GDPR制裁金が第2四半期に急増、総額2億2,587万ユーロに

Finboldが2026年8月20日に公表した調査によると、2026年第2四半期（4月1日〜6月30日）にGDPR（EU一般データ保護規則）の執行当局が科した制裁金は、総額2億2,587万9,175ユーロ（約2億6,059万ドル）に達した。

四半期全体で見ると、企業が支払った制裁金は1日平均約248万ユーロ（約286万ドル）。第1四半期の6,818万ユーロ（約7,363万ドル）と比べ、約230％増加した。これにより、2026年上半期の累計額は約2億9,500万ユーロ（約3億4,050万ドル）となった。

高額制裁を受けた国と企業

第2四半期の最大案件は、オランダのデータ保護当局が、配車アプリ「Yango」を運営するRidetech International B.V.（旧MLU B.V.）に科した約1億ユーロ（報道によっては1億250万ユーロ）の制裁金だった。

当局は、第三国への個人データ移転に必要な保護措置が不十分だったと判断。GDPRの要件を満たさない状態でロシアへデータを移転することを停止するよう命じた。

そのほかの主な案件は次の通り。

• フランス：通信会社Free MobileとFreeに合計4,200万ユーロ。内訳にはFree Mobileへの2,700万ユーロの制裁金が含まれる。
• イタリア：銀行Intesa Sanpaoloに3,180万ユーロ。顧客の銀行データ保護に関する不備が問題となった。
• 英国：データ保護監督機関ICOが、子どものプライバシー保護に関する不備を理由にRedditへ1,447万ポンド（約1,661万ユーロ）の制裁金を科した。年齢確認の仕組みが不十分だったことや、子どもの個人データを違法に利用したことなどが指摘されている。Redditは金銭的制裁通知に対して不服を申し立てた。

違反の傾向と影響を受けた業界

今回の高額制裁で中心となったのは、セキュリティ対策の不備と、適切な法的根拠を欠いた個人データ処理だった。 Yangoの案件は、国境を越えたデータ移転の保護措置が不十分な場合、極めて高額な制裁につながり得ることも示している。

第2四半期の高額制裁上位10件のうち6件は、メディア業界と金融業界の企業が占めた。大量の個人データを扱い、消費者との接点が多く、規制も厳しい業界ほど、GDPR違反の影響が大きくなりやすい状況が浮かび上がる。

企業に求められる対応

今回の数字は、GDPR対応が単なる法務・コンプライアンス上の確認作業ではなく、財務面と事業運営の両方に関わるリスクであることを示す。Yangoの1案件だけで、第2四半期に報告された制裁金総額のほぼ半分を占めた。

欧州で事業を展開する企業は、少なくとも次の点を優先的に点検する必要がある。

• それぞれのデータ処理について、適法性の根拠を文書化する。必要な場合は、有効な同意を取得・管理する。
• 技術的・組織的なセキュリティ対策を強化し、実効性を定期的に検証する。
• 年齢確認を含む、子どもの個人データに対する強化された保護措置を整える。
• 第三国へのデータ移転について、適切な移転メカニズム、リスク評価、追加の保護措置を用意する。特にロシアなどへの移転では、規制要件を慎重に確認する。
• メディア、テクノロジー、金融、通信など高リスクのデータ処理について、取締役会レベルで監督する。

なお、企業別・国別の内訳の一部は、二次情報であるソーシャルメディア投稿を通じて報告されている。そのため、個別の金額や順位については一定の留保が必要だ。一方、第2四半期の総額と前四半期からの増加率は、Finboldの2026年8月20日付調査に基づく数字として報告されている。