GDPRとデータ主権

文書基準: 2026年8月

概要

GDPR（General Data Protection Regulation、EU一般データ保護規則）は、2018年の施行以降も進化を続けています。近年の変化は、法文自体よりも**「個人データが物理的にどこで、誰によって処理されるか」**という要求が強化される方向で現れています。本文書は、グローバル企業がEUへクラウドワークロードを拡張したり、EU顧客データを処理したりする際に直面する域外移転体系と、これを背景に登場した「ソブリンクラウド（Sovereign Cloud）」オプションについて整理します。

GDPR域外移転体系

GDPR第5章（Chapter V）は、EU域外への個人データ移転に対して別途の保護措置を要求しています。実務で用いられる主なメカニズムは以下のとおりです。

メカニズム	説明
十分性認定（Adequacy Decision）	EU欧州委員会が特定国の個人データ保護水준をGDPRと同等と認めた場合、その国への移転には追加の保護措置が不要
標準契約条項（SCC、Standard Contractual Clauses）	十分性認定のない国へ移転する際に契約当事者間で締結する、EU欧州委員会承認の標準条項。2021年改訂版が現行基準
BCR（Binding Corporate Rules）	多国籍企業グループ内部の移転に適用される拘束力のある社内規則

主な十分性認定の現況（日本、韓国、英国、米国DPFなど）

EU欧州委員会は日本（2019年）、韓国（2021年12月）、英国、スイス、カナダ、米国（EU-US Data Privacy Framework、2023年）など主要な貿易相手国に対して十分性認定を採択しています。

グローバル企業がEUリージョンのクラウドを利用してEU顧客データを処理したり海外へ転送したりする場合、移転方向にかかわらず、ベンダーとの契約（DPA、Data Processing Addendum）にSCCが含まれているか、そしてベンダーが提供するリージョン・ガバナンスオプションが自社のデータ分類要件を満たすかを確認する必要があります。

EU Data Boundary

EU Data Boundaryは、Microsoftが推進してきたデータレジデンシー強化のイニシアチブで、EU・EFTA顧客のデータをEU/EFTA域内でのみ保存・処理することを目標としています。

2023年1月: 第1段階 — Microsoft 365、Dynamics 365、Power Platformなど中核クラウドサービスの顧客データ・仮名化された個人データをEU域内に保存
2025年2月26日: 完成（第3段階） — サポートログ、ケースノートなど**プロフェッショナルサービスデータ（Professional Services Data）**までEU/EFTA域内保存に拡張、データレジデンシー・透明性強化の完了を発表（ただし、一部の運用上制限された域外アクセス・転送の例外は、文書化された条件の下で残っています）

他のベンダーも同様の方向でリージョン内データ処理の保証を拡大していますが、「EU Data Boundary」という名称と範囲（プロフェッショナルサービスデータを含む）はMicrosoft固有のイニシアチブです。他ベンダーのEUリージョンデータレジデンシー保証範囲は、各ベンダーの契約文書（DPA）で個別に確認する必要があります。

ソブリンクラウドオプションの比較

データ保存場所にとどまらず、運用要員・管理アクセス・緊急時の法的管轄までEU域内に制限しようとする需要に対応し、主要ベンダーは以下のような「ソブリンクラウド」オプションを運用・発表しています。

ベンダー	オプション	形態	現状
AWS	European Sovereign Cloud	独立リージョン（物理的・論理的に既存のAWSリージョンと分離）	2026年1月15日に正式リリース（GA）、ドイツ・ブランデンブルクが最初のリージョン。長期78億ユーロの投資を発表、ベルギー・オランダ・ポルトガルにソブリンLocal Zoneを拡張予定
Microsoft	Bleu（フランス）/ Delos Cloud（ドイツ）	パートナー運用ソブリンクラウド（ナショナルパートナークラウド）	BleuはOrange・Capgeminiの合弁会社（SecNumCloud認証を目標）、Delos CloudはSAPの子会社。2025年11月に相互支援協定を締結、Delos-Microsoft間のMoUにより緊急時（他国政府によるサービス制限など）にDelosがMicrosoftクラウドのコードにアクセスできる法的権利を確保
OCI	EU Sovereign Cloud	物理的に分離されたEU専用リージョン	2023年6月から運用中、フランクフルト・マドリードリージョン。EU法人・EU居住スタッフのみが運用、商用OCIと比べ追加料金なし
Google Cloud	主権パートナーシップ（T-Systems・Thales/S3NS・Proximus）	パートナー企業運用リージョン	ドイツはT-Systems、フランスはThales子会社S3NS（SecNumCloud目標）、ベルギー・ルクセンブルクはProximusと協力。2026年5月にThales-Google Cloudがドイツで新たなソブリンクラウドパートナーシップを発表

EUCS認証スキームの流動性

**EUCS（European Cybersecurity Certification Scheme for Cloud Services）**は、ENISAが主導するクラウドサービス共通セキュリティ認証体系で、本来はクラウドベンダーのセキュリティ水準をEU全域で相互承認可能な等級（Basic/Substantial/High）に標準化することを目的としていました。

EUCSの「主権性（Sovereignty）要件」は2026年8月現在も確定しておらず、議論が進行中です。

初期草案は、最高等級（High+）認証にEU域外企業の持分・支配構造の排除（immunity）要件を含んでいました。
2023年の改訂草案はこれを緩和し、High+等級でのみデータローカライゼーションを要求し、「信頼できる域外クラウド提供者」認証の可能性を残しました。
2026年1月20日にEU欧州委員会が発表したCybersecurity Act 2（CSA2）改正案は、認証体系を技術的基準中心に再編する方向性を示しており、この流れの中でEUCS・EU5Gスキームの作業が再開されると見込まれています。
EUCSの最終案は依然として確定しておらず、「主権性要件を含めるかどうか」はEU加盟国間で意見の相違が残る事案です。最新の確定状況はENISA・EU欧州委員会の公式発表を通じて別途確認が必要です。

EUCSは現時点では任意（voluntary）の認証ですが、NIS2とData Act（2024年1月発効、2025年9月から主要条項適用中）は、加盟国・規制当局が公共機関・必須/重要機関に対してEUCS認証ベンダーの使用を義務化できる権限を付与しており、今後の調達要件に影響を与える可能性があります。

アーキテクチャへの示唆

データ分類から始める: どのデータがEU域内での保存・処理義務の対象なのか（公共調達要件、契約上の要求、自社のリスクポリシー）をまず分類したうえで、リージョン・ベンダーオプションを決定します。
ソブリンオプションはコスト・機能のトレードオフを伴う: ソブリンリージョンは一般商用リージョンと比べてサービス提供範囲が限定的だったり、新機能の反映が遅れたりする場合があります。必須要件でなければ、一般EUリージョン+強化されたガバナンス（暗号化、アクセス透明性ログ）で十分な場合が多いです。
DPA・契約書のレビューがリージョン選択と同じくらい重要: SCCの有無、下位処理者（sub-processor）一覧、緊急時アクセス条項を契約文書で直接確認します。
EUCSなど流動的な規制を「確定前提」で設計しない: 最終的に確定していない認証要件をアーキテクチャの必須前提条件とするのではなく、確定時に切り替え可能な余地を残しておきます。
ソブリンランディングゾーン設計との連携: EUデータレジデンシー・処理管轄要件をランディングゾーンのガードレールに反映する具体的なパターンについては、ランディングゾーン — ソブリンランディングゾーンを参考にしてください。