データ漏洩により、個人データが大量に流出しています。2025年の第2四半期だけでも、約9,400万件のデータレコードが流出しており、世界中で数百万人の個人に影響が及んでいます。

こうしたリスクが高まる中、各国政府は組織に責任を問うため、より厳格なデータ保護法を制定しています。フランスでは、Commission nationale de l’informatique et des libertes（CNIL）がこの役割を担っています。

本記事では、CNILとは何か、その使命、および組織がコンプライアンスを維持するために従うべきベストプラクティスについて解説します。

主なポイント

• CNILはフランスのデータ保護監督機関ですが、その規則は、フランス国内の個人から個人データを収集または処理するあらゆる組織に影響を及ぼします。
• 罰金や執行措置にとどまらず、CNILは実際には支援を行いたいと考えています。同機関は、より強固なプライバシープログラムを構築するためのガイダンス、サイバーセキュリティ関連のリソース、実用的なツールを提供しています。
• コンプライアンスは、適切なデータガバナンスから始まります。どのようなデータを、どのような目的で収集しているかを明確に記録し、新しいプロジェクトを開始する前にリスクを評価し、データを永久に蓄積しないよう、自動的な保存期間ポリシーを設定してください。
• ウェブ解析ツールを使用している場合は、データ収集の慣行を厳しく見直してください。データを米国に転送していますか？サードパーティ Cookie を使用していますか？サイト横断的なトラッキングを行っていますか？もしそうであれば、Matomo のようなプライバシー重視の代替手段を検討してください。

CNILとは？

CNILは、フランスの独立したデータ保護監督機関です。CNILはフランスに拠点を置いていますが、その権限はフランス国内に拠点を置く組織に限定されません。CNILの要件は、フランス国内の個人に対して商品やサービスを提供する組織、あるいはその個人データを処理するあらゆる組織にも適用される可能性があります。

CNILの沿革

1970年、フランス政府は、政府の記録と各市民に割り当てられた固有の識別番号を結びつける「SAFARI」というプロジェクトを提案しました。技術を用いて個人情報を収集することに対し、社会全体で広範な懸念が寄せられました。

これを受けて、独立した委員会がこの問題を調査し、個人データと個人の権利の保護を支援するため、1978年にCNILが設立されました。

CNILの使命

フランスのCNILには、4つの主要な使命があります。

これには、データ保護に関する権利についての啓発、リスクの予測、企業への支援、および規制の執行が含まれます。

個人の権利を保護し、意識を高める

多くの人々は、自分の個人情報がオンライン上でどのように保存・共有されているのかを知りません。CNILは、データ保護について理解しやすくするための資料を提供しています。また、個人がプライバシーに関する懸念を報告できる手段を提供しており、組織が義務を遵守しない場合には介入することもできます。

コンプライアンスの支援とガイダンスの提供

企業にとって、プライバシーに関する規則の解釈は時に困難な場合があります。CNILは、データ収集、同意、セキュリティといったテーマについて、実践的なガイダンスやツールキットを提供することで、組織がこの課題を簡素化できるよう支援しています。これにより、組織はプライバシーへの配慮を業務に組み込みつつ、革新を推進し、ビジネスニーズを満たす製品やサービスを開発することが可能になります。

リスクを先読みし、イノベーションを推進

テクノロジーは急速に変化しており、明確な規則が定められる前にプライバシーに関する課題が浮上することがよくあります。CNILは、個人データの収集に関する新しい技術や動向を監視・調査しています。

また、組織に対し、プライバシーを設計プロセスの後付けではなく、優先事項として扱うよう奨励しています。

さらに、CNILは研究者、スタートアップ、その他のステークホルダーと定期的に連携しています。これは、データイノベーション、プライバシー、そして社会の信頼をめぐる課題を検討し、議論するためです。例えば、CNILは、10代の若者がソーシャルメディアプラットフォーム上で共有する個人情報をよりよく理解し、保護できるよう支援します。

調査および規制の執行

CNILは、データ保護法を遵守していない組織を調査する権限を有しています。調査は、苦情が寄せられた場合や、リスクが高いと特定された分野を対象として行われます。違反が判明した場合、CNILは警告を発し、是正措置を命じ、適切な制限を課し、必要に応じて金銭的制裁を科すことができます。

CNILとフランスのデータ保護法

フランスのデータ保護の枠組みは、国内法と欧州法の組み合わせによって構成されています。CNILはフランス国内での法令遵守を監督していますが、フランスのデータ保護法およびGDPRとも密接に関連しています。

フランスのデータ保護法

CNILは、1978年1月6日に制定されたフランスのデータ保護法に基づき設立されました。この法律は、個人情報の悪用から個人を保護するために導入され、現在もフランスのプライバシー保護の枠組みにおいて重要な役割を果たしています。

同法とGDPRの連携

GDPRは2018年に施行されました。これにより、欧州連合（EU）全域で共通のデータ保護規則が確立されました。フランスでは、GDPRはフランスのデータ保護法と併せて適用され、CNILがこれらの要件の監督および執行を行っています。

フランスの枠組みは、以下のものを含む他の欧州のプライバシー関連法規とも整合しています。

• 電子通信およびクッキーを対象とするeプライバシー規則。
• 所管当局による特定のデータ処理活動を規定する法執行指令。

個人データとは何か？

これらの原則がどのように機能するかをより深く理解するためには、それらが保護することを目的としているもの、すなわち「個人データ」とは何かを理解する必要があります。

個人データとは、直接的または間接的に個人を特定するのに役立つあらゆる情報を指します。

例としては、以下のものが挙げられます：

• 氏名
• メールアドレス
• 電話番号
• 位置情報
• オンライン識別子
• 個人に紐付けられた顧客番号や口座番号

GDPRとは？

GDPRは、欧州連合（EU）のデータ保護法です。これは、個人が自身の個人情報をより適切に管理できるようにするとともに、EU加盟国全体で一貫したコンプライアンスの枠組みを構築するために制定されました。

GDPRは欧州のプライバシー法における重要な要素であるため、これを理解することは、CNILの責務についてより深く理解する上で役立ちます。

GDPRで認められている権利

GDPRは、個人に対し、自身の個人データに関するいくつかの重要な権利を認めています。これには、以下の権利が含まれます。

• 組織が保有する自身に関する情報へのアクセス
• 不正確または不完全なデータの訂正
• 特定の種類のデータ処理に対する異議申し立て
• 特定の状況下での検索エンジン結果の削除請求
• ポータブル形式でのデータ受け取り
• 該当する場合の個人データの削除請求

組織は、個人データを扱う際、上記の権利に加え、いくつかの重要な原則に従うことが求められています：

利用目的の限定

個人データは、具体的かつ正当な目的のために収集され、その目的と相容れない方法で利用されてはならない。

データの最小化

特定の目的を達成するために必要な情報のみを収集・処理すべきである。

保存期間の制限

個人データは必要以上に長く保存してはならず、保存期間は明確に定められなければならない。

セキュリティと機密性

組織は、適切なセキュリティ対策を通じて個人データを保護し、アクセスを権限のある者に限定しなければならない。

CNILはどのように機能しているのでしょうか？

さまざまな公的機関や専門分野を代表する18名の委員がCNILを率いています。委員たちは毎週会合を開き、フランスにおける個人データの利用に影響を及ぼす可能性のある法律について議論・検討を行っています。また、組織がプライバシーに関する責任を理解できるよう、指針文書や勧告、その他の拘束力のない規則の検証も行っています。

この機関とは別に、CNILには制裁措置を担当する別の限定委員会が設置されています。重大な違反が確認された場合、この委員会が警告、是正措置、または罰金のいずれを科すべきかを決定します。

CNILの執行手続き

ここでは、CNILの執行手続きがどのように行われるかを段階ごとに説明します。

ステップ1：違反の検知

まず、CNILはプライバシー上の問題を特定する必要があります。その情報源としては、以下のようなものが挙げられます。

• 個人から寄せられた苦情
• CNILが実施した調査
• メディアやオンラインで公表された報道
• CNILが執行の優先事項として特定した分野
• 他の欧州のデータ保護機関からの照会

このアプローチにより、CNILは個別の苦情だけでなく、より広範なコンプライアンス上の問題も特定することができます。

ステップ2：問題の調査

懸念事項の確認後、CNILの次のステップは、事実関係を精査し、組織がGDPRおよびその他の関連法令に違反しているかどうかを検証することです。そのために、CNILは以下の措置を講じることができます：

• 実地調査の実施
• ウェブサイト、アプリ、またはオンラインサービスの遠隔確認
• 書類および書面による説明の提出要請
• 関係者への聞き取り調査

その目的は、何が起きたかを把握し、是正措置が必要かどうかを評価することです。

ステップ3：今後の対応の決定

調査結果を検討した後、CNILの委員長は以下の措置を講じることができます。

• 問題が限定的であるか、すでに解決されている場合は、案件を終了する
• 当該組織に対し、問題の是正を求める正式な通知を発出する
• 制裁措置について、限定委員会に案件を付託する

組織がCNILから是正措置を命じられた場合、その措置を遵守するための期限も通知されます。

ステップ4：制裁手続き

より深刻な事案については、CNILは当該事案を限定委員会に付託する場合があります。

審理前

この段階では：

• CNILは、当該事案を審査するための報告者を任命する
• 当該組織は、審理日の通知を受ける
• 報告者は、是正措置を提案する報告書を作成する

書面による意見提出

聴聞会前：

• 当該組織は書面による意見陳述を提出できる
• 報告者はそれに対して反論できる
• 必要に応じて、双方が追加の意見を提出できる

この段階では、決定が下される前に、当該組織が自らの立場を説明する機会が与えられます。

非公開の委員会公聴会

委員会は、証拠を検討し、双方の主張を聞いた上で結論を出します。

状況によっては、次のようなことがあり得ます：

• 警告を発する
• 具体的な是正措置を命じる
• 定期的な延滞金を課す
• 罰金を科す

ステップ5：通知と公表

決定内容にかかわらず、CNILは当該組織にその決定を通知します。

事案によっては、CNILは以下の措置を講じることもあります。

• 決定内容を公表する
• 声明を公表する
• 是正措置や制裁措置の詳細を公表する

決定内容の公表は、透明性の向上に寄与するとともに、組織がデータ保護の義務を真剣に受け止めるよう促す役割を果たします。

CNILとサイバーセキュリティ

サイバーセキュリティは、以下の点においてCNILの業務の重要な部分を占めています。

一般市民への啓発

CNILは、次のような一般的な問題について、日常的にインターネットを利用するユーザーに向けた実践的なアドバイスを定期的に公開しています。

• フィッシングメールやSMS
• アカウントの乗っ取り
• ソーシャルメディアアカウントのハッキングへの対処法
• パスワードのセキュリティ
• オンライン詐欺や不正行為

その目的は、人々がリスクを早期に察知し、問題が発生した際にどう対処すべきかを理解できるようにすることです。

専門家や組織へのガイダンス

CNILは、組織向けのセキュリティ対策に関する実践的なガイダンスも提供しており、その内容は以下の通りです。

• パスワード管理に関する推奨事項
• データセキュリティのチェックリスト
• ウェブサイトおよびシステムのセキュリティに関するガイダンス
• 中小企業、団体、公的機関向けに特別に作成されたリソース

これらを活用することで、組織は複雑な規制を独自に解釈することなく、セキュリティを強化することができます。

定期的な制裁措置

調査の際、CNILが真っ先に確認する事項の一つがセキュリティ対策です。

よくある問題としては、以下のようなものが挙げられます：

• 脆弱なパスワードポリシー
• 設計が不十分なウェブサイトを通じて個人データが漏洩している
• 暗号化されずに送信された情報
• 権限のないユーザーがアクセス可能な状態にあるデバイスやシステム
• 適切なセキュリティテストを行わずにリリースされた新しいアプリケーション

これらの問題の多くは予防可能であり、だからこそ基本的なセキュリティ対策が依然として極めて重要であるのです。

より広範なサイバーエコシステムにおける連携

CNILは、サイバーセキュリティ機関、業界団体、その他の組織と連携し、知識を共有するとともに、新たな脅威に対する認識を高めています。

これにより、組織は新たなリスクに関する最新情報を入手できるだけでなく、より広範なデジタルエコシステム全体で、より強固なセキュリティ対策が促進されます。

ウェブ解析とCNILのコンプライアンス：Matomoの活用方法

ウェブ解析はウェブサイト上の訪問者の行動を測定しますが、従来のツールでは、個人データをEU域外に転送したり、顧客間のデータセットを統合したり、広告目的でデータを再利用したりすることがよくあります。

Matomoは、データをEU内に保持し、データの統合や再利用を一切行わず、フランスのガイドラインに基づきCNILの同意免除要件を満たすように設定できる点で、従来のツールとは異なります。

その方法は以下の通りです：

CNIL コンプライアンスモード

CNIL モードを有効にすると、現在の設定を CNIL の同意免除条件に照らして評価し、サポートされている設定をワンクリックで適用できます。

• Cookie が無効化されます
• IP アドレスの匿名化が有効になります
• クロスサイト追跡がブロックされます
• PII フィルタリングが実行されます
• データの保持期間が 180 日に設定されます

また、まだ対応が必要な項目も明確に確認できます。「管理」＞「プライバシー」＞「コンプライアンス」に移動し、サイトを選択して、「可能な場合はコンプライアンスを適用」をクリックするだけです。

プライバシーポリシーにオプトアウトリンクを追加するだけで済みます。

データはEU内に留まります

Matomoはデータを米国へ転送することはありません。クラウドデータはフランスのEUサーバー上に保存されるか、またはお客様自身のインフラストラクチャでホストされます。国境を越えたデータ転送によるGDPR違反は発生しません。

完全なデータ所有権

Matomoはオープンソースであり、完全に監査可能です。データは顧客ごとに分離され、プールされることはありません。Matomoは、自社の商業目的でお客様のデータを再利用することは決してありません。

CNIL準拠のためのベストプラクティス

CNILは、組織が取り扱うデータに対して真の責任を負うことを求めています。

以下に、採用すべきベストプラクティスをいくつか紹介します。

データ保護責任者（DPO）の任命

データ保護を管理し、データ処理に関する質問が生じた際の窓口となる担当者を任命してください。これは社内の担当者でも、外部の専門家でも構いません。DPOはプロジェクトの開始前に内容を精査し、プライバシー要件を満たしていることを確認します。

処理活動記録（ROPA）の維持

個人データをどのように、なぜ収集するかを正確に文書化します。税務記録に関する法的義務など、データの種類ごとの法的根拠を追跡します。特定のデータ種別について有効な法的根拠を特定できない場合は、そのデータを保存しないでください。ROPAは、保有するデータとその理由を組織が理解していることをCNILに示します。この記録は、プライバシー保護の青写真となります。

データ保護影響評価（DPIA）の実施

プロジェクトによっては、他のプロジェクトよりもプライバシーリスクが高い場合があります。これは特に、組織が新しい技術を採用する場合や、大規模に個人を追跡する場合に当てはまります。DPIAとは、プロジェクトの運用開始前にプライバシーリスクを特定するのに役立つ、体系的な審査のことです。

例えば、企業が候補者のプロフィールを解析するAI搭載の採用ツールを導入する計画がある場合、DPIAを実施することで、実際のユーザーに影響が及ぶ前に、過剰なデータ収集や不十分なセキュリティ対策といった問題を発見することができます。

データの匿名化または仮名化

組織は、解析やイノベーションのためにデータを安全に活用するために、2つのアプローチを採用できます。

• 匿名化とは、個人を特定できる要素を恒久的に削除し、個人が特定できなくすることです。
• 仮名化とは、識別子をコードや参照番号に置き換えつつ、必要に応じて権限のあるユーザーがデータを再関連付けできるようにすることです。

AIデータのバイアスと品質を監査する

AIシステムの学習に使用されるデータに不正確さがあると、不公平な結果が生じます。定期的な見直しを行うことで、顧客や従業員に影響が及ぶ前に、組織は不備、不整合、隠れたバイアスを特定することができます。

データ漏洩対応計画を策定する

堅固なセキュリティプロトコルを整備している組織であっても、データ漏洩が発生する可能性があります。他社との違いは、明確な対応計画があるかどうかにあります。対応計画では、以下を明確に定義する必要があります。

• インシデントの検知および報告方法
• 問題の調査担当者
• 影響を受けたシステムの封じ込め方法
• 影響を受けた個人および規制当局への通知時期

データの保存と削除の自動化

不要になったデータを削除するための自動スケジュールを設定しましょう。明確な目的がないデータを保存してはいけません。CNILの同意免除要件では保存期間の制限が定められており、自動削除により、必要以上にデータを保持することがなくなります。

プライバシーを戦略の一環に組み込みましょう

CNILは、企業がより適切なデータ管理慣行と長期的な説明責任を果たせるよう導く上で、中心的な役割を果たしています。

CNILのガイドラインに準拠したいと考えている組織向けに、Matomoはプライバシーを重視した解析ソリューションを提供しています。このソリューションは、プライバシーを侵害するような追跡手法に頼ることなく、有用な洞察力を提供します。これにより、チームはデータ戦略を過度に複雑にすることなく、コンプライアンスを維持することができます。

Matomoの21日間無料トライアルを今すぐ始めましょう。クレジットカードは不要です。

よくある質問

CNILの規制対象となるのは誰ですか？

フランス国内の個人の個人データを処理する組織は、企業の所在地にかかわらず、すべてCNILの規制対象となります。これには、企業、公的機関、非営利団体、およびフランスのユーザーを対象とするウェブサイトが含まれます。

CNILの規則に違反した場合の罰則はどのようなものですか？

CNIL has the power to impose significant fines. In 2025, CNIL issued ?486.8 million in cumulative fines across 83 sanctions.
CNILには、多額の罰金を科す権限があります。2025年、CNILは83件の制裁措置に対し、累計4億8,680万ユーロの罰金を科しました。

最近の最も注目すべき事例として、2024年に2,400万人の加入者に影響を及ぼしたデータ漏洩事件に対し、FREE MOBILEには2,700万ユーロ、FREEには1,500万ユーロの罰金が科されました。具体的な罰金額は、違反の重大性、継続期間、および組織が故意または過失によって行動したかどうかに応じて決定されます。

データ管理者は、データ漏洩をCNILに通知する必要がありますか？

はい。データ管理者は、データ漏洩が個人の権利や自由にリスクをもたらす場合、72時間以内にCNILに通知しなければなりません。また、すべてのデータ漏洩を社内で記録し、リスクが高い場合は影響を受けた個人に通知する必要があります。

DPO（データ保護責任者）はいつ任命すべきですか？

DPOの任命が必要となるのは、組織が大量の機微なデータ（医療記録など）を処理している場合、人々に対する定期的な大規模な監視を行っている場合、または公的機関である場合に限られます。一般的な企業のほとんどには、法的にDPOの任命は義務付けられていません。ただし、（社内外を問わず）DPOを任命することは強く推奨されます。

CNILは、GDPR違反に対して組織に罰金を科すことができますか？

はい。組織がGDPRまたはフランスのデータ保護規則を遵守していない場合、CNILは調査を行い、措置を講じることができます。問題の重大性に応じて、警告、正式な通知、不適合な慣行の是正命令、または金銭的制裁などが科される可能性があります。