トランプ対スローター：米国憲法裁判所の判決 ― 米国の判決が欧州のデータプライバシーの砂上の楼閣を崩壊させる

Xpert プレリリース

オンライン連絡先 (Konrad Wolfenstein)

Available in 27 languages 📢

GoogleでXpert.Digitalを優先するⓘ

公開日：2026年7月1日 / 更新日：2026年7月1日 – 著者： Konrad Wolfenstein

トランプ対スローター：米国憲法裁判所の判決 ― 米国の判決が欧州のデータプライバシーの砂上の楼閣を崩壊させる方法 ― 画像：Xpert.Digital

米国最高裁がFTCの独立性を覆す：EU・米国間のデータ協定が終焉を迎えた理由

データ転送のリスクは数十億ドルに上る：米国とのデータ交換が違法になる可能性がある理由

欧州企業にとってデータ大地震：最高裁がEU・米国間のデータプライバシー枠組みを破棄

2026年6月29日、米国最高裁判所はトランプ対スローター事件で判決を下した。この判決は、表向きはワシントンにおける大統領と独立機関との権力バランスに関する国内政治問題を解決することを目的としていた。しかし、ヨーロッパへの影響は、大西洋を挟んだデータ保護体制への計画された攻撃よりもはるかに劇的なものだった。保守派とリベラル派の6対3の判決で、最高裁は連邦取引委員会（FTC）の独立性を違憲と宣言し、それによってEU・米国間のデータプライバシー枠組み（DPF）全体の基盤を粉砕した。事情を知る者にとっては驚きではなかったが、長年、まるで砂上の楼閣がコンクリートでできているかのように振る舞ってきた者にとっては衝撃だった。.

ワシントンがワシントンのままで、ブリュッセルがあまりにも長い間目を背けていた時

偽りの平和の構造：DPFとは何だったのか、そして決してなり得なかったものとは何だったのか

この判決の意味を理解するには、この大西洋横断データ協定の歴史を知る必要がある。そしてそれは、産業界の圧力の下で常に場当たり的な対応を繰り返してきた歴史なのだ。.

2000年以来、欧州委員会は、GDPRによれば第三国へのデータの自由な流通の前提条件である「十分なレベルのデータ保護」を米国が有していると認定しようと繰り返し試みてきた。最初の試みであるいわゆるセーフハーバー協定は、2015年に欧州司法裁判所（ECJ）で失敗に終わった。マックス・シュレムス氏は、米国の情報機関がEU市民に有効な法的救済手段がないまま、組織的に欧州のデータにアクセスしていたことを立証した。後継協定であるプライバシーシールドは、2020年のシュレムスII判決で無効とされた。ECJは、FISA第702条と大統領令12333号が米国の情報機関に非米国市民のデータへの事実上無制限のアクセスを許可している一方で、欧州市民には有効な法的保護が全くないことを再び認定した。.

これらの敗北から当然導き出すべき結論、すなわち米国の監視法の根本的な変更を実施するという結論を導き出す代わりに、欧州委員会は業界からの大規模なロビー活動の圧力の下、3度目の試みを選択した。2022年10月、バイデン政権は、大統領令14086号によって欧州のデータを保護するための新たなメカニズムを制定した。これには、米国司法省内の準司法機関であるいわゆるデータ保護審査裁判所（DPRC）が含まれており、欧州市民に米国の諜報機関へのアクセスに対する上訴権を与えることを目的としていた。これに基づき、欧州委員会は2023年7月にEU・米国データプライバシー枠組みの十分性決定を採択した。.

データ保護団体NOYBは当初から、この新たな協定は、既に失敗に終わった過去2回の協定の焼き直しに過ぎないと指摘していた。しかし、こうした主張は無視された。企業は安堵のため息をついたが、数万ものヨーロッパ企業は、現大統領の前任者が発令したたった一つの大統領令に基づく法的基盤の上にデータ処理業務を行っていた。ドナルド・トランプは、その大統領令をいつでも撤回できる立場にあった。.

FTCは砂の城のようなもの：DPFにおけるシステム設計上の欠陥

DPFの法的核心は常に、米国が「実質的に同等」のデータ保護水準を提供しているという主張であり、この同等性には独立した監督機関が必要だった。EU条約法はこの点に関して極めて明確である。TFEU第16条第2項およびEU基本権憲章第8条第3項は、データ保護の監督は独立機関によって行われるべきであると規定している。米国では、この役割はFTCが担っていた。.

NOYBが最高裁判所の判決を受けて恐ろしいほど正確に示したのは、次の点である。欧州委員会は2023年の十分性認定において、連邦取引委員会（FTC）の独立性を協定の礎石として259回も引用していた。259回もだ。協定全体の構造は、米国最高裁判所が今や違憲と判断した機関の独立性を中心に構築されていたのだ。.

トランプ対スローター事件の判決は、いわゆる「単一行政権理論」に基づいていた。この理論によれば、米国大統領は行政府のすべての部門を完全に統制しなければならない。ジョン・ロバーツ最高裁判所長官は判決理由の中で、「大統領は部下を自由に解任できる。連邦取引委員会（FTC）は疑いなく行政権を行使しており、したがって国家元首の統制下に置かれなければならない」と明言した。この論理に基づき、裁判所は、独立規制機関の解任に関する大統領の権限にまさにこのような制限を設けていた1935年のハンフリー執行官対米国事件の91年前の判例を覆した。.

EU・米国データ保護枠組み（DPF）にとって、これは協定全体の中心的な柱であり、条約中で259回も言及されている連邦取引委員会（FTC）が、今やホワイトハウスに完全に従属していることを意味する。FTCはもはや欧州的な意味での独立した規制機関ではなく、米国憲法の解釈によれば、そもそも真の意味で独立した規制機関であったことはなかったのかもしれない。マックス・シュレムスは簡潔にこう述べている。「重要な点は、EUの憲法上の枠組みが独立した監督を義務付けているということだ。これを変える唯一の方法は、EU加盟国すべてがEU条約を改正するという全会一致の決定を下すことだろう。」

ハンフリーの遺言執行人と91年間の行政手腕

法的な側面を完全に理解するためには、最高裁判所の判決が実際に何を排除したのかを簡単に見ておく価値がある。1935年のハンフリー対アメリカ合衆国事件判決は、連邦取引委員会（FTC）から連邦通信委員会（FCC）、証券取引委員会（SEC）に至るまで、アメリカ合衆国における独立規制機関のシステム全体の基礎を築いた。この判決は、準立法機能または準司法機能を行使する機関の職員を解任する大統領の権限を、憲法に違反することなく議会が制限できることを明確にした。.

2026年6月29日の判決は、この90年来の基盤を覆すものとなった。保守派6対3の多数派は、憲法によれば行政権は完全に大統領に帰属するため、この判決は憲法秩序の回復であると考えている。一方、リベラル派のソニア・ソトマイヤー判事、ケタンジ・ブラウン・ジャクソン判事、エレナ・ケーガン判事の3人は、共同反対意見の中で、この判決はすべての規制機関の制度的独立性を損ない、行政権の未曾有の拡大を意味すると警告した。.

ImmuniWebのデータ保護弁護士であるイリア・コロチェンコ氏のような法律専門家は、今回の判決を大西洋を越えたデータ転送における潜在的な「後戻りできない地点」と表現し、「今回の判決は短期的にはEUと米国のデータフローに直接的な影響はないだろうが、長期的な影響は甚大になる可能性がある。NOYBやマックス・シュレムス氏のようなデータ保護活動家にとって、米国へのデータ転送は違法であるという強力な新たな論拠となるだろう」と述べている。

データ交換の歴史を3幕構成で解説 - そしてフィナーレ

大西洋を挟んだデータ保護の歴史は、4幕構成のドラマとして読むことができ、そのうち3幕は既に書かれている。

最初の出来事は2000年のセーフハーバー協定から始まった。欧州と米国は、米国企業向けの自己認証制度に合意した。しかし、この制度は当初から脆弱だった。企業は、有効な検証を受けることなく、欧州のデータ保護基準を満たしていると自ら認証できたのだ。2013年以降のエドワード・スノーデンによる暴露は、米国における大規模な監視活動の実態を実証的に明らかにした。そして2015年、欧州司法裁判所はセーフハーバー協定を無効と宣言した。.

第二幕は2016年のプライバシーシールドで幕を開けた。政治的にはより野心的なものだったが、法的観点からは到底維持できるものではなかった。根本的な問題は依然として残っていた。FISA第702条は、米国の通信インフラを介して通信する限り、米国の情報機関が個別の裁判所命令なしに非米国市民を監視することを可能にした。大統領令12333号は、領土的制限や司法の監視なしに世界規模の大規模監視を可能にした。プライバシーシールドは2020年夏に無効化された。.

3番目の出来事は、EU-米国データプライバシーフレームワーク2023でした。技術的には高度で、政治的に買収され、構造的に脆弱でした。バイデン政権はDPRCを創設し、大統領令によって諜報機関の権限を調整しましたが、米国議会も独立した裁判所もこれを支持しませんでした。大統領令は法律ではありません。そして大統領は変わります。2025年9月、欧州連合一般裁判所は、フランスの欧州議会議員フィリップ・ラトンブが提起した無効訴訟を第一審で棄却し、その時点での十分性決定を合法として支持しました。ラトンブは欧州連合司法裁判所に上訴しました。.

第4幕が始まる。2026年6月29日の最高裁判決は、DPFへの標的攻撃によって崩壊したのではなく、むしろその基盤を揺るがす米国内の政治的決定によって崩壊した。NOYBは既に欧州委員会に正式な書簡を送り、独自の法的措置を発表している。こうして欧州司法裁判所は新たな訴訟を受理することになった。そして、明確な契約状況を鑑みれば、その結果はもはや不確実とは言えないだろう。.

CLOUD法とFISA 702：いかなる合意も克服できない落とし穴

DPFとその消滅の可能性をめぐる議論は、2000年以降のすべての大西洋横断データ転送協定に付きまとってきた根本的な問題を覆い隠しがちだ。それは、米国法が域外適用範囲を持ち、それが制度に内在するものであり、自主的な約束によって是正できるものではないという問題である。.

2018年クラウド法は、米国企業に対し、データの物理的な保管場所に関わらず、要請があれば米国当局にデータを提供するよう義務付けている。この法律は、マイクロソフトが長年にわたりダブリンに保存されていた電子メールをFBIに提供することを拒否していたマイクロソフト・アイルランド事件に直接端を発している。現在では、決定的な要素はデータの保管場所ではなく、データの管理権である。欧州子会社を支配する米国の親会社は、たとえサーバーがフランクフルトに設置されていても、データの提供を強制される可能性がある。.

ドイツ連邦内務省の委託を受け、情報公開法に基づき公開されたケルン大学の法的意見書によると、米国当局は欧州のデータセンターに保存されているデータに広範囲にアクセスできると結論付けられている。暗号化を用いても、技術的にその影響を回避することは事実上不可能である。クラウドプロバイダーが技術的な手段でデータへのアクセスを遮断した場合、米国の訴訟法に基づき多額の罰金や刑事訴追のリスクを負うことになる。なぜなら、データ保持義務は訴訟手続き開始前から始まっているからである。.

2025年7月、マイクロソフトの幹部らはスイスのITマガジンに対し、データが米国当局と共有されないことを保証できないと明言した。同じマイクロソフトの法務顧問は、フランス上院で宣誓証言を行い、「Non, je ne peux pas le garantir」（いいえ、保証できません）と断言した。欧州市民のデータが米国政府によるアクセスから保護されることは保証できないのだ。マイクロソフトのDelos Cloud、AWS Sovereign Instances、Google Distributed Cloudといった主権型クラウド製品は存在するものの、米国当局に対する基本的な法的義務は変わらない。.

入手可能な市場データによると、欧州のクラウド市場は米国プロバイダーが約83％を占め、圧倒的なシェアを誇っている。2024年だけでも、欧州企業は米国の大手プロバイダー5社からクラウドサービスに約250億ドルを費やした。この構造的な依存関係こそが、いかなるデータ保護協定でも解決できない真の経済的ジレンマであり、欧州を自国の土俵で借家人扱いしているのだ。.

米国における事業開発、販売、マーケティングの専門知識

米国における事業開発、営業、マーケティングの専門知識 - 画像: Xpert.Digital

業界重点分野：B2B、デジタル化（AIからXRまで）、機械工学、物流、再生可能エネルギー、産業

詳細はこちら:

エキスパートビジネスハブ

洞察と専門知識を提供するテーマ別ハブ:

世界および地域の経済、イノベーション、業界特有のトレンドを網羅した知識プラットフォーム
当社の主要重点分野に関する分析、洞察、背景情報のコレクションです。
ビジネスとテクノロジーの最新動向に関する専門知識と情報を提供する場所
市場、デジタル化、業界のイノベーションに関する情報を探している企業のためのハブ。

データ転送の危機：米国の判決がクラウド戦略を脅かす

経済的影響：DPFが下落するとどうなるのか？

法的には状況は明確です。欧州委員会の十分性認定は、委員会自身または欧州司法裁判所の判決によって覆されるまで、形式的には有効です。したがって、直ちに「デジタルブラックアウト」が発生することはありません。しかし、今後起こりうる訴訟手続きが経済に及ぼす影響は甚大です。.

欧州司法裁判所（ECJ）がデータ保護基金（DPF）を無効と判断した場合、企業はこれまで大西洋を越えたデータ移転において最も便利な法的根拠を失うことになる。残るのは標準契約条項（SCC）と拘束的企業規則（BCR）のみである。シュレムスII判決では個別のリスク影響評価、いわゆる移転影響評価が義務付けられているため、これらの手段はいずれも法的要件がより厳しくなる。この評価では、データ受領国の法的および事実上の条件が十分な保護を保証するかどうかを現実的に評価する必要があるが、最近の最高裁判所の判決を踏まえると、これは決して好ましい結果とは言えないだろう。.

NOYBは、DPFに直接依存せず、SCCやBCRに依存している企業も影響を受けることを明確に強調している。これらの企業の内部リスク評価は、通常、PCLOB（プライバシーおよび市民的自由監視委員会）やDPRCなど、かつては独立していると考えられていた米国の機関に依存しているが、これらの機関も最高裁判所の判決によって独立性を奪われた。.

ドイツ産業連盟（BDI）は、2025年春の時点で、デジタル金融フレームワーク（DPF）の失敗はドイツ産業に「壊滅的な影響」を与え、「多大な追加コストと法的不確実性」をもたらすと警告していた。これらの追加コストは、法務部門だけでなく、企業、政府機関、公共団体のデジタルインフラ全体に影響を及ぼす。多数の行政プロセス、市民向けアプリ、クラウドベースのERPシステム、CRMプラットフォーム、電子メールサービス、コラボレーションツールなどが直接影響を受けることになる。第三国へのすべての送金の強制的な再評価に加え、潜在的な罰金やコンプライアンス費用が発生する場合のコストを正確に定量化することは困難だが、議論ではドイツ経済圏だけでも数百億ユーロに達すると示唆されている。.

公共機関や重要インフラにとっては、状況はさらに深刻です。警察、自治体、州政府、公益事業会社、金融サービスプロバイダーなど、すべてがデータ管理の検証可能性に関する規制要件に直面しています。KPMGは2026年1月に、金融機関は出口戦略を検討し、バックアップソリューションを準備すべきだと既に指摘しています。.

デジタル主権：美辞麗句と現実の出会い

「デジタル主権」の要求は、長年にわたりヨーロッパ各国の首都で政治的なスローガンとして唱えられてきた。トランプ対スローター判決が容赦なく露呈したのは、この主張と、インフラへの実際の依存との間のギャップである。.

加盟国のロードマップによると、欧州はデジタルインフラに2,886億ユーロを投資する計画で、そのうち71%は公的資金によるものです。これに対し、米国の民間部門はデジタルインフラだけで年間2,000億ドル以上を投資しています。この投資額と開発速度の差こそが、欧州が米国のハイパースケーラーへの構造的な依存から抜け出せない理由であり、この状況は政治的な決定だけでは解決できません。.

同時に、ドイツテレコムを含む米国証券取引所に上場している企業は、一般的にCLOUD法（クラウド法）の適用を受け、米国当局への情報開示義務を負っている。米国企業が欧州企業に提供している「主権クラウド」という概念は、構造的に矛盾している。たとえ技術的にはフランクフルトでデータが処理されていても、法的管理権はシアトル、サンフランシスコ、またはニューヨークにあるからだ。.

真のデジタル主権を実現するには、欧州の契約パートナー、欧州法、米国親会社の不在、そして欧州のデータセンターにおける自社インフラが必要となる。Linux、LibreOffice、欧州のクラウドプロバイダーといったオープンソースの代替手段は存在するが、投資意欲、熟練した人材、そして政治的意思が不可欠である。特に後者は、競争とコスト効率を重視する調達政策において、これまでほとんど見られなかった要素である。.

圧力にさらされる欧州委員会：今後数年間のシナリオ

2026年6月29日、NOYBは直ちに欧州委員会に対し、適正認定決定を秩序正しく撤回する義務を負う旨の正式な書簡を送付した。マックス・シュレムス氏はその要求を簡潔に次のように述べた。「業界からの圧力の下、欧州委員会は法的な砂上の楼閣を築き上げてきた。それが今や明らかに崩壊しつつある以上、委員会は責任を取らなければならない。」

EU委員会の当初の反応は控えめだった。判決を分析し、その影響を検討するというものだ。手続き上の観点からすれば理解できるが、政治的には、すでに現実のものとなった状況への対応とは言えない。現実的なシナリオとして、以下の3つが考えられる。

最初のシナリオは秩序だった撤退だ。欧州委員会自身が十分性認定を取り消し、企業に移行期間を与え、代替的な法的手段を調整する。これは法的に整合性があり、政治的には痛みを伴うものの、米国にこの問題の解決を促す大西洋を挟んだ経済的圧力をかけることになるだろう。.

2つ目のシナリオは、欧州司法裁判所（ECJ）での訴訟手続きです。NOYBが訴訟を起こします。NOYB自身の声明によると、この手続きには2～3年かかる見込みです。この間、十分性認定は形式的には有効なままであり、企業は法的に不確実な状況下で事業を運営せざるを得ず、データ保護当局からの圧力は強まる可能性があります。結果として、ECJはシュレムスIII判決を下し、3度目の合意を無効とする可能性が高くなります。.

3つ目のシナリオは政治的な取り決めです。米国とEUが交渉によって新たな枠組みを構築し、構造的な弱点を解消する、つまり大統領令ではなく米国議会による真の立法改正を実現するというものです。しかし、ワシントンの現在の政治情勢と、最高裁判所の保守派多数派による「単一行政権理論」を考慮すると、このシナリオは最も可能性が低いと思われます。.

サイバーセキュリティ専門家のコロチェンコ氏は、慎重ながらも楽観的な中間的な見解を示している。「現在のEU・米国間のデータ移転体制のさらなる見直しは避けられないだろう。願わくば、今回は大西洋両岸の企業にとって、それほど抜本的ではなく、痛みも少ないものになることを祈る」。この希望は正当化されるかもしれないが、それは両陣営が、政治的な動機に基づく暫定的な解決策ではなく、恒久的に持続可能な枠組みを構築しようとする戦略的な意思を持っていることを前提としている。.

構造的脆弱性は恒常的な状態なのか：今回の危機が真に明らかにしたこと

セーフハーバー、プライバシーシールド、データプライバシーフレームワークの歴史から得られる真の教訓は、法的側面ではなく戦略的側面にある。欧州は、制度的な合意を通じて構造的な問題を解決しようと3度試みたが、根本的な問題、すなわち米国の監視法と欧州の基本的人権であるプライバシー権が相容れない緊張関係にあるという事実には対処してこなかった。.

FISA第702条とCLOUD法は、米国制度の欠陥ではなく、世界的な情報支配を維持しようとする意図的な政治的意思の表れである。この意思が支配的であり、欧州が独自の強固なデジタルインフラを欠いている限り、いかなる合意も不安定な基盤の上に築かれることになるだろう。NOYBがDPF発足当初から用いてきた「砂上の楼閣」という比喩は、振り返ってみると、論争的な誇張ではなく、正確な描写であったことが証明される。.

トランプ対スローター判決は、何も新しいことを生み出したわけではなく、常に存在していたものを可視化したに過ぎない。米国大統領は、バイデン政権の大統領令を撤回し、それによってDPRCの根拠となっていた大統領令14086号を廃止する権限を常に有していた。この分離が、この手段ではなく憲法上の判決によって実現したことは、ほとんど法的な皮肉と言えるだろう。最高裁は意図的に砂上の楼閣を崩したのではなく、単にFTCが委員会が扱っていたような真の独立機関ではなかったことを明確にしたに過ぎないのだ。.

行動への提言：企業や機関が今すぐ行うべきこと

データ保護枠組み（DPF）に基づいて個人データを米国に移転している企業は、十分性認定が形式的には依然として有効であるにもかかわらず、直ちに措置を講じる必要がある。今後の手続きのスケジュールを見れば、問題はDPFが覆されるかどうかではなく、いつ覆されるかであることが明らかだ。.

まず、クラウドサービス、分析ツール、ニュースレター配信プラットフォーム、決済サービスプロバイダー、CRMシステム、人事ソフトウェアなど、米国へのすべてのデータ転送について完全な目録を作成する必要があります。各転送について、代替的な法的根拠（標準契約条項、拘束的企業規則など）が存在するかどうか、また、転送影響評価において現在の法的状況が依然として十分に安全であるとみなされているかどうかを検証する必要があります。最高裁判所の判決を踏まえると、機密データカテゴリーに対する肯定的な評価はもはや正当化しがたいものとなっています。.

中長期的に見れば、欧州の代替サービスを評価することは避けて通れない。これは必ずしも米国プラットフォームからの完全撤退を意味するものではないが、欧州の代替サービスが存在し、かつ実現可能なサービスと、現状ではそうでないサービスを戦略的に区別する必要があることを意味する。このプロセスは、特に規制対象業界、政府機関、機密性の高い顧客データを扱う企業にとって、長らく待たれていたものである。.

データ保護財団は状況を的確に要約している。「特に政府、当局、公共団体、そして重要インフラで事業を展開する企業にとって、欧州共通の解決策が喫緊に必要とされている。2025年以降、この要求を無視してきた企業は、今やそのプロセスを加速せざるを得ない状況に直面している。」.

エピローグ：これは予見できたことだが、費用はかさむだろう。

2026年6月29日の夜、欧州の法務部門、データ保護当局、IT部門で問われていたのは、「何が起こったのか？」というよりも、「なぜ誰も準備をしていなかったのか？」という問いだった。その答えは、受け入れがたいものだ。構造的な変更を実施するよりも、次の合意を待つ方が都合が良かったからだ。業界のロビー活動が、長期的な法的遵守よりも短期的な計画の安全性を優先したからだ。そして、欧州委員会が、当初から内部論理に欠陥のある十分性認定決定を下すよう、3回連続で圧力に屈したからだ。.

マックス・シュレムス氏がDPFを「産業界の圧力にさらされた砂上の楼閣」と評した見解は、ルクセンブルクではなくワシントンからの司法判断によって裏付けられた。この話の真の皮肉は、欧州のデータ保護弁護士たちが長年指摘してきた弱点が、米国による行政権限に関する国内判決によって明らかになるまで、欧州は待たなければならなかったということだ。.

今後の展開は、欧州委員会の行動のペースと決意、欧州司法裁判所の審理結果、そして米国が監視法を改革し、永続的かつ持続可能な合意を可能にする政治的意思の3つの要素に左右される。3つ目の要素は、ワシントンが依然としてワシントンであるため、現状では最も実現の見込みが低いように思われる。.