Newsletter
Atsumi & Sakai▶ About us

渥美坂井法律事務所・外国法共同事業は、国内系法律事務所として初めて、完全に独立した形で外国法共同事業を立ち上げた総合法律事務所です。ロンドン、ニューヨーク及びフランクフルトに拠点を有し、国際業務経験豊富な弁護士等が、欧米から中東・アフリカまで

約���か国におよぶ広範な海外ネットワークを活用し、国際案件にも適時に対応可能な体制を整えております。提携グループを中心とした様々な内外のプロフェッショナルと協力し、時代とともに複雑化・国際化するニーズに柔軟に対応してシナジーを発揮し、真のワンストップリーガルソリューションを提供いたします。

改正個人情報保護法ニューズレター（���� 年 � 月版）| Page �/� |���� 年 � 月 A&S_���

はじめにご質問（位置情報や体重等のアメリカへの移転について）

私は、スポーツ用品メーカーの法務部員です。現在、お客さまに弊社のアプリと体重計を設定していただき、位置情報、走行距離、消費カロリー、体重など情報を取得して、お客さまにランニングやダイエットのアドバイスをして、弊社の新商品を勧めること、
及び新商品を開発することを企画しています。また、弊社は、米国の製薬・食品企業
から、一般のランナー向けサプリを開発・販売するための協力要請を受けており、
上記の情報を提供するように求められており、情報を提供しようと考えています。

基本的なビジネスプランは以上の通りであり、さらに以下のような点について議論していますので、アドバイスをお願いします。
プラン A：データ漏えいの可能性などを考慮し、できるだけ個人情報保護法などの規制の適用を受けたくないので、お客さまから氏名や個人を特定できる情報は取得しない。
プラン B：お客さまから、氏名、メールアドレス、怪我の有無・内容、使用中の薬などの情報を得て、商品の PR、新商品開発を強力に進める。ただ、プラン B の場合でも、お客さまのプライバシーを考慮して、お客さまの氏名など、個人を特定できる情報については、米国企業に提供しない予定である。
回答項目

�. プラン A：個人情報を取得しない場合(�) 熊澤春陽元個人情報保護委員会委員のコメント(�) 個人関連情報の新設（改正法 �� 条の �）(�) 個人関連情報の越境移転に係る規制内容（改正法 �� 条の � 第 � 項・� 項）(�) 改正法による域外適用の拡大（改正法 �� 条）
�. プラン B：個人情報を取得する場合(�) 第三者提供規制適用の有無（個人情報該当性に関する提供元基準説）(�) 安全管理措置（改正法 �� 条、�� 条）(�) 要配慮個人情報(�) コメント
�．フィットネスデータの利用について、GDPR の観点からフランクフルト提携オフィスのコメント
�．改正個人情報保護法の公布から施行までのスケジュール
�．今後の連載予定

| Page �/� |�. プラン A：米国企業と位置情報等を共有する場合の改正個人情報保護法の規制（�）令和２年改正による個人関連情報の導入と企業の対応について、熊澤春陽元個人情報保護委員会委員のコメント
ア

個人関連情報に関する考察「個人情報」という概念をどのように定義し保護するかは、その国のプライバシー風土に深い関わりがあります。宗教的倫理感
や国の歴史によって形成された国民性が、個人情報の定義を決定してきたとも言えます。
EU の GDPR は、ナチスやソ連の支配下における人権侵害の歴史が大きな影響を与えており、IP アドレスや行動履歴など幅広い
情報を personal data として保護対象に含めています。
一方、米国では、国民の自由な経済活動を優先することを前提としており、行政や業界ごとに保護対象である個人情報が定義され、問題のある個人情報の取り扱いをＦＴＣが監督し、高額な制裁金を課すことにより、事業者の自主的な個人情報保護を促してきました。ただ、近年は、州法等で法規制を強める方向となっています。
我が国の場合、米国と同様に行政や業界単位の規制が中心であり、他方、政府の介入を嫌う国民性もあって高額な制裁金を課する
仕組みを導入することはできませんでした。個人情報の定義については、個人情報保護法の成立を契機として、定義を明確化するための整理が進められてきました。今回の改正では、新たに「個人関連情報」を定義することにより、これまで課題となってきたインターネット上の情報等に対して、より情報主体の関与を必要とするようになりました。
イ

法改正の経緯インターネット上の行動履歴などの取り扱いに関しては、����
年の法改正に際しても重要な論点とされ議論されてきたところ、最終的には個人情報保護と活用の両立が日本経済の活性化に資するという法の目的に沿う考え方によって抑制的な形となりました。
すなわち、cookie 等の端末ＩＤの情報に関して単体では個人情報とせず、何らかの方法によって個人と特定されうる場合に「個人情報」として取扱うと整理されました。
今回の ���� 年の法改正においても、消費者と事業者双方のヒヤ
リングを通じて、基本的な定義に関しては変更しない方向となりましたが、cookie 情報の第三者提供先での個人情報との紐付け等については明確な法の規定が必要となり、その点については規制が盛り込まれることとなりました。同時に、個人情報関連を定義づけることによって、取扱事業者の注意喚起と自主的な規制を促す方向となりました。

ウ

今後企業に望まれる対応���� 年 � 月 A&S_���

DX 等データドリブンでの企業経営改革が課題となっている中、個人情報の保護と活用は企業の経営課題の大きな要素の一つとなっています。既に Apple や Microsoft など多くの先進的企業が幅広いプライバシー保護を単なる規制対応ではなく、むしろ成長戦略と位置付けています。
上述した諸外国を含む法改正の経緯及びデータドリブンが重要とされる経営環境の下では、個人に関する情報の取扱いが適法
かどうかというだけではなく、個人に関する情報の保護は、顧客や社会に対する義務として事業者がとらえる必要があります。
すなわち、パーソナルデータを事業資産として活用し、自社のサービス・製品開発の源泉として企業価値の向上を目指す一方、
個人関連情報も含めた個人に関する情報全体の取り扱いについて
透明性と説明責任を持ってあたることがコーポレートガバナンス上の重要な課題といえます。そして、日本企業にもそれが成長戦略に繋がると捉えていただきたいと考えております。
（�）個人関連情報の新設（改正法 �� 条の �）[�]
改正法 �� 条の � 第 � 項は、個人関連情報について、以下の通り
規定しています。
法第 �� 条の �（第 � 項）
� 個人関連情報取扱事業者・・・は、第三者が個人関連
情報を個人データとして取得することが想定されるときは、第 �� 条第 � 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一・・・本人の同意・・・
二 （略）--[�] このニューズレターは、令和２年改正による条文番号を前提としており、令和３年改正による条文番号を前提としていません。
令和３年改正による条文番号につきましては、以下のウェブサ
イトをご参照ください。
https://www.ppc.go.jp/ﬁles/pdf/hogohou_��joukaisei.pdf（デジタル社会形成整備法第 �� 条による個人情報保護法の改正）
https://www.ppc.go.jp/ﬁles/pdf/hogohou_��joukaisei.pdf（デジタル社会形成整備法第 �� 条による個人情報保護法の改正）

| Page �/� |ア

個人関連情報の意義 [�]「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいいます。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書
等の属性に関して、事実、判断、評価を表す全ての情報です。
「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しません。例えば、一般
的に、ある個人の位置情報それ自体のみでは個人情報には該当しませんが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになります。また、統計情報は、
特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しません。
個人関連情報に該当する情報として、例えば、以下の情報が挙げられます。
・Cookie 等の端末識別子を通じて収集された、ある個人のウェブ
サイトの閲覧履歴・メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
・ある個人の商品購買履歴・サービス利用履歴
・ある個人の位置情報
・ある個人の興味・関心を示す情報
プラン A において、貴社が取得・利用を予定している位置情報などは、お客さまに関する情報ですが、その情報からは特定のお客さまを識別できませんので、貴社が提供する情報は個人情報には該当せず、個人関連情報に該当します。
イ

個人関連情報を第三者へ提供する場合の同意の要否

改正法 �� 条の � の規定により、ある企業が、個人を識別できない情報を、別の企業に提供し、その別の企業が、個人を識別できる形で利用することが想定される場合（「第三者が個人関連
情報を個人データとして取得することが想定されるとき」）、本人の同意を得る必要があります。
この点、提供元の個人関連情報取扱事業者と提供先の第三者との間の契約において「提供先の第三者は、提供を受けた個人関連
情報を個人データとして利用しない」と規定されている場合、
通常、「個人データとして取得することが想定され」ず、法第�� 条の � は適用されません 。[�]プラン A の趣旨は、個人情報保護法などの規制をできるだけ受けたくないというものですので、プラン A を選択する場合、

���� 年 � 月 A&S_���

貴社としては、可能な限り改正法 �� 条の � が適用されないことを希望していると思われます。そのための方法として、貴社と米国企業との間の契約書により、「米国企業が、貴社から提供される情報を個人データとして利用しないこと」を義務づけ、米国企業が「個人データとして取得することが想定され」ないとする方法が考えられます。
ウ

米国企業が独自に取得した情報が貴社と共有される場合

改正 Q&A[�] �-� は、以下の通り規定しています。
個人データの取扱いの委託に伴って委託元が提供した個人
データが、委託先にとって個人データに該当せず、個人関連情報に該当する場合において、委託先が委託された業務の範囲内で委託元に当該データを返す行為については、
法第 �� 条の２第１項は適用されません。
ただし、委託先が、委託先で独自に取得した個人関連情報を当該データに付加し、その付加後の当該データを委託元に返す場合には、法第 �� 条の２第１項が適用されます。
上記の改正 Q&A の「委託」とは異なり、設問の事例は第三者提供に該当すると思われますが、上記の改正 Q&A は設問の事例を検討する上でも参考になります。すなわち、上記の改正 Q&Aのただし書きによれば、プラン A において、米国企業が、その独自に取得した情報（各個人のデータとサプリとの相性など）
を貴社と共有する場合、米国企業に個人情報保護法が域外適用されることを前提として（下記「（３）」を参照）、改正法 �� 条の � 第 � 項が適用されます。
他方、米国企業がサプリの購入者の氏名・購入履歴をなどの個人を識別できる情報を貴社と共有する場合（これは、プラン A の趣旨に反するように思われますが）、個人データの第三者提供・越境移転の規制が適用されることとなると思われます。
--[�] 改正ガイドライン（通則編）�-�-�-�
https://www.ppc.go.jp/ﬁles/pdf/������_guidelines��.pdf[�] 改正ガイドライン（通則編）�-�-�-�
[�] https://www.ppc.go.jp/ﬁles/pdf/����_APPI_QA_�ejj�t.pdf

| Page �/� |エ 「本人の同意」を取得する主体「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者とされていますが、提供元の個人
関連取扱事業者が代行することも認められます。

どちらの場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要があります（改正ガイド
ライン（通則編）
�-�-�-�）。

オ 第三者提供に係る記録作成・保存義務改正法 �� 条の � 第 � 項によると、個人関連情報取扱事業者は、本人の同意の取得に関する確認を行ったときは、当該個人関連情報を提供した年月日、当該確認に係る事項等に関する記録を作成するとともに、これを一定期間保存しなければなりません。
もっとも、個人関連情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を当該個人関連情報取扱事業者から第三者に提供する場合は、当該契約書その他の書面をもって記録とすることができます（改正ガイドライン（通則編）�-�-�-�-�）。
（�）個人関連情報の越境移転に係る規制内容（改正法 �� 条の �
第 � 項・� 項）
法第 �� 条の �（第 � 項）

� 個人関連情報取扱事業者・・・は、第三者が個人関連
情報を個人データとして取得することが想定されるときは、第 �� 条第 � 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(�) ( 略 )(�) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。

� 第 �� 条第 � 項の規定は、前項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。
この場合において、同条第 � 項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。

���� 年 � 月 A&S_���

規則第 �� 条の �（第 � 項・第 � 項）

� 法第 �� 条第 � 項又は法第 �� 条の � 第 � 項第 � 号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
� 法第 �� 条第 � 項又は法第 �� 条の � 第 � 項第 � 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(�) 当該外国の名称(�) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(�) 当該第三者が講ずる個人情報の保護のための措置に関する情報
規則第 �� 条の �（第 � 項）

� 法第 �� 条第 � 項（法第 �� 条の � 第 � 項において読み替
えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(�) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(�) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人
データ（法第 �� 条の � 第 � 項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
個人関連情報取扱事業者は、個人関連情報の提供先が外国にある第三者であり、本人の同意を得る方法により越境移転させる場合、当該同意を得ようとする時点において、改正規則
�� 条の � 第 � 項各号の情報を提供する必要があります。

この点、「個人データ」の国外移転の場合と同様に海外の制度の情報提供が課題となるところ、改正 Q&A において、「施行規則
�� 条の３第２項から第４項までの規定により求められる情報が掲載された Web ページが存在する場合に、当該 Web ページのURL を自社のホームページに掲載し、当該 URL に掲載された情報を本人に閲覧させる方法」も認められるとされています（改正 Q&A��－��）。
また、個人情報保護委員会は、���� 年 � 月 �� 日に「年内を目途に、調査対象とする国又は地域の個人情報の保護に関する制度と我が国の個人情報保護法との間の本質的な差異の把握に資する一定の情報を公表する予定」と公表しました 。[�]--[�] https://www.ppc.go.jp/ﬁles/pdf/������_pp_oﬀshore_kou
hyou_sywkqc.pdf

| Page �/� |実務的には、海外の制度の情報提供については、この個人情報保護委員会が公表する Web ページの URL を自社のホームページに掲載する方式を採用することが多くなると予想されます。

ただし、データの提供先である海外の会社が「講ずる個人情報の保護のための措置に関する情報」（施行規則 �� 条の � 第 � 項第� 号）や「相当措置の実施」（施行規則 �� 条の � 第 � 項 � 号）については、その URL を掲載するだけでは不足することとなります。
特に「相当措置の実施状況」（施行規則 �� 条の � 第 � 項 � 号）
については、「定期的な確認」が必要とされていますので、データの提供先である海外の会社との契約により、海外の会社から情報提供を受けることを規定しておく必要があります。
（�）改正による域外適用の拡大（改正法 �� 条）
令和 � 年改正により、個人情報保護法の域外適用の範囲が拡大されました（改正法 �� 条）。改正前においては、域外適用が認められる外国の事業者は、国内にある者に対する物品又は役務の提供に関連して、その者を本人とする個人情報等を本人から直接取得した場合に限られると解釈されていましたが、令和 � 年
改正により、条文上、国内にある者の個人情報等の取扱いが、国内にある者に対する物品又は役務の提供に関連していれば足りることが明らかにされ、外国の事業者が、個人情報等を本人から直接ではなく、間接的に取得した場合であっても、域外適用が認められるようになりました（改正ガイドライン（通則編）
�-� の事例 �、事例 � 及び改正 Q&A��-�）。
また、令和 � 年改正前においては、域外適用される個人情報保護法上の規定が限定列挙されており、報告及び立入検査並びに命令に係る規定（法 �� 条、法 �� 条 � 項及び � 項）は対象外とされていましたが、令和 � 年改正により、それらの規定が適用されることとなりました。

域外適用の範囲が拡大された結果、日本企業が、外国企業に対して、日本国内にある者の個人情報等の取扱いを委託等した場合には、当該外国企業は、当該日本企業との契約上の義務を遵守するのみならず、法文上は、個人情報保護法上の規定を遵守する必要があります 。[�]プラン A では、米国企業は、ランナー向けのサプリ開発・販売のために、貴社から位置情報等の提供を受けます。その米国企業は日本のランナーへのサプリ販売を企図していると思われますので、「国内にある者に対する物品の提供に関連して」、個人関連情報の提供を受けるといえます。したがって、改正法 �� 条により、当該米国企業は、法文上、個人情報保護法上の義務を遵守することが必要になります。[�]���� 年 � 月 A&S_����. プラン B：個人情報を取得する場合

プラン B については、当然、個人情報保護法の適用があります。
特に以下の点にご注意ください。

（�）第三者提供規制適用の有無（個人情報該当性に関する提供
元基準説）
ア 問題点（提供元と提供先が取得する情報の違い）

プラン B では、貴社はお客さまから氏名等の提供を受けるので、貴社は容易に特定のお客さまを識別することができるようになります。
他方、個人を特定できる情報については、米国企業に提供しない
予定とのことですので、米国企業は貴社のお客さまを識別することはできません。この場合に、改正法 �� 条 � 項（第三者提供規制）が適用されるのかどうかが問題となります。
イ 提供元基準説

この点に関し、以前は、改正法 �� 条 � 項に基づき個人データを第三者に提供する際に、容易に特定の個人を識別することができるかどうかについて、提供元の事業者を基準に判断する説（提供元基準説）と、提供先の事業者を基準に判断する説（提供先基準説）との間で争いがありました。現在では、提供元基準説が非常に有力 [�] とされています。
ウ 設問の場合

提供元基準説を前提とした場合、貴社は、容易に特定のお客さまを識別することができるので、貴社が米国企業に提供するデータ
は個人データとみなされ、第三者提供規制が適用されることとなります。

すなわち、貴社は、原則として、本人から同意を得る必要があります。このことから、第三者提供規制に関しては、プラン B より
プラン A の方が軽度なものとなるといえます。
提供先基準説を前提とした場合、貴社から米国企業へのデータの提供について第三者提供規制は適用されません。ただ、このように第三者提供規制の適用を避けるべく提供先基準説を採用する
ことは、現状ではお勧めできません。
--[�] 実務的には、外国企業に日本の個人情報保護法を遵守させることが容易ではないケースも少なくないと思われます。
[�] なお、設例の米国企業は、米国連邦法及び州法を遵守する必要があることは当然です。
[�] https://public-comment.e-gov.go.jp/servlet/PcmFileDownload?seqNo=����������（No.�� の回答参照）

| Page �/� |（�）安全管理措置（改正法 �� 条、�� 条）
ア プラン A とプラン B の違い（安全管理措置の規定の適用の有無）

プラン B の場合、貴社は「個人情報取扱事業者」に該当するので、個人データについて安全管理措置を講じなければなりません（改正法 �� 条）。
他方、プラン A の場合、貴社は個人関連情報のみを取得し、「個人情報取扱事業者」に該当しないので、安全管理措置に関する義務を負いません。これは、個人関連情報取扱事業者に対する規制は必要最低限のものとされたため、安全管理措置の義務は課されないこととされたためです [�] 。

イ プライバシーポリシー上の安全管理措置に関する記載

改正により、保有個人データについて、その安全管理措置の内容を本人の知り得る状態に置かなければならないとされました（改正法 �� 条 � 項 � 号、改正施行令 � 条 � 号）
。改正ガイドラインに、「安全管理のために講じた措置として本人の知り得る状態に置く内容の事例」が記載されており [��] 、実務的にはこの改正ガイド
ラインの記載を参考としてプライバシーポリシーの記載を検討することとなると思われます。

改正ガイドラインは、「基本方針の策定」、「個人データの取扱いに係る規律の整備」、「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」、「外的環境の把握」
に関して、プライバシーポリシーに記載することの検討を求めています。これは、事業者にとって大きな負担となるようにも思います。この点、法が求める「本人の知り得る状態」については、「本人の求めに応じて遅滞なく回答する場合を含む」と規定されているため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能です。実務上、どこまでをプライバシーポリシーに記載
すべきか検討が必要になります 。[��]プラン B では、怪我や薬に関する要配慮個人情報を取得する可能性が高いので、具体的な安全管理措置の記載について、積極的な検討が必要となると思われます。
ウ 外国の委託先や外国のサーバと安全管理措置の記載

改正 Q＆A によれば、外国の業者に個人データの取扱いを委託した場合や外国にあるサーバに個人データを保存した場合、➀外国の個人情報の保護に関する制度等を把握した上で、委託先の監督その他の安全管理措置を講じる必要があり、➁外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要があります（改正 Q&A��-��、��-��）。
貴社が外国の企業に個人データを委託していたり、外国にあるサーバに個人データを保存している場合、上記➀及び➁に対応する必要があります。

���� 年 � 月 A&S_���エ 以上のことから、安全管理措置に関する規制は、プラン B
よりプラン A の方が軽度といえます。[��]（�）要配慮個人情報該当性「要配慮個人情報」とは、個人情報の中でも「本人の人種、信条、
社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」をいい（改正法 � 条 � 項）、
➀身体等の障害、➁健康診断等の結果、➂診療情報・調剤情報、➃刑事事件の手続が行われたこと、➄少年法の保護手続が行われたことが政令で定められています。
貴社が、お客さまのランニング状況改善に向けたアドバイス等を行うにあたり、お客さまから怪我の診断結果等に関する情報を取得する場合、「要配慮個人情報」を取得することとなります 。[��]その取得・提供に際して事前の同意を取得し、漏えい時の報告義務（改正法 �� 条の �、施行規則 � 条の � 第 � 号）に注意するなど、慎重な対応・管理が必要です。

「要配慮個人情報」を取得する場合、プラン B に課される規制は、
プラン A に課される規制より相当重いものとなるといえます。
（�）コメント
以上の通り、プラン B に課される規制は、プラン A に課される規制より重いものであり、プラン A は規制対応コストという観点からは魅力的に思えます。ただし、高い価値のサービスを提供するためには、プラン B を選択する必要があるかもしれません。
プラン B を選択される場合、クオリティの観点から、貴社のプライバシー保護が十分であることをストレスなくお客さまに理解していただく方法もご検討ください。

--[�] 佐脇紀代志「一問一答 令和２年改正個人情報保護法」p��[��] 改正ガイドライン（通則編）�-�-�、p���[��] なお、単に「個人情報の保護に関する法律についてのガイド
ライン（通則編）に沿って安全管理措置を実施している」という記載のみでは不適切とされている点にご留意ください（改正ガイドライン（通則編）�-�-�）。
[��] 他にも、利用目的などの規制も個人関連情報取扱事業者には適用されません。これは、上述した通り、個人関連情報取扱事業者に対する規制は必要最低限のものとされたためです。
このことからもプラン B よりプラン A の場合に課される規制の方が軽度といえます。
[��] 他方、体重は体調に関係する重要な情報ですが、直ちに「要配慮個人情報」に該当することはありません。

| Page �/� |���� 年 � 月 A&S_����. フィットネスデータの利用について、GDPR の観点からフランクフルト提携オフィスのコメント
The General Data Protection Regulation (GDPR) contains in Article � strict requirements for the “processing of special categories of
personal data” . This is due to the special nature of such data and the associated increased risk to the data subjects.
Article � para (�) GDPR speciﬁcally mentions “data concerning health” as one category of special types of personal data, also commonlyreferred to as sensitive data. "Sensitive" data is any data that directly or indirectly conveys information about the categories of data
speciﬁed in Article � para (�) GDPR.
On the one hand, health data includes direct information about a person's health, such as disease diagnoses, disabilities or alcohol ordrug abuse. However, in order to eﬀectively protect data subjects, health data must be interpreted broadly. Therefore, it comprises not
only data that directly relates to a disease, but also includes for example a data subject’ s physical condition in general which also allows
to draw conclusions about the state of health (so-called “indirect” health data).
Such indirect health data (in our above example including e.g. location, distance traveled, calories burned, weight) can be used to draw
conclusions about the health of the person concerned if they go beyond a mere snapshot. This is in particular the case, if such data is stored
over a longer period and/or combined with other data.
The above assessment entails several duties for our sporting goods manufacturer in connection with the planned App. The requirement
under Article � (�) in connection with Article �� para (�) lit. c) GDPR to specify a precise purpose means that if the provider of the App, which
is our sporting goods manufacturer as controller, also stores health-related data, this must be stated in the privacy policy for the App users.
The provider must speciﬁcally name the data that is collected.
Irrespective of the duty to provide information about the processing (which is done by the relevant privacy policy), the special requirements
under Article � GDPR apply to the processing of this indirect health data, the collection or other processing which is only permissible if thedata subject has explicitly consented to or the law permits it (as set forth in more detail in Article � para (�) GDPR).
As the App in our case is not used for medical reasons (also the potential cooperation with a food supplement manufacturer, does not makethis a medical necessity), the health data collected is not necessary to protect vital interests of the data subject or a third party (Article �para (�) lit (c)). Nor is it data that the data subject has manifestly made public ((Article � para (�) lit (e)). The intended cooperation with thefood supplement manufacturer, is not to be considered somehow in the public “health” interest). The other exceptions mentioned in
Article � para (�) are also not relevant.
Accordingly, the App providers must obtain consent for the collection and use of health data from the App users. Regardless of the questionof whether consent to the privacy policy can constitute such consent, the consent must meet the strict requirements of Articles � para (��)and � GDPR.[��] In particular the consent must be based on the free decision of the data subject and explicitly refer to the speciﬁc types of
personal data collected and used. Furthermore, the data subject must be able to identify beyond doubt which sensitive data is to becollected, processed and used, for which precisely deﬁned purpose, and in which context of use.
The App provider's duty to provide information within the scope of the data protection declarations includes informing the user about
where his or her personal data is processed. However, data transfer to a third country outside the EU - as described in our above example- is according to Art �� GDPR only permissible, if an exemption for such international data transfer applies. This can be for example a“transfers on the basis of an adequacy decision” as set forth in Article �� GDPR, by which adequacy decision the EU Commission
acknowledges that the level of data protection in the destination country is adequate within the meaning of Article �� GDPR.
If no other exceptions apply, the transfer is mostly made by using the EU standard contractual clauses (SCCs) or the so-called "Binding
Corporate Rules" (BCR).
In our example a data transfer to the US was often based on the so called “Privacy Shield” . However, in July ����, the European Courtof Justice (ECJ) has ruled that the EU-US Privacy Shield is not an appropriate basis for data transfers to the US.[��] Standard contractual
clauses can in principle continue to be used, but must - as before - be reviewed by users and supervisory authorities on a case-by-casebasis.

| Page �/� |�. 改正個人情報保護法の公布から施行までのスケジュール

令和 � 年・令和 � 年改正個人情報保護法の公布から施行までのスケジュールは、以下の通りです。
令和 � 年 � 月 �� 日 令和 � 年改正法公布
令和 � 年 � 月 �� 日 政令・規則公布
令和 � 年 � 月 �� 日 令和 � 年改正法（デジタル社会の形成を図る
ための関係法律の整備に関する法律）公布
令和 � 年 � 月 � 日 ガイドラインを公表
令和 � 年 � 月 �� 日 Q&A を公表
令和 � 年 � 月 � 日
令和 � 年改正法施行

�. 今後の連載予定

���� 年 � 月 A&S_���

今後、「データと内部統制・ガバナンス」、「中国法」、「韓国法」、「ベトナム法」、「台湾法」、「医療製薬ヘルスケア分野」、「金融分野」
をテーマとするニューズレターを連載する予定です。

--[��] Article � para (��) deﬁnes consent as follows: “Consent of the data subject means any freely given, speciﬁc, informed and unambiguous
indication of the data subject’ s wishes by which he or she, by a statement or by a clear aﬃrmative action, signiﬁes agreement to theprocessing of personal data relating to him or her.”
The GDPR further clariﬁes the conditions for consent in Article �:�. Where processing is based on consent, the conroller shall be able to demonstrate that the data subject has consented to processingof his or her personal data.
�. If the data subject’ s consent is given in the context of a written declaration which also concerns other matters, the request for consent
shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form,
using clear and plain language. Any part of such a declaration which constitutes an infringement of this Regulation shall not be binding.
�. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not aﬀect thelawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof.
It shall be as easy to withdraw as to give consent.
�. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract,
including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performanceof that contract.
[��] C-���/�� "Schrems II" - https://curia.europa.eu/juris/document/document.jsf?docid=������&text=&dir=&doclang=EN&occ=ﬁrst%C
�%A�%C�%��%C�%��%�D�&mode=DOC&pageIndex=�&cid=�������
The ruling invalidates a decision of the European Commission concerning the EU-US Privacy Shield (adequacy decision). Anyone
wishing to transfer data to the USA under the General Data Protection Regulation (GDPR) can therefore no longer rely on this adequacy
decision, but must use other legal instruments for this purpose. There is no transitional period during which the Privacy Shield can still
be used in the sense of the GDPR. The ruling has also conﬁrmed as lawful decisions of the European Commission concerning standard
contract clauses. From such standard contractual clauses, in principle, the necessary safeguards can exist, which are provided for datatransfers to countries outside the EU and the European Economic Area (standard data protection clauses, Article ��(�)(c) of the GDPR).
However, the users of these clauses must check for themselves whether these guarantees are suﬃcient or need to be supplemented
by further measures - especially if poor data protection conditions prevail in the destination country. A data exporter that already uses
standard contractual clauses has thus committed to suspend the data transfer if the clauses are not complied with in the destination
country, or at least to inform the competent supervisory authority. If such clauses are not suﬃcient and no appropriate additional
measures have been taken in this respect, the data protection authorities can order that the transfer be suspended.
他プラクティスグループのニューズレターも配信しております。
配信を希望される方は下記メールアドレス宛にご連絡ください。
マーケティング・PR部門宛 prcorestaﬀ@aplaw.jp※お名前、部署、役職をご明記ください。
また、右記の一覧よりご興味ある分野をお選びください。

【日本語】□ジェネラル／様々な分野の旬な法律トピックス□ベトナムビジネス□インドビジネス□ロシアビジネス□再生可能エネルギー□農林水産□イノベーション／テクノロジー□その他（ご興味のある分野をご教示ください。
）【英語】□ジェネラル／様々な分野の旬な法律トピックス

| Page �/� |���� 年 � 月 A&S_���

執筆者
渥 美 坂 井法律事務所・外国法共同事業〒���-���� 東京都千代田区内幸町�-�-�富国生命ビル (総合受付: ��階)弁護士 松岡 史朗

熊澤 春陽 *

パートナー / 第一東京弁護士会

顧問* 弁護士資格はない（法律事務の取扱い・周施はしていない）

E: fumiaki.matsuoka@aplaw.jp> View Profile> View Profile

弁護士 鈴木 陽一

弁護士 平岡 亜紀子

アソシエイト / 東京弁護士会

アソシエイト / 第一東京弁護士会

E: yoichi.suzuki@aplaw.jp

E: akiko.hiraoka@aplaw.jp> View Profile> View Profile

弁護士 福原 聡

アソシエイト / 第二東京弁護士会

E: satoshi.fukuhara@aplaw.jp> View Profile

フ ラ ンク フルト提携オフィス（Atsumi Sakai Janssen Rechtsanwalts- und Steuerberatungsgesellschaft mbH**）

OpernTurm (13th Floor), Bockenheimer Landstraße 2-4, 60306
Frankfurt am Main, Germany

お問合わせ先渥美坂井法律事務所・外国法共同事業
E: info@aplaw.jp

ドイツ連邦共和国弁護士*** フランク・ベッカー
パートナー

E: frank.becker@aplaw.de> View Profile** ドイツ連邦共和国における弁護士・税理士法人*** 但し、日本における外国法事務弁護士の登録はない。

このニュースレターに掲載されている情報は、法的アドバイスを構成するものではありません。弊所は質の高い情報を提供するよう努めておりますが、このニュースレターのすべての情報は「現状のまま」提供されており、完全性、正確性、適時性、またはこれらの情報を使用して得られた結果を一切保証するものではありません。また、明示、黙示を問わず、性能、商品性、特定目的への適合性の保証を含むがこれに限定されるものではない、いかなる種類の保証もありません。

© Atsumi & Sakai 2021