資料２―３
民間部門が保有する個人データに対するガバメントアクセスに関する宣言（仮訳）

我々、オーストラリア、オーストリア、ベルギー、ブルガリア、カナダ、チリ、コロンビ
ア、コスタリカ、クロアチア、チェコ共和国、デンマーク、エストニア、フィンランド、フランス、ドイツ、ギリシャ、ハンガリー、アイスランド、アイルランド、イスラエル、イタ
リア、日本、韓国、ラトビア、リトアニア、ルクセンブルグ、メキシコ、オランダ、ニュージーランド、ノルウェー、ペルー、ポーランド、ポルトガル、ルーマニア、スロバキア共和国、スロベニア、スペイン、スウェーデン、スイス、トルコ、英国、米国並びに欧州連合の閣僚及び代表者は、2022 年 12 月 14 日から 15 日まで、スペインのグランカナリア島において、議長国のスペイン並びに副議長国のデンマーク、日本、トルコ、英国及び米国のリーダーシップの下、「信頼性のある、持続可能で、包摂的なデジタルの未来の構築による、長期的な復興及び経済成長の促進」をテーマに、デジタル経済政策委員会（CDEP）の閣僚会合を開催した。

共通の価値観に基づく正当なガバメントアクセス
我々は、民主主義と法の支配の堅持、プライバシー及びその他の人権と自由の保護、デジタル経済における信頼性のある自由なデータ流通の促進並びにグローバルで、開かれた、ア
クセス可能な、相互に接続された、相互運用性があり、信頼性が高く、かつ、安全なインターネットの維持への我々の共通のコミットメントを想起する。
我々は、グローバル経済のあらゆる分野でデジタル技術が利用されるようになり、現在進行中のデジタル・トランスフォーメーションが、個人データを含むより多くのデータを生み出していることを認識する。
我々はさらに、社会や経済が機能するに当たってのデータの中核的な役割と共に、国境を越えたデータの流通が国際貿易及びグローバルな通商並びに経済協力及び開発を支え、分野を越えたイノベーション及び研究開発に大きく貢献し、ビジネスの実施と経済及び社会の目標の進展のために必要であることを認識する。
我々は、プライバシー保護と個人データの国境を越えた流通に関する OECD ガイドラインに係る 1980 年の勧告（2013 年に最終改訂[OECD/LEGAL/0188]）（以下「OECD プライバシーガイドライン」という。）を、官民問わず個人データ保護のための基本的な共通の基準を提供し、民主的価値、法の支配、プライバシー及びその他の人権と自由の保護を堅持しつつ、個人データの国境を越えた流通を促進・円滑化するものとして想起する。
我々は、民主的価値、法の支配、プライバシー及びその他の人権と自由の保護を堅持しつつ、犯罪行為及び公の秩序と国家の安全に対する脅威を防止し、探知し及びこれらに対処することにより、国民の安全を保護するというすべての国における主権的義務と責任を認識する。
我々は、民間部門が保有する個人データへのガバメントアクセスが、これらの主権的義務と責任を果たすために不可欠なものとして国内の法的枠組みで認識されており、したがって法執行機関や国家安全保障当局が、これらのデータに合法的にアクセスする権限を付与されていることを認める。
我々は、民間部門が保有する個人データへのガバメントアクセスについて、いかなる事情によるものであっても、民主的価値や法の支配と矛盾し、無制限で不合理、恣意的で比例的ではないあらゆるアプローチを拒絶する。このようなアプローチは、プライバシー及びその他の人権と自由を侵害し、国際的な義務に違反し、信頼を損ない、データの流通に深刻な障害をもたらすことになり、結果、世界経済に損害をもたらすものである。対照的に、ガバメントアクセスに対する我々の国のアプローチは、民主的価値、プライバシー及びその他の人権と自由に対する保護措置、独立した司法を含む法の支配に従うものである。また、これらの保護は、これに関連して自らの責任を果たすに当たっての民間部門が醸成する信頼の促進にも寄与する。

1

我々は、法執行及び国家安全保障を理由とする OECD プライバシーガイドラインの正当な例外を考慮しつつ、そのような状況下で民間部門が保有する個人データにアクセスする際に我々の国が適用する保護に係る共通の理解に基づき、信頼を高めることの重要性を強調する。
我々は、この点に関して、我々の既存の実務と保護措置が、それぞれ同一ではないものの、プライバシー及びその他の人権と自由の保護への共通のコミットメントを反映した類似の原則に基づいていることを認識する。
我々は、法執行機関及び国家安全保障当局による、市場で入手可能な個人データの購入、公に入手可能な個人データへのアクセス及び自発的に開示される個人データの受領に当たって、プライバシーと表現の自由を保護し、その結果信頼を促進するために、OECD 加盟国における既存の共通の保護措置を見出すための追加的な作業と関与を求めるステークホルダーの声に留意する。
我々は、信頼性のある自由なデータ流通の促進のための取組みをより良く知らせるために、民間部門が保有する個人データへの法執行及び国家安全保障上のアクセスに対して実施中のプライバシー及びその他の人権と自由の保護について、志を同じくする民主主義国の間で共通の理解を構築するという我々の野心を再度表明する。

データの国境を越えた流通における信頼の促進
我々は、個人データの国際的な移転に際して、個人や企業に信頼をもたらす手段としての、信頼性のある自由なデータ流通へのコミットメントを再確認する。
我々は、以下の原則を、我々が共有する民主的価値と法の支配へのコミットメントの重要な表明であるとみなす。これは、我々の国と、法執行又は国家安全保障上の個人データへのアクセスが民主的価値及び法の支配と矛盾し、無制限で不合理、恣意的で比例的ではない、又は人権侵害に相当する他国とを区別するものである。
我々は、法的枠組みによりデータの国境を越えた流通が保護措置に従う必要がある場合には、我々の国が、それらの規則の適用において、データ移転先国におけるこれらの原則の効果的な実施を、データの国境を越えた流通の促進に向けて積極的に寄与するものとして考慮することを認識する。

民間部門が保有する個人データへのガバメントアクセスに関する原則
我々は、OECD 加盟国の既存の法と実務から導き出された共通点を反映するものとして、以下の共通の原則を宣言する。
これらの原則は、プライバシー及びその他の人権と自由を保護するために、互いに補完する。
民間部門又はデータが自国の領域内に存在しない場合において当該民間部門に政府へのデータ提供を義務付ける法的枠組みによる権限を国家が有するという状況を含め、政府が自国の法的枠組みに従ってそれぞれの領域内で法執行及び国家安全保障の目的を追求する場合に、民間部門が保有又は管理する個人データへ政府がアクセスし、これを処理すること（以下「ガバメントアクセス」という。）に適用される。
各国の法的枠組みに従って解釈され、求めるアクセスの類型など特定の文脈や状況に応じて、各国によって異なる態様で適用され得る。
以下の定義に照らして解釈されるべきである。
a) 「個人データ」とは、識別された又は識別可能な個人に関するすべての情報をいう。
b) ガバメントアクセスの「法的枠組み」とは、国内法、行政命令及び司法命令、行政規則、判例法その他の法的拘束力のある文書又は要件をいい、当該国で適用される国際法及び超国家法から生じる法的義務を含む。
c) 「民間部門」とは、個人並びにあらゆる非政府の営利及び非営利の組織をいう。

2

原則は以下のとおりである。

I.

法的根拠

民間部門が保有する個人データへのガバメントアクセスは、当該国の法的枠組みによってその根拠が定められ、また、規制される。この法的枠組みは、政府当局を拘束し、また、法の支配の下で活動する民主的に設立された機関によって採用され、実施される。この法的枠組みは、個人が悪用・濫用のリスクに対して十分な保証を得られるよう、ガバメントアクセ
スに関する目的、条件、制限及び保護措置を定める。

II.

正当な目的

ガバメントアクセスは、特定された正当な目的の追求を支援するものである。政府は、法の支配に従いつつ、当該目的のためだけにアクセスを求める。ガバメントアクセスは、正当な目的に照らして過剰ではない方法で、かつ、必要性、比例性、合理性という法的な基準及び悪用・濫用のリスクから保護するその他の基準に基づき、当該国の法的枠組みで規定され、解釈されるとおりに実施されるものである。
政府は、批判や反対意見を抑えたり、圧迫したりする目的のために、また、年齢、精神障害若しくは身体障害、民族性、先住民の地位、ジェンダーのアイデンティティー若しくは表現、性的志向、又は政治的若しくは宗教的所属を含むがこれらに限らない特性のみに基づいて特定の個人や集団に不利益を被らせる目的のために、個人データへのアクセスを求めない。

III.

承認

適用される基準、規則及び手続きに従ってアクセスが行われることを確保するため、ガバメントアクセスに対する事前承認（「承認」）の要件は、法的枠組みにおいて確立される。
これらの要件は、ガバメントアクセスの結果として生じるプライバシー及びその他の人権と自由への干渉の程度に見合うものである。これらの要件は、承認を求め、付与するための基準、従うべき手続き及び承認を付与する主体を規定する。
より厳格な承認要件は、より深刻な干渉の場合に設けているものであり、司法当局又は公平な非司法当局からの承認を求めることが含まれ得る。緊急事態における承認要件の例外措置は、法的枠組みにおいて規定されるとともに、正当化根拠、条件及び期間を含めて明確に定義される。
承認に係る判断は適切に文書化される。それらの判断は、客観的に、事実に基づいて特定された正当な目的を追求する場合において、かつ、承認要件が満たされていることを確認した上で、行われる。
承認が必要ない場合は、悪用・濫用から保護するために、アクセスに条件や制限を課す明確なルールや、効果的な監督など、法的枠組みで定められた他の保護措置が適用される。

IV.

データの取扱い

ガバメントアクセスを通じて取得した個人データは、権限を与えられた者のみが処理し、取り扱うことができる。このような処理及び取扱いは、プライバシー、セキュリティ、機密性及び完全性を維持するための物理的、技術的及び管理上の措置を講じることを含む、法的枠組みで規定された要件に従うものとする。これには、個人データが、合法的に処理されること、目的に照らし、また、データの機微性も踏まえて、法的枠組みで許容される限りにおいてのみ保持されること、そして、事情を考慮のうえ適切な範囲で正確かつ最新の状態に保たれることを確保するためのメカニズムも含まれる。
データの喪失、データへの不正若しくは偶発的なアクセス、又はデータの破壊、利用、変更若しくは開示を探知し、防止し、及び是正するために、また、そのような事例を監督機関に報告するために、内部統制が行われる。

V.

透明性3

個人がガバメントアクセスによるプライバシー及びその他の人権と自由への潜在的な影響を考慮することができるように、ガバメントアクセスに関する一般的な法的枠組みは、明確で、かつ、公衆にとって容易にアクセス可能なものである。
個人データに対するガバメントアクセスに関する透明性を提供するためのメカニズムが存在する。これらのメカニズムは、個人や公衆が情報を受ける利益と、国家安全保障又は法執行の活動に支障を及ぼす情報開示を防止する必要性とのバランスをとるものである。
これらのメカニズムには、政府の法的要件の遵守に関する監督機関の公開の報告や、政府の記録へのアクセスを要求するための手続などが含まれる。その他の措置には、例えば、政府による定期的な報告や、該当する場合の個人への通知が含まれる。
民間部門は、法的枠組みに従って、ガバメントアクセスに係る要請に関する統計報告を公表することが認められる。

VI.

監督

ガバメントアクセスが法的枠組みを遵守していることを確保するために、効果的かつ公平な監督のためのメカニズムが存在する。
監督は、組織内のコンプライアンス担当部門、裁判所、議会又は立法機関、独立した行政機関などの組織を通じて行われる。
各国の監督システムは、このような組織がそれぞれに付与された権限に従って活動することによって成り立っている。このような組織は、関連情報の入手と審査、調査又は照会の実施、監査の実施、法的枠組みの遵守と改善に関する政府機関への関与、法的枠組みの違反への対処などの権限を有する。また、このような組織は、政府機関の説明責任を確保するために法的枠組みの違反の報告を受け、それに対応するものであり、また、個人の苦情を受けて救済の任務を行使することが可能である
監督機関は、職務を遂行するに当たり、干渉されることなく、また、効果的に職務を遂行するための財政的、人的及び技術的資源を有するものである。監督機関は調査結果を文書化し、報告書を作成し、勧告を行い、それらは可能な限り一般に公開される。

VII.

救済

法的枠組みによって、個人に対して、国内の法的枠組みに対する違反を特定し、是正するための効果的な司法的・非司法的救済が提供される。
このような救済メカニズムにおいては、国家安全保障及び法執行の活動の機密保持の必要性が考慮される。これには、自分のデータに対してアクセスが行われたかどうか、又は違反が発生したかどうかを個人に通知することを制限することが含まれ得る。
利用可能な救済措置には、適用される条件に従って、アクセスの停止、不適切にアクセス又は保持されたデータの削除、データの完全性の回復及び違法な処理の停止が含まれる。また、状況によっては、個人が被った損害の補償も含まれ得る。

我々は、OECD による信頼性のある自由なデータ流通に関する取組みを歓迎し、各国がこの宣言を推進するに当たり OECD がこれを支援することを求める。

4