2026年の世界各国におけるデータ暗号化規制

2026年の暗号化規制は管轄によって大きく異なります。 EU は「適切な技術的措置」を求め（ GDPR 第32条）、 AES-256 がベースラインとして広く認められています。米国は分野別の規制を重ねています。医療向けの HIPAA 、決済向けの PCI DSS 4.0 、金融向けの GLBA セーフガードルール、そして CCPA/CPRA を筆頭とする州法の寄せ集めです。中国の PIPL （第38〜43条）は国境を越えた転送に輸出管理を課しています。インドの DPDPA （2023年）は2025年に発効しました。ブラジルの LGPD は GDPR を模範としています。英国、オーストラリア、フランスなど複数の管轄区域でエンドツーエンド暗号化と相容れない合法的アクセス要件が導入されています。

EU：GDPR が世界標準を設定

GDPR 第32条は「個人データの仮名化および暗号化」を適切なセキュリティ措置として求めています。厳密には必須ではありませんが、実質的には必須です。第34条第3項（a）は暗号化によってデータが「判読不能」にされていた場合の侵害通知要件を免除しています。 EDPB ガイダンス01/2021 は AES-256 または同等品を期待される最小限として明確にしています。

第44条および第V章は EEA 外への転送を制限しています。 Schrems II （ C-311/18 ）以降、標準契約条項には補完的措置が必要です。通常は受信者が鍵を管理するエンドツーエンド暗号化であり、米国プロバイダが FISA 702 要請で技術的に平文にアクセスできない状態を作ります。2023年の EU 米国データプライバシーフレームワークにより大西洋を越える一部のデータ流通が回復しましたが、法的に脆弱な立場に置かれています。

NIS2 指令（2024年10月施行）は同様の暗号化への期待をエネルギー、輸送、医療、デジタルインフラなどの重要サービスを運営する中規模以上の事業者に拡大しています。

米国：分野ごとに積み上がる規制

統一された暗号化要件を持つ連邦レベルのデータ保護法は米国に存在しません。代わりに：

HIPAA セキュリティルール（ 45 CFR 164.312(a)(2)(iv) および (e)(2)(ii) ）：ePHI の暗号化は「対処可能」、つまり対象機関が理由を文書化しない限り必須。実際には OCR の監査は必須として扱います。
PCI DSS 4.0 （2025年3月から完全施行）：要件3.5.1 は PAN を判読不能にすることを義務付け、要件4.2.1 はオープンネットワーク上の強力な暗号化（最低 TLS 1.2 、推奨 TLS 1.3 ）を求めます。
GLBA セーフガードルール（ 16 CFR Part 314 ）、2023年改定：金融機関に対して転送中および保存中の顧客情報の暗号化を義務付け、特定の罰則あり。
SEC 規則 S-P 改正（2024年）：ブローカーディーラーとアドバイザーに30日以内の侵害通知を義務付け。

その上に州法の層があります。 CCPA/CPRA （カリフォルニア）、 CDPA （バージニア）、 CPA （コロラド）、 CTDPA （コネチカット）、 UCPA （ユタ）、さらに2026年に施行中の法律を持つ14以上の州があります。ほとんどが「合理的なセキュリティ」を引用しており、原告側弁護士は「暗号化しなかったのだから要件を満たしていない」と解釈します。

英国：UK GDPR と捜査権限法

UK GDPR は EU GDPR の第32条を踏襲しています。違いは2024年改正の捜査権限法（ IPA 2016 ）で、内務省が通信から「電子的保護」を除去するよう求める技術的能力通知を発行できます。これは E2EE と相容れません。 Apple は2025年初頭に対抗して iCloud Advanced Data Protection を英国ユーザー向けに一時停止し、訴訟が続いています。

中国：PIPL と暗号法

個人情報保護法（ PIPL 、2021年11月施行）は国境を越えたデータ転送に第38〜43条を通じて厳格な暗号化要件を課しています。中国の暗号法（2020年）はアルゴリズムを「核心」「普通」「商業」に分類しており、ほとんどのビジネスファイル転送暗号化を含む商業暗号は中国で販売される製品に型式認証が必要です。 SM2 、 SM3 、 SM4 （中国国家アルゴリズム）は特定の政府・重要インフラの用途に義務付けられています。

インド：DPDPA の発効

デジタル個人データ保護法（ DPDPA 、2023年8月制定、2025年通達で実施）は「合理的なセキュリティ保護措置」を求めています（第8条第5項）。2025年1月に発表された草案規則は暗号化をベースラインとして明示しています。国境を越えた転送は政府が特定的にブロックした国を除いて許可されています。 GDPR の一般的な禁止と異なる「ホワイトリストだが開放的」なアプローチです。

ブラジル、カナダ、オーストラリア

ブラジルの LGPD （法律13,709/2018）は GDPR に近く、 ANPD のガイダンスは暗号化を期待される第46条の保護措置として扱います。カナダの PIPEDA は「感度に適した保護措置」を求めており、判例と OPC ガイダンスがほとんどの規制対象データで暗号化を確立しています。ケベック州の法律25（2024年9月に完全施行）は明示的な侵害通知と国境越えのルールを追加しています。

オーストラリアのプライバシー法1988年は改正が進んでいます。2024年の改正でプライバシーに関する不法行為の法定請求が導入されました。通信・その他の法律改正（支援とアクセス）法2018年（ AAA ）は技術的支援を強制でき、実質的に E2EE を破ります。英国と同様に、現在進行中の緊張があります。

管轄区域のスナップショット

| 地域 | 主要法律 | 暗号化への姿勢 | 越境ルール | |---|---|---|---| | EU | GDPR 第32条 | AES-256 が期待される | 第V章 / SCC | | 米国（医療） | HIPAA 164.312 | 対処可能＝必須 | 該当なし | | 米国（決済） | PCI DSS 4.0 | 要件3.5.1 で必須 | 該当なし | | 英国 | UK GDPR + IPA | 必須；合法的アクセスの緊張 | 適切性決定 | | 中国 | PIPL + 暗号法 | 必須；政府向けは SM アルゴリズム | セキュリティ評価 | | インド | DPDPA | 合理的保護措置 | ブラックリスト方式 | | ブラジル | LGPD | 第46条で期待される | ANPD の監督 | | カナダ | PIPEDA / 法律25 | 実務上必須 | ケベックは明示的 | | オーストラリア | プライバシー法1988年 | 期待される；AAA の緊張 | ケースバイケース |

合法的アクセスと E2EE の衝突問題

英国の IPA 2016 、オーストラリアの AAA 2018 、フランスの麻薬密売対策法案（2025年提出）はすべて合法的命令に基づいてプロバイダに通信を復号させる条項を含んでいます。これは GDPR のデータを「判読不能」にする要件、およびプロバイダが物理的に復号できない E2EE システムと衝突します。この対立がどのように解決されるか、技術的な回避策か、管轄区域の裁定か、それとも真の法的変更かは、2026年における暗号化政策の中心的な問いです。

実務上の意味

多国籍の中小・中規模企業にとっての実践的な道筋は次の通りです。保存時は AES-256-GCM で、転送中は TLS 1.3 ですべてを暗号化する。信頼できる管轄区域に鍵を保管する。すべての処理業者と DPA （データ処理補足契約）に署名する。暗号アーキテクチャと令状対応ポリシーを公開しているファイル転送・メールプロバイダを選ぶ。コンプライアンスは唯一「正しい」規制を選ぶことではなく、適用される最も厳格な規制に対して防御できる態勢を構築することです。

ファイル転送の部分については hexatransfer.comでお試しください — 無料、登録不要、最大10GB。