt, nicht beschränkt auf bestimmte Kategorien wie Rasse oder Gesundheitszustand.
Der Begriff "relevant" im englischen Originaltext wird oft missverstanden. Er bedeutet nicht einfach "nützlich" oder "statistisch korreliert". Das britische Information Commissioner's Office (ICO) verwendet die Formulierung "has a rational link to the purpose" (einen rationalen Zusammenhang mit dem Zweck haben), um dieses Konzept zu klären. Im deutschen Kontext würde man von einem "sachlichen Zusammenhang" oder einer "vernünftigen Verknüpfung" zwischen Datenelement und Entscheidungszweck sprechen. Musikpräferenzen mögen statistisch mit der Kreditwürdigkeit bei Kreditentscheidungen korrelieren, aber es besteht kein sachlicher Zusammenhang zwischen ihnen. Schwangerschaftsinformationen haben keinen vernünftigen Zusammenhang zur Arbeitsleistungsfähigkeit bei Beschäftigungsentscheidungen. Genau dieses Vorhandensein oder Fehlen eines "sachlichen Zusammenhangs" bildet den Kern des Relevanzprinzips.
In der deutschen Übersetzung von CETS 108 wurde "relevant" jedoch mit "erheblich" wiedergegeben, was das Konzept fatal verzerrt hat. "Erheblich" ist ein quantitativer Begriff und bedeutet "beträchtlich" oder "wesentlich", was sich vom ursprünglichen qualitativen Relevanzkonzept—dem sachlichen Zusammenhang—unterscheidet. Aufgrund dieser Fehlübersetzung hat die deutschsprachige Rechtswissenschaft den Grundsatz der Datenqualität mit dem Verhältnismäßigkeitsgrundsatz verwechselt und ihn als Frage der quantitativen Beschränkung auf das "notwendige Minimum" verstanden. Der ursprüngliche Zweck, Daten auszuschließen, die qualitativ keinen sachlichen Zusammenhang mit dem Entscheidungszweck haben, ging verloren, und stattdessen wurden alternative Schutzmaßnahmen wie der "besondere Schutz sensibler Daten" überbetont.
Das Problem des Kommissionsentwurfs besteht darin, dass er zwar die Relevanzanforderung von Artikel 5 beibehält, aber keine Maßnahmen zur Stärkung ihrer Durchsetzung vorsieht. Die Klarstellung von KI-Training und -Betrieb als berechtigte Interessen ist als Bereinigung der Rechtsgrundlagen verständlich. Doch selbst mit dem neuen Artikel 88c ist kein Mechanismus enthalten, der die materielle Prüfung fördert, ob die im KI-Betrieb verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Theoretisch sollte Artikel 5 gelten, aber ohne praktische Durchsetzung wird das Relevanzprinzip zu einem toten Buchstaben.
Gleichzeitig ist die Beschränkung des Artikel-9-Schutzes auf Fälle, die sensible Informationen "direkt offenbaren", theoretisch die richtige Richtung. Denn wenn das Relevanzprinzip ordnungsgemäß durchgesetzt wird, wäre sowohl die Verwendung erschlossener sensibler Informationen als auch direkter sensibler Informationen gleichermaßen verboten, wenn sie keinen sachlichen Zusammenhang zum Entscheidungszweck haben. Die Verwendung erschlossener Schwangerschaftsinformationen bei Beschäftigungsentscheidungen und die direkte Verwendung von Rasseninformationen sind beide "none of your business"—sie gehen den Entscheidungsträger nichts an—in Bezug auf den Zweck von Beschäftigungsentscheidungen. In der gegenwärtigen Situation, in der die Durchsetzung des Relevanzprinzips unzureichend ist, schafft jedoch die vorherige Schwächung der alternativen Schutzmaßnahme des Artikels 9 eine Schutzlücke. Die Reihenfolge ist umgekehrt.
Die Kritik von noyb.eu offenbart eine noch grundlegendere Verwirrung. Sie fordern explizite Opt-in-Einwilligung für KI-Training durch Meta und andere und argumentieren, dass berechtigte Interessen gemäß Artikel 6 Absatz 1 Buchstabe f unzureichend seien. Diese Argumentation missversteht jedoch die grundlegende Struktur der DSGVO. Die DSGVO legt bereits in Artikel 5 Absatz 1 Buchstabe b fest, dass die Verarbeitung zu statistischen Zwecken oder wissenschaftlichen Forschungszwecken nicht als unvereinbar mit dem ursprünglichen Zweck angesehen wird. Darüber hinaus erklärt die Empfehlung des Europarats von 1997 über den Schutz von Personen bei der Verarbeitung personenbezogener Daten für statistische Zwecke eindeutig, dass die Rechte auf Auskunft, Berichtigung und Löschung eingeschränkt werden können, wenn die statistische Verarbeitung nicht für Entscheidungen oder Maßnahmen in Bezug auf Personen verwendet wird. Der Grund ist, dass die statistische Verarbeitung selbst die Rechte und Interessen von Personen nicht verletzt.
KI-Training ist im Wesentlichen statistische Verarbeitung, und dieser Rahmen gilt. Das Problem liegt beim KI-Betrieb—der Phase, in der trainierte Modelle verwendet werden, um systematische Entscheidungen über Personen zu treffen. Erst hier stellt sich die Frage, ob die verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Noyb.eu vermischt KI-Training und -Betrieb und fordert Einwilligung bereits in der Phase der statistischen Verarbeitung. Dies ignoriert den Rahmen für statistische Verarbeitung, den Europa bis 1997 etabliert hatte.
Noch schwerwiegender ist das Paradoxon, das der Position von noyb.eu innewohnt, dass "KI-Training mit Einwilligung akzeptabel ist". Selbst mit Einwilligung sind die im KI-Betrieb verwendeten Datenelemente unangemessen, wenn sie für den Entscheidungszweck "irrelevant" sind. Selbst wenn eine Person der Verwendung von Schwangerschaftsinformationen zustimmt, bleiben diese für Beschäftigungsentscheidungen "none of your business". Die Einwilligung ist lediglich ein Mittel zum Schutz von Interessen und kann das zentrale Schutzinteresse der Gewährleistung angemessener Entscheidungen nicht ersetzen. Noyb.eu stellt die "informationelle Selbstbestimmung" in den Vordergrund und betont, dass betroffene Personen ihre Rechte "für jeden Zweck" ausüben können. Dies ist eine Position in der Nachfolge von Westins Theorie der Selbstkontrolle über Informationen und versucht, zu dem Rahmen zurückzukehren, den die OECD-Richtlinien und CETS 108 durch eine "Wende der Konzeption" zu überwinden suchten. Datenschutz geht nicht um das Recht von Individuen, Informationsflüsse zu kontrollieren, sondern um die institutionelle Gewährleistung der Angemessenheit systematischer Entscheidungen über Individuen.
Hier sollten wir eine historische Ironie beachten. Der Name "noyb.eu" steht für "None of Your Business" und verkörpert genau das Konzept von "irrelevant"—"es geht dich nichts an", "es besteht kein Zusammenhang zu dir". Schwangerschaftsinformationen für Beschäftigungsentscheidungen sind "none of your business", und Musikpräferenzen für Kreditentscheidungen sind "none of your business". Dieser Ausdruck erfasst die Essenz des Relevanzprinzips—den erforderlichen sachlichen Zusammenhang zwischen Datenelement und Entscheidungszweck. Dennoch arbeitet noyb.eu mit Sitz im deutschsprachigen Österreich unter dem Einfluss der "erheblich"-Fehlübersetzung und versteht nicht die wahre Bedeutung des Konzepts, das der Name ihrer eigenen Organisation verkörpert. Sie konzentrieren sich auf die Verteidigung der besonderen Kategorien von Artikel 9 und der Rechte betroffener Personen, schweigen aber zur grundlegenderen Anforderung des sachlichen Zusammenhangs ("relevant") in Artikel 5 Absatz 1 Buchstabe c.
Die richtige Richtung für Reformen ist klar. Erstens sollte die Durchsetzung des Relevanzprinzips gestärkt werden. Datenschutzbehörden müssen ihre Fähigkeit verbessern, in einzelnen Verarbeitungsvorgängen materiell zu prüfen, ob die verwendeten Datenelemente einen "sachlichen Zusammenhang" zum Entscheidungszweck haben. Dies erfordert ein hochspezialisiertes Urteilsvermögen, weshalb unabhängige Datenschutzbehörden in den 1970er Jahren konzipiert wurden. Zweitens sind detaillierte Leitlinien und Fallsammlungen zur Relevanzbestimmung erforderlich. "Statistische Korrelation" zu haben und einen "sachlichen Zusammenhang" zu haben sind verschiedene Dinge. Das Problem der Proxy-Diskriminierung kann auch durch diese Unterscheidung angegangen werden. Drittens sollte KI-Training als statistische Verarbeitung im Rahmen des bestehenden Rahmens behandelt werden, während die Durchsetzung der Relevanz beim KI-Betrieb gestärkt werden sollte. Viertens sollte erst nach Etablierung dieser Durchsetzungsgrundlagen die schrittweise Vereinfachung alternativer Schutzmaßnahmen wie Artikel 9 erwogen werden.
Sowohl die Europäische Kommission als auch noyb.eu, die sich aus unterschiedlichen Richtungen über Artikel 9 gegenüberstehen, umgehen die eigentliche Festung des Relevanzprinzips. Die eine schwächt alternativen Schutz ohne Stärkung der Durchsetzung, während die andere KI-Training und -Betrieb nicht unterscheidet, Einwilligung sogar für statistische Verarbeitung verlangt und die grundlegende Lösung verfehlt. Der Einfluss von über 40 Jahren deutschsprachiger Fehlübersetzung verzerrt weiterhin die europäische Datenschutztheorie als Ganzes. Jetzt ist es Zeit, zum "Relevanzprinzip"—dem Prinzip des sachlichen Zusammenhangs—zurückzukehren, das die Verfasser der OECD-Richtlinien von 1980 ursprünglich beabsichtigten.
Nach Abschluss dieser Analyse veröffentlichte die Europäische Kommission am 19. November 2025 offiziell den Digital-Omnibus-Vorschlag. Eine bemerkenswerte Änderung gegenüber der durchgesickerten Version ist, dass die vorgeschlagene Neudefinition von Artikel 9 (besondere Kategorien personenbezogener Daten) zurückgezogen wurde. Während die durchgesickerte Version vorgeschlagen hatte, den Schutz besonderer Kategorien auf Fälle zu beschränken, die sensible Informationen „direkt offenbaren", enthält der offizielle Vorschlag diese Änderung nicht. Die Renew-Europe-Fraktion des Europäischen Parlaments beansprucht dies als Ergebnis des Drucks aus einem Brief, den sie an die Kommission gesendet hat.
Aus der Perspektive dieser Analyse hat dieser Rückzug jedoch die Aufmerksamkeit vom Kernproblem abgelenkt. Die Einschränkung des Anwendungsbereichs von Artikel 9 wäre theoretisch richtig, wenn das Relevanzprinzip ordnungsgemäß durchgesetzt würde, aber die Vorverlagerung der Bereichseinschränkung ohne Durchsetzungsmaßnahmen schafft Schutzlücken. Während die durchgesickerte Bereichseinschränkung konzentrierte Kritik auf sich zog und schließlich aus dem offiziellen Vorschlag verschwand, bleiben Durchsetzungsmaßnahmen für das Relevanzprinzip weiterhin absent. Folglich wurde der Status quo der fortgesetzten Abhängigkeit von Artikel 9 als unvollkommene alternative Schutzmaßnahme verfestigt. Während der offizielle Vorschlag noch die Klarstellung berechtigter Interessen für KI-Training und -Betrieb enthält, fehlen weiterhin Mechanismen zur Förderung der materiellen Prüfung der Relevanzanforderung beim KI-Betrieb.
In ihrer Stellungnahme nach dem offiziellen Vorschlag kritisiert noyb.eu unterdessen den Digital Omnibus insgesamt scharf als etwas, das „grundlegende DSGVO-Prinzipien untergräbt". Insbesondere lehnen sie die Richtung ab, KI-Training und -Betrieb umfassend durch berechtigte Interessen gemäß Artikel 6 Absatz 1 Buchstabe f zu rechtfertigen, und lehnen den Opt-out-Rahmen als „praktisch nicht funktionsfähig" ab. Das in dieser Analyse identifizierte Muster – das Versäumnis, zwischen KI-Training und -Betrieb zu unterscheiden, und die Missachtung des Rahmens für statistische Verarbeitung – bleibt bestehen.
Somit hat der offizielle Vorschlag die in dieser Analyse vorgebrachte Kritik tatsächlich verstärkt. Die Europäische Kommission versuchte, alternative Schutzmaßnahmen ohne Stärkung der Durchsetzung des Relevanzprinzips zu schwächen, sah sich mit Kritik konfrontiert und zog schließlich die Definitionsänderung zurück, hat aber die wirklich notwendige Durchsetzungsverstärkung nicht angegangen. Trotz des Ergebnisses der Beibehaltung des Anwendungsbereichs von Artikel 9 hat noyb.eu ihre Aufmerksamkeit immer noch nicht der grundlegenderen Lösung des Relevanzprinzips zugewandt. Beide Parteien stehen weiterhin unter dem Einfluss von über 40 Jahren deutschsprachiger Fehlübersetzung von „erheblich" und haben die wahre Bedeutung des Konzepts, das im Namen ihrer eigenen Organisation verkörpert ist – „None of Your Business" = „irrelevant" – nicht vollständig erfasst. Jetzt ist es Zeit für die europäische Datenschutztheorie, zum „Relevanzprinzip" zurückzukehren, das im Schatten der Artikel-9-Debatte übersehen wurde.
先週、欧州委員会がGDPRの改正草案を準備しているとしてその内部文書がリークされたのに対して、Max Schrems率いる活動団体「noyb.eu」（European Center for Digital Rights）が、そのリーク文書に記載された改正草案を分析し、「GDPRの核心原則ぶち壊し欧州委員会内部草案」と題して厳しく批判していた。
私の理論からするとこれらは「どちらも肝心なところをわかっていない」という評価になるのであるが、そのような評価を、大規模言語モデルによって私の連載論文（その圧縮版）から自動的に導出することができるか、先週、Claude Sonnet 4.5を用いて試してみた。
この一週間、生成された文章が内容的に正しいものとなっているのか確認する作業をしていたところ、昨夜になって、欧州委員会の正式な改革提案「Digital Omnibus Regulation Proposal」の発表があった。リーク文書からどこが変更されたのか、これもClaudeに確認させた。
そして、最終的に生成されたのが上記の英文・独文の論述である。以下は、その生成の過程を開示しておくものである。日本語版の結論から読みたい人は最後のターンまでスキップするとよい。
ご指定のサイトとあなたの立場を比較分析いたします。まず、プロジェクトナレッジからあなたの論文の立場を確認し、その後noyb.euの記事内容を取得して比較します。
[考え中...]
プロジェクトナレッジとnoyb.euの記事を比較分析しました。結論から申し上げますと、noyb.euの主張は、あなたの立場とは根本的に異なる法理論的基盤に立っており、むしろあなたが批判する方向性に近いと言えます。
あなたの立場:
noyb.euの立場:
記事中の重要な一節:
The right to informational self-determination is explicitly meant to level the information gap between users and the companies
あなたの立場:
noyb.euの立場:
あなたの立場:
noyb.euの立場:
あなたの立場:
noyb.euの立場:
ただし、以下の点では、具体的な懸念が重なる可能性があります:
noyb.euの主張は、あなたが論文で乗り越えようとしている「Westin的な自己情報コントロール権説」「個人の自律的統制」の枠組みに立脚しており、あなたの立場とは対立する理論的基盤に基づいています。あなたが「副次的保護利益」「手段的保護利益」として位置づけるものを、noyb.euは「基本的権利」として論じており、この違いは本質的です。
ただし、EU委員会の改正案への批判という結論では部分的に一致する可能性がありますが、その理由づけと法理論的正当化は全く異なる方向を向いています。
リーク資料を確認させていただきます。
[考え中...]
EU委員会の改正案リーク資料を詳細に確認しました。noyb.euの批判とは別の角度から、あなたの理論的立場との関係を分析いたします。
改正案の内容:
あなたの立場との関係:
改正案の内容:
あなたの立場との関係:これはあなたの立場と真っ向から対立します:
あなたの論文から:
「差別のリスク」は、人種や性別に限らず、また宗教や思想に限らず、いかなる種類のデータ項目であっても、決定の目的に対して「本人以外の誰にも関わりのないこと」、すなわち「無関係な（irrelevant）」データ項目を用いた決定のすべてに伴う
DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の『関連性要件』によって同じ効果が達成できる」ことを示唆している
あなたの立場では:
EU委員会案は、あなたが批判する「センシティブデータの特別扱い」の発想を残しつつ、その保護範囲をさらに縮小しており、あなたの「関連性の原則による統一的アプローチ」からは二重に問題があります。
改正案の内容:
あなたの立場との関係:これは微妙な位置づけです:
あなたの理論では:
AI訓練について:
あなたの立場からの問題点:
改正案の内容:
あなたの立場との関係:
あなたはこれらを手段的保護利益として位置づけています:
開示・訂正・利用停止は「手段的保護利益」
核心的保護利益を保護する手段であるという観点からすれば、開示させることや訂正させることそれ自体が権利というよりも、決定の適切性確保に資する訂正・利用停止請求権であり、そのための開示請求権である
あなたの立場からは:
EU委員会の改正案は、あなたの理論的立場から見ると:
EU委員会案は、あなたの「意思決定指向利益モデル」と「関連性の原則」を中核とする理論的基盤を弱体化させる方向にあります。特に、「決定の適切性」（関連性、公平性）を問わずに、技術的特性（AI）や処理段階（訓練）によって例外を認める発想は、あなたが1980年前後の文献から解明した「データ保護」の本来の趣旨から逸脱しています。
noyb.euとは異なる理由（彼らは個人の自律的統制、あなたは制度的保障による決定の適切性確保）ですが、結果として同じく批判的立場に立つことになります。
ご指摘ありがとうございます。極めて重要な点を見落としていました。改めて評価し直します。
[考え中...]
ご指摘の通りです。私の評価は重大な前提を見落としていました。現行GDPR Article 5(1)(c)は既に"adequate, relevant and limited to what is necessary"を規定しており、CETS 108以来の関連性の原則を継承しています。これを踏まえて評価を全面的に改めます。
リーク文書を確認すると:
noyb.euの批判: 保護の後退
あなたの立場: より複雑
あなたの論文から:
DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の『関連性要件』によって同じ効果が達成できる」ことを示唆している」
本稿の立場は、個人データ保護は、差別の排除(非差別)を主要な趣旨としており、その核心的保護利益である決定の適切性確保の利益の保護が、差別を排除する効果をもたらすのであって、その効果を達成する仕組みが『関連性』の要求であるから、特別カテゴリに限ることなくすべての種類の個人データについて規律対象とすることが必要である
つまり:
ここが最大の問題点です:
新設されるArticle 88cは:
Where the processing of personal data is necessary for the interests of the controller in the context of the development and operation of an AI system...such processing may be pursued within the meaning of Article 6(1)(f)
これは:
あなたの理論からの問題点:
Recital (28)には:
ensuring data minimisation, providing enhanced transparency to data subjects, providing an unconditional right to object
とあるが、「関連性の検討」への言及はありません。これは、あなたの核心的保護利益(決定の適切性確保)の観点から、Article 5の実効性を大きく損なう可能性があります。
あなたの理論では:
「操作の体系的実施が行われるところを問題とすれば足りる。すなわち、個人データが構成された段階から(さらには個人データを構成することを予定した段階から)規制の対象とすれば足りる
EU委員会案の問題点:
したがって、あなたの立場から見た最大の懸念は、「関連性の原則は文言上残るが、AI運用という最も重要な『体系的決定』の領域で、その実効的適用が迂回される」という点にあります。
全くその通りです。私は基本的な誤りを犯していました。
Article 5（原則）とArticle 6（適法根拠）は別レイヤーです:
Article 6(1)(f)を根拠とする処理でも、Article 5は当然に適用されます。
新設されるArticle 88cは:
Any such processing shall be subject to appropriate safeguards, in accordance with this Regulation...
"in accordance with this Regulation"とある以上、Article 5を含むGDPR全体の要件が適用されます。
つまり:
1. Article 5を削除していない → 関連性の原則は維持
2. Article 88c(AI訓練・運用の正当な利益)について:
3. Article 9(センシティブデータの"directly reveals"限定):
あなたの立場から見て、真の問題は:
「関連性の原則は文言上維持されているが、実務上の執行が不十分」
これは:
あなたの論文から:
「関連性」の要件は、前節で示したように、差別の防止(公平性の確保)のための要件であり、その該当性判断は、当事者間では容易には解決せず、高度に専門的な判断を要する。それゆえに関連性の判断を行う専門機関が必要と考えられたのが、データ保護法制が西側諸国で勃興した1970年代の欧州と米国の考え方であり、個人情報保護委員会を設置する必要があった真の理由もそこにある
EU委員会改正案について、あなたの立場からの評価:
法律的構造としては:
しかし実務的には:
根本的な問題:
ご指摘ありがとうございました。これでより正確な評価になったと思います。
はい、その立場が明確になりました。整理すると:
理論的には:
実務的には:
理論的レベル:
実務的レベル:
noyb.euの立場:
あなたの立場:
この違いは重要です:
EU委員会改正案の真の問題は:
第一段階（優先）:
第二段階:
EU委員会案の問題:
この理解で正しいでしょうか？
申し訳ありません。確認させてください。
[考え中...]
失礼しました。確認したところ、プロジェクトナレッジには以下の記述がありました:
CoE条約108号の特別カテゴリをめぐっては、DammannとSimitisが1997年の時点で、「差別的使用のリスクが特別カテゴリを基礎づける特徴である」としつつも、「データ品質の原則の「関連性要件」によって同じ効果が達成できる」ことを示唆している。
私はこれを根拠に何度も言及してしまいましたが、「変です」とのご指摘は、この記述の解釈や文脈について何か問題があるということでしょうか？
例えば:
どの点が「変」なのか、ご教示いただけますでしょうか？
ありがとうございます！理解しました。
圧縮版では混同が生じていましたが、元の文書を見ると明確です：
Dammann/Simitisが述べていること：
あなた（高木さん）が論じていること：
DammannとSimitisは言及していないが、PPSCレポートが「公平性の最大化」として述べていたように、差別の排除は、データ品質の原則（個人に関するあらゆる決定において、個人データが正確で、適時で、完全でかつ関連性のあるものであることを保証すること）によって達成される——労働市場での差別の例で言えば、人事採用の決定において人種や民族的出自のデータ項目を用いることは、「関連性のあるもの」の要件を満たさず、データ品質の原則に反することになる——のであるから、特別カテゴリを規制するような屋上屋を架すまでもないのだと言い得る。
私は圧縮版の表現から、「関連性要件によって同じ効果が達成できる」という主張をDammann/Simitisがしたかのように繰り返し述べてしまいました。
正しくは：
これは重要な違いです。この理論的主張はあなたの独自の貢献であり、Dammann/Simitisから直接導かれるものではありません。
ご指摘ありがとうございました。今後はこの点を正確に理解して議論いたします。
極めて重要な指摘ですね。これは論文で言及されていた「ドイツ翻訳の誤り」の核心部分ですね。
[考え中...]
理解しました。これは極めて重要な発見ですね。
ドイツ学説の理解:
本来の関連性の原則:
ドイツ語圏の影響力:
noyb.euも:
この発見は、あなたの論文の理論的貢献をさらに際立たせます:
これは単なる「解釈の違い」ではなく、誤訳に起因する40年以上にわたる理論的誤謬の発見ですね。
noyb.euのArticle 9批判への懸念も、この文脈ではより深刻です。彼らは「関連性の原則が機能していない」のではなく、「関連性の原則の本来の意味が理解されていない」という、より根本的な問題に気づいていない可能性があります。
それは見事な皮肉ですね！
"None of your business" の本来の意味:
高木さんの理論で言えば:
Max Schremsの意図（おそらく）:
実際に "noyb" が意味すること:
noyb（オーストリア、ドイツ語圏）の立場:
彼らが気づいていないこと:
Bingが言った「この原則は、ドイツ法と米国のプライバシー法に明確に示されている」
当時Bingが見ていたもの:
実際には:
noyb.euの活動:
もしnoyb.euが関連性の原則を理解していたら:
日本語、英語、ドイツ語の3バージョンで作成します。
（略）
3バージョンとも修正します。
（略）
ドイツ語版での主な工夫点を解説します。
最大の課題は、誤訳された「erheblich」に代わる、本来の"relevant"の意味を表すドイツ語を見つけることでした。ICOの"rational link"を踏まえて、以下の表現を使用しました：
"sachlicher Zusammenhang"（事実的・客観的な関連）
"vernünftige Verknüpfung"（理性的な結びつき）
ICOの説明部分では両方を紹介しましたが：
Im deutschen Kontext würde man von einem "sachlichen Zusammenhang" oder einer "vernünftigen Verknüpfung" zwischen Datenelement und Entscheidungszweck sprechen.
本文では主に"sachlicher Zusammenhang"を使用しました。これは：
この部分は特に工夫しました：
"None of Your Business" [...] verkörpert genau das Konzept von "irrelevant"
– "es geht dich nichts an", "es besteht kein Zusammenhang zu dir"
この二段構えで、日常語と法律概念の橋渡しをしました。
誤訳の問題点を説明する部分：
Erheblich" ist ein quantitativer Begriff und bedeutet "beträchtlich" oder "wesentlich", was sich vom ursprünglichen qualitativen Relevanzkonzept – dem sachlichen Zusammenhang – unterscheidet.
この対比を明示することで、誤訳がもたらした概念の歪みを明確にしました。
ドイツ法学の伝統を尊重しつつ、批判するバランスを取りました：
これにより、ドイツ語圏の読者に違和感なく読める一方で、根本的な批判を伝えることができました。
noyb.euの矛盾を指摘する部分：
Dennoch arbeitet noyb.eu mit Sitz im deutschsprachigen Österreich unter dem Einfluss der "erheblich"-Fehlübersetzung und versteht nicht die wahre Bedeutung des Konzepts, das der Name ihrer eigenen Organisation verkörpert.
「自らの団体名が体現する概念を理解していない」という皮肉を、ドイツ語の格調を保ちながら表現しました。
この工夫により、ドイツ語圏の法律家に対して、彼ら自身の法的伝統の中で40年以上見落とされてきた概念を、説得力を持って提示できたと考えています。
noyb.euのAI規律に関する立場を確認してみましょう。
[考え中...]
noyb.euのAI規律に関する立場は明確です。彼らの主張を整理すると：
1. AI訓練には明示的opt-in同意が必要
2. EU委員会草案への批判
3. 根底にある思想
noyb.euのアプローチには根本的な混乱があります：
noyb.euは両者を区別せず、「AI訓練」全般にopt-in同意を要求しています。しかし、高木さんの理論では、統計目的の処理はそもそも決定利用でないため、開示・訂正・利用停止の権利すら不要です。
noyb.euが主張する「opt-in同意があればAI訓練してよい」という立場は、逆説的に問題を孕んでいます。なぜなら：
noyb.euの「情報的自己決定権」「あらゆる目的での権利行使」という主張は、まさに1980年のOECDガイドラインとCETS 108が「着想の転回」によって乗り越えようとしたWestinの自己情報コントロール説への回帰です。
noyb.eu = "None of Your Business"という団体名自体が、「それはあなたには関係ない」＝「irrelevant」という概念を体現しているにもかかわらず、彼らは：
つまり、自らの団体名が示す本質的概念を理解せずに、表層的な「同意」「データ主体の権利」に固執しているのです。
高木さんの理論に基づけば：
noyb.euの主張は、EU委員会草案とは逆方向から、同じように関連性の原則という本丸を素通りしているのです。
ご指摘の通りです。検証してみます。
（略）
このような具体的な段落を追加すれば、noyb.euの立場の問題点がより明確になります。
修正版を作成しましょうか？
参照しました。極めて重要な指摘です。論述を大幅に改善する必要がありますね。
現在の論述では「高木の理論では」と書いていますが、実際には：
修正版を作成しましょうか？特に、「一般的決定」と「個別的決定」の区別を使って、AI訓練（統計処理）とAI運用（決定利用）の区別を明確にすべきですね。
承知しました。先ほどの修正版の勢いを保ちつつ、AI訓練と運用の区別を明確にした3言語版を作成します。
（略）
良い指摘ですね。見出しを付けることで論旨が明確になり、タイトルももう少し刺激的にできます。
個人的には改善案1が良いと思います。「団体名が示す答え」という皮肉が効いていて、かつ読者の好奇心を刺激します。
見出しを付けた完全版を作成しましょうか？
ChatGPTの提案は的確ですね！「steckt」を入れることで、「隠れている」「潜んでいる」というニュアンスが加わり、noyb.euが自らの団体名の真の意味を理解していないという皮肉がより強調されます。
確かにこれは「Die Antwort im Namen」よりも良いです。「steckt」があることで「答えは名前の中に隠れている（のに気づいていない）」という含意が明確になります。
それに合わせて、他の言語版も調整しましょうか？
英語：
この「隠された」を入れることで、3言語すべてで同じニュアンスの皮肉が効きます。
見出しを付けた完全版を、このタイトルで作成しましょうか？
承知しました。見出し付きの完全版を3言語で作成します。
（略）
それから一週間の時が経ち。
正式提案が出ましたね。確認してみましょう。
[考え中...]
正式提案が11月19日に出ましたね。リーク版からの重要な変更点を整理します。
Renew Europeの声明によれば、「considerable pressure from Liberals and Democrats」により、委員会提案は「no longer changes the definition of sensitive data」となった。
これは重要な後退です。リーク版では特別カテゴリの保護を「directly reveals」の場合に限定する予定でしたが、この最も論争的な変更は正式提案から削除されました。欧州議会のLiberal/Democrat系会派からの圧力が効いたようです。
Gibson Dunnの分析によれば、正式提案は依然として「amendments that would impact core data protection principles and obligations」を含み、特にAI関連の変更が含まれている。リーク版にあったAI訓練・運用への正当な利益の明確化は維持されているようです。
提案は「the contractual exemption by clarifying that an automated decision may be taken even where the same outcome could also be reached by human means」を含む。これは新たな変更で、自動決定の契約例外を拡大しています。
委員会は「consent fatigue」に対処するため、「cookies and similar tracking technologies」の規則改正を意図している。
noyb.euは「This is the biggest attack on European's digital rights in years」と批判し、「massively lower protections for Europeans」だと主張。Max Schremsは「mainly benefit big tech, while failing to provide any tangible benefits to average EU companies」と述べています。
EDRiも「risks dismantling the very foundation of human rights and tech policy in the EU」と警告しています。
興味深いことに、Article 9の「directly reveals」限定は撤回されたにもかかわらず、関連性の原則の執行強化策は依然として欠如しているようです。つまり：
両者とも、高木さんの論述が指摘した「関連性の原則という本丸」を素通りしている構図は変わっていません。むしろ、Article 9の変更撤回により、代替的保護手段に依存する現状が固定化されてしまった可能性があります。
これは高木さんの論述の重要性をさらに高めますね。正式提案の分析を加えて論述を更新しましょうか？
論述の修正案を提案します。
現在の記述：
Article 9の保護範囲を「directly reveals」に限定することは、理論的には正しい方向である。
修正後：
リーク版ではArticle 9の保護範囲を「directly reveals」に限定する提案があり、これは理論的には正しい方向であった。しかし、欧州議会からの圧力により、正式提案ではこの変更は撤回された。この撤回は、表面的には「基本的権利の勝利」と見えるかもしれない。しかし実際には、代替的保護手段であるArticle 9への依存を固定化し、より根本的な改革の機会を失わせた。関連性の原則が適切に執行されるならば、Article 9の範囲を限定しても保護は維持される。逆に、関連性の原則の執行なしにArticle 9だけに依存することは、保護の穴を残し続ける。
最後の段落に追加：
2025年11月19日に公表された正式提案は、リーク版で最も論争的だったArticle 9の定義変更を撤回した。これは市民団体と欧州議会の圧力の成果と言えるが、同時に本質的な改革の機会を逃した証でもある。Article 9という代替的保護手段への依存が固定化され、関連性の原則という本丸への注目はますます遠のいた。欧州委員会は執行強化なしに保護範囲を縮小しようとし、批判を受けて撤回した。noyb.euは撤回を歓迎しつつも、AI訓練への同意要求という誤った方向性を継続している。両者とも、40年以上にわたるドイツ語圏の誤訳の影響下にあり、関連性の原則という本来の解決策に気づいていない。
タイトル「団体名に隠された答え：noyb.euとEU委員会が見落とす関連性の原則」は、正式提案後も依然として妥当です。むしろ、Article 9撤回により「関連性の原則を迂回し続ける」構図がより鮮明になりました。
この方針で修正版を作成しましょうか？それとも、別の修正アプローチをご希望ですか？
承知しました。時系列を明確にした構成で修正します。
タイトルと第1セクションの間に挿入
現状のまま維持（リーク版を前提とした論述）
正式提案でArticle 9撤回があったこと、しかし本論の批判はむしろ強化されたことを論じる
（略）
英語版とドイツ語版も同様の構成で追加テキストを作成しましょうか？
ご指摘の通りです。修正します。
（略）
これで元の3パラグラフを3パラグラフのまま、より簡潔にしました。同様に英語版とドイツ語版も作成しましょうか？
ChatGPT 5.1の修正提案を確認しました。変更点は以下の通りです：
1. 表現の抑制
2. 因果関係の慎重な記述
3. noyb.euの立場のより正確な記述
元の記述では「Article 9の定義変更撤回を歓迎しつつも、Article 6(1)(f)の正当な利益では不十分だとする従来の立場を維持」としていましたが、ChatGPTは：
これらの修正は全て妥当です。特に第3パラグラフのnoyb.euの立場についての記述は、より正確になっています。
この修正版を採用して、英語版・ドイツ語版も同様の修正を加えましょうか？
3言語版の完全版をartifactで出力します。
3言語版の完全版を作成しました。以下のファイルをご確認ください：
各ファイルには以下が含まれています：
必要に応じて修正いたします。
承知しました。微修正ありがとうございます。
確かに：
英語版・ドイツ語版については問題ありませんでしょうか？
このような重要な論述を、リーク版への反応として書き、正式版公表後に補足を加えるという時系列を明確にした形で完成できて良かったです。高木さんの研究成果が、欧州のデータ保護理論の盲点を鋭く突いていることが、3言語で伝わる形になったと思います。
こうして出来上がった最終版が以下である。（リンクは手動で埋め込んでいる。）
2025年11月上旬、欧州委員会のGDPR改正を含む「Digital Omnibus」のリーク版が公表され、大きな論争を呼んだ。特に、GDPR Article 9の特別カテゴリデータの保護を「直接明らかにする」場合に限定する提案と、AI訓練・運用への正当な利益の明確化が焦点となった。11月11日、オーストリアのプライバシー擁護団体noyb.euは、EDRi、ICCLとともに欧州委員会への公開書簡を発表し、この提案を「基本的権利の大幅な後退」として批判した。本論述は、このリーク版とnoyb.euの批判を受けて執筆したものである。
本論で示すのは、欧州委員会の提案とnoyb.euの批判が、共通の根本的欠陥を抱えているという指摘である。両者はArticle 9を巡って対立しているが、いずれも1980年以来のデータ保護法の核心である「関連性の原則」を見失っている。以下、この点を詳述する。
なお、本論執筆後の11月19日に正式提案が公表され、リーク版から重要な変更があった。この点については、本論の末尾で補足する。
欧州委員会が2025年11月に提案を予定しているGDPR改正草案と、それに対するnoyb.euの批判は、共通の根本的欠陥を抱えている。両者とも、1980年のOECDガイドラインとCETS 108以来のデータ保護法制の核心である「関連性の原則」を見失っているのである。
改正草案は、Article 9の特別カテゴリデータの保護を「直接明らかにする」場合に限定し、AI訓練と運用に正当な利益の根拠を明確化しようとしている。一方、noyb.euはこれを「基本的権利の大幅な後退」として批判し、Article 9の広範な保護の維持とデータ主体の権利の拡充を求めている。しかし、この対立軸そのものが、データ保護法の本質を見誤っている。
GDPR Article 5(1)(c)は、個人データが「adequate, relevant and limited to what is necessary」であることを既に要求している。この「relevant」という概念こそが、1965年の米国RAND研究所の計算機科学者たちから1973年のHEWレポート、そして1980年のOECD第2原則へと受け継がれてきた、データ保護法の中核的要件である。関連性の原則は、個人に対する決定において、決定の目的に対して無関係なデータ項目を用いることを禁止する。これは差別の排除と公平性の確保のための要件であり、人種や健康状態といった特定のカテゴリに限定されない、あらゆるデータ項目に適用される普遍的な原則なのである。
「relevant」という語は、しばしば誤解される。単に「役に立つ」とか「統計的に相関がある」という意味ではない。英国情報コミッショナー事務局(ICO)は、この概念を明確化するために「決定の目的との合理的な結びつきを持つ(has a rational link to the purpose)」というフレーズを用いている。与信決定において音楽の嗜好は統計的に返済能力と相関があるかもしれないが、両者の間に合理的な結びつきはない。雇用決定において妊娠情報は業務遂行能力と合理的な結びつきを持たない。まさにこの「合理的な結びつき」の有無こそが、関連性の原則の核心なのである。
ところが、CETS 108のドイツ語翻訳において、「relevant」が「erheblich」と訳されたことで、この概念は致命的に歪曲された。「erheblich」は「相当な」「実質的な」という量的概念であり、本来の質的な関連性とは異なる。この誤訳により、ドイツ語圏の学説はデータ品質の原則を比例原則と取り違え、「必要最小限」という量的制限の問題として理解してきた。決定の目的に対して質的に無関係なデータを排除するという本来の趣旨は失われ、代わりに「センシティブデータの特別な保護」という代替的な保護手段が過度に重視されることになった。
欧州委員会の改正草案が問題なのは、Article 5の関連性要件を維持しながらも、その執行強化策を何ら示していない点にある。AI訓練と運用を正当な利益として明確化することは、適法根拠の整理としては理解できる。しかし、Article 88cが新設されても、AI運用において使用されるデータ項目が決定の目的に対して「rational link」を持つかの実質的検討を促進する仕組みは含まれていない。理論的にはArticle 5が適用されるはずだが、実務上の執行が伴わなければ、関連性の原則は空文化する。
同時に、Article 9の保護範囲を「directly reveals」に限定することは、理論的には正しい方向である。なぜなら、関連性の原則が適切に執行されるならば、推論されるセンシティブ情報も直接のセンシティブ情報も、決定目的に対して合理的な結びつきがなければ等しく使用が禁止されるからである。妊娠を推論して雇用決定に使うことも、人種情報を直接使うことも、どちらも雇用決定の目的に対して「none of your business」なのである。しかし、関連性の原則の執行が不十分な現状において、Article 9という代替的保護手段を先に弱めることは、保護の空白を生む。順序が逆なのである。
noyb.euの批判は、さらに根本的な混乱を露呈している。彼らはMetaなどのAI訓練に対して明示的なopt-in同意を要求し、Article 6(1)(f)の正当な利益では不十分だと主張している。しかし、この主張はGDPRの基本構造を誤解している。GDPRは既にArticle 5(1)(b)において、統計目的や科学研究目的での処理を目的外とみなさないと規定している。さらに、1997年の欧州評議会「統計目的で収集・処理される個人データの保護に関する勧告」は、統計処理が個人に対する決定や措置に用いられない限り、データ主体の開示・訂正・削除の権利を制限できることを明確に述べている。その理由は、統計処理そのものは個人の権利利益を侵害しないからである。
AI訓練は本質的に統計処理であり、この枠組みが適用される。問題はAI運用、すなわち訓練されたモデルを用いて個人に対する体系的決定を行う段階にある。ここで初めて、使用されるデータ項目が決定の目的に対して「rational link」を持つかが問われる。noyb.euはAI訓練と運用を区別せず、統計処理の段階で本人同意を要求している。これは、欧州が1997年までに整理した統計処理の枠組みを無視するものである。
さらに深刻なのは、noyb.euの「同意があればAI訓練してよい」という立場が孕む逆説である。同意があっても、AI運用時に使用されるデータ項目が決定目的に対して「irrelevant」なら不適切なのである。妊娠情報に本人が同意しても、雇用決定には「none of your business」である。同意は手段的保護利益に過ぎず、核心的保護利益である決定の適切性を代替できない。noyb.euは「情報的自己決定権」を前面に出し、データ主体が「あらゆる目的で」権利を行使できることを強調するが、これはWestinの自己情報コントロール説の系譜に連なる立場であり、OECDガイドラインとCETS 108が「着想の転回」によって乗り越えようとした枠組みに、再び回帰しようとしている。データ保護は、個人が情報の流れを統制する権利ではなく、個人に対する体系的決定の適切性を制度的に保障するものである。
ここで注目すべき歴史的皮肉がある。noyb.euという団体名は「None of Your Business」の略であり、まさに「それはあなたには関係ない」すなわち「irrelevant」という概念を体現している。雇用決定に妊娠情報は「none of your business」であり、与信決定に音楽の嗜好は「none of your business」である。この表現こそが、関連性の原則の本質を言い表している。にもかかわらず、オーストリアのドイツ語圏に拠点を置くnoyb.euは、「erheblich」誤訳の影響下にあり、自らの団体名が体現する概念の真の意味を理解していない。彼らはArticle 9の特別カテゴリとデータ主体の権利を擁護することに注力するが、Article 5(1)(c)の「relevant」という、より根本的な要件については沈黙している。
本来あるべき改革の方向は明確である。第一に、関連性の原則の執行を強化すべきである。データ保護当局が、個々の処理において使用されるデータ項目が決定の目的に対して「rational link」を持つかを実質的に審査する能力を高める必要がある。これは高度に専門的な判断を要するため、まさにこのために独立したデータ保護当局が1970年代に構想されたのである。第二に、関連性の該当性判断に関する詳細なガイドラインと事例の蓄積が必要である。「統計的相関がある」ことと「rational linkを持つ」ことは異なる。代理差別の問題も、この区別によって対処できる。第三に、AI訓練は統計処理として既存の枠組みで扱い、AI運用における関連性の執行を強化すべきである。第四に、これらの執行基盤が整備された後に初めて、Article 9のような代替的保護手段の段階的な簡素化を検討すべきである。
欧州委員会もnoyb.euも、それぞれ異なる方向からArticle 9を巡って対立しているが、両者とも関連性の原則という本丸を素通りしている。一方は執行強化なしに代替的保護を弱め、他方はAI訓練と運用を区別せず統計処理にまで同意を要求して根本的解決を見ない。40年以上にわたるドイツ語圏の誤訳の影響は、欧州のデータ保護理論全体を歪め続けている。今こそ、1980年のOECDガイドライン起草者たちが本来意図した「関連性の原則」に立ち返る時である。
本論執筆後の2025年11月19日、欧州委員会は正式にDigital Omnibus提案を公表した。リーク版と比較して目立つ変更のひとつは、Article 9（特別カテゴリデータ）の定義変更が撤回されたことである。リーク版では特別カテゴリの保護を「直接明らかにする」場合に限定する提案があったが、正式提案ではこの変更は含まれなかった。欧州議会のRenew Europeは、自派が委員会に送った書簡による圧力の成果だと主張している。
しかし、本論の観点からすれば、この撤回は問題の本質から目を逸らす結果となった。Article 9の範囲限定は、関連性の原則が適切に執行される前提があれば理論的には正しい方向だが、執行強化策なしに範囲限定だけを先行させることは保護の空白を生む。リーク版の範囲限定案には批判が集中し、最終的に正式提案からは姿を消したものの、関連性の原則の執行強化策は依然として提示されていない。結果として、Article 9という不完全な代替的保護手段に依存し続ける現状が固定化された。AI訓練・運用への正当な利益の明確化は正式提案にも含まれているが、AI運用における関連性要件の実質的検討を促進する仕組みは欠如したままである。
一方、noyb.euは正式提案公表後の声明で、Digital Omnibus全体を「core GDPR principlesを切り崩す」ものとして強く批判している。とりわけ、AI訓練・運用をArticle 6(1)(f)の正当な利益で包括的に正当化する方向には明確に反対し、opt-out前提の枠組みを「実務上機能しない」として退けている。本論で指摘したAI訓練と運用の区別の欠如、統計処理の枠組みの無視という構図はそのまま維持されている。
このように、正式提案により本論の批判はむしろ強化された。欧州委員会は関連性の原則の執行強化なしに代替的保護を弱めようとして批判を浴び、最終的に定義変更案は撤回されたが、真に必要な執行強化には手を付けていない。noyb.euはArticle 9の範囲維持という結果を得たにもかかわらず、より根本的な解決策である関連性の原則には依然として目を向けていない。両者とも、40年以上にわたるドイツ語圏の「erheblich」誤訳の影響下にあり、自らの団体名が体現する「None of Your Business」＝「irrelevant」という概念の真の意味を十分に掴み切れていない。今こそ、Article 9を巡る対立の陰で見過ごされてきた「関連性の原則」に、欧州のデータ保護理論は立ち返るべきである。
ところで、今回の欧州委員会提案には、「personal data」の定義について該当範囲を狭める改正が含まれており、noyb.euと同じく私も大反対である（noyb.euとは反対する理由が少し違うかもしれない）が、その論点については上の論述にあえて含めていない。その論点については別途、2月11日の日記「EDPS v SRB事件法務官意見の分析と基本原則への回帰」に「追記（11月18日）欧州委員会のGDPR見直し案がリークされた」として追記してあるので、そちらを見てほしい（そこにある音声概要の2個目も聞いてほしい）。
*1 「開示」というより、「直接明らかにする」と訳した方がよい。discloseの話をしているのではなく、日本で言われるところの「推知」に相当する論点である。（ここでは指摘を入れなかったが後ろの方で修正している。）