スペインでVPNは合法か？法律と、その疑問を生んだ13件のブロック事例

このページの以前の版は、スペインが世界で二番目に多く攻撃を受けている国であること、一日あたり45,000件のサイバー攻撃、そしてVPN登録数の2,500%の急増という話で始まっていました。私はこの三つすべての出典を確かめようとしました。最初の二つは、調査方法を示していないスペインのセキュリティベンダーのプレスリリースにたどり着きます。三つ目は誤読です。出典とされている企業Protonが自社の投稿で報告していたのは、200%の急増でした。この版には、そのいずれも載せていません。

人々がこのページに持ち込む疑問は、もっと単純です。スペインでVPNは合法なのか、そしてしばしば、イタリアやスペインではどうなのか。短い答えは「はい」です。長い答えが重要なのは、スペインが、サッカーの海賊版配信を狙ったブロックによって無関係な数十万のウェブサイトが閲覧不能になった国であり、裁判所がいまやVPN事業者二社にもそこに加わるよう命じた国だからです。以下に、根拠法を添えたルールと、2017年以降に私が裏付けを取れたすべてのブロック事例を、VPNがあれば回避できたかどうかの判定付きで示します。

スペインでVPNは合法ですか？

はい。スペインではVPNを販売することも利用することも合法で、私が見つけられた限り、VPNに言及するスペインの法律は一つもありません。私は情報社会サービス法、2022年の電気通信法、データ保持法、著作権法、賭博法、そして刑法第270条を調べました。「VPNは合法である」と述べる公式の一文は存在しません。誰もそれを書く必要がなかったからです。それに最も近いのは国のサイバーセキュリティ研究所INCIBEで、その公衆Wi-Fiに関する第一の推奨事項は、VPNを使うことです。

この11行から二点を挙げます。スペインには、ウェブサイトのブロックに至る五つの別々の経路があります。一般法である情報社会サービス法、民事裁判所、文化省の委員会、賭博規制当局、そして刑事裁判所です。この五つのうち三つは裁判官なしで機能し得ます。医薬品庁がWomen on Webをブロックした際に使った一般法の経路、サイトが侵害を繰り返す者にあたる場合の文化省の委員会、そして賭博規制当局です。そして11行のどれにおいても、法律はVPNを使う個人に何の義務も課していません。すべての義務は、事業者、仲介者、または権利侵害者に課されています。スペインのVPN法とは、いまのところ、VPN法が存在しないということです。

どのブロック命令が、スペインの人々にVPNについて調べさせたのでしょうか？

この表は、2017年から2026年9月までの13件の事例を挙げています。最後の列は、狭い技術的な問いに答えるものです。ブロックの仕組みからみて、VPNがあれば回避できたのか、という問いです。何を閲覧することが適法だったかについて述べるものではありません。

判定は、「はい」が十件、「一部」が二件、「不要」が一件です。理由は構造的なものです。十三件のうち十件は、アクセスプロバイダーのネットワーク内に構築されたもので、VPNトンネルは開封されることなくそのネットワークを通過します。2019年のGitHubのジオブロックはスペインのIPアドレスを基準にしており、VPNはこれも変えます。二件の事例は性質が異なります。2017年に国はドメインのレジストリに向かい、差し押さえられたドメインは全世界から消えました。2026年に権利者はVPN事業者そのものに向かいました。これが、アクセスネットワークだけでは足りなくなったときにブロックが向かい得る二つの方向です。

サッカー関連のブロックの規模は、実際の測定値がある部分です。OONIは、2026年1月1日から6月1日までの間にスペインのネットワークでブロックされた7,441個のIPアドレスを特定し、それと920万件の人気ドメインを照合しました。そのうち554,507件、つまり5.8%が、いずれかの時点でブロックされたアドレスに載っていました。それらのドメインのうち501,000件超は2,218個のCloudflareのアドレスの背後にあり、一時間のうちに4個から20個のアドレスをブロックするだけで、400,000件を超えるドメインに支障が出ました。影響を受けたサイトには、UNICEFや国連難民機関の各国向けページ、アムネスティの各国支部、ソフトウェアレジストリが含まれていました。LaLigaの立場は、このブロックが週末の海賊版視聴を「付随的な影響なしに」40から60%減らしたというものです。バルセロナの裁判所は2025年3月、CloudflareとセキュリティカンファレンスRootedCONによる無効の申立てを退け、第三者への損害は証明されていないと判断しました。省に寄せられたネット中立性に関する苦情は、2025年に約十件から約265件に増えました。

これが、「スペインでVPNは合法か」がよくある検索になった理由です。尋ねていた人の大半は、サッカーを探していたわけではありません。土曜の夕方にデプロイが失敗した開発者であり、決済ページが読み込まれなかった買い物客でした。

イタリアやスペインでVPNは合法ですか？両国はどう違うのでしょうか？

VPNの利用は両国で合法です。違いは、ブロックの義務がVPN企業やDNS企業にどこまで押し広げられたかにあり、イタリアのほうが先へ進んでいます。

対比されるのは、規制当局と法廷です。イタリアは、VPN事業者を常設の行政の仕組みに書き込みました。スペインにあるのは一件の仮処分命令だけで、その命令を出した裁判所自身が、その後、制裁金による執行を見送りました。どちらの国も、利用者には手を付けていません。スペインでのVPN利用とイタリアでのVPN利用に関する当社のページは日常的な側面を扱っており、フランスにおけるウェブサイトブロックの一覧は第三のモデルを示しています。そこでは、パリの裁判所が2025年5月以降、五社のVPN事業者にスポーツの海賊版ドメインのブロックを命じてきました。

スペインのプライバシー、データ保持、サイバー犯罪はどうなっていますか？

以前のページは、不安をあおる数字に頼っていました。以下が公式の数字です。INCIBEの対応チームは2025年に122,223件のサイバーセキュリティインシデントに対応しました。前年比26%増で、そのうち45,445件がフィッシングを含むオンライン詐欺でした。データ保護庁は2025年に30,931件の苦情を受け付けました。64%増で同庁の歴史上最多であり、4,810万ユーロの制裁金を科しました。

データ保持について、スペインにはいまも12か月のルールがあります。これは、EU指令を実施するために2007年に採用されたものですが、その指令はEU司法裁判所が2014年に無効とし、これが包括的なデータ保持を否定する一連の判決の最初のものとなりました。この法律は通信事業者を拘束し、アクセスには裁判官の許可を必要とし、書き直されていません。したがって、あなたのインターネットプロバイダーは、あなたがいつどこで接続したかについての一年分の記録を保持しています。ただし、何を読んだかは含まれません。VPNは、そのプロバイダーがあなたの接続先について記録できるものを、VPNサーバーという単一の項目に置き換えます。当社の16の法域におけるデータ保持法の一覧表は、ほかの国々が同じ問題をどう扱っているかを示しています。Le VPNは、100を超えるロケーションの一つとしてスペインにサーバーロケーションを持ち、10台の同時接続が可能で、30日間の返金保証が付いています。

今後、何が変わるのでしょうか？

• 憲法裁判所。RootedCONは2025年5月16日、サッカー関連のブロックに対する申立てを発表し、Cloudflareも2025年6月までに独自の申立てを行いました。2026年9月18日時点で、同裁判所はRootedCONの申立てを受理するかどうかをまだ決めていませんでした。
• コルドバ。VPN事業者二社に対する仮処分命令は引き続き有効で、本案は係属中です。Protonがこの命令を実施したかどうかについての報道は、私が調べた限り見つかりませんでした。
• バルセロナの判決が失効するのは、2026年から2027年のシーズンの終了時、2027年6月20日ごろです。LaLigaの2027年から2032年の放映権の入札は、ブロックへの協力と、VPNおよびDNSサービスに対する法的措置への支持を、入札者の条件としています。2027年に新たな申立てが行われる可能性は高いでしょう。
• 下院。ある委員会が2026年4月29日、拘束力のない動議を可決し、「技術的比例性」を法律に書き込むよう政府に求めました。それ自体では何も変わらず、その後に法案は続いていません。
• 未成年者保護法。政府は、この組織法を2026年末までに成立させたい考えです。注視すべき条項は修正案第89号で、VPN事業者とDNS事業者を、30分以内のブロック義務を負う仲介者として情報社会サービス法に書き込むものです。委員会がこれを受け入れたかどうかは、私には確認できませんでした。
• Women on Web対スペインの事件は、2026年6月12日に欧州人権裁判所に申し立てられました。
• イタリア。ラツィオ州行政裁判所は2026年7月17日、判決13201/2026でCloudflareへの制裁金を支持しました。Cloudflareは、再び不服を申し立てると述べています。