仮日本語訳

Guidelines 8/2022 on identifying a controller or processor's
lead supervisory authority
管理者又は処理者の主監督機関の特定に関するガイドライン 8/2022
Version 2.1
バージョン 2.1
Adopted on 28 March 2023
2023 年 3 月 28 日採択

本書面は、欧州データ保護会議(EDPB)により 2023 年 3 月 28 日に採択された “Guidelines
8/2022 on identifying a controller or processor's lead supervisory authority” を個人情報保護委員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。

Version history
バージョン履歴
Version 1.0
バージョン 1.0

10 October 2022
2022 年 10 月 10 日

Adoption of the Guidelines (updated version of theprevious guidelines WP244 rev.01 adopted by theWorking Party 29 and endorsed by the EDPB on 25
May 2018) for a targeted public consultation.
ターゲットを絞ったパブリック・コンサルテーションのためのガイドライン（第 29 条作業部会が採択し、2018
年 5 月 25 日に EDPB が承認した従前のガイドラ
イン WP244 (rev.01) の更新版）の採択。

Version 2.0
バージョン 2.0

28 March 2023
2023 年 3 月 28 日

Adoption of the Guidelines after public consultation
パブリック・コンサルテーション後のガイドラインの採択。

Version 2.1
バージョン 2.1

28 September 2023
2023 年 9 月 28 日

Minor correction made to footnote 12 on p. 10.
ページ 10 上の脚注 12 への微修正。

2

Table of Contents
目次
0 PREFACE................................................................................................................................... 50

序文 ......................................................................................................................................... 5

1

IDENTIFYING A LEAD SUPERVISORY AUTHORITY: THE KEY CONCEPTS ................................... 61

主監督機関の特定： 主要な概念 ......................................................................................... 6
1.1‘Cross-border processing of personal data’. ............................................................... 6

1.1『個人データの越境取扱い』 ..................................................................................... 6

1.1.1‘Substantially affects’........................................................................................... 7

1.1.1『実質的な影響を及ぼす』.................................................................................. 7

1.2 Lead supervisory authority......................................................................................... 9
1.2 主監督機関................................................................................................................ 9
1.3 Main establishment ................................................................................................. 10
1.3 主たる拠点 ............................................................................................................... 10
2

STEPS TO IDENTIFY THE LEAD SUPERVISORY AUTHORITY..................................................... 102

主監督機関を特定するためのステップ ............................................................................... 10
2.1

Identify the ‘main establishment’ for controllers .................................................... 10

2.1 管理者の『主たる拠点』の特定 ............................................................................... 10
2.1.1

Criteria for identifying a controller’s main establishment
in cases where it is not the place of its central administration in the EEA........ 12

2.1.1

管理者の主たる拠点が EEA 域内における統括管理部門の場所
ではない場合の主たる拠点を特定するための基準........ 12

2.1.2Groups of undertakings..................................................................................... 14

2.1.2

企業グループ ................................................................................................... 14

2.1.3

Joint controllers................................................................................................. 14

2.1.3

共同管理者....................................................................................................... 14

2.2

Borderline cases ....................................................................................................... 16

2.2 ボーダーラインの事例 ............................................................................................. 16
2.3 Processor .................................................................................................................. 17
2.3 処理者 ..................................................................................................................... 173

OTHER RELEVANT ISSUES ...................................................................................................... 183

他の関連問題 ....................................................................................................................... 18
3.1 The role of the ‘supervisory authority concerned’ .................................................. 18
3.1『関係監督機関』の役割 .......................................................................................... 18

3.2 Local processing ....................................................................................................... 20
3.2

ローカルな取扱い.................................................................................................... 20

3.3

Companies not established within the EU ............................................................... 20

3.3

EEA 域内に拠点を有さない企業※ ......................................................................... 203

※仮訳者注：本文内での第 3.3 節のタイトルは" Companies not established within the
EEA"であり、本文内の表記に合わせて仮訳しているもの。
ANNEX - QUESTIONS TO GUIDE THE IDENTIFICATION OF THE LEAD SUPERVISORYAUTHORITY ................................................................................................................... 21
別 紙 - 主監督機関の特定を導く質問 .................................................................................... 21
1

Is the controller or processor carrying out the cross-border processsing of personal
data? ................................................................................................................................. 21

1

管理者又は処理者は個人データの越境取扱いを行っているか？ ............................... 21

2

How to identify the ‘lead supervisory authority’ .............................................................. 21

2『主監督機関』の特定方法 ............................................................................................... 21

3

Are there any ‘concerned supervisory authorities’? ......................................................... 22

3『関係監督機関』は存在するか？ .................................................................................... 22

4

THE EUROPEAN DATA PROTECTION BOARD
欧州データ保護会議はHaving regard to Article 70(1)(e) and (l) of the Regulation 2016/679/EU of the European
Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to
the processing of personal data and on the free movement of such data, and repealing Directive
95/46/EC, (hereinafter “GDPR”),
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、指令 95/46/EC を廃止する、2016 年 4 月 27 日の欧州議会及び理事会の規則
2016/679/EU、（以下「GDPR」という）、の第 70 条(1)(e)及び(l)に鑑み、Having regard to the EEA Agreement and in particular to Annex XI and Protocol 37 thereof, as
amended by the Decision of the EEA joint Committee No 154/2018 of 6 July 20181,
2018 年 7 月 6 日の EEA 共同委員会の決定 No 154/2018 により改正された EEA 協定 1、特にその附属書 XI 及び議定書 37 に鑑み、Having regard to Article 12 and Article 22 of its Rules of Procedure,
その手続規則の第 12 条及び第 22 条に鑑み、Having regard to the Article 29 Working Party Guidelines for identifying a controller or processor's
lead supervisory authority, WP244 rev.01,
管理者又は処理者の主監督機関を特定するための第 29 条作業部会ガイドライン、WP 244
rev.01 に鑑み、Having regard to the EDPB Guidelines 07/2020 on the concepts of controller and processor in the
GDPR,
GDPR における管理者及び処理者の概念に関する EDPB ガイドライン 07/2020 に鑑み、

HAS ADOPTED THE FOLLOWING GUIDELINES
次のガイドラインを採択する

0 PREFACE
0 序文
1.

On 5 April 2017, the Article 29 Working Party adopted its Guidelines for identifying a controller orprocessor's lead supervisory authority (WP244 rev.01)2, which were endorsed by the European
Data Protection Board (hereinafter “EDPB”) at its first Plenary meeting3. This document is a slightly
updated version of those guidelines. Any reference to the WP29 Guidelines for identifying acontroller or processor's lead supervisory authority (WP244 rev.01) should, from now on, beinterpreted as a reference to these EDPB guidelines.
2017 年 4 月 5 日、第 29 条作業部会は、管理者又は処理者の主監督機関を特定するためのガ
1

References to “Member States” made throughout this document should be understood as references to“EEA Member States”.
この文書において、「加盟国」という表現は、「EEA 加盟国」と解釈されたい。
2
Available at http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611235.
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611235 より入手可。
3
See https://edpb.europa.eu/news/news/2018/endorsement-gdpr-wp29-guidelines-edpb_en.
https://edpb.europa.eu/news/news/2018/endorsement-gdpr-wp29-guidelines-edpb_en 参照。

5

イドライン(WP 244 rev.01) 2 を採択し、当該ガイドラインは欧州データ保護会議（以下「EDPB」という）により初回の本会議において承認された 3。この文書は、当該ガイドラインに若干の更新を加えたものである。管理者又は処理者の主監督機関を特定するための WP29 ガイドライン(WP 244
rev.01)への言及は、今後、当該 EDPB ガイドラインへの言及として解釈されたい。
2.

The EDPB has noticed that there was a need for further clarifications, specifically regarding thenotion of main establishment in the context of joint controllership and taking into account the
EDPB Guidelines 07/2020 on the concepts of controller and processor in the GDPR4.
EDPB は、特に共同管理という状況の中での主たる拠点の概念に関して、また GDPR における管理者及び処理者の概念に関する EDPB ガイドライン 07/2020 を考慮に入れて 4、追加的な明確化が必要であることを認識していた。

3.

The paragraph concerning this matter has been revised and updated, while the rest of the
document was left unchanged, except for editorial changes. The revision concerns, more
specifically, Section 2.1.3 on joint controllers.
この問題に関するパラグラフが改訂及び更新されている一方で、編集上の変更を除いて、今回の文書の残りの部分は元のまま残されている。今回の改訂は、より具体的には、第 2.1.3 項の共同管理者に関するものである。

1 IDENTIFYING A LEAD SUPERVISORY AUTHORITY: THE KEY CONCEPTS
1 主監督機関の特定： 主要な概念
1.1
1.1
4.

‘Cross-border processing of personal data’『個人データの越境取扱い』

Identifying a lead supervisory authority is only relevant where a controller or processor is carryingout the cross-border processing of personal data. Article 4(23) GDPR defines ‘cross-borderprocessing’ as either the:
主監督機関の特定は、管理者又は処理者が個人データの越境取扱いを行っている場合にのみ関係する。GDPR 第 4 条(23)は、「越境取扱い」について、次のいずれかに該当するものとして定義している。
-

4processing of personal data which takes place in the context of the activities of
establishments in more than one Member State of a controller or processor in the Union
where the controller or processor is established in more than one Member State; or the
管理者又は処理者が複数の加盟国に拠点を有する場合、EU 域内の管理者又は処理者の複数の加盟国における拠点の活動の過程で行われる個人データの取扱い、又はprocessing of personal data which takes place in the context of the activities of a single
establishment of a controller or processor in the Union but which substantially affects or
is likely to substantially affect data subjects in more than one Member State.
EU 域内の管理者又は処理者の単一の拠点の活動の過程で行われる取扱いであるが、See Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0 adopted on
7 July 2021, paragraphs 161, 162 and 166, available at https://edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en
GDPR における管理者及び処理者の概念に関するガイドライン 07/2022、バージョン 2、2021 年 7 月 7日 採 択 版 、 パ ラ グ ラ フ 161 、 162 及 び 166 参 照 。 https://edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en より入手可。

6

複数の加盟国のデータ主体に対し、実質的な影響を及ぼす又は実質的な影響を及ぼす可能性が高い個人データの取扱い。
5.

This means that where an organisation has establishments in France and Romania, for example,
and the processing of personal data takes place in the context of their activities, then this will
constitute cross-border processing.
これは、例えば、ある組織がフランスとルーマニアに拠点を有しており、個人データの取扱いがこれらの拠点の活動の過程で行われる場合、当該取扱いは越境取扱いとなることを意味する。

6.

Alternatively, the organisation may only carry out processing activity in the context of its
establishment in France. However, if the activity substantially affects – or is likely to substantiallyaffect - data subjects in France and Romania then this will also constitute crossborder processing.
あるいは、当該組織がフランスの拠点においてのみ取扱活動を行う可能性もある。一方、当該取扱活動が、フランスとルーマニアにおけるデータ主体に対し、実質的な影響を及ぼす、又は実質的な影響を及ぼす可能性が高い場合には、これもまた越境取扱いとなる。

1.1.1
1.1.1

‘Substantially affects’『実質的な影響を及ぼす』

7.

The GDPR does not define ‘substantially’ or ‘affects’. The intention of the wording was to ensurethat not all processing activity, with any effect and that takes place within the context of a single
establishment, falls within the definition of ‘cross-border processing’.
GDPR は、『実質的な』又は『影響を及ぼす』を定義していない。当該文言の目的は、何らかの影響を及ぼす単一の拠点の過程内で行なわれる、全ての取扱活動が『越境取扱い』の定義に当てはまることがないよう、確保することであった。

8.

The most relevant ordinary English meanings of ‘substantial’ include: ‘of ample or considerable
amount or size; sizeable, fairly large’, or ‘having solid worth or value, of real significance; solid;
weighty, important’5.
一般的な英語における『実質的な』の意味で、本件と最も関連のあるものには、次のものが含まれる。『十分な若しくは相当な量又は大きさを持つこと。かなり大規模な、かなり大きい。』、又は『確固とした価値又は値打ちのある、実際に影響力があること。強固な。重大な、重要な』5。

9.

The most relevant meaning of the verb ‘affect’ is ‘to influence’ or ‘to make a material impression
on’. The related noun -‘effect’- means, amongst other things, ‘a result’ or ‘a consequence’6. Thissuggests that for data processing to affect someone it must have some form of impact on them.
Processing that does not have a substantial effect on individuals does not fall within the second
part of the definition of ‘cross-border processing’. However, it would fall within the first part ofthe definition where the processing of personal data takes place in the context of the activities of
establishments in more than one Member State of a controller or processor in the Union, where
the controller or processor is established in more than one Member State.
『影響を及ぼす(affect)』という動詞の意味で、本件と最も関連のあるものは、『力を及ぼす』又は『具体的な印象を与える』である。関連する名詞、『影響（effect）』は、とりわけ、『結果（result）』
又は『帰結（consequence）』を意味する 6。このことは、データ取扱いが誰かに影響を及ぼすためには、当該人物に対し何らかの形式の効果(impact)をもたらす必要があることを示唆している。
個人に対し実質的な影響を及ぼさない取扱いは、『越境取扱い』の二つ目の定義には該当しな
5

Oxford English Dictionary.
オクスフォード英語辞書。
6
Oxford English Dictionary.
オクスフォード英語辞書。

7

い。一方、管理者又は処理者が複数の加盟国に拠点を有する場合、EU 域内の管理者又は処理者の複数の加盟国における拠点の活動の過程で行われる個人データの取扱いであれば、このようなデータ取扱いは越境取扱いの一つ目の定義に該当するであろう。
10.

Processing can be brought within the second part of the definition if there is the likelihood of a
substantial effect, not just an actual substantial effect. Note that ‘likely to’ does not mean that
there is a remote possibility of a substantial effect. The substantial effect must be more likely thannot. On the other hand, it also means that individuals do not have to be actually affected: thelikelihood of a substantial effect is sufficient to bring the processing within the definition of ‘crossborder processing’.
取扱いは、実際に実質的な影響が無くても、実質的な影響を及ぼす可能性が高い場合、当該取扱いは二つ目の定義に当てはまりうる。『可能性が高い』とは、実質的な影響の可能性がわずかにある場合を意味するものではないことに留意しておかなければならない。実質的な影響が生じる可能性は、生じない可能性よりも高くなければならないということである。他方で、それは、個人が必ずしも実際に影響を受ける必要がないということも意味する。つまり、実質的な影響の可能性が高ければ、取扱いを『越境取扱い』の定義に含めるのに十分なのである。

11.

The fact that a data processing operation may involve the processing of a number – even a large
number – of individuals’ personal data, in a number of Member States, does not necessarily meanthat the processing has, or is likely to have, a substantial effect. Processing that does not have asubstantial effect does not constitute cross-border processing for the purposes of the second partof the definition, regardless of how many individuals it affects.
データの取扱活動が、数多くの加盟国における、多数の、きわめて多数の個人の、個人データの取扱いを含むかもしれないという事実は、当該取扱いが実質的な影響を及ぼす又は実質的な影響を及ぼす可能性が高いことを必ずしも意味しない。影響を及ぼす個人の数にかかわらず、
実質的な影響を及ぼさない取扱いは、二つ目の定義の目的として、越境取扱いにはならない。

12.

Supervisory Authorities will interpret ‘substantially affects’ on a case by case basis. We will take
into account the context of the processing, the type of data, the purpose of the processing andfactors such as whether the processing:
監督機関は、『実質的な影響を及ぼす』について、ケースごとに解釈を行う。EDPB は、取扱いの過程、データの種類、取扱の目的、及び次のような要因を考慮する。
causes, or is likely to cause, damage, loss or distress to individuals;
当該取扱いが、個人に対して損害、損失又は苦痛をもたらす、又はもたらす可能性が高いかどうか、
has, or is likely to have, an actual effect in terms of limiting rights or denying an
opportunity;
当該取扱いが、権利の制限又は機会の否定という観点において、実際に影響を及ぼす、又は影響を及ぼす可能性が高いかどうか、
affects, or is likely to affect individuals’ health, well-being or peace of mind;
当該取扱いが、個人の健康、幸福感又は安心感に影響を及ぼす、又は影響を及ぼす可能性が高いかどうか、
affects, or is likely to affect individuals’ financial or economic status or circumstances;
当該取扱いが、個人の金銭上の若しくは経済的な状態又は状況に影響を及ぼす、又は影響を及ぼす可能性が高いかどうか、
leaves individuals open to discrimination or unfair treatment;
当該取扱いが、個人を差別又は不当な処遇にさらすことになるかどうか、
involves the analysis of the special categories of personal or other intrusive data,
particularly the personal data of children;
当該取扱いが、特別な種類の個人データ又はそのほかの立ち入ったデータ、特に子ど8

もの個人データの分析を含むかどうか、
causes, or is likely to cause individuals to change their behaviour in a significant way;
当該取扱いが、個人の行動に対して顕著な変化をもたらす、又は顕著な変化をもたらす可能性が高いかどうか、
has unlikely, unanticipated or unwanted consequences for individuals;
当該取扱いが、個人に対し、思いがけない、予期しない、又は望ましくない結果をもたらすかどうか、
creates embarrassment or other negative outcomes, including reputational damage; or
当該取扱いが、風評被害を含む、当惑又は他の否定的な結果をもたらすかどうか、又はinvolves the processing of a wide range of personal data.
当該取扱いが、広範囲にわたる個人データの取扱いを含むかどうか。
13.

Ultimately, the test of ‘substantial effect’ is intended to ensure that supervisory authorities are
only required to co-operate formally through the GDPR’s consistency mechanism "where asupervisory authority intends to adopt a measure intended to produce legal effects as regards
processing operations which substantially affect a significant number of data subjects in several
Member States”7.
結論としては、『実質的な影響』のテストは、「複数の加盟国内の相当な数のデータ主体に対して実質的な影響を及ぼす取扱業務に関し、法的効果を生じさせる措置を監督機関が採択しようとする場合に」7、監督機関らは GDPR の一貫性メカニズムを通じて正式に協力することのみ要求されるということを確保することを目的としている。

1.2
1.2

Lead supervisory authority
主監督機関

14.

Put simply, a ‘lead supervisory authority’ is the authority with the primary responsibility for
dealing with a cross-border data processing activity, for example when a data subject makes acomplaint about the processing of his or her personal data.
簡単に言えば、『主監督機関』とは、例えばデータ主体が自らの個人データの取扱いに関して異議申立てをする場合に、越境のデータ取扱活動への対処に関して主要な責任を負う機関で
ある。

15.

The lead supervisory authority will coordinate any investigation, involving other ‘concerned’
supervisory authorities.
主監督機関は、他の『関係』監督機関を含めつつ、あらゆる調査を調整する。

16.

Identifying the lead supervisory authority depends on determining the location of the controller’s‘main establishment’ or ‘single establishment’ in the EU. Article 56 of the GDPR says that:
主監督機関は、EU 域内における管理者の『主たる拠点』又は『単一の拠点』の所在地の決定に基づいて特定される。GDPR 第 56 条は、次のように規定している。
-

7

the supervisory authority of the main establishment or of the single establishment of thecontroller or processor shall be competent to act as lead supervisory authority for the
cross-border processing carried out by that controller or processor in accordance with the[cooperation] procedure provided in Article 60.
管理者又は処理者の主たる拠点又は単一の拠点の監督機関は、第 60 条に定める[協See Recital 135 GDPR.
GDPR 前文第 135 項参照。

9力]手続に従い、その管理者又は処理者によって行われる越境取扱いに関し、主監督機関として行動するための職務権限をもつものとする。

1.3
1.3
17.

Main establishment
主たる拠点

Article 4(16) GDPR states that ‘main establishment’ means:
GDPR 第 4 条(16)は『主たる拠点』とは次を意味する旨、規定している。
-

-

-

-

as regards a controller with establishments in more than one Member State, the place ofits central administration in the Union, unless the decisions on the purposes and meansof the processing of personal data are taken in another establishment of the controller in
the Union and the latter establishment has the power to have such decisions
implemented, in which case the establishment having taken such decisions is to beconsidered to be the main establishment;
複数の加盟国に拠点を有する管理者に関しては、EU 域内の管理者の統括管理部門の場所。ただし、個人データの取扱いの目的及び手段の決定が EU 域内の管理者の別の拠点で行われ、かつ、当該拠点がその決定を実施する権限をもち、そのような決定を行う拠点が主たる拠点とみなされる場合を除く。
as regards a processor with establishments in more than one Member State, the place ofits central administration in the Union, or, if the processor has no central administrationin the Union, the establishment of the processor in the Union where the main processing
activities in the context of the activities of an establishment of the processor take place tothe extent that the processor is subject to specific obligations under this Regulation;
複数の加盟国に拠点をもつ処理者に関しては、EU 域内の処理者の統括管理部門の場所、又は、処理者 が EU 域内に統括管理部門をもたない場合、処理者が本規則に基づく特別の義務に服する範囲内において、処理者の拠点の活動の過程で主要な取扱活動が行われる EU 域内の処理者の拠点。

2 STEPS TO IDENTIFY THE LEAD SUPERVISORY AUTHORITY
2 主監督機関を特定するためのステップ
2.1
2.1

Identify the ‘main establishment’ for controllers
管理者の『主たる拠点』の特定

18.

In order to establish where the main establishment is, it is firstly necessary to identify the central
administration of the data controller in the EEA, if any. The approach implied in the GDPR is thatthe central administration in the EU is the place where decisions about the purposes and meansof the processing of personal data are taken and this place has the power to have such decisions
implemented.
主たる拠点の所在地を確定するためには、まず EEA 域内におけるデータ管理者の統括管理部
門を、もしある場合、特定することが必要である。GDPR に示唆されているアプローチは、EU 域内
における統括管理部門は個人データの取扱いの目的及び手段の決定が行われる場所であり、かつ、この場所がその決定を実施する権限をもつというものである。

19.

The essence of the lead authority principle in the GDPR is that the supervision of cross-borderprocessing should be led by only one supervisory authority in the EU. In cases where decisions
relating to different cross-border processing activities are taken within the EU central

10administration, there will be a single lead supervisory authority for the various data processing
activities carried out by the multinational company. However, there may be cases where an
establishment other than the place of central administration makes autonomous decisions
concerning the purposes and means of a specific processing activity. This means that there can besituations where more than one lead authority can be identified, i.e. in cases where amultinational company decides to have separate decision making centres, in different countries,
for different processing activities.
GDPR における主監督機関の原則の本質は、越境取扱いの監督が、EU 域内の一つの監督機関によってのみ主導されなければならないというものである。複数の異なる越境の取扱活動に関する決定が EU 域内の統括管理部門で行われる場合、当該多国籍企業により行われる様々なデータ取扱活動に関し、主監督機関は単一となる。一方、統括管理部門の場所以外の拠点が、ある特定の取扱活動の目的及び手段に関し、自主的な決定を行う場合もあろう。これが意味するのは、例えば、ある多国籍企業が異なる取扱活動のために、異なる国において、別の意
思決定部門を持つことを決定する場合、複数の主監督機関が特定されうる状況が存在しうるということである。
20.

It is worth recalling, that where a multinational company centralises all the decisions relating to
the purposes and means of processing activities in one of its establishments in the EEA (and that
establishment has the power to implement such decisions), only one lead supervisory authority
will be identified for the multinational.
多国籍企業が、取扱活動の目的及び手段に関する全ての決定をEEA域内の一つの拠点に集中化させている場合（かつ当該拠点がその決定を実施する権限をもつ場合）、当該多国籍企業
にとって、特定される主監督機関は一つに限定されることは、想起に値する。

21.

In these situations, it will be essential for companies to identify precisely where the decisions on
purpose and means of processing are taken. Correct identification of the main establishment is in
the interests of controllers and processors because it provides clarity in terms of which
supervisory authority they have to deal with in respect of their various compliance duties under
the GDPR. These may include, where relevant, designating a data protection officer or consulting
for a risky processing activity that the controller cannot mitigate by reasonable means. The
relevant provisions of the GDPR are intended to make these compliance tasks manageable.
このような状況の中で、企業は取扱いの目的及び手段についての決定が行われる場所を正確に特定することが重要となる。主たる拠点を正しく特定することは、管理者及び処理者の利益になる。なぜなら、それにより、管理者及び処理者が GDPR に基づき遵守が求められる様々な義務に関して、どの監督機関と対応しなければならないかについて明確になるからである。これには、該当する場合、データ保護オフィサーの指名又は管理者が合理的な手段により軽減できないリ
スクのある取扱活動についての協議が含まれうる。GDPR の当該関連規定は、これらの義務の遵守を手助けすることを目的としているのである。

22.

The examples below illustrate this:
次の例は、このことを説明しているものである。
Example 1: A food retailer has its headquarters (i.e. its ‘place of central administration’) in
Rotterdam, Netherlands. It has establishments in various other EEA countries, which are incontact with individuals there. All establishments make use of the same software to process
consumers’ personal data for marketing purposes. All the decisions about the purposes andmeans of the processing of consumers’ personal data for marketing purposes are taken within its
Rotterdam headquarters. This means that the company’s lead supervisory authority for this crossborder processing activity is the Dutch supervisory authority.
例 1．ある食品小売業者が、オランダのロッテルダムにその本部（すなわち、同社の『統括管理部門の場所』）を有している。同社は、このほか、EEA 域内の様々な国に拠点を有しており、当該

11

拠点は現地の個人と連絡を取っている。全ての拠点は、マーケティング目的で消費者の個人データを取扱うために、同じソフトウェアを利用している。マーケティング目的のための消費者の個
人データの取扱いの目的及び手段に関するあらゆる決定は、同社のロッテルダムの本部で行われている。このことは、当該越境の取扱活動に関する同社の主監督機関は、オランダの監督機関であることを意味する。
Example 2: A bank has its corporate headquarters in Frankfurt, and all8 its banking processing
activities are organised from there, but its insurance department is located in Vienna. If theestablishment in Vienna has the power to decide on all insurance data processing activity and to
implement these decisions for the whole EEA, then as foreseen in Art 4(16) GDPR, the Austrian
supervisory authority would be the lead authority in respect of the cross border processing of
personal data for insurance purposes, and the competent German authority (i.e., the Hessen
supervisory authority) would supervise the processing of personal data for banking purposes,
wherever the clients are located.9
例 2．ある銀行はフランクフルトに銀行本部を有しており、その全ての 8 銀行業の取扱活動に関する指揮はそこから発せられている。一方、同行の保険部門はウィーンにある。当該ウィーンの拠点が全ての保険データの取扱活動について決定し、かつ全 EEA 域内のために当該決定を実施する権限を有する場合、GDPR 第 4 条(16)から予見できるように、顧客の所在地とは関係なく、オーストリアの監督機関が、保険業目的のための個人データの越境取扱いに関する主監督機関に該当するであろう。また、所轄のドイツの機関（ヘッセンの監督機関）が、銀行業目的のための個人データの取扱いを監督することになろう 9。

2.1.1

Criteria for identifying a controller’s main establishment in cases where it is not
the place of its central administration in the EEA
2.1.1 管理者の主たる拠点が EEA 域内における統括管理部門の場所ではない場合の主たる拠点を特定するための基準
23.

Recital 36 GDPR is useful in clarifying the main factor that shall be used to determine a controller’s
main establishment if the criterion of the central administration does not apply. This involves
8

In the context of processing personal data for banking purposes, the EDPB recognises that there are manydifferent purposes pursued by these processing activities. However, to simplify matters, the EDPB
addresses all of them as a single purpose. The same is true of processing done for insurance purposes.
銀行業目的のための個人データ取扱いの過程において、EDPBは、取扱活動が追求する目的は様々であり数多く存在することを認識している。一方、問題を単純化するために、EDPBは、当該取扱活動は全て一つの目的を有するものとして扱う。保険業目的の取扱活動についても同様である。
9
It should be recalled also that the GDPR provides for the possibility of local oversight in specific cases. See
Recital 127: “Each supervisory authority not acting as the lead supervisory authority should be competentto handle local cases where the controller or processor is established in more than one Member State, but
the subject matter of the specific processing concerns only processing carried out in a single Member
State and involves only data subjects in that single Member State, for example, where the subject matter
concerns the processing of employees' personal data in the specific employment context of a Member
State.” This principle means that the supervision of HR data connected to local employment context could
fall on several supervisory authorities.
GDPRが、特定のケースにおけるローカルな監督の可能性について規定をしているということについても想起しておく必要がある。前文第127項参照。「主監督機関の役割を担わない各監督機関は、管理者
又は処理者が複数の加盟国に拠点を有しているが、特定の取扱いの内容が、単一の加盟国において実施される取扱いにのみに関するものであり、かつ、当該単一の加盟国におけるデータ主体にのみ関係する場合、ローカルな事案について取扱う権限を有する。例えば、当該取扱の内容が、ある一加盟国における特定の雇用状況に関する被用者の個人データの取扱いに関するものである場合。」この原則が意味するのは、ローカルな雇用状況に関する人事データの監督は、複数の監督機関に委ねられる可能性があるということである。

12

identifying where the effective and real exercise of management activities, that determine themain decisions as to the purposes and means of processing through stable arrangements, takes
place. Recital 36 GDPR also clarifies that “the presence and use of technical means andtechnologies for processing personal data or processing activities do not, in themselves, constitutea main establishment and are therefore not determining criteria for a main establishment”.
統括管理部門の基準があてはまらない場合に管理者の主たる拠点を確定するために使用する
主要な要素を明らかにするには、GDPR 前文第 36 項が有用である。これには、安定的な仕組みを通じて取扱いの目的及び手段に関する主要な判断事項を決定するという管理行為が、実効的かつ実際に行われている場所を特定することが含まれる。前文第 36 項はまた、次のようにも明記している。「個人データの取扱い又は取扱活動のための技術的な手段及びテクノロジーの存在並びに使用は、それ自体で、主たる拠点を構成するものではなく、したがって、主たる拠点の判断基準にはならない。」
24.

The controller itself identifies where its main establishment is and therefore which supervisory
authority is its lead authority. However, this can be challenged by the respective supervisory
authority concerned afterwards.
データ管理者自身が、その主たる拠点がどこにあるか、したがってどの監督機関が自身の主監
督機関であるかを特定する。一方、これについては、各関係監督機関が事後に異議を唱えることができる。

25.

The factors below are useful for determining the location of a controller’s main establishment,
according to the terms of the GDPR, in cases where it is not the location of its central
administration in the EEA.
管理者の主たる拠点の所在地が EEA 域内における管理者の統括管理部門の所在地ではない
場合、GDPR の条件に従い、管理者の主たる拠点の場所を決定するためには、次の要素が有用である。
Where are decisions about the purposes and means of the processing given final ‘signoff’?
最終的な『承認』を伴う、取扱いの目的及び手段に関する決定は、どこで行われるか？
Where are decisions about business activities that involve data processing made?
データ取扱いを含む事業活動についての決定は、どこでなされるか？
Where does the power to have decisions implemented effectively lie?
決定を実施する実効的な権限は、どこにあるか？
Where is the Director (or Directors) with overall management responsibility for the crossborder processing located?
越境取扱いに関する全体的な管理責任を負う取締役（又は取締役たち）は、どこに所在しているか？
Where is the controller or processor registered as a company, if in a single territory?
単一の地域内にある場合、管理者又は処理者は、どこで企業登記がなされているか？

26.

Note that this is not an exhaustive list. Other factors may be relevant depending on the controller
or processing activity in question. If a supervisory authority has reasons to doubt that theestablishment identified by the controller is in reality the main establishment for the purposes of
the GDPR, it can – of course – require the controller to provide the additional informationnecessary for it to prove where its main establishment is located.
これは網羅的なリストではないということに留意されたい。問題の管理者又は取扱活動次第では、他の要素が関連する場合がある。管理者が特定した拠点が、実際に GDPR の目的に照らした主たる拠点であるということについて監督機関が疑う理由がある場合、監督機関は、当然ながら、管理者に対し、管理者の主たる拠点が所在する場所を証明するために必要な、追加の情報の提供を要求することができる。

13

2.1.22.1.2

Groups of undertakings
企業グループ

27.

Where processing is carried out by a group of undertakings that has its headquarters in the EEA,
the establishment of the undertaking with overall control is presumed to be the decision-making
center relating to the processing of personal data, and will therefore be considered to be the mainestablishment for the group, except where decisions about the purposes and means of processing
are taken by another establishment. The parent, or operational headquarters of the group ofundertakings in the EEA, is likely to be the main establishment, because that would be the placeof its central administration.
EEA 域内に本部を置く企業グループが取扱いを行う場合、取扱いの目的及び手段についての決定が別の拠点によってなされる場合を除き、全体的な管理を実施する拠点が個人データの取扱いに関する意思決定の中心部であると推定され、したがって当該グループ企業の主たる拠点とみなされるであろう。EEA 域内の企業グループの親会社又は運営本部は、統括管理部門の場所と想定されるため、主たる拠点である可能性が高い。

28.

The reference in the definition to the place of a controller’s central administration works well fororganisations that have a centralised decision-making headquarters and branch-type structure. In
such cases, it is clear that the power to make decisions about cross-border processing, and to havethem carried out, lies within the company’s headquarters. In such cases, determining the locationof the main establishment – and therefore which supervisory authority is the lead supervisory
authority - is straightforward. However, the decision system of group of companies could be more
complex, giving independent making powers relating to cross-border processing to different
establishments. The criteria set out above should help groups of undertakings to identify theirmain establishment.
定義条項における、主たる拠点は管理者の統括管理部門の場所であるという言及は、意思決定を集中管理する本部と支部型の構造を持つ組織の場合にはうまく当てはまる。このような場合、越境取扱いについての決定を行い、かつ、当該決定を実施する権限が企業の本部にあることは明らかである。このような場合、主たる拠点の所在地を確定すること、したがって、どの監督機関が主監督機関に該当するかを確定することは容易である。一方、越境取扱いに関し独立した意思決定権限を異なる複数の拠点に与える企業グループの意思決定の体系は、より複雑である可能性がある。先に示された基準は、企業グループが主たる拠点を特定する手助けとなるで
あろう。

2.1.3
2.1.3
29.

Joint controllers
共同管理者

The GDPR does not specifically deal with the issue of designating a lead authority where two or
more controllers established in the EEA jointly determine the purposes and means of processing– i.e. joint controllers. Article 26(1) and Recital 79 GDPR make it clear that in joint controllershipsituations, the controllers shall in a transparent manner determine their respective
responsibilities for compliance with their obligations under the GDPR.
GDPR は、EEA 域内において二者以上の管理者が共同して取扱いの目的及び手段を決定する
場合、すなわち、共同管理者の場合の主監督機関の特定に関する問題について、特に対応していない。GDPR 第 26 条(1)及び前文第 79 項は、共同管理の状況において、管理者らは、GDPRに基づき、管理者それぞれの義務を遵守するための管理者それぞれの責任について、透明性のある態様で定めるよう、明確にしている。

14

30.

As recalled by the EDPB in its Guidelines on the concept of controller and processor 10 , joint
controllers need to set “who does what” by deciding between themselves who will have to carryout which tasks, in order to make sure that the processing complies with the applicable obligations
under the GDPR in relation to the joint processing at stake.
EDPB が管理者及び処理者の概念に関するガイドラインにおいて想起しているように 10、共同管
理者は、問題となる共同の取扱いについて、当該取扱いが GDPR に基づき適用される義務を遵守していることを確保するために、誰がどの業務を行うかを管理者間で決定することにより、「誰が何をするか」を設定する必要がある。

31.

The compliance measures and related obligations joint controllers should consider when
determining their respective responsibilities, in addition to those specifically referred in Article
26(1) GDPR, include, amongst others, the organisation of contact with data subjects andsupervisory authorities.
共同管理者がそれぞれの責任を決定する際に考慮すべき遵守措置及び関連する義務には、GDPR 第 26 条(1)において具体的に言及されているものに加えて、とりわけ、データ主体及び監督機関との連絡体制が含まれる。

32.

It should be recalled that supervisory authorities are not bound by the terms of such arrangement,
neither on the issue of the qualification of the parties as joint controllers nor on the designatedcontact point11.
監督機関は、共同管理者としての当事者の適格性の問題であれ、指定された連絡窓口の問題
であれ、先の合意の条件には拘束されないことを想起しておかなければならない 11。

33.

Moreover, the decision-making power of joint controllers does not comprise the determinationof the competent supervisory authority according to Articles 55 and 56 GDPR, or the ability ofthese supervisory authorities to exercise their tasks and powers as described in Articles 57 and 58
GDPR.
さらに、共同管理者の意思決定権限には、GDPR 第 55 条及び第 56 条に基づく所轄監督機関の決定、及び GDPR 第 57 条及び第 58 条に規定されている当該監督機関がその職務及び権限を行使する権利能力は含まれない。

34.

The notion of main establishment is linked by virtue of the GDPR to a single controller and cannot
be extended to a joint controllership situation. This is without prejudice to the possibility for eachjoint controller to have its own main establishment. In other words, the main establishment of acontroller cannot be considered as the main establishment of the joint controllers for theprocessing carried out under their joint control. Therefore, joint controllers cannot designate(among the establishments where decisions on the purposes and means of the processing aretaken) a common main establishment for both joint controllers.
主たる拠点の概念は、GDPR により単一の管理者に関連付けられているものであり、共同管理の場合には適用することはできない。これは、各共同管理者がそれぞれの主たる拠点を持つ可能性を損うものではない。言い換えると、一人の管理者の主たる拠点を、共同管理のもとで行われる取扱いの共同管理者の主たる拠点とみなすことはできない。つまり、共同管理者は、（取扱いの目的及び手段の決定が行われる拠点の中から）共同管理者双方にとって共通の主たる拠点を特定することはできないということである。
10

See Guidelines 07/2020 on the concepts of controller and processor in the GDPR, paragraphs 161, 162
and 166.
GDPR における管理者及び処理者の概念に関するガイドライン 07/2022、パラグラフ 161、162 及び166 参照。
11
See Guidelines 07/2020 on the concepts of controller and processor in the GDPR, paragraph 191.
GDPR における管理者及び処理者の概念に関するガイドライン 07/2022、パラグラフ 191 参照。

15

2.2
2.2

Borderline cases
ボーダーラインの事例

35.

There will be borderline and complex situations where it is difficult to identify the mainestablishment or to determine where decisions about data processing are taken. This might be
the case where there is cross-border processing activity and the controller is established in several
Member States, but there is no central administration in the EEA and none of the EEA
establishments are taking decisions about the processing (i.e. decisions are taken exclusively
outside of the EEA).
主たる拠点の特定、又はデータ取扱いについての決定が行われる場所の判断が困難な、ボーダーラインかつ複雑な状況が存在する。これは、越境の取扱活動が行われており、かつ管理者が複数の加盟国内に拠点を有している一方、EEA 域内に統括管理部門が存在せず、また EEA
域内のどの拠点もデータ取扱いについての決定を行っていない（すなわち、もっぱら EEA 域外
で決定が行われている）といった場合に生じるかもしれない。

36.

In the case above, the company carrying out cross border processing may be keen to be regulated
by a lead authority to benefit from the one-stop-shop principle. However, the GDPR does notprovide a solution for situations like this. In these circumstances, the company should designate
the establishment that has the authority to implement decisions about the processing activity andto take liability for the processing, including having sufficient assets, as its main establishment. If
the company does not designate a main establishment in this way, it will not be possible todesignate a lead supervisory authority. Supervisory authorities will always be able to investigate
further where this is appropriate.
上記のような場合、越境取扱いを行っている企業は、ワンストップショップ原則による恩恵を受けるために、主監督機関により規制されるよう強く望むかもしれない。一方、GDPR はこのような状況についての解決策を規定していない。このような状況において、企業は、その主たる拠点として、取扱活動についての決定を実施し、十分な資産を所持していることを含め、取扱いに対する責任を負う権限を有する拠点を指定しなければならない。このように企業が主たる拠点を指定しない場合、主監督機関を指定することはできない。主監督機関は、適切な場合、いつでも追加的な調査を実施することができる。

37.

The GDPR does not permit ‘forum shopping’. If a company claims to have its main establishment
in one Member State, but no effective and real exercise of management activity or decisionmaking over the processing of personal data takes place there, the relevant supervisory
authorities (or ultimately EDPB 12 ) will decide which supervisory authority is the ‘lead’, using
objective criteria and looking at the evidence. The process of determining where the mainestablishment is may require active inquiry and co-operation by the supervisory authorities.
Conclusions cannot be based solely on statements by the organisation under review. The burdenof proof ultimately falls on controllers and processors to demonstrate to the relevant supervisory
authorities where the relevant processing decisions are taken and where there is the power toimplement such decisions. Effective records of data processing activity would help bothorganisations and supervisory authorities to determine the lead authority. The lead supervisory
authority, or concerned supervisory authorities, can rebut the controller’s analysis based on an
objective examination of the relevant facts, requesting further information where required.
GDPR は、『フォーラム・ショッピング』を許容していない。ある企業がその主たる拠点を加盟国の一つの中に有していると主張する一方で、個人データの取扱いについての実効的かつ実際の管理活動又は意思決定がそこで行われていないとき、関連する監督機関らは（又は最終的には
12

See paragraph 38 below.
次のパラグラフ 38 参照。

16

EDPB12 は）、客観的な基準を使用し、また証拠を検討しつつ、どの監督機関が『主』監督機関であるかの決定を行う。主たる拠点の場所がどこであるかを判断するプロセスにおいて、監督機関らによる積極的な質問及び協力が要求されうる。見直しの対象となっている組織からの声明のみに基づき結論が導かれることはない。関連する取扱いの決定が行われる場所であり、かつ、
その決定を実施する権限をもつ場所について、関連する監督機関らに対し証明する最終的な責任は、管理者及び処理者側にある。データの取扱活動の実効的な記録は、組織及び監督機関の双方にとって、主監督機関を判断する助けとなる。主監督機関、又は関係監督機関らは、必要な場合追加的な情報を要求しつつ、関連する事実の客観的な調査に基づき、管理者の分析に反論することができる。
38.

In some cases, the relevant supervisory authorities will ask the controller to provide clear
evidence, in line with any EDPB guidelines, of where its main establishment is, or where decisions
about a particular data processing activity are taken. This evidence will be given due weight andthe supervisory authorities involved will co-operate to decide which one of them will take the leadin investigations. Such cases will only be referred to the EDPB for a decision under Article 65(1)(b)
GDPR where supervisory authorities have conflicting views in terms of identifying the leadsupervisory authority. However, in most cases, the EDPB expects that the relevant supervisory
authorities will be able to agree a mutually satisfactory course of action.
場合によっては、関連する監督機関らは管理者に対し、主たる拠点の場所、又はある特定のデータの取扱活動の決定が行われる場所について、EDPB ガイドラインに沿って、明白な証拠を提供するよう求める。当該証拠はしかるべく検討され、関連の監督機関らは協力し、彼らの中から調査における主導をとる監督機関を決定する。主監督機関を特定するに当たり、監督機関らの間で見解の対立がある場合のみ、GDPR 第 65 条(1)(b)に従い、EDPB に決定を委ねることとなる。
一方、ほとんどの場合、関連する監督機関らが相互に満足のいく行動方針に合意可能であると
EDPB は期待している。

2.3
2.3

Processor
処理者

39.

GDPR also offers the one-stop-shop system for the benefit of data processors that are subject to
GDPR and have establishments in more than one Member State.
GDPR はまた、GDPR の適用対象であり、かつ複数の加盟国に拠点を有するデータ処理者のために、ワンストップショップ・システムを提供している。

40.

Article 4(16)(b) GDPR states that the processor’s main establishment will be the place of thecentral administration of the processor in the EU or, if there is no central administration in the EU,
the establishment in the EU where the main processing (processor) activities take place.
GDPR 第 4 条(16)(b)は、処理者の主たる拠点は、EU 域内の処理者の統括管理部門の場所、又は、EU 域内に統括管理本部が存在しない場合、（処理者の）主要な取扱活動が行われる EU 域
内の拠点である旨、規定している。
However, according to Recital 36 GDPR, in cases involving both controller and processor, thecompetent lead supervisory authority should be the lead supervisory authority for the controller.
In this situation, the supervisory authority of the processor will be a ‘supervisory authority
concerned’ and should participate in the cooperation procedure. This rule will only apply where
the controller is established in the EEA. In cases where controllers are subject to the GDPR on thebasis of Art 3(2), they will not be subject to the one-stop-shop mechanism. A processor - forexample, a large cloud-service provider - may provide services to multiple controllers located indifferent Member States. In such cases, the lead supervisory authority will be the supervisory
authority that is competent to act as lead for the controller. In effect, this means a processor may

17

have to deal with multiple supervisory authorities.
一方、前文第 36 項によれば、管理者及び処理者の双方が関連する場合において、所轄の主監督機関は、管理者の主監督機関となる。この状況において、処理者の監督機関は『関係監督機関』となり、協力の手続に参加する。このルールは、管理者が EEA 域内に拠点を有する場合にのみ適用される。管理者が、第 3 条(2)に基づき GDPR の適用を受ける場合、管理者にはワン
ストップショップ・メカニズムが適用されない。例えば、大規模クラウド・サービス提供者といった処理者は、異なる加盟国に所在する複数の管理者に対しサービスを提供するかもしれない。この場合、主監督機関は、管理者にとって主として行動するための職務権限のある監督機関となる。要するに、このことは、処理者が複数の監督機関に対応しなければならないことがありうることを意味する。

3 OTHER RELEVANT ISSUES
3 他の関連問題
3.1
3.1
41.

The role of the ‘supervisory authority concerned’『関係監督機関』の役割

GDPR Article 4(22) says that the:GDPR 第 4 条(22)は、次のように規定している。
‘supervisory authority concerned’ means a supervisory authority which is concerned by theprocessing of personal data because: (a) the controller or processor is established on the
territory of the Member State of that supervisory authority; (b) data subjects residing in theMember State of that supervisory authority are substantially affected or likely to be
substantially affected by the processing; or (c) a complaint has been lodged with thatsupervisory authority.
『関係監督機関』とは、次のいずれかの事由により、個人データの取扱いに関係する監督機関をいう。(a) 管理者又は処理者が、当該監督機関の加盟国の地域内に拠点を有している、(b)当該監督機関の加盟国に居住するデータ主体が、当該取扱いにより、実質的な影響を受ける又は実質的な影響を受ける可能性が高い、又は(c)当該監督機関に対し、異議が申し立てられている。

42.

The concept of a concerned supervisory authority is meant to ensure that the ‘lead authority’model does not prevent other supervisory authorities having a say in how a matter is dealt withwhen, for example, individuals residing outside the lead authority’s jurisdiction are substantiallyaffected by a data processing activity. In terms of factor (a) above, the same considerations as for
identifying a lead authority apply. Note that in (b) the data subject must merely reside in theMember State in question; they do not have to be a citizen of that state. It will generally be easyin (c) to determine - as a matter of fact - whether a particular supervisory authority has received
a complaint.
関係監督機関の概念は、例えば、データの取扱活動が主監督機関の管轄地域外に居住している個人に対して実質的な影響を及ぼす際、『主監督機関』モデルにより、問題がどのように取扱われるかについて他の監督機関が意見を持つことを妨げられないよう確保することを意図している。上記の事由(a)に関しては、主監督機関の特定における場合と同様の考慮事項が適用される。事由(b)については、データ主体は当該加盟国に居住していることのみ求められるということに留意されたい。すなわち、データ主体は、当該加盟国の市民権を得ている必要はないということである。事由(c)については、実際問題として、特定の監督機関が異議を受理しているかどうかについて判断することは一般的に容易である。

18

43.

Article 56, paragraphs (2) and (5) GDPR provide for a concerned supervisory authority to take arole in dealing with a case without being the lead supervisory authority. When a lead supervisory
authority decides not to handle a case, the concerned supervisory authority that informed thelead shall handle it. This is in accordance with the procedures in Article 61 (Mutual assistance) and
Article 62 (Joint operations of supervisory authorities) GDPR. This might be the case where amarketing company with its main establishment in Paris launches a product that only affects data
subjects residing in Portugal. In such a case the French and Portuguese supervisory authorities
might agree that it is appropriate for the Portuguese supervisory authority to take the lead in
dealing with the matter. Supervisory authorities may request that controllers provide input interms of clarifying their corporate arrangements. Given that the processing activity has a purely
local effect - i.e. on individuals in Portugal - the French and Portuguese supervisory authorities
have the discretion to decide which supervisory authority should deal with the matter - inaccordance with Recital 127 GDPR.
GDPR 第 56 条(2)及び(5)は、関係監督機関が、主監督機関に該当することなく案件を取扱う役
割を担う場合について規定している。主監督機関が案件を取り扱わないことを決定する場合、主監督機関に対し通知をした関係監督機関がその案件を取扱うことになる。これは、GDPR 第 61条（共助）及び第 62 条（監督機関の共同作業）に規定された手続に従って行われる。これは、パリに主たる拠点をもつマーケティング企業が、ポルトガルに居住するデータ主体に対してのみ影響を及ぼす商品を市場に出す場合に生じるかもしれない。このような場合、フランス及びポル
トガルの監督機関は、ポルトガルの監督機関が主導して当該問題に対処するのが適切であると合意するかもしれない。監督機関らは、企業間の取決めを明らかにするため、管理者らに対し情報の提供を要求しうる。取扱活動が純粋にローカルへの影響に留まる、すなわちポルトガルに居住する個人に対してのみ影響を及ぼすのであれば、フランス及びポルトガルの監督機関は、GDPR 前文第 127 項に従い、いずれの監督機関が案件に対処するかを決定する裁量権を有する。

44.

The GDPR requires lead and concerned supervisory authorities to co-operate, with due respectfor each other’s views, to ensure a matter is investigated and resolved to each authority’ssatisfaction - and with an effective remedy for data subjects. Supervisory authorities should
endeavor to reach a mutually acceptable course of action. The formal consistency mechanism
should only be invoked where co-operation does not reach a mutually acceptable outcome.
GDPR は、主監督機関及び関係監督機関に対し、各機関が満足のいく形で案件が調査され、解決されるよう確保すべく、互いの見解を適切に尊重することについて、また、データ主体にとって効果的な救済を行うことについて、協力するよう求めている。監督機関らは、相互に受入れ可能な行動方針に到達するよう努力しなければならない。正式な一貫性メカニズムは、協力により相互に受入れ可能な結果に到達しない場合に限り、発動する。

45.

The mutual acceptance of decisions can apply to substantive conclusions, but also to the courseof action decided upon, including enforcement activity (e.g. full investigation or an investigation
with limited scope). It can also apply to a decision not to handle a case in accordance with GDPR,
for example because of a formal policy of prioritisation, or because there are other concerned
authorities as described above.
相互に受入れられた決定は、実質的な結論に対し、また執行活動（例えば、完全な調査か又は限られた範囲の調査か）を含む、行動方針の決定に対し適用しうる。加えて、例えば優先順位
に関する正式な政策がある、又は前述のように他の関係監督機関が存在するといった理由から、
GDPR に従い案件を取り扱わないという決定にも適用しうる。

46.

The development of consensus and good will between supervisory authorities is essential to thesuccess of the GDPR’s cooperation and consistency procesures.
GDPR における協力及び一貫性の手続の成功には、監督機関間のコンセンサスと信用が高まる
ことが不可欠である。

19

3.2
3.2
47.

Local data processing activity does not fall within the GDPR’s cooperation and consistency
provisions. Supervisory authorities will respect each other’s competence to deal with local dataprocessing activity on a local basis. Processing carried out by public authorities will always be dealt
with on a ‘local’ basis, too.
ローカルなデータ取扱活動は、GDPR の協力及び一貫性の規定の対象にはならない。監督機関らは互いの職務権限を尊重し、ローカルなデータ取扱活動を現地ベースで担当する。公的機関によって行われる取扱いも、常に『現地』ベースの取扱いとして対処される。

3.3
3.3
48.

Local processing
ローカルな取扱い

Companies not established within the EEA
EEA 域内に拠点を有さない企業

The GDPR’s cooperation and consistency mechanisms only apply to controllers with anestablishment, or establishments, within the EEA. If a company does not have an establishment
in the EEA, the mere presence of a representative in a Member State does not trigger the onestop-shop principle. This means that controllers without any establishment in the EEA must deal
with local supervisory authorities in every Member State they are active in, through their local
representative.
GDPR の協力及び一貫性メカニズムは、EEA 域内に一つ又は複数の拠点を有する管理者に対してのみ適用される。企業が EEA 域内に拠点を有さない場合、加盟国の一つに代理人がいるだ
けでは、ワンストップショップの原則は適用されない。このことは、EEA 域内に拠点を有さない管理者は、自らが活動している各加盟国において、現地代理人を通じて、現地の監督機関とやり取りしなければならないことを意味する。

For the European Data Protection Board
The Chair(Andrea Jelinek)

20

ANNEX - QUESTIONS TO GUIDE THE IDENTIFICATION OF THE LEAD
SUPERVISORY AUTHORITY
別 紙 - 主監督機関の特定を導く質問
1

Is the controller or processor carrying out the cross-border processing of
personal data?
管理者又は処理者は個人データの越境取扱いを行っているか？

1a.

Yes, if:
次の場合、該当する。
・ The controller or processor is established in more than one Member State and
管理者又は処理者が複数の加盟国に拠点を有しており、かつ・ The processing of personal data takes place in the context of the activities of
establishments in more than one Member State.
個人データの取扱いが複数の加盟国における拠点の活動の過程で行われる場合。
In this case, go to section 2.
この場合、セクション2に進む。

b.

Yes, if:
次の場合、該当する。
・ The processing of personal data takes place in the context of the activities of a controller
or processor’s single establishment in the EEA, but:
個人データの取扱いがEEA域内の管理者又は処理者の単一の拠点の活動の過程で行われる、一方、・ Substantially affects or is likely to substantially affect individuals in more than one
Member State.
複数の加盟国の個人に対し、実質的な影響を及ぼす又は実質的な影響を及ぼす可能性が高い場合。
In this case, the lead authority is the authority for the controller or processor’s single
establishment in a single Member State. This is - by logic - the controller or processor’s mainestablishment because it is its only establishment.
この場合、主監督機関は、単一の加盟国にある管理者又は処理者の単一の拠点の監督機関となる。管理者又は処理者の主たる拠点はその唯一の拠点であることから、このことは、論理的に、管理者又は処理者の主たる拠点となる。

2
2

How to identify the ‘lead supervisory authority’『主監督機関』の特定方法a.

In a case involving only a controller:
管理者のみが関係する場合、
i. Identify the controller’s place of central administration in the EEA;EEA 域内の管理者の統括管理部門の場所を特定する。
ii. The supervisory authority of the country where the place of central administration is locatedis the controller’s lead authority.
統括管理部門の場所が所在する国の監督機関が、管理者の主監督機関となる。

21

However:
一方、iii. If decisions on the purposes and means of the processing are taken in another establishment
in the EEA, and that establishment has the power to implement those decisions, then thelead authority is the one located in the country where this establishment is.
取扱いの目的及び手段に関する決定が EEA 域内の別の拠点で行われ、かつ、当該拠点がこれらの決定を実施する権限を有している場合、主監督機関は当該拠点が所在する国の監督機関となる。
b.

In a case involving a controller and a processor:
管理者及び処理者が関係する場合、
i. Check if the controller is established in the EEA and subject to the one-stop-shop system. If
so,
管理者が EEA 域内に拠点を有しており、かつ、ワンストップショップ・システムの対象であるかどうかを確認する。ワンストップショップ・システムの対象である場合、ii. Identify the lead supervisory authority of the controller. This authority will also be the leadsupervisory authority for the processor.
管理者の主監督機関を特定する。当該監督機関は、処理者の主監督機関としても機能する。
iii. The (non-lead) supervisory authority competent for the processor will be a ‘concerned
authority’- see section 3 below.
処理者に対し職務権限を有する（主監督機関でない）監督機関は、関係監督機関となる。
以下のセクション 3 参照。

c.

In a case involving only a processor:
処理者のみ関係する場合、
i. Identify the processor’s place of central administration in the EEA;EEA 域内の処理者の統括管理部門の場所を特定する。
ii. If the processor has no central administration in the EEA, identify the establishment in the
EEA where the main processing activities of the processor take place
処理者が EEA 域内に統括管理部門をもたない場合、処理者の主要な取扱活動が行われる
EEA 域内の拠点を特定する。

d.

In a case involving joint controllers:
共同管理者が関係する場合、
i. Check if the joint controllers are established in the EEA.
共同管理者が EEA 域内に拠点を有するかどうかを確認する。
ii. Identify the place of central administration in the EEA for each joint controller respectively(where applicable);
各共同管理者それぞれについて、EEA 域内の統括管理部門の場所を特定する（該当する場合）。
iii. The supervisory authority of the country where the place of central administration is locatedis the lead supervisory authority of the respective joint controller.
統括管理部門の場所が所在する国の監督機関が、それぞれの共同管理者の主監督機関
となる。

3
3

Are there any ‘concerned supervisory authorities’?
『関係監督機関』は存在するか？

22

An authority is a ‘concerned authority’:
監督機関は、次の場合『関係監督機関』となる。
・ When the controller or processor has an establishment on its territory, or:
管理者又は処理者が、その管轄地域内に拠点を有している場合、又は、・ When data subjects on its territory are substantially affected or likely to be substantiallyaffected by the processing, or:
取扱いが、その管轄地域内のデータ主体に対し、実質的な影響を及ぼす又は実質的な影響を及ぼす可能性が高い場合、又は、・ When a complaint is received by a particular supervisory authority.
特定の監督機関により、異議申立てが受理されている場合。

23