データ主権の懸念は、なぜテック企業に法務・プラットフォーム・アーキテクチャの再考を迫るのか

データ主権は、地政学上の断層となっています。ワシントンからハノイに至るまで、各国政府は情報の流れに対する統制を強めており、その動きは、テクノロジー企業がプラットフォームを設計し、組織体制を構築し、市場拡大を計画する方法を直接的に変えつつあります。2024年2月に署名された大統領令第14117号は、司法省に対し、「懸念国」に指定された国々への大量の機微な個人データの越境移転を制限するよう指示しました。これを実施する規則である「データ・セキュリティ・プログラム」は、連邦規則集第28編第202部（28 C.F.R. Part 202）として成文化され、2025年1月8日に公布、同年4月8日に施行されました。さらに、デューデリジェンス、監査、報告に関する要件を含め、2025年10月6日から全面的に執行可能となりました。指定国は6か国であり、中国（香港およびマカオを含む）、ロシア、イラン、北朝鮮、キューバ、ベネズエラです。

欧州連合も、これと並行する動きを進めています。サイバーレジリエンス法（規則（EU）2024/2847）は2024年末に発効し、スタンドアロン型ソフトウェアやビデオゲームを含む「デジタル要素を備えた製品」の製造者に対して、セキュリティ・バイ・デザインの義務を課しています。これとは別に、NIS2指令（指令（EU）2022/2555）は、基幹事業体（essential entities）および重要事業体（important entities）の経営機関に対し、サイバーセキュリティ・リスク管理措置を承認し、監督する責任を負わせており、経営機関は当該事業体の不履行について責任を問われる可能性があります。

施行時期と適用範囲については、しばしば混同されるため、次の2点を明確にしておく必要があります。第一に、サイバーレジリエンス法に定められた製造者の実体的義務の大半は、2027年12月11日まで適用されません。一方、第14条の報告義務は2026年9月11日から適用されます。第二に、経営層の個人責任は、サイバーレジリエンス法ではなくNIS2指令第20条に基づいて生じます。サイバーレジリエンス法第64条に定める制裁は、個人ではなく事業者に適用されるためです。また、NIS2指令はビデオゲームを対象分野として列挙していません。したがって、ゲーム会社が規制対象となるのは、たとえばクラウドコンピューティング事業者、データセンター運営者、コンテンツ配信ネットワーク（CDN）事業者、オンライン・マーケットプレイス、ソーシャル・ネットワーキング・プラットフォームなどに別途該当する場合に限られます。

データ主権という戦略上の制約

Web3、ゲーム、デジタルメディア分野の創業者、CTO、社内弁護士にとって、データローカライゼーション義務、国家安全保障を理由とするデータ移転制限、そしてデータのライフサイクル全体におよぶサイバーセキュリティ義務が組み合わさることで、次の事項について、法務面および業務運用面で根本的な再調整が求められています。

• データをどこに保存できるのか
• プラットフォームがユーザーをどのように認証・追跡・アップデートするのか
• どのベンダー、投資家、従業員と協働するのか
• グローバルなゲームプレイ、デジタル資産取引、またはコンテンツのパーソナライズを大規模に展開できるのか

従来のプライバシー保護技術だけでは、規制上の安全性をもはや保証できません。データ・セキュリティ・プログラムは、「大量の米国人の機微な個人データ（bulk U.S. sensitive personal data）」を、「匿名化、仮名化、非識別化、または暗号化されているかどうかを問わず、あらゆる形式のデータ」と定義しています（連邦規則集第28編第202.206節）。したがって、プライバシー担当チームがリスクを低減済みと扱うデータであっても、基準値の算定対象となります。

司法省のデータ・セキュリティ・プログラムは、事実上、データに関する輸出管理審査として機能します。これは、機微な個人データのまとまりが懸念国に所在する者へ開示され得る、ベンダー契約、雇用契約、投資契約を制限するものです。大量データの基準値は低く設定されており、ヒトゲノムデータについては米国人100人超、生体識別子については1,000人超、精密な位置情報については1,000台超の端末、個人の健康情報または金融情報については1万人超、対象となる個人識別子については10万人超です（連邦規則集第28編第202.205節）。一つのデータセットが複数のカテゴリーにまたがる場合は、適用される基準値のうち最も低いものが適用されます。

「データ仲介（data brokerage）」の定義は、通常の広告テクノロジーにまで及びます。これは理論上のリスクではありません。規則自体の例示では、10万台を超える米国の端末からIPアドレスおよび広告IDを懸念国の広告取引所へ提供する行為が、禁止されるデータ仲介に該当するとされています。また、対象者（covered person）のプラットフォームへ大量の機微データを移転する追跡ピクセルやソフトウェア開発キット（SDK）を、認識しながら導入する行為も対象となります（連邦規則集第28編第202.214節）。複数地域にまたがるクラウド・アーキテクチャを導入する組織、第三者SDKや分析ツールを統合する組織、マーケティング・パートナーまたは外国籍の個人と協働する組織、国境を越えた投資ストラクチャーを提供する組織は、そうした経路を構築する前に、国際的なデータ取引に精通した法律専門家から助言を得るべきです。

サイバーレジリエンス法の下では、デジタル要素を備えた製品の製造者は、サイバーセキュリティ・リスク評価を実施して文書化し、製品のライフサイクル全体を通じて最新の状態に維持しなければなりません。また、少なくとも5年間、または製品の想定使用期間がそれより短い場合にはその期間、セキュリティアップデートを提供する必要があります。2026年9月11日から適用される第14条の報告義務は厳格です。積極的に悪用されている脆弱性、または製品のセキュリティに影響を及ぼす重大なインシデントが発生した場合、調整担当CSIRTおよびENISAに対し、24時間以内に早期警告を、72時間以内により詳細な通知を提出する必要があります。さらに、脆弱性については14日以内に、インシデントについては1か月以内に、最終報告を提出しなければなりません。

日本は、包括的なデータローカライゼーション義務を導入してはいません。ただし、分野別のガイドライン、特に医療分野のガイドラインには、データの国内保存を想起させる規則が含まれています。個人情報の保護に関する法律（APPI）は、第28条に基づき国外の第三者への提供を規律しており、次のいずれかの場合に限りこれを認めています。

• 移転ごとに本人の同意を取得している場合
• ホワイトリストに掲載された法域、現在ではEUおよび英国へ移転する場合
• 受領者が、契約または拘束力のある社内規則によって、APPIと同等の基準を維持している場合

2020年および2022年の改正により、同意を取得する前に、受領者の所在国、その国のデータ保護制度、受領者が講じる保護措置を開示する義務が追加されました。また、同等性を根拠として移転する場合には、受領者を継続的に監督する義務も追加されました。

さらに、2026年4月7日に閣議決定され、同年7月17日に2026年法律第56号として公布された改正法は、課徴金制度および生体データに関する新たな規制を導入します。罰則に関する規定は2027年1月17日に施行され、その他の規定は2028年頃に政令によって施行される見込みです。この改正法は、統計分析のみを目的とする提供について同意取得の例外も設けており、個人情報保護委員会は、この例外がAI開発にも及ぶと解しています。この点は、以下で扱う学習パイプラインに関する議論と直接関係します。

日本のクラウドに対する監督・審査を説明する際には、所管官庁を正確に切り分けることが重要であり、報道ではしばしば不正確に扱われています。デジタル庁はガバメントクラウドを運営するとともに、政府向けに提供されるクラウドサービスのセキュリティ評価制度であるISMAPを共同で所管しています。ただし、ISMAPは公開型の認証制度であり、AWS、Google Cloud、Microsoft、Oracleはいずれも登録されています。したがって、ISMAPは外国系プロバイダーを制限する制度ではありません。金融分野の業務委託については、金融庁が同庁のガイドラインおよびFISC（金融情報システムセンター）の安全対策基準に基づいて監督しています。医療データについては、厚生労働省が主導する「三省二ガイドライン」（いわゆる三省ガイドライン）の対象となります。重要インフラについては、内閣サイバーセキュリティセンター（NISC）および経済安全保障推進法が所管します。個人データの越境移転については、引き続き個人情報保護委員会の所管です。

ベトナムは、2025年12月10日に成立し、2026年7月1日に施行されたサイバーセキュリティ法（法律第116/2025/QH15号）によって、サイバーセキュリティ制度を再編しました。同法は、2018年サイバーセキュリティ法および2015年ネットワーク情報セキュリティ法に取って代わるものです。同法第25条第3項は、ベトナム国内で個人データを収集する外国企業に対し、政府が定める期間、当該データを国内に保存するとともに、支店または駐在員事務所を設置することを義務付けています。ベトナムは、2026年8月19日、政令第331/2026/ND-CP号、第332/2026/ND-CP号および第333/2026/ND-CP号を公布しました。これらは、政令第53/2022/ND-CP号に基づく従来の制度に取って代わるものです。

事業計画上、特に重要なのは次の2点です。

1. ベトナム法人には、原則として直ちに国内保存義務が適用される
   外国投資企業を含むベトナム法人は、国内保存義務を自動的に負います。条件付きの適用要件が問題となるのは、国外に所在する外国プロバイダーに限られます。国外プロバイダーについては、公安省からの要請に6か月間で3回応じなかった場合に適用要件が成立し、その後、公安省による遵守命令が出され、12か月の対応期間が与えられます。したがって、現地子会社を通じて進出する企業（一般的な進出形態）は、当初からこの義務が適用されるものとして計画すべきです。
   
2. 保存期間は、ユーザーデータが24か月、システムログが12か月
   従来の制度から引き継がれた期間です。
   これとは別に、個人データ保護法（法律第91/2025/QH15号）は2026年1月1日に施行され、政令第356/2025/ND-CP号によって実施されています。同法は、公安省に影響評価書を提出させることを通じて個人データの越境移転を規律しており、違反した場合の制裁金は前年の売上高の最大5％に達する可能性があります。

ベトナムへ事業を拡大する企業は、次の事項を想定すべきです。

• 定められた状況における個人情報の国内保存義務
• 政府によるアクセス要請への対応義務
• 提出済みの移転影響評価書を含む、越境移転に対する厳格な規制

ベトナムのアプローチは、決して例外的なものではありません。情報技術・イノベーション財団（ITIF）が2021年7月に公表した最新の包括的な集計によれば、データローカライゼーション措置を導入している国は62か国、措置の数は144件に上りました。これは、2017年の35か国・67件から増加したものです。それ以降、更新された集計は公表されていません。現在の数値はさらに増えていると考えられますが、文書化されたものは存在しません。

分断化が進む環境におけるアーキテクチャ

米国、EU、アジアにまたがって事業を展開する企業は、相互に矛盾し、また重複する義務に直面しています。こうした義務は、ユーザー体験を分断し、成長を制約するおそれがあります。戦略上の問題は、異なる主権規制の下でもグローバルな拡張性を維持できるシステムを、どのように設計するかということです。解決策は、業種によって異なります。

• AI企業は、最も細かく、技術的にも複雑な審査に直面します。中核資産である学習データが、管轄区域による制約と切り離せないためです。各国は、個人識別子、金融情報、生体情報から得られるデータ、ならびに規制対象分野のデータについて、収集に対する規制を強化しています。AI開発企業は、地域ごとのデータ保存義務および越境移転制限を遵守できるパイプラインを設計すべきです。そのためには、次のような対応が必要となる場合があります。
  
  
  • 並行した、または地域ごとに分離された学習環境を構築する
  • 管轄区域ごとにデータセットを分離する
  • 高リスクの法域に所在するモデル学習パートナーやクラウド事業者が、他地域で保有される保護対象データにアクセスできないよう制限する
    
    機械学習エンジニアは法務担当者と連携し、各段階におけるデータの取り込み、ラベリング、拡張、モデルの輸出に関するプロトコルを、各国の国家安全保障を根拠とする規制に照らして確認すべきです。その際には、リスク評価を文書化し、監査証跡を維持し、各地域の要請に沿った人による監督を組み込む必要があります。

• AI：ローカライズされた学習環境とデータフロー管理
  AI企業は、最も細かく、技術的にも複雑な審査に直面します。中核資産である学習データが、管轄区域による制約と切り離せないためです。各国は、個人識別子、金融情報、生体情報から得られるデータ、ならびに規制対象分野のデータについて、収集に対する規制を強化しています。AI開発企業は、地域ごとのデータ保存義務および越境移転制限を遵守できるパイプラインを設計すべきです。そのためには、次のような対応が必要となる場合があります。
  
  • 並行した、または地域ごとに分離された学習環境を構築する
  • 管轄区域ごとにデータセットを分離する
  • 高リスクの法域に所在するモデル学習パートナーやクラウド事業者が、他地域で保有される保護対象データにアクセスできないよう制限する
    
    機械学習エンジニアは法務担当者と連携し、各段階におけるデータの取り込み、ラベリング、拡張、モデルの輸出に関するプロトコルを、各国の国家安全保障を根拠とする規制に照らして確認すべきです。その際には、リスク評価を文書化し、監査証跡を維持し、各地域の要請に沿った人による監督を組み込む必要があります。
    
• デジタルメディア・エンターテインメント：配信と地域別データ管理
  ビデオゲーム、ストリーミング、ソーシャルネットワーキング、XR（クロスリアリティ）を手がける企業は、コンテンツ配信、プラットフォーム提携、ユーザーデータ管理において、データ主権上の課題に直面しています。これらの事業はいずれもグローバルな配信ネットワークに依存しています。しかし、多くの法域では現在、データの国内ホスティングを義務付け、コンテンツモデレーションに関する規則を設け、または外国系ベンダーによるアクセスを制限しています。
  プラットフォーム契約では、次の事項を明確に定めるべきです。
  
  
  • ユーザーデータをどこに保存するのか
  • どの法人がデータにアクセスできるのか
  • コンテンツ推薦アルゴリズムが個人識別子をどのように利用するのか
    
    メディア企業は、データを分離し、地域ごとのコンテンツ審査を可能にし、地域別のコンプライアンス義務を明記する契約条件を交渉すべきです。特に、コンテンツ規制が厳しい市場では、この点が重要になります。対象となる個人識別子を含むデータセットを用いて推薦モデルを学習させる場合、そのモデルが懸念国のパートナーと共同開発されていれば、米国の規則上、制限を受ける可能性があります。
    
    データ所在地（データレジデンシー）の設計は、いまや配信戦略の一部です。グローバル展開が、意図せず国家安全保障を理由とする執行措置や、強制的な事業売却につながらないようにしなければなりません。

• Web3・デジタル資産：主権上の制約下における分散化
  暗号資産、ブロックチェーン、トークン化資産のプロジェクトは、国境を越えることを目的とした分散型アーキテクチャを基盤として構築されています。しかし、データ主権規制は、こうしたシステムに領域的な境界を再び持ち込みます。ウォレット識別子、行動テレメトリ、ガバナンス記録は、世界各地に分散したノード、バリデーター、クラウドサービスを通じて流通します。アーキテクチャの一部でも規制対象となる法域に接続していれば、そのプロジェクトにデータ主権上の義務が生じる可能性があります。この分野に精通した法律専門家は、システム・アーキテクチャの設計や、リスクへのエクスポージャーを軽減するガバナンス上の判断の文書化を支援できます。DAOは、誰が管理者キーを保有できるのか、また誰が運用データにアクセスできるのかを、ガバナンス文書に明文化すべきです。メタバース・プラットフォームは、アバター間の交流データ、空間テレメトリ、デジタル資産の所有記録が、国際的なクラウド・インフラを通じてどのように移転するのかを評価する必要があります。

技術面・企業構造・コンプライアンス上のセーフガード

デジタル技術企業は、国際的な規制基準が収斂するのを待つ余裕がありません。その収斂は、実現しない可能性もあります。しかし、基準が統一されていないからといって、データ主権をめぐる状況が変化する中で、企業が堅固な法的保護措置を整備できないわけではありません。

最も効果的なアプローチは、次の3本柱から成ります。

1. 技術的セーフガード
   ゼロ知識証明（ZKP）は、基礎となるデータを開示することなく、ユーザーが許可された地域に所在していることや、取引が制裁規制上の要件を満たしていることを証明できます。位置情報に関するゼロ知識証明プロトコルは、依然として発展途上の技術であり、確立されたコンプライアンス統制手段とはいえません。しかし、ゲームやメディアのプラットフォームにとっては、正確な位置座標を開示せずに、コンテンツ・ライセンスに関する地域要件への適合を証明する手段となり得ます。また、DeFiプロトコルでは、ユーザーのプライバシーを維持しながら、制裁規制の遵守をZKPによって立証できる可能性があります。
   
   ZKP以外にも、端末上での暗号化、データマスキング、データ最小化によって、規制上の基準値の対象となる機微データの量を減らすことができます。ただし、前述のとおり、これらの措置を講じても、米国の大量データ基準値の算定対象からデータが除外されるわけではありません。
   
2. 企業構造とガバナンス
   データ・セキュリティ・プログラムの下では、1か国以上の懸念国またはその他の対象者が、直接的または間接的に50％以上を保有する外国事業体は、それ自体が「対象者（covered person）」となります。その結果、米国人が当該事業体と締結できる取引が制限されます（連邦規則集第28編第202.211節）。この50％基準はOFACの基準をモデルとしており、少数持分を合算して判定します。ただし、所有関係だけがトリガーとなるわけではありません。以下に該当する場合も、所有比率にかかわらず対象者となります。
   
   • 懸念国の法律に基づいて設立または認可された事業体
   • 懸念国に主たる事業所を置く事業体
   • 対象法人に所属する外国人従業員および業務委託先
   • 主として懸念国に居住する個人
   
   米国外の子会社について独立したガバナンス体制を構築すれば、リスクへのエクスポージャーを低減できる可能性があります。しかし、それだけで問題が解消するわけではありません。ベンダー契約に際しては、ベンダーの身元確認や継続的なデータフローの可視化など、文書化されたデューデリジェンスを実施する必要があります。また、利用規約およびユーザー契約には、適用されるデータ移転制限や同意要件を盛り込むべきです
   
3. コンプライアンス・アーキテクチャ
   最も脆弱なアプローチは、コンプライアンスを既存のアーキテクチャに後から重ねる法務上の措置として扱うことです。データローカライゼーション、暗号化、監査機能を後付けする場合、設計段階から組み込む場合と比べて、コストは大幅に高くなります。現在開発段階にある企業は、法域ごとのデータ分離、ZKPの統合、ベンダー・デューデリジェンスを、後から追加する機能ではなく、アーキテクチャの中核的な設計判断として扱うべきです。

結論

規制が分断された世界で最も有利な立場に立つのは、データ主権を法務上の問題としてだけでなく、エンジニアリングおよびガバナンス上の問題としても捉える開発者や企業です。コンプライアンスは、アーキテクチャ、ベンダー選定、経営陣による監督といった上流工程へと移りつつあり、サービスのローンチよりはるか前の段階から、プラットフォームのあり方を規定するようになっています。

実務上、これは次の3つを意味します。

• 設計段階から、管轄区域ごとにデータフローを分離すること
• すべての機微データについて、その出所とアクセス経路を文書化すること
• プラットフォーム全体を再設計することなく、新たな市場でサービスを現地化できる体制を構築すること

この3つを実行できる企業は、次に生じる規制の分岐にも対応できます。一方、実行できない企業は、規制が分岐するたびに個別の対応コストを負担することになります。

ガンマ法律事務所は、サンフランシスコを拠点とし、複雑な最先端のビジネス分野において、厳選されたクライアントをサポートするWeb3企業です。ダイナミックなビジネス環境で成功し、イノベーションの限界を押し広げ、米国内外でビジネス目標を達成するために必要な法務サービスを提供いたします。貴社のビジネスニーズについて、今すぐご相談ください。

グローバル・データ規制がもたらす業務上の影響