REGULATORY INSIGHT

EUデジタルIDウォレット ― 2026年12月24日から依拠当事者の登録が始まります

2026年8月22日

EUデジタルIDウォレットから利用者の属性を受け取ろうとする事業者は、あらかじめ「依拠当事者」として登録しなければなりません。この登録の枠組みを定めた実施規則（EU）2025/848の適用が、2026年12月24日に始まります。残り4か月です。

何が始まるのか

実施規則（EU）2025/848は2025年5月6日に採択され、同年7月30日に官報で公表されました。加盟国は、ウォレットの依拠当事者を登録する国内の登録簿を整備することが求められます。

登録した事業者には、次の義務が課されます。

• 依拠当事者として正式に登録すること
• 登録した情報を正確かつ最新に保つこと
• 宣言した目的と権限の範囲内でのみ動作すること

3点目が実務上いちばん効きます。ウォレットの利用者に対して求めてよい属性は、登録時に宣言した内容に紐づきます。必要以上の属性を要求することは、規則違反として扱われる構造です。

日本企業にも関係します

EU域内の利用者に対してサービスを提供し、その本人確認や属性確認にウォレットを使おうとするのであれば、事業者がどこに所在していても登録の対象になり得ます。「EUに拠点がないから関係ない」とは言えません。

関係しそうな事業としては、EU域内の顧客を受け入れるオンラインサービス、年齢確認が必要な事業、金融・決済、越境のeコマースなどが挙げられます。EUの利用者に対して身元確認や属性確認を求める場面があるかどうかが、判断の起点になります。

登録簿は加盟国ごとに整備されます

登録簿は加盟国が整備します。複数の国で事業を展開する場合、参照すべき登録簿も複数になります。

ここで注意が要るのは、登録簿の実装が国ごとに揃うとは限らないという点です。機械可読な形式で情報を提供する国もあれば、そうでない国もあり得ます。登録証明書の発行の扱いも一律ではありません。相手方の登録内容を確認しようとしたとき、国によって確認のしやすさが変わることになります。

相手が登録済みか、そして自社が求めている属性がその登録範囲に含まれるか。この確認の難しさは、相手がどの国で登録しているかによって変わります。

「拒否すればよい」では済まない場面が生じます

確認できなかった場合に取引を止める、という運用は一見すると安全です。しかし、確認できなかった原因が相手側にあるのか、登録簿の側にあるのか、自社の実装にあるのかで、取るべき対応は変わります。原因を区別せずに一律で止めれば、正当な利用者を排除することになりかねません。

逆に、確認できなかったことを記録せずに通してしまえば、後から「宣言した範囲を超えて属性を求めていた」と指摘されたときに反証する材料が残りません。

いま確認しておくとよいこと

• EU域内の利用者に対して、身元確認または属性確認を求める場面があるか
• ある場合、求めている属性を洗い出せているか。実際に必要なものに絞れているか
• 複数の加盟国で展開する予定があるか。ある場合、どの国の登録簿を参照することになるか
• 確認できなかった場合の扱いを、原因ごとに区別して決めてあるか
• 2026年12月24日までに登録の準備が間に合う体制か

運用でしのぐか、仕組みで担保するか

登録範囲との突き合わせを人手で行う運用も、対象国が少なく取引量が限られていれば成り立ちます。ただし国ごとに登録簿の実装が異なり、参照した時点によって結果が変わり得る手続では、確認の記録が揃っていなければ後から検証できません。

当社は、規制対応の適合性を人手の運用ではなく仕組みとして担保する技術を研究開発し、その成果を特許出願として保有しています。この領域についても出願を行っています。

← 規制解説の一覧へ