について EU e-エビデンス規則（EU）2023/1543 が、あたかも通信事業者だけの問題であるかのように語られることが多い。そうではない。以下から 2026年8月18日, オンラインマーケットプレイス、SaaSプラットフォーム、クラウドストレージおよびIaaSプロバイダー、ホスティング会社、ソーシャルネットワークおよびコラボレーションツールは、すべて明示的に適用範囲内です。御社のプラットフォームがユーザーデータを保存、処理、送信し、EU域内のユーザーにサービスを提供している場合、欧州生産命令（EPO）や欧州保全命令（EPOC-PR）を、外交的な仲介者を介さずに、厳しい規制期限内に直接受け取り、執行する準備が整っていなければなりません。.
これまでデータ要求に時折、その場限りの法的問題として対処してきたプラットフォームにとって、これは一歩進んだ変化である。ドイツ連邦法務省の試算だけでも、およそ ドイツ国内9,000社 また、EUの他の地域でも同様の規制が適用される。このガイドでは、どのプラットフォームが影響を受けるのか、どのような注文が予想されるのか、規制が特にマーケットプレイスやクラウドプロバイダーに求めるものは何か、どのようにコンプライアンスに準拠したオペレーティングモデルを構築すれば間に合うのかについて、具体的に説明している。.
e-エビデンスの対象となるオンライン・プラットフォームは？
同規則は、現代のオンラインサービスの実態を把握するため、意図的に広範で技術中立的な定義を使用している。プラットフォーム事業者に最も直接関連するカテゴリーは以下の通り：
- オンライン・マーケット - B2Cマーケットプレイス、ピアツーピア取引プラットフォーム、チケット販売プラットフォーム、ギグ＆オンデマンドマーケットプレイス、レンタルプラットフォームなど、第三者が消費者に商品やサービスを提供できるプラットフォーム。.
- クラウド・コンピューティングとストレージ・プロバイダー - IaaS、PaaS、SaaSプロバイダー、オブジェクト／ファイル・ストレージ・サービス、バックアップ／災害復旧プロバイダー、マネージド・データベース・サービス。.
- ホスティング・プロバイダー - マネージド・ホスティング、専用サーバー、VPS、コンテンツ・デリバリー・ネットワーク、エッジ・プラットフォーム。.
- ソーシャル・ネットワークとオンライン・コミュニティ - フォーラム、出会い系アプリ、プロフェッショナル・ネットワーク、ソーシャル機能を備えたゲーム・プラットフォーム、クリエイター／ストリーミング・プラットフォームなど。.
- ユーザーデータを保存する情報社会サービス - コラボレーション・スイート、ファイル共有ツール、プロジェクト管理プラットフォーム、ローコード／ノーコード・プラットフォーム、プロンプトやアウトプットを保持するAI製品。.
- インターネット・ドメインおよびIP番号サービス - レジストリ、レジストラ、プライバシー/プロキシサービス、RIRおよびDNSプロバイダ。.
- 数字に依存しない対人コミュニケーション - オーバー・ザ・トップのメッセージング、ビデオ会議、チャット機能が大型製品に組み込まれている。.
極めて重要なのは、同規則が “「実質的関係」テスト例えば、ローカライズされた価格設定、言語、マーケティングなどを通じて、EU市場をターゲットにしている場合、法人がどこに登記されているかにかかわらず、その範囲に含まれます。.
当局はどのようなデータを要求するのか？
同規則は、電子証拠を4つのカテゴリーに分類し、それぞれに異なる閾値と保護措置を設けている：
- 加入者データ - 身元、連絡先、請求情報、利用サービスの種類、登録日。.
- 利用者を特定することのみを目的として要求されるデータ - 個人を特定する目的のみに使用されるIPアドレスやアクセスログ。.
- 交通データ (識別データ以外） - 接続ログ、トランザクションメタデータ、デバイスID、タイムスタンプ、ルーティング情報。.
- コンテンツ・データ - リスティング、メッセージ、アップロードされたファイル、写真、文書、取引記録、その他の実質的なコンテンツ。.
加入者データおよび身分証明データは、あらゆる犯罪に対して要求される可能性がある。トラフィックデータとコンテンツデータは、3年以上の親告罪、または重大なサイバー犯罪、テロリズム、児童性的虐待、組織犯罪の定義されたリストのために予約されています。マーケットプレイスやクラウドプラットフォームは通常、この4つのカテゴリーすべてを保有している。だからこそ、正確なデータマッピングはコンプライアンスの基礎となる作業なのだ。.
マーケットプレイスとクラウド・プラットフォームにおける典型的なe-エビデンス・シナリオ
オンライン・マーケットプレイス詐欺
詐欺組織を追う捜査官は、マーケットプレイス運営者に出品者の身元、登録IP、取引履歴、被害者とのメッセージのやり取りを問い合わせる。加入者とトラフィックのデータは、標準的な10日間のウィンドウの下で流れることができます。メッセージや写真などのコンテンツデータは、重大な犯罪のために予約されており、追加のセーフガードを必要とします。.
クラウドプラットフォームにおけるランサムウェアとインフラの悪用
ランサムウェアを捜査する検察官が、クラウドプロバイダーに対し、疑わしいテナントの制御プレーンのログ、インスタンスのメタデータ、課金ID、ストレージへのアクセスログを要求する。これらは一刻を争う要求であり、通常、以下のような形で届く。 8時間以内の緊急EPO.
オンライン児童安全調査
ソーシャル・プラットフォームやコンテンツ・プラットフォーム上の児童性的虐待資料に関する調査は、通常、身元確認命令とコンテンツ制作・保存命令を組み合わせて行われる。このようなケースは、同規則の促進されたチャンネルの恩恵を受けるが、同時に最高水準の完全性とChain of Custodyも要求される。.
アカウント乗っ取りと大規模フィッシング
当局は、捜査の初期段階で保全命令（EPOC-PR）を発行し、ログやアカウントデータをロックダウンすることができる。プラットフォームは、通常の保存や分析ワークフローを妨げることなく、特定のデータセットを60日間保存し、さらに30日間延長できなければならない。.
非EUプロバイダーの挑戦指定事業所
EU域外に本社を置くプラットフォームにとって、最も重大な要件のひとつは、指令(EU) 2023/1544に基づき、以下の者を指定する義務である。 公的機関または法定代理人 を指定する。この指定団体は、すべてのEPOおよびEPOC-PRの送達先であり、それ自体がコンプライアンスに責任を負う。.
- 指定施設がなければ、合法的に命令を受けることができず、異議を申し立てることもできない。 世界の年間売上高の2%.
- 指定された事業体は，管轄の国家当局（ドイツでは，以下の機関）に登録されなければならない。 連邦司法省; 他の加盟国にも同等のものがある）。.
- 規制の期限内に命令を実行する権限と運用能力を持たなければならない。.
- グローバルな法務、セキュリティ、エンジニアリングの各チームと、しばしば時差を越えてシームレスに連携しなければならない。.
多くの非EUプラットフォームにとって、最も効率的なソリューションは サービスとしての指定事業所 取り決め：規制対象のEUパートナーがお客様の窓口となり、24時間365日体制で注文を受け付け、注文の確認とトリアージを行い、プラットフォーム側の知識が必要な実質的な決定のみをお客様の社内チームにエスカレーションします。.
マーケットプレイスとクラウドプラットフォームの運用要件
コンプライアンスは単なる事務作業ではない。10日間の標準期限と8時間の緊急期限を確実に守るために、通常、プラットフォームには以下のものが必要です：
- 安全なインテーク・インターフェース につながる e-コーデックス, デジタル署名と発行機関の認証情報の自動検証。.
- クロスシステムデータディスカバリー レガシーデータストアと最新のデータストアにまたがる加入者、識別情報、トラフィック、コンテンツデータを検索することができる。.
- 標準化されたエクスポート・フォーマット データフォーマットに関する欧州委員会の施行規則に合致している。.
- 暗号化配信 e-CODEXを通じて、検証可能な受領と監査グレードのロギングを行う。.
- 改ざん防止監査証跡 これは、証拠としての完全性と事後の規制当局の審査に不可欠なものである。.
- 24時間年中無休のオンコール体制による法律および技術対応者, リハーサルされた緊急オーダー用のランブックがある。.
- データの最小化管理 GDPR第5条に従い、特別に注文されたもののみを開示することを保証します。.
- 透明性報告 超大規模オンラインプラットフォーム（VLOP）および超大規模オンライン検索エンジン（VLOSE）については、デジタルサービス法に沿ったものとなっている。.
このすべてを社内で構築することは、最大規模のプラットフォームでは可能だが、ほとんどのマーケットプレイスやクラウドプロバイダーは、専用のソリューションから利益を得ている。しかし ICS e-Evidenceコンプライアンス・プラットフォーム は、取り込みから検証、抽出、レビュー、配信までのライフサイクル全体をカバーし、既存のID、ロギング、ストレージ・システムと統合する。.
クラウド・サービス・プロバイダーに関する特別な考慮事項
クラウド・プロバイダーは、純粋なコンテンツ・プラットフォームにはない、いくつかの階層的な課題に直面している：
- マルチテナントと分離： プロダクションは、技術的にも契約上も、他のテナントを危険にさらすことなく、単一の顧客のデータをターゲットにしなければならない。.
- 顧客が管理する暗号化： 顧客が独自の鍵を保持する場合（BYOK/HYOK）、プロバイダはコンテンツ・データを作成できな い可能性があり、その制限は文書化され、通知されなければならない。.
- 責任を共有する： 契約書やデータ処理契約書には、どの当事者がどのデータについて法執行命令を受け、実行する責任を負うかを明記すべきである。.
- 顧客への通知 商業顧客、特に企業のB2B顧客は、発行当局が課す守秘義務を条件として、アクセス要求の通知を受ける契約上の権利を有することが多い。.
- 地域を越えた複製： データは複数の加盟国または第三国に存在する可能性があり、EUの命令と第三国の法律との間に抵触する可能性がある（「第17条の見直し」）。.
オンライン・マーケットプレイスに関する特別な考慮事項
- 売主検証データ (KYC、事業登録、タックスID）は、調査者にとって最も価値の高い加入者データであることが多く、容易に抽出できなければならない。.
- リストとメッセージ は一般的にコンテンツ・データであり、より高い犯罪重要度のしきい値を生成する必要がある。.
- 支払いデータ 誰がどの注文に応じるかを明確にすることが不可欠である。.
- 越境セラー e-エビデンスは、消費者保護、VAT、DSAの義務と重複する。.
コンプライアンス違反に対する罰則
加盟国は、効果的、比例的、かつ説得力のある罰則を課さなければならない。同規則は、行政罰の基準として以下を定めている。 プロバイダーの全世界の年間売上高の2%まで. .中堅のSaaSプラットフォームにとっては、数千万ユーロを意味し、ハイパースケーラーや大規模なマーケットプレイスにとっては、見出しの数字が財務報告の重要な要素となる。ハイパースケーラーや大規模なマーケットプレイスでは、見出しの数字が財務報告にとって重要な意味を持つようになる。罰金だけでなく、度重なる失敗は裁判所命令や規制措置の引き金となり、企業の顧客やパートナー、投資家に対する風評被害も大きくなる。.
プラットフォームの2026年8月までの6ヶ月ロードマップ
- 1-2ヶ月目 - スコープとデータマッピング。. どのエンティティおよびサービスが対象であるかを確認し、システム間の加入者／識別／トラフィック／コンテンツ・データをマッピングし、ギャップを特定する。.
- 2-3ヶ月目 - 法的基盤。. EUの事業所を指定し、管轄当局に登録し、契約書、DPA、規約、法執行ガイドラインを更新する。.
- 3-4ヶ月目 - テクニカルビルド。. e-CODEXとの統合、取り込み/検証/抽出ツールの導入、監査ロギングの強化。.
- 4-5ヶ月目 - 運用準備。. 年中無休の対応チームのリクルートと訓練、実行要綱の作成、緊急時の卓上訓練の実施。.
- 6ヶ月目 - 保証。. 独立したコンプライアンス監査、取締役会レベルのサインオフ、2026年8月18日までの本番リハーサル。.
よくある質問
より詳細なリファレンスは e-エビデンス FAQ.
e-Evidenceは小規模なマーケットプレイスやクラウドの新興企業にも適用されるのか？
はい。一般的な中小企業の免除はありません。EU域内のユーザーに対して適用範囲内のサービスを提供している場合は、従業員数や売上高に関係なく適用範囲内となります。小規模なプラットフォームは、コンプライアンスに比例して範囲を広げることができますが、中核的な義務（指定された設立、取り込み、対応能力）は依然として適用されます。.
既存の法執行機関のワークフローに頼っていていいのだろうか？
おそらく無理だろう。既存のワークフローのほとんどは、手作業による電子メールやポータルからの取り込みと、数週間のターンアラウンドを想定している。e-Evidence規則では、e-CODEXベースの取り込み、1時間レベルの緊急対応、改ざん防止監査ログが要求されるが、レガシーワークフローでは通常提供されない。.
データがサブプロセッサーまたは当社グループの他の組織によって保持されている場合はどうなりますか？
注文を受けたプロバイダーは、それを実行する責任がある。社内契約とデータ処理の取り決めを整合させ、サブプロセッサーや関連会社に規制期限内にデータを提供するよう強制できるようにしなければならない。.
エンド・ツー・エンドの暗号化サービスは？
同規則は、プロバイダに対して暗号化を弱めることを要求していない。顧客が保有する鍵や真のE2Eアーキテクチャのために、コンテンツデータに純粋にアクセスできない場合、その制限を伝えることはできるが、それでもアクセスできる加入者、識別情報、メタデータを作成しなければならない。.
ICSがプラットフォームの準備を支援する方法
ICSは テクニカル・コンプライアンス・プラットフォーム そして 指定事業所サービス は、急成長中のSaaSスケールアップ企業からグローバルマーケットプレイス、ハイパースケールクラウドプロバイダーまで、あらゆる規模のプラットフォームに対応しています。e-CODEXの取り込み、自動検証、マルチシステムデータ抽出、暗号化配信、改ざん防止監査ロギング、24時間365日管理されたオペレーションなど、統合されたオペレーションを提供します。 e-Evidenceコンプライアンス・プログラム.
今すぐICSにご連絡ください 2026年8月18日の期限までの明確なロードマップとともに、貴社のプラットフォームに対する独立したe-Evidence準備アセスメントをご利用ください。.
