英国UK GDPRの新たな適法化根拠「認定正当利益（RLI）」とは？従来の正当な利益との違いを解説

2025年6月19日に成立した英国のデータ（利用・アクセス）法（Data (Use and Access) Act、以下「DUAA」）により、英国のデータ保護法制であるUK GDPRは大きく改正され、データ保護関連の主要規定は2026年2月5日に施行されました。改正の柱の1つが、個人データ処理の第7の適法化根拠として新設された「認定正当利益（recognised legitimate interests、以下「RLI」）」です。RLIに依拠する場合、従来の「正当な利益」で必要とされてきた、事業者の利益と本人の権利利益を比較衡量するバランシングテスト（正当利益評価、LIA）を実施する必要がありません。もっとも、RLIの対象は犯罪予防や要保護者のセーフガーディングなど限られた場面にとどまり、ダイレクトマーケティングなどの一般的な事業活動は対象外である点に注意が必要です。

本記事では、英国向けに事業を展開する日本企業が押さえておくべきRLIの概要、対象となる処理活動、従来の正当な利益との違い、そして実務上の対応ポイントを解説します。

UK GDPRにおける「正当な利益」と正当利益評価（LIA）とは

UK GDPRのもとで個人データを処理するには、同法が定める適法化根拠（lawful basis）のいずれかに依拠しなければなりません。従来のUK GDPRでは、本人の同意、契約の履行、法的義務の遵守、生命に関する利益の保護、公共の利益に基づくタスクの遂行、そして「正当な利益（legitimate interests）」という6つの適法化根拠が定められていました。このうち正当な利益（UK GDPR第6条(1)(f)）は、事業者自身が処理の目的を柔軟に設定できるため、企業の実務で最も広く利用されてきた根拠です。

ただし、その柔軟さの代償として、正当な利益に依拠する事業者には重い説明責任が課されます。具体的には、追求する利益が正当なものかを確認する「目的テスト」、その処理が目的達成に必要かを確認する「必要性テスト」、そして事業者の利益と本人の権利利益とを比較衡量する「バランシングテスト」の3段階の検討を行い、その過程と結論を記録として残すことが求められます。この一連の評価が正当利益評価（Legitimate Interests Assessment、以下「LIA」）です。英国の監督機関である情報コミッショナー事務局（Information Commissioner’s Office、以下「ICO」）は、正当な利益に依拠する場合にはLIAを実施し記録することを求めており、これが事業者にとって相応の実務負担となってきました。

参考：ICO｜Legitimate interests

なお、UK GDPRの適用範囲や英国代理人制度などの基礎的な内容は、下記の関連記事で解説しています。

英国DUAAで新設された「認定正当利益（RLI）」とは

DUAAは2025年6月19日に国王裁可（Royal Assent）を受けて成立した英国の法律であり、UK GDPRを置き換えるのではなく、その枠組みを維持したまま部分的に改正するものです。データ保護関連の主要規定は2026年2月5日に施行されました。このDUAAによる改正の1つとして、UK GDPR第6条(1)の適法化根拠に、第7の根拠となる「認定正当利益（RLI）」が第6条(1)(ea)として追加されました。

RLIの最大の特徴は、これに依拠する場合、事業者の利益と本人の権利利益を比較衡量するバランシングテスト、すなわちLIAを実施する必要がないという点です。RLIの対象となる処理目的は、公共の利益に資するものとしてあらかじめ法定されており、いわば立法段階で比較衡量が済まされているためです。従来、犯罪予防への協力などの公益性の高い場面でも、事業者は正当な利益に依拠する限りLIAを実施しなければならず、その負担や判断の萎縮が迅速なデータ共有の障害になり得ると指摘されてきました。RLIは、こうした場面における事業者の負担を軽減し、法的確実性を高めることを立法趣旨とするものです。

もっとも、RLIは適法化根拠の1つであって、UK GDPRの義務からの「免除」ではありません。この点は後述します。また、DUAAによる改正はRLIにとどまらず多岐にわたります。DUAAの全体像や段階的な施行スケジュールについては、下記の関連記事をご参照ください。

英国DUAAにおける認定正当利益（RLI）の対象となる処理活動

RLIは、どのような処理にも利用できる汎用的な根拠ではなく、対象となる処理活動が限定的に法定されています。具体的には、犯罪の検知・捜査・予防や犯罪者の逮捕・訴追に必要な処理、子どもや弱い立場にある人といった要保護者のセーフガーディング（保護）のための処理、緊急事態への対応に必要な処理、国家安全保障・公共の安全・防衛の確保のための処理、そして法により公益的タスクを認められた公的機関等からの要請に応じて、その任務遂行のために個人データを提供する処理がこれに当たります。

実務上とりわけ意義が大きいのは、事業者が警察などの公的機関に個人データを提供する場面です。従来は、たとえば犯罪捜査への協力として顧客データの提供を求められた場合でも、提供側の事業者が正当な利益に依拠するのであれば、提供に先立ちバランシングテストを行う必要がありました。RLIの新設により、犯罪予防やセーフガーディングに関連する提供であれば、事業者はバランシングテストを実施することなくデータを提供できる余地が生まれ、判断の迅速化が期待できます。さらにDUAAは、公的機関からの要請に基づく提供について、その提供が当該機関の公的タスクの遂行に必要かどうかを、要請を受けた事業者側が自ら判断しなくてよい仕組みも導入しました。必要性の判断責任は要請側の機関にあり、事業者は要請の内容を信頼して対応できることになります。

ICOは、RLIに関するガイダンスを概要版・詳細版の形で公表しており、各対象活動の考え方や依拠する際の留意点を示しています。RLIへの依拠を検討する事業者は、まずこのガイダンスを確認することが出発点となります。

参考：ICO｜Recognised legitimate interest

英国DUAAにおける通常の「正当な利益」との違いと混同しやすいポイント

RLIと従来の正当な利益は名称が似ているものの、法的にはまったく別個の適法化根拠です。両者の違いを整理すると次のとおりです。

この表を踏まえたうえで、実務で特に混同しやすいポイントを2つ取り上げます。

ダイレクトマーケティング等はRLIではなく通常の正当な利益の例示

本記事で最も強調したいのがこの点です。DUAAは、RLIの新設とあわせて、ダイレクトマーケティング、グループ企業内での内部管理目的のデータ共有、ネットワーク・情報システムのセキュリティ確保という3つの活動を、「通常の」正当な利益（第6条(1)(f)）に該当し得る処理活動の非網羅的な例示として法定しました。

これらの例示は、あくまで従来の正当な利益の枠内での明確化にすぎず、RLIの対象に加えられたものではありません。したがって、ダイレクトマーケティングやグループ内データ共有について正当な利益に依拠する場合は、改正後も従来どおり完全なLIAの実施と記録が必要です。「DUAAでダイレクトマーケティングが正当な利益として法定されたので、バランシングテストは不要になった」という理解は誤りであり、この誤解に基づいてLIAを省略すれば、UK GDPR違反のリスクを直接負うことになります。RLIとしてバランシングテストが免除される活動と、通常の正当な利益の例示として法定されたにすぎない活動とを、社内で明確に区別して整理することが重要です。

RLIでも免除されない義務

もう1つの注意点は、RLIに依拠しても免除されるのはバランシングテストのみであるということです。RLIに依拠する場合であっても、その処理が対象目的の達成に必要であるという必要性の要件は満たさなければなりません。また、透明性の原則やデータ最小化の原則をはじめとするUK GDPRの基本原則も引き続き全面的に適用されます。RLIは適法化根拠の1つであって、データ保護義務全体からの適用除外ではない点を押さえておく必要があります。

英国DUAAとEU GDPRの違いに注意

RLIは英国独自の制度であり、EU GDPRにはRLIに相当する適法化根拠は存在しません。EU域内での個人データ処理については、公益性の高い目的であっても、正当な利益に依拠する限り従来どおりLIA（バランシングテスト）の実施が必要です。DUAAによる改正の結果、英国とEUのデータ保護制度はこの点で乖離しており、英国とEUの双方で事業を展開する企業は、同種の処理であっても英国側ではRLIに依拠し、EU側ではLIAを実施するという、地域ごとに異なる運用を求められる場面が生じ得ます。社内規程やデータ保護体制を英EU共通で構築している企業ほど、この乖離を見落としやすいため注意が必要です。

EU GDPRの基本的な枠組みや日本の個人情報保護法との違いについては、下記の関連記事で解説しています。

日本企業が認定正当利益（RLI）を踏まえて取るべき対応

英国向けに事業を展開しUK GDPRの適用を受ける日本企業は、RLIの新設を踏まえ、次のような対応を進めることが考えられます。

• 処理活動の棚卸しとRLI該当性の検討：自社の個人データ処理活動を棚卸しし、犯罪予防への協力や公的機関へのデータ提供など、RLIの対象となり得る処理が含まれていないかを確認します。該当し得る処理については、現在依拠している適法化根拠からRLIへの切り替えの要否とメリットを検討します。
• 処理記録・プライバシーノーティスの更新：RLIに依拠する処理については、処理活動記録（ROPA）の適法化根拠の記載を見直すとともに、プライバシーノーティス（プライバシーポリシー）にもRLIに依拠する旨を反映し、透明性の原則に沿った情報提供を行います。
• ICOガイダンスの確認：ICOが公表するRLIの概要版・詳細版ガイダンスを確認し、自社が想定する処理が対象活動の要件を満たすか、必要性をどのように説明するかを整理します。
• 英EU両対応企業における運用の切り分け：EU側にはRLIが存在しないことを前提に、英国向けとEU向けでLIAの要否が異なることを社内フローに反映し、地域ごとの運用を明確に切り分けます。

プライバシーノーティスの見直しに当たっては、下記の記事もご参照ください。

まとめ：UK GDPR改正対応については弁護士に相談を

DUAAによる改正で、UK GDPRには第7の適法化根拠として認定正当利益（RLI）が新設され、犯罪予防、要保護者のセーフガーディング、緊急事態への対応、国家安全保障、公的機関への公益目的の情報提供といった限られた場面では、バランシングテスト（LIA）なしに個人データを処理できるようになりました。一方で、ダイレクトマーケティングやグループ内データ共有はRLIではなく通常の正当な利益の例示にとどまり、引き続きLIAが必要です。また、RLIに依拠しても必要性の要件や透明性・データ最小化などの基本原則は免除されず、EU GDPRにはRLIに相当する根拠が存在しないため、英EU双方で事業を行う企業には運用の切り分けが求められます。RLIは事業者の負担軽減につながる有用な選択肢ですが、その射程を正確に理解したうえで、処理記録やプライバシーノーティスへの反映を含めた体制整備を進めることが重要です。

当事務所による対策のご案内

モノリス法律事務所は、IT法務と国際法務の双方に豊富な経験を有する法律事務所です。DUAA施行後のUK GDPR対応については、自社の処理活動に適用すべき適法化根拠の整理、RLI該当性の検討、通常の正当な利益に依拠する処理についてのLIAの実施支援、処理活動記録やプライバシーノーティスの更新まで、コンプライアンス体制の構築をワンストップで支援いたします。

また、当事務所は欧州現地の専門家と連携したGDPR対応支援サービスを提供しており、英国とEUの制度の乖離を踏まえた両地域対応の設計についてもサポートが可能です。UK GDPR・EU GDPRへの対応にお悩みの企業は、下記のサービスページをご覧のうえ、お気軽にご相談ください。