フランス：Free MobileとFreeに計4,200万ユーロ

フランスでは、通信会社のFree MobileとFreeに対して、合計4,200万ユーロの制裁金が科された。このうちFree Mobileへの制裁金は2,700万ユーロで、加入者データのセキュリティが第2四半期の主要な執行テーマの一つとなった。

イタリア：Intesa Sanpaoloに3,180万ユーロ

イタリアのデータ保護当局は、銀行大手Intesa Sanpaoloに3,180万ユーロの制裁金を科した。顧客の銀行関連データの保護に不備があったことが理由とされている。

金融機関は、本人確認情報、口座情報、取引記録など大量のデータを扱う。そのため、アクセス権限、セキュリティ、適法な処理をめぐる管理体制に不備があれば、大きな制裁リスクに直結しやすい。

英国：Redditに1,447万ポンド

英国の個人情報保護当局であるICO（Information Commissioner’s Office）は、オンライン掲示板サイトRedditに1,447万ポンドの制裁金を科した。当局は、Redditが子どもの個人情報を違法に利用し、利用者の年齢を確認する十分な仕組みも導入していなかったと判断した。

ICOは、同社の不備が子どもたちをリスクにさらしたと説明している。Redditはその後、制裁金通知に対して不服申し立てを行った。

この案件は、子どもが利用する可能性のあるサービスにとって、年齢確認や未成年者のデータの扱いが、単なる機能上の問題ではなく、重大な規制リスクになり得ることを示している。

制裁金急増の背景にある違反とは

第2四半期の案件で繰り返し見られたのは、セキュリティ対策の不備と、適切な法的根拠を欠く個人データの処理だった。さらにYangoの事例は、実効性のある保護措置を欠いた国際データ移転も、高額制裁につながることを示した。

プライバシーポリシーや社内規程が整っていても、それだけでGDPRへの対応が十分になるわけではない。実際の管理策がデータを守れていない、処理目的を支える法的根拠がない、あるいは十分な保護体制のない国へデータが流れ続けている場合、企業は執行措置を受ける可能性がある。

どの業界のリスクが高いのか

執行状況の分析によると、第2四半期の高額制裁金上位10件のうち、メディア業界と金融業界の企業が計6件を占めた。大量の個人データを扱い、消費者と直接接点を持ち、広告規制や金融規制の影響も受ける業界ほど、規制当局の監視対象になりやすいことがうかがえる。

フランスのFreeに対する制裁によって通信業界も目立ったほか、テクノロジー企業やプラットフォーム事業者は、国際データ移転や子どもの個人情報の扱いをめぐって問題を指摘された。

これは、該当業界の企業が一律に制裁を受けるという意味ではない。しかし、大規模なデータ処理と消費者への影響力が結びつく事業ほど、違反時の影響も大きくなりやすいことを示す事例だ。

欧州で事業を行う企業が優先すべき5つの対応

第2四半期の傾向を踏まえると、GDPR対応はプライバシー部門だけの法務課題ではなく、財務・事業運営上のリスクとして管理する必要がある。企業が優先すべき項目は次の通りだ。

• 処理の法的根拠を整理する： 重要な処理活動ごとに法的根拠を文書化し、同意が必要な場合には、その同意が有効なものかを確認する。
• セキュリティ対策を実効性の面から検証する： 個人データを保護する技術的・組織的措置を整備し、書類上の対策にとどまらず、実際に機能しているかをテストする。
• 年齢確認を強化する： 子どもがアクセスする可能性のあるサービスを特定し、適切な年齢確認を導入するとともに、未成年者のデータの不適切な利用を制限する。
• 国際データ移転を見直す： 第三国への移転をすべて把握し、移転影響評価を実施する。移転先の国でも有効性を保てる保護措置を導入する。
• 高リスク処理を経営層に報告する： 大規模なデータ移転、機微な情報、子どものデータ、大規模なプロファイリングや消費者データの処理について、取締役会や経営陣が状況を把握できるようにする。

まとめ

2026年第2四半期のGDPR制裁金は、単に前四半期より大きな数字になったというだけではない。国際データ移転、情報セキュリティ、適法なデータ処理、子どものプライバシーという複数の論点が、同時に高額制裁へつながった。

第2四半期の総額は1件の大型案件に大きく左右されているものの、執行事例の幅広さは明確なメッセージを送っている。欧州で事業を展開する企業には、適法な処理、実効性のあるセキュリティ、子どものデータへの慎重な対応、そして国際データ移転の継続的な監督が求められている。個人情報保護の不備は、短期間で重大な財務・事業上の負担になり得る。

フランス：Free MobileとFreeに計4,200万ユーロ

フランスでは、通信会社のFree MobileとFreeに対して、合計4,200万ユーロの制裁金が科された。このうちFree Mobileへの制裁金は2,700万ユーロで、加入者データのセキュリティが第2四半期の主要な執行テーマの一つとなった。

イタリア：Intesa Sanpaoloに3,180万ユーロ

イタリアのデータ保護当局は、銀行大手Intesa Sanpaoloに3,180万ユーロの制裁金を科した。顧客の銀行関連データの保護に不備があったことが理由とされている。

金融機関は、本人確認情報、口座情報、取引記録など大量のデータを扱う。そのため、アクセス権限、セキュリティ、適法な処理をめぐる管理体制に不備があれば、大きな制裁リスクに直結しやすい。

英国：Redditに1,447万ポンド

英国の個人情報保護当局であるICO（Information Commissioner’s Office）は、オンライン掲示板サイトRedditに1,447万ポンドの制裁金を科した。当局は、Redditが子どもの個人情報を違法に利用し、利用者の年齢を確認する十分な仕組みも導入していなかったと判断した。

ICOは、同社の不備が子どもたちをリスクにさらしたと説明している。Redditはその後、制裁金通知に対して不服申し立てを行った。

この案件は、子どもが利用する可能性のあるサービスにとって、年齢確認や未成年者のデータの扱いが、単なる機能上の問題ではなく、重大な規制リスクになり得ることを示している。

制裁金急増の背景にある違反とは

第2四半期の案件で繰り返し見られたのは、セキュリティ対策の不備と、適切な法的根拠を欠く個人データの処理だった。さらにYangoの事例は、実効性のある保護措置を欠いた国際データ移転も、高額制裁につながることを示した。

プライバシーポリシーや社内規程が整っていても、それだけでGDPRへの対応が十分になるわけではない。実際の管理策がデータを守れていない、処理目的を支える法的根拠がない、あるいは十分な保護体制のない国へデータが流れ続けている場合、企業は執行措置を受ける可能性がある。

どの業界のリスクが高いのか

執行状況の分析によると、第2四半期の高額制裁金上位10件のうち、メディア業界と金融業界の企業が計6件を占めた。大量の個人データを扱い、消費者と直接接点を持ち、広告規制や金融規制の影響も受ける業界ほど、規制当局の監視対象になりやすいことがうかがえる。

フランスのFreeに対する制裁によって通信業界も目立ったほか、テクノロジー企業やプラットフォーム事業者は、国際データ移転や子どもの個人情報の扱いをめぐって問題を指摘された。

これは、該当業界の企業が一律に制裁を受けるという意味ではない。しかし、大規模なデータ処理と消費者への影響力が結びつく事業ほど、違反時の影響も大きくなりやすいことを示す事例だ。

欧州で事業を行う企業が優先すべき5つの対応

第2四半期の傾向を踏まえると、GDPR対応はプライバシー部門だけの法務課題ではなく、財務・事業運営上のリスクとして管理する必要がある。企業が優先すべき項目は次の通りだ。

• 処理の法的根拠を整理する： 重要な処理活動ごとに法的根拠を文書化し、同意が必要な場合には、その同意が有効なものかを確認する。
• セキュリティ対策を実効性の面から検証する： 個人データを保護する技術的・組織的措置を整備し、書類上の対策にとどまらず、実際に機能しているかをテストする。
• 年齢確認を強化する： 子どもがアクセスする可能性のあるサービスを特定し、適切な年齢確認を導入するとともに、未成年者のデータの不適切な利用を制限する。
• 国際データ移転を見直す： 第三国への移転をすべて把握し、移転影響評価を実施する。移転先の国でも有効性を保てる保護措置を導入する。
• 高リスク処理を経営層に報告する： 大規模なデータ移転、機微な情報、子どものデータ、大規模なプロファイリングや消費者データの処理について、取締役会や経営陣が状況を把握できるようにする。

まとめ

2026年第2四半期のGDPR制裁金は、単に前四半期より大きな数字になったというだけではない。国際データ移転、情報セキュリティ、適法なデータ処理、子どものプライバシーという複数の論点が、同時に高額制裁へつながった。

第2四半期の総額は1件の大型案件に大きく左右されているものの、執行事例の幅広さは明確なメッセージを送っている。欧州で事業を展開する企業には、適法な処理、実効性のあるセキュリティ、子どものデータへの慎重な対応、そして国際データ移転の継続的な監督が求められている。個人情報保護の不備は、短期間で重大な財務・事業上の負担になり得る。