プライバシー権の復権―自由と尊厳の衝突、そして近時のEUデータ保護改革―
第80回慶應EU研究会
２０１５年８月２２日
宮下紘
中央大学総合政策学部准教授

1

報告内容
１．プライバシー二都物語
２．「自由」と「尊厳」の衝突
３．近時のEUデータ保護改革
４．ささやかな提案2

1‐1

プライバシーをめぐるアメリカとヨーロッパの衝突①
NSA監視活動2013年6月 アメリカ国家安全保障局による極秘諜報活動をオバマ政権が認める＊諜報活動自体はブッシュ政権時に開始、オバマ政権も継続
国土の安全プライバシーyou can't have 100 percent security andalso then have 100 percent privacy andzero inconvenience.
-President Barack Obama, June 7, 2013

愛国者法215条プログラム
対象：アメリカ人
監視：通話記録（通話内容は含まない）を傍受

外国諜報活動監視法702条プログラム（PRISM）
対象：外国人監視：インターネット会社9社（メール、チャット、
ビデオ、写真、データ等）
Washington Post, June
3 6, 2013
Guardian, June 10, 2013 より

1‐2

プライバシーをめぐるアメリカとヨーロッパの衝突①
NSA監視活動に対するEUの批判• 欧州委員会副委員長Viviane Reding (June 20, 2013)“we cannot allow Americans to spy on EU citizens ... even if it is asecurity matter”• 欧州議会決議「合衆国国家安全保障局監視プログラムに関する決議」（July 2, 2013)“strongly condemns the spying on EU representations”• 欧州評議会決議「デジタル追跡及びその他の監視技術から生じる基
本的権利に対するリスクに関する閣僚委員会決議」（June 11, 2013)”risks of digital tracking and other surveillance technologies for humanrights, democracy and the rule of law”
アメリカでは世論が二分
テロ対策のためのオンライン活動
へのモニタリング賛否
賛成45%、反対52%（Washington Post, June 10, 2013）

4

1‐3

プライバシーをめぐるアメリカとヨーロッパの衝突②
Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario
Costeja González（１）事実の概要
2010年3月5日 スペイン人Costeja Gonzalesの社会保障費の滞納による不動産の競売に関するLa Vanguardia紙（1998年1月19日・同年3月9日）及び検索エンジンGoogleに対し、返済を完了させていることを理由に、①La Vanguardia紙面からの個人データの削除または修正と、②Google Spain又はGoogle Incに対し2ページにわたる検索結果についてLa
Vanguardia紙へのリンクに関する個人データの削除及び表示を中止するよう求めた。

2010年7月30日 スペインデータ保護監督機関（AEPD）が、La Vanguardia紙に対する請求を却下したが、Googleに対する請求を容認する決定を下す。

→Google SpainとGoogle Incがそれぞれスペイン裁判所（Audiencia Nacional）へ不服申立

2012年3月9日 スペイン裁判所から欧州司法裁判所への付託

Guardian紙（電子版）よりWednesday 14 May 2014 16.34 BST
http://www.theguardian.com/world/blog/2014/may/14/mario‐costeja‐gonzalez‐fight‐right‐forgotten

1‐4

庄司克宏『新EU法基礎篇』（岩波書店・２０１３）
137頁より5

プライバシーをめぐるアメリカとヨーロッパの衝突②
Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario
Costeja González

（２）争点
①適用範囲

アメリカに本拠を置くグーグル社が「加盟国内に設置されたデータ管理者」（4条a項）といえる
か？
• 第4条 各加盟国は、この指令に従って採択する国内規定を次に掲げる場合の個人データ処理に適用しなければならない。
• (a) 処理が加盟国の域内における管理者の設置の活動に関連して行われる場合。同一の管理者が複数の加盟国の領域において設置されるとき、当該管理者は、これらの設置のそれぞれが適用される国内法により定められた義務を遵守するのを確保するために必要な措置をとらなければならない。

②データ処理・管理

検索結果の表示は「データ処理者」（2条e項）または「データ管理者」（2条d項）といえるか？
• 第2条 この指令の目的に関して、• (d) 「管理者」とは、単独又は他と共同して、個人データの処理の目的及び手段を決定する自然人、法人、官庁、公的機関又はその他の団体をいう。処理の目的及び手段が国内または共同体の法律又は規則によって決定される場合には、管理者又はその指定に関する特定の基準は、国内法又は共同体法でもって定めることができる。
• (e) 「処理者」とは、管理者のために個人データを処理する自然人もしくは法人、官庁、公的機関またはその他の団体をいう。

③消去の権利

検索サイトに公表された自己情報について消去またはブロックする権利（12条b項）が認められるか？
• 第12条 加盟国は、すべてのデータ主体に対して、管理者から次に定めるものを取得する権利を保障しなければならない。
• (b) 適切な場合には、特にデータの不完全又は不正確な性質のために、この指令を遵守せずに処理されたデータの修正、消去又はブロック。

6

1‐5

プライバシーをめぐるアメリカとヨーロッパの衝突②
Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario
Costeja González【欧州司法裁判所先決判決】①広告スペースを促進し販売を意図し、かつある加盟国（スペイン）の住民に向けられた活動を方向づけている
支店を加盟国内に設置している場合、加盟国内の領土において管理者の設置の活動に関連して個人データの処理が行われていると解することができる。（para60）Google IncとGoogle Spainの密接な関係性が認められる。
②検索エンジンの活動が、あらゆるインターネットユーザーに対し個人データの全面的な拡散の決定的な役割を果たしていることに争いはない。検索エンジンの運営者は「管理者」とみなされなければならない。（para34‐36）③合法に公表されたウェブページへのリンクによる氏名に基づく検索に従い表示されたリストと彼の個人的な事
柄に関する真実の情報を含むことは、第6条1項c号からe号と矛盾する。なぜなら、本件のあらゆる事情を考慮して、情報が処理の目的との関係で不適切（inadequate）で、無関係で（irrelevant）もしくはもはや関連性が失われ（no longer relevant）、又は過度（excessive）であるようにみられるためである。したがって、検索結果のリストにおける情報及びリンクは削除されなければならない。（para94）⇒アメリカの（.com）ドメインについても「忘れられる権利」は適用されるべきとの決定（CNIL2015年６月１２日）【アメリカからの応答】• ウェブ上の萎縮効果をもたらすため、.comへの適用は拒否（Peter Fleischer, Google global privacy counsel）•

表現の自由の伝統からして忘れられる権利は認められない。（Eugene Volokh & Donald Falk, First
Amendment Protection for Search Engine, 8 Journal of Law, Economics & Policy 883 (2012))• 裁判所による公的な記録であって、合法な表現は検索できるようにすべきである（Prof. Jonathan Zittrain）。
• ヨーロッパにおける大規模な私的検閲(NY Times, May 14, 2014）• 検索サイトは連邦通信品位法で規制が免除（Communica on Decency Act Art. 230―interac ve computer
serviceのプロバイダとユーザーの責任免除)＊ISPの法的責任：EU＝電子商取引指令12条～15条（ISPが違法であることを知りながら削除を放置した場合にのみ責任）
US＝通信品位法230条（ISPはその情報の発行者または表現者であるとはみなされない）

7＊カリフォルニア州法（18歳未満の者がSNSの投稿の削除を認める規定→表現の自由を保障する連邦憲法第1修正との緊張関係）

1‐6

プライバシーをめぐるアメリカとヨーロッパの衝突③
越境データ移転「十分な保護水準（adequate level of protection）」（指令25条、規則提案41条）
EUデータ保護指令第25条：構成国は、処理されている又は移転後に処理が予定されている個人データの第三国への移転は、この指令に従って採択された国内規定の順守を損なうことなく、当該第三国が十分なレベルの保護措置を確保している場合に限って、行うことができることを定めなければならない。

＜第29条作業部会WP12による審査項目＞

国・地域

委員会決定日（１）内容の原則

アンドラ

2010年10月19日①利用制限、②データの質・比例原則、③透明性、アルゼンチン

2003年6月30日④安全管理、⑤アクセス・訂正・異議申立の権利、

カナダ

2001年12月20日⑥データ移転の制限

スイス

2000年7月26日（２）手続・執行の構造

ファラオ諸島2010年3月5日

ガンジー島

2003年11月21日

イスラエル

2011年1月31日

マン島

2004年4月28日

ジャージー島2008年5月8日①法令遵守、②本人への支援・援助の提供、③適切な救済アメリカ：不十分⇒セーフ・ハーバー協定
オーストラリア：2000年プライバシー修正法の作業部会による審査で「不十分」⇒現在大規模法改正
十分性認定を受けていない場合は、拘束的企
業準則、標準データ保護条項、受領者との契約、標準契約条項等により移転

ニュージーランド 2012年12月19日
ウルグアイ

2012年8月21日
8

1‐7

プライバシーをめぐるアメリカとヨーロッパの衝突③
越境データ移転

SWIFT事件
SWIFT（ベルギーに本拠、DCにもOC）がテロ対策の一環としてアメリカ財務省
外国資産管理室に取引履歴を開示

衝⇒欧州議会等による非難決議「データ保護に関するヨーロッパの基本原則に違反」

旅客機乗客データ
テロ対策のためアメリカ国内を離発着するすべての旅客機

突に乗客データの事前送付を義務付け⇒ECJによるデータ保護指令違反判決（データ移転禁止）、2006年10月から暫定合意

電子ディスカバリ
アメリカ連邦民事訴訟規則26条に基づき原則電子文書等の開示⇒裁判所の命令であっても、EUデータ保護指令のデータ移転条項の遵守（第29条作業部会意見）

セーフハーバー協定（米商務省による約3300社の認証による移転）の継続という政治的妥協（2014年3月26日EU‐USサミット共同声明でセーフハーバー継続に向けた交渉）

1‐8

9

プライバシーをめぐるアメリカとヨーロッパの衝突③
越境データ移転 EU‐USセーフハーバー

セーフハーバーはもはや『セーフ』ではない≪現状≫≪セーフハーバーの問題点≫

3246社（2013年9月26日現在）
中小企業が約6割（1925社）
51％が人事・雇用管理目的

・認証を受けた企業のプライバシーポリシーが公表されていない（427社、約10％）
・EU市民に対する仲裁手続には、申立時点で200～250ドルの費用を要し、手続を進めると追加費用がかかる
・プライバシー原則の違反に対する米連邦取引委員会による執行がほとんどみられない（2009~12年10社）

委員会：未来のモデルにならない
議会：即時停止か廃止（2013年12月LIBE委員会決議）
理事会：汚染されている≪2013年11月27日委員会による見直し≫＜透明性＞①認証を受けた企業はプライバシー・ポリシーを公表すべきである。
②認証を受けた企業のプライバシー・ポリシーは、現在リストとして掲載されている商務省のセーフハーバー・ウェブサイトへのリンクを常に設けるべきである。
③認証を受けた企業は、クラウド・コンピューティング・サービス等の下請会社との契約のプライバシーの条件を公表すべきである。
④商務省のウェブサイト上で現在認証を受けていない企業を”Not Current”と明確に知らせるべきである。
＜救済＞⑤プライバシー・ポリシーには裁判外紛争解決（ADR）機関とEU側の担当部署のリンクを含めなければならない。
≪米欧首脳会談≫⑥ADRは容易に利用でき、低廉でなければならない。
2014年3月26日⑦商務省は透明性及び情報へのアクセス可能性に関するADR機関を計画的に監視すべきである。
EU‐USセーフハーバーの継＜執行＞
続確認、包括的合意⑧認証又は再認証を受けた企業の一定の割合が職権によるプライバシー・ポリシー遵守の調査対象とすべきである。
（umbrella agreement）に向⑨遵守違反の認定がされた場合、当該企業は1年後に特定の再調査の対象とすべきである。
⑩企業の法令遵守や苦情申立に疑義がある場合、商務省はEUデータ保護監督機関に通知すべきである。
けた交渉を確認⑪セーフハーバーの虚偽の主張は調査継続とすべきである。
＜米国機関によるアクセス＞⑫認証を受けた企業のプライバシー・ポリシーには、どの米国法で公的機関での移転されたデータを収集及び処理が認められるかに関する情報を含まなければならない。
⑬セーフハーバー決定の安全保障の例外は厳密に見て必要かつ比例している限りにおいて用いることができる。

＜Follow Up＞
・アイルランド最高裁[Maximilian Schrems case: number 2013 No. 765JR]から欧州司法裁判所への付託
10・欧州委員会による交渉過程公表（2014年6月25日）

1‐9

プライバシーをめぐるアメリカとヨーロッパの衝突③
越境データ移転に関する特別協定（１）旅客機乗客データ
米国運輸保安局と国土安全保障省がテロリスト容疑者の事前スクリーニングを実施する目的で、米国運輸保安局は米国を離発着する航空会社に対し航空機の乗客名簿の事前提出を義務付け（空港運輸安全保障法）
氏名、生年月日等の情報のほかに支払情報（クレジットカード番号）や特別要求サービス情報（食事制限、車椅子の必要性）などの19項目の情報

2004年5月17日理事会決定、2004年5月28日米国との協定署名↓
安全保障分野を除外しているEUデータ保護指令第25条に基づき協定を締結する権限がないため、委
員会及び理事会の決定が無効、2006年9月30日までは有効
CJEU, European Parliament v. Council of the European Union & Commission of the European Communities, C‐317/04 & C‐318/04 [2006]↓
2006年10月暫定協定、2007年7月から7年間継続の新たな協定合意、2011年12月継続協定（2012年7月2013年8月までの1年間で乗客データのうち0.002%が調査対象）（２）SWIFT及びテロリスト金融追跡プログラム
SWIFT （Society for Worldwide Interbank Financial Telecommunication（国際銀行間通信協会））とは、電信による送金サービス等を行うため、2014年2月現在、毎日約2150万通の電信を処理し、世界中10,000以上の金融機関の通信を取り扱うネットワー
ク運営組織、ネットワーク・オペレーション・センターが米国にはワシントンとEUにはブリュッセルにそれぞれ存在
SWIFTはベルギーに拠点を置く協同組合であることから、データ移転に際してはEUデータ保護指令の規制に服する。2006年6月に中央情報局（CIA）のプログラムの一環で米国財務省外国資産管理室がテロリストへの金融送金防止の目的で電信デー
タを監視していたことが報道された。

2010年8月1日欧州連合と米国の間の金融電信データの処理及び移転に関する協定が発効↓
2013年10月23日議会は同協定の停止を要求する決議を採択、現在包括的枠組み協定の交渉中 11

2‐1「自由」と「尊厳」の衝突①
アメリカのプライバシー権の哲学

法形式―セクトラル方式、fair information practiceによる自主規制の促進
執行―連邦取引委員会 （アメリカではプライバシーコミッショナーは「皇帝」であり、究極のビッグブラザーと批判）⇒禁止事項の列挙、応答的措置、司法手続による解決を好む
自由・「自由の恵沢（blessing of liberty）」
憲法起草者が念頭に置いていたプライバシーの保障はイギリス軍による個人の住居への無断立入や所持品の押収・レッセ・フェール（１８９０年～１９３０年代前半まで）
Lochner期に尊厳や名誉という価値それ自体が市場化され、伝統的な財産権のアプローチの中に統合されていった・１９６０年：プライバシー権の基礎理論の論争
プロッサー＝ブラウスティン論争⇒人間の尊厳という価値が曖昧でコモンローになじまない、陪審員の説得が困難

・小さな政府の台頭（1970年代～80年代）
ウォーターゲート事件が契機で1974年連邦プライバシー法が成立⇒ヨーロッパのような独立監視機関の設置に反対表明（フォード政権）、ポリグラフなど捜査を優先する法案の後押し（レーガン政権）
貿易交渉において、ヨーロッパのデータ保護法制が「経済保護主義」に傾倒と批判

・Sorrell v. IMS Health Inc. (2011)
マーケティング目的での処方箋履歴の売買、移転、利用を禁止していたバーモント州法について、連邦最高裁は、「プライバシーは人にとって統合化された概念であり、権利にとって自由の本質をなすからといって、政府が好む規制の考えを支持する操作を許容することとはならない」として第1修正に反すると判断政府からの個人の「自由」を保障するための私有財産の一形態

12

2‐2

「自由」と「尊厳」の衝突①
EUのプライバシー権の哲学

法形式―オムニバス方式、データ保護を基本権として保障
執行―独立監督機関 （ヨーロッパではアメリカの自主規制は神話と批判）⇒積極的義務の列挙、事前の措置、独立監督機関による解決を好む
尊厳・身分制克服による名誉権の保障（実質的プライバシー権の保障）
フランス1804年民法：離婚訴訟に関する報道制限、隣人の所有地に対する観望規制、ドイツ1900年民法：氏名の盗用、肖像権の保障 →かつて高い身分の人しか享受されていなかった権利の保障

・ナチスによるパンチカード（1940年代）
ホレリスのパンチカード（60列のカードを1時間1万2000枚処理し、80列に個人情報を分類）によるユダヤ人の管理・ヨーロッパにおけるデータ保護法制（1970年代～）「プライバシー法のフランスの種」：性的指向に関する個人情報の保護、1970年フランス民法「私生活を尊重する権利」（第9条）が規定
欧州評議会条約第108号（1981年）「ヨーロッパのデータ保護法制はナチスやゲシュタポの繰り返しを防止するという隠れたアジェンダを含んでいた」

・ドイツの国勢調査違憲判決（1983年）
強制的な国勢調査は、各人の記録化・カタログ化の危険につながり、「情報自己決定権」から認められない・国家の積極的義務
ECtHR, Z v. UK (2001)―児童を保護する積極的な義務があった（DeShaney v. Winnebago County Department ofSocial Cervices (1989)ではアメリカ憲法が消極的自由の憲章であり、政府の積極的義務が否定）

不可侵の人間の尊厳の一部として政府の積極的義務を伴う

2‐3

13

自由と尊厳の衝突③
Dignity とLiberty

・ナチス・ファシズムによる人間の「尊厳」や「名誉」を踏みにじる過去
・身分制社会の下、出自等から人の「尊厳」や「名誉」が否定され、市民の私生
活は監視の対象
・indiskret＝人間が人間に対して義務付けられている尊敬の破壊

・強力な表現の自由（第1修正）の文化
・インターネット空間における自由な情報流通による自由な人格形成への賞
賛・厳格な公私区分：憲法上のプライバ
シー権は対公権力にのみ発動（ステイト・アクション法理）⇒個人の自由（liberty）の障⇒人間の尊厳（humandignity）を基盤とするデータ保 害となる介入への抵抗する権利
護への権利
Ex.) 情報自己決定権（ドイツ）、忘れられる権利（フランス）

尊厳Ex.) Jones判決（無断でGPS装着による捜査）、Florida Star判決（プライバシー
権よりも表現の自由）

自由
14

3‐1

EUデータ保護改革の現状

日付

機関

動向

2012年1月25日

委員会

EUデータ保護改革（規則提案と刑事司法指令提案）公表

2012年2月27日

議会

データ保護改革に関するプレゼンテーション

2012年12月7日

理事会

加盟国閣僚会合による審議が本格的に開始

2013年1月16日

議会

市民的自由・司法・内務委員会の修正案報告書公表（合計3,999か所にのぼる修正案が提示）2013年10月21日

議会

市民的自由・司法・内務委員会で採決可決（規則提案：賛成51票、反対1票、
棄権3票、指令提案：47票、反対4票、棄権1票）

2013年10月25日

欧州理事会

加盟国首脳による「時宜を得た」規則提案の採択の必要性を確認

2014年3月12日

議会

本会議で市民的自由・司法・内務委員会の修正案を可決・採択（規則提案：賛成621票、反対10票、棄権22票、指令提案：賛成371票、反対276票、棄権30票）

2014年3月12日

議会

本会議でNSA監視プログラムに関する決議が可決・採択（賛成544票、反対78
票、棄権60票）

2014年3月20日

理事会

Albrecht議員による議会修正案の報告

2015年6月15日

理事会

理事会案の合意、三者対話の開始（6/24～）

15

16

3‐2

個人情報の範囲

規則提案に関する検討状況
委員会

・データ主体に関するすべての情報（第4条2号）。
・遺伝データとは、出生前の遺伝継承又は取得された個人の特徴に関するあらゆる類型のデータを意
味する（第4条10号）。
・生体データとは、顔の画像や指紋認証等の特別の識別を可能とする身体的、生理的、又は行動の特徴に関するすべてのデータを意味する（第4条11号）。
・健康に関するデータとは、個人の身体的もしくは精神的な健康、又は健康サービスに関するすべての情報を意味する（第4条12号）。

議会

・識別された又は識別することができる自然人に関するすべての情報を意味し、識別することができる
個人とは、特に氏名、識別番号、位置データ、特有の識別子、又は肉体的、生理的、遺伝的、精神的、
経済的、文化的若しくは社会的アイデンティティに特有若しくは性別の1 つ又は2 つ以上の要素を参照
することによって、直接的又は間接的に識別することができる者をいう（第4条2号）。
・追加情報の利用なしに特定のデータ主体に属しない個人データとしての仮名化データ（第4条2a号）
・アクセス権限がないいかなる者にも解読できない技術保護措置を通じた個人データとしての暗号化
データが追加された（第4条2b号）。
・一定の個人の性質を評価又は個人職務能力、経済状況、位置、健康、選好・信頼性・行為を分析若し
くは予測することを目的とした自動処理の形態としてのプロファイリングが追加された（第4条3a号）。
・識別された又は識別することができる自然人に関するすべての情報を意味し、識別することができる
個人とは、特に氏名、識別番号、位置データ、特有の識別子、又は肉体的、生理的、遺伝的、精神的、
経済的、文化的若しくは社会的アイデンティティに特有若しくは性別の1 つ又は2 つ以上の要素を参照
することによって、直接的又は間接的に識別することができる者をいう、という定義が検討されている（第4条2号）。
・仮名化データの追加について検討されている（第4条2a号）。
・遺伝データについて、生物学的なサンプルの分析から生じた、という文言の追加が検討されている（第4条10号）。
・プロファイリングの定義の追加が検討されている（第4条12a号）。

理事会＜Follow Up＞
・第29条作業部会「匿名化技術に関する意見」（2014年4月10日採択）
・OECD専門家ラウンドテーブル（2014年3月21日）

3‐3

17

適用範囲―域外適用

規則提案に関する検討状況
委員会

・本規則は、EU域内を管理者又は処理者が設置された活動状況における個人データの処理に適用される（第3条1項）。
・本規則は、連合域内に居住するデータ主体の個人データ処理に対し、連合に設置されていない管理者に適用される。ただし、当該処理活動は次に関係する場合とする。
(a) 連合域内の当該データ主体への商品又はサービスの提供(b) 当該主体の行動の監視 （第3条2項）
・本規則は、EU域内に設置されていないが、国際公法によって当該加盟国の国内法が適用される地域に設置されている管理者による個人データの処理に適用される。

議会

・本規則は、連合域内で処理されていてもいなくても、連合域内を管理者又は処理者が設置された活動
状況における個人データの処理に適用される。（第3条1項）
・本規則は、連合域内に居住するデータ主体の個人データ処理に対し、連合に設置されていない管理者又は処理者に適用される。ただし、当該処理活動は次に関係する場合とする。
(a) 連合域内の当該データ主体への支払いが要求されるかどうかにかかわらず、当該データ主体への商品又はサービスの提供(b) 当該主体の行動の監視（第3条2項）

理事会

・本規則は、連合域内に居住するデータ主体の個人データ処理に対し、連合に設置されていない管理者に適用される。ただし、当該処理活動は次に関係する場合とする。
(a) 連合域内の当該データ主体への支払いが要求されるかどうかにかかわらず、当該データ主体への商品又はサービスの提供(b) 当該主体の行動が欧州連合域内で行われている限りにおいて、当該主体の行動の監視 （第3条2項）＜Follow Up＞
・欧州司法裁判所の判決において、EU指令の下でもGoogleへの域外適用を認定
CNILの決定（.comドメインへの適用）
18

3‐4

データ主体の権利―忘れられる権利・削除権

規則提案に関する検討状況
委員会

・データ主体は、次に掲げる場合、管理者に対して自らに関する個人データの削除及び拡散を停止させる権利を有する。
a) 収集・処理の目的との関係でデータがもはや必要でなくなった場合b) データ主体が同意を撤回した場合、データ保有期間を過ぎた場合、データ処理の法的根拠がない場
合c) データ主体が異議申立権を行使した場合
d) 本規則提案を遵守していないデータ処理が行われた場合（第17条1項）
・管理者は、個人データの複製・複写へのすべてのリンクを削除するよう第三者に通知し、管理者が責任を有するデータの公開に関してあらゆる合理的手段を採らなければならない（第17条2項）。
・管理者は、次の場合を除き、個人データを遅滞なく削除しなければならない。
a) 表現の自由を行使するため
b) 公衆衛生の分野で公的利益のため
c) 歴史的・統計的・科学的な研究目的のため
d) EU法・加盟国法により個人データの保全の法的義務の履行のため
e) その他処理の制限をされている場合（第17条3項）

議会

・条文の名称から忘れられる権利が削除された。
・データを削除できる場合について、裁判所又はデータ保護監督機関により削除が終局的で最終的に確定された場合が追加された（第17条1項ca号）。
・データの削除について、データ主体の本人であることが管理者によって証明できることを前提とする条項が追加された（第17条1a項）。
・データ削除のための管理者の責任について、個人データの複製・複写へのすべてのリンクを削除する
よう第三者に通知等の具体的方法が削除された（第17条2項）。

理事会

・忘れられる権利及び削除権について、管理者の義務として遅滞なく個人データを削除が検討されている（第17条1項）。
・忘れられる権利を行使できる場合として、データ主体が異議申立権を行使した場合にそれを上回る正当な法的根拠という表現の追加と、不法な処理が行われた場合の追加が検討されている（第17条1項c号・d号）。
・管理者が削除する義務として、利用可能な技術とその実施の費用を考慮しつつ、という表現の追加が検討されている（第17条2項）。
・管理者が削除すべき場合として、雇用分野における社会的な保護の目的のため、という条項の追加が検討されていれている（第17条3項ca号）。

3‐5

19

事業者の義務―データ保護担当者と処理の合法性

規則提案に関する検討状況
委員会

・管理者及び処理者は、次の場合、データ保護担当者を指名しなければならない。
a) 処理が公的機関等によって行われる場合b) 処理が従業員250名以上の企業によって行われる場合c) 管理者又は処理者の中心的な業務が、その性質、適用範囲、目的によってデータ主体の定期的かつ体系的に監視を必要とする処理の実施の場合（第35条1項）

議会

・データ保護担当者の要件について、従業員250名という要件に代わり、法人による処理の場合、過去12か
月間において5000件以上のデータ主体に関する処理を行っているかどうかという要件に変更された。（第35条1項b号）
・データ保護担当者の要件について、新たに、大規模なファイリングシステムにおいてセンシティブ・データ、
位置データ、児童又は労働者に関するデータを成す管理者又は処理者の中心的活動、という要件が追加された（第35条1項d号）。

理事会

・EU法又は加盟国の法に基づきデータ保護担当者を指名する、という表現で検討がされている（第35条1項）。

規則提案に関する検討状況
委員会

・処理の根拠に、歴史的、統計的又は科学的研究に必要な場合が追加された（第6条2項）。

議会

・処理の合法性について、本規則の範囲内で、加盟国は詳細を定めることとする、という規定が追加された（第6条3項）。

理事会

・追加の処理について、管理者は、当初の目的との関係、データ収集の経緯、個人デーの性質、追加の処理の帰結、適切な安全管理措置を考慮に入れなければならないことが検討されている（第6条3a項）。

20

3‐6

事業者の義務―データ侵害通知義務

規則提案に関する検討状況
委員会

議会

理事会

・個人データへの侵害が生じた場合、管理者は事実を知ってから、遅滞なく、また可能であれば24時間以内に監督機関に通知しなければならない。もしも24時間以内の通知ができない場合は、合理的な理由を示す必要がある（第31条1項）。
・通知の内容には、少なくとも、個人データの侵害の性質（被害者数、データの類型・数）、データ保護管
理者の連絡先、影響を小さくするための対策、侵害による結果、管理者による対策を含むこととする（第31条3項）。
・委員会は標準的な書式、手続、文書の様式を指定することができる（第31条6項）。
・データ保護又はデータ主体のプライバシーに悪影響を及ぼし得る侵害については、管理者がデータ主体と連絡をとらなければならない（第32条1項）。
・管理者が監督機関への技術措置に関する報告が十分なものである場合のみデータ主体への連絡は必要ない（第32条3項）。
・通知の時間について、24時間以内という文言が削除された（第31条1項）。もっとも、前文において72時間以内の通知が要求されている（前文第67項）。
・委員会による書式等の指定については削除が検討されている（第31条6項）。
・通知の対象について、データ主体の権利及び自由への深刻な影響を及ぼす侵害、という文言の追加が検討されている。また、通知の時間については、72時間以内で検討されている（第31条1項）。
・委員会による書式等の指定については削除が検討されている（第31条6項）。

＜加盟国の運用等＞
・イギリス－24時間以内に最低限の情報の通知
違反した場合は￡1,000（2012年データセキュリティ侵害管理に関するガイダンスを公表）
・フランス－24時間以内に最低限の通知、72時間以内に必要な情報通知、違反した場合は€300,000、5年以下の懲役（法34条bisが追加）（参考）第29条作業部会「個人データ侵害の通知に関する意見」（2014年3月25日採択）
21

3‐7

事業者の義務―認証と行動規範

規則提案に関する検討状況
委員会

・加盟国、監督機関及び委員会は、次の項目を考慮し、行動規範の策定を促進しなければならない。
a) 公正かつ透明なデータ処理、b) データ収集、c)市民及びデータ主体に関する情報、d) 権利行使の要請、e) 児童の情報と保護、f) 第三国又は国際機関へのデータ移転、g) 行動規範遵守のための監視及び確保の体制、h) 裁判外紛争解決の手続（第38条1項）。
・加盟国及び委員会は、欧州全域におけるデータ保護を認証する仕組みを構築するよう奨励する（第39
条1項）。

議会

・行動規範の考慮事項について、消費者の権利の尊重という項目が追加された（第38条1項aa号）。
・認証体制については、管理者又は処理者がデータ保護監督機関に対し、合理的な手数料の支払いにより認証を受ける、という形に変更された（第39条1a項）。
・認証の名称については、標準的なデータ保護マークとして「欧州データ保護シール」とされた（第39条
1e項）。
・認証の有効期間については、最大で5年間とされた（第39条1g項）。

理事会・行動規範の考慮事項について、正当な利益、仮名化データの利用、安全管理措置確保の対策及び手続、個人データ侵害の通知、が新たに追加項目として検討されている（第38条1項）。
・行動規範については、その監視体制に関する条項が新たに検討されている（第38a条）。
・認証の体制について、データ保護機関が認定する別個の機関が認証機関として認証及び定期検査を行うことが検討されている（第39a条）。

22

3‐8

事業者の義務―データ保護バイ・デザインとデータ保護影響評価

規則提案に関する検討状況
委員会

議会

理事会

・管理者は個人データを必要以上に収集・保有しないよう初期設定により確保できる体制を確立しなければならない（第23条2項）。
・処理の運用がデータ主体の権利及び自由に特定のリスクをもたらす場合、管理者又は処理者等は個人データの保護に対して想定される処理の運用の影響評価を実施しなければならない（第33条1
項）。
・特定のリスクをもたらす処理運用には次のものが含まれる。
a) 自然人に関する個人の性格の体系的かつ広範囲の評価
b) センシティブ情報のデータ処理c) ビデオ監視等の公の場における監視d) 児童、遺伝データ、生体データに関する個人データ（第33条2項）。
・データ保護バイ・デザインについて、包括的な手続的安全管理措置に焦点を当てた個人データの収集から削除に至るまでの全体のライフサイクル管理であることが追記された（第23条1項）。
・データ処理の影響のリスク分析に関する危険の尊重という新たな条項が追加された（第32a条1項）。
・影響評価の実施対象について、リスク分析の条項で詳細な規定が追加された（第32a条2項）。
・データ保護影響評価の実施について、監督機関が実施すべきデータ処理のリストを決定し公表しなければならない、という規定の追加が検討されている（第33条2a項）。

＜Follow Up＞
・第29条作業部会によるrisk‐based approachに関する提言が公表（2014年5月30日）
・OECD専門家ラウンドテーブル（2014年3月21日）

23

3‐9

データ移転と十分性審査

規則提案に関する検討状況
委員会

議会

理事会

・データの移転は、委員会が十分な保護の水準であると認定した第三国、第三国の地域もしくは処理の分野、又は国際機関に対し行うことができる（第41条1項）。
・十分な水準の保護の評価については、次の要素を考慮しなければならない。
a) 第三国又は国際機関が準拠する公の安全、防衛、安全保障、刑事法、専門的規則及び治安対策に関連する法の支配と立法、さらにEU居住のデータ主体に対する効果的な行政・司法上の救済を含む執行可能な権利。
b) 第三国又は国際機関におけるデータ保護規則の遵守を確保し、データ主体の権利行使を支援・助言
し、EUの監督機関との協力に責任を有する独立した監督機関の存在と効果的機能c) 第三国又は国際機関による国際的な関与（第41条2項）
・第三国又は国際機関における立法がEU居住のデータ主体に対する強制力ある権利を保障していない
場合、十分な水準の保護を行っていないという認定をすることができる（第41条5項）。
・十分な水準の保護の評価については、a) 立法の施行と司法の先例、b)監督機関の十分な制裁権限、c)
法的拘束力ある文書への国際的な関与という文言がそれぞれ追加された（第41条1項a号～c号）。
・十分性の認定について、委員会が欧州データ保護委員会に意見を要請しなければならないという条項が追加された（第41条6a項）。
・十分性の認定の効力は5年間とすることが追加された（第41条8項）。
・EU法で認められない移転又は開示の禁止に関する条項として、国際協定を除き、第三国の司法による判決及び行政による決定により管理者又は処理者に個人データを開示することができない条文が設けられた（第43a条1項）。
・第三国の司法による判決及び行政による決定により個人データの開示が要請された場合、当該管理者
又は処理者は遅滞なく監督機関に通知し、データ移転のための事前認可を得なければならない（第43a条2項）。
・十分な水準の保護の評価については、a) 人権及び基本的自由の尊重、第三国又は国際機関からのデータの再移転に関する規則、b) 監督機関の十分な制裁権限などの追加が検討されている（第41条1項
a号・b号）。
・十分性の認定について、委員会が欧州データ保護委員会に意見を要請しなければならないという文言の追加が検討されている（第41条3項）。

＜注意点＞
米ＮＳＡ監視活動に協力を行ったニュージーランド、カナダ、
オーストラリアは十分性認定の取消し及び再調査（議会決議）＜Follow Up＞
・カナダ・ケベック州（民間部門）の十分性が第29条作業部会で認定（2014年6月4日採択）

24

3‐10

監督機関―独立性と権限規則提案に関する検討状況
委員会

議会
理事会

・監督機関は、職務権限を行使する際、完全に独立して行動しなければならない。監督機関の構成員は、誰にも誰からも指示を求めたり受けたりしない。人的・技術的、財政的資源、施設等が監督機関に提供されなければならない（第47条1～3項）。
・監督機関の構成員は、加盟国の議会又は政府による任命とし、個人データ保護に関する必要な経験と資質を有する者から選出される（第48条1～2項）。
・監督機関の設置規則については、地位、構成員の資格、任命手続、任期（4年以上）、構成員に適用される規則、解職規則と手続の各項目を加盟国の法律で定めることとする（第49条）。
・監督機関の構成員及び職員は、職務上の守秘義務を負う（第50条）。
・独立性について、完全な独立性と公平性の維持という文言が追加された（第47条2項）。
・独立性について、直接又は間接にかかわらず、外部からの影響力を受けない、という追加文言が検討されている。（第47条2項）
・職務上の守秘義務については実効性の観点から削除が検討されている（第50条）。
規則提案に関する検討状況

委員会

・データ主体、その他の団体はいかなる加盟国の監督機関に対し苦情申立する権利及び司法救済を求める権利を有する（第73～74条）。
・監督機関は訴訟手続を進める権利を有する（第76条2項）。
・監督機関は最大で1,000,000ユーロ又は全世界での年間売上高の最大2％を上限として制裁金を科すことができる（第79条）。

議会

・データ主体、その他の団体による苦情申立の権利及び司法的救済を求める権利について、「一貫性ある体制」という文言を追加した。（第73条）
・集団訴訟について、データ主体の代理という条項を設け、加盟国の立法により構成された団体が個人に代わって苦情申立することができるよう検討されている（第76条1項）。
・訴訟手続について、他の加盟国ですでに同一事件の訴訟が進行している場合、その国の訴訟を停止することができることが検討されている（第76a条）。

理事会＜Follow Up＞
・欧州司法裁判所判決（2014年4月8日、C‐288/12, European Commission v. Hungary）

3‐11

25

執行協力―one‐stop‐shop

規則提案に関する検討状況
委員会

議会
理事会

・本規則の統一的施行及び適用のため、監督機関は相互支援を行う。他の機関からの支援の請求に対し、1か月以内に適切な措置を講じなければならない。管轄権を有さない場合か本規則に抵触する可能性がある場合を除き、支援の要請を拒んではならない（第55条）。
・各加盟国は、一つ又は複数の公的機関が規則の適用を監視する責任を有するものとする。複数の機関がある場合は、一つをコンタクト・ポイントとして指定する（第46条1～2項）。
・管理者又は処理者が二か国以上に拠点を持つ場合、主要拠点のある国の監督機関が全加盟国の管轄権を有する（第51条2項）。
・欧州データ保護委員会を設置する。同委員会は各加盟国から選出された長と欧州データ保護監督官で構成される（第64条1~2項）。欧州データ保護委員会は独立して行動する（第65条）。
・加盟国の監督機関が、データ処理が複数の加盟国に関わる場合、域内でのデータ流通に実質的影響を及ぼす場合、事前協議の対象となる処理を行う場合、標準データ保護条項の決定を行う場合、契約条項の認可を行う場合、拘束的企業準則の承認を行う場合、欧州データ保護委員会に通知しなければならない（第58条1～2項）。
・欧州データ保護委員会の任務には、欧州委員会への助言、ガイドライン・勧告、ベスト・プラクティスの発出、統一的体制に関する意見公表、監督機関の協力促進、研修促進、世界中のデータ保護機関との情報交換の促進を含む（第66条1項）。
・主要拠点のある国の監督機関は主導的監督機関として適切な措置を講ずることとする。欧州データ保護委
員会は主導的監督機関の認定に関する意見を発出することができる。（第54a条1～3項）
・主要な拠点のある国の監督機関として主導的監督機関に関する新たな条項が検討されている（第51a条）。
・主要な拠点のある国の監督機関の認定に関する新たな条項が検討されている（第51b条）。

＜Follow Up＞
・第29条作業部会長から欧州理事会宛ての書簡においてone‐stop‐shopの重要性を指摘（2014年4月16日、別添文書有）・Google訴訟以降の個人からの削除要請についての、各監督機関の執行協力が検討26

【参考資料①】 個人情報保護法制の概要
グローバルな動向

ナショナルな動向

ローカルな動向

宴のあと事件（1964）
京都府学連事件（1969）

1960s

Katz v. United States (1967)

1970s

スウェーデン・個人データ法（1973・1998
改）、米連邦プライバシー法（1974）、独
連邦データ保護法（1977・2009改）、仏・
情報処理・情報ファイル・自由法（1978・
2004改）

1980s

OECDプライバシーガイドライン（1980）
欧州評議会条約第108号（1981）
英データ保護法（1984・2004改）、豪連邦
プライバシー法（1988）

プライバシー保護研究会意見（1982）
行政機関における個人情報の保護に関する研究会意見（1986）
旧行政機関個人情報保護法（1989）

1990s

EUデータ保護指令（1995）

住民基本台帳法改正（1999）

2000s

EU‐アメリカセーフハーバー（2000）EU電子プライバシー指令（2002）
APECプライバシー・フレームワーク（2004）

住基ネット本格稼働（2003）
個人情報保護法（2003）
住基ネット合憲判決（2008）

個人情報保護条例制定率100％（2006）

2010s

韓・個人情報保護法（2011）
EUデータ保護規則提案（2012）
EU司法警察データ保護指令提案（2012）
米消費者プライバシー権利章典（2012）
欧州評議会条約第108号現代化草案（2012）
OECDプライバシー・ガイドライン改正案（2013）
日本国政府APEC越境プライバシールー
ルへの参画（2014）

社会保障税番号法（2013）
災害対策基本法改正（2013）
パーソナルデータ基本方針（2013）
パーソナルデータ大綱（2014）
個人情報保護法改正案閣議決定（2015）

箕面市ふれあい安心名簿条例（2010）
中野区地域支えあい活動の推進に関する条例（2011）
足立区孤独ゼロプロジェクト推進に関する条例（2012）
災害対策基本法改正による避難行動要支援者名簿（2013）

徳島市電子計算組織運営審議会条例（1973）
国立市電子計算機処理条例（1975）

個人情報保護条例制定の本格化

27【参考資料②】 個人情報保護法制の国際動向

EUデータ保護規則提案

アメリカ消費者
プライバシー権利章典

欧州評議会条 OECDプライバ
約第108号現代 シーガイドライン
化
改正

公表時期

2012年1月25日

2012年2月23日

2012年11月27‐30日

2013年7月

目的

自然人の基本的権利及び自由、特に個人データの保護への権利保障

ネットワーク化された世界
における消費者データ・プ
ライバシー保護

尊厳の保障、基本的権利と自由、特に自らのデータのコントロールと利用への権利の保障

プライバシー及び個人の自由の保障と自由な情報流
通

適用範囲

EU市民の個人データの処
理、EU域外でも商品・サー
ビス提供又はモニタリング
は適用

消費者のデータ・プライバ
シーを主な対象

官民問わず、管轄内で処理されたデータに適用

官民問わず、個人データに
適用

本人権利

本人同意の強化、忘れられる権利、データ・ポータ
ビリティの追加

消費者プライバシー権利章
典、公正な情報慣習の原則に基づく7原則

すべての情報源へのアクセス、データ処理の根拠説明の追加、本人の同意の強化

8つの基本原則に変更なし

データ移転

十分性の要件の具体化、拘束的企業準則の明記

グローバルな相互運用（相互認証、利害関係者との対話と行動規範の策定）

適切性の要件が導入

越境プライバシー法執行の
協力促進

監督・執行

独立性の確保、相互支援、
欧州データ保護委員会の設置

連邦取引委員会の権限強化

諮問委員会の権限強化

プライバシー執行機関の設
置28

【参考資料③】 個人情報保護法制の国際的枠組み
データ保護プライバシー・コミッショナー国際会議48
8 (21)APEC
CPEA

CoE条約第108号

34

アンドラ、モロッコ
ボスニアヘルチェゴビナ
ウルグアイ
アイスランド

OECD

日本
3

APEC
CBPR
アメリカ
メキシコ

香港

トルコ
チリ

イスラエル

オーストラリアカナダ
ニュージーランド
韓国

マカオ

コロンビア

APPA
ペルー
10

ジャージー島
マン島
マセドニア
アルゼンチン

オーストリア
デンマーク
ポルトガル
ギリシャ
スイス
ハンガリー
ノルウェー
スロバキア
フランス スウェーデン
スロベニア、ベルギー
ポーランド、チェコ、オランダ
ドイツ、イタリア、スペイン
イギリス、アイルランド
ルクセンブルク、エストニア

ロシア

ブルガリア
キプロス
ラトビア
マルタ
クロアチア
リヒテンシュタ
イン

モナコ

GPEN モーリシャス
ウクライナ
コソボ
40

ブルキナファソ、コスタリカ、チェニジア

第29条作業部会
29

29
2015年2月現在・PHAEDRA, “Co‐ordination and co‐operation between Data Protection Authorities” (2014)を基に筆者が作成【参考資料④】 EUからみた日本の個人情報保護法制
欧州委員会「特に科学技術の発展に照らしたプライバシーの新たな課題に対する異なるアプローチに関する比較研究」（2010年） 日本の法制度については、ニュー・サウス・ウェールズ大学法学部のGraham Greenleaf教授が執筆＊ベルギー・ナミュール大学（Université de Namur, Facultés universitaires Notre‐Dame de la Paix）法・情報・社会研究所が多くの国の調査を委員会から受託している

項目

日本の法制度の評価

インターネット

日本法はインターネットに関して２つの点において対処できていない。第１に、個人情報保護法は取扱事業者にしか適用されないため、個人の行為については及ばない。第２に、仮に事業者がインターネットからの情報を入手しても、その事業者が小規模取扱事業者であれば、個人情報保護法が適用されない。

越境データの移転

データ移転をする日本の事業者も外国の受領者もどちらも規制されていない。

個人の権利
救済

東京地裁の判決では、個人の開示請求権が否定された 。他の事案では民法７０９条により個人情報の漏えい事案について、損害賠償が容認されたことがあるが、その額は客観的に見て極めて低額である。民法その他の立法によりデータ保護違反があった場合、これらの法令を用いることができるが、裁判所が個人の権利を執行するための十分な代替措置となりうるかは疑問である。

監督機関

日本には独立の監督機関が存在しない。主務大臣制による執行が行われている。また、データ漏えいの通知制度や事業者の登録制度も存在しない。
国民生活センターおよび地方公共団体が処理する苦情について、各省庁が調査しているようには思われず、これらの苦情から強制的な処罰が行われているかは明らかになっていない。
さらに、主務大臣制の監督は応答的規制の制度を十分に果たしているとは思われない。日本のデータ漏えいによる名声を傷つけてしまうことが問題である。日本のデータ・コンプライアンスが他の国に比べて徹底しているという証拠はない。

自主規制と行動規範

認定個人情報保護団体の取組の強化が取りまとめにおいて示されているが、この取組の効果については国民生活審議会からは示されていない。

日本のトラストマーク

日本のトラストマークはプライバシーマークが用いられており、事業者はそれを取得する努力や漏えい後の報告をするなど行っており、同時に消費者にとってもこのマークを信頼できるものとなっている。

結論

日本の法律はまだ４年間しか執行されておらず、暫定的な評価は困難である。さらに、日本では、訴訟ではなくインフォーマルな紛争解
決に関する法制度に依拠している。省庁が収集した資料、コンプライアンス、データ違反、救済に関する公表資料から、日本の法律が効果的であることの証拠がないと判断することは合理的であろう。
（国際基準からした日本の位置づけについて）日本のデータ保護制度はOECDガイドラインの基準を満たしている。また、APECプライバ
シー・フレームワークの基準を満たしていることも疑いはない。EU指令との関係になるとこのレポートの範囲を超えるもので、難しい判断となる。

＊グリンリーフ教授によれば、109か国の比較調査の中で、「日本はアジアの中で最も貧弱なデータ・プライバシー法を有する国の1つである」と30評価されてきた。改正個人情報保護法についても「国際的基準には近づいたものの、他の要素[ビッグデータのための個人データ利活用、特に匿名加工情報]は他国の立法との整合性を損ねている」と指摘されている。