個人データの取扱いに係る自然人の保護及び当該データの自由な移転に関する欧州議会及び欧州理事会規則（一般データ保護規則）（仮日本語訳）REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of on the protection ofnatural persons with regard to the processing of personal data and on the free movement of such data, andrepealing Directive 95/46/EC (General Data Protection Regulation)2016 年 8 月
一般財団法人日本情報経済社会推進協会

この翻訳は、2016 年 4 月 14 日に欧州議会本会議で可決された ”REGULATION OF THE EUROPEANPARLIAMENT AND OF THE COUNCIL on the protection of natural persons with regard to the processingof personal data and on the free movement of such data, and repealing Directive 95/46/EC（General Data
Protection Regulation）” の英語版の一部を翻訳したものである。日本語への翻訳の責任は、翻訳者である
JIPDEC が負う。本翻訳は参考のための仮日本語訳であって、正確な内容については原文を参照されたい。
なお、本仮日本語訳の作成にあたっては、野村至氏に多大なるご協力をいただいた。また、以下の方々より貴重なご意見をいただいた。誠にありがとうございました。
亜細亜大学 法学部 加藤隆之教授
東京大学 大学院情報学環 生貝直人客員准教授
株式会社国際社会経済研究所 情報社会研究部 小泉雄介主幹研究員
筑波大学図書館情報メディア系 石井夏生利准教授

目次
条文 ...........................................................................................................................................................................1
第 1章

総則 .......................................................................................................................................................1

第 1条

対象事項と目的............................................................................................................................1

第 2条

実体的範囲....................................................................................................................................1

第 3条

地理的範囲....................................................................................................................................2

第 4条

定義 ...............................................................................................................................................3

第 2章

諸原則 ...................................................................................................................................................8

第 5条

個人データの取扱いに関する原則 ............................................................................................8

第 6条

適法な取扱い................................................................................................................................9第 7条

同意の条件.................................................................................................................................. 11

第 8条

情報社会サービスに関する子どもの同意に対して適用される条件 .................................. 12

第 9条

特別な種類の個人データの取扱い .......................................................................................... 12

第 10 条 有罪判決及び犯罪に係る個人データの取扱い .................................................................... 15
第 11 条 識別を要求しない取扱い ........................................................................................................ 15
第 3章
第 1節

データ主体の権利.............................................................................................................................. 16
透明性及び手続.............................................................................................................................. 16

第 12 条 データ主体の権利行使のための透明性のある情報、通知及び手続 ................................ 16
第 2節

情報及び個人データへのアクセス .............................................................................................. 18

第 13 条 データ主体から個人データを収集する場合に提供される情報 ........................................ 18
第 14 条 データ主体から個人データを取得しない場合に提供される情報 .................................... 20
第 15 条 データ主体のアクセス権 ........................................................................................................ 22
第 3節

訂正及び消去.................................................................................................................................. 25

第 16 条 訂正の権利................................................................................................................................ 25
第 17 条 消去の権利（忘れられる権利） ............................................................................................ 25
第 18 条 取扱い制限の権利 .................................................................................................................... 26
第 19 条 個人データの訂正若しくは消去又は取扱いの制限に関する通知義務 ............................ 27i

第 20 条 データポータビリティーの権利 ............................................................................................ 28
第 4節

異議を唱える権利及び個人に対する自動化された意思決定 .................................................. 29

第 21 条 異議を唱える権利 .................................................................................................................... 29
第 22 条 プロファイリングを含む自動化された個人意思決定 ........................................................ 30
第 5節

制限 ................................................................................................................................................. 31

第 23 条 制限 ........................................................................................................................................... 31
第 4章
第 1節

管理者及び取扱者.............................................................................................................................. 33
一般的義務...................................................................................................................................... 33

第 24 条 管理者の責任............................................................................................................................ 33
第 25 条 データ保護バイデザイン及びデータ保護バイデフォルト ................................................ 33
第 26 条 共同管理者................................................................................................................................ 34
第 27 条EU 域内に拠点のない管理者又は取扱者の代理人 .............................................................. 35

第 28 条 取扱者........................................................................................................................................ 35
第 29 条 管理者又は取扱者の権限下での取扱い ................................................................................ 38
第 30 条 取扱い活動の記録 .................................................................................................................... 38
第 31 条 監督機関との協力 .................................................................................................................... 40
第 2節

個人データの保護.......................................................................................................................... 41

第 32 条 取扱いの保護............................................................................................................................ 41
第 33 条 個人データ侵害の監督機関への通知 .................................................................................... 42
第 34 条 データ主体への個人データ侵害の通知 ................................................................................ 43
第 3節

データ保護影響評価及び事前協議 .............................................................................................. 45

第 35 条 データ保護影響評価 ................................................................................................................ 45
第 36 条 事前協議.................................................................................................................................... 47
第 4節

データ保護オフィサー .................................................................................................................. 49

第 37 条 データ保護オフィサーの指名 ................................................................................................ 49
第 38 条 データ保護オフィサーの地位 ................................................................................................ 50
第 39 条 データ保護オフィサーの業務 ................................................................................................ 51
第 5節

行動規範及び認証.......................................................................................................................... 52ii

第 40 条 行動規範.................................................................................................................................... 52
第 41 条 承認された行動規範の監視 .................................................................................................... 54
第 42 条 認証 ........................................................................................................................................... 56
第 43 条 認証機関.................................................................................................................................... 57
第 5章

第三国又は国際機関への個人データ移転 ...................................................................................... 61

第 44 条 移転に関する一般原則 ............................................................................................................ 61
第 45 条 十分性決定に基づく移転 ........................................................................................................ 61
第 46 条 適切な保護措置に従った移転 ................................................................................................ 63
第 47 条 拘束的企業準則 ........................................................................................................................ 65
第 48 条EU 法によって認められていない移転又は開示 .................................................................. 68

第 49 条 特定の状況における例外 ........................................................................................................ 68
第 50 条 個人データ保護に関する国際協力 ........................................................................................ 70
第 6章
第 1節

独立監督機関...................................................................................................................................... 71
独立的地位...................................................................................................................................... 71

第 51 条 監督機関.................................................................................................................................... 71
第 52 条 独立性........................................................................................................................................ 71
第 53 条 監督機関のメンバーに関する一般的条件 ............................................................................ 72
第 54 条 監督機関の設置規則 ................................................................................................................ 73
第 2節

管轄、業務及び権限 ...................................................................................................................... 75

第 55 条 管轄 ........................................................................................................................................... 75
第 56 条 主監督機関の管轄 .................................................................................................................... 75
第 57 条 業務 ........................................................................................................................................... 76
第 58 条 権限 ........................................................................................................................................... 79
第 59 条 活動報告.................................................................................................................................... 82
第 7章
第 1節

協力及び一貫性.................................................................................................................................. 83
協力 ................................................................................................................................................. 83

第 60 条 主監督機関とその他関係監督機関との協力 ........................................................................ 83iii

第 61 条 相互支援.................................................................................................................................... 85
第 62 条 監督機関の共同作業 ................................................................................................................ 86
第 2節

一貫性 ............................................................................................................................................. 89

第 63 条 一貫性メカニズム .................................................................................................................... 89
第 64 条 欧州データ保護会議の意見 .................................................................................................... 89
第 65 条 欧州データ保護会議による紛争解決 .................................................................................... 91
第 66 条 緊急手続.................................................................................................................................... 93
第 67 条 情報の交換................................................................................................................................ 93
第 3節

欧州データ保護会議 ...................................................................................................................... 95

第 68 条 欧州データ保護会議 ................................................................................................................ 95
第 69 条 独立性........................................................................................................................................ 95
第 70 条 欧州データ保護会議の業務 .................................................................................................... 96
第 71 条 報告 ......................................................................................................................................... 100
第 72 条 手続 ......................................................................................................................................... 100
第 73 条 議長 ......................................................................................................................................... 100
第 74 条 議長の業務.............................................................................................................................. 100
第 75 条 事務局...................................................................................................................................... 101
第 76 条 機密性...................................................................................................................................... 102
第 8章

救済、法的責任及び制裁 ................................................................................................................ 103

第 77 条 監督機関への不服申立ての権利 .......................................................................................... 103
第 78 条 監督機関に対する効果的な司法救済の権利 ...................................................................... 103
第 79 条 管理者又は取扱者に対する効果的な司法救済 .................................................................. 104
第 80 条 データ主体の代理人 .............................................................................................................. 104
第 81 条 訴訟の一時停止 ...................................................................................................................... 105
第 82 条 賠償請求権及び法的責任 ...................................................................................................... 105
第 83 条 制裁金の一般条件 .................................................................................................................. 106
第 84 条 罰則 ......................................................................................................................................... 109
第 9章

特別な取扱い状況に関する条項 .................................................................................................... 111

iv

第 85 条 取扱いと表現及び情報の自由 .............................................................................................. 111
第 86 条 取扱いと公式文書へのパブリックアクセス ...................................................................... 111
第 87 条 取扱いと国民識別番号 .......................................................................................................... 111
第 88 条 職場における取扱い .............................................................................................................. 112
第 89 条 公共の利益における保管目的、科学的若しくは歴史的研究の目的又は統計目的のための取扱いに関する保護措置及び例外 ............................................................................................ 112
第 90 条 守秘義務.................................................................................................................................. 113
第 91 条 教会及び宗教組織の既存のデータ保護規則 ...................................................................... 115
第 10 章

委任行為及び実施行為 .................................................................................................................. 116

第 92 条 委任の行使.............................................................................................................................. 116
第 93 条 委員会の手続.......................................................................................................................... 116
第 11 章最終条項 ......................................................................................................................................... 118

第 94 条 指令 95/46/EC の廃止............................................................................................................. 118
第 95 条 欧州指令 2002/58/EC との関係 ............................................................................................. 118
第 96 条 事前に締結されていた条約との関係 .................................................................................. 118
第 97 条 欧州委員会報告 ...................................................................................................................... 118
第 98 条 データ保護に関するその他 EU 法の見直し ....................................................................... 119
第 99 条 施行及び適用.......................................................................................................................... 120

v

条文
第1章

総則

CHAPTER I GENERAL PROVISIONS

第 1 条 対象事項と目的
Article 1 Subject-matter and objectives
1.

本規則は、個人データの取扱いに係る自然人の保護に関する規定及び個人データの自由な流通に関する規定を定める。
1.
This Regulation lays down rules relating to the protection of natural persons with regard to the processing of
personal data and rules relating to the free movement of personal data.

2.

本規則は、自然人の基本的権利及び自由、並びに、特に彼らの個人データ保護の権利を保護する。
2.
This Regulation protects fundamental rights and freedoms of natural persons and in particular their right tothe protection of personal data.

3.

EU 域内の個人データの自由な移動は、個人データの取扱いに係る自然人の保護に関連する理由によって、制限又は禁止されてはならない。
3.
The free movement of personal data within the Union shall be neither restricted nor prohibited for reasonsconnected with the protection of natural persons with regard to the processing of personal data.

第 2 条 実体的範囲
Article 2 Material scope1.

本規則は、全部又は一部が自動的な手段による個人データの取扱いに適用される。ファイリン
グシステムの一部である、又はファイリングシステムの一部にすることが意図された個人デー
タの自動的な手段以外の取扱いにも適用される。
1.
This Regulation applies to the processing of personal data wholly or partly by automated means and to theprocessing other than by automated means of personal data which form part of a filing system or are intended toform part of a filing system.

2.

本規則は、次に掲げる個人データの取扱いには適用されない。
2.

This Regulation does not apply to the processing of personal data:(a)

EU 法の適用を受けない活動における個人データの取扱い。
(a)

(b)

in the course of an activity which falls outside the scope of Union law;

EU 条約、第 5 編第 2 章の適用を受ける活動を行う際の加盟国による個人データの取扱い。
(b)by the Member States when carrying out activities which fall within the scope of Chapter 2 of Title
V of the TEU;

(c)

全面的に個人的な又は家庭内の活動における自然人による個人データの取扱い。

1

(c)

(d)

by a natural person in the course of a purely personal or household activity;

公共の安全への脅威に対する保護及び防止を含む、犯罪の防止、捜査、探知、起訴、又は刑事罰を科すために所管官庁が行う個人データの取扱い。
(d)by competent authorities for the purposes of the prevention, investigation, detection or prosecutionof criminal offences, the execution of criminal penalties, including the safeguarding against and theprevention of threats to public security.

3.

EU 機関、団体、事業体及び行政機関による個人データの取扱いに関しては、規則(EC) No
45/2001 が適用される。規則(EC) No 45/2001 及び個人データの当該取扱いに適用可能な他のEU 法令は、第 98 条に従って本規則の原則及び規定に適合されなければならない。
3.
For the processing of personal data by the Union institutions, bodies, offices and agencies, Regulation (EC)No 45/2001 applies. Regulation (EC) No 45/2001 and other Union legal acts applicable to such processing of
personal data shall be adapted to the principles and rules of this Regulation in accordance with Article 98.

4.

本規則は、指令 2000/31/EC の適用を妨げるものではない。特に、当該指令の第 12 条から第 15条における仲介サービス・プロバイダーの責任に関する規則の適用を妨げるものではない。
4.
This Regulation shall be without prejudice to the application of Directive 2000/31/EC, in particular of theliability rules of intermediary service providers in Articles 12 to 15 of that Directive.

第 3 条 地理的範囲
Article 3 Territorial scope1.

本規則は、EU 域内の管理者又は取扱者の事業所の活動に関連してなされる個人データの取扱いに適用される。この場合、その取扱いが EU 域内又は域外でなされるか否かについては問わない。
1.
This Regulation applies to the processing of personal data in the context of the activities of an establishmentof a controller or a processor in the Union, regardless of whether the processing takes place in the Union or not.

2.

本規則は、EU 域内に拠点のない管理者又は取扱者による EU 在住のデータ主体の個人データの取扱いに適用される。ただし、取扱い活動が次に掲げる項目に関連しているものに限られる。
2.
This Regulation applies to the processing of personal data of data subjects who are in the Union by acontroller or processor not established in the Union, where the processing activities are related to:(a)

EU 在住のデータ主体に対する商品又はサービスの提供に関する取扱い。この場合、データ主体に支払が要求されるか否かについては問わない。
(a)the offering of goods or services, irrespective of whether a payment of the data subject is required,to such data subjects in the Union; or(b)

EU 域内で行われるデータ主体の行動の監視に関する取扱い。
(b)3.

the monitoring of their behaviour as far as their behaviour takes place within the Union.

本規則は、EU 域内に拠点を持たない管理者による個人データの取扱いにも適用されるが、国際公法により加盟国の国内法が適用される場所にある管理者による取扱いの場合に限られる。
3.
This Regulation applies to the processing of personal data by a controller not established in the Union, but
in a place where Member State law applies by virtue of public international law.

2

第 4 条 定義
Article 4 Definitions
本規則において、For the purposes of this Regulation:(1)「個人データ」とは、識別された又は識別され得る自然人（以下「データ主体」という。）に関するあらゆる情報を意味する。識別され得る自然人は、特に、氏名、識別番号、位置データ、
オンライン識別子のような識別子、又は当該自然人に関する物理的、生理的、遺伝子的、精神的、経済的、文化的若しくは社会的アイデンティティに特有な一つ若しくは複数の要素を参照
することによって、直接的に又は間接的に、識別され得る者をいう。
(1)'personal data' means any information relating to an identified or identifiable natural person ('data subject');
an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an
identifier such as a name, an identification number, location data, an online identifier or to one or more factors
specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;(2)「取扱い」とは、自動的な手段であるか否かにかかわらず、個人データ又は個人データの集合に対して行われるあらゆる作業又は一連の作業をいう。この作業は、取得、記録、編集、構造化、保存、修正又は変更、復旧、参照、利用、移転による開示、周知又はその他周知を可能なものにすること、整列又は結合、制限、消去又は破壊することをいう。
(2)'processing' means any operation or set of operations which is performed on personal data or on sets ofpersonal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage,
adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making
available, alignment or combination, restriction, erasure or destruction;(3)「取扱いの制限」とは、将来の個人データの取扱いを限定する目的で、保存された個人データに留意することをいう。
(3)'restriction of processing' means the marking of stored personal data with the aim of limiting theirprocessing in the future;(4)「プロファイリング」とは、自然人に関するある一定の個人的な側面を評価するために、
特に、自然人の業務実績、経済状況、健康、個人的嗜好、興味、信頼、行動、所在又は移動に関連する側面の分析又は予測をするためになされる、個人データの利用から成る個人データのあらゆる形態の自動的な処理をいう。
(4)'profiling' means any form of automated processing of personal data consisting of the use of personal data toevaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerningthat natural person's performance at work, economic situation, health, personal preferences, interests, reliability,
behaviour, location or movements;(5)「仮名化」とは、追加の情報が分離して保管され、識別された又は識別され得る自然人に個人データが帰属しないことを保証する技術的及び組織的措置をとることによって、当該追加の情報を利用せずに個人データがもはや特定のデータ主体に帰属しないような方法で、個人データを処理することをいう。
(5)'pseudonymisation' means the processing of personal data in such a manner that the personal data can nolonger be attributed to a specific data subject without the use of additional information, provided that such additional
information is kept separately and is subject to technical and organisational measures to ensure that the personal data
are not attributed to an identified or identifiable natural person;

3

(6)

「ファイリングシステム」とは、機能的又は地理的にみて、集結、分散、あるいは拡散されているか否かを問わず、特定の基準に従ってアクセスできる、あらゆる構造化された個人データの集合をいう。
(6)'filing system' means any structured set of personal data which are accessible according to specific criteria,
whether centralised, decentralised or dispersed on a functional or geographical basis;(7)「管理者」とは、単独で又は他と共同して、個人データの取扱いの目的及び手段を決定する自然人、法人、公的機関、行政機関又はその他の団体をいう。当該取扱いの目的及び手段が EU
法又は加盟国の国内法によって決定される場合には、管理者又は管理者の指定に関する特定の基準は、EU 法又は加盟国の国内法をもって定めることができる。
(7)'controller' means the natural or legal person, public authority, agency or other body which, alone or jointlywith others, determines the purposes and means of the processing of personal data; where the purposes and means ofsuch processing are determined by Union or Member State law, the controller or the specific criteria for its
nomination may be provided for by Union or Member State law;(8)

「取扱者」とは、管理者のために個人データの取扱いを行う自然人、法人、公的機関、行政機
関又はその他の団体をいう。
(8)'processor' means a natural or legal person, public authority, agency or other body which processes personal
data on behalf of the controller;(9)「取得者」とは、第三者であるか否かにかかわらず、データの開示を受ける自然人、法人、公的機関、行政機関又はその他の団体をいう。ただし、EU 法又は加盟国の国内法に従って特定の調査の枠内で個人データを取得する公共機関は、取得者とみなされない。これら公共機関による当該データの取扱いは、取扱いの目的に応じて適用されるデータ保護規定に従わなければ
ならない。
(9)
'recipient' means a natural or legal person, public authority, agency or another body, to which the personal
data are disclosed, whether a third party or not. However, public authorities which may receive personal data in theframework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients;
the processing of those data by those public authorities shall be in compliance with the applicable data protection
rules according to the purposes of the processing;(10)「第三者」とは、データ主体、管理者、取扱者及び管理者又は取扱者の直接の職権下でデータを取り扱う権限を与えられている者以外の自然人、法人、公的機関、行政機関又はその他の団
体をいう。
(10)
'third party' means a natural or legal person, public authority, agency or body other than the data subject,controller, processor and persons who, under the direct authority of the controller or processor, are authorised toprocess personal data;(11)

データ主体の「同意」とは、強制を受けず、、特定的に、情報提供を受けたうえでかつ曖昧でないデータ主体の意思表示であることを意味する。その意思は、当該データ主体が、宣言又は明らかな積極的行為によって、自己に係る個人データの取扱いに合意(agreement)して表すもの
とする。
(11)
'consent' of the data subject means any freely given, specific, informed and unambiguous indication of thedata subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to theprocessing of personal data relating to him or her;

(12)

「個人データ侵害」とは、移転、保存又はその他の取扱いがなされた個人データに対する偶発的又は違法な破壊、滅失、変更、許可されていない開示又はアクセスをもたらすセキュリティ侵害をいう。

4(12)'personal data breach' means a breach of security leading to the accidental or unlawful destruction, loss,
alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;(13)「遺伝データ」とは、自然人の生理機能又は健康に関する固有の情報を与え、特に当該自然人
からの生物的サンプルの分析から得られる、継承又は獲得した自然人の遺伝的特性に関わる個
人データをいう。
(13)'genetic data' means personal data relating to the inherited or acquired genetic characteristics of a natural
person which give unique information about the physiology or the health of that natural person and which result, inparticular, from an analysis of a biological sample from the natural person in question;(14)「生体データ」とは、顔画像又は指紋確証データのように、当該自然人に特有の識別性を認められる又は確かめられる、自然人の身体的、生理的又は行動的特性に関する特定の技術的処理から得られる個人データをいう。
(14)'biometric data' means personal data resulting from specific technical processing relating to the physical,
physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification ofthat natural person, such as facial images or dactyloscopic data;(15)「健康に関するデータ」とは、医療サービスへの提供状況を含む健康状態についての情報を明らかにする自然人の身体的又は精神的な健康に関する個人データをいう。
(15)'data concerning health' means personal data related to the physical or mental health of a natural person,
including the provision of health care services, which reveal information about his or her health status;(16)「主たる事業所」とは(16)'main establishment' means:(a)

複数の加盟国において事業所を持つ管理者についていえば、EU 域内において中央本部がある場所をいう。ただし、個人データの取扱いの目的及び手段の決定が EU 域内の管理者の他の事業所で行われておらず、当該他の事業所が当該実施決定に権限を持っていない場合に限る。この場合、当該決定が行われる事業所が主たる事業所と考えられるた
めである。
(a)
as regards a controller with establishments in more than one Member State, the place of its central
administration in the Union, unless the decisions on the purposes and means of the processing of personal
data are taken in another establishment of the controller in the Union and the latter establishment has thepower to have such decisions implemented, in which case the establishment having taken such decisions is
to be considered to be the main establishment;(b)

複数の加盟国において事業所を持つ取扱者についていえば、EU 域内の中央本部がある場所をいう。ただし、取扱者が EU 域内に中央本部を持たない場合には、取扱者が本規則に基づく特定の義務に服する範囲で、取扱者の事業所の活動に関連する主な取扱い活動が行われている EU 域内の取扱者の事業所をいう。
(b)
as regards a processor with establishments in more than one Member State, the place of its central
administration in the Union, or, if the processor has no central administration in the Union, theestablishment of the processor in the Union where the main processing activities in the context of theactivities of an establishment of the processor take place to the extent that the processor is subject tospecific obligations under this Regulation;(17)「代理人」とは、第 27 条により管理者又は取扱者によって書面で指名され、本規則に基づく管理者又は取扱者の各々の義務に関して彼等の代理をする EU 域内におかれた自然人又は法人
をいう。

5

(17)
'representative' means a natural or legal person established in the Union who, designated by the controller orprocessor in writing pursuant to Article 27, represents the controller or processor with regard to their respective
obligations under this Regulation;(18)「事業者」とは、法律上の形式を問わず、経済活動に従事している共同経営会社又は組織を含
む経済活動に従事している自然人又は法人をいう。
(18)'enterprise' means a natural or legal person engaged in an economic activity, irrespective of its legal form,
including partnerships or associations regularly engaged in an economic activity;(19)「事業体グループ」とは、統轄事業体及びその統轄下にある事業体をいう。
(19)

(20)

'group of undertakings' means a controlling undertaking and its controlled undertakings;「拘束的企業準則」とは、事業体グループ又は共同経済活動に従事する事業者グループ内で、一カ国又は複数の第三国における管理者又は取扱者に対して個人データ移転又は一連の個人データ移転のため、加盟国の領域上にある管理者又は取扱者によって遵守される個人データ保護方針をいう。
(20)'binding corporate rules' means personal data protection policies which are adhered to by a controller orprocessor established on the territory of a Member State for transfers or a set of transfers of personal data to acontroller or processor in one or more third countries within a group of undertakings, or group of enterprises
engaged in a joint economic activity;(21)「監督機関」とは、第 51 条により加盟国によって設立された独立した公的機関をいう。
(21)'supervisory authority' means an independent public authority which is established by a Member State
pursuant to Article 51;(22)「関係監督機関」とは、次に掲げるいずれかの事由により、個人データの取扱いに関係する監
督機関をいう。
(22)'supervisory authority concerned' means a supervisory authority which is concerned by the processing of
personal data because:(a)

管理者又は取扱者が当該監督機関の加盟国の領域内に存在する。
(a)the controller or processor is established on the territory of the Member State of that supervisory
authority;(b)

当該監督機関の加盟国に居住するデータ主体が、当該取扱いによって実質的に影響を受けているか、又は実質的に影響を受け得る。
(b)data subjects residing in the Member State of that supervisory authority are substantially affected or
likely to be substantially affected by the processing; or(c)

当該監督機関に苦情が申し立てられている。
(c)

(23)

a complaint has been lodged with that supervisory authority;「越境的取扱い」とは、次に掲げる事項のいずれかをいう。
(23)'cross-border processing' means either:(a)

管理者又は取扱者が複数加盟国で存在する場合、EU 域内の管理者又は取扱者の複数加盟国における事業所の活動に関連して行われる個人データの取扱い。

6

(a)processing of personal data which takes place in the context of the activities of establishments inmore than one Member State of a controller or processor in the Union where the controller or processor isestablished in more than one Member State; or(b)

EU 域内の管理者又は取扱者の単一の事業所の個人データの取扱いであるが、複数加盟国のデータ主体に実質的に影響を及ぼすか、又は影響を及ぼし得るような活動に関連して行われる個人データの取扱い。
(b)processing of personal data which takes place in the context of the activities of a single
establishment of a controller or processor in the Union but which substantially affects or is likely to
substantially affect data subjects in more than one Member State.

(24)「適切かつ合理的異議申立て」とは、本規則違反があるか否か、又は管理者若しくは取扱者による予定された行動が本規則に遵守しているか否かということに関して、データ主体の基本的権利及び自由並びに、適用がある場合、EU 域内の個人データの自由な移転に関する決定案によって提起されるリスクの重大性を明白に証明した不服申立てをいう。
(24)'relevant and reasoned objection' means an objection as to whether there is an infringement of thisRegulation or not, or whether the envisaged action in relation to the controller or processor complies with thisRegulation, which clearly demonstrates the significance of the risks posed by the draft decision as regards thefundamental rights and freedoms of data subjects and, where applicable, the free flow of personal data within theUnion;(25)「情報社会サービス」は欧州議会及び理事会の指令(EU) 2015/1535 の第 1 条第 1 項(b)で定義されたサービスをいう。
(25)'information society service' means a service as defined in point (b) of Article 1(1) of Directive (EU)2015/1535 of the European Parliament and of the Council1;(26)「国際組織」とは、国際公法によって規律されている組織及びその下部組織又は、二カ国以上の国家間の協定によって組織される若しくは右規定に基づくその他団体をいう。
(26)'international organisation' means an organisation and its subordinate bodies governed by public
international law, or any other body which is set up by, or on the basis of, an agreement between two or morecountries.

1

Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying
down a procedure for the provision of information in the field of technical regulations and of rules on
Information Society services (OJ L 241, 17.9.2015, p. 1).

7

第 2 章 諸原則
CHAPTER II PRINCIPLES

第 5 条 個人データの取扱いに関する原則
Article 5 Principles relating to processing of personal data1.

個人データは、
1.

Personal data shall be:(a)

データ主体との関係において、適法、公正かつ透明性のある手段で取り扱われなければならない。（適法性、公正性及び透明性の原則）(a)processed lawfully, fairly and in a transparent manner in relation to the data subject ('lawfulness,fairness and transparency');(b)

特定された、明確かつ適法な目的のために収集されなければならず、これら目的と相容れない方法で更なる取り扱いがなされてはならない。ただし、公共の利益における保管目的、科学的若しくは歴史的研究の目的又は統計目的のための更なる取扱いは、第 89
条第 1 項により、当初の目的と相容れない方法とはみなされない。（目的の限定の原則）(b)collected for specified, explicit and legitimate purposes and not further processed in a manner thatis incompatible with those purposes; further processing for archiving purposes in the public interest,
scientific or historical research purposes or statistical purposes shall, in accordance with Article 89(1), notbe considered to be incompatible with the initial purposes ('purpose limitation');(c)

取り扱われる目的の必要性に照らして、適切であり、関連性があり、最小限に限られていなければならない。（データの最小化の原則）(c)adequate, relevant and limited to what is necessary in relation to the purposes for which they areprocessed ('data minimisation');(d)

正確であり、必要な場合には最新に保たなければならない。取り扱われる目的に照らして、不正確な個人データが遅滞なく消去又は訂正されるのを確保するため、あらゆる合
理的な手段が講じられなければならない。（正確性の原則）(d)accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that
personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or
rectified without delay ('accuracy');(e)

当該個人データが取り扱われる目的に必要な期間を超えない範囲で、データ主体の識別が可能な状態で保存されなければならない。個人データは長期間保存されてもよいが、個人データが第 89 条第 1 項に従った公共の利益における保管目的、科学的若しくは歴史的研究の目的又は統計目的だけに取り扱われることに限るものとし、データ主体の権利と自由を保護するため本規則によって求められる適切な技術的及び組織的対策の実施を条件とする。（保存の制限の原則）(e)kept in a form which permits identification of data subjects for no longer than is necessary for the
purposes for which the personal data are processed; personal data may be stored for longer periods insofar
as the personal data will be processed solely for archiving purposes in the public interest, scientific or
historical research purposes or statistical purposes in accordance with Article 89(1) subject toimplementation of the appropriate technical and organisational measures required by this Regulation inorder to safeguard the rights and freedoms of the data subject ('storage limitation');

8

(f)

当該個人データの適切なセキュリティを確保する方法で取り扱われなければならない。
それは、無権限の又は違法な取扱いに対する保護、及び偶発的な滅失、破壊、又は損壊に対する保護を含むものとし、適切な技術的又は組織的対策を用いるものとする。（完
全性及び機密性の原則）(f)processed in a manner that ensures appropriate security of the personal data, including protection
against unauthorised or unlawful processing and against accidental loss, destruction or damage, using
appropriate technical or organisational measures ('integrity and confidentiality').

2.

管理者は第 1 項の義務を負い、その遵守を証明可能にしなければならない。（アカウンタビリ
ティの原則）
2.
The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1('accountability').

第 6 条 適法な取扱い
Article 6 Lawfulness of processing
1.

取扱いは、次に掲げる少なくとも一つの項目が適用される場合に限り、適法とする。
1.

Processing shall be lawful only if and to the extent that at least one of the following applies:(a)

データ主体が、一つ又は複数の特定の目的のために自己の個人データの取扱いに同意を与えた場合。
(a)the data subject has given consent to the processing of his or her personal data for one or more
specific purposes;(b)

データ主体が当事者となっている契約の履行のために取扱いが必要な場合、又は契約の締結前のデータ主体の求めに応じて手続を履践するために取扱いが必要な場合。
(b)processing is necessary for the performance of a contract to which the data subject is party or inorder to take steps at the request of the data subject prior to entering into a contract;(c)

管理者が従うべき法的義務を遵守するために取扱いが必要な場合。
(c)

(d)

processing is necessary for compliance with a legal obligation to which the controller is subject;

データ主体又は他の自然人の重大な利益を保護するために取扱いが必要な場合。
(d)processing is necessary in order to protect the vital interests of the data subject or of another natural
person;(e)

公共の利益又は管理者に与えられた公的権限の行使のために行われる業務の遂行において取扱いが必要な場合。
(e)processing is necessary for the performance of a task carried out in the public interest or in theexercise of official authority vested in the controller;(f)

管理者又は第三者によって追求される正当な利益のために取扱いが必要な場合。
ただし、データ主体の、特に子どもがデータ主体である場合の個人データの保護を求めている基本的権利及び自由が、当該利益に優先する場合を除く。
(f)processing is necessary for the purposes of the legitimate interests pursued by the controller or by athird party, except where such interests are overridden by the interests or fundamental rights and freedomsof the data subject which require protection of personal data, in particular where the data subject is a child.

9第 1 項前段(f)号は、公的機関が業務を遂行する際になす取扱いには適用されない。
Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performanceof their tasks.

2.

加盟国は、第 1 項(c)号及び(e)号を遵守するための取扱いに関して、本規則の規定に適合する
ように、より具体的規定を保持又は導入することができる。その方法は、取扱いに関するより正確で具体的な要件、及び第 9 章で定められている他の特別な取扱い状況に関することを含む
適法で公正な取扱いを保障するためのその他措置を決定することによる。
2.
Member States may maintain or introduce more specific provisions to adapt the application of the rules ofthis Regulation with regard to processing for compliance with points (c) and (e) of paragraph 1 by determining more
precisely specific requirements for the processing and other measures to ensure lawful and fair processing including
for other specific processing situations as provided for in Chapter IX.

3.

第 1 項(c)号及び(e)号で定める取扱いの根拠は、次に掲げるものによって定められる。
3.

The basis for the processing referred to in point (c) and (e) of paragraph 1 shall be laid down by:

(a)

EU 法。
(a)

(b)

Union law; or

管理者が従うべき加盟国の国内法。
(b)

Member State law to which the controller is subject.

取扱いの目的は、法的根拠で定められているか、又は第 1 項(e)号で定める取扱いに関しては、
公共の利益又は管理者に与えられた公的権限の行使のために行われる業務の遂行において必要なものでなければならない。この法的根拠には、本規則の規定に適合させるための具体的規定も含む。特に、管理者による取扱いの適法性を定める一般的条件、取扱いを必要とするデータの種類、関係するデータ主体、個人データが開示され得る相手先及び目的、目的の限定、保存期間、取扱いの方法及び手続、第 9 章で定められているその他特別な取扱い状況を含めた適法性及び公正な取扱いを確保するための対策を含む。EU 法又は加盟国の国内法は、公共の利益の目的と合致し、追求される適法な目的と釣り合うものでなければならない。
The purpose of the processing shall be determined in that legal basis or, as regards the processing referred to in point(e) of paragraph 1, shall be necessary for the performance of a task carried out in the public interest or in theexercise of official authority vested in the controller. That legal basis may contain specific provisions to adapt theapplication of rules of this Regulation, inter alia: the general conditions governing the lawfulness of processing by
the controller; the types of data which are subject to the processing; the data subjects concerned; the entities to, andthe purposes for which, the personal data may be disclosed; the purpose limitation; storage periods; and processing
operations and processing procedures, including measures to ensure lawful and fair processing such as those forother specific processing situations as provided for in Chapter IX. The Union or the Member State law shall meet an
objective of public interest and be proportionate to the legitimate aim pursued.

4.

個人データの取扱いが、収集された目的以外で、データ主体の同意に基づいていない場合、又は第 23 条第 1 項で定める目的を保護するために、民主主義社会における必要かつ釣り合った措置から成る EU 法又は加盟国の国内法に基づいていない場合、管理者は、目的外の取扱いが個人データが当初収集された際の目的と合致することを確保するため、特に次に掲げる項目を考慮しなければならない。
4.
Where the processing for a purpose other than that for which the personal data have been collected is notbased on the data subject's consent or on a Union or Member State law which constitutes a necessary andproportionate measure in a democratic society to safeguard the objectives referred to in Article 23(1), the controller
shall, in order to ascertain whether processing for another purpose is compatible with the purpose for which thepersonal data are initially collected, take into account, inter alia:

10

(a)

個人データが収集された目的と追加的取扱いの目的との間のあらゆる関連性(a)any link between the purposes for which the personal data have been collected and the purposes ofthe further processing;(b)

個人データが収集された文脈（コンテキスト）。特にデータ主体と管理者間の関係性。
(b)
the context in which the personal data have been collected, in particular regarding the relationshipbetween data subjects and the controller;(c)

個人データの性質。特に、第 9 条による特別な種類の個人データが取り扱われるか否か、又は第 10 条による有罪判決又は犯罪に係る個人データが取り扱われるか否か。
(c)the nature of the personal data, in particular whether special categories of personal data areprocessed, pursuant to Article 9, or whether personal data related to criminal convictions and offences areprocessed, pursuant to Article 10;(d)

意図されている更なる取扱いにおいて、データ主体に生じ得る結果。
(d)

(e)

the possible consequences of the intended further processing for data subjects;

暗号化又は仮名化を含めた適切な保護措置の存在。
(e)the existence of appropriate safeguards, which may include encryption or pseudonymisation.

第 7 条 同意の条件
Article 7 Conditions for consent
1.

取扱いが同意に基づく場合、管理者は、データ主体が自己の個人データの取扱いに対して同意しているということを証明できるようにしなければならない。
1.
Where processing is based on consent, the controller shall be able to demonstrate that the data subject hasconsented to processing of his or her personal data.

2.

データ主体の同意が他の案件にも関係する書面において与えられている場合、その同意の要求
は、明瞭かつ平易な文言を用い、理解しやすくかつ容易にアクセスし得る形で、その他の案件と明らかに区別できる方法によって明示されなければならない。本規則違反を含んだあらゆる宣言は拘束力がないものとする。
2.
If the data subject's consent is given in the context of a written declaration which also concerns othermatters, the request for consent shall be presented in a manner which is clearly distinguishable from the othermatters, in an intelligible and easily accessible form, using clear and plain language. Any part of such a declaration
which constitutes an infringement of this Regulation shall not be binding.

3.

データ主体は、いつでも同意を撤回する権利があるものとする。また、同意の撤回は撤回前の同意に基づく取扱いの合法性に影響を与えない。データ主体は、同意を与える以前にその旨が通知されていなければならない。同意の撤回は、その付与と同程度に容易なものでなければならない。
3.
The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent
shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data
subject shall be informed thereof. It shall be as easy to withdraw consent as to give it.

11

4.

同意が自由になされているかについて判断する際、サービス約款を含む契約の履行が、当該契約の履行に必要のない個人データの取扱いに対する同意を条件としているか否かについて、最大限の考慮が払われなければならない。
4.
When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, theperformance of a contract, including the provision of a service, is conditional on consent to the processing of
personal data that is not necessary for the performance of that contract.

第 8 条 情報社会サービスに関する子どもの同意に対して適用される条件
Article 8 Conditions applicable to child's consent in relation to information society services
1.

第 6 条第 1 項(a)号が適用される場合、子どもに対する直接的な情報社会サービスの提供に関し、子どもが 16 歳以上である場合、子どもの個人データの取扱いは適法とする。子どもが16 歳未満の場合、当該取扱いは、子に対する保護責任を持つ者によって同意又は許可がなされる限りにおいて、適法とする。
1.
Where point (a) of Article 6(1) applies, in relation to the offer of information society services directly to achild, the processing of the personal data of a child shall be lawful where the child is at least 16 years old. Where thechild is below the age of 16 years, such processing shall be lawful only if and to the extent that consent is given or
authorised by the holder of parental responsibility over the child.

加盟国は、低年齢者が 13 歳未満でないことを条件に、これら目的に関して当該低年齢者のための法を規定することができる。
Member States may provide by law for a lower age for those purposes provided that such lower age is not below 13
years.

2.

管理者は、利用可能な技術を考慮して、子どもに対する保護責任を持つ者によって同意が与えられた又は許可されたという状況を証明するために相当の努力をしなければならない。
2.
The controller shall make reasonable efforts to verify in such cases that consent is given or authorised by
the holder of parental responsibility over the child, taking into consideration available technology.

3.

第 1 項は、子どもに関する契約の法的有効性、構成又は影響といった、加盟国の一般的契約法に影響を与えない。
3.
Paragraph 1 shall not affect the general contract law of Member States such as the rules on the validity,
formation or effect of a contract in relation to a child.

第 9 条 特別な種類の個人データの取扱い
Article 9 Processing of special categories of personal data
1.

人種若しくは民族的素性、政治的思想、宗教的若しくは哲学的信条、又は労働組合員資格に関する個人データの取扱い、及び遺伝データ、自然人の一意な識別を目的とした生体データ、健康に関するデータ又は自然人の性生活若しくは性的指向に関するデータの取扱いは禁止する。
1.
Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophicalbeliefs, or trade-union membership, and the processing of genetic data, biometric data for the purpose of uniquely
identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual
orientation shall be prohibited.

12

2.

第 1 項は次に掲げる場合には適用されない。
2.

Paragraph 1 shall not apply if one of the following applies:(a)

データ主体が、一つ又は複数の特定された目的のために当該個人データの適用に対して明示的な同意を与えた場合。ただし、EU 法又は加盟国の国内法が、第 1 項で定める禁止事項がデータ主体によって解除されるべきではないと定めている場合を除く。
(a)the data subject has given explicit consent to the processing of those personal data for one or more
specified purposes, except where Union or Member State law provide that the prohibition referred to inparagraph 1 may not be lifted by the data subject;(b)

雇用及び社会保障並びに社会的保護に関する法の分野における管理者又はデータ主体の義務の履行及び特定の権利を行使する目的で取扱いが必要な場合。ただし、当該法が、EU 法若しくは加盟国の国内法又は基本的権利及びデータ主体の利益に対する適切な保護を定めた加盟国の国内法による労働協約によって認められている場合に限る。
(b)
processing is necessary for the purposes of carrying out the obligations and exercising specificrights of the controller or of the data subject in the field of employment and social security and social
protection law in so far as it is authorised by Union or Member State law or a collective agreement pursuant
to Member State law providing for appropriate safeguards for the fundamental rights and the interests of thedata subject;(c)

データ主体が物理的又は法的に同意を与えることができないとき、データ主体又は他の自然人の重要な利益を保護するために取扱いが必要な場合。
(c)
processing is necessary to protect the vital interests of the data subject or of another natural person
where the data subject is physically or legally incapable of giving consent;(d)

政治、哲学、宗教若しくは労働組合の目的を持つ財団、組織又はあらゆる他の非営利団体による適切な保護措置を備えた適法な活動において取扱いが実行される場合。ただし、その取扱いは、メンバー、団体の前メンバー、又はその目的において団体と定期的に接触をしている人々に関する取扱いであり、データ主体の同意なく団体外に個人データが開示されないことを条件とする。
(d)processing is carried out in the course of its legitimate activities with appropriate safeguards by afoundation, association or any other not-for-profit body with a political, philosophical, religious or tradeunion aim and on condition that the processing relates solely to the members or to former members of the
body or to persons who have regular contact with it in connection with its purposes and that the personal
data are not disclosed outside that body without the consent of the data subjects;(e)

取扱いがデータ主体によって明白に公開された個人データに関する場合。
(e)

(f)

processing relates to personal data which are manifestly made public by the data subject;

法的主張時の立証、行使若しくは抗弁又は裁判所がその法的資格に基づいて決定するために取扱いが必要な場合。
(f)processing is necessary for the establishment, exercise or defence of legal claims or whenevercourts are acting in their judicial capacity;(g)

実質的な公共の利益を理由として取扱いが必要な場合。ただし、求められた目的と比例し、データ保護の権利の本質を尊重し、データ主体の利益及び基本的権利を保護するための適切かつ特定の対策を規定した EU 法又は加盟国の国内法に基づく。
(g)processing is necessary for reasons of substantial public interest, on the basis of Union or Member
State law which shall be proportionate to the aim pursued, respect the essence of the right to data protection

13and provide for suitable and specific measures to safeguard the fundamental rights and the interests of thedata subject;(h)

予防的な若しくは職務上の医療目的、従業員の業務能力の評価、医療診断、又はヘルス
ケアや処置若しくはソーシャルケアや処置の提供にとって取扱いが必要な場合。又は、EU 法若しくは加盟国の国内法に基づくか、医療専門家との契約でかつ第 3 項で定める条件並びに保護措置に服する契約に依拠したヘルスケア若しくはソーシャルケアの制度
及びサービスにとって取扱いが必要な場合。
(h)processing is necessary for the purposes of preventive or occupational medicine, for the assessmentof the working capacity of the employee, medical diagnosis, the provision of health or social care ortreatment or the management of health or social care systems and services on the basis of Union or Member
State law or pursuant to contract with a health professional and subject to the conditions and safeguards
referred to in paragraph 3;(i)

公衆衛生の分野における公共の利益を理由として取扱いが必要な場合。例えば、重大な越境衛生脅威に対する保護、ヘルスケア並びに医療製品又は医療機器の質及び安全性の高水準の保証といった理由。ただし、データ主体の権利若しくは自由、特に秘密保持を保護するため適切かつ具体的対策を規定する EU 法又は加盟国の国内法に基づく。
(i)
processing is necessary for reasons of public interest in the area of public health, such as protecting
against serious cross-border threats to health or ensuring high standards of quality and safety of health careand of medicinal products or medical devices, on the basis of Union or Member State law which provides
for suitable and specific measures to safeguard the rights and freedoms of the data subject, in particularprofessional secrecy; or(j)

公共の利益、第 89 条第 1 項による科学的若しくは歴史的研究目的又は統計目的の達成のために取扱いが必要な場合。ただし、求められた目的と比例し、データ保護の権利の本質を尊重し、データ主体の基本的権利並びに利益を保護するための適切かつ具体的対策を規定する EU 法又は加盟国の国内法に基づく。
(j)processing is necessary for archiving purposes in the public interest, scientific or historical research
purposes or statistical purposes in accordance with Article 89(1) based on Union or Member State law
which shall be proportionate to the aim pursued, respect the essence of the right to data protection andprovide for suitable and specific measures to safeguard the fundamental rights and the interests of the data
subject.

3.

第 1 項で定める個人データは、当該個人データが、EU 法若しくは加盟国の国内法若しくは国内の適格団体によって定められた規定に基づく守秘義務に従う専門家又は専門家の責任下で取り扱われるか、又は EU 法若しくは加盟国の国内法若しくは国内の適格団体によって定められた規定に基づく守秘義務に従うその他の自然人によって取り扱われる場合、第 2 項(h)号で定める目的で取り扱われてもよい。
3.
Personal data referred to in paragraph 1 may be processed for the purposes referred to in point (h) ofparagraph 2 when those data are processed by or under the responsibility of a professional subject to the obligationof professional secrecy under Union or Member State law or rules established by national competent bodies or byanother person also subject to an obligation of secrecy under Union or Member State law or rules established bynational competent bodies.

4.

加盟国は、制限を含め、遺伝データ、生体データ又は健康に関するデータに係る追加的規定を維持又は導入することができる。
4.
Member States may maintain or introduce further conditions, including limitations, with regard to theprocessing of genetic data, biometric data or data concerning health.

14

第 10 条 有罪判決及び犯罪に係る個人データの取扱い
Article 10 Processing of personal data relating to criminal convictions and offences
第 6 条第 1 項に基づき、有罪判決及び犯罪又は関連する安全対策に係る個人データの取扱いは、公的機関の管理下においてなされるか、又は取扱いがデータ主体の権利及び自由に関して適切な保護対策が規定されている EU 法又は加盟国の国内法で取扱いが認められている場合のみ実行されるものとする。有罪判決に関するあらゆる包括的記録は公的権限の管理下においてのみ保持されるものとする。
Processing of personal data relating to criminal convictions and offences or related security measures based on Article 6(1)shall be carried out only under the control of official authority or when the processing is authorised by Union or Member
State law providing for appropriate safeguards for the rights and freedoms of data subjects. Any comprehensive register ofcriminal convictions shall be kept only under the control of official authority.

第 11 条 識別を要求しない取扱い
Article 11 Processing which does not require identification1.

管理者が個人データを取り扱う目的が、管理者によるデータ主体の識別を要求しない又はもは
や要求しなくなった場合、管理者は、本規則を遵守するという単独目的においてデータ主体を識別するために、追加の情報を維持、取得又は取り扱う義務を負わされない。
1.
If the purposes for which a controller processes personal data do not or do no longer require theidentification of a data subject by the controller, the controller shall not be obliged to maintain, acquire or process
additional information in order to identify the data subject for the sole purpose of complying with this Regulation.

2.

本条第 1 項で定める状況において、管理者はデータ主体を識別する地位にないことを証明する
ことができる場合、可能であるならば、管理者は状況に応じてデータ主体に通知するものとする。そのような場合、第 15 条から第 20 条は、当該条項に基づくデータ主体の権利行使の目的で当該主体が当該主体の識別を可能とする追加的情報を提供する場合を除き、適用されない。
2.
Where, in cases referred to in paragraph 1 of this Article, the controller is able to demonstrate that it is notin a position to identify the data subject, the controller shall inform the data subject accordingly, if possible. In suchcases, Articles 15 to 20 shall not apply except where the data subject, for the purpose of exercising his or her rights
under those articles, provides additional information enabling his or her identification.

15

第3章

データ主体の権利

CHAPTER III RIGHTS OF THE DATA SUBJECT

第1節

透明性及び手続

SECTION 1 TRANSPARENCY AND MODALITIES

第 12 条 データ主体の権利行使のための透明性のある情報、通知及び手続
Article 12 Transparent information, communication and modalities for the exercise of the rights of the data
subject1.

管理者は、第 13 条並びに第 14 条で定めるあらゆる情報及び第 15 条から第 22 条並びに第 34条に基づくあらゆる通知を提供するための適切な手段をとらなければならない。データ主体に対する取扱いに関し、明瞭かつ平易な文言が使われ、簡潔で、透明性があり、理解しやすくか
つ容易にアクセスし得る形態をもって情報及び通知が行われるものとする。とりわけ子どもに対して特に書かれた情報は適切な手段をとるものとする。当該情報は書面で提供されるものとし、適切な場合、電子的手段を含め、その他手段によって提供されるものとする。データ主体
によって要求され、データ主体の身元がその他手段で証明されるならば、情報は口頭で提供されてもよい。
1.
The controller shall take appropriate measures to provide any information referred to in Articles 13 and 14
and any communication under Articles 15 to 22 and 34 relating to processing to the data subject in a concise,transparent, intelligible and easily accessible form, using clear and plain language, in particular for any information
addressed specifically to a child. The information shall be provided in writing, or by other means, including, whereappropriate, by electronic means. When requested by the data subject, the information may be provided orally,
provided that the identity of the data subject is proven by other means.

2.

管理者は、第 15 条から第 22 条で定めるデータ主体の権利の行使を容易にするものとする。第11 条第 2 項で定める状況において、管理者は、管理者がデータ主体を識別する立場にないことを証明しない限り、第 15 条から第 22 条に基づくデータ主体の権利行使に関して、当該主体の要求に基づく行為を拒んではならない。
2.
The controller shall facilitate the exercise of data subject rights under Articles 15 to 22. In the cases referred
to in Article 11(2), the controller shall not refuse to act on the request of the data subject for exercising his or her
rights under Articles 15 to 22, unless the controller demonstrates that it is not in a position to identify the data
subject.

3.

管理者は、第 15 条から第 22 条に基づく要求に基づいて取られた行為に関する情報を不当な遅滞なしに、いかなる場合でもその要求を受け取ってから 1 カ月以内に、データ主体に提供しなければならない。当該期間は、要求の複雑性又は数を考慮し、必要に応じて、更に 2 カ月まで
延長することができる。管理者は、要求を受け取ってから 1 カ月以内に、遅滞の理由とともに、当該延長をデータ主体に通知するものとする。データ主体が電子的手段で要求を行う場合、データ主体によって要求がなされない限り、可能であるならば電子的手段で通知は提供されるものとする。
3.
The controller shall provide information on action taken on a request under Articles 15 to 22 to the data
subject without undue delay and in any event within one month of receipt of the request. That period may be
extended by two further months where necessary, taking into account the complexity and number of the requests.
The controller shall inform the data subject of any such extension within one month of receipt of the request,
together with the reasons for the delay. Where the data subject makes the request by electronic form means, theinformation shall be provided by electronic means where possible, unless otherwise requested by the data subject.

16

4.

管理者がデータ主体の要求への対応を拒む場合、管理者は、データ主体に、その拒否の理由、及び監督機関に不服申立て並びに法的救済を求めることができる旨を、遅滞なく、遅くとも 1
カ月以内に通知する。
4.
If the controller does not take action on the request of the data subject, the controller shall inform the data
subject without delay and at the latest within one month of receipt of the request of the reasons for not taking action
and on the possibility of lodging a complaint with a supervisory authority and seeking a judicial remedy.

5.

第 13 条並びに第 14 条で定める情報並びに第 15 条から第 22 条並及び第 34 条で定めるあらゆ
る通知及びあらゆる行為は無償で提供されるものとする。データ主体からの要求が明らかに無根拠又は過度である、特に反復する性質による場合、管理者は次に掲げる事項のいずれかを行うことができる。
5.
Information provided under Articles 13 and 14 and any communication and any actions taken under Articles
15 to 22 and 34 shall be provided free of charge. Where requests from a data subject are manifestly unfounded orexcessive, in particular because of their repetitive character, the controller may either:(a)

情報若しくは通知を提供する又は要求された行為を実施する管理費用を考慮し、過度にならない手数料を請求すること。
(a)charge a reasonable fee taking into account the administrative costs of providing the information orcommunication or taking the action requested; or(b)

要求された行為を拒むこと。
(b)refuse to act on the request.

管理者は、要求が明らかに無根拠又は過度な性質であることを証明する責任を負うものとする。
The controller shall bear the burden of demonstrating the manifestly unfounded or excessive character of the request.

6.

第 11 条を侵害することなく、管理者は、第 15 条から第 21 条で定める要求を行う自然人の身元に関する合理的疑義を持つ場合、管理者は、データ主体の身元を確かめるのに必要な追加の情報の提供を要求することができる。
6.
Without prejudice to Article 11, where the controller has reasonable doubts concerning the identity of thenatural person making the request referred to in Articles 15 to 21, the controller may request the provision of
additional information necessary to confirm the identity of the data subject.

7.

第 13 条及び第 14 条に従いデータ主体に提供される情報は、意図されている取扱いの意味の概観を容易に視認でき、理解しやすくかつ明確に判読できる方法で提供するため、標準化された図形記号を組み合わせて提供されてもよい。図形記号が電子的に提供される場合は機械可読でなければならない。
7.
The information to be provided to data subjects pursuant to Articles 13 and 14 may be provided in
combination with standardised icons in order to give in an easily visible, intelligible and clearly legible manner ameaningful overview of the intended processing. Where the icons are presented electronically they shall bemachine-readable.

8.

欧州委員会は、図形記号によって明示される情報及び標準化された図形記号を提供するための手続を決定する目的で、第 92 条による委任行為を採択するための権限が与えられるものとする。
8.
The Commission shall be empowered to adopt delegated acts in accordance with Article 92 for the purposeof determining the information to be presented by the icons and the procedures for providing standardised icons.

17

第2節

情報及び個人データへのアクセス

SECTION 2 INFORMATION AND ACCESS TO PERSONAL DATA

第 13 条 データ主体から個人データを収集する場合に提供される情報
Article 13 Information to be provided where personal data are collected from the data subject
1.

データ主体に係る個人データがデータ主体から収集される場合、管理者は、個人データを取得する際、データ主体に次に掲げるすべての情報を提供するものとする。
1.
Where personal data relating to a data subject are collected from the data subject, the controller shall, at thetime when personal data are obtained, provide the data subject with all of the following information:(a)

管理者の身元及び詳細な連絡先、該当する場合、管理者の代理人。
(a)the identity and the contact details of the controller and, where applicable, of the controller's
representative;(b)

該当する場合、データ保護オフィサーの詳細な連絡先。
(b)

(c)

the contact details of the data protection officer, where applicable;

意図された個人データの取扱い目的、及び取扱いの法的根拠。
(c)the purposes of the processing for which the personal data are intended as well as the legal basis forthe processing;(d)

取扱いが第 6 条第 1 項(f)号に基づく場合、管理者又は第三者によって求められる正当な利益。
(d)where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by thecontroller or by a third party;(e)

もしあるならば、取得者又は個人データの取得者の種類。
(e)

(f)

the recipients or categories of recipients of the personal data, if any;

該当する場合、管理者が個人データの移転を意図する第三国若しくは国際組織及び欧州委員会による十分性決定の存在若しくは不存在に関する事実、又は第 46 条若しくは第47 条、若しくは第 49 条第 1 項後段で定める移転状況において、適切若しくは適正な保護措置及び個人データの複製を取得する方法若しくは個人データが利用可能になる条件
に関する情報。
(f)where applicable, the fact that the controller intends to transfer personal data to a third country orinternational organisation and the existence or absence of an adequacy decision by the Commission, or in
the case of transfers referred to in Article 46 or 47, or the second subparagraph of Article 49(1), reference tothe appropriate or suitable safeguards and the means by which to obtain a copy of them or where they havebeen made available.

2.

第 1 項で定める情報に加え、管理者は、個人データを取得する際、公正で透明性のある取扱いを保障するために、データ主体に次に掲げる必要な追加的情報を提供するものとする。
2.
In addition to the information referred to in paragraph 1, the controller shall, at the time when personal data
are obtained, provide the data subject with the following further information necessary to ensure fair and transparent
processing:

18

(a)

個人データが保存される期間、もし不可能であるならば、当該期間を決定するのに用いられる基準。
(a)the period for which the personal data will be stored, or if that is not possible, the criteria used todetermine that period;(b)

管理者に対し個人データへのアクセス、訂正又は消去、データ主体についての取扱いの制限を要求する権利、又は当該取扱いに不服を申し立てる権利とともに、データポータ
ビリティーの権利の存在。
(b)the existence of the right to request from the controller access to and rectification or erasure of
personal data or restriction of processing concerning the data subject or to object to processing as well as
the right to data portability;(c)

取扱いが第 6 条第 1 項(a)号又は第 9 条第 2 項(a)号に基づく場合、撤回前の同意に基づく
適法な取扱いに影響を与えることなしに、いつでも同意を撤回する権利の存在。
(c)where the processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existenceof the right to withdraw consent at any time, without affecting the lawfulness of processing based onconsent before its withdrawal;(d)

監督機関に不服を申し立てる権利。
(d)

(e)

the right to lodge a complaint with a supervisory authority;

個人データの提供が、法令又は契約上の要件、又は契約を締結するのに必要な要件であるか否か、及びデータ主体に個人データの提供の義務があるか否か、並びに当該データ
提供の不履行により起こり得る結果。
(e)whether the provision of personal data is a statutory or contractual requirement, or a requirement
necessary to enter into a contract, as well as whether the data subject is obliged to provide the personal dataand of the possible consequences of failure to provide such data;(f)

プロファイリングを含め、第 22 条第 1 項及び第 4 項で定める自動化された意思決定の存在、少なくともそのような状況において、関連する論理について意味ある情報、デー
タ主体に関する当該取扱いの意義及び予測される結果。
(f)
the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4)and, at least in those cases, meaningful information about the logic involved, as well as the significance andthe envisaged consequences of such processing for the data subject.

3.

個人データが収集された目的以外の目的で個人データを追加的に取扱うことを管理者が意図する場合、管理者は当該他の目的に関する情報及び第 2 項で定めるようなあらゆる関連性のある
追加的情報を追加的取扱いがなされる前にデータ主体に提供しなければならない。
3.
Where the controller intends to further process the personal data for a purpose other than that for which thepersonal data were collected, the controller shall provide the data subject prior to that further processing withinformation on that other purpose and with any relevant further information as referred to in paragraph 2.

4.

第 1 項、第 2 項及び第 3 項は、データ主体がすでに情報を所持している場合に限り、適用されない。
4.

Paragraphs 1, 2 and 3 shall not apply where and insofar as the data subject already has the information.

19

第 14 条 データ主体から個人データを取得しない場合に提供される情報
Article 14 Information to be provided where personal data have not been obtained from the data subject
1.

個人データがデータ主体から取得されない場合、管理者は次に掲げる情報をデータ主体に提供しなければならない。
1.
Where personal data have not been obtained from the data subject, the controller shall provide the data
subject with the following information:(a)

管理者の身元及び詳細な連絡先、もしあるならば、管理者の代理人。
(a)

(b)

該当する場合、データ保護オフィサーの詳細な連絡先。
(b)

(c)

the identity and the contact details of the controller and, if any, of the controller's representative;

the contact details of the data protection officer, where applicable;

意図された個人データの取扱い目的、及び取扱いの法的根拠。
(c)the purposes of the processing for which the personal data are intended as well as the legal basis forthe processing;(d)

関連する個人データの種類。
(d)

(e)

該当する場合、取得者又は個人データの取得者の種類。
(e)

(f)

the categories of personal data concerned;

the recipients or categories of recipients of the personal data, where applicable;

該当する場合、管理者が個人データの移転を意図する第三国若しくは国際組織及び欧州委員会による十分性決定の有無に関する事実、又は第 46 条若しくは第 47 条、若しくは第 49 条第 1 項後段で定める移転状況において、適切若しくは適正な保護措置及び個人
データの複製を取得する方法若しくは個人データが利用可能になる条件に関する情報。
(f)where applicable, that the controller intends to transfer personal data to a recipient in a third country
or international organisation and the existence or absence of an adequacy decision by the Commission, or in
the case of transfers referred to in Article 46 or 47, or the second subparagraph of Article 49(1), reference tothe appropriate or suitable safeguards and the means to obtain a copy of them or where they have been madeavailable.

2.

第 1 項で定める情報に加え、管理者は、データ主体に関連する公正で透明性のある取扱いを保証するために必要な次に掲げる情報をデータ主体に提供するものとする。
2.
In addition to the information referred to in paragraph 1, the controller shall provide the data subject withthe following information necessary to ensure fair and transparent processing in respect of the data subject:(a)

個人データが保存される期間、もし不可能であるならば、当該期間を決定するのに用いられる基準。
(a)the period for which the personal data will be stored, or if that is not possible, the criteria used todetermine that period;(b)

取扱いが第 6 条第 1 項(f)号に基づく場合、管理者又は第三者によって求められる正当な利益。
(b)where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by thecontroller or by a third party;

20

(c)

管理者に対し個人データへのアクセス、訂正又は消去、データ主体についての取扱いの制限を要求する権利、又は当該取扱いに不服を申し立てる権利とともに、データポータ
ビリティーの権利の存在。
(c)the existence of the right to request from the controller access to and rectification or erasure of
personal data or restriction of processing concerning the data subject and to object to processing as well as
the right to data portability;(d)

取扱いが第 6 条第 1 項(a)号又は第 9 条第 2 項(a)号に基づく場合、撤回前の同意に基づく
適法な取扱いに影響を与えることなしに、いつでも同意を撤回する権利の存在。
(d)where processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existence ofthe right to withdraw consent at any time, without affecting the lawfulness of processing based on consent
before its withdrawal;(e)

監督機関に不服を申し立てる権利。
(e)

(f)

the right to lodge a complaint with a supervisory authority;

個人データが発生した情報源、もしあてはまるならば、一般の人々がアクセスできる情報源から来たものであるか否か。
(f)from which source the personal data originate, and if applicable, whether it came from publicly
accessible sources;(g)

プロファイリングを含め、第 22 条第 1 項及び第 4 項で定める自動化された意思決定の存在、少なくともそのような状況において、関連する論理について意味ある情報、デー
タ主体に関する当該取扱いの意義及び予測される結果。
(g)the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4)and, at least in those cases, meaningful information about the logic involved, as well as the significance andthe envisaged consequences of such processing for the data subject.

3.

管理者は第 1 項及び第 2 項で定める情報を次に掲げる時期に提供するものとする。
3.

The controller shall provide the information referred to in paragraphs 1 and 2:(a)

個人データが取り扱われる具体的状況を考慮し、個人データの取得後合理的期間内。ただし、遅くとも 1 カ月以内。
(a)within a reasonable period after obtaining the personal data, but at the latest within one month,having regard to the specific circumstances in which the personal data are processed;(b)

個人データがデータ主体に連絡を取るために使われるならば、遅くとも当該主体に初めて連絡した時点。
(b)
if the personal data are to be used for communication with the data subject, at the latest at the timeof the first communication to that data subject; or(c)他の取得者への開示が予測されるならば、遅くとも個人データが初めて開示される時点。
(c)
if a disclosure to another recipient is envisaged, at the latest when the personal data are first
disclosed.

21

4.

管理者が個人データを取得した目的以外の目的で個人データを追加的に取扱うことを意図する
場合、管理者は当該他の目的に関する情報及び第 2 項で定めるようなあらゆる関連性のある追加的情報を追加的取扱いがなされる前にデータ主体に提供しなければならない。
4.
Where the controller intends to further process the personal data for a purpose other than that for which thepersonal data were obtained, the controller shall provide the data subject prior to that further processing withinformation on that other purpose and with any relevant further information as referred to in paragraph 2.

5.

第 1 項から第 4 項は次に掲げるいずれかの場合は適用されない。
5.

Paragraphs 1 to 4 shall not apply where and insofar as:(a)

データ主体がすでに情報を所持している場合。
(a)the data subject already has the information;(b) 情報の提供が不可能であるか、若しくは過度の困難を伴う場合。特に公共の利益の目的、科学的若しくは歴史的研究目的又は統計目的達成に関する取扱い。ただし、第 89 条第1 項で定める条件及び保護措置に従っているか、又は本条第 1 項で定める義務が実施できそうにない若しくは当該取扱いの目的の達成が損なわれる場合に限る。このような場
合、管理者は、特に情報を公然と入手し得るようにすることを含め、データ主体の権利及び自由並びに正当な利益のために適切な対策をとるものとする。
(b)
the provision of such information proves impossible or would involve a disproportionate effort, inparticular for processing for archiving purposes in the public interest, scientific or historical research
purposes or statistical purposes, subject to the conditions and safeguards referred to in Article 89(1) or in so
far as the obligation referred to in paragraph 1 of this Article is likely to render impossible or seriously
impair the achievement of the objectives of that processing. In such cases the controller shall takeappropriate measures to protect the data subject's rights and freedoms and legitimate interests, including
making the information publicly available;(c)

取得又は開示が、データ主体の正当な利益を保護するための適切な対策を規定している管理者が服する EU 法又は加盟国の国内法によって明確に規定されている場合。
(c)obtaining or disclosure is expressly laid down by Union or Member State law to which thecontroller is subject and which provides appropriate measures to protect the data subject's legitimate
interests; or(d)

個人データが機密のままであるべき場合。ただし、法令の守秘義務を含め、EU 法又は加盟国によって規定されている職務上の守秘義務に服する。
(d)where the personal data must remain confidential subject to an obligation of professional secrecy
regulated by Union or Member State law, including a statutory obligation of secrecy.

第 15 条 データ主体のアクセス権
Article 15 Right of access by the data subject
1.

データ主体は、管理者から当該データ主体に関する個人データを取り扱っているか否か確認を得る権利を持ち、取り扱っている場合、個人データ及び次に掲げる情報にアクセスする権利を持つ。
1.
The data subject shall have the right to obtain from the controller confirmation as to whether or not personal
data concerning him or her are being processed, and where that is the case, access to the personal data and thefollowing information:

22

(a)

取扱いの目的。
(a)(b)

関連する個人データの種類。
(b)

(c)

the purposes of the processing;

the categories of personal data concerned;

個人データが開示された又は開示される予定の取得者又は取得者の種類。特に第三国の取得者又は国際組織。
(c)the recipients or categories of recipient to whom the personal data have been or will be disclosed, inparticular recipients in third countries or international organisations;(d)

可能であるならば、個人データが保存される予定期間。不可能であるならば、当該期間の決定に用いられる基準。
(d)where possible, the envisaged period for which the personal data will be stored, or, if not possible,
the criteria used to determine that period;(e)

管理者に対し個人データへの訂正若しくは消去、データ主体に関する個人データの取扱
いの制限を要求する権利、又は当該取扱いに不服を申し立てる権利の存在。
(e)the existence of the right to request from the controller rectification or erasure of personal data or
restriction of processing of personal data concerning the data subject or to object to such processing;(f)

監督機関に不服を申し立てる権利。
(f)

(g)

the right to lodge a complaint with a supervisory authority;

個人データがデータ主体から収集されない場合、個人データの情報源に関する入手可能な情報。
(g)where the personal data are not collected from the data subject, any available information as to theirsource;(h)

プロファイリングを含め、第 22 条第 1 項及び第 4 項で定める自動化された意思決定の存在、少なくともそのような状況において、関連する理論について意義ある情報、デー
タ主体に関する当該取扱いの意味及び予測される結果。
(h)the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4)and, at least in those cases, meaningful information about the logic involved, as well as the significance andthe envisaged consequences of such processing for the data subject.

2.

個人データが第三国又は国際組織に移転される場合、データ主体は移転に関して第 46 条に従い適切な保護措置を通知される権利を持つものとする。
2.
Where personal data are transferred to a third country or to an international organisation, the data subject
shall have the right to be informed of the appropriate safeguards pursuant to Article 46 relating to the transfer.

3.

管理者は取扱いを行っている個人データの複製を提供するものとする。データ主体によって要求されたあらゆる追加的複製に関して、管理者は管理費用に基づき過度にならない程度の手数料を徴収することができる。データ主体が電子的手段によって要求する場合、データ主体による要求がない場合を除き、情報は一般的に用いられる電子的形態で提供されるものとする。
3.
The controller shall provide a copy of the personal data undergoing processing. For any further copies
requested by the data subject, the controller may charge a reasonable fee based on administrative costs. Where thedata subject makes the request by electronic means, and unless otherwise requested by the data subject, theinformation shall be provided in a commonly used electronic form.

23

4.

第 3 項で定める複製取得の権利は他者の権利及び自由に不利な影響を及ぼしてはならない。
4.
The right to obtain a copy referred to in paragraph 3 shall not adversely affect the rights and freedoms ofothers.

24

第3節

訂正及び消去SECTION 3 RECTIFICATION AND ERASURE

第 16 条 訂正の権利
Article 16 Right to rectification
データ主体は当該データ主体に関する不正確な個人データについて管理者に不当に遅滞することなく訂正させる権利を持つものとする。取扱いの目的を考慮し、追加の記述を提供するという手段を含め、データ主体は不完全な個人データを完全にする権利を持つものとする。
The data subject shall have the right to obtain from the controller without undue delay the rectification of inaccurate personal
data concerning him or her. Taking into account the purposes of the processing, the data subject shall have the right to haveincomplete personal data completed, including by means of providing a supplementary statement.

第 17 条 消去の権利（忘れられる権利）
Article 17 Right to erasure ('right to be forgotten')1.

データ主体は当該データ主体に関する個人データについて管理者に不当に遅滞することなく消去させる権利を持つものとする。管理者は、次に掲げる根拠のいずれかが適用される場合、個人データを不当に遅滞することなく消去する義務を負うものとする。
1.
The data subject shall have the right to obtain from the controller the erasure of personal data concerning
him or her without undue delay and the controller shall have the obligation to erase personal data without undue
delay where one of the following grounds applies:(a)

個人データが収集された又はその他取扱いの目的に関して、当該個人データがもはや必要ない場合。
(a)the personal data are no longer necessary in relation to the purposes for which they were collectedor otherwise processed;(b)

データ主体が、第 6 条第 1 項(a)号又は第 9 条第 2 項(a)号による同意に基づく取扱いの同意を撤回し、かつ取扱いに関して他の法的根拠がない場合。
(b)
the data subject withdraws consent on which the processing is based according to point (a) of
Article 6(1), or point (a) of Article 9(2), and where there is no other legal ground for the processing;(c)

データ主体が、第 21 条第 1 項により不服を申立て、かつ取扱いに関して優先する法的根拠がない場合。又はデータ主体が第 21 条第 2 項により不服を申し立てる場合。
(c)the data subject objects to the processing pursuant to Article 21(1) and there are no overriding
legitimate grounds for the processing, or the data subject objects to the processing pursuant to Article 21(2);(d)

個人データが不法に取り扱われた場合。
(d)

(e)

the personal data have been unlawfully processed;

個人データが、管理者が従うべき EU 法又は加盟国の国内法における法的義務の遵守のため消去されなければならない場合。
(e) the personal data have to be erased for compliance with a legal obligation in Union or Member State law
to which the controller is subject;

25

(f)

個人データが第 8 条第 1 項で定める情報社会サービスの提供に関して収集された場合。
(f) the personal data have been collected in relation to the offer of information society services referred to in
Article 8(1).

2.

管理者が個人データを公開しており、第 1 項による個人データを消去する義務を負う場合、その管理者は、利用可能な技術及び実施の費用を考慮し、当該個人データを取り扱っている管理者たちにデータ主体が当該個人データのあらゆるリンク又はコピー若しくは複製の消去を要求している旨を通知するために、技術的措置を含む合理的手段をとらなければならない。
2.
Where the controller has made the personal data public and is obliged pursuant to paragraph 1 to erase thepersonal data, the controller, taking account of available technology and the cost of implementation, shall takereasonable steps, including technical measures, to inform controllers which are processing the personal data that thedata subject has requested the erasure by such controllers of any links to, or copy or replication of, those personal
data.

3.

第 1 項及び第 2 項は、取扱いが次に掲げるいずれかに必要な場合、適用されない。
3. Paragraphs 1 and 2 shall not apply to the extent that processing is necessary:(a)

表現及び情報の自由の権利の行使に必要な場合。
(a) for exercising the right of freedom of expression and information;(b)

管理者が従う EU 法若しくは加盟国の国内法によって取扱いが要求されている法的義務を遵守するのに必要な場合。又は公共の利益若しくは管理者に与えられた公的権限の行使のために行われる業務の遂行に必要な場合。
(b)
for compliance with a legal obligation which requires processing by Union or Member State law towhich the controller is subject or for the performance of a task carried out in the public interest or in theexercise of official authority vested in the controller;(c)

第 9 条第 2 項(h)号並びに(i)号、及び第 9 条第 3 項により、公衆衛生の分野における公共の利益のために必要な場合。
(c)for reasons of public interest in the area of public health in accordance with points (h) and (i) of
Article 9(2) as well as Article 9(3);(d)

第 89 条第 1 項により、公共の利益の目的、科学的若しくは歴史的研究目的又は統計目
的の達成のために取扱いが必要な場合。ただし、第 1 項で定める権利が実施できそうにない又は当該取扱いの目的の達成が損なわれる場合に限る。
(d)for archiving purposes in the public interest, scientific or historical research purposes or statistical
purposes in accordance with Article 89(1) in so far as the right referred to in paragraph 1 is likely to render
impossible or seriously impair the achievement of the objectives of that processing; or(e)

法的主張時の立証、行使又は抗弁に必要な場合。
(e)for the establishment, exercise or defence of legal claims.

第 18 条 取扱い制限の権利
Article 18 Right to restriction of processing
1.

データ主体は、次に掲げる事項の一つでも当てはまる場合、管理者に取扱いの制限をさせる権
利をもつ。

26

1.
The data subject shall have the right to obtain from the controller restriction of processing where one of thefollowing applies:(a)

管理者が個人データの正確性を検証できる期間内で、データ主体によって個人データの正確性に不服が申し立てられた場合。
(a)the accuracy of the personal data is contested by the data subject, for a period enabling thecontroller to verify the accuracy of the personal data;(b)

取扱いが違法であり、データ主体が、個人データの消去に反対するものの、利用の制限を要求する場合。
(b)
the processing is unlawful and the data subject opposes the erasure of the personal data and requests
the restriction of their use instead;(c)

管理者が取扱いの目的に関し個人データをもはや必要としないが、法的主張時の立証、行使又は抗弁のためにデータ主体によって要求された場合。
(c)
the controller no longer needs the personal data for the purposes of the processing, but they are
required by the data subject for the establishment, exercise or defence of legal claims;(d)

管理者の法的根拠がデータ主体の主張に優先するか否かの検証が未決定時に、データ主体が第 21 条第 1 項により取扱いに不服を申し立てた場合。
(d)the data subject has objected to processing pursuant to Article 21(1) pending the verification
whether the legitimate grounds of the controller override those of the data subject.

2.

第 1 項に基づき取扱いが制限された場合、当該個人データは、保存を除きデータ主体の同意に基づくか、法的主張時の立証、行使若しくは抗弁のため、又は他の自然人若しくは法人の権利を保護するため、若しくは EU 若しくは加盟国の重要な公共の利益のためだけに取り扱われなければならない。
2.
Where processing has been restricted under paragraph 1, such personal data shall, with the exception ofstorage, only be processed with the data subject's consent or for the establishment, exercise or defence of legal
claims or for the protection of the rights of another natural or legal person or for reasons of important public interestof the Union or of a Member State.

3.

第 1 項により取扱いの制限を要求するデータ主体は、取扱いの制限が解除される前に、管理者によって通知されるものとする。
3.
A data subject who has obtained restriction of processing pursuant to paragraph 1 shall be informed by thecontroller before the restriction of processing is lifted.

第 19 条 個人データの訂正若しくは消去又は取扱いの制限に関する通知義務
Article 19 Notification obligation regarding rectification or erasure of personal data or restriction of processing
管理者は第 16 条、第 17 条 1 項及び第 18 条により実行された、あらゆる個人データの訂正若しくは消去又は取扱いの制限について、個人データが開示された各取得者に、不可能であるか若しくは過度の困難を伴う場合を除き、連絡するものとする。管理者は、データ主体が要求する場合、当該取得者についてデータ主体に通知するものとする。
The controller shall communicate any rectification or erasure of personal data or restriction of processing carried out inaccordance with Articles 16, 17(1) and 18 to each recipient to whom the personal data have been disclosed, unless thisproves impossible or involves disproportionate effort. The controller shall inform the data subject about those recipients if
the data subject requests it.

27

第 20 条 データポータビリティーの権利
Article 20 Right to data portability
1.

データ主体は、当該データ主体が管理者に提供した当該データ主体に関する個人データについて、構造化され、一般的に利用され機械可読性のある形式で受け取る権利があり、当該データ
を、個人データが提供された管理者の妨害なしに、他の管理者に移行する権利がある。ただし、次に掲げる場合に限る。
1.
The data subject shall have the right to receive the personal data concerning him or her, which he or she has
provided to a controller, in a structured, commonly used and machine-readable format and have the right to transmit
those data to another controller without hindrance from the controller to which the personal data have been provided,
where:(a)

取扱いが第 6 条第 1 項(a)号又は第 9 条第 2 項(a)号による同意に基づくか、第 6 条第 1 項(b)号による契約に基づく場合であり、かつ(a)the processing is based on consent pursuant to point (a) of Article 6(1) or point (a) of Article 9(2) oron a contract pursuant to point (b) of Article 6(1); and(b)

取扱いが自動化された手法で実行されている場合。
(b)2.

the processing is carried out by automated means.

第 1 項により当該データ主体のデータポータビリティーの権利が行使される場合、データ主体
は、技術的に実行可能であるならば、個人データを直接的に管理者から他の管理者に移行させる権利がある。
2.
In exercising his or her right to data portability pursuant to paragraph 1, the data subject shall have the rightto have the personal data transmitted directly from one controller to another, where technically feasible.

3.

本条第 1 項で定める権利行使は第 17 条の権利を侵害しないものとする。当該権利は取扱いに公共の利益又は管理者に与えられた公的権限の行使のために行われる業務遂行上必要な取扱いには適用しない。
3.
The exercise of the right referred to in paragraph 1 of this Article shall be without prejudice to Article 17.
That right shall not apply to processing necessary for the performance of a task carried out in the public interest or in
the exercise of official authority vested in the controller.

4.

第 1 項で定める権利は、他者の権利及び自由に不利な影響を与えてはならない。
4.

The right referred to in paragraph 1 shall not adversely affect the rights and freedoms of others.

28

第4節

異議を唱える権利及び個人に対する自動化された意思決定

SECTION 4 RIGHT TO OBJECT AND AUTOMATED INDIVIDUAL DECISION-MAKING

第 21 条 異議を唱える権利
Article 21 Right to object
1.

データ主体は、当該データ主体のそれぞれの状況に関する理由を根拠として、第 6 条第 1 項(e)号又は(f)号に基づくプロファイリングを含む当該条項を根拠とした自己に関する個人データの取扱いに対して、いつでも異議を唱える権利を有する。管理者は、データ主体の利益、権利及び自由に優先する取扱いのための、又は法的主張時の立証、行使若しくは抗弁のための差し迫った正当な根拠であることを示さない限り、もはや個人データを取り扱ってはならない。
1.
The data subject shall have the right to object, on grounds relating to his or her particular situation, at any
time to processing of personal data concerning him or her which is based on points (e) or (f) of Article 6(1),including profiling based on those provisions. The controller shall no longer process the personal data unless thecontroller demonstrates compelling legitimate grounds for the processing which override the interests, rights andfreedoms of the data subject or for the establishment, exercise or defence of legal claims.

2.

個人データがダイレクトマーケティングのために取り扱われるならば、データ主体は、当該マーケティングのための当該データ主体に関する個人データの取扱いに対して、いつでも異議を唱える権利を持つ。当該ダイレクトマーケティング範囲内のプロファイリングを含む。
2.
Where personal data are processed for direct marketing purposes, the data subject shall have the right toobject at any time to processing of personal data concerning him or her for such marketing, which includes profilingto the extent that it is related to such direct marketing.

3.

データ主体がダイレクトマーケティングの目的のための取扱いに異議を唱える場合、個人デー
タは当該目的で取り扱われてはならない。
3.
Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer
be processed for such purposes.

4.

遅くともデータ主体に初めて通知する時点で、第 1 項及び第 2 項で定める権利は明確にデータ
主体の注意を喚起し、明確にかつ他の通知とは分離されて明示されなければならない。
4.
At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1
and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separatelyfrom any other information.

5.

情報社会サービスの利用に関しては、指令 2002/58/EC にかかわらず、データ主体は、技術的仕様を用いた自動化された手段によって、当該データ主体の異議を唱える権利を行使することができる。
5.
In the context of the use of information society services, and notwithstanding Directive 2002/58/EC, thedata subject may exercise his or her right to object by automated means using technical specifications.

6.

個人データが第 89 条第 1 項により科学的若しくは歴史的研究の目的又は統計目的のために取り扱われる場合、データ主体は、当該データ主体のそれぞれの状況に関する理由を根拠として、公共の利益のために行われる業務遂行上必要な取扱いではない限り、当該データ主体に関する個人データの取扱いに異議を唱える権利を持つ。
6.
Where personal data are processed for scientific or historical research purposes or statistical purposes
pursuant to Article 89(1), the data subject, on grounds relating to his or her particular situation, shall have the rightto object to processing of personal data concerning him or her, unless the processing is necessary for the
performance of a task carried out for reasons of public interest.

29

第 22 条 プロファイリングを含む自動化された個人意思決定
Article 22 Automated individual decision-making, including profiling1.

データ主体は、当該データ主体に関する法的効果をもたらすか又は当該データ主体に同様の重大な影響をもたらすプロファイリングなどの自動化された取扱いのみに基づいた決定に服しない権利を持つ。
1.
The data subject shall have the right not to be subject to a decision based solely on automated processing,including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her.

2.

第 1 項は次に掲げるいずれかの決定には適用されない。
2.

Paragraph 1 shall not apply if the decision:(a)

データ主体とデータ管理者間の契約締結、又は履行に必要な決定。
(a)is necessary for entering into, or performance of, a contract between the data subject and a data
controller;(b)

データ主体の権利及び自由並びに正当な利益を保護するための適切な対策が定められた管理者が従う EU 法又は加盟国の国内法によって認められた決定。
(b)
is authorised by Union or Member State law to which the controller is subject and which also lays
down suitable measures to safeguard the data subject's rights and freedoms and legitimate interests; or(c)

データ主体の明示的な同意に基づく決定。
(c)3.

is based on the data subject's explicit consent.

第 2 項(a)号及び(c)号で定める状況に関して、データ管理者は、データ主体の権利及び自由並びに正当な利益を保護するための適切な対策を実施し、少なくとも管理者側で人を介在させる権利、当該データ主体の観点を表明する権利、及び決定に同意する権利を実施するものとする。
3.
In the cases referred to in points (a) and (c) of paragraph 2, the data controller shall implement suitablemeasures to safeguard the data subject's rights and freedoms and legitimate interests, at least the right to obtainhuman intervention on the part of the controller, to express his or her point of view and to contest the decision.

4.

第 2 項で定める決定は、第 9 条第 2 項(a)号又は(g)号が適用されず、データ主体の権利及び自由並びに正当な利益を保護するための適切な対策が機能していないならば、第 9 条第 1 項で定める特別な種類の個人データに基づいてはならない。
4.
Decisions referred to in paragraph 2 shall not be based on special categories of personal data referred to in
Article 9(1), unless point (a) or (g) of Article 9(2) apply and suitable measures to safeguard the data subject's rights
and freedoms and legitimate interests are in place.

30

第5節

制限

SECTION 5 RESTRICTIONS

第 23 条 制限
Article 23 Restrictions
1.

データ管理者又は取扱者が従う EU 法又は加盟国の国内法は、法的対策を用いて、第 12 条から第 22 条、第 34 条、及び第 5 条で定められた義務及び権利の適用範囲を制限することができる。ただし、当該制限の規定が第 12 条から第 22 条で定められた権利及び義務に合致し、当該制限が基本的権利及び自由の本質を尊重し、民主主義社会において次に掲げる事項を守るために必要かつ比例した措置である場合に限る。
1.
Union or Member State law to which the data controller or processor is subject may restrict by way of alegislative measure the scope of the obligations and rights provided for in Articles 12 to 22 and Article 34, as well as
Article 5 in so far as its provisions correspond to the rights and obligations provided for in Articles 12 to 22, whensuch a restriction respects the essence of the fundamental rights and freedoms and is a necessary and proportionate
measure in a democratic society to safeguard:

(a)

国家安全。
(a)

(b)

国防。
(b)

(c)

defence;

公安。
(c)

(d)

national security;

public security;

公安に対する脅威の予防及び防止を含め、犯罪の防止、捜査、探知若しくは起訴、又は犯罪処罰の執行。
(d)the prevention, investigation, detection or prosecution of criminal offences or the execution of
criminal penalties, including the safeguarding against and the prevention of threats to public security;(e)

その他 EU 又は加盟国の一般的公共の利益にかかる重要な目的。特に、通貨、予算及び課税事項、公衆衛生並びに社会的保障を含めた、EU 若しくは加盟国の重要な経済的又は財政的な利益。
(e)other important objectives of general public interest of the Union or of a Member State, inparticular an important economic or financial interest of the Union or of a Member State, including
monetary, budgetary and taxation a matters, public health and social security;(f)

司法の独立及び司法手続の保護。
(f)

(g)

the protection of judicial independence and judicial proceedings;

規制を受ける職業における倫理違反の防止、捜査、探知及び起訴。
(g)
the prevention, investigation, detection and prosecution of breaches of ethics for regulated
professions;(h)

頻度は少ないとしても、(a)号、(b) 号、(c) 号、(d) 号、(e) 号及び(g)号で定める状況において公的権限の行使に関する監視、点検又は規制の機能。

31

(h)
a monitoring, inspection or regulatory function connected, even occasionally, to the exercise of
official authority in the cases referred to in points (a), (b), (c), (d), (e) and (g);(i)

データ主体又は他者の権利と自由の保護。
(i)

(j)

民事上の請求に対する執行。
(j)2.

the protection of the data subject or the rights and freedoms of others;

the enforcement of civil law claims.

特に、第 1 項で定めるあらゆる法的対策は、関連があるならば、少なくとも次に掲げる項目に応じて具体的条項を含むものとする。
2.
In particular, any legislative measure referred to in paragraph 1 shall contain specific provisions at least,
where relevant, as to:(a)

取扱いの目的又は取扱いの種類。
(a)

(b)

個人データの種類。
(b)(c)

the safeguards to prevent abuse or unlawful access or transfer;

管理者の詳細又は管理者の種類。
(e)

(f)

the scope of the restrictions introduced;

濫用又は不法なアクセス若しくは移転を防ぐための保護措置。
(d)

(e)

the categories of personal data;

含まれる制限の範囲。
(c)

(d)

the purposes of the processing or categories of processing;

the specification of the controller or categories of controllers;

保存期間並びに取扱いの性質、取扱いの範囲及び目的又は取扱いの種類を考慮した適用
可能な保護措置。
(f)the storage periods and the applicable safeguards taking into account the nature, scope and purposesof the processing or categories of processing;(g)

データ主体の権利及び自由に対するリスク。
(g)

(h)

the risks to the rights and freedoms of data subjects; and制限の目的に不利にならないならば、制限に関する通知を受けるデータ主体の権利。
(h)the right of data subjects to be informed about the restriction, unless that may be prejudicial to the
purpose of the restriction.

32

第4章

管理者及び取扱者

CHAPTER IV CONTROLLER AND PROCESSOR

第1節

一般的義務

SECTION 1 GENERAL OBLIGATIONS

第 24 条 管理者の責任
Article 24 Responsibility of the controller
1.

取扱いの性質、範囲、文脈及び目的並びに自然人の権利及び自由に関するリスクの様々な可能性及び重大性を考慮し、管理者は本規則に従って取扱いが実行されていることを保証及び証明するため適切な技術的及び組織的対策を実施しなければならない。これら対策は見直され、必要に応じて更新されなければならない。
1.
Taking into account the nature, scope, context and purposes of processing as well as the risks of varying
likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriatetechnical and organisational measures to ensure and to be able to demonstrate that processing is performed inaccordance with this Regulation. Those measures shall be reviewed and updated where necessary.

2.

取扱い活動に関して比例しているならば、第 1 項で定める対策は、管理者によって適切なデー
タ保護方針の実施を含めるものとする。
2.
Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall
include the implementation of appropriate data protection policies by the controller.

3.

第 40 条で定める承認済行動規範又は第 42 条で定める承認済認証メカニズムの固守は管理者の義務の遵守を証明する要素として用いられてもよい。
3.
Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms
as referred to in Article 42 may be used as an element by which to demonstrate compliance with the obligations of
the controller.

第 25 条 データ保護バイデザイン及びデータ保護バイデフォルト
Article 25 Data protection by design and by default
1.

到達水準、実施の管理費用、取扱いの性質、範囲、文脈及び目的、並びに取扱いによって引き起こされる自然人の権利及び自由に関するリスクの様々な可能性及び重大性を考慮し、管理者
は、本規則の要件に合致させるため及びデータ主体の権利を保護するため、取扱いの手法を決定する時点及び取扱い時点の両時点において、適切な技術的及び組織的対策（例えば仮名化）を実施しなければならず、データ保護の原則（例えばデータ最小化）を効果的な方法で履行すること及び必要な保護措置を取扱いと統合することが意図された対策がとられるものとする。
1.
Taking into account the state of the art, the cost of implementation and the nature, scope, context andpurposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural
persons posed by the processing, the controller shall, both at the time of the determination of the means forprocessing and at the time of the processing itself, implement appropriate technical and organisational measures,such as pseudonymisation, which are designed to implement data-protection principles, such as data minimisation,in an effective manner and to integrate the necessary safeguards into the processing in order to meet therequirements of this Regulation and protect the rights of data subjects.

33

2.

管理者は、デフォルトで各具体的取扱いの目的に必要な個人データのみが取り扱われることを保証するための適切な技術的及び組織的対策を実施しなければならない。当該義務は収集された個人データの量、取扱いの範囲、保存期間及びアクセス可能性に適用される。特に当該対策
は個人データが個人の介在なしに不特定多数の自然人にアクセスされないことをデフォルトで確かなものにしなければならない。
2.
The controller shall implement appropriate technical and organisational measures for ensuring that, by
default, only personal data which are necessary for each specific purpose of the processing are processed. Thatobligation applies to the amount of personal data collected, the extent of their processing, the period of their storage
and their accessibility. In particular, such measures shall ensure that by default personal data are not made accessible
without the individual's intervention to an indefinite number of natural persons.

3.

第 42 条による承認済認証メカニズムは、本条第 1 項及び第 2 項で規定されている要件の遵守を証明する要素として用いられてもよい。
3.
An approved certification mechanism pursuant to Article 42 may be used as an element to demonstratecompliance with the requirements set out in paragraphs 1 and 2 of this Article.

第 26 条 共同管理者
Article 26 Joint controllers
1.

二者又はそれ以上の管理者が共同して取扱いの目的及び手段を決定する場合、当該管理者は共同管理者とする。当該共同管理者は、透明性のある方法で本規則に基づく義務の遵守に関して
管理者同士の協定によってそれぞれの責任を決めなければならない。特に、データ主体の権利行使に関すること及び第 13 条及び第 14 条で定める情報を提供する当該管理者それぞれの義務を決めなければならない。ただし、管理者のそれぞれの責任の決定は管理者が従うべき EU 法
又は加盟国の国内法で定められていない場合に限り、定められている場合はそれに限る。協定はデータ主体のための問合せ先を指定してもよい。
1.
Where two or more controllers jointly determine the purposes and means of processing, they shall be joint
controllers. They shall in a transparent manner determine their respective responsibilities for compliance with the
obligations under this Regulation, in particular as regards the exercising of the rights of the data subject and theirrespective duties to provide the information referred to in Articles 13 and 14, by means of an arrangement between
them unless, and in so far as, the respective responsibilities of the controllers are determined by Union or Member
State law to which the controllers are subject. The arrangement may designate a contact point for data subjects.

2.

第 1 項で定める協定はそれぞれの役割及びデータ主体と相対する共同管理者の関係性を正しく反映していなければならない。協定の本質はデータ主体に対して入手可能なものにされていなければならない。
2.
The arrangement referred to in paragraph 1 shall duly reflect the respective roles and relationships of thejoint controllers vis-à-vis the data subjects. The essence of the arrangement shall be made available to the data
subject.

3.

第 1 項で定める協定の条件にかかわらず、データ主体は本規則に基づく当該データ主体の権利を関係する管理者に対してでも、そうでない管理者に対してでも行使することができる。
3.
Irrespective of the terms of the arrangement referred to in paragraph 1, the data subject may exercise his or
her rights under this Regulation in respect of and against each of the controllers.

34

第 27 条 EU 域内に拠点のない管理者又は取扱者の代理人
Article 27 Representatives of controllers or processors not established in the Union
1.

第 3 条第 2 項が適用される場合、管理者又は取扱者は EU 域内の代理人を書面で明示しなければならない。
1.
Where Article 3(2) applies, the controller or the processor shall designate in writing a representative in theUnion.

2.

当該義務は次に掲げるいずれかの場合には適用されない。
2.

This obligation shall not apply to:(a)

第 9 条第 1 項で定める特別な種類のデータの取扱い又は第 10 条で定める有罪判決及び犯罪に関する個人データの取扱いを大規模に含まず、取扱いの性質、文脈、範囲及び目的を考慮して自然人の権利又は自由に対するリスクが生じそうにない、散発的になされ
る取扱い。
(a)
processing which is occasional, does not include, on a large scale, processing of special categoriesof data as referred to in Article 9(1) or processing of personal data relating to criminal convictions andoffences referred to in Article 10, and is unlikely to result in a risk to the rights and freedoms of natural
persons, taking into account the nature, context, scope and purposes of the processing; or(b)

公的機関又は団体。
(b)3.

a public authority or body.

代理人は、データ主体が居住し、当該データ主体への商品やサービスの提供に関連して当該データ主体の個人データが処理されるか、又は当該データ主体の行動が監視される加盟国の一つに拠点を持たなければならない。
3.
The representative shall be established in one of those Member States where the data subjects are and whose
personal data are processed in relation to the offering of goods or services to them, or whose behaviour is monitored.

4.

代理人は、本規則遵守を確実にする目的のため、取扱いに関連するすべての問題について、管理者若しくは取扱者とともに又は代わりに、特に、監督機関及びデータ主体と対話をするため、管理者又は取扱者によって委任されなければならない。
4.
The representative shall be mandated by the controller or processor to be addressed in addition to or insteadof the controller or the processor by, in particular, supervisory authorities and data subjects, on all issues related toprocessing, for the purposes of ensuring compliance with this Regulation.

5.

管理者又は取扱者による代理人の任命は、管理者又は取扱者自身に対して取られる法的行為を妨げることはない。
5.
The designation of a representative by the controller or processor shall be without prejudice to legal actions
which could be initiated against the controller or the processor themselves.

第 28 条 取扱者
Article 28 Processor
1.

管理者の代わりに取扱いが実施される場合、その管理者は、取扱いが本規則の要件に合致し、データ主体の権利の保護を確実にする取扱い方法で、適切な技術的及び組織的な対策を実施す

35

2.

ることを十分に保証する取扱者のみを利用しなければならない。
1.
Where processing is to be carried out on behalf of a controller, the controller shall use only
processors providing sufficient guarantees to implement appropriate technical and organisational
measures in such a manner that processing will meet the requirements of this Regulation and ensure theprotection of the rights of the data subject.
取扱者は、事前の特定又は管理者の一般的な書面の許可なしに他の取扱者を従事させてはならない。一般的な書面の許可の場合、取扱者は、他の取扱者の追加又は代替に関するあらゆる意
図された変更について管理者に通知しなければならず、それによって管理者に当該変更に不服を申し立てる機会を提供するものとする。
2.
The processor shall not engage another processor without prior specific or general written authorisation of
the controller. In the case of general written authorisation, the processor shall inform the controller of any intended
changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity toobject to such changes.

3.

取扱者による取扱いは、契約又は EU 若しくは加盟国の国内法（管理者に関わる取扱者を拘束し、取扱いの対象事項及び持続期間、取扱いの性質及び目的、個人データの種類及びデータ主体の種類、並びに管理者の義務及び権利を定める法）に基づくその他法的行為によって管理されていなければならない。当該契約又はその他法的行為は、特に取扱者が次に掲げる事項を行うように規定しなければならない。
3.
Processing by a processor shall be governed by a contract or other legal act under Union or Member State
law, that is binding on the processor with regard to the controller and that sets out the subject-matter and duration of
the processing, the nature and purpose of the processing, the type of personal data and categories of data subjects
and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that theprocessor:(a)

取扱者が従うべき EU 法又は加盟国の国内法によって取扱いの実施が要求されていない
限り、第三国又は国際機関への個人データの移転に関することを含め、管理者からの文書化された指示においてのみ個人データを取り扱うこと。当該法律によって取扱いの実施が要求されている場合、取扱者は、当該法律が重要な公共の利益に基づき当該通知を禁止していないならば、取扱う前に当該法的要件について管理者に通知しなければならない。
(a)processes the personal data only on documented instructions from the controller, including withregard to transfers of personal data to a third country or an international organisation, unless required to do
so by Union or Member State law to which the processor is subject; in such a case, the processor shallinform the controller of that legal requirement before processing, unless that law prohibits such information
on important grounds of public interest;(b)

個人データを取り扱うことを許可された個人が機密保持を確約するか、又は適切な法的
機密保持義務下に置かれることを保証すること。
(b)ensures that persons authorised to process the personal data have committed themselves toconfidentiality or are under an appropriate statutory obligation of confidentiality;(c)

第 32 条により要求されているすべての対策をとること。
(c)

(d)

takes all measures required pursuant to Article 32;

他の取扱者を従事させることに関して第 2 項及び第 4 項で定める条件を遵守すること。
(d)respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;

36

(e)

取扱いの性質を考慮し、可能な限りにおいて、管理者が第 3 章に定められたデータ主体の権利行使の要求に応じる義務を履行するため、適切な技術的及び組織的対策によって管理者を支援すること。
(e)taking into account the nature of the processing, assists the controller by appropriate technical andorganisational measures, insofar as this is possible, for the fulfilment of the controller's obligation to
respond to requests for exercising the data subject's rights laid down in Chapter III;(f)

取扱いの性質及び取扱者の利用可能な情報を考慮し、第 32 条から第 36 条による義務の遵守を確実にすることにおいて管理者を支援すること。
(f)assists the controller in ensuring compliance with the obligations pursuant to Articles 32 to 36
taking into account the nature of processing and the information available to the processor;(g)

管理者の選択により、取扱いに関連したサービスの提供終了後にすべての個人データを消去又は管理者に返却すること及び、EU 法又は加盟国の国内法が個人データの保存を要求しない場合に限り、存在する複製物を消去こと。
(g)at the choice of the controller, deletes or returns all the personal data to the controller after the endof the provision of services relating to processing, and deletes existing copies unless Union or Member Statelaw requires storage of the personal data;(h)

本条項に定められた義務の遵守を証明するとともに、管理者又は管理者により委任された他の監査人によって実施される調査を含めた監査への準備及び寄与を行うために必要なすべての情報を管理者が入手可能にすること。
(h)makes available to the controller all information necessary to demonstrate compliance with the
obligations laid down in this Article and allow for and contribute to audits, including inspections, conductedby the controller or another auditor mandated by the controller.

前段(h)号に関し、指示が本規則又は EU 若しくは加盟国のデータ保護条項を侵害するならば、取扱者は直ちに管理者に通知しなければならない。
With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its
opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.

4.

取扱者が管理者の代わりに行う特定の取扱い活動を他の取扱者に従事させるならば、契約又は第 3 項で定める管理者と取扱者間のその他法的行為で規定されているのと同じデータ保護義務
が、契約又は EU 法若しく加盟国の国内法に基づくその他法律行為によって他の取扱者に課されていなければならない。特に、取扱いが本規則の要件と合致するような適切な技術的及び組織的対策の実施を十分に保証するように規定していること。
4.
Where a processor engages another processor for carrying out specific processing activities on behalf of thecontroller, the same data protection obligations as set out in the contract or other legal act between the controller andthe processor as referred to in paragraph 3 shall be imposed on that other processor by way of a contract or otherlegal act under Union or Member State law, in particular providing sufficient guarantees to implement appropriatetechnical and organisational measures in such a manner that the processing will meet the requirements of thisRegulation. Where that other processor fails to fulfil its data protection obligations, the initial processor shall remain
fully liable to the controller for the performance of that other processor's obligations.

5.

取扱者による第 40 条で定める承認済行動規範又は第 42 条で定める承認済認証メカニズムの固守は本条第 1 項及び第 4 項で定める十分な保証を証明する要素として用いられてもよい。
5.
Adherence of a processor to an approved code of conduct as referred to in Article 40 or an approved
certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate sufficientguarantees as referred to in paragraphs 1 and 4 of this Article.

37

6.

管理者及び取扱者間の個別契約を侵害することなく、契約又は本条第 3 項及び第 4 項で定める
他の法的行為は、第 42 条及び第 43 条による管理者又は取扱者に対して付与された認証の一部である場合も含め、全部又は一部、本条第 7 項及び第 8 項で定める標準契約条項に基づいてもよい。
6.
Without prejudice to an individual contract between the controller and the processor, the contract or theother legal act referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard
contractual clauses referred to in paragraphs 7 and 8 of this Article, including when they are part of a certification
granted to the controller or processor pursuant to Articles 42 and 43.

7.

欧州委員会は第 93 条第 2 項で定める審議手続に従って本条第 3 項及び第 4 項で定める事柄に関して標準契約条項を規定することができる。
7.
The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4of this Article and in accordance with the examination procedure referred to in Article 93(2).

8.

監督機関は第 63 条で定める一貫性メカニズムに従って本条第 3 項及び第 4 項で定める事柄に関して標準契約条項を採択することができる。
8.
A supervisory authority may adopt standard contractual clauses for the matters referred to in paragraph 3
and 4 of this Article and in accordance with the consistency mechanism referred to in Article 63.

9.

第 3 項及び第 4 項で定める契約又は他の法的行為は電子的形態を含め書面でなければならない。
9.
The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including inelectronic form.

10.

第 82 条、第 83 条及び第 84 条を侵害することなく、取扱者が取扱いの目的及び手段を決定することで本規則に違反する場合、取扱者は当該取扱いに関する管理者とみなすものとする。
10.
Without prejudice to Articles 82, 83 and 84, if a processor infringes this Regulation by determining the
purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.

第 29 条 管理者又は取扱者の権限下での取扱い
Article 29 Processing under the authority of the controller or processor
取扱者、又は管理者若しくは取扱者の権限下で行動している個人データにアクセスできるすべての人
物は、EU 法又は加盟国の国内法でそうすることが求められていない限り、管理者からの指示以外で当該データを取り扱ってはならない。
The processor and any person acting under the authority of the controller or of the processor, who has access to personal data,
shall not process those data except on instructions from the controller, unless required to do so by Union or Member Statelaw.

第 30 条 取扱い活動の記録
Article 30 Records of processing activities
1.

各管理者及び、該当する場合、管理者の代理人は、管理下にある取扱い活動の記録を管理しなければならない。記録は次に掲げる情報のすべてを含む。
1.
Each controller and, where applicable, the controller's representative, shall maintain a record of processing
activities under its responsibility. That record shall contain all of the following information:

38

(a)

管理者の名前と連絡先の詳細。該当する場合、共同管理者、管理者の代理人及びデータ
保護オフィサーを含む。
(a)the name and contact details of the controller and, where applicable, the joint controller, thecontroller's representative and the data protection officer;(b)

取扱いの目的。
(b)(c)

データ主体の種類と個人データの種類の概要。
(c)

(d)

the purposes of the processing;a description of the categories of data subjects and of the categories of personal data;

第三国又は国際機関における取得者を含め、個人データが開示される又は開示され得る取得者の種類。
(d)
the categories of recipients to whom the personal data have been or will be disclosed including
recipients in third countries or international organisations;(e)

該当する場合、第三国又は国際機関を特定した形式による第三国又は国際機関への個人
データ移転、及び、第 49 条第 1 項後段で定める移転の場合、適切な保護措置に関する文書。
(e)where applicable, transfers of personal data to a third country or an international organisation,
including the identification of that third country or international organisation and, in the case of transfers
referred to in the second subparagraph of Article 49(1), the documentation of appropriate safeguards;(f)

可能であれば、データ種類ごとの消去までの予測される期限。
(f)

(g)

where possible, the envisaged time limits for erasure of the different categories of data;

可能であれば、第 32 条第 1 項で定める技術的及び組織的安全保護措置の概要。
(g)where possible, a general description of the technical and organisational security measures referred
to in Article 32(1).

2.

各取扱者及び、該当する場合、取扱者の代理人は管理者に代わって行うすべての種類の取扱い
活動に関する記録について、次に掲げる事項を含め、維持しなければならない。
2.
Each processor and, where applicable, the processor's representative shall maintain a record of all categories
of processing activities carried out on behalf of a controller, containing:(a)

取扱者又は複数取扱者及び取扱者が代わりに実施している各管理者並びに、該当する場
合、管理者又は取扱者の代理人及びデータ保護オフィサーの名前と連絡先の詳細。
(a)the name and contact details of the processor or processors and of each controller on behalf ofwhich the processor is acting, and, where applicable, of the controller's or the processor's representative, andthe data protection officer;(b)

各管理者の代わりに実施している取扱いの種類。
(b)

(c)

the categories of processing carried out on behalf of each controller;

該当する場合、第三国又は国際機関を特定した形式によるその第三国又は国際機関への個人データ移転及び、第 49 条第 1 項後段で定める移転の場合、適切な保護措置に関す
る文書。

39

(c)
where applicable, transfers of personal data to a third country or an international organisation,
including the identification of that third country or international organisation and, in the case of transfers
referred to in the second subparagraph of Article 49(1), the documentation of appropriate safeguards;(d)

可能であれば、第 32 条第 1 項で定める技術的及び組織的安全保護措置の概要。
(d)where possible, a general description of the technical and organisational security measures referred
to in Article 32(1).

3.

第 1 項及び第 2 項で定める記録は、電子的形態を含め、書面でなければならない。
3.

4.

The records referred to in paragraphs 1 and 2 shall be in writing, including in electronic form.

管理者又は取扱者及び、該当する場合、管理者又は取扱者の代理人は要求に応じて記録を監督機関が入手可能にしなければならない。
4.
The controller or the processor and, where applicable, the controller's or the processor's representative, shallmake the record available to the supervisory authority on request.

5.

第 1 項及び第 2 項で定める義務は、250 人未満を雇用している企業又は組織には適用されない。ただし、取扱いの実施がデータ主体の権利及び自由へのリスクを生じさせ得るか、取扱いの頻度が稀ではないか、又は第 9 条第 1 項で定める特別な種類のデータ若しくは第 10 条で定める有罪判決及び犯罪に関する個人データを含む取扱いを行っていない場合に限る。
5.
The obligations referred to in paragraphs 1 and 2 shall not apply to an enterprise or an organisation
employing fewer than 250 persons unless the processing it carries out is likely to result in a risk to the rights andfreedoms of data subjects, the processing is not occasional, or the processing includes special categories of data as
referred to in Article 9(1) or personal data relating to criminal convictions and offences referred to in Article 10.

第 31 条 監督機関との協力
Article 31 Cooperation with the supervisory authority
管理者及び取扱者並びに、該当する場合、それらの代理人は要求に応じて監督機関の業務遂行において監督機関と協力しなければならない。
The controller and the processor and, where applicable, their representatives, shall cooperate, on request, with thesupervisory authority in the performance of its tasks.

40

第2節

個人データの保護

SECTION 2 SECURITY OF PERSONAL DATA

第 32 条 取扱いの保護
Article 32 Security of processing
1.

到達水準、実施の管理費用、取扱いの性質、範囲、文脈及び目的、並びに引き起こされる自然人の権利及び自由に関する様々な可能性及び重大性のリスクを考慮し、管理者及び取扱者は、保護レベルをリスクに見合ったものにするため、適切な技術的及び組織的対策を実施しなければならない。必要に応じて特に次に掲げる事項を含むものとする。
1.
Taking into account the state of the art, the costs of implementation and the nature, scope, context andpurposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural
persons, the controller and the processor shall implement appropriate technical and organisational measures toensure a level of security appropriate to the risk, including inter alia as appropriate:(a)

個人データの仮名化及び暗号化
(a)

(b)

the pseudonymisation and encryption of personal data;

現行の機密性、完全性、可用性並びに取扱いシステム及びサービスの復旧を確実にする能力。
(b)
the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing
systems and services;(c)

物理的又は技術的事故の場合に時宜を得た方法で可用性を復旧し、個人データにアクセ
スする能力
(c)
the ability to restore the availability and access to personal data in a timely manner in the event of aphysical or technical incident;(d)

取扱いの安全を確実にするため技術的及び組織的対策の効果を定期的に点検、審査及び評価するプロセス。
(d)a process for regularly testing, assessing and evaluating the effectiveness of technical andorganisational measures for ensuring the security of the processing.

2.

保護レベルの適切さの審査にあたり、特に取扱いによって生じるリスクが考慮されなければならない。特に偶発的若しくは違法な破壊、滅失、変更、移転、蓄積若しくはその他の取扱いがなされた個人データへの許可されていない開示又はアクセス。
2.
In assessing the appropriate level of security account shall be taken in particular of the risks that arepresented by processing, in particular from accidental or unlawful destruction, loss, alteration, unauthorised
disclosure of, or access to personal data transmitted, stored or otherwise processed.

3.

第 40 条で定める承認済行動規範又は第 42 条で定める承認済認証メカニズムの固守は、本条第1 項で規定された要件の遵守を証明するための要素として用いられてもよい。
3.
Adherence to an approved code of conduct as referred to in Article 40 or an approved certification
mechanism as referred to in Article 42 may be used as an element by which to demonstrate compliance with therequirements set out in paragraph 1 of this Article.

41

4.

管理者及び取扱者は、管理者又は取扱者の権限下で行動し、個人データにアクセスするあらゆる自然人が、個人データを管理者からの指示以外で取り扱わないことを確実にする手段をとらなければならない。ただし、EU 法又は加盟国の国内法により要求された場合を除く。
4.
The controller and processor shall take steps to ensure that any natural person acting under the authority of
the controller or the processor who has access to personal data does not process them except on instructions from thecontroller, unless he or she is required to do so by Union or Member State law.

第 33 条 個人データ侵害の監督機関への通知
Article 33 Notification of a personal data breach to the supervisory authority
1.

個人データの侵害が発生した場合、管理者は、不当な遅滞なしに、可能であれば、侵害に気が付いてから 72 時間以内に、第 55 条に従って個人データの侵害を管轄監督機関に通知しなければならない。ただし、個人データの侵害により自然人の権利又は自由に対するリスクが生じ得ない場合を除く。監督機関への通知が 72 時間以内になされない場合には、遅滞に関する理由と共に通知されなければならない。
1.
In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later
than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority
competent in accordance with Article 55, unless the personal data breach is unlikely to result in a risk to the rights
and freedoms of natural persons. Where the notification to the supervisory authority is not made within 72 hours, it
shall be accompanied by reasons for the delay.

2.

取扱者は、個人データの侵害に気付いた後、不当な遅滞なしに管理者に通知しなければならない。
2.
The processor shall notify the controller without undue delay after becoming aware of a personal data
breach.

3.

第 1 項で定める通知は少なくとも次に掲げる事項が含まれなければならない。
3.

The notification referred to in paragraph 1 shall at least:(a)

個人データ侵害の性質の記述。可能であれば、関連するデータ主体の種類及び概数並びに関連する個人データの記録の種類及び概数を含む。
(a)describe the nature of the personal data breach including where possible, the categories andapproximate number of data subjects concerned and the categories and approximate number of personal
data records concerned;(b)

データ保護オフィサーの氏名及び詳細な連絡先又はより情報が入手できるその他連絡先の通知。
(b)communicate the name and contact details of the data protection officer or other contact point
where more information can be obtained;(c)

個人データ侵害に関する起こり得る結果の記述。
(c)

(d)

describe the likely consequences of the personal data breach;

個人データ侵害に対処するために管理者によって取られている又は取られることが意図された対策の記述。適切な場合、個人データ侵害により起こり得る悪影響を軽減するための対策を含む。

42

(d)describe the measures taken or proposed to be taken by the controller to address the personal data
breach, including, where appropriate, measures to mitigate its possible adverse effects.

4.

通知と同時に情報を提供することが不可能である場合、情報はさらなる不当な遅滞なしに段階的に提供されてもよい。
4.
Where, and in so far as, it is not possible to provide the information at the same time, the information may
be provided in phases without undue further delay.

5.

管理者は、個人データ侵害に関わる事実、その影響及び取られた救済手段を含め、あらゆる個
人データ侵害を文書で残さなければならない。当該文書は監督機関が本条の遵守を確かめられるようにしなければならない。
5.
The controller shall document any personal data breaches, comprising the facts relating to the personal data
breach, its effects and the remedial action taken. That documentation shall enable the supervisory authority to verify
compliance with this Article.

第 34 条 データ主体への個人データ侵害の通知
Article 34 Communication of a personal data breach to the data subject
1.

個人データ侵害が自然人の権利及び自由に対して高リスクを引き起こし得る場合、管理者は、
不当な遅滞なしにデータ主体に個人データ侵害について通知しなければならない。
1.
When the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons,the controller shall communicate the personal data breach to the data subject without undue delay.

2.

本条第 1 項で定めるデータ主体への通知はデータ侵害の性質について明白で平易な文章で記述され、少なくとも、第 33 条第 3 項(b)号、(c)号及び(d)号で規定された情報並びに推奨事項を含むものとする。
2.
The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear andplain language the nature of the personal data breach and contain at least the information and the recommendations
provided for in points (b), (c) and (d) of Article 33(3).

3.

第 1 項で定めるデータ主体への通知は、次に掲げるいずれかの状況に合致するのであれば、要求されない。
3.
The communication to the data subject referred to in paragraph 1 shall not be required if any of thefollowing conditions are met:(a)

管理者が適切な技術的及び組織的保護対策を実施しており、当該対策が個人データ侵害
によって影響を受ける個人データに適用されている場合。特に、暗号化のように、当該個人データにアクセスが許可されていないあらゆる人に対して個人データが判読できないといった対策(a)the controller has implemented appropriate technical and organisational protection measures, andthat those measures were applied to the personal data affected by the personal data breach, in particular
those that render the personal data unintelligible to any person who is not authorised to access it, such as
encryption;(b)

管理者が、第 1 項で定めるデータ主体の権利及び自由に対する高リスクがもはや実現し得ないことを確実にする後続の対策をとった場合

43

(b)
the controller has taken subsequent measures which ensure that the high risk to the rights andfreedoms of data subjects referred to in paragraph 1 is no longer likely to materialise;(c)

通知が過度な労力を伴う場合。この場合、代わりとして、公表又はそれに類似する対策がなければならず、それによってデータ主体が等しく効果的手法で通知されること。
(c)
it would involve disproportionate effort. In such a case, there shall instead be a public
communication or similar measure whereby the data subjects are informed in an equally effective manner.

4.

管理者が個人データ侵害をデータ主体に未だ通知していない場合、監督機関は、高リスクを起こし得る個人データ侵害の可能性を考慮し、管理者に通知することを要求するか又は第 3 項で定めるいずれかの条件に合致することを決定できる。
4.
If the controller has not already communicated the personal data breach to the data subject, the supervisory
authority, having considered the likelihood of the personal data breach resulting in a high risk, may require it to doso or may decide that any of the conditions referred to in paragraph 3 are met.

44

第3節

データ保護影響評価及び事前協議

SECTION 3 DATA PROTECTION IMPACT ASSESSMENT AND PRIOR CONSULTATION

第 35 条 データ保護影響評価
Article 35 Data protection impact assessment1.

特に新たな技術を用いるなどのある種の取扱いが、その性質、範囲、文脈及び取扱いの目的を考慮して、自然人の権利や自由に高リスクを生じさせる可能性がある場合、管理者は、取扱いの前に、予定された取扱い作業の個人データ保護への影響評価を実施しなければならない。独
立した評価は同様の高リスクを示す同様の取扱い作業の集合で用いることができる。
1.
Where a type of processing in particular using new technologies, and taking into account the nature, scope,
context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons,the controller shall, prior to the processing, carry out an assessment of the impact of the envisaged processing
operations on the protection of personal data. A single assessment may address a set of similar processing operations
that present similar high risks.

2.

管理者は、データ保護影響評価を実施する場合、任命しているならば、データ保護オフィサーの助言を求めなければならない。
2.
The controller shall seek the advice of the data protection officer, where designated, when carrying out adata protection impact assessment.

3.

第 1 項で定めるデータ保護影響評価は特に次に掲げる場合に要求されるものである。
3.

A data protection impact assessment referred to in paragraph 1 shall in particular be required in the case of:(a)

プロファイリングを含めた自動処理に基づいて自然人に関する個人的側面を体系的かつ広範囲に評価され、その評価に基づいて決定がなされ、その決定が自然人に関する法的効果を生じさせるか又は同様に自然人に重大な影響を与える場合。
(a)a systematic and extensive evaluation of personal aspects relating to natural persons which is basedon automated processing, including profiling, and on which decisions are based that produce legal effects
concerning the natural person or similarly significantly affect the natural person;(b)

第 9 条第 1 項で定める特別な種類のデータ、又は第 10 条で定める有罪判決及び犯罪に関する個人データを大規模に取扱う場合。
(b)processing on a large scale of special categories of data referred to in Article 9(1), or of personal
data relating to criminal convictions and offences referred to in Article 10; or(c)

誰でも立ち入ることの出来る場所において大規模な体系的監視を行う場合。
(c)4.

a systematic monitoring of a publicly accessible area on a large scale.

監督機関は、第 1 項によるデータ保護影響評価に関する要件に服する取扱い作業の種類の一覧
を発行し、公開しなければならない。監督機関は第 68 条で定める欧州データ保護会議に当該一覧を通知しなければならない。
4.
The supervisory authority shall establish and make public a list of the kind of processing operations which
are subject to the requirement for a data protection impact assessment pursuant to paragraph 1. The supervisory
authority shall communicate those lists to the Board referred to in Article 68.

5.

監督機関はデータ保護影響評価が求められない取扱い作業の種類の一覧を発行し、公開することができる。監督機関は欧州データ保護会議に当該一覧を通知しなければならない。

45

5.
The supervisory authority may also establish and make public a list of the kind of processing operations forwhich no data protection impact assessment is required. The supervisory authority shall communicate those lists to
the Board.

6.

第 4 項及び第 5 項で定める一覧の採択前に、管轄監督機関は第 63 条で定める一貫性メカニズ
ムを適用させなければならない。ただし、当該一覧が複数の加盟国におけるデータ主体への商品若しくはサービスの提供、若しくはデータ主体の行動の監視に関わる取扱い活動を含むもの
であるか、又は EU 内の個人データの自由な移動に実質的に影響を与えかねない場合に限る。
6.
Prior to the adoption of the lists referred to in paragraphs 4 and 5, the competent supervisory authority shallapply the consistency mechanism referred to in Article 63 where such lists involve processing activities which are
related to the offering of goods or services to data subjects or to the monitoring of their behaviour in several
Member States, or may substantially affect the free movement of personal data within the Union.

7.

評価は少なくとも次に掲げる事項を含むものとする。
7.

The assessment shall contain at least:(a)

予想された取扱い作業及び取扱いの目的の体系的記述。該当する場合、管理者によって追求される正当な利益を含む。
(a)a systematic description of the envisaged processing operations and the purposes of the processing,including, where applicable, the legitimate interest pursued by the controller;(b)

目的に関する取扱い作業の必要性及び比例性の評価。
(b)an assessment of the necessity and proportionality of the processing operations in relation to the
purposes;(c)

第 1 項で定めるデータ主体の権利及び自由に関するリスクの評価。
(c)

(d)

an assessment of the risks to the rights and freedoms of data subjects referred to in paragraph 1; andリスクに対処するために予定された対策。データ主体及び関連する他者の権利及び正当な利益を考慮し、個人データの保護を確実にし、本規則の遵守を証明するための保護措置、安全対策及び安全メカニズムを含む。
(d)the measures envisaged to address the risks, including safeguards, security measures andmechanisms to ensure the protection of personal data and to demonstrate compliance with this Regulation
taking into account the rights and legitimate interests of data subjects and other persons concerned.

8.

関連する管理者又は取扱者による第 40 条で定める承認済行動規範の遵守は、特にデータ保護
影響評価の目的に照らして、当該管理者又は取扱者によって実施される取扱い作業の影響評価において当然に考慮されなければならない。
8.
Compliance with approved codes of conduct referred to in Article 40 by the relevant controllers orprocessors shall be taken into due account in assessing the impact of the processing operations performed by suchcontrollers or processors, in particular for the purposes of a data protection impact assessment.

9.

適切な場合、商業的若しくは公共の利益の保護又は取扱い作業のセキュリティに影響を与えることなく、管理者は所期の取扱いに関してデータ主体又はその代表に意見を求めるものとする。
9.
Where appropriate, the controller shall seek the views of data subjects or their representatives on theintended processing, without prejudice to the protection of commercial or public interests or the security ofprocessing operations.

46

10.

第 6 条第 1 項(c)号又は(e)号による取扱いが、管理者が従うべき EU 法又は加盟国の法で法的根拠を持ち、当該法が特定の取扱い又は当該作業の集合を制限し、及びデータ保護影響評価が一
般的影響評価の一部として当該法的根拠の採用の文脈においてすでに実施さていた場合、加盟国が取扱い活動の前に当該評価を行うことを必要と思慮しないのであれば、第 1 項から第 7 項は適用されない。
10.
Where processing pursuant to point (c) or (e) of Article 6(1) has a legal basis in Union law or in the law of
the Member State to which the controller is subject, that law regulates the specific processing operation or set ofoperations in question, and a data protection impact assessment has already been carried out as part of a generalimpact assessment in the context of the adoption of that legal basis, paragraphs 1 to 7 shall not apply unless Member
States deem it to be necessary to carry out such an assessment prior to processing activities.

11.

必要に応じて、管理者は、少なくとも取扱い作業によって生じるリスク変化がある場合、デー
タ保護影響評価に従って取扱いが実行されているか評価の見直しを実行しなければならない。
11.
Where necessary, the controller shall carry out a review to assess if processing is performed in accordancewith the data protection impact assessment at least when there is a change of the risk represented by processing
operations.

第 36 条 事前協議
Article 36 Prior consultation1.

管理者は、第 35 条に基づくデータ保護影響評価が管理者によるリスクを軽減する対策の非存在下で取扱いが高リスクを生じさせ得るとことを示す場合、取扱いの前に監督機関と協議しなければならない。
1.
The controller shall consult the supervisory authority prior to processing where a data protection impact
assessment under Article 35 indicates that the processing would result in a high risk in the absence of measurestaken by the controller to mitigate the risk.

2.

監督機関が第 1 項で定める所期の取扱いが本規則に違反すると考える場合、特に管理者のリス
クの識別又は軽減が不十分である場合、監督機関は、協議の要求を受領してから 8 週間を上限とした期間内に、管理者及び、該当する場合、取扱者に書面による助言を提供するものとし、第 58 条で定めるあらゆる権限を用いることができる。当該期間は、所期の取扱いの複雑性を考慮し、6 週間まで延長することができる。監督機関は、延長の理由とともに、協議の要請を受け取ってから 1 カ月以内に当該延長について、管理者及び、該当する場合、取扱者に通知しなければならない。当該期間は、監督機関が協議の目的のため監督機関が要請した情報を入手するまで停止することができる。
2.
Where the supervisory authority is of the opinion that the intended processing referred to in paragraph 1
would infringe this Regulation, in particular where the controller has insufficiently identified or mitigated the risk,
the supervisory authority shall, within period of up to eight weeks of receipt of the request for consultation, provide
written advice to the controller and, where applicable to the processor, and may use any of its powers referred to in
Article 58. That period may be extended by six weeks, taking into account the complexity of the intended processing.
The supervisory authority shall inform the controller and, where applicable, the processor, of any such extension
within one month of receipt of the request for consultation together with the reasons for the delay. Those periods
may be suspended until the supervisory authority has obtained information it has requested for the purposes of theconsultation.

3.

第 1 項による監督機関の協議において、管理者は次に掲げる情報を監督機関に提供しなければ
ならない。

47

3.
When consulting the supervisory authority pursuant to paragraph 1, the controller shall provide thesupervisory authority with:(a)

該当する場合、取扱いに関連した管理者、共同管理者及び取扱者の各責任。特に事業体
グループ内の取扱いに関連した責任。
(a)where applicable, the respective responsibilities of the controller, joint controllers and processors
involved in the processing, in particular for processing within a group of undertakings;(b)

所期の取扱いの目的及び手段。
(b)

(c)

the purposes and means of the intended processing;

本規則によるデータ主体の権利及び自由を保護するため規定された対策及び保護措置。
(c)the measures and safeguards provided to protect the rights and freedoms of data subjects pursuant
to this Regulation;(d)

該当する場合、データ保護オフィサーの詳細な連絡先。
(d)

(e)

第 35 条に関するデータ保護影響評価。
(e)

(f)

the data protection impact assessment provided for in Article 35; andその他監督機関によって要求された情報。
(f)4.

where applicable, the contact details of the data protection officer;

any other information requested by the supervisory authority.

加盟国は、取扱いに関する法的対策を国民議会で採択する提案の準備期間、又は当該法的対策に基づいて規制対策の準備期間中に、監督機関と協議しなければならない
4.
Member States shall consult the supervisory authority during the preparation of a proposal for a legislative
measure to be adopted by a national parliament, or of a regulatory measure based on such a legislative measure,which relates to processing.

5.

第 1 項にかかわらず、加盟国の国内法は、治安又は公衆衛生に関する取扱いを含め、公共の利益において管理者によってなされる業務の遂行のための管理者による取扱いに関して、管理者に監督機関と協議すること及び監督機関から事前に認可を得ることを要求することができる。
5.
Notwithstanding paragraph 1, Member State law may require controllers to consult with, and obtain priorauthorisation from, the supervisory authority in relation to processing by a controller for the performance of a task
carried out by the controller in the public interest, including processing in relation to social protection and publichealth.

48

第4節

データ保護オフィサー

SECTION 4 DATA PROTECTION OFFICER

第 37 条 データ保護オフィサーの指名
Article 37 Designation of the data protection officer
1.

管理者及び処理者は、次に掲げるいずれかの場合には、データ保護オフィサーを指名しなければならない。
1.

The controller and the processor shall designate a data protection officer in any case where:(a)

取扱いが公的機関又は団体によって行われる場合。ただし、司法能力をもとにした裁判所の行為を除く。
(a)the processing is carried out by a public authority or body, except for courts acting in their judicial
capacity;(b)

管理者又は処理者の中心的業務が、その性質、適用範囲及び/又は目的によって、大規模にデータ主体の定期的かつ系統的な監視を必要とする取扱い作業である場合。
(b)
the core activities of the controller or the processor consist of processing operations which, by
virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data
subjects on a large scale; or(c)

管理者又は処理者の中心的業務が、第 9 条で言及された特別な種類のデータ及び第 10条で定める有罪判決及び犯罪に関する個人データを大規模に取扱う場合。
(c)the core activities of the controller or the processor consist of processing on a large scale of special
categories of data pursuant to Article 9 and personal data relating to criminal convictions and offencesreferred to in Article 10.

2.

事業体グループは、データ保護オフィサーが各事業体から容易アクセスできるならば、1 名のデータ保護オフィサーを指名してもよい。
2.
A group of undertakings may appoint a single data protection officer provided that a data protection officer
is easily accessible from each establishment.

3.

管理者又は取扱者が公的機関又は団体の場合、その組織構造及び規模を考慮に入れ、1 名のデータ保護オフィサーが複数の当該機関又は団体に対して指名されてもよい。
3.
Where the controller or the processor is a public authority or body, a single data protection officer may bedesignated for several such authorities or bodies, taking account of their organisational structure and size.

4.

第 1 項で定める場合以外でも、管理者若しくは取扱者又は組織及び管理者又は処理者の分野を代表するその他の団体は、データ保護オフィサーを任命してもよく、EU 法又は加盟国の国内法で要求されているならば、任命しなければならない。データ保護オフィサーは当該組織及び管理者又は取扱者を代表する団体のために行動することができる。
4.
In cases other than those referred to in paragraph 1, the controller or processor or associations and otherbodies representing categories of controllers or processors may or, where required by Union or Member State law
shall, designate a data protection officer. The data protection officer may act for such associations and other bodies
representing controllers or processors.

49

5.

データ保護オフィサーは、専門家としての資質に基づいて指名されるものとし、特にデータ保護法及び慣例に関する専門知識並びに第 39 条で定める業務を遂行する能力に基づくものとする。
5.
The data protection officer shall be designated on the basis of professional qualities and, in particular,
expert knowledge of data protection law and practices and the ability to fulfil the tasks referred to in Article 39.

6.

データ保護オフィサーは管理者若しくは取扱者の従業員であるか、又は業務契約に基づいて職務を遂行する者でもよい。
6.
The data protection officer may be a staff member of the controller or processor, or fulfil the tasks on thebasis of a service contract.

7.

管理者又は取扱者はデータ保護オフィサーの詳細な連絡先を公開し、監督機関に通知しなければならない。
7.
The controller or the processor shall publish the contact details of the data protection officer andcommunicate them to the supervisory authority.

第 38 条 データ保護オフィサーの地位
Article 38 Position of the data protection officer
1.

管理者及び取扱者は、データ保護オフィサーが個人データ保護に関するすべての問題に、適切かつ直ちに関与できることを確実にしなければならない。
1.
The controller and the processor shall ensure that the data protection officer is involved, properly and in atimely manner, in all issues which relate to the protection of personal data.

2.

管理者及び取扱者は、第 39 条で定める業務遂行においてデータ保護オフィサーを支援しなければならず、その支援は、当該業務の実行、個人データ及び取扱い作業へのアクセス、及びデータ保護オフィサーの専門知識を維持するのに必要な資源を提供することによってなされるものとする。
2.
The controller and processor shall support the data protection officer in performing the tasks referred to in
Article 39 by providing resources necessary to carry out those tasks and access to personal data and processing
operations, and to maintain his or her expert knowledge.

3.

管理者又は処理者はデータ保護オフィサーがその業務の遂行に関してあらゆる指図を受けないことを確実にしなければならない。当該データ保護オフィサーは管理者又は取扱者によって当該データ保護オフィサーの業務遂行に関して解雇又は罰則を受けることがあってはならない。
データ保護オフィサーは管理者又は取扱者の最高レベルの経営者に直接報告するものとする。
3.
The controller and processor shall ensure that the data protection officer does not receive any instructions
regarding the exercise of those tasks. He or she shall not be dismissed or penalised by the controller or the processor
for performing his tasks. The data protection officer shall directly report to the highest management level of thecontroller or the processor.

4.

データ主体はデータ主体の個人データの取扱い及び本規則に基づく権利の履行に関するすべての問題に関してデータ保護オフィサーに連絡を取ることができる。
4.
Data subjects may contact the data protection officer with regard to all issues related to processing of theirpersonal data and to the exercise of their rights under this Regulation.

50

5.

データ保護オフィサーは、EU 法又は加盟国の国内法に従って、データ保護オフィサーの業務に関連した秘密又は機密を守らなければならない。
5.
The data protection officer shall be bound by secrecy or confidentiality concerning the performance of hisor her tasks, in accordance with Union or Member State law.

6.

データ保護オフィサーは他の業務又は義務を遂行することができる。管理者又は取扱者は当該業務及び義務が利益相反を招かないよう確保しなければならない。
6.
The data protection officer may fulfil other tasks and duties. The controller or processor shall ensure thatany such tasks and duties do not result in a conflict of interests.

第 39 条 データ保護オフィサーの業務
Article 39 Tasks of the data protection officer1.

データ保護オフィサーは少なくとも次に掲げる業務を行うものとする。
1.

The data protection officer shall have at least the following tasks:(a)

管理者又は取扱者及び取扱いを実施する従業員に本規則及びその他 EU 又は加盟国のデータ保護規定による義務を通知及び勧告すること。
(a)to inform and advise the controller or the processor and the employees who carry out processing of
their obligations pursuant to this Regulation and to other Union or Member State data protection provisions;(b)

本規則、その他 EU 又は加盟国のデータ保護条項、及び個人データの保護に関して管理者又は取扱者が設定した方針の遵守の監視。責任の割り当て、取扱い作業にかかわる職
員の意識の向上及び訓練、並びに関連する監査を含む。
(b)
to monitor compliance with this Regulation, with other Union or Member State data protection
provisions and with the policies of the controller or processor in relation to the protection of personal data,
including the assignment of responsibilities, awareness-raising and training of staff involved in processing
operations, and the related audits;(c)

要請があれば、第 35 条によるデータ保護影響評価に関する助言の提供及びその遂行の監視。
(c)to provide advice where requested as regards the data protection impact assessment and monitor its
performance pursuant to Article 35;(d)

監督機関との協働。
(d)(e)

to cooperate with the supervisory authority;

取扱いに関する問題について監督機関との問い合わせ先となること。第 36 条で定める
事前協議、適切な場合、その他事項に関連する協議を含む。
(e)to act as the contact point for the supervisory authority on issues relating to processing, including
the prior consultation referred to in Article 36, and to consult, where appropriate, with regard to any othermatter.

2.

データ保護オフィサーは、その業務の遂行において、取扱いの性質、文脈及び目的を考慮し、取扱い作業に関するリスクに当然に注意を払わなければならない。
2.
The data protection officer shall in the performance of his or her tasks have due regard to the risk associatedwith processing operations, taking into account the nature, scope, context and purposes of processing.

51

第5節

行動規範及び認証

SECTION 5 CODES OF CONDUCT AND CERTIFICATION

第 40 条 行動規範
Article 40 Codes of conduct
1.

加盟国、監督機関、欧州データ保護会議及び欧州委員会は、様々なデータ取扱い分野の具体的特徴並びに零細及び中小事業の具体的要望を考慮し、本規則の適切な適用に寄与することを意図した行動規範の作成を推奨しなければならない。
1.
The Member States, the supervisory authorities, the Board and the Commission shall encourage the drawing
up of codes of conduct intended to contribute to the proper application of this Regulation, taking account of thespecific features of the various processing sectors and the specific needs of micro, small and medium-sizedenterprises.

2.

管理者又は取扱者の分野を代表する組織及び他の団体は、本規則の適用を具体化する目的で、次に掲げる事項に関連した行動規範を用意、又は当該規範を修正若しくは拡張することができる。
2.
Associations and other bodies representing categories of controllers or processors may prepare codes ofconduct, or amend or extend such codes, for the purpose of specifying the application of this Regulation, such aswith regard to:(a)

公正及び透明性のある取扱い。
(a)

(b)

特定の文脈において管理者によって追求される正当な利益。
(b)

(c)

the information provided to the public and to data subjects;

データ主体の権利の行使。
(f)

(g)

the pseudonymisation of personal data;

一般の人々及びデータ主体に提供される情報。
(e)

(f)

the collection of personal data;

個人データの仮名化。
(d)

(e)

the legitimate interests pursued by controllers in specific contexts;

個人データの収集。
(c)(d)

fair and transparent processing;

the exercise of the rights of data subjects;

子どもに提供される情報、子どもの保護、並びに子どもに対する保護責任を持つ者の同意を得る方法。
(g)the information provided to, and the protection of, children, and the manner in which the consent of
the holders of parental responsibility over children is to be obtained;(h)

第 24 条及び第 25 条で定める対策及び手続並びに第 32 条で定める取扱いの安全を確実にする対策。
(h)
the measures and procedures referred to in Articles 24 and 25 and the measures to ensure securityof processing referred to in Article 32;

52

(i)

監督機関への個人データ侵害の通知、及びデータ主体への当該個人データ侵害の通知。
(i)the notification of personal data breaches to supervisory authorities and the communication of such
personal data breaches to data subjects;(j)個人データの第三国又は国際機関への移転。
(j)

(k)

the transfer of personal data to third countries or international organisations; or

第 77 条と第 79 条によるデータ主体の権利を侵害することなく、管理者及びデータ主体間での取扱いに関する紛争を解決するための裁判外手続、及びその他の紛争の解決手続。
(k)out-of-court proceedings and other dispute resolution procedures for resolving disputes between
controllers and data subjects with regard to processing, without prejudice to the rights of data subjects
pursuant to Articles 77 and 79.

3.

本規則に服する管理者又は取扱者による遵守のほか、本条第 5 項によって承認され、本条第 9項による一般的法的有効性を有する行動規範は、第 46 条第２項(e)号で定める規定に基づく第三国又は国際機関への個人データの移転枠内で適切な保護措置を提供するため、第 3 条によって本規則に服しない管理者又は処理者によって遵守させることができる。当該管理者又は処理
者は、データ主体の権利に関することを含め、適切な保護措置を適用するため、契約的又は他の法的拘束文書によって拘束的及び執行力のある公約をなさなければならない。
3.
In addition to adherence by controllers or processors subject to this Regulation, codes of conduct approved
pursuant to paragraph 5 of this Article and having general validity pursuant to paragraph 9 of this Article may also
be adhered to by controllers or processors that are not subject to this Regulation pursuant to Article 3 in order toprovide appropriate safeguards within the framework of personal data transfers to third countries or internationalorganisations under the terms referred to in point (e) of Article 46(2). Such controllers or processors shall makebinding and enforceable commitments, via contractual or other legally binding instruments, to apply those
appropriate safeguards including with regard to the rights of data subjects.

4.

本条第 2 項で定める行動規範は、第 55 条又は第 56 条による管轄監督機関の業務及び権限を侵害することなく、第 41 条第 1 項で定める団体が、行動規範の適用を約束した管理者又は取扱者による行動規範の規定の遵守に関して、必須の監視を実行可能にする仕組みを含まなければならない。
4.
A code of conduct referred to in paragraph 2 of this Article shall contain mechanisms which enable thebody referred to in Article 41(1) to carry out the mandatory monitoring of compliance with its provisions by thecontrollers or processors which undertake to apply it, without prejudice to the tasks and powers of supervisory
authorities competent pursuant to Article 55 or 56.

5.

行動規範の準備又は既存の規範を修正若しくは拡張を意図する本条第 2 項で定める組織又は他の団体は、規範の草案、修正又は拡張案を第 55 条による管轄監督機関に送付しなければならない。監督機関は、規範の草案、修正又は拡張案が本規則を遵守しているか否か意見を述べるものとし、十分で適切な保護措置を提供していると判断した場合、規範の草案、修正又は拡張案を承認しなければならない。
5.
Associations and other bodies referred to in paragraph 2 of this Article which intend to prepare a code of
conduct or to amend or extend an existing code shall submit the draft code, amendment or extension to thesupervisory authority which is competent pursuant to Article 55. The supervisory authority shall provide an opinion
on whether the draft code, amendment or extension complies with this Regulation and shall approve that draft code,
amendment or extension if it finds that it provides sufficient appropriate safeguards.

6.

規範の草案、修正又は拡張案が第 5 項に従って承認され、関連する行動規範が複数の加盟国における取扱い活動に関わらない場合、監督機関は規範を登録及び発行するものとする。

53

6.
Where the draft code, or amendment or extension is approved in accordance with paragraph 5, and where
the code of conduct concerned does not relate to processing activities in several Member States, the supervisory
authority shall register and publish the code.

7.

行動規範案が複数の加盟国における取扱い活動に関わる場合、第 55 条による管轄監督機関は、規範の草案、修正又は拡張案を承認する前に、第 63 条で定める手続きをもって、当該規範を、
欧州データ保護会議に送付しなければならず、当該会議は、規範の草案、修正又は拡張案が本
規則を遵守しているか否か、又は第 3 項で定める状況においては、適切な保護措置を提供しているか否か、意見を述べるものとする。
7.
Where a draft code of conduct relates to processing activities in several Member States, the supervisory
authority which is competent pursuant to Article 55 shall, before approving the draft code, amendment or extension,
submit it in the procedure referred to in Article 63 to the Board which shall provide an opinion on whether the draft
code, amendment or extension complies with this Regulation or, in the situation referred to in paragraph 3, provides
appropriate safeguards.

8.

第 7 項で定める意見が、規範の草案、修正又は拡張案が本規則を遵守している、又は第 3 項で定める状況においては、適切な保護措置を提供していることを確認した場合、欧州データ保護
会議は欧州委員会に当該意見を送付するものとする。
8.
Where the opinion referred to in paragraph 7 confirms that the draft code, amendment or extension complies
with this Regulation, or, in the situation referred to in paragraph 3, provides appropriate safeguards, the Board shallsubmit its opinion to the Commission.

9.

欧州委員会は、実施行為に沿って、第 8 項により送付された承認済の行動規範、修正又は拡張
が EU 内で一般的法的有効性を有することを決定することができる。当該実施行為は第 93 条
第 2 項で規定された審査手続に従って採択されるものとする。
9.
The Commission may, by way of implementing acts, decide that the approved code of conduct, amendment
or extension submitted to it pursuant to paragraph 8 have general validity within the Union. Those implementing
acts shall be adopted in accordance with the examination procedure set out in Article 93(2).

10.

欧州委員会は第 9 項に従って一般的法的有効性を有すると決定された承認済の規範に関する適切な周知を確実にしなければならない。
10.
The Commission shall ensure appropriate publicity for the approved codes which have been decided ashaving general validity in accordance with paragraph 9.

11.

欧州データ保護会議は、登録に際して、すべての承認済行動規範、修正及び拡張に対し校合しなければならず、適切な手段で、それらを周知するようにしなければならない。
11.
The Board shall collate all approved codes of conduct, amendments and extensions in a register and shallmake them publicly available by way of appropriate means.

第 41 条 承認された行動規範の監視
Article 41 Monitoring of approved codes of conduct
1.

第 57 条及び第 58 条に基づく管轄監督機関の業務及び権限を侵害することなく、第 40 条による行動規範の遵守の監視は、規範の対象事項に関して適切なレベルの専門知識を有しており、当該目的に関して管轄監督機関によって認定された団体により、実施されてもよい。
1.
Without prejudice to the tasks and powers of the competent supervisory authority under Articles 57 and 58,
the monitoring of compliance with a code of conduct pursuant to Article 40 may be carried out by a body which has

54an appropriate level of expertise in relation to the subject-matter of the code and is accredited for that purpose by thecompetent supervisory authority.

2.

第 1 項で定める団体は、次に掲げるすべての事項を満たしている場合に、行動規範の遵守の監視のため認定を受けることができる。
2.
A body as referred to in paragraph 1 may be accredited to monitor compliance with a code of conduct wherethat body has:(a)

独立性及び規範の対象事項に関する専門知識を管轄監督機関に対して十分に証明している。
(a)demonstrated its independence and expertise in relation to the subject-matter of the code to thesatisfaction of the competent supervisory authority;(b)

当該団体が、行動規範の適用に関連する管理者及び取扱者の資格審査、行動規範の規定
遵守の監視、並びに作業を定期的に見直すための手続を確立している。
(b)established procedures which allow it to assess the eligibility of controllers and processors
concerned to apply the code, to monitor their compliance with its provisions and to periodically review its
operation;(c)

当該団体が、規範違反又は、管理者若しくは取扱者によって実施された若しくは実施されている規範の作業違反について不服申立てを取り扱う手続及び構造を確立しており、当該手続き及び構造の透明性をデータ主体及び一般の人々に対して確保している。
(c)established procedures and structures to handle complaints about infringements of the code or themanner in which the code has been, or is being, implemented by a controller or processor, and to makethose procedures and structures transparent to data subjects and the public; and(d)

当該団体が、管轄監督機関に対し業務又は義務が利益相反を招かないことを十分に説明
している。
(d)
demonstrated to the satisfaction of the competent supervisory authority that its tasks and duties do
not result in a conflict of interests.

3.

管轄監督機関は、本条第 1 項で定める団体の認定に関する基準案を、第 63 条で定める一貫性
メカニズムにより欧州データ保護会議に送付しなければならない。
3.
The competent supervisory authority shall submit the draft criteria for accreditation of a body as referred toin paragraph 1 of this Article to the Board pursuant to the consistency mechanism referred to in Article 63.

4.

管轄監督機関の業務及び権限並びに第 8 章の規定を侵害することなく、第 1 項で定める団体
は、適切な保護措置に従い、管理者又は取扱者の規範の中断又は除外を含め、管理者又は取扱者による違反がある場合、適切な行動をとらなければならない。団体は管轄監督機関に当該行動ととられた行動の理由を通知しなければならない。
4.
Without prejudice to the tasks and powers of the competent supervisory authority and the provisions of
Chapter VIII, a body as referred to in paragraph 1 shall, subject to appropriate safeguards, take appropriate action incases of infringement of the code by a controller or processor, including suspension or exclusion of the controller orprocessor concerned from the code. It shall inform the competent supervisory authority of such actions and thereasons for taking them.

5.

管轄監督機関は、第 1 項で定める団体の認定について、認定の状況が合致しない若しくはもはや合致しなくなった場合又は団体によってなされた行為が本規則に違反する場合、団体の認定を取り消すものとする。

55

5.
The competent supervisory authority shall revoke the accreditation of a body as referred to in paragraph 1 if
the conditions for accreditation are not, or are no longer, met or where actions taken by the body infringe thisRegulation.

6.

本条は公的機関及び団体によって実行される取扱いには適用されない。
6.

This Article shall not apply to processing carried out by public authorities and bodies.

第 42 条 認証
Article 42 Certification
1.

加盟国、監督機関、欧州データ保護会議及び欧州委員会は、特に EU 規模において、管理者及び取扱者による取扱い作業に関する本規則の遵守を証明する目的で、データ保護認証メカニズ
ム、データ保護シール及びマークの確立を奨励するものとする。零細及び中小事業に特有の要望は考慮されなければならない。
1.
The Member States, the supervisory authorities, the Board and the Commission shall encourage, inparticular at Union level, the establishment of data protection certification mechanisms and of data protection seals
and marks, for the purpose of demonstrating compliance with this Regulation of processing operations by controllers
and processors. The specific needs of micro, small and medium-sized enterprises shall be taken into account.

2.

本規則に服する管理者又は取扱者による遵守のほか、本条第 5 項により承認されたデータ保護
認証メカニズム、シール及びマークは、第 46 条第 2 項(f)号で定める規定に基づく第三国又は国際組織への個人データ移転枠内で、第 3 条によって本規則に服しない管理者又は取扱者によって提供される適切な保護措置の存在を証明する目的のために確立されてもよい。当該管理者
又は処理者は、データ主体の権利に関することを含め、適切な保護措置を適用するため、契約的又は他の法的拘束文書によって拘束的及び執行力のある公約をなさなければならない。
2.
In addition to adherence by controllers or processors subject to this Regulation, data protection certification
mechanisms, seals or marks approved pursuant to paragraph 5 of this Article may be established for the purpose ofdemonstrating the existence of appropriate safeguards provided by controllers or processors that are not subject tothis Regulation pursuant to Article 3 within the framework of personal data transfers to third countries orinternational organisations under the terms referred to in point (f) of Article 46(2). Such controllers or processors
shall make binding and enforceable commitments, via contractual or other legally binding instruments, to apply
those appropriate safeguards, including with regard to the rights of data subjects.

3.

認証は任意であり、透明性のある手続を通して取得されるものとする。
3.

4.

The certification shall be voluntary and available via a process that is transparent.

本条による認証は本規則の遵守に関して管理者又は取扱者の責任を減ずるものではなく、第55 条又は第 56 条による管轄監督機関の業務及び権限を侵害しないものである。
4.
A certification pursuant to this Article does not reduce the responsibility of the controller or the processor
for compliance with this Regulation and is without prejudice to the tasks and powers of the supervisory authorities
which are competent pursuant to Article 55 or 56.

5.

本条による認証は、第 58 条第 3 項による管轄監督機関又は第 63 条による欧州データ保護会議によって承認された基準に基づき、第 43 条で定める認証機関又は管轄監督機関によって発行されなければならない。基準が欧州データ保護会議によって承認された場合、この認証は共通
認証（欧州データ保護シール）とすることができる。
5.
A certification pursuant to this Article shall be issued by the certification bodies referred to in Article 43 orby the competent supervisory authority, on the basis of criteria approved by that competent supervisory authority

56

pursuant to Article 58(3) or by the Board pursuant to Article 63. Where the criteria are approved by the Board, thismay result in a common certification, the European Data Protection Seal.

6.

取扱いを認証メカニズムに提出する取扱者又は管理者は、第 43 条で定める認証機関、又は該当する場合、管轄監督機関に、すべての情報及び認証手続を進めるのに必要な当該取扱い活動
へのアクセスを提供しなければならない。
6.
The controller or processor which submits its processing to the certification mechanism shall provide thecertification body referred to in Article 43, or where applicable, the competent supervisory authority, with all
information and access to its processing activities which are necessary to conduct the certification procedure.

7.

認証は管理者又は取扱者に最大 3 年を上限に発行されるものとし、同じ条件の下、関連する要求事項に引き続き合致しているならば、更新されてもよい。認証は、認証に関する要求事項に合致しない又はもはや合致しなくなった場合、第 43 条で定める認証機関又は管轄監督機関によって取り消さなければならない。
7.
Certification shall be issued to a controller or processor for a maximum period of three years and may berenewed, under the same conditions, provided that the relevant requirements continue to be met. Certification shallbe withdrawn, as applicable, by the certification bodies referred to in Article 43 or by the competent supervisory
authority where the requirements for the certification are not or are no longer met.

8.

欧州データ保護会議は、登録されいているすべての認証メカニズム並びにデータ保護シール及びマークに対し校合しなければならず、あらゆる適切な手段で、それらを周知するようにしなければならない。
8.
The Board shall collate all certification mechanisms and data protection seals and marks in a register andshall make them publicly available by any appropriate means.

第 43 条 認証機関
Article 43 Certification bodies
1.

第 57 条及び第 58 条に基づく管轄監督機関の業務及び権限を侵害することなく、データ保護に関して適切なレベルの専門知識を持つ認証機関は、必要な場合、第 58 条第 2 項(h)号による監督機関の権限の履行を許容するために監督機関に通知した後に、認証の発行及び更新をしなければならない。加盟国は当該認証機関が次に掲げるいずれか又は両方によって認定されていることを保証しなければならない。
1.
Without prejudice to the tasks and powers of the competent supervisory authority under Articles 57 and 58,
certification bodies which have an appropriate level of expertise in relation to data protection shall, after informing
the supervisory authority in order to allow it to exercise its powers pursuant to point (h) of Article 58(2) where
necessary, issue and renew certification. Member States shall ensure that those certification bodies are accredited by
one or both of the following:(a)

第 55 条又は第 56 条による管轄監督機関(a)the supervisory authority which is competent pursuant to Article 55 or 56;

57

(b)

ISO/IEC 17065/2012 及び第 55 条又は第 56 条による管轄監督機関によって定められた追加的要件と合致した欧州委員会及び欧州議会の規則 (EC) No 765/2008 に従って任命された国内認定団体。
(b)
the national accreditation body named in accordance with Regulation (EC) No 765/2008 of theEuropean Parliament and of the Council2 in accordance with EN-ISO/IEC 17065/2012 and with theadditional requirements established by the supervisory authority which is competent pursuant to Article 55
or 56.

2.

第 1 項で定める認証機関は、次に掲げるすべての事項を満たしている場合に限り、第 1 項に従って認定されるものとする。
2.
Certification bodies referred to in paragraph 1 shall be accredited in accordance with paragraph 1 only
where they have:(a)

独立性及び認証の対象事項に関する専門知識を管轄監督機関に対して十分に証明している。
(a)demonstrated their independence and expertise in relation to the subject-matter of the certification
to the satisfaction of the competent supervisory authority;(b)

第 42 条第 5 項で定める基準を遵守していることを保証し、及び第 55 条若しくは第 56条による管轄監督機関又は第 63 条による欧州データ保護会議によって承認されている。
(b)undertaken to respect the criteria referred to in Article 42(5) and approved by the supervisory
authority which is competent pursuant to Article 55 or 56 or by the Board pursuant to Article 63;(c)

データ保護認証、シール及びマークの発行、定期的見直し、並びに取り消しに関する手続きを確立している。
(c)established procedures for the issuing, periodic review and withdrawal of data protection
certification, seals and marks;(d)

認証違反又は管理者若しくは取扱者によって実施された若しくは実施されている認証の作業の違反に関する不服申立てを取り扱う手続及び構造を確立しており、当該手続き及び構造がの透明性をデータ主体及び一般の人々に対して確保している。
(d)established procedures and structures to handle complaints about infringements of the certificationor the manner in which the certification has been, or is being, implemented by the controller or processor,
and to make those procedures and structures transparent to data subjects and the public; and(e)

管轄監督機関に対し業務又は義務が利益相反を招かないことを十分に説明している。
(e)demonstrated, to the satisfaction of the competent supervisory authority, that their tasks and duties
do not result in a conflict of interests.

2

Regulation (EC) No 765/2008 of the European Parliament and of the Council of 9 July 2008 setting out therequirements for accreditation and market surveillance relating to the marketing of products and repealing
Regulation (EEC) No 339/93 (OJ L 218, 13.8.2008, p. 30).

58

3.

第 1 項及び第 2 項で定める認証機関の認定は、第 55 条若しくは第 56 条による管轄監督機関又は第 63 条による欧州データ保護会議によって承認された基準に基づき行われるものとする。
本条第 1 項(b)号による認定の場合、当該要件は、規則(EC) No 765/2008 で見られる事項及び認証機関の手法及び手続について定める技術的な規定で補足されるものとする。
3.
The accreditation of certification bodies as referred to in paragraphs 1 and 2 shall take place on the basis of
criteria approved by the supervisory authority which is competent pursuant to Article 55 or 56 or by the Board
pursuant to Article 63. In the case of accreditation pursuant to point (b) of paragraph 1 of this Article, thoserequirements shall complement those envisaged in Regulation (EC) No 765/2008 and the technical rules that
describe the methods and procedures of the certification bodies.

4.

第 1 項で定める認証機関は、本規則の遵守に関する管理者又は取扱者の責任を侵害することな
く、認証を導く適切な審査又は当該認証の取り消しに関して責任があるものとする。認定は最大 5 年を上限に発行されるものとし、同じ条件の下、認証機関が本条で規定されている要件に合致しているならば、更新されてもよい。
4.
The certification bodies referred to in paragraph 1 shall be responsible for the proper assessment leading to
the certification or the withdrawal of such certification without prejudice to the responsibility of the controller orprocessor for compliance with this Regulation. The accreditation shall be issued for a maximum period of five years
and may be renewed on the same conditions provided that the certification body meets the requirements set out inthis Article.

5.

第 1 項で定める認証機関は、要求された認証の付与又は取り消しに関する理由を管轄監督機関に提供しなければならない。
5.
The certification bodies referred to in paragraph 1 shall provide the competent supervisory authorities withthe reasons for granting or withdrawing the requested certification.

6.

本条第 3 項で定める要件及び第 42 条第 5 項で定める基準は監督機関によって容易にアクセス可能な形態で公開されなければならない。監督機関は当該要件又は基準を欧州データ保護会議に送付しなければならない。欧州データ保護会議は登録されているすべての認証メカニズム並
びにデータ保護シールに対し校合しなければならず、あらゆる適切な手段で、それらを周知するようにしなければならない。
6.
The requirements referred to in paragraph 3 of this Article and the criteria referred to in Article 42(5) shallbe made public by the supervisory authority in an easily accessible form. The supervisory authorities shall alsotransmit those requirements and criteria to the Board. The Board shall collate all certification mechanisms and dataprotection seals in a register and shall make them publicly available by any appropriate means.

7.

第 8 章を侵害することなく、管轄監督機関又は国内認定機関は、認定の状況が合致しない若し
くはもはや合致しなくなった場合、又は認証機関によって取られる行動が本規則に違反する場
合、本条第 1 項による認証機関の認定を取り消さなければならない。
7.
Without prejudice to Chapter VIII, the competent supervisory authority or the national accreditation bodyshall revoke an accreditation of a certification body pursuant to paragraph 1 of this Article where the conditions forthe accreditation are not, or are no longer, met or where actions taken by a certification body infringe this Regulation.

8.

欧州委員会は、第 42 条第 1 項で定めるデータ保護認証メカニズムに考慮される要件を具体化する目的で、第 92 条に従って委任法令を採択する権限が付与されるものとする。
8.
The Commission shall be empowered to adopt delegated acts in accordance with Article 92 for the purposeof specifying the requirements to be taken into account for the data protection certification mechanisms referred toin Article 42(1).

9.

欧州委員会は、認証メカニズム及びデータ保護シール若しくはマークに関する技術的標準並びに当該認証メカニズム、シール及びマークを促進及び認識する仕組みを規定する実施行為を採59

択することができる。実施行為は第 93 条第 2 項で定める審査手続に従って採択されなければならない。
9.
The Commission may adopt implementing acts laying down technical standards for certification
mechanisms and data protection seals and marks, and mechanisms to promote and recognise those certification
mechanisms, seals and marks. Those implementing acts shall be adopted in accordance with the examination
procedure referred to in Article 93(2).

60

第5章

第三国又は国際機関への個人データ移転

CHAPTER V TRANSFER OF PERSONAL DATA TO THIRD COUNTRIES OR
INTERNATIONAL ORGANISATIONS

第 44 条 移転に関する一般原則
Article 44 General principle for transfers
取扱いがなされている又は移転後の取扱いを意図したあらゆる個人データの第三国又は国際機関への移転は、本規則の他の規定に服し、本章で定める条件が管理者及び取扱者によって遵守されている場
合に限り、行われるものとする。当該移転には、ある第三国又は国際機関からまた別の第三国又は国際機関への個人データの再移転も含まれる。本章のすべての規定は、本規則によって保障される自然
人の保護レベルが低下しないことを確保するために適用されるものとする。
Any transfer of personal data which are undergoing processing or are intended for processing after transfer to a third country
or to an international organisation shall take place only if, subject to the other provisions of this Regulation, the conditions
laid down in this Chapter are complied with by the controller and processor, including for onward transfers of personal datafrom the third country or an international organisation to another third country or to another international organisation. Allprovisions in this Chapter shall be applied in order to ensure that the level of protection of natural persons guaranteed by thisRegulation is not undermined.

第 45 条 十分性決定に基づく移転
Article 45 Transfers on the basis of an adequacy decision1.

第三国又は国際機関への個人データの移転は、当該第三国、第三国域内の領域若しくは一つ若
しくは複数の特定された部門、又は国際機関が保護に関して十分なレベルを保証していると欧州委員会が決定した場合に行うことができる。この移転は、いかなる個別的許可も要しない。
1.
A transfer of personal data to a third country or an international organisation may take place where theCommission has decided that the third country, a territory or one or more specified sectors within that third country,
or the international organisation in question ensures an adequate level of protection. Such a transfer shall not require
any specific authorisation.

2.

保護レベルの十分性を評価するとき、欧州委員会は、次に掲げる要素を特に考慮しなくてはならない。
2.
When assessing the adequacy of the level of protection, the Commission shall, in particular, take account of
the following elements:(a)

法の支配、人権及び基本的自由の尊重、公安、国防、国家の安全及び刑事法並びに個人
データへの公的機関のアクセスに関するものを含む一般的な又は分野別の関連法令及びその履行。第三国又は国際機関への個人データの再移転に関連し、当該第三国又は国際組織によって遵守される規定及び判例法並びに効果的かつ執行力のあるデータ主体の権利を含むデータ保護規定、専門的規定及び安全対策。個人データが移転されるデータ主体のための効果的な行政上及び司法上の是正措置。
(a)the rule of law, respect for human rights and fundamental freedoms, relevant legislation, bothgeneral and sectoral, including concerning public security, defence, national security and criminal law andthe access of public authorities to personal data, as well as the implementation of such legislation, dataprotection rules, professional rules and security measures, including rules for the onward transfer of
personal data to another third country or international organisation which are complied with in that country
or international organisation, case-law, as well as effective and enforceable data subject rights and effective
administrative and judicial redress for the data subjects whose personal data are being transferred;

61

(b)

データ保護規定遵守の保障及び執行並びに適切な執行権限に対する責任、データ主体が権利を行使する際にこれを支援する又はこれに対し助言する責任、及び、加盟国の監督機関と協働する責任を有する第三国における一つ又は複数の独立した監督機関、又は国際機関が従うべき監督機関の存在及び実効的権限行使。
(b)
the existence and effective functioning of one or more independent supervisory authorities in thethird country or to which an international organisation is subject, with responsibility for ensuring andenforcing compliance with the data protection rules, including adequate enforcement powers, for assisting
and advising the data subjects in exercising their rights and for cooperation with the supervisory authoritiesof the Member States; and(c)

当該第三国若しくは国際組織が加入している国際的取決め。特に個人データ保護に関する法的拘束力のある慣行若しくは法律文書から又は、多国間又は地域における制度への参加から生じるその他義務。
(c)the international commitments the third country or international organisation concerned has enteredinto, or other obligations arising from legally binding conventions or instruments as well as from its
participation in multilateral or regional systems, in particular in relation to the protection of personal data.

3.

データ保護レベルの十分性の評価後、欧州委員会は、実施行為により、第三国、第三国域内の領域若しくは一つ若しくは複数の特定の部門、又は国際機関が本条第 2 項の趣旨において保護に関して十分なレベルを保障していると決定することができる。実施行為は、少なくとも 4 年ごとの定期的な見直しに関する仕組みを提供するものとし、見直しでは第三国又は国際機関におけるすべての進展を考慮するものとする。実施行為は地理的及び分野的適用を特定しなければならず、該当する場合、監督機関又は本条第 2 項(b)号で定める機関を明らかにしなければならない。実施行為は第 93 条第 2 項で定める審査手続に従って採択されなければならない。
3.
The Commission, after assessing the adequacy of the level of protection, may decide, by means of
implementing act, that a third country, a territory or one or more specified sectors within a third country, or aninternational organisation ensures an adequate level of protection within the meaning of paragraph 2 of this Article.
The implementing act shall provide for a mechanism for a periodic review, at least every four years, which shall take
into account all relevant developments in the third country or international organisation. The implementing act shallspecify its territorial and sectoral application and, where applicable, identify the supervisory authority or authorities
referred to in point (b) of paragraph 2 of this Article. The implementing act shall be adopted in accordance with theexamination procedure referred to in Article 93(2).

4.

欧州委員会は、有効である基準に基づき、本条第 3 項により採択された決定及び指令 95/46/ECの第 25 条第 6 項に基づき採択された決定に関する作用に影響を及ぼし得る第三国及び国際機関における進展を監視しなければならない。
4.
The Commission shall, on an ongoing basis, monitor developments in third countries and internationalorganisations that could affect the functioning of decisions adopted pursuant to paragraph 3 of this Article anddecisions adopted on the basis of Article 25(6) of Directive 95/46/EC.

5.

欧州委員会は、特に本条の第 3 項で定める見直しに従い、第三国、第三国域内の領域若しくは一つ若しくは複数の特定の部門、又は国際機関がもはや本条第 2 項の趣旨において保護に関して十分なレベルを保証していないことを利用可能な情報が示しているならば、効果の遡りなしに、実施行為の手段によって本条第 3 項で定める決定を、必要な範囲で、廃止、修正又は保留
しなければならない。当該実施行為は第 93 条第 2 項で定める審査手続に従って採択されなければならない。
5.
The Commission shall, where available information reveals, in particular following the review referred to inparagraph 3 of this Article, that a third country, a territory or one or more specified sectors within a third country, oran international organisation no longer ensures an adequate level of protection within the meaning of paragraph 2 ofthis Article, to the extent necessary, repeal, amend or suspend the decision referred to in paragraph 3 of this Article

62

by means of implementing acts without retro-active effect. Those implementing acts shall be adopted in accordancewith the examination procedure referred to in Article 93(2).

適切に正当化された必須の緊急的根拠がある場合、欧州委員会は第 93 条第 3 項で定める手続に従い、適用可能な実施行為を直ちに採択しなければならない。
On duly justified imperative grounds of urgency, the Commission shall adopt immediately applicable implementing
acts in accordance with the procedure referred to in Article 93(3).

6.

欧州委員会は、第 5 項に基づきなされた決定にリスクを生じさせる状況を救済する目的で、第三国又は国際機関との協議に入らなければならない。
6.
The Commission shall enter into consultations with the third country or international organisation with aview to remedying the situation giving rise to the decision made pursuant to paragraph 5.

7.

本条第 5 項による決定は、第 46 条から第 49 条に準じた第三国、第三国域内の領域若しくは一つ若しくは複数の特定の部門、又は国際機関への個人データ移転を侵害するものではない。
7.
A decision pursuant to paragraph 5 of this Article is without prejudice to transfers of personal data to thethird country, a territory or one or more specified sectors within that third country, or the international organisationin question pursuant to Articles 46 to 49.

8.

欧州委員会は、十分な保護レベルが保障されている又はもはや保障されていない第三国、第三国域内の領域若しくは特定の部門及び国際機関の一覧を EU 官報及びウェブサイトに公開しなければならない。
8.
The Commission shall publish in the Official Journal of the European Union and on its website a list of thethird countries, territories and specified sectors within a third country and international organisations for which it
has decided that an adequate level of protection is or is no longer ensured.

9.

指令 95/46/EC の第 25 条第 6 項に基づき欧州委員会によって採択された決定は、本条第 3 項又は第 5 項に従って採択された欧州委員会決定によって修正、差し替え又は廃止されるまで有効である。
9.
Decisions adopted by the Commission on the basis of Article 25(6) of Directive 95/46/EC shall remain inforce until amended, replaced or repealed by a Commission Decision adopted in accordance with paragraph 3 or 5 ofthis Article.

第 46 条 適切な保護措置に従った移転
Article 46 Transfers subject to appropriate safeguards
1.

第 45 条第 3 項による決定がない場合は、管理者又は取扱者が適切な保護措置を提供しており、執行力あるデータ主体の権利及びデータ主体に関する効果的な法的救済が利用可能な状態である場合に限り、管理者又は取扱者は第三国又は国際機関に個人データを移転することができる。
1.
In the absence of a decision pursuant to Article 45(3), a controller or processor may transfer personal data toa third country or an international organisation only if the controller or processor has provided appropriate
safeguards, and on condition that enforceable data subject rights and effective legal remedies for data subjects areavailable.

2.

第 1 項で定める適切な保護措置は、監督機関からの特定の認可を必要とせず、次に掲げるもの
によって講じられてもよい。

63

2.
The appropriate safeguards referred to in paragraph 1 may be provided for, without requiring any specificauthorisation from a supervisory authority, by:(a)

公的機関又は団体間の法的拘束力又は執行力のある法律文書。
(a)

(b)

第 47 条に従った拘束的企業準則。
(b)

(c)

a legally binding and enforceable instrument between public authorities or bodies;binding corporate rules in accordance with Article 47;

第 93 条第 2 項で定める審査手続に従って欧州委員会によって採択された標準データ保護条項。
(c)standard data protection clauses adopted by the Commission in accordance with the examination
procedure referred to in Article 93(2);(d)

監督機関によって採択され、第 93 条第 2 項で定める審査手続により欧州委員会によって承認された標準データ保護条項。
(d)standard data protection clauses adopted by a supervisory authority and approved by theCommission pursuant to the examination procedure referred to in Article 93(2);(e)

適切な保護措置（データ主体の権利に関することを含む）を適用するための第三国の管理者又は取扱者の拘束力及び執行力のある公約を伴った、第 40 条による承認された行動規範。又は、(e)an approved code of conduct pursuant to Article 40 together with binding and enforceablecommitments of the controller or processor in the third country to apply the appropriate safeguards,
including as regards data subjects' rights; or(f)

適切な保護措置（データ主体の権利に関することを含む）を適用するための第三国の管理者又は取扱者の拘束力及び執行力のある公約を伴った、第 42 条による承認された認証メカニズム。
(f)an approved certification mechanism pursuant to Article 42 together with binding and enforceablecommitments of the controller or processor in the third country to apply the appropriate safeguards,
including as regards data subjects' rights.

3.

管轄監督機関からの認可に服する場合、第 1 項で定める適切な保護措置は、特に次に掲げるものによって講じることができる。
3.
Subject to the authorisation from the competent supervisory authority, the appropriate safeguards referred toin paragraph 1 may also be provided for, in particular, by:(a)

管理者又は取扱者と第三国若しくは国際機関における管理者、取扱者又は個人データの取得者間の契約条項。又は、(a)contractual clauses between the controller or processor and the controller, processor or the recipientof the personal data in the third country or international organisation; or(b)

公的機関又は団体間の行政上の取決めに挿入された執行力がありかつ効果的なデータ主体の権利を含む規定。
(b)
provisions to be inserted into administrative arrangements between public authorities or bodies
which include enforceable and effective data subject rights.

64

4.

監督機関は、本条第 3 項で定める場合において、第 63 条で定める一貫性メカニズムを適用しなければならない。
4.
The supervisory authority shall apply the consistency mechanism referred to in Article 63 in the cases
referred to in paragraph 3 of this Article.

5.

指令 95/46/EC の第 26 条第 2 項に基づいた加盟国又は監督機関による認可は、必要に応じて、監督機関によって修正、差し替え又は廃止されるまで有効とする。指令 95/46/EC の第 26 条第4 項に基づいた欧州委員会により採択された決定は、必要に応じて、本条の第 2 項に従って採択された委員会決定によって修正、差し替え又は廃止されるまで有効とする。
5.
Authorisations by a Member State or supervisory authority on the basis of Article 26(2) of Directive
95/46/EC shall remain valid until amended, replaced or repealed, if necessary, by that supervisory authority.
Decisions adopted by the Commission on the basis of Article 26(4) of Directive 95/46/EC shall remain in force until
amended, replaced or repealed, if necessary, by a Commission Decision adopted in accordance with paragraph 2 ofthis Article.

第 47 条 拘束的企業準則
Article 47 Binding corporate rules
1.

管轄監督機関は、次に掲げる場合、第 63 条で定められた一貫性メカニズムに従い拘束的企業
準則を承認しなければならない。
1.
The competent supervisory authority shall approve binding corporate rules in accordance with theconsistency mechanism set out in Article 63, provided that they:(a)

拘束的企業準則が、法的な拘束力を有し、事業体グループ又は共同経済活動に従事する事業者のグループに関連したすべてのメンバー（従業者を含む）に適用され、遵守されている。
(a)are legally binding and apply to and are enforced by every member concerned of the group ofundertakings, or group of enterprises engaged in a joint economic activity, including their employees;(b)

拘束的企業準則が、個人データの取扱いに関し、データ主体に執行できる権利を明示的に与えている。
(b)
expressly confer enforceable rights on data subjects with regard to the processing of their personal
data; and(c)

拘束的企業準則が、第 2 項に定められた要件を満たしている。
(c)2.

fulfil the requirements laid down in paragraph 2.

第 1 項で定める拘束的企業準則は、少なくとも次に掲げる事項を明記しなくてはならない。
2.

The binding corporate rules referred to in paragraph 1 shall specify at least:(a)

事業体グループ又は共同経済活動に従事する事業者のグループ及び各々のメンバーの体制と詳細な連絡先。
(a)the structure and contact details of the group of undertakings, or group of enterprises engaged in ajoint economic activity and of each of its members;

65

(b)

個人データの種類、取扱いの種類とその目的、影響を受けるデータ主体の種類、及び問題となっている特定された第三国若しくは複数の第三国の事項を含むデータ移転又はデータ移転の集合。
(b)
the data transfers or set of transfers, including the categories of personal data, the type of processing
and its purposes, the type of data subjects affected and the identification of the third country or countries inquestion;(c)

国内及び国外双方における法的拘束性。
(c)

(d)

their legally binding nature, both internally and externally;

一般的なデータ保護の原則の適用。特に、目的の制限、データの最小化、保存期間の制
限、データの品質、データ保護バイデザイン及びバイデフォルト、取扱いに関する法的根拠、特別な種類の個人データの取扱い、データセキュリティを確実にするための措置、及び拘束的企業準則によって拘束されない団体への再移転に関する要件。
(d)the application of the general data protection principles, in particular purpose limitation, data
minimisation, limited storage periods, data quality, data protection by design and by default, legal basis forprocessing, processing of special categories of personal data, measures to ensure data security, and therequirements in respect of onward transfers to bodies not bound by the binding corporate rules;(e)

取扱いに関するデータ主体の権利及び当該権利の履行手段。第 22 条によるプロファイ
ルを含む自動的取扱いのみによる決定に服しない権利、管轄監督機関に不服を申し立てる権利、第 79 条により加盟国の管轄裁判所に不服を申し立てる権利、是正の権利及び、
適切な場合、拘束的企業準則の侵害に関する損害賠償の権利を含む。
(e)the rights of data subjects in regard to processing and the means to exercise those rights, including
the right not to be subject to decisions based solely on automated processing, including profiling inaccordance with Article 22, the right to lodge a complaint with the competent supervisory authority andbefore the competent courts of the Member States in accordance with Article 79, and to obtain redress and,
where appropriate, compensation for a breach of the binding corporate rules;(f)

EU 域内に拠点のない関連するあらゆるメンバーによる拘束的企業準則のあらゆる侵害に関して責任を持つ加盟国の領域に拠点のある管理者若しくは取扱者の承諾。管理者又は取扱者は、当該メンバーが損害を生じさせる出来事に責任がないと証明する場合にのみ、全体又は一部の当該責任が免除されるものとする。
(f)the acceptance by the controller or processor established on the territory of a Member State ofliability for any breaches of the binding corporate rules by any member concerned not established in theUnion; the controller or the processor shall be exempt from that liability, in whole or in part, only if itproves that that member is not responsible for the event giving rise to the damage;(g)

拘束的企業準則のデータ主体に提供される情報の通知方法。特に、本項(d)号、(e)号及び(f)号で定める規定並びに第 13 条及び第 14 条で規定された情報。
(g)
how the information on the binding corporate rules, in particular on the provisions referred to inpoints (d), (e) and (f) of this paragraph is provided to the data subjects in addition to Articles 13 and 14;(h)

第 37 条に従って任命されたあらゆるデータ保護オフィサー、又は事業体グループ若しくは共同経済活動に従事する事業者のグループ内の拘束的企業準則の遵守並びに訓練及び不服申立ての処理を監視する役目にあるあらゆるその他人物若しくは存在の業務。
(h)the tasks of any data protection officer designated in accordance with Article 37 or any other personor entity in charge of the monitoring compliance with the binding corporate rules within the group ofundertakings, or group of enterprises engaged in a joint economic activity, as well as monitoring training
and complaint-handling;

66

(i)

不服申立て手続。
(i)(j)

the complaint procedures;

拘束的企業準則の遵守の有効性を検証することを確実にする事業体グループ若しくは共同経済活動に従事する事業者のグループ内の仕組み。当該仕組みはデータ保護監査及びデータ主体の権利保護のための是正措置を確実にする手法を含む。当該有効性検証の結果は、(h)号で定める人又は存在及び事業体グループ若しくは共同経済活動に従事する事業者のグループ内の事業管理に関する会議に通知されるものとし、要求に応じて管轄監督機関に対して入手可能にしなければならない。
(j)the mechanisms within the group of undertakings, or group of enterprises engaged in a joint
economic activity for ensuring the verification of compliance with the binding corporate rules. Suchmechanisms shall include data protection audits and methods for ensuring corrective actions to protect therights of the data subject. Results of such verification should be communicated to the person or entity
referred under point (h) and to the board of the controlling undertaking of a group of undertakings, or of thegroup of enterprises engaged in a joint economic activity, and should be available upon request to thecompetent supervisory authority;(k)

規定変更を報告及び記録し、当該変更を監督機関に報告する仕組み。
(k)the mechanisms for reporting and recording changes to the rules and reporting those changes to thesupervisory authority;(l)

事業体グループ若しくは共同経済活動に従事する事業者のグループのあらゆるメンバー
によって遵守されていることを確実にするための監督機関との協力の仕組み。特に(j)号で定める対策の有効性検証の結果を監督機関が入手可能にすること。
(l)the cooperation mechanism with the supervisory authority to ensure compliance by any member ofthe group of undertakings, or group of enterprises engaged in a joint economic activity, in particular bymaking available to the supervisory authority the results of verifications of the measures referred to in point
(j);

(m)

第三国にある事業体グループ若しくは共同経済活動に従事する事業者のグループのメンバーが従い、かつ拘束的企業準則によって提供される保障に実質的悪影響を起こし得るあらゆる法的要件を管轄監督機関へ報告する仕組み。
(m)
the mechanisms for reporting to the competent supervisory authority any legal requirements towhich a member of the group of undertakings, or group of enterprises engaged in a joint economic activity
is subject in a third country which are likely to have a substantial adverse effect on the guarantees provided
by the binding corporate rules; and(n)

個人データに永続的に又は定期的にアクセスする人材への適切なデータ保護訓練。
(n)
data.

3.

the appropriate data protection training to personnel having permanent or regular access to personal

欧州委員会は本条の趣旨内において拘束的企業準則に関する管理者、取扱者及び監督機関間の情報交換に関する形式及び手続を指定することができる。これら実施行為は第 93 条第 2 項で規定された審査手続に従って採択されるものとする。
3.
The Commission may specify the format and procedures for the exchange of information between
controllers, processors and supervisory authorities for binding corporate rules within the meaning of this Article.
Those implementing acts shall be adopted in accordance with the examination procedure set out in Article 93(2).

67第 48 条 EU 法によって認められていない移転又は開示
Article 48 Transfers or disclosures not authorised by Union law
管理者若しくは取扱者に個人データの移転又は開示を要求する第三国の裁判所又は法廷のあらゆる判決及び行政機関のあらゆる決定は、その要求をする第三国と EU 又は加盟国間で有効とされている共助条約のような国際協定に基づく場合に限り、本章における移転に関する他の根拠を侵害することな
く、認められるか又は執行力を有することができる。
Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller
or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on aninternational agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union
or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter.

第 49 条 特定の状況における例外
Article 49 Derogations for specific situations
1.

第 45 条第 3 項に準拠した十分性の決定がない場合、又は第 46 条による適切な安全対策（拘束的企業準則を含む）がない場合、第三国又は国際機関への個人データの移転又は個人データ移
転の集合は、次に掲げるいずれかを満たしている場合においてのみ、行われるものとする。
1.
In the absence of an adequacy decision pursuant to Article 45(3), or of appropriate safeguards pursuant to
Article 46, including binding corporate rules, a transfer or a set of transfers of personal data to a third country or aninternational organisation shall take place only on one of the following conditions:(a)

十分性の決定及び適切な安全対策がないことによってデータ主体に関する当該移転から生じ得るリスクについての情報が提供された後、データ主体がその提案された移転に明示的に同意した場合。
(a)the data subject has explicitly consented to the proposed transfer, after having been informed of thepossible risks of such transfers for the data subject due to the absence of an adequacy decision andappropriate safeguards;(b)

データ主体と管理者との間における契約の履行のため、又はデータ主体の要求により取られる契約前措置の実施のため、移転が必要な場合。
(b)the transfer is necessary for the performance of a contract between the data subject and thecontroller or the implementation of pre-contractual measures taken at the data subject's request;(c)

管理者及びその他自然人又は法人との間におけるデータ主体の利益に帰する契約の締結
又は履行のために移転が必要な場合。
(c)the transfer is necessary for the conclusion or performance of a contract concluded in the interest of
the data subject between the controller and another natural or legal person;(d)

公共の利益の重大な事由のために移転が必要な場合。
(d)

(e)

法的主張時の立証、行使又は抗弁に移転が必要な場合。
(e)

(f)

the transfer is necessary for important reasons of public interest;

the transfer is necessary for the establishment, exercise or defence of legal claims;

データ主体が物理的又は法的に同意を与えることができない場合において、データ主体
又は他者の重要な利益を保護するために移転が必要な場合。

68

(f)
the transfer is necessary in order to protect the vital interests of the data subject or of other persons,
where the data subject is physically or legally incapable of giving consent;(g)

EU 法又は加盟国の国内法により、一般の人々に対して情報を提供することが意図された記録であり、一般の人々又は正当な利益を証明することのできる人による協議に対して公開される記録からの移転。ただし、その特定の状況において、協議に関する EU 法
又は加盟国の国内法で規定されている条件が満たされている場合に限る。
(g)the transfer is made from a register which according to Union or Member State law is intended toprovide information to the public and which is open to consultation either by the public in general or by any
person who can demonstrate a legitimate interest, but only to the extent that the conditions laid down inUnion or Member State law for consultation are fulfilled in the particular case.

移転が、拘束的企業準則の条項を含む第 45 条又は第 46 条の規定に基づかず、及び本項(a)号から(g)号による特定の状況における例外が一つもあてはまらないならば、第三国又は国際機関への移転は、移転が繰り返されず、限られた数のデータ主体に関することであり、管理者によって追求される正当な法的利益の目的に必要であり、その利益がデータ主体の利益又は権利及び自由よりも優先せず、管理者がデータ移転に関するすべての状況を評価し、その評価に基づ
いて個人データ保護に関する適切な保護措置が規定されている場合に限り、行うことができる。
管理者は移転に関して監督機関に通知しなければならない。管理者は、第 13 条及び第 14 条で定める情報の提供に加え、データ主体に移転及び管理者によって追求される正当な法的利益について通知しなければならない。
Where a transfer could not be based on a provision in Articles 45 or 46, including the provisions on binding
corporate rules, and none of the derogations for a specific situation pursuant to points (a) to (g) of this paragraph isapplicable, a transfer to a third country or an international organisation may take place only if the transfer is not
repetitive, concerns only a limited number of data subjects, is necessary for the purposes of compelling legitimate
interests pursued by the controller which are not overridden by the interests or rights and freedoms of the data
subject, and the controller has assessed all the circumstances surrounding the data transfer and has on the basis ofthat assessment provided suitable safeguards with regard to the protection of personal data. The controller shallinform the supervisory authority of the transfer. The controller shall, in addition to providing the informationreferred to in Articles 13 and 14, inform the data subject of the transfer and on the compelling legitimate interests
pursued.

2.

第 1 項(g)号による移転は記録の中に含まれる個人データ全体又は個人データの全種類を含めてはならない。記録が正当な利益をもつ人々による協議での利用を意図している場合、移転は
当該人々の要求又は当該人々が受取人になる場合に限り行われるものとする。
2.
A transfer pursuant to point (g) of paragraph 1 shall not involve the entirety of the personal data or entire
categories of the personal data contained in the register. Where the register is intended for consultation by persons
having a legitimate interest, the transfer shall be made only at the request of those persons or if they are to be therecipients.

3.

第 1 項前段(a) 号、(b) 号及び(c)号並びに後段は公権力の履行において公的機関によって実施される活動には適用されない。
3.
Points (a), (b) and (c) of the first subparagraph and the second subparagraph of paragraph 1 shall not apply
to activities carried out by public authorities in the exercise of their public powers.

4.

第 1 項(d)号で定める公共の利益は EU 法又は管理者が従う加盟国の国内法で認められていなけ
ればならない。
4.
The public interest referred to in point (d) of paragraph 1 shall be recognised in Union law or in the law of
the Member State to which the controller is subject.

69

5.

十分性の決定が存在しない場合、EU 法又は加盟国の国内法は、公共の利益に関する重大な理
由により、特別な種類の個人データに関する第三国又は国際機関への移転制限を明確に規定することができる。加盟国は当該規定を欧州委員会に通知するものとする。
5.
In the absence of an adequacy decision, Union or Member State law may, for important reasons of public
interest, expressly set limits to the transfer of specific categories of personal data to a third country or aninternational organisation. Member States shall notify such provisions to the Commission.

6.

管理者又は取扱者は、評価及び本条第 1 項後段で定める適切な保護措置を、第 30 条で定める記録に文書として残さなければならない。
6.
The controller or processor shall document the assessment as well as the suitable safeguards referred to in
the second subparagraph of paragraph 1 of this Article in the records referred to in Article 30.

第 50 条 個人データ保護に関する国際協力
Article 50 International cooperation for the protection of personal data
第三国及び国際機関に関連して、欧州委員会及び監督機関は次に掲げる事項を目的とした適切な措置をとらなければならない。
In relation to third countries and international organisations, the Commission and supervisory authorities shall takeappropriate steps to:(a)

個人データ保護に関する法律の効果的な執行を促進する国際協力体制の開発。
(a)develop international cooperation mechanisms to facilitate the effective enforcement of legislation
for the protection of personal data;(b)

通知、苦情照会、調査支援、及び情報交換を含む個人データ保護に関する法律の執行おける国際的共助の提供。ただし、個人データ及びその他の基本的権利及び自由を保護するための適切な保護措置をとらなければならない。
(b)provide international mutual assistance in the enforcement of legislation for the protection of
personal data, including through notification, complaint referral, investigative assistance and informationexchange, subject to appropriate safeguards for the protection of personal data and other fundamental rights
and freedoms;(c)

個人データ保護に関する法律の執行における国際的協力の促進を目的とした議論及び活動への関連する利害関係者の引き入れ。
(c)engage relevant stakeholders in discussion and activities aimed at furthering international
cooperation in the enforcement of legislation for the protection of personal data;(d)

個人データ保護に関する法律及び慣例の情報交換と文書化の促進。第三国との司法的衝
突を含む。
(d)
promote the exchange and documentation of personal data protection legislation and practice,including on jurisdictional conflicts with third countries.

70

第6章

独立監督機関CHAPTER VI INDEPENDENT SUPERVISORY AUTHORITIES

第1節

独立的地位

SECTION 1 INDEPENDENT STATUS

第 51 条 監督機関
Article 51 Supervisory authority
1.

各加盟国は、取扱いに関する自然人の基本的権利及び自由を保護するため、及び EU 域内における個人データの自由な流通を促進するため、本規則の適用を監視する責任を持つ一つ又は複数の独立した公的機関を設置しなければならない。
1.
Each Member State shall provide for one or more independent public authorities to be responsible formonitoring the application of this Regulation, in order to protect the fundamental rights and freedoms of natural
persons in relation to processing and to facilitate the free flow of personal data within the Union.

2.

各監督機関は、EU 全域での本規則の一貫した適用に寄与しなければならない。当該目的のため、これらの監督機関は第 7 章に従い、互いに又欧州委員会と協力しなければならない。
2.
Each supervisory authority shall contribute to the consistent application of this Regulation throughout theUnion. For that purpose, the supervisory authorities shall cooperate with each other and the Commission inaccordance with Chapter VII.

3.

加盟国内に複数の監督機関がある場合、当該加盟国は、欧州データ保護会議において当該複数機関を代表する監督機関を指名するものとし、第 63 条で定める一貫性メカニズムに関連する規則を他の監督機関が遵守することを確保する体制を確立しなければならない。
3.
Where more than one supervisory authority is established in a Member State, that Member State shalldesignate the supervisory authority which is to represent those authorities in the Board and shall set out themechanism to ensure compliance by the other authorities with the rules relating to the consistency mechanism
referred to in Article 63.

4.

各加盟国は、本章により加盟国が採択する加盟国の国内法の規定を、遅くとも（本規則が効力を有した日から 2 年）までに、また、これらの規定に影響を及ぼす後続の修正についても、遅滞なく、欧州委員会に通知しなければならない。
4.
Each Member State shall notify to the Commission the provisions of its law which it adopts pursuant to this
Chapter, by … [two years from the date of entry into force of this Regulation] at the latest and, without delay, any
subsequent amendment affecting them.

第 52 条 独立性
Article 52 Independence
1.

各監督機関は、本規則に従った業務の遂行及び権限を行使する際、完全に独立して行動しなけ
ればならない。
1.
Each supervisory authority shall act with complete independence in performing its tasks and exercising its
powers in accordance with this Regulation.

71

2.

各監督機関のメンバー又はメンバーたちは、本規則に従った業務の遂行及び権限の行使において、直接又は間接を問わず、外部的影響を受けず、誰かに指示を求めることも、誰かから指示を受けることもしてはならない。
2.
The member or members of each supervisory authority shall, in the performance of their tasks and exerciseof their powers in accordance with this Regulation, remain free from external influence, whether direct or indirect,
and shall neither seek nor take instructions from anybody.

3.

各監督機関のメンバー又はメンバーたちは、その義務と相容れないあらゆる行動を控えなければならず、在任期間中、有給であるか否かを問わず、相容れない職業に従事してはならない。
3.
Member or members of each supervisory authority shall refrain from any action incompatible with theirduties and shall not, during their term of office, engage in any incompatible occupation, whether gainful or not.

4.

各加盟国は、欧州データ保護会議との共助、協力及び参加における文脈において実行されるものを含め、効果的な監督機関の職務遂行及び権限の行使に必要な、人的、技術的及び財政的資源、施設並びにインフラが、監督機関に提供されるよう確保しなくてはならない。
4.
Each Member State shall ensure that each supervisory authority is provided with the human, technical andfinancial resources, premises and infrastructure necessary for the effective performance of its tasks and exercise of
its powers, including those to be carried out in the context of mutual assistance, cooperation and participation in the
Board.

5.

各加盟国は、各監督機関のメンバー又はメンバーたちの独占的指示に服する職員を当該監督機関が選択及び雇用できるよう確保しなければならない。
5.
Each Member State shall ensure that each supervisory authority chooses and has its own staff which shall be
subject to the exclusive direction of the member or members of the supervisory authority concerned.

6.

各加盟国は、各監督機関がその独立性に影響を与えない財務管理に服し、監督機関が別枠の公的年度予算を持つよう確保しなければならない。その予算は州又は国家予算の一部であってもよい。
6.
Each Member State shall ensure that each supervisory authority is subject to financial control which does
not affect its independence and that it has separate, public annual budgets, which may be part of the overall state or
national budget.

第 53 条 監督機関のメンバーに関する一般的条件
Article 53 General conditions for the members of the supervisory authority
1.

加盟国は、監督機関の各メンバーが次に掲げるものによる透明性のある手続によって任命されることを規定しなければならない。
1.
Member States shall provide for each member of their supervisory authorities to be appointed by means ofa transparent procedure by:–

加盟国の議会。
––

加盟国の政府。
––

their parliament;

their government;

加盟国の元首。

72

––

加盟国の国内法に基づき指名権限が与えられた独立団体。
–

2.

their head of State; oran independent body entrusted with the appointment under Member State law.

各メンバーは、職務遂行及び権限行使に求められる資格、経験及び技能を備えていなければならない。特に個人データ保護の分野。
2.
Each member shall have the qualifications, experience and skills, in particular in the area of the protectionof personal data, required to perform its duties and exercise its powers.

3.

メンバーの義務は、職務契約の満了、辞職又は強制退職の場合に終了し、関係する加盟国の国
内法に従うものとする。
3.
The duties of a member shall end in the event of the expiry of the term of office, resignation or compulsory
retirement, in accordance with the law of the Member State concerned.

4.

メンバーは重大な不法行為又はメンバーが職務遂行に求められる条件をもはや満たしていない
場合にのみ解雇される。
4.
A member shall be dismissed only in cases of serious misconduct or if the member no longer fulfils theconditions required for the performance of the duties.

第 54 条 監督機関の設置規則
Article 54 Rules on the establishment of the supervisory authority
1.

各加盟国は、すべての次に掲げる事項について法律で定めなければならない。
1.

Each Member State shall provide by law for all of the following:(a)

各監督機関の設置とその地位。
(a)

(b)

the establishment of each supervisory authority;

各監督機関のメンバーとして指名されるために必要とされる資格及び適格条件。
(b)the qualifications and eligibility conditions required to be appointed as member of each supervisory
authority;(c)

各監督機関のメンバー又はメンバーたちの指名に関する規定及び手続。
(c)the rules and procedures for the appointment of the member or members of each supervisory
authority;(d)

4 年以上とする各監督機関のメンバー又はメンバーたちの任期。ただし、（本規則が効力を有した日）以降の最初の任命において、期間をずらした任命手続が監督機関の独立性を保護するために必要であるならば、短い期間がとられてもよい。
(d)the duration of the term of the member or members of each supervisory authority of no less thanfour years, except for the first appointment after … [the date of entry into force of this Regulation], part ofwhich may take place for a shorter period where that is necessary to protect the independence of thesupervisory authority by means of a staggered appointment procedure;

73

(e)

各監督機関のメンバー又はメンバーたちの再任を認めるか否か。認めるのであれば何回認めるのか。
(e)whether and, if so, for how many terms the member or members of each supervisory authority iseligible for reappointment;(f)

各監督機関のメンバー又はメンバーたち及び職員の義務、禁止行為、雇用期間中及び終了後の相容れない職業及び利益を決定する条件並びに雇用の停止を決定する条件。
(f)the conditions governing the obligations of the member or members and staff of each supervisory
authority, prohibitions on actions, occupations and benefits incompatible therewith during and after the termof office and rules governing the cessation of employment.

2.

各監督機関のメンバー又はメンバーたち及び職員は、EU 法又は加盟国の国内法に従って、業
務遂行又は権限行使中に知り得た機密情報に関して在任期間中及び終了後の両方で職業的守秘義務を負う。在任期間中、当該職業的守秘義務は特に自然人による本規則違反の報告に適用されなければならない。
2.
The member or members and the staff of each supervisory authority shall, in accordance with Union orMember State law, be subject to a duty of professional secrecy both during and after their term of office, with regard
to any confidential information which has come to their knowledge in the course of the performance of their tasks or
exercise of their powers. During their term of office, that duty of professional secrecy shall in particular apply toreporting by natural persons of infringements of this Regulation.

74

第2節

管轄、業務及び権限

SECTION 2 COMPETENCE, TASKS AND POWERS

第 55 条 管轄
Article 55 Competence1.

各監督機関は、本規則に従って当該監督機関に対して割り当てられた業務の遂行及び当該監督機関に付与された権限の行使に関して当該監督機関の加盟国の領域上で管轄権を有するものとする。
1.
Each supervisory authority shall be competent for the performance of the tasks assigned to and the exerciseof the powers conferred on it in accordance with this Regulation on the territory of its own Member State.

2.

取り扱いが公的機関又は第 6 条第 1 項(c)号若しくは(e)号に基づき行動する民間団体によって実行される場合、関連する加盟国の監督機関は管轄権を有するものとする。この場合、第 56条は適用されない。
2.
Where processing is carried out by public authorities or private bodies acting on the basis of points (c) or (e)of Article 6(1), the supervisory authority of the Member State concerned shall be competent. In such cases Article
56 does not apply.

3.

監督機関は裁判所の司法権限における裁判所の取扱い作業の監督には管轄権を有しないものとする。
3.
Supervisory authorities shall not be competent to supervise processing operations of courts acting in their
judicial capacity.

第 56 条 主監督機関の管轄
Article 56 Competence of the lead supervisory authority
1.

第 55 条を侵害することなく、主たる事業所又は管理者若しくは取扱者の単一の事業所の監督機関は、第 60 条に規定される手続に従い、当該管理者又は取扱者によって実行される越境取扱いに関する主監督機関としての活動に管轄権を有するものとする。
1.
Without prejudice to Article 55, the supervisory authority of the main establishment or of the single
establishment of the controller or processor shall be competent to act as lead supervisory authority for the crossborder processing carried out by that controller or processor in accordance with the procedure provided in Article 60.

2.

第 1 項の例外として、各監督機関は監督機関への不服申立て又は発生し得る本規定違反の処理に管轄権を有する場合があり、対象事項が監督機関の加盟国内にある事業所にだけ関係しているか、又は対象事項が実質的に監督機関の加盟国内にあるデータ主体だけに影響を及ぼしていることを条件とする。
2.
By derogation from paragraph 1, each supervisory authority shall be competent to handle a complaint
lodged with it or a possible infringement of this Regulation, if the subject matter relates only to an establishment in
its Member State or substantially affects data subjects only in its Member State.

3.

本条第 2 項で定める場合、監督機関は当該事項に関し主監督機関に遅滞なく通知するものとする。通知されてから 3 週間以内に主監督機関は第 60 条に規定された手続に従って事案を処理するか否か決定するものとし、その際、通知した監督機関の加盟国内に管理者又は取扱者の事業所があるか否か考慮するものとする。

75

3.
In the cases referred to in paragraph 2 of this Article, the supervisory authority shall inform the leadsupervisory authority without delay on that matter. Within a period of three weeks after being informed the leadsupervisory authority shall decide whether or not it will handle the case in accordance with the procedure provided
in Article 60, taking into account whether or not there is an establishment of the controller or processor in theMember State of which the supervisory authority informed it.

4.

主監督機関が事案を処理することを決める場合、第 60 条で規定された手続が適用されるものとする。主監督機関に通知した監督機関は主監督機関に決定に関する草案を送付することができる。第 60 条第 3 項で定める決定案の準備時に主監督機関は当該草案を最大限考慮するものとする。
4.
Where the lead supervisory authority decides to handle the case, the procedure provided in Article 60 shallapply. The supervisory authority which informed the lead supervisory authority may submit to the lead supervisory
authority a draft for a decision. The lead supervisory authority shall take utmost account of that draft when preparing
the draft decision referred to in Article 60(3).

5.

主監督機関が事案を処理しないと決める場合、主監督機関に通知した監督機関は第 61 条及び第 62 条に従って事案を処理するものとする。
5.
Where the lead supervisory authority decides not to handle the case, the supervisory authority which
informed the lead supervisory authority shall handle it according to Articles 61 and 62.

6.

主監督機関は、管理者又は取扱者によって実行される越境取扱いに関して当該管理者又は取扱者の唯一の担当窓口でなければならない。
6.
The lead supervisory authority shall be the sole interlocutor of the controller or processor for the crossborder processing carried out by that controller or processor.

第 57 条 業務
Article 57 Tasks
1.

本規則に基づいて規定されている他の業務を侵害することなく、各監督機関はその領域内で次に掲げる事項を行うものとする。
1.
Without prejudice to other tasks set out under this Regulation, each supervisory authority shall on its
territory:(a)

本規則の適用の監視と執行。
(a)

(b)

monitor and enforce the application of this Regulation;

取扱いに関する公的意識並びにリスク、規定、保護措置及び権利への理解の促進。特に子どもに対する活動は特別な注意が図られなければならない。
(b)promote public awareness and understanding of the risks, rules, safeguards and rights in relation toprocessing. Activities addressed specifically to children shall receive specific attention;(c)

加盟国の国内法に従って、国民議会、政府並びにその他組織及び団体への取扱いに関する自然人の権利及び自由の保護に関わる法的及び行政的措置についての助言。
(c)advise, in accordance with Member State law, the national parliament, the government, and otherinstitutions and bodies on legislative and administrative measures relating to the protection of natural
persons' rights and freedoms with regard to processing;

76

(d)

本規則に基づく義務に関する管理者又は取扱者の意識の向上。
(d)

(e)

promote the awareness of controllers and processors of their obligations under this Regulation;

要求に応じて、本規則に基づくデータ主体の権利行使に関するあらゆるデータ主体への情報の提供及び、適切であるならば、そのための他の加盟国の監督機関との協力。
(e)upon request, provide information to any data subject concerning the exercise of their rights under
this Regulation and, if appropriate, cooperate with the supervisory authorities in other Member States to that
end;

(f)

データ主体又は第 80 条に従って団体、機関若しくは協会によって申し立てられた不服の処理及び、適切な範囲に限った不服の対象事項の調査、並びに合理的期間内の調査進捗及び結果の申立人への通知（特に追加の調査又は他の監督機関との協力が必要な場
合）。
(f)handle complaints lodged by a data subject, or by a body, organisation or association in accordancewith Article 80, and investigate, to the extent appropriate, the subject matter of the complaint and inform thecomplainant of the progress and the outcome of the investigation within a reasonable period, in particular if
further investigation or coordination with another supervisory authority is necessary;(g)

本規則の適用及び執行の一貫性を確実にする目的での他の監督機関との協力（情報の共有及び共助の提供を含む）。
(g)
cooperate with, including sharing information and provide mutual assistance to, other supervisory
authorities with a view to ensuring the consistency of application and enforcement of this Regulation;(h)

本規則の適用における調査の実施。他の監督機関から監督機関へ受領される情報に基づく調査を含む。
(h)conduct investigations on the application of this Regulation, including on the basis of information
received from another supervisory authority or other public authority;(i)

関連する進展の監視。その進展は個人データの保護に関する影響を持つ範囲であり、特に情報及び通信技術及び商慣行の進展。
(i)monitor relevant developments, insofar as they have an impact on the protection of personal data, inparticular the development of information and communication technologies and commercial practices;(j)

第 28 条第 8 項及び第 46 条第 2 項(d)号で定める標準契約条項の採択。
(j)

(k)

adopt standard contractual clauses referred to in Article 28(8) and point (d) of Article 46(2);

第 35 条第 4 項によるデータ保護影響評価に関する要件にかかわる一覧の確立及び維持。
(k)establish and maintain a list in relation to the requirement for data protection impact assessment
pursuant to Article 35(4);(l)

第 36 条第 2 項で定める取扱い作業における助言の提供。
(l)

(m)

give advice on the processing operations referred to in Article 36(2);第 40 条における行動規範の作成の奨励並びに第 40 条第 5 号による意見の表明及び十分な保護措置を提供する当該行動規範の承認。
(m)encourage the drawing up of codes of conduct pursuant to Article 40 and provide an opinion andapprove such codes of conduct which provide sufficient safeguards, pursuant to Article 40(5);

77

(n)

第 42 条第 1 項によるデータ保護認証メカニズム並びにデータ保護シール及びマーク確立の奨励。第 42 条第 5 項による認証基準の承認。
(n)encourage the establishment of data protection certification mechanisms and of data protection
seals and marks pursuant to Article 42(1), and approve the criteria of certification pursuant to Article 42(5);(o)

該当する場合、第 42 項第 7 項に従って発行される認証の定期的見直しの実行。
(o)where applicable, carry out a periodic review of certifications issued in accordance with Article
42(7);(p)

第 41 条による行動規範の監視に関する団体の認定にかかわる基準及び第 43 条による認証機関の基準の作成と公開。
(p)draft and publish the criteria for accreditation of a body for monitoring codes of conduct pursuant to
Article 41 and of a certification body pursuant to Article 43;(q)

第 41 条による行動規範の監視に関する団体の認定及び第 43 条による認証機関の認定の実施。
(q)conduct the accreditation of a body for monitoring codes of conduct pursuant to Article 41 and of acertification body pursuant to Article 43;(r)

第 46 条第 3 項で定める契約条項及び規定の認可。
(r)

(s)

第 47 条による拘束的企業準則の承認。
(s)

(t)

approve binding corporate rules pursuant to Article 47;

欧州データ保護会議の活動への寄与。
(t)

(u)

authorise contractual clauses and provisions referred to in Article 46(3);contribute to the activities of the Board;

本規則違反及び第 58 条第 2 項に従って取られた措置に関する国内記録の維持。及び、(u)keep internal records of infringements of this Regulation and of measures taken in accordance with
Article 58(2); and(v)

個人データ保護に関するあらゆる他の業務の履行。
(v)

2.

fulfil any other tasks related to the protection of personal data.

各監督機関は、第 1 項(f)号で定める不服の申し出を促進しなければならず、その提出は電子的に完結することのできる不服申立て様式のような手段によってなされ、また他の通信手段を排除してはならない。
2.
Each supervisory authority shall facilitate the submission of complaints referred to in point (f) of paragraph
1, by measures such as a complaint submission form which may also be completed electronically, without excluding
other means of communication.

3.

各監督機関の業務の遂行はデータ主体、該当する場合、データ保護オフィサーに対して無償でなければならない。
3.
The performance of the tasks of each supervisory authority shall be free of charge for the data subject and,
where applicable, for the data protection officer.

78

4.

要求が明らかに無根拠又は過度である、特に反復する性質による場合、監督機関は管理費用に基づいた適切な手数料を徴収するか、要求を拒否することができる。監督機関は、要求の明らかな無根拠又は過度な性質を証明する義務を負う。
4.
Where requests are manifestly unfounded or excessive, in particular because of their repetitive character,the supervisory authority may charge a reasonable fee based on administrative costs, or refuse to act on the request.
The supervisory authority shall bear the burden of demonstrating the manifestly unfounded or excessive character ofthe request.

第 58 条 権限
Article 58 Powers
1.

各監督機関は次に掲げるすべての調査権限を持つものとする。
1.

Each supervisory authority shall have all of the following investigative powers:(a)

管理者及び取扱者及び、該当する場合、管理者又は取扱者の代理人に、監督機関が業務遂行のために必要とするあらゆる情報を提供するように命令すること。
(a)to order the controller and the processor, and, where applicable, the controller's or the processor's
representative to provide any information it requires for the performance of its tasks;(b)

データ保護監査の形式による調査を実行すること。
(b)

(c)

第 42 条第 7 項により発行される認証の見直しを実行すること。
(c)

(d)

to carry out a review on certifications issued pursuant to Article 42(7);

申し立てられた本規則違反の管理者又は取扱者へ通知すること。
(d)

(e)

to carry out investigations in the form of data protection audits;

to notify the controller or the processor of an alleged infringement of this Regulation;

管理者及び取扱者から、監督機関の業務遂行に必要なすべての個人データ及びすべての情報へのアクセス手段を取得すること。
(e)to obtain, from the controller and the processor, access to all personal data and to all informationnecessary for the performance of its tasks;(f)

EU 又は加盟国の手続法に従って、管理者及び取扱者のあらゆる敷地へのアクセス手段を確保すること。この場合、あらゆるデータ取扱い設備及び取扱い方法へのアクセスを含む。
(f)
to obtain access to any premises of the controller and the processor, including to any dataprocessing equipment and means, in accordance with Union or Member State procedural law.

2.

各監督機関は次に掲げるすべての是正権限を持つものとする。
2.

Each supervisory authority shall have all of the following corrective powers:(a)

意図された取扱い作業が本規則規定違反を起こし得ることの警告を管理者又は取扱者に対して発令すること。
(a)to issue warnings to a controller or processor that intended processing operations are likely to
infringe provisions of this Regulation;

79

(b)

取扱い作業が本規則の規定に違反した場合、管理者又は取扱者に対して懲戒を発令すること。
(b)
to issue reprimands to a controller or a processor where processing operations have infringed
provisions of this Regulation;(c)

本規則によるデータ主体の権利行使要請を遵守するように管理者又は取扱者に対して命令すること。
(c)to order the controller or the processor to comply with the data subject's requests to exercise his or
her rights pursuant to this Regulation;(d)

本規則の規定を遵守する形で取扱い作業を行うように管理者又は取扱者に対して命令すること。適切な場合、特定の手段で、特定の期間内に遵守させるように命令すること。
(d)to order the controller or processor to bring processing operations into compliance with theprovisions of this Regulation, where appropriate, in a specified manner and within a specified period;(e)

個人データ違反をデータ主体へ通知するように管理者へ命令すること。
(e)

(f)

取扱いの禁止を含めた一時的又は最終的制限を課すこと。
(f)

(g)

to order the controller to communicate a personal data breach to the data subject;

to impose a temporary or definitive limitation including a ban on processing;

第 16 条、第 17 条及び第 18 条による個人データの訂正若しくは消去又は制限、並びに、第 17 条第 2 項及び第 19 条による個人データが開示された取得者に宛てた当該行動の通知を行うように命令すること。
(g)to order the rectification or erasure of personal data or restriction of processing pursuant to Articles
16, 17 and 18 and the notification of such actions to recipients to whom the personal data have been
disclosed pursuant to Articles 17(2) and 19;(h)

第 42 条及び第 43 条により、認証を取下げるか、若しくは発行された認証を取下さげる
ように認証機関へ命令すること、又は認証に関する要件に合致しない若しくはもはや合致しなくなった場合、認証機関に認証を発行しないように命令すること。
(h)to withdraw a certification or to order the certification body to withdraw a certification issued
pursuant to Articles 42 and 43, or to order the certification body not to issue certification if the requirements
for the certification are not or are no longer met;(i)

第 83 条による制裁金を科すこと。この制裁金は、各個別事案の状況に応じて、本項で定める措置に加えて科されるか、又はそれに代えて科される。
(i)to impose an administrative fine pursuant to Article 83, in addition to, or instead of measuresreferred to in this paragraph, depending on the circumstances of each individual case;(j)

第三国又は国際組織内の取得者へのデータ流通の中止を命令すること。
(j)to order the suspension of data flows to a recipient in a third country or to an internationalorganisation.

3.

各監督機関は次に掲げるすべての認可及び監督権限を持つものとする。
3.

Each supervisory authority shall have all of the following authorisation and advisory powers:(a)

第 36 条で定める事前協議に従う管理者に助言すること。

80

(a)

(b)

to advise the controller in accordance with the prior consultation procedure referred to in Article 36;

個人データの保護に関するあらゆる問題に関して、監督機関自身の主導又は要請により、国民議会、加盟国政府に対して意見を表明すること。又は加盟国の国内法に従って、
その他機関及び団体並びに一般の人々対して意見を表明すること。
(b)
to issue, on its own initiative or on request, opinions to the national parliament, the Member State
government or, in accordance with Member State law, to other institutions and bodies as well as to the
public on any issue related to the protection of personal data;(c)

加盟国の国内法が事前の認可を求めている場合、第 36 条第 5 号で定める取扱いを認可
すること。
(c)
to authorise processing referred to in Article 36(5), if the law of the Member State requires suchprior authorisation;(d)

第 40 条第 5 項による行動規範案に対する意見を表明及び承認すること。
(d)

(e)

第 43 条による認証機関を認定すること。
(e)

(f)

to accredit certification bodies pursuant to Article 43;

第 42 条第 5 項に従って認証を発行すること、及び認証基準を承認すること。
(f)

(g)

to issue an opinion and approve draft codes of conduct pursuant to Article 40(5);to issue certifications and approve criteria of certification in accordance with Article 42(5);

第 28 条第 8 項及び第 46 条第 2 項(d)号で定める標準データ保護条項を採択すること。
(g)to adopt standard data protection clauses referred to in Article 28(8) and in point (d) of Article
46(2);(h)

第 46 条第 3 項(a)号で定める契約条項を認可すること。
(h)

(i)

第 46 条第 3 項(b)で定める行政協定を認可すること。
(i)

(j)

to authorise administrative arrangements referred to in point (b) of Article 46(3);第 47 条による拘束的企業準則を承認すること。
(j)4.

to authorise contractual clauses referred to in point (a) of Article 46(3);to approve binding corporate rules pursuant to Article 47.

本条により監督機関に付与された権限の行使は、EU 憲章に従った EU 法及び加盟国の国内法に規定された、効果的な司法救済及び法の適正手続を含む適切な保護措置に従うものとする。
4.
The exercise of the powers conferred on the supervisory authority pursuant to this Article shall be subject toappropriate safeguards, including effective judicial remedy and due process, set out in Union and Member State law
in accordance with the Charter.

5.

各加盟国は、本規則の規定を執行させるため、当該加盟国の監督機関が本規則の違反を司法機関の処置に導く権限を有することを法によって規定しなければならず、適切であるならば、訴訟を開始するか又は従事する権限を有することを規定しなければならない。
5.
Each Member State shall provide by law that its supervisory authority shall have the power to bring
infringements of this Regulation to the attention of the judicial authorities and where appropriate, to commence orengage otherwise in legal proceedings, in order to enforce the provisions of this Regulation.

81

6.

各加盟国は、加盟国の監督機関が第 1 項、第 2 項及び第 3 項で定める権限に対し追加の権限を持つものとすることを、法によって規定することができる。当該権限の履行は第 7 章の効果的な作業を損なわせてはならない。
6.
Each Member State may provide by law that its supervisory authority shall have additional powers to thosereferred to in paragraphs 1, 2 and 3. The exercise of those powers shall not impair the effective operation of ChapterVII.

第 59 条 活動報告
Article 59 Activity reports
各監督機関は、その活動に関する年次報告書を作成しなければならず、報告書は通知された違反の種
類及び第 58 条第 2 項に従って取られた措置の種類の一覧を含んでもよい。その報告書は国民議会、
政府及び加盟国の国内法で指定されたその他機関に提出されなければならない。当該報告書は、一般の人々、欧州委員会及び欧州データ保護会議に対して入手可能にしなければならない。
Each supervisory authority shall draw up an annual report on its activities, which may include a list of types of infringement
notified and types of measures taken in accordance with Article 58(2). Those reports shall be transmitted to the national
parliament, the government and other authorities as designated by Member State law. They shall be made available to the
public, to the Commission and to the Board.

82

第 7 章 協力及び一貫性
CHAPTER VII COOPERATION AND CONSISTENCY

第1節

協力

SECTION 1 COOPERATION

第 60 条 主監督機関とその他関係監督機関との協力
Article 60 Cooperation between the lead supervisory authority and other supervisory authorities concerned1.

主監督機関は、本条に従い、合意に達するよう努めつつ、その他関係監督機関と協力しなければならない。主監督機関及び関係監督機関はすべての関連情報をお互いに交換しなければならない。
1.
The lead supervisory authority shall cooperate with the other supervisory authorities concerned inaccordance with this Article in an endeavour to reach consensus. The lead supervisory authority and the supervisory
authorities concerned shall exchange all relevant information with each other.

2.

主監督機関は第 61 条により相互支援をいつでも他の関係監督機関に要求することができ、第62 条による共同作業（特に調査の実行又は他の加盟国に拠点のある管理者又は取扱者に関する措置の実施の監視）を指揮することができる。
2.
The lead supervisory authority may request at any time other supervisory authorities concerned to provide
mutual assistance pursuant to Article 61 and may conduct joint operations pursuant to Article 62, in particular for
carrying out investigations or for monitoring the implementation of a measure concerning a controller or processor
established in another Member State.

3.

主監督機関は、遅滞なく、事案に対する関連情報をその他関係監督機関に通知しなければならない。主監督機関は遅滞なく決定案をその他関係監督機関に意見収集のために送付するものとし、その他関係監督機関の考え方を考慮しなければならない。
3.
The lead supervisory authority shall, without delay, communicate the relevant information on the matter tothe other supervisory authorities concerned. It shall without delay submit a draft decision to the other supervisory
authorities concerned for their opinion and take due account of their views.

4.

本条第 3 項に従って協議された後 4 週間以内にその他関係監督機関が決定案に対し適切及び合理的な不服を表明する場合、主監督機関は、主監督機関が適切及び合理的な不服に従わない又は不服が適切及び合理的でないという意見であるならば、第 63 条で定める一貫性メカニズムに事案を送付するものとする。
4.
Where any of the other supervisory authorities concerned within a period of four weeks after having been
consulted in accordance with paragraph 3 of this Article, expresses a relevant and reasoned objection to the draft
decision, the lead supervisory authority shall, if it does not follow the relevant and reasoned objection or is of theopinion it is not relevant and reasoned, submit the matter to the consistency mechanism referred to in Article 63.

5.

主監督機関が適切かつ合理的な不服に従うことを意図する場合、主監督機関は意見をもとに修正された決定案をその他の関係監督機関に送付するものとする。修正された決定案は 2 週間以
内に第 4 項で定める手続に従うものとする。
5.
Where the lead supervisory authority intends to follow the relevant and reasoned objection made, it shallsubmit to the other supervisory authorities concerned a revised draft decision for their opinion. That revised draft
decision shall be subject to the procedure referred to in paragraph 4 within a period of two weeks.

83

6.

すべての関係監督機関が第 4 項及び第 5 項で定める期間内に主監督機関によって送付された決定案に不服を唱えなかった場合、主監督機関及び関係監督機関は、当該決定案に合意したものとみなされ、それによって拘束されるものとする。
6.
Where none of the other supervisory authorities concerned has objected to the draft decision submitted by
the lead supervisory authority within the period referred to in paragraphs 4 and 5, the lead supervisory authority andthe supervisory authorities concerned shall be deemed to be in agreement with that draft decision and shall be boundby it.

7.

主監督機関は決定を採択し、主たる事業所又は管理者若しくは取扱者の単一の事業所に決定を通知するものとし、場合に応じて、主監督機関はその他関係監督機関及び欧州データ保護会議に当該決定を通知するものとし、その決定には関連する事実及び根拠を含むものとする。不服申立てがなされた監督機関は決定を申立人に通知しなければならない。
7.
The lead supervisory authority shall adopt and notify the decision to the main establishment or single
establishment of the controller or processor, as the case may be and inform the other supervisory authorities
concerned and the Board of the decision in question, including a summary of the relevant facts and grounds. The
supervisory authority with which a complaint has been lodged shall inform the complainant on the decision.

8.

第 7 項の例外として、不服申立てが棄却又は拒否された場合、不服申立てがなされた監督機関
は決定を採択し、決定を申立人に通知するものとし、管理者にその旨を通知しなければならない。
8.
By derogation from paragraph 7, where a complaint is dismissed or rejected, the supervisory authority withwhich the complaint was lodged shall adopt the decision and notify it to the complainant and shall inform thecontroller thereof.

9.

主たる監督機関及び関係監督機関が不服の一部を棄却又は拒否し、不服のその他部分を実行することに合意した場合、分離された決定は事案のそれぞれの部分で採択されるものとする。主監督機関は、管理者に関する行動にかかわる部分の決定を採択し、加盟国の領域上の管理者又は取扱者の主たる事業所又は単一の事業所に決定を通知し、その旨を申立人に通知するものとする、一方で申立人の監督機関は不服の棄却又は拒否に関わる部分の決定を採択するものとし、当該申立人に決定を通知し、その旨を管理者又は取扱者に通知しなければならない。
9.
Where the lead supervisory authority and the supervisory authorities concerned agree to dismiss or rejectparts of a complaint and to act on other parts of that complaint, a separate decision shall be adopted for each of thoseparts of the matter. The lead supervisory authority shall adopt the decision for the part concerning actions in relation
to the controller, shall notify it to the main establishment or single establishment of the controller or processor on the
territory of its Member State and shall inform the complainant thereof, while the supervisory authority of thecomplainant shall adopt the decision for the part concerning dismissal or rejection of that complaint, and shall notify
it to that complainant and shall inform the controller or processor thereof.

10.

第 7 項及び第 9 項により主監督機関の決定が通知された後、管理者又は取扱者は、EU 域内のすべての事業所における取扱い活動に関連し、決定の遵守を確実にする必要な措置をとらなければならない。管理者又は取扱者は、決定の遵守のためにとられる措置を主監督機関に知らせるものとし、主監督機関はその他関係監督機関に通知しなければならない。
10.
After being notified of the decision of the lead supervisory authority pursuant to paragraphs7 and 9, thecontroller or processor shall take the necessary measures to ensure compliance with the decision as regards
processing activities in the context of all its establishments in the Union. The controller or processor shall notify themeasures taken for complying with the decision to the lead supervisory authority, which shall inform the othersupervisory authorities concerned.

11.

例外状況において、関係監督機関がデータ主体の利益を保護するために行動する緊急の必要性があると考えられる理由がある場合、第 66 条で定める緊急手続が適用されるものとする。

84

11.
Where, in exceptional circumstances, a supervisory authority concerned has reasons to consider that there isan urgent need to act in order to protect the interests of data subjects, the urgency procedure referred to in Article 66
shall apply.

12.

主監督機関及びその他関係監督機関は、本条に基づき要求される情報を電子的手段により、標準化された形式を利用して、互いに供給するものとする。
12.
The lead supervisory authority and the other supervisory authorities concerned shall supply the information
required under this Article to each other by electronic means, using a standardised format.

第 61 条 相互支援
Article 61 Mutual assistance1.

監督機関は、一貫した方法で本規則を実施及び適用するため、関連情報の相互提供と相互支援を行うものとし、効果的に連携するための措置を他方と共同で整備しなければならない。相互支援は、特に情報請求及び監督措置（例えば事前認可及び事前協議の実施要請、点検並びに調査）を含むものとする。
1.
Supervisory authorities shall provide each other with relevant information and mutual assistance in order toimplement and apply this Regulation in a consistent manner, and shall put in place measures for effective
cooperation with one another. Mutual assistance shall cover, in particular, information requests and supervisory
measures, such as requests to carry out prior authorisations and consultations, inspections and investigations.

2.

各監督機関は、遅滞することなく要請を受けてから 1 カ月を超えずに、他方の監督機関からの要請に対し返答する上で必要な全ての適切な措置を取るものとする。当該措置は、特に調査実施にあたっての関連情報の送信を含んでもよい。
2.
Each supervisory authority shall take all appropriate measures required to reply to a request of anothersupervisory authority without undue delay and no later than one month after receiving the request. Such measures
may include, in particular, the transmission of relevant information on the conduct of an investigation.

3.

支援要請は、必要な全情報（要請の目的や要請理由を含む）を包含するものとする。取り交わされた情報は、要請された案件に関してのみに使われるものとする。
3.
Requests for assistance shall contain all the necessary information, including the purpose of and reasons forthe request. Information exchanged shall be used only for the purpose for which it was requested.

4.

要請を受けた監督機関は、次に掲げるいずれかの場合を除きその要請に従うことを断ってはならない。
4.

The requested supervisory authority shall not refuse to comply with the request unless:(a)

当該監督機関が要請の対象事項に管轄権を有さない又は当該機関が要請された措置の履
行に管轄権を有さない場合。
(a)it is not competent for the subject-matter of the request or for the measures it is requested to
execute; or(b)

要請の遵守が本規則又は要請を受けた監督機関が従うべき EU 法若しくは加盟国の国内法に違反する可能性がある場合。
(b)compliance with the request would infringe this Regulation or Union or Member State law to which
the supervisory authority receiving the request is subject.

85

5.

要請された監督機関は、要請した監督機関に対しその結果を、又は状況に応じて、要請にこたえるために取られた措置の進捗状況を通知しなくてはならない。要請された監督機関は第 4 項による要請の遵守のあらゆる拒絶に関して理由を提供しなければならない。
5.
The requested supervisory authority shall inform the requesting supervisory authority of the results or, as
the case may be, of the progress of the measures taken in order to respond to the request. The requested supervisory
authority shall provide reasons for any refusal to comply with a request pursuant to paragraph 4.

6.

要請された監督機関は、他の監督機関によって要請された情報を電子的手段により、標準化された形式を用いて、提供しなければならない。
6.
Requested supervisory authorities shall, as a rule, supply the information requested by other supervisory
authorities by electronic means, using a standardised format.

7.

要請された監督機関は、相互支援に関する要請により取られたあらゆる行為に関して、費用を請求してはならない。監督機関は、例外的状況での相互支援の供給から生じる特定の支出に関し互いに補うことを合意することができる。
7.
Requested supervisory authorities shall not charge a fee for any action taken by them pursuant to a request
for mutual assistance. Supervisory authorities may agree on rules to indemnify each other for specific expenditurearising from the provision of mutual assistance in exceptional circumstances.

8.

監督機関が他方の監督機関の要請を受け取ってから 1 ヶ月以内に第 5 項で定める情報を提供しなかった場合、要請した監督機関は、第 55 条第 1 項に従って、義務を遵守しない加盟国の領域において仮保全措置を採択してもよい。その場合、第 66 条第 1 項に基づく緊急時対応にあてはまると推定され、第 66 条第 2 項による欧州データ保護会議からの緊急時拘束決定を要求するものとする。
8.
Where a supervisory authority does not provide the information referred to in paragraph 5 within one monthof receiving the request of another supervisory authority, the requesting supervisory authority may adopt a
provisional measure on the territory of its Member State in accordance with Article 55(1). In that case, the urgent
need to act under Article 66(1) shall be presumed to be met and require an urgent binding decision from the Board
pursuant to Article 66(2).

9.

欧州委員会は、実施行為により、本条で定める相互支援の形式及び手続並びに、監督機関同士又は監督機関と欧州データ保護会議との間で電子的手段によって情報を交換する際の取り決め（特に本条第 6 項で定める標準形式）を定めることができる。当該実施行為は、第 93 条第 2項で定める審査手続に従って採択されるものとする。
9.
The Commission may, by means of implementing acts, specify the format and procedures for mutual
assistance referred to in this Article and the arrangements for the exchange of information by electronic means
between supervisory authorities, and between supervisory authorities and the Board, in particular the standardised
format referred to in paragraph 6 of this Article. Those implementing acts shall be adopted in accordance with theexamination procedure referred to in Article 93(2).

第 62 条 監督機関の共同作業
Article 62 Joint operations of supervisory authorities
1.

監督機関は、適切であるならば、他の加盟国の監督機関からのメンバー又は職員と共に、共同の調査及び共同の執行措置を含め、共同作業を実施するものとする。
1.
The supervisory authorities shall, where appropriate, conduct joint operations including joint investigations
and joint enforcement measures in which members or staff from the supervisory authorities of other Member States
are involved.

86

2.

管理者又は取扱者が複数加盟国に拠点のある場合又は、複数加盟国における大多数のデータ主体が取扱い作業によって重大な影響を受ける可能性がある場合、当該加盟国の各監督機関は共同作業に参加する権利を有する。第 56 条第 1 項又は第 56 条第 4 項により管轄権を有する監督機関は、当該加盟国の各監督機関を共同作業への参加に招聘するものとし、共同作業の参加のための監督機関の要請には遅滞なく対応するものとする。
2.
Where the controller or processor has establishments in several Member States or where a significant
number of data subjects in more than one Member State are likely to be substantially affected by processing
operations, a supervisory authority of each of those Member States shall have the right to participate in joint
operations. The supervisory authority which is competent pursuant to Article 56 (1) or 56(4) shall invite thesupervisory authority of each of those Member States to take part in the joint operations and shall respond without
delay to the request of a supervisory authority to participate.

3.

監督機関は、加盟国の国内法及び補佐監督機関の認可に従い、共同作業に関わる補佐監督機関のメンバー若しくは職員に権限（調査権限を含む）を与えることができ、又は主催監督機関の国内法が認める範囲で、補佐監督機関のメンバー若しくは職員に補佐監督機関の加盟国の国内法に従った調査権限の行使を許すことができる。当該調査権限は、指針に基づき、かつ主催監
督機関のメンバー又は職員の立会いのもと行使することができる。補佐監督機関のメンバー又は職員は、主催監督機関における国内法を遵守しなくてはならない。
3.
A supervisory authority may, in accordance with Member State law, and with the seconding supervisory
authority's authorisation, confer powers, including investigative powers on the seconding supervisory authority's
members or staff involved in joint operations or, in so far as the law of the Member State of the host supervisory
authority permits, allow the seconding supervisory authority's members or staff to exercise their investigative
powers in accordance with the law of the Member State of the seconding supervisory authority. Such investigative
powers may be exercised only under the guidance and in the presence of members or staff of the host supervisory
authority. The seconding supervisory authority's members or staff shall be subject to the Member State law of thehost supervisory authority.

4.

第 1 項に従い、補佐監督機関の職員が他加盟国において作業を行う場合、主催監督機関の加盟
国は、補佐監督機関の職員の行為、作業中における職員によって引き起こされた損害に関し、作業を行っている領域内の加盟国の法に従って、責任（法的責任を含む）を負うものとする。
4.
Where, in accordance with paragraph 1, staff of a seconding supervisory authority operate in anotherMember State, the Member State of the host supervisory authority shall assume responsibility for their actions,
including liability, for any damage caused by them during their operations, in accordance with the law of theMember State in whose territory they are operating.

5.

領域内で損害が引き起こされた加盟国は、当該加盟国の職員によって引き起こされた損害にあてはまる条件で、当該損害を補償するものとする。他の加盟国の領域内の人に対して損害を与えた職員の補佐監督機関の加盟国は、当該他の加盟国が賠償を得る利益が与えられた人に払われた合計額を当該他の加盟国に弁済しなければならない。
5.
The Member State in whose territory the damage was caused shall make good such damage under theconditions applicable to damage caused by its own staff. The Member State of the seconding supervisory authority
whose staff has caused damage to any person in the territory of another Member State shall reimburse that otherMember State in full any sums it has paid to the persons entitled on their behalf.

6.

第三者に関する権利の行使を侵害せず、第 5 項の例外にあてはまるならば、各加盟国は、第 1項で規定されている事案において、第 4 項で定める損害に関する他の加盟国への弁済の要求は控えるものとする。
6.
Without prejudice to the exercise of its rights vis-à-vis third parties and with the exception of paragraph 5,each Member State shall refrain, in the case provided for in paragraph 1, from requesting reimbursement fromanother Member State in relation to damage referred to in paragraph 4.

87

7.

共同作業が意図されており、1 カ月以内に監督機関が本条第 2 項後段で規定された義務を遵守しない場合、他の監督機関は、第 55 条に従って、義務を遵守しない加盟国の領域において仮保全措置を採択することができる。その場合、第 66 条第 1 項に基づく緊急時対応にあてはまると推定され、第 66 条第 2 項による欧州データ保護会議からの意見又は緊急時拘束決定を要求するものとする。
7.
Where a joint operation is intended and a supervisory authority does not, within one month, comply with the
obligation laid down in the second sentence of paragraph 2 of this Article, the other supervisory authorities may
adopt a provisional measure on the territory of its Member State in accordance with Article 55. In that case, theurgent need to act under Article 66(1) shall be presumed to be met and require an opinion or an urgent binding
decision from the Board pursuant to Article 66(2).

88

第2節

一貫性

SECTION 2 CONSISTENCY

第 63 条 一貫性メカニズム
Article 63 Consistency mechanism
EU 全域で本規則の一貫した適用に寄与するため、本節で定める一貫性メカニズムを通じて、各監督機関は互いに協力するものとし、関連があるならば、欧州委員会と協力するものとする。
In order to contribute to the consistent application of this Regulation throughout the Union, the supervisory authorities shallcooperate with each other and, where relevant, with the Commission, through the consistency mechanism as set out in thisSection.

第 64 条 欧州データ保護会議の意見
Article 64 Opinion of the Board
1.

管轄監督機関が次に掲げるあらゆる措置を採択する場合、欧州データ保護会議は意見を述べる
ものとする。そのため、管轄監督機関は、次に掲げる際に欧州データ保護会議に決定案を通知する。
1.
The Board shall issue an opinion where a competent supervisory authority intends to adopt any of themeasures below. To that end, the competent supervisory authority shall communicate the draft decision to theBoard, when it:(a)

管轄監督機関が第 35 条第 4 項によるデータ保護影響評価に関する要件に服する取扱い作業の一覧を採択しようとしている場合。
(a)aims to adopt a list of the processing operations subject to the requirement for a data protection
impact assessment pursuant to Article 35(4);(b)

管轄監督機関が行動規範草案又は本規定を遵守している行動規範の修正又は拡張するか否かといった第 40 条第 7 項による事案に関与する場合。
(b)concerns a matter pursuant to Article 40(7) whether a draft code of conduct or an amendment or
extension to a code of conduct complies with this Regulation;(c)

管轄監督機関が第 41 条第 3 項による団体の認定に関する基準を承認しようとしている場合。又は第 43 条第 3 項により認証機関を承認しようとしている場合。
(c)aims to approve the criteria for accreditation of a body pursuant to Article 41(3) or a certificationbody pursuant to Article 43(3);(d)

管轄監督機関が第 46 条第 2 項及び第 28 条第 8 項で定める標準データ保護条項を決定しようとしている場合。
(d)aims to determine standard data protection clauses referred to in point (d) of Article 46(2) and
Article 28(8);(e)

第 46 条第 3 項(a)号で定める契約条項を承認しようとしている場合。
(e)

(f)

aims to authorise contractual clauses referred to in point (a) of Article 46(3); or

第 47 条の意味内の拘束的企業準則を承認しようとしている場合。
(f)aims to approve binding corporate rules within the meaning of Article 47.

89

2.

あらゆる監督機関、欧州データ保護会議の議長又は欧州委員会は、意見を求めるため、あらゆる一般適用又は複数加盟国における取扱いの影響について欧州データ保護会議によって審査されることを要求することができる。特に管轄監督機関が第 61 条の相互支援又は第 62 条の共同作業に関する義務を遵守しない場合。
2.
Any supervisory authority, the Chair of the Board or the Commission may request that any matter ofgeneral application or producing effects in more than one Member State be examined by the Board with a view toobtaining an opinion, in particular where a competent supervisory authority does not comply with the obligations formutual assistance in accordance with Article 61 or for joint operations in accordance with Article 62.

3.

第 1 項及び第 2 項で定める場合において、欧州データ保護会議は、同様な事案でいまだ意見を表明していない場合、送られた事案に関して意見を表明しなければならない。当該意見は欧州
データ保護会議の会員の単純多数によって 8 週間以内に採択されなければならない。当該期間は、対象事項の複雑さを考慮し、さらに 6 週間まで延長することができる。第 5 項に従って欧州データ保護会議の会員に回付された第 1 項で定める決定案に関し、議長によって指示された
合理的な期間内で不服を申し立てなかった会員は決定案に合意したものとみなす。
3.
In the cases referred to in paragraphs 1 and 2, the Board shall issue an opinion on the matter submitted to it
provided that it has not already issued an opinion on the same matter. That opinion shall be adopted within eightweeks by simple majority of the members of the Board. That period may be extended by a further six weeks, taking
into account the complexity of the subject matter. Regarding the draft decision referred to in paragraph 1 circulated
to the members of the Board in accordance with paragraph 5, a member which has not objected within a reasonable
period indicated by the Chair, shall be deemed to be in agreement with the draft decision.

4.

監督機関及び欧州委員会は、不当な遅滞なしに、欧州データ保護会議に対し電子的な方法により、標準化された形式を用いて、関連する情報（場合に応じて、事実の概要、決定案、当該措置の立法が必要な根拠、及びその他関係監督機関の考えを含む）を通知しなければならない。
4.
Supervisory authorities and the Commission shall, without undue delay, communicate by electronic means
to the Board, using a standardised format any relevant information, including as the case may be a summary of thefacts, the draft decision, the grounds which make the enactment of such measure necessary, and the views of othersupervisory authorities concerned.

5.
5.

欧州データ保護会議の議長は、不当に遅滞なく、電子的な方法で次に掲げるように通知しなけ
ればならない。
The Chair of the Board shall, without undue, delay inform by electronic means:(a)

議長は、欧州データ保護会議の会員及び欧州委員会に対し、標準化された形式を用いて議長に伝えられたあらゆる情報を通知しなければならない。欧州データ保護会議の事務
局は、必要な場合、関連する情報の翻訳を提供してもよい。
(a)the members of the Board and the Commission of any relevant information which has beencommunicated to it using a standardised format. The secretariat of the Board shall, where necessary,
provide translations of relevant information; and(b)

議長は第 1 項及び第 2 項で定める監督機関及び、場合によって、欧州委員会に対し意見を通知し、意見を公開しなければならない。
(b)
the supervisory authority referred to, as the case may be, in paragraphs 1 and 2, and theCommission of the opinion and make it public.

6.

管轄監督機関は第 3 項で定める期間内に第 1 項で定める決定案を採択してはならない。
6.
The competent supervisory authority shall not adopt its draft decision referred to in paragraph 1 within the
period referred to in paragraph 3.

90

7.

第 1 項で定める監督機関は欧州データ保護会議の意見を最大限に考慮しなければならず、意見を受領後 2 週間以内に、欧州データ保護会議の議長に対し、決定案を支持するか、又は修正するか及び、もしあるならば、修正された決定案を電子的に通知しなければならず、その通知には標準化された形式を用いるものとする。
7.
The supervisory authority referred to in paragraph 1 shall take utmost account of the opinion of the Boardand shall within two weeks after receiving the opinion, electronically communicate to the Chair of the Board
whether it maintains or will amend its draft decision and, if any, the amended draft decision, using a standardised
format.

8.

関係監督機関が本条第 7 項で定める期間内に欧州データ保護会議の議長に対し、関連する根拠を提供して、欧州データ保護会議の意見の全部又は一部に従う意図がないことを通知する場合、第 65 条第 1 項が適用される。
8.
Where the supervisory authority concerned informs the Chair of the Board within the period referred to inparagraph 7 of this Article that it does not intend to follow the opinion of the Board, in whole or in part, providing
the relevant grounds, Article 65(1) shall apply.

第 65 条 欧州データ保護会議による紛争解決
Article 65 Dispute resolution by the Board
1.

個別の状況において本規則の正確かつ一貫した適用を確実にするため、次に掲げる場合に、欧州データ保護会議は拘束的決定を採択するものとする。
1.
In order to ensure the correct and consistent application of this Regulation in individual cases, the Board
shall adopt a binding decision in the following cases:(a)

第 60 条第 4 項で定める事案において、関係監督機関が主監督機関の決定案に対して適切かつ合理的な不服を申し立てた場合、又は主監督機関が適切又は合理的ではないとして不服を拒否した場合。拘束的決定は適切かつ合理的な不服のあらゆる対象事項を考慮（特に本規則違反があるか否か）するものとする。
(a)where, in a case referred to in Article 60(4), a supervisory authority concerned has raised a relevant
and reasoned objection to a draft decision of the lead authority or the lead authority has rejected an
objection as being not relevant or reasoned. The binding decision shall concern all the matters which are thesubject of the relevant and reasoned objection, in particular whether there is an infringement of thisRegulation;(b)

どの関係監督機関が主たる事業所の管轄権を有するかという見解に対立がある場合。
(b)where there are conflicting views on which of the supervisory authorities concerned is competentfor the main establishment;(c)

管轄監督機関が第 64 条第 1 項で定める場合において欧州データ保護会議の意見を要請
しない場合、又は第 64 条に基づき表明された欧州データ保護会議の意見に従わない場
合。この場合、あらゆる関係監督機関又は欧州委員会は欧州データ保護会議に状況を通知することができる。
(c)where a competent supervisory authority does not request the opinion of the Board in the cases
referred to in Article 64(1), or does not follow the opinion of the Board issued under Article 64. In that case,any supervisory authority concerned or the Commission may communicate the matter to the Board.

91

2.

第 1 項で定める決定は対象事項の照会から 1 カ月以内に、欧州データ保護会議の会員の 3 分の2 以上によって採択されるものとする。この期間は対象事項の複雑性を理由にさらに 1 カ月延長することができる。第 1 項で定める決定は、主監督機関及びすべての関係監督機関に対し下され及び通知され、並びにそれら機関を拘束するものとする。
2.
The decision referred to in paragraph 1 shall be adopted within one month from the referral of the subjectmatter by a two-third majority of the members of the Board. This period may be extended by a further month on
account of the complexity of the subject-matter. The decision referred to in paragraph 1 shall be reasoned andaddressed to the lead supervisory authority and all the supervisory authorities concerned and binding on them.

3.

欧州データ保護会議が第 2 項で定める期間内に決定を採択することができなかった場合、欧州
データ保護会議は第 2 項で定める 2 カ月目終了から 2 週間以内に欧州データ保護会議の会員の単純多数で決定を採択しなければならない。欧州データ保護会議の会員が分かれた場合、決定は議長の投票によって採択される。
3.
Where the Board has been unable to adopt a decision within the periods referred to in paragraph 2, it shalladopt its decision within two weeks following the expiration of the second month referred to in paragraph 2 by asimple majority of the members of the Board. Where the members of the Board are split, the decision shall byadopted by the vote of its Chair.

4.

関係監督機関は第 1 項に基づく欧州データ保護会議に送付された対象事項の決定について第 2
項及び第 3 項で定める期間に採択してはならない。
4.
The supervisory authorities concerned shall not adopt a decision on the subject matter submitted to theBoard under paragraph 1 during the periods referred to in paragraphs 2 and 3.

5.

欧州データ保護会議の議長は遅滞なく第 1 項で定める決定を関係監督機関に通知しなければならない。会議の議長はその旨を欧州委員会に通知しなければならない。決定は監督機関が第 6項で定める最終決定を通知した後、欧州データ保護会議のウェブサイトで遅滞なく公開されなければならない。
5.
The Chair of the Board shall notify, without undue delay, the decision referred to in paragraph 1 to thesupervisory authorities concerned. It shall inform the Commission thereof. The decision shall be published on thewebsite of the Board without delay after the supervisory authority has notified the final decision referred to inparagraph 6.

6.

主監督機関又は、状況に応じて、不服が申し立てられた監督機関は、本条第 1 項で定める決定に基づき最終決定を、遅滞なく、遅くとも欧州データ保護会議が決定を通知した後 1 カ月以内に、採択しなければならない。主監督機関又は、状況に応じて、不服が申し立てられた監督機関は、最終決定が管理者又は取扱者及びデータ主体それぞれに通知された日付を欧州データ保護会議に通知しなければならない。関係監督機関の最終決定は第 60 条第 7 項、第 8 項及び第 9項の規定に基づき採択されなければならない。最終決定は本条第 1 項で定める決定を参照する
ものとし、当該項で定める決定が本条第 5 項に従って欧州データ保護会議のウェブサイトで公開されることを明記しなければならない。最終決定は本条第 1 項で定める決定を添付するものとする。
6.
The lead supervisory authority or, as the case may be, the supervisory authority with which the complaint
has been lodged shall adopt its final decision on the basis of the decision referred to in paragraph 1 of this Article,
without undue delay and at the latest by one month after the Board has notified its decision. The lead supervisory
authority or, as the case may be, the supervisory authority with which the complaint has been lodged, shall informthe Board of the date when its final decision is notified respectively to the controller or the processor and to the data
subject. The final decision of the supervisory authorities concerned shall be adopted under the terms of Article 60(7),(8) and (9). The final decision shall refer to the decision referred to in paragraph 1 of this Article and shall specify
that the decision referred to in that paragraph will be published on the website of the Board in accordance withparagraph 5 of this Article. The final decision shall attach the decision referred to in paragraph 1 of this Article.

92

第 66 条 緊急手続
Article 66 Urgency procedure1.

例外的状況において、関係監督機関はデータ主体の権利及び自由を保護するために行動する緊急の必要性があると考慮した場合、第 63 条、第 64 条及び第 65 条で定める一貫性メカニズムの例外又は第 60 条で定める手続によって、当該監督機関の領域上における法的効果の発生が意図された仮保全措置を、3 か月を超えない具体的有効期限内で、直ちに採択することができる。監督機関は、遅滞なく、当該措置及び措置の採択の理由を他の関係監督機関、欧州データ保護会議及び欧州委員会に通知しなければならない。
1.
In exceptional circumstances, where a supervisory authority concerned considers that there is an urgent
need to act in order to protect the rights and freedoms of data subjects, it may, by way of derogation from theconsistency mechanism referred to in Articles 63, 64 and 65 or the procedure referred to in Article 60, immediately
adopt provisional measures intended to produce legal effects on its own territory with a specified period of validity
which shall not exceed three months. The supervisory authority shall, without delay, communicate those measuresand the reasons for adopting them to the other supervisory authorities concerned, to the Board and to theCommission.

2.

監督機関が第 1 項による措置をとり、最終措置が緊急的に採択される必要がある場合、監督機関は、要求する理由の提供とともに、緊急時意見又は緊急時拘束決定を欧州データ保護会議に要求することができる。
2.
Where a supervisory authority has taken a measure pursuant to paragraph 1 and considers that final
measures need urgently be adopted, it may request an urgent opinion or an urgent binding decision from the Board,giving reasons for requesting such opinion or decision.

3.

状況に応じて、あらゆる監督機関は、緊急時意見又は緊急時拘束決定を欧州データ保護会議に要求することができる。ただし、管轄監督機関が適切な対策をとらず、行動の緊急的必要性がある状況であり、データ主体の権利及び自由を保護する目的があり、要求の際には緊急時意見又は緊急時拘束決定を要求する理由（行動の緊急的必要性を含む）を提供するものとする。
3.
Any supervisory authority may request an urgent opinion or an urgent binding decision, as the case may be,from the Board where a competent supervisory authority has not taken an appropriate measure in a situation where
there is an urgent need to act, in order to protect the rights and freedoms of data subjects, giving reasons forrequesting such opinion or decision, including for the urgent need to act.

4.

第 64 条第 3 項及び第 65 条第 2 項の例外により、本条第 2 項及び第 3 項で定める緊急時意見又は緊急時拘束決定は欧州データ保護会議の会員の単純多数によって 2 週間以内に採択されなければならない。
4.
By derogation from Articles 64(3) and 65(2), an urgent opinion or an urgent binding decision referred to inparagraphs 2 and 3 of this Article shall be adopted within two weeks by simple majority of the members of theBoard.

第 67 条 情報の交換
Article 67 Exchange of information
欧州委員会は、電子的手法による監督機関間、及び監督機関及び欧州データ保護会議間の情報交換に関する手続（特に第 64 条で定める標準化された形式）を詳細化するために、一般的範囲の実施行為を採択することができる。

93

The Commission may adopt implementing acts of general scope in order to specify the arrangements for the exchange of
information by electronic means between supervisory authorities, and between supervisory authorities and the Board, inparticular the standardised format referred to in Article 64.

実施行為は第 93 条第 2 項で定める審査手続に従い採択されなければならない。
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 93(2).

94

第3節

欧州データ保護会議

SECTION 3 EUROPEAN DATA PROTECTION BOARD

第 68 条 欧州データ保護会議
Article 68 European Data Protection Board
1.

欧州データ保護会議は本規則によって EU の団体として設置され、法人格を有するものとする。
1.
The European Data Protection Board (the 'Board') is hereby established as a body of the Union and shallhave legal personality.

2.

欧州データ保護会議は議長を代表とするものとする。
2.

3.

The Board shall be represented by its Chair.

欧州データ保護会議は各加盟国のひとつの監督機関の長、欧州データ保護監察機関の長、又はそれら各代理人によって構成されるものとする
3.
The Board shall be composed of the head of one supervisory authority of each Member State and of theEuropean Data Protection Supervisor, or their respective representatives.

4.

加盟国において、複数の監督機関が本規則に基づく規定の適用の監視を担当している場合、共同代表者が当該加盟国の国内法に従って任命されるものとする。
4.
Where in a Member State more than one supervisory authority is responsible for monitoring the applicationof the provisions pursuant to this Regulation, a joint representative shall be appointed in accordance with that
Member State's law.

5.

欧州委員会は欧州データ保護会議の活動及び会合に投票権なしで参加する権利を有するものとする。欧州委員会は代表者を指定するものとする。欧州データ保護会議の議長は、欧州委員会に欧州データ保護会議の活動を通知するものとする。
5.
The Commission shall have the right to participate in the activities and meetings of the Board without
voting right. The Commission shall designate a representative. The Chair of the Board shall communicate to theCommission the activities of the Board.

6.

第 65 条で定める状況において、欧州データ保護監察官は、本規則に実質的に合致する、EU 機関、団体、事業体及び行政機関に適用される原則及び規定に関する決定に限り、投票権を有するものとする。
6.
In the cases referred to in Article 65, the European Data Protection Supervisor shall have voting rights only
on decisions which concern principles and rules applicable to the Union institutions, bodies, offices and agencies
which correspond in substance to those of this Regulation.

第 69 条 独立性
Article 69 Independence1.

欧州データ保護会議は、第 70 条及び第 71 条による業務の遂行又は権限を行使する際には、独立して行動しなければならない。
1.
The Board shall act independently when performing its tasks or exercising its powers pursuant to Articles
70 and 71.

95

2.

第 71 条第 1 項(b)号及び第 70 条第 2 項で定める欧州委員会による要求を侵害することなく、欧州データ保護会議は、業務の遂行又は権限の行使において、誰かに指示を求めることも、誰かから指示を受けることもしてはならない。
2.
Without prejudice to requests by the Commission referred to in point (b) of Article 70(1) and in Article
70(2), the Board shall, in the performance of its tasks or the exercise of its powers, neither seek nor take instructions
from anybody.

第 70 条 欧州データ保護会議の業務
Article 70 Tasks of the Board
1.

欧州データ保護会議は本規則の一貫した適用を確実にしなければならない。そのため、欧州データ保護会議は、自身の主導又は、関係あるならば、欧州委員会の要求により、特に次に掲げる業務を行うものとする。
1.
The Board shall ensure the consistent application of this Regulation. To that end, the Board shall, on its own
initiative or, where relevant, at the request of the Commission, in particular:(a)

欧州データ保護会議は、国内監督機関の業務を侵害することなく、第 64 条及び第 65 条
で定められた状況において本規則の正しい適用を監視及び確実にする。
(a)monitor and ensure the correct application of this Regulation in the cases provided for in Articles
64 and 65 without prejudice to the tasks of national supervisory authorities;(b)

欧州データ保護会議は、EU における個人データ保護に関するあらゆる問題に関して、本規則の修正の提案を含め、欧州委員会に助言する。
(b)
advise the Commission on any issue related to the protection of personal data in the Union,
including on any proposed amendment of this Regulation;(c)

欧州データ保護会議は、拘束的企業準則に関する管理者、取扱者及び監督機関間の情報交換のための形式及び手続に関して欧州委員会に助言する。
(c)advise the Commission on the format and procedures for the exchange of information between
controllers, processors and supervisory authorities for binding corporate rules;(d)

欧州データ保護会議は、第 17 条第 2 項で定める通り、公共に利用可能な通信サービス
から個人データのリンク、コピー又は複製を消去するための手続に関して、ガイドライン、提言及びベストプラクティスを公表する。
(d)issue guidelines, recommendations, and ｚctices on procedures for erasing links, copies orreplications of personal data from publicly available communication services as referred to in Article 17 (2);(e)

欧州データ保護会議は、自身の主導によるか、会員からの要求によるか又は欧州委員会の要請により、本規則の適用に関するあらゆる問題を調査し、及び、本規則の一貫した適用を推奨するため、ガイドライン、提言及びベストプラクティスを公表する。
(e)examine, on its own initiative, on request of one of its members or on request of the Commission,
any question covering the application of this Regulation and issue guidelines, recommendations and bestpractices in order to encourage consistent application of this Regulation;(f)

欧州データ保護会議は、第 22 条第 2 項によるプロファイルをもとにした決定に関する基準及び条件をさらに具体化するため、本項(e)号に従い、ガイドライン、提言及びベストプラクティスを公表する。

96

(f)
issue guidelines, recommendations and best practices in accordance with point (e) of this paragraphfor further specifying the criteria and conditions for decisions based on profiling pursuant to Article 22(2);(g)

欧州データ保護会議は、個人データ侵害の確定に関して、及び第 33 条第 1 項及び第 2項で定める不当な遅滞の判断に関して、並びに管理者又は取扱者が個人データ侵害の通知を要求される特定の状況に関して、本項(e)号に従い、ガイドライン、提言及びベス
トプラクティスを公表する。
(g)issue guidelines, recommendations and best practices in accordance with point (e) of this paragraphfor establishing the personal data breaches and determining the undue delay referred to in Article 33(1) and(2) and for the particular circumstances in which a controller or a processor is required to notify the
personal data breach;(h)

欧州データ保護会議は、第 34 条第 1 項で定める自然人の権利及び自由に対する高リス
クが発生し得る個人データ侵害の状況に関して、本項(e)号に従い、ガイドライン、提言及びベストプラクティスを公表する。
(h)issue guidelines, recommendations and best practices in accordance with point (e) of this paragraphas to the circumstances in which a personal data breach is likely to result in a high risk to the rights andfreedoms of the natural persons referred to in Article 34(1).

(i)

欧州データ保護会議は、管理者によって固守される拘束的企業準則及び取扱者によって固守される拘束的企業準則に基づく個人データ移転に関する基準及び要件のさらなる具体化の目的のため、並びに第 47 条で定める関係するデータ主体の個人データの保護を確実にするために必要な追加的要件のさらなる具体化の目的のため、本項(e)号に従い、ガイドライン、提言及びベストプラクティスを公表する。
(i)issue guidelines, recommendations and best practices in accordance with point (e) of this paragraphfor the purpose of further specifying the criteria and requirements for personal data transfers based on
binding corporate rules adhered to by controllers and binding corporate rules adhered to by processors andon further necessary requirements to ensure the protection of personal data of the data subjects concerned
referred to in Article 47;(j)

欧州データ保護会議は、第 49 条第 1 項の根拠により個人データ移転に関する基準及び要件のさらなる具体化の目的のため、本項(e)号に従い、ガイドライン、提言及びベス
トプラクティスを公表する。
(j)issue guidelines, recommendations and best practices in accordance with point (e) of this paragraphfor the purpose of further specifying the criteria and requirements for the personal data transfers on the basisof Article 49(1);(k)

欧州データ保護会議は、第 58 条第 1 項、第 2 項及び第 3 項で定める対策の適用に関与し、及び第 83 条による制裁金の決定に関与する監督機関のためのガイドラインを作成する。
(k)draw up guidelines for supervisory authorities concerning the application of measures referred to in
Article 58(1), (2) and (3) and the fixing of administrative fines pursuant to Articles 83;(l)

欧州データ保護会議は、本条(e)号及び(f)号で定めるガイドライン、提言及びベストプ
ラクティスの実用的な適用の見直しをする。
(l)review the practical application of the guidelines, recommendations and best practices referred to inpoint (e) and (f);

97

(m)

欧州データ保護会議は、第 54 条第 2 項の自然人からの本規則違反の報告に関する一般的手続確立に関し、本項(e)号に従い、ガイドライン、提言及びベストプラクティスを
公表する。
(m)
issue guidelines, recommendations and best practices in accordance with point (e) of this paragraphfor establishing common procedures for reporting by natural persons of infringements of this Regulation
pursuant to Article 54(2);(n)

欧州データ保護会議は、第 40 条及び第 42 条による行動規範の作成並びにデータ保護認
証メカニズム及びデータ保護シール及びマークの確立を奨励する。
(n)encourage the drawing-up of codes of conduct and the establishment of data protection certification
mechanisms and data protection seals and marks pursuant to Articles 40 and 42;(o)

欧州データ保護会議は、第 43 条により認証機関の認定及び認定の定期的な見直しを行
い、並びに第 43 条第 6 項により認定された団体の公的記録及び第 42 条第 7 項により第三国にある認定された管理者又は取扱者の公的記録を維持する。
(o)carry out the accreditation of certification bodies and its periodic review pursuant to Article 43 andmaintain a public register of accredited bodies pursuant to Article 43(6) and of the accredited controllers orprocessors established in third countries pursuant to Article 42(7);(p)

欧州データ保護会議は、第 42 条に基づく認証機関の認定の目的で、第 43 条第 3 項で定める要件を具体化する。
(p)specify the requirements referred to in Article 43(3) with a view to the accreditation of certification
bodies under Article 42;(q)欧州データ保護会議は、第 43 条第 8 項で定める認証要件に関する意見を欧州委員会に
提出する。
(q)
provide the Commission with an opinion on the certification requirements referred to in Article
43(8);(r)

欧州データ保護会議は、第 12 条第 7 項で定める図形記号に関する意見を欧州委員会に
提出する。
(r)

(s)

provide the Commission with an opinion on the the icons referred to in Article 12(7);欧州データ保護会議は、第三国、第三国域内の領域若しくは一つ若しくは複数の特定された部門、又は国際機関がもはや十分な保護レベルを保証していないかの評価を含め、第三国又は国際機関における保護レベルの十分性の評価に関する意見を欧州委員会に提出する。そのため、欧州委員会は、欧州データ保護会議に対し、第三国、第三国の領域
若しくは特定の分野、又は国際機関に関するすべての必要な文書（第三国の政府との書簡を含む）を提供しなければならない。
(s)provide the Commission with an opinion for the assessment of the adequacy of the level ofprotection in a third country or international organisation, including for the assessment whether a third
country, a territory or one or more specified sectors within that third country, or an internationalorganisation no longer ensures an adequate level of protection. To that end, the Commission shall provide
the Board with all necessary documentation, including correspondence with the government of the third
country, with regard to that third country, territory or specified sector, or with the international organisation.

(t)

欧州データ保護会議は、第 64 条第 1 項に定める一貫性メカニズムによる監督機関の決定案、第 64 条第 2 項により送付された事案、及び第 65 条による拘束的決定の発令（第66 条で定める状況での発令を含め）に関して意見を述べる。

98

(t)
issue opinions on draft decisions of supervisory authorities pursuant to the consistency mechanism
referred to in Article 64(1), on matters submitted pursuant to Article 64(2) and to issue binding decisions
pursuant to Article 65, including in cases referred to in Article 66;(u)

欧州データ保護会議は、監督機関間における協力を促進し、二者間及び複数者間の効果的な情報及びベストプラクティスの交換を促進する。
(u)promote the cooperation and the effective bilateral and multilateral exchange of information andbest practices between the supervisory authorities;(v)

欧州データ保護会議は、共通の訓練プログラムを促進し、監督機関間の人材交流を促進する。適切な場合、監督機関と第三国の監督機関又は国際機関間の人材交流を促進する。
(v)
promote common training programmes and facilitate personnel exchanges between the supervisory
authorities and, where appropriate, with the supervisory authorities of third countries or with internationalorganisations;(w)

欧州データ保護会議は、データ保護法令及び慣行に関する知識及び文書を世界規模でデータ保護監督機関と交換することを促進する。
(w)
promote the exchange of knowledge and documentation on data protection legislation and practicewith data protection supervisory authorities worldwide.

(x)

欧州データ保護会議は、第 40 条第 9 項による EU レベルで作成される行動規範に関して意見を述べる。及び、
(x)

(y)

issue opinions on codes of conduct drawn up at Union level pursuant to Article 40(9); and欧州データ保護会議は、一貫性メカニズムにおいて処理される問題に関して、監督機関
又は裁判所によって取られた決定の電子的記録を公然に入手可能なように維持する。
(y)maintain a publicly accessible electronic register of decisions taken by supervisory authorities andcourts on issues handled in the consistency mechanism.

2.

欧州委員会が欧州データ保護会議に助言を求める場合、欧州委員会は、事案の緊急性を考慮
し、時限を指示することができる。
2.
Where the Commission requests advice from the Board, it may indicate a time limit, taking into account theurgency of the matter.

3.

欧州データ保護会議は、会議の意見、ガイドライン、提言及びベストプラクティスを、欧州委
員会及び第 93 条で定める委員会に送付するとともに、それらを公開しなければならない。
3.
The Board shall forward its opinions, guidelines, recommendations, and best practices to the Commission
and to the committee referred to in Article 93 and make them public.

4.

欧州データ保護会議は、適切な場合、利害関係者と協議し、彼らに合理的期間内に、発言する機会を提供しなければならない。欧州データ保護会議は、第 76 条を侵害することなく、協議進行の結果を公開しなければならない。
4.
The Board shall, where appropriate, consult interested parties and give them the opportunity to comment
within a reasonable period. The Board shall, without prejudice to Article 76, make the results of the consultation
procedure publicly available.

99

第 71 条 報告
Article 71 Reports
1.

欧州データ保護会議は、EU 域内、関連があるならば、第三国及び国際機関での取扱いに係る
自然人の保護に関する年次報告を作成しなければならない。当該報告は公開され、欧州議会、
欧州理事会及び欧州委員会に対して送付されなければならない。
1.
The Board shall draw up an annual report regarding the protection of natural persons with regard toprocessing in the Union and, where relevant, in third countries and international organisations. The report shall bemade public and be transmitted to the European Parliament, to the Council and to the Commission.

2.

年次報告は、第 70 条第 1 項(l)号で定めるガイドライン、提言及びベストプラクティスに関して、及び第 65 条で定める拘束的決定に関して、実用的な適用の見直しを含めるものとする。
2.
The annual report shall include a review of the practical application of the guidelines, recommendations andbest practices referred to in point (l) of Article 70(1) as well as of the binding decisions referred to in Article 65.

第 72 条 手続
Article 72 Procedure1.

欧州データ保護会議は、本規則で定められていなければ、会員の単純多数で決議をとるものとする。
1.
The Board shall take decisions by a simple majority of its members, unless otherwise provided for in thisRegulation.

2.

欧州データ保護会議は、会員の 3 分の 2 以上により会議自身の手続規定を採択するものとし、会議自身の作業規定を編成しなければならない。
2.
The Board shall adopt its own rules of procedure by a two-third majority of its members and organise its
own operational arrangements.

第 73 条 議長
Article 73 Chair1.

欧州データ保護会議は、単純多数により、会員の中から議長 1 名および副議長 2 名を選出するものとする。
1.

2.

The Board shall elect a chair and two deputy chairs from amongst its members by simple majority.

議長及び副議長の任期は 5 年とし、一度の再任が許されるものとする。
2.

The term of office of the Chair and of the deputy chairs shall be five years and be renewable once.

第 74 条 議長の業務
Article 74 Tasks of the Chair1.

議長は次に掲げる業務を行うものとする。
1.

The Chair shall have the following tasks:

100

(a)

欧州データ保護会議の会合の招集及び議事の準備。
(a)

(b)

to convene the meetings of the Board and prepare its agenda;

第 65 条により欧州データ保護会議で採択された決定の主監督機関及び関係監督機関への通知。
(b)
to notify decisions adopted by the Board pursuant to Article 65 to the lead supervisory authority
and the supervisory authorities concerned;(c)

特に第 63 条で定める一貫性メカニズムに関連し、欧州データ保護会議の時宜を得た業
務遂行の確立。
(c)to ensure the timely performance of the tasks of the Board, in particular in relation to theconsistency mechanism referred to in Article 63.

2.

欧州データ保護会議は、会議の手続規定に則り、議長及び副議長間の業務の分配を規定しなけ
ればならない。
2.
The Board shall lay down the allocation of tasks between the Chair and the deputy chairs in its rules ofprocedure.

第 75 条 事務局
Article 75 Secretariat1.

欧州データ保護会議は、欧州データ保護監察機関により提供された事務局を持つものとする
1.

2.

事務局は欧州データ保護会議の議長の指示下で排他的に業務を行うものとする。
2.

3.

The Board shall have a secretariat, which shall be provided by the European Data Protection Supervisor.

The secretariat shall perform its tasks exclusively under the instructions of the Chair of the Board.

本規則により欧州データ保護会議が与えた業務の実行に関与する欧州データ保護監察機関の職
員は、欧州データ保護監察機関が与えた業務の実行に関与する職員とは分けられた指揮命令系
統に服する。
3.
The staff of the European Data Protection Supervisor involved in carrying out the tasks conferred on the
Board by this Regulation shall be subject to separate reporting lines from the staff involved in carrying out tasks
conferred on the European Data Protection Supervisor.

4.

適切な場合、欧州データ保護会議と欧州データ保護監察機関は、本条を実施し、両者の協力範囲を定め、及び本規則により欧州データ保護会議が与えた業務の実行に関与する欧州データ保護監察機関の職員に適用する了解覚書を確立及び公開しなければならない。
4.
Where appropriate, the Board and the European Data Protection Supervisor shall establish and publish a
Memorandum of Understanding implementing this Article, determining the terms of their cooperation, andapplicable to the staff of the European Data Protection Supervisor involved in carrying out the tasks conferred on the
Board by this Regulation.

5.

事務局は分析上、運営上及び業務遂行上の支援を欧州データ保護会議に提供するものとする。
5.

6.

The secretariat shall provide analytical, administrative and logistical support to the Board.

事務局は特に次に掲げる業務を担当するものとする。
6.

The secretariat shall be responsible in particular for:

101

(a)

欧州データ保護会議の日常業務。
(a)

(b)

欧州データ保護会議の会員、議長及び欧州委員会間における連絡。
(b)

(c)

the translation of relevant information;

欧州データ保護会議の会合の準備と事後対応。
(f)

(g)

the use of electronic means for the internal and external communication;

関連する情報の翻訳。
(e)

(f)

communication with other institutions and the public;

域内及び域外通信のための電子的手段の利用。
(d)

(e)

communication between the members of the Board, its Chair and the Commission;

他の機関及び一般の人々との連絡。
(c)

(d)

the day-to-day business of the Board;the preparation and follow-up of the meetings of the Board;

欧州データ保護会議によって採択された意見、監督機関間の紛争決着に関する決定及びその他文書に関する準備、立案並びに公表。
(g)the preparation, drafting and publication of opinions, decisions on the settlement of disputes
between supervisory authorities and other texts adopted by the Board.

第 76 条 機密性
Article 76 Confidentiality1.

欧州データ保護会議の議論は、機密にしなければならない。ただし、欧州データ保護会議が機密を必要とし、会議の手続規定にある場合に限る。
1.
The discussions of the Board shall be confidential where the Board deems it necessary, as provided for in its
rules of procedure.

2.

欧州データ保護会議の会員、専門家及び第三者の代表に送付された文書のアクセスは欧州議会
及び欧州理事会規則(EC) No 1049/2001 に基づいて管理されるものとする。
2.
Access to documents submitted to members of the Board, experts and representatives of third parties shallbe governed by Regulation (EC) No 1049/2001 of the European Parliament and of the Council3.

3Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding
public access to European Parliament, Council and Commission documents (OJ L 145, 31.5.2001, p. 43).

102

第8章

救済、法的責任及び制裁

CHAPTER VIII REMEDIES, LIABILITY AND PENALTIES

第 77 条 監督機関への不服申立ての権利
Article 77 Right to lodge a complaint with a supervisory authority
1.

他のあらゆる行政的又は司法的救済を妨げられることなく、各データ主体は、監督機関に不服を申し立てる権利を有する。データ主体は、当該主体に関わる個人データの取扱いが本規則に違反していると考える場合に、特にその居住している場所、勤務している場所、又は違反を主張する場所の加盟国の監督機関に対して申し立てを行うものとする。
1.
Without prejudice to any other administrative or judicial remedy, every data subject shall have the right tolodge a complaint with a supervisory authority, in particular in the Member State of his or her habitual residence,place of work or place of the alleged infringment if the data subject considers that the processing of personal data
relating to him or her infringes this Regulation.

2.

不服を申し立てられた監督機関は、申立人に進捗及び結果を、第 78 条による司法的救済の可能性も含め、通知しなければならない。
2.
The supervisory authority with which the complaint has been lodged shall inform the complainant on the
progress and the outcome of the complaint including the possibility of a judicial remedy pursuant to Article 78.

第 78 条 監督機関に対する効果的な司法救済の権利
Article 78 Right to an effective judicial remedy against a supervisory authority
1.

あらゆる他の行政的又は非司法的救済を妨げられることなく、各自然人又は法人は、両者に関する監督機関の法的拘束力を持つ決定に対する効果的な司法救済の権利を有する。
1.
Without prejudice to any other administrative or non-judicial remedy, each natural or legal person shallhave the right to an effective judicial remedy against a legally binding decision of a supervisory authority
concerning them.

2.

あらゆる行政的又は非司法的救済を妨げられることなく、各データ主体は、第 55 条及び第 56条により管轄権を持つ監督機関が不服を対処しない又は第 77 条によりデータ主体に 3 カ月以内に不服申立ての進捗又は結果を通知しない場合、効果的な司法救済の権利を有するものとする。
2.
Without prejudice to any other administrative or non-judicial remedy, each data subject shall have the rightto a an effective judicial remedy where the supervisory authority which is competent pursuant to Article 55 andArticle 56 does not handle a complaint or does not inform the data subject within three months on the progress or
outcome of the complaint lodged pursuant to Article 77.

3.

監督機関に対する訴訟手続は、監督機関が置かれている加盟国の裁判所に提起されるものとする。
3.
Proceedings against a supervisory authority shall be brought before the courts of the Member State where
the supervisory authority is established.

4.

一貫性メカニズムにおける欧州データ保護会議の意見又は決定よりも前の監督機関の決定に対して訴訟手続が提起された場合、監督機関は当該意見又は決定を裁判所に送付するものとする。

103

4.
Where proceedings are brought against a decision of a supervisory authority which was preceded by anopinion or a decision of the Board in the consistency mechanism, the supervisory authority shall forward that
opinion or decision to the court.

第 79 条 管理者又は取扱者に対する効果的な司法救済
Article 79 Right to an effective judicial remedy against a controller or processor
1.

あらゆる行政的又は非司法的救済を侵害することなく、第 77 条による監督機関への不服を申し立てる権利を含め、各データ主体は効果的な司法救済の権利を有するものとする。ただし、本規則に遵守しない当該データ主体の個人データの取扱いの結果により本規則に基づく当該データ主体の権利が侵害されたと当該データ主体が考える場合に限る。
1.
Without prejudice to any available administrative or non-judicial remedy, including the right to lodge acomplaint with a supervisory authority pursuant to Article 77, each data subject shall have the right to an effective
judicial remedy where he or she considers that his or her rights under this Regulation have been infringed as a resultof the processing of his or her personal data in non-compliance with this Regulation.

2.

管理者又は取扱者に対する訴訟は、管理者又は処理者が事業所を有する加盟国の裁判所に提起されるものとする。あるいは、当該訴訟はデータ主体が居住する加盟国の裁判所に提起することができる。ただし、管理者又は取扱者が公的権限を行使する加盟国の公的機関である場合を除く。
2.
Proceedings against a controller or a processor shall be brought before the courts of the Member State
where the controller or processor has an establishment. Alternatively, such proceedings may be brought before thecourts of the Member State where the data subject has his or her habitual residence, unless the controller orprocessor is a public authority of a Member State acting in the exercise of its public powers.

第 80 条 データ主体の代理人
Article 80 Representation of data subjects
1.

データ主体は、非営利団体、機関又は組織に委任する権利を有するものとする。それらは加盟
国の国内法に従って適切に設置され、法的目的に公共の利益を含み、個人データ保護に関するデータ主体の権利及び自由の保護の分野で活動しており、当該データ主体の代わりに不服を申し立て、当該データ主体の代わりに第 77 条、第 78 条及び第 79 条で定める権利を行使し、当該データ主体の代わりに第 82 条で定める賠償を受ける権利を行使する。ただし、加盟国の国
内法によって規定されている場合に限る。
1.
The data subject shall have the right to mandate a not-for-profit body, organisation or association which has
been properly constituted in accordance with the law of a Member State, has statutory objectives which are in the
public interest, and is active in the field of the protection of data subjects' rights and freedoms with regard to theprotection of their personal data to lodge the complaint on his or her behalf, to exercise the rights referred to in
Articles 77, 78 and 79 on his or her behalf, and to exercise the right to receive compensation referred to in Article 82
on his or her behalf where provided for by Member State law.

2.

加盟国は、本条第 1 項で定めるあらゆる団体、機関又は組織が、データ主体の委任とは無関係に、当該加盟国内で、第 77 条により管轄権を有する監督機関に不服を申し立てる権利及び第78 条及び第 79 条で定める権利を行使する権利を有することを定めることができる。ただし、本規則に基づくデータ主体の権利が取扱いの結果として違反していると考えている場合に限る。

104

2.
Member States may provide that any body, organisation or association referred to in paragraph 1 of this
Article, independently of a data subject's mandate, has the right to lodge, in that Member State, a complaint with thesupervisory authority which is competent pursuant to Article 77 and to exercise the rights referred to in Articles 78
and 79 if it considers that the rights of a data subject under this Regulation have been infringed as a result of theprocessing.

第 81 条 訴訟の一時停止
Article 81 Suspension of proceedings
1.

加盟国の管轄裁判所が訴訟に関する情報を持ち、同じ管理者又は取扱者による取扱いに関わる
同じ対象事項と考えられ、その訴訟手続が他の加盟国の裁判所で係争中である場合、管轄裁判
所は他の加盟国の当該裁判所に当該訴訟の存在を確認するために連絡を取るものとする。
1.
Where a competent court of a Member State has information on proceedings, concerning the same subject
matter as regards processing by the same controller or processor, that are pending in a court in another Member
State, it shall contact that court in the other Member State to confirm the existence of such proceedings.

2.

同じ管理者又は取扱者による取扱いに関わる同じ対象事項と考えられる訴訟が他の加盟国の裁判所で係争中である場合、最初に受理した裁判所以外は訴訟を一時停止することができる。
2.
Where proceedings concerning the same subject matter as regards processing of the same controller orprocessor are pending in a court in another Member State, any competent court other than the court first seized may
suspend its proceedings.

3.

当該訴訟が一審で係争中の場合、最初に受理した裁判所以外は、当事者の一人の申請に基づき、管轄権を辞退することができる。ただし、最初に受理した裁判所が当該訴訟に管轄権を持
ち、訴えの併合を許している場合に限る。
3.
Where those proceedings are pending at first instance, any court other than the court first seized may also,
on the application of one of the parties, decline jurisdiction if the court first seized has jurisdiction over the actionsin question and its law permits the consolidation thereof.

第 82 条 賠償請求権及び法的責任
Article 82 Right to compensation and liability1.

本規則違反の結果により有形的又は無形的損害を受けたあらゆる者は、その受けた損害に対し、管理者又は取扱者から賠償を受ける権利を有するものとする。
1.
Any person who has suffered material or non-material damage as a result of an infringement of thisRegulation shall have the right to receive compensation from the controller or processor for the damage suffered.

2.

取扱いに関与するあらゆる管理者は本規則違反の取扱いによって発生した損害に責任を負うものとする。取扱者は、取扱いによって発生した損害に責任を負うが、取扱者に対して具体的に向けられた本規則の義務を遵守していない場合、又は管理者の適法な指示の範囲外若しくはそれに反する行動をとった場合に限る。
2.
Any controller involved in processing shall be liable for the damage caused by processing which infringes
this Regulation. A processor shall be liable for the damage caused by processing only where it has not compliedwith obligations of this Regulation specifically directed to processors or where it has acted outside or contrary tolawful instructions of the controller.

105

3.

管理者又は取扱者は、損害が生じた事象に何ら責任がないことを証明する場合、第 2 項に基づ
く法的責任を免除されるものとする。
3.
A controller or processor shall be exempt from liability under paragraph 2 if it proves that it is not in any
way responsible for the event giving rise to the damage.

4.

複数の管理者若しくは取扱者、又は管理者及び取扱者双方が、同じ取扱いに関与しており、第2 項及び第 3 項の基での取扱いによって生じたあらゆる損害に責任がある場合、各管理者又は取扱者は、データ主体の効果的な賠償を確実にするため、全損害に責任を負うものとする。
4.
Where more than one controller or processor, or both a controller and a processor, are involved in the sameprocessing and where they are, under paragraphs 2 and 3, responsible for any damage caused by processing, eachcontroller or processor shall be held liable for the entire damage in order to ensure effective compensation of thedata subject.

5.

管理者又は取扱者が、第 4 項に従い、受けた損害の全賠償を支払った場合、当該管理者又は取扱者は、同じ取扱いに関与した他の管理者又は取扱者から、第 2 項で規定された条件に従い、他の関与者の責任部分に合致する賠償額に対して返還を請求する権利が付与されるものとする。
5.
Where a controller or processor has, in accordance with paragraph 4, paid full compensation for the damage
suffered, that controller or processor shall be entitled to claim back from the other controllers or processors involvedin the same processing that part of the compensation corresponding to their part of responsibility for the damage, in
accordance with the conditions set out in paragraph 2.

6.

賠償請求権の行使に関する裁判手続は、第 79 条第 2 項で定める加盟国の国内法に基づく管轄
裁判所に提起されるものとする。
6.
Court proceedings for exercising the right to receive compensation shall be brought before the courts
competent under the law of the Member State referred to in Article 79(2).

第 83 条 制裁金の一般条件
Article 83 General conditions for imposing administrative fines
1.

各監督機関は、第 4 項、第 5 項及び第 6 項で定める本規則違反に関する本条による制裁金の賦課が、個別の事案において効果的、比例的かつ抑止的であるよう確保しなければならない。
1.
Each supervisory authority shall ensure that the imposition of administrative fines pursuant to this Article inrespect of infringements of this Regulation referred to in paragraphs 4, 5 and 6 shall in each individual case beeffective, proportionate and dissuasive.

2.

制裁金は、個別案件の状況により、第 58 条第 2 項(a)号から(h)号及び(j)号で定める措置に加え、又は代わって科されるものとする。制裁金を科すか否かの決定及び個別案件において支払われるべき制裁金額の決定に際しては、次に掲げる事項を考慮しなければならない。
2.
Administrative fines shall, depending on the circumstances of each individual case, be imposed in addition
to, or instead of, measures referred to in points (a) to (h) and (j) of Article 58(2). When deciding whether to impose
an administrative fine and deciding on the amount of the administrative fine in each individual case due regard shallbe given to the following:(a)

違反の性質、重大さ及び期間。取扱いに関する性質又は目的並びに影響を受けたデータ
主体の数及びデータ主体の受けた損害の程度を考慮する。
(a)the nature, gravity and duration of the infringement taking into account the nature scope or purposeof the processing concerned as well as the number of data subjects affected and the level of damage sufferedby them;

106

(b)

違反の故意又は過失。
(b)

(c)

データ主体の受ける損害を軽減させるために管理者又は取扱者がとった行動。
(c)

(d)

the intentional or negligent character of the infringement;

any action taken by the controller or processor to mitigate the damage suffered by data subjects;

管理者及び取扱者の責任の程度。第 25 条及び第 32 条による管理者又は取扱者によって実施された技術的及び組織的対策を考慮する。
(d)the degree of responsibility of the controller or processor taking into account technical andorganisational measures implemented by them pursuant to Articles 25 and 32;(e)

管理者又は取扱者によるあらゆる関連する以前の違反。
(e)

(f)

any relevant previous infringements by the controller or processor;

違反の是正及び違反により起こり得る悪影響軽減のため、監督機関との協力の程度。
(f)the degree of cooperation with the supervisory authority, in order to remedy the infringement andmitigate the possible adverse effects of the infringement;(g)違反によって影響を受ける個人データの種類。
(g)

(h)

the categories of personal data affected by the infringement;

監督機関への違反通知措置。特に管理者又は取扱者が違反を通知したか否か、もし通知したのならその程度。
(h)
the manner in which the infringement became known to the supervisory authority, in particularwhether, and if so to what extent, the controller or processor notified the infringement;(i)

同じ対象事項に関して、関連する管理者又は取扱者に対して事前に命令された第 58 条
第 2 項で定める措置における、それら対策への遵守。
(i)in case measures referred to in Article 58(2) have previously been ordered against the controller orprocessor concerned with regard to the same subject-matter, compliance with those measures;(j)

第 40 条による承認された行動規範又は第 42 条による承認された認証メカニズムの固守。
(j)adherence to approved codes of conduct pursuant to Article 40 or approved certification
mechanisms pursuant to Article 42; and(k)

事案の状況に適用される悪化又は軽減要素。例えば直接又は間接に、違反から得られた財政上の利益又は避けられた損失。
(k)
any other aggravating or mitigatingfactor applicable to the circumstances of the case, such as
financial benefits gained, or losses avoided, directly or indirectly, from the infringement.

3.

管理者又は取扱者が故意に又は過失で、同じ又は連鎖した取扱い作業に関して、本規則のいく
つかの規定に違反した場合、制裁金の総額は重大な違反と特定された額を超えてはならない。
3.
If a controller or processor intentionally or negligently, for the same or linked processing operations,infringes several provisions of this Regulation, the total amount of the administrative fine shall not exceed theamount specified for the gravest infringement.

107

4.

次に掲げる規定違反は、第 2 項に従って、最大 10 000 000 ユーロ、又は事業である場合、前会
計年度の全世界年間売上高の 2%までの、どちらか高い方を制裁金として科すものとする。
4.
Infringments of the following provisions shall, in acccordance with paragraph 2, be subject toadministrative fines up to 10 000 000 EUR, or in the case of an undertaking, up to 2 % of the total worldwide annual
turnover of the preceding financial year, whichever is higher:(a)

第 8 条、第 11 条、第 25 条、第 26 条、第 27 条、第 28 条、第 29 条、第 30 条、
第 31 条、第 32 条、第 33 条、第 34 条、第 35 条、第 36 条、第 37 条、第 38 条、第 39 条、第 42 条及び第 43 条による管理者及び取扱者の義務。
(a)the obligations of the controller and the processor pursuant to Articles 8, 11, 25, 26, 27, 28, 29, 30,
31, 32, 33, 34, 35, 36, 37, 38, 39, 42 and 43;(b)

第 42 条及び第 43 条による認証機関の義務。
(b)

(c)

第 41 条第 4 項による監視団体の義務。
(c)5.

the obligations of the certification body pursuant to Articles 42 and 43;

the obligations of the monitoring body pursuant to Article 41(4).

次に掲げる規定の違反は、第 2 項に従って、最大 20 000 000 ユーロ、又は事業である場合、前会計年度の全世界年間売上高の 4%までの、どちらか高い方を制裁金として科されるものとする。
5.
Infringements of the following provisions shall, in accordance with paragraph 2, be subject toadministrative fines up to 20 000 000 EUR, or in the case of an undertaking, up to 4 % of the total worldwide annual
turnover of the preceding financial year, whichever is higher:(a)

第 5 条、第 6 条、第 7 条及び第 9 条による基本的取扱い原則（同意の条件を含む）。
(a)
9;

(b)

第 12 条から第 22 条によるデータ主体の権利。
(b)

(c)

the basic principles for processing, including conditions for consent, pursuant to Articles 5, 6, 7 andthe data subjects' rights pursuant to Articles 12 to 22;

第 44 条から第 49 条による第三国又は国際機関の取得者への個人データ移転。
(c)the transfers of personal data to a recipient in a third country or an international organisation
pursuant to Articles 44 to 49;(d)

第 9 章に基づき採択された加盟国の国内法による義務。
(d)

(e)

any obligations pursuant to Member State law adopted unter Chapter IX;

第 58 条第 2 項による監督機関による取り扱いに関する命令若しくは一時的若しくは最終的制限又はデータ流通の中止の不遵守、又は第 58 条第 1 項違反のアクセス提供の不履行。
(e)non-compliance with an order or a temporary or definitive limitation on processing or thesuspension of data flows by the supervisory authority pursuant to Article 58(2) or failure to provide accessin violation of Article 58(1).

108

6.

第 58 項第 2 項で定める監督機関による命令不遵守は、本条第 2 項に従って、最大 20 000 000
ユーロ、又は事業である場合、前会計年度の全世界年間売上高の 4%までの、どちらか高い方を制裁金として科されるものとする。
6.
Non-compliance with an order by the supervisory authority as referred to in Article 58(2) shall, in
acccordance with paragraph 2 of this Article, be subject to administrative fines up to 20 000 000 EUR, or in the caseof an undertaking, up to 4 % of the total worldwide annual turnover of the preceding financial year, whichever ishigher.

7.

第 58 項第 2 項による監督機関の是正権限を侵害することなく、各加盟国は、当該加盟国に設置された公共機関又は団体に制裁金を科すか否か及びその範囲に関して規定することができる。
7.
Without prejudice to the corrective powers of supervisory authorities pursuant to Article 58(2), each
Member State may lay down the rules on whether and to what extent administrative fines may be imposed on publicauthorities and bodies established in that Member State.

8.

本条に基づく監督機関による権限の行使は、EU 法及び加盟国の国内法に従って、効果的な司法救済及び適正手続きを含め、適切な手続き的保護措置に従うものとする。
8.
The exercise by the supervisory authority of its powers under this Article shall be subject to appropriate
procedural safeguards in accordance with Union and Member State law, including effective judicial remedy and due
process.

9.

加盟国の法体系が行政的課徴金の定めを欠く場合、本条は、法的救済が効果的であり、監督機関によって科される制裁金に対して同等の効果をもつことを保証する管轄監督機関によって起こされる及び管轄国内裁判所によって科される罰金のような措置に適用することができる。いかなる場合でも、科された罰金は、効果的、比例的かつ抑止的でなければならない。当該加盟国は、（本規則が効力を有した日から 2 年）までに本項により加盟国が採用する国内法の規定、かつ、遅滞なく、その後の修正法又はそれらに影響を及ぼす修正についても、欧州委員会に通知しなければならない。
9.
Where the legal system of the Member State does not provide for administrative fines, this Article may be
applied in such a manner that the fine is initiated by the competent supervisory authority and imposed by competent
national courts, while ensuring that those legal remedies are effective and have an equivalent effect to theadministrative fines imposed by supervisory authorities. In any event, the fines imposed shall be effective,
proportionate and dissuasive. Those Member States shall notify to the Commission the provisions of their laws
which they adopt pursuant to this paragraph by … [two years from the date of entry into force of this Regulation]
and, without delay, any subsequent amendment law or amendment affecting them.

第 84 条 罰則
Article 84 Penalties
1.

加盟国は、本規則違反に適用されるその他罰則、特に第 83 条による制裁金が科されない違反に関する規定を定めなければならず、罰則の施行に必要な措置をとらなければならない。その罰則は効果的であり、比例し、かつ抑止的でなければならない。
1.
Member States shall lay down the rules on other penalties applicable to infringements of this Regulation inparticular for infringements which are not subject to administrative fines pursuant to Article 83, and shall take allmeasures necessary to ensure that they are implemented. Such penalties shall be effective, proportionate anddissuasive.

109

2.

各加盟国は欧州委員会に第 1 項により加盟国が採択した加盟国の国内法の規定を（本規則が効力を有した日から 2 年）までに通知しなければならず、それらに影響を及ぼすあらゆる後続の修正を遅滞なく通知しなければならない。
2.
Each Member State shall notify to the Commission the provisions of its law which it adopts pursuant toparagraph 1, by … [two years from the date of entry into force of this Regulation] and, without delay, any
subsequent amendment affecting them.

110

第9章

特別な取扱い状況に関する条項

CHAPTER IX PROVISIONS RELATING TO SPECIFIC PROCESSING SITUATIONS

第 85 条 取扱いと表現及び情報の自由
Article 85 Processing and freedom of expression and information1.

加盟国は、法によって、本規則による個人データの保護に関する権利を表現及び情報の自由に関する権利（報道の目的及び学術的、美術的又は文学的表現の目的に関する取扱いを含む）と調和させなければならない。
1.
Member States shall by law reconcile the right to the protection of personal data pursuant to this Regulation
with the right to freedom of expression and information, including processing for journalistic purposes and the
purposes of academic, artistic or literary expression.

2.

報道の目的及び学術的、美術的又は文学的表現の目的のためになされる取扱いに関し、加盟国
は、個人データの保護に関する権利を表現及び情報の自由に関する権利を調和する必要がある
場合、第 2 章（原則）、第 3 章（データ主体の権利）、第 4 章（管理者及び取扱者）、第 5 章（第三国及び国際機関への個人データの移転）、第 6 章（独立監督機関）、第 7 章（協力及び一貫性）及び第 9 章（特定のデータ取扱い状況）からの免除又は例外を規定しなければならない。
2.
For processing carried out for journalistic purposes or the purpose of academic artistic or literary expression,
Member States shall provide for exemptions or derogations from Chapter II (principles), Chapter III (rights of thedata subject), Chapter IV (controller and processor), Chapter V (transfer of personal data to third countries orinternational organisations), Chapter VI (independent supervisory authorities), Chapter VII (cooperation andconsistency) and Chapter IX (specific data processing situations) if they are necessary to reconcile the right to theprotection of personal data with the freedom of expression and information.

3.

各加盟国は第 2 項により加盟国が採択した加盟国の国内法の規定及び後続の修正法又はそれらに影響を及ぼす修正について遅滞なく、欧州委員会に対して通知しなければならない。
3.
Each Member State shall notify to the Commission the provisions of its law which it has adopted pursuant
to paragraph 2 and, without delay, any subsequent amendment law or amendment affecting them.

第 86 条 取扱いと公式文書へのパブリックアクセス
Article 86 Processing and public access to official documents
公的機関又は公的団体若しくは公共の利益のために実行される業務遂行のための民間団体によって保持される公式文書の個人データは、公式文書へのパブリックアクセスを本規則による個人データの保護の権利と調和させるために、EU 法若しくは公共機関又は団体が従うべき加盟国の国内法に従って、機関又は団体によって開示されてもよい。
Personal data in official documents held by a public authority or a public body or a private body for the performance of atask carried out in the public interest may be disclosed by the authority or body in accordance with Union or Member Statelaw to which the public authority or body is subject in order to reconcile public access to official documents with the right tothe protection of personal data pursuant to this Regulation.

第 87 条 取扱いと国民識別番号
Article 87 Processing of the national identification number

111

加盟国は国民識別番号又は一般に用いられるあらゆる識別子の取扱い関する具体的条件を定めることができる。その場合、国民識別番号又は一般に用いられるあらゆる識別子は、本規則によるデータ主体の権利及び自由のため、適切な保護措置下でのみ、利用されなければならない。
Member States may further determine the specific conditions for the processing of a national identification number or any
other identifier of general application. In that case the national identification number or any other identifier of generalapplication shall be used only under appropriate safeguards for the rights and freedoms of the data subject pursuant to thisRegulation.

第 88 条 職場における取扱い
Article 88 Processing in the context of employment1.

加盟国は、法令又は労働協約によって、職場での被雇用者の個人データ取扱いに関して権利と自由の保護を確実にするために、より具体的な規定を定めることができる。特に、採用目的、雇用契約（法令又は労働協定で定める責務の免除を含む）の遂行、業務のマネジメント、計画
及び編成、職場での平等と多様性、職場での健康と安全、雇用主又は消費者の資産保護、及び雇用に関する権利及び利益の個人又は集団レベルでの遂行及び享受目的並びに雇用関係終了の目的のためのものを含む。
1.
Member States may, by law or by collective agreements, provide for more specific rules to ensure theprotection of the rights and freedoms in respect of the processing of employees' personal data in the employment
context, in particular for the purposes of the recruitment, the performance of the contract of employment, including
discharge of obligations laid down by law or by collective agreements, management, planning and organisation ofwork, equality and diversity in the workplace, health and safety at work, protection of employer's or customer's
property and for the purposes of the exercise and enjoyment, on an individual or collective basis, of rights andbenefits related to employment, and for the purpose of the termination of the employment relationship.

2.

これら規則は、特に透明性のある取扱い、事業体グループ又は共同経済活動に従事する事業者のグループ内の個人データの移転、及び職場での監視システムに関して、データ主体の人間的尊厳、正当な利益及び基本的権利を保護する適切かつ具体的な措置を含まなければならない。
2.
Those rules shall include suitable and specific measures to safeguard the data subject's human dignity,
legitimate interests and fundamental rights, with particular regard to the transparency of processing, the transfer of
personal data within a group of undertakings, or a group of entreprises engaged in a joint economic activity andmonitoring systems at the work place.

3.

各加盟国は第 1 項により加盟国が採択する加盟国の国内法の規定について（本規則が効力を有した日から 2 年）までに欧州委員会に対して通知しなければならず、それらに影響を及ぼす後続の修正について、遅延なく、通知しなければならない。
3.
Each Member State shall notify to the Commission those provisions of its law which it adopts pursuant toparagraph 1, by … [two years from the date of entry into force of this Regulation] and, without delay, any
subsequent amendment affecting them.

第 89 条 公共の利益における保管目的、科学的若しくは歴史的研究の目的又は統計目的のための取扱いに関する保護措置及び例外
Article 89 Safeguards and derogations relating to processing for archiving purposes in the public interest,
scientific or historical research purposes or statistical purposes

112

1.

公共の利益における保管目的、科学的若しくは歴史的研究の目的又は統計目的のための取扱い
は、データ主体の権利及び自由のため、本規則に従って、適切な保護措置を遵守しなければならない。当該保護措置は、特にデータ最小化の原則に関する点を確実にするため、技術的及び組織的対策がとられることを確実にしなければならない。当該対策は、目的が仮名化によって満たされるのであれば、仮名化を含んでもよい。当該目的が、データ主体の識別を許さないか
もはや認めないとする追加的な取扱いによって満たされるのであれば、これら目的は当該方法によって、満たされなければならい。
1.
Processing for archiving purposes in the public interest, scientific or historical research purposes or
statistical purposes, shall be subject to appropriate safeguards, in accordance with this Regulation, for the rights andfreedoms of the data subject. Those safeguards shall ensure that technical and organisational measures are in placein particular in order to ensure respect for the principle of data minimisation. Those measures may include
pseudonymisation provided that those purposes can be fulfilled in that manner. Where those purposes can befulfilled by further processing which does not permit or no longer permits the identification of data subjects, those
purposes shall be fulfilled in that manner.

2.

個人データが科学的又は歴史的研究目的又は統計目的で取り扱われる場合、EU 又は加盟国の国内法は、第 15 条、第 16 条、第 18 条及び第 21 条で定める権利に関する例外を規定してもよい。ただし、本条第 1 項で定める条件及び保護措置を前提としており、当該権利が当該目的の達成を不可能にさせるか、ひどく軽減させる、及び当該例外が当該目的の遂行に必要である場合に限る。
2.
Where personal data are processed for scientific or historical research purposes or statistical purposes,
Union or Member State law may provide for derogations from the rights referred to in Articles 15, 16, 18 and 21
subject to the conditions and safeguards referred to in paragraph 1 of this Article in so far as such rights are likely torender impossible or seriously impair the achievement of the specific purposes, and such derogations are necessary
for the fulfilment of those purposes.

3.

個人データが公共の利益における目的達成に関して取り扱われる場合、EU 法又は加盟国の国
内法は、第 15 条、第 16 条、第 18 条、第 19 条、第 20 条及び第 21 条で定める権利の例外を規定することができる。ただし、本条第 1 項で定める条件及び保護措置を前提としており、当該権利が当該目的の達成を不可能にさせるか、ひどく軽減させる、及び当該例外が当該目的の遂行に必要である場合に限る。
3.
Where personal data are processed for archiving purposes in the public interest, Union or Member State law
may provide for derogations from the rights referred to in Articles 15, 16, 18, 19, 20 and 21 subject to the conditions
and safeguards referred to in paragraph 1 of this Article in so far as such rights are likely to render impossible orseriously impair the achievement of the specific purposes, and such derogations are necessary for the fulfilment of
those purposes.

4.

第 2 項及び第 3 項で定める取扱いが他の目的とともに行われている場合、例外は当該項目で定める目的のための処理のみに適用されるものとする。
4.
Where processing referred to in paragraphs 2 and 3 serves at the same time another purpose, the derogations
shall apply only to processing for the purposes referred to in those paragraphs.

第 90 条 守秘義務
Article 90 Obligations of secrecy
1.

加盟国は、個人データ保護の権利を守秘義務と調和するのに必要かつ比例しているならば、
EU 法若しくは加盟国の国内法又は国内の適格な団体によって定められた規定に基づき、職業上の守秘義務又は他の同等の守秘義務に従う管理者又は取扱者に関連し、第 58 条第 1 項(e)号

113

及び(f)号で規定されている監督機関の権限を確実にするための具体的規定を採択することができる。当該規定は、守秘義務が適応される活動において管理者又は取扱者が受け取った個人データに関してのみ適用されるものとする。
1.
Member States may adopt specific rules to set out the powers of the supervisory authorities laid down inpoints (e) and (f) of Article 58(1) in relation to controllers or processors that are subject, under Union or Member
State law or rules established by national competent bodies, to an obligation of professional secrecy or otherequivalent obligations of secrecy where this is necessary and proportionate to reconcile the right of the protection of
personal data with the obligation of secrecy. Those rules shall apply only with regard to personal data which thecontroller or processor has received as a result ofor has obtained in an activity covered by that obligation of secrecy.

2.

各加盟国は、第 1 項により採択した規定について、（本規則が効力を有した日から 2 年）までに欧州委員会に通知しなければならず、それらに影響を及ぼす後続の修正について遅延なく通知しなければならない。
2.
Each Member State shall notify to the Commission the rules adopted pursuant to paragraph 1, by … [twoyears from the date of entry into force of this Regulation] and, without delay, any subsequent amendment affecting
them.

114

第 91 条 教会及び宗教組織の既存のデータ保護規則
Article 91 Existing data protection rules of churches and religious associations1.

加盟国で、教会及び宗教組織若しくは地域が、本規則有効時点において、取扱いにかかわる自然人の保護に関する包括的規定を適用している場合、当該規定が本規則と調和するならば、その規定は引き続き適用してもよい。
1.
Where in a Member State, churches and religious associations or communities apply, at the time of entry
into force of this Regulation, comprehensive rules relating to the protection of natural persons with regard toprocessing, such rules may continue to apply, provided that they are brought into line with this Regulation.

2.

第 1 項に従って包括的規定を適用する教会及び宗教組織は、本規則の第 6 章で規定された条件を満たす限り特定的なものであり得る独立監督機関の指示に服する。
2.
Churches and religious associations which apply comprehensive rules in accordance with paragraph 1 shallbe subject to the supervision of an independent supervisory authority, which may be specific, provided that it fulfils
the conditions laid down in Chapter VI of this Regulation.

115

第 10 章

委任行為及び実施行為

CHAPTER X DELEGATED ACTS AND IMPLEMENTING ACTS

第 92 条 委任の行使
Article 92 Exercise of the delegation
1.

委任行為を採択する権限は、欧州委員会に付与されるが、本条に定められた条件に服する。
1.
The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down inthis Article.

2.

第 12 条第 8 項及び第 43 条第 8 項で定める権限の委任は、（本規則が効力を有した日）から期
日が決められるまでの間、欧州委員会に付与される。
2.
The delegation of power referred to in Article 12(8) and Article 43(8) shall be conferred on the Commission
for an indeterminate period of time from … [the date of entry into force of this Regulation].

3.

第 12 条第 8 項及び第 43 条第 8 項で定める権限の委任は欧州議会又は欧州理事会によりいつでも撤回することができる。撤回の決定は、当該決定に明記された権限の委任を終わらせるものとする。撤回の決定は EU 官報で発行された次の日又はそれに記載された後の日に効力を発するものとする。撤回の決定はすでに効力を有しているあらゆる委任行為に何ら影響はない。
3.
The delegation of power referred to in Article 12(8) and Article 43(8) may be revoked at any time by theEuropean Parliament or by the Council. A decision of revocation shall put an end to the delegation of power
specified in that decision. It shall take effect the day following that of its publication in the Official Journal of theEuropean Union or at a later date specified therein. It shall not affect the validity of any delegated acts already inforce.

4.

委任行為の採択後すぐに、欧州委員会は欧州議会及び欧州理事会に通知するものとする。
4.
As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European
Parliament and to the Council.

5.

第 12 条第 8 項及び第 43 条第 8 項より採択された委任行為は、当該法令を欧州議会若しくは欧州理事会に通知から 3 カ月以内に欧州議会若しくは欧州理事会によって不服が表明されない限り、又は当該期間の満了前に欧州議会及び欧州理事会双方が不服を申し立てないことを欧州委
員会に通知した場合、有効になる。当該期間は欧州議会又は欧州理事会の主導により 3 か月まで期間は延長されるものとする。
5.
A delegated act adopted pursuant to Article 12(8) and Article 43(8) shall enter into force only if noobjection has been expressed by either the European Parliament or the Council within a period of three months of
notification of that act to the European Parliament and the Council or if, before the expiry of that period, theEuropean Parliament and the Council have both informed the Commission that they will not object. That period
shall be extended by three months at the initiative of the European Parliament or of the Council.

第 93 条 委員会の手続
Article 93 Committee procedure1.

欧州委員会は委員会によって補佐されるものとする。委員会は規則(EU) No 182/2011 における範疇のものとする。
1.
The Commission shall be assisted by a committee. That committee shall be a committee within the meaningof Regulation (EU) No 182/2011.

116

2.

本項が引用される場合、規則(EU) No 182/2011 第 5 条が適用されるものとする。
2.

3.

Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.

本項が引用される場合、規則(EU) No 182/2011 同第 5 条と併せて、同第 8 条が適用されるものとする。
3.
Where reference is made to this paragraph, Article 8 of Regulation (EU) No 182/2011, in conjunction with
Article 5 thereof, shall apply.

117

第 11 章 最終条項
CHAPTER XI FINAL PROVISIONS

第 94 条 指令 95/46/EC の廃止
Article 94 Repeal of Directive 95/46/EC
1.

指令 95/46/EC の効力は（本規則が効力を有した日から 2 年）に廃止される。
1.
Directive 95/46/EC is repealed with effect from … [two years from the date of entry into force of thisRegulation].

2.

廃止される指令への参照は、本規則への参照と解釈されるものとする。欧州指令 95/46/EC の第 29 条で設立された個人データの処理に関する個人保護作業部会に対する参照は、本規則で設立される欧州データ保護会議への参照と解釈されるものとする。
2.
References to the repealed Directive shall be construed as references to this Regulation. References to theWorking Party on the Protection of Individuals with regard to the Processing of Personal Data established by Article
29 of Directive 95/46/EC shall be construed as references to the European Data Protection Board established by thisRegulation.

第 95 条 欧州指令 2002/58/EC との関係
Article 95 Relationship with Directive 2002/58/EC
本規則は EU 域内の公共通信網における公的に利用可能な電子通信サービスの規定に関わる処理に係
る自然人又は法人に対し、指令 2002/58/EC に定める同様の目的によりこれらの者に課される特定の義務に加え、追加の義務を課してはならない。
This Regulation shall not impose additional obligations on natural or legal persons in relation to processing in connection
with the provision of publicly available electronic communications services in public communication networks in the Union
in relation to matters for which they are subject to specific obligations with the same objective set out in Directive
2002/58/EC.

第 96 条 事前に締結されていた条約との関係
Article 96 Relationship with previously concluded Agreements（本規則が効力を有した日）以前に加盟国によって締結され、及び（本規則が効力を有した日）以前に適用された EU 法に合致する第三国又は国際機関への個人データの移転に関する国際協定は修正、代替又は失効するまで有効なままとする。
International agreements involving the transfer of personal data to third countries or international organisations
which were concluded by Member States prior to … [the date of entry into force of this Regulation], and which
are in accordance with Union law applicable prior to … [the date of entry into force of this Regulation], shallremain in force until amended, replaced or revoked.

第 97 条 欧州委員会報告
Article 97 Commission reports

118

1.

（本規則が効力を有した日から 4 年）まで及びその後 4 年毎に、欧州委員会は本規則の評価及び見直しに関する報告書を欧州議会及び欧州理事会に送付するものとする。報告書は公開するものとする。
1.
By … [4 years after the date of entry into force of this Regulation] and every four years thereafter, theCommission shall submit a report on the evaluation and review of this Regulation to the European Parliament and to
the Council. The reports shall be made public.

2.

第 1 項で定める評価及び見直しに関して、欧州委員会は特に次に掲げる事項に関する適用及び機能を調査しなければならない。
2.
In the context of the evaluations and reviews referred to in paragraph 1, the Commission shall examine, inparticular, the application and functioning of:(a)

第 5 章の第三国又は国際機関への個人データ移転。特に本規則の第 45 条第 3 項により採択された決定及び指令 95/46/EC の第 25 条第 6 項に基づき採択された決定に関する移転。
(a)Chapter V on the transfer of personal data to third countries or international organisations withparticular regard to decisions adopted pursuant to Article 45(3) of this Regulation and decisions adopted on
the basis of Article 25(6) of Directive 95/46/EC;(b)

第 7 章の協力及び一貫性。
(b)3.

Chapter VII on cooperation and consistency.

第 1 項の目的に関し、欧州委員会は加盟国及び監督機関に情報を要求することができる。
3.
For the purpose of paragraph 1, the Commission may request information from Member States andsupervisory authorities.

4.

第 1 項及び第 2 項で定める評価及び見直しの実行において、欧州委員会は、欧州議会、欧州理事会並びにその他関連団体又は情報源の見解及び報告書を考慮するものとする。
4.
In carrying out the evaluations and reviews referred to in paragraphs 1 and 2, the Commission shall take
into account the positions and findings of the European Parliament, of the Council, and of other relevant bodies orsources.

5.

欧州委員会は、必要な場合、本規則の修正に関する適切な提案を送付するものとし、その際、
特に情報技術の発展状況及び情報社会の進展状況の観点を考慮する。
5.
The Commission shall, if necessary, submit appropriate proposals to amend this Regulation, in particulartaking into account of developments in information technology and in the light of the state of progress in theinformation society.

第 98 条 データ保護に関するその他 EU 法の見直し
Article 98 Review of other Union legal acts on data protection
欧州委員会は、適切な場合、取扱いに関する自然人の統一的及び一貫した保護を確実にするため、個人データ保護に関連するその他 EU 法令の修正に関して、法的提案を送付するものとする。欧州委員会は特に EU 機関、団体、事業体及び行政機関による取扱いに関する自然人の保護及び当該データの自由な移転に関する規定に関与す
るものとする。

119

The Commission shall, if appropriate, submit legislative proposals with a view to amending other Union legal acts on theprotection of personal data, in order to ensure uniform and consistent protection of natural persons with regard to processing.
This shall in particular concern the rules relating to the protection of natural persons with regard to processing by Union
institutions, bodies, offices and agencies and on the free movement of such data.

第 99 条 施行及び適用
Article 99 Entry into force and application1.

本規則は、欧州連合官報内での発行を受けて 20 日目より効力を発するものである。
1.
This Regulation shall enter into force on the twentieth day following that of its publication in the Official
Journal of the European Union.

2.

本規則は、（本規則が効力を有した日から 2 年）から適用されるものとする。
2.

It shall apply from … [two years from the date of entry into force of this Regulation].

本規則は全加盟国において全面的及び直接的に拘束力を持つものとする。
This Regulation shall be binding in its entirety and directly applicable in all Member States.

（……）にてDone at …,

欧州議会

欧州理事会

For the European Parliament

For the Council

議長

会長

The President

The President

120