GDPRと価格パーソナライゼーション｜個人データ起点の価格にかかる適法化コスト

「同じ商品なのに、ログインしたら価格が変わった」。この実装をEU向けのB2Cサービスに出すと、何が起動するのか。個人データが価格の「入力」に入った瞬間、GDPR上のどの義務が連鎖的に発火し、その適法化コストはパーソナライズ価格で得られる差益に見合うのか。これが本記事の駆動質問です。

私はこの問いに対して、現時点でEU向けB2Cにおける個人データ起点の個別価格は「やらない」という判断を推します。2023年12月のCJEU（欧州司法裁判所）SCHUFA判決がGDPR第22条の「決定」概念を広く解釈したこと、そして2025年10月に締め切られたDigital Fairness Act公開協議で回答の77%以上がパーソナライズド・プライシングの一般的制限を支持したこと。この二つを踏まえると、適法化にかかる固定費（透明性開示、明示的同意、人間介入、異議申立て窓口の常備）が、パーソナライズ価格で得られる差益を上回りやすいと見ています。ただし、この判断が対象にしているのは個人データを入力に使う個別価格に限られます。国単位の地域別価格やB2Bの個別見積もりは対象外です。これを覆す規制動向が出れば、判断は書き直します。

免責事項 本記事は法制度の一般的な解説を目的としており、法的アドバイスではありません。具体的な対応については、弁護士等の専門家にご相談ください。

前提：個人データ起点の価格と適法化コスト

この記事は二つの言葉を軸に進みます。

個人データ起点の価格とは、価格を計算する入力に個人データが含まれる価格のことです。GDPR第4条は個人データを「識別された、または識別可能な自然人に関連するあらゆる情報」と定義しています。IPアドレス、Cookie（Recital 30で明記）、位置データ、閲覧履歴・購買履歴、デバイス識別子は、いずれもこの定義に含まれます。

適法化コストとは、個人データを価格の入力に使った瞬間に発火する義務の総和です。具体的には、透明性開示（第13-14条とオムニバス指令）、第22条の例外要件を満たすための明示的同意、人間介入の権利、異議申立て窓口の常設。これらは一度作って終わりではなく、運用し続ける固定費として効いてきます。

ダイナミックプライシングとパーソナライズドプライシングの境界も、この1点、つまり価格の入力に個人データが含まれるかどうかだけで引けます。

手法	ダイナミックプライシング	パーソナライズドプライシング
入力	市場需要、時間帯、在庫状況	個人データ
例	航空券、ホテルの価格変動	ログイン状態による価格差
GDPR適用	個人データ不使用なら対象外	対象
開示義務	なし	あり（オムニバス指令）

以降の節は、この「対象」に入った瞬間に何が起きるかを、発火順に見ていきます。

発火する義務(1)：開示という固定費

個人データを価格の入力に使うと決めた瞬間、開示は選択制ではなく発生する固定費になります。

GDPR第13条は、個人データを収集する際に、処理目的（個人データが価格設定に使用されることの説明）、自動意思決定の存在（プロファイリングを含む自動意思決定があること）、ロジックに関する情報（アルゴリズムがどう機能するかの高水準の説明）、重要性と予想される結果（消費者への影響の説明）の提供を義務づけています。さらに第12条は、これらの情報を「簡潔」「透明」「理解しやすい」形式で、「容易にアクセスできる」場所に、「明確かつ平易な言葉」で示すことを求めます。

この開示義務は、実務では一様な重さで効いてくるわけではありません。オムニバス指令第6条(1)(ea)が求めているのは「自動化された意思決定に基づいて価格がパーソナライズされている」という事実の通知であり、極端に言えば一文でも成立します。これに対してGDPR第13条が求める「ロジックに関する情報」は、事実の告知よりも重い義務です。アルゴリズムがどう機能するかの高水準の説明と、重要性・予想される結果の説明までを含むからです。後述するEDPBガイドラインが「重大な影響」の基準として、個人の状況・行動・選択への影響、長期的または永続的な影響、排除や差別につながるかどうかという具体的な粒度を示していることを踏まえると、価格ロジックの説明についても「パーソナライズしています」という一文だけでは、第13条の「ロジックに関する情報」を満たしたことにはならない可能性が高いと考えています。ただし、実際に運用されているプライバシーノーティスの文面をこちらで検証したわけではなく、ここはあくまで条文とEDPBガイドラインの要求粒度を突き合わせた分析にとどまります。

これに加えて、2019年11月採択のオムニバス指令（2019/2161）は、Consumer Rights Directiveに新しい開示義務を追加しました。第6条(1)(ea)は「事業者は、自動化された意思決定に基づいて価格がパーソナライズされている場合、その事実を消費者に通知しなければならない」と定めています。加盟国への国内法移行期限は2021年11月28日、適用開始は2022年5月28日です。つまり、透明性要件とオムニバス指令の開示義務は、個人データ起点の価格を出した瞬間にセットで発生する、後から外せない固定費だということです。

発火する義務(2)：第22条とSCHUFA判決

GDPR第22条の価格パーソナライゼーション適用判断フロー

開示だけで済むならまだ軽い話です。重くなるのは、GDPR第22条(1)がここに絡んでくるからです。同条は消費者に「法的効果を生じさせる、または同様に重大な影響を及ぼす、プロファイリングを含む自動化された処理のみに基づく決定の対象とならない権利」を認めています。価格パーソナライゼーションがこの権利にかかるかどうかは、次の3要件がすべて満たされるかで判断されます。

要件	価格パーソナライゼーションへの適用
自動化された処理	アルゴリズムによる価格決定は該当
のみに基づく	人間の介入がない場合は該当
法的効果または重大な影響	価格差が「重大な影響」に該当するか争点

このうち3つ目、「重大な影響」がどこまでの価格差を含むかが最大の争点でした。ここに答えを出したのが、2023年12月のCJEU C-634/21 SCHUFA判決です。判決は、信用スコアリングが第22条の「自動化された個別意思決定」に該当すること、第三者が最終決定を行う場合でもスコアが決定的な役割を果たすなら第22条が適用されること、そして「決定」の概念は広く解釈されるべきことを示しました。ハンブルクデータ保護当局は、この判決の原則はAIシステム全般に適用可能だという見解を示しています。私が「やらない」という判断に傾く最大の根拠はここです。信用スコアリングという別の文脈で確定した「広い解釈」が、価格アルゴリズムにもそのまま延焼しうる状態になっているからです。

第22条(2)は三つの例外を置いています。データ主体との契約の締結・履行に必要な場合、EU加盟国法により認められている場合、そしてデータ主体の明示的な同意に基づく場合です。いずれかの例外に該当しても、無条件では終わりません。人間の介入を得る権利、自己の見解を表明する権利、決定に異議を申し立てる権利という三つの保護措置を常設する必要があります。

「重大な影響」の輪郭についても、EDPBガイドラインは基準を示しています。個人の状況・行動・選択に重大な影響を与える決定、長期的または永続的な影響を与える決定、個人の排除または差別につながる決定。価格差の程度によっては、この基準に該当する可能性があります。つまり第22条は、価格パーソナライゼーションを一律に禁止するわけではありませんが、例外に乗る手続き（明示的同意の取得、保護措置の常設）を丸ごと運用する覚悟が要る、という設計になっています。

規制の方向：開示義務から一般的制限へ

ここまでは現行法の話です。ここからは、その現行法がどちらに動いているかという話に移ります。

2024年8月発効のEU AI Actは、AIシステムをリスクベースで規制します。Annex III第5項が価格設定関連で高リスクAIに指定しているのは、(b)クレジットスコアリング（信用力評価・信用スコア設定のAI）と(c)保険リスク評価・価格設定（生命保険・健康保険のリスク評価・価格設定AI）の二つだけです。つまり、一般的なSaaSの価格設定AIは、現時点では高リスクには分類されていません。高リスクAIに指定された場合、2026年8月適用の義務（リスク管理システム、データガバナンス、技術文書、透明性、人間による監視、正確性・堅牢性）が発生しますが、これはまだ保険・信用の領域に限られた話です。

しかし、この「限られた話」がいつまでも限られたままとは考えにくい理由があります。欧州委員会が準備中のDigital Fairness Actです。2025年7月に公開協議が始まり、2025年10月に終了、2026年Q3に法案提出が予定されています（このタイムラインは流動的で、公開時点の最新状況を確認する必要があります）。対象となる慣行として、トラッキング・プロファイリングに基づくパーソナライズドプライシング、パーソナライズド広告、ドリップ・プライシング、中毒性のあるデザインが挙げられています。2025年12月にまとまった協議結果では、3,341件の回答のうち77%以上が、パーソナライズド・プライシングの一般的制限、脆弱性情報を使用したパーソナライズの制限、未成年者をターゲットにしたパーソナライズの禁止を支持しました。

ここから読み取れるのは、EUの規制がオムニバス指令の体現する「開示すれば良い」という段階から、Digital Fairness Actが目指す「特定の用途は使うこと自体を制限する」という段階へ、一段階進もうとしているという流れです。これは条文として確定した事実ではなく、私が公開協議の数値とAI Actの適用範囲拡大の癖から読んでいる推論です。ただ、この推論が当たっているなら、今のうちに個人データ起点の価格を設計に組み込むことは、将来の一般的制限に備えて撤去コストを積み増す行為になります。

判断：適法化コストと差益で3段階を並べ直す

この判断の境界を、もう一歩具体的に書いておきます。個人データ起点の価格の入力としてよく挙がるのは、前提節で挙げた閲覧履歴・購買履歴・デバイス識別子のような行動データです。こうしたデータを価格の入力に使う設計を検討するとき、私がまず引く線は「人間のレビューを経ずに価格が確定するかどうか」にあります。アルゴリズムだけで価格を確定させ、人間の確認を挟まない設計は、SCHUFA判決が示した「決定」概念の広い解釈に照らすと、第22条の「のみに基づく」要件に触れる可能性が高いと考えています。行動データをセグメンテーションの参考情報にとどめ、最終的な価格提示の前に人間が確認するフローを残せば、中リスク帯にとどめられる余地はあるとみていますが、それでもオムニバス指令の通知義務は消えません。私が最終的に「個人データ起点の個別価格はやらない」という判断に傾く一番の理由は、義務そのものの重さよりも、SCHUFA判決とDigital Fairness Actの協議結果が示す規制の方向を踏まえたとき、一度組み込んだロジックを将来撤去する運用コストの方が、パーソナライズ価格で得られる差益より重くなりやすいと読んでいるからです。

ここまでの義務を、価格パーソナライゼーションの手法ごとに並べ直すと、リスクは3段階に分かれます。並べ方は「何を使っているか」ではなく、「適法化コストが差益に見合うか」です。

リスク帯	手法	発火する義務	適法化コスト対差益	私の判断
低	国単位の地域別価格	透明性確保（IPアドレス使用時は法的根拠が必要）	軽い。差益が上回りやすい	やってよい
中	顧客セグメント別価格	透明性要件遵守、同意取得の検討	セグメントの粒度次第	設計次第でやってよい
高	個人データに基づく個別価格	第22条フル対応（明示的同意・人間介入・異議申立て）	重い。差益を上回りやすい	私はやらない

低リスク帯の「地域別価格」は一般的にGDPR違反にはなりませんが、地域判定にIPアドレスを使う場合はIPアドレス自体が個人データに該当するため、適切な法的根拠を用意しておく必要があります。中リスク帯は、第22条の「のみに基づく」決定に該当しない設計（人間のレビューを介在させるなど)を取れば、例外要件をフルで満たさずに運用できます。

高リスク帯で私が「やらない」と判断するのは、透明性開示・明示的同意・人間介入・異議申立て窓口という固定費を運用し続けてまで得たいパーソナライズ価格の差益が、大半のSaaS事業者にはそこまで大きくないと見ているからです。データ最小化(価格設定に不要なデータは使わない)を徹底しても、この帯に踏み込む限り義務そのものは消えません。

この判断の境界はもう一度書いておきます。対象は個人データを入力に使う個別価格だけです。国単位の地域別価格、B2Bの個別見積もりは、この判断の外にあります。

シリーズを横断すると見える方向

シリーズの他の2本、欧州向け価格運用の確認ポイントと海外向け価格運用のチェックリストを並べて読むと、法域を横断する一つのパターンが見えてきます。両記事とも、個別価格を「計算式の精密さ」では語らず、入力データ・例外処理・人手レビューの有無・問い合わせ窓口という4点セットの記録として扱うことを共通の解に置いています。これは、GDPR第22条が例外適用時に求める保護措置、すなわち人間の介入を得る権利、自己の見解を表明する権利、決定に異議を申し立てる権利と、実質的に同じ形をしています。GDPRという一つの法域が条文で明示的に要求している設計と、日米欧をまたぐ価格運用の実務が地域をまたいで独自に収斂した「安全な運用の型」は、根拠となる法域も義務の名前も違うのに、行き着く先がほぼ重なっているわけです。プライシング法制度ガイドシリーズを8本書き通して見えた最大のパターンは、これだと考えています。個人データ起点の価格は、法域ごとに異なる条文で規制されているように見えて、実務のレベルでは「人手レビューの有無を記録し、説明できる状態を保つ」という一点に収斂していきます。

本記事はプライシング法制度ガイドシリーズの7本目です。欧州向け価格運用の確認ポイントは、個別価格の根拠を「記録として残す」実務整理という一項目でこの論点に触れていましたが、本記事はその根拠がなぜ必要なのかを、GDPR第22条とSCHUFA判決の機構レベルまで掘り下げたものです。同様に、海外向け価格運用のチェックリストが「データ利用」層としてまとめているチェック項目は、本記事が示した適法化コストの内訳がその根拠になります。

もう一つ、本記事はここまで一貫して適法性の話しかしていません。個人データ起点の価格が第22条とオムニバス指令の要件を満たしていたとしても、それだけで顧客が納得するとは限りません。ダイナミックプライシングの公平性が扱っているのは、まさにこの先の話です。適法でも、価格差の理由が読み取れず選べる余地もなければ、不公平感は消えません。個人データ起点の価格を検討する事業者にとって、次に立てるべき問いは「これは合法か」ではなく、「これは合法だとしても、顧客に説明できるか」です。

参考リソース

EU法令・ガイドライン

研究・報告書

プライシング法制度ガイド

回タイトル
1 独占禁止法と価格設定
2 景品表示法と価格表示
3 下請法と価格交渉
4 消費者契約法・特商法
5 アメリカの価格規制
6 EUの価格規制
7 GDPR・価格パーソナライゼーション（この記事）
8 グローバルコンプライアンス

回	タイトル
1	独占禁止法と価格設定
2	景品表示法と価格表示
3	下請法と価格交渉
4	消費者契約法・特商法
5	アメリカの価格規制
6	EUの価格規制
7	GDPR・価格パーソナライゼーション（この記事）
8	グローバルコンプライアンス

本記事はプライシング法制度ガイドシリーズの一部です。

この記事の著者

猪良幸太郎

東京理科大学卒業後、国内独立系コンサルティングファームに入社し、IT・業務コンサルタント兼マネージャーとして業務最適化やシステム導入プロジェクトを経験。その後プライシングスタジオに入社し、執行役員兼ビジネス本部長として顧客のプライシング変革支援をリードする傍ら、自社の新規事業立ち上げの推進にも従事。