仮日本語訳

Guidelines 05/2020 on consent under Regulation 2016/679
Version 1.1
Adopted on 4 May 2020
規則 2016/679 に基づく同意に関するガイドライン 05/2020

バージョン 1.1

2020 年 5 月 4 日に採択

2018年4月10日、第29条作業部会は、規則2016/679に基づく"Guidelines on consent
under Regulation"を採択し、The European Data Protection Board (欧州データ保護会議)
が第1回総会で承認した。本文書は、EDPBが、2020年5月13日に上記ガイドラインに一部修正を加えたガイドライン（"Guidelines 05/2020 on consent under Regulation 2016/679”）の英語版を個人情報保護委員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。
adopted1

適用

1

Version history
バージョン履歴
Version 1.1
Version 1.0

13 May 20202020年5月13日
4 May 20202020年5月4日

Formatting corrections
フォーマットの修正
Adoption of the Guidelines
ガイドラインの採択

adopted2

適用2

Table of contents
目次
0PREFACE ....................................................................................................................... 5
序文

1

Introduction ..................................................................................................................... 7
はじめに

2

CONSENT IN ARTICLE 4(11) OF THE GDPR ............................................................. 10
GDPR 第 4 条（11）における同意

3

ELEMENTS OF VALID CONSENT ............................................................................... 12
有効な同意の要素
3.1 Free / freely given ....................................................................................................... 13
自由 / 自由に与えられた
3.1.1 Imbalance of power ................................................................................................. 14
力の不均衡
3.1.2 Conditionality ........................................................................................................... 19
条件性
3.1.3 Granularity ............................................................................................................... 25
粒度
3.1.4 Detriment ................................................................................................................. 27
不利益
3.2 Specific ....................................................................................................................... 29
特定の3.3 Informed ...................................................................................................................... 33
説明を受けた3.3.1 Minimum content requirements for consent to be ‘informed’ .................................. 33
同意が「説明を受けた」うえでのものとなる最小限の内容の要件
3.3.2 How to provide information ...................................................................................... 35
情報を提供する在り方
3.4 Unambiguous indication of wishes ............................................................................. 40
不明瞭でない意思表示

４

OBTAINING EXPLICIT CONSENT .............................................................................. 46
明示的な同意の取得

adopted3

適用

3

ADDITIONAL CONDITIONS FOR OBTAINING VALID CONSENT ............................. 51

５

有効な同意を得るための追加的条件
5.1 Demonstrate consent.................................................................................................. 52
同意の証明
5.2 Withdrawal of consent ................................................................................................ 55
同意の撤回
6

INTERACTION BETWEEN CONSENT AND OTHER LAWFUL GROUNDS IN ARTICLE

6 GDPR ................................................................................................................................ 59
同意と GDPR 第 6 条における他の法的根拠との関係
7

SPECIFIC AREAS OF CONCERN IN THE GDPR....................................................... 60
GDPR における特定の問題領域
7.1 Children (Article 8) ...................................................................................................... 60
子ども（第 8 条）
7.1.1 Information society service ...................................................................................... 63
情報社会サービス
7.1.2 Offered directly to a child ......................................................................................... 64
子どもに対する直接の提供
7.1.3 Age ........................................................................................................................... 64
年齢7.1.4 Children’s consent and parental responsibility ........................................................ 66
子どもの同意と親の責任
7.2 Scientific research ...................................................................................................... 71
科学的研究
7.3 Data subject’s rights ................................................................................................... 76
データ主体の権利

8

CONSENT OBTAINED UNDER DIRECTIVE 95/46/EC ............................................... 77
指令 95/46/EC において取得された同意

adopted4

適用

4

The European Data Protection Board
欧州データ保護会議はHaving regard to Article 70 (1)(e) of the Regulation 2016/679/EU of the European Parliamentand of the Council of 27 April 2016 on the protection of natural persons with regard to theprocessing of personal data and on the free movement of such data, and repealing Directive
95/46/EC, (hereinafter“GDPR”),
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、指令 95/46/EC を廃止する欧州議会及び理事会の 2016 年 4 月 27 日の規則(EU)2016/679/EU（以下、「GDPR」という。）の第 70 条(1)(e)を考慮し、Having regard to the EEA Agreement and in particular to Annex XI and Protocol 37 thereof,as amended by the Decision of the EEA joint Committee No 154/2018 of 6 July 20181,
2018 年 7 月 6 日の EEA 共同委員会の決定 No 154/2018 により修正された EEA 協定 1、特にその付属書 XI 及びその議定書 37 を考慮しHaving regard to Article 12 and Article 22 of its Rules of Procedure,
その手続規則の第 12 条及び第 22 条を考慮して、Having regard to the Article 29 Working Party Guidelines on consent under Regulation
2016/679, WP259 rev.01,
規則 2016/679 に基づく同意に関する第 29 条作業部会ガイドライン、WP259 rev.01 を考慮して、

HAS ADOPTED THE FOLLOWING GUIDELINES
以下のガイドラインを採択した。

0

PREFACE序文

On 10 April 2018 the Article 29 Working Party adopted its Guidelines on consent under1

References to “Member States” made throughout this document should be understood as references to“EEA Member States”.
本ガイドラインにおいて、「加盟国」という表現は、「EEA 加盟国」と解してください。

adopted5

適用5Regulation 2016/679 (WP259.01), which were endorsed by the European Data Protection
Board (hereinafter “EDPB”) at its first Plenary meeting. This document is a slightly updated
version of those Guidelines.
Any reference to the WP29 Guidelines on consent (WP259 rev.01) should from now on beinterpreted as a reference to these guidelines.
2018 年 4 月 10 日、第 29 条作業部会は、規則 2016/679 に基づく同意に関するガイドライン（WP259.01）を採択し、欧州データ保護会議（以下「EDPB」）の第 1 回総会で承認された。本文
書は、これらのガイドラインを一部更新したものである。
WP29 同意に関するガイドライン（WP259 rev.01）への言及は、今後、本ガイドラインへの言及と解釈されるべきである。

The EDPB has noticed that there was a need for further clarifications, specifically regarding
two questions:1

The validity of consent provided by the data subject when interacting with so-called“cookie walls”;

2

The example 16 on scrolling and consent.

EDPB は、特に次の 2 つの質問に関して、さらなる明確化が必要であることに気づいた。
1

いわゆる「クッキーウォール」と相互作用する際にデータ主体によって与えられる同意の有効性について2

ウェブサイトにおけるスクロールと同意に関する事例 16

The paragraphs concerning these two issues have been revised and updated, while the restof the document was left unchanged, except for editorial changes. The revision concerns,
more specifically:••

Section on Conditionality (paragraphs 38 - 41).
Section on Unambiguous indication of wishes (paragraph 86)

これらの 2 つの課題に関するパラグラフは改訂され、更新されたが、編集上の変更を除き、本文書の残りの部分は変更されていない。今回の改訂は、より具体的には以下に関するものである。

••

条件付きのセクション（パラグラフ 38-41）
曖昧さを排除した意思表示のセクション（パラグラフ 86）

adopted

6

適用

6

1

1.

Introduction
はじめに

These Guidelines provide a thorough analysis of the notion of consent in Regulation
2016/679, the General Data Protection Regulation (hereafter: GDPR). The concept ofconsent as used in the Data Protection Directive (hereafter: Directive 95/46/EC) and in
the e-Privacy Directive to date, has evolved. The GDPR provides further clarification andspecification of the requirements for obtaining and demonstrating valid consent. These
Guidelines focus on these changes, providing practical guidance to ensure compliancewith the GDPR and building upon the Article 29 Working Party Opinion 15/2011 on
consent. The obligation is on controllers to innovate to find new solutions that operate
within the parameters of the law and better support the protection of personal data andthe interests of data subjects.
この ガイド ライン は 、規 則 2016/679 、す なわ ち、 一 般 デ ー タ保 護 規 則 （ General Data
Protection Regulation）（以下、GDPR とする）における同意の概念について詳細な分析を提供する。これまでデータ保護指令（Data Protection Directive：指令 95/46/EC）と e プライバシー指令（e-Privacy Directive）で使用されたような同意の概念は変化している。GDPR が有効な同意を取得しまたそれを示すための要件をいっそう明確化し特定化したためである。この
ガイドラインはそうした変化に焦点をあて、第 29 条作業部会同意に関する意見 15/2011 を土台にして、GDPR 遵守を確保するための実用的なガイダンスを提供する。法律の範囲内で運用され、個人データの保護とデータ主体の利益をより良く支援する新たな解決策を見いだし導入する義務が、管理者に課される。

2.

Consent remains one of six lawful bases to process personal data, as listed in Article 6of the GDPR. 2 When initiating activities that involve processing of personal data, acontroller must always take time to consider what would be the appropriate lawful groundfor the envisaged processing.
同意は、GDPR 第 6 条 2 に列挙されるように、依然として個人データを取扱うための 6 つの法的根拠の一つである。個人データの取扱いに関わる活動を開始する場合、管理者は常に、想定される取扱いにとって適切な法的根拠が何かを考えるために時間を割かなければならない。

Article 9 GDPR provides a list of possible exemptions to the ban on processing special categories of data. One of the
exemptions listed is the situation where the data subject provides explicit consent to the use of this data.
GDPR 第 9 条は、特別な種類のデータの取扱いの禁止に対して取りうる例外のリストを定めている。挙げ2られた例外の一つは、データ主体がそのデータ利用について明示的な同意を提供する状況である。

adopted

7

適用

7

3.

Generally, consent can only be an appropriate lawful basis if a data subject is offeredcontrol and is offered a genuine choice with regard to accepting or declining the terms
offered or declining them without detriment. When asking for consent, a controller has
the duty to assess whether it will meet all the requirements to obtain valid consent. If
obtained in full compliance with the GDPR, consent is a tool that gives data subjects
control over whether or not personal data concerning them will be processed. If not, thedata subject’s control becomes illusory and consent will be an invalid basis forprocessing, rendering the processing activity unlawful.3
一般的に、同意は、データ主体が自分の同意を制御でき、提示された条件を承諾するか拒否するかの純粋な選択肢が示され、又は不利益を被らずに拒否できる場合にのみ、適切な法的根拠となりうる。同意を求める際、管理者は、有効な同意を得るための要件の全てを満たしているかどうかを評価する義務を持つ。同意は、GDPR を完全に遵守して得る場合に、個人データが取扱われるかどうかについての管理権限をデータ主体に与えるツールとなる。そうでなければ、データ主体の支配権限は幻想であり、同意は取扱いのための有効な根拠とならず、取扱行為を違法にする 3。

4.

The existing Article 29 Working Party (WP29) Opinions on consent4 remain relevant,where consistent with the new legal framework, as the GDPR codifies existing WP29
guidance and general good practice and most of the key elements of consent remain
the same under the GDPR. Therefore, in this document, the EDPB expands upon andcompletes earlier Article 29 Working Party Opinions on specific topics that include
reference to consent under Directive 95/46/EC, rather than replacing them.
第 29 条作業部会のこれまでの同意に関する意見 4 は依然として重要である。GDPR は第 29条作業部会のこれまでのガイダンスと一般的な望ましい慣行を成文化したものであり、同意の主要な要素のほとんどが GDPR でも同じであるためである。したがって、本文書は、EDPB が、
指令 95/46/EC における同意を置き換えるのではなく参考とする部分もあり、特定のトピックス
に関するこれまでの第 29 条作業部会意見を拡張し補完するものである。

3 See also Article 29 Working Party Opinion 15/2011 on the definition of consent (WP 187), pp. 6-8, and/or Opinion

06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC (WP 217), pp.
9, 10, 13 and 14.
「第 29 条作業部会同意の定義に関する意見 15/2011」（WP187）、6～8 頁、及び/また「指令 95/46/EC 第 7条のもとでの管理者の正当な利益の概念に関する意見 06/2014」（WP217）、9 頁、10 頁、13 頁、14 頁参照。
4 Most notably, Opinion 15/2011 on the definition of consent (WP 187).

特に、「同意の定義に関する意見 15/2011」（WP187）

adopted

8

適用

8

5.

As the WP29 stated in its Opinion 15/2011 on the definition on consent, inviting people
to accept a data processing operation should be subject to rigorous requirements, since
it concerns the fundamental rights of data subjects and the controller wishes to engage
in a processing operation that would be unlawful without the data subject’s consent.5
The crucial role of consent is underlined by Articles 7 and 8 of the Charter ofFundamental Rights of the European Union. Furthermore, obtaining consent also does
not negate or in any way diminish the controller’s obligations to observe the principles
of processing enshrined in the GDPR, especially Article 5 of the GDPR with regard to
fairness, necessity and proportionality, as well as data quality. Even if the processing of
personal data is based on consent of the data subject, this would not legitimise collectionof data, which is not necessary in relation to a specified purpose of processing and be
fundamentally unfair.6
第 29 条作業部会が、同意の定義についての意見 15/2011 で述べたように、データの取扱業
務はデータ主体の基本的人権に関係し、管理者がデータ主体の同意なしでは違法となる取扱業務を行うことを望むのであるから、データの取扱業務を人々に承諾させる場合には、厳格な要件に従うべきである 5。同意の重要な役割は欧州連合基本権憲章第 7 条及び第 8 条からも明白である。さらに、同意を得ることは、GDPR に定める取扱いの原則、特に、公正性、必要性、比例性とデータの質に関する GDPR 第 5 条を遵守するための管理者の義務を、無効とし又は弱めるものではない。個人データの取扱いがデータ主体の同意に基づいているとしても、この同意は、取扱いのために特定された目的に必要でないデータの収集を正当化せず、これは根本的に不公正である 6。

6.

Meanwhile, the EDPB is aware of the review of the ePrivacy Directive (2002/58/EC).
The notion of consent in the draft ePrivacy Regulation remains linked to the notion ofconsent in the GDPR.7 Organisations are likely to need consent under the ePrivacy
instrument for most online marketing messages or marketing calls, and online tracking
methods including by the use of cookies or apps or other software. The EDPB has
already provided recommendations and guidance to the European legislator on the

5 Opinion 15/2011, page on the definition of consent (WP 187), p. 8

「同意の定義に関する意見 15/2011」（WP187）8 頁
6

See also Opinion 15/2011 on the definition of consent (WP 187), and Article 5 GDPR.
「同意の定義に関する意見 15/2011」（WP187）及び GDPR 第 5 条参照。

7

According to Article 9 of the proposed ePrivacy Regulation, the definition of and the conditions for consent provided
for in Articles 4(11) and Article 7 of the GDPR apply.
e プライバシー規則案第 9 条によれば、GDPR 第 4 条（11）及び第 7 条に定められている同意の定義と条件が適用される。

adopted9

適用9Proposal for a Regulation on ePrivacy.8
一方、EDPB は e プライバシー指令（2002/58/EC）の見直しを意識している。e プライバシー
規則案における同意の概念は、GDPR の同意の概念と関係しているためである 7。ほとんどのオンライン・マーケティングのメッセージ、マーケティングの通話、そしてクッキー又はアプリケーションの利用又は他のソフトウェアによるものを含むオンラインの追跡手法については、組
織は、e プライバシー制度のもとで同意を必要とする可能性が高い。EDPB は欧州の立法者に対し、e プライバシー規則案に関する勧告とガイダンスをすでに提出している 8。

7.

With regard to the existing e-Privacy Directive, the EDPB notes that references to therepealed Directive 95/46/EC shall be construed as references to the GDPR.9 This also
applies to references to consent in the current Directive 2002/58/EC, as the ePrivacy
Regulation will not (yet) be in force from 25 May 2018. According to Article 95 GDPR,
additional obligations in relation to processing in connection with the provision of publicly
available electronic communications services in public communication networks shallnot be imposed insofar the e-Privacy Directive imposes specific obligations with thesame objective. The EDPB notes that the requirements for consent under the GDPR are
not considered to be an ‘additional obligation’, but rather as preconditions for lawfulprocessing. Therefore, the GDPR conditions for obtaining valid consent are applicablein situations falling within the scope of the e-Privacy Directive.
既存の e プライバシー指令に関して、EDPB は、廃止される指令 95/46/EC への参照がGDPR への参照と解釈されることを付言する 9。2018 年 5 月 25 日から e プライバシー規則が実施されない場合、これは現在の指令 2002/58/EC における同意への参照にも適用される。
GDPR 第 95 条によれば、e プライバシー指令が同じ目的をもった特別の義務を課す限り、公衆通信ネットワークにおける公衆が利用可能な電子通信サービスの提供と関連する取扱いと関係する追加的な義務は、課されない。しかし EDPB は、GDPR のもとでの同意の要件は「追加的な義務」ではなく、むしろ適法な取扱いの前提条件であると考えられていることを付言する。したがって、有効な同意を得るための GDPR の条件は、e プライバシー指令の範囲内にある状況にも適用できる。

2

CONSENT IN ARTICLE 4(11) OF THE GDPR
GDPR第4条(11)における同意

8

See EDPB statement on ePrivacy – 25/05/2018 and EDPB statement 3/2019 on an ePrivacy regulation.
EDPB の ePrivacy に関する声明 – 25/05/2018 と ePrivacy 規制に関する EDPB の声明 3/2019 を参照。

9

See Article 94 GDPR.
GDPR 第 94 条を参照。

adopted

10

適用

10

8.

Article 4(11) of the GDPR defines consent as: “any freely given, specific, informed andunambiguous indication of the data subject's wishes by which he or she, by a statement
or by a clear affirmative action, signifies agreement to the processing of personal data
relating to him or her.”
GDPR 第 4 条（11）は以下のように同意を定義している。「自由に与えられ、特定され、説明を受けた上での、不明瞭ではない、データ主体の意思の表示を意味し、それによって、データ
主体が、その陳述又は明確な積極的行為により、自身に関連する個人データの取扱いの同意を表明するもの」

9.

The basic concept of consent remains similar to that under the Directive 95/46/EC andconsent is one of the lawful grounds on which personal data processing has to be based,pursuant to Article 6 of the GDPR.10 Besides the amended definition in Article 4(11), theGDPR provides additional guidance in Article 7 and in recitals 32, 33, 42, and 43 as to
how the controller must act to comply with the main elements of the consent requirement.
同意の基本的概念は指令 95/46/EC のそれに類似し、同意は、GDPR 第 6 条により、個人データの取扱いが基礎にしなければならない法的根拠の一つである 10。第 4 条（11）における修正された定義のほかに、GDPR は、管理者が同意要件の主要な要素にしたがってどのように行動しなければならないかに関して第 7 条及び前文第 32 項、第 33 項、第 42 項、第 43 項
において追加的なガイダンスを提供している。

10

Consent was defined in Directive 95/46/EC as “any freely given specific and informed indication of his wishes bywhich the data subject signifies his agreement to personal data relating to him being processed” which must be‘unambiguously given’ in order to make the processing of personal data legitimate (Article 7(a) of Directive 95/46/EC)).
See WP29 Opinion 15/2011 on the definition of consent (WP 187) for examples on the appropriateness of consent as
lawful basis. In this Opinion, WP29 has provided guidance to distinguish where consent is an appropriate lawful basis
from those where relying on the legitimate interest ground (perhaps with an opportunity to opt out) is sufficient or acontractual relation would be recommended. See also WP29 Opinion 06/2014, paragraph III.1.2, p. 14 and further.
Explicit consent is also one of the exemptions to the prohibition on the processing of special categories of data: See
Article 9 GDPR.
同意は、指令 95/46/EC において、「データ主体が自己に関する個人データが取扱われることへの同意を表明することによって、自由になされた特定のかつ十分に情報を提供された上での意思表示」（any freely given
specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating
to him being processed ）であ り、個 人デ ータ の取扱 いを 適法と する ため 「 不明 瞭で なく与 えら れ」（unambiguously given）なければならないと定義された（第 7 条（a））
。法的基礎としての同意の妥当性に関しては、たとえば、「同意の定義に関する WP29 の意見 15/2011」（WP 187）を参照。第 29 条作業部会は、その意見の中で、同意が適切な法的根拠である場合と、正当な利益の根拠（おそらくオプトアウトの機会をもつ）への依拠が十分であるか契約関係が勧められる場合とを区別する指針を示している。また第 29 条
作業部会の「意見 06/2014」14 頁パラグラフ III.1.2 も参照。なお明示的な同意も特別な種類のデータの取扱
いに関する禁止の例外の一つである。GDPR 第 9 条参照。

adopted

11

適用

11

10. Finally, the inclusion of specific provisions and recitals on the withdrawal of consent
confirms that consent should be a reversible decision and that there remains a degreeof control on the side of the data subject.
最後に、同意の撤回についての特定の規定及び前文を入れたことは、同意が撤回可能な判断であるべきであり、また、データ主体の側に一定程度の管理権限が残されていることを確認するものとなっている。

3

ELEMENTS OF VALID CONSENT
有効な同意の要素

11. Article 4(11) of the GDPR stipulates that consent of the data subject means any:
GDPR 第 4 条（11）はデータ主体の同意が以下の意味を有すると定めている。

•

freely given,
自由に与えられる•

specific,
特定されている•informed and説明を受けている、かつ•unambiguous indication of the data subject's wishes by which he or she, by astatement or by a clear affirmative action, signifies agreement to the processing of
personal data relating to him or her.
不明瞭ではない、データ主体の意思の表示を意味し、それによって、データ主体がその陳述又は明確な積極的行為により、自身に関連する個人データの取扱いの同意を表明
するもの

12. In the sections below, it is analysed to what extent the wording of Article 4(11) requires
controllers to change their consent requests/forms, in order to ensure compliance with
the GDPR.11

11

For guidance with regard to ongoing processing activities based on consent in Directive 95/46, see chapter 7 of thisdocument and recital 171 of the GDPR.

adopted

12

適用

12

以下の節では、GDPR の遵守を確保するために、第 4 条（11）の文言が管理者に対して、同意の要求/形式をどの程度変更するように求めているかを分析する 11。

3.1 Free / freely given12
自由 / 自由に与えられた12
13. The element “free” implies real choice and control for data subjects. As a general rule,
the GDPR prescribes that if the data subject has no real choice, feels compelled toconsent or will endure negative consequences if they do not consent, then consent will
not be valid.13 If consent is bundled up as a non-negotiable part of terms and conditions
it is presumed not to have been freely given. Accordingly, consent will not be considered
to be free if the data subject is unable to refuse or withdraw his or her consent without
detriment.14 The notion of imbalance between the controller and the data subject is also
taken into consideration by the GDPR.
「自由」の要素は、データ主体に真の選択と管理権限があることを意味している。一般的なルールとして、GDPR は、データ主体が真の選択をせず、同意を強制されたと感じる、又は、同意しなければネガティブな結果に直面すると感じるならば、同意は有効ではないと規定している 13。同意が契約条件の交渉できない部分としてまとめられている場合、それは自由に与えら
指令 95/46/EC における同意に基づいた継続的な取扱活動に関するガイダンスについては、本文書第 7 章及び GDPR 前文第 171 項参照。
12

In several opinions, the Article 29 Working Party has explored the limits of consent in situations where it cannot befreely given. This was notably the case in its Opinion 15/2011 on the definition of consent (WP 187), Working
Document on the processing of personal data relating to health in electronic health records (WP 131), Opinion 8/2001
on the processing of personal data in the employment context (WP48), and Second opinion 4/2009 on processing ofdata by the World Anti-Doping Agency (WADA) (International Standard for the Protection of Privacy and Personal
Information, on related provisions of the WADA Code and on other privacy issues in the context of the fight against
doping in sport by WADA and (national) anti-doping organizations (WP 162).
第 29 条作業部会は、そのいくつかの意見の中で、同意が自由に与えられない状況における同意の限界を調べてきた。それは特に、同意に関する意見 15/2011（WP187）、電子的な健康記録に関する個人データの取扱いに関するワーキング・ドキュメント（WP131）、雇用のコンテクストにおける個人データの取扱いに関する意見 8/2001（WP48）、世界アンチ・ドーピング機関（World Anti-Doping Agency：WADA）のデータの取扱いに関する第二次意見 4/2009（WP162）（WADA Code の関連規定、並びに WADA 及び（各国国内）アンチ・ドーピング組織によるスポーツのドーピングに対する闘いのコンテクストにおけるその他のプライ
バシー問題についてのプライバシーと個人情報の保護に関する国際標準）に当てはまる。
13

See Opinion 15/2011 on the definition of consent (WP187), p. 12.
同意の定義に関する意見 15/2011（WP187）12 頁参照。
14 See Recitals 42, 43 GDPR and WP29 Opinion 15/2011 on the definition of consent, adopted on 13 July 2011,(WP187), p. 12.
GDPR 前文第 42 項、第 43 項及び 2011 年 7 月 13 日採択の第 29 条作業部会による同意の定義に関する意見
15/2011（WP187）を参照。

adopted

13

適用

13

れたものとはみなされない。したがって、同意は、データ主体が不利益を被らずに同意を拒否
し又は撤回できない場合には、自由であるとはみなされない 14。管理者とデータ主体の間の不均衡の概念も、GDPR によって考慮されている。

14. When assessing whether consent is freely given, one should also take into account the
specific situation of tying consent into contracts or the provision of a service as describedin Article 7(4). Article 7(4) has been drafted in a non-exhaustive fashion by the words“inter alia”, meaning that there may be a range of other situations, which are caught bythis provision. In general terms, any element of inappropriate pressure or influence upon
the data subject (which may be manifested in many different ways) which prevents a
data subject from exercising their free will, shall render the consent invalid.
同意が自由に与えられているかどうかを評価する際には、第 7 条（4）に規定されているように、同意と契約やサービス提供を結びつけている特定の状況も考慮すべきである。第 7 条（4）は、この規定によって捕捉されるさまざまな他の状況があるかもしれないことを意味する「特に」という用語を用いることによって、非限定列挙の形で規定されている。一般的に言えば、データ主体の自由な意志の行使を妨げる（多くの異なった方法で示すことのできる）データ主体に対する不適切な圧力又は影響の要素は、同意を無効とするのである。

15. Example 1: A mobile app for photo editing asks its users to have their GPS localisation
activated for the use of its services. The app also tells its users it will use the collected
data for behavioural advertising purposes. Neither geolocalisation or online behaviouraladvertising are necessary for the provision of the photo editing service and go beyond
the delivery of the core service provided. Since users cannot use the app without
consenting to these purposes, the consent cannot be considered as being freely given.
事例 1： ある画像編集のモバイル・アプリが、そのサービス利用のためにユーザーに対して
GPS の位置情報を有効化するように求めている。そのアプリは行動ターゲティング広告のために、収集されたデータを利用するとユーザーに伝えてもいる。位置情報もオンラインの行動
ターゲティング広告も、画像編集サービスの提供に必要ではなく、提供される中心的なサービ
スの配信の範囲を超えている。ユーザーはこうした目的に対して同意しなければアプリを使用できないために、その同意は自由に与えられるとみなすことができない。

3.1.1 Imbalance of power
力の不均衡
adopted

14

適用

14

16. Recital 4315clearly indicates that it is unlikely that public authorities can rely on consent
for processing as whenever the controller is a public authority, there is often a clear
imbalance of power in the relationship between the controller and the data subject. It isalso clear in most cases that the data subject will have no realistic alternatives to
accepting the processing (terms) of this controller. The EDPB considers that there areother lawful bases that are, in principle, more appropriate to the activity of publicauthorities.16
前文第 43 項 15 は、管理者が「公的機関」である場合には常に、管理者とデータ主体の関係に明確な力の不均衡がしばしばあるため、公的機関は、取扱いについて、同意に依拠できそ
うにないことを明確に指摘している。またほとんどの場合、明らかに、データ主体は、こうした管理者の取扱い（条件）を承諾することに代わる現実的な代案を持たない。EDPB は、他の法的根拠があり、それらの根拠が、基本的に、公的機関の活動により適切であると考えている 16。

17. Without prejudice to these general considerations, the use of consent as a lawful basis
for data processing by public authorities is not totally excluded under the legal frameworkof the GDPR. The following examples show that the use of consent can be appropriate
under certain circumstances.
こうした一般的な考察に反することがなければ、公的機関によるデータの取扱いの法的根拠として同意を利用することは、GDPR の法的枠組において、全面的に排除されているわけではない。次の事例は、同意の利用が一定の状況では適切となりうることを示している。
18. Example 2: A local municipality is planning road maintenance works. As the road works
may disrupt traffic for a long time, the municipality offers its citizens the opportunity to
subscribe to an email list to receive updates on the progress of the works and on
expected delays. The municipality makes clear that there is no obligation to participate
and asks for consent to use email addresses for this (exclusive) purpose. Citizens that
do not consent will not miss out on any core service of the municipality or the exercise
15

Recital 43 GDPR states: “In order to ensure that consent is freely given, consent should not provide a valid legal
ground for the processing of personal data in a specific case where there is a clear imbalance between the data subject
and the controller, in particular where the controller is a public authority and it is therefore unlikely that consent was
freely given in all the circumstances of that specific situation. (…)”
GDPR 前文第 43 項は、「同意が自由に与えられることを確保するために、データ主体と管理者との間に明確な不均衡が存在する特別な場合、特に、管理者が公的機関である場合で、それゆえに、当該状況の全体からみて、同意が自由に与えられる可能性が低いようなときには、その同意は、個人データを取扱うための有効な法的根拠を提供するものとはならない。」と述べている。
16

See Article 6 GDPR, notably paragraphs (1c) and (1e).
GDPR 第 6 条、特に(1c)及び(1e)を参照

adopted

15

適用

15

of any right, so they are able to give or refuse their consent to this use of data freely. All
information on the road works will also be available on the municipality’s website.
事例 2：ある市町村が道路の補修工事を計画している。道路工事は長期に渡って交通の流れを乱すかもしれないため、その市町村は住民に対して、工事の進捗そして予想される工期の遅れについての最新情報を受けとれるメーリングリストの登録機会を提供する。その市町村は、参加する義務がないことを明らかにして、かつ、この（唯一の）目的のためにメールアドレスを利用することについて同意を求める。同意しないからといって、住民は、市町村のコア・サービ
ス又は他の権利行使の機会を失うわけではない。そのため住民はこのデータ利用に自由に同意し又は拒否することができる。道路工事に関する全ての情報は、その市町村のウェブサイ
トでも利用できるためである。
19. Example 3: An individual who owns land needs certain permits from both her local
municipality and from the provincial government under which the municipality resides.
Both public bodies require the same information for issuing their permit, but are notaccessing each other’s databases. Therefore, both ask for the same information and theland owner sends out her details to both public bodies. The municipality and theprovincial authority ask for her consent to merge the files, to avoid duplicate procedures
and correspondence. Both public bodies ensure that this is optional and that the permit
requests will still be processed separately if she decides not to consent to the merger ofher data. The land owner is able to give consent to the authorities for the purpose of
merging the files freely.
事例 3：土地を所有する個人は、町とそれが属する県の両方からいくつかの許可が必要である。両方の公的機関は許可の発行のために同じ情報を必要とするが、互いのデータベース間
はアクセスができない。このため、両方が同じ情報を求めるため、その土地所有者は両方の役
所に詳細な情報を送付する。町と県は、重複する手続と連絡を回避するため、書類の統合化に同意を求める。両方の役所は、それが選択的であり、許可申請は、データ統合化に同意しないとする場合でも、なお個別に手続が可能であることを確保する。したがってその土地所有
者は、書類の統合目的のために、自由に同意するかどうかを決めることができる。
20. Example 4: A public school asks students for consent to use their photographs in a
printed student magazine. Consent in these situations would be a genuine choice aslong as students will not be denied education or services and could refuse the use of
these photographs without any detriment.17

17

For the purposes of this example, a public school means a publically funded school or any educational facility that
qualifies as a public authority or body by national law.

adopted

16

適用

16

事例 4：公立学校が生徒用の印刷雑誌に生徒の写真を利用するため同意を求める。生徒が教育又はその他のサービスを拒否されず、また不利益を被ることなしに写真利用を拒否できる限り、この状況での同意は純粋な選択となる 17。

21. An imbalance of power also occurs in the employment context. 18 Given thedependency that results from the employer/employee relationship, it is unlikely that thedata subject is able to deny his/her employer consent to data processing without
experiencing the fear or real risk of detrimental effects as a result of a refusal. It is unlikelythat an employee would be able to respond freely to a request for consent from his/her
employer to, for example, activate monitoring systems such as camera observation in aworkplace, or to fill out assessment forms, without feeling any pressure toconsent.19Therefore, the EDPB deems it problematic for employers to process personal
data of current or future employees on the basis of consent as it is unlikely to be freely
given. For the majority of such data processing at work, the lawful basis cannot andshould not be the consent of the employees (Article 6(1)(a)) due to the nature of therelationship between employer and employee.20
力の不均衡は、雇用の文脈でも生じる 18。労使関係から生じる従属関係を前提にすれば、データ主体は、同意拒否の結果として不利益を受ける怖れ又はその現実的リスクを経験せずに、雇用者に対しデータの取扱いについての同意を拒否できる可能性は低い。たとえば、職場での監視カメラのようなモニタリング・システム導入について、雇用者からの同意要請に、従業員が自由に対応しまた何らかの同意圧力を感ぜずに、回答用紙のマス目を埋める可能性は低い 19。したがって、EDPB は、自由に同意できる可能性が少ないことから、同意を根拠として現

この事例では、公立学校は国内法により公的機関又は団体とされた公的財源の学校又は教育施設を意味している。
18

See also Article 88 GDPR, where the need for protection of the specific interests of employees is emphasised and apossibility for derogations in Member State law is created. See also Recital 155
従業員の特別な利益の保護の必要性が強調され、加盟国の国内法への委任の可能性が設けられているケースについては、GDPR 第 88 条も参照。前文第 155 項も参照。
19

See Opinion 15/2011 on the definition of consent (WP 187), pp. 12-14 , Opinion 8/2001 on the processing of
personal data in the employment context (WP 48), Chapter 10, Working document on the surveillance of electronic
communications in the workplace (WP 55), paragraph 4.2 and Opinion 2/2017 on data processing at work (WP 249),
paragraph 6.2.
第 29 条作業部会の同意の定義に関する意見 15/2011（WP187）12～14 頁、雇用の文脈における個人データの取扱いに関する意見 8/2001（WP48）第 10 章、職場における電子通信の監視に関するワーキング・ドキュメント（WP55）第 4.2 節、職場におけるデータの取扱いに関する意見 2/2017（WP249）第 6．2 節を参照。
20

See Opinion 2/2017 on data processing at work, page 6-7
職場におけるデータの取扱いに関する意見 2/2017（WP249）6～7 頁を参照。

adopted

17

適用

17

在又は将来の従業員の個人データを雇用者が取扱うことには問題があると考える。職場でのそうしたデータの取扱いの大多数について、従業員と雇用者の関係の性質から、従業員の同意を法的根拠とすることはできないし、またそうすべきではない（第 6 条（1a））20。
22. However this does not mean that employers can never rely on consent as a lawful basis
for processing. There may be situations when it is possible for the employer todemonstrate that consent actually is freely given. Given the imbalance of power between
an employer and its staff members, employees can only give free consent in exceptional
circumstances, when it will have no adverse consequences at all whether or not theygive consent.21
しかしこれは雇用者が取扱いの法的根拠として同意に依拠することが絶対できないということを意味しているわけではない。同意が実質上自由に与えられていることを証明することができる状況があるかもしれない。雇用者と従業員の間の力の不均衡があるとしても、同意を与えるかどうかにかかわらず、悪影響を全くもたらさない例外的な状況であれば、その状況に限って、従業員は自由に同意を与えることができる 21。

23. Example 5: A film crew is going to be filming in a certain part of an office. The employer
asks all the employees who sit in that area for their consent to be filmed, as they may
appear in the background of the video. Those who do not want to be filmed are notpenalised in any way but instead are given equivalent desks elsewhere in the building
for the duration of the filming.
事例 5：ある映画制作のクルーがオフィスの一部で映画を撮影する。オフィスをもつ雇用者は、従業員が映像の背景に写るかもしれないため、関係するエリアに座っている全ての従業員に撮影についての同意を求める。写されたくない者は罰則を受けず、また撮影の期間中、代わりに、建物のほかのどこかに同等のデスクが設けられる。

24. Imbalances of power are not limited to public authorities and employers, they may also
occur in other situations. As highlighted by the WP29 in several Opinions, consent can
only be valid if the data subject is able to exercise a real choice, and there is no risk ofdeception, intimidation, coercion or significant negative consequences (e.g. substantial
extra costs) if he/she does not consent. Consent will not be free in cases where there isany element of compulsion, pressure or inability to exercise free will.
21 See also Opinion 2/2017 on data processing at work (WP249), paragraph 6.2.

職場におけるデータの取扱いに関する意見 2/2017（WP249）第 6.2 節を参照。

adopted

18

適用

18

力の不均衡は、公的機関及び雇用者の例に限らず、他の状況でも起こりうる。第 29 条作業部
会がいくつかの意見の中で取り上げたように、同意は、データ主体が真の選択を行うことができ、同意しない場合にごまかし、脅迫、強制又は重大なネガティブな結果（たとえば、大きな追加費用）を受けるリスクがない場合にのみ、有効となりうる。同意は、強制、圧力又は自由な意
志の行使を不可能にする要素がある場合には、自由ではない。

3.1.2 Conditionality
条件性
25. To assess whether consent is freely given, Article 7(4) GDPR plays an important role.22
同意が自由に与えられるかどうかを評価するために、GDPR 第 7 条（4）は重要な役割を果たす 22。

26. Article 7(4) GDPR indicates that, inter alia, the situation of “bundling” consent withacceptance of terms or conditions, or “tying” the provision of a contract or a service to arequest for consent to process personal data that are not necessary for the performanceof that contract or service, is considered highly undesirable. If consent is given in thissituation, it is presumed to be not freely given (recital 43). Article 7(4) seeks to ensurethat the purpose of personal data processing is not disguised nor bundled with theprovision of a contract of a service for which these personal data are not necessary. In
doing so, the GDPR ensures that the processing of personal data for which consent issought cannot become directly or indirectly the counter-performance of a contract. The
two lawful bases for the lawful processing of personal data, i.e. consent and contract
22

Article 7(4) GDPR: “When assessing whether consent is freely given, utmost account shall be taken of whether,inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processingof personal data that is not necessary for the performance of that contract.” See also Recital 43 GDPR, that states:“[…] Consent is presumed not to be freely given if it does not allow separate consent to be given to different personal
data processing operations despite it being appropriate in the individual case, or if the performance of a contract,
including the provision of a service, is dependent on the consent, despite such consent not being necessary for such
performance.”
GDPR 第 7 条（4）：
「同意が自由に与えられたか否かを判断する場合、特に、サービスの提供を含め、当該契約の履行に必要のない個人データの取扱いの同意を契約の履行の条件としているか否かについて、最大限の考慮が払われなければならない。」また「個々の場合に個別に同意することが適切であるにもかかわらず、異なる個人データ取扱業務毎に分けて同意を与えることが認められない場合、又は、サービス契約の履行のためにそのような同意を必要としないのにもかかわらず、サービスの提供の場合を含め契約の履行が同意を必要としている場合、そのような同意は、自由に与えられたものではないと推定される。」と記載した GDPR 前文第 43 項も参照。

adopted

19

適用

19

cannot be merged and blurred.
GDPR 第 7 条（4）は、とりわけ、契約条件の承諾と同意を「抱き合わせる」状況、又は、契約の履行又はサービスの提供に必要とされない個人データを取扱うための同意と契約又はサービスの提供とを「結びつけること」が極めて望ましくないと考えられることを示している。もしこうした状況で同意が与えられる場合、それは自由に与えられたとはみなされない（前文第 43 項）。
第 7 条（4）は、個人データの取扱いの目的が偽装されず、また個人データを必要としない契約又はサービス提供と抱き合わせられないように確保することを求めている。そうしている場合、
GDPR は、同意が求められる個人データの取扱いが直接的又は間接的に契約に関する反対給付になりえないことを確保している。個人データの適法な取扱いの二つの法的根拠、すな
わち、同意と契約は融合させて曖昧にできるものでもない。

27. Compulsion to agree with the use of personal data additional to what is strictly necessary
limits data subject’s choices and stands in the way of free consent. As data protection
law is aiming at the protection of fundamental rights, an individual’s control over theirpersonal data is essential and there is a strong presumption that consent to theprocessing of personal data that is unnecessary, cannot be seen as a mandatory
consideration in exchange for the performance of a contract or the provision of a service.
厳密に必要な事柄以外に個人データの利用を承諾するように強制することも、データ主体の選択を制限し自由な同意を阻む。データ保護の法律が基本的な権利の保護を目指しているため、自分の個人データに対する個々人の管理は不可欠であり、そのため不必要な個人データの取扱いに対する同意は、契約の履行又はサービス提供の代わりに必要となる対価と考えることはできないという強い推定が存在している。

28. Hence, whenever a request for consent is tied to the performance of a contract by thecontroller, a data subject that does not wish to make his/her personal data available forprocessing by the controller runs the risk to be denied services they have requested.
したがって、同意の要求が管理者による契約の履行と結びつけられている場合には常に、管理者による取扱いのために自分の個人データを利用させたくないデータ主体は、要求したサービスを拒まれるリスクを負う。

29. To assess whether such a situation of bundling or tying occurs, it is important todetermine what the scope of the contract is and what data would be necessary for the
performance of that contract.
抱き合わせ又は結びつけの状況が起きているかどうかを評価するには、契約の範囲が何か、及び契約の履行に必要なデータは何かを判断することが重要である。
adopted

20

適用

20

30. According to Opinion 06/2014 of WP29, the term “necessary for the performance of acontract” needs to be interpreted strictly. The processing must be necessary to fulfil thecontract with each individual data subject. This may include, for example, processing theaddress of the data subject so that goods purchased online can be delivered, orprocessing credit card details in order to facilitate payment. In the employment context,
this ground may allow, for example, the processing of salary information and bankaccount details so that wages can be paid.23There needs to be a direct and objective
link between the processing of the data and the purpose of the execution of the contract.
第 29 条作業部会の意見 06/2014 によれば、「契約の履行に必要な」という文言は、厳密に解釈される必要がある。その取扱いは、個々のデータ主体との契約を実現するために必要でなければならない。それには、たとえば、オンラインで購入された商品が配達できるようにデータ
主体の住所を取扱うこと、又は支払いを迅速化するためにクレジット・カードの内容を取扱うことが含まれる。雇用関係の文脈では、この根拠により、たとえば、賃金を支払うことができるようにするため、給与の情報と銀行口座内容を取扱うことが容認できるだろう 23。データの取扱いと契約履行の目的の間には、直接的かつ客観的な関係があることが必要である。

31. If a controller seeks to process personal data that are in fact necessary for the
performance of a contract, then consent is not the appropriate lawful basis.24
管理者が契約の履行のために実際に必要な個人データの取扱いを求める場合、同意は適切な法的根拠ではない 24。

32. Article 7(4) is only relevant where the requested data are not necessary for the
performance of the contract, (including the provision of a service), and the performanceof that contract is made conditional on the obtaining of these data on the basis of consent.
Conversely, if processing is necessary to perform the contract (including to provide aservice), then Article 7(4) does not apply.
第 7 条（4）は、要求されたデータが契約の履行（サービスの提供を含む）に必要でなく、その契約の履行がこれらのデータを同意に基づいて得ることを条件としている場合にのみ関連す23

For more information and examples, see Opinion 06/2014 on the notion of legitimate interest of the data controller
under Article 7 of Directive 95/46/EC, adopted by WP29 on 9 April 2014, p. 16-17. (WP 217).
追加の情報と事例については、2014 年 4 月 9 日に第 29 条作業部会によって採択された「指令 95/46/EC のもとでの 管理者の正当な利益の概念に関する意見 06/2014」（WP217）16～17 頁を参照。
24

The appropriate lawful basis could then be Article 6(1)(b) (contract).
適切な法的根拠として第 6 条(1)(b)が考えられる。

adopted

21

適用

21

る。反対に、取扱いが契約の履行（サービスの提供を含む）に必要である場合には、第 7 条（4）は適用されない。
33. Example 6: A bank asks customers for consent to allow third parties to use their payment
details for direct marketing purposes. This processing activity is not necessary for the
performance of the contract with the customer and the delivery of ordinary bank accountservices. If the customer’s refusal to consent to this processing purpose would lead tothe denial of banking services, closure of the bank account, or, depending on the case,an increase of the fee, consent cannot be freely given.
事例 6：ある銀行が、第三者がダイレクトマーケティング目的のため、顧客の支払い内容を利用することを容認するよう顧客に同意を求める。その取扱行為は、顧客に対する契約履行にも通常の銀行口座サービスの提供にも必要でない。この取扱目的に対する顧客の同意拒否が銀行サービスの拒否、銀行口座の閉鎖、場合によっては、手数料の引き上げに繋がるならば、同意は自由に与えられることにはなりえない。

34. The choice of the legislator to highlight conditionality, amongst others, as a presumptionof a lack of freedom to consent, demonstrates that the occurrence of conditionality must
be carefully scrutinized. The term “utmost account” in Article 7(4) suggests that special
caution is needed from the controller when a contract (which could include the provisionof a service) has a request for consent to process personal data tied to it.
同意についての自由の欠如の推定として、とりわけ、条件性に立法者が焦点をあてる選択をしているということは、条件性の発生が慎重に調べられなければならないことを示している。第7 条（4）の「最大限考慮する」という文言は、契約（サービス提供を含めることができる）がそれに結びついた個人データを取扱うための同意を要求している場合には、管理者からの特別な警戒が必要であることを示唆している。

35. As the wording of Article 7(4) is not construed in an absolute manner, there might bevery limited space for cases where this conditionality would not render the consent
invalid. However, the word “presumed” in Recital 43 clearly indicates that such cases
will be highly exceptional.
第 7 条（4）の文言が絶対的な形で解釈されないため、この条件性が同意を無効としないケースが存在する極めて限定的な余地はあるかもしれない。しかし、前文第 43 項の「推定される」という用語はそうしたケースが極めて例外的であることを明確に示唆している。

adopted

22

適用

22

36. In any event, the burden of proof in Article 7(4) is on the controller.25 This specific rulereflects the general principle of accountability, which runs throughout the GDPR.
However, when Article 7(4) applies, it will be more difficult for the controller to prove thatconsent was given freely by the data subject.26
いずれにせよ、第 7 条（4）における挙証責任は管理者の側にある 25。この特別なルールは、GDPR を貫くアカウンタビリティの一般的原則を反映している。しかし、第 7 条（4）が適用されるとき、同意がデータ主体によって自由に与えられていることを管理者が証明することはいっそう難しくなる 26。

37. The controller could argue that his organisation offers data subjects genuine choice ifthey were able to choose between a service that includes consenting to the use of
personal data for additional purposes on the one hand, and an equivalent service offeredby the same controller that does not involve consenting to data use for additional
purposes on the other hand. As long as there is a possibility to have the contract
performed or the contracted service delivered by this controller without consenting to theother or additional data use in question, this means there is no longer a conditional
service. However, both services need to be genuinely equivalent.
一方において、追加目的のための個人データ利用についての同意を含んだサービスと、他方において、追加目的のためのデータ利用についての同意を伴わない同じ管理者により提供されている同等のサービスとの間で、データ主体が選択できる場合には、管理者は、その組織がデータ主体に純粋な選択肢を提供していると主張できるだろう。問題となる他の又は追加のサービスについて同意なしに、その管理者が契約を履行し又は契約されたサービスを

25

See also Article 7(1) GDPR, which states that the controller needs to demonstrate that the data subject’s agreement
was freely given.
管理者はデータ主体の承諾が自由に与えられていることを証明する必要があると記した GDPR 第 7 条（1）を参照。
26

To some extent, the introduction of this paragraph is a codification of existing WP29 guidance. As described inOpinion 15/2011, when a data subject is in a situation of dependence on the data controller – due to the nature of therelationship or to special circumstances – there may be a strong presumption that freedom to consent is limited in suchcontexts (e.g. in an employment relationship or if the collection of data is performed by a public authority). With Article
7(4) in force, it will be more difficult for the controller to prove that consent was given freely by the data subject. See:
Article 29 Working Party Opinion 15/2011 on the definition of consent (WP 187), pp. 12-17.
この段落の導入は一部、既存の第 29 条作業部会のガイダンスを参照している。意見 15/2011 で述べたように、データ主体が－関係性又は特別な状況のため－管理者に依存している状況にある場合、そうしたコンテクスト（たとえば、雇用関係やデータ収集が公的機関によって行われる場合）では同意の自由が制限されている強い推定となる可能性がある。第 7 条（4）の実施により、管理者が、データ主体によって同意が自由に与えられていることを証明するのはいっそう難しくなるだろう。同意の定義に関する意見 15/2011（WP187）、12～17 頁参照。

adopted

23

適用

23

提供する可能性がある限り、それはもはや条件付きサービスでないことを意味している。しかし、両方のサービスは純然として同等である必要がある。

38. The EDPB considers that consent cannot be considered as freely given if a controller
argues that a choice exists between its service that includes consenting to the use of
personal data for additional purposes on the one hand, and an equivalent service offered
by a different controller on the other hand. In such a case, the freedom of choice would
be made dependent on what other market players do and whether an individual data
subject would find the other controller’s services genuinely equivalent. It would
furthermore imply an obligation for controllers to monitor market developments to ensure
the continued validity of consent for their data processing activities, as a competitor may
alter its service at a later stage. Hence, using this argument means a consent relying onan alternative option offered by a third party fails to comply with the GDPR, meaning thata service provider cannot prevent data subjects from accessing a service on the basisthat they do not consent.
管理者が、一方において追加目的のために個人データの利用について同意を含めたサービ
スと、他方において異なった管理者の提供する同等のサービスの間に選択肢が存在すると主張する場合、EDPB は、同意が自由に与えられているとみなすことができないと考える。そうしたケースでは、選択の自由が、他の市場のプレイヤーがサービスを行っているか否か、また個々のデータ主体が他の管理者のサービスを純粋に同等と考えているか否かに左右されるだろう。さらにこのことは、競争者がそのサービスを後の段階で変更するかもしれないから、データの取扱活動に対する同意の継続的有効性を確保するために、そのデータ主体が市場の動向をモニターする義務を伴うことになるだろう。したがって、この主張を行うことは、第三者が提供する代替オプションに依存するこの同意が GDPR を遵守していないことを意味している。つまり、サービス提供者は、データ主体が同意しないという理由で、サービスへのアクセスを妨げることはできないということである。

39. In order for consent to be freely given, access to services and functionalities must not
be made conditional on the consent of a user to the storing of information, or gaining ofaccess to information already stored, in the terminal equipment of a user (so calledcookie walls)27

27

As clarified above, the GDPR conditions for obtaining valid consent are applicable in situations fallingwithin the scope of the e-Privacy Directive.

adopted

24

適用

24

同意が自由に与えられるためには、ユーザーの端末機器に情報を保存したり、すでに保存されている情報へのアクセスに対して、ユーザーが同意することを条件として、サービスや機能へのアクセスを行ってはならない（いわゆるクッキーウォール）27。

40. Example 6a: A website provider puts into place a script that will block content frombeing visible except for a request to accept cookies and the information about whichcookies are being set and for what purposes data will be processed. There is no
possibility to access the content without clicking on the “Accept cookies” button. Since
the data subject is not presented with a genuine choice, its consent is not freely given.
事例 6a：ウェブサイトプロバイダーは、クッキーの受け入れ要求と、クッキーの設定情報、及びデータが処理される目的に関する情報を除いて、コンテンツが表示されないようにブロックするスクリプトを設定した場合、「クッキーを受け入れる」ボタンをクリックしない限り、ユーザーはコンテンツにアクセスすることはできない。データ主体に真の選択肢が表示されていないため、当該同意は自由に与えられたことにはならない。
41. This does not constitute valid consent, as the provision of the service relies on the data
subject clicking the “Accept cookies” button. It is not presented with a genuine choice.
データ主体が「クッキーを受け入れる」ボタンをクリックすることに依存して、サービスが提供されるため、これは有効な同意とはならない。データ主体に対して真の選択肢が与えられていな
い。

3.1.3 Granularity
粒度
42. A service may involve multiple processing operations for more than one purpose. In suchcases, the data subjects should be free to choose which purpose they accept, rather
than having to consent to a bundle of processing purposes. In a given case, several
consents may be warranted to start offering a service, pursuant to the GDPR.
一つのサービスが複数の目的のためにいくつもの取扱業務を行うこともある。そうした場合、データ主体はひとまとまりの取扱いの目的に同意しなければならないのではなく、どの目的に対して承諾するのかを自由に選択できるようにすべきである。あるケースでは、GDPR にしたが上記で明らかにしたように、有効な同意を得るための GDPR の条件は、e-Privacy 指令の範囲内にある状況で適用される。

adopted

25

適用

25

って、一つのサービス提供を開始するために、複数の同意が必要とされるかもしれない。

43. Recital 43 clarifies that consent is presumed not to be freely given if theprocess/procedure for obtaining consent does not allow data subjects to give separate
consent for personal data processing operations respectively (e.g. only for someprocessing operations and not for others) despite it being appropriate in the individualcase. Recital 32 states, “Consent should cover all processing activities carried out forthe same purpose or purposes. When the processing has multiple purposes, consent
should be given for all of them”.
前文第 43 項は、同意を得るプロセス/手続がデータ主体に対して個人データの取扱業務について個々に同意すること（たとえば、ある取扱業務のためだけの同意であって、他の取扱業務の同意でない）を認めていない場合には、その同意が個々のケースについて適切であるとしても、同意が自由に与えられているとはみなされないことを明らかにしている。前文第 32 項
は、「同意は、同じ目的のために行われる全ての取扱活動を包摂しなければならない。取扱いが複数の目的をもつ場合、同意は、それらの全ての目的に対して与えられなければならない」と述べている。

44. If the controller has conflated several purposes for processing and has not attempted toseek separate consent for each purpose, there is a lack of freedom. This granularity isclosely related to the need of consent to be specific, as discussed in section 3.2 further
below. When data processing is done in pursuit of several purposes, the solution tocomply with the conditions for valid consent lies in granularity, i.e. the separation of these
purposes and obtaining consent for each purpose.
管理者が取扱いに関する複数の目的を一括し、各目的についてそれぞれ個別に同意を求めようとしないならば、自由の欠如となる。この粒度は、以下の第 3.2 節で取り上げるように、同意が特定されるべき必要性と密接に関係している。データの取扱いがいくつかの目的のために行われる場合、有効な同意という条件に従う解決策は、粒度、すなわち、これらの目的の区別、及び各目的について同意を得ることにある。
45. Example 7: Within the same consent request a retailer asks its customers for consent to
use their data to send them marketing by email and also to share their details with othercompanies within their group. This consent is not granular as there is no separate
consents for these two separate purposes, therefore the consent will not be valid. In thiscase, a specific consent should be collected to send the contact details to commercial
partners. Such specific consent will be deemed valid for each partner (see also section
adopted

26

適用

26

3.3.1), whose identity has been provided to the data subject at the time of the collectionof his or her consent, insofar as it is sent to them for the same purpose (in this example:
a marketing purpose).
事例 7：ある小売事業者が、同じ同意の要求の中で、顧客に e メールでマーケティング情報を送付し、またグループ内の他の企業とその内容を共有するため、その顧客に対して、データ利用に同意するように求める。この同意は、二つの個別の目的に対する個々の同意でないた
めに、細かい粒度となっておらず、したがってその同意は有効でない。この場合、商業的なパートナーに連絡先を送付するには、特定の同意が収集されるべきである。このような特定の同意は、各パートナーについて、そのパートナーの身元がデータ主体の同意の収集時に当該データ主体に対して提供され、同じ目的（この例では、マーケティング目的）のためにパートナーに送付される限り、有効とみなされる（第 3.3.1 節も参照）。

3.1.4 Detriment
不利益
46. The controller needs to demonstrate that it is possible to refuse or withdraw consent
without detriment (recital 42). For example, the controller needs to prove thatwithdrawing consent does not lead to any costs for the data subject and thus no clear
disadvantage for those withdrawing consent.
管理者は、不利益を受けずに同意を拒否又は撤回できることを証明する必要がある（前文第42 項）。たとえば、管理者は、同意の撤回がデータ主体の費用負担をもたらさず、その同意撤
回により明確な不利がないことを証明する必要がある。

47. Other examples of detriment are deception, intimidation, coercion or significant negative
consequences if a data subject does not consent. The controller should be able to provethat the data subject had a free or genuine choice about whether to consent and that it
was possible to withdraw consent without detriment.
他の不利益の事例は、もしデータ主体が同意しない場合における、ごまかし、脅迫、強制又は重大なネガティブな帰結である。管理者は、データ主体が同意するかどうかについて自由又は真の選択を有すること、また不利益を被らずに同意の撤回が可能であることを証明できるよ
うにすべきである。
48. If a controller is able to show that a service includes the possibility to withdraw consent
without any negative consequences e.g. without the performance of the service being
adopted

27

適用

27

downgraded to the detriment of the user, this may serve to show that the consent wasgiven freely. The GDPR does not preclude all incentives but the onus would be on thecontroller to demonstrate that consent was still freely given in all the circumstances.
管理者が、たとえばサービスの履行についてグレードを下げてユーザーの不利益となるといった不利益な結果なしに、同意撤回の可能性がサービスに含まれていると管理者が示すことができるならば、それは同意が自由に与えられていることを示すのに役立ちうる。GDPR はあら
ゆるインセンティブを排除していないが、同意が全ての状況においてなお自由に与えられたことを証明する義務は管理者に課されるだろう。

49. Example 8: When downloading a lifestyle mobile app, the app asks for consent to accessthe phone’s accelerometer. This is not necessary for the app to work, but it is useful forthe controller who wishes to learn more about the movements and activity levels of its
users. When the user later revokes that consent, she finds out that the app now only
works to a limited extent. This is an example of detriment as meant in Recital 42, whichmeans that consent was never validly obtained (and thus, the controller needs to delete
all personal data about users’ movements collected this way).
事例 8：あるライフスタイルのモバイル・アプリをダウンロードする際、そのアプリは電話の加速度計へのアクセスのために同意を求める。これはアプリが動作するのに必要ではないが、ユー
ザーの移動や活動のレベルをさらに学習しようとする管理者には役立つものである。ユーザーが後にその同意を撤回する場合、ユーザーはアプリが限定的にしか動作しないことに気づく。
これは前文第 42 項で意味する不利益の例であり、それは同意が有効に得られたものではな
かったこと（また、管理者がその方法により収集したユーザーの行動に関する個人データの全てを消去しなければならないこと）を意味する。

50. Example 9: A data subject subscribes to a fashion retailer’s newsletter with general
discounts. The retailer asks the data subject for consent to collect more data on shopping
preferences to tailor the offers to his or her preferences based on shopping history or aquestionnaire that is voluntary to fill out. When the data subject later revokes consent,
he or she will receive non-personalised fashion discounts again. This does not amountto detriment as only the permissible incentive was lost.
事例 9：データ主体が、一般的な割引で、あるファッションの小売業者のニュースレターに加入する。小売業者は、データ主体に対して、ショッピング履歴又は自発的に応じた質問状の回答をもとにして好みに合ったサービスを提供するため、より多くのショッピング傾向のデータを収集することに同意するよう求める。データ主体が後にその同意を撤回する場合、そのデータ主体はパーソナライズされていないファッション割引を受け取る。これは、認められたインセン
adopted

28

適用

28

ティブだけが失われるために、不利益とはならない。

51. Example 10: A fashion magazine offers readers access to buy new make-up products
before the official launch.
事例 10：あるファッション雑誌が、読者に対して公式発売の前に新しい化粧品を購入できる機会を提供する。
52. The products will shortly be made available for sale, but readers of this magazine areoffered an exclusive preview of these products. In order to enjoy this benefit, people
must give their postal address and agree to subscription on the mailing list of themagazine. The postal address is necessary for shipping and the mailing list is used forsending commercial offers for products such as cosmetics or t-shirts year round.
その化粧品はまもなく一般に販売されるが、その雑誌の読者にはその化粧品の独占的プレビ
ューのオファーを受ける。この恩恵を受けるためには、読者は郵便宛先住所を知らせ、その雑誌のメーリングリスト加入を承諾しなければならない。郵便宛先住所は配送に必要であり、メーリングリストは化粧品や T シャツのような商品の商業的オファーの送付に年間を通して使用される。
53. The company explains that the data on the mailing list will only be used for sending
merchandise and paper advertising by the magazine itself and is not to be shared withany other organisation.
雑誌社は、メーリングリストのデータが商品とその雑誌だけによる紙媒体の広告の送付にしか使用されず、他の組織に共用されないことを説明している。
54. In case the reader does not want to disclose their address for this reason, there is no
detriment, as the products will be available to them anyway.
読者がそうした理由のために住所の提供を望まない場合、商品がいずれにせよ利用できるよ
うになるため、不利益は生じない。

3.2 Specific
特定の55. Article 6(1)(a) confirms that the consent of the data subject must be given in relation to“one or more specific” purposes and that a data subject has a choice in relation to eachof them.28 The requirement that consent must be ‘specific’ aims to ensure a degree of28

Further guidance on the determination of ‘purposes’ can be found in Opinion 3/2013 on purpose limitation (WP
203).

adopted

29

適用

29

user control and transparency for the data subject. This requirement has not beenchanged by the GDPR and remains closely linked to the requirement of 'informed'
consent. At the same time, it must be interpreted in line with the requirement for'granularity' to obtain 'free' consent.29 In sum, to comply with the element of 'specific' thecontroller must apply:
第 6 条（1）（a）は、データ主体の同意が「一つ又は複数の特定の」目的に関係して与えられなければならず、またデータ主体はそれら個々に関して自由に選べることを、確認している 28。
同意が「特定の」ものでなければならないという要件は、データ主体に対してユーザーの管理
権限と透明性を確保することを目的とする。この要件は GDPR により変更されたものではなく、
これまで同様に「説明を受けた」同意の要件と密接に関係している。同時に、それは「自由な」同意を得るための「粒度」の要件に沿って解釈されなければならない 29。要するに、「特定」の要素に従うためには、管理者は以下を適用しなければならない。

i.

Purpose specification as a safeguard against function creep,
機能の隠れた拡張（function creep）に対する保護措置としての目的の詳述

ii. Granularity in consent requests, and
同意要求についての粒度、またiii. Clear separation of information related to obtaining consent for data processing
activities from information about other matters.
データ取扱活動についての同意取得に関係した情報を、他の事案についての情報から、明確に分離すること
56. Ad. (i): Pursuant to Article 5(1)(b) GDPR, obtaining valid consent is always preceded by
the determination of a specific, explicit and legitimate purpose for the intended
processing activity.30 The need for specific consent in combination with the notion of「目的」の判断に関する追加のガイダンスについては、「目的制限に関する意見 3/2013」（WP203）において参照できる。
29

Recital 43 GDPR states that separate consent for different processing operations will be needed wherever
appropriate.
Granular consent options should be provided to allow data subjects to consent separately to separate purposes.
GDPR 前文第 43 項は、異なった取扱業務のための個別の同意が、適切な場合に、求められること。
粒度の細かい同意の選択肢は、データ主体が個別の目的に対して別々に同意できるように提供されるべきであることを述べている。
30

See WP 29 Opinion 3/2013 on purpose limitation (WP 203), p. 16, : “For these reasons, a purpose that is vague or
general, such as for instance 'improving users' experience', 'marketing purposes', 'IT-security purposes' or 'future
research' will - without more detail - usually not meet the criteria of being ‘specific’.”「目的制限に関する意見 3/2013」（WP203）、6 頁を参照。
「これらの理由から、たとえば、『ユーザーエクス

ペリエンスの改善』、『IT セキュリティの目的』又は『将来の研究』のような漠然とした若しくは総花的な

adopted

30

適用

30

purpose limitation in Article 5(1)(b) functions as a safeguard against the gradualwidening or blurring of purposes for which data is processed, after a data subject has
agreed to the initial collection of the data. This phenomenon, also known as function
creep, is a risk for data subjects, as it may result in unanticipated use of personal databy the controller or by third parties and in loss of data subject control.
補足（i）：GDPR 第 5 条（1）（b）にしたがい、有効な同意を得ることは、意図した取扱行為についての特定の、明示的で適法な目的の決定が常に先立つ 30。第 5 条（1）（b）における目的の限定の概念と組み合わせた特定的な同意の必要性は、データ主体がデータの最初の収集に同意した後、データが取扱われる目的の漸次的拡大又は曖昧化に対する保護措置として機能する。この現象、すなわち、機能の隠れた拡張（function creep）とよばれる現象は、管理者又は第三者による個人データの予測されない利用やデータ主体の管理の喪失に繋がるかもしれないために、データ主体にとってリスクとなる。

57. If the controller is relying on Article 6(1)(a), data subjects must always give consent fora specific processing purpose.31 In line with the concept of purpose limitation, Article
5(1)(b) and recital 32, consent may cover different operations, as long as these
operations serve the same purpose. It goes without saying that specific consent can only
be obtained when data subjects are specifically informed about the intended purposesof data use concerning them.
管理者が第 6 条（1）（a）に依拠する場合、データ主体は常に特定の取扱目的に対して同意を与えるものとしなければならない 31。第 5 条（1）（b）及び前文第 32 項の「目的の限定」の概念に沿って、業務が同じ目的のためである限り、同意は異なった業務をもカバーしうる。言うまでもなく、特定の同意は、データ主体が自らに関するデータ利用の意図された目的について
明確に情報を与えられたときにのみ、得られるものである。
58. Notwithstanding the provisions on compatibility of purposes, consent must be specific to
the purpose. Data subjects will give their consent with the understanding that they arein control and their data will only be processed for those specified purposes. If acontroller processes data based on consent and wishes to process the data for anotherpurpose, too, that controller needs to seek additional consent for this other purpose
unless there is another lawful basis, which better reflects the situation.

目的は、－さらに詳細化されないならば－『特定の』という基準を、通常満たしていない」。
31 This is consistent with WP29 Opinion 15/2011 on the definition of consent (WP 187), for example on p. 17.

これは、第 29 条作業部会の「同意の定義に関する意見 15/2011」（WP187）の、たとえば、17 頁と整合している。

adopted

31

適用

31

目的の両立性に関する規定にかかわらず、同意は目的に対して特定のものでなければならない。データ主体は、それが管理され、そのデータが特定の目的のためにのみ取扱われるとの理解で、同意を与える。管理者が同意に基づいた取扱いを行いまた別の目的のためにそのデータの取扱いを望む場合、管理者は、その状況をより上手く反映する他の法的根拠がない
限り、その別の目的のために追加の同意を求める必要がある。
59. Example 11: A cable TV network collects subscribers’ personal data, based on theirconsent, to present them with personal suggestions for new movies they might beinterested in based on their viewing habits. After a while, the TV network decides it would
like to enable third parties to send (or display) targeted advertising on the basis of thesubscriber’s viewing habits. Given this new purpose, new consent is needed.
事例 11：あるケーブル TV ネットワークが、加入者に対して、視聴習慣に基づいて興味を持つかもしれない新作映画を個人に向けて提案するため、同意に基づいて、加入者の個人データを収集する。しばらくして、その CATV 事業者は、第三者が加入者の視聴習慣に依拠したターゲット広告を送付できるようにすることについて決定を行う。この場合、この新しい目的には
新たな同意が必要となる。

60. Ad. (ii): Consent mechanisms must not only be granular to meet the requirement of 'free',but also to meet the element of 'specific'. This means, a controller that seeks consent forvarious different purposes should provide a separate opt-in for each purpose, to allow
users to give specific consent for specific purposes.
補足（ⅱ）：同意のメカニズムは、「自由」の要件を満たすために粒度が細かくなっているだけ
でなく、「特定の」という要素も満たさなければならない。これは、様々に異なった目的のために同意を求める管理者が、特定の目的に対して特定の同意をユーザーが与えることができる
ように、各目的について個別のオプトインを提供すべきであることを意味する。
61. Ad. (iii): Lastly, controllers should provide specific information with each separate
consent request about the data that are processed for each purpose, in order to makedata subjects aware of the impact of the different choices they have. Thus, data subjects
are enabled to give specific consent. This issue overlaps with the requirement that
controllers must provide clear information, as discussed in paragraph 3.3. below.
補足（ⅲ）：最後に、管理者は、データ主体に対してその異なった選択の影響について気付かせるため、各目的に対して取扱われるデータについての個別の同意要求に関する特定の情報を提供すべきである。これによって、データ主体は特定的な同意を与えることができる。この問題は、以下の第 3.3 節で議論される、管理者が明確な情報を提供しなければならないといadopted

32

適用

32

う要件と重なっている。

3.3 Informed
説明を受けた62. The GDPR reinforces the requirement that consent must be informed. Based on Article
5 of the GDPR, the requirement for transparency is one of the fundamental principles,
closely related to the principles of fairness and lawfulness. Providing information to data
subjects prior to obtaining their consent is essential in order to enable them to makeinformed decisions, understand what they are agreeing to, and for example exercise
their right to withdraw their consent. If the controller does not provide accessible
information, user control becomes illusory and consent will be an invalid basis forprocessing.
GDPR は、同意が説明を受けた上でのものでなければならないとする要件を強化している。
透明性の要件は、GDPR 第 5 条に基づき、基本的原則の一つであり、公正性及び適法性の原則と密接に関連する。同意の取得に先立ってデータ主体に情報を提供することは、データ主体による、情報に基づく意思決定を可能とし、何について承諾しているかを理解できるようにし、また、たとえば、同意を撤回する権利を行使できるようにするために、不可欠である。管理者がアクセス可能な情報を提供しないならば、ユーザーの管理権限は幻想であり、同意は取扱いの有効な基礎とはならない。

63. The consequence of not complying with the requirements for informed consent is thatconsent will be invalid and the controller may be in breach of Article 6 of the GDPR.
説明を受けた上での同意の要件に従わない帰結は、同意が無効となり、また管理者が GDPR
第 6 条違反となりうることである。

3.3.1 Minimum content requirements for consent to be ‘informed’
同意が「説明を受けた」うえでのものとなる最小限の要件
64. For consent to be informed, it is necessary to inform the data subject of certain elementsthat are crucial to make a choice. Therefore, the EDPB is of the opinion that at least thefollowing information is required for obtaining valid consent:
同意が説明を受けたうえでのものとなるためには、データ主体に対して選択を行うのに重要な
いくつかの要素についての情報を提供する必要がある。それゆえ、EDPB は、少なくとも、以下の情報が有効な同意を得るために必要であると考えている。
adopted

33

適用

33

i.

the controller’s identity, 32
管理者の身元 32ii. the purpose of each of the processing operations for which consent issought,33
同意が求められるそれぞれの取扱業務の目的 33

iii. what (type of) data will be collected and used, 34
収集され利用されるデータ（そのタイプ）34

iv. the existence of the right to withdraw consent,35
同意を撤回する権利の存在 35v.

information about the use of the data for automated decision-making inaccordance with Article 22 (2)(c)36 where relevant, and関連する場合、第 22 条（2）（c）に従い自動化された意思決定のためのデータ利用についての情報 36、及びvi. on the possible risks of data transfers due to absence of an adequacy decisionand of appropriate safeguards as described in Article 46.37
十分性認定及び第 46 条で述べられる適切な保護措置がないことによるデータ移転の起こりうるリスクについて 37

65. With regard to item (i) and (iii), the EDPB notes that in a case where the consent sought
is to be relied upon by multiple (joint) controllers or if the data is to be transferred to or
32 See also Recital 42 GDPR: “ […]For consent to be informed, the data subject should be aware at least of the identityof the controller and the purposes of the processing for which the personal data are intended.[…].”
GDPR 前文第 42 項の「通知される同意に関し、そのデータ主体は、少なくとも、管理者の身元、及び、その個人データについて予定されている取扱いの目的を認識していなければならない」も参照
33

Again, see Recital 42 GDPR
GDPR 前文第 42 項参照
34 See also WP29 Opinion 15/2011 on the definition of consent (WP 187) pp.19-20

第 29 条作業部会の「同意の定義に関する意見 15/2011」（WP187）19 から 20 頁を参照。
35

See Article 7(3) GDPR
GDPR 第 7 条（3）36

See also WP29 Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation
2016/679 (WP251), paragraph IV.B, p. 20 onwards.
第 29 条作業部会「規則 2016/679 の目的のための自動化された個人に対する意思決定とプロファイリング
に関するガイドライン」（WP251）、パラグラフ IV.B.20 頁も参照。
37

Pursuant to Article 49 (1)(a), specific information is required about the absence of safeguards described in Article
46, when explicit consent is sought. See also WP29 Opinion 15/2011 on the definition of consent (WP 187)p. 19
第 49 条（1）に従い、特定の情報は、明示的な同意が求められる場合、第 46 条に述べる保護措置がないことについて必要とされる。第 29 条作業部会の「同意の定義に関する意見 15/2011」（WP187）19 頁。

adopted

34

適用

34

processed by other controllers who wish to rely on the original consent, theseorganisations should all be named. Processors do not need to be named as part of theconsent requirements, although to comply with Articles 13 and 14 of the GDPR,
controllers will need to provide a full list of recipients or categories of recipients including
processors. To conclude, the EDPB notes that depending on the circumstances andcontext of a case, more information may be needed to allow the data subject to genuinely
understand the processing operations at hand.
事項（i）と（iii）に関して、EDPB は、求められる同意が複数の（共同）管理者によって依拠されるものである場合、又はデータがオリジナルの同意に依拠することを望む他の管理者に移転され又は取扱われるものである場合、それらの組織の全ての名前が明示されるべきであることを注記しておく。GDPR 第 13 条及び第 14 条を遵守するため、管理者が処理者を含む取得
者又は取得者の類型の全てのリストを提出する必要があるとしても、処理者は同意要件の一部として名前を明示する必要はない。結論として、EDPB は、ケースの状況とコンテクストによっては、データ主体が対象となる取扱業務を真に理解できるようにするため、より多くの情報が必要とされるかもしれないことを述べておく。

3.3.2 How to provide information
情報を提供する在り方
66. The GDPR does not prescribe the form or shape in which information must be provided
in order to fulfil the requirement of informed consent. This means valid information may
be presented in various ways, such as written or oral statements, or audio or video
messages. However, the GDPR puts several requirements for informed consent in place,
predominantly in Article 7(2) and Recital 32. This leads to a higher standard for the clarity
and accessibility of the information.
GDPR は、説明を受けた上での同意という要件を満たすためにどのような情報が提供されなければならないかの書式又は形式を規定していない。これは、書面若しくは口頭による宣言、
又は音声若しくは動画メッセージのように様々な形で、有効な情報が提供できることを意味している。しかし、GDPR は、特に、第 7 条（2）と前文 32 において、説明を受けた同意のいくつかの要件を述べている。これは情報の明解さとアクセス可能性についてのいっそう高い基準につながっている。
67. When seeking consent, controllers should ensure that they use clear and plain language
in all cases. This means a message should be easily understandable for the average
person and not only for lawyers. Controllers cannot use long privacy policies that are
adopted

35

適用

35

difficult to understand or statements full of legal jargon. Consent must be clear anddistinguishable from other matters and provided in an intelligible and easily accessible
form. This requirement essentially means that information relevant for making informed
decisions on whether or not to consent may not be hidden in general terms andconditions.38
同意を求める際、管理者は、どのような場合でも、それらが明確かつ平易な用語を用いることを確保すべきである。これは、メッセージが法律家だけでなく標準的な人にも容易に理解できるようにすべきことを意味している。管理者は、理解が困難な長文のプライバシー・ポリシーや法律の専門用語の多い説明を使用することができない。同意は、他の事案とはっきりと区別できるようにし、理解しやすく容易にアクセスできる方法で提供されなければならない。この要件は本質的に、同意するかどうかについて説明を受けた上での決定をすることに関連する情報が一般的な条件の中に隠されてはならないことを意味している 38。

68. A controller must ensure that consent is provided on the basis of information that allows
the data subjects to easily identify who the controller is and to understand what they areagreeing to. The controller must clearly describe the purpose for data processing forwhich consent is requested.39
管理者は、データ主体が管理者が誰かを簡単に確認し、また承諾しようとしていることが何かを理解できるようにした情報に基づいて、同意が与えられることを確保しなければならない。管
理者は、同意の求められるデータの取扱いの目的を明確に説明しなければならない 39。

69. Other specific guidance on the accessibility has been provided in the WP29 guidelines
on transparency. If consent is to be given by electronic means, the request must be clear
and concise. Layered and granular information can be an appropriate way to deal withthe two-fold obligation of being precise and complete on the one hand andunderstandable on the other hand.
アクセシビリティに関する他の特定のガイダンスは、第 29 条作業部会による透明性に関するガイドラインで提供されている。同意が電子的な手段で与えられる場合、その要求は明確で簡潔でなければならない。階層化され粒度の細かい情報は、一方において、正確で完全であり、

38

The declaration of consent must be named as such. Drafting, such as “I know that…” does not meet the requirementof clear language.
同意の宣言は同様にして示されなければならない。草案段階では、「・・・について私は知っている」は明
解な用語の要件を満たさないとしていた。
39

See Articles 4(11) and 7(2) GDPR.
GDPR 第 4 条（11）及び第 7 条（2）を参照。

adopted

36

適用

36

他方において、理解しやすいという二重の義務に対処する適切な方法となりうる。

70. A controller must assess what kind of audience it is that provides personal data to theirorganisation. For example, in case the targeted audience includes data subjects that areunderage, the controller is expected to make sure information is understandable forminors.40 After identifying their audience, controllers must determine what information
they should provide and, subsequently how they will present the information to data
subjects.
管理者は、その組織に個人データを提供するのがどのような種類の人々かを評価しなければならない。たとえば、ターゲットにする人々に未成年のデータ主体が含まれる場合、管理者は、
情報が未成年者にも理解できることを確実に行うよう期待される 40。ターゲットにする人々を確認した後、管理者はどのような情報を提供すべきか、またそれに続いてどのようにデータ主体に情報を提示するかを決定しなければならない。

71. Article 7(2) addresses pre-formulated written declarations of consent, which also
concern other matters. When consent is requested as part of a (paper) contract, therequest for consent should be clearly distinguishable from the other matters. If the paper
contract includes many aspects that are unrelated to the question of consent to the useof personal data, the issue of consent should be dealt with in a way that clearly stands
out, or in a separate document. Likewise, if consent is requested by electronic means,the consent request has to be separate and distinct, it cannot simply be a paragraphwithin terms and conditions, pursuant to Recital 32. 41 To accommodate for small
screens or situations with restricted room for information, a layered way of presenting
information can be considered, where appropriate, to avoid excessive disturbance ofuser experience or product design.
第 7 条（2）は、他の事案にも関わる事前に形式を定めた書面による同意の宣言を扱っている。
同意が（紙の）契約書の一部として要求される場合、同意の要求は他の事案と明確に区別されるようにすべきである。もし紙の契約書が、個人データの利用に対する同意の問題と関係し40

See also Recital 58 regarding information understandable for children.
子どものために理解可能な情報に関する DGPR 前文第 58 項も参照。
41

See also Recital 42 and Directive 93/13/EC, notably Article 5 (plain intelligible language and in case of doubt, theinterpretation will be in favour of consumer) and Article 6 (invalidity of unfair terms, contract continues to exist without
these terms only if still sensible, otherwise the whole contract is invalid).
前文第 42 項及び指令 93/13/EC、特に、その第 5 条（平易で明瞭な用語。疑義のある場合、解釈は消費者の有利となること）及び第 6 条（不公正な条件の無効性。その契約はなおセンシブルである場合にのみ有効
であり、そうでない場合には契約は無効となる）

adopted

37

適用

37

ない多くの側面を含んでいるならば、同意の問題ははっきり目立った形で又は別の文書で扱われるべきである。同様に、同意が電子的な手段によって求められる場合、前文第 32 項に従い、同意の要求は分離され区別されたものとなっていなければならず、単純に契約条件の 1
パラグラフとすることはできない 41。小さなスクリーン又は限定されたスペースの中に情報を入れるときには、適切な場合、ユーザーエクスペリエンス又は商品デザインについての過剰な混乱を回避するため、階層化された情報提示の方法が考えられる。
72. A controller that relies on consent of the data subject must also deal with the separate
information duties laid down in Articles 13 and 14 in order to be compliant with the GDPR.
In practice, compliance with the information duties and compliance with the requirementof informed consent may lead to an integrated approach in many cases. However, thissection is written in the understanding that valid “informed” consent can exist, even when
not all elements of Articles 13 and/or 14 are mentioned in the process of obtaining
consent (these points should of course be mentioned in other places, such as the privacy
notice of a company). WP29 has issued separate guidelines on the requirement oftransparency.
データ主体の同意に依拠する管理者は、GDPR 遵守のため、第 13 条及び第 14 条に定める別々の情報提供義務にも対応しなければならない。実務上、情報提供義務の遵守と説明を受けた上での同意の要件の遵守は、多くの場合、一体化したアプローチとなる。しかし、第 13条及び第 14 条の全ての要素が同意を得るプロセスについて述べられていない場合であっても、本節は、有効な「説明を受けた上での」同意が存在しうるという理解の中で書かれている（これらの点は、もちろん企業のプライバシー通知のような他の場所で述べられるべきである）。
第 29 条作業部会は別の透明性の要件に関するガイドラインを出している。
73. Example 12: Company X is a controller that received complaints that it is unclear to data
subjects for what purposes of data use they are asked to consent to. The company sees
the need to verify whether its information in the consent request is understandable fordata subjects. X organises voluntary test panels of specific categories of its customers
and presents new updates of its consent information to these test audiences before
communicating it externally. The selection of the panel respects the principle ofindependence and is made on the basis of standards ensuring a representative, nonbiased outcome. The panel receives a questionnaire and indicates what they understoodof the information and how they would score it in terms of understandable and relevant
information. The controller continues testing until the panels indicate that the informationis understandable. X draws up a report of the test and keeps this available for future
adopted

38

適用

38

reference. This example shows a possible way for X to demonstrate that data subjects
were receiving clear information before consenting to personal data processing by X.
事例 12：会社 X は、同意を求められたデータ利用目的がデータ主体には明らかではないとする苦情を受け取った管理者である。同社は、同意要求における情報がデータ主体にとって理解できるかどうかを証明する必要があると考えている。同社は自社の特定のカテゴリーの顧客について自発的なテストパネルを組織し、同意に関する情報のアップデート版を、外部に出す前に当該テストパネルの対象者に提示する。テストパネルの対象者の選択は独立性の原則を尊重し、代表的でバイアスのかからない結果を確保する基準に基づいて行われる。対象者は質問票を受け取り、情報について何を理解したか、また理解しやすい関連した情報であるかという基準からの評価点を回答する。管理者は、対象者が理解しやすい情報であるとの指摘を行うまで、その調査を続ける。X 社はテストの報告書を作成し、将来の参考のために利用できるようにする。この事例は、個人データの取扱いについて X 社が同意を得るのに先だって、データ主体が明確な情報を受け取っていることを同社が証明する可能な方法を示している。
74. Example 13: A company engages in data processing on the basis of consent. The
company uses a layered privacy notice that includes a consent request. The company
discloses all basic details of the controller and the data processing activities envisaged.42
However, the company does not indicate how their data protection officer can becontacted in the notice. For the purposes of having a valid lawful basis as meant in Article
6, this controller obtained valid “informed” consent, even when the contact details of thedata protection officer have not been communicated to the data subject (in the first
information layer), pursuant to Article 13(1)(b) or 14(1)(b) GDPR.
事例 13：ある会社が同意を基礎にしてデータの取扱いを行っている。同社は同意要求に含む階層化したプライバシー通知を利用する。同社は管理者についての基本的な内容の全てと想定される取扱活動を開示している 42。しかし、同社は、通知の最初の情報レイヤーにおいて、データ保護オフィサーとどのようにコンタクトできるのかを示していない。この場合、GDPR 第
13 条（1）（b）又は第 14 条（1）（b）にしたがって、データ保護オフィサーのコンタクト内容が（最42Note that when the identity of the controller or the purpose of the processing is not apparent from the first
information layer of the layered privacy notice (and are located in further sub-layers), it will be difficult for the data
controller to demonstrate that the data subject has given informed consent, unless the data controller can show that thedata subject in question accessed that information prior to giving consent.
管理者の身元又は取扱いの目的が、レイヤー化されたプライバシー注意書きの最初の情報レイヤーで明らかにされていないとき（またそれが追加のサブレイヤーに配置されているとき）、データ主体が同意の提供に先立って情報にアクセスしたことを管理者が証明できなければ、そのデータ主体が明示的な同意を与えたことを管理者が証明するのは難しいだろうということに注意されたい。

adopted

39

適用

39

初の情報レイヤーにおいて）データ主体に通知されていなかったときでも、第 6 条に意味される有効な法的基礎を持つ目的のために、この管理者は、有効に「説明を受けた」上での同意を得ていることになる。

3.4 Unambiguous indication of wishes
不明瞭でない意思表示
75. The GDPR is clear that consent requires a statement from the data subject or a clear
affirmative act which means that it must always be given through an active motion or
declaration. It must be obvious that the data subject has consented to the particular
processing.
GDPR は明らかに、同意についてのデータ主体からの声明又は明らかな積極的行為を求めており、これは、同意が常に積極的な行動又は宣言によって与えられなければならないことを意味する。データ主体が特定の取扱いに同意したことが明らかでなければならない。
76. Article 2(h) of Directive 95/46/EC described consent as an “indication of wishes by which
the data subject signifies his agreement to personal data relating to him being
processed”. Article 4(11) GDPR builds on this definition, by clarifying that valid consent
requires an unambiguous indication by means of a statement or by a clear affirmative
action, in line with previous guidance issued by the WP29.
指令 95/46/EC 第 2 条（h）は、同意を「データ主体が自らに関する個人データが取扱われることへの同意の意思表示」と定義している。GDPR 第 4 条（11）は、第 29 条作業部会が出した前のガイダンスに沿って、有効な同意が陳述又は明確な積極的行為による不明瞭でない表示を必要とすることをはっきりさせたことによって、その定義を踏襲している。
77. A “clear affirmative act” means that the data subject must have taken a deliberate action
to consent to the particular processing.43 Recital 32 sets out additional guidance on this.

43

See Commission Staff Working Paper, Impact Assessment, Annex 2, p. 20 and also pp. 105-106: “As also pointed
out in the opinion adopted by WP29 on consent, it seems essential to clarify that valid consent requires the use of
mechanisms that leave no doubt of the data subject’s intention to consent, while making clear that – in the context ofthe on-line environment – the use of default options which the data subject is required to modify in order to reject theprocessing ('consent based on silence') does not in itself constitute unambiguous consent. This would give individuals
more control over their own data, whenever processing is based on his/her consent. As regards impact on data
controllers, this would not have a major impact as it solely clarifies and better spells out the implications of the current
Directive in relation to the conditions for a valid and meaningful consent from the data subject. In particular, to theextent that 'explicit' consent would clarify – by replacing "unambiguous" – the modalities and quality of consent andthat it is not intended to extend the cases and situations where (explicit) consent should be used as a ground forprocessing, the impact of this measure on data controllers is not expected to be major.”
欧州委員会スタッフワーキング・ペーパー「影響評価」（Commission Staff Working Paper, Impact Assessment）

adopted

40

適用

40

Consent can be collected through a written or (a recorded) oral statement, including byelectronic means.
「明確な積極的行為」は、データ主体が特定の取扱いに対して行った同意の意図的な行為でなければならないことを意味している 43。前文第 32 項はこれについて追加のガイダンスを示している。同意は、電子的な手段を含め、書面又は（記録された）口頭の陳述によって収集されうる。

78. Perhaps the most literal way to fulfil the criterion of a “written statement” is to make surea data subject writes in a letter or types an email to the controller explaining what exactly
he/she agrees to. However, this is often not realistic. Written statements can come inmany shapes and sizes that could be compliant with the GDPR.
「書面の陳述」の基準を満たすおそらく最も字義通りの方法は、データ主体が正確に何に承諾するかを説明した手紙又は e メールを管理者に送付することを、確保することである。しかしこれはしばしば現実的ではない。書面の陳述は、GDPR に従いうる様々な形とサイズがありうる。
79. Without prejudice to existing (national) contract law, consent can be obtained through arecorded oral statement, although due note must be taken of the information available
to the data subject, prior to the indication of consent. The use of pre-ticked opt-in boxes
is invalid under the GDPR. Silence or inactivity on the part of the data subject, as wellas merely proceeding with a service cannot be regarded as an active indication of choice.
既存の（国家の）契約法に反することなく、同意の表示に先立ち、データ主体に利用できる情報について適切な注意を喚起しなければならないとしても、同意は記録された口頭の陳述により得ることができる。GDPR のもとでは、予めチェックの入ったオプトインのチェックボックスの利用は無効である。データ主体の沈黙やアクティブ化しないこと、また単にサービスを利用す

付録 2、20 頁及び 105～106 頁。
「第 29 条作業部会の同意に関する意見で指摘されたように、－オンライン

環境において－取扱いを拒否するためにデータ主体が修正を求められるデフォルトの選択肢の利用（『沈黙に基づく同意』（consent based on silence））がそれだけでは曖昧さのない 同意にならないことを明らかにしながら、有効な同意にはデータ主体の同意の意思に疑いの余地を残さないメカニズムの利用が必要である
ことを明らかにすることが欠かせないように思える。そうであれば、それは、取扱いが同意に基づく場合には常に、個人に対しそれ自身のデータについてもっと大きな管理を与えることになる。管理者に対する影響をみると、データ主体から得る有効で意味のある同意のための条件に関して現行指令の意味合いをはっきりとさせさらに詳細に説明するものでしかないため、そのことは大きな影響を与えない。特に、－『曖昧さのない』に代えて－『明示的な』同意が同意の形式と質をはっきりさせ、またその（明示的な）同意が取扱いの根拠として利用されるべきケースと状況を拡張しないならば、この措置の管理者に与える影響が大きいとは予想されない」。

adopted

41

適用

41

ることは、選択についての積極的な表示とみなすことができない。
80. Example 14:When installing software, the application asks the data subject for consent
to use non-anonymised crash reports to improve the software. A layered privacy noticeproviding the necessary information accompanies the request for consent. By actively
ticking the optional box stating, “I consent”, the user is able to validly perform a ´clear
affirmative act´ to consent to the processing.
事例 14：ソフトウェアをインストールする際、アプリケーションがそのソフトウェア改善のために
非匿名的なクラッシュ・レポートを利用するように、データ主体に同意を求める。必要な情報を提供するレイヤー化されたプライバシー通知が同意の要求に添えられている。「同意する」というチェックボックスに積極的にチェックを入れることによって、ユーザーは取扱いに同意する「明確な積極的行為」を有効に行うことができる。

81. A controller must also beware that consent cannot be obtained through the same motion
as agreeing to a contract or accepting general terms and conditions of a service. Blanket
acceptance of general terms and conditions cannot be seen as a clear affirmative action
to consent to the use of personal data. The GDPR does not allow controllers to offer preticked boxes or opt-out constructions that require an intervention from the data subject
to prevent agreement (for example ‘opt-out boxes’).44
管理者は、同意が、契約書に合意すること又はサービスの一般的な条件を承諾することと同じ行為によっては得られないことにも、注意しなければならない。一般的な契約条件による包括的な承諾は、個人データの利用に関する同意のための明確な積極的行為とはみなされない。
GDPR は、管理者に対して、承諾をしないためにデータ主体の介入を必要とする、事前にチェックされたボックス又はオプトアウトの仕組み（たとえば、「オプトアウトのボックス」）の提供を認めていない 44。

82. When consent is to be given following a request by electronic means, the request forconsent should not be unnecessarily disruptive to the use of the service for which theconsent is provided.45 An active affirmative motion by which the data subject indicates44

See Article 7(2). See also Working Document 02/2013 on obtaining consent for cookies (WP 208), pp. 3-6.
第 7 条（2）を参照。また第 29 条作業部会の「クッキーのための同意取得に関するワーキング・ドキュメ
ント 02/2013」（WP208）、3～6 頁も参照
45

See Recital 32 GDPR.
GDPR 前文第 32 項参照

adopted

42

適用

42

consent can be necessary when a less infringing or disturbing modus would result inambiguity. Thus, it may be necessary that a consent request interrupts the use
experience to some extent to make that request effective.
同意が要求に従って電子的な手段によって与えられる場合、同意の要求は、同意が提供されるサービスの利用を不必要に妨げられるべきではない 45。より侵害せず又は混乱させない方法が曖昧さをもたらすときには、データ主体の同意を示す能動的な積極的行為が必要になりうる。したがって、同意の要求は、その要求を有効にするために、ある程度、利用経験を中断させる必要があるかもしれない。
83. However, within the requirements of the GDPR, controllers have the liberty to develop a
consent flow that suits their organisation. In this regard, physical motions can bequalified as a clear affirmative action in compliance with the GDPR.
しかし、GDPR の要件の中では、管理者はその組織に適した同意のフローを自由に作り上げることができる。これに関して、物理的な行為は、GDPR 遵守のための明確な積極的行為として適格となりうる。

84. Controllers should design consent mechanisms in ways that are clear to data subjects.
Controllers must avoid ambiguity and must ensure that the action by which consent isgiven can be distinguished from other actions. Therefore, merely continuing the ordinary
use of a website is not conduct from which one can infer an indication of wishes by thedata subject to signify his or her agreement to a proposed processing operation.
管理者は.データ主体にとって明確な方法で同意メカニズムをデザインすべきである。管理者
は曖昧さを回避し、同意が与えられる行為が他の行為とは区別できることを確保しなければならない。そのため、ウェブサイトの通常利用を単に続けていることは、データ主体が提案された取扱業務を承諾することを示す意思表示であると推論できる行為ではない。
85. Example 15: Swiping a bar on a screen, waiving in front of a smart camera, turning asmartphone around clockwise, or in a figure eight motion may be options to indicateagreement, as long as clear information is provided, and it is clear that the motion inquestion signifies agreement to a specific request (e.g. if you swipe this bar to the left,
you agree to the use of information X for purpose Y. Repeat the motion to confirm.”). The
controller must be able to demonstrate that consent was obtained this way and data
subjects must be able to withdraw consent as easily as it was given.
事例 15：スクリーン上で指をすべらせ、スマートカメラの前で取り下げ、時計回り又は 8 字形にスマートフォンを回すことは、明らかな情報が提供され、また問題となる動作が特定の要求（たadopted

43

適用

43

とえば、もしバーを左にスワイプするならば、目的 Y のために情報 X を利用することを承諾する。確認のために、その動作を繰り返す。）に対する承諾を示していることが明白である限り、それは承諾を示す選択となるかもしれない。管理者は同意がこの方法で取得されたことを証明することができなければならないし、データ主体はそれを与えたときと同様に容易に同意の撤回ができなければならない。
86. Example 16: Based on recital 32, actions such as scrolling or swiping through a
webpage or similar user activity will not under any circumstances satisfy therequirement of a clear and affirmative action: such actions may be difficult todistinguish from other activity or interaction by a user and therefore determining that an
unambiguous consent has been obtained will also not be possible. Furthermore, insuch a case, it will be difficult to provide a way for the user to withdraw consent in amanner that is as easy as granting it.
事例 16：前文第 32 項に基づくと、ウェブページのスクロールやスワイプ、又は同様のユーザ
ーアクティビティなどの行為は、いかなる状況であっても明確で肯定的な行為の要件を満たさない。このような行為は、ユーザーによる他の行為や相互作用と区別することが難しい場合がある。したがって、明確な同意が得られたと判断することもできない。さらに、このような場合、ユーザーが同意を与えたと同じくらい簡単な方法で、同意を撤回する方法を提供することは困難であろう。

87. In the digital context, many services need personal data to function, hence, data subjects
receive multiple consent requests that need answers through clicks and swipes everyday. This may result in a certain degree of click fatigue: when encountered too manytimes, the actual warning effect of consent mechanisms is diminishing.
デジタルのコンテクストでは、多くのサービスがその機能のために個人データを必要とし、このため、データ主体は毎日のようにクリックやスワイプを通じて応じなければならない多くの同意要求を受け取る。これは、なんらかのクリック疲れ（click fatigue）を生じさせるかもしれない。すなわち、過剰にそうした要求に出会うときには、同意メカニズムの実際の警告効果が弱まるのである。

88. This results in a situation where consent questions are no longer read. This is a particularrisk to data subjects, as, typically, consent is asked for actions that are in principle
unlawful without their consent. The GDPR places upon controllers the obligation todevelop ways to tackle this issue.
このことは、同意の質問がもはや読まれないという状況をもたらす。通常は、同意がなければadopted

44

適用

44

原則として違法になる行為のために同意が求められるから、それはデータ主体にとって、特に、リスクとなる。GDPR はこうした問題と取り組む方法を発展させる義務を管理者に課している。

89. An often-mentioned example to do this in the online context is to obtain consent ofInternet users via their browser settings. Such settings should be developed in line withthe conditions for valid consent in the GDPR, as for instance that the consent shall be
granular for each of the envisaged purposes and that the information to be provided,should name the controllers.
オンラインの文脈でしばしば言及されているこのための例は、ブラウザーの設定を通じてイン
ターネット・ユーザーの同意を得ることである。そうした設定は、たとえば、同意が想定されている目的のそれぞれに対して細かい粒度であるべきであること、及び、提供される情報に管理者の名前を挙げるべきであることなど、GDPR における有効な同意の条件に沿って行われるべきである。
90. In any event, consent must always be obtained before the controller starts processing
personal data for which consent is needed. WP29 has consistently held in its previous
opinions that consent should be given prior to the processing activity.46 Although the
GDPR does not literally prescribe in Article 4(11) that consent must be given prior to theprocessing activity, this is clearly implied. The heading of Article 6(1) and the wording“has given” in Article 6(1)(a) support this interpretation. It follows logically from Article 6
and Recital 40 that a valid lawful basis must be present before starting a data processing.
Therefore, consent should be given prior to the processing activity. In principle, it can be
sufficient to ask for a data subject’s consent once. However, controllers do need to obtaina new and specific consent if purposes for data processing change after consent was
obtained or if an additional purpose is envisaged.
いずれにせよ、同意は、それが必要とされる個人データの取扱いを管理者が開始する前に、常に管理者により取得されなければならない。第 29 条作業部会は、その以前の意見書において、同意が取扱行為に先立って与えられるべきであると一貫して主張してきた 46。GDPR は同意が取扱行為に先だって与えられなければならないとすることを第 4 条（11）において文言として定めていないものの、そのことは明確に示唆されている。第 6 条（1）の柱書及び第 6 条（1）（a）における「与えた」（has given）という文言は、この解釈を支えるものである。それは、有効な法的基礎がデータの取扱いの開始前に存在しなければならないという第 6 条と前文第46

WP29 has consistently held this position since Opinion 15/2011 on the definition of consent (WP 187), pp. 30-31.
第 29 条作業部会は、「同意の定義に関する意見 15/2011」（WP187）、30～31 頁以来、この立場を一貫して取ってきた。

adopted

45

適用

45

40 項に論理的に従っている。したがって、同意は取扱行為の前に与えられるべきである。原
則的に、データ主体の同意を一度求めることで十分かもしれない。しかし、管理者は、データの取扱いの目的が同意を得た後に変更され又は追加の目的が想定される場合には、新たなそして特定的な同意を得る必要がある。

４

OBTAINING EXPLICIT CONSENT
明示的な同意の取得

91. Explicit consent is required in certain situations where serious data protection risk
emerge, hence, where a high level of individual control over personal data is deemed
appropriate. Under the GDPR, explicit consent plays a role in Article 9 on the processingof special categories of data, the provisions on data transfers to third countries orinternational organisations in the absence of adequate safeguards in Article 4947, and in
Article 22 on automated individual decision-making, including profiling.48
明示的な同意は、重大なデータ保護のリスクが出現する状況において必要で、そのため、個人データについて高いレベルの個人のコントロールが適切とみなされる場合に、必要とされる。
GDPR では、明示的な同意は、特別な種類のデータの取扱いに関する第 9 条、十分な保護措置を持たない第三国又は国際組織へのデータ移転に関する第 49 条の規定 47、そしてプロ
ファイリングを含む個人に対する自動化された意思決定に関する第 22 条において、重要な47 According to Article 49 (1)(a) GDPR, explicit consent can lift the ban on data transfers to countries without adequatelevels of data protection law. Also note Working document on a common interpretation of Article 26(1) of Directive
95/46/EC of 24 October 1995 (WP 114), p. 11, where WP29 has indicated that consent for data transfers that occur
periodically or on an on-going basis is inappropriate.
GDPR 第 49 条(1）(a）によれば、明示的な同意は、十分なレベルのデータ保護法を持たない国へのデータ移転の禁止を免除させることができる。
「1995 年 10 月 24 日付け指令 95/46/EC 第 26 条（1）についての共通解釈に関するワーキング・ドキュメント」（11 頁）を参照。そこで 29 条作業部会は、定期的又は継続的に行っているデータ移転の同意では不適切であることを指摘した。
48

In Article 22, the GDPR introduces provisions to protect data subjects against decision-making based solely on
automated processing, including profiling. Decisions made on this basis are allowed under certain legal conditions.
Consent plays a key role in this protection mechanism, as Article 22(2)(c) GDPR makes clear that a controller may
proceed with automated decision making, including profiling, that may significantly affect the individual, with the data
subject’s explicit consent. WP29 have produced separate guidelines on this issue: WP29 Guidelines on Automateddecision-making and Profiling for the purposes of Regulation 2016/679, 3 October 2017 (WP 251).
GDPR は、第 22 条において、プロファイリングを含む、自動化された処理にのみ基づく意思決定からデー
タ主体を保護する規定を導入している。これに基づく決定はいくつかの法的条件のもとに認められる。
GDPR 第 22 条（1）（c）は、データ管理者がデータ主体の明示的な同意がある場合、個人に大きな影響を与えるかもしれない、プロファイリングを含め自動化された意思決定を進めることができることをはっきりとさせているため、この保護メカニズムにおいて同意は重要な役割を果たしている。これについて第 29 条
作業部会は、別のガイドラインを 2017 年 10 月 3 日付けで作成している。
「規則 2016/679 の目的のための自動化された意思決定とプロファイリングに関するガイドライン」（WP251）。

adopted

46

適用

46

役割を果たしている 48。

92. The GDPR prescribes that a “statement or clear affirmative action” is a prerequisite for‘regular’ consent. As the ‘regular’ consent requirement in the GDPR is already raised toa higher standard compared to the consent requirement in Directive 95/46/EC, it needs
to be clarified what extra efforts a controller should undertake in order to obtain the
explicit consent of a data subject in line with the GDPR.
GDPR は、「陳述又は明確な積極的行為」が「通常」の同意の前提条件であると規定している。
GDPR における「通常の」同意の要件は、指令 95/46/EC における同意の要件と比較すれば、高次に引き上げられたものの、GDPR においてデータ主体の明示的な同意を得るために管理者が実施すべき追加の努力が何かを明らかにする必要がある。

93. The term explicit refers to the way consent is expressed by the data subject. It meansthat the data subject must give an express statement of consent. An obvious way tomake sure consent is explicit would be to expressly confirm consent in a written
statement. Where appropriate, the controller could make sure the written statement issigned by the data subject, in order to remove all possible doubt and potential lack ofevidence in the future.49

明示的なという用語は、データ主体により同意が表明される方法に言及している。それは、データ主体が同意の明示的な陳述を与えなければならないことを意味している。同意が明確であることを確実にする明白な方法は、書面による陳述で顕示的に同意を確認することだろう。
適切な場合、将来的に起こりうるあらゆる疑問の全て及び証拠不足をなくすためには、管理者
は、書面による声明がデータ主体により署名されることを確実にすることになるだろう 49。

94. However, such a signed statement is not the only way to obtain explicit consent and, itcannot be said that the GDPR prescribes written and signed statements in all
circumstances that require valid explicit consent. For example, in the digital or online
context, a data subject may be able to issue the required statement by filling in anelectronic form, by sending an email, by uploading a scanned document carrying thesignature of the data subject, or by using an electronic signature. In theory, the use oforal statements can also be sufficiently express to obtain valid explicit consent, however,it may be difficult to prove for the controller that all conditions for valid explicit consent

49

See also WP29 Opinion 15/2011, on the definition of consent (WP 187), p. 25.
29 条作業部会「同意の定義に関する意見 15/2011」（WP187）、25 頁を参照。

adopted

47

適用

47

were met when the statement was recorded.
しかしその署名された陳述は、明示的な同意を得る唯一の方法ではないし、GDPR が有効に明示的な同意を必要とする状況の全てにおいて書面による署名された声明が必要だと規定しているとは、言い切れない。たとえば、デジタル又はオンラインの文脈では、データ主体は、電子的な書式に書き込み、e メールを送信し、データ主体の署名のあるスキャン文書をアップロードすることによって、又は電子署名を用いることによって、必要とされる声明を発出することができるだろう。理論的には、口頭の陳述の利用も、有効に明示的な同意を得るのには十分な表示になりうるかもしれないが、その陳述が記録された際に有効に明示的な同意の条件の全てが満たされたことを管理者が証明するのは難しいかもしれない。
95. An organisation may also obtain explicit consent through a telephone conversation,
provided that the information about the choice is fair, intelligible and clear, and it asks fora specific confirmation from the data subject (e.g. pressing a button or providing oral
confirmation).
選択についての情報が公正、明瞭かつ明白であり、また、データ主体からの明確な確認を求めるものであるならば（たとえば、ボタンを押すこと又は口頭の確認を行うこと）、組織は電話での会話を通じて明示的な同意を得ることもできる。

96. Example 17: A data controller may also obtain explicit consent from a visitor to its website
by offering an explicit consent screen that contains Yes and No check boxes, provided
that the text clearly indicates the consent, for instance “I, hereby, consent to theprocessing of my data”, and not for instance, “It is clear to me that my data will beprocessed”. It goes without saying that the conditions for informed consent as well as
the other conditions for obtaining valid consent should be met.
事例 17：テキストが同意を明示的に示す、たとえば、「私のデータが取扱われることは私には明らかである」というのではなく、「これにより、私は自分のデータの取扱いに同意する」というテキストである場合、管理者は、イエスとノーのチェックボックスを含む明示的な同意の画面を提示することによって、そのウェブサイトへの訪問者から明示的な同意を得ることもできる。言うまでもなく、有効な同意を得るための説明を受けた上での同意の条件及びその他の条件が満たされるべきである。

97. Example 18: A clinic for cosmetic surgery seeks explicit consent from a patient to transfer
his medical record to an expert whose second opinion is asked on the condition of thepatient. The medical record is a digital file. Given the specific nature of the information
concerned, the clinic asks for an electronic signature of the data subject to obtain valid
adopted48
適用48

explicit consent and to be able to demonstrate that explicit consent was obtained.50
事例 18：ある美容整形外科のクリニックが、患者の状態についてセカンド・オピニオンを求める
専門医にその診療記録を転送するため、患者に明示的な同意を求める。診療記録はデジタ
ルファイルである。関係する情報の特別な性質を前提に、クリニックは、有効に明示的な同意を得るため、また明示的な同意が得られたこと証明できるようにするためデータ主体の電子署名を求める 50。

98. Two stage verification of consent can also be a way to make sure explicit consent isvalid. For example, a data subject receives an email notifying them of the controller’s
intent to process a record containing medical data. The controller explains in the emailthat he asks for consent for the use of a specific set of information for a specific purpose.
If the data subjects agrees to the use of this data, the controller asks him or her for anemail reply containing the statement ‘I agree’. After the reply is sent, the data subject
receives a verification link that must be clicked, or an SMS message with a verification
code, to confirm agreement.
二段階の同意の証明も、明示的な同意が有効であることを確実にする方法となりうる。たとえば、データ主体は、医療データを含む記録を取扱おうとする管理者の意図を述べた e メールを受け取る。管理者は、特定目的のための特定情報の利用について同意を求めることを e メールで説明する。データ主体がそのデータ利用を承諾するならば、管理者は「承諾する」との陳述を含む e メールを返信するようにデータ主体に求める。この返信が送付された後、その承諾を確認するために、データ主体はクリックしなければならない証明用のリンク、又は証明コードのある SMS メッセージを受け取る。

99. Article 9(2) does not recognize “necessary for the performance of a contract” as an
exception to the general prohibition to process special categories of data. Therefore,
controllers and Member States that deal with this situation should explore the specificexceptions in Article 9(2) subparagraphs (b) to (j). Should none of the exceptions (b) to(j) apply, obtaining explicit consent in accordance with the conditions for valid consent in
the GDPR remains the only possible lawful exception to process such data.
第 9 条(2）は、特別なカテゴリーのデータを取扱うための一般的禁止に対する例外として、「契50This example is without prejudice to EU Regulation (EU) No 910/2014 of the European Parliament and of theCouncil of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market.
この例は、「域内市場における電子商取引のための電子的な ID とトラスト・サービスに関する 2014 年 7 月
23 日付け欧州議会及び欧州理事会の規則（EU）910/2014」に反しない。

adopted

49

適用

49

約履行のために必要である」ことを認めていない。そのため、こうした状況を取扱う管理者と加盟国は、第 9 条（2）(b）から(j）までの特定の例外を調べるべきである。(b）から(j）までの例外のどれも該当しないとしても、GDPR における有効な同意の条件にしたがった明示的な同意を得るには、そうしたデータを取扱うための適法な例外の道がなお残されている。
100. Example 19: An airline company, Holiday Airways, offers an assisted travelling service
for passengers that cannot travel unassisted, for example due to a disability. A customer
books a flight from Amsterdam to Budapest and requests travel assistance to be able toboard the plane. Holiday Airways requires her to provide information on her healthcondition to be able to arrange the appropriate services for her (hence, there are many
possibilities e.g. wheelchair on the arrival gate, or an assistant travelling with her from A
to B.) Holiday Airways asks for explicit consent to process the health data of thiscustomer for the purpose of arranging the requested travel assistance. -The dataprocessed on the basis of consent should be necessary for the requested service.
Moreover, flights to Budapest remain available without travel assistance. Please notethat since that data are necessary for the provision of the requested service, Article 7 (4)does not apply.
事例 19：航空会社ホリデー・エアウェイズは、たとえば、障害のために支援なしでは旅行ができない乗客のために、トラベル・アシスタンス・サービスを提供する。ある顧客がアムステルダムからブタペストまでの便を予約し乗機できるようにトラベル・アシスタンスを求める。ホリデー航空は、その乗客に合ったサービスを提供できるようにするため（たとえば、到着ゲートにおける車椅子の用意、又はターミナル A から B まで乗客に付き添うアシスタントの手配など多くの可能性がある）、その乗客の健康状態に関する情報の提出を求める。ホリデー航空は求められたトラベル・アシスタンスの準備のためその顧客の健康データを取扱うことについて明示的な同意を求める－同意に基づいて取扱われるデータがその要求されたサービスには必要なはずである。もちろん、ブタペストまでのフライトはトラベル・アシスタンスなしでも利用できる。したがってこの例では、そのデータが求められたサービスの提供のために必要であるため、第 7 条（4）は適用されないことに注意されたい。
101. Example 20: A successful company is specialised in providing custom-made ski- andsnowboard goggles, and other types of customised eyewear for outdoors sports. The
idea is that people could wear these without their own glasses on. The company receives
orders at a central point and delivers products from a single location all across the EU.
事例 20：ある会社が、顧客仕様のスキー及びスノーボード用のゴーグルやアウトドア・スポーツの他のカスタマイズされたアイウェアに特化して成功している。発想は、自分のメガネなしでもadopted

50

適用

50

それらを装着できるということがもとになっている。同社はその中心地で注文を受け、域内の全てに単一地点から商品を発送する。
102. In order to be able to provide its customised products to customers who are short-sighted,
this controller requests consent for the use of information on customers’ eye condition.
Customers provide the necessary health data, such as their prescription data online
when they place their order. Without this, it is not possible to provide the requested
customized eyewear. The company also offers series of goggles with standardized
correctional values. Customers that do not wish to share health data could opt for the
standard versions. Therefore, an explicit consent under Article 9 is required and consent
can be considered to be freely given.
近視の顧客にカスタマイズされた商品を届けるため、同社の管理者は顧客の目の状態に関する情報の利用について同意を求める。顧客は、注文を行う際、その診療データのような必要な
健康データをオンラインで提出する。それがなければ、要求のカスタマイズされたアイウェアを提供できない。同社は標準的な矯正値のゴーグル・シリーズも提供している。顧客が健康データの共有を望まなければ、その標準シリーズを選択できる。したがって、第 9 条のもとでの明示的な同意は必要であり、また同意は自由に与えられるとみなすこともできる。

５

ADDITIONAL CONDITIONS FOR OBTAINING VALID CONSENT
有効な同意を得るための追加的条件

103. The GDPR introduces requirements for controllers to make additional arrangements toensure they obtain, and maintain and are able to demonstrate, valid consent. Article 7of the GDPR sets out these additional conditions for valid consent, with specificprovisions on keeping records of consent and the right to easily withdraw consent. Article
7 also applies to consent referred to in other articles of GDPR, e.g. Articles 8 and 9.
Guidance on the additional requirement to demonstrate valid consent and on withdrawalof consent is provided below.
GDPR は、管理者が有効な同意を得て、それを保持し、それを証明できることを確保するため、追加的な取決めについての要件を導入している。GDPR 第 7 条は、有効な同意についての追加的条件と共に、同意の記録を取ることと同意を容易に撤回する権利に関する特別な規定を定めている。また第 7 条は GDPR の他の条文、たとえば、第 8 条及び第 9 条に述べる同意にも適用される。有効な同意を証明するための追加的要件と同意の撤回に関するガイダン
スは、以下の通りである。

adopted

51

適用

51

5.1 Demonstrate consent
同意の証明
104. In Article 7(1), the GDPR clearly outlines the explicit obligation of the controller todemonstrate a data subject's consent. The burden of proof will be on the controller,
according to Article 7(1).
GDPR は、第 7 条(1）において、データ主体の同意を証明する管理者の明確な義務をはっきりと述べている。挙証責任は、第 7 条(1）により、管理者の側にあるとしている。

105. Recital 42 states: “Where processing is based on the data subject's consent, thecontroller should be able to demonstrate that the data subject has given consent to theprocessing operation.”
前文第 42 項は、「取扱いがデータ主体の同意に基づく場合、管理者は、そのデータ主体がその取扱業務に対して同意を与えたということを証明できるようにしなければならない 」と述べている。

106. Controllers are free to develop methods to comply with this provision in a way that is
fitting in their daily operations. At the same time, the duty to demonstrate that valid
consent has been obtained by a controller, should not in itself lead to excessive amountsof additional data processing. This means that controllers should have enough data toshow a link to the processing (to show consent was obtained) but they shouldn’t becollecting any more information than necessary.
管理者は、日常的なオペレーションに適した形で、この規定に従う方法を自由に進めることができる。しかし有効な同意が管理者により得られたことを証明する義務は、それ自体で、過大な量の追加的データの取扱いをもたらすべきではない。これは管理者が（同意が得られたことを示すために）取扱いの関係を証明するのに十分なデータを持つべきであるとしつつも、必要以上に多くの情報を収集すべきではないことを意味している。

107. It is up to the controller to prove that valid consent was obtained from the data subject.
The GDPR does not prescribe exactly how this must be done. However, the controller
must be able to prove that a data subject in a given case has consented. As long as adata processing activity in question lasts, the obligation to demonstrate consent exists.
After the processing activity ends, proof of consent should be kept no longer then strictly
necessary for compliance with a legal obligation or for the establishment, exercise or
adopted

52

適用

52

defence of legal claims, in accordance with Article 17(3)(b) and (e).
有効な同意がデータ主体より得られたことを証明するのは管理者の責任である。GDPR は、これがどのように行われなければならないかを正確に規定していない。しかし、管理者は、あるケースにおいてデータ主体が同意したことを証明できなければならない。該当するデータ取扱活動が継続する限り、同意を証明する義務は存在する。取扱行為が終了した後、同意の証
拠はもはや保持されるべきではないが、第 17 条(3）(b）及び(e）にしたがい、法的義務の遵守のため又は訴えの提起、攻撃防御のために厳密に必要な同意の証拠は保持されるべきである。

108. For instance, the controller may keep a record of consent statements received, so hecan show how consent was obtained, when consent was obtained and the information
provided to the data subject at the time shall be demonstrable. The controller shall also
be able to show that the data subject was informed and the controller´s workflow met all
relevant criteria for a valid consent. The rationale behind this obligation in the GDPR isthat controllers must be accountable with regard to obtaining valid consent from data
subjects and the consent mechanisms they have put in place. For example, in an online
context, a controller could retain information on the session in which consent was
expressed, together with documentation of the consent workflow at the time of thesession, and a copy of the information that was presented to the data subject at thattime. It would not be sufficient to merely refer to a correct configuration of the respective
website.
たとえば、管理者は受け取った同意の陳述を記録しておくのがよいかもしれない。それによって管理者はどのように同意が得られ、いつ同意が得られたかを示すことができ、またそのときにデータ主体に提供した情報を証明することができる。また管理者は、データ主体に通知され、管理者の作業が有効な同意に関連する基準の全てを満たしたことも証明できる。GDPR のこの義務の背景にある論拠は、管理者は、データ主体から有効な同意を得たこと、及び同管理者の実施した同意メカニズムに関して、説明責任を持たなければならないということである。たとえば、オンラインの文脈では、管理者は、セッション時の同意作業の文書化とともに、同意が表明されたセッションに関する情報及びデータ主体に提供した情報の写しを保存できる。各ウェブサイトの正しい構造に言及するだけではない十分でないであろう。

109. Example 21: A hospital sets up a scientific research programme, called project X, forwhich dental records of real patients are necessary. Participants are recruited via
telephone calls to patients that voluntarily agreed to be on a list of candidates that may
be approached for this purpose. The controller seeks explicit consent from the data
adopted

53

適用

53

subjects for the use of their dental record. Consent is obtained during a phone call byrecording an oral statement of the data subject in which the data subject confirms thatthey agree to the use of their data for the purposes of project X.
事例 21：ある歯科医院が、実際の患者の歯科記録を必要とするプロジェクト X と呼ばれる科学研究を立ち上げた。このプロジェクトの参加者は、この目的のための候補者リスト掲載について自発的に同意していた患者に対して、電話を通じて募集される。管理者はその歯科記録を利用するため、データ主体に明示的な同意を求める。同意は、データ主体がプロジェクト Xの目的ためのデータ利用について承諾することを確認し、データ主体の口頭の陳述を録音することで得ることにしている。

110. There is no specific time limit in the GDPR for how long consent will last. How longconsent lasts will depend on the context, the scope of the original consent and the
expectations of the data subject. If the processing operations change or evolve
considerably then the original consent is no longer valid. If this is the case, then new
consent needs to be obtained.
GDPR では、同意がどのくらいの期間継続するかについて、特定の期間を示していない。同意がどのくらい継続するかについては、コンテクスト、オリジナルの同意の範囲、データ主体の期待に依拠する。取扱業務が変更され、又は拡張されたときには、オリジナルの同意はもはや有効でなくなる。その場合、新たな同意の取得が必要になる。

111. The EDPB recommends as a best practice that consent should be refreshed at
appropriate intervals. Providing all the information again helps to ensure the data subject
remains well informed about how their data is being used and how to exercise theirrights.51
EDPB は、ベストプラクティスとして、適切な間隔で同意が再考されるべきであることを勧告する。再度全ての情報を提供することは、データ主体がどのようにそのデータが使用されるか、また自らの権利をどのように行使できるかについて十分に説明を受けていることを確保するのに役立つ 51。

51

See Article 29 Working Party guidelines on transparency under Regulation 2016/670 WP260 rev.0.1 – endorsed by
the EDPB.
第 29 条作業部会「EDPB によって承認された規則 2016/670 WP260 rev.0.1 に基づく透明性に関するガイドライン」参照adopted

54

適用

54

5.2 Withdrawal of consent
同意の撤回
112. Withdrawal of consent is given a prominent place in the GDPR. The provisions andrecitals on withdrawal of consent in the GDPR can be regarded as codification of theexisting interpretation of this matter in WP29 Opinions.52
同意の撤回は、GDPR において顕著な場所を与えられている。GDPR における同意の撤回の条文と前文は、第 29 条作業部会がこれについてのこれまで出してきた意見を成文化したものとみることができる 52。

113. Article 7(3) of the GDPR prescribes that the controller must ensure that consent can bewithdrawn by the data subject as easy as giving consent and at any given time. The
GDPR does not say that giving and withdrawing consent must always be done throughthe same action.
GDPR 第 7 条(3）は、管理者は、データ主体による同意の撤回が、同意を与えたときと同様に
簡単にまたいつでも可能であることを確保しなければならないと規定している。ただし GDPR
は、同意を与えることと撤回することが常に同じ行為によって行われなければならないとは述べていない。

114. However, when consent is obtained via electronic means through only one mouse-click,swipe, or keystroke, data subjects must, in practice, be able to withdraw that consent
equally as easily. Where consent is obtained through use of a service-specific userinterface (for example, via a website, an app, a log-on account, the interface of an IoT
device or by e-mail), there is no doubt a data subject must be able to withdraw consent
via the same electronic interface, as switching to another interface for the sole reasonof withdrawing consent would require undue effort. Furthermore, the data subject shouldbe able to withdraw his/her consent without detriment. This means, inter alia, that acontroller must make withdrawal of consent possible free of charge or without lowering

52

WP29 has discussed this subject in their Opinion on consent (see Opinion 15/2011 on the definition of consent (WP
187), pp. 9, 13, 20, 27 and 32-33) and, inter alia, their Opinion on the use of location data. (see Opinion 5/2005 on theuse of location data with a view to providing value-added services (WP 115), p. 7).
第 29 条作業部会はこのテーマについて、同意に関する意見（同意の定義に関する意見 15/2011（WP187）
9、13、20、27、32～33 頁）、またとりわけ位置データの利用に関する意見（付加価値サービスの位置デー
タ利用に関する意見 5/2005（WP115）7 頁）において議論してきた。

adopted

55

適用

55

service levels.53
しかし同意が一回だけのマウスクリック、スワイプ又はキーストロークによる電子的な手段を通じて得られるときには、データ主体は実際上同等な容易さでその同意を撤回できなければならない。同意がサービス特定的なユーザー・インターフェイスの利用を通じて得られる場合（たとえば、ウェブサイト、アップ、ログオン・アカウント、IoT のインターフェイス、又は e メールにより）、当然、データ主体は同じ電子的なインターフェイスを通じて同意を撤回できるようにしなければならない。撤回のためだけに他のインターフェイスへ変えることは、不当な努力を求めることになるためである。さらにデータ主体は、不利益を被ることなく、自己の同意を撤回できるようにしなければならない。これは、とりわけ、管理者が無償で又はサービス品質を引き下げることなく同意の撤回ができるようにしなければならないことを意味している 53。

115. Example 22: A music festival sells tickets through an online ticket agent. With each online
ticket sale, consent is requested in order to use contact details for marketing purposes.
To indicate consent for this purpose, customers can select either No or Yes. The
controller informs customers that they have the possibility to withdraw consent. To dothis, they could contact a call centre on business days between 8am and 5pm, free ofcharge. The controller in this example does not comply with article 7(3) of the GDPR.
Withdrawing consent in this case requires a telephone call during business hours, thisis more burdensome than the one mouse-click needed for giving consent through theonline ticket vendor, which is open 24/7.
事例 22：ある音楽祭はオンラインのチケット販売店を通じてチケットを売り出す。オンラインのチケット販売と一緒に、マーケティング目的のために連絡先の利用について、同意が求められる。顧客は、この目的の同意を示すためにノーかイエスを選択できる。管理者は、顧客に対し同意を撤回することができるという情報を提供する。撤回のために、顧客は無償で、平日午前8 時から午後 5 時までコールセンターに連絡できる。この例における管理者は、GDPR 第 7条(3）にしたがっていない。この場合の同意の撤回には、平日の就業時間における電話を求めており、それはオンライン・チケット販売を通じて同意を与えるための週 7 日 24 時間可能な
マウスクリック 1 回よりもはるかに面倒なためである。

53

See also opinion WP29 Opinion 4/2010 on the European code of conduct of FEDMA for the use of personal data
in direct marketing (WP 174) and the Opinion on the use of location data with a view to providing value-added services(WP 115).
第 29 条作業部会の「ダイレクトマーケティングにおける個人データの利用に関する FEDMA の欧州行動規範に関する意見 4/2010」（WP174）、及び「付加価値サービス提供における位置データ利用に関する意見」（WP115）を参照。

adopted

56

適用

56

116. The requirement of an easy withdrawal is described as a necessary aspect of valid
consent in the GDPR. If the withdrawal right does not meet the GDPR requirements,
then the consent mechanism of the controller does not comply with the GDPR. As
mentioned in section 3.1 on the condition of informed consent, the controller must informthe data subject of the right to withdraw consent prior to actually giving consent, pursuant
to Article 7(3) of the GDPR. Additionally, the controller must as part of the transparency
obligation inform the data subjects on how to exercise their rights.54
容易な撤回の要件は、GDPR において有効な同意に必要な一面として規定されている。撤回の権利が GDPR の要件を満たさないときには、管理者の同意の仕組みは GDPR を遵守していない。第 3.1 節で述べたように、説明を受けた上での同意の条件では、GDPR 第 7 条(3）により、管理者はデータ主体に対して実際に同意を与える前に、同意撤回の権利の情報を提供しなければならない。追加的に、管理者は、透明性の義務の一部として、データ主体に対して、その権利行使の情報を提供しなければならない 54。

117. As a general rule, if consent is withdrawn, all data processing operations that were basedon consent and took place before the withdrawal of consent - and in accordance with
the GDPR - remain lawful, however, the controller must stop the processing actions
concerned. If there is no other lawful basis justifying the processing (e.g. further storage)of the data, they should be deleted by the controller.55
一般的ルールとして、同意が撤回される場合、撤回前の同意に基づいた－そして GDPR にしたがった－データ取扱業務の全てはなお適法であるが、管理者は関係する取扱行為を中止しなければならない。データの取扱い（たとえば、追加の保存）を正当化する他の法的根拠がないならば、そのデータは管理者により消去されなければならない 55。

118. As mentioned earlier in these guidelines, it is very important that controllers assess the
purposes for which data is actually processed and the lawful grounds on which it is basedprior to collecting the data. Often companies need personal data for several purposes,

54

Recital 39 GDPR, which refers to Articles 13 and 14 of that Regulation, states that “natural persons should be madeaware of risks, rules, safeguards and rights in relation to the processing of personal data and how to exercise theirrights in relation to such processing.
GDPR 第 13 条及び第 14 条に言及した前文第 39 項は、「自然人は、個人データの取扱いと関連するリスク、
ルール、保護措置及び権利、並びに、その取扱いと関連する自身の権利をどのように行使するかについて、知らされなければならない」と述べている。
55

See Article 17(1)(b) and (3) GDPR.
GDPR 第 17 条(1）(b）と(3）を参照

adopted

57

適用

57

and the processing is based on more than one lawful basis, e.g. customer data may bebased on contract and consent. Hence, a withdrawal of consent does not mean acontroller must erase data that are processed for a purpose that is based on theperformance of the contract with the data subject. Controllers should therefore be clear
from the outset about which purpose applies to each element of data and which lawfulbasis is being relied upon.
これらのガイドラインで既述したように、管理者が実際に取扱われるデータの目的とデータ収集に先立ち基礎になった法的根拠を評価することはきわめて重要である。しばしば企業はい
くつかの目的のために個人データを必要とし、その取扱いは複数の法的根拠に基づいているためである。たとえば、顧客データは契約と同意に基づいているかもしれない。このときの同意の撤回は、管理者がデータ主体との契約履行に基づく目的のために取扱われたデータを消去しなければならないことまで意味していない。こうしたことから、管理者は、データの各要素にどのような目的が適用され、またどのような法的根拠に基づいているかについて最初から明らかであるべきである。

119. Controllers have an obligation to delete data that was processed on the basis of consent
once that consent is withdrawn, assuming that there is no other purpose justifying thecontinued retention.56 Besides this situation, covered in Article 17 (1)(b), an individual
data subject may request erasure of other data concerning him that is processed onanother lawful basis, e.g. on the basis of Article 6(1)(b). 57 Controllers are obliged toassess whether continued processing of the data in question is appropriate, even in theabsence of an erasure request by the data subject.58
継続して保持することを正当化する他の目的がないと仮定する場合、いったん同意が撤回されたときには、管理者はその同意に基づいて取扱われたデータを消去する義務を有する 567。
第 17 条(1)(b)で規定されているこの状況の他に、個々のデータ主体は、例えば第 6 条(1)(b)に基づいて処理された他の合法的な根拠に基づいて処理された自身に関するデータの消去を要求することができる 57。管理者は、データ主体による消去の要求がない場合でさえ、問題のデータの継続的取扱いが適切かどうかを評価しなければならない 58。

56

In that case, the other purpose justifying the processing must have its own separate legal basis. This does not mean
the controller can swap from consent to another lawful basis, see section 6 below.
その場合、その取扱いを正当化する他の目的は、それ自体とは別個の法的根拠を持たなければならない。
これは、管理者が同意を他の法的基礎に入れ替えることができることを意味しない。
57

See Article 17, including exceptions that may apply, and Recital 65 GDPR
適用可能な例外を含む GDPR 第 17 条、及び前文第 65 項を参照。
58

See also Article 5 (1)(e) GDPR
GDPR 第 5 条(1）(e）も参照。

adopted

58

適用

58

120. In cases where the data subject withdraws his/her consent and the controller wishes tocontinue to process the personal data on another lawful basis, they cannot silently
migrate from consent (which is withdrawn) to this other lawful basis. Any change in thelawful basis for processing must be notified to a data subject in accordance with theinformation requirements in Articles 13 and 14 and under the general principle oftransparency.
データ主体が自分の同意を撤回し、管理者が他の法的根拠に基づいて個人データの取扱いを引き続き望む場合では、管理者は（撤回された）同意をひそかに他の法的根拠に移行させることはできない。取扱いについての法的根拠の変更は、第 13 条及び第 14 条の情報要件に従い、また透明性の一般原則により、データ主体に通知されなければならない。

6

INTERACTION BETWEEN CONSENT AND OTHER LAWFUL GROUNDS IN

ARTICLE 6 GDPR
同意とGDPR第6条における他の法的根拠との関係
121. Article 6 sets the conditions for a lawful personal data processing and describes six
lawful bases on which a controller can rely. The application of one of these six bases
must be established prior to the processing activity and in relation to a specific purpose.59
第 6 条は、適法なデータの取扱いの条件を定め、管理者が依拠できる六つの法的根拠を述べている。この六つの根拠の一つの適用は取扱行為に先立ち、また特定の目的 59 に関連して確立されていなければならない。

122. It is important to note here that if a controller chooses to rely on consent for any part ofthe processing, they must be prepared to respect that choice and stop that part of theprocessing if an individual withdraws consent. Sending out the message that data will
be processed on the basis of consent, while actually some other lawful basis is relied
on, would be fundamentally unfair to individuals.
ここで注意すべき重要なことは、管理者が取扱いの一部に対する同意に依拠する選択をする
ならば、その管理者はその選択を尊重し、個人が同意を撤回したときには取扱いのその部分を中止できるように用意していなければならないということである。実際には他の法的根拠に依拠しながら、データが同意を基礎にして取扱われているというメッセージを送付することは、

59

Pursuant to Articles 13 (1)(c) and/or 14(1)(c), the controller must inform the data subject thereof.
第 13 条(1）(c）及び第 14 条(1）(c）に従い、管理者はそのことをデータ主体に通知しなければならない。

adopted

59

適用

59

個人に対して根本的に不公正である。

123. In other words, the controller cannot swap from consent to other lawful bases. For
example, it is not allowed to retrospectively utilise the legitimate interest basis in orderto justify processing, where problems have been encountered with the validity of consent.
Because of the requirement to disclose the lawful basis, which the controller is relying
upon at the time of collection of personal data, controllers must have decided in advanceof collection what the applicable lawful basis is.
言い換えるならば、管理者は同意を他の法的根拠に置き換えることができない。たとえば、問題が同意の有効性に直面した場合、取扱いを正当化するために正当な利益という根拠を遡及的に持ち出すことは認められない。管理者が個人データを収集する際に依拠する法的根拠を開示する要件のために、管理者は、適用できる法的根拠が何かを収集に先立って決定しておかなければならない。

7

SPECIFIC AREAS OF CONCERN IN THE GDPR
GDPRにおける特定の問題領域

7.1 Children (Article 8)
子ども (第8条)
124. Compared to the current directive, the GDPR creates an additional layer of protection
where personal data of vulnerable natural persons, especially children, are processed.
Article 8 introduces additional obligations to ensure an enhanced level of data protectionof children in relation to information society services. The reasons for the enhanced
protection are specified in Recital 38: “ [...] they may be less aware of the risks,consequences and safeguards concerned and their rights in relation to the processingof personal data [...]” Recital 38 also states that “Such specific protection should, inparticular, apply to the use of personal data of children for the purposes of marketing or
creating personality or user profiles and the collection of personal data with regard tochildren when using services offered directly to a child.” The words ‘in particular’ indicatethat the specific protection is not confined to marketing or profiling but includes the wider‘collection of personal data with regard to children’.
現在の指令と比較すると、GDPR は立場の弱い自然人、特に、子どもの個人データが取扱われる場合について、追加的な保護レイヤーを設けている。第 8 条は、情報社会サービスに関連して、子どもについて高度なレベルのデータ保護を確保する追加的な義務を導入している。
adopted

60

適用

60

保護の強化の理由は、前文第 38 項で特定されている。「子どもは、個人データの取扱いに関連するリスク、結果及び関連する保護措置並びに自らの権利について十分に認識できないかもしれないため。・・・」。また前文第 38 項は、「特に、マーケティングの目的、その子どもに関するパーソナリティ若しくは個人プロファイルの作成の目的での子供についての個人データの使用、及び子どもに対して直接に提示されるサービスを利用する際の子どもの個人データの収集に対して、そのような特別の保護が適用されなければならない」と述べている。「特に」（inparticular）という文言は、特別な保護がマーケティングやプロファイリングに限定されるのではなく、もっと広く「子どもに関する個人データの収集」も含んでいることを示している。

125. Article 8(1) states that where consent applies, in relation to the offer of informationsociety services directly to a child, the processing of the personal data of a child shall be
lawful where the child is at least 16 years old. Where the child is below the age of 16
years, such processing shall be lawful only if and to the extent that consent is given or
authorised by the holder of parental responsibility over the child.60 Regarding the age
limit of valid consent the GDPR provides flexibility, Member States can provide by law alower age, but this age cannot be below 13 years.
第 8 条(1)は、子どもへの情報社会サービスの直接的な提供に関連して、同意が適用される
場合、子どもについての個人データの取扱いは、子どもが少なくとも 16 歳である場合に、適法であることを記している。子どもが 15 歳以下（below the age of 16）の場合、そうした取扱い
は、同意が子どもに関する親権の保有者により与えられるか認められた場合にのみ、適法となる 60。有効な同意の年齢制限について、GDPR は柔軟性を規定し、加盟国はもっと低い年齢を法律で定めることができるが、その年齢を 12 歳以下にはできない。

126. As mentioned in section 3.1. on informed consent, the information shall be
understandable to the audience addressed by the controller, paying particular attention
to the position of children. In order to obtain “informed consent” from a child, thecontroller must explain in language that is clear and plain for children how it intends toprocess the data it collects.61 If it is the parent that is supposed to consent, then a setof information may be required that allows adults to make an informed decision.

60

Without prejudice to the possibility of Member State law to derogate from the age limit, see Article 8(1).
年齢制限について委任される加盟国の国内法の可能性を侵害しない。第 8 条(1）を参照。
61

Recital 58 GDPR re-affirms this obligation, in stating that, where appropriate, a controller should make sure theinformation provided is understandable for children.
GDPR 前文第 58 項は、適切な場合に、提供された情報が子どもにとって理解可能であることを管理者が確認すべきであると述べることで、この義務を再確認する。

adopted

61

適用

61

説明を受けた上での同意に関する第 3.1．節で述べたように、情報は、子どもの立場を特に考慮して、管理者が対象とする観衆（audience）に理解できるものでなければならない。子どもから「説明を受けた上での同意」を得るためには、管理者は、それが集めるデータをどのように取扱おうとしているかを子どもに対して明確で平易な文言で説明しなければならない 61。同意すると思われるのが親である場合、成人の者が明確な決定を行うことのできる情報が求められるかもしれない。

127. It is clear from the foregoing that Article 8 shall only apply when the following conditions
are met:上述したことから、第 8 条は、以下の条件が満たされたときにのみ、適用されることは明らかである。

•

The processing is related to the offer of information society services directly to achild.6263
取扱いは、子どもに対する直接的な情報社会サービスの提供に関係している。6263•

The processing is based on consent.

62

According to Article 4(25) GDPR an information society service means a service as defined in point (b) of Article
1(1) of Directive 2015/1535: “(b) ‘service’ means any Information Society service, that is to say, any service normallyprovided for remuneration, at a distance, by electronic means and at the individual request of a recipient of services.
For the purposes of this definition: (i) ‘at a distance’ means that the service is provided without the parties being
simultaneously present; (ii) ‘by electronic means’ means that the service is sent initially and received at its destination
by means of electronic equipment for the processing (including digital compression) and storage of data, and entirelytransmitted, conveyed and received by wire, by radio, by optical means or by other electromagnetic means; (iii) ‘at theindividual request of a recipient of services’ means that the service is provided through the transmission of data on
individual request.” An indicative list of services not covered by this definition is set out in Annex I of the said Directive.
See also Recital 18 of Directive 2000/31.
GDPR 第 4 条(25）によれば、情報社会サービスは指令 2015/1535 第 1 条(1）(b）に定めるサービスを意味する。すなわち、「（b）『サービス』とは、情報社会サービス、すなわち、サービスの取得者の個別的要求により電子的な手段によって遠隔において報酬のために通常提供されるサービスを意味する、この定義のため、（i）『 ［遠隔において（at a distance）］とは、サービスが同時に対面している当事者なしに提供されることを意味する、（ii）［電子的な手段によって（by electronic means）］とは、サービスが、まず送付されその目的地で受け取られるサービスであり、またデータの取扱い（デジタル圧縮を含む）と保存のための電子機器
及び有線、無線、光学手段又は他の電磁的な手段によって全面的に送信、伝送、受信されるサービスを意
味する、（iii）［サービスの取得者の個別的要求により（at the individual request of a recipient of services）］とは､サービスが個々の要求に応じてデータの移転を通じて提供されることを意味する』。この定義でカバーされていないサービスの例示的一覧表は、指令の付録 I に示されている。また指令 2000/31 前文第 18 項も参照。
63

According to the UN Convention on the Protection of the Child, Article 1, “[…] a child means every human being
below the age of eighteen years unless under the law applicable to the child, majority is attained earlier,” see United
Nations, General Assembly Resolution 44/25 of 20 November 1989 (Convention on the Rights of the Child).
国際連合の「児童の権利に関する条約」（UN Convention on the Rights of the Child）第 1 条によれば、「児童とは、18 歳未満のすべての者をいう。ただし、当該児童で、その者に適用される法律によりより早く成年に達したものを除く」。1989 年 11 月 20 日付け国連総会決議 44/25（児童の権利に関する条約）を参照。

adopted

62

適用

62

取扱いは、同意に基づく。

7.1.1 Information society service
情報社会サービス
128. To determine the scope of the term ‘information society service” in the GDPR, reference
is made in Article 4(25) GDPR to Directive 2015/1535.
GDPR において、「情報社会サービス」という用語の範囲を決定するため、GDPR 第 4 条（25）が参考にしたのは指令 2015/1535 である。
129. While assessing the scope of this definition, the EDPB also refers to case law of the
ECJ. 64 The ECJ held that information society services cover contracts and otherservices that are concluded or transmitted on-line. Where a service has two
economically independent components, one being the online component, such as theoffer and the acceptance of an offer in the context of the conclusion of a contract or the
information relating to products or services, including marketing activities, thiscomponent is defined as an information society service, the other component being thephysical delivery or distribution of goods is not covered by the notion of an informationsociety service. The online delivery of a service would fall within the scope of the term
information society service in Article 8 GDPR.
この定義の範囲を評価する際、EDPB は、欧州司法裁判所（ECJ）の判例（case law）にも言及している 64。ECJ は、「情報社会サービス」がオンラインで締結され又は伝送された契約及びその他のサービスを含むと判示した。あるサービスが二つの経済的に独立した要素から構成されている場合、一方において、契約締結のコンテクストにおける申し出とその受諾、又はマーケティング活動を含む商品又はサービスに関する情報のようなオンラインの要素は、情報
社会サービスとして定義され、他方において、商品の物理的な配達又は流通である要素につ64

See European Court of Justice, 2 December 2010 Case C-108/09, (Ker-Optika), paragraphs 22 and 28. In relationto ‘composite services’, the EDPB also refers to Case C-434/15 (Asociacion Profesional Elite Taxi v Uber Systems
Spain SL), para 40, which states that an information society service forming an integral part of an overall service whose
main component is not an information society service (in this case a transport service), must not be qualified as ‘aninformation society service’.
欧州司法裁判所（European Court of Justice）2010 年 12 月 2 日付け事案 C-108/09（Ker-Optika）、パラグラフ22 及び 28 を参照。
「結合したサービス（composite services）」については、29 条作業部会は、事案 C-434/15（Asociacion Profesional Elite Taxi v Uber Systems Spain SL）パラグラフ 40 にも言及している。それは、中心的な構成要素が情報社会サービスではないサービス全体のなかの不可欠部分を形成する情報社会サービス（この場合、輸送サービス）を「情報社会サービス」として資格づけてはならないと述べている。

adopted

63

適用

63

いては情報社会サービスの概念の対象ではないとされる。サービスのオンライン提供は、GDPR 第 8 条における「情報社会サービス」の範囲に含まれる。

7.1.2 Offered directly to a child
子どもに対する直接の提供
130. The inclusion of the wording ‘offered directly to a child’ indicates that Article 8 is intended
to apply to some, not all information society services. In this respect, if an informationsociety service provider makes it clear to potential users that it is only offering its service
to persons aged 18 or over, and this is not undermined by other evidence (such as thecontent of the site or marketing plans) then the service will not be considered to be‘offered directly to a child’ and Article 8 will not apply.
「子どもに対する直接の提供」という文言を含めたことは、第 8 条が、情報社会サービスの全てではないにせよ、その一部に適用されることを意味している。この点について、情報社会サービスの提供者が、18 歳以上の者だけに対するサービス提供であり、そのことが他の証拠（サイトのコンテンツ又はマーケティング・プランのような）によって損なわれないことを潜在的なユー
ザーに明らかにする場合、そのサービスは「子どもに対する直接の提供」とはみなされず、第 8条は適用されない。

7.1.3 Age
年齢131. The GDPR specifies that “Member States may provide by law for a lower age for those
purposes provided that such lower age is not below 13 years.” The controller must beaware of those different national laws, by taking into account the public targeted by its
services. In particular, it should be noted that a controller providing a cross-borderservice cannot always rely on complying with only the law of the Member State in which
it has its main establishment but may need to comply with the respective national lawsof each Member State in which it offers the information society service(s). This depends
on whether a Member State chooses to use the place of main establishment of thecontroller as a point of reference in its national law, or the residence of the data subject.
First of all the Member States shall consider the best interests of the child during making
their choice. The Working Group encourages the Member States to search for aharmonized solution in this matter.
adopted

64

適用

64

GDPR は、「加盟国は、その年齢が 13 歳を下回らない限り、法律によって、それらの目的のためのより低い年齢を定めることができる」と規定している。管理者は、サービスが対象とする人々を考慮することにより、それぞれ加盟国の国内法に注意しなければならない。特に、越境サービスを提供する管理者は、それが主たる拠点を持つ加盟国の法律だけに依拠できず、情報社会サービスを提供する各加盟国の国内法にも従わなければならないことに注意すべきである。これは国内法の参照地点として、管理者の主たる拠点のある場所を利用するか、データ
主体の住居を利用するかの選択に左右される。いずれにせよ、加盟国は選択を行う際、子どもの最善の利益を考慮しなければならない。第 29 条作業部会は、加盟国に対して、これに関して調和のある解決策を探るように推奨している。

132. When providing information society services to children on the basis of consent,
controllers will be expected to make reasonable efforts to verify that the user is over theage of digital consent, and these measures should be proportionate to the nature andrisks of the processing activities.
コンテンツに基づいて子どもに情報社会サービスを提供する際、管理者はユーザーがデジタ
ル上、同意ができる年齢を超えていることを証明する妥当な努力を行っていることを期待され、その措置が取扱活動の性質とリスクに比例的であるべきである。

133. If the users state that they are over the age of digital consent then the controller can
carry out appropriate checks to verify that this statement is true. Although the need toundertake reasonable efforts to verify age is not explicit in the GDPR it is implicitly
required, for if a child gives consent while not old enough to provide valid consent on
their own behalf, then this will render the processing of data unlawful.
ユーザーがデジタル上、同意ができる年齢以上であると述べる場合、管理者はその陳述が真実であることを証明するための適切なチェックを実施することができる。年齢証明のために合理的な努力を行う必要性は GDPR において明示されていないが、それは暗黙的に求められている。子どもが自ら有効な同意を提供するのに十分な年齢でないときに子どもが同意を与えるならば、当該同意はデータの取扱いを適法にはしないためである。

134. If the user states that he/she is below the age of digital consent then the controller canaccept this statement without further checks, but will need to go on to obtain parental
authorisation and verify that the person providing that consent is a holder of parental
responsibility.
ユーザーがデジタル上、同意ができる年齢未満であると述べる場合、管理者は追加のチェッadopted

65

適用

65

クなしにその声明を受け入れることができる。しかし管理者が続いて親の許可を得るためには、同意を与える者が親権の保有者であることを証明する必要がある。

135. Age verification should not lead to excessive data processing. The mechanism chosen
to verify the age of a data subject should involve an assessment of the risk of the
proposed processing. In some low-risk situations, it may be appropriate to require a new
subscriber to a service to disclose their year of birth or to fill out a form stating they are(not) a minor. 65 If doubts arise, the controller should review their age verification
mechanisms in a given case and consider whether alternative checks are required.66
年齢の証明は過剰なデータの取扱いをもたらすべきではない。データ主体の年齢証明のメカ
ニズムは、提案される取扱いのリスク評価と関係させるべきである。リスクの小さい状況では、サービスの新規加入者に対して誕生年の開示を求め又は未成年かどうかを尋ねる欄を埋めるように求めるのが適切かもしれない 65。疑義が生じる場合、管理者は一定のケースにおいて
年齢証明メカニズムを見直し、代替的なチェックが必要かどうかを検討すべきである 66。

7.1.4 Children’s consent and parental responsibility
子どもの同意と親の責任
136. Regarding the authorisation of a holder of parental responsibility, the GDPR does not
specify practical ways to gather the parent’s consent or to establish that someone isentitled to perform this action.67 Therefore, the EDPB recommends the adoption of a
proportionate approach, in line with Article 8(2) GDPR and Article 5(1)(c) GDPR (dataminimisation). A proportionate approach may be to focus on obtaining a limited amountof information, such as contact details of a parent or guardian.
親の責任を持つ者の許可に関して、GDPR は、親の同意を取り、又は誰がその行為を行う資格を持つかを決める実際的な方法を規定していない 67。そのため、EDPB は GDPR 第 8 条

65Although this may not be a watertight solution in all cases, it is an example to deal with this provision
これはどのようなケースに当てはまる完全なソリューションでないとしても、この規定に対処する一例にはなる。
66

See WP29 Opinion 5/2009 on social networking services (WP 163).
第 29 条作業部会「ソーシャル・ネットワーキング・サービスに関する意見 5/2009」（WP163）を参照。
67

WP 29 notes that it not always the case that the holder of parental responsibility is the natural parent of the childand that parental responsibility can be held by multiple parties which may include legal as well as natural persons.
親の責任の保有者が必ずしも子供の真の親でないケースがあり、親の責任が法人と自然人を含む複数の当事者によって保有できることを第 29 条作業部会は注記する。

adopted

66

適用

66

(2）及び第 5 条(1）(c）（データの最小化）に沿って、比例的なアプローチの採択を勧告している。比例的なアプローチは、親又は保護者（guardian）の連絡先のような、限定的な情報を得ることに焦点を絞るといったものとなるかもしれない。

137. What is reasonable, both in terms of verifying that a user is old enough to provide theirown consent, and in terms of verifying that a person providing consent on behalf of achild is a holder of parental responsibility, may depend upon the risks inherent in theprocessing as well as the available technology. In low-risk cases, verification of parental
responsibility via email may be sufficient. Conversely, in high-risk cases, it may beappropriate to ask for more proof, so that the controller is able to verify and retain theinformation pursuant to Article 7(1) GDPR. 68 Trusted third party verification services
may offer solutions, which minimise the amount of personal data the controller has toprocess itself.
ユーザーが自ら同意するのに十分な年齢であることの証明という点と、子どもに代わって同意を提供する者が親権者であることを証明する点の両方から、合理的な方法が何かは、取扱いに固有のリスクと利用可能な技術に依拠するだろう。リスクの小さいケースでは、e メールを通じた親権者の証明で十分かもしれない。反対に、リスクの大きなケースでは、管理者が GDPR
第 7 条（1）にしたがって情報を確認し保持することができるように、さらに多くの証明を求めるのが適切かもしれない 68。信頼性のある第三者の証明サービスは、管理者が自ら取扱わなけ
ればならない個人データ量を最小化するソリューションを提供するかもしれない。
138. Example 23: An online gaming platform wants to make sure underage customers only
subscribe to its services with the consent of their parents or guardians. The controller
follows these steps:
事例 23：あるオンライン・ゲーミングのプラットフォームは、未成年（underage）の顧客に対して、親又は保護者の同意がある場合にのみ加入できることを確保しようとする。その管理者は次のステップをとる。
139. Step 1: ask the user to state whether they are under or over the age of 16 (or alternative68

For example, a parent or guardian could be asked to make a payment of €0,01 to the controller via a bank transaction,
including a brief confirmation in the description line of the transaction that the bank account holder is a holder ofparental responsibility over the user. Where appropriate, an alternative method of verification should be provided toprevent undue discriminatory treatment of persons that do not have a bank account.
たとえば、親又は保護者は、銀行口座所有者がユーザーに対する親権保有者であることを取引の記述において簡単に確認することを含め、銀行取引を通じて 0.01 ユーロの支払いを求められるかもしれない。適切な場合、代替的な証明方法は、銀行口座を持たない者の不当な差別的取扱いを阻止するように提供されるべきである。

adopted

67

適用

67

age of digital consent) If the user states that they are under the age of digital consent:
ステップ 1：ユーザーに 16 歳（又は、その代わりに、デジタル上同意ができる年齢）未満、以上かどうかを答えるように求める。もし、ユーザーがデジタル上で同意を提供できる年齢未満であると答えるならば、
140. Step 2: service informs the child that a parent or guardian needs to consent or authorise
the processing before the service is provided to the child. The user is requested todisclose the email address of a parent or guardian.
ステップ 2：サービスが子どもに提供される前に、親又は保護者が取扱いに同意し又は許可する必要があることを子どもに伝える。そのユーザーは親又は保護者の e メールアドレスを開示するように求められる。
141. Step 3: service contacts the parent or guardian and obtains their consent via email forprocessing and take reasonable steps to confirm that the adult has parental
responsibility.
ステップ 3：親又は保護者とコンタクトを取り、取扱いのために e メールで同意を得、またその成人が親の責任を持つ者であることを確認するための妥当な措置をとる。
142. Step 4: in case of complaints, the platform takes additional steps to verify the age of thesubscriber.
ステップ 4：苦情がある場合、そのプラットフォームは加入者の年齢を証明するための追加の措置をとる。
143. If the platform has met the other consent requirements, the platform can comply with theadditional criteria of Article 8 GDPR by following these steps.
もしプラットフォームが他の同意要件も満たしているならば、そのプラットフォームはそれらのス
テップを行うことで、GDPR 第 8 条の追加の基準に従っているとすることができる。

144. The example shows that the controller can put itself in a position to show that reasonable
efforts have been made to ensure that valid consent has been obtained, in relation to
the services provided to a child. Article 8(2) particularly adds that “The controller shallmake reasonable efforts to verify that consent is given or authorised by the holder ofparental responsibility over the child, taking into consideration available technology.”
この事例は、子どもに提供されるサービスに関して有効な同意が得られたことを確保するための合理的な努力が行われたことを示す立場に管理者を置くことができることを示している。第 8条（2）は、特に、「管理者は、利用可能な技術を考慮に入れた上で、その子どもについて親権上の責任のある者によって同意が与えられたこと、又は、その者によってそれが承認されたことを確認するための合理的な努力をするものとする」と追加している。
adopted

68

適用

68

145. It is up to the controller to determine what measures are appropriate in a specific case.
As a general rule, controllers should avoid verification solutions which themselves
involve excessive collection of personal data.
特別なケースにおいてどのような措置が適切かを決めるのは管理者の責任である。一般的なルールとして、管理者は、それ自体で過剰な個人データの収集を伴う証明の解決策を回避すべきである。

146. The EDPB acknowledges that there may be cases where verification is challenging (forexample where children providing their own consent have not yet established an ‘identity
footprint’, or where parental responsibility is not easily checked. This can be taken into
account when deciding what efforts are reasonable, but controllers will also be expected
to keep their processes and the available technology under constant review.
EDPB は、証明に問題があるケース（たとえば、自らの同意を与える子どもが「アイデンティティ・フットプリント」（identity footprint）をまだしっかりと示すことができない場合、又は親の責任が容易にチェックできない場合）があることを認識している。これは、どのような努力が合理的かを決定する際に考慮されうるが、管理者は、自己の取扱い及び利用可能な技術をたえず評価することも期待されている。

147. With regard to the data subject’s autonomy to consent to the processing of their personal
data and have full control over the processing, consent by a holder of parental
responsibility or authorized by a holder of parental responsibility for the processing of
personal data of children can be confirmed, modified or withdrawn, once the data subject
reaches the age of digital consent.
個人データの取扱いに対して同意し取扱いについて十分な管理権を持つことのデータ主体の自律性を考慮して、データ主体がデジタル上で同意を提供できる年齢に達した場合、子どもの個人データの取扱いについて親の責任の保持者による同意又は親の責任の保持者により認められた者による同意は、確認され、修正され又は撤回することができる。

148. In practice, this means that if the child does not take any action, consent given by aholder of parental responsibility or authorized by a holder of parental responsibility forthe processing of personal data given prior to the age of digital consent, will remain avalid ground for processing.
実際には、これは、子どもがなんらかの行為を行わない場合、デジタル上同意ができる年齢前
adopted

69

適用

69

に与えられた、子どもの個人データの取扱いについて親の責任の保持者による同意又は親の責任の保持者より認められた者による同意は、依然として取扱いの有効な根拠となる。

149. After reaching the age of digital consent, the child will have the possibility to withdraw
the consent himself, in line with Article 7(3). In accordance with the principles of fairness
and accountability, the controller must inform the child about this possibility.69
子どもは、デジタル上同意ができる年齢に達した後、第 7 条（3）に従い、自ら同意を撤回できる可能性を持つ。公正性とアカウンタビリティの原則に従い、管理者は、その可能性について、
子どもに情報を提供しなければならない 69。
150. It is important to point out that in accordance with Recital 38, consent by a parent or
guardian is not required in the context of preventive or counselling services offereddirectly to a child. For example the provision of child protection services offered online
to a child by means of an online chat service do not require prior parental authorisation.
前文第 38 項に従い、親や保護者による同意が子どもに直接提供される予防や相談サービスの文脈では求められないことを指摘しておくのが重要である。たとえば、オンライン・チャット・サービスを通じて子どもに対してオンラインで提供される児童保護サービスの提供は、事前の親の許可を必要としない。

151. Finally, the GDPR states that the rules concerning parental authorization requirements
vis-à-vis minors shall not interfere with “the general contract law of Member States suchas the rules on the validity, formation or effect of a contract in relation to a child”.
Therefore, the requirements for valid consent for the use of data about children are partof a legal framework that must be regarded as separate from national contract law.
Therefore, this guidance paper does not deal with the question whether it is lawful for aminor to conclude online contracts. Both legal regimes may apply simultaneously, and,the scope of the GDPR does not include harmonization of national provisions of contractlaw.
最後に、GDPR は、親の許可要件と未成年に関するルールが「子どもに関連する契約の有効性、締結又は効果についてのルールのような加盟国の一般契約法」を侵害するものではないと述べている。すなわち、子どものデータの利用に関する有効な同意の要件は、国内契約法

69

Also, data subjects should be aware of the right to be forgotten as laid down in Article 17, which is in particular
relevant for consent given when the data subject was still a child, see recital 63.
データ主体は、第 17 条に定めるように、忘れられる権利にも注意すべきであり、それは､特に、データ主
体がまだ子どもである場合に与えられた同意に関係している。前文第 63 項を参照。

adopted

70

適用

70

とは別のものとみなされなければならない法的な枠組の一部である。したがって、このガイドラ
インは、未成年がオンライン契約を結ぶのが適法かどうかいう問題を扱っていない。両方の法的制度が同時に適用されるかもしれない。GDPR の範囲は契約法の国内規定の（加盟国間における）調和を含んではいない。
152.

7.2 Scientific research
科学研究153. The definition of scientific research purposes has substantial ramifications for the rangeof data processing activities a controller may undertake. The term ‘scientific research’ is
not defined in the GDPR. Recital 159 states “(…) For the purposes of this Regulation,
the processing of personal data for scientific research purposes should be interpreted ina broad manner. (…)”, however the WP29 considers the notion may not be stretchedbeyond its common meaning and understands that ‘scientific research’ in this context
means a research project set up in accordance with relevant sector-related
methodological and ethical standards, in conformity with good practice.
科学的研究の目的の定義は、管理者が行うことのできるデータ取扱活動の範囲の実質的な分岐である。「科学的研究」という用語は、GDPR において定義されていない。前文第 159 項
は、「本規則の目的のため、科学研究目的のための個人データの取扱いは、幅広く解釈されるべきである・・・」と述べている。しかし第 29 条作業部会は、この概念が一般的な意味を超えていないと考えており、その意味で、「科学的研究」は望ましい慣行に従った関連する分野の方法論的なまた倫理的な基準に沿う研究プロジェクトを意味すると理解している。

154. When consent is the legal basis for conducting research in accordance with the GDPR,
this consent for the use of personal data should be distinguished from other consent
requirements that serve as an ethical standard or procedural obligation. An example ofsuch a procedural obligation, where the processing is based not on consent but onanother legal basis, is to be found in the Clinical Trials Regulation. In the context of dataprotection law, the latter form of consent could be considered as an additionalsafeguard.70 At the same time, the GDPR does not restrict the application of Article 6 toconsent alone, with regard to processing data for research purposes. As long as
appropriate safeguards are in place, such as the requirements under Article 89(1), and
70 See also Recital 161 of the GDPR.

GDPR 前文第 161 項も参照。

adopted

71

適用

71

the processing is fair, lawful, transparent and accords with data minimisation standards
and individual rights, other lawful bases such as Article 6(1)(e) or (f) may be available.71
This also applies to special categories of data pursuant to the derogation of Article
9(2)(j).72
同意が GDPR に従って研究を実施するための法的根拠となるとき、個人データの利用のための同意は、倫理的な基準又は手続き的な義務として役立つ他の同意の要件とは区別されるべきである。取扱いが同意ではなく他の法的な根拠に基づいている場合の手続的な義務の一例は、臨床試験規則（Clinical Trials Regulation）に見ることができる。データ保護の法律の文脈におけば、CTR の同意の形式は追加的な保護措置とみなすことができる 70 。他方で
GDPR は、研究目的ためのデータの取扱いに関して、第 6 条の適用を同意だけに制限してはいない。第 89 条（1）における要件のように適切な保護措置が実施され、取扱いが公正で、適法で、透明的であり、またデータの最小化基準と個人の権利と一致している限り、第 6 条（1）（e）又は（f）のような他の法的な根拠も利用できるだろう 71。これは第 9 条（2）（j）の委任による
特別な種類のデータにも当てはまる 72。

155. Recital 33 seems to bring some flexibility to the degree of specification and granularity
of consent in the context of scientific research. Recital 33 states: “It is often not possible
to fully identify the purpose of personal data processing for scientific research purposesat the time of data collection. Therefore, data subjects should be allowed to give theirconsent to certain areas of scientific research when in keeping with recognised ethicalstandards for scientific research. Data subjects should have the opportunity to give theirconsent only to certain areas of research or parts of research projects to the extent
allowed by the intended purpose.”
前文第 33 項は、科学研究の文脈における同意の特定及び粒度の程度については、いくぶん柔軟性を与えているように思える。前文第 33 項は、「科学研究の目的のための個人データの取扱いの目的をそのデータ収集の時点で完全に特定することは、しばしば、不可能なことである。それゆえ、データ主体は、科学研究のための広く認められた倫理基準が保たれてい71

Article 6(1)(c) may also be applicable for parts of the processing operations specifically required by law, such as
gathering reliable and robust data following the protocol as approved by the Member State under the Clinical Trial
Regulation.
第 6 条(1）(c）は、臨床試験規則（CTR）のもとで加盟国により認可されたプロトコルに従う信頼のある頑健なデータを集めることのような、特別に法律で求められる取扱業務の部分にも適用できるかもしれない。
72

Specific testing of medicinal products may take place on the basis of an EU or national law pursuant to Article
9(2)(i).
医療製品の特別な試験は第 9 条(2）(i）に従い EU 又は国内の法律に基づいて実施することができる。

adopted

72

適用

72

る場合、一定の分野の科学研究に対して同意を与えることができる。データ主体は、予定されている目的が許す範囲内で、一定の分野の科学研究のみ、又は、研究プロジェクトの一部分のみに対して同意を与える機会をもつものとしなければならない」と述べている。

156. First, it should be noted that Recital 33 does not disapply the obligations with regard to
the requirement of specific consent. This means that, in principle, scientific research
projects can only include personal data on the basis of consent if they have a welldescribed purpose. For the cases where purposes for data processing within a scientificresearch project cannot be specified at the outset, Recital 33 allows as an exception thatthe purpose may be described at a more general level.
第一に、前文第 33 項は特定の同意という要件に関する義務を適用していないわけではないことに注意すべきである。これは、原則的に、科学研究のプロジェクトは、それが十分に記述された目的を持つ場合にのみ、同意を基礎にした個人データを含めることができることを意味している。しかし科学研究プロジェクトの中のデータの取扱いの目的がその開始時点で特定できないケースについては、前文第 33 項は、目的がより一般的なレベルで記述できることを、例外として、容認している。

157. Considering the strict conditions stated by Article 9 GDPR regarding the processing ofspecial categories of data, the EDPB notes that when special categories of data areprocessed on the basis of explicit consent, applying the flexible approach of Recital 33
will be subject to a stricter interpretation and requires a high degree of scrutiny.
特別な種類のデータの取扱いに関して、GDPR 第 9 条に定める厳密な条件を考慮し、EDPB
は、明示的な同意に基づいて特定のカテゴリーのデータが取扱われる場合、前文第 33 項の柔軟なアプローチの適用は、さらに厳格な解釈に従いまた高度の詳細さが必要であることに留意する。

158. When regarded as a whole, the GDPR cannot be interpreted to allow for a controller tonavigate around the key principle of specifying purposes for which consent of the data
subject is asked.
全体としてみると、GDPR は、データ主体の同意が求められる目的を特定するという重要な原則から管理者が外れることを認めているとは、解釈できない。
159. When research purposes cannot be fully specified, a controller must seek other ways toensure the essence of the consent requirements are served best, for example, to allow
adopted

73

適用

73

data subjects to consent for a research purpose in more general terms and for specificstages of a research project that are already known to take place at the outset. As theresearch advances, consent for subsequent steps in the project can be obtained before
that next stage begins. Yet, such a consent should still be in line with the applicableethical standards for scientific research.
研究目的が十分に特定できない場合、管理者は、同意要件の本質を最善の形で確保するよ
うな他の方法を求めなければならない、たとえば、データ主体に対してより一般的な条件で研究目的のための同意を得られるようにする、また最初の段階ですでに分かっている研究プロ
ジェクトの特定段階について同意できるようにすることである。研究は進むので、プロジェクトの後続段階のための同意を、次の段階が開始する前に得ることができるようにする。しかしながらこうした同意は科学研究に適用される倫理基準になお沿うべきである。

160. Moreover, the controller may apply further safeguards in such cases. Article 89(1), forexample, highlights the need for safeguards in data processing activities for scientific or
historical or statistical purposes. These purposes “shall be subject to appropriate
safeguards, in accordance with this regulation, for the rights and freedoms of data
subject.” Data minimization, anonymisation and data security are mentioned as possible
safeguards.73 Anonymisation is the preferred solution as soon as the purpose of theresearch can be achieved without the processing of personal data.
さらに、そうしたケースでは、管理者には追加の保護措置が適用されるかもしれない。たとえば、
第 89 条（1）は、科学、歴史又は統計の目的のためのデータ取扱活動について、保護措置の73

See for example Recital 156. The processing of personal data for scientific purposes should also comply withother relevant legislation such as on clinical trials, see Recital 156, mentioning Regulation (EU) No 536/2014 of theEuropean Parliament and of the Council of 16 April 2014 on clinical trials on medicinal products for human use. See
also WP29 Opinion 15/2011 on the definition of consent (WP 187), p. 7: “Moreover, obtaining consent does notnegate the controller's obligations under Article 6 with regard to fairness, necessity and proportionality, as well as
data quality. For instance, even if the processing of personal data is based on the consent of the user, this would notlegitimise the collection of data which is excessive in relation to a particular purpose.” […] As a principle, consent
should not be seen as an exemption from the other data protection principles, but as a safeguard. It is primarily aground for lawfulness, and it does not waive the application of other principles.”
たとえば、前文第 156 項を参照。科学目的のための個人データの取扱いは、臨床試験のような他の関連する法律にも従うべきである。人的利用のための医療製品おける臨床試験に関する 2014 年 4 月 16 日付け欧州議会及び欧州理事会規則（EU）536/2014 について述べた前文第 156 項を参照。また 29 条作業部会の「同意の定義に関する意見 15/2011」（WP187）、7 頁を参照。
「さらに、同意を得ることは、公正性、必要性、比
例性及びデータの質に関して第 6 条のもとでの管理者の義務を無効としてはいない。たとえば、個人デー
タの取扱いがユーザーの同意に基づいているならば、これは特定の目的に関して過剰であるデータの収集を正当化しないだろう。
・・・原則的に、同意は他のデータ保護原則からの例外としてではなく、セーフガ
ードとみなされるべきである。それは第一に適法性の根拠であり、他の原則の適用を放棄させるものではない」。

adopted

74

適用

74

必要性に焦点を当てている。それらの目的は、「本規則に従い、データ主体の権利及び自由のための適切な保護措置に服する」。データの最小化、匿名化及びデータのセキュリティは可能な保護措置として挙げられる 73。匿名化は、個人データの取扱いなしに研究目的が迅速に実現できるときには、望ましい解決策となる。

161. Transparency is an additional safeguard when the circumstances of the research do notallow for a specific consent. A lack of purpose specification may be offset by informationon the development of the purpose being provided regularly by controllers as theresearch project progresses so that, over time, the consent will be as specific as possible.
When doing so, the data subject has at least a basic understanding of the state of play,allowing him/her to assess whether or not to use, for example, the right to withdraw
consent pursuant to Article 7(3).74
透明性は、研究環境が特定の同意を認める状況にない場合、追加の保護措置となる。特定された目的の不足は、研究プロジェクトの進展に合わせて、管理者が定期的に提供する目的設定に関する情報により穴埋めされ、時間の経過と共に同意も可能な限り特定されるようになる。
そうすれば、データ主体は少なくとも状況について基本的な理解をするようになり、第 7 条（3）による同意を撤回する権利を行使するかどうかの評価もできるようになる 74。

162. Also, having a comprehensive research plan available for data subjects to take note of,before they consent could help to compensate a lack of purpose specification.75 This
research plan should specify the research questions and working methods envisaged
as clearly as possible. The research plan could also contribute to compliance with Article
7(1), as controllers need to show what information was available to data subjects at thetime of consent in order to be able to demonstrate that consent is valid.
また、同意の前にデータ主体が利用できる包括的な研究計画を持つことは、目的の特定の不足を補うのに役立つだろう 75。その研究計画は、できる限りはっきりと、研究上の問題と想定さ

74

Other transparency measures may also be relevant. When controllers engage in data processing for scientificpurposes, while full information cannot be provided at the outset, they could designate a specific contact person fordata subjects to address with questions.
他の透明性の措置も関係するかもしれない。十分な情報が最初に提供できないながらも、管理者が科学目的のためのデータの取扱いに関わる場合、それらはデータ主体の質問に答える特定のコンタクト・パーソンを指定しておくことができるかもしれない。
75

Such a possibility can be found in Article 14(1) of the current Personal Data Act of Finland (Henkilötietolaki,
523/1999).
この可能性は、フィンランドの現行の個人データ法（Henkilötietolaki, 523/1999）第 14 条（1）でみることができる。

adopted

75

適用

75

れる作業方法を特定すべきである。研究計画は第 7 条（1）の遵守にも役立つ。管理者は、同意が有効であることを示すために、同意時点でデータ主体の利用できる情報を証明しなければならないためである。

163. It is important to recall that where consent is being used as the lawful basis forprocessing there must be a possibility for a data subject to withdraw that consent. The
EDPB notes that withdrawal of consent could undermine types scientific research that
require data that can be linked to individuals, however the GDPR is clear that consent
can be withdrawn and controllers must act upon this – there is no exemption to thisrequirement for scientific research. If a controller receives a withdrawal request, it mustin principle delete the personal data straight away if it wishes to continue to use the data
for the purposes of the research.76
同意が取扱いの法的な根拠として利用される場合、データ主体が同意を撤回する可能性がなければならないことを思い出すことが重要である。EDPB は、同意の撤回が、個人に関係するようなデータを必要とするタイプの科学研究を損なうかもしれないことを述べた。しかし、GDPR は、同意が撤回できるものであり、管理者がそれに応じて行動しなければならないとして、明解にしている－科学研究をこの要件の例外とはしていない。管理者が撤回の要求を受ける場合、その管理者は、研究目的のためにデータを利用し続けたいと望むにしても、原則として、直ちにその個人データを消去しなければならない 76。

7.3 Data subject’s rights
データ主体の権利
164. If a data processing activity is based on a data subject’s consent, this will affect that
individual’s rights. Data subjects may have the right to data portability (Article 20) whenprocessing is based on consent. At the same time, the right to object (Article 21) does
not apply when processing is based on consent, although the right to withdraw consent
at any time may provide a similar outcome.
データ取扱行為がデータ主体の同意に基づくならば、それは個人の権利に影響する。データ
主体は、取扱いが同意に基づくとき、データポータビリティの権利（第 20 条）を持ちうる。しかし異議を述べる権利（第 21 条）は、同意を撤回する権利が同様の結果をもたらすかもしれな
いものの、取扱いが同意に基づくときには適用されない。

76

See also WP29 Opinion 05/2014 on "Anonymisation Techniques" (WP216).
第 29 条作業部会「匿名化技術に関する意見 05/2014」（WP216）を参照。

adopted

76

適用

76

165. Articles 16 to 20 of the GDPR indicate that (when data processing is based on consent),
data subjects have the right to erasure when consent has been withdrawn and the rights
to restriction, rectification and access.77
GDPR の第 16 条から第 20 条までは、（データの取扱いが同意に基づく場合、）データ主体が同意を撤回したときの消去の権利、並びに、制限、訂正及びアクセスする権利を持つことを示している 77。

8

CONSENT OBTAINED UNDER DIRECTIVE 95/46/EC
指令 95/46/ECにおいて取得された同意

166. Controllers that currently process data on the basis of consent in compliance withnational data protection law are not automatically required to completely refresh allexisting consent relations with data subjects in preparation for the GDPR. Consent,
which has been obtained, to date continues to be valid in so far as it is in line with theconditions laid down in the GDPR.
国内のデータ保護法に従った同意に基づきデータの取扱いを行っている管理者は、GDPRの準備としてデータ主体との既存の同意関係の全てを完全に更新するように求められている
わけではない。これまでに取得されている同意は、GDPR に定める条件に沿っている限り、引き続き有効である。

167. It is important for controllers to review current work processes and records in detail,before 25 May 2018, to be sure existing consents meet the GDPR standard (see Recital
171 of the GDPR78). In practice, the GDPR raises the bar with regard to implementing

77 In cases where certain data processing activities are restricted in accordance with Article 18, GDPR, consent of thedata subject may be needed to lift restrictions.
GDPR 第 18 条にしたがって、データ取扱活動が制限されるケースでは、データ主体の同意は制限を解除するために求められることがある。
78

Recital 171 GDPR states: “Directive 95/46/EC should be repealed by this Regulation. Processing already under
way on the date of application of this Regulation should be brought into conformity with this Regulation within the
period of two years after which this Regulation enters into force. Where processing is based on consent pursuant to
Directive 95/46/EC, it is not necessary for the data subject to give his or her consent again if the manner in which theconsent has been given is in line with the conditions of this Regulation, so as to allow the controller to continue suchprocessing after the date of application of this Regulation. Commission decisions adopted and authorisations bysupervisory authorities based on Directive 95/46/EC remain in force until amended, replaced or repealed.”
GDPR 前文第 171 項は、「指令 95/46/EC は、本規則によって廃止される。本規則が適用される日において既に行われている取扱いは、本規則の発効の後 2 年以内に、本規則に適合するようにされなければならない。取扱いが指令 95/46/EC による同意に基づくものである場合、その同意を与えた態様が本規則の条件

adopted

77

適用

77

consent mechanisms and introduces several new requirements that require controllers
to alter consent mechanisms, rather than rewriting privacy policies alone.79
管理者にとって重要なのは、2018 年 5 月 25 日までに、既存の同意が GDPR の基準（GDPRの前文第 171 項を参照 78）を満たしていることを確保する現在の作業プロセスと記録を詳細に見直すことである。実際には、GDPR は、同意メカニズムの実施に関する基準を引き上げ、またプライバシー・ポリシーの見直しというより、同意メカニズムを改めるように管理者に求めたい
くつかの新しい要件を導入している 79。
168. For example, as the GDPR requires that a controller must be able to demonstrate thatvalid consent was obtained, all presumed consents of which no references are kept willautomatically be below the consent standard of the GDPR and will need to be renewed.
Likewise as the GDPR requires a “statement or a clear affirmative action”, all presumed
consents that were based on a more implied form of action by the data subject (e.g. a
pre-ticked opt-in box) will also not be apt to the GDPR standard of consent.
たとえば、GDPR は、管理者が有効な同意が得られたことを証明できなければならないことを求めているため、参照できるものを持たない全ての推定的な同意は自動的に GDPR の同意基準を下回るために、更新される必要がある。GDPR が「陳述又は明確な積極的行為」を求めているように、データ主体の暗黙的な行為（たとえば、事前にチェックが入った同意のチェッ
クボックス（pre-ticked opt-in boxes））に基づく推定された同意の全ても、同意に関するGDPR の基準を満たさない。
169. Furthermore, to be able to demonstrate that consent was obtained or to allow for moregranular indications of the data subject’s wishes, operations and IT systems may needrevision. Also, mechanisms for data subjects to withdraw their consent easily must be
available and information about how to withdraw consent must be provided. If existingprocedures for obtaining and managing consent do not meet the GDPR’s standards,
controllers will need to obtain fresh GDPR compliant consent.
さらに、同意がすでに得られていることを証明できること、又はデータ主体の希望、オペレーシに沿うものである限り、本規則の適用の日の後に管理者がその取扱いを継続することができるようにする
ために、データ主体が自己の同意を重ねて提供することを要しない。指令 95/46/EC に基づいて採択され、監督機関によって承認された欧州委員会の決定は、その改正、置き換え又は廃止があるまでの間は、その有効性を維持する。」ことを記している。
79 As indicated in the introduction, the GDPR provides further clarification and specification of the requirements for

obtaining and demonstrating valid consent. Many of the new requirements build upon Opinion 15/2011 on consent.
「はじめに」で述べたように、GDPR は、有効な同意を取得し、またそれを証明するための要件の明確化と特定を定めている。新しい要件の多くは、同意に関する意見書 15/2011 に基づいて、作成されている。

adopted

78

適用

78

ョン、IT システムについてより細かい粒度の表示を可能にする点については、改定が必要かもしれない。また、データ主体がその同意を容易に撤回できるメカニズムも利用できるようにし、同意を撤回する方法についての情報も提供されなければならない。同意の取得と管理に関する既存の手続きが GDPR の基準を満たしていない場合には、管理者は GDPR に従った新たな同意を得る必要がある。

170. On the other hand, as not all elements named in Articles 13 and 14 must always bepresent as a condition for informed consent, the extended information obligations under
the GDPR do not necessarily oppose the continuity of consent, which has been granted
before the GDPR enters into force (see page 15 above). Under Directive 95/46/EC, there
was no requirement to inform data subjects of the basis upon which the processing was
being conducted.
他方、第 13 条及び第 14 条に挙げる要素の全てが、説明を受けた上での同意のための条件として常に提供されなければならないわけではないため、GDPR のもとで拡張された情報義務は、GDPR 施行前に与えられた同意の継続を必ずしも無効としているわけではない（［訳注：英語原文］15 頁参照）。指令 95/46/EC のもとでは、取扱いが行われる根拠についての情報をデータ主体に提供する要件はなかった。
171. If a controller finds that the consent previously obtained under the old legislation will notmeet the standard of GDPR consent, then controllers must undertake action to comply
with these standards, for example by refreshing consent in a GDPR-compliant way.
Under the GDPR, it is not possible to swap between one lawful basis and another. If acontroller is unable to renew consent in a compliant way and is also unable –as a one
off situation- to make the transition to GDPR compliance by basing data processing ona different lawful basis while ensuring that continued processing is fair and accounted
for, the processing activities must be stopped. In any event, the controller needs toobserve the principles of lawful, fair and transparent processing.
管理者が旧法のもとで得た以前の同意が GDPR の同意水準を満たしていないと考える場合、その管理者は、たとえば、GDPR を遵守する方法で同意を更新することによって、その基準に従うための行動を取らなければならない。GDPR のもとでは、ある法的根拠を別の法的根拠に置き換えることはできない。継続する取扱いが公正であり説明責任を果たしているとしても、管理者が法律に準拠した方法で同意を更新できず、また－単発的な状況として－データの取扱いを異なった法的根拠に基づかせることによって GDPR の遵守に適応できないならば、取扱活動は中止されなければならない。いずれにせよ、管理者は、適法であり、公正であり、かつ透明性のある取扱いの原則を遵守する必要がある。
adopted79

適用79