2011/3/28

1995年ＥＵデータ保護指令の改正論議とその方向性
第4回シンポジウム(2011/4/26)
関西大学東京センター会議室
一橋大学名誉教授
堀部 政男

1995年ＥＵデータ保護指令の背景①
ア OECDプライバシー・ガイドライン（1980年）•

OECDは、専門家グループ（Group of Experts）の作業を基に、1980年9月23日に「プライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告」（Recommendation of the Council
concerning Guidelines Governing the Protection of Privacy andTransborder Flows of Personal Data) を採択した。
•
この理事会勧告は、プライバシー保護の国際水準を示したものとして注目に値するとともに、日本においては、プライバシーをどのようにして保護するかを国レベルで検討する契機の一つになった。これは、OECD
プライバシー・ガイドライン（OECD Privacy Guidelines）と呼ばれている。

1

2011/3/28

1995年ＥＵデータ保護指令の背景②• 8原則①収集制限の原則(Collection Limitation Principle)②データ内容の原則(Data Quality Principle)③目的明確化の原則(Purpose Specification Principle )④利用制限の原則(Use Limitation Principle)⑤安全保護の原則(Security Safeguards Principle)⑥公開の原則(Openness Principle)⑦個人参加の原則(Individual Participation Principle)⑧責任の原則(Accountability Principle)

1995年ＥＵデータ保護指令の背景③
イ CoE個人データ保護条約（1981年）•

日本が加盟国であるためか、OECDのプライバシー・ガイドラインについてはかなりよく知られているが、ほぼ同じ時期に採択された、欧州評議会(Council of Europe, 以下「CoE」という。) の個人データ保護条約はほとんど知られていない。ちなみに、このCoEは、欧州統合の推進を目的として第二次大戦後の1949年に設立された国際機関で、日本の外務省の資料によると、現在の加盟国は47か国（EU全加盟国、南東欧諸国、ロシア、トルコ、NIS諸国の一部）である。そのCoEの閣僚委員会は、1980年9月17日、「個人データの自動処理に係る個人の保護に関する条約」（Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data）（条約第108号（Convention108））を採択した（当時の加盟国は21か国であった）。そして、この条約は、翌1981年1月28日、各国の署名に付され、1985年に、5か国目の西ドイツ（当時）が批准をしたので、同年10月1日に、発効した。

2

2011/3/28

1995年ＥＵデータ保護指令の背景④• 個人データ保護原則
この条約に具体化されている個人データ保護の原則は、内容的にはOECD理事会勧告のそれとほぼ同じであるが、形式的には異なった方法で定められている。それらは、ヨーロッパ諸国を基準とした、個人情報の国際水準を示している。
• 非加盟国の加入
日本は、CoEの加盟国ではないが（1996年以降、日本はオブザーバー）、このCoE条約は、非加盟国の加入(Accession by non-memberStates)についても条項を設けている。
• モデルとなったCoE条約
欧州においては、CoE条約が大きな役割を担ってきている。CoE条約
は、欧州では、データ保護基本権（fundamental right to protection ofpersonal data）に関する最初の法的枠組みであると考えられているものであって、EUデータ保護指令のモデルであるということができる。

1995年ＥＵデータ保護指令の背景⑤• 追加議定書2001年11月8日に、「個人データの自動処理に係る個人の保護に関する条約への監督機関及び越境データ流通についての追加議定書」（Additional Protocol to the Convention for the Protection ofIndividuals with regard to Automatic Processing of Personal Data
regarding supervisory authorities and transborder data flows）が各国の署名に付された。
これは、3か条からなるもので、各条の条文見出しは、次のようになっている。
第1条 監督機関（Supervisory authorities）
第2条 本条約の締約国の管轄に服さない受領者への個人データの越境流通（Transborder flows of personal data to a recipient which is
not subject to the jurisdiction of a Party to the Convention）
第3条 最終条項（Final provisions）

3

2011/3/28

EUデータ保護指令等提案の採択①• ア 最初のデータ保護指令提案
当時の欧州共同体（European Communities, EC）理事会（Council）
は、1990年7月に、①「個人データ取扱いに係る個人の保護に関する理事会指令提案」（Proposal for a Council Directive concerning theprotection of individuals in relation to the processing of personaldata）及び②「公衆デジタル通信網特にISDN及び公衆デジタル移動体通信網における個人データ及びプライバシー保護に関する理事会指令提案」（Proposal for a Council Directive concerning the protection of
personal data and privacy in the context of public digitaltelecommunications networks, in particular the integrated services
digital networks (ISDN) and public digital mobile networks）を採択した。

EUデータ保護指令等提案の採択②• イ 指令（Directive）の法的性格
ここに出てくる指令（Directive） は、EEC条約において、「達成すべき結果について、これを受領するすべての構成国を拘束するが、方式及び手段については構成国の機関の権限に任せる」（同条約第189条）ものである（これに対し、最も拘束力の強い規則 （Regulation）は、「一般的な効力を有し、そのすべての要素について義務的であり、すべての構成国において直接適用することができる」というものである）。換言すれば、指令は、規則のように直接適用するものではないが、構成国を拘束することに注意する必要がある。こうすることによって、構成国間において個人データ保護法の調和・統一を図ろうとする方向が出てきている。

42011/3/28

EUデータ保護指令改正提案• 改正提案
この最初のデータ保護指令提案をめぐって各方面で多彩な議論が展開された。それらの議論を踏まえて、EC委員会は、1992年10月15日、「個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する理事会指令の改正提案」（Amended proposal for a Council Directiveon the protection of individuals with regard to the processing of
personal data and on the free movement of such data）を明らかにした。

EUデータ保護指令等の採択①• EUデータ保護指令の採択
1995年10月24日 欧州連合（European Union, EU）の「個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する1995年10月24日の欧州議会及び理事会の95／46／EC指令」（Directive
95/46/EC of the European Parliament and of the Council of 24 October
1995 on the protection of individuals with regard to the processing ofpersonal data and on the free movement of such data）、すなわち、EUデータ保護指令（EU Data Protection Directive）、指令95/46/EC（Directive95/46/EC）を採択した。
• e-プライバシー指令の採択
また、前掲の②の「公衆デジタル通信網特にISDN及び公衆デジタル移動体通信網における個人データ及びプライバシー保護に関する理事会指令提案」は、これまでに見てきたデータ保護指令よりもかなり遅れて、1997年12月15日に「電気通信分野における個人情報取扱い及びプライバシー保護に関する1997年12月15日の欧州議会及び理事会の指令
97/66/EC」

52011/3/28

EUデータ保護指令等の採択②• （Directive 97/66/EC of the European Parliament and of the Councilof 15 December 1997 concerning the processing of personal dataand the protection of privacy in the telecommunications sector）として採択された。
• この1997年の電気通信分野の指令は、2002年7月12日に「電子通信分野における個人情報取扱い及びプライバシー保護に関する2002年7月12日の欧州議会及び理事会の指令2002/58/EC（プライバシー及び電気通信に関する指令）」（Directive 2002/58/EC of the European
Parliament and of the Council of 12 July 2002 concerning theprocessing of personal data and the protection of privacy in theelectronic communications sector (Directive on privacy andelectronic communications）によって全面的に修正された。

6

2011/3/28

7

2011/3/28

EUデータ保護指令の改正論議①• タイトル―2010年11月4日、欧州委員会から欧州議会、理事会、経済社会委員会評議会、及び、地域委員会への伝達（COMMUNICATIONFROM THE COMMISSION TO THE EUROPEAN PARLIAMENT,THE COUNCIL, THE ECONOMIC AND SOCIAL COMMITTEE AND
THE COMMITTEE OF THE REGIONS ）• サブタイトル―欧州連合における個人データ保護に関する包括的アプローチ （A comprehensive approach on personal data protection in theEuropean Union ）EUデータ保護指令の改正論議②• 1 個人データ保護に対する新たな挑戦(NEW CHALLENGES FOR
THE PROTECTION OF PERSONAL DATA)• 2 データ保護に関する包括的アプローチの主要な目的(KEY
OBJECTIVES OF THE COMPREHENSIVE APPROACH ON DATAPROTECTION)
2.1 個人の権利の強化(Strengthening individuals’ rights)
2.1.1 あらゆる状況における個人の適切な保護の確保(Ensuring
appropriate protection for individuals in all circumstances)
2.1.2 データ主体に対する透明性の増進(Increasing transparency
for data subjects)
2.1.3 自己のデータに対するコントロールの向上(Enhancing control
over one's own data)
2.1.4 意識啓発(Raising awareness)

8

2011/3/28

EUデータ保護指令の改正論議③
2.1.5 情報に基づく自由な同意の確保(Ensuring informed and freeconsent)
2.1.6 センシティブ・データの保護(Protecting sensitive data)
2.1.7 救済及び制裁の一層の効率化(Making remedies and sanctions
more effective)
2.2 域内市場特質の強化(Enhancing the internal market dimension)
2.2.1 法的確実性の増進、及び、データ管理者への公平な競争の提供(Increasing legal certainty and providing a level playing field for datacontrollers)
2.2.2 管理上の負担の軽減(Reducing the administrative burden)
2.2.3 準拠法に関する諸原則及び加盟国の責任の明確化(Clarifying
the rules on applicable law and Member States' responsibility)

EUデータ保護指令の改正論議④
2.2.4 データ管理者の責任の強化(Enhancing data controllers'responsibility)
2.2.5 自主規制主導の奨励及びEU認証制度の探究(Encouraging
self-regulatory initiatives and exploring EU certification schemes)
2.3 刑事事件における警察・司法協力分野のデータ保護諸原則の改正(Revising the data protection rules in the area of police and judicialcooperation in criminal matters)
2.4 データ保護に関するグローバルな特質(The global dimension ofdata protection)
2.4.1 国際データ移転のための諸原則の明確化及び単純化(Clarifyingand simplifying the rules for international data transfers)
2.4.2 ユニバーサルな諸原則の促進(Promoting universal principles)9

2011/3/28

EUデータ保護指令の改正論議⑤
2.5 データ保護ルールのよりよい執行のための制度整備の強化(Astronger institutional arrangement for better enforcement of dataprotection rules)• 3 結論：将来の方向性(CONCLUSION: THE WAY FORWARD)

いくつかの特徴①•

2.1.3 自己のデータに対するコントロールの向上(Enhancing control
over one‘s own data)―「忘れられる権利」（right to be forgotten）• 2.1.6 センシティブ・データの保護(Protecting sensitive data)―（欧州）委員会は、他のカテゴリーのデータが‘センシティブ・データ’、例えば、遺伝データ（genetic data）【1995年EUデータ保護指令は、センシティブ・データについて、「構成国は、人種又は民族、政治的見解、宗教的又は思想的信条、労働組合への加入を明らかにする個人データの取扱い、及び健康又は性生活に関するデータの取扱いを禁止しなければならない」（8条1項）】

10

2011/3/28

いくつかの特徴②•2.2.4 データ管理者の責任の強化(Enhancing datacontrollers‘ responsibility）（１）データ保護オフィサー（Data Protection Officer）任命の義務付け（2）法的フレームワークの中に、データ管理者が、例えば、センシティブ・データ取扱いの場合のデータ保護影響評価（data protection impactassessment）を実施することを義務付ける（3）「プライバシー・バイ・デザイン」（Privacy by Design）概念の具体的実施の可能性• 2.2.5 自主規制主導の奨励及びEU認証制度の探究(Encouraging
self-regulatory initiatives and exploring EU certificationschemes)―EU認証スキーム（certification scheme）（プライバシー・シール）（’privacy seal’）の創設

いくつかの特徴③
2.5 データ保護ルールのよりよい執行のための制度整備の強化(Astronger institutional arrangement for better enforcement of dataprotection rules)―データ保護機関（Data Protection Authority）(DPAs)の役割の重視「完全な独立性」(complete independence)の十分な実施を含む、データ保護機関の強化

11