仮日本語訳

Guidelines 3/2018 on the territorial scope of the GDPR
(Article 3) - Version 2.1
GDPR の地理的適用範囲（第 3 条）に関するガイドライン 3/2018- バージョン 2.1
07 January 2020
2020 年 1 月 7 日

本書面は、The European Data Protection Board （欧州データ保護会議）が公表した『Guidelines 3/2018 on the territorial scope of the GDPR (Article 3) – Version 2.1』
（2018年11月16日に採択、意見募集を経て修正のうえ2019年11月12日に採択したVersion
2.0を様式修正したもの。）の英語版を個人情報保護委員会が翻訳したものである。
本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負
わないものとし、正確な内容については原文を参照されたい。

1

Contents
目次
INTRODUCTION ................................................................................................................................3
序 ..........................................................................................................................................................3
1 APPLICATION OF THE ESTABLISHMENT CRITERION - ART 3(1) .........................................6
1 拠点基準の適用 - 第 3 条第 1 項 ....................................................................................................6
2 APPLICATION OF THE TARGETING CRITERION – ART 3(2) ................................................27
2 標的基準の適用 – 第 3 条第 2 項 .................................................................................................. 27
3 PROCESSING IN A PLACE WHERE MEMBER STATE LAW APPLIES BY VIRTUE OF
PUBLIC INTERNATIONAL LAW ...................................................................................................49
3 国際公法の効力により加盟国の国内法が適用される場所での取扱い ..................................49
4 REPRESENTATIVE OF CONTROLLERS OR PROCESSORS NOT ESTABLISHED IN THE
UNION ............................................................................................................................................... 51
4 EU 域内に拠点がない管理者又は処理者の代理人 ..................................................................51

2

The European Data Protection Board
欧州データ保護会議（仮訳者記: 以下、「EDPB」という。
）は、Having regard to Article 70 (1)(e) of the Regulation 2016/679/EU of the European Parliament and of
the Council of 27 April 2016 on the protection of natural persons with regard to the processing of
personal data and on the free movement of such data, and repealing Directive 95/46/EC.
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移動に関する、並びに、指令 95/46/EC を廃止する欧州議会及び理事会の 2016 年 4 月 27 日の規則
2016/679/EU の第 70 条（1）（e）に鑑み、HAS ADOPTED THE FOLLOWING GUIDELINES:
下記のガイドラインを採択した。

INTRODUCTION
序
The territorial scope of General Data Protection Regulation 1 (the GDPR or the Regulation) is
determined by Article 3 of the Regulation and represents a significant evolution of the EU dataprotection law compared to the framework defined by Directive 95/46/EC 2 . In part, the GDPR
confirms choices made by the EU legislator and the Court of Justice of the European Union (CJEU)
in the context of Directive 95/46/EC. However, important new elements have been introduced. Most
importantly, the main objective of Article 4 of the Directive was to define which Member State’s
national law is applicable, whereas Article 3 of the GDPR defines the territorial scope of a directly
applicable text. Moreover, while Article 4 of the Directive made reference to the ‘use of equipment’in the Union’s territory as a basis for bringing controllers who were “not established on Community
territory” within the scope of EU data protection law, such a reference does not appear in Article 3 of
the GDPR.
一般データ保護規則 1（以下 GDPR）の地理的適用範囲は GDPR 第 3 条によって定められるものであり、指令 95/46/EC2 が定義する枠組みと比較して、EU データ保護法を大幅に進化

1 Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural

persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive
95/46/EC (General Data Protection Regulation).
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移動に関する、並びに、
指令 95/46/EC を廃止する欧州議会及び理事会の 2016 年 4 月 27 日の規則（EU）2016/679（一般データ保護
規則）。
2 Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection ofindividuals with regard to the processing of personal data and on the free movement of such data.
個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する 1995 年 10 月 24 日の欧州議会及び理事会指令 95/46/EC。

3

させたものになっている。一面において、GDPR は、指令 95/46/EC の文脈における EU の立法者及び欧州司法裁判所（以下 CJEU）の選択を確認していると言える。しかしながら、新たな重要な要素が導入されている。最も重要な点として、同指令第 4 条の主な目的が、どの加盟国の国内法が適用されるかを定義することにあったのに対し、GDPR 第 3 条は直接適用される条文の地理的な射程範囲を定義している。さらに、同指令第 4 条は「共同体の領域内に設置されていない」管理者を EU データ保護法の対象とする根拠として EU 内の「設備を利用」していることに言及しているが、GDPR 第 3 条には、かかる言及がない。
Article 3 of the GDPR reflects the legislator’s intention to ensure comprehensive protection of therights of data subjects in the EU and to establish, in terms of data protection requirement, a levelplaying field for companies active on the EU markets, in a context of worldwide data flows.
GDPR 第 3 条は、世界各地におけるデータ流通の文脈において、EU 域内のデータ主体の権利の包括的な保護を確保し、データ保護の要件という観点において、EU 市場で活動している企業に対する条件を公平にするという立法者の意図を反映している。
Article 3 of the GDPR defines the territorial scope of the Regulation on the basis of two main criteria:
the “establishment” criterion, as per Article 3(1), and the “targeting” criterion as per Article 3(2).
Where one of these two criteria is met, the relevant provisions of the GDPR will apply to relevant
processing of personal data by the controller or processor concerned. In addition, Article 3(3) confirms
the application of the GDPR to the processing where Member State law applies by virtue of public
international law.
GDPR 第 3 条は 2 つの主な基準に基づいて同規則の地理的適用範囲を定義している。すな
わち、第 3 条第 1 項における「拠点」という基準と第 3 条第 2 項における「ターゲティン
グ(targeting)」という基準である。この 2 つの基準のいずれかに該当する場合、関係する管理者又は処理者による関連する個人データの取扱いに対し、GRPR の関連規定が適用される。加えて、第 3 条第 3 項では、国際公法の効力により加盟国の国内法の適用がある取扱
いに GDPR が適用されることを確認している。
Through a common interpretation by data protection authorities in the EU, these guidelines seek toensure a consistent application of the GDPR when assessing whether particular processing by acontroller or a processor falls within the scope of the new EU legal framework. In these guidelines,
the EDPB sets out and clarifies the criteria for determining the application of the territorial scope of
the GDPR. Such a common interpretation is also essential for controllers and processors, both within
and outside the EU, so that they may assess whether they need to comply with the GDPR for a given
processing activity.

4

EU 域内のデータ保護機関による共通解釈を通じて、本ガイドラインは、管理者又は処理者による特定の取扱いが新たな EU の法的枠組みの適用対象であるかの判断にあたっての、GDPR の一貫した適用を確保することを目的としている。本ガイドラインにおいて、EDPB
は GDPR の地理的適用範囲に該当するかを決定するための基準を定め、明らかにする。か
かる共通解釈は EU 域内外の管理者及び処理者にとっても重要であり、ある取扱活動について GDPR を遵守することが必要かを判断することができるようになる。
As controllers or processors not established in the EU but engaging in processing activities fallingwithin Article 3(2) are required to designate a representative in the Union, these guidelines will

also provide clarification on the process for the designation of this representative under Article
27 and its responsibilities and obligations.
EU 域内に拠点を有さずに第 3 条第 2 項に該当する取扱活動に従事している管理者又は処理者は EU 域内における代理人を指定する義務があるため、本ガイドラインは、第 27 条に基づき代理人を指定する際の手順並びに当該代理人の責任及び義務についても明確にしている。
As a general principle, the EDPB asserts that where the processing of personal data falls within the
territorial scope of the GDPR, all provisions of the Regulation apply to such processing. These
guidelines will specify the various scenarios that may arise, depending on the type of processing
activities, the entity carrying out these processing activities or the location of such entities, and will
detail the provisions applicable to each situation. It is therefore essential that controllers andprocessors, especially those offering goods and services at international level, undertake a careful andin concreto assessment of their processing activities, in order to determine whether the related
processing of personal data falls under the scope of the GDPR.
EDPB は、一般原則として、個人データの取扱いが GDPR の地理的適用範囲に該当する場
合、同規則のすべての規定が当該取扱いに適用されると断言する。本ガイドラインでは、取扱活動の種類やかかる取扱活動を実施する組織、当該組織の所在地に応じて生じうる
様々な事例を具体的に示し、各場面に適用がある規定を詳述している。したがって、関連する個人データの取扱いが GDPR の適用範囲に該当するかを判断するために、管理者及び処理者、特に世界規模で物品及びサービスを提供している者が自己の取扱活動を慎重かつ具体的に精査することが重要である。
The EDPB underlines that the application of Article 3 aims at determining whether a particular
processing activity, rather than a person (legal or natural), falls within the scope of the GDPR.
Consequently, certain processing of personal data by a controller or processor might fall within the5scope of the Regulation, while other processing of personal data by that same controller or processor
might not, depending on the processing activity.
EDPB は、第 3 条の適用は、人（法人又は自然人）ではなく、特定の取扱活動が GDPR の範囲に含まれるかを決定することを目指していることを強調する。その結果として、ある管理者又は処理者の個人データのある取扱いが GDPR の範囲に含まれるが、同じ管理者又は処理者の他の個人データの取扱いが GDPR の範囲に含まれないということも、取扱活動次第でありうる。
These guidelines, initially adopted by the EDPB on 16 November, have been submitted to a public
consultation from 23rd November 2018 to 18th January 2019 and have been updated taking into
account the contributions and feedback received.
これらのガイドラインは、初めに 11 月 16 日に EDPB によって採択され、2018 年 11 月 23
日から 2019 年 1 月 18 日までの間に意見募集が行われ、受領した意見及びフィードバックを考慮してアップデートされた。

1 APPLICATION OF THE ESTABLISHMENT CRITERION - ART 3(1)1 拠点基準の適用 - 第 3 条第 1 項
Article 3(1) of the GDPR provides that the “Regulation applies to the processing of personal data inthe context of the activities of an establishment of a controller or a processor in the Union, regardlessof whether the processing takes place in the Union or not.”
GDPR 第 3 条第 1 項は、「規則は、その取扱いが EU 域内で行われるものであるか否かを問わず、EU 域内の管理者又は処理者の拠点の活動の過程における個人データの取扱いに適用される。」と規定している。
Article 3(1) GDPR makes reference not only to an establishment of a controller, but also to an
establishment of a processor. As a result, the processing of personal data by a processor may also be
subject to EU law by virtue of the processor having an establishment located within the EU.
GDPR 第 3 条第 1 項は管理者の拠点だけではなく、処理者の拠点にも言及している。その結果、処理者が EU 域内に拠点を有していることにより、処理者による個人データの取扱
いも EU 法の対象になる場合がある。
Article 3(1) ensures that the GDPR applies to the processing by a controller or processor carried out
in the context of the activities of an establishment of that controller or processor in the Union,
regardless of the actual place of the processing. The EDPB therefore recommends a threefold approach6

in determining whether or not the processing of personal data falls within the scope of the GDPR
pursuant to Article 3(1).
第 3 条第 1 項は、取扱いが実際に行われる場所を問わず、EU 域内の管理者又は処理者の拠点の活動の過程における管理者又は処理者による取扱いに GDPR が適用されることを明示している。したがって、EDPB は、個人データの取扱いが第 3 条第 1 項に基づき GDPR の適用範囲に含まれるか否かを決定する際の 3 つのアプローチを勧告する。
The following sections clarify the application of the establishment criterion, first by considering thedefinition of an ‘establishment’ in the EU within the meaning of EU data protection law, second bylooking at what is meant by ‘processing in the context of the activities of an establishment in theUnion’, and lastly by confirming that the GDPR will apply regardless of whether the processing
carried out in the context of the activities of this establishment takes place in the Union or not.
以下のセクションでは、最初に EU データ保護法における意味の範囲内で EU 域内の「拠点」の定義を検討し、次に EU 域内の拠点の活動という文脈における「取扱い」の意味に着目し、最後に当該拠点の活動の過程での取扱いが EU 域内で行われているか否かにかか
わらず GDPR が適用されることを確認することにより、拠点基準の適用を明確にする。
a) “An establishment in the Union”a) 「EU 域内の拠点」
Before considering what is meant by “an establishment in the Union” it is first necessary to identify
who is the controller or processor for a given processing activity. According to the definition in Article
4(7) of the GDPR, controller means “the natural or legal person, public authority, agency or other bodywhich, alone or jointly with others, determines the purposes and means of the processing of personaldata”. A processor, according to Article 4(8) of the GDPR, is “a natural or legal person, public authority,
agency or other body which processes personal data on behalf of the controller”. As established byrelevant CJEU case law and previous WP29 opinion3, the determination of whether an entity is acontroller or processor for the purposes of EU data protection law is a key element in the assessmentof the application of the GDPR to the personal data processing in question.
「EU 域内の拠点」の意味を検討する前に、まず、取扱活動の管理者又は処理者が誰であるかを特定する必要がある。GDPR 第 4 条第 7 項の定義によると、管理者とは、「自然人又は法人、公的機関、部局又はその他の組織であって、単独で又は他の者と共同で、個人データの取扱いの目的及び方法を決定する者を意味する」。GDPR 第 4 条第 8 項によると、処3 G 29 WP169 - Opinion 1/2010 on the concepts of "controller" and "processor", adopted on 16th February 2010 andunder revision by the EDPB.
G 29 WP169 - 「管理者」と「処理者」の概念に関する意見書（1/2010）（採択：2010 年 2 月 16 日。EDPBによる修正中）7

理者とは、「管理者の代わりに個人データを取扱う自然人若しくは法人、公的機関、部局
又はその他の組織」を指す。CJEU の関連する判例法及び第 29 条作業部会の以前の意見書
3によって確立されているとおり、組織が EU データ保護法における管理者又は処理者であるか否かを決定することは、当該個人データの取扱いに対して GDPR が適用されるかを判断する際の重要な要素である。
While the notion of “main establishment” is defined in Article 4(16), the GDPR does not provide adefinition of “establishment” for the purpose of Article 3 4 . However, Recital 22 5 clarifies that an“[e]stablishment implies the effective and real exercise of activities through stable arrangements. The
legal form of such arrangements, whether through a branch or a subsidiary with a legal personality,
is not the determining factor in that respect.”「主たる拠点」の概念は第 4 条（16）に定義されているが、GDPR は第 3 条における「拠点」の定義を規定していない 4。ただし、前文第 22 項 5 において「拠点とは、安定的な仕組みを通じて行われる実効的かつ現実の活動の実施を意味する。そのような仕組みの法的形式、その支店又は法人格を有する子会社を通じているかは、この点に関する決定的要素とならない」ことを明示している。
This wording is identical to that found in Recital 19 of Directive 95/46/EC, to which reference has
been made in several CJEU rulings broadening the interpretation of the term “establishment”,
departing from a formalistic approach whereby undertakings are established solely in the place where
they are registered6. Indeed, the CJEU ruled that the notion of establishment extends to any real and

4 The definition of “main establishment” is mainly relevant for the purpose of determining the competence of thesupervisory authorities concerned according to Article 56 GDPR. See the WP29 Guidelines for identifying a controller
or processor’s lead supervisory authority (16/EN WP 244 rev.01) - endorsed by the EDPB.
「主たる拠点」の定義は、主に、GDPR 第 56 条に従い関係監督機関の職務権限を決定することと関連性がある。EDPB により承認された第 29 条作業部会の管理者又は処理者の主監督機関を特定するためのガイド
ライン（16/EN WP244. rev.01）を参照。
5 Recital 22 of the GDPR: “Any processing of personal data in the context of the activities of an establishment of acontroller or a processor in the Union should be carried out in accordance with this Regulation, regardless of whether
the processing itself takes place within the Union. Establishment implies the effective and real exercise of activity
through stable arrangements. The legal form of such arrangements, whether through a branch or a subsidiary with alegal personality, is not the determining factor in that respect.”「EU 域内の管理者又は処理者の拠点の活動の過程における個人データの取扱いは、GDPR 前文第 22 項：
その取扱いそれ自体が EU 域内で行われたか否かにかかわらず、本規則に従って行われなければならない。

拠点とは、安定的な仕組みを通じて行われる実効的かつ現実の活動の実施を意味する。そのような仕組みの法的形式、その支店又は法人格を有する子会社を通じているかは、この点に関する決定的要素とならない。」
6 See in particular Google Spain SL, Google Inc. v AEPD, Mario Costeja González (C-131/12), Weltimmo v NAIH

(C230/14), Verein für Konsumenteninformation v Amazon EU (C-191/15) and Wirtschaftsakademie SchleswigHolstein(C-210/16).
特に、Google Spain SL, Google Inc. v AEPD, Mario Costeja González (C-131/12)、Weltimmo v NAIH (C230/14)、
Verein für Konsumenteninformation v Amazon EU (C-191/15) 、Wirtschaftsakademie SchleswigHolstein (C-210/16)を参照。

8effective activity — even a minimal one — exercised through stable arrangements 7 . In order todetermine whether an entity based outside the Union has an establishment in a Member State, both thedegree of stability of the arrangements and the effective exercise of activities in that Member State
must be considered in the light of the specific nature of the economic activities and the provision ofservices concerned. This is particularly true for undertakings offering services exclusively over theInternet8.
この文言は指令 95/46/EC の前文第 19 項と同一である。かかる文言は、企業が登録されている場所にのみ当該企業の拠点があるとする形式主義的アプローチから離れて、「拠点」を広く解釈する複数の CJEU の判決において言及されている 6。実際に、CJEU は、拠点の概念は現実かつ実効的な活動にまで拡大され、少なくとも安定的な仕組みを通じて行われる活動にまで拡大されると判決で述べている 7。EU 域外に本拠地を置く組織が加盟国に拠点を有しているか否かを判断するために、仕組みの安定度及び当該加盟国における効果的な活動の実施の両方を、関係する経済活動及びサービスの提供の特徴に照らして検討しなければならない。この点は、特にインターネット上のみでサービスを提供している企業に当てはまる 8。
The threshold for “stable arrangement9” can actually be quite low when the centre of activities of acontroller concerns the provision of services online. As a result, in some circumstances, the presenceof one single employee or agent of a non-EU entity in the Union may be sufficient to constitute astable arrangement (amounting to an ‘establishment’ for the purposes of Art 3(1)) if that employee oragent acts with a sufficient degree of stability. Conversely, when an employee is based in the EU but
the processing is not being carried out in the context of the activities of the EU-based employee in theUnion (i.e. the processing relates to activities of the controller outside the EU), the mere presence ofan employee in the EU will not result in that processing falling within the scope of the GDPR. In otherwords, the mere presence of an employee in the EU is not as such sufficient to trigger the applicationof the GDPR, since for the processing in question to fall within the scope of the GDPR, it must also
be carried out in the context of the activities of the EU-based employee.
管理者の活動の中心がオンラインサービスの提供に関連するものである場合、「安定的な仕組み」の閾値 9 は実に極めて低い。その結果、EU 域外の組織の従業員又は代理人が EU
域内において十分に安定して活動をしている場合、かかる従業員又は代理人が 1 名でも安定的な仕組み（第 3 条第 1 項の適用上「拠点」に相当）を十分に構成しうる。反対に、EU

7 Weltimmo, paragraph 31.

Weltimmo、パラグラフ 31。
8 Weltimmo, paragraph 29.

Weltimmo、パラグラフ 29。
9Weltimmo, paragraph 31.

Weltimmo、パラグラフ 31。

9

域内を本拠地とする従業員が存在するが、EU 域内を本拠地とする従業員の活動の過程で取扱いがなされていない場合（すなわち、その取扱いが EU 域外の管理者の活動に関連する場合）、単に EU 域内に従業員が存在することをもって、その取扱いが GDPR の適用範囲に該当するということにはならない。つまり、当該取扱いが GDPR の適用範囲に該当する
ためには、EU 域内を本拠地とする従業員の活動の過程で取り扱われる必要があるため、単に EU 域内に従業員が存在するだけでは GDPR の適用をもたらすには不十分である。
The fact that the non-EU entity responsible for the data processing does not have a branch or subsidiary
in a Member State does not preclude it from having an establishment there within the meaning of EU
data protection law. Although the notion of establishment is broad, it is not without limits. It is notpossible to conclude that the non-EU entity has an establishment in the Union merely because theundertaking’s website is accessible in the Union10.
データの取扱いに責任を負う EU 域外の組織が加盟国内に支店又は子会社を有していないという事実によっても、かかる組織が EU データ保護法における拠点を加盟国内に有していないことにはならない。拠点の概念は広いが、無制限ではない。単に EU 域内から EU 域
外の企業の Web サイトにアクセス可能であることだけで、当該 EU 域外の企業が EU 域内に拠点を有していると結論づけることはできない 10。
Example 1: A car manufacturing company with headquarters in the US has a fully-owned branch
office located in Brussels overseeing all its operations in Europe, including marketing andadvertisement.
事例 1：米国に本社を置く自動車製造会社が、マーケティング及び広告を含め、ヨーロッパにおけるすべての業務を監督する完全所有の支店をブリュッセルに有している。
The Belgian branch can be considered to be a stable arrangement, which exercises real and effective
activities in light of the nature of the economic activity carried out by the car manufacturing company.
As such, the Belgian branch could therefore be considered as an establishment in the Union, within
the meaning of the GDPR.
ベルギー支店は、かかる自動車製造会社による経済活動の性質に照らして実効的かつ現実と言える活動を実施しており、安定的な仕組みであると考えることができる。
したがって、かかるベルギー支店は GDPR における EU 域内の拠点と考えることができる。

10 CJEU, Verein für Konsumenteninformation v. Amazon EU Sarl, Case C‑191/15, 28 July 2016, paragraph 76(hereafter “Verein für Konsumenteninformation”).
2016 年 7 月 28 日 CJEU、Verein für Konsumenteninformation v. Amazon EU Sarl、Case C 191/15、パラグラフ
76（以下 Verein für Konsumenteninformation）。

10

Once it is concluded that a controller or processor is established in the EU, an in concreto analysis
should then follow to determine whether the processing in question is carried out in the context of theactivities of this establishment, in order to determine whether Article 3(1) applies. If a controller orprocessor established outside the Union exercises “a real and effective activity - even a minimal one”
- through “stable arrangements”, regardless of its legal form (e.g. subsidiary, branch, office…), in the
territory of a Member State, this controller or processor can be considered to have an establishment inthat Member State11. It is therefore important to consider whether the processing of personal data takes
place “in the context of the activities of” such an establishment as highlighted in Recital 22.
管理者又は処理者が EU 域内に拠点を有するとの結論に至ると、第 3 条第 1 項が適用されるか否かを決定するために、当該取扱いが当該拠点の活動の過程において実施されているものかを判断するための具体的な分析を行うことになる。EU 域外に拠点を置く管理者又は処理者が加盟国の領域内で「実効的かつ現実の活動」、「少なくとも安定的な仕組み」を通じて行われる活動を実施している場合、その仕組みの法的形式（例：子会社、支店、事業所など）を問わず、かかる管理者又は処理者は当該加盟国に拠点を有していると考えることができる 11。したがって、個人データの取扱いが、前文第 22 項で明記されている拠点の「活動の過程において」行われているものか否かを検討することが重要である。
b) Processing of personal data carried out “in the context of the activities of” an establishmentb) 拠点の「活動の過程における」個人データの取扱い
Article 3(1) confirms that it is not necessary that the processing in question is carried out “by” therelevant EU establishment itself; the controller or processor will be subject to obligations under the
GDPR whenever the processing is carried out ”in the context of the activities” of its relevant
establishment in the Union. The EDPB recommends that determining whether processing is being
carried out in the context of an establishment of the controller or processor in the Union for the
purposes of Article 3(1) should be carried out on a case-by-case basis and based on an analysis inconcreto. Each scenario must be assessed on its own merits, taking into account the specific facts ofthe case.
第 3 条第 1 項は、当該取扱いが EU 域内の関連する拠点「によって」行われている必要がないことを確認している。取扱いが EU 域内の関連する拠点の「活動の過程において」行

11 See in particular para 29 of the Weltimmo judgment, which emphasizes a flexible definition of the concept of'establishment' and clarifies that 'the degree of stability of the arrangements and the effective exercise of activities inthat other Member State must be interpreted in the light of the specific nature of the economic activities and theprovision of services concerned.'
特に、Weltimmo 判決のパラグラフ 29 を参照。同判決では、「拠点」の概念の定義の柔軟性を強調しており、「仕組みの安定度及び他の加盟国における実効的な活動の実施は、関係する経済活動及びサービスの提供の特徴に照らして解釈しなければならない」ことを明示している。

11

われている限り、管理者又は処理者に GDPR 上の義務が課されることになる。取扱いが第3 条第 1 項の適用上 EU 域内の管理者又は処理者の拠点の活動の過程においてなされたものであるかは、事案ごとに具体的な分析をした上で決定すべきであると EDPB は勧告する。
各事案は、その具体的な事実を考慮した上で、当該組織の実体に基づいて評価しなければならない。
The EDPB considers that, for the purpose of Article 3(1), the meaning of “processing in the context of
the activities of an establishment of a controller or a processor” is to be understood in light of therelevant case law. On the one hand, with a view to fulfilling the objective of ensuring effective andcomplete protection, the meaning of “in the context of the activities of an establishment” cannot beinterpreted restrictively12. On the other hand, the existence of an establishment within the meaning of
the GDPR should not be interpreted too broadly to conclude that the existence of any presence in the
EU with even the remotest links to the data processing activities of a non-EU entity will be sufficient
to bring this processing within the scope of EU data protection law. Some commercial activity carriedout by a non-EU entity within a Member State may indeed be so far removed from the processing of
personal data by this entity that the existence of the commercial activity in the EU would not be
sufficient to bring the data processing by the non-EU entity within the scope of EU data protection
law13.
第 3 条第 1 項における「管理者又は処理者の拠点の活動の過程における取扱い」の意味は、関連する判例法に照らして理解すべきであると EDPB は考える。一方では、実効的かつ完全な保護を確実にするという目的を果たすことを考えると、「拠点の活動の過程」の意味を狭く解釈することはできない 12。他方で、GDPR における拠点が存在することを非常に広く解釈し、データ取扱活動との関係性が最も離れたものであっても、EU 域外の組織の何らかのものが EU 域内に存在しているだけで EU データ保護法における取扱いと十分言えるとの結論に至るべきではない。加盟国内で EU 域外の組織が行う商業活動の中には、当該組織による個人データの取扱いの程度が極めて小さく、EU 域内で商業活動を行っているという事実だけでは EU 域外の組織によってなされた当該取扱いを EU データ保護法の対象とするのに十分でない場合が実際にある 13。
Consideration of the following two factors may help to determine whether the processing is being
carried out by a controller or processor in the context of its establishment in the Union

12 Weltimmo, paragraph 25 and Google Spain, paragraph 53.

Weltimmo、パラグラフ 25 及び Google Spain、パラグラフ 53。
13 G29 WP 179 update - Update of Opinion 8/2010 on applicable law in light of the CJEU judgment in Google Spain,
16th December 2015
WP179 の更新 - 2015 年 12 月 16 日の Google Spain 裁判における CJEU の判決を踏まえた適用法に関する意見書 8/2010 の更新

12

次の 2 つの要素を考察することは、その取扱いが EU 域内の拠点の活動過程において管理者
又は処理者によってなされたものであるかの決定に資するであろう。

i) Relationship between a data controller or processor outside the Union and its local
establishment in the Unioni) EU 域外のデータ管理者又は処理者とその EU 域内の拠点との関係
The data processing activities of a data controller or processor established outside the EU may be
inextricably linked to the activities of a local establishment in a Member State, and thereby may
trigger the applicability of EU law, even if that local establishment is not actually taking any rolein the data processing itself 14 . If a case by case analysis on the facts shows that there is an
inextricable link between the processing of personal data carried out by a non-EU controller orprocessor and the activities of an EU establishment, EU law will apply to that processing by the
non-EU entity, whether or not the EU establishment plays a role in that processing of data15.
EU 域外に拠点を有する管理者又は処理者のデータ取扱活動が加盟国内の拠点の活動に密接に関連している場合、かかる加盟国内の拠点がかかるデータの取扱いにおいて現に何の役割も果たしていなくとも、EU 法の適用に至る場合がある 14。事案ごとの事実の分析によって EU 域外の管理者又は処理者による個人データの取扱いと EU 域内の拠点の活動が密接に関連していることが判明した場合、EU 域内の拠点がかかるデータの取扱いにおいて役割を果たしているか否かにかかわらず、当該 EU 域外の組織による取扱
いに EU 法が適用される 15。

ii) Revenue raising in the Unionii) EU 域内での収益の発生
Revenue-raising in the EU by a local establishment, to the extent that such activities can beconsidered as “inextricably linked” to the processing of personal data taking place outside the EU
and individuals in the EU, may be indicative of processing by a non-EU controller or processor

14 CJEU, Google Spain, Case C‑131/12

CJEU、Google Spain、Case C 131/12
15 G29 WP 179 update - Update of Opinion 8/2010 on applicable law in light of the CJEU judgment in Google Spain,
16th December 2015
G29 WP179 の更新 - 2015 年 12 月 16 日の Google Spain 裁判における CJEU の判決を踏まえた適用法に関する意見書 8/2010 の更新

13

being carried out “in the context of the activities of the EU establishment”, and may be sufficient
to result in the application of EU law to such processing16.
EU 域内で現地の拠点が収益を上げることは、その活動が EU 域外で行われている個人
データの取扱い及び EU 域内の個人と「密接な関係」を有していると考えられる限りにおいて、EU 域外の管理者又は処理者による取扱いが「EU 域内の拠点の活動の過程」において行われていることを示す場合があり、かかる取扱いに EU 法を適用するという結果になる可能性が十分にある 16。
The EDPB recommends that non-EU organisations undertake an assessment of their processing
activities, first by determining whether personal data are being processed, and secondly by identifying
potential links between the activity for which the data is being processed and the activities of any
presence of the organisation in the Union. If such a link is identified, the nature of this link will be key
in determining whether the GDPR applies to the processing in question, and must be assessed interalia against the two elements listed above.
EU 域外の組織に対し、まず個人データを取り扱っているか否かを判断し、次にデータを取り扱っている活動と EU 域内の自己の何らかのものの活動との間に存在しうる関係を特定することにより、自己の取扱活動の評価を実施するよう EDPB は勧告する。かかる関係を特定した場合、問題になっている取扱いに GDPR が適用されるか否かを判断する上で、かかる関係の性質が重要となり、とりわけ上記に掲げた 2 つの要素に照らして、その性質を評価しなければならない。

Example 2: An e-commerce website is operated by a company based in China. The personal dataprocessing activities of the company are exclusively carried out in China. The Chinese company has
established a European office in Berlin in order to lead and implement commercial prospection andmarketing campaigns towards EU markets.
事例 2：中国を本拠地とする企業が運営する通販サイトがある。当該企業の個人データ取扱活動は中国国内でのみ行われている。当該中国企業は EU 市場に向けた市場調査とマー
ケティングキャンペーンを主導及び実施するためにベルリンにヨーロッパ事業所を設けた。

16 This may potentially be the case, for example, for any foreign operator with a sales office or some other presence inthe EU, even if that office has no role in the actual data processing, in particular where the processing takes place inthe context of the sales activity in the EU and the activities of the establishment are aimed at the inhabitants of theMember States in which the establishment is located (WP179 update).
例えば、EU 域内に営業所その他何らかのものを有する EU 域外の事業者において、当該営業所が実際のデータの取扱いに何らの役割も果たしていない場合であっても、特に取扱いが EU 域内の営業活動の過程において行われ、かかる拠点の活動が自ら所在する加盟国の居住者を狙ったものである場合に、このような可能性がある（WP179 の更新）。

14

In this case, it can be considered that the activities of the European office in Berlin are inextricably
linked to the processing of personal data carried out by the Chinese e-commerce website, insofar as
the commercial prospection and marketing campaign towards EU markets notably serve to make theservice offered by the e-commerce website profitable. The processing of personal data by the Chinesecompany in relation to EU sales is indeed inextricably linked to the activities of the European officein Berlin relating to commercial prospection and marketing campaign towards EU market. The
processing of personal data by the Chinese company in connection with EU sales can therefore beconsidered as carried out in the context of the activities of the European office, as an establishment in
the Union. This processing activity by the Chinese company will therefore be subject to the provisionsof the GDPR as per its Article 3(1)”.
この場合、ベルリンのヨーロッパ事業所の活動は中国の通販サイトが行っている個人デー
タの取扱いと密接に関係していると考えることができる。なぜなら、EU 市場に向けた市場調査とマーケティングキャンペーンは通販サイトが提供するサービスによって収益を上げることに特に資するからである。中国企業による EU 域内の売上に関連する個人データの取扱いは、EU 市場に向けた市場調査とマーケティングキャンペーンに関連するベルリ
ンのヨーロッパ事業所の活動と密接に関係している。したがって、EU 域内の売上に関連して行われる中国企業による個人データの取扱いは EU 域内の拠点となるヨーロッパ事業所の活動の過程において行われていると考えることができる。したがって、中国企業によるこの取扱活動は GDPR 第 3 条第 1 項に基づき GDPR の規定の適用対象となる。

Example 3: A hotel and resort chain in South Africa offers package deals through its website, available
in English, German, French and Spanish. The company does not have any office, representation or
stable arrangement in the EU.
事例 3：南アフリカのホテル及びリゾートチェーンが Web サイトを通じてパッケージ商品を販売している。このウェブサイトには英語版、ドイツ語版、フランス語版、スペイン語版がある。企業は EU 域内に事業所や代理店、安定的な仕組みを何ら有していない。
In this case, in the absence of any representation or stable arrangement of the hotel and resort chain
within the territory of the Union, it appears that no entity linked to this data controller in South Africa
can qualify as an establishment in the EU within the meaning of the GDPR. Therefore the processing
at stake cannot be subject to the provisions of the GDPR, as per Article 3(1).
この場合、EU 域内にホテル及びリゾートチェーンの代理店又は安定的な仕組みが存在していないため、南アフリカのデータ管理者と関係があり、GDPR における EU 域内の拠点に該当しうる組織はないと思われる。したがって、問題になっている取扱いは、GDPR 第 3 条
第 1 項によれば、GDPR の規定の適用対象とすることができない。

15

However, it must be analysed in concreto whether the processing carried out by this data controller
established outside the EU can be subject to the GDPR, as per Article 3(2).
ただし、EU 域外に拠点を有するデータ管理者が行う取扱いが GDPR 第 3 条第 2 項に基づきGDPR の適用対象となりうるか否かについて具体的な分析をしなければならない。
c) Application of the GDPR to the establishment of a controller or a processor in the Union,
regardless of whether the processing takes place in the Union or notc) 取扱いが EU 域内で行われるものであるか否かを問わず、EU 域内の管理者又は処理者の拠点に GRPR を適用すること
As per Article 3(1), the processing of personal data in the context of the activities of an establishmentof a controller or a processor in the Union triggers the application of the GDPR and the related
obligations for the data controller or processor concerned.
第 3 条第 1 項に基づき、EU 域内の管理者又は処理者の拠点の活動の過程における個人デー
タの取扱いによって、関係するデータ管理者又は処理者が GDPR 及び関連義務の適用を受けることになる。
The text of the GDPR specifies that the Regulation applies to processing in the context of the activities
of an establishment in the EU “regardless of whether the processing takes place in the Union or not”.
It is the presence, through an establishment, of a data controller or processor in the EU and the factthat a processing takes place in the context of the activities of this establishment that trigger theapplication of the GDPR to its processing activities. The place of processing is therefore not relevant
in determining whether or not the processing, carried out in the context of the activities of an EU
establishment, falls within the scope of the GDPR.
GDPR 本文において、同規則は、「その取扱いが EU 域内で行われるものであるか否かを問わず」、EU 域内の拠点の活動の過程における取扱いに適用されると規定されている。拠点を通じて EU 域内においてデータ管理者又は処理者が存在していること、及び、取扱いが当該拠点の活動の過程において行われているという事実によって、かかる取扱活動にGDPR が適用されることになる。したがって、取扱いが行われている場所は、EU 域内の拠点の活動の過程において行われている取扱いが GDPR の適用範囲に該当するか否かの判断について何ら関連性がない。

Example 4: A French company has developed a car-sharing application exclusively addressed tocustomers in Morocco, Algeria and Tunisia. The service is only available in those three countries but
all personal data processing activities are carried out by the data controller in France.

16

事例 4：フランスの企業がモロッコ、アルジェリア及びチュニジアの顧客のみを対象とす
るカーシェアリングアプリケーションを開発した。同サービスはこの 3 か国のみにおいて利用可能であるが、個人データの取扱活動はすべてフランスのデータ管理者が行っている。
While the collection of personal data takes place in non-EU countries, the subsequent processing of
personal data in this case is carried out in the context of the activities of an establishment of a data
controller in the Union. Therefore, even though processing relates to personal data of data subjects
who are not in the Union, the provisions of the GDPR will apply to the processing carried out by the
French company, as per Article 3(1).
個人データの収集は EU 域外で行われているが、本事案におけるその後の個人データの取扱いは、EU 域内のデータ管理者の拠点の活動の過程において行われている。したがって、取扱いは EU 域外のデータ主体の個人データに関するものであるが、第 3 条第 1 項に基づき、当該フランス企業が行っている取扱いに GDPR の規定が適用される。

Example 5: A pharmaceutical company with headquarters in Stockholm has located all its personal
data processing activities with regards to its clinical trial data in its branch based in Singapore.
事例 5：ストックホルムに本社を置く製薬会社は、治験データに関する個人データの取扱
活動のすべてを、シンガポールを本拠地とする支店で行っている。
In this case, while the processing activities are taking place in Singapore, that processing is carried out
in the context of the activities of the pharmaceutical company in Stockholm i.e. of a data controller
established in the Union. The provisions of the GDPR therefore apply to such processing, as per
Article3(1).
この場合、取扱活動はシンガポールで行われているが、取扱いはストックホルムにある製薬会社、すなわち EU 域内に拠点を置くデータ管理者の活動の過程において行われている。したがって、第 3 条第 1 項に基づき、当該取扱いに対して GDPR の規定が適用される。
In determining the territorial scope of the GDPR, geographical location will be important under Article
3(1) with regard to the place of establishment of:
GDPR の地理的適用範囲を決定する際に、以下の拠点の所在地について、第 3 条第 1 項では地理的な位置が重要となる。
- the controller or processor itself (is it established inside or outside the Union?);- 管理者又は処理者自身（EU 域内、域外のいずれに設けられているか）- any business presence of a non-EU controller or processor (does it have an establishment in the17

Union?)- EU 域外の管理者又は処理者の事業所（EU 域内の拠点を有しているか）
However, geographical location is not important for the purposes of Article 3(1) with regard to theplace in which processing is carried out, or with regard to the location of the data subjects in question.
ただし、取扱いが行われている場所又は当該データ主体がいる場所については、第 3 条第1 項において地理的な位置は重要でない。
The text of Article 3(1) does not restrict the application of the GDPR to the processing of personal
data of individuals who are in the Union. The EDPB therefore considers that any personal dataprocessing in the context of the activities of an establishment of a controller or processor in the Union
would fall under the scope of the GDPR, regardless of the location or the nationality of the data subject
whose personal data are being processed. This approach is supported by Recital 14 of the GDPR whichstates that “[t]he protection afforded by this Regulation should apply to natural persons, whatever
their nationality or place of residence, in relation to the processing of their personal data.”
第 3 条第 1 項の規定は EU 域内の個人の個人データの取扱いに対して GDPR を適用することを制限していない。したがって、EU 域内にある管理者又は処理者の拠点の活動の過程における個人データの取扱いは、取り扱われている個人データのデータ主体の場所又は国籍にかかわらず、GDPR の適用範囲内であると EDPB は考える。GDPR の前文第 14 項は、「本規則によって与えられる保護は、その国籍及び居住地がいかなるものであれ、自然人の個人データの取扱いとの関係において、自然人に対して適用される。」と規定しており、この見解を支持している。
d) Application of the establishment criterion to controller and processord) 管理者及び処理者に対する拠点基準の適用
As far as processing activities falling under the scope of Article 3(1) are concerned, the EDPB
considers that such provisions apply to controllers and processors whose processing activities arecarried out in the context of the activities of their respective establishment in the EU. Whileacknowledging that the requirements for establishing the relationship between a controller and aprocessor17 does not vary depending on the geographical location of the establishment of a controller

17 In accordance with Article 28, the EDPB recalls that processing activities by a processor on behalf of a controller

shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor
with regard to the controller, and that controllers shall only use processors providing sufficient guarantees to implement
appropriate measures in such manner that processing will meet the requirement of the GDPR and ensure the protectionof data subjects’ rights.

18

or processor, the EDPB takes the view that when it comes to the identification of the different
obligations triggered by the applicability of the GDPR as per Article 3(1), the processing by each
entity must be considered separately.
第 3 条第 1 項の適用範囲内である取扱活動に関するものである限り、GDPR の規定は EU 域
内の各拠点の活動の過程において取扱活動を行っている管理者及び処理者に適用されると
EDPB は考える。EDPB は、管理者と処理者間の関係を構築する要件 17 が管理者又は処理者の拠点の地理的な位置によって変わることがないことを認識しつつ、第 3 条第 1 項によりGDPR の適用可否の問題によって生じる異なる義務を特定する際に、各組織による取扱いを別々に検討しなければならないという見解に立っている。
The GDPR envisages different and dedicated provisions or obligations applying to data controllers
and processors, and as such, should a data controller or processor be subject to the GDPR as per Article
3(1), the related obligations would apply to them respectively and separately. In this context, the EDPB
notably deems that a processor in the EU should not be considered to be an establishment of a data
controller within the meaning of Article 3(1) merely by virtue of its status as processor on behalf of acontroller.
The existence of a relationship between a controller and a processor does not necessarily trigger theapplication of the GDPR to both, should one of these two entities not be established in the Union.
GDPR はデータ管理者及び処理者に適用する異なる規定又は義務を見据えており、第 3 条
第 1 項によりデータ管理者又は処理者に対し GDPR が適用される場合、関連する義務も当
該データ管理者又は処理者に対し個別に課されることになる。このような状況において、
特に EDPB は、EU 域内の処理者を、単に管理者の代わりの処理者という立場であることをもって、第 3 条第 1 項におけるデータ管理者の拠点であると考えるべきではないという見解に立っている。管理者又は処理者のいずれかが EU 域内に拠点を有していない場合、当該管理者と処理者間に関係性が存在することをもって両者に GDPR が適用されることにな
るとは限らない。
An organisation processing personal data on behalf of, and on instructions from, another organisation(the client company) will be acting as processor for the client company (the controller). Where a
processor is established in the Union, it will be required to comply with the obligations imposed onprocessors by the GDPR (the ‘GDPR processor obligations’). If the controller instructing the processor

第 28 条にしたがい、管理者に代わって処理者が行う取扱活動は契約又はその他の EU 法若しくは加盟国の国内法に基づく法律行為によって規律されるものであり、かかる法は管理者に関して処理者を拘束するものであること、及び、管理者は当該取扱いが GDPR に定める義務に適合するような態様で適切な措置を実装することについて十分な保証を提供する処理者のみを用いるものとし、かつ、データ主体の権利の保護を確保するものとすることを EDPB は思い起こしている。

19

is also located in the Union, that controller will be required to comply with the obligations imposedon controllers by the GDPR (the ‘GDPR controller obligations’). Processing activity which, when
carried out by a controller, falls within the scope of the GDPR by virtue of Art 3(1) will not fall outside
the scope of the Regulation simply because the controller instructs a processor not established in theUnion to carry out that processing on its behalf.
他の組織（顧客企業）の代わりに、かつ、当該組織の指示に従って個人データを取り扱う
組織は当該顧客企業（管理者）の処理者として行為をしていることになる。処理者が EU
域内に拠点を有する場合、かかる処理者は GDPR が処理者に課している義務（以下「GDPR における処理者の義務」）を遵守する必要がある。また、当該処理者に指示をしている管理者も EU 域内に拠点を有する場合、かかる管理者は GDPR が管理者に課している義務（以下「GDPR における管理者の義務」）を遵守する必要がある。管理者が取扱活動を行う場合で、第 3 条第 1 項により GDPR の適用範囲に該当する当該取扱活動は、管理者がEU 域内に拠点のない処理者に対して自身に代わりその取扱いをするよう指示したことのみをもって規則の適用範囲外となることはない。

i) Processing by a controller established in the EU instructing a processor not
established in the Unioni) EU 域内に拠点のない処理者に指示した、EU 域内に拠点を有する管理者による取扱い
Where a controller subject to GDPR chooses to use a processor located outside the Union for a given
processing activity, it will still be necessary for the controller to ensure by contract or other legal act
that the processor processes the data in accordance with the GDPR. Article 28(3) provides that theprocessing by a processor shall be governed by a contract or other legal act. The controller will
therefore need to ensure that it puts in place a contract with the processor addressing all therequirements set out in Article 28(3). In addition, it is likely that, in order to ensure that it hascomplied with its obligations under Article 28(1) – to use only a processor providing sufficientguarantees to implement measures in such a manner that processing will meet the requirements of
the Regulation and protect the rights of data subjects – the controller may need to consider imposing,by contract, the obligations placed by the GDPR on processors subject to it. That is to say, thecontroller would have to ensure that the processor not subject to the GDPR complies with the
obligations, governed by a contract or other legal act under Union or Member State law, referred to
Article 28(3).
GDPR の適用を受ける管理者が、特定の取扱活動について EU 域外に所在する処理者を利用することを選択した場合、当該管理者は契約又はその他の法律行為（legal act）によって、処理者が GDPR に従ってデータを取り扱うことを確保する必要が依然ある。第 28 条
20

第 3 項は処理者による取扱いは契約又はその他の法律行為によって規律されると規定している。したがって、管理者は第 28 条第 3 項が定める要件をすべて盛り込んだ契約を処理
者と必ず締結する必要がある。加えて、管理者が第 28 条第 1 項の義務、すなわち取扱い
が GDPR に定める義務に適合するような態様で措置を実装することについて十分な保証を提供する処理者のみを用いること及びデータ主体の権利を保護すること、を確実に遵守するために、管理者が、契約により GDPR 上の処理者の義務を課すことを検討することが必要な場合がある。つまり、第 28 条第 3 項が規定しているとおり、管理者は、契約又はその他の EU 法若しくは加盟国の国内法に基づく法律行為によって規律し、GDPR の適用を受けない処理者が義務を遵守することを確保しなければならないことになる。
The processor located outside the Union will therefore become indirectly subject to some obligations
imposed by controllers subject to the GDPR by virtue of contractual arrangements under Article 28.
Moreover, provisions of Chapter V of the GDPR may apply.
したがって、第 28 条における契約に関する取り決めにより、EU 域外に所在する処理者
が、GDPR の適用を受ける管理者によって課される義務を間接的に負うことになる。さらに、GDPR 第 5 章の規定が適用されうる。
Example 6: A Finnish research institute conducts research regarding the Sami people. The institutelaunches a project that only concerns Sami people in Russia. For this project the institute uses a
processor based in Canada.
事例 6：フィンランドの調査機関がサーミ族に関する調査を行っている。同機関はロシア
国内のサーミ族のみに関するプロジェクトを立ち上げた。本プロジェクトのために、同機
関はカナダに本拠地を置く処理者を用いている。
The The Finnish controller has a duty to only use processors that provide sufficient guarantees toimplement appropriate measures in such manner that processing will meet the requirement of the
GDPR and ensure the protection of data subjects’ rights. The Finnish controller needs to enter into a
data processing agreement with the Canadian processor, and the processor’s duties will be stipulated
in that legal act.
フィンランドの管理者は取扱いが GDPR に定める義務に適合するような態様で適切な措置を実装することについて十分な保証を提供する処理者のみを用い、かつ、データ主体の権利を確実に保護する義務を負っている。フィンランドの管理者はカナダの処理者とデータの取扱いに関する契約を締結する必要があり、かかる法律行為において当該処理者の義務を規定することになる。

ii) Processing in the context of the activities of an establishment of a processor in the21Unionii) EU 域内の処理者の拠点の活動の過程における取扱い
Whilst case law provides us with a clear understanding of the effect of processing being carried out inthe context of the activities of an EU establishment of the controller, the effect of processing being
carried out in the context of the activities of an EU establishment of a processor is less clear.
判例法は、管理者の EU 域内に有する拠点の活動の過程において行われている取扱いの効果について明確な理解を提供しているが、処理者の EU 域内に有する拠点の活動の過程において行われている取扱いの効果はそれほど明確ではない。
The EDPB emphasises that it is important to consider the establishment of the controller and processor
separately when determining whether each party is of itself ‘established in the Union’.
EDPB は、各当事者がそれぞれ「EU 域内に拠点を有する」か否かを決定するに際しては、管理者の拠点と処理者の拠点をそれぞれ別のものとして検討することが重要であることを強調する。
The first question is whether the controller itself has an establishment in the Union, and is processingin the context of the activities of that establishment. Assuming the controller is not considered to beprocessing in the context of its own establishment in the Union, that controller will not be subject to
GDPR controller obligations by virtue of Article 3(1) (although it may still be caught by Article 3(2)).
Unless other factors are at play, the processor’s EU establishment will not be considered to be an
establishment in respect of the controller.
最初の確認事項は、管理者自身が EU 域内に拠点を有しているか否か、及び、管理者自身が当該拠点の活動の過程において取扱いを行っているか否かである。管理者が EU 域内の
自己の拠点の活動の過程において取扱いを行っていると考えられない場合、当該管理者は第 3 条第 1 項により GDPR における管理者の義務を負わない（ただし、第 3 条第 2 項により当該義務を負う可能性がある）。その他の要因がない限り、処理者が EU 域内に有する拠点が管理者の拠点にはなることはない。
The separate question then arises of whether the processor is processing in the context of its
establishment in the Union. If so, the processor will be subject to GDPR processor obligations under
Article 3(1). However, this does not cause the non-EU controller to become subject to the GDPR
controller obligations. That is to say, a “non-EU” controller (as described above) will not become
subject to the GDPR simply because it chooses to use a processor in the Union.
次に別の確認事項として、処理者が EU 域内の拠点の活動の過程において取扱いを行っているか否かがある。処理者が EU 域内の自己の拠点の活動の過程において取扱いを行って22

いる場合、当該処理者は第 3 条第 1 項のもとで GDPR における処理者の義務を負うことになる。ただし、これによって EU 域外の管理者が GDPR における管理者の義務を負うことにはならない。つまり、（上述のとおり）「EU 域外」の管理者は、単に EU 域内の処理者を用いることを選択しただけで GDPR の適用を受けることはない。
By instructing a processor in the Union, the controller not subject to GDPR is not carrying out
processing “in the context of the activities of the processor in the Union”. The processing is carriedout in the context of the controller’s own activities; the processor is merely providing a processing
service18 which is not “inextricably linked” to the activities of the controller. As stated above, in thecase of a data processor established in the Union and carrying out processing on behalf of a data
controller established outside the Union and not subject to the GDPR as per Article 3(2), the EDPB
considers that the processing activities of the data controller would not be deemed as falling under the
territorial scope of the GDPR merely because it is processed on its behalf by a processor establishedin the Union. However, even though the data controller is not established in the Union and is not
subject to the provisions of the GDPR as per Article 3(2), the data processor, as it is established in theUnion, will be subject to the relevant provisions of the GDPR as per Article 3(1).
EU 域内の処理者に対して指示することを理由に、GDPR の適用を受けない管理者が「EU域内の処理者の活動の過程において」取扱いを行っていることにはならない。かかる取扱
いは管理者自身の活動の過程において行われており、処理者は管理者の活動と「密接な関係」を有していない取扱サービスを単に提供しているだけである 18。上述したとおり、EU
域外に拠点を置き第 3 条第 2 項により GDPR の適用を受けない管理者の代わりに取扱いを行っており、EU 域内に拠点を有するデータ処理者の場合、単に EU 域内に拠点を有する処
理者が管理者の代わりに取り扱っているだけで、かかるデータ管理者の取扱活動が GDPRの地理的適用範囲内であるとみなされることはないと EDPB は考える。ただし、データ管理者が EU 域内に拠点を有しておらず、第 3 条第 2 項により GDPR の規定の適用を受けないとしても、EU 域内に拠点を有しているデータ処理者は第 3 条第 1 項により GDPR の関連規定の適用を受けることになる。
Example 7: A Mexican retail company enters into a contract with a processor established in Spain forthe processing of personal data relating to the Mexican company’s clients. The Mexican company
offers and directs its services exclusively to the Mexican market and its processing concerns
exclusively data subjects located outside the Union.

18

The offering of a processing service in this context cannot be considered either as an offer of a service to data
subjects in the Union.
この場合において取扱サービスの提供は EU 域内のデータ主体に対するサービスの提供と考えることもで
きない。

23

事例 7：メキシコの小売企業がスペインに拠点を有する処理者と当該メキシコ企業の顧客に関する個人データの取扱いに関して契約を締結する。かかるメキシコの企業はメキシコ
市場に限定してサービスを販売及び提供しており、その取扱いは EU 域外にいるデータ主体のみに関するものである。
In this case, the Mexican retail company does not target persons on the territory of the Union throughthe offering of goods or services, nor it does monitor the behaviour of person on the territory of theUnion. The processing by the data controller, established outside the Union, is therefore not subject to
the GDPR as per Article 3(2).
この場合、メキシコの小売企業は物品又はサービスの提供において EU 域内の個人をターゲットにしておらず、EU 域内の個人の行動の監視もしていない。したがって、EU 域外に拠点を有する当該データ管理者による取扱いは、第 3 条第 2 項により GDPR の適用を受けない。
The provisions of the GDPR do not apply to the data controller by virtue of Art 3(1) as it is notprocessing personal data in the context of the activities of an establishment in the Union. The dataprocessor is established in Spain and therefore its processing will fall within the scope of the GDPR
by virtue of Art 3(1). The processor will be required to comply with the processor obligations imposedby the regulation for any processing carried out in the context of its activities.
EU 域内の拠点の活動の過程における個人データの取扱いではないため、データ管理者に対し第 3 条第 1 項をもって GDPR の規定が適用されることはない。データ処理者はスペインに拠点を有しているため、第 3 条第 1 項により、その取扱いは GDPR の適用範囲内となる。
データ処理者は自己の活動の過程において行っている取扱いについて同規則が課している処理者の義務を遵守することが求められる。

When it comes to a data processor established in the Union carrying out processing on behalf of a data
controller with no establishment in the Union for the purposes of the processing activity and which
does not fall under the territorial scope of the GDPR as per Article 3(2), the processor will be subject
to the following relevant GDPR provisions directly applicable to data processors:
EU 域内に取扱活動を目的とした拠点を有しておらず第 3 条第 2 項に定める GDPR の地理的適用範囲に含まれないデータ管理者の代わりに取扱いを行っている、EU 域内に拠点を有するデータ処理者に関して言えば、データ処理者に直接適用される以下の GDPR 関連規定の適用を当該データ処理者は受けることとなる。
- The obligations imposed on processors under Article 28 (2), (3), (4), (5) and (6), on the duty to enter24

into a data processing agreement, with the exception of those relating to the assistance to the data
controller in complying with its (the controller’s) own obligations under the GDPR.
- 第 28 条第 2 項、第 3 項、第 4 項、第 5 項及び第 6 項において処理者に課されている義務、並びにデータの取扱いに関する契約を締結する義務（ただし、データ管理者が GDPR における自身の（当該管理者の）義務を遵守する際に当該管理者を支援することに関するものを除く）。
- The processor and any person acting under the authority of the controller or of the processor, who
has access to personal data, shall not process those data except on instructions from the controller,
unless required to do so by Union or Member State law, as per Article 29 and Article 32(4).
- 第 29 条及び第 32 条第 4 項に基づき、処理者及び、管理者の権限又は処理者の権限の下で行為する者であって、個人データへのアクセスをもつ者は、EU 又は加盟国の国内法により求められている場合を除き、管理者からの指示がない限り、当該個人データを取り扱ってはならない。
- Where applicable, the processor shall maintain a record of all categories of processing carried out
on behalf of a controller, as per Article 30(2).
- 第 30 条第 2 項に基づき、処理者は、管理者の代わりに行われる全ての種類の取扱いの記録を保管しなければならない（該当する場合）。
- Where applicable, the processor shall, upon request, cooperate with the supervisory authority inthe performance of its tasks, as per Article 31.
- 第 31 条に基づき、処理者は、要求に応じて、その職務の遂行において監督機関と協力しなければならない（該当する場合）。
- The processor shall implement technical and organisational measures to ensure a level of security
appropriate to the risk, as per Article 32.
- 第 32 条に基づき、処理者は、リスクに適切に対応する一定レベルの安全性を確保するために、技術上及び組織上の措置を実装しなければならない。
- The processor shall notify the controller without undue delay after becoming aware of a personal
data breach, as per Article 33.
- 第 33 条に基づき、処理者は、個人データ侵害に気づいた後、不当な遅滞なく、管理者に対して通知しなければならない。
- Where applicable, the processor shall designate a data protection officer as per Articles 37 and38.
- 第 37 条及び第 38 条に基づき、処理者はデータ保護オフィサーを指名しなければならない（該当する場合）。
- The provisions on transfers of personal data to third countries or international organisations, as
per Chapter V.
- 第 5 章の第三国又は国際機関への個人データの移転に関する規定。
25

In addition, since such processing would be carried out in the context of the activities of anestablishment of a processor in the Union, the EDPB recalls that the processor will have to ensure its
processing remains lawful with regards to other obligations under EU or national law. Article 28(3)also specifies that “the processor shall immediately inform the controller if, in its opinion, an
instruction infringes this Regulation or other Union or Member State data protection provisions.”
加えて、かかる取扱いが EU 域内にある処理者の拠点の活動の過程において行われることとなるので、EDPB は、取扱いが EU 法又は国内法におけるその他の義務に関して合法であることを処理者が確保しなければならないことを想起する。また、第 28 条第 3 項は「処理者は、その見解において、指示が本規則又はその他の EU 又は加盟国のデータ保護の条項に違反する場合、直ちに、そのことを管理者に通知するものとする。」と明記している。
In line with the positions taken previously by the Article 29 Working Party, the EDPB takes the viewthat the Union territory cannot be used as a “data haven”, for instance when a processing activity
entails inadmissible ethical issues19, and that certain legal obligations beyond the application of EU
data protection law, in particular European and national rules with regard to public order, will in any
case have to be respected by any data processor established in the Union, regardless of the location of
the data controller. This consideration also takes into account the fact that by implementing EU law,provisions resulting from the GDPR and related national laws, are subject to the Charter ofFundamental Rights of the Union 20 . However, this does not impose additional obligations oncontrollers outside the Union in respect of processing not falling under the territorial scope of theGDPR.
第 29 条作業部会の従前の見解に従い、EDPB は、例えば取扱活動が許容できない倫理上の問題を伴っている時に、EU の領域を「データヘイブン」（“data haven”）として利用することはできず 19、EU データ保護法を超えた一定の法的義務、特に公共の秩序に関する EU 及
び国内の規則は、いかなる場合でも、データ管理者の所在地にかかわらず、EU 域内に拠点を有するデータ処理者によって尊重されなければならないという見解に立っている。この見解は、EU 法を実装することにより、GDPR により設けられた規定及び関連する国内法が欧州連合基本権憲章 20 に従うことになるという事実も考慮している。ただし、この見解は、GDPR の地理的適用範囲に含まれない取扱いについて EU 域外の管理者に追加的な義務を課すものではない。

19 G29 WP169 - Opinion 1/2010 on the concepts of "controller" and "processor", adopted on 16th February 2010 andunder revision by the EDPB.
WP169 - 「管理者」と「処理者」の概念に関する意見書（1/2010）（採択：2010 年 2 月 16 日。EDPB による修正中）20 Charter of Fundamental Right of the European Union, 2012/C 326/02.
EU 基本権憲章、2012/C 326/02

26

2 APPLICATION OF THE TARGETING CRITERION – ART 3(2)2 標的基準の適用 – 第 3 条第 2 項
The absence of an establishment in the Union does not necessarily mean that processing activities bya data controller or processor established in a third country will be excluded from the scope of the
GDPR, since Article 3(2) sets out the circumstances in which the GDPR applies to a controller orprocessor not established in the Union, depending on their processing activities.
EU 域内に拠点がないことは、必ずしも第三国に拠点を有するデータ管理者又は処理者による取扱活動が GDPR の適用範囲外となることを意味しない。なぜなら、第 3 条第 2 項がEU 域内に拠点のない管理者又は処理者に対し、取扱活動に応じて GDPR が適用される場
面を定めているからである。
In this context, the EDPB confirms that in the absence of an establishment in the Union, a controller
or processor cannot benefit from the one-stop shop mechanism provided for in Article 56 of the GDPR.
Indeed, the GDPR’s cooperation and consistency mechanism only applies to controllers andprocessors with an establishment, or establishments, within the European Union21.
この点について、EDPB は、EU 域内に拠点がない場合、管理者又は処理者は GDPR 第 56条が定めるワンストップショップの仕組みによる恩恵を受けることができないことを確認している。実際、GDPR の協力メカニズム及び一貫性メカニズムは EU 域内に 1 つ以上の拠点を有する管理者及び処理者にのみ適用される 21。
While the present guidelines aim to clarify the territorial scope of the GDPR, the EDPB also wish tostress that controllers and processors will also need to take into account other applicable texts, such as
for instance EU or Member States’ sectorial legislation and national laws. Several provisions of the
GDPR indeed allow Member States to introduce additional conditions and to define a specific dataprotection framework at national level in certain areas or in relation to specific processing situations.
Controllers and processors must therefore ensure that they are aware of, and comply with, these
additional conditions and frameworks which may vary from one Member State to the other. Suchvariations in the data protection provisions applicable in each Member State are particularly notablein relation to the provisions of Article 8 ( providing that the age at which children may give valid
consent in relation to the processing of their data by information society services may vary between
13 and 16), of Article 9 (in relation to the processing of special categories of data), Article 23
21 G29 WP244 rev.1, 13th December 2016, Guidelines for identifying a controller or processor’s lead supervisory

authority - endorsed by the EDPB.
EDPB により承認された G29 WP244 rev.1 - 管理者又は処理者の主監督機関の特定に関するガイドライン（採択：2016 年 12 月 13 日）

27

(restrictions) or concerning the provisions contained in Chapter IX of the GDPR (freedom of
expression and information; public access to official documents; national identification number;
employment context; processing for archiving purposes in the public interest, scientific or historicalresearch purposes or statistical purposes; secrecy; churches and religious associations).
本ガイドラインは GDPR の地理的適用範囲を明確にすることを目的としているが、EDPB
は管理者及び処理者が EU 又は加盟国の分野別法令や国内法など、その他の適用文言も考慮する必要があることも強調したい。実際、GDPR の複数の規定は、特定の分野において又は特定の取扱場面に関連して、加盟国が追加の条件を導入し、国家レベルで特別なデー
タ保護の枠組みを定めることを認めている。したがって、管理者及び処理者は、加盟国間で異なりうる、このような追加の条件や枠組みを確実に認識し、遵守しなければならない。
各加盟国において適用があるこのようなデータ保護規定についての違いは、特に GDPR の第 8 条（子どもが情報社会サービスにおける自己のデータの取扱いに関して有効な同意をすることができる年齢を 13 歳から 16 歳の間で定めることができると規定している）、第 9条（特別な種類のデータの取扱いに関する規定）、第 23 条（制限）又は第 9 章に含まれる規定（表現及び情報伝達の自由・公文書への公衆のアクセス・国民識別番号・雇用の過程・公共の利益における保管目的、科学調査若しくは歴史調査の目的又は統計の目的・守秘義務・教会及び宗教団体に関する規定）において顕著である。
Article 3(2) of the GDPR provides that “this Regulation applies to the processing of personal data ofdata subjects who are in the Union by a controller or processor not established in the Union, where
the processing activities are related to: (a) the offering of goods or services, irrespective of whether apayment of the data subject is required, to such data subjects in the Union; or (b) the monitoring of
their behaviour as far as their behaviour takes place within the Union.”
GDPR 第 3 条第 2 項は次のように規定している。「取扱活動が以下と関連する場合、本規則

は、EU 域内に拠点のない管理者又は処理者による EU 域内のデータ主体の個人データの取扱いに適用される。（a）データ主体の支払いが要求されるか否かを問わず、EU 域内のデータ主体に対する物品又はサービスの提供。又は（b）データ主体の行動が EU 域内で行われるものである限り、その行動の監視。」
The application of the “targeting criterion” towards data subjects who are in the Union, as per Article
3(2), can be triggered by processing activities carried out by a controller or processor not establishedin the Union which relate to two distinct and alternative types of activities provided that theseprocessing activities relate to data subjects that are in the Union.. In addition to being applicable only
to processing by a controller or processor not established in the Union, the targeting criterion largely
focuses on what the “processing activities” are “related to”, which is to be considered on a case-bycase
basis.
28

EU 域内に拠点のない管理者又は処理者が行う取扱活動で、これらの取扱活動が EU 域内のデータ主体に関連する場合、2 つの特徴的で別個の取扱活動が、EU 域内のデータ主体に向けた第 3 条第 2 項の定める「標的基準」の適用をもたらす場合がある。EU 域内に拠点のない管理者又は処理者にのみ適用可能であることに加えて、標的基準は、何に「取扱活動」
が「関連する」かに大きく着目しており、これは事案ごとに検討する必要がある。
The EDPB stresses that a controller or processor may be subject to the GDPR in relation to some ofits processing activities but not subject to the GDPR in relation to other processing activities. The
determining element to the territorial application of the GDPR as per Article 3(2) lies in theconsideration of the processing activities in question.
EDPB は、管理者又は処理者が、その取扱活動の一部に関して GDPR の対象となる場合があるが、他の取扱活動に関して GDPR の対象とならない場合があることを強調する。第 3
条第 2 項に定める GDPR の地理的適用の決定要素は、問題となっている取扱活動の検討にある。
In assessing the conditions for the application of the targeting criterion, the EDPB therefore
recommends a twofold approach, in order to determine first that the processing relates to personal dataof data subjects who are in the Union, and second whether processing relates to the offering of goods
or services or to the monitoring of data subjects’ behaviour in the Union.
したがって、標的基準を適用すべき状況を判断する際に、第一に取扱いが EU 域内のデー
タ主体の個人データに関するものであることを確認し、第二に取扱いが EU 域内の物品若しくはサービスの提供又は EU 域内のデータ主体の行動の監視に関連するものであるかを確認するために、EDPB は二重のアプローチを勧告する。
a) Data subjects in the Uniona) EU 域内のデータ主体
The wording of Article 3(2) refers to “personal data of data subjects who are in the Union”. The
application of the targeting criterion is therefore not limited by the citizenship, residence or other typeof legal status of the data subject whose personal data are being processed. Recital 14 confirms thisinterpretation and states that “[t]he protection afforded by this Regulation should apply to natural
persons, whatever their nationality or place of residence, in relation to the processing of their personaldata”.
第 3 条第 2 項では「EU 域内のデータ主体の個人データ」という言い回しになっている。したがって、標的基準の適用が市民権、居住地、その他個人データが取り扱われているデー
タ主体の法的地位によって制限されることはない。前文第 14 項はこの解釈を確認し、次の29

ように規定している。「本規則によって与えられる保護は、その国籍及び居住地がいかなるものであれ、自然人の個人データの取扱いとの関係において、自然人に対して適用される」。
This provision of the GDPR reflects EU primary law which also lays down a broad scope for theprotection of personal data, not limited to EU citizens, with Article 8 of the Charter of Fundamental
Rights providing that the right to the protection of personal data is not limited but is for “everyone”22.
GDPR のこの規定は、個人データの保護に関する権利は限定されず「何人も」有すると規定する基本権憲章第 8 条 22 とともに、EU 市民に限らず個人データの保護範囲を幅広く設定している EU の基礎法を反映している。
While the location of the data subject in the territory of the Union is a determining factor for theapplication of the targeting criterion as per Article 3(2), the EDPB considers that the nationality orlegal status of a data subject who is in the Union cannot limit or restrict the territorial scope of theRegulation.
データ主体が EU 域内にいることは第 3 条第 2 項に基づき標的基準を適用する際の決定的な要因であるが、EDPB は EU 域内のデータ主体の国籍又は法的地位によって GDPR の地
理的適用範囲を制限又は限定することができないと考える。
The requirement that the data subject be located in the Union must be assessed at the moment when
the relevant trigger activity takes place, i.e. at the moment of offering of goods or services or the
moment when the behaviour is being monitored, regardless of the duration of the offer made ormonitoring undertaken.
EU 域内にいるデータ主体という要件は適用の根拠となる関連活動が行われた時点、すな
わち物品又はサービスの提供があった時点又は行動が監視されている時点で評価しなければならない。なお、提供期間や監視期間は問わない。
The EDPB considers however that, in relation to processing activities related to the offer of services,the provision is aimed at activities that intentionally, rather than inadvertently or incidentally, target
individuals in the EU. Consequently, if the processing relates to a service that is only offered toindividuals outside the EU but the service is not withdrawn when such individuals enter the EU, therelated processing will not be subject to the GDPR. In this case the processing is not related to the

22 Charter of Fundamental Right of the European Union, Article 8(1), « Everyone has the right to the protection of

personal data concerning him or her”.
EU 基本権憲章第 8 条第 1 項「何人も、自己に関係する個人データの保護に対する権利を有する」。

30

intentional targeting of individuals in the EU but relates to the targeting of individuals outside the EU
which will continue whether they remain outside the EU or whether they visit the Union.
しかしながら、EDPB は、サービスの提供に関連する取扱活動に関して、この規定は、気付かずに又は偶発的にではなく、意図的に EU 域内の個人をターゲットとする活動を目的としていると考えている。したがって、その取扱いが EU 域外の個人にのみ提供されるサービスに関連しているものの、そのサービスが、当該個人が EU 域内に入国する際に停止されない場合には、その関連する取扱いは GDPR の対象とならない。この場合、その取扱
いは、EU 域内の個人への意図的なターゲティングに関連するのではなく、EU 域外に留まっても EU を訪問しても継続する EU 域外の個人へのターゲティングに関連する。
Example 8: An Australian company offers a mobile news and video content service, based on users’
preferences and interest. Users can receive daily or weekly updates. The service is offered exclusively
to users located in Australia, who must provide an Australian phone number when subscribing.
An Australian subscriber of the service travels to Germany on holiday and continues using the service.
Although the Australian subscriber will be using the service while in the EU, the service is not‘targeting’ individuals in the Union, but targets only individuals in Australia, and so the processing of
personal data by the Australian company does not fall within the scope of the GDPR.
事例 8：オーストラリアの会社は、ユーザーの嗜好及び関心に基づき、モバイルニュース
及びビデオコンテンツサービスを提供している。ユーザーは、毎日又は毎週更新を受けることができる。このサービスは、オーストラリア在住のユーザーにのみ提供され、ユーザ
ーは購読時にオーストラリアの電話番号を提供しなければならない。このサービスのオー
ストラリアの購読者は休日にドイツに旅行し、サービスの利用を継続する。オーストラリ
アの購読者は EU 域内にいる間にサービスを利用するが、このサービスは EU 域内の個人を「ターゲティング」するのではなく、オーストラリアの個人のみをターゲットとするため、オーストラリアの会社による個人データの取扱いは、GDPR の範囲内とはならない。
Example 9: A start-up established in the USA, without any business presence or establishment in theEU, provides a city-mapping application for tourists. The application processes personal data
concerning the location of customers using the app (the data subjects) once they start using theapplication in the city they visit, in order to offer targeted advertisement for places to visits, restaurant,bars and hotels. The application is available for tourists while they visit New York, San Francisco,
Toronto, Paris and Rome.
事例 9：米国に拠点を有し、EU 域内に何らの事業所や拠点も有していないスタートアップ
企業が観光客向けに地図アプリケーションを提供している。このアプリケーションは、利用者（データ主体）が訪問先の都市で同アプリケーションを利用すると、観光地、レスト
ラン、バー、ホテルなどの場所に応じたターゲット広告を配信するために、同アプリケー
31

ションの利用者の位置に関する個人データを取り扱う。観光客はニューヨーク、サンフラ
ンシスコ、トロント、パリ、ローマに滞在している時に同アプリケーションを利用できる。
The US start-up, via its city mapping application, is specifically targeting individuals in the Union(namely in Paris and Rome) through offering its services to them when they are in the Union. The
processing of the EU-located data subjects’ personal data in connection with the offering of the service
falls within the scope of the GDPR as per Article 3(2)a. Furthermore, by processing data subject’s
location data in order to offer targeted advertisement on the basis of their location, the processing
activities also relate to the monitoring of behaviour of individuals in the Union. The US start-up
processing therefore also falls within the scope of the GDPR as per Article 3(2)b.
米国のスタートアップ企業は、地図アプリケーションを介して、EU 域内（すなわち、パリ、
ローマ）の個人を、EU 域内にいる個人に対してそのサービスを提供することを通じて、具体的にターゲットとしている。サービスの提供に関連して EU 域内のデータ主体の個人データを取り扱うことは、第 3 条第 2 項 a により、GDPR の適用範囲内となる。さらに、位置に基づいてターゲットを絞った広告を提供するためにデータ主体の位置データを取扱うことによって、その取扱活動は、EU 域内の個人の行動の監視にも関連する。したがって、米国のスタートアップ企業のその取扱いは、第 3 条第 2 項 b の定める GDPR の範囲内にもなる。
The EDPB also wishes to underline that the fact of processing personal data of an individual in theUnion alone is not sufficient to trigger the application of the GDPR to processing activities of acontroller or processor not established in the Union. The element of "targeting" individuals in the EU,
either by offering goods or services to them or by monitoring their behaviour (as further clarified
below), must always be present in addition.
また、EDPB は、EU 域内の個人の個人データを取り扱っているという事実だけでは、EU域内に拠点のない管理者又は処理者の取扱活動に対し GDPR を適用するのに十分でないことを強調したい。物品若しくはサービスを提供すること又は行動を監視することによりEU 域内の個人を「ターゲットとしている」（“targeting”）という要素（以下でさらに明確に述べる）は常に上記と合わせて存在しなければならない。
Example 10: A U.S. citizen is travelling through Europe during his holidays. While in Europe, hedownloads and uses a news app that is offered by a U.S. company. The app is exclusively directed at
the U.S. market, evident by the app terms of use and the indication of US Dollar as the sole currency
available for payment. The collection of the U.S. tourist's personal data via the app by the U.S.
company is not subject to the GDPR.
32

事例 10：米国市民が休日にヨーロッパを旅行している。ヨーロッパ滞在中に、彼は米国企業が提供する新しいアプリをダウンロードし利用する。このアプリは米国市場のみに向けられており、アプリの利用規約及び支払いに利用できる唯一の通貨として米ドルが示されていることにより明らかである。米国企業がアプリを介して米国人の観光客の個人データを収集することに対し GDPR は適用されない。
Moreover, it should be noted that the processing of personal data of EU citizens or residents that takes
place in a third country does not trigger the application of the GDPR, as long as the processing is not
related to a specific offer directed at individuals in the EU or to a monitoring of their behaviour in theUnion.
さらに、第三国で EU 市民又は EU 居住者の個人データの取扱いが行われていることは、かかる取扱いが EU 域内の個人に向けられた特定の提供又は EU 域内における個人の行動の監視に関連していない限り、GDPR の適用を受けることに繋がらないことに注意すべきである。

Example 11: A bank in Taiwan has customers that are residing in Taiwan but hold German citizenship.
The bank is active only in Taiwan; its activities are not directed at the EU market. The bank's
processing of the personal data of its German customers is not subject to the GDPR.
事例 11：台湾にある銀行には台湾に居住しているがドイツの市民権を有している顧客がいる。銀行は台湾でのみ事業を行っており、その活動は EU 市場に向けられていない。この銀行によるドイツの顧客の個人データの取扱いには GDPR は適用されない。

Example 12: The Canadian immigration authority processes personal data of EU citizens whenentering the Canadian territory for the purpose of examining their visa application. This processing is
not subject to the GDPR.
事例 12：カナダの出入国管理局は、ビザ申請を確認する目的で、EU 市民がカナダに入国する際にその個人データを取り扱っている。この取扱いには GDPR は適用されない。
b) Offering of goods or services, irrespective of whether a payment of the data subject is required, todata subjects in the Unionb) データ主体の支払いが要求されるか否かを問わず、EU 域内のデータ主体に対する物品
又はサービスの提供
The first activity triggering the application of Article 3(2) is the “offering of goods or services”, aconcept which has been further addressed by EU law and case law, which should be taken into accountwhen applying the targeting criterion. The offering of services also includes the offering of information33

society services, defined in point (b) of Article 1(1) of Directive (EU) 2015/153523 as “any Information
Society service, that is to say, any service normally provided for remuneration, at a distance, byelectronic means and at the individual request of a recipient of services”.
第 3 条第 2 項の適用につながる 1 つ目の活動は「物品又はサービスの提供」である。この概念は EU 法及び判例法で詳細に述べられてきており、標的基準を適用する際に考慮すべきである。サービスの提供には情報社会サービスの提供も含まれる。情報社会サービスは、指令（EU）2015/153523 の第 1 条第 1 項（b）において、「情報社会サービス、つまり、通常は有償で、電子的手段により、遠隔地において、サービス提供先の個々の要求に応じて提供するサービス」と定義されている。
Article 3(2)(a) specifies that the targeting criterion concerning the offering of goods or services applies
irrespective of whether a payment by the data subject is required. Whether the activity of a controller
or processor not established in the Union is to be considered as an offer of a good or a service is nottherefore dependent whether payment is made in exchange for the goods or services provided24.
第 3 条第 2 項（a）は、物品又はサービスの提供に関する標的基準は、データ主体の支払いが要求されるか否かを問わず適用されることを明確にしている。したがって、EU 域内に拠点のない管理者又は処理者の活動が物品又はサービスの提供にあたるか否かは、提供される物品又はサービスに対価が支払われるか否かとは関係がない 24。
Example 13: A US company, without any establishment in the EU, processes personal data of its
employees that were on a temporary business trip to France, Belgium and the Netherlands for humanresources purposes, in particular to proceed with the reimbursement of their accommodation expenses
and the payment of their daily allowance, which vary depending on the country they are in.
In this situation, while the processing activity is specifically connected to persons on the territory of
the Union (i.e. employees who are temporarily in France, Belgium and the Netherlands) it does not
relate to an offer of a service to those individuals, but rather is part of the processing necessary for theemployer to fulfil its contractual obligation and human resources duties related to the individual’s
employment. The processing activity does not relate to an offer of service and is therefore not subject
to the provision of the GDPR as per Article 3(2)a.

23 Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down aprocedure for the provision of information in the field of technical regulations and of rules on Information Society
services.
技術規則の分野及び情報社会サービス関連法令の分野における情報提供手続を定める 2015 年 9 月 9 日の欧州議会及び理事会指令 (EU) 2015/1535/EU
24 See, in particular, CJEU, C-352/85, Bond van Adverteerders and Others vs. The Netherlands State, 26 April 1988,
par. 16), and CJEU, C-109/92, Wirth [1993] Racc. I-6447, par. 15
特に、1988 年 4 月 26 日 CJEU、C-352/85、Bond van Adverteerders and Others vs. The Netherlands State、パラ
グラフ 16、及び CJEU、C-109/92、Virth [1993] Racc. I-6447、パラグラフ 15 を参照。

34

事例 13：EU 域内に拠点のない米国の会社は、フランス、ベルギー及びオランダに一時的に出張した従業員の個人データを、人事管理目的で、特に宿泊費の払い戻し及び日当（居住国によって異なる）の支払いを進めるため、取扱う。この場合、その取扱活動は、特にEU 域内にいる者（つまり、一時的にフランス、ベルギー及びオランダにいる従業員）に関連しているが、それらの個人へのサービスの提供とは関係がなく、むしろ 雇用主がその個人の雇用に関連する契約上の義務及び人事上の義務を果たすために必要な取扱いの一部である。この取扱活動は、サービスの提供とは関係がなく、したがって第 3 条第 2 項 a に定
める GDPR の規定の対象とはならない。
Another key element to be assessed in determining whether the Article 3(2)(a) targeting criterion canbe met is whether the offer of goods or services is directed at a person in the Union, or in other words,
whether the conduct on the part of the controller, which determines the means and purposes ofprocessing, demonstrates its intention to offer goods or a services to a data subject located in the Union.
Recital 23 of the GDPR indeed clarifies that “in order to determine whether such a controller orprocessor is offering goods or services to data subjects who are in the Union, it should be ascertained
whether it is apparent that the controller or processor envisages offering services to data subjects in
one or more Member States in the Union.”
第 3 条第 2 項（a）の標的基準に合致しているか否かを判断する際に評価すべき別の重要な要素として、物品又はサービスの提供が EU 域内の個人に向けられているか、言い換えるならば、取扱いの方法及び目的を決定する管理者側の行為が EU 域内のデータ主体に対する物品又はサービスの提供の意図を示しているか、がある。実際、GDPR 前文第 23 項は、「EU 域内のデータ主体に対してそのような管理者又は処理者が物品又はサービスを提供しているか否かを判断するために、EU 域内の一又は複数の加盟国のデータ主体に対してその管理者又は処理者がサービスを提供しようとする意図が明白かどうかを確認しなければならない。」と明示している。
The recital further specifies that “whereas the mere accessibility of the controller's, processor's or anintermediary's website in the Union, of an email address or of other contact details, or the use of alanguage generally used in the third country where the controller is established, is insufficient toascertain such intention, factors such as the use of a language or a currency generally used in one ormore Member States with the possibility of ordering goods and services in that other language, or thementioning of customers or users who are in the Union, may make it apparent that the controller
envisages offering goods or services to data subjects in the Union.”
さらに同項は、「単に管理者、処理者又はその中間介在者の EU 域内の Web サイト、電子メ

ールアドレス又はその他の連絡先にアクセスできるということ、又は、管理者が拠点とする第三国において一般的に用いられている言語が使用されているということだけでは、そ35

のような意図を確認するためには不十分であるが、一又は複数の加盟国内で一般的に用いられている言語及び通貨を用いて当該別の言語による物品及びサービスの注文ができること、又は、EU 域内にいる消費者又は利用者に関する言及があることといったような要素は、その管理者が EU 域内のデータ主体に対して物品又はサービスの提供を想定していることを明白にしうるものである。」と特定している。
The elements listed in Recital 23 echo and are in line with the CJEU case law based on Council
Regulation 44/200125 on jurisdiction and the recognition and enforcement of judgments in civil andcommercial matters, and in particular its Article 15(1)(c). In Pammer v Reederei Karl Schlüter GmbH& Co and Hotel Alpenhof v Heller (Joined cases C-585/08 and C-144/09), the Court was asked toclarify what it means to “direct activity” within the meaning of Article 15(1)(c) of Regulation 44/2001(Brussels I). The CJEU held that, in order to determine whether a trader can be considered to be“directing” its activity to the Member State of the consumer’s domicile, within the meaning of Article
15(1)(c) of Brussels I, the trader must have manifested its intention to establish commercial relations
with such consumers. In this context, the CJEU considered evidence able to demonstrate that the trader
was envisaging doing business with consumers domiciled in a Member State.
前文第 23 項で挙げられている要素は、民事及び商事事件における裁判管轄及び裁判の執行に関する理事会規則 44/200125、特に同規則第 15 条第 1 項（c）に基づく CJEU の判例法に同調するものであり、これに沿っている。Pammer v Reederei Karl Schlüter GmbH & Co andHotel Alpenhof v Heller (Joined cases C-585/08 and C-144/09)において、裁判所は規則 44/2001（ブリュッセル I 規則）第 15 条第 1 項（c）における「活動を向ける」（direct activity）」の意味を明らかにするよう求められた。裁判所は、ブリュッセル I 規則第 15 条第 1 項（c）において、商人が自己の活動を消費者が居住する加盟国に活動を「向けている」（“directing”）と考えることができるか否かを判断するためには、商人がこのような消費者と商業上の関係を構築する意図を示していなければならないと判示した。この文脈において、CJEU は、商人が加盟国に居住する消費者に向けた事業を展開することを想定していたことを証明することができる証拠を検討した。
While the notion of “directing an activity” differs from the “offering of goods or services”, the EDPB
deems this case law in in Pammer v Reederei Karl Schlüter GmbH & Co and Hotel Alpenhof v Heller(Joined cases C-585/08 and C-144/09)26 might be of assistance when considering whether goods or
25 Council Regulation (EC) No 44/2001 of 22 December 2000 on jurisdiction and the recognition and enforcement of

judgments in civil and commercial matters.
⺠事及び商事事件における裁判管轄並びに裁判の承認及び執⾏に関する 2000 年 12 ⽉ 22 ⽇の理事会規則（EC）No 44/2001
26 It is all the more relevant that, under Article 6 of Regulation (EC) No 593/2008 of the European Parliament and of
the Council of 17 June 2008 on the law applicable to contractual obligations (Rome I), in absence of choice of law,36

services are offered to a data subject in the Union. When taking into account the specific facts of thecase, the following factors could therefore inter alia be taken into consideration, possibly in
combination with one another:「活動を向けている」という概念は「物品又はサービスの提供」とは異なるが、EDPB は、
Pammer v Reederei Karl Schlüter GmbH & Co and Hotel Alpenhof v Heller (Joined cases C-585/08
and C-144/09)26 における判例法は EU 域内のデータ主体に物品又はサービスを提供しているか否かを検討する際の参考になりうると考える。したがって、この具体的な判例の事案を考慮した場合、特に以下の要因を、可能であれば組み合わせて、考慮することができる。
- The EU or at least one Member State is designated by name with reference to the good or service
offered;- 提供する物品又はサービスに言及する際に、EU 又は少なくとも 1 つの加盟国の名称が指摘されている。
- The data controller or processor pays a search engine operator for an internet referencing service inorder to facilitate access to its site by consumers in the Union; or the controller or processor haslaunched marketing and advertisement campaigns directed at an EU country audience- データ管理者若しくは処理者が、EU 域内の消費者による Web サイトへのアクセスを促す
ためにインターネットレファレンシングサービスの対価を検索エンジン事業者に支払っている、又は、管理者若しくは処理者が EU 加盟国内の人に向けたマーケティングキャン
ペーンや広告キャンペーンを開始しているかどうか。
- The international nature of the activity at issue, such as certain tourist activities;- 観光事業など、問題となっている活動の国際性。
- The mention of dedicated addresses or phone numbers to be reached from an EU country;- EU 加盟国内から連絡する専用のアドレス又は電話番号の記載。
- The use of a top-level domain name other than that of the third country in which the controller orprocessor is established, for example “.de”, or the use of neutral top-level domain names such as“.eu”;-「.de」など、管理者又は処理者が拠点を有する第三国のもの以外のトップレベルドメイ
ン名の使用、又は「.eu」など、中立的なトップレベルドメイン名の使用。
- The description of travel instructions from one or more other EU Member States to the place where
the service is provided;- 1 つ又は複数の EU 加盟国からサービス提供地までの移動案内の記載。
this criterion of “directing activity” to the country of the consumer’s habitual residence is taken into account todesignate the law of the consumer’s habitual residence as the law applicable to the contract.
2008 年 6 月 17 日の契約債務に適用される法に関する欧州議会及び理事会規則（EC）593/2008（ローマ I 規則）第 6 条による法の選択がない場合、消費者が定住する国を「活動を向けている」という基準は消費者が定住する国の法を契約の準拠法に指定する際に考慮されるという点はより一層関連性がある。

37

- The mention of an international clientele composed of customers domiciled in various EU Member
States, in particular by presentation of accounts written by such customers;- 様々な EU 加盟国に居住する顧客で構成される国際的な常連客について、特にかかる顧客が書いた報告を掲載することで言及すること。
- The use of a language or a currency other than that generally used in the trader’s country, especiallya language or currency of one or more EU Member states;- 事業者の国で通常使用されているもの以外の言語又は通貨、特に 1 つ又は複数の EU 加盟
国の言語又は通貨を使用していること。
- The data controller offers the delivery of goods in EU Member States.
- データ管理者が EU 加盟国内で物品の配送を行っていること。
As already mentioned, several of the elements listed above, if taken alone may not amount to a clear
indication of the intention of a data controller to offer goods or services to data subjects in the Union,
however, they should each be taken into account in any in concreto analysis in order to determine
whether the combination of factors relating to the data controller’s commercial activities can together
be considered as an offer of goods or services directed at data subjects in the Union.
先述しているとおり、上記の要素について、単独ではデータ管理者に EU 域内のデータ主
体に物品又はサービスを提供する意図があることを明らかに示すことができない場合でも、データ管理者の商業活動に関連する要因を組み合わせることで EU 域内のデータ主体に向けて物品又はサービスを提供していると考えることができるか否かを判断するために、具体的な分析において、上記のそれぞれの要素を考慮すべきである。
It is however important to recall that Recital 23 confirms that the mere accessibility of the controller's,
processor's or an intermediary's website in the Union, the mention on the website of its e-mail orgeographical address, or of its telephone number without an international code, does not, of itself,
provide sufficient evidence to demonstrate the controller or processor’s intention to offer goods or aservices to a data subject located in the Union. In this context, the EDPB recalls that when goods orservices are inadvertently or incidentally provided to a person on the territory of the Union, the related
processing of personal data would not fall within the territorial scope of the GDPR.
ただし、前文第 23 項が、単に管理者、処理者又はその中間介在者の EU 域内の Web サイトにアクセスできること、Web サイト上に電子メールアドレス若しくは住所又は国番号を付与していない電話番号を記載していることは、それ自体では、EU 域内のデータ主体に物品又はサービスを提供する意図を管理者又は処理者が有していることを証明する証拠としては十分ではないことを確認している点を想起することが重要である。この文脈において、
EDPB は、商品又はサービスが気付かずに又は偶発的に EU 域内の者に提供された場合、関連する個人データの取扱いは GDPR の地理的範囲に含まれないことを想起する。
38

Example 14: A website, based and managed in Turkey, offers services for the creation, editing,printing and shipping of personalised family photo albums. The website is available in English,
French, Dutch and German and payments can be made in Euros. The website indicates that photo
albums can only be delivered by post mail in France, Benelux countries and Germany.
事例 14：トルコを本拠地としトルコで管理されている Web サイトが、個々にカスタマイズ
した家族写真アルバムを作成、編集、印刷、出荷するサービスを提供している。この Web
サイトは英語、フランス語、オランダ語、ドイツ語で利用可能であり、支払いはユーロでできる。Web サイトでは、写真アルバムは郵送でフランス、ベネルクス諸国、ドイツのみに配送できると記載している。
In this case, it is clear that the creation, editing and printing of personalised family photo albums
constitute a service within the meaning of EU law. The fact that the website is available in four
languages of the EU and that photo albums can be delivered by post in six EU Member States
demonstrates that there is an intention on the part of the Turkish website to offer its services toindividuals in the Union.
この場合、個々にカスタマイズした家族写真アルバムの作成、編集、印刷は EU 法におけるサービスを構成していることは明らかである。Web サイトが EU の 4 言語で利用可能であり、写真アルバムは郵送で 6 つの EU 加盟国に配送できるという事実は、トルコの Web サ
イト側に EU 域内の個人に対し自己のサービスを提供する意図があることを証明している。
As a consequence, it is clear that the processing carried out by the Turkish website, as a data controller,
relates to the offering of a service to data subjects in the Union and is therefore subject to the
obligations and provisions of the GDPR, as per its Article 3(2)(a).
その結果、トルコの Web サイトがデータ管理者として行っている取扱いは EU 域内のデー
タ主体に対するサービスの提供に関連しており、したがって、第 3 条第 2 項（a）に基づきGDPR の義務及び規定の適用を受ける。
In accordance with Article 27, the data controller will have to designate a representative in the Union.
第 27 条によれば、データ管理者は EU 域内における代理人を指定しなければならないことになる。

Example 15: A private company based in Monaco processes personal data of its employees for the
purposes of salary payment. A large number of the company’s employees are French and Italianresidents.
39

事例 15：モナコを本拠地とする民間企業が給与の支払いを目的として従業員の個人データを取り扱っている。この企業の従業員の多くはフランス及びイタリアに居住している。
In this case, while the processing carried out by the company relates to data subjects in France and
Italy, it does not takes place in the context of an offer of goods or services. Indeed human resourcesmanagement, including salary payment by a third-country company cannot be considered as an offer
of service within the meaning of Art 3(2)a. The processing at stake does not relate to the offer of goods
or services to data subjects in the Union (nor to the monitoring of behaviour) and, as a consequence,is not subject to the provisions of the GDPR, as per Article 3.
この場合、企業が行っている取扱いはフランス及びイタリアのデータ主体に関連するものであるが、物品又はサービスの提供の過程において行われているものではない。実際に、第三国の企業による給与の支払いを含めて、人事管理は第 3 条第 2 項（a）におけるサービスの提供と考えることはできない。問題になっている取扱いは EU 域内のデータ主体に対する物品又はサービスの提供に関連しておらず（また、行動の監視にも関連していない）、
その結果、第 3 条に基づき GDPR の規定の適用を受けない。
This assessment is without prejudice to the applicable law of the third country concerned.
なお、この判断は関連する第三国の法の適用を妨げるものではない。

Example 16: A Swiss University in Zurich is launching its Master degree selection process, by making
available an online platform where candidates can upload their CV and cover letter, together with theircontact details. The selection process is open to any student with a sufficient level of German andEnglish and holding a Bachelor degree. The University does not specifically advertise to students in
EU Universities, and only takes payment in Swiss currency.
事例 16：チューリッヒにあるスイスの大学が、オンラインプラットフォームを利用した修士課程の選考プロセスを立ち上げている。このオンラインプラットフォームでは、志願者が連絡先とともに履歴書及びカバーレターをアップロードすることができる。ドイツ語と英語の能力が十分であり学士号を有している学生であれば誰でも選考プロセスに参加できる。この大学は EU の大学の学生に向けた宣伝を特にしておらず、支払いはスイスの通貨のみとなっている。
As there is no distinction or specification for students from the Union in the application and selection
process for this Master degree, it cannot be established that the Swiss University has the intention totarget students from a particular EU member states. The sufficient level of German and English is a
general requirement that applies to any applicant whether a Swiss resident, a person in the Union or astudent from a third country. Without other factors to indicate the specific targeting of students in EU40

member states, it therefore cannot be established that the processing in question relates to the offer ofan education service to data subject in the Union, and such processing will therefore not be subject to
the GDPR provisions.
この修士課程に関する出願及び選考プロセスでは EU 域内の学生を区別又は指定していな
いため、特定の EU 加盟国の学生をターゲットとする意図をスイスの大学が有しているとすることはできない。ドイツ語と英語の十分な能力というのはスイスの居住者であるか、EU 域内の者であるか、第三国の学生であるかを問わず、どの出願者にも適用される一般的な要件である。したがって、EU 加盟国の学生を特にターゲットにしていることを示す他の要因がない場合、問題になっている取扱いが EU 域内のデータ主体に対する教育サービスの提供に関連しているとすることはできず、かかる取扱いは GDPR の規定の適用を受けない。
The Swiss University also offers summer courses in international relations and specifically advertises
this offer in German and Austrian universities in order to maximise the courses’ attendance. In thiscase, there is a clear intention from the Swiss University to offer such service to data subjects who arein the Union, and the GDPR will apply to the related processing activities.
また、スイスの大学は国際関係に関するサマーコースを提供しており、コースの参加者を増やすためにドイツとオーストリアの大学でこのコースを特別に宣伝している。この場
合、EU 域内のデータ主体に対しサービスを提供するという明らかな意図をスイスの大学が有しており、関連する取扱活動に GDPR が適用される。
c) Monitoring of data subjects’ behaviourc) データ主体の行動の監視
The second type of activity triggering the application of Article 3(2) is the monitoring of data subject
behaviour as far as their behaviour takes place within the Union.
第 3 条第 2 項の適用をもたらす 2 つ目のタイプの活動は、EU 域内で行われているデータ主
体の行動の監視である。
Recital 24 clarifies that “[t]he processing of personal data of data subjects who are in the Union by acontroller or processor not established in the Union should also be subject to this Regulation when it
is related to the monitoring of the behaviour of such data subjects in so far as their behaviour takes
place within the Union.”
前文第 24 項は次のとおり明示している。「EU 域内に拠点のない管理者又は処理者によるEU 域内のデータ主体の個人データの取扱いは、そのようなデータ主体の行動の監視と関41

連する場合においても、そのデータ主体の行動が EU 域内で行われるものである限り、本規則に服さなければならない。」
For Article 3(2)(b) to trigger the application of the GDPR, the behaviour monitored must first relate
to a data subject in the Union and, as a cumulative criterion, the monitored behaviour must take place
within the territory of the Union.
第 3 条第 2 項（b）により GDPR を適用する場合、まず、監視されている行動が EU 域内のデータ主体に関連していなければならない。また、重畳的な基準として、監視されている行動が EU 域内で行われていなければならない。
The nature of the processing activity which can be considered as behavioural monitoring is further
specified in Recital 24 which states that “in order to determine whether a processing activity can beconsidered to monitor the behaviour of data subjects, it should be ascertained whether natural persons
are tracked on the internet including potential subsequent use of personal data processing techniques
which consist of profiling a natural person, particularly in order to take decisions concerning her or
him or for analysing or predicting her or his personal preferences, behaviours and attitudes.” While
Recital 24 exclusively relates to the monitoring of a behaviour through the tracking of a person on theinternet, the EDPB considers that tracking through other types of network or technology involving
personal data processing should also be taken into account in determining whether a processing
activity amounts to a behavioural monitoring, for example through wearable and other smart devices.
行動の監視と考えられる取扱活動の性質は前文第 24 項においてさらに具体化されており、「取扱行為がデータ主体の行動の監視と考えられうるか否かを判断するためには、自然人のプロファイリングを構成する個人データの取扱い技術が後に使用される可能性を含め、自然人がインターネット上で追跡されているかどうか、特に、データ主体に関連する判断をするため、又は、データ主体の個人的な嗜好、行動及び傾向を分析又は予測するために追跡されているかを確認しなければならない。」と述べている。前文第 24 項はインターネ
ット上で個人を追跡することによる行動の監視のみに関連するものであるが、個人データの取扱いを伴うその他のネットワーク又は技術、例えばウェアラブル機器やその他のスマートデバイスを通じた追跡も、取扱活動が行動の監視に該当するか否かを判断する際に考慮するべきであると EDPB は考える。
As opposed to the provision of Article 3(2)(a), neither Article 3(2)(b) nor Recital 24 expressly
introduce a necessary degree of “intention to target” on the part of the data controller or processor todetermine whether the monitoring activity would trigger the application of the GDPR to the processing
activities. However, the use of the word “monitoring” implies that the controller has a specific purposein mind for the collection and subsequent reuse of the relevant data about an individual’s behaviour
42within the EU. The EDPB does not consider that any online collection or analysis of personal data of
individuals in the EU would automatically count as “monitoring”. It will be necessary to consider thecontroller’s purpose for processing the data and, in particular, any subsequent behavioural analysis or
profiling techniques involving that data. The EDPB takes into account the wording of Recital 24,
which indicates that to determine whether processing involves monitoring of a data subject behaviour,
the tracking of natural persons on the Internet, including the potential subsequent use of profilingtechniques, is a key consideration.
第 3 条第 2 項（a）の定めとは異なり、第 3 条第 2 項（b）と前文第 24 項のいずれも、監視活動が取扱活動に対する GDPR の適用につながるか否かを判断する際のデータ管理者又は処理者側の「ターゲティングの意図」（“intention to targeting”）の必要な程度に明示的には触れていない。ただし、「監視」という語を使用していることから、EU 域内の個人の行動に関する関連データの収集及びその後の再利用という具体的な目的をデータ管理者が念頭に置いていることを示唆している。EU 域内の個人の個人データのオンライン上での収集又は分析がすべて自動的に「監視」といえるとは EDPB は考えていない。管理者がデータを取り扱う目的、特にそのデータに関して行動分析又はプロファイリング技術を後に使用することを検討する必要がある。取扱行為がデータ主体の行動の監視に関わるものであるか否かを判断するために、プロファイリング技術が後に使用される可能性も含め、インターネット上での自然人の追跡が重要な考慮事項であることを示す前文第 24 項の文言を
EDPB は考慮している。
The application of Article 3(2)(b) where a data controller or processor monitors the behaviour of data
subjects who are in the Union could therefore encompass a broad range of monitoring activities,
including in particular:
したがって、データ管理者又は処理者による EU 域内のデータ主体の行動の監視に第 3 条
第 2 項（b）を適用する際に、特に以下のものを含め、幅広い監視活動が対象になりうる。
- Behavioural advertisement- 行動ターゲティング広告- Geo-localisation activities, in particular for marketing purposes- 位置情報サービス（特にマーケティング目的）- Online tracking through the use of cookies or other tracking techniques such as fingerprinting- クッ
キー又はフィンガープリンティングなどのその他の追跡技術を使用したオンライン上での追跡- Personalised diet and health analytics services online- オンラインのパーソナライズされた食事及び健康の分析サービス- CCTV43

- CCTV（閉鎖回路テレビ）- Market surveys and other behavioural studies based on individual profiles- 個人のプロファイルに基づく市場調査その他行動調査- Monitoring or regular reporting on an individual’s health status- 個人の健康状態に関する監視又は定期報告
Example 17: A retail consultancy company established in the US provides advice on retail layout to a
shopping centre in France, based on an analysis of customers’ movements throughout the centre
collected through Wi-Fi tracking.
事例 17：米国に拠点を有する小売コンサルタント会社が、フランスのショッピングセンタ
ーに対し、Wi-Fi による追跡を通じて収集した同ショッピングセンター全体における顧客の動きを分析した結果に基づいて、小売販売レイアウトに関するアドバイスを提供している。
The analysis of a customers’ movements within the centre through Wi-Fi tracking will amount to themonitoring of individuals’ behaviour. In this case, the data subjects’ behaviour takes place in the Union
since the shopping centre is located in France. The consultancy company, as a data controller, istherefore subject to the GDPR in respect of the processing of this data for this purpose as per its Article
3(2)(b).
Wi-Fi による追跡を通じてショッピングセンター内の顧客の動きを分析することは、個人の行動の監視に該当する。この場合、ショッピングセンターはフランスに所在しているので、データ主体の行動は EU 域内で行われている。したがって、このコンサルタント企業
は、データ管理者として第 3 条第 2 項（b）に基づき当該目的のために当該データを取り扱うことに関して、GDPR の適用を受ける。
In accordance with Article 27, the data controller will have to designate a representative in theUnion.
第 27 条にしたがい、データ管理者は EU 域内 27 における代理人を指定しなければならな
いことになる。
Example 18: An app developer established in Canada with no establishment in the Union monitors
the behaviour of data subject in the Union and is therefore subject to the GDPR, as per Article 3(2)b.
The developer uses a processor established in the US for the app optimisation and maintenancepurposes.
事例 18：カナダに拠点を有し、EU 域内には拠点がないアプリ開発者が EU 域内のデータ主
体の行動を監視しており、第 3 条第 2 項（b）に基づき GDPR の適用を受けている。この開44

発者はアプリの最適化及び保守を目的として、米国に拠点を有する処理者を利用している。
In relation to this processing, the Canadian controller has the duty to only use appropriate processors
and to ensure that its obligations under the GDPR are reflected in the contract or legal act governing
the relation with its processor in the US, pursuant to Article 28.
この取扱いに関連して、カナダの管理者は、第 28 条に基づき、適切な処理者のみを用い、GDPR における義務を米国の処理者との関係を規律する契約又はその他の法律行為に確実に反映させる義務を有する。
d) Processor not established in the Uniond) EU 域内に拠点のない処理者

Processing activities which are “related” to the targeting activity which triggered the application of
Article 3(2) fall within the territorial scope of the GDPR. The EDPB considers that there needs to bea connection between the processing activity and the offering of good or service, but both processing
by a controller and a processor are relevant and to be taken into account.
第 3 条第 2 項の適用をもたらしたターゲティング活動に「関連する」取扱活動は、GDPR の地理的範囲に含まれる。EDPB は、取扱活動と商品又はサービスの提供との間に関連性が必要と考えているが、管理者及び処理者による取扱いの双方が関連し、かつ、考慮される必要があると考えている。
When it comes to a data processor not established in the Union, in order to determine whether its
processing may be subject to the GDPR as per Article 3(2), it is necessary to look at whether theprocessing activities by the processor “are related” to the targeting activities of the controller.
EU 域内に拠点のないデータ処理者については、その取扱いが第 3 条第 2 項により GDPR の対象となるかどうかを判断するため、当該処理者による取扱活動がターゲティング活動に「関連する」かどうかを見る必要がある。
The EDPB considers that, where processing activities by a controller relates to the offering of goods
or services or to the monitoring of individuals’ behaviour in the Union (‘targeting’), any processor
instructed to carry out that processing activity on behalf of the controller will fall within the scope of
the GDPR by virtue of Art 3(2) in respect of that processing.
EDPB は、管理者による取扱活動が商品又はサービスの提供若しくは EU 域内の個人の行動の監視（「ターゲティング」）に関連する場合、管理者に代わってその取扱活動を行うよう

45

指示された処理者は、その取扱いに関し、第 3 条第 2 項により GDPR の範囲に含まれると考える。
The ‘Targeting’ character of a processing activity is linked to its purposes and means; a decision totarget individuals in the Union can only be made by an entity acting as a controller. Such interpretation
does not rule out the possibility that the processor may actively take part in processing activities related
to carrying out the targeting criteria (i.e. the processor offers goods or services or carries out
monitoring actions on behalf of, and on instruction from, the controller).
取扱活動における「ターゲティング」の性質は、その目的及び手段にリンクしている。
EU 域内の個人をターゲットとする決定は、管理者として行動する組織のみが行うことができる。このような解釈は、処理者が標的基準の実行に関連する取扱活動に積極的に参加する可能性を排除しない（つまり、処理者は、管理者に代わって又は管理者からの指示に基づき商品又はサービスの提供し又は監視行動を行う）。
The EDPB therefore considers that the focus should be on the connection between the processing
activities carried out by the processor and the targeting activity undertaken by a data controller.
したがって、EDPB は、処理者が行う取扱活動と、データ管理者が行うターゲティング活動との関連性に焦点を当てるべきであると考えている。

Example 19: A Brazilian company sells food ingredients and local recipes online, making this offer
of good available to persons in the Union, by advertising these products and offering the delivery in
the France, Spain and Portugal. In this context, the company instructs a data processor also establishedin Brazil to develop special offers to customers in France, Spain and Portugal on the basis of theirprevious orders and to carry out the related data processing.
事例 19：ブラジルの会社は、食材及び地元のレシピをオンラインで販売し、フランス、スペイン及びポルトガルにおいてこれらの製品を宣伝し、また配達を提供することにより、この商品の提供を EU 域内の者が利用できるようにしている。このような状況において、
同社は、ブラジルに拠点のあるデータ処理者に対し、過去の注文に基づき、フランス、スペイン及びポルトガルの顧客への特別の提供を開発し、関連するデータ取扱いを行うよう指示する。
Processing activities by the processor, under the instruction of the data controller, are related to theoffer of good to data subject in the Union. Furthermore, by developing these customized offers, thedata processor directly monitors data subjects in the EU. Processing by the processor are therefore
subject to the GDPR, as per Article 3(2).

46データ管理者の指示の下での処理者による取扱活動は、EU 域内のデータ主体への商品の提供に関連している。さらに、これらのカスタマイズされた提供を開発することにより、データ処理者は EU 域内のデータ主体を直接的に監視する。したがって、当該処理者による取扱いは、第 3 条第 2 項により GDPR の対象となる。

Example 20: A US company has developed a health and lifestyle app, allowing users to record with
the US company their personal indicators (sleep time, weight, blood pressure, heartbeat, etc…). The
app then provide users with daily advice on food and sport recommendations. The processing iscarried out by the US data controller. The app is made available to, and is used by, individuals in theUnion. For the purpose of data storage, the US company uses a processor established in the US(cloud service provider)
事例 20：米国の会社が健康及びライフスタイルアプリを開発し、ユーザーがその米国の会
社に個人的な指標（睡眠時間、体重、血圧、心拍など）を記録できるようにした。このア
プリは、ユーザーに食事やスポーツの推奨事項についてのアドバイスを毎日提供する。 この取扱いは米国のデータ管理者によって行われる。このアプリは、EU 域内の個人が利用でき、また EU 域内の個人により使われている。データ保存の目的で、米国の会社は米国に拠点を有する処理者（クラウドサービスプロバイダー）を使用する。
To the extent that the US company is monitoring the behaviour of individuals in the EU, in operating
the health and lifestyle app it will be ‘targeting’ individuals in the EU and its processing of thepersonal data of individuals in the EU will fall within the scope of the GDPR under Art 3(2).
健康及びライフスタイルアプリの運用において米国の会社が EU 域内の個人の行動を監視している限り、それは EU 域内の個人を「ターゲティング」することとなり、その EU 域
内の個人の個人データの取扱いは、 第 3 条第 2 項のもとで GDPR の範囲に含まれる。
In carrying out the processing on instructions from, and on behalf of, the US company the cloudprovider/processor is carrying out a processing activity ‘relating to’ the targeting of individuals in the
EU by its controller. This processing activity by the processor on behalf of its controller falls within
the scope of the GDPR under Art 3(2).
米国の会社からの指示に基づき及びそれに代わって行う取扱いの場合、クラウドプロバイ
ダー/処理者は、その管理者による EU 域内の個人のターゲティングに「関連する」取扱活動を行っている。管理者に代わって処理者が行うこの取扱活動は、第 3 条第 2 項のもとでGDPR の範囲に含まれる。
Example 21: A Turkish company offers cultural package travels in the Middle East with tour guides
speaking English, French and Spanish. The package travels are notably advertised and offered through47

a website available in the three languages, allowing for online booking and payment in Euros and
GBP. For marketing and commercial prospection purposes, the company instructs a data processor, acall center, established in Tunisia to contact former customers in Ireland, France, Belgium and Spainin order to get feedback on their previous travels and inform them about new offers and destinations.
The controller is ‘targeting’ by offering its services to individuals in the EU and its processing will fallwithin the scope of Art 3(2).
事例 21：トルコの会社が、英語、フランス語、スペイン語を話すツアーガイド付きの中東での文化的なパッケージ旅行を提供している。このパッケージ旅行は、この 3 つの言語で利用可能な Web サイトを通じて特に宣伝及び提供され、オンライン予約及びユーロと英ポンドでの支払いが可能である。マーケティング及び商業的展望の目的で、同社は、チュニジアに拠点を有するデータ処理者、コールセンターに対し、過去の旅行に関するフィード
バックを得、また、新しいオファーや目的地について知らせるため、アイルランド、フランス、ベルギー及びスペインの以前の顧客に連絡するよう指示する。 管理者は、EU 域内の個人にそのサービスを提供することで「ターゲティング」を行っており、その取扱いは
第 3 条第 2 項の範囲に含まれる。
The processing activities of the Tunisian processor, which promotes the controllers’ services towards
individuals in the EU, is also related to the offer of services by the controller and therefore falls within
the scope of Art 3(2). Furthermore, in this specific case, the Tunisian processor actively takes part inprocessing activities related to carrying out the targeting criteria, by offering services on behalf of, andon instruction from, the Turkish controller.
EU 域内の個人向けの管理者のサービスを促進するチュニジアの処理者の取扱活動は、その管理者によるサービスの提供にも関連しており、したがって第 3 条第 2 項の範囲に含まれる。さらに、この特定のケースでは、チュニジアの処理者は、トルコの管理者に代わって、また、トルコの管理者からの指示に基づきサービスを提供することにより、標的基準の実行に関連する取扱活動に積極的に関与している。
e) Interaction with other GDPR provisions and other legislationse) 他の GDPR 条項及び他の法律との相互作用
The EDPB will also further assess the interplay between the application of the territorial scope of the
GDPR as per Article 3 and the provisions on international data transfers as per Chapter V. Additional
guidance may be issued in this regard, should this be necessary.
EDPB は、第 3 条に定める GDPR の地理的範囲の適用と、第 5 章の国際データ移転の規定との相互作用についてもさらに評価する。必要な場合には、追加のガイダンスを発出する。

48

Controllers or processors not established in the EU will be required to comply with their own third
country national laws in relation to the processing of personal data. However, where such processing
relates to the targeting of individuals in the Union as per Article 3(2) the controller will, in addition to
being subject to its country’s national law, be required to comply with the GDPR. This would be thecase regardless of whether the processing is carried out in compliance with a legal obligation in thethird country or simply as a matter of choice by the controller.
EU 域内に拠点のない管理者又は処理者は、個人データの取扱いに関連する第三国の国内法を遵守する必要がある。しかし、その取扱いが EU 域内の個人のターゲティングに関連している場合、第 3 条第 2 項により、その管理者は、自国の国内法の対象とされることに加え、GDPR を遵守する必要がある。これは、その取扱いが第三国の法的義務に従って行われるか、又は単に管理者の選択の問題かにかかわらず当てはまる。

3 PROCESSING IN A PLACE WHERE MEMBER STATE LAW APPLIES BY
VIRTUE OF PUBLIC INTERNATIONAL LAW
3 国際公法の効力により加盟国の国内法が適用される場所での取扱い
Article 3(3) provides that “[t]his Regulation applies to the processing of personal data by a controller
not established in the Union, but in a place where Member State law applies by virtue of public
international law”. This provision is expanded upon in Recital 25 which states that “[w]here Member
State law applies by virtue of public international law, this Regulation should also apply to a controller
not established in the Union, such as in a Member State's diplomatic mission or consular post.”
第 3 条第 3 項は次のように規定している。「本規則は、EU 域内に拠点のない管理者によるものであっても、国際公法の効力により加盟国の国内法の適用のある場所において行われる個人データの取扱いに適用される」。この規定は前文第 25 項において、「国際法の効力によって加盟国の国内法が適用される場合、EU 域内に拠点のない管理者、例えば加盟国の大使館又は領事館などに対しても、本規則が適用されなければならない。」と拡大されている。
The EDPB therefore considers that the GDPR applies to personal data processing carried out by EU
Member States’ embassies and consulates located outside the EU as such processing falls within thescope of the GDPR by virtue of Article 3(3).. A Member State’s diplomatic or consular post, as a data
controller or processor, would then be subject to all relevant provisions of the GDPR, including whenit comes to the rights of the data subject, the general obligations related to controller and processor
and the transfers of personal data to third countries or international organisations.
したがって、EU 域外に所在する EU 加盟国の大使館及び領事館が行う個人データの取扱い
は、その取扱いが第 3 条第 3 項により GDPR の適用範囲内であり、GDPR の適用を受ける
49

と EDPB は考える。よって、加盟国の大使館又は領事館は、データ管理者又は処理者として、データ主体の権利、管理者及び処理者に関する一般的な義務、並びに第三国又は国際組織への個人データの移転を含め、関連するすべての GDPR の規定の適用を受けることになる。
Example 22: The Dutch consulate in Kingston, Jamaica, opens an online application process for the
recruitment of local staff in order to support its administration.
事例 22：ジャマイカのキングストンにあるオランダ領事館は管理をサポートするために現地スタッフの採用においてオンラインの応募プロセスを設けている。
While the Dutch consulate in Kingston, Jamaica, is not established in the Union, the fact that it is aconsular post of an EU country where Member State law applies by virtue of public international law
renders the GDPR applicable to its processing of personal data, as per Article 3(3).
ジャマイカのキングストンにあるオランダ領事館は EU 域内に拠点を有していないが、国際公法の効力により加盟国の国内法が適用される EU 加盟国の領事館であるという事実によって、第 3 条第 3 項に基づき、その個人データの取扱いに GDPR が適用される。
Example 23: A German cruise ship travelling in international waters is processing data of the guests
on board for the purpose of tailoring the in-cruise entertainment offer.
事例 23：国際水域を移動するドイツのクルーズ船はクルーズ内でのエンターテイメントの提供を調整することを目的として、乗船客のデータを取り扱っている。
While the ship is located outside the Union, in international waters, the fact that it is Germanregisteredcruise ship means that by virtue of public international law the GDPR shall be applicable to its
processing of personal data, as per Article 3(3).
船は EU 域外の国際水域にあるが、ドイツで登録されているクルーズ船であることは、第 3
条第 3 項に基づき、国際公法の効力により、その個人データの取扱いに対して GDPR が適用されることを意味する。
Though not related to the application of Article 3(3), a different situation is the one where, by virtue
of international law, certain entities, bodies or organisations established in the Union benefit fromprivileges and immunities such as those laid down in the Vienna Convention on Diplomatic Relationsof 196127, the Vienna Convention on Consular Relations of 1963 or headquarter agreements concluded
between international organisations and their host countries in the Union. In this regard, the EDPB
recalls that the application of the GDPR is without prejudice to the provisions of international law,
27 http://legal.un.org/ilc/texts/instruments/english/conventions/9_1_1961.pdf

50such as the ones governing the privileges and immunities of non-EU diplomatic missions and consular
posts, as well as international organisations. At the same time, it is important to recall that any
controller or processor that falls within the scope of the GDPR for a given processing activity and thatexchanges personal data with such entities, bodies and organisations have to comply with the GDPR,
including where applicable its rules on transfers to third countries or international organisations.
第 3 条第 3 項の適用とは関係しないが、別の状況として、国際法により、EU 域内に拠点を有する特定の主体、団体又は組織が、1961 年の外交関係に関するウィーン条約 27、1963 年の領事関係に関するウィーン条約又は国際機関と EU 域内のホスト国との間で締結された本部協定で定められた特権や免除の恩恵を受けるという状況がある。この点について、
EDPB は、GDPR の適用が、非 EU 外交使節団及び領事ポスト並びに国際組織の特権及び免責を定める規定など、国際法の規定を損なうものではないことを想起する。同時に、特定の取扱活動について GDPR の範囲に含まれ、これらの主体、団体、組織と個人データを交換する管理者又は処理者は、該当する場合には第三国又は国際機関への移転に関する規則
を含め、GDPR を遵守する必要があることを想起する。

4 REPRESENTATIVE OF CONTROLLERS OR PROCESSORS NOT ESTABLISHEDIN THE UNION
4 EU 域内に拠点がない管理者又は処理者の代理人
Data controllers or processors subject to the GDPR as per its Article 3(2) are under the obligation to
designate a representative in the Union. A controller or processor not established in the Union but
subject to the GDPR failing to designate a representative in the Union would therefore be in breach of
the Regulation.
第 3 条第 2 項に基づき GDPR の適用を受けるデータ管理者又は処理者は EU 域内における代理人を指定する義務を負う。したがって、EU 域内に拠点を有さないが GDPR の適用を受ける管理者又は処理者が EU 域内における代理人を指定しないことは同規則違反になる。
This provision is not entirely new since Directive 95/46/EC already provided for a similar obligation.
Under the Directive, this provision concerned controllers not established on Community territory that,for purposes of processing personal data, made use of equipment, automated or otherwise, situated on
the territory of a Member State. The GDPR imposes an obligation to designate a representative in theUnion to any controller or processor falling under the scope of Article 3(2), unless they meet theexemption criteria as per Article 27(2). In order to facilitate the application of this specific provision,
the EDPB deems it necessary to provide further guidance on the designation process, establishment
obligations and responsibilities of the representative in the Union as per Article 27.

51

この規定は、指令 95/46/EC において既に類似の義務が規定されていたため、完全に新しいものではない。同指令において、この規定は、個人データを取り扱う目的で加盟国の領域にある自動化されている機器などを利用している共同体内に拠点を有さない管理者に関するものであった。GDPR は、第 3 条第 2 項の適用範囲内である管理者又は処理者に対し、当該管理者又は処理者が第 27 条第 2 項に定める除外基準に該当しない限り、EU 域内における代理人を指定する義務を課している。この特定の規定の適用を促すために、EDPB は、
第 27 条における指定プロセス、拠点の義務及び EU 域内における代理人の責任に関するガ
イダンスをさらに提供する必要があると考える。
It is worth noting that a controller or processor not established in the Union who has designated inwriting a representative in the Union, in accordance with article 27 of the GDPR, does not fall within
the scope of article 3(1), meaning that the presence of the representative within the Union does notconstitute an “establishment” of a controller or processor by virtue of article 3(1).
EU 域内に拠点のない管理者又は処理者が GDPR 第 27 条に従って EU 域内における代理人
を書面で指定した場合、これにより第 3 条第 1 項に該当するのではないことには留意すべきである。つまり、EU 域内における代理人は、第 3 条 1 項における管理者又は処理者の拠点にはならない。
a) Designation of a representativea) 代理人の指定
Recital 80 clarifies that “[t]he representative should be explicitly designated by a written mandate of
the controller or of the processor to act on its behalf with regard to its obligations under thisRegulation. The designation of such a representative does not affect the responsibility or liability of
the controller or of the processor under this Regulation. Such a representative should perform its tasks
according to the mandate received from the controller or processor, including cooperating with thecompetent supervisory authorities with regard to any action taken to ensure compliance with thisRegulation.”
前文第 80 項は次のとおり明示している。「代理人は、本規則に基づく管理者又は処理者の義務に関し、それらの者の代わりに行動することの管理者又は処理者の書面による委任によって、明示的に指定されなければならない。そのような代理人の指定は、本規則に基づく管理者及び処理者の義務又は法的責任に影響を与えることはない。そのような代理人は、
本規則の遵守を確保するために行われる全ての行為に関する職務権限をもつ監督機関との協力を含め、管理者又は処理者から受けた委任に従って、その職務を遂行しなければなら
ない。」

52

The written mandate referred to in Recital 80 shall therefore govern the relations and obligations
between the representative in the Union and the data controller or processor established outside theUnion, while not affecting the responsibility or liability of the controller or processor. The
representative in the Union may be a natural or a legal person established in the Union able to represent
a data controller or processor established outside the Union with regard to their respective obligations
under the GDPR.
したがって、前文第 80 項で言及されている書面による委任は、EU 域内における代理人とEU 域外に拠点を有するデータ管理者又は処理者との間の関係及び義務を規律する。他方で、当該書面による委任は、管理者又は処理者の義務又は法的責任に影響を与えることはない。EU 域内における代理人には、GDPR における管理者又は処理者の個々の義務に関して EU 域外に拠点を有するデータ管理者又は処理者を代理することができ、EU 域内にいる
自然人又は法人がなることができる。
In practice, the function of representative in the Union can be exercised based on a service contractconcluded with an individual or an organisation, and can therefore be assumed by a wide range ofcommercial and non-commercial entities, such as law firms, consultancies, private companies, etc…
provided that such entities are established in the Union. One representative can also act on behalf ofseveral non-EU controllers and processors.
実務において、EU 域内における代理人の機能は個人又は組織と締結した業務契約に基づいて果たすことができ、したがって、法律事務所、コンサルタント企業、民間企業などの幅広い営利組織及び非営利組織が、EU 域内に設けられていることを条件に、かかる機能を担うことができる。また、1 人の代理人は EU 域外の複数の管理者及び処理者の代理人になることができる。
When the function of representative is assumed by a company or any other type of organisation, it isrecommended that a single individual be assigned as a lead contact and person “in charge” for eachcontroller or processor represented. It would generally also be useful to specify these points in theservice contract.
企業その他の種類の組織が代理人の機能を担う場合、1 名の個人を被代理人である各管理者又は処理者について「担当する」主要な連絡先及び担当者として任命することが推奨されている。また、これらの点を業務委託契約において明示することも一般的に有益である。
In line with the GDPR, the EDPB confirms that, when several processing activities of a controller orprocessor fall within the scope of Article 3(2) GDPR (and none of the exceptions of Article 27(2)GDPR apply), that controller or processor is not expected to designate several representatives for eachseparate processing activity falling within the scope of article 3(2).The EDPB does not consider the53

function of representative in the Union as compatible with the role of an external data protection
officer (“DPO”) which would be established in the Union. Article 38(3) establishes some basic
guarantees to help ensure that DPOs are able to perform their tasks with a sufficient degree of
autonomy within their organisation. In particular, controllers or processors are required to ensure thatthe DPO “does not receive any instructions regarding the exercise of [his or her] tasks”. Recital 97
adds that DPOs, “whether or not they are an employee of the controller, should be in a position to
perform their duties and tasks in an independent manner”28. Such requirement for a sufficient degreeof autonomy and independence of a data protection officer does not appear to be compatible with thefunction of representative in the Union. The representative is indeed subject to a mandate by acontroller or processor and will be acting on its behalf and therefore under its direct instruction29. The
representative is mandated by the controller or processor it represents, and therefore acting on its
behalf in exercising its task, and such a role cannot be compatible with the carrying out of duties andtasks of the data protection officer in an independent manner.
GDPR に沿って、EDPB は、ある管理者又は処理者のいくつかの取扱活動が GDPR 第 3 条第2 項の範囲に含まれる場合（かつ GDPR 第 27 条第 2 項の例外が適用されない場合）、その管理者又は処理者は、第 3 条第 2 項の範囲に含まれる個々の取扱活動ごとに複数の代理人を指定することは期待されていないことを確認する。EDPB は、EU 域内における代理人の機能が EU 域内に設けられた外部のデータ保護オフィサー（以下「DPO」）の役割と両立するとは考えていない。第 38 条第 3 項は DPO が組織内で十分な自律性をもって職務を遂行できることを確保することに資する基本的な保証を定めている。特に、管理者又は処理者はDPO が「その職務の遂行に関し、いかなる指示も受けないこと」を確保しなければならな
い。さらに前文第 97 項では、DPO は、「管理者の従業員であるか否かを問わず、独立の態様でその義務及び職務を遂行するための地位を有するものとしなければならない」と規定している 28。このようなデータ保護オフィサーの十分な自律性及び独立性に関する要件は、
EU 域内における代理人の機能とは、両立しないように思える。代理人は、まさに管理者又は処理者による委任を受けその直接的な指示の下で管理者又は処理者の代わりに行為をする 29。代理人は、代理する管理者又は処理者によって委任されており、そのため、自己のタスクを実行するに当たりその代理人として行動し、その機能は、独立した方法でデータ保護オフィサーの義務及び職務を実行することと両立できない。

28 WP29 Guidelines on Data Protection Officers (‘DPOs’), WP 243 rev.01- endorsed by the EDPB.

EDPB により承認された第 29 条作業部会 データ保護オフィサー（DPO）に関するガイドライン、WP243
rev.0129 An external DPO also acting as representative in the Union could not for example be in a situation where he isinstructed, as a representative, to communicate to a data subject a decision or measure taken by the controller orprocessor which he or she, as a DPO, had deemed uncompliant with the provisions of the GDPR and advised against.
EU 域内の代理人でもある外部の DPO は、例えば管理者又は処理者による決定又は措置で、DPO として、
GDPR の規定に違反していると自らみなし、取り止めるようアドバイスをしたものを、代理人として、データ主体に伝えるよう指示されるという状況に置かれてはならない。

54

Furthermore, and to complement its interpretation, the EDPB recalls the position already taken by the
WP29 stressing that “a conflict of interests may also arise for example if an external DPO is asked torepresent the controller or processor before the Courts in cases involving data protection issues”30.
さらに、その解釈の補足として、「例えば、外部の DPO がデータ保護の問題が関わる事案

について裁判所で管理者又は処理者を代理するよう要求された場合、利益相反が生じうる」と強調する第 29 条作業部会の見解 30 を EDPB は思い起こす。
Similarly, given the possible conflict of obligation and interests in cases of enforcement proceedings,
the EDPB does not consider the function of a data controller representative in the Union as compatible
with the role of data processor for that same data controller in particular when it comes to compliancewith their respective responsibilities and compliance.
同様に、執行手続きにおいて義務及び利益の相反が生じうることを前提とすると、EDPB
は、特に、個別の責任及び遵守についての遵守については、EU 域内におけるデータ管理者の代理人の機能が、当該データ管理者に対するデータ処理者の役割と両立するとは考えていない。
While the GDPR does not impose any obligation on the data controller or the representative itself tonotify the designation of the latter to a supervisory authority, the EDPB recalls that, in accordancewith Articles 13(1)a and 14(1)a, as part of their information obligations, controllers shall provide data
subjects information as to the identity of their representative in the Union. This information shall for
example be included in the [privacy notice and] upfront information provided to data subjects at the
moment of data collection. A controller not established in the Union but falling under Article 3(2) andfailing to inform data subjects who are in the Union of the identity of its representative would be inbreach of its transparency obligations as per the GDPR. Such information should furthermore be easily
accessible to supervisory authorities in order to facilitate the establishment of a contact for cooperationneeds.
GDPR は代理人を指定したことを監督機関に通知する義務をデータ管理者又は当該代理人自身に対して何ら課していないが、EDPB は、第 13 条第 1 項（a）及び第 14 条第 1 項（a）
に従って、情報を提供する義務の一環として、管理者はデータ主体に対し EU 域内における自己の代理人を特定する情報を提供しなければならないことを思い起こす。この情報は、
例えば、データ収集時にデータ主体に提供される[プライバシーノーティス及び]事前情報に含めなければならない。EU 域内に拠点を有していないが第 3 条第 2 項に該当する管理者

30 WP29 Guidelines on Data Protection Officers (‘DPOs’), WP 243 rev.01 - endorsed by the EDPB.

EDPB により承認された第 29 条作業部会 データ保護オフィサー（DPO）に関するガイドライン、WP243
rev.01

55

が EU 域内のデータ主体に対し自己の代理人を特定する情報を提供しないことは GDPR における透明性の義務に対する違反になる。さらに、かかる情報は協力が必要な時の連絡を確立することを促進するために監督機関が簡単にアクセスできるものでなければならない。
Example 24: The website referred to in example 12, based and managed in Turkey, offers services forthe creation, edition, printing and shipping of personalised family photo albums. The website isavailable in English, French, Dutch and German and payments can be made in Euros or Sterling. The
website indicates that photo albums can only be delivered by post mail in the France, Benelux
countries and Germany. This website being subject to the GDPR, as per its Article 3(2)(a), the data
controller must designate a representative in the Union.
事例 24：事例 12 で言及しているトルコを本拠地としトルコで管理されている Web サイト
が、個々にカスタマイズした家族写真アルバムを作成、編集、印刷、出荷するサービスを提供している。この Web サイトは英語、フランス語、オランダ語、ドイツ語で利用可能であり、支払いはユーロ又はポンドでできる。写真アルバムは郵送で英国、フランス、ベネルクス諸国、ドイツのみに配送できると Web サイトに記載されている。この Web サイトは
第 3 条第 2 項（a）に基づき GDPR の適用を受けるため、データ管理者は EU 域内における代理人を指定しなければならない。
The representative must be established in one of the Member States where the service offered isavailable, in this case either in France, Belgium, Netherlands, Luxembourg or Germany. The nameand contact details of the data controller and its representative in the Union must be part of theinformation made available online to data subjects once they start using the service by creating theirphoto album. It must also appear in the website general privacy notice.
代理人はサービスを利用できる加盟国のいずれか、この事例ではフランス、ベルギー、オランダ、ルクセンブルク、ドイツのいずれか 1 か国に設けなければならない。データ管理者及びその EU 域内の代理人の名称及び連絡先は、データ主体が写真アルバムを作成する
ことにより当該サービスの利用を開始した時に当該データ主体がオンライン上でアクセスできる状態でなければならない。また、Web サイト上の一般的なプライバシーノーティスの中にもデータ管理者の名称及び連絡先を記載しなければならない。
b) Exemptions from the designation obligation31b) 指定義務の免除 31

31 Part of the criteria and interpretation laid down in G29 WP243 rev.1 (Data Protection Officer) - endorsed by the

EDPB can be used as a basis for the exemptions to the designation obligation.
EDPB により承認された第 29 条作業部会の WP243 rev.1（データ保護オフィサー）における基準及び解釈の一部は指定義務を免除する根拠として利用することができる。

56

While the application of Article 3(2) triggers the obligation to designate a representative in the Union
for controllers or processors established outside the Union, Article 27(2) foresees derogation from the
mandatory designation of a representative in the Union, in two distinct cases:
第 3 条第 2 項の適用により、EU 域内における代理人を指定する義務が EU 域外に拠点を有する管理者又は処理者に生じるが、第 27 条第 2 項は 2 つの具体的な場合において EU 域内
における代理人の指定義務の例外を見込んでいる。
• processing is “occasional, does not include, on a large scale, processing of special categoriesof data as referred to in Article 9(1) or processing of personal data relating to criminal
convictions and offences referred to in Article 10”, and such processing “is unlikely to result ina risk to the rights and freedoms of natural persons, taking into account the nature, context,
scope and purposes of the processing”.
• 取扱いが「一時的なものであり、かつ、第 9 条第 1 項に規定する特別な種類のデー
タの取扱い又は第 10 条に規定する有罪判決及び犯罪行為と関連する個人データの取扱いを大量に含まず」、かつ、「その取扱いの性質、過程、範囲及び目的を考慮に入れた上で、自然人の権利及び自由に対するリスクが生じる可能性が低い」場合。
In line with positions taken previously by the Article 29 Working Party, the EPDB considers thata processing activity can only be considered as “occasional” if it is not carried out regularly, andoccurs outside the regular course of business or activity of the controller or processor32.
EPDB は、第 29 条作業部会が過去において採った立場に沿って、取扱活動は、それが定期的に実行されない場合にのみ「偶発的」と見なされ、管理者又は処理者の通常の事業又は活動外で発生すると考える 32。
Furthermore, while the GDPR does not define what constitutes large-scale processing, the WP29
has previously recommended in its guidelines WP243 on data protection officers (DPOs) that thefollowing factors, in particular, be considered when determining whether the processing is carriedout on a large scale: the number of data subjects concerned - either as a specific number or as aproportion of the relevant population; the volume of data and/or the range of different data items
being processed; the duration, or permanence, of the data processing activity; the geographicalextent of the processing activity33.
32 WP29 position paper on the derogations from the obligation to maintain records of processing activities pursuant to

Article 30(5) GDPR.
第 29 条作業部会の、第 30 条第 5 項による取扱活動の記録を保持する義務の例外についてのポジションペーパー。
33 WP29 guidelines on data protections officers (DPOs), adopted on 13th December 2016, as last revised on 5th April
2017, WP 243 rev.01 - endorsed by the EDPB.

57

さらに、GDPR は何が大量の取扱いを構成するかを定義していないが、第 29 条作業部
会は以前にデータ保護オフィサー（DPO）に関するガイドライン（WP243）において、大量の取扱いが行われているか否かを判断する時に、特に次の要因を考慮すべきと勧告している。それはすなわち、具体的な数又は関連する集団における割合として示される関連するデータ主体の人数、取り扱われているデータの量及び／又は様々なデー
タ項目の範囲、データ取扱活動の期間又は永続性、また、取扱活動の地理的範囲である 33。
Finally, the EDPB highlights that the exemption from the designation obligation as per Article 27
refers to processing “unlikely to result in a risk to the rights and freedoms of natural persons”34,
thus not limiting the exemption to processing unlikely to result in a high risk to the rights andfreedoms of data subjects. In line with Recital 75, when assessing the risk to the rights andfreedom of data subjects, considerations should be given to both the likelihood and severity of therisk.
最後に、EDPB は、第 27 条に定める指定義務の免除は、「自然人の権利及び自由に対するリスクをもたらす可能性が低い」34 取扱いを指し、したがって、データ主体の権利
及び自由に高いリスクをもたらす可能性が低い取扱いへの免除を制限しないことを強調する。前文第 75 項に沿って、データ主体の権利及び自由に対するリスクを評価する
場合、リスクの蓋然性及び深刻度の双方が考慮されるべきである。
Or又は•processing is carried out “by a public authority or body”.

•

取扱いが「公的機関又は公的組織」によって行われている場合。

The qualification as a “public authority or body” for an entity established outside the Union willneed to be assessed by supervisory authorities in concreto and on a case by case basis35. The
EDPB により承認された、第 29 条作業部会のデータ保護オフィサー（DPO）に関するガイドライン（採択：2016 年 12 月 13 日、最終改訂日：2017 年 4 月 5 日、WP243 rev.01
34 Article 27(2)(a) GDPR.
GDPR 第 27 条第 2 項(a)35 The GDPR does not define what constitutes a ‘public authority or body’. The EDPB considers that such a notion is
to be determined under national law. Accordingly, public authorities and bodies include national, regional and local
authorities, but the concept, under the applicable national laws, typically also includes a range of other bodies
governed by public law.
GDPR は、何が「公的機関又は公的組織」を構成するかを定義していない。EDPB は、当該概念は EU 加盟国の法律のもとで決定されるべきであると考える。したがって、公的機関又は公的組織は、国家の、地方

58

EDPB notes that, given the nature of their tasks and missions, cases where a public authority or
body in a third country would be offering goods or services to data subject in the Union, or would
monitor their behaviour taking place within the Union, are likely to be limited.
EU 域外に拠点のある主体の「公的機関又は組織」としての資格は、具体的に、ケース
バイケースで監督機関によって評価される必要がある 35。EDPB は、職務及び使命の性
質をふまえると、第三国の公的機関又は組織が EU 域内のデータ主体に商品又はサービスを提供する場合、又は EU 域内で行われる行動を監視する場合は、限定される可能性があることを留意する。
c) Establishment in one of the Member States where the data subjects whose personal data areprocessedc) 自己の個人データが取り扱われているデータ主体がいる加盟国のいずれか 1 つにおける拠点
Article 27(3) foresees that “the representative shall be established in one of the Member States where
the data subjects, whose personal data are processed in relation to the offering of goods or services tothem, or whose behaviour is monitored, are”. In cases where a significant proportion of data subjects
whose personal data are processed are located in one particular Member State, the EDPB recommends,
as a good practice, that the representative is established in that same Member State. However, therepresentative must remain easily accessible for data subjects in Member States where it is notestablished and where the services or goods are being offered or where the behaviour is being
monitored.
第 27 条第 3 項は「代理人は、データ主体に対する物品若しくはサービスの提供と関連してその個人データが取扱われるデータ主体、又は、その行動が監視されるデータ主体のいる
加盟国中の 1 つに設けられる」ことを想定している。自己の個人データが取り扱われるデータ主体の大部分が 1 つの特定の加盟国にいる場合、EDPB は、望ましい慣行として、代理人を当該加盟国に設けることを勧告している。ただし、代理人が設けられておらず、サービス又は物品が提供されているか行動が監視されている加盟国のデータ主体が代理人に簡単にアクセスできる状態を維持しなければならない。
The EDPB confirms that the criterion for the establishment of the representative in the Union is thelocation of data subjects whose personal data are being processed. The place of processing, even by aprocessor established in another Member State, is here not a relevant factor for determining thelocation of the establishment of the representative.

の、及び地域の機関を含むが、EU 加盟国の適用される法の下で、特に公法によって規律される様々なその他の組織も含む。

59

EDPB は、EU 域内における代理人を設ける基準は自己の個人データが取り扱われているデータ主体のいる場所であることを確認している。取扱いの場所は、その取扱いが他の加盟
国に拠点を有する処理者によって行われている場合であっても、代理人を設ける場所を決定する関連要因ではない。
Example 25: An Indian pharmaceutical company, with neither business presence nor establishment in
the Union and subject to the GDPR as per Article 3(2), sponsors clinical trials carried out by
investigators (hospitals) in Belgium, Luxembourg and the Netherlands. The majority of patients
participating to the clinical trials are situated in Belgium.
事例 25：EU 域内に事業所や拠点を有しておらず、第 3 条第 2 項に基づき GDPR の適用を受けているインドの製薬会社が、ベルギー、ルクセンブルグ、オランダの治験責任者（病院）が行っている治験に資金援助している。治験に参加している患者の過半数はベルギーに所在している。
The Indian pharmaceutical company, as a data controller, shall designate a representative in the Union
established in one of the three Member States where patients, as data subjects, are participating in theclinical trial (Belgium, Luxembourg or the Netherlands). Since most patients are Belgian residents, it
is recommended that the representative is established in Belgium. Should this be the case, therepresentative in Belgium should however be easily accessible to data subjects and supervisory
authorities in the Netherlands and Luxembourg.
このインドの製薬会社はデータ管理者として、データ主体である患者が治験に参加している 3 つの加盟国（ベルギー、ルクセンブルグ、オランダ）のいずれか 1 か国に EU 域内における代理人を指定しなければならない。大半の患者がベルギーに居住しているため、ベルギーに代理人を設けることが推奨される。ただし、この場合、オランダとルクセンブルグにいるデータ主体及び監督機関がベルギーの代理人に簡単にアクセスできる状態でなければならない。
In this specific case, the representative in the Union could be the legal representative of the sponsor in
the Union, as per Article 74 of Regulation (EU) 536/2014 on clinical trials, provided that it does not
act as a data processor on behalf of the clinical trial sponsor, that it is established in one of the threeMember States, and that both functions are governed by and exercised in compliance with each legal
framework.
この具体的な事例において EU 域内における代理人は、治験に関する規則（EU）536/2014
第 74 条に基づく EU 域内の資金援助者の法定代理人とすることもできる。ただし、当該代理人は治験スポンサーの代わりにデータ処理者として行動せず、3 つの加盟国のいずれか 160

つに設けられ、かつ、いずれの機能もそれぞれの法律上の枠組みを遵守した上で規律され実行されなければならない。

d) Obligations and responsibilities of the representatived) 代理人の義務及び責任
The representative in the Union acts on behalf of the controller or processor it represents with regard
to the controller or processor’s obligations under the GDPR. This implies notably the obligations
relating to the exercise of data subject rights, and in this regard and as already stated, the identity andcontact details of the representative must be provided to data subjects in accordance with articles 13
and 14. While not itself responsible for complying with data subject rights, the representative must
facilitate the communication between data subjects and the controller or processor represented, inorder to make the exercise of data subjects’ rights are effective.
EU 域内における代理人は被代理人である管理者又は処理者の GDPR 上の義務に関して、当該管理者又は処理者の代わりに行為をする。これは特にデータ主体の権利の行使に関する義務を指しており、この点において先述のとおり、第 13 条及び第 14 条に従って、代理人を特定する情報及び連絡先をデータ主体に提供しなければならない。当該代理人はデー
タ主体の権利の遵守について責任を負わないが、データ主体の権利の行使を実効的なものにするために、データ主体と被代理人である管理者又は処理者との間の連絡を促進しなけ
ればならない。
As per Article 30, the controller or processor’s representative shall in particular maintain a record ofprocessing activities under the responsibility of the controller or processor. The EDPB considers that,while the maintenance of this record is an obligation imposed on both the controller or processer andthe representative,, the controller or processor not established in the Union is responsible for the
primary content and update of the record and must simultaneously provide its representative with all
accurate and updated information so that the record can also be kept and made available by the
representative at all time At the same time, it is the representative´s own responsibility to be able toprovide it in line with Article 27, e.g. when being addressed by a supervisory authority according toArt. 27(4).
第 30 条に基づき、管理者又は処理者の代理人は、特に取扱活動の記録を当該管理者又は処理者の責任において保管しなければならない。EDPB は、かかる記録の保管は管理者又は処理者と代理人の双方に課された義務であるが、EU 域内に拠点がない管理者又は処理者
は、当該記録の主要な内容及び更新に責任をもち、同時に、当該記録が代理人によっても保管されかつ代理人が常に利用できるよう、すべての正確かつ最新の情報を代理人に対して提供しなければならないと考える。それと同時に、例えば第 27 条第 4 項による監督機関
61

への対応の場合など、第 27 条に沿ってそれを提供できるようにすることは代理人の自己の責任である。
As clarified by recital 80, the representative should also perform its tasks according to the mandate
received from the controller or processor, including cooperating with the competent supervisory
authorities with regard to any action taken to ensure compliance with this Regulation. In practice, thismeans that a supervisory authority would contact the representative in connection with any matter
relating to the compliance obligations of a controller or processor established outside the Union, andthe representative shall be able to facilitate any informational or procedural exchange between arequesting supervisory authority and a controller or processor established outside the Union.
前文第 80 項が明示しているとおり、そのような代理人は、本規則の遵守を確保するために行われる全ての行為に関する職務権限をもつ監督機関との協力を含め、管理者又は処理者から受けた委任に従って、その職務を遂行しなければならない。実務において、これは、EU 域外に拠点を有する管理者又は処理者の法令遵守義務に関連するあらゆる事項について監督機関が代理人に連絡をすることがあることを意味し、代理人は要求する監督機関とEU 域外に拠点を有する管理者又は処理者との間の情報交換又は手続きを促進できなければならない。
With the help of a team if necessary, the representative in the Union must therefore be in a position toefficiently communicate with data subjects and cooperate with the supervisory authorities concerned.
This means that this communication should in principle take place in the language or languages usedby the supervisory authorities and the data subjects concerned or, should this result in a
disproportionate effort, that other means and techniques shall be used by the representative in orderto ensure the effectiveness of communication. The availability of a representative is therefore essential
in order to ensure that data subjects and supervisory authorities will be able to establish contact easily
with the non-EU controller or processor.
したがって、必要に応じてチームの助けを得て、EU 域内における代理人は、データ主体と効率的に連絡をし、関係監督機関と協力できる立場でなければならない。これは、原則として関係監督機関及び関係するデータ主体が使用する言語で連絡をすべきであること、又は、これが過度の労力を生じさせるものであれば、連絡が効果的に行われることを確保するために代理人によってその他の方法又は技術が使われるべきことを意味する。したがって、データ主体及び監督機関が EU 域外の管理者又は処理者と簡単に連絡ができることを確保するために、代理人を設けることは必要不可欠である。
In line with Recital 80 and Article 27(5), the designation of a representative in the Union does notaffect the responsibility and liability of the controller or of the processor under the GDPR and shall be62without prejudice to legal actions which could be initiated against the controller or the processor
themselves. The GDPR does not establish a substitutive liability of the representative in place of thecontroller or processor it represents in the Union.
前文第 80 項及び第 27 条第 5 項によれば、EU 域内における代理人を指定することは、管理者又は処理者の GDPR 上の義務及び法的責任に影響を及ぼさず、管理者又は処理者を相手方として提起される訴訟行為を妨げるものではない。GDPR は、EU 域内で自己が代理する管理者又は処理者に代わっての代理人の代替責任を規定していない。
It should however be noted that the concept of the representative was introduced precisely with theaim of facilitating the liaison with and ensuring effective enforcement of the GDPR against controllers
or processors that fall under Article 3(2) of the GDPR. To this end, it was the intention to enablesupervisory authorities to initiate enforcement proceedings through the representative designated by
the controllers or processors not established in the Union. This includes the possibility for supervisory
authorities to address corrective measures or administrative fines and penalties imposed on thecontroller or processor not established in the Union to the representative, in accordance with articles
58(2) and 83 of the GDPR. The possibility to hold a representative directly liable is however limited
to its direct obligations referred to in articles 30 and article 58(1) a of the GDPR
ただし、代理人という概念は、GDPR 第 3 条第 2 項に該当する管理者又は処理者との連絡を促進し、また管理者又は処理者に対する GDPR の効率的な執行を確保することを明確な目標として導入された点に注目しなければならない。そのため、管理者又は処理者に対するものと同様に、監督機関が EU 域内に拠点のない管理者又は処理者によって指定された代理人を通じて執行手続きを始めることができるようにするという意図があった。これには、GDPR 第 58 条第 2 項及び第 83 条にしたがい、監督機関が EU 域内に拠点のない管理者
又は処理者に課された是正措置又は制裁金及び制裁を代理人に向ける可能性が含まれる。
もっとも、代理人に直接的に責任を負わせる可能性は、GDPR 第 30 条及び第 58 条第 1 項で規定された直接的な義務に限られる。
The EDPB furthermore highlights that article 50 of the GDPR notably aims at facilitating theenforcement of legislation in relation to third countries and international organisation, and that thedevelopment of further international cooperation mechanisms in this regard is currently being
considered.
EDPB は、さらに、GDPR の第 50 条が特に第三国及び国際組織に関連する法律の執行を促進することを目指しており、この点に関するさらなる国際協力メカニズムの進展が現在検討されていることを強調する。

63