欧州⼀般データ保護規則（GDPR）施⾏に向けた最新状況弁護⼠・ひかり総合法律事務所
国⽴研究開発法⼈理化学研究所
⾰新知能統合研究センター客員主管研究員
板倉陽⼀郎

2018/05/19

情報法制研究会第7回シンポジウム

1

⾃⼰紹介
• 2002年慶應義塾⼤学総合政策学部卒，2004年京都⼤学⼤学院情報学研究科社会情報学専攻修⼠課程修了，2007年慶應義塾⼤学法務研究科（法科⼤学院）修了。
2008年弁護⼠（ひかり総合法律事務所）。2016年4⽉
よりパートナー弁護⼠。
• 2010年4⽉より2012年12⽉まで消費者庁に出向（消費者制度課個⼈情報保護推進室（現・個⼈情報保護委員
会事務局）政策企画専⾨官）。2017年4⽉より国⽴研
究開発法⼈理化学研究所⾰新知能統合研究センター社
会における⼈⼯知能研究グループ客員主管研究員。
• 総務省・AIネットワーク社会推進会議環境整備分科会
及び影響評価分科会構成員，IoT推進コンソーシア
ム・データ流通促進WG及びカメラ画像利活⽤SWG委員等。
2018/05/19

情報法制研究会第7回シンポジウム

2

参照⽂献
• 条⽂（訳⽂）••「個⼈データの取扱いに係る⾃然⼈の保護及び当該データの⾃由な移転に関する欧州議会及び欧州理事会規則（⼀般データ保護規則）（仮⽇本語訳）」（JIPDEC，2016年8⽉）「EUデータ保護⼀般規則前⽂私訳の公開」（夏井⾼⼈・KDDI総研，2016年11⽉1⽇）

• 解説
•
•
•
•
•
•
•
•
•
•

夏井⾼⼈「個⼈データの処理と関連する⾃然⼈の保護及び個⼈データの⾃由な移転並びに指令
95/46/ECの廃⽌に関する欧州議会及び理事会の2016年4⽉27⽇の規則（EU)2016/679（⼀般
データ保護規則）[参考訳]」法と情報雑誌1巻3号1-186⾴（2016年9⽉）[夏井]
堀部政男「EU⼀般データ保護規則と⽇本」ビジネス法務17巻8号12-13⾴（2017年8⽉）[堀部]
宮下紘「規則の特徴と対応」同14-18⾴[宮下]杉本武重「EU域内における義務強化―データ管理者・処理者の新たな責任」同19-26⾴[杉本]加藤隆之「個⼈データに関する『新たな権利』」同27-30⾴[加藤]⽯井夏⽣利「域外適⽤の対象と違反時の制裁」同31-35⾴[⽯井]板倉陽⼀郎「越境データ移転―事業者が選択可能な⽅法と実務対応」同36-40⾴[板倉]佐藤真紀「適⽤対象の拡⼤とCookie規制の緩和 eプライバシー規則案」同41-45⾴[佐藤]市川芳治「個⼈データ保護規則と競争政策―⽇本でも議論進む・今後の展開は」同46-49⾴[市川]柳池剛「プライバシーコンプライアンスの『世界標準』」同50-54⾴[柳池]2018/05/19

情報法制研究会第7回シンポジウム

3アジェンダ• 1

欧州⼀般データ保護規則（GDPR）の概要
• 1.1
• 1.2
• 1.3
• 1.4

• 2

GDPR上の権利・義務
• 2.1
• 2.2
• 2.3

• 3

GDPRとは何か
GDPRはいつから適⽤されるのか
GDPRは誰に適⽤されるのか
GDPRは誰が執⾏するのかGDPRにおける個⼈データ取扱いの原則
GDPRにおけるデータ主体の権利
GDPRにおけるデータ管理者・データ処理者の義務

EUによる⽇本の⼗分性認定
• 3.1
• 3.2
• 3.3

2018/05/19

GDPRにおける越境移転制限
GDPRにおける⼗分性認定
例外事由
情報法制研究会第7回シンポジウム4• 4 「個⼈情報の保護に関する法律についてのガイドライン（ＥＵ域内から⼗分性認定により移転を受けた個⼈データの取扱い編）」（案）
• 4.1
• 4.2
• 4.3
• 4.4

•5

経緯
ガイドラインの位置付け
ガイドラインの内容
今後の展望

⽇本によるEUの同等性認定• 5.1 個⼈情報保護法24条• 5.2「個⼈情報の保護に関する法律施⾏規則の⼀部を改正する規則」• 5.3 パブリックコメントにおける意⾒等•6

関連する話題• 6.1 BREXITのGDPRへの影響• 6.2 e-プライバシー規則

•7

まとめ

2018/05/19

情報法制研究会第7回シンポジウム

51 欧州⼀般データ保護規則（GDPR）の概要
1.1 GDPRとは何か• 前提知識：EU法の種類（国⽴国会図書館リサーチ・ナビ「EU法について」より）• ⼀次法（Primary Legislation）• EUの基本条約。現⾏の基本条約は、2009年12⽉に発効したリスボン条約により改正されたEU条約及びEU機能条約。基本条約と「同⼀の法的価値」を持つとされる
EU基本権憲章、EU司法裁判所が依拠する法の⼀般原則などを含むこともあり。

• ⼆次法（Secondary Legislation）• 規則（Regulation），指令（Directive），決定（Decision），勧告（Recommendation），意⾒（Opinion）• 判例（Case-Law）• EU司法裁判所（司法裁判所・総合裁判所・専⾨裁判所）の判例。但し先例拘束性はないとされる

2018/05/19

情報法制研究会第7回シンポジウム

6前提知識：⼆次法（Secondary
Legislation）の種類• 規則（Regulation）• 加盟国の国内法に優先して、加盟国の政府や企業、個⼈に直接適⽤される。加盟
国の国内⽴法は不要。加盟国の政府等に対して直接的な法的拘束⼒を及ぼす。

• 指令（Directive）• 加盟国の政府に対して直接的な法的拘束⼒を及ぼす。指令には政策⽬標と実施期限が定められ、指令が採択されると、各加盟国は、期限内に政策⽬標を達成するために国内⽴法等の措置を取ることが求められる。ただし、どのような措置を取るかは各加盟国に委ねられる。なお、企業や個⼈には直接適⽤されない。

• 決定（Decision）• 特定の加盟国の政府や企業、個⼈に対して直接適⽤され、対象となる加盟国の政府等に対して直接的な法的拘束⼒を及ぼす。

• 勧告（Recommendation）• 加盟国の政府や企業、個⼈などに⼀定の⾏為や措置を取ることを期待する旨、欧州委員会が表明するもの。原則として法的拘束⼒なし。

• 意⾒（Opinion）• 特定のテーマについて欧州委員会の意思を表明するもの。勧告と同様、原則として法的拘束⼒なし。

2018/05/19

情報法制研究会第7回シンポジウム

7データ保護改⾰パッケージ（dataprotection reform package）
Regulation (EU) 2016/679 of the European
Parliament and of the Council of 27 April 2016 on theprotection of natural persons with regard to theprocessing of personal data and on the freemovement of such data, and repealing Directive
95/46/EC (General Data Protection Regulation)

規則

欧州⼀般データ保護規則（GDPR)

指令

決定

DIRECTIVE 95/46/EC OF THE EUROPEANPARLIAMENT AND OF THE COUNCIL
of 24 October 1995 on the protection ofindividuals with regard to the processing of
personal data and on the free movement ofsuch data
1995年データ保護指令

Directive (EU) 2016/680 of the European Parliament and of
the Council of 27 April 2016 on the protection of natural
persons with regard to the processing of personal data bycompetent authorities for the purposes of the prevention,
investigation, detection or prosecution of criminal offences orthe execution of criminal penalties, and on the free movementof such data, and repealing Council Framework Decision
2008/977/JHA

刑事データ保護指令

COUNCIL FRAMEWORK DECISION
2008/977/JHA of 27 November 2008 on theprotection of personal data processed in theframework of police and judicial cooperationin criminal matters
刑事データ保護枠組み決定

2018/05/19

情報法制研究会第7回シンポジウム

8データ保護指令から⼀般デー
タ保護規則へ
仏・CNIL
仏
デ
ー
タ
保
護
法

独連邦プライバ
シーコミッショ
ナー

1995年
データ保護指令(95/46/EC)

独
連
邦
デ
ー
タ
保
護
法

仏・CNIL

独連邦プライバ
シーコミッショナー

欧州⼀般データ保護規則（GDPR)(Regulation(EU) 2016/679 )

実
施
法

実
施
法

（議会で検討中）

制定済

独・仏の例
2018/05/19

情報法制研究会第7回シンポジウム

9各国実施法の成⽴状況• 成⽴したのは極僅か• ドイツ，オーストリア，
スロバキア，ベルギー（組織法）• 実施法（案）が英語で検討できる国• ドイツ，英国，アイル
ランド

2018/05/19

情報法制研究会第7回シンポジウム

レイサムワトキンス法律事務所作成

10例：板倉・寺⽥「欧州⼀般データ保護規則（GDPR)における各国実施法の学術研究除外についての動向」（EIP80予告)• GDPR89条2項は，「科学的⼜は歴史的研究⽬
的⼜は統計⽬的」についてデータ主体の権利の除外を定めることを規定• 全てのデータ主体の権利を例外とすることを許しているものではなく，「第15 条，第16条，第18条及び第21条で定める権利」を挙げているに過ぎない．
具体的には，アクセス権（開⽰請求権）（15条），
訂正請求権（16条），処理の制限を得る権利（18条），異議申⽴権（21条）のみ• ドイツ（安全管理措置を義務付け）• イギリス（承認プロセス）• アイルランド（データ最⼩化）
2018/05/19

情報法制研究会第7回シンポジウム

111.2 GDPRはいつから適⽤されるのか• 2016年4⽉8⽇理事会採択• 2016年4⽉14⽇欧州議会採択• 2016年5⽉24⽇施⾏• 2018年5⽉25⽇から適⽤• 参考：刑事データ保護指令• 2016年4⽉8⽇理事会採択• 2016年4⽉14⽇欧州議会採択• 2016年5⽉5⽇施⾏• 2018年5⽉6⽇までに国内法化義務
2018/05/19

情報法制研究会第7回シンポジウム

121.3 GDPRは誰に適⽤されるのか

2018/05/19

情報法制研究会第7回シンポジウム
外務省ウェブサイト

13

http://www.mofa.go.jp/mofaj/area/osce/s_kikou.htmlより

第 2 条 実体的範囲
Article 2 Material scope• 1. 本規則は、全部⼜は⼀部が⾃動的な⼿段による個⼈データの取扱いに適⽤される。
ファイリングシステムの⼀部である、⼜はファイリングシステムの⼀部にすることが意
図された個⼈データの⾃動的な⼿段以外の取扱いにも適⽤される。
• 1. This Regulation applies to the processing of personal data wholly or partly byautomated means and to the processing other than by automated means of personal
data which form part of a filing system or are intended to form part of a filing system.
• 2. 本規則は、次に掲げる個⼈データの取扱いには適⽤されない。
• 2. This Regulation does not apply to the processing of personal data:• (a) EU 法の適⽤を受けない活動における個⼈データの取扱い。
• (a) in the course of an activity which falls outside the scope of Union law;
• (b) （略）• (c) 全⾯的に個⼈的な⼜は家庭内の活動における⾃然⼈による個⼈データの取扱い。
• (c) by a natural person in the course of a purely personal or household activity;• (d)（略）• 3.-4.（略）

2018/05/19

情報法制研究会第7回シンポジウム

14ファイリングシステムによる
限定• 「ファイリングシステム」：電⼦的なもの，⾮電⼦的なものを含め，⼀般に何らかの⽅法によって検索することが可能なデータベースシステムのことを意味する（[夏井])• ①⾃動処理される個⼈データ• ②データベースに収録される個⼈データ• のみが，GDPRの対象となる。
• 散在情報である名刺であっても，名刺アプリで読み取ってデータベース化することが意図される（are intended to ）のであれば⼊る(同）• 但し，2条2項(c)による制限
2018/05/19

情報法制研究会第7回シンポジウム

15

第 3 条 地理的範囲
Article 3 Territorial scope• 1. 本規則は、EU 域内の管理者⼜は取扱者の事
業所の活動に関連してなされる個⼈データの取扱いに適⽤される。この場合、その取扱いがEU 域内⼜は域外でなされるか否かについては問わない。
• 1. This Regulation applies to the processingof personal data in the context of theactivities of an establishment of a controller
or a processor in the Union, regardless ofwhether the processing takes place in theUnion or not.
2018/05/19

情報法制研究会第7回シンポジウム

16

前段

後段

EU

管理者

取扱者

EU

管理者

取扱者

管理者
（⽀店）

EU外

2018/05/19

情報法制研究会第7回シンポジウム

17

域外適⽤
• 2. 本規則は、EU 域内に拠点のない管理者⼜は取扱者による EU 在住のデータ主体の個⼈データの取扱いに適⽤される。ただし、取扱い活動が次に掲げる項⽬に関連しているものに限られる。
• 2. This Regulation applies to the processing of personal data of data
subjects who are in the Union by a controller or processor not
established in the Union, where the processing activities are relatedto:• (a) EU 在住のデータ主体に対する商品⼜はサービスの提供に関する取扱い。この場合、データ主体に⽀払が要求されるか否かについては問わない。
• (a) the offering of goods or services, irrespective of whether apayment of the data subject is required, to such data subjects in theUnion; or• (b) EU 域内で⾏われるデータ主体の⾏動の監視に関する取扱い。
• (b) the monitoring of their behaviour as far as their behaviour takes
place within the Union.
• 3.（略）2018/05/19

情報法制研究会第7回シンポジウム

18

(a) EU 在住
のデータ主
体に対する
商品⼜は
サービスの
提供に関す
る取扱い

(b) EU 域内
で⾏われる
データ主体
の⾏動の監
視に関する
取扱い

EU

データ
主体

管理者
取扱者

EU外

EU

データ
主体

管理者
取扱者

EU外

2018/05/19

情報法制研究会第7回シンポジウム

19(a) EU 在住のデータ主体に対する商品⼜はサービスの提供に関する取扱い• 前⽂（23）• …管理者または処理者が欧州連合内のデータ主体に対して物品または役務を提供しているか否かを判断するために、その管理者または処理者が欧州連合内の 1 または複数の構
成国内のデータ主体に対して役務を提供しようとする意思が明確かどうかを確認しなけ
ればならない。管理者の欧州連合内の Web サイト、処理者の欧州連合内の Web サイ
トまたはその中間的な媒介者の欧州連合内の Web サイト、電⼦メールアドレスまたは
その他の連絡⽤の詳細情報へのアクセスが容易ではないということ、あるいは、当該管理者が設けられている第三国において⼀般的に⽤いられている⾔語が使⽤されているということだけでは、そのような意思を確認するためには不⼗分であるが、1 または複数の構成国において、⼀般的に⽤いられており、その外国語を⽤いて物品及び役務の注⽂をすることができる⾔語及び通貨が利⽤されていること、あるいは、欧州連合内に居住する消費者または利⽤者に関する⾔及があることといったような要素は、その管理者が欧州連合内のデータ主体に対して物品または役務を提供しようとする意思があることを明確なものとすることができる。
• 「データ主体に対して役務を提供しようとする意思」••••✕ウェブサイト，メールアドレス等に単にアクセスできる✕⼀般的に⽤いられている⾔語が使⽤されている○⼀般的に⽤いられている⾔語及び通貨の利⽤○欧州連合内に居住する消費者⼜は利⽤者に関する⾔及• 「EU関係者に確認したところによると，英語圏である英国の場合は（離脱の問題はあるものの），英語に加えてポンドでの取引を⾏えば適⽤されうる」（[⽯井]）。
2018/05/19

情報法制研究会第7回シンポジウム

20

(b) EU 域内で⾏われるデータ主体の⾏動の監視に関する取扱い• 前⽂(24) 欧州連合内に設けられていない管理者または処理者による欧州連合内のデータ主体の個⼈データの処理は、そのようなデータ主体の⾏動を監視することと関連する場合にも、そのデー
タ主体の⾏動が欧州連合内で発⽣するものである限り、この規則に服するものとしなければならない。処理⾏為がデータ主体の⾏動の監視と考えることができる否かを判断するためには、とりわけ、彼もしくは彼⼥に関連する判断をするため、または、彼もし
くは彼⼥の個⼈的な嗜好、⾏動及び傾向を解析または予測するた
めに、⾃然⼈のプロファイリングを構成する個⼈データ処理技術
が後に使⽤される可能性を含め、インターネット上で⾃然⼈が追跡されているかどうかを確認しなければならない。
• ⾏動ターゲティング広告をするような場合は該当すると思われる。
• 前⽂(23)と異なり，意思的要素が加味されていない。そのため，偶発的に欧州連合内のデータ主体が加わってくるような場合にも排除することが困難である。
• 技術的な⼿段により排除することが適切か

2018/05/19

情報法制研究会第7回シンポジウム

21

第 4 条 定義
Article 4 Definitions
管理者，取扱者• (7) 「管理者」とは、単独で⼜は他と共同して、個⼈データの取扱いの⽬的及び⼿段を決定する⾃然⼈、法⼈、公的機関、⾏政機関⼜はその他の団体をいう。当該取扱いの⽬的及び⼿段が EU法⼜は加盟国の国内法によって決定される場合には、管理者⼜は管理者の指定に関する特定の基準は、EU 法⼜は加盟国の国内法をもって定めることができる。
• (7) 'controller' means the natural or legal person, public authority, agency or otherbody which, alone or jointly with others, determines the purposes and means of theprocessing of personal data; where the purposes and means of such processing aredetermined by Union or Member State law, the controller or the specific criteria for
its nomination may be provided for by Union or Member State law;
• (8) 「取扱者」とは、管理者のために個⼈データの取扱いを⾏う⾃然⼈、法⼈、公的機
関、⾏政機関⼜はその他の団体をいう。
• (8) 'processor' means a natural or legal person, public authority, agency or otherbody which processes personal data on behalf of the controller;• Processorの訳語は「処理者」とされていることもある。
• ⽇本個⼈情報保護法の「個⼈情報取扱事業者」は委託先を含むが，委託元（管理者）・
委託先と概ね対応すると考えて良い。

2018/05/19

情報法制研究会第7回シンポジウム

22

個⼈データ，取扱い•(1) 「個⼈データ」とは、識別された⼜は識別され得る⾃然⼈（以下「データ主体」という。）に関するあらゆる情報を意味する。識別され得る⾃然⼈は、特に、⽒名、識別番号、位置データ、オンラ
イン識別⼦のような識別⼦、⼜は当該⾃然⼈に関する物理的、⽣理的、遺伝⼦的、精神的、経済的、
⽂化的若しくは社会的アイデンティティに特有な⼀つ若しくは複数の要素を参照することによって、直接的に⼜は間接的に、識別され得る者をいう。

•(1) ʻpersonal dataʼ means any information relating to an identified or identifiable natural person(ʻdata subjectʼ); an identifiable natural person is one who can be identified, directly or indirectly,
in particular by reference to an identifier such as a name, an identification number, location data,an online identifier or to one or more factors specific to the physical, physiological, genetic,
mental, economic, cultural or social identity of that natural person;•(2) 「取扱い」とは、⾃動的な⼿段であるか否かにかかわらず、個⼈データ⼜は個⼈データの集合に対して⾏われるあらゆる作業⼜は⼀連の作業をいう。この作業は、取得、記録、編集、構造化、保存、
修正⼜は変更、復旧、参照、利⽤、移転による開⽰、周知⼜はその他周知を可能なものにすること、
整列⼜は結合、制限、消去⼜は破壊することをいう。

•(2) ʻprocessingʼ means any operation or set of operations which is performed on personal data or
on sets of personal data, whether or not by automated means, such as collection, recording,organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use,
disclosure by transmission, dissemination or otherwise making available, alignment or
combination, restriction, erasure or destruction;•「個⼈データ」の定義は極めて広汎であるが，「ファイリングシステム」概念による限定があることに注意（⽇本個⼈情報保護法のように「個⼈情報」「個⼈データ」「保有個⼈データ」には分かれて
いない）。

•

「取扱い」は取得から破壊までのライフサイクルすべてを指す。

2018/05/19

情報法制研究会第7回シンポジウム

23

1.4
か

GDPRは誰が執⾏するの• 第 51 条 監督機関
• Article 51 Supervisory authority• 1. 各加盟国は、取扱いに関する⾃然⼈の基本的権利及び⾃由を保護するため、及び EU
域内における個⼈データの⾃由な流通を促進するため、本規則の適⽤を監視する責任を持つ⼀つ⼜は複数の独⽴した公的機関を設置しなければならない。
• 1. Each Member State shall provide for one or more independent public authorities
to be responsible for monitoring the application of this Regulation, in order to protect
the fundamental rights and freedoms of natural persons in relation to processing andto facilitate the free flow of personal data within the Union.
• 「監督機関」「データ保護機関」「DPA（Data Protection Authority」等と称される。
「プライバシーコミッショナー」ということも多い（「コミッショナー」という場合には独任制の機関であるので，委員会⽅式の場合は正確には⼊らないことになるが，通商としてはよく使われる）。英国であればICO（情報コミッショナー事務局），フランス
であればCNIL（情報処理と⾃由に関する国家委員会），ドイツであれば連邦データ保護観察官（連邦プライバシーコミッショナー）等。
• ⼀つの機関で，⺠間・公的機関の全てを監督しているのが普通であるが，国によっては微妙に構成が異なることもある。例えば，ドイツは，⺠間事業者は州の監督機関が監督している。
• 情報公開についても所管している場合があるが，必須ではない。

2018/05/19

情報法制研究会第7回シンポジウム

24

第 68 条 欧州データ保護会議
Article 68 European Data
Protection Board• 1. 欧州データ保護会議は本規則によって EU の団体として設置され、法⼈格を有するものとする。
• 1. The European Data Protection Board (the ʻBoardʼ) is hereby established as a bodyof the Union and shall have legal personality.
• 2. 欧州データ保護会議は議⻑を代表とするものとする。
• 2. The Board shall be represented by its Chair.
• 3. 欧州データ保護会議は各加盟国のひとつの監督機関の⻑、欧州データ保護監察機関の
⻑、⼜はそれら各代理⼈によって構成されるものとする• 3. The Board shall be composed of the head of one supervisory authority of each
Member State and of the European Data Protection Supervisor, or their respective
representatives.
• 4. 加盟国において、複数の監督機関が本規則に基づく規定の適⽤の監視を担当している
場合、共同代表者が当該加盟国の国内法に従って任命されるものとする。
• 4. Where in a Member State more than one supervisory authority is responsible formonitoring the application of the provisions pursuant to this Regulation, a joint
representative shall be appointed in accordance with that Member State's law.
• 5.-6.（略）

2018/05/19

情報法制研究会第7回シンポジウム

25参考情報の多重構造• 法令• GDPR，GDPRの前⽂（リサイタル）• 各国の実施法• ガイドライン• 29条作業部会→欧州データ保護会議のガイドライン• 欧州データ保護観察官（欧州委員会の⾏政機関を監督す
る監督機関に該当し，GDPR上の監督機関ではない）の
ガイドライン• 各国の監督機関のガイドライン• 意⾒• 欧州議会の意⾒• 各国議会の意⾒
2018/05/19

情報法制研究会第7回シンポジウム

26

29条作業部会→欧州データ保
護会議のガイドライン• Guidelines on Consent under Regulation 2016/679 (wp259rev.01)（同意）• Guidelines on Transparency under Regulation 2016/679 (wp260rev.01)（透明性，通知事項）• Guidelines on Automated individual decision-making and Profiling for the purposesof Regulation 2016/679 (wp251rev.01)（個⼈の⾃動的決定，プロファイリング）• Guidelines on Personal data breach notification under Regulation 2016/679(wp250rev.01)（データ侵害通知）• Guidelines on the application and setting of administrative fines (wp253). Now
including available language versions.（課徴⾦）• Guidelines on the Lead Supervisory Authority (wp244rev.01)（主要監督機関）• Guidelines on Data Protection Officers (ʻDPOsʼ) (wp243rev.01)（DPO，データ保護監督者）• Guidelines on the right to “data portability” (wp242rev.01)（データポータビリティ）• Guidelines on Data Protection Impact Assessment (DPIA) (wp248rev.01)（データ保護影響評価）

2018/05/19

情報法制研究会第7回シンポジウム

27

個⼈情報保護委員会による翻訳• 「GDPRに関するガイドラインのうち、次に掲げるものについては、⽇本語仮訳を作成いたしましたので、掲載いたします。」• データポータビリティの権利に関するガイドライン• データ保護オフィサー（DPO）に関するガイドラ
イン• 管理者⼜は処理者の主監督機関を特定するためのガ
イドライン• データ保護影響評価（DPIA）及び取扱いが2016/679規則の適⽤上、「⾼いリスクをもたらす
ことが予想される」か否かの判断に関するガイドラ
イン2018/05/19

情報法制研究会第7回シンポジウム

28

第83 条 制裁⾦の⼀般条件
Article 83 General conditions forimposing administrative fines• 1.-3.（略）• 4. 次に掲げる規定違反は、第2 項に従って、最⼤10 000 000 ユーロ、⼜は事業である
場合、前会計年度の全世界年間売上⾼の2%までの、どちらか⾼い⽅を制裁⾦として科すものとする。
• 4. Infringments of the following provisions shall, in acccordance with paragraph 2, be
subject to administrative fines up to 10 000 000 EUR, or in the case of anundertaking, up to 2 % of the total worldwide annual turnover of the preceding
financial year, whichever is higher:• (a) 第8 条、第11 条、第25 条、第26 条、第27 条、第28 条、第29 条、第30 条、第31条、第32 条、第33 条、第34 条、第35 条、第36 条、第37 条、第38 条、第39 条、第42 条及び第43 条による管理者及び取扱者の義務。
• (a) the obligations of the controller and the processor pursuant to Articles 8, 11, 25,
26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 42 and 43;• (b) 第42 条及び第43 条による認証機関の義務。
• (b) the obligations of the certification body pursuant to Articles 42 and 43;• (c) 第41 条第4 項による監視団体の義務。
• (c) the obligations of the monitoring body pursuant to Article 41(4).

2018/05/19

情報法制研究会第7回シンポジウム29•

5. 次に掲げる規定の違反は、第2 項に従って、最⼤20 000 000 ユーロ、⼜は事業である場合、前会
計年度の全世界年間売上⾼の4%までの、どちらか⾼い⽅を制裁⾦として科されるものとする。

•

5. Infringements of the following provisions shall, in accordance with paragraph 2, be subject toadministrative fines up to 20 000 000 EUR, or in the case of an undertaking, up to 4 % of the total
worldwide annual turnover of the preceding financial year, whichever is higher:•(a) 第5 条、第6 条、第7 条及び第9 条による基本的取扱い原則（同意の条件を含む）。

•(a) the basic principles for processing, including conditions for consent, pursuant to Articles 5, 6,
7 and 9;•(b) 第12 条から第22 条によるデータ主体の権利。

•(b) the data subjects' rights pursuant to Articles 12 to 22;•(c) 第44 条から第49 条による第三国⼜は国際機関の取得者への個⼈データ移転。

•(c) the transfers of personal data to a recipient in a third country or an international organization
pursuant to Articles 44 to 49;•(d) 第9 章に基づき採択された加盟国の国内法による義務。

•(d) any obligations pursuant to Member State law adopted unter Chapter IX;•(e) 第58 条第2 項による監督機関による取り扱いに関する命令若しくは⼀時的若しくは最終的制限⼜はデータ流通の中⽌の不遵守、⼜は第58 条第1 項違反のアクセス提供の不履⾏。

•(e) non-compliance with an order or a temporary or definitive limitation on processing or thesuspension of data flows by the supervisory authority pursuant to Article 58(2) or failure toprovide access in violation of Article 58(1).

2018/05/19

情報法制研究会第7回シンポジウム30• 6. 第58 項第2 項で定める監督機関による命令不遵守は、本条第2 項に従って、最⼤20 000 000 ユーロ、⼜は事業である場合、前会計年度の全世界年間売上⾼の4%までの、どちらか⾼い⽅を制裁⾦として科されるものとする。
• 6. Non-compliance with an order by the supervisory
authority as referred to in Article 58(2) shall, in
acccordance with paragraph 2 of this Article, be subject
to administrative fines up to 20 000 000 EUR, or in thecase of an undertaking, up to 4 % of the total worldwide
annual turnover of the preceding financial year, whicheveris higher.
• 7.-9.（略）• 罰則（GDPR84条）は各国法の問題。

2018/05/19

情報法制研究会第7回シンポジウム

31

制裁⾦算定における⼀体性とDPOの管轄の範囲• 前⽂(150)
この規則の違反⾏為に対する⾏政罰を強化し、整合性のとれたものとするために、各監督官は、⾏政罰を加える権限をもつものとしなければならない。この規則は、関連する⾏政罰を決定するための違反⾏為、上限及び基準を⽰すものとしなければならならず、それは、個々の事案において、監督官によって、特定の状況における全ての関連する事情を考慮に⼊れた上で、とりわけ、違反⾏為の性質、重⼤性及び持続期間、その結果として発⽣した事態、並びに、この規則に基づく義務の遵守を確保し、違反⾏為による結果の発⽣を防⽌または軽減するために講じられた措置について⼗分な配慮をした上で決定されなければならない。⾏政罰が企業に対して加えられる場合、その⽬的のために、企業とは、TFEU の第 101 条及び第 102 条に従う企業として理解されなければならない。⾏政罰が企業ではない者に対して加えられる場合、監督官は、罰の適切な⾦額を検討するに際して、その構成国における⼀般的な所得額及び当該の者の経済状態を考慮に⼊れなければならない。⼀貫性確保メカニズムは、⾏政罰の⼀貫性のある適⽤を促進するためにも⽤いることができる。⾏政機関が⾏政罰に服すべきか否か
及びその範囲は、構成国によって定められなければならない。⾏政罰を加えること、または、注意処分を与えることは、この規則に基づく監督官のそれ以外の権限の⾏使またはそれ以外の制裁の適⽤に影響を及ぼすものではない。
• TFEUは欧州独禁法の規定であるので経済的⼀体性で判断されるが，GDPRに引いた場
合，データ処理の⼀体性で判断されるか。それとも経済的⼀体性で判断されるか。
• DPOの管轄範囲が広ければ広いほど⼀体性が広く⾒積もられる可能性

2018/05/19

情報法制研究会第7回シンポジウム

32

2 GDPR上の権利・義務
2.1 GDPRにおける個⼈データ取扱いの原則• 第 5 条 個⼈データの取扱いに関する原則• Article 5 Principles relating to processing of personaldata• 第 6 条 適法な取扱い• Article 6 Lawfulness of processing• 第 7 条 同意の条件• Article 7 Conditions for consent• ⽬的外利⽤，第三者提供（及び要配慮個⼈情報の取得）といった例外的な場⾯でのみ本⼈の同意を要求する⽇本個⼈情報保護法と異なり，取扱いに対する同意が「原則」として位置付けられていることに注意
2018/05/19

情報法制研究会第7回シンポジウム

33

第 5 条 個⼈データの取扱いに関する原則
Article 5 Principles relating to processing of
personal data
• 1. 個⼈データは、• 1. Personal data shall be:• (a) データ主体との関係において、適法、公正かつ透明性のある⼿段で取り扱われなけ
ればならない。（適法性、公正性及び透明性の原則）• (a) processed lawfully, fairly and in a transparent manner in relation to the data
subject ('lawfulness, fairness and transparency');• (b) 特定された、明確かつ適法な⽬的のために収集されなければならず、これら⽬的と相容れない⽅法で更なる取り扱いがなされてはならない。ただし、公共の利益における保管⽬的、科学的若しくは歴史的研究の⽬的⼜は統計⽬的のための更なる取扱いは、第89条第 1 項により、当初の⽬的と相容れない⽅法とはみなされない。（⽬的の限定の原則）• (b) collected for specified, explicit and legitimate purposes and not further processedin a manner that is incompatible with those purposes; further processing forarchiving purposes in the public interest, scientific or historical research purposes or
statistical purposes shall, in accordance with Article 89(1), not be considered to beincompatible with the initial purposes ('purpose limitation');• (c) 取り扱われる⽬的の必要性に照らして、適切であり、関連性があり、最⼩限に限られていなければならない。（データの最⼩化の原則）• (c) adequate, relevant and limited to what is necessary in relation to the purposes forwhich they are processed ('data minimisation');2018/05/19

情報法制研究会第7回シンポジウム34• (d) 正確であり、必要な場合には最新に保たなければならない。取り扱われる⽬的に照らして、不正確な個⼈データが遅滞なく消去⼜は訂正されるのを確保するため、あらゆ
る合理的な⼿段が講じられなければならない。（正確性の原則）• (d) accurate and, where necessary, kept up to date; every reasonable step must be
taken to ensure that personal data that are inaccurate, having regard to the
purposes for which they are processed, are erased or rectified without delay('accuracy');• (e) 当該個⼈データが取り扱われる⽬的に必要な期間を超えない範囲で、データ主体の識別が可能な状態で保存されなければならない。個⼈データは⻑期間保存されてもよいが、個⼈データが第 89 条第 1 項に従った公共の利益における保管⽬的、科学的若しく
は歴史的研究の⽬的⼜は統計⽬的だけに取り扱われることに限るものとし、データ主体の権利と⾃由を保護するため本規則によって求められる適切な技術的及び組織的対策の実施を条件とする。（保存の制限の原則）• (e) kept in a form which permits identification of data subjects for no longer than isnecessary for the purposes for which the personal data are processed; personal data
may be stored for longer periods insofar as the personal data will be processedsolely for archiving purposes in the public interest, scientific or historical research
purposes or statistical purposes in accordance with Article 89(1) subject toimplementation of the appropriate technical and organisational measures requiredby this Regulation in order to safeguard the rights and freedoms of the data subject('storage limitation');2018/05/19

情報法制研究会第7回シンポジウム35• (f) 当該個⼈データの適切なセキュリティを確保する⽅法で取り扱われなければならない。
• それは、無権限の⼜は違法な取扱いに対する保護、及び偶発的な滅失、破壊、⼜は損壊に対する保護を含むものとし、適切な技術
的⼜は組織的対策を⽤いるものとする。（完全性及び機密性の原則）• (f) processed in a manner that ensures appropriate security ofthe personal data, including protection against unauthorised or
unlawful processing and against accidental loss, destruction ordamage, using appropriate technical or organisational
measures ('integrity and confidentiality').
• 2. 管理者は第 1 項の義務を負い、その遵守を証明可能にしなければならない。（アカウンタビリティの原則）• 2. The controller shall be responsible for, and be able todemonstrate compliance with, paragraph 1('accountability')

2018/05/19

情報法制研究会第7回シンポジウム36

第 6 条 適法な取扱い
Article 6 Lawfulness of processing•

1. 取扱いは、次に掲げる少なくとも⼀つの項⽬が適⽤される場合に限り、適法とする。

•

1. Processing shall be lawful only if and to the extent that at least one of the following applies:•(a) データ主体が、⼀つ⼜は複数の特定の⽬的のために⾃⼰の個⼈データの取扱いに同意を与えた場合。

•(a) the data subject has given consent to the processing of his or her personal data for one ormore specific purposes;•(b) データ主体が当事者となっている契約の履⾏のために取扱いが必要な場合、⼜は契約の締結前のデータ主体の求めに応じて⼿続を履践するために取扱いが必要な場合。

•(b) processing is necessary for the performance of a contract to which the data subject is party or
in order to take steps at the request of the data subject prior to entering into a contract;•(c) 管理者が従うべき法的義務を遵守するために取扱いが必要な場合。

•(c) processing is necessary for compliance with a legal obligation to which the controller issubject;•(d) データ主体⼜は他の⾃然⼈の重⼤な利益を保護するために取扱いが必要な場合。

•(d) processing is necessary in order to protect the vital interests of the data subject or of anothernatural person;•(e) 公共の利益⼜は管理者に与えられた公的権限の⾏使のために⾏われる業務の遂⾏において取扱いが必要な場合。

•(e) processing is necessary for the performance of a task carried out in the public interest or intheexercise of official authority vested in the controller;

2018/05/19

情報法制研究会第7回シンポジウム37• (f) 管理者⼜は第三者によって追求される正当な利益のために取扱いが必要な場合。ただし、データ主体の、特に⼦どもがデータ主体である場合の個⼈データの保護を求めている基本的権利及び⾃由が、当該利益に優先する場合を除く。
• (f) processing is necessary for the purposes of the legitimate interests pursued by
the controller or by a• third party, except where such interests are overridden by the interests or
fundamental rights and freedoms• of the data subject which require protection of personal data, in particular where thedata subject is a child.10• 第 1 項前段(f)号は、公的機関が業務を遂⾏する際になす取扱いには適⽤されない。
• Point (f) of the first subparagraph shall not apply to processing carried out by publicauthorities in the performance• of their tasks• 2.-4.（略）• どの条項に基づく移転であるかを意識する必要がある。⽇本個⼈情報保護法の場合同意は無敵のように取り扱われているが，7条（次条）により，同意による取扱いは撤回できることに注意しなければならない。

2018/05/19

情報法制研究会第7回シンポジウム

38

「正統な利益」• (47) 個⼈データの開⽰を受ける管理者または第三者の正当な利益を含
め、管理者の正当な利益は、データ主体と管理者との関係に基づくデー
タ主体の合理的な期待に配慮し、データ主体の利益または基本的な権利
及び⾃由を劣後的なものとすることがない限り、処理のための法的根拠を提供し得る。そのような正当な利益は、例えば、データ主体が管理者のサービスの顧客である場合や管理者から役務の提供を受けている場合のような状況の中で、データ主体と管理者との間に妥当で適切な関係が存在している場合には、存在するはずである。いずれにせよ、個⼈デー
タの収集の時点で、及び、その⽂脈において、当該⽬的のために処理が⾏われることをデータ主体が合理的に期待することができるか否かを含め、正当な利益については、注意深く評価をする必要があるであろう。
別の⽬的による処理についてデータ主体が合理的に期待できない状況下
で個⼈データが処理される場合には、とりわけ、データ主体の利益及び基本的な権利は、データ管理者の利益よりも優先する。⾏政機関が個⼈
データを処理するための法的根拠を法律によって定めるのは⽴法者であることに鑑み、その法的根拠は、⾏政機関がその職務の遂⾏において⾏
う処理には適⽤されるべきではない。また、不正⾏為の防⽌の⽬的のために厳格に必要性のある個⼈データの処理は、関係するデータ管理者の正当な利益を構成する。ダイレクトマーケティングのための個⼈データの処理は、正当な利益のために⾏われるものと推定され得る。

2018/05/19

情報法制研究会第7回シンポジウム

39

三段階テスト（ICO ”Lawful basis
for processing --Legitimate
interests”）• This can be broken down into a three-parttest:• 1. Purpose test（⽬的テスト）: are you
pursuing a legitimate interest?
• 2. Necessity test（必要性テスト）: is theprocessing necessary for that purpose?
• 3. Balancing test（バランシングテスト）: do
the individualʼs interests override thelegitimate interest?
2018/05/19

情報法制研究会第7回シンポジウム

40

ダイレクトマーケティングはすべて「正統な利益」か？（ICO ”Lawful basis for processing -Legitimate interests”）• ダイレクトマーケティングは「正統な利益」に該当する「かもしれない」が，GDPRでは、ダイレクト・マーケティングは常に正当な利益を構成しているとはいえない。処理は「正統な利益」に基づいて合法だといえるかどうかは，具体的な状況によって異なる。
• ⽬的テストに関しては、他の法的または倫理的基準や業界の⾏動規範を遵守していないと、マーケティングのいくつかの形態が正当でない可能性がある。ほとんどの場合、ダイレクトマーケティングは正当な関⼼事である可能性が⾼いと考えられる。これは、マーケティングのためのすべての処理がこの基準で合法であることを⾃動的に意味する
ものではない。依然として、処理が必要性とバランステストに合格していることを⽰す必要がある。
• また、処理が必要であることを⽰すために、処理のいくつかの要素についての⽬的に合わせて具体的にする必要があるかもしれないし、バランステストで利点を評価する必要がある。たとえば、プロファイリングを使⽤してマーケティングをターゲットとする場合。
• マーケティングは個⼈の利益になることが⽰唆されることがある。例えば、彼らが⾃分のニーズに直接関連したお⾦を使った商品やオファーを受け取った場合など。しかし、バランシングテストに⼤きな重みを加えることはまずない。顧客の好みに⾮常に明確な証拠がない限り、顧客の主な関⼼事に焦点を当てて、顧客に想定される利益に過度の集中を避けることをお勧めする。
• 場合によっては、マーケティングは、個⼈の状況に応じて、個⼈に重⼤な悪影響を及ぼす可能性がある。例えば、⾼利貸しのためのマーケティングを定期的にターゲットとしている、財務上の困難を抱えている、またはそうである可能性のある⼈は、これらのオファーにサインアップし、潜在的にさらなる債務を負う可能性がある。

2018/05/19

情報法制研究会第7回シンポジウム

41

ダイレクトマーケティングはすべて「正統な利益」か？（ICO ”Lawful basis for processing -Legitimate interests”）
Is legitimate interests likely to beappropriate?

Marketing method
Post✓

ʻLiveʼ phone calls to TPS/CPTS
registered numbers✘

ʻLiveʼ phone calls to those who have
objected to your calls✘ʻLiveʼ phone calls where there is no
TPS/CTPS registration or objection✓

Automated phone calls✘

Emails/text messages to individuals‒ obtained using ʻsoft opt-inʼ✓Emails/text messages to individuals‒ without ʻsoft opt-inʼ✘Emails/text messages to businesscontacts✓

2018/05/19

情報法制研究会第7回シンポジウム

422018/05/19

情報法制研究会第7回シンポジウム

432018/05/19

情報法制研究会第7回シンポジウム

44

2018年2⽉16⽇ブリュッセル第⼀審裁判所判決• The court supported all of the arguments put forward by the Privacy Commission.
• First, the court declared itself competent to rule on this matter. Facebook contested
the jurisdiction of the Belgian judges vis-à-vis its American parent company and its
Irish subsidiary. However, the Court found that it effectively has the jurisdiction toevaluate whether Facebook complies with Belgian privacy legislation when it tracks
the browsing behavior of Internet users in Belgium.
• The Court also found that Facebook does not comply with Belgian privacy legislationon the basis of the investigation undertaken by the Privacy Commission.
• The investigation shows that Facebook collects information concerning all of us
when we browse the Internet. To this end, Facebook uses various technologies, suchas the well-known "cookies" or "social plug-ins" (for example, the "like" or "share"
buttons) or also "pixels", which are invisible to the naked eye. It uses them on its
own website, but also and most importantly on websites of third parties. The
investigation reveals, for example, that even if you have never visited the Facebook
domain, Facebook is still able to track your browsing behavior without you realizing it,
let alone want it, through these invisible pixels that Facebook has placed on morethan 10,000 other websites.
• The Court concludes, in line with the Privacy Commission, that Facebook (1)does not sufficiently inform users about the fact that it collects information
about us, on the nature of the collected information, on the use of thisinformation and on how long it retains this information and 2) does not obtainvalid consent from users to collect and process all this information.

2018/05/19

情報法制研究会第7回シンポジウム

45• In short, the Court orders, as requested by the Privacy
Commission, that:• Facebook must stop tracking and recording the browsing
behavior of persons browsing from Belgium as long as it does
not bring its practices in line with Belgian privacy legislation.
• Facebook must destroy all illegally obtained personal data.
• Facebook must publish the entire 84-paged judgment on its website
and must publish in Dutch- and French-language Belgian newspapers
the last three pages of this judgment where the imposed measures
are listed.
• If Facebook does not comply with this judgment, it will be forced to
pay a penalty to the Privacy Commission amounting to 250,000 euros
per day of delay, with a maximum of 100 million euros.

• “Of course, we are very satisfied that the court has fully

supported our position. Facebook is currently conducting a big
advertising campaign through which it underlines its
commitment to privacy.
We hope it will put this commitment into practice", says thePrivacy Commission.
2018/05/19

情報法制研究会第7回シンポジウム

46

第 7 条 同意の条件
Article 7 Conditions for consent• 1. 取扱いが同意に基づく場合、管理者は、データ主体が⾃⼰の個
⼈データの取扱いに対して同意しているということを証明できる
ようにしなければならない。
• 1. Where processing is based on consent, the controller shallbe able to demonstrate that the data subject has consented
to processing of his or her personal data.
• 2. データ主体の同意が他の案件にも関係する書⾯において与えられている場合、その同意の要求は、明瞭かつ平易な⽂⾔を⽤い、理解しやすくかつ容易にアクセスし得る形で、その他の案件と明らかに区別できる⽅法によって明⽰されなければならない。本規則違反を含んだあらゆる宣⾔は拘束⼒がないものとする。
• 2. If the data subject's consent is given in the context of awritten declaration which also concerns other matters, therequest for consent shall be presented in a manner which isclearly distinguishable from the other matters, in an intelligible
and easily accessible form, using clear and plain language. Anypart of such a declaration which constitutes an infringement of
this Regulation shall not be binding.
2018/05/19

情報法制研究会第7回シンポジウム47• 3. データ主体は、いつでも同意を撤回する権利があるものとする。また、同意の撤回は撤回前の同意に基づく取扱いの合法性に影響を与えない。
データ主体は、同意を与える以前にその旨が通知されていなければならない。同意の撤回は、その付与と同程度に容易なものでなければならない。
• 3. The data subject shall have the right to withdraw his or her consent
at any time. The withdrawal of consent shall not affect the lawfulnessof processing based on consent before its withdrawal. Prior to giving
consent, the data subject shall be informed thereof. It shall be as easy
to withdraw consent as to give it.
• 4. 同意が⾃由になされているかについて判断する際、サービス約款を含む契約の履⾏が、当該契 約の履⾏に必要のない個⼈データの取扱いに対する同意を条件としているか否かについて、最⼤限の考慮が払われなけ
ればならない。
• 4. When assessing whether consent is freely given, utmost accountshall be taken of whether, inter alia, the performance of a contract,
including the provision of a service, is conditional on consent to theprocessing of personal data that is not necessary for the performanceof that contract.
2018/05/19

情報法制研究会第7回シンポジウム

48

第 9 条 特別な種類の個⼈データの取扱い Article 9 Processing ofspecial categories of personal data

• 1. ⼈種若しくは⺠族的素性、政治的思想、宗教的若しくは哲学的信条、⼜は労働組合員資格に関 する個⼈データの取扱い、及び遺伝データ、⾃然⼈の⼀意な識別を⽬的とした⽣体データ、健 康に関するデータ⼜は⾃然⼈の性⽣活若しくは性的指向に関するデータの取扱いは禁⽌する。
• 1. Processing of personal data revealing racial or
ethnic origin, political opinions, religious orphilosophical beliefs, or trade-union membership,
and the processing of genetic data, biometricdata for the purpose of uniquely identifying anatural person, data concerning health or data
concerning a natural person's sex life or sexual
orientation shall be prohibited.
2018/05/19

情報法制研究会第7回シンポジウム49• 2. 第 1 項は次に掲げる場合には適⽤されない。
• 2. Paragraph 1 shall not apply if one of the following
applies:• (a) データ主体が、⼀つ⼜は複数の特定された⽬的のために当該個⼈データの適⽤に対して 明⽰的な同意を与えた場合。ただし、EU 法⼜は加盟国の国内法が、第 1 項で定める禁 ⽌事項がデータ主体によって解除されるべきではないと定めている場合を除く。
• (a) the data subject has given explicit consent to theprocessing of those personal data for one or more
specified purposes, except where Union or Member Statelaw provide that the prohibition referred to in paragraph 1
may not be lifted by the data subject;• (b)-(j)（略）• 3.-4. （略）2018/05/19

情報法制研究会第7回シンポジウム50

2.2 GDPRにおけるデータ主体の権利• 第1 節 透明性及び⼿続• 第12 条 データ主体の権利⾏使のための透明性のある情報、通知及び⼿続• 第2 節 情報及び個⼈データへのアクセス• 第13 条 データ主体から個⼈データを収集する場合に提供される情報• 第14 条 データ主体から個⼈データを取得しない場合に提供される情報• 第15 条 データ主体のアクセス権• 第3 節 訂正及び消去• 第16 条 訂正の権利• 第17 条 消去の権利（忘れられる権利）• 第18 条 取扱い制限の権利• 第19 条 個⼈データの訂正若しくは消去⼜は取扱いの制限に関する通知義務2018/05/19

情報法制研究会第7回シンポジウム51• 第4 節 異議を唱える権利及び個⼈に対する⾃動化された意思決定• 第21 条 異議を唱える権利• 第22 条 プロファイリングを含む⾃動化された個⼈
意思決定• 第5 節 制限• 第23 条 制限

2018/05/19

情報法制研究会第7回シンポジウム

52

第12 条 データ主体の権利⾏使のための透明性のある情報、通知及び⼿続
Article 12 Transparent information, communication andmodalities for the exercise of the rights of the data
subject• 1. 管理者は、第13 条並びに第14 条で定めるあらゆる情報及び第15 条から第22 条並びに第34条に基づくあらゆる通知を提供するための適切な⼿段をとらなければならない。
データ主体に対する取扱いに関し、明瞭かつ平易な⽂⾔が使われ、簡潔で、透明性があり、理解しやすくかつ容易にアクセスし得る形態をもって情報及び通知が⾏われるものとする。とりわけ⼦どもに対して特に書かれた情報は適切な⼿段をとるものとする。当
該情報は書⾯で提供されるものとし、適切な場合、電⼦的⼿段を含め、その他⼿段によって提供されるものとする。データ主体によって要求され、データ主体の⾝元がその他⼿段で証明されるならば、情報は⼝頭で提供されてもよい。
• 1. The controller shall take appropriate measures to provide any information referred
to in Articles 13 and 14 and any communication under Articles 15 to 22 and 34
relating to processing to the data subject in a concise, transparent, intelligible andeasily accessible form, using clear and plain language, in particular for any
information addressed specifically to a child. The information shall be provided inwriting, or by other means, including, where appropriate, by electronic means. Whenrequested by the data subject, the information may be provided orally, provided thatthe identity of the data subject is proven by other means.
• 2. （略）2018/05/19

情報法制研究会第7回シンポジウム53• 3. 管理者は、第15 条から第22 条に基づく要求に基づいて取られた⾏為に関する情報を不当な遅滞なしに、いかなる場合でもその要求を受け取ってから1 カ⽉以
内に、データ主体に提供しなければならない。当該期間は、要求の複雑性⼜は数を考慮し、必要に応じて、更に2 カ⽉まで延⻑することができる。管理者は、要求を受け取ってから1 カ⽉以内に、遅滞の理由とともに、当該延⻑をデータ主体に通知するものとする。データ主体が電⼦的⼿段で要求を⾏う場合、データ主体
によって要求がなされない限り、可能であるならば電⼦的⼿段で通知は提供されるものとする。
• 3. The controller shall provide information on action taken on a request under
Articles 15 to 22 to the data subject without undue delay and in any event
within one month of receipt of the request. That period may be extended by two
further months where necessary, taking into account the complexity andnumber of the requests. The controller shall inform the data subject of any
such extension within one month of receipt of the request, together with thereasons for the delay. Where the data subject makes the request by electronic
form means, the information shall be provided by electronic means where
possible, unless otherwise requested by the data subject.
• 4.- （略）2018/05/19

情報法制研究会第7回シンポジウム

54

第13 条 データ主体から個⼈データを収集する場
合に提供される情報
Article 13 Information to be provided where
personal data are collected from the data subject• 1. データ主体に係る個⼈データがデータ主体から収集される場合、管理者は、個⼈データを取得• する際、データ主体に次に掲げるすべての情報を提供するものとする。
• 1. Where personal data relating to a data subject
are collected from the data subject, thecontroller shall, at the• time when personal data are obtained, provide
the data subject with all of the following
information:• (a)-(f)（略）• 2.（略）2018/05/19

情報法制研究会第7回シンポジウム

55

第14 条 データ主体から個⼈データを取得しない場合に提供される情報
Article 14 Information to be provided where
personal data have not been obtained from thedata subject• 1. 個⼈データがデータ主体から取得されない
場合、管理者は次に掲げる情報をデータ主体に提供しなければならない。
• 1. Where personal data have not beenobtained from the data subject, the controller
shall provide the data subject with thefollowing information:• (a)-(f)（略）• 2.-5.（略）
2018/05/19

情報法制研究会第7回シンポジウム

56

第15 条 データ主体のアクセス権
Article 15 Right of access by thedata subject• 1. データ主体は、管理者から当該データ主体に関する個⼈データを取り扱っているか否か確認を得る権利を持ち、取り扱っている場合、個⼈データ及び次に掲げる情報にアクセスする権利を持つ。
• 1. The data subject shall have the right to obtain from the controller confirmation as
to whether or not personal data concerning him or her are being processed, andwhere that is the case, access to the personal data and the following information:• (a)-(h) （略）• 2.（略）• 3. 管理者は取扱いを⾏っている個⼈データの複製を提供するものとする。データ主体によって要求されたあらゆる追加的複製に関して、管理者は管理費⽤に基づき過度にならない程度の⼿数料を徴収することができる。データ主体が電⼦的⼿段によって要求する
場合、データ主体による要求がない場合を除き、情報は⼀般的に⽤いられる電⼦的形態で提供されるものとする。
• 3. The controller shall provide a copy of the personal data undergoing processing.
For any further copies requested by the data subject, the controller may charge areasonable fee based on administrative costs. Where the data subject makes therequest by electronic means, and unless otherwise requested by the data subject,
the information shall be provided in a commonly used electronic form.
• 4.（略）2018/05/19

情報法制研究会第7回シンポジウム

57

第16 条 訂正の権利
Article 16 Right to rectification• データ主体は当該データ主体に関する不正確な個
⼈データについて管理者に不当に遅滞することなく訂正させる権利を持つものとする。取扱いの⽬的を考慮し、追加の記述を提供するという⼿段を含め、データ主体は不完全な個⼈データを完全にする権利を持つものとする。
• The data subject shall have the right to obtainfrom the controller without undue delay therectification of inaccurate personal data
concerning him or her. Taking into account the
purposes of the processing, the data subject
shall have the right to have incomplete personal
data completed, including by means of providing
a supplementary statement.
2018/05/19

情報法制研究会第7回シンポジウム

58

第17 条 消去の権利（忘れられる権利）
Article 17 Right to erasure ('right to be forgotten')•

1. データ主体は当該データ主体に関する個⼈データについて管理者に不当に遅滞することなく消去させる権利を持つものとする。管理者は、次に掲げる根拠のいずれかが適⽤される場合、個⼈データを不当に遅滞することなく消去する義務を負うものとする。

•

1. The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or
her without undue delay and the controller shall have the obligation to erase personal data without undue delay
where one of the following grounds applies:•(a) 個⼈データが収集された⼜はその他取扱いの⽬的に関して、当該個⼈データがもはや必要ない場合。

•(a) the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise
processed;•(b) データ主体が、第6 条第1 項(a)号⼜は第9 条第2 項(a)号による同意に基づく取扱いの同意を撤回し、かつ取扱いに関して他の法的根拠がない場合。

•(b) the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1), or
point (a) of Article 9(2), and where there is no other legal ground for the processing;•(c) データ主体が、第21 条第1 項により不服を申⽴て、かつ取扱いに関して優先する法的根拠がない場合。⼜はデータ
主体が第21 条第2 項により不服を申し⽴てる場合。

•(c) the data subject objects to the processing pursuant to Article 21(1) and there are no overriding legitimate
grounds for the processing, or the data subject objects to the processing pursuant to Article 21(2);•(d) 個⼈データが不法に取り扱われた場合。

•(d) the personal data have been unlawfully processed;•(e)-(f)（略）

2018/05/19

情報法制研究会第7回シンポジウム

59•

2. 管理者が個⼈データを公開しており、第1 項による個⼈データを消去する義務を負う場合、その管理者は、利⽤可能な技術及び実施の費⽤を考慮し、当該個⼈データを取り扱っている管理者たちに
データ主体が当該個⼈データのあらゆるリンク⼜はコピー若しくは複製の消去を要求している旨を通知するために、技術的措置を含む合理的⼿段をとらなければならない。

•

2. Where the controller has made the personal data public and is obliged pursuant to paragraph 1
to erase the personal data, the controller, taking account of available technology and the cost of
implementation, shall take reasonable steps, including technical measures, to inform controllers
which are processing the personal data that the data subject has requested the erasure by suchcontrollers of any links to, or copy or replication of, those personal data.

•

3. 第1 項及び第2 項は、取扱いが次に掲げるいずれかに必要な場合、適⽤されない。

•

3. Paragraphs 1 and 2 shall not apply to the extent that processing is necessary:•(a)-(e)（略）•「忘れられる権利」としてここ数年問題となっているものには⼆種類の内実があり，•••①検索エンジンの検索結果削除の問題②GDPR17条2項の問題がある。①についてはGDPR上の問題でなく，データ保護指令上の問題として欧州司法裁判所の先決裁定（Google Spain SL and Google Inc. v. AEPD(C-131/12）で既に問題となり，認められたものである。

2018/05/19

情報法制研究会第7回シンポジウム

60

GDPR17条1項 データ主体に関する個⼈
データについて管理者に不当に遅滞することなく消去させる権利

データ
主体

管理者

リンク先

公開

コピー先
GDPR17条2項 利⽤可能な技術及び実施の費⽤を考慮し、当該個⼈データを取り扱っている管理者たちにデータ主体が当該個⼈データのあらゆるリンク⼜はコピー若
しくは複製の消去を要求している旨を通知するために、技術的措置を含む合理的⼿段をとらなければならない
2018/05/19

情報法制研究会第7回シンポジウム

61参考：グーグルスペイン事件• Google Spain SL, Google Inc. V Agencia
Española de Protección de Datos (AEPD),
Mario Costeja González(Case C-131/12), 13
May 2014• 請求根拠はデータ保護指令12条

2018/05/19

情報法制研究会第7回シンポジウム

62

Española deProtección de Datos(AEPD)

Mario Costeja
González

2018/05/19

情報法制研究会第7回シンポジウム

Google Spain SL,
Google Inc63

論点• ①データ保護指令の適⽤範囲• 「加盟国内に設置されたデータ管理者」（指令4条a項）といえるか• ②データ処理者及び管理者該当性• 検索エンジンによるインデックス情報を⼀時的に蓄積しているだけで処理（指令2条b項），管理（指令2条d項）しているといえるか• ③検索サイトから公表された情報について削除権（指令12条），異議申⽴権（指令14条）が認められるか2018/05/19

情報法制研究会第7回シンポジウム

64

結論• ①データ保護指令の適⽤範囲• 広告スペースの促進，販売の意図，加盟国の住⺠に向けた活動を⾏っている視点の加盟国内での設置→加盟国内の領⼟において管理者の設置の活動に関連して個⼈デー
タの処理• ②データ処理者及び管理者該当性• 検索エンジンは管理者• ③検索サイトから公表された情報について削除権（指令12条），異議申⽴権（指令14条）が認められるか• ⽒名による検索で表⽰される結果リストにおける情報及びリンクは削除されなければならない
2018/05/19

情報法制研究会第7回シンポジウム

652018/05/19

情報法制研究会第7回シンポジウム

662018/05/19

情報法制研究会第7回シンポジウム

672018/05/19

情報法制研究会第7回シンポジウム

68世界削除の問題・グーグル対
CNIL事件（フランス）• 2015年6⽉，フランスのデータ保護機関（CNIL）が，欧州司法裁判所決定を受けて，世界削除をするようにグーグルに命令。グーグルは欧州域内しか削除していなかった（97％は.fr等のローカルドメインを使⽤）。
• 2015年7⽉，グーグルは従わないこととし，informal
appeal。
• 2016年3⽉24⽇，10万ユーロの課徴⾦。
• 2016年5⽉，Appealは棄却され，コンセイユ・デタに上告。
• 「それを認めてしまうと、⾮⺠主的な国家が、情報を統制するための⾃国の法律を、国際的に認めるように要求し始めるだろう」と懸念を表明（Google、「忘れられる権利」に関する仏・CNILの命令に対して上告，カレントアウェアネス2016年5⽉23⽇）• 2017年7⽉19⽇，コンセイユ・デタは欧州司法裁判所に判断を求めた。

2018/05/19

情報法制研究会第7回シンポジウム

692018/05/19

情報法制研究会第7回シンポジウム

70

Request for a preliminary ruling from the Conseil dʼÉtat (France)lodged on 21 August 2017 ̶ Google Inc. v Commission nationale delʼinformatique et des libertés (CNIL)(Case C-507/17)• Questions referred• 1. Must the ʻright to de-referencingʼ, as established by
the Court of Justice of the European Union in its
judgment of 13 May 2014 1 on the basis of the provisionsof Articles 12(b) and 14(a) of Directive [95/46/EC] of 24
October 1995, 2 be interpreted as meaning that a searchengine operator is required, when granting a request for
de-referencing, to deploy the de-referencing to all of thedomain names used by its search engine so that the links
at issue no longer appear, irrespective of the place from
where the search initiated on the basis of therequesterʼs name is conducted, and even if it isconducted from a place outside the territorial scope of
Directive [95/46/EC] of 24 October 1995?

2018/05/19

情報法制研究会第7回シンポジウム71• 2. In the event that Question 1 is answered in
the negative, must the ʻright to de-referencingʼ,as established by the Court of Justice of theEuropean Union in the judgment cited above, beinterpreted as meaning that a search engine
operator is required, when granting a request for
de-referencing, only to remove the links at issue
from the results displayed following a search
conducted on the basis of the requesterʼs nameon the domain name corresponding to the Statein which the request is deemed to have been
made or, more generally, on the domain names
distinguished by the national extensions used bythat search engine for all of the Member Statesof the European Union?
2018/05/19

情報法制研究会第7回シンポジウム72• 3. Moreover, in addition to the obligation
mentioned in Question 2, must the ʻright to dereferencingʼ, as established by the Court of Justice of
the European Union in its judgment cited above, beinterpreted as meaning that a search engine
operator is required, when granting a request for dereferencing, to remove the results at issue, by using
the ʻgeo-blockingʼ technique, from searches
conducted on the basis of the requesterʼs name froman IP address deemed to be located in the State ofresidence of the person benefiting from the ʻright tode-referencingʼ, or even, more generally, from an IP
address deemed to be located in one of the Member
States subject to Directive [95/46/EC] of 24 October
1995, regardless of the domain name used by theinternet user conducting the search?
2018/05/19

情報法制研究会第7回シンポジウム

73

第18 条 取扱い制限の権利
Article 18 Right to restriction ofprocessing•

1. データ主体は、次に掲げる事項の⼀つでも当てはまる場合、管理者に取扱いの制限をさせる権利をもつ。

•

1. The data subject shall have the right to obtain from the controller restriction of processing
where one of the following applies:•(a) 管理者が個⼈データの正確性を検証できる期間内で、データ主体によって個⼈データの正確性に不服が申し⽴てられた場合。

•(a) the accuracy of the personal data is contested by the data subject, for a period enabling thecontroller to verify the accuracy of the personal data;•(b) 取扱いが違法であり、データ主体が、個⼈データの消去に反対するものの、利⽤の制限を要求する場合。

•(b) the processing is unlawful and the data subject opposes the erasure of the personal data andrequests the restriction of their use instead;•(c) 管理者が取扱いの⽬的に関し個⼈データをもはや必要としないが、法的主張時の⽴証、⾏使⼜は抗弁のためにデータ主体によって要求された場合。

•(c) the controller no longer needs the personal data for the purposes of the processing, but they
are required by the data subject for the establishment, exercise or defence of legal claims;•(d) 管理者の法的根拠がデータ主体の主張に優先するか否かの検証が未決定時に、データ主体が第21条第1 項により取扱いに不服を申し⽴てた場合。

•(d) the data subject has objected to processing pursuant to Article 21(1) pending the verification
whether the legitimate grounds of the controller override those of the data subject.

•

2.-3.（略）2018/05/19

情報法制研究会第7回シンポジウム

74

第20 条 データポータビリティーの権利
Article 20 Right to data portability•

1. データ主体は、当該データ主体が管理者に提供した当該データ主体に関する個⼈データについて、構造化され、⼀般的に利⽤され機械可読性のある形式で受け取る権利があり、当該データを、個⼈データが提供された管理者の妨害なしに、他の管理者に移⾏する権利がある。ただし、次に掲げる場
合に限る。

•

1. The data subject shall have the right to receive the personal data concerning him or her, which
he or she has provided to a controller, in a structured, commonly used and machine-readable
format and have the right to transmit those data to another controller without hindrance fromthe controller to which the personal data have been provided,•

where:•(a) 取扱いが第6 条第1 項(a)号⼜は第9 条第2 項(a)号による同意に基づくか、第6 条第1 項(b)号による契約に基づく場合であり、かつ•(a) the processing is based on consent pursuant to point (a) of Article 6(1) or point (a) of Article
9(2) or on a contract pursuant to point (b) of Article 6(1); and•(b) 取扱いが⾃動化された⼿法で実⾏されている場合。

•(b) the processing is carried out by automated means.

•

2. 第1 項により当該データ主体のデータポータビリティーの権利が⾏使される場合、データ主体は、技術的に実⾏可能であるならば、個⼈データを直接的に管理者から他の管理者に移⾏させる権利がある。

•

2. In exercising his or her right to data portability pursuant to paragraph 1, the data subject shallhave the right to have the personal data transmitted directly from one controller to another,where technically feasible.

•

3.-4.（略）2018/05/19

情報法制研究会第7回シンポジウム

75

GDPR20条1項 構造化され、⼀般的に利⽤され機械可読性のある形式で受け取る権利(a) 取扱いが第6 条第1 項(a)号⼜は第9 条第2 項(a)号による同意に基づくか、第6 条第1 項(b)号による契約に基づく場合であり、かつ(b) 取扱いが⾃動化された⼿法で実⾏されている場合。

データ
主体

管理者

GDPR20条2項 技術的に実⾏可能であるならば、個⼈データを直接的に管理者から他の管理者に移⾏させる権利2018/05/19

ポータビ
リティ先

情報法制研究会第7回シンポジウム

76

第21 条 異議を唱える権利
Article 21 Right to object•

1. データ主体は、当該データ主体のそれぞれの状況に関する理由を根拠として、第6 条第1 項(e)号⼜は(f)号に基づくプロファイリングを含む当該条項を根拠とした⾃⼰に関する個⼈データの取扱いに対して、いつでも異議を唱える権利を有する。管理者は、データ主体の利益、権利及び⾃由に優先する取扱いのための、⼜は法的主張時の⽴証、⾏使若しくは抗弁のための差し迫った正当な根拠であることを⽰さない限り、もはや個⼈データを取り扱ってはならない。

•

1. The data subject shall have the right to object, on grounds relating to his or her particularsituation, at any time to processing of personal data concerning him or her which is based on
points (e) or (f) of Article 6(1), including profiling based on those provisions. The controller shallno longer process the personal data unless the controller demonstrates compelling legitimate
grounds for the processing which override the interests, rights and freedoms of the data subject
or for the establishment, exercise or defence of legal claims.

•

2. 個⼈データがダイレクトマーケティングのために取り扱われるならば、データ主体は、当該マーケ
ティングのための当該データ主体に関する個⼈データの取扱いに対して、いつでも異議を唱える権利を持つ。当該ダイレクトマーケティング範囲内のプロファイリングを含む。

•

2. Where personal data are processed for direct marketing purposes, the data subject shall havethe right to object at any time to processing of personal data concerning him or her for suchmarketing, which includes profiling to the extent that it is related to such direct marketing.

•

3. データ主体がダイレクトマーケティングの⽬的のための取扱いに異議を唱える場合、個⼈データは当該⽬的で取り扱われてはならない。

•

3. Where the data subject objects to processing for direct marketing purposes, the personal data
shall no longer be processed for such purposes.

•

4.-6.（略）2018/05/19

情報法制研究会第7回シンポジウム

77ダイレクトマーケティングに異議を唱えられたらどうなるのか• 例：同意（6条1項(a)号）及び「正統な利益」（6条1項(f)号）を根拠として扱っていた場合• 同意の撤回（7条3項）→「正統な利益」のみが残る• 正統な利益への異議（21条1項）→「差し迫った正統な根拠」がなければ同意のみが残る• ダイレクトマーケティングへの異議（21条2項）→
処理根拠にかかわらず異議が認められる• 処理の法的根拠がなくなったらどうなるのか• 消去権（17条1項(a)(c)による）• 取扱い制限の権利（18条1項(b)による）2018/05/19

情報法制研究会第7回シンポジウム

78

第22 条 プロファイリングを含む⾃動化された個
⼈意思決定
Article 22 Automated individual decision-making,including profiling• 1. データ主体は、当該データ主体に関する法的効果をもたらすか⼜は当該データ主体に同様の重⼤な影響をもたらすプロファイリングなどの⾃動化された取扱いのみに基づいた決定に服しない権利を持つ。
• 1. The data subject shall have the right not to be subject to a decision based solely
on automated processing, including profiling, which produces legal effects
concerning him or her or similarly significantly affects him or her.
• 2. 第1 項は次に掲げるいずれかの決定には適⽤されない。
• 2. Paragraph 1 shall not apply if the decision:• (a) データ主体とデータ管理者間の契約締結、⼜は履⾏に必要な決定。
• (a) is necessary for entering into, or performance of, a contract between the data
subject and a data controller;• (b) データ主体の権利及び⾃由並びに正当な利益を保護するための適切な対策が定められた管理者が従うEU 法⼜は加盟国の国内法によって認められた決定。
• (b) is authorised by Union or Member State law to which the controller is subject andwhich also lays down suitable measures to safeguard the data subject's rights andfreedoms and legitimate interests; or• (c) データ主体の明⽰的な同意に基づく決定。
• (c) is based on the data subject's explicit consent

2018/05/19

情報法制研究会第7回シンポジウム79• 3. 第2 項(a)号及び(c)号で定める状況に関して、データ管理者は、データ主体の権利及び⾃由並びに正当な利益を保護するための適切な対策を実施し、少なくとも管理者側で⼈を介在させる権利、当該データ主体の観点を表明する権利、及び決定に同意する権利を実施するものとする。
• 3. In the cases referred to in points (a) and (c) of paragraph 2, the data controller
shall implement suitable measures to safeguard the data subjectʻs rights andfreedoms and legitimate interests, at least the right to obtain human intervention
on the part of the controller, to express his or her point of view and to contest thedecision.
• 4. 第2 項で定める決定は、第9 条第2 項(a)号⼜は(g)号が適⽤されず、データ主体の権利及び⾃由並びに正当な利益を保護するための適切な対策が機能していないならば、第9 条第1 項で定める特別な種類の個⼈データに基づいてはならない。
• 4. Decisions referred to in paragraph 2 shall not be based on special categories of
personal data referred to in Article 9(1), unless point (a) or (g) of Article 9(2) apply
and suitable measures to safeguard the data subject's rights and freedoms andlegitimate interests are in place.
• 与信管理に適⽤されるか？
•••

22条1項柱書該当性
22条1項(a)該当性
22条4項該当性

2018/05/19

情報法制研究会第7回シンポジウム80

2.3 GDPRにおけるデータ管理者・データ処理者の義務• 第4 章 管理者及び取扱者• 第1 節 ⼀般的義務• 第24 条 管理者の責任• 第25 条 データ保護バイデザイン及びデータ保護バイデフォ
ルト• 第26 条 共同管理者• 第27 条 EU 域内に拠点のない管理者⼜は取扱者の代理⼈• 第28 条 取扱者• 第29 条 管理者⼜は取扱者の権限下での取扱い• 第30 条 取扱い活動の記録• 第31 条 監督機関との協⼒• 第2 節 個⼈データの保護• 第32 条 取扱いの保護• 第33 条 個⼈データ侵害の監督機関への通知• 第34 条 データ主体への個⼈データ侵害の通知

2018/05/19

情報法制研究会第7回シンポジウム81• 第3 節 データ保護影響評価及び事前協議• 第35 条 データ保護影響評価• 第36 条 事前協議

• 第4 節 データ保護オフィサー• 第37 条 データ保護オフィサーの指名• 第38 条 データ保護オフィサーの地位• 第39 条 データ保護オフィサーの業務

2018/05/19

情報法制研究会第7回シンポジウム82

第24 条 管理者の責任
Article 24 Responsibility of thecontroller•

1. 取扱いの性質、範囲、⽂脈及び⽬的並びに⾃然⼈の権利及び⾃由に関するリスクの様々な可能性及び重⼤性を考慮し、管理者は本規則に従って取扱いが実⾏されていることを保証及び証明するため適切な技術的及び組織的対策を実施しなければならない。これら対策は⾒直され、必要に応じて更新されなければならない。

•

1. Taking into account the nature, scope, context and purposes of processing as well as the risksof varying likelihood and severity for the rights and freedoms of natural persons, the controller
shall implement appropriate technical and organisational measures to ensure and to be able todemonstrate that processing is performed in accordance with this Regulation. Those measures
shall be reviewed and updated where necessary.

•

2. 取扱い活動に関して⽐例しているならば、第1 項で定める対策は、管理者によって適切なデータ保護⽅針の実施を含めるものとする。

•

2. Where proportionate in relation to processing activities, the measures referred to in paragraph1 shall include the implementation of appropriate data protection policies by the controller.

•

3.（略）

•

「EEA域内の拠点から標準契約条項（SCC）によってEEA域外の拠点へ個⼈データを移転させる場合，
当該個⼈データの処理に関して，GDPRに対応したデータ保護⽅針を制定・施⾏する必要がある。たとえば，⽇本企業の場合は，⽇本において，⽇本の個⼈情報保護規程とは別に，GDPR対応のデータ保護⽅針を作成し，EEA所在者の個⼈データの処理についてのみ適⽤することが考えられる。」（[杉本])2018/05/19

情報法制研究会第7回シンポジウム

83第25 条 データ保護バイデザイン及びデータ保護
バイデフォルト
Article 25 Data protection by design and by default• 1. 到達⽔準、実施の管理費⽤、取扱いの性質、範囲、⽂脈及び⽬的、並びに取扱いによって引き起こされる⾃然⼈の権利及び⾃由に関するリス
クの様々な可能性及び重⼤性を考慮し、管理者は、本規則の要件に合致させるため及びデータ主体の権利を保護するため、取扱いの⼿法を決定する時点及び取扱い時点の両時点において、適切な技術的及び組織的対策（例えば仮名化）を実施しなければならず、データ保護の原則（例えばデータ最⼩化）を効果的な⽅法で履⾏すること及び必要な保護措置を取扱いと統合することが意図された対策がとられるものとする。
• 1. Taking into account the state of the art, the cost of implementationand the nature, scope, context and purposes of processing as well as
the risks of varying likelihood and severity for rights and freedoms ofnatural persons posed by the processing, the controller shall, both at
the time of the determination of the means for processing and at thetime of the processing itself, implement appropriate technical andorganisational measures, such as pseudonymisation, which aredesigned to implement data-protection principles, such as data
minimisation, in an effective manner and to integrate the necessary
safeguards into the processing in order to meet the requirements ofthis Regulation and protect the rights of data subjects.
• 2.-3.（略）
2018/05/19

情報法制研究会第7回シンポジウム

84

第27 条 EU 域内に拠点のない管理者⼜は取扱者の代理⼈
Article 27 Representatives of controllers orprocessors not established in the Union• 1. 第3 条第2 項が適⽤される場合、管理者⼜は取扱者はEU 域内の代理⼈を書⾯で明⽰しなければならない。
• 1. Where Article 3(2) applies, the controller or the processor shall designate inwriting a representative in the Union.
• 2. 当該義務は次に掲げるいずれかの場合には適⽤されない。
• 2. This obligation shall not apply to:• (a) 第9 条第1 項で定める特別な種類のデータの取扱い⼜は第10 条で定める有罪判決及び犯罪に関する個⼈データの取扱いを⼤規模に含まず、取扱いの性質、⽂脈、範囲及び⽬的を考慮して⾃然⼈の権利⼜は⾃由に対するリスクが⽣じそうにない、散発的になされる取扱い。
• (a) processing which is occasional, does not include, on a large scale, processing ofspecial categories of data as referred to in Article 9(1) or processing of personal data
relating to criminal convictions and offences referred to in Article 10, and is unlikely
to result in a risk to the rights and freedoms of natural persons, taking into accountthe nature, context, scope and purposes of the processing; or• (b) 公的機関⼜は団体。
• (b) a public authority or body.

2018/05/19

情報法制研究会第7回シンポジウム85

•3. 代理⼈は、データ主体が居住し、当該データ主体への商品やサービスの提供に関連して当該データ
主体の個⼈データが処理されるか、⼜は当該データ主体の⾏動が監視される加盟国の⼀つに拠点を持たなければならない。

•

3. The representative shall be established in one of those Member States where the data subjects
are and whose personal data are processed in relation to the offering of goods or services tothem, or whose behaviour is monitored.

•

4. 代理⼈は、本規則遵守を確実にする⽬的のため、取扱いに関連するすべての問題について、管理者
若しくは取扱者とともに⼜は代わりに、特に、監督機関及びデータ主体と対話をするため、管理者⼜は取扱者によって委任されなければならない。

•

4. The representative shall be mandated by the controller or processor to be addressed in addition
to or instead of the controller or the processor by, in particular, supervisory authorities and data
subjects, on all issues related to processing, for the purposes of ensuring compliance with thisRegulation.

•

5. 管理者⼜は取扱者による代理⼈の任命は、管理者⼜は取扱者⾃⾝に対して取られる法的⾏為を妨げることはない。

•

5. The designation of a representative by the controller or processor shall be without prejudice tolegal actions which could be initiated against the controller or the processor themselves.

•「⽇本の事業者は，受託者を含め，EUのデータ全体に向けて商品やサービスを提供したり，⾏動追跡を⾏う場合には，EU内に代理⼈を設置しなければならず，遵守しない場合は制裁の対象となる。」（[⽯井]）2018/05/19

情報法制研究会第7回シンポジウム

86

第28 条 取扱者
Article 28 Processor•

1. 管理者の代わりに取扱いが実施される場合、その管理者は、取扱いが本規則の要件に合致し、デー
タ主体の権利の保護を確実にする取扱い⽅法で、適切な技術的及び組織的な対策を実施することを⼗分に保証する取扱者のみを利⽤しなければならない。

•

1. Where processing is to be carried out on behalf of a controller, the controller shall use only
processors providing sufficient guarantees to implement appropriate technical and organizational
measures in such a manner that processing will meet the requirements of this Regulation andensure the protection of the rights of the data subject.

•

2. 取扱者は、事前の特定⼜は管理者の⼀般的な書⾯の許可なしに他の取扱者を従事させてはならない。
⼀般的な書⾯の許可の場合、取扱者は、他の取扱者の追加⼜は代替に関するあらゆる意図された変更について管理者に通知しなければならず、それによって管理者に当該変更に不服を申し⽴てる機会を提供するものとする。

•

2. The processor shall not engage another processor without prior specific or general written
authorisation of the controller. In the case of general written authorisation, the processor shallinform the controller of any intended changes concerning the addition or replacement of otherprocessors, thereby giving the controller the opportunity to object to such changes.

•

3.-10.（略）•

GDPRが適⽤される場合，取扱者（委託先）を利⽤する場合には，取扱者もGDPRに従っている必要がある。

•

取扱者（委託先）が再委託を⾏う場合の取扱者もGDPRに従っている必要がある。

2018/05/19

情報法制研究会第7回シンポジウム

87

第30 条 取扱い活動の記録
Article 30 Records of processing
activities• 1. 各管理者及び、該当する場合、管理者の代理⼈は、管理下にある取扱い活動の記録を管理しなければならない。記録は次に掲げる情報のすべてを含む。
• 1. Each controller and, where applicable, the controllerʻs
representative, shall maintain a record of processing activities under
its responsibility. That record shall contain all of the following
information:• (a) 管理者の名前と連絡先の詳細。該当する場合、共同管理者、管理者の代理⼈及びデータ保護オフィサーを含む。
• (a) the name and contact details of the controller and, whereapplicable, the joint controller, the controller's representative and thedata protection officer;• (b) 取扱いの⽬的。
• (b) the purposes of the processing;• (c) データ主体の種類と個⼈データの種類の概要。
• (c) a description of the categories of data subjects and of thecategories of personal data;
2018/05/19

情報法制研究会第7回シンポジウム88• (d) 第三国⼜は国際機関における取得者を含め、個⼈データが開⽰される⼜は開⽰され得る取得者の種類。
• (d) the categories of recipients to whom the personal data have been or will be
disclosed including recipients in third countries or international organisations;• (e) 該当する場合、第三国⼜は国際機関を特定した形式による第三国⼜は国際機関への個⼈データ移転、及び、第49 条第1 項後段で定める移転の場合、適切な保護措置に関する⽂書。
• (e) where applicable, transfers of personal data to a third country or an internationalorganisation, including the identification of that third country or internationalorganisation and, in the case of transfers referred to in the second subparagraph of
Article 49(1), the documentation of appropriate safeguards;• (f) 可能であれば、データ種類ごとの消去までの予測される期限。
• (f) where possible, the envisaged time limits for erasure of the different categories ofdata;• (g) 可能であれば、第32 条第1 項で定める技術的及び組織的安全保護措置の概要。
• (g) where possible, a general description of the technical and organisational security
measures referred to in Article 32(1).
• 2.（略，取扱者に関する規定）

2018/05/19

情報法制研究会第7回シンポジウム

89•

3. 第1 項及び第2 項で定める記録は、電⼦的形態を含め、書⾯でなければならない。

•

3. The records referred to in paragraphs 1 and 2 shall be in writing, including in electronic form.

•

4. 管理者⼜は取扱者及び、該当する場合、管理者⼜は取扱者の代理⼈は要求に応じて記録を監督機関が⼊⼿可能にしなければならない。

•

4. The controller or the processor and, where applicable, the controller's or the processor's
representative, shall make the record available to the supervisory authority on request.

•

5. 第1 項及び第2 項で定める義務は、250 ⼈未満を雇⽤している企業⼜は組織には適⽤されない。ただし、取扱いの実施がデータ主体の権利及び⾃由へのリスクを⽣じさせ得るか、取扱いの頻度が稀ではないか、⼜は第9 条第1 項で定める特別な種類のデータ若しくは第10 条で定める有罪判決及び犯罪に関する個⼈データを含む取扱いを⾏っていない場合に限る。

•

5. The obligations referred to in paragraphs 1 and 2 shall not apply to an enterprise or an
organization employing fewer than 250 persons unless the processing it carries out is likely toresult in a risk to the rights and freedoms of data subjects, the processing is not occasional, or
the processing includes special categories of data as referred to in Article 9(1) or personal data
relating to criminal convictions and offences referred to in Article 10.

•

参考：前⽂13 欧州連合の機関及び組織並びに構成国及びその監督官は、この規則の適⽤に際して、マイクロ企業及び中⼩企業の特別の必要性を考慮に⼊れることが推奨される。マイクロ企業及び中⼩企業の概念については、委員会勧告 2003/361/EC1の別紙の第 2 条に⽰すとおりである。
•••

中⼩企業：250名未満，年商5000万ユーロ未満，及び年次の貸借対照表の合計4300万ユーロ未満
⼩規模事業者：50名未満，年商及び年次の貸借対照表の合計1000万ユーロ未満
零細事業者：年商及び年次の貸借対照表の合計10名未満，200万ユーロ未満

2018/05/19

情報法制研究会第7回シンポジウム

90

第32 条 取扱いの保護
Article 32 Security of processing• 1. 到達⽔準、実施の管理費⽤、取扱いの性質、範囲、⽂脈及び⽬的、並
びに引き起こされる⾃然⼈の権利及び⾃由に関する様々な可能性及び重⼤性のリスクを考慮し、管理者及び取扱者は、保護レベルをリスクに⾒合ったものにするため、適切な技術的及び組織的対策を実施しなければならない。必要に応じて特に次に掲げる事項を含むものとする。
• 1. Taking into account the state of the art, the costs of implementationand the nature, scope, context and purposes of processing as well as
the risk of varying likelihood and severity for the rights and freedomsof natural persons, the controller and the processor shall implement
appropriate technical and organisational measures to ensure a level of
security appropriate to the risk, including inter alia as appropriate:• (a)-(d)（略）• 2.-4.（略）• いわゆる安全管理措置義務。

2018/05/19

情報法制研究会第7回シンポジウム

91

第33 条 個⼈データ侵害の監督機関への通知
Article 33 Notification of a personal data breach tothe supervisory authority• 1. 個⼈データの侵害が発⽣した場合、管理者は、不当な遅滞なしに、可能であれば、侵害に気が付いてから72 時間以内に、第55 条に従って個
⼈データの侵害を管轄監督機関に通知しなければならない。ただし、個⼈データの侵害により⾃然⼈の権利⼜は⾃由に対するリスクが⽣じ得ない場合を除く。監督機関への通知が72 時間以内になされない場合には、遅滞に関する理由と共に通知されなければならない。
• 1. In the case of a personal data breach, the controller shall without
undue delay and, where feasible, not later than 72 hours after having
become aware of it, notify the personal data breach to the supervisory
authority competent in accordance with Article 55, unless the personal
data breach is unlikely to result in a risk to the rights and freedoms ofnatural persons. Where the notification to the supervisory authority is
not made within 72 hours, it shall be accompanied by reasons for thedelay.
• 域外適⽤の場合，どこを「管轄監督機関」として報告すればよいのか？
• Guidelines on The Lead Supervisory Authority, wp244rev.01_en （主要監督機関）• 「主たる事業所⼜は管理者若しくは取扱者の単⼀の事業所の監督機関」（GDPR56条）
2018/05/19

情報法制研究会第7回シンポジウム

92•

2. 取扱者は、個⼈データの侵害に気付いた後、不当な遅滞なしに管理者に通知しなければならない。

•

2. The processor shall notify the controller without undue delay after becoming aware of apersonal data breach.

•

3. 第1 項で定める通知は少なくとも次に掲げる事項が含まれなければならない。

•

3. The notification referred to in paragraph 1 shall at least:•(a) 個⼈データ侵害の性質の記述。可能であれば、関連するデータ主体の種類及び概数並びに関連する個⼈データの記録の種類及び概数を含む。

•(a) describe the nature of the personal data breach including where possible, the categories andapproximate number of data subjects concerned and the categories and approximate number of
personal data records concerned;•(b) データ保護オフィサーの⽒名及び詳細な連絡先⼜はより情報が⼊⼿できるその他連絡先の通知。

•(b) communicate the name and contact details of the data protection officer or other contact
point where more information can be obtained;•(c) 個⼈データ侵害に関する起こり得る結果の記述。

•(c) describe the likely consequences of the personal data breach;•(d) 個⼈データ侵害に対処するために管理者によって取られている⼜は取られることが意図された対策の記述。適切な場合、個⼈データ侵害により起こり得る悪影響を軽減するための対策を含む。

•

4.-5.（略）2018/05/19

情報法制研究会第7回シンポジウム

93「主たる事業所」とは•前⽂(36) 欧州連合内における管理者の主たる事業所は、欧州連合内におけるその中枢機関の所在地としなければならない。ただし、個⼈データの処理の⽬的及び⽅法の決定が欧州連合内の別の管理者の事業所において⾏われる場合には、当該別の事業所は、主たる事業所とみなされる。欧州連合内における管理者の主たる事業所は、客観的な基準に従って判断されなければならず、また、確実な拠点を通じて、処理の⽬的及び⽅法に関する主要な判断事項に関する決定をするという管理⾏為が効果的か
つ現実になされていることを⽰すものとしなければならない。その基準は、個⼈データの処理が当該の場所で⾏われているか否かには依拠しない。個⼈データの処理または処理活動のための技術的⼿段
及び技術が存在すること及びそれが利⽤されていることは、それ⾃体としては、主たる事業所を組成するものではなく、それゆえ、そのことは、主たる事業所の判断基準とは無関係である。処理者の主たる事業所は、欧州連合内における中枢機関の所在地とすべきである。また、欧州連合内に中枢機関が存在しない場合には、その場所は、欧州連合内において主要な処理活動が⾏われる場所とすべきである。管理者と処理者の両者がある場合には、管理者が主たる事業所をもつ構成国の監督官は、主任監督官であり続けるが、処理者の監督官は、関係する監督官とみなされ、そして、当該監督官は、この規則によって定められる協⼒⼿続に参加しなければならない。いずれの場合においても、処理者が1 または複数の事業所を有する場合、それらの構成国の監督官らは、決定書草案が当該管理者にのみ関係するものである場合には、関係する監督官とはみなされない。処理が企業グループによって⾏われる場合、統括する企業の主たる事業所は、処理の⽬的及び⽅法が別の企業によって決定される場合を除き、その企業グループの主たる事業所とみなされる。

•

管理者の場合…

•①欧州連合内におけるその中枢機関の所在地（例：ロンドン⽀店）•②個⼈データの処理の⽬的及び⽅法の決定が欧州連合内の別の管理者の事業所において⾏われる場合には，当該別の事業所は，主たる事業所とみなされる（例：中枢機関はロンドン⽀店だが，欧州連合
内での個⼈データの処理の⽬的及び⽅法の決定がフランクフルト⽀店で⾏われる場合は，フランクフ
ルト⽀店[稀ではないか？]）•②が存在しない場合（⽇本で決定している場合）には「中枢機関」に戻る

2018/05/19

情報法制研究会第7回シンポジウム

94

第34 条 データ主体への個⼈データ侵害の通知
Article 34 Communication of a personal data
breach to the data subject• 1. 個⼈データ侵害が⾃然⼈の権利及び⾃由に対して⾼リスクを引き起こし得る場合、管理者は、不当な遅滞なしにデータ主体に個⼈データ侵害について通知しなければならない。
• 1. When the personal data breach is likely to result in a highrisk to the rights and freedoms of natural persons, thecontroller shall communicate the personal data breach to thedata subject without undue delay.
• 2. 本条第1 項で定めるデータ主体への通知はデータ侵害の性質について明⽩で平易な⽂章で記述され、少なくとも、第33 条第3 項(b)号、(c)号及び(d)号で規定された情報並びに推奨事項を含むものとする。
• 2. The communication to the data subject referred to inparagraph 1 of this Article shall describe in clear and plain
language the nature of the personal data breach and contain atleast the information and the recommendations provided for inpoints (b), (c) and (d) of Article 33(3).
• 3.-4.（略）
2018/05/19

情報法制研究会第7回シンポジウム

95

第35 条 データ保護影響評価
Article 35 Data protection impact
assessment• 1. 特に新たな技術を⽤いるなどのある種の取扱いが、その性質、範囲、⽂脈及び取扱いの⽬的を考慮して、⾃然⼈の権利や⾃由に⾼リスクを⽣じさせる可能性がある場合、管理者は、取扱いの前に、予定された取扱い作業の個⼈デー
タ保護への影響評価を実施しなければならない。独⽴した評価は同様の⾼リスクを⽰す同様の取扱い作業の集合で⽤いることができる。
• 1. Where a type of processing in particular using newtechnologies, and taking into account the nature, scope,
context and purposes of the processing, is likely to resultin a high risk to the rights and freedoms of natural
persons, the controller shall, prior to the processing, carryout an assessment of the impact of the envisaged
processing operations on the protection of personal data.
A single assessment may address a set of similar
processing operations that present similar high risks.
• 2.-11 （略）2018/05/19

情報法制研究会第7回シンポジウム

96

第37 条 データ保護オフィサーの指名
Article 37 Designation of the data protection
officer•

1. 管理者及び処理者は、次に掲げるいずれかの場合には、データ保護オフィサーを指名しなければならない。

•

1. The controller and the processor shall designate a data protection officer in any case where:•(a) 取扱いが公的機関⼜は団体によって⾏われる場合。ただし、司法能⼒をもとにした裁判所の⾏為を除く。

•(a) the processing is carried out by a public authority or body, except for courts acting in their judicial capacity;•(b) 管理者⼜は処理者の中⼼的業務が、その性質、適⽤範囲及び/⼜は⽬的によって、⼤規模にデータ主体の定期的かつ系統的な監視を必要とする取扱い作業である場合。

•(b) the core activities of the controller or the processor consist of processing operations which, by virtue of theirnature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large
scale; or•(c) 管理者⼜は処理者の中⼼的業務が、第9 条で⾔及された特別な種類のデータ及び第10条で定める有罪判決及び犯罪に関する個⼈データを⼤規模に取扱う場合。

•(c) the core activities of the controller or the processor consist of processing on a large scale of special categoriesof data pursuant to Article 9 and personal data relating to criminal convictions and offences referred to in Article 10.

•

2.-3.（略）•4. 第1 項で定める場合以外でも、管理者若しくは取扱者⼜は組織及び管理者⼜は処理者の分野を代表するその他の団体
は、データ保護オフィサーを任命してもよく、EU 法⼜は加盟国の国内法で要求されているならば、任命しなければならない。データ保護オフィサーは当該組織及び管理者⼜は取扱者を代表する団体のために⾏動することができる。

•

4. In cases other than those referred to in paragraph 1, the controller or processor or associations and other bodies
representing categories of controllers or processors may or, where required by Union or Member State law shall,designate a data protection officer. The data protection officer may act for such associations and other bodies
representing controllers or processors.

•

5.-7.（略）2018/05/19

情報法制研究会第7回シンポジウム

97

DPOの設置義務についての国
内法等• 1項(b)(c)は⼤規模なデータの取扱い事態を中⼼的業務とするものだが，• 「加盟国の国内法で要求されている」（4項）場合にはDPOの設置義務がある。ドイツ連邦データ保護法（実施法）では10名の従業員を雇⽤する企業は，DPOを専任する義務を負う。DPIAを⾏う場合にもDPOを選任する義務を追う。
• 「DPOの選任が義務付けられる実務であるかの判断は必ずしも容易ではないため，当該判断については⽂書化しておくことが望ましい。」（[杉本]）• IAPPによればEU内で約28,000名，⽇本で約1,700名，全世界で約75,000名のDPOが必要となるとされている。

• https://iapp.org/news/a/study-gdprs-global-reach-to-requireat-least-75000-dpos-worldwide/

2018/05/19

情報法制研究会第7回シンポジウム

98第38 条 データ保護オフィサーの地位
Article 38 Position of the data protection officer•

1. 管理者及び取扱者は、データ保護オフィサーが個⼈データ保護に関するすべての問題に、適切かつ直ちに関与できることを確実にしなければならない。

•

1. The controller and the processor shall ensure that the data protection officer is involved,
properly and in a timely manner, in all issues which relate to the protection of personal data.

•

2. 管理者及び取扱者は、第39 条で定める業務遂⾏においてデータ保護オフィサーを⽀援しなければならず、その⽀援は、当該業務の実⾏、個⼈データ及び取扱い作業へのアクセス、及びデータ保護オ
フィサーの専⾨知識を維持するのに必要な資源を提供することによってなされるものとする。

•

2. The controller and processor shall support the data protection officer in performing the tasks
referred to in Article 39 by providing resources necessary to carry out those tasks and access topersonal data and processing operations, and to maintain his or her expert knowledge.

•

3. 管理者⼜は処理者はデータ保護オフィサーがその業務の遂⾏に関してあらゆる指図を受けないことを確実にしなければならない。当該データ保護オフィサーは管理者⼜は取扱者によって当該データ保護オフィサーの業務遂⾏に関して解雇⼜は罰則を受けることがあってはならない。データ保護オフィ
サーは管理者⼜は取扱者の最⾼レベルの経営者に直接報告するものとする。

•

3. The controller and processor shall ensure that the data protection officer does not receive any
instructions regarding the exercise of those tasks. He or she shall not be dismissed or penalisedby the controller or the processor for performing his tasks. The data protection officer shalldirectly report to the highest management level of the controller or the processor.

•

4. データ主体はデータ主体の個⼈データの取扱い及び本規則に基づく権利の履⾏に関するすべての問題に関してデータ保護オフィサーに連絡を取ることができる。

•

4. Data subjects may contact the data protection officer with regard to all issues related toprocessing of their personal data and to the exercise of their rights under this Regulation.

2018/05/19

情報法制研究会第7回シンポジウム99• 5. データ保護オフィサーは、EU 法⼜は加盟国の国内法に従って、データ保護オフィサーの業務に関連した秘密⼜は機密を守らなければならない。
• 5. The data protection officer shall be bound by secrecy or confidentiality concerning
the performance of his or her tasks, in accordance with Union or Member State law.
• 6. データ保護オフィサーは他の業務⼜は義務を遂⾏することができる。管理者⼜は取扱者は当該業務及び義務が利益相反を招かないよう確保しなければならない。
• 6. The data protection officer may fulfil other tasks and duties. The controller orprocessor shall ensure that any such tasks and duties do not result in a conflict ofinterests.
• 「DPOは，個⼈データの処理の⽬的及び⼿段を決定する地位を有することはできない。
たとえば，利益相反が問題となる地位として，経営陣（最⾼経営責任者，最⾼執⾏責任者，最⾼財務責任者，最⾼医療責任者，マーケティング部⾨⻑，⼈事部⾨⻑，IT部⾨⻑等）があげられるが，その他の組織構造の中で⽐較的低い地位であっても当該地位や役割が処理の⽬的および⼿段を決定することにつながる場合もあげられる。」（[杉本])• DPOネットワークの構築例（[柳池]）•••①集中型（本社主導型）②分散型（⼦会社主導型）③混成型（組み合わせ）2018/05/19

情報法制研究会第7回シンポジウム

100

3 EUによる⽇本の⼗分性認定
3.1 GDPRにおける越境移転制限• ①原則としての，⼗分性認定に基づく移転（GDPR45条）• ②⼗分性認定がなされていない場合の，適切な安全性確保措置を施した移転（GDPR46条）• ③⼗分性認定がなされておらず，適切な安全性確保措置も認められない場合の，特別の状況における特則（GDPR49条）

2018/05/19

情報法制研究会第7回シンポジウム

101

EU

管理者

管理者

EU外

EU

管理者

取扱者

EU外
2018/05/19

情報法制研究会第7回シンポジウム

102

3.2

GDPRにおける⼗分性認定• ⼗分性認定（判定）がなされたのは，• アンドラ，アルゼンチン，カナダ（⺠間部⾨），フェロー諸島，ガーン
ジー島，イスラエル，マン島，ジャージー島，ニュージーランド，スイス，
ウルグアイ（7カ国4地域）• EU-USプライバシーシールドスキーム• 個⼈情報の保護に関する法律についてのガイドライン（ＥＵ域内か
ら⼗分性認定により移転を受けた個⼈データの取扱い編）（案）（パブリックコメント中。〜平成30年5⽉25⽇）• 「個⼈情報保護委員会は、⽇ＥＵ間で相互の円滑な個⼈データ移転を図る
ため、法第 24 条に基づき、個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国としてＥＵを指定し、これにあわせて、欧州委員会は、ＧＤＰＲ第 45 条に基づき、⽇本が個⼈データについて⼗分な保護⽔準を確保していると決定した。」
2018/05/19

情報法制研究会第7回シンポジウム

103

第45 条 ⼗分性決定に基づく移転
Article 45 Transfers on the basis of an adequacy
decision• 1. 第三国⼜は国際機関への個⼈データの移転は、当該第三国、第三国域内の領域若しくは⼀つ若しくは複数の特定された部⾨、⼜は国際機関が保護に関して⼗分なレベルを保証していると欧州委員会が決定した場合に⾏うことができる。この移転は、いかなる個別的許可も要しない。
• 1. A transfer of personal data to a third country or aninternational organisation may take place where theCommission has decided that the third country, aterritory or one or more specified sectors within thatthird country, or the international organisation inquestion ensures an adequate level of protection.
Such a transfer shall not require any specificauthorisation.
2018/05/19

情報法制研究会第7回シンポジウム104• 2. 保護レベルの⼗分性を評価するとき、欧州委員会は、次に掲げる要素を特に考慮しなくてはならない。
• 2. When assessing the adequacy of the level of protection, the Commission
shall, in particular, take account of the following elements:• (a) 法の⽀配、⼈権及び基本的⾃由の尊重、公安、国防、国家の安全及び刑事法並
びに個⼈データへの公的機関のアクセスに関するものを含む⼀般的な⼜は分野別の関連法令及びその履⾏。第三国⼜は国際機関への個⼈データの再移転に関連し、当該第三国⼜は国際組織によって遵守される規定及び判例法並びに効果的かつ執⾏⼒のあるデータ主体の権利を含むデータ保護規定、専⾨的規定及び安全対策。
個⼈データが移転されるデータ主体のための効果的な⾏政上及び司法上の是正措置。
• (a) the rule of law, respect for human rights and fundamental freedoms,
relevant legislation, both general and sectoral, including concerning public
security, defence, national security and criminal law and the access of publicauthorities to personal data, as well as the implementation of such legislation,
data protection rules, professional rules and security measures, including
rules for the onward transfer of personal data to another third country orinternational organisation which are complied with in that country orinternational organisation, case-law, as well as effective and enforceable data
subject rights and effective administrative and judicial redress for the data
subjects whose personal data are being transferred;

2018/05/19

情報法制研究会第7回シンポジウム105• (b) データ保護規定遵守の保障及び執⾏並びに適切な執⾏権限に対する責
任、データ主体が権利を⾏使する際にこれを⽀援する⼜はこれに対し助⾔する責任、及び、加盟国の監督機関と協働する責任を有する第三国における⼀つ⼜は複数の独⽴した監督機関、⼜は国際機関が従うべき監督機関の存在及び実効的権限⾏使。
• (b) the existence and effective functioning of one or more independent
supervisory authorities in the third country or to which an internationalorganisation is subject, with responsibility for ensuring and enforcing
compliance with the data protection rules, including adequate
enforcement powers, for assisting and advising the data subjects inexercising their rights and for cooperation with the supervisory
authorities of the Member States; and• (c) 当該第三国若しくは国際組織が加⼊している国際的取決め。特に個⼈
データ保護に関する法的拘束⼒のある慣⾏若しくは法律⽂書から⼜は、
多国間⼜は地域における制度への参加から⽣じるその他義務。
• (c) the international commitments the third country or internationalorganisation concerned has entered into, or other obligations arisingfrom legally binding conventions or instruments as well as from its
participation in multilateral or regional systems, in particular in relation
to the protection of personal data.
• 3.-9.（略）
2018/05/19

情報法制研究会第7回シンポジウム

106

Maximillian Schrems v Data
Protection
Commissioner(C-362/14)(interpretation of Directive Art.25-26)• …in the light of Articles 7, 8 and 47 of the Charterof Fundamental Rights of the European Union• …the term ʻadequate level of protectionʼ must be
understood as requiring the third country in fact toensure, by reason of its domestic law or its
international commitments, a level of protection of
fundamental rights and freedoms that isessentially equivalent to that guaranteed within
the European Union by virtue of Directive 95/46
read in the light of the Charter.
2018/05/19

情報法制研究会第7回シンポジウム

107the Charter of Fundamental
Rights of the European Union• Article 7• Respect for private and family life

• Everyone has the right to respect for his or her
private and family life, home and communications.

• Article 8• Protection of personal data

• 1. Everyone has the right to the protection of
personal data concerning him or her.
• 2. Such data must be processed fairly for specified
purposes and on the basis of the consent of
theperson concerned or some other legitimate basis
laid down by law. Everyone has the right of access todata which has been collected concerning him or her,and the right to have it rectified.
• 3. Compliance with these rules shall be subject tocontrol by an independent authori

2018/05/19

情報法制研究会第7回シンポジウム

108

3.3

例外事由

• 適切な安全性確保措置• 監督機関の個別承認不要• 従来からの⽅法• 標準データ保護約款（GDPR46条2項(c)(d)）• 拘束的企業準則（BCR）（GDPR46条(b)）• GDPRでの新規導⼊• ⾏動準則（GDPR40条ないし41条）• 認証（GDPR42条ないし43条）• 監督機関の個別承認• 詳細はまだ不明• 特別の状況における特例• 同意が含まれるが，「⼤量，構造的，反復的な移転には適⽤されない」との指摘
2018/05/19

情報法制研究会第7回シンポジウム

109

第46 条 適切な保護措置に従った移転
Article 46 Transfers subject to appropriate
safeguards• 1. 第45 条第3 項による決定がない場合は、管理者⼜は取扱者が適切な保護措置を提供しており、執⾏⼒あるデータ主体の権利及びデータ主体に関する効果的な法的救済が利⽤可能な状態である場合に限り、管理者⼜は取扱者は第三国⼜は国際機関に個⼈データを移転することができる。
• 1. In the absence of a decision pursuant to Article 45(3), a
controller or processor may transfer personal data to a third
country or an international organisation only if the controller orprocessor has provided appropriate safeguards, and on
condition that enforceable data subject rights and effective
legal remedies for data subjects are available.
• 2. 第1 項で定める適切な保護措置は、監督機関からの特定の認可を必要とせず、次に掲げるものによって講じられてもよい。
2018/05/19

情報法制研究会第7回シンポジウム110• 2. The appropriate safeguards referred to in paragraph 1 may beprovided for, without requiring any specific authorisation from asupervisory authority, by:• (a) 公的機関⼜は団体間の法的拘束⼒⼜は執⾏⼒のある法律⽂書。
• (a) a legally binding and enforceable instrument between publicauthorities or bodies;• (b) 第47 条に従った拘束的企業準則。
• (b) binding corporate rules in accordance with Article 47;• (c) 第93 条第2 項で定める審査⼿続に従って欧州委員会によって採択された標準データ保護条項。
• (c) standard data protection clauses adopted by the Commission inaccordance with the examination procedure referred to in Article
93(2);• (d) 監督機関によって採択され、第93 条第2 項で定める審査⼿続により欧州委員会によって承認された標準データ保護条項。
• (d) standard data protection clauses adopted by a supervisory
authority and approved by the• Commission pursuant to the examination procedure referred to in
Article 93(2);2018/05/19

情報法制研究会第7回シンポジウム111• (e) 適切な保護措置（データ主体の権利に関することを含む）を適⽤するための第三国の管理者⼜は取扱者の拘束⼒及び執⾏⼒のある公約を伴った、第40 条による承認された⾏動規範。⼜は、• (e) an approved code of conduct pursuant to Article 40
together with binding and enforceablecommitments of thecontroller or processor in the third country to apply theappropriate safeguards,including as regards data subjects'
rights; or• (f) 適切な保護措置（データ主体の権利に関することを含む）を適⽤するための第三国の管理者⼜は取扱者の拘束⼒及び執⾏⼒のある公約を伴った、第42 条による承認された認証メカニズム。
• (f) an approved certification mechanism pursuant to Article 42
together with binding and enforceablecommitments of thecontroller or processor in the third country to apply theappropriate safeguards,including as regards data subjects'
rights.
• 従来のSCCは経過措置によってGDPRにおいても有効。
2018/05/19

情報法制研究会第7回シンポジウム

112

管理者-管理者
SCC

EU

管理者

管理者

EU外

管理者-処理者
SCC

EU

管理者

取扱者

EU外

2018/05/19

情報法制研究会第7回シンポジウム

113

SCCの法遵守義務及び準拠法•

Commission Decision C(2004)5721•”SET II” Standard contractual clauses for the transfer of personal data from the Community to
third countries (controller to controller transfers)•

II.

Obligations of the data importer•h)

It will process the personal data, at its option, in accordance with:•i.

the data protection laws of the country in which the data exporter is established, or•ii.
the relevant provisions of any Commission decision pursuant to Article 25(6) of Directive
95/46/EC, where the data importer complies with the relevant provisions of such an authorisation
or decision and is based in a country to which such an authorisation or decision pertains, but is
not covered by such authorisation or decision for the purposes of the transfer(s) of the personal
data , or

•

iii.

•

Data importer to indicate which option it selects:•

Initials of data importer:

•

IV.

•

These clauses shall be governed by the law of the country in which the data exporter isestablished, with the exception of the laws and regulations relating to processing of the personal
data by the data importer under clause II(h), which shall apply only if so selected by the data
importer under that clause.

2018/05/19

the data processing principles set forth in Annex A.
;

Law applicable to the clauses

情報法制研究会第7回シンポジウム

114

EU

管理者

管理者

EU外

拘束的企業準則
・楽天（ルクセンブルク）・IIJ（英国，申請中）
・富⼠通（オランダ，申請中）

管理者

EU外
2018/05/19

情報法制研究会第7回シンポジウム

115

4 「個⼈情報の保護に関する法律についてのガイドライン（ＥＵ
域内から⼗分性認定により移転を受けた個⼈データの取扱い編）」（案）
4.1 経緯• 個⼈情報保護委員会は、⽇ＥＵ間の個⼈データの移転について、相互の円滑な移転を図る枠組みの構築を視野に、欧州委員会との間で累次の対話を重ねてきている。
• 昨年（2017年） 12 ⽉ 14 ⽇には、当委員会委員と欧州委員会委員との間で会談を⾏い、双⽅の制度間の関連する相違点に対処するための、法令改正を⾏わない形での解決策について確認するとともに、今後、その詳細について作業すること、また、本年前半に、最終合意することを想定し、委員レベルで会談をもつことで⼀致した。
• この解決策として、本年（2018年）２⽉ 14 ⽇に、「個⼈情報の保護に関する法律についてのガイドライン（ＥＵ域内から⼗分性認定により移転を受けた個⼈データの取扱い編）（案）」について、当委員会で審議を⾏った。
• 当該ガイドラインは、各国政府との協⼒の実施等に関する個⼈情報保護法上の規定等（個⼈情報保護法第４条、第６条、第８条、第 24 条、第60 条及び第 78 条、並びに本年５⽉９⽇に公布・施⾏予定の改正後の個
⼈情報保護法施⾏規則第 11 条）に基づき、欧州委員会から⽇本への⼗分性が認められた際、ＥＵ域内から⼗分性認定により移転を受ける個⼈
データの取扱いに関して最低限遵守すべき規律を⽰すものである。

2018/05/19

情報法制研究会第7回シンポジウム1164.2 ガイドラインの位置付け• 個⼈情報保護委員会は、⽇ＥＵ間で相互の円滑な個⼈データ移転を図るため、法第 24 条に基づき、個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国としてＥＵを指定し、これにあわせて、
欧州委員会は、ＧＤＰＲ第 45 条に基づき、⽇本が個⼈データについて⼗分な保護⽔準を確保していると決定した。
• これにより、⽇ＥＵ間で、個⼈の権利利益を⾼い⽔準で保護した
上で相互の円滑な個⼈データ移転が図られることとなる。⽇ＥＵ双⽅の制度は極めて類似しているものの、いくつかの関連する相違点が存在するという事実に照らして、ＥＵ域内から⼗分性認定により移転を受けた個⼈情報について⾼い⽔準の保護を確保する
ために、個⼈情報取扱事業者によるＥＵ域内から⼗分性認定により移転を受けた個⼈情報の適切な取扱い及び適切かつ有効な義務の履⾏を確保する観点から、各国政府との協⼒の実施等に関する法の規定（※１）に基づき個⼈情報保護委員会は本ガイドラインを策定した。

2018/05/19

情報法制研究会第7回シンポジウム117• 特に法第６条は、個⼈情報に関する⼀層の保護を図り国際的に整合のとれた個⼈情報に係る制度を構築する観点から、法令で定める内容を補完し上回る、より厳格な規律を設けられるよう必要な法制上の措置その他の措置を講ずる権限を規定している。したがって、個⼈情報保護委員会は、個⼈情報保護法を所管する機関として、法第６条に従い、法第２条第３項に定める要配慮個⼈情報及び法第２条第７項に定める保有個⼈データ（保有期間に関する定めを含む）
に関する定義を含め、ＥＵ域内から⼗分性認定により移転を受けた個⼈データの取扱いについて、個⼈の権利利益のより⾼い⽔準の保護を規定したガイドラインを策定することにより、より厳しい規律を策定する権限を有している。
• これに基づき、本ガイドラインは、ＥＵ域内から⼗分性認定により移転される個⼈データを受領する個⼈情報取扱事
業者を拘束し、個⼈情報取扱事業者はこれを遵守する必要がある。本ガイドラインは法的拘束⼒を有する規律であり、本ガイドラインに基づく権利及び義務は、本ガイドライン
がより厳格でより詳細な規律により補完する法の規定と同様に個⼈情報保護委員会の執⾏対象となる。本ガイドラインに定める権利及び義務に対する侵害があった場合は、本ガイドラインがより厳格でより詳細な規律により補完する
法の規定と同様に、本⼈は裁判所からも救済を得ることができる。
2018/05/19

情報法制研究会第7回シンポジウム118• 個⼈情報保護委員会による執⾏に関しては、個⼈情報取扱事業者が本ガイドラインに定める⼀つ以上の義務を遵守しない場合、個⼈情報保護委員会は法第 42 条に基づく措置を講ずる権限を有する。⼀般的に、ＥＵ域内から⼗分性認定により移転を受けた個⼈情報について、法第 42 条第１項の規定による勧告を受けた個⼈情報取扱事業者が正当な理由（※２）がなくその勧告に係る措置をとらなかった場合は、
法第 42 条第２項に定める「個⼈の権利利益の重⼤な侵害が切迫している」と認められる。
• （※１）法第４条、第６条、第８条、第 24 条、第 60 条及び第 78 条、並びに規則第 11 条
• （※２）正当な理由とは、個⼈情報取扱事業者にとって合理的に予測できない不可抗⼒のできごと（たとえば⾃然災
害）による場合や、個⼈情報取扱事業者が違反を完全に是正する代替的措置をとったことにより法第 42 条第１項に基づく個⼈情報保護委員会による勧告に係る措置を講じる必要性が失われた場合が考えられる。
• ※「ＥＵ」 欧州連合加盟国及び欧州経済領域（EEA:
European Economic Area）協定に基づきアイスランド、リヒテンシュタイン及びノルウェーを含む、欧州連合（European Union）
2018/05/19

情報法制研究会第7回シンポジウム

119個⼈情報保護法6条• 政府は、個⼈情報の性質及び利⽤⽅法に鑑み、個⼈の権利利益の⼀層の保護を図るため特にその適正な取扱いの厳格な実施を確保する必要がある個⼈情報について、保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置を講ずるとともに、国際機関その他の国
際的な枠組みへの協⼒を通じて、各国政府と共同して国際的に整合のとれた個⼈情報に係る制度を構築するために必要な措置を講ずるものとする。
2018/05/19

情報法制研究会第7回シンポジウム

120

4.3 ガイドラインの内容• (1) 要配慮個⼈情報（法第２条第３項関係）• (2) 保有個⼈データ（法第 2 条第 7 項関係）
• (3) 利⽤⽬的の特定、利⽤⽬的による制限（法第 15 条第 1 項・法第 16 条第 1 項・法第 26条第 1 項・第 3 項関係）
• (4) 外国にある第三者への提供の制限（法第24 条・規則第 11 条の 2 関係）• (5) 匿名加⼯情報（法第 2 条第 9 項・法第 36
条第 1 項第 2 項関係）
2018/05/19

情報法制研究会第7回シンポジウム

121

(1) 要配慮個⼈情報（法第２条第３項関係）• ＥＵ域内から⼗分性認定に基づき提供を受けた
個⼈データに、ＧＤＰＲにおいて特別な種類の個⼈データと定義されている性⽣活、性的指向
⼜は労働組合に関する情報が含まれる場合には、
個⼈情報取扱事業者は、当該情報について法第2 条第 3 項における要配慮個⼈情報と同様に取り扱うこととする。

2018/05/19

情報法制研究会第7回シンポジウム

122

「性⽣活、性的指向⼜は労働組合に関する情報」の執⾏は？
• 取得規制• （適正な取得）• 第17条 個⼈情報取扱事業者は、偽りその他不正の⼿段により個⼈情報を取得してはならない。
• ２ 個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、要配慮個⼈情報を取得してはならない。
• （各号略）• 提供規制（取得側の規制で執⾏することが考えられる？）• 23条2項 個⼈情報取扱事業者は、第三者に提供される個⼈データ（要配慮個⼈情報を除く。以下この項において同じ。）について、本⼈の求めに応じて当該本⼈が識別される個⼈データの第三者への提供を停⽌することとしている場合であって、次に掲げる事項について、個⼈情報保護委員会規則で定めるところにより、あらかじめ、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個⼈データを第三者に提供することができる。
• ⼀ 第三者への提供を利⽤⽬的とすること。
• ⼆ 第三者に提供される個⼈データの項⽬• 三 第三者への提供の⽅法• 四 本⼈の求めに応じて当該本⼈が識別される個⼈データの第三者への提供を停⽌すること。
• 五 本⼈の求めを受け付ける⽅法
2018/05/19

情報法制研究会第7回シンポジウム

123

(2) 保有個⼈データ（法第 2 条
第 7 項関係）• 個⼈情報取扱事業者が、ＥＵ域内から⼗分性認定に基づき提供を受けた個⼈データについては、消去することとしている期間にかかわらず、法第 2 条第 7 項における保有個⼈データとして取り扱うこととする。なお、ＥＵ域内から⼗分
性認定に基づき提供を受けた個⼈データであっても、「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」は、「保有個⼈データ」から除かれる（政令第 4 条、通則ガイドライン「2-7 保有個⼈データ」参照）。
2018/05/19

情報法制研究会第7回シンポジウム

124

6ヶ⽉要件を満たさない個⼈デー
タについての開⽰等の請求等？
• （個⼈情報取扱事業者による苦情の処理）• 第35条 個⼈情報取扱事業者は、個⼈情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
• ２ 個⼈情報取扱事業者は、前項の⽬的を達成するために必要な体制の整備に努めなければならない。

2018/05/19

情報法制研究会第7回シンポジウム

125

(3) 利⽤⽬的の特定、利⽤⽬的による制限（法第15 条第 1 項・法第 16 条第 1 項・法第 26条第 1
項・第 3 項関係）
• 個⼈情報取扱事業者は、法第 15 条第 1 項により特定した利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱う場合は、あらかじめ本⼈の同意を得なければならず（法第 16条第 1 項）、また、第三者から個⼈
データの提供を受ける際は、規則で定めるところにより、当該第三者による当該個⼈データの取得の経緯等を確認し、記録しなければならない
こととなっている（法第 26 条第 1 項・第 3 項）。
• 個⼈情報取扱事業者が、ＥＵ域内から⼗分性認定に基づき個⼈データの提供を受ける場合、法第 26 条第 1 項及び第 3 項の規定に基づき、ＥＵ
域内から当該個⼈データの提供を受ける際に特定された利⽤⽬的を含め、その取得の経緯を確認し、記録することとする。
• 同様に、個⼈情報取扱事業者が、ＥＵ域内から⼗分性認定に基づき個⼈
データの提供を受けた他の個⼈情報取扱事業者から、当該個⼈データの提供を受ける場合、法第 26 条第 1 項及び第 3 項の規定に基づき、当該個⼈データの提供を受ける際に特定された利⽤⽬的を含め、その取得の経緯を確認し、記録することとする。
• 上記のいずれの場合においても、個⼈情報取扱事業者は、法第 26 条第 1項及び第 3 項の規定に基づき確認し、記録した当該個⼈データを当初⼜はその後提供を受ける際に特定された利⽤⽬的の範囲内で利⽤⽬的を特定し、その範囲内で当該個⼈データを利⽤することとする（法第 15 条
第 1 項、法第 16 条第 1 項）。
2018/05/19

情報法制研究会第7回シンポジウム

126

(4) 外国にある第三者への提供の制限（法第 24 条・規則第 11 条の 2 関係）• 個⼈情報取扱事業者は、ＥＵ域内から⼗分性認定に基づき提供を受けた個⼈データを外国にある第三者へ提供するに当たっては、
法第 24 条に従い、次の①から③までのいずれかに該当する場合を除き、[本⼈が同意に係る判断を⾏うために必要な移転先の状況についての情報を提供した上で]、あらかじめ外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を得ることとする。
• ① 当該第三者が、個⼈の権利利益の保護に関して、我が国と同等の⽔準にあると認められる個⼈情報保護制度を有している国として規則で定める国にある場合• ② 個⼈情報取扱事業者と個⼈データの提供を受ける第三者との間で、当該第三者による個⼈データの取扱いについて、適切かつ合理的な⽅法（契約、その他の形式の拘束⼒のある取決め⼜は企業グループにおける拘束⼒のある取扱い）により、本ガイドライン
を含め法と同等⽔準の個⼈情報の保護に関する措置を連携して実施している場合• ③ 法第 23 条第 1 項各号に該当する場合

2018/05/19

情報法制研究会第7回シンポジウム

127

(5) 匿名加⼯情報（法第 2 条第 9項・法第 36 条第 1 項第 2 項関係）
• ＥＵ域内から⼗分性認定に基づき提供を受けた
個⼈情報については、個⼈情報取扱事業者が、加⼯⽅法等情報（匿名加⼯情報の作成に⽤いた
個⼈情報から削除した記述等及び個⼈識別符号
並びに法第 36 条第 1 項の規定により⾏った加⼯の⽅法に関する情報（その情報を⽤いて当該個⼈情報を復元することができるものに限る。）をいう。）を削除することにより、匿名化された個⼈を再識別することを何⼈にとっても不可能とした場合に限り、法第 2 条第 9 項に定める匿名加⼯情報とみなすこととする。
2018/05/19

情報法制研究会第7回シンポジウム

128裁判例におけるガイドラインの取扱い• 福岡地久留⽶⽀部判平成２６年８⽉８⽇判時２２３９号８８⾴•…上記「第三者」に当たるか否かは外形的に判断されるべきであって，ある情報を保有する個⼈情報取扱事業者（法２条３項）及び当該情報の主体である本⼈（同条６項）以外の者を意味するというべきである（なお，個⼈情報ガイドラインにおいても，同⼀事業者内で情報提供する場合は当該個⼈データを第三者に提供したことにはならないこととされている（⼄ロ１・２６⾴））…

• 東京地判平成２６年１⽉２３⽇判時２２２１号７１⾴•

証拠（甲２４の１・２，甲２５）によれば，厚⽣労働省及び経済産業省が平成１９年３⽉３０⽇に改正した「個⼈情報の保護に関する法律についての経済産業分野を対象とするガイドライン」（同⽇厚⽣労働省・経済産業省告⽰第１号）では，クレジットカード情報等（クレジット
カード情報を含む個⼈情報）について特に講じることが望ましい安全管理措置として，利⽤⽬的の達成に必要最⼩限の範囲の保存期間を設定し，保存場所を限定し，保存期間経過後適切かつ速やかに破棄することを例⽰し，ＩＰＡは，同年４⽉，前記「⼤企業・中堅企業の情報シス
テムのセキュリティ対策〜脅威と対策」と題する⽂書において，データベース内に格納されている重要なデータや個⼈情報については暗号化することが望ましいと明⽰していたことが認められる。しかし，上記告⽰等は，いずれも上記対策を講じることが「望ましい」と指摘するものにすぎないし，上記ＩＰＡの⽂書においては，データベース内のデータ全てに対して暗号化の処理を⾏うとサーバー⾃体の負荷になることがあるので，特定のカラムだけを暗号化するな
どの考慮が必要であるとも指摘されている（甲２５）ように，暗号化の設定内容等は暗号化の程度によって異なり，それによって被告の作業量や代⾦も増減すると考えられることに照らすと，契約で特別に合意していなくとも，当然に，被告がクレジットカード情報を本件サーバー
及びログに保存せず，若しくは保存しても削除する設定とし，⼜はクレジットカード情報を暗号化して保存すべき債務を負っていたとは認められない。

2018/05/19

情報法制研究会第7回シンポジウム

1294.4 今後の展望• 平成30年5⽉25⽇までパブリックコメント• 公布・施⾏期⽇「本年前半を予定。」• European Data Protection Board，European
Commissionの決定を経て…
• 平成30年6⽉30⽇までに公布・施⾏か？

2018/05/19

情報法制研究会第7回シンポジウム

130

5 ⽇本によるEUの同等性認定
5.1 個⼈情報保護法24条• 個⼈情報取扱事業者は、外国（本邦の域外にある国⼜は地域をいう。以下同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個⼈データの取扱いについてこの節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個⼈デー
タを提供する場合には、前条第⼀項各号に掲げる場合を除くほか、
あらかじめ外国にある第三者への提供を認める旨の本⼈の同意を得なければならない。この場合においては、同条の規定は、適⽤しない。
• ①同等性認定による「外国」からの除外• ②基準適合体制による「第三者」からの除外• ③外国にある第三者への提供の同意
2018/05/19

情報法制研究会第7回シンポジウム

131

外国

外国にあ
る第三者
（委託先
含む）

個⼈情報
取扱事業
者
⽇本

24条不適⽤
（20条の問題）

外国

個⼈情報
取扱事業
者（の⽀
店）

個⼈情報
取扱事業
者
⽇本

2018/05/19

情報法制研究会第7回シンポジウム

132

5.2「個⼈情報の保護に関する法律施⾏規則の⼀部を改正する規則」• ○個⼈情報保護委員会規則第1号• 個⼈情報の保護に関する法律施⾏規則（平成28年個⼈
情報保護委員会規則第3号）の⼀部を改正する規則を次のように定める。
• 平成30年5⽉9⽇• 個⼈情報保護委員会委員⻑ 堀部政男
• 個⼈情報の保護に関する法律施⾏規則の⼀部を改正す
る規則• 個⼈情報の保護に関する法律施⾏規則の⼀部を次のように改正する。
• 第11条を第11条の2とし、第10条の次に次の1条を加える。
2018/05/19

情報法制研究会第7回シンポジウム

133

新第11条（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国）• 法第24条の規定による個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個⼈情報保護委員会が定めるものとする。
• ⼀ 法における個⼈情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履⾏が当該外国内において確保されていると認めるに⾜りる状況にあること• ⼆ 個⼈情報保護委員会に相当する独⽴した外国執⾏当局が存在しており、かつ、当該外国執⾏当局において必要かつ適切な監督を⾏うための体制が確保されていること• 三 我が国との間において、個⼈情報の適正かつ効果的な活⽤と個⼈の権利利益の保護に関する相互理解に基づく連携及び協⼒が可能であると認められるものであること• 四 個⼈情報の保護のために必要な範囲を超えて国際的な個⼈データの移転を制限する
ことなく、かつ、我が国との間において、個⼈情報の保護を図りつつ、相互に円滑な個
⼈データの移転を図ることが可能であると認められるものであること• 五 前四号に定めるもののほか、当該外国を法第24条の規定による外国として定めることが、我が国における新たな産業の創出並びに活⼒ある経済社会及び豊かな国⺠⽣活の実現に資すると認められるものであること

2018/05/19

情報法制研究会第7回シンポジウム134• ２ 個⼈情報保護委員会は、前項の規定による外国を定める場合において、我が国における個⼈の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本⼈の同意を得ることなく提供できる個⼈データの範囲を制限すること
その他の必要な条件を付することができる。
• ３ 個⼈情報保護委員会は、第⼀項の規定による外国を定めた場合において、当該外国が第⼀項各号に該当していること⼜は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個⼈情報の保護に関する制度⼜は当該条件に係る対応の状況に関し必要な調査を⾏うものとする。
• ４ 個⼈情報保護委員会は、第⼀項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第⼀項各号に該当しなくなったと認めるとき⼜は当該外国について第⼆項の規定により付された条件が満たされなくなったと認めるときは、第⼀項の規定による定めを取り消すものとする。

2018/05/19

情報法制研究会第7回シンポジウム

1355.3 パブリックコメントにおける意⾒等• 「個⼈情報保護委員会が定めるもの」について、当該事由を定める⽅法（例：貴委員会規則の制定
⼜は改定、告⽰⼜は通知の発出、貴委員会 HP での告知など）をご教⽰されたい。【番号1】•

本規則案に適合すると認められる具体的な外国の名称については、告⽰で定めて当委員会 HP に掲載することを予定しています。

• 海外各国が同条項各号事由を満たすか否かについて、貴委員会が主体となって審査すると思われる。
この審査は、どのような形式で実施する予定かご教⽰されたい。例えば、有識者による検討会（各省庁が⾏っているような審議会形式、審議会とは別の貴事務局直轄の検討会形式など）が想定されると思われる。また、当該検討会において、議事や資料の公開を⾏うか否かもご教⽰されたい。
【番号1】•

ある外国が本規則案に適合するか否かについては、当委員会において審議の上決定し、資料及び議事録・議事概要は公表する予定です。

• 今回意⾒募集されている個⼈情報保護委員会規則改正案に係る個⼈情報保護法24 条に基づく外国の指定は、EU のデータ保護指令および⼀般データ保護規則に規定されている「⼗分性認定」に対応する措置と⾒受けられます。そこで、今回意⾒募集されている、指定対象の外国の要件や指定にあたっての条件に加えて、前述の⼀般データ保護規則に規定されているようなレビュー条項（同規則45 条 3 項・4 項）や認定取消条項（同規則 45 条 5 項）も規定されるべきと考えます。【番号16】•

御意⾒を踏まえ、レビューや取消に係る条項の追加について検討します。

2018/05/19

情報法制研究会第7回シンポジウム136• 「個⼈情報の保護に関する法律についてのガイドライン（ＥＵ域内から⼗分性認定により移転を受けた個⼈デー
タの取扱い編）」（案）• 平成30年5⽉25⽇までパブリックコメント，本年前半（平成30
年6⽉30⽇までに公布・施⾏）• 公布時までに「ＧＤＰＲ第 45 条に基づき、⽇本が個⼈データについて⼗分な保護⽔準を確保していると決定した」。

• ⽇本によるEUの同等性認定• 「個⼈情報の保護に関する法律施⾏規則の⼀部を改正する規則」が平成30年5⽉9⽇に公布・施⾏• 個⼈情報保護委員会の審議を経て，EUが告⽰により指定
2018/05/19

情報法制研究会第7回シンポジウム

1376. 関連する話題
6.1 BREXITのGDPRへの影響• 2018年5⽉25⽇ GDPR適⽤• 2019年3⽉まで BREXITに伴う英国の対応• BREXITを踏まえた新法案が議論されている

2018/05/19

情報法制研究会第7回シンポジウム1386.2 e-プライバシー規則案における規律

2018/05/19

情報法制研究会第7回シンポジウム

139• Among the changes introduced with the reform, theproposal now includes in its scope other market-players
using the internet (e.g. OTTs), with the aim of ensuring alevel playing field for companies. The objectives of thereview include:• Enhancing security and confidentiality of communications,while reducing unjustified barriers to the free flow of data.
• Defining better and clearer rules on tracking technologies
such as cookies.
• Addressing fragmentation of legislation across Europe.
• Consistent enforcement of e-Privacy rules by
independent supervisory authorities already competent toenforce the GDPR.
2018/05/19

情報法制研究会第7回シンポジウム140• Although the file is among the priorities of the Bulgarian Presidency,
discussions seem still to be required within the Council. Trilogues did
not start yet but are expected to start during the current semester.
Issues under analysis regard in particular the grounds for dataprocessing, other than consent, as well as the applicability of the newprovisions to service providers assisting competent authorities fornational security purposes or the concept of public interests grounds
justifying restrictive measures. A revised text by the Council has been
debated in March 2018 within its working party configuration (TELE),with clarifications on some aspects like the link with the GDPR, theconsent requirement, the applicability to ancillary services and tomachine-to-machine communications. The Council Presidency has
proposed a new revised text in April. In particular, discussions seem
focused on how the new rules should apply to communications
content and to meta-data (Permitted processing of communications
data, Art 6), to the protection of the terminal equipment (Art 8), on
privacy settings (Art 10) as well as on restrictions to obligations andrights (Art 11). A General Approach is not expected before summer.
• Therefore, the proposed date of 25 May 2018 for the entry into force ofthe new regulation seem difficult to achieve.

2018/05/19

情報法制研究会第7回シンポジウム

141Proposal for a Regulation of the European Parliament and of the Council
concerning the respect for private life and the protection of personal data in electronic
communications and repealing Directive 2002/58/EC (Regulation on Privacy andElectronic Communications) - Examination of the Presidency text
Brussels, 13 April 2018(OR. en)• Article 6• Permitted processing of electronic communications

data• Article 8• Protection of end-users' terminal equipment

information stored in terminal equipment of endusers and related to or processed by or emitted by
end-usersʼ terminal such equipment• Article 16• Unsolicited and Ddirect marketing

communications

2018/05/19

情報法制研究会第7回シンポジウム

142

7

まとめ

• GDPRが適⽤されるのは• 域外適⽤の場合• 標準データ保護約款，BCRで移転する場合（契約上の義務）• ※⼗分性認定による移転の場合は⽇本側のガイドライン• 適⽤される場合• GDPR上の権利，義務にフルセットで対応する必要• 課徴⾦の可能性も否定できない• 2017年になってから，GDPRを睨んで？⽇本企業にICOが執⾏した例• しかし，執⾏リソースは限られている
2018/05/19

情報法制研究会第7回シンポジウム

143