仮日本語訳

REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 27 April 2016
on the protection of natural persons with regard to the processing of personal data and on the freemovement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)

個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、指令 95/46/EC を廃止する欧州議会及び理事会の 2016 年 4 月 27 日の規則(EU) 2016/679（一般データ保護規則）【条文】

本書面は、“REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April
2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data,
and repealing Directive 95/46/EC (General Data Protection Regulation)” の英語版の条文の一部を個人情報保護委員会
が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。また、翻訳の内容について、必要な場合には随時修正することがある点についてもご留意いただきたい。

目次
第 1 章 一般規定 ...........................................................................................................................................................................................1
第 1 条 対象事項及び目的.................................................................................................................................................................1
第 2 条 実体的適用範囲 .....................................................................................................................................................................1
第 3 条 地理的適用範囲 .....................................................................................................................................................................2
第 4 条 定義 ...........................................................................................................................................................................................2
第 2 章 基本原則 ...........................................................................................................................................................................................7
第 5 条 個人データの取扱いと関連する基本原則.....................................................................................................................7
第 6 条 取扱いの適法性 .....................................................................................................................................................................8
第 7 条 同意の要件............................................................................................................................................................................10
第 8 条 情報社会サービスとの関係において子どもの同意に適用される要件..............................................................11
第 9 条 特別な種類の個人データの取扱い................................................................................................................................12
第 10 条 有罪判決及び犯罪と関連する個人データの取扱い...............................................................................................14
第 11 条 識別を要しない取扱い....................................................................................................................................................14
第 3 章 データ主体の権利........................................................................................................................................................................14
第 1 節 透明性及び手順........................................................................................................................................................................15
第 12 条 データ主体の権利行使のための透明性のある情報提供、連絡及び書式.......................................................15
第 2 節 情報及び個人データへのアクセス ....................................................................................................................................16
第 13 条 データ主体から個人データが取得される場合において提供される情報.......................................................16
第 14 条 個人データがデータ主体から取得されたものではない場合において提供される情報.............................18
第 15 条 データ主体によるアクセスの権利..............................................................................................................................21
第 3 節 訂正及び消去............................................................................................................................................................................22
第 16 条 訂正の権利..........................................................................................................................................................................22
第 17 条 消去の権利（「忘れられる権利」）..............................................................................................................................22
第 18 条 取扱いの制限の権利 ........................................................................................................................................................24
第 19 条 個人データの訂正若しくは消去又は取扱いの制限に関する通知義務 ...........................................................25
第 20 条 データポータビリティの権利.......................................................................................................................................25
第 4 節 異議を述べる権利及び個人に対する自動化された意思決定....................................................................................26
第 21 条 異議を述べる権利.............................................................................................................................................................26
第 22 条 プロファイリングを含む個人に対する自動化された意思決定.........................................................................27
第 5 節 制限..............................................................................................................................................................................................27
第 23 条 制限.......................................................................................................................................................................................28
第 4 章 管理者及び処理者........................................................................................................................................................................29
第 1 節 一般的な義務............................................................................................................................................................................29
第 24 条 管理者の責任 .....................................................................................................................................................................29
第 25 条 データ保護バイデザイン及びデータ保護バイデフォルト..................................................................................30
第 26 条 共同管理者..........................................................................................................................................................................31
第 27 条 EU 域内に拠点のない管理者又は処理者の代理人 ................................................................................................31
第 28 条 処理者...................................................................................................................................................................................32
第 29 条 管理者又は処理者の権限の下における取扱い........................................................................................................35
第 30 条 取扱活動の記録.................................................................................................................................................................35
第 31 条 監督機関との協力.............................................................................................................................................................36
第 2 節 個人データの安全性...............................................................................................................................................................37
1

第 32 条 取扱いの安全性.................................................................................................................................................................37
第 33 条 監督機関に対する個人データ侵害の通知 ................................................................................................................38
第 34 条 データ主体に対する個人データ侵害の連絡............................................................................................................39
第 3 節 データ保護影響評価及び事前協議 ....................................................................................................................................40
第 35 条 データ保護影響評価 ........................................................................................................................................................40
第 36 条 事前協議 ..............................................................................................................................................................................42
第 4 節 データ保護オフィサー ..........................................................................................................................................................43
第 37 条 データ保護オフィサーの指名.......................................................................................................................................43
第 38 条 データ保護オフィサーの地位.......................................................................................................................................44
第 39 条 データ保護オフィサーの職務.......................................................................................................................................45
第 5 節 行動規範及び認証 ...................................................................................................................................................................46
第 40 条 行動規範 ..............................................................................................................................................................................46
第 41 条 承認された行動規範の監視...........................................................................................................................................49
第 42 条 認証.......................................................................................................................................................................................50
第 43 条 認証機関 ..............................................................................................................................................................................51
第 5 章 第三国又は国際機関への個人データの移転.......................................................................................................................54
第 44 条 移転に関する一般原則....................................................................................................................................................54
第 45 条 十分性認定に基づく移転 ...............................................................................................................................................54
第 46 条 適切な保護措置に従った移転.......................................................................................................................................56
第 47 条 拘束的企業準則.................................................................................................................................................................58
第 48 条 EU 法によって認められない移転又は開示 .............................................................................................................60
第 49 条 特定の状況における例外 ...............................................................................................................................................61
第 50 条 個人データ保護のための国際協力..............................................................................................................................63
第 6 章 独立監督機関 ................................................................................................................................................................................63
第 1 節 独立的地位 ................................................................................................................................................................................63
第 51 条 監督機関 ..............................................................................................................................................................................63
第 52 条 独立性...................................................................................................................................................................................64
第 53 条 監督機関のメンバーに関する一般的条件 ................................................................................................................65
第 54 条 監督機関の設置規定 ........................................................................................................................................................65
第 2 節 職務権限、職務及び権限......................................................................................................................................................66
第 55 条 職務権限 ..............................................................................................................................................................................66
第 56 条 主監督機関の職務権限....................................................................................................................................................67
第 57 条 職務.......................................................................................................................................................................................68
第 58 条 権限.......................................................................................................................................................................................70
第 59 条 活動報告書..........................................................................................................................................................................73
第 7 章 協力と一貫性 ................................................................................................................................................................................73
第 1 節 協力..............................................................................................................................................................................................74
第 60 条 主監督機関とその他関係監督機関との間の協力 .....................................................................................................74
第 61 条 共助.......................................................................................................................................................................................76
第 62 条 監督機関の共同作業 ........................................................................................................................................................77
第 2 節 一貫性 .........................................................................................................................................................................................79
第 63 条 一貫性メカニズム.............................................................................................................................................................79
第 64 条 欧州データ保護会議の意見...........................................................................................................................................79
第 65 条 欧州データ保護会議による対立の解決.....................................................................................................................81
第 66 条 緊急の手続..........................................................................................................................................................................82
第 67 条 情報交換 ..............................................................................................................................................................................83
第 3 節 欧州データ保護会議...............................................................................................................................................................832

第 68 条 欧州データ保護会議 ........................................................................................................................................................83
第 69 条 独立性...................................................................................................................................................................................84
第 70 条 欧州データ保護会議の職務...........................................................................................................................................84
第 71 条 報告書...................................................................................................................................................................................88
第 72 条 手続.......................................................................................................................................................................................88
第 73 条 議長.......................................................................................................................................................................................88
第 74 条 議長の職務..........................................................................................................................................................................89
第 75 条 事務局...................................................................................................................................................................................89
第 76 条 機密性...................................................................................................................................................................................90
第 8 章 救済、法的責任及び制裁 ..........................................................................................................................................................91
第 77 条 監督機関に異議を申立てる権利..................................................................................................................................91
第 78 条 監督機関を相手方とする効果的な司法救済の権利...............................................................................................91
第 79 条 管理者又は処理者を相手方とする効果的な司法救済の権利 .............................................................................92
第 80 条 データ主体の代理人 ........................................................................................................................................................92
第 81 条 訴訟手続の停止.................................................................................................................................................................92
第 82 条 賠償の権利及び法的責任 ...............................................................................................................................................93
第 83 条 制裁金を科すための一般的要件..................................................................................................................................94
第 84 条 制裁.......................................................................................................................................................................................97
第 9 章 特定の取扱いの状況と関係する条項 ....................................................................................................................................97
第 85 条 取扱いと表現の自由及び情報伝達の自由 ................................................................................................................97
第 86 条 公文書の取扱い及び公衆のアクセス .........................................................................................................................98
第 87 条 国民識別番号の取扱い....................................................................................................................................................98
第 88 条 雇用の過程における取扱い...........................................................................................................................................98
第 89 条 公共の利益における保管の目的、科学調査若しくは歴史調査の目的又は統計の目的のための取扱いと関連する保護措置及び特例...............................................................................................................................................................99
第 90 条 守秘義務 ........................................................................................................................................................................... 100
第 91 条 教会及び宗教団体の既存のデータ保護規則......................................................................................................... 100
第 10 章 委任される行為及び実装行為 ............................................................................................................................................ 101
第 92 条 委任される行為の執行................................................................................................................................................. 101
第 93 条 委員会の手続 .................................................................................................................................................................. 101
第 11 章 最終規定 .................................................................................................................................................................................... 102
第 94 条 指令 95/46/EC の廃止 ................................................................................................................................................... 102
第 95 条 指令 2002/58/EC との関係 .......................................................................................................................................... 102
第 96 条 既に締結された協定との関係.................................................................................................................................... 102
第 97 条 欧州委員会の報告書 ..................................................................................................................................................... 103
第 98 条 データ保護に関する EU の他の法的行為の見直し ............................................................................................ 103
第 99 条 発効及び適用 .................................................................................................................................................................. 104

3

CHAPTER I General provisions
第 1 章 一般規定

Article 1 Subject-matter and objectives
第 1 条 対象事項及び目的
1. This Regulation lays down rules relating to the protection of natural persons with regard to the processing of personal data
and rules relating to the free movement of personal data.
1. 本規則は、個人データの取扱いと関連する自然人の保護に関する規定及び個人データの自由な移動に関する規定を定める。
2. This Regulation protects fundamental rights and freedoms of natural persons and in particular their right to the protectionof personal data.
2. 本規則は、自然人の基本的な権利及び自由、並びに、特に、自然人の個人データの保護の権利を保護する。
3. The free movement of personal data within the Union shall be neither restricted nor prohibited for reasons connected withthe protection of natural persons with regard to the processing of personal data.
3. EU 域内における個人データの自由な移動は、個人データの取扱いと関連する自然人の保護と関係する理由のゆえに制限されることも禁止されることもない。
Article 2 Material scope
第 2 条 実体的適用範囲
1. This Regulation applies to the processing of personal data wholly or partly by automated means and to the processing otherthan by automated means of personal data which form part of a filing system or are intended to form part of a filing system.
1. 本規則は、その全部又は一部が自動的な手段による個人データの取扱いに対し、並びに、自動的な手段以外の方法による個人データの取扱いであって、ファイリングシステムの一部を構成するもの、又は、ファイリン
グシステムの一部として構成することが予定されているものに対し、適用される。
2. This Regulation does not apply to the processing of personal data:
2. 本規則は、以下の個人データの取扱いには適用されない：(a) in the course of an activity which falls outside the scope of Union law;(a) EU 法の適用範囲外にある活動の過程で行われる場合。
(b) by the Member States when carrying out activities which fall within the scope of Chapter 2 of Title V of the TEU;(b) 加盟国によって EU 条約第 5 款第 2 章の適用範囲内にある活動が行われる場合。
(c) by a natural person in the course of a purely personal or household activity;(c) 自然人によって純粋に私的な行為又は家庭内の行為の過程において行われる場合。
(d) by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal
offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public
security.
(d) 公共の安全への脅威からの保護及びその脅威の防止を含め、所管官庁によって犯罪行為の防止、捜査、
検知若しくは訴追又は刑罰の執行のために行われる場合。
1

3. For the processing of personal data by the Union institutions, bodies, offices and agencies, Regulation (EC) No 45/2001
applies. Regulation (EC) No 45/2001 and other Union legal acts applicable to such processing of personal data shall be adapted
to the principles and rules of this Regulation in accordance with Article 98.
3. EU の機関、組織、事務局及び部局による個人データの取扱いに関しては、規則(EC) No 45/2001 が適用される。規則(EC) No 45/2001 及び個人データのそのような取扱いに適用可能な同規則以外の EU の法令は、第 98条に従い、本規則の基本原則及び規定に適合するように調整される。
4. This Regulation shall be without prejudice to the application of Directive 2000/31/EC, in particular of the liability rules ofintermediary service providers in Articles 12 to 15 of that Directive.
4. 本規則は、指令 2000/31/EC の適用、特に、同指令の第 12 条から第 15 条にある中間介在サービスプロバイ
ダの法的責任に関する規定の適用を妨げない。
Article 3 Territorial scope
第 3 条 地理的適用範囲
1. This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller
or a processor in the Union, regardless of whether the processing takes place in the Union or not.
1. 本規則は、その取扱いが EU 域内で行われるものであるか否かを問わず、EU 域内の管理者又は処理者の拠点の活動の過程における個人データの取扱いに適用される。
2. This Regulation applies to the processing of personal data of data subjects who are in the Union by a controller or processor
not established in the Union, where the processing activities are related to:
2. 取扱活動が以下と関連する場合、本規則は、EU 域内に拠点のない管理者又は処理者による EU 域内のデー
タ主体の個人データの取扱いに適用される：(a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects
in the Union; or(a) データ主体の支払いが要求されるか否かを問わず、EU 域内のデータ主体に対する物品又はサービスの提供。又は(b) the monitoring of their behaviour as far as their behaviour takes place within the Union.
(b) データ主体の行動が EU 域内で行われるものである限り、その行動の監視。
3. This Regulation applies to the processing of personal data by a controller not established in the Union, but in a place where
Member State law applies by virtue of public international law.
3. 本規則は、EU 域内に拠点のない管理者によるものであっても、国際公法の効力により加盟国の国内法の適用のある場所において行われる個人データの取扱いに適用される。
Article 4 Definitions
第 4 条 定義
For the purposes of this Regulation:
本規則の目的のために：(1) ‘personal data’ means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable
natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an
2identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic,
mental, economic, cultural or social identity of that natural person;(1) 「個人データ」とは、識別された自然人又は識別可能な自然人（「データ主体」）に関する情報を意味する。
識別可能な自然人とは、特に、氏名、識別番号、位置データ、オンライン識別子のような識別子を参照することによって、又は、当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的又は社会的な同一性を示す一つ又は複数の要素を参照することによって、直接的又は間接的に、識別されうる者をいう。
(2) ‘processing’ means any operation or set of operations which is performed on personal data or on sets of personal data,
whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration,
retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or
combination, restriction, erasure or destruction;(2) 「取扱い」とは、自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正若しくは変更、検索、参照、使用、送信による開示、配布、又は、それら以外に利用可能なものとすること、整列若
しくは結合、制限、消去若しくは破壊のような、個人データ若しくは一群の個人データに実施される業務遂行又は一群の業務遂行を意味する。
(3) ‘restriction of processing’ means the marking of stored personal data with the aim of limiting their processing in the future;(3) 「取扱いの制限」とは、将来におけるその取扱いを限定するために、記録保存された個人データに目印をつけることを意味する。
(4) ‘profiling’ means any form of automated processing of personal data consisting of the use of personal data to evaluate
certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person's
performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements;(4) 「プロファイリング」とは、自然人と関連する一定の個人的側面を評価するための、特に、当該自然人の業務遂行能力、経済状態、健康、個人的嗜好、興味関心、信頼性、行動、位置及び移動に関する側面を分析又は予測するための、個人データの利用によって構成される、あらゆる形式の、個人データの自動的な取扱いを意味する。
(5) ‘pseudonymisation’ means the processing of personal data in such a manner that the personal data can no longer be
attributed to a specific data subject without the use of additional information, provided that such additional information is kept
separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an
identified or identifiable natural person;(5) 「仮名化」とは、追加的な情報が分離して保管されており、かつ、その個人データが識別された自然人又は識別可能な自然人に属することを示さないことを確保するための技術上及び組織上の措置の下にあることを条件として、その追加的な情報の利用なしには、その個人データが特定のデータ主体に属することを示すことができないようにする態様で行われる個人データの取扱いを意味する。
(6) ‘filing system’ means any structured set of personal data which are accessible according to specific criteria, whether
centralised, decentralised or dispersed on a functional or geographical basis;(6) 「ファイリングシステム」とは、個人データの構成された集合体であって、機能上又は地理上における集
中型、分散型又は散在型の別を問わず、特定の基準に従ってアクセス可能なものを意味する。
(7) ‘controller’ means the natural or legal person, public authority, agency or other body which, alone or jointly with others,
determines the purposes and means of the processing of personal data; where the purposes and means of such processing aredetermined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by
Union or Member State law;(7) 「管理者」とは、自然人又は法人、公的機関、部局又はその他の組織であって、単独で又は他の者と共同
3

で、個人データの取扱いの目的及び方法を決定する者を意味する。その取扱いの目的及び方法が EU 法又は加盟国の国内法によって決定される場合、管理者又は管理者を指定するための特別の基準は、EU 法又は加盟国の国内法によって定めることができる。
(8) ‘processor’ means a natural or legal person, public authority, agency or other body which processes personal data on behalfof the controller;(8) 「処理者」とは、管理者の代わりに個人データを取扱う自然人若しくは法人、公的機関、部局又はその他の組織を意味する。
(9) ‘recipient’ means a natural or legal person, public authority, agency or another body, to which the personal data are disclosed,
whether a third party or not. However, public authorities which may receive personal data in the framework of a particularinquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by
those public authorities shall be in compliance with the applicable data protection rules according to the purposes of theprocessing;(9) 「取得者」とは、第三者であるか否かを問わず、個人データの開示を受ける自然人若しくは法人、公的機
関、部局又はその他の組織を意味する。ただし、EU 法又は加盟国の国内法に従って特別の調査の枠組み内で個人データを取得できる公的機関は、取得者とはみなされない。公的機関によるそのデータの取扱いは、その取扱いの目的に従い、適用可能なデータ保護の規定を遵守するものとする。
(10) ‘third party’ means a natural or legal person, public authority, agency or body other than the data subject, controller,
processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data;(10) 「第三者」とは、データ主体、管理者、処理者、及び、管理者又は処理者の直接の承認の下で個人データの取扱いを承認されている者以外の自然人若しくは法人、公的機関、部局又はその他の組織を意味する。
(11) ‘consent’ of the data subject means any freely given, specific, informed and unambiguous indication of the data subject's
wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal
data relating to him or her;(11) データ主体の「同意」とは、自由に与えられ、特定され、事前に説明を受けた上での、不明瞭ではない、
データ主体の意思の表示を意味し、それによって、データ主体が、その陳述又は明確な積極的行為により、自身に関連する個人データの取扱いの同意を表明するものを意味する。
(12) ‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration,
unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;(12) 「個人データ侵害」とは、偶発的又は違法な、破壊、喪失、改変、無権限の開示又は無権限のアクセスを導くような、送信され、記録保存され、又は、その他の取扱いが行われる個人データの安全性に対する侵害を意味する。
(13) ‘genetic data’ means personal data relating to the inherited or acquired genetic characteristics of a natural person whichgive unique information about the physiology or the health of that natural person and which result, in particular, from ananalysis of a biological sample from the natural person in question;(13) 「遺伝子データ」とは、自然人の、先天的な又は後天的な遺伝的特性に関連する個人データであって、自然人の生理状態又は健康状態に関する固有な情報を与えるものであり、かつ、特に、当の自然人から得られた生化学資料の分析結果から生ずるものを意味する。
(14) ‘biometric data’ means personal data resulting from specific technical processing relating to the physical, physiologicalor behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person, suchas facial images or dactyloscopic data;4

(14) 「生体データ」とは、自然人の身体的、生理的又は行動的な特性に関連する特別な技術的取扱いから得られる個人データであって、顔画像や指紋データのように、当該自然人を一意に識別できるようにするもの、又は、その識別を確認するものを意味する。
(15) ‘data concerning health’ means personal data related to the physical or mental health of a natural person, including theprovision of health care services, which reveal information about his or her health status;(15)「健康に関するデータ」とは、医療サービスの提供を含め、健康状態に関する情報を明らかにする、自然
人の身体的又は精神的な健康と関連する個人データを意味する。
(16) ‘main establishment’ means:(16) 「主たる拠点」とは、以下のものを意味する。
(a) as regards a controller with establishments in more than one Member State, the place of its central administration in
the Union, unless the decisions on the purposes and means of the processing of personal data are taken in anotherestablishment of the controller in the Union and the latter establishment has the power to have such decisions
implemented, in which case the establishment having taken such decisions is to be considered to be the mainestablishment;(a) 複数の加盟国に拠点をもつ管理者に関しては、EU 域内の管理者の統括管理部門の場所。ただし、個人
データの取扱いの目的及び方法の決定が EU 域内の管理者の別の拠点で行われ、かつ、当該拠点がその決定を実施する権限をもち、そのような決定を実施する拠点が主たる拠点とみなされる場合を除く。
(b) as regards a processor with establishments in more than one Member State, the place of its central administration in
the Union, or, if the processor has no central administration in the Union, the establishment of the processor in the Union
where the main processing activities in the context of the activities of an establishment of the processor take place to theextent that the processor is subject to specific obligations under thisRegulation;(b) 複数の加盟国に拠点をもつ処理者に関しては、EU 域内の処理者の統括管理部門の場所、又は、処理者が EU 域内に統括管理部門をもたない場合、処理者が本規則に基づく特別の義務に服する範囲内において、処理者の拠点の活動の過程で主要な取扱活動が行われる EU 域内の処理者の拠点。
(17) ‘representative’ means a natural or legal person established in the Union who, designated by the controller or processor
in writing pursuant to Article 27, represents the controller or processor with regard to their respective obligations under thisRegulation;(17) 「代理人」とは、EU 域内に拠点のある自然人又は法人であって、第 27 条に従い、管理者又は処理者から書面によって指名され、本規則に基づく管理者又は処理者のそれぞれの義務に関して管理者又は処理者を代理する者のことを意味する。
(18) ‘enterprise’ means a natural or legal person engaged in an economic activity, irrespective of its legal form, including
partnerships or associations regularly engaged in an economic activity;(18) 「事業者」とは、その法的形式を問わず、継続的に経済活動に従事するパートナーシップ及び団体を含め、経済活動に従事する自然人又は法人のことを意味する。
(19) ‘group of undertakings’ means a controlling undertaking and its controlled undertakings;(19) 「企業グループ」とは、支配管理する企業及びそれによって支配管理される企業のことを意味する。
(20) ‘binding corporate rules’ means personal data protection policies which are adhered to by a controller or processor
established on the territory of a Member State for transfers or a set of transfers of personal data to a controller or processor in5

one or more third countries within a group of undertakings, or group of enterprises engaged in a joint economic activity;(20) 「拘束的企業準則」とは、個人データ保護方針であって、企業グループの中又は共同事業を営んでいる事業者グループの中で、一又は複数の第三国内の管理者又は処理者に対して個人データの移転をするため、又は、一群の個人データの移転をするために、加盟国の領土に設けられた管理者又は処理者によって遵守されるもののことを意味する。
(21) ‘supervisory authority’ means an independent public authority which is established by a Member State pursuant to Article
51;(21) 「監督機関」とは、第 51 条により加盟国によって設置される独立の公的機関のことを意味する。
(22) ‘supervisory authority concerned’ means a supervisory authority which is concerned by the processing of personal data
because:(22) 「関係監督機関」とは、以下のいずれかの理由によって、個人データの取扱いと関係付けられている監督機関のことを意味する。
(a) the controller or processor is established on the territory of the Member State of that supervisory authority;(a) 当該監督機関の加盟国の領土上に管理者又は処理者の拠点がある、(b) data subjects residing in the Member State of that supervisory authority are substantially affected or likely to be
substantially affected by the processing; or(b) 当該監督機関の加盟国に居住するデータ主体が、取扱いによって重大な影響を受けている、若しくは、重大な影響を受けるおそれがある、又は、(c) a complaint has been lodged with that supervisory authority;(c) 当該監督機関に異議が申立てられている。
(23) ‘cross-border processing’ means either:(23) 「越境取扱い」とは、以下のいずれかを意味する。
(a) processing of personal data which takes place in the context of the activities of establishments in more than one
Member State of a controller or processor in the Union where the controller or processor is established in more than one
Member State; or(a) 管理者又は処理者が複数の加盟国に拠点がある場合、EU 域内の管理者又は処理者の複数の加盟国の拠点の活動の過程で行われる個人データの取扱い、又は、(b) processing of personal data which takes place in the context of the activities of a single establishment of a controller
or processor in the Union but which substantially affects or is likely to substantially affect data subjects in more than one
Member State.
(b) EU 域内の管理者又は処理者の単一の拠点の活動の過程で行われるけれども、複数の加盟国内のデータ主体に対して重大な悪影響を与え、又は、重大な悪影響を与えるおそれのある個人データの取扱い。
(24) ‘relevant and reasoned objection’ means an objection to a draft decision as to whether there is an infringement of thisRegulation, or whether envisaged action in relation to the controller or processor complies with this Regulation, which clearly
demonstrates the significance of the risks posed by the draft decision as regards the fundamental rights and freedoms of data
subjects and, where applicable, the free flow of personal data within theUnion;(24) 「関連性があり理由を付した異議」とは、本規則の違反行為があるか否か、又は、管理者又は処理者との6

関係において予定されている活動が本規則を遵守するものか否かに関する決定案に対する異議であって、デー
タ主体の基本的な権利及び自由に関して、並びに、適用があるときは、EU 域内における個人データの自由な流れに関して、その決定案によって示されるリスクの重大性を明瞭に述べるもののことを意味する。
(25) ‘information society service’ means a service as defined in point (b) of Article 1(1) of Directive (EU) 2015/1535 of theEuropean Parliament and of the Council (1);(25) 「情報社会サービス」とは、欧州議会及び理事会の指令(EU) 2015/15351の第 1 条第 1 項(b)に定義するサービスのことを意味する。
(26) ‘international organisation’ means an organisation and its subordinate bodies governed by public international law, or any
other body which is set up by, or on the basis of, an agreement between two or more countries.
(26) 「国際機関」とは、国際公法によって規律される組織及びその下部組織、又は、その他の組織であって、複数の国の間の協定によって、若しくは、その協定に基づいて、設立されるもののことを意味する。

CHAPTER II Principles
第 2 章 基本原則
Article 5 Principles relating to processing of personal data
第 5 条 個人データの取扱いと関連する基本原則

1. Personal data shall be:
1. 個人データは：(a) processed lawfully, fairly and in a transparent manner in relation to the data subject (‘lawfulness, fairness andtransparency’);(a) そのデータ主体との関係において、適法であり、公正であり、かつ、透明性のある態様で取扱われなければならない。
（「適法性、公正性及び透明性」）(b) collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible
with those purposes; further processing for archiving purposes in the public interest, scientific or historical research
purposes or statistical purposes shall, in accordance with Article 89(1), not be considered to be incompatible with theinitial purposes (‘purpose limitation’);(b) 特定され、明確であり、かつ、正当な目的のために収集されるものとし、かつ、その目的に適合しない態様で追加的取扱いをしてはならない。公共の利益における保管の目的、科学的研究若しくは歴史的研究の目的又は統計の目的のために行われる追加的取扱いは、第 89 条第 1 項に従い、当初の目的と適合しないものとはみなされない。
（「目的の限定」）(c) adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (‘data
minimisation’);(c) その個人データが取扱われる目的との関係において、十分であり、関連性があり、かつ、必要のあるものに限定されなければならない。
（「データの最小化」）(1) Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provisionof information in the field of technical regulations and of rules on Information Society services (OJ L 241, 17.9.2015, p. 1).
1技術標準の分野における情報の提供のための手続及び情報社会サービスに関する規則を定める欧州議会及び理事会の2015 年 9 月 9 日の指令(EU) 2015/1535（OJ L 241, 17.9.2015, p.1）
7

(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that personal data thatare inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay(‘accuracy’);(d) 正確であり、かつ、それが必要な場合、最新の状態に維持されなければならない。その個人データが取扱われる目的を考慮した上で、遅滞なく、不正確な個人データが消去又は訂正されることを確保するための全ての手立てが講じられなければならない。
（
「正確性」
）
(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which
the personal data are processed; personal data may be stored for longer periods insofar as the personal data will beprocessed solely for archiving purposes in the public interest, scientific or historical research purposes or statistical
purposes in accordance with Article 89(1) subject to implementation of the appropriate technical and organisational
measures required by this Regulation in order to safeguard the rights and freedoms of the data subject (‘storage
limitation’);(e) その個人データが取扱われる目的のために必要な期間だけ、データ主体の識別を許容する方式が維持されるべきである。データ主体の権利及び自由の安全性を確保するために本規則によって求められる適切な技術上及び組織上の措置の実装の下で、第 89 条第 1 項に従い、公共の利益における保管の目的、科学的研究若しくは歴史的研究の目的又は統計の目的のみのために取扱われる個人データである限り、その個人データをより長い期間記録保存できる。
（「記録保存の制限」）(f) processed in a manner that ensures appropriate security of the personal data, including protection against unauthorisedor unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational
measures (‘integrity and confidentiality’).
(f) 無権限による取扱い若しくは違法な取扱いに対して、並びに、偶発的な喪失、破壊又は損壊に対して、適切な技術上又は組織上の措置を用いて行われる保護を含め、個人データの適切な安全性を確保する態様
により、取扱われる。
（「完全性及び機密性」）
2. The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1 (‘accountability’).
2. 管理者は、第 1 項について責任を負い、かつ、同項遵守を証明できるようにしなければならないものとする。
（「アカウンタビリティ」）
Article 6 Lawfulness of processing
第 6 条 取扱いの適法性

1. Processing shall be lawful only if and to the extent that at least one of the following applies:
1. 取扱いは、以下の少なくとも一つが適用される場合においてのみ、その範囲内で、適法である：(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;(a) データ主体が、一つ又は複数の特定の目的のための自己の個人データの取扱いに関し、同意を与えた場合。
(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at
the request of the data subject prior to entering into a contract;(b) データ主体が契約当事者となっている契約の履行のために取扱いが必要となる場合、又は、契約締結の前に、データ主体の要求に際して手段を講ずるために取扱いが必要となる場合。
8

(c) processing is necessary for compliance with a legal obligation to which the controller is subject;(c) 管理者が服する法的義務を遵守するために取扱いが必要となる場合。
(d) processing is necessary in order to protect the vital interests of the data subject or of another natural person;(d) データ主体又は他の自然人の生命に関する利益を保護するために取扱いが必要となる場合。
(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official
authority vested in the controller;(e) 公共の利益において、又は、管理者に与えられた公的な権限の行使において行われる職務の遂行のために取扱いが必要となる場合。
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except
where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require
protection of personal data, in particular where the data subject is a child.
(f) 管理者によって、又は、第三者によって求められる正当な利益の目的のために取扱いが必要となる場合。ただし、その利益よりも、個人データの保護を求めるデータ主体の利益並びに基本的な権利及び自由のほうが優先する場合、特に、そのデータ主体が子どもである場合を除く。
Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performance of theirtasks.
第 1 項(f)は、公的機関によってその職務の遂行のために行われる取扱いには適用されない。
2. Member States may maintain or introduce more specific provisions to adapt the application of the rules of this Regulation
with regard to processing for compliance with points (c) and (e) of paragraph 1 by determining more precisely specificrequirements for the processing and other measures to ensure lawful and fair processing including for other specific processing
situations as provided for in Chapter IX.
2. 加盟国は、第 1 項(c)及び(e)を遵守する取扱いに関し、第 9 章に定めるその他の特別の取扱いの状況に関する場合を含め、適法かつ公正な取扱いを確保するため、取扱いのためのより詳細で細目的な要件及びその他の措置を定めることによって、本規則の規定の適用を調整するためのより細目的な条項を維持し、又は、これを導入できる。
3. The basis for the processing referred to in point (c) and (e) of paragraph 1 shall be laid down by:
3. 第 1 項(c)及び(e)に定める取扱いのための根拠は、以下によって定められる：(a) Union law; or(a) EU 法。又は、(b) Member State law to which the controller is subject.
(b) 管理者が服する加盟国の国内法。
The purpose of the processing shall be determined in that legal basis or, as regards the processing referred to in point (e) of
paragraph 1, shall be necessary for the performance of a task carried out in the public interest or in the exercise of official
authority vested in the controller. That legal basis may contain specific provisions to adapt the application of rules of thisRegulation, inter alia: the general conditions governing the lawfulness of processing by the controller; the types of data which
are subject to the processing; the data subjects concerned; the entities to, and the purposes for which, the personal data may bedisclosed; the purpose limitation; storage periods; and processing operations and processing procedures, including measures
to ensure lawful and fair processing such as those for other specific processing situations as provided for in Chapter IX. The
9

Union or the Member State law shall meet an objective of public interest and be proportionate to the legitimate aim pursued.
取扱いの目的は、その法的根拠に従って決定され、又は、第 1 項(e)に定める取扱いに関しては、公共の利益において、若しくは、管理者に与えられた公的な権限の行使において行われる職務の遂行のために必要なものとする。その法的根拠は、本規則の規定の適用を調整するための特別の条項を含みうる。特に、管理者による取扱いの適法性を規律する一般的な条件、取扱いの対象となるデータの種類、関係するデータ主体、個人データが開示されうる組織及びその目的、目的の限定、記録保存期間、並びに、第 9 章中に定めるその他の特別の取扱いの状況のための措置のような適法かつ公正な取扱いを確保するための措置を含めた取扱業務及び取扱手
続を含めることができる。EU 法又は加盟国の国内法は、公共の利益の目的に適合するものであり、かつ、その求める正当な目的と比例的なものとする。
4. Where the processing for a purpose other than that for which the personal data have been collected is not based on the data
subject's consent or on a Union or Member State law which constitutes a necessary and proportionate measure in a democraticsociety to safeguard the objectives referred to in Article 23(1), the controller shall, in order to ascertain whether processing foranother purpose is compatible with the purpose for which the personal data are initially collected, take into account, inter alia:
4. 個人データが収集された目的以外の目的のための取扱いが、データ主体の同意に基づくものではなく、
又は、第 23 条第 1 項に定める対象を保護するために民主主義の社会において必要かつ比例的な手段を構成する EU法若しくは加盟国の国内法に基づくものではない場合、管理者は、別の目的のための取扱いが、その個人デー
タが当初に収集された目的と適合するか否かを確認するため、特に、以下を考慮に入れる。
(a) any link between the purposes for which the personal data have been collected and the purposes of the intended further
processing;(a) 個人データが収集された目的と予定されている追加的取扱いの目的との間の関連性。
(b) the context in which the personal data have been collected, in particular regarding the relationship between data
subjects and the controller;(b) 特にデータ主体と管理者との間の関係と関連して、その個人データが収集された経緯。
(c) the nature of the personal data, in particular whether special categories of personal data are processed, pursuant to
Article 9, or whether personal data related to criminal convictions and offences are processed, pursuant to Article 10;(c) 個人データの性質、特に、第 9 条により、特別な種類の個人データが取扱われるのか否か、又は、第10 条により、有罪判決又は犯罪行為と関係する個人データが取扱われるのか否か。
(d) the possible consequences of the intended further processing for data subjects;(d) 予定されている追加的取扱いの結果としてデータ主体に発生する可能性のある事態。
(e) the existence of appropriate safeguards, which may include encryption or pseudonymisation.
(e) 適切な保護措置の存在。これには、暗号化又は仮名化を含むことができる。
Article 7 Conditions for consent
第 7 条 同意の要件
1. Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented toprocessing of his or her personal data.
1. 取扱いが同意に基づく場合、管理者は、データ主体が自己の個人データの取扱いに同意していることを証明
きるようにしなければならない。
2. If the data subject's consent is given in the context of a written declaration which also concerns other matters, the request
10

for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily
accessible form, using clear and plain language. Any part of such a declaration which constitutes an infringement of thisRegulation shall not be binding.
2. 別の事項とも関係する書面上の宣言の中でデータ主体の同意が与えられる場合、その同意の要求は、別の事
項と明確に区別でき、理解しやすく容易にアクセスできる方法で、明確かつ平易な文言を用いて、表示されなければならない。そのような書面上の宣言中の本規則の違反行為を構成する部分は、いかなる部分についても拘束力がない。
3. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affectthe lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed
thereof. It shall be as easy to withdraw as to give consent.
3. データ主体は、自己の同意を、いつでも、撤回する権利を有する。同意の撤回は、その撤回前の同意に基づく取扱いの適法性に影響を与えない。データ主体は、同意を与える前に、そのことについて情報提供を受ける
ものとしなければならない。同意の撤回は、同意を与えるのと同じように、容易なものでなければならない。
4. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of acontract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary
for the performance of that contract.
4. 同意が自由に与えられたか否かを判断する場合、特に、サービスの提供を含め、当該契約の履行に必要のない個人データの取扱いの同意を契約の履行の条件としているか否かについて、最大限の考慮が払われなければならない。
Article 8 Conditions applicable to child's consent in relation to information society services
第 8 条 情報社会サービスとの関係において子どもの同意に適用される要件
1. Where point (a) of Article 6(1) applies, in relation to the offer of information society services directly to a child, theprocessing of the personal data of a child shall be lawful where the child is at least 16 years old. Where the child is below theage of 16 years, such processing shall be lawful only if and to the extent that consent is given or authorised by the holder ofparental responsibility over the child.
Member States may provide by law for a lower age for those purposes provided that such lower age is not below 13 years.
1. 子どもに対する直接的な情報社会サービスの提供との関係において第 6 条第 1 項(a)が適用される場合、その子どもが 16 歳以上であるときは、その子どもの個人データの取扱いは適法である。その子どもが 16 歳未満の場合、そのような取扱いは、その子どもの親権上の責任のある者によって同意が与えられた場合、又は、その者によってそれが承認された場合に限り、かつ、その範囲内に限り、適法である。
加盟国は、その年齢が 13 歳を下回らない限り、法律によって、それらの目的のためのより低い年齢を定めることができる。
2. The controller shall make reasonable efforts to verify in such cases that consent is given or authorised by the holder ofparental responsibility over the child, taking into consideration available technology.
2. 管理者は、利用可能な技術を考慮に入れた上で、その子どもについて親権上の責任のある者によって同意が与えられたこと、又は、その者によってそれが承認されたことを確認するための合理的な努力をするものとする。
3. Paragraph 1 shall not affect the general contract law of Member States such as the rules on the validity, formation or effectof a contract in relation to a child.
3. 第 1 項は、子どもと関係する契約の有効性、締結又は法律効果に関する規定のような加盟国の一般的な契約法に対して影響を与えない。
11

Article 9 Processing of special categories of personal data
第 9 条 特別な種類の個人データの取扱い
1. Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or tradeunion membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person,
data concerning health or data concerning a natural person's sex life or sexual orientation shall be prohibited.
1. 人種的若しくは民族的な出自、政治的な意見、宗教上若しくは思想上の信条、又は、労働組合への加入を明らかにする個人データの取扱い、並びに、遺伝子データ、自然人を一意に識別することを目的とする生体デー
タ、健康に関するデータ、又は、自然人の性生活若しくは性的指向に関するデータの取扱いは、禁止される。
2. Paragraph 1 shall not apply if one of the following applies:
2. 第 1 項は、以下のいずれかの場合には適用されない。
(a) the data subject has given explicit consent to the processing of those personal data for one or more specified purposes,
except where Union or Member State law provide that the prohibition referred to in paragraph 1 may not be lifted by thedata subject;(a) データ主体が、一つ又は複数の特定された目的のためのその個人データの取扱いに関し、明確な同意を与えた場合。ただし、EU 法又は加盟国の国内法が第 1 項に定める禁止をデータ主体が解除できないことを定めている場合を除く。
(b) processing is necessary for the purposes of carrying out the obligations and exercising specific rights of the controller
or of the data subject in the field of employment and social security and social protection law in so far as it is authorised
by Union or Member State law or a collective agreement pursuant to Member State law providing for appropriate
safeguards for the fundamental rights and the interests of the data subject;(b) EU 法若しくは加盟国の国内法により認められている範囲内、又は、データ主体の基本的な権利及び利益のための適切な保護措置を定める加盟国の国内法による団体協約によって認められる範囲内で、雇用及び社会保障並びに社会的保護の法律の分野における管理者又はデータ主体の義務を履行する目的のため、又は、それらの者の特別の権利を行使する目的のために取扱いが必要となる場合。
(c) processing is necessary to protect the vital interests of the data subject or of another natural person where the data
subject is physically or legally incapable of giving consent;(c) データ主体が物理的又は法的に同意を与えることができない場合で、データ主体又はその他の自然人の生命に関する利益を保護するために取扱いが必要となるとき。
(d) processing is carried out in the course of its legitimate activities with appropriate safeguards by a foundation,
association or any other not-for-profit body with a political, philosophical, religious or trade union aim and on condition
that the processing relates solely to the members or to former members of the body or to persons who have regular contact
with it in connection with its purposes and that the personal data are not disclosed outside that body without the consent
of the data subjects;(d) 政治、思想、宗教又は労働組合の目的による団体、協会その他の非営利組織による適切な保護措置を具備する正当な活動の過程において、当該取扱いが、その組織の構成員若しくは元構成員、又は、その組織の目的と関係してその組織と継続的に接触をもつ者のみに関するものであることを条件とし、かつ、データ主体の同意なくその個人データが当該組織の外部に開示されないことを条件として、取扱いが行われる場合。
(e) processing relates to personal data which are manifestly made public by the data subject;12(e) データ主体によって明白に公開のものとされた個人データに関する取扱いの場合。
(f) processing is necessary for the establishment, exercise or defence of legal claims or whenever courts are acting in their
judicial capacity;(f) 訴えの提起若しくは攻撃防御のため、又は、裁判所がその司法上の権能を行使する際に取扱いが必要となる場合。
(g) processing is necessary for reasons of substantial public interest, on the basis of Union or Member State law whichshall be proportionate to the aim pursued, respect the essence of the right to data protection and provide for suitable andspecific measures to safeguard the fundamental rights and the interests of the data subject;(g) 求められる目的と比例的であり、データ保護の権利の本質的部分を尊重し、また、データ主体の基本的な権利及び利益の安全性を確保するための適切かつ個別の措置を定める EU 法又は加盟国の国内法に基づき、重要な公共の利益を理由とする取扱いが必要となる場合。
(h) processing is necessary for the purposes of preventive or occupational medicine, for the assessment of the working
capacity of the employee, medical diagnosis, the provision of health or social care or treatment or the management ofhealth or social care systems and services on the basis of Union or Member State law or pursuant to contract with a healthprofessional and subject to the conditions and safeguards referred to in paragraph 3;(h) EU 法又は加盟国の国内法に基づき、又は、医療専門家との契約により、かつ、第 3 項に定める条件及び保護措置に従い、予防医学若しくは産業医学の目的のために、労働者の業務遂行能力の評価、医療上の診断、医療若しくは社会福祉又は治療の提供、又は、医療制度若しくは社会福祉制度及びそのサービス提供の管理のために取扱いが必要となる場合。
(i) processing is necessary for reasons of public interest in the area of public health, such as protecting against serious
cross-border threats to health or ensuring high standards of quality and safety of health care and of medicinal products ormedical devices, on the basis of Union or Member State law which provides for suitable and specific measures tosafeguard the rights and freedoms of the data subject, in particular professional secrecy;(i) データ主体の権利及び自由、特に、職務上の秘密を保護するための適切かつ個別の措置に関して定める
EU 法又は加盟国の国内法に基づき、健康に対する国境を越える重大な脅威から保護すること、又は、医療及び医薬品若しくは医療機器の高い水準の品質及び安全性を確保することのような、公衆衛生の分野において、公共の利益を理由とする取扱いが必要となる場合。
(j) processing is necessary for archiving purposes in the public interest, scientific or historical research purposes or
statistical purposes in accordance with Article 89(1) based on Union or Member State law which shall be proportionate
to the aim pursued, respect the essence of the right to data protection and provide for suitable and specific measures tosafeguard the fundamental rights and the interests of the data subject.
(j) 求められる目的と比例的であり、データ保護の権利の本質的部分を尊重し、また、データ主体の基本的な権利及び利益の安全性を確保するための適切かつ個別の措置を定める EU 法又は加盟国の国内法に基づき、第 89 条第 1 項に従い、公共の利益における保管の目的、科学的研究若しくは歴史的研究の目的又は統計の目的のために取扱いが必要となる場合。
3. Personal data referred to in paragraph 1 may be processed for the purposes referred to in point (h) of paragraph 2 whenthose data are processed by or under the responsibility of a professional subject to the obligation of professional secrecy under
Union or Member State law or rules established by national competent bodies or by another person also subject to an
obligation of secrecy under Union or Member State law or rules established by national competent bodies.
3. EU 法若しくは加盟国の国内法又は加盟国の職務権限を有する組織によって設けられた準則に基づく職務上の守秘義務に服する職にある者によって、若しくは、そのような者の責任の下で、又は、EU 法若しくは加盟
13

国の国内法又は加盟国の職務権限を有する組織によって設けられた準則に基づく守秘義務に服するその他の者によってそのデータが取扱われる場合、第 2 項(h) に定める目的のために、第 1 項に定める個人データは、取扱われうる。
4. Member States may maintain or introduce further conditions, including limitations, with regard to the processing of genetic
data, biometric data or data concerning health.
4. 加盟国は、遺伝子データ、生体データ又は健康に関するデータの取扱いに関し、その制限を含め、付加的な条件を維持又は導入することができる。
Article 10 Processing of personal data relating to criminal convictions and offences
第 10 条 有罪判決及び犯罪と関連する個人データの取扱い

Processing of personal data relating to criminal convictions and offences or related security measures based on Article 6(1)shall be carried out only under the control of official authority or when the processing is authorised by Union or Member Statelaw providing for appropriate safeguards for the rights and freedoms of data subjects. Any comprehensive register of criminal
convictions shall be kept only under the control of official authority.
第 6 条第 1 項に基づく有罪判決及び犯罪行為又は保護措置と関連する個人データの取扱いは、公的機関の管理の下にある場合、又は、データ主体の権利及び自由のための適切な保護措置を定める EU 法又は加盟国の国内法によってその取扱いが認められる場合に限り、これを行うことができる。有罪判決の包括的な記録は、公的機関の管理の下にある場合に限り、これを保管できる。
Article 11 Processing which does not require identification
第 11 条 識別を要しない取扱い
1. If the purposes for which a controller processes personal data do not or do no longer require the identification of a data
subject by the controller, the controller shall not be obliged to maintain, acquire or process additional information in order to
identify the data subject for the sole purpose of complying with this Regulation.
1. 管理者が個人データを取扱うための目的が管理者によるデータ主体の識別を要しない場合、又は、その識別を要しなくなった場合、その管理者は、本規則を遵守するという目的のみのために、データ主体を識別するための付加的な情報を維持管理し、取得し、又は、取扱うことを義務付けられない。
2. Where, in cases referred to in paragraph 1 of this Article, the controller is able to demonstrate that it is not in a position to
identify the data subject, the controller shall inform the data subject accordingly, if possible. In such cases, Articles 15 to 20
shall not apply except where the data subject, for the purpose of exercising his or her rights under those articles, provides
additional information enabling his or her identification.
2. 本条第 1 項に定める場合において、管理者がデータ主体を識別する立場にないことを証明できるときは、その管理者は、それが可能であるならば、データ主体に対し、しかるべく通知する。そのような場合、データ主体が、それらの条項に基づく自己の権利の行使の目的のために、自身の識別ができるようにする付加的な情報を提供する場合を除き、第 15 条から第 20 条は、適用されない。

CHAPTER III Rights of the data subject
第 3 章 データ主体の権利
Section 1 Transparency and modalities14

第 1 節 透明性及び手順
Article 12 Transparent information, communication and modalities for the exercise of the rights of the data subject
第 12 条 データ主体の権利行使のための透明性のある情報提供、連絡及び書式
1. The controller shall take appropriate measures to provide any information referred to in Articles 13 and 14 and any
communication under Articles 15 to 22 and 34 relating to processing to the data subject in a concise, transparent, intelligible
and easily accessible form, using clear and plain language, in particular for any information addressed specifically to a child.
The information shall be provided in writing, or by other means, including, where appropriate, by electronic means. Whenrequested by the data subject, the information may be provided orally, provided that the identity of the data subject is provenby other means.
1. 管理者は、データ主体に対し、簡潔で、透明性があり、理解しやすく、容易にアクセスできる方式により、明確かつ平易な文言を用いて、取扱いに関する第 13 条及び第 14 条に定める情報並びに第 15 条から第 22 条及び第 34 条に定める連絡を提供するために、特に、子どもに対して格別に対処する情報提供のために、適切な措置を講じる。その情報は、書面により、又は適切であるときは電子的な手段を含めその他の方法により、提供される。データ主体から求められたときは、当該データ主体の身元が他の手段によって証明されることを条件として、その情報を口頭で提供できる。
2. The controller shall facilitate the exercise of data subject rights under Articles 15 to 22. In the cases referred to in Article
11(2), the controller shall not refuse to act on the request of the data subject for exercising his or her rights under Articles 15 to
22, unless the controller demonstrates that it is not in a position to identify the data subject.
2. 管理者は、第 15 条から第 22 条に基づくデータ主体の権利の行使を容易にするものとする。第 11 条第 2 項に定める場合において、管理者は、データ主体の同一性識別をする立場にはないということを証明しない限り、第 15 条から第 22 条に基づく自己の権利を行使するためのデータ主体からの要求に基づく行為を拒むことができない。
3. The controller shall provide information on action taken on a request under Articles 15 to 22 to the data subject without
undue delay and in any event within one month of receipt of the request. That period may be extended by two further months
where necessary, taking into account the complexity and number of the requests. The controller shall inform the data subjectof any such extension within one month of receipt of the request, together with the reasons for the delay. Where the data subject
makes the request by electronic form means, the information shall be provided by electronic means where possible, unlessotherwise requested by the data subject.
3. 管理者は、データ主体に対し、不当に遅滞することなく、かつ、いかなる場合においてもその要求を受けた時から 1 か月以内に、第 15 条から第 22 条に基づく要求に基づいて行われた行為に関する情報を提供する。この期間は、必要があるときは、その要求の複雑性及び数量を考慮に入れた上で、さらに 2 か月延長することができる。管理者は、データ主体に対し、その要求を受けた時から 1 か月以内に、その遅延の理由と共に、その期間延長を通知する。データ主体が電子的な方式の手段によってその要求をした場合、データ主体から別の方法によることが求められている場合を除き、可能な場合は、電子的な手段によって提供される。
4. If the controller does not take action on the request of the data subject, the controller shall inform the data subject without
delay and at the latest within one month of receipt of the request of the reasons for not taking action and on the possibility of
lodging a complaint with a supervisory authority and seeking a judicial remedy.
4. 管理者がデータ主体からの要求に関して何らの行為もしないときは、その管理者は、データ主体に対し、遅滞なく、かつ、その要求を受けてから遅くとも 1 か月以内に、何も行わない理由、並びに、監督機関に異議を申立てることができること及び司法上の救済を求めることができることを通知する。
5. Information provided under Articles 13 and 14 and any communication and any actions taken under Articles 15 to 22 and15

34 shall be provided free of charge. Where requests from a data subject are manifestly unfounded or excessive, in particular
because of their repetitive character, the controller may either:
5. 第 13 条及び第 14 条に基づいて提供される情報並びに第 15 条から第 22 条及び第 34 条に基づく連絡及びこれらに基づいて行われる行為は、無償で提供される。データ主体からの要求が、特に反復して行われることからして、明らかに根拠のない場合又は過剰な性質のものである場合、管理者は、以下に掲げるいずれかを行うことができる。
(a) charge a reasonable fee taking into account the administrative costs of providing the information or communication
or taking the action requested; or(a) 情報若しくは連絡を提供すること、又は、要求された行為を行うことの業務運営費用を考慮に入れ、合理的な手数料を課金すること。
(b) refuse to act on the request.
(b) 要求された行為を拒むこと。
The controller shall bear the burden of demonstrating the manifestly unfounded or excessive character of the request.
管理者は、その要求が明らかに根拠のないものであること又は過剰な性質のものであることについて、証明すべき責任を負う。
6. Without prejudice to Article 11, where the controller has reasonable doubts concerning the identity of the natural person
making the request referred to in Articles 15 to 21, the controller may request the provision of additional information necessary
to confirm the identity of the data subject.
6. 第 11 条を妨げることなく、第 15 条から第 21 条に定める要求を行う自然人の身元に関して管理者が合理的な疑いをもつ場合、その管理者は、そのデータ主体の身元を確認するために必要となる追加的な情報の提供を求めることができる。
7. The information to be provided to data subjects pursuant to Articles 13 and 14 may be provided in combination withstandardised icons in order to give in an easily visible, intelligible and clearly legible manner a meaningful overview of theintended processing. Where the icons are presented electronically they shall be machine-readable.
7. 第 13 条及び第 14 条によりデータ主体に対して提供される情報は、容易に視認でき、分かりやすく、明確に理解できる態様で、予定されている取扱いの意味のある概要を提供するための標準的なアイコンと組み合わせて提供できる。アイコンが電子的に表示される場合、それらは、機械によって読み取り可能なものとする。
8. The Commission shall be empowered to adopt delegated acts in accordance with Article 92 for the purpose of determining
the information to be presented by the icons and the procedures for providing standardised icons.
8. 欧州委員会は、アイコンによって示される情報及び標準的なアイコンを提供する手続を定める目的のために、第 92 条に従って委任される行為を採択する権限をもつ。
Section 2 Information and access to personal data
第 2 節 情報及び個人データへのアクセス
Article 13 Information to be provided where personal data are collected from the data subject
第 13 条 データ主体から個人データが取得される場合において提供される情報
1. Where personal data relating to a data subject are collected from the data subject, the controller shall, at the time when
personal data are obtained, provide the data subject with all of the following information:
1. データ主体と関連する個人データがそのデータ主体から収集される場合、管理者は、その個人データを取得
16

する時点において、そのデータ主体に対し、以下の全ての情報を提供する：(a) the identity and the contact details of the controller and, where applicable, of the controller's representative;(a) 管理者の身元及び連絡先、及び、該当する場合は、管理者の代理人の身元及び連絡先。
(b) the contact details of the data protection officer, where applicable;(b) 該当する場合は、データ保護オフィサーの連絡先。
(c) the purposes of the processing for which the personal data are intended as well as the legal basis for the processing;(c) 予定されている個人データの取扱いの目的及びその取扱いの法的根拠。
(d) where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by the controller or by a third
party;(d) その取扱いが第 6 条第 1 項(f)を根拠とする場合、管理者又は第三者が求める正当な利益。
(e) the recipients or categories of recipients of the personal data, if any;(e) もしあれば、個人データの取得者又は取得者の類型。
(f) where applicable, the fact that the controller intends to transfer personal data to a third country or internationalorganisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred
to in Article 46 or 47, or the second subparagraph of Article 49(1), reference to the appropriate or suitable safeguards andthe means by which to obtain a copy of them or where they have been made available.
(f) 該当する場合は、管理者が個人データを第三国又は国際機関に移転することを予定しているという事
実、及び、欧州委員会による十分性認定の存否、又は、第 46 条若しくは第 47 条に定める移転の場合又は第 49 条第 1 項第 2 項後段に定める移転の場合、適切又は適合する保護措置、及び、その複製物を取得するための方法、又は、どこでそれらが利用可能とされたかについての情報。
2. In addition to the information referred to in paragraph 1, the controller shall, at the time when personal data are obtained,
provide the data subject with the following further information necessary to ensure fair and transparent processing:
2. 第 1 項に定める情報に加え、管理者は、個人データを取得する時点において、データ主体に対し、公正かつ透明性のある取扱いを確保するために必要な以下の付加的な情報を提供する。
(a) the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period;(a) その個人データが記録保存される期間、又は、それが不可能なときは、その期間を決定するために用いられる基準。
(b) the existence of the right to request from the controller access to and rectification or erasure of personal data or
restriction of processing concerning the data subject or to object to processing as well as the right to data portability;(b) 個人データへのアクセス、個人データの訂正又は消去、又は、データ主体と関係する取扱いの制限を
管理者から得ることを要求する権利、又は、取扱いに対して異議を述べる権利、並びに、データポータビ
リティの権利が存在すること。
(c) where the processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existence of the right towithdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal;(c) その取扱いが第 6 条第 1 項(a)又は第 9 条第 2 項(a)に基づく場合、その撤回前の同意に基づく取扱いの適法性に影響を与えることなく、いつでも同意を撤回する権利が存在すること。
17

(d) the right to lodge a complaint with a supervisory authority;(d) 監督機関に異議を申立てる権利。
(e) whether the provision of personal data is a statutory or contractual requirement, or a requirement necessary to enter
into a contract, as well as whether the data subject is obliged to provide the personal data and of the possible consequencesof failure to provide such data;(e) その個人データの提供が制定法上若しくは契約上の要件であるか否か、又は、契約を締結する際に必要な要件であるか否か、並びに、データ主体がその個人データの提供の義務を負うか否か、及び、そのデータの提供をしない場合に生じうる結果について。
(f) the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in
those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequencesof such processing for the data subject.
(f) プロファイリングを含め、第 22 条第 1 項及び第 4 項に定める自動的な決定が存在すること、また、これが存在する場合、その決定に含まれている論理、並びに、当該取扱いのデータ主体への重要性及びデー
タ主体に生ずると想定される結果に関する意味のある情報。
3. Where the controller intends to further process the personal data for a purpose other than that for which the personal data
were collected, the controller shall provide the data subject prior to that further processing with information on that otherpurpose and with any relevant further information as referred to in paragraph 2.
3. 当該個人データが収集された際の目的とは別の目的による個人データの追加的取扱いを管理者が予定している場合、その管理者は、データ主体に対し、当該追加的取扱いの開始前に、当該別の目的に関する情報及び第 2 項に定める関連する付加的情報を提供する。
4. Paragraphs 1, 2 and 3 shall not apply where and insofar as the data subject already has the information.
4. 第 1 項、第 2 項及び第 3 項は、データ主体が既にその情報をもっている場合、その範囲内では、適用されない。
Article 14 Information to be provided where personal data have not been obtained from the data subject
第 14 条 個人データがデータ主体から取得されたものではない場合において提供される情報
1. Where personal data have not been obtained from the data subject, the controller shall provide the data subject with thefollowing information:
1. 個人データがデータ主体から取得されたものではない場合、管理者は、データ主体に対し、以下の情報を提供する：(a) the identity and the contact details of the controller and, where applicable, of the controller's representative;(a) 管理者の身元及び連絡先、及び、該当する場合は、管理者の代理人の身元及び連絡先。
(b) the contact details of the data protection officer, where applicable;(b) 該当する場合は、データ保護オフィサーの連絡先。
(c) the purposes of the processing for which the personal data are intended as well as the legal basis for the processing;(c) 予定されている個人データの取扱いの目的及びその取扱いの法的根拠。
(d) the categories of personal data concerned;(d) 関係する個人データの種類。
18

(e) the recipients or categories of recipients of the personal data, if any;(e) もしあれば、個人データの取得者又は取得者の類型。
(f) where applicable, that the controller intends to transfer personal data to a recipient in a third country or internationalorganisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred
to in Article 46 or 47, or the second subparagraph of Article 49(1), reference to the appropriate or suitable safeguards andthe means to obtain a copy of them or where they have been made available.
(f) 該当する場合は、管理者が個人データを第三国又は国際機関の取得者に対して移転することを予定しているという事実、及び、欧州委員会による十分性認定の存否、又は、第 46 条若しくは第 47 条に定める移転の場合又は第 49 条第 1 項第 2 項後段に定める移転の場合、適切又は適合する保護措置、及び、その複製物を取得するための方法、又は、どこでそれらが利用可能とされたかについての情報。
2. In addition to the information referred to in paragraph 1, the controller shall provide the data subject with the following
information necessary to ensure fair and transparent processing in respect of the data subject:
2. 第 1 項に定める情報に加え、管理者は、データ主体に対し、データ主体に関して公正かつ透明性のある取扱いを確保するために必要な以下の情報を提供する。
(a) the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period;(a) その個人データが記録保存される期間、又は、それが不可能なときは、その期間を決定するために用いられる基準。
(b) where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by the controller or by athird party;(b) その取扱いが第 6 条第 1 項(f)を根拠とする場合、管理者又は第三者が求める正当な利益。
(c) the existence of the right to request from the controller access to and rectification or erasure of personal data or
restriction of processing concerning the data subject and to object to processing as well as the right to data portability;(c) 個人データへのアクセス、個人データの訂正又は消去、又は、データ主体と関係する取扱いの制限を
管理者から得ることを要求する権利、又は、取扱いに対して異議を述べる権利、並びに、データポータビ
リティの権利が存在すること。
(d) where processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existence of the right to withdraw
consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal;(d) その取扱いが第 6 条第 1 項(a)又は第 9 条第 2 項(a)に基づく場合、その撤回前の同意に基づく取扱いの適法性に影響を与えることなく、いつでも同意を撤回する権利が存在すること。
(e) the right to lodge a complaint with a supervisory authority;(e) 監督機関に異議を申立てる権利。
(f) from which source the personal data originate, and if applicable, whether it came from publicly accessible sources;(f) どの情報源からその個人データが生じたか、及び、該当する場合は、公衆がアクセス可能な情報源から
その個人データが来たものかどうか。
(g) the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in
those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequencesof such processing for the data subject.
19

(g) プロファイリングを含め、第 22 条第 1 項及び第 4 項に定める自動的な決定が存在すること、また、それが存在する場合、その決定に含まれている論理、並びに、当該取扱いのデータ主体への重要性及びデー
タ主体に生ずると想定される結果に関する意味のある情報。
3. The controller shall provide the information referred to in paragraphs 1 and 2:
3. 管理者は、以下のとおりに、第 1 項及び第 2 項に定める情報を提供する。
(a) within a reasonable period after obtaining the personal data, but at the latest within one month, having regard to thespecific circumstances in which the personal data are processed;(a) その個人データが取扱われる具体的な状況を考慮に入れ、個人データ取得後の合理的な期間内。ただし、遅くとも 1 か月以内。
(b) if the personal data are to be used for communication with the data subject, at the latest at the time of the firstcommunication to that data subject; or(b) その個人データがデータ主体との間の連絡のために用いられる場合、遅くとも、当該データ主体に対して最初の連絡がなされる時点において。又は、(c) if a disclosure to another recipient is envisaged, at the latest when the personal data are first disclosed.
(c) 他の取得者に対する開示が予定される場合、遅くともその個人データが最初に開示される時点において。
4. Where the controller intends to further process the personal data for a purpose other than that for which the personal data
were obtained, the controller shall provide the data subject prior to that further processing with information on that otherpurpose and with any relevant further information as referred to in paragraph 2.
4. 当該個人データが入手された際の目的とは別の目的のための個人データの取扱いを管理者が予定する場合、その管理者は、データ主体に対し、当該追加的取扱いの開始前に、当該別の目的に関する情報及び第 2 項に定める関連する付加的な情報を提供する。
5. Paragraphs 1 to 4 shall not apply where and insofar as:
5. 第 1 項から第 4 項は、以下の場合、その範囲内では、適用されない。
(a) the data subject already has the information;(a) データ主体が既にその情報をもっている場合。
(b) the provision of such information proves impossible or would involve a disproportionate effort, in particular forprocessing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes,
subject to the conditions and safeguards referred to in Article 89(1) or in so far as the obligation referred to in paragraph
1 of this Article is likely to render impossible or seriously impair the achievement of the objectives of that processing. In
such cases the controller shall take appropriate measures to protect the data subject's rights and freedoms and legitimate
interests, including making the information publicly available;(b) 特に、第 89 条第 1 項に定める条件及び保護措置による公共の利益における保管の目的、科学的研究若
しくは歴史的研究の目的、又は、統計の目的のための取扱いに関し、そのような情報の提供が不可能であるか、又は、過大な負担を要することが明らかな場合、又は、本条第 1 項に定める義務が当該取扱いの目的の達成を不可能としてしまうおそれ、又は、それを深刻に阻害するおそれがある範囲内において。そのような場合、その管理者は、その情報を公衆が利用可能とすることを含め、データ主体の権利及び自由並びに正当な利益を保護するための適切な措置を講ずるものとする。
20

(c) obtaining or disclosure is expressly laid down by Union or Member State law to which the controller is subject andwhich provides appropriate measures to protect the data subject's legitimate interests; or(c) 管理者がそれに服し、かつ、データ主体の正当な利益を保護するための適切な措置を定める EU 法又は加盟国の国内法によって、その入手又は開示が明示で定められている場合。
(d) where the personal data must remain confidential subject to an obligation of professional secrecy regulated by Union
or Member State law, including a statutory obligation of secrecy.
(d) 制定法上の守秘義務の場合を含め、EU 法又は加盟国の国内法によって規律される職務上の守秘義務によって、その個人データを機密のものとして維持しなければならない場合。
Article 15 Right of access by the data subject
第 15 条 データ主体によるアクセスの権利
1.The data subject shall have the right to obtain from the controller confirmation as to whether or not personal data concerning
him or her are being processed, and, where that is the case, access to the personal data and the following information:
1. データ主体は、管理者から、
自己に関係する個人データが取扱われているか否かの確認を得る権利、並びに、それが取扱われているときは、その個人データ及び以下の情報にアクセスする権利を有する：(a) the purposes of the processing;(a) 取扱いの目的。
(b) the categories of personal data concerned;(b) 関係する個人データの種類。
(c) the recipients or categories of recipient to whom the personal data have been or will be disclosed, in particular
recipients in third countries or international organisations;(c) 個人データが開示された、又は、個人データが開示される取得者若しくは取得者の類型、特に、第三国又は国際機関の取得者。
(d) where possible, the envisaged period for which the personal data will be stored, or, if not possible, the criteria used todetermine that period;(d) 可能な場合、個人データが記録保存される予定期間、又は、それが不可能なときは、その期間を決定するために用いられる基準。
(e) the existence of the right to request from the controller rectification or erasure of personal data or restriction ofprocessing of personal data concerning the data subject or to object to such processing;(e) 管理者から、個人データの訂正又は消去を得る権利、データ主体と関係する個人データの取扱いの制限を要求する権利、又は、取扱いに対して異議を述べる権利が存在すること。
(f) the right to lodge a complaint with a supervisory authority;(f) 監督機関に異議を申立てる権利。
(g) where the personal data are not collected from the data subject, any available information as to their source;(g) 個人データがデータ主体から取得されたものではない場合、その情報源に関する利用可能な全ての情報。
(h) the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in21

those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequencesof such processing for the data subject.
(h) プロファイリングを含め、第 22 条第 1 項及び第 4 項に定める自動的な決定が存在すること、また、それが存在する場合、その決定に含まれている論理、並びに、そのデータ主体への重要性及びデータ主体に生ずると想定される結果に関する意味のある情報。
2. Where personal data are transferred to a third country or to an international organisation, the data subject shall have the rightto be informed of the appropriate safeguards pursuant to Article 46 relating to the transfer.
2. 個人データが第三国又は国際機関に移転される場合、データ主体は、その移転に関して、第 46 条による適切な保護措置について通知を受ける権利を有する。
3. The controller shall provide a copy of the personal data undergoing processing. For any further copies requested by the data
subject, the controller may charge a reasonable fee based on administrative costs. Where the data subject makes the request
by electronic means, and unless otherwise requested by the data subject, the information shall be provided in a commonlyused electronic form.
3. 管理者は、取扱中の個人データの複製物を提供する。データ主体から求められた追加的な複製物の提供に関し、管理者は、業務運営費用に基づいて、合理的な手数料を課金できる。データ主体が電子的な手段によって要求するときは、データ主体から別の手段によることが求められている場合を除き、その情報は、一般的に用いられる電子的な手段によって提供される。
4. The right to obtain a copy referred to in paragraph 3 shall not adversely affect the rights and freedoms of others.
4. 第 3 項に定める複製物を取得する権利は、他の者の権利及び自由に不利な影響を及ぼしてはならない。
Section 3 Rectification and erasure
第 3 節 訂正及び消去
Article 16 Right to rectification
第 16 条 訂正の権利
The data subject shall have the right to obtain from the controller without undue delay the rectification of inaccurate personal
data concerning him or her. Taking into account the purposes of the processing, the data subject shall have the right to haveincomplete personal data completed, including by means of providing a supplementary statement.
データ主体は、管理者から、不当に遅滞することなく、自己と関係する不正確な個人データの訂正を得る権利を有する。取扱いの目的を考慮に入れた上で、データ主体は、補足の陳述を提供する方法による場合を含め、不完全な個人データを完全なものとさせる権利を有する。
Article 17 Right to erasure (‘right to be forgotten’)第 17 条 消去の権利（「忘れられる権利」）
1. The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or her without
undue delay and the controller shall have the obligation to erase personal data without undue delay where one of the following
grounds applies:
1. 以下の根拠中のいずれかが適用される場合、データ主体は、管理者から、不当に遅滞することなく、自己に関する個人データの消去を得る権利をもち、また、管理者は、不当に遅滞することなく、個人データを消去すべき義務を負う。
(a) the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise
22

processed;(a) その個人データが、それが収集された目的又はその他の取扱いの目的との関係で、必要のないものとなっている場合。
(b) the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1), or point (a)of Article 9(2), and where there is no other legal ground for the processing;(b) そのデータ主体が、第 6 条第 1 項(a)又は第 9 条第 2 項(a) に従ってその取扱いの根拠である同意を撤回し、かつ、その取扱いのための法的根拠が他に存在しない場合。
(c) the data subject objects to the processing pursuant to Article 21(1) and there are no overriding legitimate grounds forthe processing, or the data subject objects to the processing pursuant to Article 21(2);(c) そのデータ主体が、第 21 条第 1 項によって取扱いに対する異議を述べ、かつ、その取扱いのための優先する法的根拠が存在しない場合、又は、第 21 条第 2 項によって異議を述べた場合。
(d) the personal data have been unlawfully processed;(d) その個人データが違法に取扱われた場合。
(e) the personal data have to be erased for compliance with a legal obligation in Union or Member State law to which thecontroller is subject;(e) その個人データが、管理者が服する EU 法又は加盟国の国内法の法的義務を遵守するために消去されなければならない場合。
(f) the personal data have been collected in relation to the offer of information society services referred to in Article 8(1).
(f) その個人データが、第 8 条第 1 項に定める情報社会サービスの提供との関係において収集された場合。
2. Where the controller has made the personal data public and is obliged pursuant to paragraph 1 to erase the personal data,
the controller, taking account of available technology and the cost of implementation, shall take reasonable steps, including
technical measures, to inform controllers which are processing the personal data that the data subject has requested the erasureby such controllers of any links to, or copy or replication of, those personal data.
2. 管理者が個人データを公開のものとしており、かつ、第 1 項によって、その個人データを消去すべき義務を負っている場合、その管理者は、利用可能な技術及びその実装費用を考慮に入れた上で、技術的な手段を含め、その個人データを取扱いしている管理者に対して、そのデータ主体が、そのデータ主体の個人データへのリン
ク又はそのコピー若しくは複製物が、その管理者によって消去されることを要求した旨の通知をするための合理的な手立てを講ずる。
3. Paragraphs 1 and 2 shall not apply to the extent that processing is necessary:
3. 第 1 項及び第 2 項は、以下のいずれかのために取扱いが必要となる場合、その範囲内で、適用されない。
(a) for exercising the right of freedom of expression and information;(a) 表現及び情報伝達の自由の権利の行使のため。
(b) for compliance with a legal obligation which requires processing by Union or Member State law to which thecontroller is subject or for the performance of a task carried out in the public interest or in the exercise of official authority
vested in the controller;(b) 管理者が服する EU 法又は加盟国の国内法により取扱いをすべき法的義務の遵守のため、又は、公共の利益において、若しくは、管理者に与えられた公的な権限の行使において行われる職務の遂行のため。
23

(c) for reasons of public interest in the area of public health in accordance with points (h) and (i) of Article 9(2) as well as
Article 9(3);(c) 第9条第2項(h)及び(i)並びに第9条第3項に従う公衆衛生の分野における公共の利益上の理由のため。
(d) for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes inaccordance with Article 89(1) in so far as the right referred to in paragraph 1 is likely to render impossible or seriously
impair the achievement of the objectives of that processing; or(d) 第 89 条第 1 項に従い、公共の利益における保管の目的、科学的研究若しくは歴史的研究の目的、又は、統計の目的のため。ただし、第 1 項に定める権利が、当該取扱いの目的を達成できないようにしてしまう
おそれがある場合、又は、それを深刻に阻害するおそれがある場合に限る。
(e) for the establishment, exercise or defence of legal claims.
(e) 訴えの提起、攻撃防御のため。
Article 18 Right to restriction of processing
第 18 条 取扱いの制限の権利
1. The data subject shall have the right to obtain from the controller restriction of processing where one of the following
applies:
1. データ主体は、以下のいずれかが適用される場合、管理者から、取扱いの制限を得る権利を有する：(a) the accuracy of the personal data is contested by the data subject, for a period enabling the controller to verify theaccuracy of the personal data;(a) 個人データの正確性についてデータ主体から疑義が提示されている場合、その個人データの正確性を管理者が確認できるようにする期間内において。
(b) the processing is unlawful and the data subject opposes the erasure of the personal data and requests the restriction of
their use instead;(b) 取扱いが違法であり、かつ、データ主体が個人データの消去に反対し、その代わりに、そのデータの利用の制限を求めている場合。
(c) the controller no longer needs the personal data for the purposes of the processing, but they are required by the data
subject for the establishment, exercise or defence of legal claims;(c) 管理者がその取扱いの目的のためにはその個人データを必要としないが、データ主体から、訴訟の提起及び攻撃防御のためにそのデータが求められている場合。
(d) the data subject has objected to processing pursuant to Article 21(1) pending the verification whether the legitimate
grounds of the controller override those of the data subject.
(d) データ主体が、管理者の正当性の根拠がデータ主体の正当性の根拠よりも優先するか否かの確認を争い、第 21 条第 1 項により、取扱いに対する異議を申立てている場合。
2. Where processing has been restricted under paragraph 1, such personal data shall, with the exception of storage, only beprocessed with the data subject's consent or for the establishment, exercise or defence of legal claims or for the protection of
the rights of another natural or legal person or for reasons of important public interest of the Union or of a Member State.
2. 第 1 項に基づいて取扱いが制限された場合、その個人データは、記録保存の場合を除き、データ主体の同意がある場合、又は、訴えの提起及び攻撃防御のための場合、又は、他の自然人若しくは法人の権利を保護するための場合、又は、EU 若しくは加盟国の重要な公共の利益の理由のための場合においてのみ、取扱われる。
24

3. A data subject who has obtained restriction of processing pursuant to paragraph 1 shall be informed by the controller before
the restriction of processing is lifted.
3. 第 1 項により取扱いの制限を得たデータ主体は、その取扱いの制限が解除される前に、管理者からその通知を受ける。
Article 19 Notification obligation regarding rectification or erasure of personal data or restriction of processing
第 19 条 個人データの訂正若しくは消去又は取扱いの制限に関する通知義務
The controller shall communicate any rectification or erasure of personal data or restriction of processing carried out inaccordance with Article 16, Article 17(1) and Article 18 to each recipient to whom the personal data have been disclosed,
unless this proves impossible or involves disproportionate effort. The controller shall inform the data subject about those
recipients if the data subject requests it.
管理者は、それが不可能であるか、又は、過大な負担を要することが明らかである場合を除き、そのデータの開示を受けた個々の取得者に対し、第 16 条、第 17 条第 1 項及び第 18 条に従って行われた個人データの訂
正若しくは消去又は取扱いの制限を通知する。管理者は、データ主体に対し、そのデータ主体がそれを求める
場合、その取得者に関する情報提供する。
Article 20 Right to data portability
第 20 条 データポータビリティの権利
1. The data subject shall have the right to receive the personal data concerning him or her, which he or she has provided to acontroller, in a structured, commonly used and machine-readable format and have the right to transmit those data to anothercontroller without hindrance from the controller to which the personal data have been provided, where:
1. データ主体は、以下の場合においては、自己が管理者に対して提供した自己と関係する個人データを、構造化され、一般的に利用され機械可読性のある形式で受け取る権利をもち、また、その個人データの提供を受けた管理者から妨げられることなく、別の管理者に対し、それらの個人データを移行する権利を有する。
(a) the processing is based on consent pursuant to point (a) of Article 6(1) or point (a) of Article 9(2) or on a contract
pursuant to point (b) of Article 6(1); and(a) その取扱いが第 6 条第 1 項(a)若しくは第 9 条第 2 項(a)による同意、又は、第 6 条第 1 項(b) による契約に基づくものであり。かつ、(b) the processing is carried out by automated means.
(b) その取扱いが自動化された手段によって行われる場合。
2. In exercising his or her right to data portability pursuant to paragraph 1, the data subject shall have the right to have thepersonal data transmitted directly from one controller to another, where technically feasible.
2. データ主体は、第 1 項により自己のデータポータビリティの権利を行使する際、技術的に実行可能な場合、ある管理者から別の管理者へと直接に個人データを移行させる権利を有する。
3. The exercise of the right referred to in paragraph 1 of this Article shall be without prejudice to Article 17. That right shallnot apply to processing necessary for the performance of a task carried out in the public interest or in the exercise of official
authority vested in the controller.
3. 本条の第 1 項に規定する権利の行使は、第 17 条を妨げない。この権利は、公共の利益において、又は、管理者に与えられた公的な権限の行使において行われる職務の遂行のために必要となる取扱いには適用されない。
25

4. The right referred to in paragraph 1 shall not adversely affect the rights and freedoms of others.
4. 第 1 項に規定する権利は、他の者の権利及び自由に不利な影響を及ぼしてはならない。
Section 4 Right to object and automated individual decision-making
第 4 節 異議を述べる権利及び個人に対する自動化された意思決定
Article 21 Right to object
第 21 条 異議を述べる権利
1. The data subject shall have the right to object, on grounds relating to his or her particular situation, at any time to processingof personal data concerning him or her which is based on point (e) or (f) of Article 6(1), including profiling based on those
provisions. The controller shall no longer process the personal data unless the controller demonstrates compelling legitimate
grounds for the processing which override the interests, rights and freedoms of the data subject or for the establishment,
exercise or defence of legal claims.
1. データ主体は、自己の特別な状況と関連する根拠に基づき、第 6 条第 1 項(e)又は(f) に基づいて行われる自己と関係する個人データの取扱いに対し、それらの条項に基づくプロファイリングの場合を含め、いつでも、異議を述べる権利を有する。管理者は、データ主体の利益、権利及び自由よりも優先する取扱いについて、又は、訴えの提起及び攻撃防御について、やむをえない正当な根拠があることをその管理者が証明しない限り、以後、その個人データの取扱いをしない。
2. Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any timeto processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related
to such direct marketing.
2. 個人データがダイレクトマーケティングの目的のために取扱われる場合、データ主体は、いつでも、そのよ
うなマーケティングのための自己に関係する個人データの取扱いに対して、異議を述べる権利を有する。その取扱いは、そのようなダイレクトマーケティングと関係する範囲内で、プロファイリングを含む。
3. Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed
for such purposes.
3. データ主体がダイレクトマーケティングの目的のための取扱いに対して異議を述べる場合、その個人デー
タは、そのような目的のために取扱われてはならない。
4. At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be
explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
4. 遅くともデータ主体への最初の連絡の時点で、第 1 項及び第 2 項に規定する権利は、明示的にデータ主体の注意を引くようにされ、かつ、他の情報とは明確に分けて表示されなければならない。
5. In the context of the use of information society services, and notwithstanding Directive 2002/58/EC, the data subject may
exercise his or her right to object by automated means using technical specifications.
5. 情報社会サービスの利用の過程において、かつ、指令 2002/58/EC にかかわらず、データ主体は、技術的な仕様を用いる自動化された仕組みによって異議を述べる自己の権利を行使できる。
6. Where personal data are processed for scientific or historical research purposes or statistical purposes pursuant to Article
89(1), the data subject, on grounds relating to his or her particular situation, shall have the right to object to processing of
personal data concerning him or her, unless the processing is necessary for the performance of a task carried out for reasonsof public interest.
26

6. 第 89 条第 1 項により科学的研究若しくは歴史的研究の目的又は統計の目的で個人データが取扱われる場
合、データ主体は、公共の利益のための理由によって行われる職務の遂行のためにその取扱いが必要となる場
合を除き、自己の特別な状況と関連する根拠に基づき、自己と関係する個人データの取扱いに対して、異議を述べる権利を有する。
Article 22 Automated individual decision-making, including profiling
第 22 条 プロファイリングを含む個人に対する自動化された意思決定
1. The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling,which produces legal effects concerning him or her or similarly significantly affects him or her.
1. データ主体は、当該データ主体に関する法的効果を発生させる、又は、当該データ主体に対して同様の重大な影響を及ぼすプロファイリングを含むもっぱら自動化された取扱いに基づいた決定の対象とされない権利を有する。
2. Paragraph 1 shall not apply if the decision:
2. 第 1 項は、以下のいずれかの決定には、適用されない。
(a) is necessary for entering into, or performance of, a contract between the data subject and a data controller;(a) データ主体とデータの管理者の間の契約の締結又はその履行のために必要となる場合。
(b) is authorised by Union or Member State law to which the controller is subject and which also lays down suitablemeasures to safeguard the data subject's rights and freedoms and legitimate interests; or(b) 管理者がそれに服し、かつ、データ主体の権利及び自由並びに正当な利益の安全性を確保するための適切な措置も定める EU 法又は加盟国の国内法によって認められる場合。又は、(c) is based on the data subject's explicit consent.
(c) データ主体の明示的な同意に基づく場合。
3. In the cases referred to in points (a) and (c) of paragraph 2, the data controller shall implement suitable measures to safeguard
the data subject's rights and freedoms and legitimate interests, at least the right to obtain human intervention on the part of thecontroller, to express his or her point of view and to contest the decision.
3. 第 2 項(a)及び(c)に規定する場合においては、そのデータの管理者は、データ主体の権利及び自由並びに正当な利益、少なくとも、管理者の側での人間の関与を得る権利、データ主体の見解を表明する権利及びその決定を争う権利の保護を確保するための適切な措置を実装するものとする。
4. Decisions referred to in paragraph 2 shall not be based on special categories of personal data referred to in Article 9(1),unless point (a) or (g) of Article 9(2) applies and suitable measures to safeguard the data subject's rights and freedoms andlegitimate interests are in place.
4. 第 9 条第 2 項(a)又は(g)が適用され、かつ、データ主体の権利及び自由並びに正当な利益の保護を確保する
ための適切な措置が設けられている場合を除き、第 2 項に規定する決定は、第 9 条第 1 項に規定する特別な種類の個人データを基礎としてはならない。
Section 5 Restrictions
第 5 節 制限
Article 23 Restrictions27

第 23 条 制限
1. Union or Member State law to which the data controller or processor is subject may restrict by way of a legislative measure
the scope of the obligations and rights provided for in Articles 12 to 22 and Article 34, as well as Article 5 in so far as its
provisions correspond to the rights and obligations provided for in Articles 12 to 22, when such a restriction respects theessence of the fundamental rights and freedoms and is a necessary and proportionate measure in a democratic society tosafeguard:
1. データの管理者若しくは処理者が服する EU 法又は加盟国の国内法は、その制限が基本的な権利及び自由の本質的部分を尊重するものであり、かつ、以下の対象を保護するために民主主義社会において必要かつ比例的な措置である場合、第 12 条から第 22 条に定める権利及び義務に対応するそれらの法律の条項範囲内で、立法措置によって、第 12 条から第 22 条及び第 34 条並びに第 5 条に定める義務及び権利の適用範囲を制限できる：(a) national security;(a) 国家安全保障。
(b) defence;(b) 防衛。
(c) public security;(c) 公共の安全。
(d) the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties,
including the safeguarding against and the prevention of threats to public security;(d) 公共の安全への脅威からの保護及びその防止を含め、犯罪行為の防止、捜査、検知若しくは訴追又は刑罰の執行。
(e) other important objectives of general public interest of the Union or of a Member State, in particular an importanteconomic or financial interest of the Union or of a Member State, including monetary, budgetary and taxation a matters,
public health and social security;(e) EU 又は加盟国の一般的な公共の利益の上記以外の重要な対象、特に、通貨、予算及び税務上の事項を含め、EU 又は加盟国の重要な経済的な利益若しくは財政上の利益、公衆衛生及び社会保障。
(f) the protection of judicial independence and judicial proceedings;(f) 司法の独立の保護及び司法手続の保護。
(g) the prevention, investigation, detection and prosecution of breaches of ethics for regulated professions;(g) 規制職種における倫理違背行為の防止、捜査、検知及び訴追。
(h) a monitoring, inspection or regulatory function connected, even occasionally, to the exercise of official authority inthe cases referred to in points (a) to (e) and (g);(h) (a)から(e)及び(g)に規定する場合において、一時的なものを含め、公的な権限の行使と関係する監視、監督及び規制の権能。
(i) the protection of the data subject or the rights and freedoms of others;(i) データ主体の保護、又は、その他の者の権利及び自由の保護。
28

(j) the enforcement of civil law claims.
(j) 民事訴訟の執行確保。
2. In particular, any legislative measure referred to in paragraph 1 shall contain specific provisions at least, where relevant, as
to:
2. 特に、第 1 項に規定する立法措置は、それが適切なときは、以下の事項に関する特別の条項を含める：(a) the purposes of the processing or categories of processing;(a) 取扱いの目的又は取扱いの種類。
(b) the categories of personal data;(b) 個人データの種類。
(c) the scope of the restrictions introduced;(c) 導入される制限の適用範囲。
(d) the safeguards to prevent abuse or unlawful access or transfer;(d) 不正使用又は違法なアクセス若しくは違法な移転を防止するための保護措置。
(e) the specification of the controller or categories of controllers;(e) 管理者又は管理者の類型の仕様。
(f) the storage periods and the applicable safeguards taking into account the nature, scope and purposes of the processingor categories of processing;(f) 取扱い又は取扱いの種類の性質、範囲及び目的を考慮に入れた記録保存期間及び適用可能な保護措置。
(g) the risks to the rights and freedoms of data subjects; and(g) データ主体の権利及び自由に対するリスク。並びに、(h) the right of data subjects to be informed about the restriction, unless that may be prejudicial to the purpose of therestriction.
(h) その権利がその制限の目的を妨げうるものでない限り、その制限に関する情報提供を受けるデータ主
体の権利。

CHAPTER IV Controller and processor
第 4 章 管理者及び処理者
Section 1 General obligations
第 1 節 一般的な義務
Article 24 Responsibility of the controller
第 24 条 管理者の責任
1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood andseverity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational
measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those29measures shall be reviewed and updated where necessary.
1. 取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、本規則に従って取扱いが遂行されることを確保し、かつ、そのことを説明できるようにするための適切な技術上及び組織上の措置を実装するものとする。それらの措置は、レビューされ、また、必要があるときは、最新のものに改められるものとする。
2. Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include theimplementation of appropriate data protection policies by the controller.
2. 取扱活動と関連して比例的である場合、第 1 項に規定する措置は、管理者による適切なデータ保護方針の実装を含むものとする。
3. Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms as referred to in
Article 42 may be used as an element by which to demonstrate compliance with the obligations of the controller.
3. 第 40 条に規定する承認された行動規範及び第 42 条に規定する承認された認証方法の遵守は、管理者の義務が履行されていることを証明するための要素として用いることができる。
Article 25 Data protection by design and by default
第 25 条 データ保護バイデザイン及びデータ保護バイデフォルト
1. Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing
as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, thecontroller shall, both at the time of the determination of the means for processing and at the time of the processing itself,
implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement
data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into theprocessing in order to meet the requirements of this Regulation and protect the rights of data subjects.
1. 技術水準、実装費用、取扱いの性質、範囲、過程及び目的並びに取扱いによって引きこされる自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、本規則の要件に適合するものとし、かつ、データ主体の権利を保護するため、取扱いの方法を決定する時点及び取扱いそれ自体の時点の両時点において、データの最小化のようなデータ保護の基本原則を効果的な態様で実装し、その取扱いの中に必要な保護措置を統合するために設計された、仮名化のような、適切な技術的措置及び組織的措置を実装する。
2. The controller shall implement appropriate technical and organisational measures for ensuring that, by default, only personal
data which are necessary for each specific purpose of the processing are processed. That obligation applies to the amount of
personal data collected, the extent of their processing, the period of their storage and their accessibility. In particular, suchmeasures shall ensure that by default personal data are not made accessible without the individual's intervention to an indefinite
number of natural persons.
2. 管理者は、その取扱いの個々の特定の目的のために必要な個人データのみが取扱われることをデフォルトで確保するための適切な技術的措置及び組織的措置を実装する。この義務は、収集される個人データの分量、その取扱いの範囲、その記録保存期間及びアクセス可能性に適用される。とりわけ、そのような措置は、個人
データが、その個人の関与なく、不特定の自然人からアクセス可能なものとされないことをデフォルトで確保する。
3. An approved certification mechanism pursuant to Article 42 may be used as an element to demonstrate compliance withthe requirements set out in paragraphs 1 and 2 of this Article.
3. 第 42 条により承認された認証方法は、本条の第 1 項及び第 2 項に定める要件の充足を証明するための要素として用いることができる。
30

Article 26 Joint controllers
第 26 条 共同管理者
1. Where two or more controllers jointly determine the purposes and means of processing, they shall be joint controllers. They
shall in a transparent manner determine their respective responsibilities for compliance with the obligations under thisRegulation, in particular as regards the exercising of the rights of the data subject and their respective duties to provide theinformation referred to in Articles 13 and 14, by means of an arrangement between them unless, and in so far as, the respective
responsibilities of the controllers are determined by Union or Member State law to which the controllers are subject. The
arrangement may designate a contact point for data subjects.
1. 二者以上の管理者が共同して取扱いの目的及び方法を決定する場合、それらの者は、共同管理者となる。管
理者らが服すべきそれぞれの管理者の責任が EU 法又は加盟国の国内法によって定められていない場合、その範囲内において、管理者は、本規則に基づく義務、とりわけ、データ主体の権利の行使に関する義務、並びに、第 13 条及び第 14 条に規定する情報を提供すべき管理者それぞれの義務を遵守するための管理者それぞれの責任について、管理者の間での合意により、透明性のある態様で定める。その合意においては、データ主体のための連絡先を指定できる。
2. The arrangement referred to in paragraph 1 shall duly reflect the respective roles and relationships of the joint controllers
vis-à-vis the data subjects. The essence of the arrangement shall be made available to the data subject.
2. 第 1 項に規定する合意は、共同管理者各自とデータ主体とのそれぞれの間における役割及び関係を適正に反映するものとする。その合意の要点は、データ主体に利用可能なものとされる。
3. Irrespective of the terms of the arrangement referred to in paragraph 1, the data subject may exercise his or her rights under
this Regulation in respect of and against each of the controllers.
3. 第 1 項に規定する合意に定める条件にかかわらず、データ主体は、個々の管理者との関係において、及び、個々の管理者に対して、本規則に基づく自己の権利を行使できる。
Article 27 Representatives of controllers or processors not established in the Union
第 27 条 EU 域内に拠点のない管理者又は処理者の代理人
1. Where Article 3(2) applies, the controller or the processor shall designate in writing a representative in the Union.
1. 第 3 条第 2 項が適用される場合、管理者又は処理者は、書面により、EU 域内における代理人を指定するものとする。
2. The obligation laid down in paragraph 1 of this Article shall not apply to:
2. 本条の第 1 項に定める義務は、以下には適用されない。
(a) processing which is occasional, does not include, on a large scale, processing of special categories of data as referred
to in Article 9(1) or processing of personal data relating to criminal convictions and offences referred to in Article 10, andis unlikely to result in a risk to the rights and freedoms of natural persons, taking into account the nature, context, scopeand purposes of the processing; or(a) 一時的なものであり、かつ、第 9 条第 1 項に規定する特別な種類のデータの取扱い又は第 10 条に規定する有罪判決及び犯罪行為と関連する個人データの取扱いを大量に含まず、かつ、その取扱いの性質、過程、範囲及び目的を考慮に入れた上で、自然人の権利及び自由に対するリスクが生ずる可能性が低い取扱い。又は、(b) a public authority or body.
(b) 公的機関又は公的組織。
31

3. The representative shall be established in one of the Member States where the data subjects, whose personal data areprocessed in relation to the offering of goods or services to them, or whose behaviour is monitored, are.
3. 代理人は、データ主体に対する物品若しくはサービスの提供と関連してその個人データが取扱われるデー
タ主体、又は、その行動が監視されるデータ主体のいる加盟国中の 1 つに設けられる。
4. The representative shall be mandated by the controller or processor to be addressed in addition to or instead of the controller
or the processor by, in particular, supervisory authorities and data subjects, on all issues related to processing, for the purposesof ensuring compliance with this Regulation.
4. 本規則の遵守を確保する目的のために、代理人は、取扱いと関連する全ての事項に関し、特に、監督機関及びデータ主体への対応のために、管理者又は処理者に加え、又は、それらの者の代わりとして、管理者又は処理者から委任を受ける。
5. The designation of a representative by the controller or processor shall be without prejudice to legal actions which could beinitiated against the controller or the processor themselves.
5. 管理者又は処理者による代理人の指定は、管理者又は処理者自身を相手方として提起される訴訟行為を妨げない。
Article 28 Processor
第 28 条 処理者
1. Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficientguarantees to implement appropriate technical and organisational measures in such a manner that processing will meet therequirements of this Regulation and ensure the protection of the rights of the data subject.
1. 管理者の代わりの者によって取扱いが行われる場合、その管理者は、当該取扱いが本規則に定める義務に適合するような態様で適切な技術上及び組織上の保護措置を実装することについて十分な保証を提供する処理
者のみを用いるものとし、かつ、データ主体の権利の保護を確保するものとする。
2. The processor shall not engage another processor without prior specific or general written authorisation of the controller. In
the case of general written authorisation, the processor shall inform the controller of any intended changes concerning theaddition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.
2. 処理者は、管理者から事前に個別的又は一般的な書面による承認を得ないで、別の処理者を業務に従事させてはならない。一般的な書面による承認の場合、処理者は、管理者に対し、別の処理者の追加又は交代に関す
る変更の予定を通知し、それによって、管理者に、そのような変更に対して異議を述べる機会を与えるものとする。
3. Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that isbinding on the processor with regard to the controller and that sets out the subject-matter and duration of the processing, thenature and purpose of the processing, the type of personal data and categories of data subjects and the obligations and rightsof the controller. That contract or other legal act shall stipulate, in particular, that the processor:
3. 処理者による取扱いは、管理者との関係に関して処理者を拘束し、かつ、取扱いの対象及び期間、取扱いの性質及び目的、個人データの種類及びデータ主体の類型、並びに、管理者の義務及び権利を定める、契約又は契約又はその他の法律行為は、その他のEU 法若しくは加盟国の国内法に基づく法律行為によって規律される。
特に、処理者が、以下のとおり行うことを定める：(a) processes the personal data only on documented instructions from the controller, including with regard to transfers of
personal data to a third country or an international organisation, unless required to do so by Union or Member State law
32

to which the processor is subject; in such a case, the processor shall inform the controller of that legal requirement before
processing, unless that law prohibits such information on important grounds of public interest;(a) 処理者が服する EU 又は加盟国の国内法がそのようにすることを要求する場合を除き、個人データの第三国又は国際機関に対する移転と関連するものを含め、管理者からの文書化された指示のみに基づいて
個人データを取扱うこと。そのような場合、当該の法律がそのような公共の利益上の重要な法的根拠に関する情報提供を禁止しない限り、処理者は、管理者に対し、取扱いの前に、当該法律上の要件について情報提供するものとする。
(b) ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under
an appropriate statutory obligation of confidentiality;(b) 個人データの取扱いを承認された者が自ら守秘義務を課し、又は、適切な法律上の守秘義務の下にあることを確保すること。
(c) takes all measures required pursuant to Article 32;(c) 第 32 条によって求められる全ての措置を講ずること。
(d) respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;(d) 別の処理者を業務に従事させるために、第 2 項及び第 4 項に規定する要件を尊重すること。
(e) taking into account the nature of the processing, assists the controller by appropriate technical and organisational
measures, insofar as this is possible, for the fulfilment of the controller's obligation to respond to requests for exercising
the data subject's rights laid down in Chapter III;(e) 第 3 章に定めるデータ主体の権利を行使するための要求に対処すべき管理者の義務を充足させるために、それが可能な範囲内で、取扱いの性質を考慮に入れた上で、適切な技術上及び組織上の措置によって、管理者を支援すること。
(f) assists the controller in ensuring compliance with the obligations pursuant to Articles 32 to 36 taking into account thenature of processing and the information available to the processor;(f) 取扱いの性質及び処理者が利用可能な情報を考慮に入れた上で、第 32 条から第 36 条による義務の遵守の確保において、管理者を支援すること。
(g) at the choice of the controller, deletes or returns all the personal data to the controller after the end of the provision ofservices relating to processing, and deletes existing copies unless Union or Member State law requires storage of thepersonal data;(g) 取扱いと関係するサービスの提供が終了した後、EU 法又は加盟国の国内法が個人データの記録保存を要求していない限り、管理者の選択により、全ての個人データを消去し、又は、これを管理者に返却すること、並びに、存在している複製物を消去すること。
(h) makes available to the controller all information necessary to demonstrate compliance with the obligations laid downin this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor
mandated by the controller.
(h) 本条に定める義務の遵守を説明するため、及び、管理者によって行われる検査若しくは管理者から委任された別の監査人によって行われる検査を含め、監査を受け入れ、若しくは、監査に資するようにする
ために必要な全ての情報を、管理者が利用できるようにすること。
With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an
instruction infringes this Regulation or other Union or Member State data protection provisions.
33

第 1 副項(h)に関し、処理者は、その見解において、指示が本規則又はその他の EU 又は加盟国のデータ保護の条項に違反する場合、直ちに、そのことを管理者に通知するものとする。
4. Where a processor engages another processor for carrying out specific processing activities on behalf of the controller, thesame data protection obligations as set out in the contract or other legal act between the controller and the processor as referred
to in paragraph 3 shall be imposed on that other processor by way of a contract or other legal act under Union or Member
State law, in particular providing sufficient guarantees to implement appropriate technical and organisational measures in sucha manner that the processing will meet the requirements of this Regulation. Where that other processor fails to fulfil its dataprotection obligations, the initial processor shall remain fully liable to the controller for the performance of that otherprocessor's obligations.
4. 管理者の代わりの特定の取扱活動を行うために、処理者が別の処理者を業務に従事させる場合、当該別の処理者に対し、契約によって、又は、EU 法若しくは加盟国の国内法に基づくその他の法律行為によって、特に、その取扱いが本規則の要件に適合するような態様で適切な技術上及び組織上の措置を実装する十分な保証を提供することによって、第 3 項に規定する管理者及び処理者間の契約又はその他の法律行為に定めるのと同じ
データ保護上の義務が課されなければならない。当該別の処理者がそのデータ保護の義務を充足しない場合、当初の処理者は、当該別の処理者の義務の履行について、その管理者に対する法的責任を全面的に負うものとする。
5. Adherence of a processor to an approved code of conduct as referred to in Article 40 or an approved certification mechanism
as referred to in Article 42 may be used as an element by which to demonstrate sufficient guarantees as referred to in paragraphs
1 and 4 of this Article.
5. 第 40 条に規定する承認された行動規範又は第 42 条に規定する承認された認証方法を処理者が遵守することは、本条の第 1 項及び第 4 項に規定する十分な保証を証明するための要素として用いることができる。
6. Without prejudice to an individual contract between the controller and the processor, the contract or the other legal act
referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard contractual clauses referred toin paragraphs 7 and 8 of this Article, including when they are part of a certification granted to the controller or processor
pursuant to Articles 42 and 43.
6. 管理者と処理者との間の個別の契約を妨げることなく、第 3 項若しくは第 4 項に規定する契約又はその他の法律行為は、それが第 42 条及び第 43 条により管理者又は処理者に対して与えられる認証の一部分である場
合を含め、その全部又は一部について、本条の第 7 項及び第 8 項に規定する標準契約条項に基づくものとすることができる。
7. The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article
and in accordance with the examination procedure referred to in Article 93(2).
7. 欧州委員会は、本条の第 3 項及び第 4 項に規定する事項に関して、第 93 条第 2 項に規定する審議手続に従い、標準契約条項を定めることができる。
8. A supervisory authority may adopt standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article
and in accordance with the consistency mechanism referred to in Article 63.
8. 監督機関は、本条の第 3 項及び第 4 項に規定する事項に関して、第 63 条に規定する一貫性メカニズムに従い、標準契約条項を採択できる。
9. The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including in electronic form.
9. 第 3 項及び第 4 項に規定する契約その他の法律行為は、電子的な方式による場合を含め、書面によるものとする。
34

10. Without prejudice to Articles 82, 83 and 84, if a processor infringes this Regulation by determining the purposes and meansof processing, the processor shall be considered to be a controller in respect of that processing.
10. 第 82 条、第 83 条及び第 84 条を妨げることなく、処理者が取扱いの目的及び方法を決定することにより本規則に違反する場合、その処理者は、当該取扱いとの関係においては、管理者として扱われる。
Article 29 Processing under the authority of the controller or processor
第 29 条 管理者又は処理者の権限の下における取扱い
The processor and any person acting under the authority of the controller or of the processor, who has access to personal data,
shall not process those data except on instructions from the controller, unless required to do so by Union or Member State law.
処理者及び管理者の権限又は処理者の権限の下で行為する者であって、個人データへのアクセスをもつ者は、EU 又は加盟国の国内法により求められている場合を除き、管理者から指示がない限り、当該個人データを取扱ってはならない。
Article 30 Records of processing activities
第 30 条 取扱活動の記録
1. Each controller and, where applicable, the controller's representative, shall maintain a record of processing activities under
its responsibility. That record shall contain all of the following information:
1. 個々の管理者、及び、該当する場合、管理者の代理人は、その責任において、取扱活動の記録を保管する。
その記録は、以下の情報の全てを含める：(a) the name and contact details of the controller and, where applicable, the joint controller, the controller's representative
and the data protection officer;(a) 管理者、及び、該当する場合、共同管理者、管理者の代理人並びにデータ保護オフィサーの名前及び連絡先；(b) the purposes of the processing;(b) 取扱いの目的；(c) a description of the categories of data subjects and of the categories of personal data;(c) データ主体の類型の記述及び個人データの種類の記述；(d) the categories of recipients to whom the personal data have been or will be disclosed including recipients in third
countries or international organisations;(d) 第三国又は国際機関内の取得者を含め、個人データが開示された、又は、開示される取得者の類型；(e) where applicable, transfers of personal data to a third country or an international organisation, including theidentification of that third country or international organisation and, in the case of transfers referred to in the second
subparagraph of Article 49(1), the documentation of suitable safeguards;(e) 該当する場合、当該第三国若しくは国際機関の識別を含め、第三国又は国際機関に対する個人データの移転、及び、第 49 条第 1 項第 2 副項に規定する移転の場合、適正な保護措置を示す文書；(f) where possible, the envisaged time limits for erasure of the different categories of data;(f) 可能なときは、異なる種類毎のデータの削除のために予定されている期限；(g) where possible, a general description of the technical and organisational security measures referred to in Article 32(1).
35

(g) 可能なときは、第 32 条第 1 項に規定する技術的及び組織的安全管理措置の概要。
2. Each processor and, where applicable, the processor's representative shall maintain a record of all categories of processing
activities carried out on behalf of a controller, containing:
2. 個々の処理者、及び、該当する場合、処理者の代理人は、管理者の代わりに行われる全ての種類の取扱いの記録を保管する。以下の事項を含める：(a) the name and contact details of the processor or processors and of each controller on behalf of which the processor isacting, and, where applicable, of the controller's or the processor's representative, and the data protection officer;(a) 処理者及び処理者が代わりに活動している個々の管理者の名前及び連絡先、並びに、該当する場合、管理者又は処理者の代理人及びデータ保護オフィサーの名前及び連絡先；(b) the categories of processing carried out on behalf of each controller;(b) 個々の管理者の代わりに行われる取扱いの種類；(c) where applicable, transfers of personal data to a third country or an international organisation, including theidentification of that third country or international organisation and, in the case of transfers referred to in the second
subparagraph of Article 49(1), the documentation of suitable safeguards;(c) 該当する場合、当該第三国若しくは国際機関の識別を含め、第三国又は国際機関に対する個人データの移転、及び、第 49 条第 1 項第 2 副項に規定する移転の場合、適切な保護措置を示す文書；(d) where possible, a general description of the technical and organisational security measures referred to in Article 32(1).
(d) 可能なときは、第 32 条第 1 項に規定する技術的及び組織的安全管理措置の一般的な記述。
3. The records referred to in paragraphs 1 and 2 shall be in writing, including in electronic form.
3. 第 1 項及び第 2 項に規定する記録は、書面によるものとし、電子的方式も含むものとする。
4. The controller or the processor and, where applicable, the controller's or the processor's representative, shall make the record
available to the supervisory authority on request.
4. 管理者又は処理者、及び、該当する場合、管理者の又は処理者の代理人は、要請に応じて、監督機関がその記録を利用できるようにする。
5. The obligations referred to in paragraphs 1 and 2 shall not apply to an enterprise or an organisation employing fewer than
250 persons unless the processing it carries out is likely to result in a risk to the rights and freedoms of data subjects, theprocessing is not occasional, or the processing includes special categories of data as referred to in Article 9(1) or personal data
relating to criminal convictions and offences referred to in Article 10.
5. 実施する取扱いがデータ主体の権利及び自由に対してリスクを発生させる可能性がある場合、その取扱いが一時的なものではない場合、又は、その取扱いが第 9 条第 1 項に規定する特別な種類のデータを含んでおり、若しくは、第 10 条に規定する有罪判決及び犯罪行為と関連するものである場合を除き、第 1 項及び第 2項に規定する義務は、従業者の数が 250 名未満の企業又は組織に対しては、適用されない。
Article 31 Cooperation with the supervisory authority
第 31 条 監督機関との協力
The controller and the processor and, where applicable, their representatives, shall cooperate, on request, with the supervisory
authority in the performance of its tasks.
管理者及び処理者、並びに、該当する場合はそれらの者の代理人は、要求に応じて、その職務の遂行におい36

て監督機関と協力するものとする。
Section 2 Security of personal data
第 2 節 個人データの安全性
Article 32 Security of processing
第 32 条 取扱いの安全性
1. Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing
as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and theprocessor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to therisk, including inter alia as appropriate:1. 最新技術、実装費用、取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者及び処理者は、リスクに適切に対応する一定のレベルの安全性を確保するために、特に、以下のものを含め、適切な技術上及び組織上の措置をしかるべく実装する。
(a) the pseudonymisation and encryption of personal data;(a) 個人データの仮名化又は暗号化；(b) the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems andservices;(b) 取扱システム及び取扱サービスの現在の機密性、完全性、可用性及び回復性を確保する能力；(c) the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technicalincident;(c) 物的又は技術的なインシデントが発生した際、適時な態様で、個人データの可用性及びそれに対するアクセスを復旧する能力；(d) a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for
ensuring the security of the processing.
(d) 取扱いの安全性を確保するための技術上及び組織上の措置の有効性の定期的なテスト、評価及び評定のための手順。
2. In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing,in particular from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal datatransmitted, stored or otherwise processed.
2. 安全性の適切なレベルを評価する際、取扱いによって示されるリスク、特に、送信され、記録保存され、又は、それ以外の取扱いがなされる個人データの、偶発的又は違法な、破壊、喪失、改変、無権限の開示、又は、
アクセスから生ずるリスクを特に考慮に入れる。
3. Adherence to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred
to in Article 42 may be used as an element by which to demonstrate compliance with the requirements set out in paragraph 1of this Article.
3. 第 40 条で定める行動規範又は第 42 条で定める承認された認証メカニズムに忠実であることは、
本条第 1 項に定める要件の遵守を説明するための要素として用いることができる。
4. The controller and processor shall take steps to ensure that any natural person acting under the authority of the controller or37the processor who has access to personal data does not process them except on instructions from the controller, unless he or
she is required to do so by Union or Member State law.
4. 管理者及び処理者は、管理者又は処理者の権限の下で行動し、個人データにアクセスする自然人が、管理者の指示に基づく場合を除き、EU 法又は加盟国の国内法によってそのようにすることを求められない限り、その個人データを取扱わないことを確保するための手立てを講ずる。
Article 33 Notification of a personal data breach to the supervisory authority
第 33 条 監督機関に対する個人データ侵害の通知
1. In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours
after having become aware of it, notify the personal data breach to the supervisory authority competent in accordance with
Article 55, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where
the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.
1. 個人データ侵害が発生した場合、管理者は、その個人データ侵害が自然人の権利及び自由に対するリスクを発生させるおそれがない場合を除き、不当な遅滞なく、かつ、それが実施可能なときは、その侵害に気づいた
時から遅くとも 72 時間以内に、第 55 条に従って所轄監督機関に対し、その個人データ侵害を通知しなければならない。監督機関に対する通知が 72 時間以内に行われない場合、その通知は、その遅延の理由を付さなければならない。
2. The processor shall notify the controller without undue delay after becoming aware of a personal data breach.
2. 処理者は、個人データ侵害に気づいた後、不当な遅滞なく、管理者に対して通知しなければならない。
3. The notification referred to in paragraph 1 shall at least:
3. 第 1 項で定める通知は、少なくとも、以下のとおりとする：(a) describe the nature of the personal data breach including where possible, the categories and approximate number ofdata subjects concerned and the categories and approximate number of personal data records concerned;(a) 可能な場合、関係するデータ主体の類型及び概数、並びに、関係する個人データ記録の種類及び概数を含め、個人データ侵害の性質を記述する；(b) communicate the name and contact details of the data protection officer or other contact point where more information
can be obtained;(b) データ保護オフィサーの名前及び連絡先、又は、より多くの情報を入手することのできる他の連絡先を連絡する；(c) describe the likely consequences of the personal data breach;(c) その個人データ侵害の結果として発生する可能性のある事態を記述する；(d) describe the measures taken or proposed to be taken by the controller to address the personal data breach, including,where appropriate, measures to mitigate its possible adverse effects.
(d) 適切な場合、起こりうる悪影響を低減させるための措置を含め、その個人データ侵害に対処するために管理者によって講じられた措置又は講ずるように提案された措置を記述する。
4. Where, and in so far as, it is not possible to provide the information at the same time, the information may be provided inphases without undue further delay.
4. 同時に情報を提供できない場合、その範囲内において、その情報は、更なる不当な遅滞なく、その状況に応じて提供できる。
38

5. The controller shall document any personal data breaches, comprising the facts relating to the personal data breach, its
effects and the remedial action taken. That documentation shall enable the supervisory authority to verify compliance withthis Article.
5. 管理者は、その個人データ侵害と関連する事実関係、その影響及び講じられた救済措置を含め、全ての個人
データ侵害を文書化しなければならない。その文書は、本条の遵守を検証するために、監督機関が利用できる
ものとしなければならない。
Article 34 Communication of a personal data breach to the data subject
第 34 条 データ主体に対する個人データ侵害の連絡
1. When the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, the controller
shall communicate the personal data breach to the data subject without undue delay.
1. 個人データ侵害が自然人の権利及び自由に対する高いリスクを発生させる可能性がある場合、管理者は、そのデータ主体に対し、不当な遅滞なく、その個人データ侵害を連絡しなければならない。
2. The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language
the nature of the personal data breach and contain at least the information and measures referred to in points (b), (c) and (d) of
Article 33(3).
2. 本条第 1 項で定める示すデータ主体に対する連絡は、明確かつ平易な言語でその個人データ侵害の性質を記述し、かつ、少なくとも、第 33 条第 3 項(b)、(c)及び(d)に規定された情報及び勧告を含める。
3. The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions aremet:
3. 第 1 項で定めるデータ主体に対する連絡は、以下の条件に合致する場合、これを要しない：(a) the controller has implemented appropriate technical and organisational protection measures, and those measures
were applied to the personal data affected by the personal data breach, in particular those that render the personal data
unintelligible to any person who is not authorised to access it, such as encryption;(a) 管理者が適切な技術上及び組織上の保護措置を実装しており、かつ、当該措置、特に、暗号化のような、データに対するアクセスが承認されていない者にはその個人データを識別できないようにする措置が、個人データ侵害によって害を受けた個人データに対して適用されていた場合；(b) the controller has taken subsequent measures which ensure that the high risk to the rights and freedoms of data subjects
referred to in paragraph 1 is no longer likely to materialise;(b) 管理者が、第 1 項で定めるデータ主体の権利及び自由に対する高いリスクが具体化しないようにする
ことを確保する事後的な措置を講じた場合；又は、(c) it would involve disproportionate effort. In such a case, there shall instead be a public communication or similar
measure whereby the data subjects are informed in an equally effective manner.
(c) それが過大な負担を要するような場合。そのような場合、データ主体が平等に効果的な態様で通知されるような広報又はそれに類する方法に変更される。
4. If the controller has not already communicated the personal data breach to the data subject, the supervisory authority, having
considered the likelihood of the personal data breach resulting in a high risk, may require it to do so or may decide that any of
the conditions referred to in paragraph 3 are met.
4. 管理者がデータ主体に対して個人データ侵害をまだ通知をしていない場合、監督機関は、その個人データ侵39

害が高いリスクを発生させる可能性を検討した上で、その管理者に対し、そのようにすべきことを要求でき、又は、第 3 項で定める要件のいずれに該当するかを判断できる。
Section 3 Data protection impact assessment and prior consultation
第 3 節 データ保護影響評価及び事前協議
Article 35 Data protection impact assessment
第 35 条 データ保護影響評価
1. Where a type of processing in particular using new technologies, and taking into account the nature, scope, context andpurposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall,prior to the processing, carry out an assessment of the impact of the envisaged processing operations on the protection of
personal data. A single assessment may address a set of similar processing operations that present similar high risks.
1. 取扱いの性質、範囲、過程及び目的を考慮に入れた上で、特に新たな技術を用いるような種類の取扱いが、自然人の権利及び自由に対する高いリスクを発生させるおそれがある場合、管理者は、その取扱いの開始前に、予定している取扱業務の個人データの保護に対する影響についての評価を行わなければならない。類似の高度のリスクを示す一連の類似する取扱業務は、単一の評価の対象とすることができる。
2. The controller shall seek the advice of the data protection officer, where designated, when carrying out a data protection
impact assessment.
2. 管理者は、データ保護影響評価を行う場合、その指定をしているときは、データ保護オフィサーに対して助言を求めなければならない。
3. A data protection impact assessment referred to in paragraph 1 shall in particular be required in the case of:
3. 第 1 項に規定するデータ保護影響評価は、とりわけ、以下の場合に求められる：(a) a systematic and extensive evaluation of personal aspects relating to natural persons which is based on automatedprocessing, including profiling, and on which decisions are based that produce legal effects concerning the natural person
or similarly significantly affect the natural person;(a) プロファイリングを含め、自動的な取扱いに基づくものであり、かつ、それに基づく判断が自然人に関して法的効果を発生させ、又は、自然人に対して同様の重大な影響を及ぼす、自然人に関する人格的側面の体系的かつ広範囲な評価の場合；(b) processing on a large scale of special categories of data referred to in Article 9(1), or of personal data relating tocriminal convictions and offences referred to in Article 10; or(b) 第 9 条第 1 項に規定する特別な種類のデータ又は第 10 条に規定する有罪判決及び犯罪行為と関連する個人データの大規模な取扱いの場合；又は、(c) a systematic monitoring of a publicly accessible area on a large scale.
(c) 公衆がアクセス可能な場所の、システムによる監視が大規模に行われる場合。
4. The supervisory authority shall establish and make public a list of the kind of processing operations which are subject to therequirement for a data protection impact assessment pursuant to paragraph 1. The supervisory authority shall communicate
those lists to the Board referred to in Article 68.
4. 監督機関は、第 1 項によるデータ保護影響評価の義務に服する取扱業務の種類のリストを作成し、これを公表しなければならない。監督機関は、第 68 条に規定する欧州データ保護会議に対し、そのリストを送付するものとする。
40

5. The supervisory authority may also establish and make public a list of the kind of processing operations for which no dataprotection impact assessment is required. The supervisory authority shall communicate those lists to the Board.
5. 監督機関は、データ保護影響評価を要しない取扱業務の種類のリストを作成し、これを公表することもできる。監督機関は、欧州データ保護会議に対し、そのリストを送付するものとする。
6. Prior to the adoption of the lists referred to in paragraphs 4 and 5, the competent supervisory authority shall apply theconsistency mechanism referred to in Article 63 where such lists involve processing activities which are related to the offeringof goods or services to data subjects or to the monitoring of their behaviour in several Member States, or may substantiallyaffect the free movement of personal data within the Union.
6. 第 4 項又は第 5 項リストが複数の加盟国におけるデータ主体に対する物品若しくは役務の提供と関連する取扱活動又は複数の加盟国におけるデータ主体の行動の監視と関連する取扱活動を含むものである場合、又は、EU 域内における個人データの自由な移動に大きな影響を与えうるものである場合、所轄監督機関は、当該リストの採択に先立って、第 63 条に規定する一貫性メカニズムを適用しなければならない。
7. The assessment shall contain at least:
7. 評価は、少なくとも以下の事項を含めるものとする：(a) a systematic description of the envisaged processing operations and the purposes of the processing, including, whereapplicable, the legitimate interest pursued by the controller;(a) 予定されている取扱業務及び取扱いの目的の体系的な記述。該当する場合、管理者の求める正当な利益を含む；(b) an assessment of the necessity and proportionality of the processing operations in relation to the purposes;(b) その目的に関する取扱業務の必要性及び比例性の評価；(c) an assessment of the risks to the rights and freedoms of data subjects referred to in paragraph 1; and(c) 第 1 項で定めるデータ主体の権利及び自由に対するリスクの評価；並びに、(d) the measures envisaged to address the risks, including safeguards, security measures and mechanisms to ensure theprotection of personal data and to demonstrate compliance with this Regulation taking into account the rights andlegitimate interests of data subjects and other persons concerned.
(d) データ主体及び他の関係者の権利及び正当な利益を考慮に入れた上で、個人データの保護を確保するための、及び、本規則の遵守を立証するための、保護措置、安全管理措置及び仕組みを含め、リスクに対処するために予定されている手段。
8. Compliance with approved codes of conduct referred to in Article 40 by the relevant controllers or processors shall be taken
into due account in assessing the impact of the processing operations performed by such controllers or processors, in particular
for the purposes of a data protection impact assessment.
8. 関係する管理者又は処理者によって第 40 条で定める承認された行動規範が遵守されていることは、そのような管理者又は処理者によって遂行される取扱業務の影響を評価するに際し、特に、データ保護影響評価の目的のために、適正に考慮に入れるものとする。
9. Where appropriate, the controller shall seek the views of data subjects or their representatives on the intended processing,
without prejudice to the protection of commercial or public interests or the security of processing operations.
9. 適切な場合、商業上の利益、公共の利益又は取扱業務の安全性を妨げることなく、管理者は、予定されている取扱いに関し、データ主体又はその代理人から意見を求めるものとする。
41

10. Where processing pursuant to point (c) or (e) of Article 6(1) has a legal basis in Union law or in the law of the Member
State to which the controller is subject, that law regulates the specific processing operation or set of operations in question, anda data protection impact assessment has already been carried out as part of a general impact assessment in the context of the
adoption of that legal basis, paragraphs 1 to 7 shall not apply unless Member States deem it to be necessary to carry out suchan assessment prior to processing activities.
10. 第 6 条第 1 項(c)又は(e)による取扱いが、管理者が服する EU 法又は加盟国の国内法の中に法律上の根拠をもつ場合であって、当該法律が、当の特定の取扱業務又は一群の取扱業務を規律しており、かつ、当該法律上の根拠の採択の過程において一般的な影響評価の一部として個人データ保護影響評価が既に行われているときは、取扱活動を開始する前にそのような評価が行われるべきものであると加盟国が判断する場合を除き、第1 項から第 7 項までは、適用されない。
11. Where necessary, the controller shall carry out a review to assess if processing is performed in accordance with the dataprotection impact assessment at least when there is a change of the risk represented by processing operations.
11. 必要があるときは、管理者は、少なくとも、取扱業務によって示されるリスクの変化が存在する時点において、データ保護影響評価に従って取扱いが遂行されているか否かの評価を見直しを実行しなければならない。
Article 36 Prior consultation
第 36 条 事前協議
1. The controller shall consult the supervisory authority prior to processing where a data protection impact assessment under
Article 35 indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate
the risk.
1. そのリスクを軽減させるために管理者によって講じられる措置が存在しない状況下で、自然人の権利及び自由に対して高いリスクをもたらすおそれがあるということを第 35 条に基づくデータ保護影響評価が示している場合、管理者は、その取扱いを開始する前に、監督機関と協議しなければならない。
2. Where the supervisory authority is of the opinion that the intended processing referred to in paragraph 1 would infringe thisRegulation, in particular where the controller has insufficiently identified or mitigated the risk, the supervisory authority shall,
within period of up to eight weeks of receipt of the request for consultation, provide written advice to the controller and, whereapplicable to the processor, and may use any of its powers referred to in Article 58. That period may be extended by six weeks,taking into account the complexity of the intended processing. The supervisory authority shall inform the controller and, whereapplicable, the processor, of any such extension within one month of receipt of the request for consultation together with thereasons for the delay. Those periods may be suspended until the supervisory authority has obtained information it has requested
for the purposes of the consultation.
2. 第 1 項で定める予定されている取扱いが本規則に違反しうるとの見解を監督機関がもつときは、とりわけ、管理者がリスクの特定及び削減について不十分であるときは、その監督機関は、協議の要請を受理した時から8 週間以内に、その管理者に対し、及び、該当する場合、処理者に対し、書面による助言を提供し、また、第58 条に規定する権限中のいずれかを用いることもできる。この期限は、予定されている取扱いの複雑性を考慮に入れた上で、6 週間まで延長できる。その監督機関は、その管理者に対し、及び、該当する場合は、処理者に対し、協議の要請を受領した時から 1 か月以内に、その遅延の理由を付して、そのような期限延長を通知す
るものとする。これらの期限は、監督機関が協議のために求めた情報を入手するまでの間、停止させることができる。
3. When consulting the supervisory authority pursuant to paragraph 1, the controller shall provide the supervisory authority
with:
3. 第 1 項により監督機関と協議する場合、管理者は、監督機関に対し、以下の情報を提供しなければならな
42い：(a) where applicable, the respective responsibilities of the controller, joint controllers and processors involved in theprocessing, in particular for processing within a group of undertakings;(a) 該当する場合、取扱いに関与する管理者、共同管理者及び処理者のそれぞれの責任。特に企業グループ内の取扱いに関連した責任；(b) the purposes and means of the intended processing;(b) 予定されている取扱いの目的及び方法；(c) the measures and safeguards provided to protect the rights and freedoms of data subjects pursuant to this Regulation;(c) 本規則によるデータ主体の権利及び自由を保護するために提供される措置及び保護措置；(d) where applicable, the contact details of the data protection officer;(d) 該当する場合、データ保護オフィサーの詳細な連絡先；(e) the data protection impact assessment provided for in Article 35; and(e) 第 35 条に定めるデータ保護影響評価；並びに、(f) any other information requested by the supervisory authority.
(f) 監督機関から求められたその他の情報。
4. Member States shall consult the supervisory authority during the preparation of a proposal for a legislative measure to be
adopted by a national parliament, or of a regulatory measure based on such a legislative measure, which relates to processing.
4. 加盟国は、取扱いと関連して、国民議会によって採択される立法措置の提案を準備する間、又は、その立法措置に基づく法定の措置の提案を準備する間において、監督機関と協議するものとする。
5. Notwithstanding paragraph 1, Member State law may require controllers to consult with, and obtain prior authorisation
from, the supervisory authority in relation to processing by a controller for the performance of a task carried out by thecontroller in the public interest, including processing in relation to social protection and public health.
5. 第 1 項にかかわらず、加盟国の国内法は、社会保護及び公衆衛生と関連する取扱いを含め、公共の利益において管理者によって行われる職務の遂行のための管理者による取扱いに関し、監督機関と協議することを管理者に対して要求でき、また、監督機関から事前に承認を得ることを要求できる。
Section 4 Data protection off icer
第 4 節 データ保護オフィサー
Article 37 Designation of the data protection officer
第 37 条 データ保護オフィサーの指名
1. The controller and the processor shall designate a data protection officer in any case where:
1. 管理者及び処理者は、以下の場合において、データ保護オフィサーを指名しなければならない：(a) the processing is carried out by a public authority or body, except for courts acting in their judicial capacity;(a) 公的機関又は公的組織によって行われる場合。ただし、裁判所がその司法上の権限を行使する（acting
in their judicial capacity）場合を除く取扱い；43

(b) the core activities of the controller or the processor consist of processing operations which, by virtue of their nature,
their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or(b)管理者又は処理者の中心的業務が、 その取扱いの性質、範囲及び又は目的のゆえに、データ主体の定期的かつ系統的な監視を大規模に要する取扱業務によって構成される場合；又は、(c) the core activities of the controller or the processor consist of processing on a large scale of special categories of data
pursuant to Article 9 and personal data relating to criminal convictions and offences referred to in Article 10.
(c) 管理者又は処理者の中心的業務が、第 9 条による特別な種類のデータ及び第 10 条で定める有罪判決及び犯罪行為と関連する個人データの大規模な取扱いによって構成される場合。
2. A group of undertakings may appoint a single data protection officer provided that a data protection officer is easily
accessible from each establishment.
2. 企業グループは、データ保護オフィサーが各拠点から容易にアクセス可能な場合に限り、1 名のデータ保護
オフィサーを指名できる。
3. Where the controller or the processor is a public authority or body, a single data protection officer may be designated forseveral such authorities or bodies, taking account of their organisational structure and size.
3. 管理者又は処理者が公的機関又は公的組織である場合、その組織上の構造及び規模を考慮に入れた上で、複数の公的機関又は公的組織に対して単一のデータ保護オフィサーを指名できる。
4. In cases other than those referred to in paragraph 1, the controller or processor or associations and other bodies representing
categories of controllers or processors may or, where required by Union or Member State law shall, designate a data protection
officer. The data protection officer may act for such associations and other bodies representing controllers or processors.
4. 第 1 項で定める場合以外においては、管理者若しくは処理者、又は、様々な種類の管理者若しくは処理者を代表する団体その他の組織は、データ保護オフィサーを指名することができ、又は、EU 法又は加盟国の国内法によって要求される場合、データ保護オフィサーを指名しなければならない。そのデータ保護オフィサーは、
そのような団体その他の組織を代表する管理者又は処理者のために行動できる。
5. The data protection officer shall be designated on the basis of professional qualities and, in particular, expert knowledge ofdata protection law and practices and the ability to fulfil the tasks referred to in Article 39.
5. データ保護オフィサーは、専門家としての資質、及び、特に、データ保護の法令及び実務に関する専門知識
並びに第 39 条で定める職務を充足するための能力に基づいて指定される。
6. The data protection officer may be a staff member of the controller or processor, or fulfil the tasks on the basis of a service
contract.
6. データ保護オフィサーは、管理者又は処理者の職員とすることができ、又は、業務契約に基づいてその職務を果たすことができる。
7. The controller or the processor shall publish the contact details of the data protection officer and communicate them to thesupervisory authority.
7. 管理者又は処理者は、データ保護オフィサーの連絡先の詳細を公表し、かつ、監督機関に対し、それを連絡しなければならない。
Article 38 Position of the data protection officer
第 38 条 データ保護オフィサーの地位
1. The controller and the processor shall ensure that the data protection officer is involved, properly and in a timely manner, in44

all issues which relate to the protection of personal data.
1. 管理者及び処理者は、個人データの保護に関連する全ての問題に、適正かつ適時に、データ保護オフィサーが関与することを確保しなければならない。
2. The controller and processor shall support the data protection officer in performing the tasks referred to in Article 39 byproviding resources necessary to carry out those tasks and access to personal data and processing operations, and to maintainhis or her expert knowledge.
2. 管理者及び処理者は、第 39 条で定める職務の遂行において、その職務を遂行し、個人データ及び取扱業務にアクセスするため、並びに、データ保護オフィサーの専門的な知識を維持するために必要となるリソースを提供することによって、データ保護オフィサーを支援しなければならない。
3. The controller and processor shall ensure that the data protection officer does not receive any instructions regarding theexercise of those tasks. He or she shall not be dismissed or penalised by the controller or the processor for performing his tasks.
The data protection officer shall directly report to the highest management level of the controller or the processor.
3. 管理者及び処理者は、データ保護オフィサーが、その職務の遂行に関し、いかなる指示も受けないことを確保しなければならない。当該データ保護オフィサーは、当該データ保護オフィサーの職務の遂行に関して、管理者又は処理者から解任され、又は罰則を受けることがない。データ保護オフィサーは、管理者又は処理者の最高経営者レベルに対して直接報告しなければならない。
4. Data subjects may contact the data protection officer with regard to all issues related to processing of their personal data andto the exercise of their rights under this Regulation.
4. データ主体は、その個人データの取扱い及び本規則に基づくその権利の行使に関連する全ての問題に関し、データ保護オフィサーと連絡をとることができる。
5. The data protection officer shall be bound by secrecy or confidentiality concerning the performance of his or her tasks, inaccordance with Union or Member State law.
5. データ保護オフィサーは、EU 法又は加盟国の国内法に従い、データ保護オフィサーの職務の遂行と関係する秘密又は機密を厳守しなければならない。
6. The data protection officer may fulfil other tasks and duties. The controller or processor shall ensure that any such tasks andduties do not result in a conflict of interests.
6. データ保護オフィサーは、他の職務を遂行し、義務を履行することができる。管理者又は処理者は、そのよ
うな職務及び義務が利益相反とならないことを確保しなければならない。
Article 39 Tasks of the data protection officer
第 39 条 データ保護オフィサーの職務
1. The data protection officer shall have at least the following tasks:
1. データ保護オフィサーは、少なくとも、以下の職務を行わなければならない：(a) to inform and advise the controller or the processor and the employees who carry out processing of their obligations
pursuant to this Regulation and to other Union or Member State data protection provisions;(a) 管理者又は処理者及び取扱いを行う従業者に対し、本規則及びそれ以外の EU 若しくは加盟国のデー
タ保護条項による義務を通知し、かつ、助言すること；(b) to monitor compliance with this Regulation, with other Union or Member State data protection provisions and withthe policies of the controller or processor in relation to the protection of personal data, including the assignment of45

responsibilities, awareness-raising and training of staff involved in processing operations, and the related audits;(b) 取扱業務に関与する職員の責任の割当て、意識向上及び訓練、並びに、関連する監査を含め、本規則の遵守、それ以外の EU 又は加盟国の個人データ保護条項遵守、並びに、個人データ保護と関連する管理者又は処理者の保護方針の遵守を監視すること；(c) to provide advice where requested as regards the data protection impact assessment and monitor its performance
pursuant to Article 35;(c) 要請があった場合、第 35 条によるデータ保護影響評価に関して助言を提供し、その遂行を監視すること；(d) to cooperate with the supervisory authority;(d) 監督機関と協力すること；(e) to act as the contact point for the supervisory authority on issues relating to processing, including the prior consultationreferred to in Article 36, and to consult, where appropriate, with regard to any other matter.
(e) 取扱いと関連する問題に関し、監督機関の連絡先として行動すること。第 36 条に規定する事前協議、
適切な場合、それ以外の関連事項について協議することを含む。
2. The data protection officer shall in the performance of his or her tasks have due regard to the risk associated with processing
operations, taking into account the nature, scope, context and purposes of processing.
2. データ保護オフィサーは、その職務を遂行する際、取扱いの性質、範囲、過程及び目的を考慮に入れた上で、取扱業務と関係するリスクに関し、適正に注意を払う。
Section 5 Codes of conduct and certif ication
第 5 節 行動規範及び認証
Article 40 Codes of conduct
第 40 条 行動規範
1. The Member States, the supervisory authorities, the Board and the Commission shall encourage the drawing up of codesof conduct intended to contribute to the proper application of this Regulation, taking account of the specific features of thevarious processing sectors and the specific needs of micro, small and medium-sized enterprises.
1. 加盟国、監督機関、欧州データ保護会議及び欧州委員会は、様々な取扱部門の特性及び中小零細企業の特殊事情を考慮に入れた上で、本規則の適正な適用に貢献することを意図した行動規範の作成を奨励するものとする。
2. Associations and other bodies representing categories of controllers or processors may prepare codes of conduct, or amendor extend such codes, for the purpose of specifying the application of this Regulation, such as with regard to:
2. 様々な類型の管理者又は処理者を代表する団体及びその他の組織は、以下のような事項に関し、本規則の適用を具体化する目的で、行動規範を用意、又はその規範を改正若しくは追補できる：(a) fair and transparent processing;(a) 公正及び透明性のある取扱い；(b) the legitimate interests pursued by controllers in specific contexts;(b) 具体的な場面において管理者が求める正当な利益；
46

(c) the collection of personal data;(c) 個人データの収集；(d) the pseudonymisation of personal data;(d) 個人データの仮名化；(e) the information provided to the public and to data subjects;(e) 公衆及びデータ主体に対して提供される情報；(f) the exercise of the rights of data subjects;(f) データ主体の権利の行使；(g) the information provided to, and the protection of, children, and the manner in which the consent of the holders ofparental responsibility over children is to be obtained;(g) 子どもに対して提供される情報及び子どもの保護、並びに、子どもに対して親権者としての責任を負う者から同意を得るための方法；(h) the measures and procedures referred to in Articles 24 and 25 and the measures to ensure security of processing
referred to in Article 32;(h) 第 24 条及び第 25 条で定める措置及び手続、並びに、第 32 条に規定する取扱いの安全性を確保するための措置；(i) the notification of personal data breaches to supervisory authorities and the communication of such personal data
breaches to data subjects;(i) 監督機関に対する個人データ侵害の通知及びデータ主体に対するその個人データ侵害の通知；(j) the transfer of personal data to third countries or international organisations; or(j) 第三国又は国際機関に対する個人データの移転；又は、(k) out-of-court proceedings and other dispute resolution procedures for resolving disputes between controllers and data
subjects with regard to processing, without prejudice to the rights of data subjects pursuant to Articles 77 and 79.
(k) 第 77 条及び第 79 条によるデータ主体の権利を妨げることなく、管理者とデータ主体との間の取扱いに関する紛争を解決するための裁判外の手続及びそれ以外の紛争解決手続。
3. In addition to adherence by controllers or processors subject to this Regulation, codes of conduct approved pursuant toparagraph 5 of this Article and having general validity pursuant to paragraph 9 of this Article may also be adhered to bycontrollers or processors that are not subject to this Regulation pursuant to Article 3 in order to provide appropriate safeguards
within the framework of personal data transfers to third countries or international organisations under the terms referred to inpoint (e) of Article 46(2). Such controllers or processors shall make binding and enforceable commitments, via contractual orother legally binding instruments, to apply those appropriate safeguards including with regard to the rights of data subjects.
3. 本規則に服する管理者又は処理者による遵守に加え、本条の第 5 項により承認され、かつ、本条の第 9 項によって一般的な有効性をもつ行動規範は、第 46 条第 2 項(e)で定める条件に基づいて第三国又は国際機関への個人データを移転する枠組みの中における適切な保護措置を提供するために、第 3 条によって本規則の適用対象となっていない管理者又は処理者によっても遵守されうる。そのような管理者又は処理者は、契約上又はそれ以外の法的拘束力のある法律文書を介して、データ主体の権利に関するものを含め、適切な保護措置を適用するための拘束力があり執行可能な約束を形成しなければならない。
47

4. A code of conduct referred to in paragraph 2 of this Article shall contain mechanisms which enable the body referred to in
Article 41(1) to carry out the mandatory monitoring of compliance with its provisions by the controllers or processors which
undertake to apply it, without prejudice to the tasks and powers of supervisory authorities competent pursuant to Article 55 or
56.
4. 本条第 2 項で定める行動規範は、第 41 条第 1 項で定める組織が、第 55 条又は第 56 条によって所轄監督機関の職務及び権限を妨げることなく、その行動規範を適用している管理者又は処理者によるその行動規範の条項遵守を強制的に監視できるようにする仕組みを含めなければならない。
5. Associations and other bodies referred to in paragraph 2 of this Article which intend to prepare a code of conduct or toamend or extend an existing code shall submit the draft code, amendment or extension to the supervisory authority which iscompetent pursuant to Article 55. The supervisory authority shall provide an opinion on whether the draft code, amendment
or extension complies with this Regulation and shall approve that draft code, amendment or extension if it finds that it provides
sufficient appropriate safeguards.
5. 行動規範の準備又は既存の行動規範の改正若しくは追補を予定する本条第 2 項で定める団体及びその他の組織は、第 55 条により所轄監督機関に対し、行動規範案、改正又は追補を送付しなければならない。その監督機関は、その行動規範案、改正又は追補が本規則を遵守するものであるか否に関する意見を述べるものとし、かつ、それが十分に適切な保護措置を提供するものであると判断するときは、当該行動規範案、改正又は追補を承認するものとする。
6. Where the draft code, or amendment or extension is approved in accordance with paragraph 5, and where the code of
conduct concerned does not relate to processing activities in several Member States, the supervisory authority shall registerand publish the code.
6. 行動規範案、改正又は追補が第 5 項に従って承認される場合、及び、関係する行動規範が複数の加盟国内の取扱活動と関連するものではない場合、その監督機関は、その行動規範を登録し、それを公表するものとする。
7. Where a draft code of conduct relates to processing activities in several Member States, the supervisory authority which iscompetent pursuant to Article 55 shall, before approving the draft code, amendment or extension, submit it in the procedurereferred to in Article 63 to the Board which shall provide an opinion on whether the draft code, amendment or extension
complies with this Regulation or, in the situation referred to in paragraph 3 of this Article, provides appropriate safeguards.
7. 行動規範案が複数の加盟国内の取扱活動と関連する場合、第 55 条により所轄監督機関は、
その行動規範案、
改正又は追補を承認する前に、第 63 条で定める手続の中で、それを欧州データ保護会議に送付し、欧州デー
タ保護会議は、その行動規範案、改正又は追補が本規則を遵守するものであるか否か、又は、本条の第 3 項で定める状況において適切な保護措置を提供するものか否かに関し、意見を述べるものとする。
8. Where the opinion referred to in paragraph 7 confirms that the draft code, amendment or extension complies with thisRegulation, or, in the situation referred to in paragraph 3, provides appropriate safeguards, the Board shall submit its opinion
to the Commission.
8. 第 7 項で定める意見書が、その行動規範案、改正又は追補が本規則を遵守するものであることを確認するものである場合、又は、第 3 項で定める状況の下における適切な保護措置を提供することを確認するものである
場合、欧州データ保護会議は、欧州委員会に対し、その意見を送付するものとする。
9. The Commission may, by way of implementing acts, decide that the approved code of conduct, amendment or extension
submitted to it pursuant to paragraph 8 of this Article have general validity within the Union. Those implementing acts shallbe adopted in accordance with the examination procedure set out in Article 93(2).
9. 欧州委員会は、実装法令によって、本条第 8 項により欧州委員会に対して送付された承認された行動規範、その改正及び追補が EU 域内において一般的な有効性をもつと決定することができる。その実装法令は、第 93条第 2 項で規定される審議手続に従って採択されなければならない。
48

10. The Commission shall ensure appropriate publicity for the approved codes which have been decided as having generalvalidity in accordance with paragraph 9.
10. 欧州委員会は、第 9 項に従って一般的な有効性をもつと決定された承認された規範に関し、適切な周知を確保するものとする。
11. The Board shall collate all approved codes of conduct, amendments and extensions in a register and shall make thempublicly available by way of appropriate means.
11. 欧州データ保護会議は、全ての承認された行動規範、その改正及び追補を登録簿に整理列挙し、かつ、適切な手段によって、公衆がそれを利用できるようにするものとする。
Article 41 Monitoring of approved codes of conduct
第 41 条 承認された行動規範の監視
1. Without prejudice to the tasks and powers of the competent supervisory authority under Articles 57 and 58, the monitoringof compliance with a code of conduct pursuant to Article 40 may be carried out by a body which has an appropriate level ofexpertise in relation to the subject-matter of the code and is accredited for that purpose by the competent supervisory authority.
1. 第 57 条及び第 58 条に基づく所轄監督機関の職務及び権限を妨げることなく、第 40 条による行動規範の遵守の監視は、当該行動規範の対象事項と関連する適切なレベルの専門性をもち、かつ、所轄監督機関によってその目的のために認定される組織によって行われうる。
2. A body as referred to in paragraph 1 may be accredited to monitor compliance with a code of conduct where that body has:
2. 第 1 項に規定する組織は、次のいずれも満たす場合に、行動規範の遵守を監視するための認定を受けることができる：(a) demonstrated its independence and expertise in relation to the subject-matter of the code to the satisfaction of thecompetent supervisory authority;(a) その組織の独立性及び行動規範の対象事項に関する専門性について、所轄監督機関が納得する程度に証明したこと(b) established procedures which allow it to assess the eligibility of controllers and processors concerned to apply thecode, to monitor their compliance with its provisions and to periodically review its operation;(b) 管理者又は処理者による行動規範の条項遵守を監視し、かつ、これらの業務を定期的に見直すための、関係する管理者及び処理者が行動規範の適用に努めることの適格性を評価できるようにする手続が設けられていること(c) established procedures and structures to handle complaints about infringements of the code or the manner in which
the code has been, or is being, implemented by a controller or processor, and to make those procedures and structurestransparent to data subjects and the public; and(c) 行動規範に対する違反、又は、管理者若しくは処理者によってなされ、若しくはなされつつある行動規範の実装手法に関する苦情を取り扱うための手続及び組織が定められ、かつ、そのような手続及び組織をデータ主体及び公衆にとって透明性のあるものとしていること(d) demonstrated to the satisfaction of the competent supervisory authority that its tasks and duties do not result in a
conflict of interests.
(d) その組織の職務と義務が利益相反を発生させないことを、所轄監督機関が納得する程度に説明したこと49

3. The competent supervisory authority shall submit the draft criteria for accreditation of a body as referred to in paragraph 1of this Article to the Board pursuant to the consistency mechanism referred to in Article 63.
3. 所轄監督機関は、第 63 条に規定する一貫性メカニズムによって、欧州データ保護会議に対し、本条第 1 項に規定する組織の認定のための基準案を送付する。
4. Without prejudice to the tasks and powers of the competent supervisory authority and the provisions of Chapter VIII, a bodyas referred to in paragraph 1 of this Article shall, subject to appropriate safeguards, take appropriate action in cases ofinfringement of the code by a controller or processor, including suspension or exclusion of the controller or processor
concerned from the code. It shall inform the competent supervisory authority of such actions and the reasons for taking them.
4. 所轄監督機関の職務及び権限並びに第 8 章の規定を妨げることなく、本条第 1 項に規定する組織は、適切な保護措置の下で、管理者又は処理者が行動規範に違反した場合において、行動規範の一時停止又は関係する管理者若しくは処理者の行動規範からの排除を含め、適切な対応を講じなければならない。当該組織は、当該対応について、これを講じる理由とともに、所轄監督機関に通知する。
5. The competent supervisory authority shall revoke the accreditation of a body as referred to in paragraph 1 if the conditions
for accreditation are not, or are no longer, met or where actions taken by the body infringe this Regulation.
5. 所轄監督機関は、認定の条件が満たされていない場合、若しくは、満たされなくなった場合、又は、当該組織の行動が本規則に違反する場合、第 1 項に規定する組織の認定を取り消さなければならない。
6. This Article shall not apply to processing carried out by public authorities and bodies.
6. 本条は、公的機関及び公的組織によって行われる取扱いには適用されない。
Article 42 Certification
第 42 条 認証
1. The Member States, the supervisory authorities, the Board and the Commission shall encourage, in particular at Union level,
the establishment of data protection certification mechanisms and of data protection seals and marks, for the purpose ofdemonstrating compliance with this Regulation of processing operations by controllers and processors. The specific needs ofmicro, small and medium-sized enterprises shall be taken into account.
1. 加盟国、監督機関、欧州データ保護会議及び欧州委員会は、とりわけ、EU レベルにおいて、管理者及び処理者による取扱業務が本規則を遵守することを証明する目的のために、データ保護認証方法、データ保護シー
ル及びデータ保護マークを設けることを奨励しなければならない。中小零細企業の特殊事情を考慮に入れるものとする。
2. In addition to adherence by controllers or processors subject to this Regulation, data protection certification mechanisms,
seals or marks approved pursuant to paragraph 5 of this Article may be established for the purpose of demonstrating theexistence of appropriate safeguards provided by controllers or processors that are not subject to this Regulation pursuant to
Article 3 within the framework of personal data transfers to third countries or international organisations under the terms
referred to in point (f) of Article 46(2). Such controllers or processors shall make binding and enforceable commitments, via
contractual or other legally binding instruments, to apply those appropriate safeguards, including with regard to the rights ofdata subjects.
2. 本規則に服する管理者又は処理者の遵守に加え、第 46 条第 2 項(f)に規定する条件に基づく第三国又は国際機関に対する個人データの移転の枠組みにおける、第 3 条により本規則の適用対象となっていない管理者又は処理者によって提供される適切な保護措置の存在を示す目的のために、本条第 5 項によって認められるデータ
保護認証方法、データ保護シール又はデータ保護マークを設けることができる。当該管理者又は処理者は、契約文書又はその他の法的拘束力ある法律文書を介して、データ主体の権利に関するものを含め、適切な保護措50置を適用するための拘束力があり執行可能な約束を形成しなければならない。
3. The certification shall be voluntary and available via a process that is transparent.
3. 認証は、自由であり、かつ、透明性のある手続を介して利用されるものとする。
4. A certification pursuant to this Article does not reduce the responsibility of the controller or the processor for compliancewith this Regulation and is without prejudice to the tasks and powers of the supervisory authorities which are competentpursuant to Article 55 or 56.
4. 本条による認証は、管理者又は処理者の本規則の遵守に係る責務を軽減することはなく、また、第 55 条又は第 56 条による所轄監督機関の職務及び権限を妨げない。
5. A certification pursuant to this Article shall be issued by the certification bodies referred to in Article 43 or by the competentsupervisory authority, on the basis of criteria approved by that competent supervisory authority pursuant to Article 58(3) or by
the Board pursuant to Article 63. Where the criteria are approved by the Board, this may result in a common certification, theEuropean Data Protection Seal.
5. 本条による認証は、第 58 条第 3 項により所轄監督機関によって承認された基準、又は、第 63 条により欧州
データ保護会議によって承認された基準に基づき、第 43 条に規定する認証機関又は所轄監督機関から発行されるものとする。当該基準が欧州データ保護会議によって承認されたものである場合、それは、共通の認証、
すなわち、欧州データ保護シールとなりうる。
6. The controller or processor which submits its processing to the certification mechanism shall provide the certification bodyreferred to in Article 43, or where applicable, the competent supervisory authority, with all information and access to its
processing activities which are necessary to conduct the certification procedure.
6. その取扱いを認証方法に服させる管理者又は処理者は、第 43 条に規定する認証機関に対し、又は、該当する場合には、所轄監督機関に対し、認証手続を実施するために必要となる全ての情報及びその取扱活動へのア
クセスを提供しなければならない。
7. Certification shall be issued to a controller or processor for a maximum period of three years and may be renewed, under
the same conditions, provided that the relevant requirements continue to be met. Certification shall be withdrawn, as applicable,by the certification bodies referred to in Article 43 or by the competent supervisory authority where the requirements for thecertification are not or are no longer met.
7. 認証は、管理者又は処理者に対し、最長 3 年の期間で発行されるものとし、関連する要件に適合し続けていることを条件として、同じ条件で更新されうる。認証のための要件が満たされていない場合、又は、満たされなくなった場合、その認証は、第 43 条に規定する認証機関又は所轄監督機関によって、しかるべく取り消されるものとする。
8. The Board shall collate all certification mechanisms and data protection seals and marks in a register and shall make thempublicly available by any appropriate means.
8. 欧州データ保護会議は、全ての認証方法、データ保護シール及びデータ保護マークを登録簿に整理列挙し、かつ、適切な手段によって、公衆がそれを利用できるようにしなければならない。
Article 43 Certification bodies
第 43 条 認証機関
1. Without prejudice to the tasks and powers of the competent supervisory authority under Articles 57 and 58, certification
bodies which have an appropriate level of expertise in relation to data protection shall, after informing the supervisory authority
in order to allow it to exercise its powers pursuant to point (h) of Article 58(2) where necessary, issue and renew certification.
51

Member States shall ensure that those certification bodies are accredited by one or both of the following:
1. 第 57 条及び第 58 条に基づく所轄監督機関の職務及び権限を妨げることなく、データ保護に関する適切なレベルの専門性をもつ認証機関は、その必要があるときは、第 58 条第 2 項(h)による権限を行使できるようにするために監督機関に通知した後、認証を発行し、又は、それを更新するものとする。加盟国は、加盟国の認証機関が、以下の一方又は両方から認定されることを確保するしなければならない。
(a) the supervisory authority which is competent pursuant to Article 55 or 56;(a) 第 55 条又は第 56 条による所轄監督機関；(b) the national accreditation body named in accordance with Regulation (EC) No 765/2008 of the European Parliamentand of the Council (1) in accordance with EN-ISO/IEC 17065/2012 and with the additional requirements established by
the supervisory authority which is competent pursuant to Article 55 or 56.
(b) EN-ISO/IEC 17065/2012 に準拠する欧州議会及び欧州連合の理事会の規則(EC) No 765/20081に従い、かつ、第 55 条又は第 56 条による所轄監督機関によって定められる付加的な要件に従って指定される国内認定機関。
2. Certification bodies referred to in paragraph 1 shall be accredited in accordance with that paragraph only where they have:
2. 第 1 項に規定する認証機関は、次のいずれも満たす場合に限り、同項に従って、認定を受けるものとする。
(a) demonstrated their independence and expertise in relation to the subject-matter of the certification to the satisfactionof the competent supervisory authority;(a) その組織の独立性及び認証の対象事項に関する専門性について、所轄監督機関を納得させる程度に証明したこと(b) undertaken to respect the criteria referred to in Article 42(5) and approved by the supervisory authority which iscompetent pursuant to Article 55 or 56 or by the Board pursuant to Article 63;(b) 第 42 条第 5 項に規定する基準を満たし、かつ、第 55 条若しくは第 56 条による所轄監督機関による承認、又は、第 63 条により欧州データ保護会議による承認を受けたこと(c) established procedures for the issuing, periodic review and withdrawal of data protection certification, seals and marks;(c) データ保護認証、データ保護シール及びデータ保護マークの発行、定期的な見直し及び取消しの手続が設けられていること(d) established procedures and structures to handle complaints about infringements of the certification or the manner inwhich the certification has been, or is being, implemented by the controller or processor, and to make those procedures
and structures transparent to data subjects and the public; and(d) 認証に対する違反、又は、管理者若しくは処理者によってなされ、若しくはなされつつある認証事項
実装手法に関する苦情を取り扱うための手続及び組織が定められ、かつ、そのような手続及び組織をデー
タ主体及び公衆にとって透明性のあるものとしていること(e) demonstrated, to the satisfaction of the competent supervisory authority, that their tasks and duties do not result in a
conflict of interests.
(e) その組織の職務と義務が利益相反を発生させないことを、所轄監督機関が納得する程度に証明したこ
1

Regulation (EC) No 765/2008 of the European Parliament and of the Council of 9 July 2008 setting out the requirements for accreditationand market surveillance relating to the marketing of products and repealing Regulation (EEC) No 339/93 (OJ L 218, 13.8.2008, p. 30).
1
製品のマーケティングと関連する認定及び市場調査の要件を定め、規則(EEC) No 339/93 を廃止する欧州議会及び理事会の 2008 年 7 月 9 日の規則(EC) No 765/2008（OJ L 218, 13.8.2008, p.30）
52

と3. The accreditation of certification bodies as referred to in paragraphs 1 and 2 of this Article shall take place on the basis of
criteria approved by the supervisory authority which is competent pursuant to Article 55 or 56 or by the Board pursuant to
Article 63. In the case of accreditation pursuant to point (b) of paragraph 1 of this Article, those requirements shall complement
those envisaged in Regulation (EC) No 765/2008 and the technical rules that describe the methods and procedures of thecertification bodies.
3. 本条第 1 項及び第 2 項に規定する認証機関の認定は、第 55 条又は第 56 条により所轄監督機関によって承認された基準、又は、第 63 条により欧州データ保護会議によって承認された基準に基づいて行われなければならない。本条第 1 項(b)による認定の場合、当該(b)にいう要件は、規則(EC) No 765/2008 及び認証機関の方法及び手順を示す技術規則に掲げられる要件を補完するものでなければならない。
4. The certification bodies referred to in paragraph 1 shall be responsible for the proper assessment leading to the certificationor the withdrawal of such certification without prejudice to the responsibility of the controller or processor for compliancewith this Regulation. The accreditation shall be issued for a maximum period of five years and may be renewed on the same
conditions provided that the certification body meets the requirements set out in this Article.
4. 第 1 項に規定する認証機関は、本規則の遵守に関する管理者又は処理者の責任を妨げることなく、認証又はその取消を導く適正な評価について責任を負うものとする。認定は、認証機関が本条に定める要件に適合することを条件として、最長で 5 年以内の期間で発行されるものとし、また、同じ条件の下で更新されうる。
5. The certification bodies referred to in paragraph 1 shall provide the competent supervisory authorities with the reasons for
granting or withdrawing the requested certification.
5. 第 1 項に規定する認証機関は、所轄監督機関に対し、求められた認証の付与又はその取消の理由を提供する。
6. The requirements referred to in paragraph 3 of this Article and the criteria referred to in Article 42(5) shall be made publicby the supervisory authority in an easily accessible form. The supervisory authorities shall also transmit those requirements
and criteria to the Board. The Board shall collate all certification mechanisms and data protection seals in a register and shallmake them publicly available by any appropriate means.
6. 本条第 3 項に規定する要件及び第 42 条第 5 項に規定する基準は、容易にアクセス可能な方式で、監督機関
によって、公表されなければならない。監督機関は、また、欧州データ保護会議に対し、当該要件及び基準を送付しなければならない。欧州データ保護会議は、全ての認証方法及びデータ保護シールを登録簿に整理列挙
し、かつ、適切な手段によって、公衆がそれを利用できるようにしなければらない。
7. Without prejudice to Chapter VIII, the competent supervisory authority or the national accreditation body shall revoke anaccreditation of a certification body pursuant to paragraph 1 of this Article where the conditions for the accreditation are not,or are no longer, met or where actions taken by a certification body infringe this Regulation.
7. 第 8 章を妨げることなく、認定の要件に適合していない場合、若しくは、適合しなくなった場合、又は、認証機関の行為が本規則に違反する場合、所轄監督機関又は国内認定機関は、本条の第 1 項による認証機関の認定を取り消さなければならない。
8. The Commission shall be empowered to adopt delegated acts in accordance with Article 92 for the purpose of specifying
the requirements to be taken into account for the data protection certification mechanisms referred to in Article 42(1).
8. 欧州委員会は、第 42 条第 1 項に規定するデータ保護認証方法のために考慮に入れられるべき要件の細目を定めるために、第 92 条に従い、委任法令を採択する権限を有するものとする。
9. The Commission may adopt implementing acts laying down technical standards for certification mechanisms and data
53

protection seals and marks, and mechanisms to promote and recognise those certification mechanisms, seals and marks. Those
implementing acts shall be adopted in accordance with the examination procedure referred to in Article 93(2).
9. 欧州委員会は、認証方法、データ保護シール及びデータ保護マークのための技術基準、並びに、認証方法、
データ保護シール及びデータ保護マークを推奨し、周知するための仕組みを定める実装法令を採択することができる。この実装法令は、第 93 条第 2 項に規定する審議手続に従って採択されなければならない。

CHAPTER V Transfers of personal data to third countries or international organisations
第 5 章 第三国又は国際機関への個人データの移転
Article 44 General principle for transfers
第 44 条 移転に関する一般原則
Any transfer of personal data which are undergoing processing or are intended for processing after transfer to a third country
or to an international organisation shall take place only if, subject to the other provisions of this Regulation, the conditions laid
down in this Chapter are complied with by the controller and processor, including for onward transfers of personal data fromthe third country or an international organisation to another third country or to another international organisation. All provisions
in this Chapter shall be applied in order to ensure that the level of protection of natural persons guaranteed by this Regulation
is not undermined.
現に取扱われている又は第三国又は国際機関への移転の後に取扱いを意図した個人データ移転は、その第三国
又は国際機関から別の第三国又は国際機関への個人データの転送に関するものを含め、本規則の他の条項に従い、本章に定める要件が管理者及び処理者によって遵守される場合においてのみ、行われる。本章の全ての条
項は、本規則によって保証される自然人保護のレベルが低下しないことを確保するために適用される。
Article 45 Transfers on the basis of an adequacy decision
第 45 条 十分性認定に基づく移転
1. A transfer of personal data to a third country or an international organisation may take place where the Commission has
decided that the third country, a territory or one or more specified sectors within that third country, or the internationalorganisation in question ensures an adequate level of protection. Such a transfer shall not require any specific authorisation.
1. 第三国、第三国内の地域又は一若しくは複数の特定の部門、又は、国際機関が十分なデータ保護の水準を確保していると欧州委員会が決定した場合、当該第三国又は国際機関への個人データの移転を行うことができる。
その移転は、いかなる個別の許可も要しない。
2. When assessing the adequacy of the level of protection, the Commission shall, in particular, take account of the following
elements:
2. 保護水準の十分性を評価する場合、欧州委員会は、とりわけ、以下の要素を考慮に入れる：(a) the rule of law, respect for human rights and fundamental freedoms, relevant legislation, both general and sectoral,
including concerning public security, defence, national security and criminal law and the access of public authorities topersonal data, as well as the implementation of such legislation, data protection rules, professional rules and security
measures, including rules for the onward transfer of personal data to another third country or international organisation
which are complied with in that country or international organisation, case-law, as well as effective and enforceable data
subject rights and effective administrative and judicial redress for the data subjects whose personal data are beingtransferred;(a) 法の支配、人権及び基本的自由の尊重、公共の安全、国防、国家安全保障及び犯罪法を含め、一般的又は分野別の関連立法、及び、公的機関による個人データへのアクセス、並びに、そのような立法の実装、
54

他の第三国又は国際機関への個人データの再移転に関する規定であって、当該第三国又は国際機関が遵守する法令を含め、データ保護規則、職業上の準則及び保護措置、判例法、並びに、効果的で執行可能なデータ主体の権利、その個人データが移転されつつあるデータ主体のための行政上及び司法上の救済；(b) the existence and effective functioning of one or more independent supervisory authorities in the third country or towhich an international organisation is subject, with responsibility for ensuring and enforcing compliance with the dataprotection rules, including adequate enforcement powers, for assisting and advising the data subjects in exercising theirrights and for cooperation with the supervisory authorities of the Member States; and(b) 適切な執行権限を含め、データ保護法令の遵守を確保し、かつ、執行することに関し、データ主体がその権利を行使する際に支援し助言することに関し、及び、加盟国の監督機関と協力することに関して責任を負う第三国内の、又は、国際機関が服する 1 若しくは複数の独立の監督機関が存在し、かつ、それが効果的に機能していること；並びに、(c) the international commitments the third country or international organisation concerned has entered into, or otherobligations arising from legally binding conventions or instruments as well as from its participation in multilateral orregional systems, in particular in relation to the protection of personal data.
(c)当該第三国若しくは国際機関が加入している国際的な取決め。特に、個人データ保護に関する法的拘束力のある条約若しくは法律文書から生ずるそれ以外の義務、並びに、多国間システム又は領域システムへの参加から生ずる義務。
3. The Commission, after assessing the adequacy of the level of protection, may decide, by means of implementing act, that athird country, a territory or one or more specified sectors within a third country, or an international organisation ensures anadequate level of protection within the meaning of paragraph 2 of this Article. The implementing act shall provide for amechanism for a periodic review, at least every four years, which shall take into account all relevant developments in the third
country or international organisation. The implementing act shall specify its territorial and sectoral application and, whereapplicable, identify the supervisory authority or authorities referred to in point (b) of paragraph 2 of this Article. The
implementing act shall be adopted in accordance with the examination procedure referred to in Article 93(2).
3. 欧州委員会は、保護のレベルの十分性を評価した後、実装行為により、第三国、第三国内の地域又は 1 若し
くは複数の特定の部門又は国際機関が、本条第 2 項の趣旨における十分なレベルのデータ保護を確保している旨を決定することができる。その実装行為は、少なくとも 4 年毎の定期的な見直しの仕組みを定め、その見直しは、その第三国又は国際機関の関係する全ての進展を考慮に入れるものとする。その実装行為は、その領域
上及び部門上の適用範囲を特定し、かつ、適用可能なときは、本条第 2 項(b)に定める監督機関を明らかにしなければならない。この実装行為は、第 93 条第 2 項に定める審議手続に従って採択されなければならない。
4. The Commission shall, on an ongoing basis, monitor developments in third countries and international organisations that
could affect the functioning of decisions adopted pursuant to paragraph 3 of this Article and decisions adopted on the basis of
Article 25(6) of Directive 95/46/EC.
4. 欧州委員会は、有効である基準に基づき、本条第 3 項により採択された決定及び指令 95/46/EC の第 25 条第6 項に基づいて採択された決定が機能することに対して影響を及ぼしうる第三国内及び国際機関内の進展を監視しなければならない。
5. The Commission shall, where available information reveals, in particular following the review referred to in paragraph 3 ofthis Article, that a third country, a territory or one or more specified sectors within a third country, or an internationalorganisation no longer ensures an adequate level of protection within the meaning of paragraph 2 of this Article, to the extent
necessary, repeal, amend or suspend the decision referred to in paragraph 3 of this Article by means of implementing acts
without retro-active effect. Those implementing acts shall be adopted in accordance with the examination procedure referred
to in Article 93(2).
555. 欧州委員会は、当該第三国、第三国内の地域又は 1 若しくは複数の特定の部門又は国際機関が本条第 2 項の趣旨における十分なレベルのデータ保護を確保していないことが、利用可能な情報から、特に、本条第 3 項に定める見直しの結果から、明らかにされた場合、実装行為により、遡及効をもつことなく、必要な範囲内で、本条第 3 項に定める決定を取り消し、修正し、又は、停止しなければならない。この実装行為は、第 93 条第 2項に定める審議手続に従って採択されなければならない。
緊急性という正当化事由に基づき、欧州委員会は、第 93 条第 3 項で定める手続に従い、直ちに、適用可能な実装行為を採択しなければならない。
6. The Commission shall enter into consultations with the third country or international organisation with a view to remedying
the situation giving rise to the decision made pursuant to paragraph 5.
6. 欧州委員会は、第 5 項によって行われた決定を生じさせている状況を救済するという観点から、第三国又は国際機関と協議に入らなければならない。
7. A decision pursuant to paragraph 5 of this Article is without prejudice to transfers of personal data to the third country, aterritory or one or more specified sectors within that third country, or the international organisation in question pursuant to
Articles 46 to 49.
7. 本条第 5 項による決定は、第 46 条から第 49 条による当の第三国、第三国内の地域又は 1 若しくは複数の
特定の部門又は国際機関への個人データの移転を妨げるものではない。
8. The Commission shall publish in the Official Journal of the European Union and on its website a list of the third countries,
territories and specified sectors within a third country and international organisations for which it has decided that an adequatelevel of protection is or is no longer ensured.
8. 欧州委員会は、EU 官報及びそのウェブサイト上において、十分なレベルの保護がある旨の決定がなされ、又は、確保されていない旨の決定がなされた第三国、第三国内の地域若しくは特定の部門又は国際機関の一覧を公表する。
9. Decisions adopted by the Commission on the basis of Article 25(6) of Directive 95/46/EC shall remain in force until
amended, replaced or repealed by a Commission Decision adopted in accordance with paragraph 3 or 5 of this
Article.
9. 指令 95/46/EC の第 25 条第 6 項に基づき欧州委員会によって採択された決定は、本条第 3 項又は第 5 項に従って採択される欧州委員会の決定によって修正され、差し替え、又は、廃止されるまで、その有効性が維持されなければならない。
Article 46 Transfers subject to appropriate safeguards
第 46 条 適切な保護措置に従った移転
1. In the absence of a decision pursuant to Article 45(3), a controller or processor may transfer personal data to a third country
or an international organisation only if the controller or processor has provided appropriate safeguards, and on condition thatenforceable data subject rights and effective legal remedies for data subjects are available.
1. 第 45 条第 3 項による決定がない場合、管理者又は処理者は、その管理者又は処理者が適切な保護措置を提供しており、かつ、データ主体の執行可能な権利及びデータ主体のための効果的な司法救済が利用可能なことを条件としてのみ、第三国又は国際機関への個人データを移転することができる。
2. The appropriate safeguards referred to in paragraph 1 may be provided for, without requiring any specific authorisationfrom a supervisory authority, by:
2. 第 1 項で定める適切な保護措置は、監督機関から個別の承認を必要とせず、以下のいずれかによって講じることができる：56

(a) a legally binding and enforceable instrument between public authorities or bodies;(a) 公的機関又は公的組織の間の法的拘束力及び執行力のある文書；(b) binding corporate rules in accordance with Article 47;(b) 第 47 条に従う拘束的企業準則；(c) standard data protection clauses adopted by the Commission in accordance with the examination procedure referred
to in Article 93(2);(c) 第 93 条第 2 項で定める審議手続に従って欧州委員会によって採択された標準データ保護条項；(d) standard data protection clauses adopted by a supervisory authority and approved by the Commission pursuant to theexamination procedure referred to in Article 93(2);(d) 監督機関によって採択され、かつ、第 93 条第 2 項で定める審議手続に従って欧州委員会によって承認された標準データ保護条項；(e) an approved code of conduct pursuant to Article 40 together with binding and enforceable commitments of thecontroller or processor in the third country to apply the appropriate safeguards, including as regards data subjects' rights;or(e) データ主体の権利に関するものを含め、適切な保護措置を適用するための拘束力があり執行可能な第三国の管理者又は処理者の約定を伴った、第 40 条による承認された行動規範；又は、(f) an approved certification mechanism pursuant to Article 42 together with binding and enforceable commitments ofthe controller or processor in the third country to apply the appropriate safeguards, including as regards data subjects'
rights.
(f) データ主体の権利に関するものを含め、適切な保護措置を適用するための拘束力があり執行可能な第三国の管理者又は処理者の約定を伴った、第 42 条による承認された認証方法。
3. Subject to the authorisation from the competent supervisory authority, the appropriate safeguards referred to in paragraph 1
may also be provided for, in particular, by:
3. 所轄監督機関から承認を受けることを条件として、第 1 項で定める保護措置は、特に、以下の方法によっても講じることができる：(a) contractual clauses between the controller or processor and the controller, processor or the recipient of the personal
data in the third country or international organisation; or(a) 管理者又は処理者と第三国又は国際機関内の管理者、処理者又は個人データの取得者との間の契約条
項；又は、(b) provisions to be inserted into administrative arrangements between public authorities or bodies which include
enforceable and effective data subject rights.
(b) 公的機関又は公的組織の間の取決めの中に入れられる条項であって、執行可能かつ効果的なデータ主体の権利を含むもの。
4. The supervisory authority shall apply the consistency mechanism referred to in Article 63 in the cases referred to inparagraph 3 of this Article.
4. 監督機関は、本条第 3 項で定める場合において、第 63 条で定める一貫性メカニズムを適用する。
57

5. Authorisations by a Member State or supervisory authority on the basis of Article 26(2) of Directive 95/46/EC shall remain
valid until amended, replaced or repealed, if necessary, by that supervisory authority. Decisions adopted by the Commission
on the basis of Article 26(4) of Directive 95/46/EC shall remain in force until amended, replaced or repealed, if necessary, by
a Commission Decision adopted in accordance with paragraph 2 of this Article.
5. 指令 95/46/EC の第 26 条第 2 項に基づく加盟国又は監督機関による承認は、その必要に応じて、監督機関によって改正され、差し替え、又は、廃止されるまで、その有効性が維持されなければならない。指令 95/46/ECの第 26 条第 4 項に基づき欧州委員会によって採択された決定は、必要に応じて、本条第 2 項に従って採択される欧州委員会決定により改正され、差し替え、又は、廃止されるまでその有効性が維持されなければならない。
Article 47 Binding corporate rules
第 47 条 拘束的企業準則
1. The competent supervisory authority shall approve binding corporate rules in accordance with the consistency mechanism
set out in Article 63, provided that they:
1. 所轄監督機関は、次に掲げる場合、第 63 条に定める一貫性メカニズムに従い、拘束的企業準則を承認しなければならない：(a) are legally binding and apply to and are enforced by every member concerned of the group of undertakings, or groupof enterprises engaged in a joint economic activity, including their employees;(a) その従業者を含め、企業グループ又は共同経済活動に従事する企業グループの関係する全てのメンバーを法的に拘束し、それらの者に適用され、かつ、それらの者によって執行され；(b) expressly confer enforceable rights on data subjects with regard to the processing of their personal data; and(b) その個人データの取扱いと関連するデータ主体の執行可能な権利を明示で与えており；かつ、(c) fulfil the requirements laid down in paragraph 2.
(c) 第 2 項に定める要件を満たしている場合。
2. The binding corporate rules referred to in paragraph 1 shall specify at least:
2. 第 1 項で定める拘束的企業準則は、少なくとも、以下の事項を明記しなくてはならない：(a) the structure and contact details of the group of undertakings, or group of enterprises engaged in a joint economic
activity and of each of its members;(a) 企業グループ若しくは共同経済活動に従事する企業グループ又はそれらを構成する個々のメンバーの組織体制及び連絡先；(b) the data transfers or set of transfers, including the categories of personal data, the type of processing and its purposes,
the type of data subjects affected and the identification of the third country or countries in question;(b) 個人データの種類、取扱いの種類及びその目的、影響を受けるデータ主体の類型、及び問題となっている特定された第三国若しくは複数の第三国の事項を含むデータ移転又はデータ移転の集合(c) their legally binding nature, both internally and externally;(c) 内部的及び対外的拘束力の法的性質；(d) the application of the general data protection principles, in particular purpose limitation, data minimisation, limited
storage periods, data quality, data protection by design and by default, legal basis for processing, processing of special
58

categories of personal data, measures to ensure data security, and the requirements in respect of onward transfers to bodies
not bound by the binding corporate rules;(d) 一般的なデータ保護の原則の適用。特に、目的の制限、データの最小化、記録保存期間の制限、データの品質、データ保護バイデザイン及びバイデフォルト、取扱いの法的根拠、特別な種類の個人データの取扱い、データの安全性を確保するための措置、並びに、拘束的企業準則によって拘束されない組織に対するデータ再移転に関する要件；(e) the rights of data subjects in regard to processing and the means to exercise those rights, including the right not to be
subject to decisions based solely on automated processing, including profiling in accordance with Article 22, the right tolodge a complaint with the competent supervisory authority and before the competent courts of the Member States inaccordance with Article 79, and to obtain redress and, where appropriate, compensation for a breach of the binding
corporate rules;(e) 取扱いに関するデータ主体の権利及び当該権利行使の履行手段。第 22 条に従うプロファイリングを含む自動取扱いのみによる決定に服しない権利、所轄監督機関に対し異議を申し立てる権利、第 79 条に従い加盟国の裁判所に異議を申し立てる権利、並びに、救済の権利、及び、適切な場合、拘束的企業準則の侵害に関する損害賠償を求める権利を含む。
；(f) the acceptance by the controller or processor established on the territory of a Member State of liability for any breachesof the binding corporate rules by any member concerned not established in the Union; the controller or the processor shallbe exempt from that liability, in whole or in part, only if it proves that that member is not responsible for the event giving
rise to the damage;(f) EU 域内に拠点のない関連するあらゆるメンバーによる拘束的企業準則の違反行為による法的責任を有する加盟国の領土に拠点のある管理者又は処理者の承諾；その管理者又は処理者は、当該メンバーがその損害の発生を生じさせる出来事に関して責任を負わないことを証明した場合に限り、その法的責任の全部又は一部を免れるものとする；(g) how the information on the binding corporate rules, in particular on the provisions referred to in points (d), (e) and (f)of this paragraph is provided to the data subjects in addition to Articles 13 and 14;(g) 拘束的企業準則に関する情報、特に、第 13 条及び第 14 条に加え、本項(d)、(e)及び(f)で定める各条項に関する情報をデータ主体に提供する方法；(h) the tasks of any data protection officer designated in accordance with Article 37 or any other person or entity in chargeof the monitoring compliance with the binding corporate rules within the group of undertakings, or group of enterprises
engaged in a joint economic activity, as well as monitoring training and complaint-handling;(h) 第 37 条に従って任命されたデータ保護オフィサー、又は企業グループ内又は共同で経済活動に従事する企業グループ内において、拘束的企業準則の遵守並びに訓練及び異議申立ての取扱いの監視を実施する責任があるあらゆるその他の人物若しくは組織の業務；(i) the complaint procedures;(i) 異議申立て手続；(j) the mechanisms within the group of undertakings, or group of enterprises engaged in a joint economic activity forensuring the verification of compliance with the binding corporate rules. Such mechanisms shall include data protection
audits and methods for ensuring corrective actions to protect the rights of the data subject. Results of such verification
should be communicated to the person or entity referred to in point (h) and to the board of the controlling undertaking ofa group of undertakings, or of the group of enterprises engaged in a joint economic activity, and should be available uponrequest to the competent supervisory authority;59

(j) 企業グループ若しくは共同で経済活動に従事する企業グループのメンバー内における拘束的企業準則の遵守の確認を確保するための仕組み。その仕組みは、データ保護監査、及び、データ主体の権利を保護するための是正活動を確保するための方法を含むものでなければならない。その確認の結果は、(h)で定める者若しくは組織並びに企業グループ若しくは共同で経済活動に従事する企業グループの内の事業を管理している会議に対して通知され、また、要求に応じて、所轄監督機関に利用可能なものにしなければな
ならない；(k) the mechanisms for reporting and recording changes to the rules and reporting those changes to the supervisory
authority;(k) 規則の変更の報告及び記録の仕組み、並びに、監督機関に対する当該変更の報告；(l) the cooperation mechanism with the supervisory authority to ensure compliance by any member of the group ofundertakings, or group of enterprises engaged in a joint economic activity, in particular by making available to thesupervisory authority the results of verifications of the measures referred to in point (j);(l) 企業グループ若しくは共同で経済活動に従事する企業グループのメンバーによる遵守を確保するための、とりわけ、(j)で定める措置の有効性検証の結果を監督機関が利用できるようにすることによる、監督機関との協力の仕組み；(m) the mechanisms for reporting to the competent supervisory authority any legal requirements to which a member ofthe group of undertakings, or group of enterprises engaged in a joint economic activity is subject in a third country which
are likely to have a substantial adverse effect on the guarantees provided by the binding corporate rules; and(m) 企業グループ若しくは共同で経済活動に従事する企業グループのメンバーが服する第三国における法律上の要件であって、その拘束的企業準則によって提供される保証に対して実質的な悪影響を及ぼすおそれのあるものを監督機関に報告するための仕組み；並びに、(n) the appropriate data protection training to personnel having permanent or regular access to personal data.
(n)永続的に又は継続的に個人データへのアクセスをもつ者に対する適切なデータ保護トレーニング。
3. The Commission may specify the format and procedures for the exchange of information between controllers, processors
and supervisory authorities for binding corporate rules within the meaning of this Article. Those implementing acts shall be
adopted in accordance with the examination procedure set out in Article 93(2).
3. 欧州委員会は、本条の趣旨における拘束的企業準則に関する管理者、処理者及び監督機関の間の情報交換の形式及び手続を定めることができる。この実装行為は、第 93 条第 2 項で規定された審議手続に従って採択されるものとする。
Article 48 Transfers or disclosures not authorised by Union law
第 48 条 EU 法によって認められない移転又は開示
Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller orprocessor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international
agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member
State, without prejudice to other grounds for transfer pursuant to this Chapter.
管理者又は処理者に対して個人データの移転又は開示を命ずる第三国の裁判所若しくは法廷の判決及び公的機関の決定は、本章による移転のための別の法的根拠を妨げることなく、いかなる態様によるにせよ、司法共助条約のような要請元である第三国と EU 又は加盟国との間で有効な国際合意に基づく場合においてのみ、認められるか又は執行力を有することができる。
60

Article 49 Derogations for specific situations
第 49 条 特定の状況における例外
1. In the absence of an adequacy decision pursuant to Article 45(3), or of appropriate safeguards pursuant to Article 46,
including binding corporate rules, a transfer or a set of transfers of personal data to a third country or an internationalorganisation shall take place only on one of the following conditions:1. 第 45 条第 3 項による十分性認定がない場合、又は拘束的企業準則を含め、第 46 条による適切な保護措置がない場合、以下の条件中のいずれかを満たしている場合においてのみ、第三国又は国際機関への個人データの移転又は個人データ移転の集合を行うことができる：(a) the data subject has explicitly consented to the proposed transfer, after having been informed of the possible risks ofsuch transfers for the data subject due to the absence of an adequacy decision and appropriate safeguards;(a) 十分性認定及び適切な保護措置が存在しないために、そのような移転がそのデータ主体に対して発生させる可能性のあるリスクの情報提供を受けた後に、そのデータ主体が、提案された移転に明示的に同意した場合；(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the
implementation of pre-contractual measures taken at the data subject's request;(b) データ主体と管理者との間の契約の履行のためにその移転が必要となる場合、又は、データ主体の要求により、契約締結前の措置を実施するためにその移転が必要となる場合；(c) the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject
between the controller and another natural or legal person;(c) 管理者及びそれ以外の自然人若しくは法人との間でデータ主体の利益のために帰する契約の締結、又は、その契約の履行のために移転が必要となる場合；(d) the transfer is necessary for important reasons of public interest;(d) 公共の利益の重大な事由の移転が必要となる場合；(e) the transfer is necessary for the establishment, exercise or defence of legal claims;(e) 法的主張時の立証、行使又は抗弁に移転が必要となる場合；(f) the transfer is necessary in order to protect the vital interests of the data subject or of other persons, where the data
subject is physically or legally incapable of giving consent;(f) データ主体が物理的又は法的に同意を与えることができない場合において、データ主体又はそれ以外の者の生命に関する利益を保護するために移転が必要となる場合；(g) the transfer is made from a register which according to Union or Member State law is intended to provide information
to the public and which is open to consultation either by the public in general or by any person who can demonstrate alegitimate interest, but only to the extent that the conditions laid down by Union or Member State law for consultation
are fulfilled in the particular case.
(g) EU 法又は加盟国の国内法に従い、公衆に対して情報を提供することを予定しており、かつ、公衆一般
及び正当な利益をもつことを説明することのできる者の両者に対して開かれているが、個々の案件において、照会に関して EU 法又は加盟国の国内法により定められた条件が充足する限度内のみに制限されている登録機関に限り、登録機関からの移転が必要となる場合。
Where a transfer could not be based on a provision in Article 45 or 46, including the provisions on binding corporate rules,
61

and none of the derogations for a specific situation referred to in the first subparagraph of this paragraph is applicable, a transfer
to a third country or an international organisation may take place only if the transfer is not repetitive, concerns only a limited
number of data subjects, is necessary for the purposes of compelling legitimate interests pursued by the controller which are
not overridden by the interests or rights and freedoms of the data subject, and the controller has assessed all the circumstances
surrounding the data transfer and has on the basis of that assessment provided suitable safeguards with regard to the protectionof personal data. The controller shall inform the supervisory authority of the transfer. The controller shall, in addition toproviding the information referred to in Articles 13 and 14, inform the data subject of the transfer and on the compelling
legitimate interests pursued.
拘束的企業準則の条項を含め、第 45 条又は 46 条に基づいて移転を行うことができず、かつ、本項（a）から（g）による特定の状況における例外がいずれも適用可能ではない場合、その移転が、反復的なものではな
く、限定された人数のデータ主体に関係するものであり、データ主体の権利及び自由によって優先されるもの
ではない管理者が求める義務的な正当な利益の目的のために必要であり、かつ、管理者がデータ移転と関連する全ての事情を評価しており、かつ、その評価に基づき、その管理者が個人データの保護に関連して適合する保護措置を提供した場合に限り、第三国又は国際機関に対する移転を行うことができる。その管理者は、監督機関に対して、その移転を通知しなければならない。その管理者は、そのデータ主体に対し、第 13 条及び第14 条に規定する情報に加え、その移転及び求められる義務的な正当な利益に関し、情報提供しなければならない。
2. A transfer pursuant to point (g) of the first subparagraph of paragraph 1 shall not involve the entirety of the personal data or
entire categories of the personal data contained in the register. Where the register is intended for consultation by persons having
a legitimate interest, the transfer shall be made only at the request of those persons or if they are to be the recipients.
2. 第 1 項(g)による移転は、その登録機関に収録されている個人データ全体又は全ての種類の個人データを含むものではない。登録機関が公正な利益を有する者からの協議での利用を意図している場合、その者の要求、又は、その者が取得者となる場合に限定して、その移転が行われる。
3. Points (a), (b) and (c) of the first subparagraph of paragraph 1 and the second subparagraph thereof shall not apply toactivities carried out by public authorities in the exercise of their public powers.
3. 第 1 項前段(a)、(b)及び(c)並びに同項後段は、その権限の行使において公的機関によって実施される行為には適用されない。
4. The public interest referred to in point (d) of the first subparagraph of paragraph 1 shall be recognised in Union law or in
the law of the Member State to which the controller is subject.
4. 第 1 項(d)で定める公共の利益は、EU 法又は管理者が従う加盟国の国内法において認められていなければならない。
5. In the absence of an adequacy decision, Union or Member State law may, for important reasons of public interest, expressly
set limits to the transfer of specific categories of personal data to a third country or an international organisation. Member
States shall notify such provisions to the Commission.
5. 十分性認定がない場合、EU 法又は加盟国の国内法は、重要な公共の利益を理由として、第三国又は国際機関への特別な種類の個人データの移転について、明示の制限を設けることができる。加盟国は、欧州委員会に対し、そのような条項を通知しなければならない。
6. The controller or processor shall document the assessment as well as the suitable safeguards referred to in the second
subparagraph of paragraph 1 of this Article in the records referred to in Article 30.
6. 管理者又は処理者は、評価及び本条第 1 項後段で定める適切な保護措置を第 30 条で定める記録の中で文書化しなければならない。
62

Article 50 International cooperation for the protection of personal data
第 50 条 個人データ保護のための国際協力
In relation to third countries and international organisations, the Commission and supervisory authorities shall take appropriate
steps to:
第三国及び国際機関に関連して、欧州委員会及び監督機関は、以下の適切な手立てを講じなければならない：(a) develop international cooperation mechanisms to facilitate the effective enforcement of legislation for the protectionof personal data;(a) 個人データ保護立法の効果的な執行を促進するための国際協力の仕組みを構築すること；(b) provide international mutual assistance in the enforcement of legislation for the protection of personal data, including
through notification, complaint referral, investigative assistance and information exchange, subject to appropriate
safeguards for the protection of personal data and other fundamental rights and freedoms;(b) 個人データ保護及びそれ以外の基本的な権利及び自由の保護のための適切な保護措置の下で、通知、苦情相談、調査支援及び情報交換を介する場合を含め、個人データ保護立法の執行に関して国際的な共助を提供すること；(c) engage relevant stakeholders in discussion and activities aimed at furthering international cooperation in theenforcement of legislation for the protection of personal data;(c) 個人データ保護立法の執行における国際的協力の促進を目的とした議論及び活動への関連する利害関係者との意見交換；(d) promote the exchange and documentation of personal data protection legislation and practice, including on
jurisdictional conflicts with third countries.
(d) 第三国との裁判管轄権の抵触に関するものを含め、個人データ保護の立法及び慣例の情報交換及び文書化を促進すること。

CHAPTER VI

Independent supervisory authorities
第 6 章 独立監督機関

Section 1 Independent status
第 1 節 独立的地位
Article 51 Supervisory authority
第 51 条 監督機関
1. Each Member State shall provide for one or more independent public authorities to be responsible for monitoring theapplication of this Regulation, in order to protect the fundamental rights and freedoms of natural persons in relation toprocessing and to facilitate the free flow of personal data within the Union (‘supervisory authority’).
1. 各加盟国は、取扱いと関連する自然人の基本的な権利及び自由を保護し、かつ、EU 域内における個人デー
タの自由な流れを促進するため、本規則の適用を監視する職責を負う 1 若しくは複数の独立の公的機関を定め。
るなければならない（「監督機関」）
2. Each supervisory authority shall contribute to the consistent application of this Regulation throughout the Union. For that
purpose, the supervisory authorities shall cooperate with each other and the Commission in accordance with Chapter VII.
63

2. 各監督機関は、
EU 全域における本規則の一貫性のある適用に貢献しなければならない。
この目的のために、監督機関は、第 7 章に従い、相互に協力し、かつ、欧州委員会と協力しなければならない。
3. Where more than one supervisory authority is established in a Member State, that Member State shall designate thesupervisory authority which is to represent those authorities in the Board and shall set out the mechanism to ensure complianceby the other authorities with the rules relating to the consistency mechanism referred to in Article 63.
3. 1 つの加盟国内において複数の監督機関が設けられる場合、当該加盟国は、欧州データ保護会議においてそれらの監督機関を代表する監督機関を指定し、かつ、第 63 条で定める一貫性メカニズムと関連する規定を他の監督機関が遵守することを確保するための仕組みを定める。
4. Each Member State shall notify to the Commission the provisions of its law which it adopts pursuant to this Chapter, by 25
May 2018 and, without delay, any subsequent amendment affecting them.
4. 各加盟国は、欧州委員会に対し、2018 年 5 月 25 日までに、本章により加盟国が採択した加盟国の法律の条項を通知し、かつ、遅滞なく、その条項に影響を与えるその後の改正を通知する。
Article 52 Independence
第 52 条 独立性
1. Each supervisory authority shall act with complete independence in performing its tasks and exercising its powers inaccordance with this Regulation.
1. 各監督機関は、本規則に従ってその職務を遂行し、かつ、その権限を行使する際、完全に独立して行動しなければならない。
2. The member or members of each supervisory authority shall, in the performance of their tasks and exercise of their powers
in accordance with this Regulation, remain free from external influence, whether direct or indirect, and shall neither seek nor
take instructions from anybody.
2. 各監督機関のメンバー又はメンバーたちは、本規則に従ってその職務を遂行及び権限の行使において、直接又は間接を問わず、外部からの影響を受けることなく、かつ、誰に対しても指示を求めず、また、誰からの指示も受けない。
3. Member or members of each supervisory authority shall refrain from any action incompatible with their duties and shallnot, during their term of office, engage in any incompatible occupation, whether gainful or not.
3. 各監督機関の構成員は、その職責と適合しない行動を慎み、かつ、その在任中は、収入の有無を問わず、その仕事と適合しない業務に従事してはならない。
4. Each Member State shall ensure that each supervisory authority is provided with the human, technical and financial
resources, premises and infrastructure necessary for the effective performance of its tasks and exercise of its powers, including
those to be carried out in the context of mutual assistance, cooperation and participation in the Board.
4. 各加盟国は、各監督機関が、欧州データ保護会議における共助、協力及び参加の過程において行われる職務を含め、その職務の効果的な遂行及びその権限の行使のために必要となる人的、技術的及び財政的資源、施設
及びインフラの提供されるよう確保しなければならない。
5. Each Member State shall ensure that each supervisory authority chooses and has its own staff which shall be subject to the
exclusive direction of the member or members of the supervisory authority concerned.
5. 各加盟国は、各監督機関が、関係する監督機関のメンバー又はメンバーたちの指示のみに従うその監督機関
自身の職員を選任し、かつ、これを雇用することを確保しなければならない。
64

6. Each Member State shall ensure that each supervisory authority is subject to financial control which does not affect its
independence and that it has separate, public annual budgets, which may be part of the overall state or national budget.
6. 各加盟国は、各監督機関が、監督機関の独立性に影響を与えない財政上の管理に服すること、及び、監督機関が独立の公的年度予算をもつことを確保しなければならない。その予算は、全州又は国家予算の一部であってもよい。
Article 53 General conditions for the members of the supervisory authority
第 53 条 監督機関のメンバーに関する一般的条件
1. Member States shall provide for each member of their supervisory authorities to be appointed by means of a transparent
procedure by:
1. 加盟国は、以下によって、その加盟国の監督機関の個々のメンバーが、透明性のある手続により任命されることを定める：－ their parliament;－加盟国の議会；－ their government;－加盟国の政府；－ their head of State; or－加盟国の州の長；又は、－ an independent body entrusted with the appointment under Member State law.
－加盟国の国内法に基づく指定権限が与えられた独立組織。
2. Each member shall have the qualifications, experience and skills, in particular in the area of the protection of personal data,required to perform its duties and exercise its powers.
2. 個々のメンバーは、特に、個人データの保護の領域において、その職務を遂行し、かつ、その権限を行使するために求められる資格、経験及び技能を備えていなければならない。
3. The duties of a member shall end in the event of the expiry of the term of office, resignation or compulsory retirement, in
accordance with the law of the Member State concerned.
3. メンバーの職務は、関係する加盟国の国内法に従い、任期が終了した時、辞職の時、又は、強制的な退職の時に終了しなければならない。
4. A member shall be dismissed only in cases of serious misconduct or if the member no longer fulfils the conditions required
for the performance of the duties.
4. メンバーは、重大な非違行為があった場合、又は、その構成員がその職務の遂行のために求められる条件をもはや満たさなくなった場合においてのみ、解任されるものとする。
Article 54 Rules on the establishment of the supervisory authority
第 54 条 監督機関の設置規定
1. Each Member State shall provide by law for all of the following:
1. 各加盟国は、法律によって、以下の全てを定めなければならない：
65

(a) the establishment of each supervisory authority;(a) 各監督機関の設置；(b) the qualifications and eligibility conditions required to be appointed as member of each supervisory authority;(b) 各監督機関のメンバーとして任命されるための資格及び適格性の条件；(c) the rules and procedures for the appointment of the member or members of each supervisory authority;(c) 各監督機関のメンバーの任命のための規則及び手続；(d) the duration of the term of the member or members of each supervisory authority of no less than four years, except for
the first appointment after 24 May 2016, part of which may take place for a shorter period where that is necessary to protect
the independence of the supervisory authority by means of a staggered appointment procedure;(d) 2016 年 5 月 24 日以降の最初の任命を除き、個々の監督機関のメンバー又はメンバーたちの少なくとも4 年以上の任期。交互的な任命手続によって監督機関の独立性を保護するために必要なときは、その構成員の一部をより短い任期とすることができる；(e) whether and, if so, for how many terms the member or members of each supervisory authority is eligible forreappointment;(e) 各監督機関のメンバー又はメンバーたちの再任の可否、及び、再任する場合、再任できる回数；(f) the conditions governing the obligations of the member or members and staff of each supervisory authority, prohibitions
on actions, occupations and benefits incompatible therewith during and after the term of office and rules governing the
cessation of employment.
(f) 各監督機関のメンバー又はメンバーたち及び職員の義務、その在任中及び退任後を通じて職務と適合しない行動、就業及び収入の禁止を規律する条件、並びに、雇用の終了を規律する規則。
2. The member or members and the staff of each supervisory authority shall, in accordance with Union or Member State law,
be subject to a duty of professional secrecy both during and after their term of office, with regard to any confidential
information which has come to their knowledge in the course of the performance of their tasks or exercise of their powers.
During their term of office, that duty of professional secrecy shall in particular apply to reporting by natural persons ofinfringements of this Regulation.
2. 各監督機関のメンバー又はメンバーたち及び職員は、EU 法又は加盟国の国内法に従い、その職務の遂行及び権限の行使の過程において知ることとなった全ての機密情報に関し、その在任中及び退任後とも、職務上の守秘義務を負う。その在任中、その職務上の守秘義務は、とりわけ、本規則の違反行為に関する自然人からの通報に適用されなければならない。
Section 2 Competence, tasks and powers
第 2 節 職務権限、職務及び権限
Article 55 Competence
第 55 条 職務権限
1. Each supervisory authority shall be competent for the performance of the tasks assigned to and the exercise of the powers
conferred on it in accordance with this Regulation on the territory of its own Member State.
1. 各監督機関は、その監督機関の加盟国の領土上において、本規則に従って割り当てられる職務を遂行し、かつ、付与された権限を行使するための職務権限をもつものとする。
66

2. Where processing is carried out by public authorities or private bodies acting on the basis of point (c) or (e) of Article 6(1),the supervisory authority of the Member State concerned shall be competent. In such cases Article 56 does not apply.
2. 公的組織によって、又は、第 6 条第 1 項(c)又は(e)に基づいて活動する民間組織によって取扱いが行われる
場合、関係する加盟国の監督機関は、その職務権限をもつものとする。この場合、第 56 条は、適用されない。
3. Supervisory authorities shall not be competent to supervise processing operations of courts acting in their judicial capacity.
3. 監督機関は、その司法権限における裁判所の取扱業務を監督する職務権限をもたない。
Article 56 Competence of the lead supervisory authority
第 56 条 主監督機関の職務権限
1. Without prejudice to Article 55, the supervisory authority of the main establishment or of the single establishment of thecontroller or processor shall be competent to act as lead supervisory authority for the cross-border processing carried out bythat controller or processor in accordance with the procedure provided in Article 60.
1. 第 55 条を妨げることなく、管理者又は処理者の主たる拠点又は単一の拠点の監督機関は、第 60 条に定める手続に従い、その管理者又は処理者によって行われる越境取扱いに関し、主監督機関として行動するための職務権限をもつものとする。
2. By derogation from paragraph 1, each supervisory authority shall be competent to handle a complaint lodged with it or apossible infringement of this Regulation, if the subject matter relates only to an establishment in its Member State or
substantially affects data subjects only in its Member State.
2. 第 1 項からの例外により、その対象事項がその監督機関の加盟国内にある拠点のみに関係する場合、又は、その監督機関の加盟国内のデータ主体に対してのみ実質的に影響を与える場合、各監督機関は、その監督機関に申立てられた異議、又は、本規則の潜在的な違反行為を取り扱うための職務権限をもつものとする。
3. In the cases referred to in paragraph 2 of this Article, the supervisory authority shall inform the lead supervisory authority
without delay on that matter. Within a period of three weeks after being informed the lead supervisory authority shall decide
whether or not it will handle the case in accordance with the procedure provided in Article 60, taking into account whether or
not there is an establishment of the controller or processor in the Member State of which the supervisory authority informedit.
3. 本条第 2 項で定める場合において、その監督機関は、主監督機関に対し、遅滞なく、その事項を通知する。
その通知を受けてから 3 週間以内に、主監督機関は、その事柄の通知をした監督機関の加盟国内にその管理者
又は処理者が設けられているか否かを考慮に入れた上で、第 60 条に定める手続に従い、その案件を取り扱うか否かを判断しなければならない。
4. Where the lead supervisory authority decides to handle the case, the procedure provided in Article 60 shall apply. The
supervisory authority which informed the lead supervisory authority may submit to the lead supervisory authority a draft fora decision. The lead supervisory authority shall take utmost account of that draft when preparing the draft decision referred toin Article 60(3).
4. その主監督機関がその案件を取り扱うと決める場合、第 60 条に定める手続が適用されるものとする。主監
督機関に対して通知をした監督機関は、主監督機関に対し、決定に関する草案（a draft for a decision）を送付できる。その主監督機関は、第 60 条第 3 項で定めるを準備する際、送付された決定案を最大限考慮に入れる。
5. Where the lead supervisory authority decides not to handle the case, the supervisory authority which informed the leadsupervisory authority shall handle it according to Articles 61 and 62.
5. その主監督機関がその案件を取り扱わないと決定する場合、主監督機関に対して通知をした監督機関は、第61 条及び第 62 条に従い、その案件を取り扱うものとする。
67

6. The lead supervisory authority shall be the sole interlocutor of the controller or processor for the cross-border processing
carried out by that controller or processor.
6. 主監督機関は、当該管理者又は処理者によって行われる越境取扱いについて、その管理者又は処理者の単独の担当窓口となる。
Article 57 Tasks
第 57 条 職務
1. Without prejudice to other tasks set out under this Regulation, each supervisory authority shall on its territory:
1. 本規則に定める他の職務を妨げることなく、各監督機関は、その領土上において：(a) monitor and enforce the application of this Regulation;(a) 本規則の適用を監視し、これを執行するものとする；(b) promote public awareness and understanding of the risks, rules, safeguards and rights in relation to processing.
Activities addressed specifically to children shall receive specific attention;(b) 取扱いと関連するリスク、規則、保護措置及び権利の公衆への周知及び認識を促進するものとする。
とりわけ、子ども向けの活動に格別の注意を払わなければならない；(c) advise, in accordance with Member State law, the national parliament, the government, and other institutions andbodies on legislative and administrative measures relating to the protection of natural persons' rights and freedoms withregard to processing;(c) 加盟国の国内法に従い、国民議会、政府及びそれ以外の機関及び組織に対し、取扱いと関連する自然人の権利及び自由の保護に関する立法上の措置及び行政上の措置に関し、助言するものとする；(d) promote the awareness of controllers and processors of their obligations under this Regulation;(d) 本規則に基づく管理者及び処理者の義務について、それらの者に対する周知を促進するものとする；(e) upon request, provide information to any data subject concerning the exercise of their rights under this Regulation
and, if appropriate, cooperate with the supervisory authorities in other Member States to that end;(e) 要請に応じて、本規則に基づくデータ主体の権利の行使に関し、いかなるデータ主体に対しても情報を提供し、また、それが適切なときは、その目的のために、別の加盟国の監督機関と協力するものとする；(f) handle complaints lodged by a data subject, or by a body, organisation or association in accordance with Article 80,
and investigate, to the extent appropriate, the subject matter of the complaint and inform the complainant of the progress
and the outcome of the investigation within a reasonable period, in particular if further investigation or coordination withanother supervisory authority is necessary;(f) 第 80 条に従い、データ主体、又は、組織、団体若しくは協会から申立てられた異議を取り扱い、適切な範囲内で、異議申立てのあった事項について調査し、かつ、とりわけ、さらに調査すること又は他の監督機関と協力することが必要な場合、合理的な期間内に、異議申立人に対し、その進捗状況及び結果について、情報提供するものとする；(g) cooperate with, including sharing information and provide mutual assistance to, other supervisory authorities with aview to ensuring the consistency of application and enforcement of this Regulation;(g) 本規則の適用及び執行の一貫性を確保するため、情報共有及び共助の提供を含め、他の監督機関と協力するものとする；
68

(h) conduct investigations on the application of this Regulation, including on the basis of information received fromanother supervisory authority or other public authority;(h) 他の監督機関又は公的機関から提供された情報に基づく場合を含め、本規則の適用に関する調査を行うものとする；(i) monitor relevant developments, insofar as they have an impact on the protection of personal data, in particular thedevelopment of information and communication technologies and commercial practices;(i) 個人データの保護に対して影響をもつものである限り、関連する発展、特に、情報通信技術の発展及び商慣行を監視するものとする；(j) adopt standard contractual clauses referred to in Article 28(8) and in point (d) of Article 46(2);(j) 第 28 条第 8 項及び第 46 条第 2 項(d)に定める標準契約条項を採択するものとする；(k) establish and maintain a list in relation to the requirement for data protection impact assessment pursuant to Article
35(4);(k) 第 35 条第 4 項に定めるデータ保護影響評価の要件に関連する一覧を作成し、維持管理するものとする；(l) give advice on the processing operations referred to in Article 36(2);(l) 第 36 条第 2 項で定める取扱業務に関し、助言を与えるものとする；(m) encourage the drawing up of codes of conduct pursuant to Article 40(1) and provide an opinion and approve such
codes of conduct which provide sufficient safeguards, pursuant to Article 40(5);(m) 第 40 条による行動規範の作成を奨励し、第 40 条第 5 項により、意見を提供し、かつ、十分な保護措置を提供する行動規範を承認するものとする；(n) encourage the establishment of data protection certification mechanisms and of data protection seals and marks
pursuant to Article 42(1), and approve the criteria of certification pursuant to Article 42(5);(n) 第 42 条第 1 項によるデータ保護認証メカニズム、データ保護シール及びデータ保護マークを設けることを奨励し、かつ、第 42 条第 5 項による認証の基準を承認するものとする；(o) where applicable, carry out a periodic review of certifications issued in accordance with Article 42(7);、第 42 条第 7 項に従って発行される認証の定期的な見直しを行うもの(o) 該当する場合（where applicable）とする；(p) draft and publish the criteria for accreditation of a body for monitoring codes of conduct pursuant to Article 41 and ofa certification body pursuant to Article 43;(p) 第 41 条による行動規範を監視するための組織の認定に関する基準及び第 43 条による認証機関の認定に関する基準を策定し、それを公表するものとする；(q) conduct the accreditation of a body for monitoring codes of conduct pursuant to Article 41 and of a certification body
pursuant to Article 43;(q) 第 41 条による行動規範を監視するための組織の認定、及び、第 43 条による認証機関の認定を行うものとする；(r) authorise contractual clauses and provisions referred to in Article 46(3);69

(r) 第 46 条第 3 項で定める契約条項及び条項を承認するものとする；(s) approve binding corporate rules pursuant to Article 47;(s) 第 47 条による拘束的企業準則を承認するものとする；(t) contribute to the activities of the Board;(t) 欧州データ保護会議の活動に貢献するものとする；(u) keep internal records of infringements of this Regulation and of measures taken in accordance with Article 58(2); and(u) 本規則の違反行為の内部資料及び第 58 条第 2 項に従って講じられた措置に関する内部資料を保管す
るものとする；並びに、(v) fulfil any other tasks related to the protection of personal data.
(v) 個人データの保護に関連する上記以外の職務を尽くすものとする。
2. Each supervisory authority shall facilitate the submission of complaints referred to in point (f) of paragraph 1 by measures
such as a complaint submission form which can also be completed electronically, without excluding other means ofcommunication.
2. 各監督機関は、他の伝達手段を排除することなく、電子的に完了させることのできる異議申立様式のような手段によって、第 1 項(f)で定める異議申立てを容易にする。
3. The performance of the tasks of each supervisory authority shall be free of charge for the data subject and, where applicable,
for the data protection officer.
3. 各監督機関の職務の遂行は、データ主体に対しては無償とし、該当する場合は、データ保護オフィサーに対しても無償とする。
4. Where requests are manifestly unfounded or excessive, in particular because of their repetitive character, the supervisory
authority may charge a reasonable fee based on administrative costs, or refuse to act on the request. The supervisory authority
shall bear the burden of demonstrating the manifestly unfounded or excessive character of the request.
4. 要求が明らかに根拠のない場合又は過剰な性質のものである場合、特にそれが反復する性質による場合、監督機関は、業務運営費用に基づく合理的な手数料を徴収し、又は、その要求を拒むことができる。その監督機関は、その要求が明らかに根拠のないものであること又は過剰なものであることを説明する責任を負うものとする。
Article 58 Powers
第 58 条 権限
1. Each supervisory authority shall have all of the following investigative powers:
1. 各監督機関は、以下の全ての調査権限をもつものとする：(a) to order the controller and the processor, and, where applicable, the controller's or the processor's representative toprovide any information it requires for the performance of its tasks;(a) 管理者及び処理者に対し、並びに、該当する場合、管理者の代理人又は処理者の代理人に対し、監督機関が職務遂行のために必要とするあらゆる情報の提供を命ずること；(b) to carry out investigations in the form of data protection audits;(b) データ保護監査の方式により、調査を行うこと；
70

(c) to carry out a review on certifications issued pursuant to Article 42(7);(c) 第 42 条第 7 項により発行される認証に関し、見直しを行うこと；(d) to notify the controller or the processor of an alleged infringement of this Regulation;(d) 管理者又は処理者に対し、本規則の違反行為があるとの主張を通知すること；(e) to obtain, from the controller and the processor, access to all personal data and to all information necessary for the
performance of its tasks;(e) 管理者及び処理者から、その職務を遂行する上で必要となる全ての個人データへのアクセス及び全ての情報へのアクセスを得ること；(f) to obtain access to any premises of the controller and the processor, including to any data processing equipment andmeans, in accordance with Union or Member State procedural law.
(f) EU の手続法又は加盟国の手続法に従い、データ取扱いの装置及び手段を含め、管理者及び処理者の施設へのアクセスを得ること。
2. Each supervisory authority shall have all of the following corrective powers:
2. 各監督機関は、以下の全ての是正権限をもつものとする：(a) to issue warnings to a controller or processor that intended processing operations are likely to infringe provisions of
this Regulation;(a) 管理者又は処理者に対し、意図されている取扱業務が本規則の条項に違反するおそれがある旨の警告を発すること；(b) to issue reprimands to a controller or a processor where processing operations have infringed provisions of thisRegulation;(b) 取扱業務が本規則の条項に違反する場合、管理者又は処理者に対し、懲戒を発すること；(c) to order the controller or the processor to comply with the data subject's requests to exercise his or her rights pursuant
to this Regulation;(c) 管理者又は処理者に対し、本規則による自らの権利を行使するデータ主体の要求に従うように命ずること；(d) to order the controller or processor to bring processing operations into compliance with the provisions of thisRegulation, where appropriate, in a specified manner and within a specified period;(d) 管理者又は処理者に対し、本規則の条項を遵守するものとさせるように命ずること。適切な場合、特定の態様により及び特定の期間内に、取扱業務を、本規則の条項を遵守するものとさせるように命ずること；(e) to order the controller to communicate a personal data breach to the data subject;(e) 管理者に対し、個人データ侵害をデータ主体に連絡するように命ずること；(f) to impose a temporary or definitive limitation including a ban on processing;(f) 取扱いの禁止を含め、一時的な制限又は恒久的な制限を課すこと；(g) to order the rectification or erasure of personal data or restriction of processing pursuant to Articles 16, 17 and 18 and71

the notification of such actions to recipients to whom the personal data have been disclosed pursuant to Article 17(2) and
Article 19;(g) 第 16 条、第 17 条及び第 18 条により、個人データの訂正若しくは削除又は取扱いの制限を命ずること、並びに、第 17 条第 2 項及び第 19 条により、そのような行為について、個人データの開示を受けた取得者に対して開示するように命ずること；(h) to withdraw a certification or to order the certification body to withdraw a certification issued pursuant to Articles 42
and 43, or to order the certification body not to issue certification if the requirements for the certification are not or are nolonger met;(h) 認証を取り消すこと、若しくは、認証機関に対し、第 42 条及び第 43 条によって発行した認証を取り消すように命ずること、又は、認証の要件に適合しない場合、若しくは、もはや適合しなくなった場合、認証機関に対し、認証を発行しないように命ずること；(i) to impose an administrative fine pursuant to Article 83, in addition to, or instead of measures referred to in thisparagraph, depending on the circumstances of each individual case;(i) 第 83 条による制裁金を科すこと。この制裁金は、個々の事案の事情に応じて、本項に規定する措置に加え、又は、その代わりに、科される；(j) to order the suspension of data flows to a recipient in a third country or to an international organisation.
(j) 第三国又は国際機関の取得者に対するデータ流通の停止を命ずること。
3. Each supervisory authority shall have all of the following authorisation and advisory powers:
3. 各監督機関は、以下の全ての承認及び助言の権限をもつものとする：(a) to advise the controller in accordance with the prior consultation procedure referred to in Article 36;(a) 第 36 条で定める事前協議手続に従い、管理者に対し、助言すること；(b) to issue, on its own initiative or on request, opinions to the national parliament, the Member State government or, in
accordance with Member State law, to other institutions and bodies as well as to the public on any issue related to theprotection of personal data;(b) 自らの発意により、又は、要請に応じて、国民議会、加盟国政府に対し、個人データ保護と関連する問題に関し、意見書を発すること。又は、加盟国の国内法に従い、それ以外の機関及び組織に対し、並びに、公衆に対し、個人データ保護と関連する問題に関し、意見書を発すること；(c) to authorise processing referred to in Article 36(5), if the law of the Member State requires such prior authorisation;(c) 加盟国の国内法がそのような事前の承認を要求する場合、第 36 条第 5 項で定める取扱いを承認すること；(d) to issue an opinion and approve draft codes of conduct pursuant to Article 40(5);(d) 第 40 条第 5 項による行動規範案について意見を発し、それを承認すること；(e) to accredit certification bodies pursuant to Article 43;(e) 第 43 条により認証機関を認定すること；(f) to issue certifications and approve criteria of certification in accordance with Article 42(5);(f) 第 42 条第 5 項に従い、認証を発行し、及び、認証の基準を承認すること；72

(g) to adopt standard data protection clauses referred to in Article 28(8) and in point (d) of Article 46(2);(g) 第 28 条第 8 項及び第 46 条第 2 項(d)で定める標準データ保護条項を採択すること；(h) to authorise contractual clauses referred to in point (a) of Article 46(3);(h) 第 46 条第 3 項(a)で定める契約条項を承認すること；(i) to authorise administrative arrangements referred to in point (b) of Article 46(3);(i) 第 46 条第 3 項(b)で定める行政上の取決めを承認すること；(j) to approve binding corporate rules pursuant to Article 47.
(j) 第 47 条による拘束的企業準則を承認すること。
4. The exercise of the powers conferred on the supervisory authority pursuant to this Article shall be subject to appropriate
safeguards, including effective judicial remedy and due process, set out in Union and Member State law in accordance with
the Charter.
4. 本条により監督機関に付与された権限の行使は、効果的な司法救済及び適正手続を含め、憲章に従って EU
法及び加盟国の国内法の中に定める適切な保護措置に服するものとする。
5. Each Member State shall provide by law that its supervisory authority shall have the power to bring infringements of thisRegulation to the attention of the judicial authorities and where appropriate, to commence or engage otherwise in legal
proceedings, in order to enforce the provisions of this Regulation.
5. 各加盟国は、加盟国の監督機関が、本規則の違反行為に対して司法当局の関心を向けさせる権限、及び、それが適切なときは、本規則の条項を執行するために、訴訟手続を開始し、又は、それに関与する権限をもつことを、法律によって定めるものとする。
6. Each Member State may provide by law that its supervisory authority shall have additional powers to those referred to inparagraphs 1, 2 and 3. The exercise of those powers shall not impair the effective operation of Chapter VII.
6. 各加盟国は、第 1 項、第 2 項及び第 3 項で定める権限に加え、その加盟国の監督機関が付加的な権限をもつことを、法律によって定めることができる。それらの権限の行使は、第 7 章の効果的な遂行を損なうものであってはならない。
Article 59 Activity reports
第 59 条 活動報告書
Each supervisory authority shall draw up an annual report on its activities, which may include a list of types of infringement
notified and types of measures taken in accordance with Article 58(2). Those reports shall be transmitted to the national
parliament, the government and other authorities as designated by Member State law. They shall be made available to the
public, to the Commission and to the Board.
各監督機関は、その活動に関する年次報告書を作成するものとする。それは、通知を受けた違反行為の種類
及び第 58 条第 2 項に従って講じられた措置の種類の一覧を含めることができる。それらの報告書は、国民議会、政府及び加盟国の国内法によって指定されたそれ以外の機関に対して送付されるものとする。それらの報告書は、公衆、欧州委員会及び欧州データ保護会議が利用可能なものでなければならない。

CHAPTER VII Cooperation and consistency
第 7 章 協力と一貫性
73Section 1 Cooperation
第 1 節 協力
Article 60

Cooperation between the lead supervisory authority and the other supervisory authorities concerned
第 60 条 主監督機関とその他関係監督機関との間の協力

1. The lead supervisory authority shall cooperate with the other supervisory authorities concerned in accordance with this
Article in an endeavour to reach consensus. The lead supervisory authority and the supervisory authorities concerned shallexchange all relevant information with each other.
1. 主監督機関は、本条に従い、合意に至る努力を尽くして、他の関係監督機関と協力するものとする。主監
督機関及び関係監督機関は、相互に、全ての関連情報を交換するものとする。
2. The lead supervisory authority may request at any time other supervisory authorities concerned to provide mutual assistancepursuant to Article 61 and may conduct joint operations pursuant to Article 62, in particular for carrying out investigations or
for monitoring the implementation of a measure concerning a controller or processor established in another Member State.
2. 主監督機関は、いつでも、他の関係監督機関に対し、第 61 条による共助の提供を要請することができ、また、とりわけ、調査を行うため、又は、別の加盟国に設けられた管理者又は処理者に関する措置の実装を監視するために、第 62 条による共同の職務遂行を行うことができる。
3. The lead supervisory authority shall, without delay, communicate the relevant information on the matter to the othersupervisory authorities concerned. It shall without delay submit a draft decision to the other supervisory authorities concerned
for their opinion and take due account of their views.
3. 主監督機関は、遅滞なく、他の関係監督機関に対し、案件と関連する情報を伝達するものとする。主監督機関は、遅滞なく、他の関係監督機関に対し、それらの関係監督機関の意見を求め、そして、その見解を適正に考慮に入れるため、決定案を送付するものとする。
4. Where any of the other supervisory authorities concerned within a period of four weeks after having been consulted inaccordance with paragraph 3 of this Article, expresses a relevant and reasoned objection to the draft decision, the leadsupervisory authority shall, if it does not follow the relevant and reasoned objection or is of the opinion that the objection is
not relevant or reasoned, submit the matter to the consistency mechanism referred to in Article 63.
4. 本条の第 3 項に従って協議がなされた後、4 週間以内に、他の関係監督機関がその決定案に対して関連性があり理由を付した異議を述べたときは、その主監督機関は、その関連性があり理由を付した異議に従わない場
合、又は、その異議が関連性のないもの、若しくは、理由のないものであるとの意見をもつ場合、第 63 条に規定する一貫性メカニズムに対し、その案件を送付する。
5. Where the lead supervisory authority intends to follow the relevant and reasoned objection made, it shall submit to the othersupervisory authorities concerned a revised draft decision for their opinion. That revised draft decision shall be subject to theprocedure referred to in paragraph 4 within a period of two weeks.
5. その主監督機関が、その関連性があり理由を付した異議に従う意向である場合、その主監督機関は、他の関係監督機関に対し、それらの関係監督機関の意見を求めるため、改訂版の決定案を送付する。改訂版の決定案
は、2 週間以内の期限で、第 4 項で定める手続に服するものとする。
6. Where none of the other supervisory authorities concerned has objected to the draft decision submitted by the leadsupervisory authority within the period referred to in paragraphs 4 and 5, the lead supervisory authority and the supervisory
authorities concerned shall be deemed to be in agreement with that draft decision and shall be bound by it.
6. 第 4 項及び第 5 項に規定する期間内に、主監督機関から送付された決定案に対して他の関係監督機関から何らの異議も述べられなかった場合、主監督機関及び関係監督機関は、その決定案に同意したものとみなされ、74

かつ、それによって拘束されるものとする。
7. The lead supervisory authority shall adopt and notify the decision to the main establishment or single establishment of thecontroller or processor, as the case may be and inform the other supervisory authorities concerned and the Board of the decisionin question, including a summary of the relevant facts and grounds. The supervisory authority with which a complaint has
been lodged shall inform the complainant on the decision.
7. その主監督機関は、その決定書を採択し、かつ、管理者又は処理者の主たる拠点又は単一の拠点に対して通知し、場合によっては、他の関係監督機関及び欧州データ保護会議に対し、関連事実の要旨及び決定理由を含め、当の決定を通知するものとする。異議を申立てられた監督機関は、その異議申立人に対し、その決定に関して通知するものとする。
8. By derogation from paragraph 7, where a complaint is dismissed or rejected, the supervisory authority with which thecomplaint was lodged shall adopt the decision and notify it to the complainant and shall inform the controller thereof.
8. 第 7 項の例外として、異議申立てが棄却又は却下となる場合、異議を申立てられた監督機関は、その決定書を採択し、それを異議申立人に通知し、かつ、その管理者に対し、その旨を通知するものとする。
9. Where the lead supervisory authority and the supervisory authorities concerned agree to dismiss or reject parts of acomplaint and to act on other parts of that complaint, a separate decision shall be adopted for each of those parts of the matter.
The lead supervisory authority shall adopt the decision for the part concerning actions in relation to the controller, shall notify
it to the main establishment or single establishment of the controller or processor on the territory of its Member State and shallinform the complainant thereof, while the supervisory authority of the complainant shall adopt the decision for the partconcerning dismissal or rejection of that complaint, and shall notify it to that complainant and shall inform the controller orprocessor thereof.
9. 主監督機関と関係監督機関が異議の一部について棄却又は却下し、その異議の残部について措置をすることに合意するときは、それらの事項各部分に分けた別の決定書を採択するものとする。その主監督機関は、管理者に関する措置と関連する部分について決定書を採択し、その加盟国の領土上にある管理者又は処理者の主たる拠点又は単一の拠点に対してそれを通知し、そして、異議申立人に対してその旨を通知するものとする。
一方、異議申立てを受けた監督機関は、当該異議の棄却又は却下に関係する部分に関する決定書を採択し、当該異議申立人に対してそれを通知し、そして、管理者又は処理者に対し、その旨を通知するものとする。
10. After being notified of the decision of the lead supervisory authority pursuant to paragraphs 7 and 9, the controller orprocessor shall take the necessary measures to ensure compliance with the decision as regards processing activities in thecontext of all its establishments in the Union. The controller or processor shall notify the measures taken for complying withthe decision to the lead supervisory authority, which shall inform the other supervisory authorities concerned.
10. 第 7 項及び第 9 項による主監督機関からの決定書が通知された後、管理者又は処理者は、EU 域内にあるその全ての拠点の中における取扱行為に関して、その決定の遵守を確保するために必要となる措置を講じなければならない。管理者又は処理者は、主監督機関に対し、その決定の遵守のために講じられた措置を通知しなければならない。主監督機関は、他の関係監督機関に対し、それを通知するものとする。
11. Where, in exceptional circumstances, a supervisory authority concerned has reasons to consider that there is an urgent needto act in order to protect the interests of data subjects, the urgency procedure referred to in Article 66 shall apply.
11. 例外的な状況において、関係監督機関が、データ主体の利益を保護するために行動すべき緊急の必要性があると判断する理由があるときは、第 66 条で定める緊急の手続が適用するものとする。
12. The lead supervisory authority and the other supervisory authorities concerned shall supply the information required under
this Article to each other by electronic means, using a standardised format.
12. 主監督機関及びそれ以外の関係監督機関は、本条に基づき求められる情報を、電子的な手段により、標準75

的なフォーマットを用いて、相互に提供するものとする。
Article 61 Mutual assistance
第 61 条 共助
1. Supervisory authorities shall provide each other with relevant information and mutual assistance in order to implement andapply this Regulation in a consistent manner, and shall put in place measures for effective cooperation with one another. Mutual
assistance shall cover, in particular, information requests and supervisory measures, such as requests to carry out priorauthorisations and consultations, inspections and investigations.
1. 監督機関は、一貫性のある態様で本規則を実装し、適用するため、関連情報及び共助を相互に提供し、また、相互に効果的な協力のための措置を設けるものとする。共助は、とりわけ、事前の承認及び協議、検査並びに調査を行うことの要請のような、情報提供の要請及び監督措置を含むものとする。
2. Each supervisory authority shall take all appropriate measures required to reply to a request of another supervisory authority
without undue delay and no later than one month after receiving the request. Such measures may include, in particular, thetransmission of relevant information on the conduct of an investigation.
2. 各監督機関は、不適切な遅滞なく、かつ、その要請を受けてから遅くとも 1 か月以内に、他の監督機関からの要請に対処するために必要な全ての適切な措置を講ずるものとする。その措置は、特に、調査を行う上での関連情報の送信を含めることができる。
3. Requests for assistance shall contain all the necessary information, including the purpose of and reasons for the request.
Information exchanged shall be used only for the purpose for which it was requested.
3. 支援要請は、その要請を求める目的及び理由を含め、必要な全ての情報を含めるものとする。交換された情報は、それが要請された目的のみのために用いられる。
4. The requested supervisory authority shall not refuse to comply with the request unless:
4. 要請を受けた監督機関は、以下の場合を除き、その要請への対応を拒否してはならない：(a) it is not competent for the subject-matter of the request or for the measures it is requested to execute; or(a) 要請を求められた事項について、若しくは、執行を求められた措置について、職務権限をもたない場
合；又は、(b) compliance with the request would infringe this Regulation or Union or Member State law to which the supervisory
authority receiving the request is subject.
(b) 要請に従うことが、本規則の違反、又は、その要請を受けた監督機関が服する EU 法若しくは加盟国の国内法の違反となりうる場合。
5. The requested supervisory authority shall inform the requesting supervisory authority of the results or, as the case may be,of the progress of the measures taken in order to respond to the request. The requested supervisory authority shall provide
reasons for any refusal to comply with a request pursuant to paragraph 4.
5. 要請を受けた監督機関は、要請元の監督機関に対し、その結果を通知し、又は、事案により、その要請にこたえるために講じられる措置の進捗状況を通知するものとする。要請を受けた監督機関は、第 4 項により要請に応ずることを拒否する場合、その理由を提供するものとする。
6. Requested supervisory authorities shall, as a rule, supply the information requested by other supervisory authorities byelectronic means, using a standardised format.
6. 要請を受けた監督機関は、原則として、電子的な手段により、標準的なフォーマットを用いて、他の監督機
76

関から求められた情報を提供するものとする。
7. Requested supervisory authorities shall not charge a fee for any action taken by them pursuant to a request for mutual
assistance. Supervisory authorities may agree on rules to indemnify each other for specific expenditure arising from theprovision of mutual assistance in exceptional circumstances.
7. 要請を受けた監督機関は、共助の要請に対処するために当該監督機関によって行われる活動の手数料を請求しない。監督機関は、例外的な状況において共助を提供することから生ずる特別の支出を相互に補填するための規則に同意できる。
8. Where a supervisory authority does not provide the information referred to in paragraph 5 of this Article within one monthof receiving the request of another supervisory authority, the requesting supervisory authority may adopt a provisional measureon the territory of its Member State in accordance with Article 55(1). In that case, the urgent need to act under Article 66(1)shall be presumed to be met and require an urgent binding decision from the Board pursuant to Article 66(2).
8. 監督機関が、他の監督機関から要請を受けた時から 1 か月以内に本条第 5 項で定める情報を提供しない場
合、その要請元の監督機関は、第 55 条第 1 項に従い、その監督機関の加盟国の領土上における暫定的な措置を採択できる。その場合、第 66 条第 1 項に基づく行為をすべき緊急の必要性があることは、第 66 条第 2 項による欧州データ保護会議による緊急の拘束力のある決定の要件に該当し、その要請があるものと推定されるものとする。
9. The Commission may, by means of implementing acts, specify the format and procedures for mutual assistance referred toin this Article and the arrangements for the exchange of information by electronic means between supervisory authorities, andbetween supervisory authorities and the Board, in particular the standardised format referred to in paragraph 6 of this Article.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 93(2).
9. 欧州委員会は、実装行為により、本条で定める共助のためのフォーマット及び手続、並びに、各監督機関の間及び監督機関と欧州データ保護会議との間における電子的な手段による情報交換のための取決め、特に、本条の第 6 項で定める標準的なフォーマットを定めることができる。これらの実装行為は、第 93 条第 2 項で定める審議手続に従って採択されるものとする。
Article 62 Joint operations of supervisory authorities
第 62 条 監督機関の共同作業
1. The supervisory authorities shall, where appropriate, conduct joint operations including joint investigations and joint
enforcement measures in which members or staff of the supervisory authorities of other Member States are involved.
1. 監督機関は、それが適切なときは、別の加盟国の監督機関のメンバー又は職員が関与する共同調査及び共同の執行措置を含め、共同作業行を行うものとする。
2. Where the controller or processor has establishments in several Member States or where a significant number of data
subjects in more than one Member State are likely to be substantially affected by processing operations, a supervisory authorityof each of those Member States shall have the right to participate in joint operations. The supervisory authority which iscompetent pursuant to Article 56(1) or (4) shall invite the supervisory authority of each of those Member States to take part in
the joint operations and shall respond without delay to the request of a supervisory authority to participate.
2. 管理者又は処理者が複数の加盟国に拠点をもつ場合、又は、複数の加盟国内の大勢のデータ主体が取扱業務によって実質的に影響を受けるおそれがある場合、当該加盟国の各監督機関は、共同作業に参加する権利を有するものとする。第 56 条第 1 項又は第 4 項により職務権限をもつ監督機関は、その共同作業の参加のため、当該加盟国の各監督機関を招請し、また、遅滞なく、監督機関からの参加の要請に対処するものとする。
3. A supervisory authority may, in accordance with Member State law, and with the seconding supervisory authority's
77

authorisation, confer powers, including investigative powers on the seconding supervisory authority's members or staff
involved in joint operations or, in so far as the law of the Member State of the host supervisory authority permits, allow theseconding supervisory authority's members or staff to exercise their investigative powers in accordance with the law of theMember State of the seconding supervisory authority. Such investigative powers may be exercised only under the guidance
and in the presence of members or staff of the host supervisory authority. The seconding supervisory authority's members or
staff shall be subject to the Member State law of the host supervisory authority.
3. 監督機関は、加盟国の国内法に従い、かつ、補佐監督機関の承認を得て、当該共同作業に関与する補佐監督
機関のメンバー若しくは職員に対し、調査権限を含め、権限を与えることができ、また、ホスト監督機関の加盟国の国内法が許容する範囲内で、補佐監督機関の加盟国の国内法に従い、補佐監督機関のメンバー若しくは職員がその調査権限を行使することを認めることができる。そのような調査権限は、運用指針に基づき、かつ、
ホスト監督機関のメンバー若しくは職員の立会いの下においてのみ、行使されうる。補佐監督機関のメンバー
若しくは職員は、ホスト監督機関の加盟国の国内法に服しなければならない。
4. Where, in accordance with paragraph 1, staff of a seconding supervisory authority operate in another Member State, theMember State of the host supervisory authority shall assume responsibility for their actions, including liability, for any damage
caused by them during their operations, in accordance with the law of the Member State in whose territory they are operating.
4. 第 1 項に従い、補佐監督機関の職員が別の加盟国において職務遂行する場合、ホスト監督機関の加盟国は、それらの職員が職務遂行する領土のある加盟国の国内法に従い、それらの職員の職務遂行の間にそれらの職員によって発生した損害に関し、法的責任を含め、それらの職員の行動の責任を負うものとする。
5. The Member State in whose territory the damage was caused shall make good such damage under the conditions applicable
to damage caused by its own staff. The Member State of the seconding supervisory authority whose staff has caused damage
to any person in the territory of another Member State shall reimburse that other Member State in full any sums it has paid tothe persons entitled on their behalf.
5. その領土上において損害が発生した加盟国は、自国の職員が損害を発生させた場合に適用される条件に基づき、その損害を回復するものとする。別の加盟国の領土内の人に対して損害を発生させた職員の補佐監督機関の加盟国は、当該別の加盟国に対し、その加盟国が補佐加盟国の代わりに権利者に対して支払った総額を弁償するものとする。
6. Without prejudice to the exercise of its rights vis-à-vis third parties and with the exception of paragraph 5, each Member
State shall refrain, in the case provided for in paragraph 1, from requesting reimbursement from another Member State inrelation to damage referred to in paragraph 4.
6. 第三者それぞれとの間におけるその権利の行使を妨げることなく、かつ、第 5 項場合を除き、各加盟国は、
第 1 項に定める場合において、第 4 項で定める損害と関連する別の加盟国からの求償請求を免れるものとする。
7. Where a joint operation is intended and a supervisory authority does not, within one month, comply with the obligation laid
down in the second sentence of paragraph 2 of this Article, the other supervisory authorities may adopt a provisional measureon the territory of its Member State in accordance with Article 55. In that case, the urgent need to act under Article 66(1) shallbe presumed to be met and require an opinion or an urgent binding decision from the Board pursuant to Article 66(2).
7. 共同作業が意図されており、かつ、ある監督機関が、1 か月以内に、本条第 2 項第 2 文に定める義務を遵守しない場合、他の監督機関は、第 55 条に従い、その監督機関の加盟国の領土上において暫定的な措置を採択できる。その場合、第 66 条第 1 項に基づく行為をすべき緊急の必要性があることは、第 66 条第 2 項による欧州データ保護会議による緊急の拘束力のある決定の要件に該当し、その要請があるものと推定される。
Section 2

Consistency78

第 2 節 一貫性
Article 63 Consistency mechanism
第 63 条 一貫性メカニズム
In order to contribute to the consistent application of this Regulation throughout the Union, the supervisory authorities shallcooperate with each other and, where relevant, with the Commission, through the consistency mechanism as set out in thisSection.
EU 全域における本規則の一貫性のある適用に資するものとするため、監督機関は、本節に定める一貫性メカ
ニズムを介して、相互に協力し、また、それが適切なときは、欧州委員会と協力する。
Article 64 Opinion of the Board
第 64 条 欧州データ保護会議の意見
1. The Board shall issue an opinion where a competent supervisory authority intends to adopt any of the measures below. To
that end, the competent supervisory authority shall communicate the draft decision to the Board, when it:
1. 所轄監督機関が以下の措置中のいずれかを採択しようとする意向である場合、欧州データ保護会議は、意見を発する。その目的のために、以下の場合においては、所轄監督機関は、委員会に対し、その決定案を送付する：(a) aims to adopt a list of the processing operations subject to the requirement for a data protection impact assessment
pursuant to Article 35(4);(a) 第35 条第4 項によるデータ保護影響評価に関する要件に服する取扱業務のリストの採択をしようとする場合；(b) concerns a matter pursuant to Article 40(7) whether a draft code of conduct or an amendment or extension to a codeof conduct complies with this Regulation;(b) 行動規範案、行動規範の改定又は追補が本規則を遵守するものであるか否かに関する第 40 条第 7 項に定める事項と関係する場合；(c) aims to approve the criteria for accreditation of a body pursuant to Article 41(3) or a certification body pursuant to
Article 43(3);(c) 第 41 条第 3 項による組織又は第 43 条第 3 項による認証機関の認定の基準の承認をしようとする場合；(d) aims to determine standard data protection clauses referred to in point (d) of Article 46(2) and in Article 28(8);(d) 第 46 条第 2 項(d)及び第 28 条第 8 項に規定する標準データ保護条項を定めようとする場合；(e) aims to authorise contractual clauses referred to in point (a) of Article 46(3); or(e) 第 46 条第 3 項(a)に規定する契約条項承認をしようとする場合；又は、(f) aims to approve binding corporate rules within the meaning of Article 47.
(f) 第 47 条の意味における拘束的企業準則の承認をしようとする場合。
2. Any supervisory authority, the Chair of the Board or the Commission may request that any matter of general applicationor producing effects in more than one Member State be examined by the Board with a view to obtaining an opinion, inparticular where a competent supervisory authority does not comply with the obligations for mutual assistance in accordancewith Article 61 or for joint operations in accordance with Article 62.
79

2. 監督機関、欧州データ保護会議の議長又は欧州委員会は、とりわけ、所轄監督機関が第 61 条による共助の義務又は第 62 条による共同の業務遂行の義務を遵守しない場合、意見を得るため、欧州データ保護会議において一般的な適用に関する事項、又は、複数の加盟国に影響がある事項審議を求めることができる。
3. In the cases referred to in paragraphs 1 and 2, the Board shall issue an opinion on the matter submitted to it provided that it
has not already issued an opinion on the same matter. That opinion shall be adopted within eight weeks by simple majority ofthe members of the Board. That period may be extended by a further six weeks, taking into account the complexity of thesubject matter. Regarding the draft decision referred to in paragraph 1 circulated to the members of the Board in accordancewith paragraph 5, a member which has not objected within a reasonable period indicated by the Chair, shall be deemed to bein agreement with the draft decision.
3. 第 1 項及び第 2 項に規定する場合において、欧州データ保護会議は、同じ事項に関して欧州データ保護会議
が未だ意見を発していない場合、欧州データ保護会議に提議された事項に関し、意見を発する。その意見は、
8 週間以内に、欧州データ保護会議の構成員の単純多数決によって採択されなければならない。この期限は、対象事項複雑性を考慮に入れた上で、さらに 6 週間延長できる。第 1 項に規定する決定案が第 5 項に従って欧州データ保護会議の構成員に回覧されることに鑑み、議長によって指定された合理的な期限内に異議を述べない構成員は、その決定案に同意したものとみなされる。
4. Supervisory authorities and the Commission shall, without undue delay, communicate by electronic means to the Board,using a standardised format any relevant information, including as the case may be a summary of the facts, the draft decision,
the grounds which make the enactment of such measure necessary, and the views of other supervisory authorities concerned.
4. 監督機関及び欧州委員会は、欧州データ保護会議に対し、不当な遅滞なく、電子的な手段により、標準的なフォーマットを用いて、関連情報を伝達する。当該情報には、事案により、事実関係の要旨、決定案、そのような措置を行う必要性の根拠、及び、他の関係監督機関の見解を含むこともありえる。
5. The Chair of the Board shall, without undue, delay inform by electronic means:
5. 欧州データ保護会議の議長は、不当な遅滞なく、電子的な手段によって、以下のとおり通知する：(a) the members of the Board and the Commission of any relevant information which has been communicated to it
using a standardised format. The secretariat of the Board shall, where necessary, provide translations of relevant
information; and(a) 標準的なフォーマットを用いて議長に通知された関連する全ての情報を、欧州データ保護会議の構成員及び欧州委員会に対して通知する。欧州データ保護会議の事務局は、必要があるときは、関連情報の翻訳を提供する；及び、(b) the supervisory authority referred to, as the case may be, in paragraphs 1 and 2, and the Commission of the opinion
and make it public.
(b) 事案により、第 1 項及び第 2 項に規定する監督機関及び欧州委員会に対して意見を通知し、公表する。
6. The competent supervisory authority shall not adopt its draft decision referred to in paragraph 1 within the period referred
to in paragraph 3.
6. 所轄監督機関は、第 3 項に規定する期間内は、第 1 項に規定する当該監督機関の決定案を採択してはならな
い。
7. The supervisory authority referred to in paragraph 1 shall take utmost account of the opinion of the Board and shall, within
two weeks after receiving the opinion, communicate to the Chair of the Board by electronic means whether it will maintainor amend its draft decision and, if any, the amended draft decision, using a standardised format.
7. 第 1 項に規定する監督機関は、欧州データ保護会議の意見を最大限考慮に入れ、かつ、その意見書を受領し80た時から 2 週間以内に、欧州データ保護会議の議長に対し、電子的な手段により、標準的なフォーマットを用いて、その決定案を維持するか、それとも、それを修正するかについて送信し、かつ、それを修正する場合、修正された決定案を送信する。
8. Where the supervisory authority concerned informs the Chair of the Board within the period referred to in paragraph 7 ofthis Article that it does not intend to follow the opinion of the Board, in whole or in part, providing the relevant grounds, Article
65(1) shall apply.
8. 関係監督機関が、欧州データ保護会議の議長に対し、本条の第 7 項に規定する期間内に、関連する根拠を提供して、欧州データ保護会議の意見の全部又は一部に従う意図がないことを通知する場合、第 65 条第 1 項が適用される。
Article 65 Dispute resolution by the Board
第 65 条 欧州データ保護会議による対立の解決
1. In order to ensure the correct and consistent application of this Regulation in individual cases, the Board shall adopt a binding
decision in the following cases:
1. 個々の事案における本規則の適正かつ一貫性のある適用を確保するため、欧州データ保護会議は、以下の場
合、拘束力のある決定を採択する：(a) where, in a case referred to in Article 60(4), a supervisory authority concerned has raised a relevant and reasoned
objection to a draft decision of the lead authority or the lead authority has rejected such an objection as being not relevantor reasoned. The binding decision shall concern all the matters which are the subject of the relevant and reasoned
objection, in particular whether there is an infringement of this Regulation;(a) 第 60 条第 4 項に規定する場合において、主監督機関の決定案に対して、関係監督機関が、関連性があり理由を付した異議を述べた場合、又は、主監督機関が、関連性若しくは理由がないものとして、その異議を却下した場合。その拘束力のある決定は、関連性があり理由を付した異議の対象となっている全ての事項、とりわけ、本規則の違反があるか否かに関するものとする。
(b) where there are conflicting views on which of the supervisory authorities concerned is competent for the mainestablishment;(b) どの関係監督機関が主たる拠点に対する職務権限をもつかに関し、見解の対立がある場合；(c) where a competent supervisory authority does not request the opinion of the Board in the cases referred to in Article
64(1), or does not follow the opinion of the Board issued under Article 64. In that case, any supervisory authority
concerned or the Commission may communicate the matter to the Board.
(c) 第 64 条第 1 項に規定する場合において、職務権限をもつ監督機関が欧州データ保護会議の意見を求めない場合、又は、第 64 条に基づいて発せられる欧州データ保護会議の意見に従わない場合。その場合、関係監督機関又は欧州委員会は、欧州データ保護会議に対し、そのことを連絡できる。
2. The decision referred to in paragraph 1 shall be adopted within one month from the referral of the subject-matter by a twothirds majority of the members of the Board. That period may be extended by a further month on account of the complexityof the subject-matter. The decision referred to in paragraph 1 shall be reasoned and addressed to the lead supervisory authority
and all the supervisory authorities concerned and binding on them.
2. 第 1 項に規定する決定は、その事項付託があった時から 1 か月以内に、欧州データ保護会議の構成員の 3 分の 2 の多数によって、採択される。この期間は、対象事項複雑性を考慮に入れた上で、さらに 1 か月延長できる。第 1 項に規定する決定は、その理由を付し、主監督機関及び全ての関係監督機関に宛てるものとし、かつ、それらの者を拘束する。
81

3. Where the Board has been unable to adopt a decision within the periods referred to in paragraph 2, it shall adopt its decision
within two weeks following the expiration of the second month referred to in paragraph 2 by a simple majority of the membersof the Board. Where the members of the Board are split, the decision shall by adopted by the vote of its Chair.
3. 欧州データ保護会議が第 2 項に規定する期間内に決定を採択できない場合、欧州データ保護会議は、第 2 項に規定する 2 か月目が経過した後の 2 週間以内に、欧州データ保護会議の構成員の単純多数決により、その決定を採択する。欧州データ保護会議の構成員が可否同数の場合、その決定は、議長の投票によって採択される。
4. The supervisory authorities concerned shall not adopt a decision on the subject matter submitted to the Board underparagraph 1 during the periods referred to in paragraphs 2 and 3.
4. 関係監督機関は、第 2 項及び第 3 項に規定する期間内においては、第 1 項に基づいて欧州データ保護会議に付託された事項に関する決定を採択してはならない。
5. The Chair of the Board shall notify, without undue delay, the decision referred to in paragraph 1 to the supervisory authorities
concerned. It shall inform the Commission thereof. The decision shall be published on the website of the Board without delay
after the supervisory authority has notified the final decision referred to in paragraph 6.
5. 欧州データ保護会議の議長は、関係監督機関に対し、不当な遅滞なく、第 1 項に規定する決定を通知する。
議長は、欧州委員会に対し、そのことを通知する。その決定書は、その監督機関が第 6 項に規定する最終決定の通知をした後、遅滞なく、欧州データ保護会議の Web サイト上で公表される。
6. The lead supervisory authority or, as the case may be, the supervisory authority with which the complaint has been lodged
shall adopt its final decision on the basis of the decision referred to in paragraph 1 of this Article, without undue delay and at
the latest by one month after the Board has notified its decision. The lead supervisory authority or, as the case may be, thesupervisory authority with which the complaint has been lodged, shall inform the Board of the date when its final decision is
notified respectively to the controller or the processor and to the data subject. The final decision of the supervisory authorities
concerned shall be adopted under the terms of Article 60(7), (8) and (9). The final decision shall refer to the decision referred
to in paragraph 1 of this Article and shall specify that the decision referred to in that paragraph will be published on the websiteof the Board in accordance with paragraph 5 of this Article. The final decision shall attach the decision referred to in paragraph
1 of this Article.
6. 主監督機関、又は、事案により、異議申立てを受けた監督機関は、本条第 1 項に規定する決定に基づき、不当な遅滞なく、かつ、欧州データ保護会議がその決定を通知した後遅くとも 1 か月以内に、その監督機関の最終決定書を採択する。その主監督機関、又は、事案により、その異議申立てを受けた監督機関は、欧州データ保護会議に対し、その最終決定書が管理者又は処理者及びデータ主体に送付された日付を通知する。関係監督
機関の最終決定は、第 60 条第 7 項、第 8 項及び第 9 項条件に基づいて採択される。最終決定書は、本条第 1項に規定する決定書を参照するものとし、かつ、同項に規定する決定書が本条の第 5 項に従って委員会の Web
サイト上で公表されることを表記する。最終決定書は、本条第 1 項に規定する決定書を添付する。
Article 66 Urgency procedure
第 66 条 緊急の手続
1. In exceptional circumstances, where a supervisory authority concerned considers that there is an urgent need to act in orderto protect the rights and freedoms of data subjects, it may, by way of derogation from the consistency mechanism referred toin Articles 63, 64 and 65 or the procedure referred to in Article 60, immediately adopt provisional measures intended to
produce legal effects on its own territory with a specified period of validity which shall not exceed three months. The
supervisory authority shall, without delay, communicate those measures and the reasons for adopting them to the othersupervisory authorities concerned, to the Board and to the Commission.
1. 関係監督機関が、データ主体の権利及び自由を保護するために緊急の必要があると判断する例外的な状況
82において、その監督機関は、第 63 条、第 64 条及び第 65 条に規定する一貫性メカニズムからの特例により、
又は、第 60 条に規定する手続からの特例により、直ちに、3 か月を超えない指定された有効期限で、当該監督機関の加盟国の領土上において法的効力を発生させる意図で、暫定的な措置を採択できる。その監督機関は、
遅滞なく、他の関係監督機関、欧州データ保護会議及び欧州委員会に対し、当該措置及びその措置を採択する
理由を送付する。
2. Where a supervisory authority has taken a measure pursuant to paragraph 1 and considers that final measures need urgently
be adopted, it may request an urgent opinion or an urgent binding decision from the Board, giving reasons for requesting such
opinion or decision.
2. 監督機関が第 1 項による措置を講じ、かつ、確定的な措置を緊急に採択する必要があると判断するときは、その意見又は決定を求める理由を付して、欧州データ保護会議から緊急の意見又は緊急の拘束力のある決定を求めることができる。
3. Any supervisory authority may request an urgent opinion or an urgent binding decision, as the case may be, from the Board
where a competent supervisory authority has not taken an appropriate measure in a situation where there is an urgent need toact, in order to protect the rights and freedoms of data subjects, giving reasons for requesting such opinion or decision,
including for the urgent need to act.
3. データ主体の権利及び自由を保護するために緊急に行動する必要性のある状況において、職務権限をもつ
監督機関が適切な措置を講じなかった場合、事案に応じて、いかなる監督機関も、欧州データ保護会議に対し、行動すべき緊急の必要性に関するものを含め、そのような意見又は決定を求める理由を付して、緊急の意見又は緊急の拘束力のある決定を求めることができる。
4. By derogation from Article 64(3) and Article 65(2), an urgent opinion or an urgent binding decision referred to in paragraphs
2 and 3 of this Article shall be adopted within two weeks by simple majority of the members of the Board.
4. 第 64 条第 3 項及び第 65 条第 2 項からの特例により、本条の第 2 項及び第 3 項に規定する緊急の意見及び緊急の拘束力のある決定は、欧州データ保護会議の構成員の単純多数決により、2 週間以内に採択される。
Article 67 Exchange of information
第 67 条 情報交換
The Commission may adopt implementing acts of general scope in order to specify the arrangements for the exchange of
information by electronic means between supervisory authorities, and between supervisory authorities and the Board, inparticular the standardised format referred to in Article 64.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 93(2).
欧州委員会は、監督機関の間及び監督機関と欧州データ保護会議との間で、電子的な手段による情報交換のための覚書を定めるため、とりわけ、第 64 条に規定する標準的なフォーマットに関し、一般的な適用範囲の実装行為を採択することができる。
この実装行為は、第 93 条第 2 項に規定する審議手続に従って採択される。
Section 3 European data protection board
第 3 節 欧州データ保護会議
Article 68 European Data Protection Board
第 68 条 欧州データ保護会議
1. The European Data Protection Board (the ‘Board’) is hereby established as a body of the Union and shall have legal
personality.
83

1. 欧州データ保護会議（「欧州データ保護会議」）は、ここに、EU の組織として設置され、そして、法人格をもつ。
2. The Board shall be represented by its Chair.
2. 欧州データ保護会議は、その議長によって代表される。
3. The Board shall be composed of the head of one supervisory authority of each Member State and of the European Data
Protection Supervisor, or their respective representatives.
3. 欧州データ保護会議は、各加盟国につき 1 の監督機関の長及び欧州データ保護監察機関、又は、それらのそれぞれの代理人によって構成される。
4. Where in a Member State more than one supervisory authority is responsible for monitoring the application of the provisions
pursuant to this Regulation, a joint representative shall be appointed in accordance with that Member State's law.
4. 1 つの加盟国内において複数の監督機関が本規則による条項適用の監視について職責を負う場合、当該加盟国の国内法に従い、共同代理人が任命される。
5. The Commission shall have the right to participate in the activities and meetings of the Board without voting right. The
Commission shall designate a representative. The Chair of the Board shall communicate to the Commission the activities of
the Board.
5. 欧州委員会は、議決権なく、欧州データ保護会議の活動及び会合に参加する権利を有する。欧州委員会は、代理人を任命する。欧州データ保護会議の議長は、欧州委員会に対し、欧州データ保護会議の活動を連絡する。
6. In the cases referred to in Article 65, the European Data Protection Supervisor shall have voting rights only on decisions
which concern principles and rules applicable to the Union institutions, bodies, offices and agencies which correspond in
substance to those of this Regulation.
6. 第 65 条に規定する場合において、欧州データ保護監察機関は、本規則上の組織と実質的に対応する EU の機関、組織、事務局及び部局に対して適用される基本原則及び規定に関する決定についてのみ、議決権をもつ。
Article 69 Independence
第 69 条 独立性
1. The Board shall act independently when performing its tasks or exercising its powers pursuant to Articles 70 and 71.
1. 欧州データ保護会議は、第 70 条及び第 71 条による職務を遂行し、又は、その権限を行使する際、独立して行動する。
2. Without prejudice to requests by the Commission referred to in point (b) of Article 70(1) and in Article 70(2), the Board
shall, in the performance of its tasks or the exercise of its powers, neither seek nor take instructions from anybody.
2. 第 70 条第 1 項(b)及び第 70 条第 2 項に規定する欧州委員会からの要請を妨げることなく、欧州データ保護
会議は、その職務を遂行し、又は、その権限を行使する際、誰に対しても指示を求めることがなく、誰からも指示を受けることがない。
Article 70 Tasks of the Board
第 70 条 欧州データ保護会議の職務
1. The Board shall ensure the consistent application of this Regulation. To that end, the Board shall, on its own initiative or,where relevant, at the request of the Commission, in particular:
1. 欧州データ保護会議は、
本規則の一貫性のある適用を確保する。
その目的のために、
欧州データ保護会議は、
84欧州データ保護会議自身の発意により、又は、それが適切なときは、欧州委員会の要請により、とりわけ：(a) monitor and ensure the correct application of this Regulation in the cases provided for in Articles 64 and 65 without
prejudice to the tasks of national supervisory authorities;(a) 国内監督機関の職務を妨げることなく、第 64 条及び第 65 条に定める場合において、本規則の適正な適用を監視し、かつ、それを確保する；(b) advise the Commission on any issue related to the protection of personal data in the Union, including on any proposed
amendment of this Regulation;(b) 本規則の改正提案を含め、EU 域内における個人データ保護と関連する問題に関し、欧州委員会に対して助言する；(c) advise the Commission on the format and procedures for the exchange of information between controllers, processors
and supervisory authorities for binding corporate rules;(c) 管理者、処理者及び監督機関の間における拘束的企業準則に関する情報交換のためのフォーマット及び手続に関し、欧州委員会に対して助言する；(d) issue guidelines, recommendations, and best practices on procedures for erasing links, copies or replications of
personal data from publicly available communication services as referred to in Article 17(2);(d) 個人データへのリンク、そのコピー又は複製物を、第 17 条第 2 項に規定する公衆が利用可能な通信サービスから削除するための手順に関する運用指針、勧告及びベストプラクティスを発行する；(e) examine, on its own initiative, on request of one of its members or on request of the Commission, any question
covering the application of this Regulation and issue guidelines, recommendations and best practices in order toencourage consistent application of this Regulation;(e) 自らの発意により、又は、欧州データ保護会議の構成員の一員若しくは欧州委員会からの要請に応じて、本規則の適用の範囲内にある全ての問題について検討し、かつ、本規則の一貫性のある適用を奨励す
るための運用指針、勧告及びベストプラクティスを発行する；(f) issue guidelines, recommendations and best practices in accordance with point (e) of this paragraph for further
specifying the criteria and conditions for decisions based on profiling pursuant to Article 22(2);(f) 第 22 条第 2 項によるプロファイリングに基づく決定のための基準及び条件の細目を定めるために、本項(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(g) issue guidelines, recommendations and best practices in accordance with point (e) of this paragraph for establishing
the personal data breaches and determining the undue delay referred to in Article 33(1) and (2) and for the particular
circumstances in which a controller or a processor is required to notify the personal data breach;(g) 第 33 条第 1 項及び第 2 項に規定する個人データ侵害の判断及び不当な遅延の判断に関し、並びに、管理者又は処理者が個人データ侵害の通知を求められる特定の状況に関し、本項(e)に従い、運用指針、勧告
及びベストプラクティスを発行する；(h) issue guidelines, recommendations and best practices in accordance with point (e) of this paragraph as to thecircumstances in which a personal data breach is likely to result in a high risk to the rights and freedoms of the natural
persons referred to in Article 34(1).
(h) 第 34 条第 1 項に規定する個人データ侵害が自然人の権利及び自由に対する高いリスクをもたらす可能性のある状況に関し、本項(e)に従い、運用指針、勧告及びベストプラクティスを発行する；
85

(i) issue guidelines, recommendations and best practices in accordance with point (e) of this paragraph for the purposeof further specifying the criteria and requirements for personal data transfers based on binding corporate rules adhered toby controllers and binding corporate rules adhered to by processors and on further necessary requirements to ensure theprotection of personal data of the data subjects concerned referred to in Article 47;(i) 管理者によって遵守される拘束的企業準則及び処理者によって遵守される拘束的企業準則に基づく個
人データの移転のための基準及び要件の細目を定める目的のために、並びに、第 47 条に規定する関係するデータ主体の個人データの保護を確保するための必要な別の要件に関し、本項(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(j) issue guidelines, recommendations and best practices in accordance with point (e) of this paragraph for the purposeof further specifying the criteria and requirements for the personal data transfers on the basis of Article 49(1);(j) 第 49 条第 1 項に基づく個人データの移転のための基準及び要件の細目を定める目的のために、本項(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(k) draw up guidelines for supervisory authorities concerning the application of measures referred to in Article 58(1), (2)and (3) and the setting of administrative fines pursuant to Article 83;(k) 第 58 条第 1 項、第 2 項及び第 3 項に規定する措置の適用、並びに、第 83 条による行政罰の量刑に関し、監督機関のための運用指針を策定する；(l) review the practical application of the guidelines, recommendations and best practices referred to in points (e)and (f);(l) (e)及び(f)に規定する運用指針、勧告及びベストプラクティスの実務上の適用を見直す；(m) issue guidelines, recommendations and best practices in accordance with point (e) of this paragraph for establishingcommon procedures for reporting by natural persons of infringements of this Regulation pursuant to Article 54(2);(m) 第 54 条第 2 項による本規則の違反行為の自然人による通報のための共通の手続を設けるため、本項(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(n) encourage the drawing-up of codes of conduct and the establishment of data protection certification mechanisms anddata protection seals and marks pursuant to Articles 40 and 42;(n) 行動規範の作成、並びに、第 40 条及び第 42 条によるデータ保護認証方法、データ保護シール及びデータ保護マークを設けることを推進する；(o) carry out the accreditation of certification bodies and its periodic review pursuant to Article 43 and maintain a public
register of accredited bodies pursuant to Article 43(6) and of the accredited controllers or processors established in third
countries pursuant to Article 42(7);(o) 認証機関の認定、及び、第 43 条によるその定期的な見直しを行い、並びに、第 43 条第 6 項により認定された認証機関の公的記録を維持管理し、第 42 条第 7 項により第三国内で設立され、認定された管理者又は処理者の公的記録を維持管理する；(p) specify the requirements referred to in Article 43(3) with a view to the accreditation of certification bodies under
Article 42;(p) 第 42 条に基づく認証機関の認定のため、第 43 条第 3 項に規定する要件の細目を定める；(q) provide the Commission with an opinion on the certification requirements referred to in Article 43(8);(q) 欧州委員会に対し、第 43 条第 8 項に規定する認証の要件に関する意見を提供する；
86

(r) provide the Commission with an opinion on the icons referred to in Article 12(7);(r) 欧州委員会に対し、第 12 条第 7 項に規定するアイコンに関する意見を提供する；(s) provide the Commission with an opinion for the assessment of the adequacy of the level of protection in a third
country or international organisation, including for the assessment whether a third country, a territory or one or more
specified sectors within that third country, or an international organisation no longer ensures an adequate level ofprotection. To that end, the Commission shall provide the Board with all necessary documentation, including
correspondence with the government of the third country, with regard to that third country, territory or specified sector,
or with the international organisation.
(s) 欧州委員会に対し、第三国、第三国内の地域若しくは一つ若しくは複数の特定の部門又は国際機関が十分なレベルの保護を確保しなくなったか否かの評価に関するものを含め、第三国又は国際機関における保護のレベルの十分性の評価に関する意見を提供する。この目的のために、欧州委員会は、欧州データ保護会議に対し、第三国の政府との書簡のやりとりを含め、当該第三国、第三国内の地域若しくは特定の部
門又は国際機関と関連する全ての必要な文書を提供する；(t) issue opinions on draft decisions of supervisory authorities pursuant to the consistency mechanism referred to in
Article 64(1), on matters submitted pursuant to Article 64(2) and to issue binding decisions pursuant to Article 65,
including in cases referred to in Article 66;(t) 第 64 条第 1 項に規定する一貫性メカニズムにより、監督機関の決定案に関し、及び、第 64 条第 2 項
により付託された事項に関する意見を発し、並びに、第 66 条に規定する場合を含め、第 65 条により拘束力のある決定を発する；(u) promote the cooperation and the effective bilateral and multilateral exchange of information and best practices
between the supervisory authorities;(u) 監督機関の間における協力並びに二国間又は多国間の効果的な情報交換及びベストプラクティスの交換を促進する；(v) promote common training programmes and facilitate personnel exchanges between the supervisory authorities and,
where appropriate, with the supervisory authorities of third countries or with international organisations;(v) 共通の訓練計画を促進し、並びに、監督機関の間の、及び、それが適切であるときは、第三国の監督機関との間又は国際機関との間の人材交流を容易にする；(w) promote the exchange of knowledge and documentation on data protection legislation and practice with dataprotection supervisory authorities worldwide.
(w) 世界各国のデータ保護監督機関との間で、データ保護立法及びその実務に関する知識及び文書の交換を促進する；(x) issue opinions on codes of conduct drawn up at Union level pursuant to Article 40(9); and(x) 第 40 条第 9 項による EU レベルにおける行動規範の策定に関し、意見書を発行する；並びに、(y) maintain a publicly accessible electronic register of decisions taken by supervisory authorities and courts on issues
handled in the consistency mechanism.
(y) 一貫性メカニズムの中で取り扱われた問題に関する監督機関及び裁判所による判断についての公衆がアクセス可能な電子的記録を維持管理する。
2. Where the Commission requests advice from the Board, it may indicate a time limit, taking into account the urgency of thematter.
87

2. 欧州委員会が欧州データ保護会議からの助言を求める場合、その事項緊急性を考慮に入れた上で、回答期限を指示できる。
3. The Board shall forward its opinions, guidelines, recommendations, and best practices to the Commission and to thecommittee referred to in Article 93 and make them public.
3. 欧州データ保護会議は、欧州委員会及び第 93 条に規定する委員会に対し、合理的な期間内に、その意見書、運用指針、勧告及びベストプラクティスを転送し、かつ、それらを公表する。
4. The Board shall, where appropriate, consult interested parties and give them the opportunity to comment within a reasonable
period. The Board shall, without prejudice to Article 76, make the results of the consultation procedure publicly available.
4. 欧州データ保護会議は、それが適切なときは、利害関係者と協議し、そして、合理的な期間内にそれらの者が意見を述べる機会を与える。欧州データ保護会議は、第 76 条を妨げることなく、その協議手続の結果を公衆が利用可能なものとする。
Article 71 Reports
第 71 条 報告書
1. The Board shall draw up an annual report regarding the protection of natural persons with regard to processing in the Union
and, where relevant, in third countries and international organisations. The report shall be made public and be transmitted to
the European Parliament, to the Council and to the Commission.
1. 欧州データ保護会議は、EU 域内における取扱い、並びに、それが適切なときは、第三国内及び国際機関内における取扱いと関連する自然人の保護に関する年次報告書を作成する。この報告書は、公表され、かつ、欧州議会、理事会及び欧州委員会に対して送付される。
2. The annual report shall include a review of the practical application of the guidelines, recommendations and best practices
referred to in point (l) of Article 70(1) as well as of the binding decisions referred to in Article 65.
2. その年次報告書は、第 70 条第 1 項(l)に規定する運用指針、勧告及びベストプラクティス並びに第 65 条に規定する拘束力のある決定の実際の適用の見直しを含める。
Article 72 Procedure
第 72 条 手続
1. The Board shall take decisions by a simple majority of its members, unless otherwise provided for in this Regulation.
1. 欧州データ保護会議は、本規則に別の定めがない限り、単純多数決により議決を行う。
2. The Board shall adopt its own rules of procedure by a two-thirds majority of its members and organise its own operationalarrangements.
2. 欧州データ保護会議は、委員会の構成員の 3 分の 2 の多数決により自身の手続規則を採択し、そして、自らの業務覚書を作成する。
Article 73 Chair
第 73 条 議長
1. The Board shall elect a chair and two deputy chairs from amongst its members by simple majority.
1. 欧州データ保護会議は、単純多数決により、構成員の中から 1 名の議長及び 2 名の副議長を選任する。
2. The term of office of the Chair and of the deputy chairs shall be five years and be renewable once.
88

2. 議長及び副議長の任期は 5 年とし、1 度だけ再任されうる。
Article 74 Tasks of the Chair
第 74 条 議長の職務
1. The Chair shall have the following tasks:
1. 議長は、以下の職務をもつ：(a) to convene the meetings of the Board and prepare its agenda;(a) 欧州データ保護会議の会合を招集し、その議題を準備すること；(b) to notify decisions adopted by the Board pursuant to Article 65 to the lead supervisory authority and the supervisory
authorities concerned;(b) 主監督機関及び関係監督機関に対し、第 65 条により欧州データ保護会議によって採択された決定を通知すること；(c) to ensure the timely performance of the tasks of the Board, in particular in relation to the consistency mechanism
referred to in Article 63.
(c) とりわけ、第 63 条に規定する一貫性メカニズムと関連して、欧州データ保護会議の職務の適時な遂行を確保すること。
2. The Board shall lay down the allocation of tasks between the Chair and the deputy chairs in its rules of procedure.
2. 欧州データ保護会議は、その手続規則中において、議長と副議長との間の職務分担を定める。
Article 75 Secretariat
第 75 条 事務局
1. The Board shall have a secretariat, which shall be provided by the European Data Protection Supervisor.
1. 欧州データ保護会議は、事務局をもつ。それは、欧州データ保護監察機関から提供される。
2. The secretariat shall perform its tasks exclusively under the instructions of the Chair of the Board.
2. 事務局は、欧州データ保護会議の議長の指示のみに基づいて、その職務を遂行する。
3. The staff of the European Data Protection Supervisor involved in carrying out the tasks conferred on the Board by thisRegulation shall be subject to separate reporting lines from the staff involved in carrying out tasks conferred on the European
Data Protection Supervisor.
3. 本規則によって欧州データ保護会議に与えられる職務の遂行に関与する欧州データ保護監察機関の職員は、
欧州データ保護監察機関に与えられた職務の遂行に関与する職員とは区別された指揮命令系統の下に置かれる。
4. Where appropriate, the Board and the European Data Protection Supervisor shall establish and publish a Memorandum ofUnderstanding implementing this Article, determining the terms of their cooperation, and applicable to the staff of theEuropean Data Protection Supervisor involved in carrying out the tasks conferred on the Board by this Regulation.
4. それが適切なときは、欧州データ保護会議及び欧州データ保護監察機関は、本条を実装し、それらの協力の条件を定め、そして、本規則によって欧州データ保護会議に与えられる職務の遂行に関与する欧州データ保護
監察機関の職員に適用される了解覚書を定め、それを刊行する。
89

5. The secretariat shall provide analytical, administrative and logistical support to the Board.
5. 事務局は、欧州データ保護会議に対して、分析、業務運営及び庶務に関する支援を提供する。
6. The secretariat shall be responsible in particular for:6. 事務局は、とりわけ、以下について責任を負う：(a) the day-to-day business of the Board;(a) 欧州データ保護会議の日々の業務；(b) communication between the members of the Board, its Chair and the Commission;(b) 欧州データ保護会議の構成員、議長及び欧州委員会の間の連絡；(c) communication with other institutions and the public;(c) 他の機関及び公衆との連絡；(d) the use of electronic means for the internal and external communication;(d) 内部の連絡及び外部との連絡のための電子的な手段の利用；(e) the translation of relevant information;(e) 関連情報の翻訳；(f) the preparation and follow-up of the meetings of the Board;(f) 欧州データ保護会議の会合の準備及び事後対応；(g) the preparation, drafting and publication of opinions, decisions on the settlement of disputes between supervisory
authorities and other texts adopted by the Board.
(g) 欧州データ保護会議によって採択される監督機関の間の対立の解決に関する意見書、決定書、並びに、
それら以外の文書の準備、起草及び刊行。
Article 76 Confidentiality
第 76 条 機密性
1. The discussions of the Board shall be confidential where the Board deems it necessary, as provided for in its rules ofprocedure.
1. 欧州データ保護会議における討議は、欧州データ保護会議がそれを必要と認める場合、欧州データ保護会議の手続規則に定めるところに従い、秘密のものとされる。
2. Access to documents submitted to members of the Board, experts and representatives of third parties shall be governed byRegulation (EC) No 1049/2001 of the European Parliament and of the Council (1).
2. 欧州データ保護会議の構成員、専門委員及び第三者の代理人に対して送付された文書へのアクセスは、欧州
議会及び理事会の規則(EC) No 1049/20011によって規律される。

(1) Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European
Parliament, Council and Commission documents (OJ L 145, 31.5.2001, p. 43).
1
欧州議会、理事会及び欧州委員会の文書に対する公衆のアクセスに関する欧州議会及び理事会の 2001 年 5 月 30 日の規則(EC) No 1049/2001（OJ L 145, 31.5.2001, p. 43）
90

CHAPTER VIII Remedies, liability and penalties
第 8 章 救済、法的責任及び制裁
Article 77

Right to lodge a complaint with a supervisory authority
第 77 条 監督機関に異議を申立てる権利

1. Without prejudice to any other administrative or judicial remedy, every data subject shall have the right to lodge a complaint
with a supervisory authority, in particular in the Member State of his or her habitual residence, place of work or place of thealleged infringement if the data subject considers that the processing of personal data relating to him or her infringes thisRegulation.
1. 他の行政上の救済又は司法上の救済を妨げることなく、全てのデータ主体は、そのデータ主体が、自己と関係する個人データの取扱いが本規則に違反すると判断するときは、特に、データ主体の居住地の加盟国、就業場所の加盟国又は違反行為があると主張する場所の加盟国において、監督機関に異議を申立てる権利を有する。
2. The supervisory authority with which the complaint has been lodged shall inform the complainant on the progress and theoutcome of the complaint including the possibility of a judicial remedy pursuant to Article 78.
2. 異議の申立てを受けた監督機関は、その異議申立人に対し、第 78 条による司法救済の可能性を含め、異議の進捗状況及び結果に関し、情報提供する。
Article 78 Right to an effective judicial remedy against a supervisory authority
第 78 条 監督機関を相手方とする効果的な司法救済の権利
1. Without prejudice to any other administrative or non-judicial remedy, each natural or legal person shall have the right to aneffective judicial remedy against a legally binding decision of a supervisory authority concerning them.
1. 他のいかなる行政上の救済又は裁判外の救済をも妨げることなく、個々の自然人又は法人は、それらの者に関する監督機関の法的拘束力のある決定を不服として、効果的な司法救済を得る権利を有する。
2. Without prejudice to any other administrative or non-judicial remedy, each data subject shall have the right to a an effective
judicial remedy where the supervisory authority which is competent pursuant to Articles 55 and 56 does not handle a complaintor does not inform the data subject within three months on the progress or outcome of the complaint lodged pursuant to Article77.
2. 他のいかなる行政上の救済又は裁判外の救済をも妨げることなく、第 55 条及び第 56 条により管轄権をもつ監督機関が異議を取り扱わない場合、又は、第 77 条により申立てられた異議の進捗状況若しくは結果に関し、データ主体に対して 3 か月以内に情報提供しない場合、個々のデータ主体は、効果的な司法救済を得る権利を有する。
3. Proceedings against a supervisory authority shall be brought before the courts of the Member State where the supervisory
authority is established.
3. 監督機関を相手方とする訴訟手続は、その監督機関が設けられている加盟国の裁判所において提起されるものとする。
4. Where proceedings are brought against a decision of a supervisory authority which was preceded by an opinion or a decisionof the Board in the consistency mechanism, the supervisory authority shall forward that opinion or decision to the court.
4. 一貫性メカニズムの中における委員会の意見又は決定の後の監督機関の決定を不服として訴訟手続が提起される場合、その監督機関は、裁判所に対し、その意見書又は決定書を転送する。
Article 79

Right to an effective judicial remedy against a controller or processor91

第 79 条 管理者又は処理者を相手方とする効果的な司法救済の権利
1. Without prejudice to any available administrative or non-judicial remedy, including the right to lodge a complaint with asupervisory authority pursuant to Article 77, each data subject shall have the right to an effective judicial remedy where he or
she considers that his or her rights under this Regulation have been infringed as a result of the processing of his or her personal
data in non-compliance with this Regulation.
1. 第 77 条により監督機関に異議を申立てる権利を含め、利用可能な行政上の救済又は裁判外の救済を妨げることなく、個々のデータ主体は、自ら、本規則を遵守せずに自己の個人データの取扱いがなされた結果として本規則に基づく自己の権利が侵害されたと判断するときは、効果的な司法救済の権利を有する。
2. Proceedings against a controller or a processor shall be brought before the courts of the Member State where the controller
or processor has an establishment. Alternatively, such proceedings may be brought before the courts of the Member State
where the data subject has his or her habitual residence, unless the controller or processor is a public authority of a Member
State acting in the exercise of its public powers.
2. 管理者又は処理者を相手方とする訴訟手続は、管理者又は処理者が拠点をもつ加盟国の裁判所において提起されるものとする。その管理者又は処理者がその公権力の行使において行動する加盟国の公的機関である場
合を除き、代替的なものとして、データ主体が自身の居住地のある加盟国の裁判所において、そのような訴訟手続を提起できる。
Article 80 Representation of data subjects
第 80 条 データ主体の代理人
1. The data subject shall have the right to mandate a not-for-profit body, organisation or association which has been properly
constituted in accordance with the law of a Member State, has statutory objectives which are in the public interest, and is activein the field of the protection of data subjects' rights and freedoms with regard to the protection of their personal data to lodge
the complaint on his or her behalf, to exercise the rights referred to in Articles 77, 78 and 79 on his or her behalf, and to exercise
the right to receive compensation referred to in Article 82 on his or her behalf where provided for by Member State law.
1. データ主体は、加盟国の国内法に従って適正に組織され、公共の利益に属する制定法上の目的をもち、かつ、データ主体の個人データの保護と関連するデータ主体の権利及び自由の保護の分野において活動する非営利の組織、団体又は協会に対し、自身の代わりに異議を申立てること、自身の代わりに第 77 条、第 78 条及び第79 条に規定する権利を行使すること、並びに、加盟国の国内法が定めている場合、自身の代わりに第 82 条に規定する賠償金を受ける権利の行使を委任する権利を有する。
2. Member States may provide that any body, organisation or association referred to in paragraph 1 of this Article,
independently of a data subject's mandate, has the right to lodge, in that Member State, a complaint with the supervisory
authority which is competent pursuant to Article 77 and to exercise the rights referred to in Articles 78 and 79 if it considers
that the rights of a data subject under this Regulation have been infringed as a result of the processing.
2. 加盟国は、本条の第 1 項に規定する組織、団体又は協会が、データ主体の委任とは独立に、当該加盟国内において、第 77 条により管轄権をもつ監督機関に異議を申立てる権利、及び、取扱いの結果として本規則に基づくデータ主体の権利が侵害されたと判断する場合、第 78 条及び第 79 条に規定する権利を行使する権利を有することを定めることができる。
Article 81 Suspension of proceedings
第 81 条 訴訟手続の停止
1. Where a competent court of a Member State has information on proceedings, concerning the same subject matter as regards
processing by the same controller or processor, that are pending in a court in another Member State, it shall contact that court92

in the other Member State to confirm the existence of such proceedings.
1. 加盟国の管轄権をもつ裁判所が、同じ管理者又は処理者の取扱いと関連する同じ訴訟原因と関係する訴訟手続が別の加盟国の裁判所に係属しているという情報をもつときは、その裁判所は、そのような訴訟の存在を確認するため、当該別の加盟国の裁判所と連絡をとる。
2. Where proceedings concerning the same subject matter as regards processing of the same controller or processor are
pending in a court in another Member State, any competent court other than the court first seized may suspend its proceedings.
2. 同じ管理者又は処理者の取扱いと関連する同じ訴訟原因と関係する訴訟手続が別の加盟国の裁判所に係属している場合、最初に訴えの提起のあった裁判所以外の管轄権をもつ裁判所は、その訴訟手続の進行を停止できる。
3. Where those proceedings are pending at first instance, any court other than the court first seized may also, on the applicationof one of the parties, decline jurisdiction if the court first seized has jurisdiction over the actions in question and its law permits
the consolidation thereof.
3. それらの訴訟手続が第一審として係属している場合、最初に訴訟係属した裁判所が当の訴訟手続に関する管轄権をもっており、かつ、その加盟国の国内法が訴訟事件の併合を認めているときは、最初に訴訟係属した
裁判所以外の裁判所は、いずれかの当事者からの申立てにより、その管轄権を劣後させることもできる。
Article 82 Right to compensation and liability
第 82 条 賠償の権利及び法的責任
1. Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall havethe right to receive compensation from the controller or processor for the damage suffered.
1. 本規則の違反行為の結果として財産的な損害又は非財産的な損害を被った者は、管理者又は処理者から、その被った損害の賠償を受ける権利を有する。
2. Any controller involved in processing shall be liable for the damage caused by processing which infringes this Regulation.
A processor shall be liable for the damage caused by processing only where it has not complied with obligations of thisRegulation specifically directed to processors or where it has acted outside or contrary to lawful instructions of the controller.
2. 取扱いに関与した管理者は、本規則に違反する取扱いによって発生した損害に関し、法的責任を負う。処理者は、処理者に対して特に課される本規則上の義務をその処理者が遵守しなかった場合、又は、管理者の適法な指示の範囲外で処理者が行動した場合、若しくは、その指示に反して行動した場合においてのみ、取扱いによって発生した損害に関し、法的責任を負う。
3. A controller or processor shall be exempt from liability under paragraph 2 if it proves that it is not in any way responsible
for the event giving rise to the damage.
3. 管理者又は処理者は、その損害を生じさせた出来事に関し、いかなる意味においても責任を負わないことを証明したときは、第 2 項に基づく法的責任を免れる。
4. Where more than one controller or processor, or both a controller and a processor, are involved in the same processing andwhere they are, under paragraphs 2 and 3, responsible for any damage caused by processing, each controller or processor shallbe held liable for the entire damage in order to ensure effective compensation of the data subject.
4. 複数の管理者若しくは処理者が同一の取扱いに関与し、又は、管理者及び処理者が共に同一の取扱いに関与しており、かつ、第 2 項及び第 3 項に基づき、それらの者が取扱いによって生じた損害に対して責任を負う場
合、データ主体の効果的な損害賠償を確保するため、個々の管理者及び処理者は、それぞれ、損害全部に関して法的責任を負う。
93

5. Where a controller or processor has, in accordance with paragraph 4, paid full compensation for the damage suffered, that
controller or processor shall be entitled to claim back from the other controllers or processors involved in the same processingthat part of the compensation corresponding to their part of responsibility for the damage, in accordance with the conditions
set out in paragraph 2.
5. 管理者又は処理者が、第 4 項に従い、被った損害に関し、賠償金全額を支払ったときは、その管理者又は処理者は、第 2 項に定める条件に従い、その損害に関して責任のある部分に対応する賠償分担部分について、同一の取扱いに関与した他の管理者又は処理者に対して求償請求する権利を有する。
6. Court proceedings for exercising the right to receive compensation shall be brought before the courts competent under thelaw of the Member State referred to in Article 79(2).
6. 損害賠償を受ける権利を行使するための裁判所の手続は、第 79 条第 2 項に規定する加盟国の国内法に基づく管轄権をもつ裁判所において行われる。
Article 83 General conditions for imposing administrative fines
第 83 条 制裁金を科すための一般的要件
1. Each supervisory authority shall ensure that the imposition of administrative fines pursuant to this Article in respect of
infringements of this Regulation referred to in paragraphs 4, 5 and 6 shall in each individual case be effective, proportionate
and dissuasive.
1. 各監督機関は、第 4 項、第 5 項及び第 6 項に規定する本規則の違反行為に関し、本条による制裁金を科すことが、個々の案件において、効果的であり、比例的であり、かつ、抑止力のあるものであることを確保する。
2. Administrative fines shall, depending on the circumstances of each individual case, be imposed in addition to, or instead of,measures referred to in points (a) to (h) and (j) of Article 58(2). When deciding whether to impose an administrative fine anddeciding on the amount of the administrative fine in each individual case due regard shall be given to the following:
2. 制裁金は、個々の案件の事情に応じて、第 58 条第 2 項(a)から(h)及び(j)に規定する措置に加えて、又は、その措置に代えて、科される。個々の案件において、制裁金を科すか否かを判断する場合、及び、制裁金の額を判断する場合、以下の事項を適正に考慮に入れる：(a) the nature, gravity and duration of the infringement taking into account the nature scope or purpose of the processing
concerned as well as the number of data subjects affected and the level of damage suffered by them;(a) 関係する取扱いの性質、範囲及び目的を考慮に入れた上で、違反行為の性質、重大性及び持続期間、並びに、その違反行為によって害を受けたデータ主体の人数及びデータ主体が被った損害の程度；(b) the intentional or negligent character of the infringement;(b) 違反行為の故意又は過失；(c) any action taken by the controller or processor to mitigate the damage suffered by data subjects;(c) データ主体が被った損失を軽減するために管理者又は処理者によって講じられた措置；(d) the degree of responsibility of the controller or processor taking into account technical and organisational measures
implemented by them pursuant to Articles 25 and 32;(d) 第 25 条及び第 32 条により管理者又は処理者によって実装された技術上及び組織上の措置を考慮に入れた上で、管理者又は処理者の責任の程度；(e) any relevant previous infringements by the controller or processor;(e) その管理者又は処理者による過去の関連する違反；
94

(f) the degree of cooperation with the supervisory authority, in order to remedy the infringement and mitigate the possible
adverse effects of the infringement;(f) 違反を解消するための、及び、違反の潜在的な悪影響を低減させるための、監督機関との協力の程度；(g) the categories of personal data affected by the infringement;(g) 違反によって影響を受けた個人データの種類；(h) the manner in which the infringement became known to the supervisory authority, in particular whether, and if so towhat extent, the controller or processor notified the infringement;(h) その違反が監督機関の知るところとなった態様、とりわけ、その管理者又は処理者がその違反を通知したのかどうか、及び、通知した場合、どの範囲で通知したのか；(i) where measures referred to in Article 58(2) have previously been ordered against the controller or processor concernedwith regard to the same subject-matter, compliance with those measures;(i) 関係する管理者又は処理者に対し、同じ事項に関して、第 58 条第 2 項に規定する措置が過去に命じられていた場合、それらの措置の遵守；(j) adherence to approved codes of conduct pursuant to Article 40 or approved certification mechanisms pursuant to
Article 42; and(j) 第 40 条による承認された行動規範の遵守、又は、第 42 条による承認された認証方法の遵守；並びに、(k) any other aggravating or mitigating factor applicable to the circumstances of the case, such as financial benefits gained,
or losses avoided, directly or indirectly, from the infringement.
(k) その違反行為から直接又は間接に得た財産的な利益若しくは回避された損失のような、その案件の事情に適用可能な上記以外の悪化要素又は軽減要素。
3. If a controller or processor intentionally or negligently, for the same or linked processing operations, infringes several
provisions of this Regulation, the total amount of the administrative fine shall not exceed the amount specified for the gravest
infringement.
3. 管理者又は処理者が、故意又は過失により、同じ取扱業務又は関連する取扱業務に関し、本規則の複数の条項に違反する場合、その制裁金の総額は、その最も重い違反行為に関して定められた額を超えることができな
い。
4. Infringements of the following provisions shall, in accordance with paragraph 2, be subject to administrative fines up to 10
000 000 EUR, or in the case of an undertaking, up to 2 % of the total worldwide annual turnover of the preceding financial
year, whichever is higher:
4. 以下の条項違反行為は、第 2 項に従い、1000 万ユーロ以下の制裁金に服するものとし、又は、事業の場合、直前の会計年度における世界全体における売上総額の 2％以下の金額、若しくは、いずれか高額の方の制裁金に服するものとする：(a) the obligations of the controller and the processor pursuant to Articles 8, 11, 25 to 39 and 42 and 43;(a) 第 8 条、第 11 条、第 25 条から第 39 条並びに第 42 条及び第 43 条による管理者及び処理者の義務；(b) the obligations of the certification body pursuant to Articles 42 and 43;(b) 第 42 条及び第 43 条による認証機関の義務；
95

(c) the obligations of the monitoring body pursuant to Article 41(4).
(c) 第 41 条第 4 項による監視組織の義務。
5. Infringements of the following provisions shall, in accordance with paragraph 2, be subject to administrative fines up to 20
000 000 EUR, or in the case of an undertaking, up to 4 % of the total worldwide annual turnover of the preceding financial
year, whichever is higher:
5. 以下の条項違反行為は、第 2 項に従い、2000 万ユーロ以下の制裁金に服するものとし、又は、事業の場合、直前の会計年度における世界全体における売上総額の 4％以下の金額、若しくは、いずれか高額の方の制裁金に服するものとする：(a) the basic principles for processing, including conditions for consent, pursuant to Articles 5, 6, 7 and 9;(a) 同意の条件を含め、第 5 条、第 6 条、第 7 条及び第 9 条による取扱いの基本原則；(b) the data subjects' rights pursuant to Articles 12 to 22;(b) 第 12 条から第 22 条によるデータ主体の権利；(c) the transfers of personal data to a recipient in a third country or an international organisation pursuant to Articles 44
to 49;(c) 第 44 条から第 49 条による第三国内又は国際機関内の取得者に対する個人データの移転；(d) any obligations pursuant to Member State law adopted under Chapter IX;(d) 第 9 章に基づいて採択された加盟国の国内法による義務；(e) non-compliance with an order or a temporary or definitive limitation on processing or the suspension of data flows
by the supervisory authority pursuant to Article 58(2) or failure to provide access in violation of Article 58(1).
(e) 第 58 条第 2 項による監督機関からの命令、取扱いの一時的な制限若しくは恒久的な制限又はデータ移転の停止の不服従、又は、第 58 条第 1 項に違反するアクセスの不提供。
6. Non-compliance with an order by the supervisory authority as referred to in Article 58(2) shall, in accordance withparagraph 2 of this Article, be subject to administrative fines up to 20 000 000 EUR, or in the case of an undertaking, up to
4 % of the total worldwide annual turnover of the preceding financial year, whichever is higher.
6. 第 58 条第 2 項に規定する監督機関の命令に対する不服従は、本条第 2 項に従い、2000 万ユーロ以下の制裁金に服するものとし、又は、事業の場合、直前の会計年度における世界全体における売上総額の 4％以下の金
額、若しくは、いずれか高額の方の制裁金に服するものとする。
7. Without prejudice to the corrective powers of supervisory authorities pursuant to Article 58(2), each Member State may lay
down the rules on whether and to what extent administrative fines may be imposed on public authorities and bodies establishedin that Member State.
7. 第 58 条第 2 項による監督機関の是正権限を妨げることなく、各加盟国は、当該加盟国内に設けられている
公的機関及び公的組織に対して制裁金を科すか否か、並びに、その範囲に関する法令を定めることができる。
8. The exercise by the supervisory authority of its powers under this Article shall be subject to appropriate procedural
safeguards in accordance with Union and Member State law, including effective judicial remedy and due process.
8. 本条に基づく監督機関による権限の行使は、効果的な司法救済及び適正手続を含め、EU 法及び加盟国の国
内法に従い、適切な手続上の保護措置に服する。
9. Where the legal system of the Member State does not provide for administrative fines, this Article may be applied in such96

a manner that the fine is initiated by the competent supervisory authority and imposed by competent national courts, while
ensuring that those legal remedies are effective and have an equivalent effect to the administrative fines imposed bysupervisory authorities. In any event, the fines imposed shall be effective, proportionate and dissuasive. Those Member Statesshall notify to the Commission the provisions of their laws which they adopt pursuant to this paragraph by 25 May 2018 and,without delay, any subsequent amendment law or amendment affecting them.
9. 加盟国の法制度が制裁金を定めていない場合、法的救済措置が効果的なものであり、かつ、監督機関によって科される制裁金と均等な効果をもつことを確保しつつ、その罰金が、所轄監督機関によって開始され、かつ、国内管轄裁判所によって科されるような態様で、本条を適用できる。いかなる場合においても、科される罰金は、効果的であり、比例的であり、かつ、抑止力のあるものとする。それらの加盟国は、欧州委員会に対し、2018 年 5 月 25 日までに、本項により採択するそれらの加盟国の国内法の条項を通知し、かつ、遅滞なく、その後の改正法又はそれらの条項に影響を与える改正を通知する。
Article 84 Penalties
第 84 条 制裁
1. Member States shall lay down the rules on other penalties applicable to infringements of this Regulation in particular for
infringements which are not subject to administrative fines pursuant to Article 83, and shall take all measures necessary toensure that they are implemented. Such penalties shall be effective, proportionate and dissuasive.
1. 加盟国は、本規則の違反行為、とりわけ、第 83 条による制裁金に服さない違反行為に適用可能な別の制裁に関する法令を定め、かつ、その法令が実装されることを確保するために必要となる全ての措置を講ずる。その制裁は、効果的であり、比例的であり、かつ、抑止力のあるものとする。
2. Each Member State shall notify to the Commission the provisions of its law which it adopts pursuant to paragraph 1, by 25
May 2018 and, without delay, any subsequent amendment affecting them.
2. 各加盟国は、欧州委員会に対し、2018 年 5 月 25 日までに、第 1 項により採択した加盟国の国内法の条項を通知し、かつ、遅滞なく、それらの条項に影響を与えるその後の改正を通知する。

CHAPTER IX Provisions relating to specific processing situations
第 9 章 特定の取扱いの状況と関係する条項
Article 85 Processing and freedom of expression and information
第 85 条 取扱いと表現の自由及び情報伝達の自由
1. Member States shall by law reconcile the right to the protection of personal data pursuant to this Regulation with the rightto freedom of expression and information, including processing for journalistic purposes and the purposes of academic, artistic
or literary expression.
1. 加盟国は、法律によって、本規則による個人データ保護の権利と、報道の目的のための取扱い、及び、学術上、芸術上又は文学上の表現の目的のための取扱いを含め、表現の自由及び情報伝達の自由の権利との調和を保つ。
2. For processing carried out for journalistic purposes or the purpose of academic artistic or literary expression, Member Statesshall provide for exemptions or derogations from Chapter II (principles), Chapter III (rights of the data subject), Chapter IV(controller and processor), Chapter V (transfer of personal data to third countries or international organisations), Chapter VI(independent supervisory authorities), Chapter VII (cooperation and consistency) and Chapter IX (specific data processing
situations) if they are necessary to reconcile the right to the protection of personal data with the freedom of expression andinformation.
97

2. 報道の目的、又は、学術上の表現、芸術上の表現又は文学上の表現の目的のために行われる取扱いに関し、
加盟国は、個人データの保護の権利と表現の自由及び情報伝達の自由との調和を保つ必要がある場合、第 2 章（基本原則）、第 3 章（データ主体の権利）、第 4 章（管理者及び処理者）、第 5 章（第三国及び国際機関への個人データの移転）、第 6 章（独立監督機関）、第 7 章（協力と一貫性）及び第 9 章（特別のデータ取扱いの状況）の例外又は特例を定める。
3. Each Member State shall notify to the Commission the provisions of its law which it has adopted pursuant to paragraph 2
and, without delay, any subsequent amendment law or amendment affecting them.
3. 各加盟国は、欧州委員会に対し、第 2 項に従って加盟国が採択した加盟国の国内法の条項を通知し、かつ、遅滞なく、その後の改正法又はそれらの条項に影響を与える改正を通知する。
Article 86 Processing and public access to official documents
第 86 条 公文書の取扱い及び公衆のアクセス
Personal data in official documents held by a public authority or a public body or a private body for the performance of a task
carried out in the public interest may be disclosed by the authority or body in accordance with Union or Member State law towhich the public authority or body is subject in order to reconcile public access to official documents with the right to theprotection of personal data pursuant to this Regulation.
公的機関若しくは公的組織によって、又は、公共の利益において行われる職務の遂行のために民間組織によって保有される公文書の中にある個人データは、公文書への公衆のアクセスと本規則による個人データの保護の権利との調和を保つため、公的機関又は組織が服する EU 法又は加盟国の国内法に従い、その機関又は組織から開示できる。
Article 87 Processing of the national identification number
第 87 条 国民識別番号の取扱い
Member States may further determine the specific conditions for the processing of a national identification number or any
other identifier of general application. In that case the national identification number or any other identifier of generalapplication shall be used only under appropriate safeguards for the rights and freedoms of the data subject pursuant to thisRegulation.
加盟国は、国民識別番号又はそれ以外の一般に利用されている識別子の取扱いのための特別の条件を別に定めることができる。その場合、国民識別番号又はそれ以外の一般に利用されている識別子は、本規則によるデータ主体の権利及び自由のための適切な保護措置の下においてのみ、これを用いることができる。
Article 88 Processing in the context of employment
第 88 条 雇用の過程における取扱い
1. Member States may, by law or by collective agreements, provide for more specific rules to ensure the protection of therights and freedoms in respect of the processing of employees' personal data in the employment context, in particular for the
purposes of the recruitment, the performance of the contract of employment, including discharge of obligations laid down by
law or by collective agreements, management, planning and organisation of work, equality and diversity in the workplace,health and safety at work, protection of employer's or customer's property and for the purposes of the exercise and enjoyment,on an individual or collective basis, of rights and benefits related to employment, and for the purpose of the termination of theemployment relationship.
1. 雇用の過程における労働者の個人データの取扱いと関係する権利及び自由の保護、とりわけ、求人、法律又は団体協約に定める義務の遂行を含む労働契約の履行、仕事の管理、企画及び編成、職場における平等と多様性、職場における健康と安全、労働者の財産又は顧客の財産の保護の目的、及び、個人ベース及び集団ベース
98

で、雇用と関連する権利及び利益の行使及び享受の目的、並びに、雇用関係の終了の目的のための取扱いと関係する権利及び自由の保護を確保するため、加盟国は、法律又は団体協約によって、より細目的な規定を定めることができる。
2. Those rules shall include suitable and specific measures to safeguard the data subject's human dignity, legitimate interestsand fundamental rights, with particular regard to the transparency of processing, the transfer of personal data within a groupof undertakings, or a group of enterprises engaged in a joint economic activity and monitoring systems at the work place.
2. それらの規定は、とりわけ、取扱いの透明性、企業グループ又は共同で経済活動に従事する企業グループ内
における個人データの移転、並びに、職場における監視システムに関し、データ主体の人間の尊厳、正当な利益及び基本的な権利を保護するための適切かつ個別の措置を含む。
3. Each Member State shall notify to the Commission those provisions of its law which it adopts pursuant to paragraph 1, by
25 May 2018 and, without delay, any subsequent amendment affecting them.
3. 各加盟国は、欧州委員会に対し、2018 年 5 月 25 日までに、第 1 項に従って採択した加盟国の国内法の条項を通知し、かつ、遅滞なく、それらの条項に影響を与えるその後の改正を通知する。
Article 89

Safeguards and derogations relating to processing for archiving purposes in the public interest,
scientific or historical research purposes or statistical purposes
第 89 条 公共の利益における保管の目的、科学調査若しくは歴史調査の目的又は統計の目的のための取扱
いと関連する保護措置及び特例
1. Processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, shallbe subject to appropriate safeguards, in accordance with this Regulation, for the rights and freedoms of the data subject. Those
safeguards shall ensure that technical and organisational measures are in place in particular in order to ensure respect for the
principle of data minimisation. Those measures may include pseudonymisation provided that those purposes can be fulfilledin that manner. Where those purposes can be fulfilled by further processing which does not permit or no longer permits theidentification of data subjects, those purposes shall be fulfilled in that manner.
1. 公共の利益における保管の目的、科学調査若しくは歴史調査の目的又は統計の目的のための取扱いは、本規則に従い、データ主体の権利及び自由のための適切な保護措置に服する。それらの保護措置は、とりわけ、データの最小化の原則に対する尊重を確保するため、技術的及び組織的な措置を設けることを確保する。それらの措置は、それらの目的がそのような態様で充足されうる限り、仮名化を含むことができる。データ主体の識別を許容しない又は許容することのない別の目的による取扱いによってそれらの目的が充足されうる場合、それらの目的は、その態様によって充足される。
2. Where personal data are processed for scientific or historical research purposes or statistical purposes, Union or Member
State law may provide for derogations from the rights referred to in Articles 15, 16, 18 and 21 subject to the conditions andsafeguards referred to in paragraph 1 of this Article in so far as such rights are likely to render impossible or seriously impair
the achievement of the specific purposes, and such derogations are necessary for the fulfilment of those purposes.
2. 個人データが科学調査若しくは歴史調査の目的又は統計の目的で取扱われる場合、EU 法又は加盟国の国内法は、そのような権利が、個別具体的な目的を達成できないようにしてしまうおそれがある場合、又は、その達成を深刻に阻害するおそれがある場合であり、かつ、そのような特例がそれらの目的を果たすために必要である場合に限り、本条第 1 項に規定する条件及び保護措置に従い、第 15 条、第 16 条、第 18 条及び第 21 条に規定する権利の特例を定めることができる。
3. Where personal data are processed for archiving purposes in the public interest, Union or Member State law may provide
for derogations from the rights referred to in Articles 15, 16, 18, 19, 20 and 21 subject to the conditions and safeguards referred
to in paragraph 1 of this Article in so far as such rights are likely to render impossible or seriously impair the achievement of99

the specific purposes, and such derogations are necessary for the fulfilment of those purposes.
3. 個人データが公共の利益における保管の目的のために取扱われる場合、EU 法又は加盟国の国内法は、そのような権利が、個別具体的な目的を達成できないようにしてしまうおそれがある場合、又は、その達成を深刻に阻害するおそれがある場合であり、かつ、そのような特例がそれらの目的を果たすために必要である場合に限り、本条第 1 項に規定する条件及び保護措置に従い、第 15 条、第 16 条、第 18 条、第 19 条、第 20 条及び第 21 条に規定する権利の特例を定めることができる。
4. Where processing referred to in paragraphs 2 and 3 serves at the same time another purpose, the derogations shall apply
only to processing for the purposes referred to in those paragraphs.
4. 第 2 項及び第 3 項に規定する取扱いが、同時に他の目的のためにも供される場合、その特例は、それらの項に規定する目的のための取扱いのみに適用される。
Article 90 Obligations of secrecy
第 90 条 守秘義務
1. Member States may adopt specific rules to set out the powers of the supervisory authorities laid down in points (e) and (f)of Article 58(1) in relation to controllers or processors that are subject, under Union or Member State law or rules establishedby national competent bodies, to an obligation of professional secrecy or other equivalent obligations of secrecy where this isnecessary and proportionate to reconcile the right of the protection of personal data with the obligation of secrecy. Those rules
shall apply only with regard to personal data which the controller or processor has received as a result of or has obtained in an
activity covered by that obligation of secrecy.
1. 加盟国は、個人データの保護の権利と守秘義務との調和を保つために必要かつ比例的である場合、EU 法若
しくは加盟国の国内法又は職務権限をもつ国内組織によって定められた規則に基づき、職務上の守秘義務又はそれに類する守秘義務に服する管理者又は処理者と関係する第 58 条第 1 項(e)及び(f)に規定する監督機関の権限を定める特別の法令を採択できる。それらの法令は、管理者又は処理者がその守秘義務の適用のある行為の結果として取得し、又は、その行為の中で得た個人データに関してのみ、適用される。
2. Each Member State shall notify to the Commission the rules adopted pursuant to paragraph 1, by 25 May 2018 and, without
delay, any subsequent amendment affecting them.
2. 各加盟国は、欧州委員会に対し、2018 年 5 月 25 日までに、第 1 項に従って採択した規定を通知し、かつ、遅滞なく、それらの規定に影響を与えるその後の改正を通知する。
Article 91 Existing data protection rules of churches and religious associations
第 91 条 教会及び宗教団体の既存のデータ保護規則
1. Where in a Member State, churches and religious associations or communities apply, at the time of entry into force of thisRegulation, comprehensive rules relating to the protection of natural persons with regard to processing, such rules may
continue to apply, provided that they are brought into line with this Regulation.
1. 加盟国内おいて、本規則が発効する時点で、教会及び宗教団体若しくは宗教上の集団が、取扱いに関する自然人の保護と関連する包括的な法令を適用している場合、そのような法令は、本規則に調和している限り、引き続き適用できる。
2. Churches and religious associations which apply comprehensive rules in accordance with paragraph 1 of this Article shallbe subject to the supervision of an independent supervisory authority, which may be specific, provided that it fulfils theconditions laid down in Chapter VI of this Regulation.
2. 本条の第 1 項に従って包括的な法令を適用する教会及び宗教団体は、独立の監督機関の監督に服する。それは、本規則の第 6 章に定める条件を満たす限り、特別のものとしうる。
100

CHAPTER X Delegated acts and implementing acts
第 10 章 委任される行為及び実装行為
Article 92 Exercise of the delegation
第 92 条 委任される行為の執行
1. The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this
Article.
1. 委任される行為を採択する権限は、本条に定める条件に従い、欧州委員会に対して与えられる。
2. The delegation of power referred to in Article 12(8) and Article 43(8) shall be conferred on the Commission for anindeterminate period of time from 24 May 2016.
2. 第 12 条第 8 項及び第 43 条第 8 項に規定する権限の委任は、2018 年 5 月 24 日から不定期間で、欧州委員会に対して与えられる。
3. The delegation of power referred to in Article 12(8) and Article 43(8) may be revoked at any time by the European
Parliament or by the Council. A decision of revocation shall put an end to the delegation of power specified in that decision. It
shall take effect the day following that of its publication in the Official Journal of the European Union or at a later date specified
therein. It shall not affect the validity of any delegated acts already in force.
3. 第 12 条第 8 項及び第 43 条第 8 項に規定する権限の委任は、欧州議会又は理事会によって、いつでも、取消されうる。取消しの決定は、その決定の中に示される権限の委任を終了させる。この決定は、EU 官報でそれが公示された日の翌日、又は、遅くともその決定の中で示される日に発効する。この決定は、既に発効している委任される行為の有効性を害さない。
4. As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to theCouncil.
4. 欧州委員会は、委任される行為の採択後、直ちに、欧州議会及び理事会に対し、同時に、そのことを通知する。
5. A delegated act adopted pursuant to Article 12(8) and Article 43(8) shall enter into force only if no objection has been
expressed by either the European Parliament or the Council within a period of three months of notification of that act to theEuropean Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council haveboth informed the Commission that they will not object. That period shall be extended by three months at the initiative of theEuropean Parliament or of the Council.
5. 第 12 条第 8 項及び第 43 条第 8 項に従って採択された委任される行為は、欧州議会及び理事会に対する通知の日から 3 か月以内に欧州議会又は理事会のいずれからも何らの異議も表明されなかった場合、又は、その期間が経過する前に、欧州議会及び理事会の両者から異議を述べない旨が欧州委員会に対して通知された場合においてのみ、発効する。この期間は、欧州議会又は理事会からの発意により、3 か月間延長される。
Article 93 Committee procedure
第 93 条 委員会の手続
1. The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation(EU) No 182/2011.
1. 欧州委員会は、委員会によって補佐される。この委員会は、規則(EU) No 182/2011 の意味における委員会で
101

ある。
2. Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
2. 本項への参照がある場合、規則(EU) No 182/2011 の第 5 条が適用される。
3. Where reference is made to this paragraph, Article 8 of Regulation (EU) No 182/2011, in conjunction with Article 5 thereof,
shall apply.
3. 本項への参照がある場合、規則(EU) No 182/2011 の第 8 条が同規則の第 5 条と共に適用される。

CHAPTER XI Final provisions
第 11 章 最終規定
Article 94 Repeal of Directive 95/46/EC
第 94 条 指令 95/46/EC の廃止
1. Directive 95/46/EC is repealed with effect from 25 May 2018.
1. 指令 95/46/EC は、2018 年 5 月 25 日から効力を生ずるものとして、廃止される。
2. References to the repealed Directive shall be construed as references to this Regulation. References to the Working Partyon the Protection of Individuals with regard to the Processing of Personal Data established by Article 29 of Directive 95/46/EC
shall be construed as references to the European Data Protection Board established by this Regulation.
2. 廃止される指令への参照は、本規則への参照として解釈される。指令 95/46/EC の第 29 条によって設置された個人データの取扱いと関連する個人の保護に関する作業部会に対する参照は、本規則によって設置される欧州データ保護会議への参照として解釈される。
Article 95 Relationship with Directive 2002/58/EC
第 95 条 指令 2002/58/EC との関係
This Regulation shall not impose additional obligations on natural or legal persons in relation to processing in connection withthe provision of publicly available electronic communications services in public communication networks in the Union in
relation to matters for which they are subject to specific obligations with the same objective set out in Directive 2002/58/EC.
本規則は、EU 域内にある公衆通信ネットワークにおける公衆が利用可能な電子通信サービスの提供と関連する取扱いと関係する自然人又は法人に対し、指令 2002/58/EC において同じ目的で定められ、特別な義務として服する事柄に加え、追加的な義務を課すものではない。
Article 96 Relationship with previously concluded Agreements
第 96 条 既に締結された協定との関係
International agreements involving the transfer of personal data to third countries or international organisations which wereconcluded by Member States prior to 24 May 2016, and which comply with Union law as applicable prior to that date, shallremain in force until amended, replaced or revoked.
第三国又は国際機関に対する個人データの移転を含む国際協定であって、2016 年 5 月 24 日より以前に加盟
国によって締結され、かつ、その日よりも前に適用可能な EU 法に適合するものは、それが改正され、置き換
えられ、又は、廃止されるまでの間、その有効性を維持する。
Article 97 Commission reports102

第 97 条 欧州委員会の報告書
1. By 25 May 2020 and every four years thereafter, the Commission shall submit a report on the evaluation and review of thisRegulation to the European Parliament and to the Council. The reports shall be made public.
1. 2020 年 5 月 25 日までに、その後は 4 年毎に、欧州委員会は、欧州議会及び理事会に対し、本規則の評価及び見直しに関する報告書を送付する。その報告書は、公表される。
2. In the context of the evaluations and reviews referred to in paragraph 1, the Commission shall examine, in particular, theapplication and functioning of:
2. 第 1 項に規定する評価及び見直しの過程において、欧州委員会は、とりわけ、以下の事柄の適用及び有効性を検討する：(a) Chapter V on the transfer of personal data to third countries or international organisations with particular regard to decisions adopted pursuant to Article 45(3) of this Regulation and decisions adopted on the basis of Article 25(6) of
Directive 95/46/EC;(a) 本規則の第 45 条第 3 項によって採択される決定及び指令 95/46/EC の第 25 条第 6 項に基づいて採択される決定と特に関連して、第三国又は国際機関に対する個人データの移転に関する第 5 章；(b) Chapter VII on cooperation and consistency.
(b) 協力及び一貫性に関する第 7 章。
3. For the purpose of paragraph 1, the Commission may request information from Member States and supervisory authorities.
3. 第 1 項目的のために、欧州委員会は、加盟国及び監督機関から情報提供を求めることができる。
4. In carrying out the evaluations and reviews referred to in paragraphs 1 and 2, the Commission shall take into account thepositions and findings of the European Parliament, of the Council, and of other relevant bodies or sources.
4. 第 1 項及び第 2 項に規定する評価及び見直しを行う際、欧州委員会は、欧州議会、理事会及びそれ以外の関連組織又は情報源からの意見書及び決議書を考慮に入れる。
5. The Commission shall, if necessary, submit appropriate proposals to amend this Regulation, in particular taking into accountof developments in information technology and in the light of the state of progress in the information society.
5. 欧州委員会は、必要があるときは、とりわけ、情報技術の発展を考慮に入れ、かつ、情報社会における進歩の状況に照らし、本規則を改正するための適切な提案書を送付する。
Article 98 Review of other Union legal acts on data protection
第 98 条 データ保護に関する EU の他の法的行為の見直し
The Commission shall, if appropriate, submit legislative proposals with a view to amending other Union legal acts on theprotection of personal data, in order to ensure uniform and consistent protection of natural persons with regard to processing.
This shall in particular concern the rules relating to the protection of natural persons with regard to processing by Union
institutions, bodies, offices and agencies and on the free movement of such data.
欧州委員会は、それが適切なときは、取扱いと関連する自然人の統一的で一貫性のある保護を確保するため、個人データの保護に関する他の EU の法的行為を改正するための立法の提案書を送付する。これは、EU の機関、組織、事務局及び部局による取扱いと関連する自然人の保護並びにそのデータの自由な移動に関する規則と特に関係するものである。
Article 99 Entry into force and application
103

第 99 条 発効及び適用
1. This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of theEuropean Union.
1. 本規則は、EU 官報上で公示された翌日から 20 日目の日に発効する。
2. It shall apply from 25 May 2018.
2. 本規則は、2018 年 5 月 25 日から適用される。
This Regulation shall be binding in its entirety and directly applicable in all Member States.
本規則は、その全部について拘束力があり、かつ、全ての加盟国において直接に適用可能である。
Done at Brussels, 27 April 2016.
2016 年 4 月 27 日にブリュッセルにおいて行われた。
For the European Parliament
欧州議会としてFor the Council
理事会としてThe President
議長 M. Schulz

The President
議長 J.A. Hennis-Plasschaert104