Because in Europe, privacy matters.
This is a question of human dignity.
President Jean-Claude Junker
State of the Union Address 2016

Contents

１．ビッグデータの現在地−プライバシーナッジ
２．プライバシー権を考え直すための問い
３．EUデータ保護規則によるアプローチ
４．EU法と⽇本法との⽐較考察

1.ビッグデータの現在地−プライバシー・ナッジ（Privacy Nudge）「インターネットでのプライバシーという領域では，デフォルト・ルールに左右される部分が⼤きい」ーCass Sunsteineg.) インターネット閲覧履歴に関するシークレットモードの設定（Cass Sunstein, 伊達尚美訳『選択しないという選択』（勁草書房・2017）・⾃⼰防衛能⼒→⼈は，潜在的な利益を得る
ことよりも，潜在的な損失を被る⾏動を回避する
eg.) スーパーのレジ袋で5円の値引きと5円の税⾦
法科⼤学院の合格率により教員へのボーナス⽀給と給与減額→デフォルトルールに基づく
損失回避
・初期設定による⾃由（Free By Default）
In many settings, personalized default rules offer the advantages of active choosing
without the disadvantages.

Eric J. Johnson and Daniel Goldstein, Do Defaults Save Lives? (2003)

2. プライバシー権を考え直すための問い−本書執筆の際に念頭に置いた問いー• ビッグデータの時代には，初期設定に委ねておけばプライバシーは⼗分に保護されるか？
• ⾃⼰情報「コントロール」権における「コントロール」はアルゴ
リズムによるものか？

• 個⼈は，⽇々データを⽣み出す商品（商品化された個⼈）であって，⼤量のデータ分析により⼈格が導かれるまたは形成されることを良しとするか？
• ビッグデータの時代における，プライバシー保護の法的枠組み（権利論と構造論）に必要なものは何か？

6

3. EUデータ保護規則によるアプローチ（1）域外適用
規則3条（域外適用）

3. EUデータ保護規則によるアプローチ（2）新たな権利〜忘れられる権利①
CJEU, C131‐12, Google Spain SL and Google Inc.
v Agencia Española de Protección de Datos(AEPD) and Mario Costeja González, 13 May
2014【事案の概要】スペイン人Costeja Gonzalesの社会保障費の滞納による不動産の競売に関するLa Vanguardia
紙電子記事（1998年1月19日・同年3月9日）及び検索エン
ジンGoogle検索結果の削除を求める⇒新聞記事は棄却【EU司法裁判所先決判決】①広告スペースを促進し販売を意図し、かつある加盟国（スペイン）の住民に向けられた活動を方向づけている支店を加盟国内に設置している場合、加盟国内の領土において管理者の設置の活動に関連して個人データの処理が行われていると解される。（para60）②検索エンジンの活動が、あらゆるインター
ネットユーザーに対し個人データの全面的な拡散の決定的な役割を果たしていることに争いはない。検索エンジンの運営者は「管理者」とみなされなければならない。（para34‐36）③本件のあらゆる事情を考慮して，処理の目的との関係において，情報が不適切（inadequate）で，無関係で（irrelevant）もしくは
もはや関連性が失われ（no longer relevant），
又は過度（excessive）であるとみられる。したがって，検索結果のリストにおける情報及びリンクは削除されなければならない。（para94）＊庄司克宏『はじめてのEU法』169頁，参照

searchengineland.com

第17条 削除権（忘れられる権利）
1. データ主体は、次のいずれかの根拠に該当する場合、管理者に対し遅滞なく自らに関する個人データを削除してもらう権利を有し、管理者は遅滞なく個人
データを削除する義務を負う。
（a）個人データが収集又はそうでなければ処理された目的との関係においてもはや必要でなくなった場合（b）データ主体が第6条1項a号又は第9条2項a号に基づく処理に対し同意を撤回し、及び処理に関し他の法的根拠がない場合（c）データ主体が第21条1項に従い処理に異議申立を行いかつ処理に優先的な正当な根拠がない場合、又はデータ主体が第21条2項に従い処理に異議申立を行った場合（d）個人データが違法に処理された場合（e）個人データが管理者に適用されるEU法又は加盟国法の法的義務の履行のために削除されなければならない場合（f）個人データが第8条1項にいう情報社会サービスの提供に関連して収集された場合
2. 管理者が個人データを公表し、前項に従い個人データの削除義務を負う場合、管理者は執行に要する技術及び費用を考慮に入れ、データを処理する管理者に対しデータ主体が個人データに関するリンク、コピー又は複製の削除を請求したことを通知するための技術的措置を含む合理的手段を講ずるものとする。
3. 第1項及び第2項は次の処理が必要である限りにおいて適用されない。
（a）表現及び情報の自由に関する権利行使の場合（b）管理者に適用されるEU法又は加盟国法により処理が必要な法的義務を履行する場合、又は公益のため実行される任務を遂行する若しくは管理者に付与された職権行使を実現する場合（c）第9条2項h号並びにi号及び3項に従い公衆衛生分野における公益に資する
場合（d）第1項にいう権利を不可能とする又は処理の目的実現を著しく害する限り
において、第89条1項に従い公益目的、科学的又は歴史的研究若しくは統計目的に資する場合（e）法的権利の立証・行使・保護に必要な場合

3. EUデータ保護規則によるアプローチ（2）新たな権利〜忘れられる権利②
Article 29 Working Party, Guidelines on the implementation of the Court of Justice of the European Union judgment on “Google Spainand inc v. Agencia Española de Protección de Datos (AEPD) and Mario Costeja González, C‐131/12, 26 November 2014.

①検索結果は自然人に関するものであるか？（仮名化データやニックネームも関連用語）②データ主体は公人か？（公人の基準については、政治家等による民主社会における討議に寄与することができる事
実とそのような機能を有していない個人の私生活の詳細とを区別して判断する(ECtHR, van Hannover v. Germany,2012)）③データ主体は未成年者であるか？（18歳未満の者のデータであればリスト化されにくい）④データは正確であるか？（事実に関する情報と意見との違い）⑤データは関連性があり、過度なものではないか？（データの時間的経過、私生活と仕事の区別、違法な表現、事実と意見との違い）⑥情報は指令第8条のセンシティブなものである？（センシティブデータは私生活に大きな影響を及ぼす）⑦データは最新のものであるか？利用目的以上に長期間に利用されているか？（合理的に判断して現在の情報といえるか）⑧データ処理がデータ主体に偏見をもたらすものであるか？（偏見をもたらす証拠があればリスト化されにくい）⑨検索結果のリンクがデータ主体に危険をもたらすものであるか？（ID盗難やストーカーなどのリスクがあるか）⑩どのような経緯で情報が公表されたものであるか？（同意の自発性、公表されることに対する同意、公表に関する同意の撤回）⑪オリジナルのコンテンツが報道目的で公表されたものであるか？（メディアによる公表の法的根拠がある場合とそうでない場合との区別）⑫公表者が個人データの公表に法的権限を有しているか？（選挙登録などの法的義務があって公表する場合）⑬データは前科に関係しているか？（前科情報の取扱いについては加盟国では異なるアプローチ）＊スペインでは、2015年10月15日、ニュース記事に関する検索結果の削除の可否に関する事案の判断を下した。スペイン最高裁は、
オリジナルの新聞における過去の逮捕歴の報道について削除を命じなかったものの、20年前の公的・歴史的意義のないその報道に関する個人情報を検索エンジンの結果で表示できないような技術的措置を講じなければならないことを命じている。
Spanish Supreme Court (Tribunal Supremo), Ediciones El País SL, STS 545/2015, October 15, 2015. See Júlia Bacaria Gea, Spain’s Supreme Court
Rules Again on Access and Deletion in the Media, Privacy Laws & Business International Report, Vol. 139 p.28 (2016).

9

3. EUデータ保護規則によるアプローチ（3）新たな権利〜データポータビリティ権
http://www.greens‐efa.eu/【法的性格】
・自らのデータへのコントロールの更なる強化が目的）
・管理者は，体系的で，一般に利用され，かつ機械で読み取り可能な形式
で，別の管理者に個人データを直接送信。ただし，管理者に技術的に互換性ある処理シムテムの開発や維持を義務づけるものではない（前文68項）【競争政策】
・消費者がロックインされてしまう問題⇒競争政策・消費者保護の問題
・システムの互換性
第20条 データポータビリティ権＜Joaquín Almunia（競争政策）＞「消費者は特定企業にロックインされるべきではない。消費者が自らのデータをスイッチすることができることを効果的な競争は要求している」
Competition and personal data
Protection（2012年11月26日）

1. データ主体は，次の場合，体系的で，一般に利用され，かつ機械で読み取り可能な形
式で，管理者に提供した自らに関する個人データを受け取る権利，及び個人データが提供された当該管理者から別の管理者へと支障なしにこれらのデータを送信する権利を有する。
(a) 第6条1項a号もしくは第9条2項に従い同意，または6条1項b号に従い契約に基づき処理された場合(b) 自動的方法によって処理が行われた場合
2. 前項に従いデータポータビリティ権を行使する場合，データ主体は，技術的に可能であれば，ある管理者から別の管理者へと個人データを直接送信してもらう権利を有するものとする。
3. 本条1項における権利の行使は，第17条を損ねることないものとする。この権利は，公共の利益または管理者に付与された職権の行使において実施される任務の遂行にとって必要な処理には適用しないものとする。
4. 第1項における権利は，他者の権利および自由を阻害してはならない。

3. EUデータ保護規則によるアプローチ（4）新たな権利〜プロファイリングされない権利
・プロファイリング＝自然に関する一定の個人の特性を評価す
る、特に当該自然人の仕事の成績、経済状況、健康、個人的選
好、興味、信頼度、行動、位置もしくは移動に関する特性を分析
または予測するために個人データの利用から構成される個人
データの自動処理のすべての形態（第4条4項）

www.economistgroup.com

具体例：人間の介入を必要としないオン
第21条 異議申立権及び個人の自動決定
1.データ主体は，自らの特定の状況に関する根拠に基づき，第6条1項e号またはf号に基づき，ならびにこれらの規定に基づくプロファイリングを含め，個人データのの求人応募（前文71項）
処理に対し，いつでも異議申立の権利を有する。管理者は，データ主体の利益，権利および自由もしくは法的主張の確定，行使あるいは擁護を上回る処理のための不可欠な正当な根拠を示さない限り，個人データの処理をもはやすることができない。
（以下，略）
第22条 プロファイリング等の個人の自動決定
1. データ主体は，自らに関する法的効果を生み出すまたは同様に重大な影響をもらす，プロファイリングを含むもっぱら自動処理に基づく決定をされない権利を有す
EDPS, Meeting the challenges of big data る。
2. 次の決定の場合には，前項は適用しないものとする。
19 November 2015(a) データ主体とデータ管理者との間の契約の締結または履行のために必要な場合(b) 管理者が従い，かつデータ主体の権利と自由および法的利益を保護するための適当な措置を定める欧州連合または加盟国の法によって認められる場合(c) データ主体の明示の同意に基づく場合
量刑におけるアルゴリズムの利用
3. 前項a号およびc号における場合，データ管理者は，少なくともデータ主体の見解（Wisconsin v. Eric Loomis, July 2016） を示し決定に異議を唱えるために管理者の役割への人間の介入を認める権利を含む，
データ主体の権利と自由および法的利益を保護するための適当な措置を講ずるものとする。
4. 第2項における決定は，9条2項a号またはg号が適用され，かつデータ主体の権利と自由および法的利益を保護するための適当な措置が講じられていない限り，9条1項における個人データの特定の類型に基づくものであってはならない。

ラインのクレジットカード申請やオンライン

・データ処理の透明性確保⇒ビッグデータ分析による推定・予見‘black box’・アルゴリズム透明性

3. EUデータ保護規則によるアプローチ （5）同意・同意の条件①意思表示，②自由に与えられた，③特定の，④明
確な，⑤明示的で，⑥情報を受けたEg.) ボタンクリックが同意となるか？SNSの公開初期
設定が「友人の友人」までとなっていた場合，それに同意したこととなるか→明確（unambiguous）な同意であるとはみなされない・同意の撤回遡及効はなし→追加の処理の防止・未成年者向け情報サービスの同意
16歳未満の児童の同意には保護者の許可が必要（8条）
Article 29 Working Party, Opinion 15/2011 on the definition of consent (2011)，現在，GDPRガイドライン策定中

Aleecia M. McDonald and Lorrie Faith Cranor, The Cost of Reading Privacy Policies (2008)

第7条 同意の条件
1. 処理が同意に基づき行われる場合，管理者はデータ主体が自らの個人データの処理に同意したことを論証するものとする。
2. データ主体の同意が他の事項を含む書面において与えられる場合，同意の要請は，分かりやすく容易にアクセスできる形式で明確で平易な言葉を用いて，他の事項とは明確に区別される方法で提示されなければならない。本規則に違反する同意の付与はそのいかなる部分も拘束力を有しないものとする。
3.データ主体はいつでも自らの同意を撤回する権利を有すものとする。同意の撤回は，撤回前の同意に基づく処理の適法性に影響を及ぼさないものとする。同意の付与の前に，データ主体はそれに関して情報を受けるものとされる。同意の付与と同程度に撤回は容易なものとしなければならない。
4.同意が自由に与えられたものであるか否かを評価する場合，特にサービス規約を含む契約の履行にとって不要な個人データの処理への同意を条件としているか否かが最大限考慮されなければならない。

3. EUデータ保護規則によるアプローチ(6) データ主体の権利行使のための透明な情報・対話・様式• データ主体のアクセス・訂正・消去等の権利が行使された場
合，管理者は，1カ月以内に通知しなければならない• ビッグデータに市場では，企業と消費者との間の情報の非対称性，winner‐takes‐allの状
況，そして独占が生み出される。

EDPS, Meeting the challengesof big data，19 November 2015第12条 データ主体の権利行使のための透明な情報・対話・様式
1. 管理者は，簡潔で，透明で，分かりやすく，容易に入手できる形で，明確かつ平易な言葉を用いて，特に特別に児童向けの情報については，第13条および14条における情報，およびデータ主体の処理に関連する15条から22条までと34条に基づく対話を提供するための適切な措置を講ずるものとする。この情報は，書面または，その他適切な場合は電子版
体を含む方法で提供されなければならない。データ主体からの要請があった場合，当該データ主体の識別が他の手段で証明されている限りにおいて，情報は口頭で提供することができる。
2. 管理者は，15条から22条に基づくデータ主体の権利の行使を容易なものとするようにしなければならない。11条2項にいう事案においては，管理者がデータ主体を識別することができない立場にあることを証明しない限り，管理者はデータ主体の権利を行使するため本人からの要請に基づく行為を拒否してはならない。
3. 管理者は，15条から22条に基づく要請に基づきとった行為に関する情報をデータ主体に遅滞なく，かつ要請受領後からとにかく1カ月以内に提供しなければならない。要請の複雑性や数を考慮し，必要がある場合は更に２カ月間の期間を延長することができる。管理者は，要請受領から1カ月以内にかかる期間延長を遅延の理由を付してデータ主体に通知しなければならない。データ主体が電子媒体による要請を行った場合，データ主体型の手
段による要請をしない限り，可能な限り電子媒体による提供を行うものとする。
4. もしも管理者がデータ主体の要請に関する行為をとらない場合，管理者は遅滞なく，行為をととらない理由および監督機関への苦情申立と司法救済を求めることができる可能性を付して，要請受領から1カ月以内にデータ主体に通知しなければならない。
5. 13条ならびに14条に基づき提供される情報および15条から22条ならびに34条に基づきとられる対話ならびに行為は，無料で提供されるものとする。
6. 13条ならびに14条に基づき提供される情報および15条から22条ならびに34条に基づきとられる対話ならびに行為は，無料で提供されるものとする。データ主体からの要請が明白に根拠がない，または特に反復して行われるなどの理由で過度である場合，管理者は次のことを行うことができる。
(a) 情報もしくは対話を提供しまたは要請された行為をとるための管理費用を考慮し合理的な手数料を徴収することができる(b) 要請を断ることができる
管理者は要請が明白に根拠がないことまたは過度であることを証明する責任を負うものとする。
以下，略

3. EUデータ保護規則によるアプローチ(7) データ保護責任者の配置
・データ保護責任者の配置
一つの町における家庭用機器の配布を行う小規模事業者が、ウェブ閲覧分析サービスやターゲット広告やマーケティングを行っている処理者に委託し、この処理者が同様の小規模事業の多くを顧客としている場合、全体として大規模な処理を行なっているため、処理者においてデータ保護責任者の配置が必要

・データ保護責任者の地位
・データ保護担当者は経営幹部または中級の経営層の会議への定期的な参加
・データ保護に関する事項の決定が下される時の出席（十分な忠告をするため、すべての関連する情報がデータ保護担当者に迅速に提供されなければならない）
・独立性：利益相反の禁止→最高責任者、処理責任者、会計責任者、医療責任者、マーケティン部門の責任者、人事責任者、IT部門の責任者、さらにデータ処理の目的と手段を決定するそれよりも低い地位は、
一般的に利益相反の問題を生じさせる地位（参考）Article 29 Data Protection Working Party, Guidelines on
Data Protection Officers, 13 December 2016.

・少なくとも全世界で75000人のデータ保護責任者が必要との試算
https://iapp.org/news/a/study‐gdprs‐global‐reach‐to‐require‐
at‐least‐75000‐dpos‐worldwide/

第37条 データ保護責任者の配置
1. 管理者および処理者は次のいずれかの場合データ保護責任者を配置しなければならない。
(a) 処理が、法曹資格の下の裁判所の行為を除き、公的機関または組織によって実施されている場合(b) 管理者または処理者の主な活動が、その性質上範囲および・または目的が大規模な形でデータ主体を定期的かつ体系的に監視することを必要とする処理を成す場合(c) 管理者または処理者の主な活動が、第9条に従いデータの特別な類型および第10条にいう前科および犯罪に関連する個人データを大規模に処理する場合（以下，略）
第38条 データ保護責任者の地位（略）
3. 管理者および処理者は、データ保護担当者が任務の遂行に関連していかなる指示も受けないことを確保しなければならない。データ保護責任者は管理者または処理者により、その職務を遂行するため解職されてはならずまたは罰則を受けてはならない。データ保護責任者は管理者または処理者の最高経営陣に対し直接報告するものとする。
第39条 データ保護担当者の任務
1. データ保護担当者は少なくとも次の任務を行うものとする。
(a) 本規則および他の欧州連合または加盟国のデータ保護の条項に従い、処理の義務を遂行する管理者または処理者および労働者に対し通知し忠告すること(b) 本規則、他の欧州連合または加盟国のデータ保護の条項、および個人データの保護に関連する管理者または処理者の政策への法令遵守を監視すること(c) データ保護影響評価に関する要請があった場合の忠告をすることおよび第35条に従い任務の監視を行うこと(d) 監督機関との協力を行うこと(e) 第36条にいう事前の協議を含む処理に関連する問題について監督機関への連絡先として行動すること、および必要に応じ他の問題に関する協議を行うこと

3. EUデータ保護規則によるアプローチ(8)データ保護バイ・デザイン及び初期設定によるデータ保護
・プライバシー・バイ・デザインの7原則①事後ではなく事前、救済的ではなく予防的、②初期設定としてのプライ
バシー、③デザインに組み込まれたプライバシー、④ゼロサムではなく、
win‐winの関係のポジティブサム、⑤すべてのライフサイクルで保護するための最初から最後までのセキュリティ、⑥可視性と透明性による公開の維持、⑦利用者中心主義に立脚した利用者のプライバシー尊重
・初期設定におけるプライバシー保護を目的とした「プライバシー強化技術（privacy‐enhancing technologies）」の導入の推奨
データ保護バイ・デザイン及び初期設定によるデータ保護
・管理者は，技術水準、運用費用、 第25条
1. 管理者は、技術水準、運用費用、処理の性質、範囲、文脈並びに目的、及び処理に伴う自然人の権利並びに自由に対する変動する可能性
処理の性質、範囲、文脈、目的、 と重大性の危険を考慮に入れ、処理の手段決定時及び処理する際に仮名化等の適切な技術的・組織的措置を講ずるものとする。この措置は、データ最小限化等のデータ保護の原則を効果的な方法で執行し、かつ及び処理に伴う自然人の権利
本規則の要件を満たし、データ主体の権利を保護する目的で処理の過並びに自由にもたらしうる重大性 程に必要な措置が組み込まれるよう計画されるものとする。
2. 管理者は、初期設定において、処理の個々の特定された目的にとって必要な個人データのみが処理されることを確実にするための適切なの危険を考慮
技術的・組織的措置を講ずるものとする。この義務は、収集された個（具体例：スマートメーター，ドローン）

人データの量、処理の範囲、蓄積及びアクセス可能性の期間に対して適用される。特に、かかる措置は個人の関与なしに初期設定において
個人データが不特定多数の自然人にアクセスされないことを確実なものとしなければならない。
3. 第42条に従い承認された認証制度は、本条1項及び2項にいう要件の遵守を証明する要素として用いることができる。

www.teachprivacy.com

3. EUデータ保護規則によるアプローチ(9) データ侵害通知義務
・データ侵害（data breach）とは？
個人データのコントロールの喪失，コントロール
権の制約，差別，ID盗難やID詐欺，財産の損失，仮名化の許可権限のない識別化，名誉に対する損害，専門職の秘密に保護された個人データへの信頼の喪失，その他の重大な経済的もしくは社会的不利益が具体的な損害・加盟国におけるデータ侵害通知
フランス：2段階の通知義務：24時間以内に監督機関に通知，さらに詳細を報告しなければならない場合72時間以内に通知，違反はEUR300,000の制裁金
イギリス：24時間以内の通知，£1,000の制裁金
オランダ：2016年1月より72時間以内に監督機関に通知，€820,000または年間総売り上げの10パーセントを上限とする制裁金

http://blogs.orrick.com/trustanchor/2016/10/18/eu‐breach‐notification‐requirements‐under‐the‐gdpr‐and‐nis‐directive‐
are‐you‐ready/

第33条 個人データ侵害の監督機関への通知
1. 個人データ侵害の事案が生じた場合，個人データ侵害が自然人の権
利及び自由に対するリスクを生じさせる可能性がない場合を除き，管理者は遅滞なく，かつ可能な場合は事案を知ってから72時間以内に個人データの侵害を第55条に従い権限ある監督機関に通知しなければならない。監督機関への通知が72時間以内になされない場合，その遅滞の理由を添えるものとする。
2. 処理者は，個人データ侵害を知ってから遅滞なく管理者に通知しなければならない。
3. 第1項にいう通知には，少なくとも次の項目を含むものとする。
(a) 可能な場合は関係するデータ主体の類型並びに概ねの人数及び記録された関係する個人データの類型並びに概ねの人数を含む，個人
データ侵害の性質に関する説明(b) データ保護担当者の氏名及び連絡先またはより多くの情報が得られる場合の他の連絡先の伝達(c) 個人データ侵害の想定される結果に関する説明(d) 適当な場合には想定される悪影響の軽減措置を含む，個人データ侵害に対処するための管理者によって講じられる又は予定されている措置に関する説明（略）
第34条 個人データ侵害のデータ主体への通知
1. 個人データ侵害が自然人の権利及び自由に高度のリスクをもたらす
可能性がある場合，管理者はデータ主体に対し遅滞なく個人データ侵害を連絡しなければならない。
（略）

3‐10. EU域外への個人データ移転規制
十分な水準の保護を確保していると認定されていない

顧客情報
従業員情報（人事管理）

取引先情報

原則としてデータ移転禁止（ただし，EU法
で移転が制限される場合あり，
第48条）

グループ企業における共同
経済活動についてデータ保護監督機関による審査（47条）

87社（2016年9月29日時点）欧州委員会が示したモデル契約の内容を履行する場合

管理者‐管理者の場合（2001年，2004年決定）管理者‐処理者（2010年決定）

拘束的かつ執行可能な関与を伴う、承認を受けた行動規範（40条）
監督機関による承認手続が必要

認証

公的機関との間の法的拘束力があり，執行可能な文書が
ある場合

行動規範

(c)

保護の十分な水準の評価については、委員会が次の要素を特に考慮に入れるものとする。
法の支配、人権と基本的自由の尊重、公共の安全、防衛、安全保障、刑事法ならびに個人データへの公的機関によるアクセスを含む一般的・分野別の関連する立法、ならびに当該立法の執行、別の第三国もし
くは国際機関に応じてその第三国もしくは国際機関への個人データの再移転の規則を含むデータ保護規則、専門的規則ならびに安全管理措置、および効果的かつ執行可能なデータ主体の権利ならびに個人デー
タが移転されたデータ主体への効果的な行政・司法による救済権利の行使においてデータ主体を支援し助言し、加盟国の監督機関と協力するため、十分な執行権限を含む、データ保護規則を遵守することを確保し執行する責任を有した、当該三国における、もしくは国際組織が従うことになる一つもしくは複数の独立した監督機関の存在と効果的運用
第三国もしくは国際組織が加盟している国際的関与、または法的拘束力ある条約もしくは法的文書から生じる他の義務、および特に個人データの保護に関連する多国間または地域間の制度における参画

標準契約

(b)

個人データの第三国または国際組織への移転は、委員会が第三国もしくは第三国のその領土ないし一つあるいは複数の分野、または当該国際組織が保護の十分な水準を確保している場合において行うことができる。かかる移転については特別の許可を必要としない。

拘束的企業準則2.
(a)

公的機関の文書第45条
1.

拘束的かつ執行可能な関与を伴う、承認を受けた認証（40条）
監督機関による承認手続が必要

EUデータ保護規則における「適切な措置を条件とする移転」（第46条）
データ主体による同意，契約履行に必要な場合，公共の利益の重要な理由にとって必要な場合等の特例あり（第49条）

3‐11. EU域外への個人データ移転規制【十分な水準の保護（adequate level of protection）】
EUデータ保護指令（1995年）第25条：加盟国は、処理されている又は移転後に処理が予定されている個人データの第三国への移転は、本指令に従って採択された国内規定の遵守を損なうことなく、当該第三国が十分な水準の保護措置を確保している場合に限って、行うことができることを定めなければならない。

【セーフハーバー決定】

国・地域

欧州委員会決定日

2000年7月，欧州委員会は，アメリカ商務省との間で個人

アンドラ

2010年10月19日

データ移転を認める決定⇒約4,500社が認証（2015年10月まで）

アルゼンチン

2003年6月30日（米企業によるプライバシー原則遵守の自己認証システム）カナダ

2001年12月20日

スイス

2000年7月26日

ファラオ諸島2010年3月5日

ガンジー島

2003年11月21日

イスラエル

2011年1月31日

マン島

2004年4月28日

ジャージー島2008年5月8日

ニュージーランド2012年12月19日

ウルグアイ

2012年8月21日

3‐12. CJEU, Case‐C362/14, Maximilian Schrems v. Data Protection
Commissioner, 6 October 2015
【事案の概要】・Schremsは2008年からFacebook利用
・アメリカ企業であるFacebookは，EU市民の個人データはアイルランドにデータベースセンターに拠点を置き，本国へのデータ移転を行っている
・2013年6月，エドワード・スノーデンがNSA監視活動を告発，Facebook利用者の個人データが監視の対象とされていたことが明らかになる・Schremsは，アイルランドプライバシーコミッショナーに対し，アメリカ企業との個人データ移転
が「十分な保護」措置が施されていないとして苦情申立（2013年6月26日）
・アイルランドプライバシーコミッショナーは，2000年7月に欧州委員会とアメリカ商務省との間に締結された「セーフハーバー」協定に基づき，「取るに足らない煩わしい」申立として却下
・Schremsは，コミッショナーの決定に不服申立，アイルラン
ド上級裁判所で審理
・2014年7月16日，アイルラン
ド上級裁判所からEU司法
裁判所へ付託（機能条約276条）
19
http://europe‐v‐facebook.org/EN/Complaints/Safe_Harbor/safe_harbor.html

3‐13 CJEU, Case‐C362/14, Maximilian Schrems v. Data Protection
Commissioner, 6 October 2015
【先決判決】＜十分な水準の保護＞
・セーフハーバー決定の根拠となった十分な水準の確保を要求するEUデータ保護指令第25条6項については，基本権憲章の個人
データの保護の権利に基づき「個人データが第三国に移転される場合，かかる保護の高度な水準（the high level）が継続されていることを確保することを企図している」。
・「十分な（adequate）」保護の水準とは，EU法秩序と「同一（identical）」な保護の水準を確保することまで要求するものではない。しかし，「十分な保護の水準」は当該第三国が国内法または国際的関与によって，「基本権憲章に照らし解釈された指令によって欧州連合域内で保障される基本権および自由の保護と本質的に同等（essentially equivalent）である保護の水準」を指すと解される。
＜セーフハーバー決定＞
・セーフハーバーのプライバシー原則をもって十分な保護の水準を確保しているとしているが，このプライバシー原則よりも「国土の安全，公共の利益，または法執行の要件」が制限なく優先されることとなっている。
⇒国土の安全等を目的とするデータの移転について，大量かつ無差別な監視による干渉に対する効果的な法的保護について
セーフハーバー決定は何ら言及していない。
・セーフハーバー決定は，法の支配の要請の下，司法による審査が担保されていない。
⇒個人は自らに関するデータについて，アクセスし，必要に応じ，訂正や削除を求める権利を有しているが，セーフハーバー決定には国土の安全等を理由にこのような効果的な救済を求める権利に違反している。
⇒セーフハーバー決定は，EU法秩序で保障された基本権の保護の水準と本質的同等であるとはいえず，無効【その後の動向】
2015年10月20日付で，アイルランド高等裁判所の決定に従い，アイルランドプライバシーコミッショナーは原告Schremsの申立を調査することを表明【スイス】データ保護監督機関が，2015年10月23日，スイスとアメリカとの間のセーフハーバー決定を無効とする決定【イスラエル】法・情報・技術監督機関が，2015年10月20日，イスラエルからデータ移転を認めていた従前のアメリカ企業の決定を無効＊2016年5月，代替措置としての標準契約条項についてアイルランド高等裁判所よりＥＵ司法裁判所への審理の付託が準備＊2016年6月，ドイツではハンブルクのデータ保護・情報公開コミッショナーが，アメリカ企業（アドビ，ペプシ，ユニリーバ）に対し，
セーフハーバーに代わる措置を用いてデータ移転を行っていないとして制裁金を科した
20

3‐14.EU域外への個人データ移転規制 プライバシーシールド
欧州委員会による決定（2016年7月12日，2016年8月1日から米商務省で認証）①内容
本文 EU‐USプライバシーシールドは、合衆国商務省が公表した本決定附属文書Ⅱに含まれるアメリカ
企業のプライバシー諸原則の履行による自己認証の制度に基づいている。プライバシー原則の執行については、連邦取引委員会及び運輸省が附属文書Ⅳ及びⅤに含まれる説明されている。
②アメリカの公的機関による個人データへのアクセスおよび利用独立したオンブズパーソンの設置と監督と苦情処理への対応③十分性
EUデータ保護指令25条に基づく十分な水準を満たしていると認定④DPAの調査及び委員会への情報提供
加盟国のDPAによる十分性の適合性審査と委員会への情報提供⑤十分性認定の定期的審査
年次共同審査の実施、議会と理事会への報告書提出⑥十分性認定の停止
iアメリカの機関が本文書を履行しないとき、ii効果的な救済が行われないとき、附属文書Ⅰ：米商務長官による書簡
附属文書Ⅱ：米商務省発効のプライバシーシールドの枠組み原則
附属文書Ⅲ：米国務長官による欧州委員会コミッショナー宛書簡（オンブズパーソンなど）
附属文書Ⅳ：米連邦取引員会委員長による欧州委員会コミッショ
ナー宛書簡（付託優先的調査、救済など）
附属文書Ⅴ：米運輸長官による欧州委員会コミッショナー宛書簡（優先的調査など）附属文書Ⅵ：米国家情報第二法律顧問による米商務省宛の書簡
附属文書Ⅶ：米司法副次官補による米商務省宛の書簡（ⅰ）プライバシー諸原則
i通知、ii選択、iii安全管理、ivデータの正確性及び目的制限、vデータ
へのアクセス権、viデータ移転の説明責任、vii依頼、救済、信頼（ⅱ）透明性アメリカ商務省が認証企業のリストを公表（ⅲ）履行審査及び苦情処理iアメリカ企業への直接問い合わせ又はEU加盟国のDPAを通じてアメ
リカ商務省への問い合わせ→企業は45日以内に回答
iiアメリカ企業が指定する紛争解決機関
iiiアメリカ商務省におる職権調査
iv連邦取引委員会による付託調査v EU加盟国のデータ保護監督機関による苦情処理
ivプライバシーシールドパネル（米欧が指名する20名の仲裁人）

iiiオンブズパーソンが迅速かつ適切な応答をしないとき、十分性認定を停止・撤回する

3‐15.テロ対策と個人データ保護

データ保全指令無効判決

CJEU, C293‐12, Digital Rights Ireland and Seitlinger and Others, 8 April 2014
データ保全指令（Data Retention Directive, 2006/24/EC）は、組織的犯罪及びテロリズム等の重大犯罪の抑止と訴追を目的として、電話、インターネット等の通信データ（トラフィックデータ、位置データ、その他利用者を識別するのに必要な関連するデータ）を6か月以上2年未満の間保全しなければならない、ことを加盟国に立法させることを要求
Digital Rightsがアイルランド高等裁判所に申し立て、アイルランド高等裁判所からEU司法裁判所へ付託【判決】
これらのデータの保全を要求し、加盟国の機関がこれらのデータへのアクセスを認めることで、この指令は、私生活の尊重（憲章7条）と個人データの保護（憲章8条）というEU法秩序における基本権に広範囲にわたり深刻に干渉している。データ保全の目的が究極的には公共の安全という一般的利益の目的に資するものであるが、①あらゆる個人のあらゆる電子的通信を対象としていること、②加盟国の機関によるデータアクセスの客観的な基準がないこと、③保全期間が厳格に必要であるという客観的基準がないことから、データ保全指令は厳密にみて必要なものに限定されることなく、比例原則（憲章52条）で要求される制限を越えた立法として無効である。
‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐＊Digital Rights Ireland判決後、6か国でデータ保全法が無効とされた。
＊Case C‐203/15, Tele2 Sverige（スウェーデン法）とCase C‐698/15, Davis（イギリス法）が2006年データ保
全指令前の2002年指令（2002/58/EC）に基づき犯罪捜査目的でトラフィックデータの保全についても司法裁判所は基本権憲章7条・8条に違反すると判断した。
→厳格に必要であるという限度を超えて，あらゆる個人データが対象とされている無差別なデータ保全を規定する立法が基本権憲章第7条と第8条に違反→保全されるデータについてはEU域内に置くことを国内法で立法化措置を採るべき

22

23

4-1. EU法と⽇本法との⽐較考察
1 総則

⽬的，範囲，定義

2 原則

処理の原則，処理の適法性，同意の条件，特別の処理類型

3 データ主体の権利

透明性，アクセス権，訂正権，削除権（忘れられる権利），データポータビリティ権，⾃動処理（プロファイリング）

4 管理者・処理者
5 個⼈データ移転

⼀般的義務，データ保護バイデザイン，共同管理者，代理⼈，処理，処理活動の記録，安全管理，データ侵害通知，データ保護影響評価，事前協議，データ保護責任者の配置，⾏動規範，認証
⼗分性決定，適切な保護措置，拘束的企業準則，特例，国際協⼒

6 独⽴監督機関

独⽴性，設置規則，任務，権限

7 協⼒・⼀貫性

監督機関の協⼒，相互⽀援，⼀貫性の体制，欧州データ保護委員会

8 救済・責任・罰則

苦情申⽴権，司法救済権，補償権，制裁⾦

9 特別の処理状況

表現の⾃由，公的記録へのアクセス，国の番号制度，雇⽤管理，統計歴史研究

10 委任⾏為

委任，⼿続

11 最終条項

指令廃⽌，電⼦プライバシー指令との関係，施⾏

⽇本
⽣存する個⼈で特定の個⼈を識別できるもの，個
⼈識別符号

保護の範囲

EU
識別された，または識別できる⾃然に関する情報（仮名化を含む）

物品・役務の提供には域外適⽤

域外適⽤

商品・サービスの提供，⾏動の監視には域外適⽤要配慮個⼈情報
開⽰，訂正，利⽤停⽌等（事業者の義務の章に規
定）

基本原則
権利

処理の適法性，同意の条件，特別の類型
開⽰，訂正，削除（忘れられる権利），データポー
タビリティ権，プロファイリングされない権利

利⽤⽬的の制限，適切な取得，安全管理措置，第三者提供，オプトアウト通知，記録保存，匿名加
⼯情報の利⽤公表

義務

データ保護バイデザイン，代理⼈配置，記録保存，
データ侵害通知義務，影響評価，データ保護責任者
配置，⾏動規範

同等の⽔準（OECD，APEC等）

越境移転

⼗分な保護の⽔準，拘束的企業準則等の適切な措置

独⽴機関，命令・勧告等，⽴⼊検査，主務⼤⾂へ
の権限委任

監督機関

独⽴機関，調査権限，欧州データ保護委員会

委員会による命令等，50万円以下1年以下の懲役（データベース提供罪）

救済・制裁⾦苦情申⽴，補償，4%・2000万ユーロ以下の制裁⾦
24

4‐2. GDPR：日本への影響と対策
EUデータ保護規則

日本企業の必要な対策

域外適用（第3条2項）

インターネット販売等(B to C)はたとえ日本のみでビジネス展開していてもEU規則が適用される、企業内での認識共有が必要

EU在住のデータ主体に対し商品・サービスの提供（支払いの有無に関係なく）、またはデータ主体の行動を監視していれば適用基本原則の遵守（適法な処理（第6条）と同意（第7条））
個人データ処理を行う場合，①データ主体の同意取得，②契約履行
にとって必要，③法的義務の履行にとって必要，④データ主体の不可欠な利益の保護にとって必要，⑤公共の利益又は管理者の職権行使において必要，⑥管理者の正当な利益にとって必要のいずれかの根拠が必要
同意取得の立証責任（原則書面），同意の撤回の権利の付与

管理者または処理者の代理人（第27条）
EU域内に代理人を任命をしなければならない

個人データ侵害の監督機関への通知（第33条）
個人データ侵害（漏えい等）の事案が発生した場合、72時間以内に監督機関へ通知しなければならない

データ保護担当者の配置（第37条）
管理者および処理者はデータ保護担当者（最高経営層に直接報告、解任されない）を配置しなければならない

データ移転（第46条）
十分な保護の水準を確保していない第三国等は、拘束的企業準則、
欧州委員会が指定する標準的契約、行動規範、認証等の条件を満たした場合のみ、個人データを移転することができる

制裁金（第83条）
基本原則、データ主体の権利、データ移転等に関する違反⇒２０００
万ユーロまたは全世界年間総売上４%以下のいずれか高額な方の制裁金 / 管理者・処理者の義務、認証に関する違反⇒１０００万ユー
ロまたは全世界年間総売上２%以下のいずれか高額な方の制裁金

4‐3.EU域外への個人データ移転規制

日本の個人情報保護法にはない規定，個人データ処理は自由にできないため，処理の根拠が6つの場合に該当することを確認
同意取得と撤回について日本の個人情報保護法には規定がな
いため，従前の同意取得と撤回の方式の見直しが必要，個人上の収集のための同意は，他の事項とは別にする必要がある

EU規則が適用される日本企業はEU域内に代理人を任命する準備を行わなければならない（どのような位置づけかは未確定）
万一の漏えい等の事案に備えた、EU監督機関への通知の社内体制を整備する
各企業内の役員クラスに個人情報保護の知見を有する者を配置し、企業内の体制がEU規則に適合しているかどうかチェックする
日本はEUから十分性決定を受けていないため、各企業は、i)本人からの同意を得る、ii）欧州委員会が指定する契約書に基づきデータ移転を行う、iii）拘束的企業準則の申請を行い移転を行うなど（EUの拘束的行動規範や認証制度は今後注視）
EU競争規則に基づき，これまで日本の企業は多額の制裁金を支払ってきたため、データ保護分野での対応が必要
競争法に比べて、違反が明確であり、日本法との違いが大きい貿易協定（TPP&TTIP）• TTPにおけるデータローカライゼーションの禁止
14・11条―越境移転における公共政策の正当な目的を達成するための制限、ただし、恣意的若しくは不当な差別の手段となるような態様で又は貿易に対する偽装した制限となるような態様で適用されないこと。目的の達成のために必要である以上に情報の移転に制限を課するものではないこと。
14・13条―データローカライゼーションの禁止（コンピュータ施設を自国に設置することを義務付けることを禁止）• TTIPにおける基本的本的権利への言及
5‐27条：情報の秘匿－電気通信及び関連するトラフィックデータの秘匿
5‐33条：データ処理－プライバシー及び基本的権利の保障に関する適切な措置
7‐1条：例外－個人のプライバシー保護を理由として恣意的・正当でない差別な方法で適用されない＊サービス条項において「データ保護」がセンシティブ争点として位置づけられる・TRADE IN SERVICES, INVESTMENT AND E‐COMMERCE (EU proposal)
Article 5‐27: Confidentiality of information
Each Party shall ensure the confidentiality of electronic communications and related traffic data by means of a public electronic
communication network and publicly available electronic communications services subject to the requirement that such measures are notapplied in a manner which would constitute a means of arbitrary or unjustifiable discrimination or a disguised restriction on trade in services.

Article 5‐33: Data Processing
1. Each Party shall permit a financial service supplier of the other Party to transfer information in electronic or other form, intoand out of its territory, for data processing where such processing is necessary in the ordinary course of business of such financial
service supplier.
2. Each Party shall adopt appropriate safeguards for the protection of privacy and fundamental rights, and freedom of individuals, in26
particular with regard to the transfer of personal data.

4‐4. EU加盟国のデータローカライゼーションへの対応• 21加盟国において50のデータローカライゼーション規制eg.) 公的な電子アーカイブス(FR)，失業者記録（CZ），会計伝票（DE)，自国民の一定の金融データ（LU），防衛省との契約者が保有するデータ（ES）• 不合理なデータローカライゼーションにより520億ユーロ(0.37% of GDP)の損失試算• Data should be able to flow freely between locations, across borders and within a single data space. In Europe,
data flow and data access are often held up by localisation rules or other technical and legal barriers.
‐ Andrus Ansip（デジタルシングルマーケット委員・エストニア）

European Commission, Commission Staff Working Document on the free flow of data and emerging issues of the European data economy,
10 January 201727

4-4. ⽇本法への⽰唆• 欧州委員会「グローバル化した世界における個⼈データの交換と保護に関するコミュニケーション」（2017年1⽉10⽇）①⾃由貿易協定・交渉中の協定を含むEUとの経済的関係，②地理的⽂化的つながりを考慮した個⼈デー
タ移転の程度，③その地域において他国のモデルとなりうる先駆的役割，及び④共通の価値と共有する
⽬的の促進に関する政治的関係性を考慮して第三国との⼗分性の対話を⾏っていく→⽇本と韓国を列挙して，⼗分性審査に関する交渉を進めていきたいとの発表• ⽇EU⾸脳会談（2017年3⽉21⽇）「安倍総理から，個⼈データの越境移転につき対話が進展していることを歓迎するとともに，個⼈情報を適切に保護しつつ，相互の円滑な枠組みの早急な整備に向け対話を加速したいと述べました」。

・欧州委員会委員・⽇本個⼈情報保護委員会委員の共同声明（2017年7⽉3⽇）「…両者は、双⽅のプライバシー法制度の最近 の改正によって、双⽅の⼆つの制度は、より⼀層類似したものになったことを 認めた。これは、特に双⽅が⼗分な保護レベルを同時に⾒出すことを通して、 相互の円滑なデータ流通をより⼀層促進する新しい機会を提供するものである。」

This offers new opportunities to facilitate dataexchanges, including through a simultaneousfinding of an adequate level of protection by bothsides. With this in mind, we reaffirm ourcommitment to further intensify our efforts
achieving this by goal by early 2018.
- Joint Declaration by Mr. Shinzo Abe, Prime Minister of Japan, and Mr.
Jean-Claude Juncker, President of the European Commission, 6 July 201728（写真）https://www.euractiv.com/section/g20/news/eu-japan-officials-seal-trade-agreement-sending-messages-to-trump/

（参考）EUデータ保護改⾰の審議プロセス

2012年1⽉25⽇
2012年2⽉27⽇
2012年12⽉7⽇
2013年1⽉16⽇

委員会
議会
理事会
議会

2013年10⽉21⽇

議会

2013年10⽉25⽇
2014年3⽉12⽇

欧州理事会
議会

2014年3⽉12⽇

議会

2014年3⽉20⽇
2015年6⽉24⽇
2016年4⽉14⽇

理事会
三者対話開始議会

EUデータ保護改⾰（規則提案と刑事司法指令提案）公表
データ保護改⾰に関するプレゼンテーション
加盟国閣僚会合による審議が本格的に開始
市⺠的⾃由・司法・内務委員会の修正案報告書公表（合計3,999か所にのぼる修正案が提⽰）
市⺠的⾃由・司法・内務委員会で採決可決（規則提案：賛成51票、反対1票、棄権3票、指令提案：47票、反対4票、棄権1票）
加盟国⾸脳による「時宜を得た」規則提案の採択の必要性を確認
本会議で市⺠的⾃由・司法・内務委員会の修正案を可決・採択（規則
提案：賛成621票、反対10票、棄権22票、指令提案：賛成371票、反対276票、棄権30票）
本会議でNSA監視プログラムに関する決議が可決・採択（賛成544票、反対78票、棄権60票）
Albrecht議員による議会修正案の報告
2015年12⽉15⽇合意に⾄る
本会議で承認 （2016年5⽉4⽇官報に掲載）＊三者対話（a trialogue）とは，通常⽴法⼿続の第⼀読会の実⾏において，理事会，欧州議会およびコミッションの各代表が⾮公式の交渉を⾏うことを意味する（91⾴）。

29（参考）規則施⾏に向けたスケジュール−2017年アクションプラン−

2017年の主な動向
2017年1⽉10⽇

欧州委員会「グローバル化した世界における個⼈データの交換と保護に関するコミュニケー
ション」
欧州委員会「電⼦プライバシー規則案の公表」

2017年2⽉7-8⽇

第29条作業部会
プライバシーシールドについて調査（⼤統領令）

2017年4⽉5-6⽇

第29条作業部会・FABLAB会議
データポータビリティ権，データ保護責任者，主たる監督機関に関するガイドラインの採択

2017年5⽉18-19⽇

アジア太平洋プライバシー監督機関との合同会議

2017年6⽉7-8⽇

第29条作業部会（⾦融送⾦に関する書簡・労働者の監視に関する意⾒）

2016年からのフォローアップ
認証，⾼度なリスクをもたらす処理，データ保護影響評価，制裁⾦，欧州データ保護委員会に関するガイドラインの作成

2017年新たな取組
同意とプロファイリング，透明性，第三国へのデータ移転，認証，データ侵害通知についてガイドラインの作成

fablab会議の様⼦30

（参考資料）EUデータ保護指令（規則）の十分性に関する政府答弁No1①衆・内閣委員会2015年5月15日、国務大臣山口俊一君答弁
今回の法改正は、ＥＵの十分性取得、これをかなり念頭に置きながら、これが可能になるような制度設計ということも意識をして進めたということは事実でございます。
特に、独立した第三者機関の整備とか、機微情報に関する規定の整備、あるいは小規模取扱事業者に対しての法の適用とか、越境
データ移転についての制限、さらには開示請求権の明確化、これは、我が国の制度がＥＵから見て不十分とされておる点としてこれまでに公にされた資料等から推測をされておりますが、これにつきましては、今般の法改正において必要な対応を行っております。
しかしながら、ＥＵの十分性取得につきましては、明確に取得条件が示されておるものではない、もう先生も御案内のとおりで、あれっと思うような国もだめというふうな話があったりするわけで、そこら辺は、この法案の成立後、引き続いてＥＵ側の担当部局とも積極的に情報交換を行ってまいりたいと思っております。
②衆・内閣委員会2015年5月15日、国務大臣山口俊一君答弁
しっかりやるのは当たり前で、決意以外に若干申し上げたいんですが、これは当然、十分性取得を念頭に置いた法改正であるということはお話しのとおりでございます。
その中で、やはり独立した第三者機関というのは結構大きかったんですね。これは今回設置をする。機微情報、これもあります。あるいは、小規模取扱事業者に対しての問題があります。あるいは越境データの移転に関する制限、あるいは開示請求権の明確化、これらが大体不十分とされておる点として、大体公にされておる資料から判断をしておったわけですが、これは十分に必要な対応を行ったというふうなことであります。
しかし、明確に取得条件が、ＥＵとして、いわゆる十分性取得に関して示されておりませんので、当然、もう御案内のとおりで、成立後、政令とか委員会規則等を速やかに定めると同時に、しっかりと、その内容を含めて、ＥＵの担当部局と積極的に情報交換を行っていくことも必要であろう。
いずれにしても、この十分性の認定取得に向けた取り組み、しっかりとやっていきたいと思います。
③参・本会議2015年5月22日、国務大臣山口俊一君答弁
ＥＵの十分性認定の手続と取得に必要な時間についてのお尋ねがございました。
ＥＵの十分性認定の基準につきましては、明確に示されたものはありませんが、これまで公表されている資料等から、基準となるものと推測をされる独立した第三者機関の設置など、主要な項目につきましては今回の法案において対応いたしております。
認定を取得をするに当たりましては、今回の法案の施行後に、我が国として欧州委員会にその旨を公式に要請をする必要があります
が、今後も欧州側との情報交換に努めてまいりたいと思います。
なお、今回の法案により、実際にＥＵの十分性認定の基準を満たしているか、取得までどの程度の時間を要するかにつきましては、今後の欧州委員会との十分性認定取得に向けた取組の中で明らかになっていくものと考えております。
④参・内閣委員会2015年5月26日、政府参考人（向井治紀君）答弁
これらの状況をよく見ていく必要が今後あるんだろうなということは十分認識をしておりますが、他方、ＥＵの十分性の取得に関しましては、
これまで公表されている資料等から推測されるＥＵが日本が不十分としている点につきましては、独立した第三者機関がないということ、それから機微情報に関する規定がないということ、それから小規模取扱事業者について例外扱いをしているということ、それから越境
データ移転についての制限がないということ、それから管理請求権の明確化がされていないということ、このおおむね五つが挙げられてい31
るというふうに考えておりまして、これらの点につきましては今般の法改正において必要な対応を取っているところでございます。

（参考資料）EUデータ保護指令（規則）の十分性に関する政府答弁No2⑤参・内閣委員会2015年5月26日、国務大臣山口俊一君答弁
先ほどもお答えを申し上げましたが、今回の法案におきまして、要配慮個人情報につきましては、ＥＵの十分性認定、これも念頭に置きながら、国際的な整合性の観点から規定を設けるというふうなことにしたものでありますが、その規定の内容を検討するに当たりましては、
諸外国の法令などとともに我が国の憲法第十四条、ただいま御紹介がありましたが、この規定も参考にさせていただいたものであります。
⑥参・内閣委員会2015年5月28日、国務大臣山口俊一君答弁
ＥＵのいわゆる保護指令等の国際水準というふうなお話がございました。これはもう御指摘いただきましたように、確かにこれまで例えば
第三者機関だとか、あるいは、当時もいろいろ議論があったんですが、やはり五千以下は除外をするとか、いろんな措置をしました。これがネックになっておったんであろうというふうな意味合いからも、今回は独立をした第三者機関の整備とか、さらには機微情報に関する規定の整備、また小規模の取扱事業者に対しての、これも法律を適用する、さらには越境データの移転についての制限がある、開示請求権の明確化というふうに、これは我が国の制度がＥＵから見て不十分ではないかと思われておった点につきまして、これまでに公にされておる資料等から推測をされるものにつきましては、今般の法改正において必要な対応を行ったところでございます。
ただ、今後、これは政令とか規則、これを策定をする際には、我が国企業の事業活動の実態とか消費者の意見を十分踏まえるとともに、御指摘のＥＵからの十分性認定の取得、これにも対応できるようにしっかりとした制度設計を行っていきたいと思っております。
今回の法改正に当たりましては、今御指摘のＥＵの十分性取得、これが可能になるような制度設計を念頭に行ったわけでありまして、特に独立した第三者機関、これが今までなかったわけでありますが、この整備。それから、機微情報に関する規定の整備。これも、これまでの個人情報保護法にはなかったわけです。さらには、小規模取扱事業者に対しての法の適用。これも、これまでは五千以下のやつは除外というふうなことにしておったわけです。さらには、越境データの移転についての制限とか開示請求権の明確化。
我が国の制度がＥＵから見て不十分とされておりました点につきまして、これまでに公にされておる資料、これから推測をされるものについては今般の改正によって必要な対応を行ったというふうなことでありますが、しかし、ＥＵの十分性取得につきましては、これは明確な取得条件が示されておるものではありませんので、これは、法案成立後、政令とか委員会規則を速やかに定めるとともに、引き続いてその内容も含めてＥＵ側の担当部局と積極的に情報交換を行っていくというふうなことが必要であろうと思います。
ちなみに、これまで十分性認定とされた国、ざっと見ておりますと、十二の国と地域ではありますが、例えばスイス、カナダとかアルゼン
チンが入っておるんですね、それからイスラエル、それからウルグアイとかニュージーランド、米国も入っています。
この顔ぶれを見ますと、やはりこれはＥＵ側の担当部局としっかりと情報交換といいますか話合いをしていく必要があるんだろうと思っておりますので、いずれにしても、政府としてもＥＵからの十分性認定取得に向けた取組をしっかりと進めていきたいと思います。
⑦参・内閣委員会2015年5月28日、政府参考人（向井治紀君）答弁
ＥＵが要求するというよりは、ＥＵが十分性認定をしないがために、日本のＥＵに所在する企業がむしろ、ＥＵに所在する例えば子会社から親会社に情報を持ってくるときに苦労をしているというのが実態でございます。
したがいまして、ＥＵに何か言われたというより、むしろこちらからＥＵに働きかけてそういうふうなことのないように、例えば十分性の認定を取るとかというのを働きかけていく必要があるのではないかと思っております。
ＥＵはそういうＥＵの域外との情報のやり取りについて規制を特に強く設けている国でございますので、どうしてもＥＵだけがそういう障害があると。アメリカの場合はそういう規制はございませんので、特にアメリカとか、通常のアジアはそういうふうな問題はございませんので、そこにそのＥＵの十分性の認定が問題になってくると。
諸外国でも、そのＥＵの十分性の認定を取ろうとした国も幾つかあるようでございます。まあ、国同士の交渉ですので詳細は承知しておりませんけれども、なかなか難航しているような国も多いというふうに聞いております。

32