十分性認定におけるパブリックアクセスに関する我が国の説明
2019年6月15日
情報法制研究所 上席所員
神奈川大学経営学部 非常勤講師
加藤尚徳

Agenda◼ 背景◼ GDPRにおける第三国または国際機関に対する個人データの移転◼ Adequacy decisionとEDPBによるOpinion◼ （補足）十分性認定と通信の秘密

2

背景

3

背景
◼ GDPRの全面適用⚫ 2018年5月25日、GDPR（General Data Protection Regulation、
一般データ保護規則、以下GDPR）の全面適用がはじまった。

◼ 第三国移転の制限⚫ GDPRでは、第三国または国際機関に対する個人データの移転を行う場合に、一定の要件を課している。
⚫ その要件の一つに十分性の認定がある。
⚫ 当該第三国または国際機関がEUから見てデータ保護の水準が満たされるものであれば、十分性の認定を行うというもの。
⚫ 現在のところ、我が国はこの十分性の認定を受けていない。

◼ 欧州との対話⚫ 我が国と欧州との間で、十分性の認定に向けた対話が進められている。
⚫ 2018年9月5日、欧州委員会は十分性認定に向けたドラフトを公開した。
⚫ 我が国の法制度をデータ保護の観点から考察した評価が記されている。
⚫ 2019年1月23日、個人情報保護委員会告示第一号が告示された。

GDPRにおける第三国または国際機関に対する個人データの移転

5

GDPRにおける越境データ移転（1）◼ GDPRにおいては、第三国または国際機関に対する個人データの移転について、第5章として第44条から第50条まで関連する規定が設けられている。
◼ 一般原則（第44条）⚫ 第44条に第三国または国際機関に対する個人データの移転に関する一般原則が定められている。
⚫ 「現に取扱われている又は第三国又は国際機関への移転の後に取扱いを意図した個人データ移転は、その第三国又は国際機関から別の第三国又は国際機関への個人データの転送に関するものを含め、本規則の他の条項に従い、本章に定める要件が管理者及び処理者によって遵守される場合においてのみ、行われる。本章の全ての条項は、本規則によって保証される自然人保護のレベルが低下しないことを確保するために適用される。」⚫ 欧州域外への越境データ移転を行う場合には、規則が定める方法に従う必要があるということが定められている。

6

GDPRにおける越境データ移転（2）◼ 必要な要件⚫ 十分性に基づく移転（第45条）⚫ 適切な保護措置に従った移転（第46条）⚫ 拘束的企業準則（BCR、第47条）⚫ 特定の状況における例外（第49条）• (a)データ主体との同意に基づく場合• (b)契約の履行のため・契約締結前の措置実施のため• (c)法人との契約のため• (d)公共の利益• (e)訴訟手続き• (f)生命に関する利益保護のため• (g)加盟各国の国内法に従う場合

7

十分性の認定◼ 十分性に基づく移転（第45条）」⚫ 欧州委員会が当該第三国、当該第三国の地域または特定の部門、国際機関が十分なデータ保護の水準を確保していると決定した場合、当該対象への個人データの移転を個別の許諾無しに行うことができる（第1項）⚫ 十分性評価は以下の要素に基づいて行われる（第2項）• (a)当該対象における法制度• (b)執行権限を有する監督機関• (c)国際的な取決め⚫ 欧州委員会は十分な評価をしたのち、実装行為によって決定を行うことができ、この手続きは第93条第2項による（第3項）⚫ 欧州委員会は当該対象において、採択された決定が機能することに対して影響を及ぼしうる当該対象内の進展を監視する義務を負う（第4項）
等が定められている。

8

十分性に認定にあたっての欧州側からの意見◼ Opinion 28/2018 regarding the European
Commission Draft Implementing Decision on theadequate protection of personal data in Japan◼ COMMISSION IMPLEMENTING DECISION of
23.1.2019 pursuant to Regulation (EU) 2016/679 of
the European Parliament and of the Council on theadequate protection of personal data by Japan underthe Act on the Protection of Personal Information◼ Opinionにおいて「公的機関による日本に転送されたデータへのアクセスについて」◼ 公的機関、例えば警察（都道府県警）が欧州から移転をうけたデー
タにアクセスするような場合に、日本国はどのような対応をするのかという疑問。
9Adequacy decisionとEDPBによるOpinion

10

Draft adequacy decision◼ 9月5日、欧州委員会はDraft adequacy decision Commission Implementing Decision of XXX pursuant
to Regulation (EU) 2016/679 of the European
Parliament and of the Council on the adequate
protection of personal data by Japan（以下「十分性認定に向けたドラフト」）を公開した。
◼ 概要⚫ 1章では、イントロダクションとしてこの文書の背景が説明されている。
⚫ 2章では、データを取り扱う事業者に課せられる規制について、日本のデータ
保護のフレームワーク（2.1）、個人情報保護法の射程（2.2）、安全管理
措置・権利と義務（2.3）について触れられている。
⚫ 3章では、パーソナルデータの日本の行政機関による欧州からのデータ移転に関する分析がなされており、一般的な法的枠組み（3.1）、刑事法の執行を目的とした日本の行政機関によるアクセスと利用（3.2）、国家安全保障を目的とした日本の行政機関によるアクセスと利用（3.3）についてふれられている。
11

（一例）通信の秘密の取扱い◼ 十分性認定に向けたドラフトの3.1◼ （113）「重要なのは、憲法第21条第2項は、公共の利益に関する法律でのみ制限することが許可されており、それ以外のすべての通信手段の秘密を保証することだ。電気通信事業法第4条では、電気通信事
業者は通信の秘密を侵害してはならないとされており、法令レベルでこの機密保持要件を定めている。 これは、利用者の同意や、刑法上の刑事責任からの明示的免除のいずれかに基づく場合を除いて、通信情報の開示を禁止するものと解釈されている。」（私訳）◼ 憲法第21条第2項と、その趣旨を反映した電気通信事業法第4条における通信の秘密について解説◼ これらの規定が重要な役割を果たすことを強調

12

Annex2◼ 後日、十分性認定に向けたドラフトの公開後、付属文書（Annex）として、“signed representation”が公開された。
◼ 日本の法務大臣が、署名入りで欧州委員会宛に送った書状⚫ 2018年9月18日付け⚫ 法務大臣に加えて、内閣官房、警察庁、個人情報保護委員会、総務省、公安調査庁、防衛省の代表者が連名⚫ この書状は欧州委員会から日本政府への要請に応じて、日本国の政府による情報へのアクセスに関する法的枠組みの概要を示したものであることが冒頭に説明されている。
⚫ 個人情報保護委員会がこの文章に対する欧州側とのカウンターパートになる事も明記されている。
• 個人情報保護委員会が権限を有しない行政分野についても、欧州側からの求めに応じて、個人情報保護委員会が窓口になる。
• 個人情報保護法第41条（指導及び助言）に基づくものであると考えられる。

⚫ https://www.ppc.go.jp/enforcement/cooperation/cooper
ation/sougoninshou/13

Annex2

憲法及び授権された法律による制限◼ 概要（Annex2における言及）⚫ 憲法第 13 条の趣旨を踏まえ、最高裁判所は、1969 年 12 月 24 日(1965 年（あ）第 1187 号)と 2008 年４月 15 日(2007 年（あ）839 号)の二つの判決により、捜査機関による任意捜査に制限を課している。1969 年／2008 年の最高裁判例
については、いずれも、個人情報が写真撮影／ビデオ撮影により収集された事案に係るものであるが、この点に関する判決の考え方は、任意捜査一般に妥当するものである。したがって、これらは、任意捜査を通じた個人情報の収集についても、それぞれの事案における個別
具体的な背景を適切に考慮した上で適用し、遵守される必要がある。
⚫ これらの判決によれば、任意捜査の適法性は、次の三つの基準の履行状況による。つまり、• 「犯罪の嫌疑」（すなわち、罪が犯されたかどうか判断されなければならない）• 「捜査の必要性」（すなわち、要請が捜査の目的のために必要な範囲内にあるかどうか判断されなければならない）• 「方法の相当性」（すなわち、捜査の目的を達するために任意捜査が適切又は相当かどうか判断されなければならない）⚫ 任意捜査の適法性については、上記３基準を踏まえ、一般的に、社会通念に従って相当と言えるか否かという観点で判断される。
⚫ 捜査の必要性の要件は、刑事訴訟法 197 条から直接導かれるほか、「照会書」の使用に関して、警察庁から都道府県警察宛てに発出された通達においても確認されている。当該警察庁通達（1999 年 12 月 7 日）は、捜査の目的のために必要な場合にのみ捜査
関係事項照会を行う旨を含む、多くの手続上の制限を定めている。さらに、刑事訴訟法第197 条第１項は犯罪捜査に限定されており、したがって、過去に起きた犯罪に関する具体的な嫌疑がある場合にのみ適用される。逆に言うと違法行為が未だ行われていない個人情報の収集と利用に関係するものではない。

14

Annex2 特定の事業者に係る制限◼ 概要（Annex2における言及）⚫ 特定の分野では、他の法律による保護に基づき、追加的な制限がかかる。
• まず、個人情報を保有する捜査機関及び電気通信事業者は、憲法第 21 条第２項13により保障される通信の秘密を尊重する義務がある。さらに、電気通信事
業者は、電気通信事業法第４条に基づき、同様の義務がある。総務省が定める、憲法及び電気通信事業法に基づく「電気通信事業における個人情報保護に関するガイドライン」では、通信の秘密が問題となる場合は、電気通信事業者は、利用者の同意がある場合、刑法上の違法性阻却事由がある場合を除いては、通信の秘密に係る個人情報を第三者に提供してはならない。後者の刑法上の違法性阻却事由は、正当行為（刑法第 35 条）、正当防衛（刑法第 36 条）、緊急避難（刑法第 37 条）を意味する。刑法上の正当行為には、電気通信事業者が国の強制的な手段に従う場合のみが該当し、任意捜査の場合は該当しない。このため、捜査機関が任意捜査として行う捜査関係事項照会（刑事訴訟法第197 条第２項）を根拠として、捜査機関から通信の秘密に係る個人情報を求められても提供することは許されない。

15

Annex2 行個法◼ 概要（Annex2における言及）⚫ 一般論• 行個法第 48 条の下で、行政機関は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。個人への総合的な情報提供（例えば、行個法に基づく開示請求権・訂正請求権・利用停止請求権の行使について）の手段として、また、照会の窓口として、総務大臣は、行個法第 47 条第２項に基づき、各都道府県に情報公開・個人情報保護総合案内所を設置している。非居住者による問い合わせも可能である。一例として、平成 29 年度（平成 29 年４月から平成 30 年３月）には、同案内所は 5,186
件の照会等に対応した。
• 行個法第 12 条及び第 27 条は、保有個人情報の開示請求権と訂正請求権を個人に認めている。さらに、行個法第 36 条により、自己の保有個人情報が行政機関により適法に取得されたものでないとき、又は法に違反して保有若しくは利用されているときは、個人は当該保有個人情報の利用の停止又は消去を請求することができる。

⚫ 捜査関係事項照会との関係• しかし、犯罪捜査のために行政機関が個人情報を収集し（令状に基づく場合も、捜査関係事項照会による場合も）所持している場合、そのような情報は一般に、「訴訟に関する書類や押収物に記録されている個人情報」に該当する。このような個人情報は、刑事訴訟法
第 53 条の２によって行個法第４章の個人の権利の適用対象から除外されている。このような個人情報の取扱いや個人のアクセスや訂正の権利は、代わりに、刑事訴訟法と刑事確定訴訟記録法の特別な規則に従う。この除外は、関係者のプライバシー保護と捜査の機密保持、適切な刑事裁判の確保といった様々な要素により正当化される。行個法第２章の規定によるこのような情報の取扱いの原則は適用される。

16

日本国説明の主旨◼ 一般に、個人情報取扱事業者は、法令に基づき個人情報を第三者に提供することができる（個人情報保護法23条）。
⚫ これは正当な利益と個人情報の調和を図った規定である。
⚫ 例えば警察は、捜査事項照会の手続により、個人情報を提供するように個人情報取扱事業者に求めることができる（ただし、法的強制力はない）。

◼ これに対して、当該個人情報が通信の秘密に属する場合は、電気通信事業者が捜査事項照会に応じて当該情報を警察に提供することは、原則として通信の秘密を侵害して違法である。
⚫ 電気通信事業者が通信の秘密に属する個人情報を警察に提供するためには、
原則として裁判官の令状が必要である（電気通信ガイドライン15条及び解説）。
⚫ 類似：医師等、それぞれの事業法で定められる守秘義務の規定◼ 行政個人情報保護法第14条第５項と警察法第２条⚫ 法が定める個人情報の開示請求の枠内で判断
17

（補足）捜査関係事項照会に関する警察庁通達◼ 通達（1999年12月7日）⚫ 「捜査事項照会は、国民の権利意識の高まりを背景に、業務負担やプライバ
シー保護を理由として、回答がより慎重になされる傾向が顕著となっている。」⚫ 「照会は、具体的な捜査に関して記録に基づき事実関係の報告を求めるもの」⚫ 「捜査関係事項照会は、捜査主任官が個々の照会ごとに照会の必要性、照会内容等を十分検討し、警部以上の階級にある者が、責任を持って発出の是非を判断した上で所属長決裁を受けること」◼ 追補：弁護士会照会制度（弁護士法２３条の２）⚫ 捜査関係事項照会の限界を考える上でも当然参考になる？
⚫ 「市区町村長が漫然と弁護士会の照会に応じ、犯罪の種類、軽重を問わず、前科等のすべてを報告することは、公権力の違法な行使にあたる」（最高裁1981年4月14日）⚫ 捜査関係事項照会により企業による個人情報の提供もそれが漫然となされた場合には、不法行為法条の責任を免れない？
18

Opinionの性質◼ Opinion 28/2018 regarding the European Commission
Draft Implementing Decision on the adequate protectionof personal data in Japan 2018年12月5日◼ 欧州データ保護会議（EDPB）から付された意見書。
⚫ EDPBはGDPR第70条に基づいて、欧州委員会に対し、十分性の関する評価に関する意見を提供することが定められている。

◼ Opinion公開後の反応（Twitter）⚫ Paul Breitbarth @EuroPaulB 2018年12月6日• The @EU_EDPB apparently for now has rejected the Japan adequacy
decision. The (not yet published) opinion contains recommendations for
the EU Commission to make improvements and provides clarifications.

⚫ Graham Greenleaf @grahamgreenleaf 2018年12月18日• That's right Ralf - so far, the Commission has failed to demonstrate theadequacy of Japan's protections, and the EP does not endorse (or reject)
the draft adequacy Decision (nor does the EDPB). It is a poor start to
GDPR adequacy by the Commission. @EDPB @EP_Justice @EU_EDPS◼ 結果的に十分性の認定は行われたが、通常4年ごととされていた十分性の見直しが2年ごととされるなど、厳しい意見が述べられている

Opinionの概要◼ 概要⚫ 第1章：エグゼクティブサマリー⚫ 第2章：イントロダクション⚫ 第3章：商業的側面⚫ 第4章：日本に移転されたデータへの公的機関からのアクセス⚫ Opnionは2018年11月13日に欧州委員会が送付した最終版に基づいているとされている。

◼ 特記事項⚫ APEC-CBPRに基づいた第三国への再移転が補完的ルールで除外されたことを歓迎。

• 2018年12月19日の高度情報通信ネットワーク社会推進本部・官民データ活用推進戦略会議
決定で「データフリーフローを促進する国際的な枠組みを立ち上げる。」と触れられているが、これらとの関係については今後留意が必要。

⚫ 法執行（刑事法）分野を含めて、欧州との本質的同等性が否定されている。

• プライバシー権が日本国憲法上で文言として触れられておらず、判例法上の権利であること。
• 「個人データの取扱」が定義されていない。
• 「管理者」「処理者」概念がない。
• 保有個人データの例外が比例原則に適合していない恐れ。
• 同意の撤回について不明確。

⚫ 2年に1回、十分性の見直しを検討するように言及されている。
⚫ 個人情報保護委員会の執行（告示を上限とする法令の範囲内での委任）については疑問。
• 日本における拘束的性質と効果的な適用について、継続的に監視するように言及されている。

4.1.1.3 The “voluntary disclosure” procedure
based on enquiry sheet◼ 原文⚫ This non-compulsory form of cooperation allows publicauthorities to ask controllers (except telecommunications
carriers) to provide them with data they have. Noncompliance with the request cannot be enforced. It
remains unclear which authorities can use this type ofprocedure, but it appears limited to those investigating
crimes.

◼ 要約⚫ 非強制的な協力形態により、公的機関は、所有するデータを提供するように管理者(電気通信事業者を除く)に要請することができる。要求への非準拠を強制できない。どの当局がこの種の手続きを利用できるのかは不明だが、犯罪捜査に限られているようだ。

21

4.1.1.3.1 Conditions to issue “enquiry sheets”◼ 原文⚫ The EDPB acknowledges that the Japanese Supreme Court, by reference
to the Constitution, has framed limitations to the use “voluntary
disclosures”. It appears from the draft adequacy decision that concretely
a “voluntary disclosure” may only be asked by the competent authorities
through the issuance of an “enquiry sheet”. Sending such an “enquiry
sheet” is said to be permissible only as part of a criminal investigation,and thus to always presuppose a concrete suspicion of an alreadycommitted crime. Such investigations are generally carried out by thePrefectural Police, where the limitations pursuant to Article 2(2) of the
Police Law apply, which means it should be relevant for the Police
activities. However, the EDPB seeks further clarification as to theconcrete contours of the criteria allowing to issue an enquiry sheet (suchas case law illustrating the application of these criteria), and therelationship between the voluntary disclosure procedure and the seizureof data on the basis of a warrant. Indeed, it appears that even wheredata could not be obtained through the voluntary procedure, they could
still be obtained with a warrant if indispensable for the investigative
authorities.

◼ 要約⚫ EDPBは、日本の最高裁判所が、憲法に言及して、「任意開示」使用の制限を定めたことを認める。具体的には、「捜査関係事項照会」を発出することによってのみ、「任意開示」を求めることができることが明らかである。
⚫ EDPBは、照会票の発行を認める基準(例えば、これらの基準の適用を例示する判例法)の具体的な輪郭、任意開示手続と令状によるデータの押収との関係について、さらなる明確化を求めている。確かに、任意の手続きではデータが得られない場合でも、捜査当局にとって不可欠なものであれば、令状をもってデータが得られる可能性がある。
22

4.1.3.1.1 General limitations to the rights ofdata subjects under the APPIHAO◼ 原文⚫ Concerning available rights, the EDPB notes that, according to Annex
II of the draft Adequacy decision, some of the general rights
provided to data subjects in the context of data processed by
Administrative organs, remain available also in the context ofcriminal investigations. However, additional limitations with regard
to the collection and further handling of personal information in thiscontext also followfrom the APPIHAO itself.
⚫ These limitations, which also appear to apply both in the context ofdata collected on the basis of a warrant as well as on the basis of an
enquiry sheet in the context of voluntary disclosure, raise questions
concerning several aspects.

◼ 要約⚫ 利用可能な権利に関して、EDPBは、適正性決定草案の付属書IIによれば、行政機関によって処理されるデータに関連してデータ対象者に提供される一般的な権利の一部は、犯罪捜査の関連においても利用可能であることに留意する。しかしながら、この文脈における個
人情報の収集及び更なる取扱いに関する追加的な制限は、APPIHAOそのものからも生じる。
⚫ これらの制限は、令状に基づいて収集されたデータの文脈においても、また、任意開示の文
脈における照会シートに基づいても適用されるように思われ、いくつかの側面に関する問題を
提起する。
23

4.1.3.1.2 Additional limitations to the rights of the APPIHAO deriving fromthe Code of Criminal Procedure and the Prefectural Police ordinances◼ 原文⚫ The EDPB notes that although the APPIHAO seems to be applicable to allprocessing by administrative organs in Japan, some important limitations to therights of data subjects derive from specific legislations. In particular, Article 53 (2)of the Code of Criminal Procedure78 provides that “personal information recorded
in documents relating to trials and seized articles” are excluded from the scope of
application of the individual rights in Chapter IV of the APPIHAO. Concretely, the
EDPB therefore understands that in the context of criminal procedures, data
subjects do not benefit from the rights to information, access, rectification or
erasure for personal data recorded in documents relating to trials and seized
articles.
⚫ With regards to these limitations, the EDPB understands that they apply in thecontext of data collected on the basis of warrants, as well as in the context of datacollected under the voluntary disclosure through enquiry sheets (see below).
Indeed, the legal basis of the two procedures to access data (through a warrant
and through an enquiry sheet) being provided in the code of criminal procedure,
Article 53-2 of this code appears to apply to both types of collection. However, as
Article 53-2 refers to the articles “seized” it could be clarified whether thelimitations to the rights foreseen under this provision do apply also in the context
of voluntary disclosure.

◼ 要約⚫ EDPBは、APPIHAOにおけるデータ対象者の権利に対する重要な制限のいくつかは特定の法律に由来すると指摘している。特に、刑事訴訟法第53条第2項は、APPIHAOの個人の権利の適用範囲から「裁判及び押収物に関する書類に記録された個人情報」を除外していることから、具体的には、刑事訴訟において差し押さえられた個人データに関する情報、アクセス、訂正又は消去の権利は、対象者にとって利益とならないことを理解している。
⚫ これらの制限について、EDPBは、捜査関係事項照会による自主的な開示の下で収集されたデータの文脈において適用されると理解している。実際、刑事訴訟法53条2項に規定されている二つのデータアクセス手続の法的根拠は、両収集に適用されるものと思われる。しかしながら、第53条の2は、条文「押収した」に言及しているため、この規定で予見される権利の制限が、任意開示の文脈においても適用されるかどうかを明確にすることができる。
24

4.1.3.2.1 Administrative redress◼ 原文⚫ The EDPB notes that the administrative organs collecting data, such as
the Prefectural Police, are competent to deal with requests stemmingfrom individuals concerning their – limited – rights with regards to theirdata collected as part of criminal investigations (see above concerning
the rights available), which appear to include both the collection of data
based on a warrant and on enquiry sheets. Concretely, these rights seemto be limited to general principles, such as the necessity of data retention,in connection with the purpose (see Article 3.1 APPIHAO), the purpose
limitation principle (Article 4) or the accuracy of the data (Article 5),
while individual rights such as the right to information, access,rectification or erasure are excluded for personal data recorded in
documents relating to trials and seized articles79. Although these organs
cannot be considered as independent and therefore as providing
independent redress or oversight, the EDPB welcomes this avenue.
However, it stresses that complaints filed in this context remain limited
to very few rights of the data subjects given the limitations of rights
provided by the APPIHAO.

◼ 要約⚫ EDPBは、データを収集する都道府県警察などの行政機関は、犯罪捜査の一環として収集されたデータ(利用可能な権利に関する上記参照)に関して、個人からの限定的な権利に関する要請に対処する能力があると指摘しており、これには令状に基づくデータの収集と捜査関係事項照会の両方が含まれていると思われる。具体的には、これらの権利は、目的(第3.1条参照)、目的限定原則(第四条)、データの正確性(第五条)に関連するデータ保持の必要性等の一般原則に限定されていると考えられるが、裁判関係書類に記録された個人データについては、情報の利用、閲覧、訂正、消去等の個人の権利は除外されている。しかしながら、APPIHAOが提供する権利の制限を考慮すると、この関連で提出された苦情は、データ対象者のごく少数の権利に限定されたままであることを強調する。
25