【海外法規制違反111事例集】
 2023～2026年に世界21  の国・地域で公表された厳選111事例
本資料ではGDPR違反事例、CCPA違反事例、ROSCA違反事例、COPPA違反事例、PIPA違反事例など111件を収録しています。　

体裁：PDF（111ページ）

価格
① 個人ライセンス（税込990円）
ご購入者本人のみご利用いただけます。企業・団体名義でご購入の場合も、ご利用は購入手続きを行ったご担当者様ご本人に限ります。社内を含む第三者への配布・共有はできません。

② エンタープライズライセンス（税込9,900円）
同一企業・団体内であれば、人数制限なく共有・配布・閲覧いただけます。社外およびグループ会社への配布はできません。

↓　以下はサンプル6事例です。 

事例１.   IQVIA OPERATIONS FRANCE（IQVIAグループの子会社）
約8億円の制裁金―健康データ管理における安全管理措置違反等
（国：フランス）（公表日：2026年5月28日）【個人情報保護違反】

事案概要

フランスの個人情報保護当局CNILは2026年5月、医療データ分析サービスを提供するIQVIA OPERATIONS FRANCEに対し、500万ユーロの制裁金を科した。

同社は薬局や医師から収集した医療関連データを利用して大規模な医療データベースを運営していた。これらのデータから氏名等の直接識別情報は削除されていたが、CNILは「氏名を消しただけで完全な匿名データになるわけではない」との考え方を示した。データには年齢、地域、処方情報等が含まれており、他の情報と組み合わせることで個人が推測される可能性があるため、完全匿名化データではないということである。

CNILは調査の結果、同社が当局の認可条件として求められていた再識別リスク低減措置を十分に実施していなかったと判断した。具体的には、利用者による検索結果から個人が推測されるリスクを抑制するための保護措置や、データ利用状況を適切に監視するための管理措置等に不備があったとされた。

出所：Health data: fine of 5 million euros against IQVIA

https://www.cnil.fr/en/health-data-fine-5-million-euros-against-iqvia　

主な適用法規

・GDPR（EU一般データ保護規則）

・フランス情報処理・ファイルおよび自由法（Loi Informatique et Libertés）

日本企業への示唆

本事例は、「氏名を削除したから匿名データである」と安易に考えることの危険性を示している。GDPRでは、氏名やメールアドレス等を削除していても、年齢、居住地域、購買履歴、医療情報等を他の情報と組み合わせることで個人を推測できる場合、完全匿名化データではなく個人データとして扱われる可能性がある。

日本企業においても、顧客データ、従業員データ、医療・ヘルスケアデータ等を分析やAI開発、マーケティング目的で利用するケースが増えている。しかし、「氏名を削除した」「IDを置き換えた」といった仮名化措置のみで、個人情報保護上の義務から解放されるわけではない。特に、複数のデータベースを保有している企業や、外部データを購入・統合して分析を行う企業では、想定以上に再識別リスクが高まる可能性がある。

また、本事例はデータそのものだけでなく、データの利用方法や管理体制も監督当局の審査対象となることを示している。企業は、誰がどのような目的でデータにアクセスできるのか、検索結果から個人が推測される可能性はないか、不正利用を検知する仕組みが機能しているか等を継続的に検証する必要がある。

海外の個人情報保護法制では、「名前を消したから大丈夫」という感覚は通用しない場合がある。海外データを取り扱う企業や、AI・データ分析事業を展開する企業は、匿名化と仮名化の違いを正しく理解し、再識別リスクを前提とした管理体制を構築することが重要である。

事例2.  Adobe（ソフトウェア開発・クラウドサービス事業者）
ROSCA違反で1億5,000万ドル（約225億円）相当の和解金（国：米国）
（公表日2026年3月23日）【消費者保護法違反】

 事案概要

米国司法省は、アドビがサブスクリプション・サービスの解約を不当に妨げたとするオンラインショッパー信頼回復法（ROSCA）違反の疑いを解決するため、総額1億5,000万ドル相当の　和解に応じたと発表した。同社は、年間契約プランへの加入時に高額な早期解約料の存在を十分かつ明確に開示していなかったほか、解約手続において多数の画面遷移や確認操作を利用者に　求めるなど、複雑な解約プロセスを設計していたと指摘された。

米国当局は、こうした重要条件の開示不足や解約妨害的な画面設計（UI/UX）を「消費者を意図的に騙すような画面設計（ダークパターン）」として問題視した。今回の合意に基づき、同社は金銭的負担に加え、自動更新契約や解約料に関する重要条件の明確な表示、利用者が容易に解約できる仕組みの導入等を求める命令に従うこととなった。

出所：Adobe Agrees to $150 Million Settlement and Injunction to Resolve Alleged Violations of Restore Online Shoppers’ Confidence Act

https://www.justice.gov/opa/pr/adobe-agrees-150-million-settlement-and-injunction-resolve-alleged-violations-restore-online　

主な適用法規

オンラインショッパー信頼回復法（ROSCA: Restore Online Shoppers’ Confidence Act）

第4条第1号：課金情報取得前に、すべての重要な契約条件を明確かつ目立つ形で開示する義務

第4条第2号：課金前に消費者の明示的なインフォームド・コンセントを得る義務

第4条第3号：消費者が継続的な課金を停止するための「簡便な手続きを提供する義務」https://www.ftc.gov/system/files/documents/statutes/restore-online-shoppers-confidence-act/online-shoppers-enrolled.pdf

日本企業への示唆

本事例は、米国でサブスクリプション型ビジネスを展開する日本企業に対し、顧客の「解約の　しやすさ」を契約獲得と同様に重視すべきであることを強く示唆している。米国当局は、解約を意図的に困難にする「ダークパターン」を厳しく監視しており、ROSCAに基づき、契約条件の不透明な提示や複雑な解約手続きを重大な法違反とみなすのである。特筆すべきは、今回のように高額な金銭的制裁に加え、将来の業務改善を強制する恒久的差止命令が下される点である。

日本企業は、UXデザインが消費者を欺く構造になっていないか、法務とマーケティング部門が連携して点検を行う必要がある。解約プロセスを、申し込み時と同等かそれ以上に簡便なものに設計することは、単なる顧客サービスではなく、巨額の法的リスクを回避するための経営上の　防波堤となるのである。

事例3.  The Walt Disney Company（動画配信・エンターテインメント事業）
CCPA違反で275万ドル（約4億円）の制裁金 –「オプトアウトしてもデータ共有が継続する構造」を問題視（国：米国）（公表日2026年2月11日）【個人情報保護法違反】

事案概要

カリフォルニア州司法長官は2026年、The Walt Disney Companyに対し、カリフォルニア州消費者プライバシー法（CCPA）違反を理由として275万ドル（約4億円）の制裁金を科したと公表した。当局によれば、DisneyはDisney+、Hulu、ESPNなど複数サービスにおいて、利用者へ個人データ共有停止（オプトアウト）機能を提供していたものの、その設定が一部デバイスやサービスへ適切に反映されていなかったということである。

具体的には、利用者が1つのデバイスやサービス上で、広告目的等のデータ共有停止（オプト アウト）を選択しても、別デバイスや別サービスでは共有が継続されるケースが存在していた。また当局は、利用者へ複数回にわたり別々のオプトアウト操作を求める構造についても問題視した。本件では、オプトアウト機能自体は存在していたにもかかわらず、「実際には完全に停止できていなかった」点が重視されている。

出所：California Won’t Let It Go: Attorney General Bonta Announces $2.75 Million Settlement with Disney for Violating CCPA

https://oag.ca.gov/news/press-releases/california-wont-let-it-go-attorney-general-bonta-announces-275-million

主な適用法規

CCPA：カリフォルニア州消費者プライバシー法 / CPRA：カリフォルニア州プライバシー権法（消費者のオプトアウト権・データ共有停止権関連規定）

日本企業への示唆

本件の本質は、「形式的にオプトアウト機能を用意しているだけでは不十分」と判断された点にある。従来、多くの企業では、利用者が設定画面上で「オプトアウト」を選択できれば一定の法対応を行っているとの認識があった。しかし近年の海外執行では、単に機能が存在するだけではなく、本当に全サービスへ反映されるか、別デバイスでも有効か、利用者へ過度な操作負担を与えていないか等、実際にデータ共有停止が実現されているかまで問われる傾向が強まっている。

本件では、情報漏えいや不正アクセスではなく、「オプトアウト画面設計（UI/UX）や設定反映不備」自体が約4億円規模の支払い措置につながった。本件は動画配信事業者だけでなく、SaaS、EC、広告事業、アプリ、複数サービス展開企業など、日本企業全般に重要な示唆を与える。特にグループ企業横断、複数アプリ横断、クロスデバイス型のデータ共有を行っている企業では「一部だけ停止」「別サービスでは継続」といった構造が、今後海外規制当局から問題視される可能性がある。

特に近年の米国では、「利用者が簡単かつ完全に権利行使できるか」を重視する方向へ執行が強まっており、「設定画面が存在しているから問題ない」という従来型感覚だけでは対応できない時代になっている点に注意が必要である。

事例4.  Reddit（米国の大手ソーシャルメディア企業）

英国における13歳未満の子供の個人データの違法処理で約27億円の制裁金
（国：英国）（公表日2026年2月24日）【個人情報保護法違反、児童オンラインプライバシー保護違反】

事案概要

英国情報コミッショナー事務局（ICO）は2026年2月、SNSサービスを運営するReddit, Inc.に対し、子供のプライバシー保護に関する不備を理由として1,447万ポンドの制裁金を科した。ICOは、Redditが利用者の年齢を十分に確認しないままサービスを提供していた結果、13歳未満の子供が多数利用していた可能性があると判断した。また、子供の利用に伴うリスクを十分に評価しておらず、子供を不適切または有害なコンテンツから保護するための措置も不十分であったと指摘した。

さらに、子供の個人情報の取扱いに伴うリスクを評価するためのDPIA（データ保護影響評価）の実施が不十分であった点も問題視された。またICOは、Redditが2025年7月に導入した「アカウント開設時にユーザーが自分の年齢を自己申告する」方式では容易に偽れるため不十分と判断した（より厳格な年齢確認方法を用いる必要がある）。

出所：Monetary Penalty Notice: Reddit, Inc.

https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/02/reddit-issued-with-1447m-fine-for-children-s-privacy-failures/

https://ico.org.uk/action-weve-taken/enforcement/2026/02/reddit-inc

主な適用法規

■UK GDPR第6条・第8条：個人データ処理に必要な適法な根拠、および13歳未満の子供のデータ処理に際する親権者の同意取得を義務付ける条項。

■UK GDPR第5条第1項(a)：個人データは適法・公正かつ透明な方法で処理されなければならないとする透明性原則を定める条項。

■UK GDPR第35条：高リスクな処理を行う前にDPIA（データ保護影響評価）の実施を義務付ける条項。

https://www.legislation.gov.uk/eur/2016/679/contents

日本企業への示唆

本事例は、子供がアクセスする可能性のあるオンラインサービスにおいて、年齢確認の実効性が法的義務として厳格に問われることを示している。Redditは利用規約で13歳未満の利用を禁止していたにもかかわらず、技術的な年齢確認を怠ったとして制裁を受けた。「規約に書いてあれば足りる」「自己申告で十分」という考え方は英国では通用しない。

日本企業がゲーム・SNS・動画配信など子供がアクセスしうるサービスを英国・欧州向けに展開する場合、身分証明書の確認や第三者機関による年齢認証など技術的に実効性のある年齢確認手段の実装が求められる。また、子供のデータ処理に関するDPIA（データ保護影響評価）の事前実施も義務であり、サービス設計段階から組み込む必要がある。

日本国内でも子供向けサービスの規制強化の議論が進んでおり、英国・EUの執行動向は今後の国内規制の方向性を先取りしている可能性がある点も認識しておく必要がある。

事例5.  FREE（Free Mobile／Free）フランス大手通信事業者

GDPR違反で総額4,200万ユーロ（約67億円）の制裁金（国：フランス）

（公表日2026年1月14日）【個人情報保護法違反】

事案概要

フランス個人情報保護委員会（CNIL）は、大手通信事業のFree MobileおよびFreeに対し、大規模な個人データ漏えいと不十分なセキュリティ対策を理由に、前者へ2,700万ユーロ、後者へ1,500万ユーロの制裁金を科した。攻撃者が両社の情報システムに侵入し、2,400万件の契約データ（国際銀行勘定番号を含む）に不正アクセスしたことが発端である。調査の結果、特に従業員のリモートワークに使用されているVPN認証の脆弱性や、異常検知能力の欠如など、GDPR第32条が求める適切な技術的・組織的安全管理措置が欠如していたと認定された。

また、GDPR第34条に基づく「利用者（データ主体）への通知内容」が不十分で、影響や必要な対策を利用者が理解できなかった点も問題視された。さらにFree Mobileは、旧契約者データを過剰に長期間保存し、GDPR第5条1(e)の保存期間制限原則にも違反していた。

出所：Sanction à l'encontre de la société FREE

https://www.cnil.fr/fr/sanction-free-2026

主な適用法規

GDPR（一般データ保護規則）第32条・第34条

GDPR第32条は、管理者および処理者に対し、個人データを保護するための適切な技術的・組織的安全管理措置を講じる義務を定める規定である。暗号化、アクセス管理、脆弱性管理、可用性確保、定期的な評価などが求められる。

第34条は、個人データ侵害が個人の権利・自由に高いリスクをもたらす場合、遅滞なくデータ主体へ通知する義務を定める。通知には侵害の性質、影響、推奨される対策などを明確に含める必要がある。両条文は、侵害防止と発生時の透明性確保を目的とする中核規定である。

https://eur-lex.europa.eu/eli/reg/2016/679/oj　

日本企業への示唆

本件は、GDPR第32条が求める安全管理措置の水準が極めて高く、基本的な脆弱性管理の不備だけでも巨額制裁につながることを示すものである。日本企業がEU居住者の個人データを扱う場合、VPN認証、アクセス管理、ログ監視、異常検知など、侵害を前提とした多層的防御を実装し、定期的に評価・改善する体制が不可欠である。

また、侵害発生時にはGDPR第34条に基づき、影響範囲、リスク、推奨対策を明確に示した通知を迅速に行う必要がある。通知内容が曖昧であれば、それ自体が違反と評価される。さらに、旧契約者データの過剰保存も問題視された点から、保存期間の設定と削除プロセスの実効性確保が重要である。日本企業は、形式的な規程整備ではなく、実務運用の実効性を継続的に検証する姿勢が求められる。

事例6.  イタリアの保育園

園児写真・監視カメラ運用で約170万円の制裁　―　「保護者同意があっても正当化されない」と判断（国：イタリア）（公表日2025年11月18日）【個人情報保護法違反】

事案概要

欧州データ保護会議（EDPB）は2025年、イタリアのデータ保護当局（Garante）が、保育園に対し、未成年者の個人データ処理に関する複数のGDPR違反を理由として、1万ユーロ（約170万円）の制裁金を科した事案を公表した。本件で問題となったのは、保育園側が、園児らの写真や映像をウェブサイトやGoogle Mapsプロフィール等へ掲載していた点である。当局によれば、掲載されていたのは、睡眠中の様子、食事中の様子、おむつ交換に関連する場面など、極めて私的・繊細な状況を含む内容だった。また、園内には監視カメラも設置されていたが、必要な手続や法的整理が不十分だった点も問題視された。

保育園側は、保護者から同意を取得していたとしていたが、イタリア当局は、「親が同意していても、子供の写真や映像をインターネット上に公開することが子供の利益に反する場合がある」と判断した。さらに当局は、保護者が実質的に写真利用への同意を拒否しにくい構造になっていた点も問題視した。本件では、制裁金、データ処理禁止、画像削除命令などが命じられている。

出所：Minors: Italian SA sanctions nursery school. Cameras installed without safeguards and photos of children published online

https://www.edpb.europa.eu/news/national-news/2025/minors-italian-sa-sanctions-nursery-school-cameras-installed-without_en

主な適用法規

l   GDPR第5条第1項(a)（適法性・公正性・透明性原則）

l   GDPR第6条（個人データ処理の適法根拠）

l   GDPR第35条（データ保護影響評価／DPIA）

日本企業への示唆

本件は、保育事業や教育事業を営む企業に限らず、子供の写真や動画を取り扱う可能性のある　日本企業全般にとって重要な示唆を含んでいる。近年、企業のウェブサイト、SNS、広告、イベント紹介、店舗PR、地域活動紹介などで、子供の写真や動画を利用するケースは少なくない。

GDPRでは、単に「保護者の同意を取得している」というだけでは十分とはみなされない可能性がある。特に、子供の顔写真、睡眠中・食事中など私的性格の強い場面、日常生活の様子、SNS等による拡散可能性などについては、慎重な検討が求められる。

また欧州では近年、「親が同意したか」だけではなく、子供本人の尊厳、将来的な不利益の可能性、子供の最善利益を重視する方向へ規制・執行が強まっている。そのため日本企業も、「保護者同意があるから問題ない」という従来型の感覚だけではなく、子供データの公開自体が本当に必要なのか、公開範囲や掲載内容は適切か、といった観点から慎重に検討する必要がある。

　　　　　　　↓　上記5事例は、以下でダウンロードいただけます。 

本事例集の制作背景と目的

近年、海外法規制の執行は本格的な段階に入っており、日本企業も「気づかないうちに違反し、制裁対象となる」リスクが急速に高まっています。

問題となるのは、従来のような明確な不正行為だけではありません。

例えば、

・UI/UX設計
・委託先管理
・外部から購入した営業用リストの利用
・広告・マーケティング
・従業員管理
・子供の画像利用

など、企業の日常業務そのものが、海外では法規制上の問題として問われる時代になっています。

以下は、その一例です。

■Renault Commercial Roumanie（ルーマニア）

委託先システムへのサイバー攻撃による個人情報漏えいについて、「委託先に対する管理・監督の不備」そのものがGDPR違反と判断され、制裁が科されました。

→ 委託先が起こした問題であっても、委託元の日本企業が責任を問われる可能性があります。

■Solocal Marketing Services（フランス）

外部事業者から取得した見込み客リストを用いて営業活動を行っていましたが、外部事業者が個人情報を収集する際に本人から明確な同意を得ていたかどうか確認できなかったことを理由にGDPR違反と判断されました。

→ 外部から購入した営業リストであっても、元の取得経緯や同意の有効性を購入者側が証明する責任を負うため、海外リストを活用する日本企業も含め、購入時には同意の適法性を確認することが不可欠です。

■Amazon France Logistique（フランス）

Amazonグループの大規模倉庫を管理する同社は、「従業員の稼働状況を過剰に監視した」としてGDPR違反となり、3200万ユーロの制裁を受けました。GDPR等の個人情報保護法は、消費者だけでなく、自社従業員のデータも対象となります。

→ 欧州で従業員を雇用する日本企業も、制裁対象となる可能性があります。

■Adobe（米国）

サブスクリプションサービスの解約を不当に妨げたとして、ROSCA違反の疑いで200億円以上の和解に応じました。問題視されたのは、重要な契約条件の開示不足や、複雑な解約プロセスを伴う、いわゆる「ダークパターン」と呼ばれるUI/UX設計です。

→ 日本企業でも、複雑な解約導線や分かりにくい契約画面を採用している場合、制裁対象となる可能性があります。

■イタリアの保育園

園児の写真や映像をウェブサイト等に掲載していたことについてGDPR違反が認定されました。当局は、「保護者の同意があったとしても、子供の利益を害する公開は正当化されない」と判断しています。

→ イベント、広告、SNS運用等で子供の画像を利用する日本企業も、十分な注意が必要です。

上記の事例から分かること

今後、海外展開を行う企業・団体では、法務部門だけでなく、様々な部門が海外法規制に関する一定の知識やイメージを持つ必要があります。

例えば、
・顧客データを管理する部門
・委託先管理を行う部門
・営業・マーケティング部門
・広告運用部門
・UI/UX設計部門
・人事・労務管理部門
・情報システム部門
などです。

また、対象となるのはB2C企業だけではありません。
B2B企業であっても、
・従業員管理
・営業活動
・海外子会社運営
・委託先管理
・データ管理
などを通じて、海外法規制の対象となる可能性があります。


本事例集の特徴

本事例集は、21の国・地域において公表・決定された111の海外法規制違反事例を収録しています。

各事例は、CNIL、FTC、ICO等の各国政府機関・規制当局による公表文書や訴状を確認・精査したうえで、1事例あたり1ページでコンパクトに整理しています。

また、各事例は約5分程度で概要を把握できる構成としており、

・何が違反と判断されたのか
・主にどの法規制が適用されたのか
・日本企業は何に注意すべきか

を簡潔に理解できる内容となっています。


本事例集の目的

本事例集の目的は、各国法規制を細かく逐条解説することではありません。

むしろ、

「実際に何が問題視され、どのような制裁につながったのか」

を違反事例ベースで把握し、

海外法規制違反の“実態”や“執行イメージ”を、短期間でつかんでいただくことにあります。

新入社員から経営層まで、111事例を通じて、海外法規制違反の全体像を効率的に理解できる構成としています。

PDF111頁    税抜9,000円（税込9,900円）（1事例あたり約90円）

お問合せ: 石塚　勉   

石塚リサーチ（創業1989年10月　海外調査実績500件以上）

ishizuka@ishizuka-research.com