2012/3/11

情報法研究会第6回シンポジウム
あいさつ：
EUの新データ保護提案と日本の対応
第6回シンポジウム(2012/３/11)
一橋記念講堂（学術総合センター）
一橋大学名誉教授
堀部 政男

連続シンポジウム• 共通番号制と国民ID時代に向けたプライバシー・個人情報保護法制のあり方＜課題と提言＞• 第1回シンポジウム（2010年8月21日（土）、東京大学情報学環福武ホール）• 第2回シンポジウム（2010年10月9日（土）、一橋記念講堂）• 第3回シンポジウム（2010年12月19日（日）、学術総合センター会議室）• 第4回シンポジウム（2011年3月26日（土）、関西大学東京センター（サピアタワー） 会議室）
• 社会保障･税番号（マイナンバー）制度におけるプライバシー・個人情報保護のあり方＜課題と提言＞• 第5回シンポジウム（2011年7月30日（土）、関西大学東京センター（サピアタワー） 会議室）
• マイナンバー法時代におけるプライバシー・個人情報保護＜課題と展望＞• 第6回 シンポジウム（2012年3月11日（日）、一橋記念講堂）

1

2012/3/11

プログラム①•••••••••••

総合司会 情報法研究会 理事 佐藤 久美
12:30
開会挨拶
堀部 政男 情報法研究会 会長
12:35～13:00
基調講演 「EUの新データ保護提案と日本の対応」
堀部 政男 一橋大学名誉教授
13:05～13:45（40分）
特別講演 「マイナンバー法の意義と概要（仮）」向井 治紀 内閣官房社会保障改革担当室 審議官
13:45～14:00 休 憩（15分）＊質問票回収（出入口で回収）
14:00～14:15 質疑応答（15分）

プログラム②
••••
•••
•
•
••

14:15～14:40（25分）
報告1「マイナンバー法時代の個人情報保護法制の課題― 個人情報保護法（一般法）とマイナンバー法（特別法）の不整合」
新潟大学大学院実務法学研究科 教授 鈴木 正朝
14:45～15:10（25分）
報告2「マイナンバー法の保護法益」
筑波大学図書館情報メディア系 准教授 石井 夏生利
15:15～15:40（25分）
報告3「個人の尊厳とプライバシー影響評価」
慶応義塾大学総合政策学部 准教授 新保 史生
15:40～15:55 休 憩（15分）

2

2012/3/11

プログラム③• 15:55～16:20（25分）•
報告4「情報の保護と刑事罰」•
情報通信総合研究所 法制度研究グループ 部長・主席研究員•
小向 太郎• 16:25～16:50（25分）•
報告5「個人の『識別』とプライバシー」•
東京大学大学院情報学環 助教 松前 恵環• 16:55～17:25（30分） 質疑応答
• 17:25 閉会• ●17:45～19:45 懇親会（＆ 講師及び参加者との意見交換）

Digital Enlightenment Forum• The DIGITAL ENLIGHTENMENT FORUM stimulates and organises
debate among representatives of science and technology, law andpolicy, with a view to providing guidance on the rapid changes indigital technologies and their perceived impact on society and itsgovernance.
• It takes its inspiration from the 18th century Enlightenment period(also Age of Reason) as well as from transformations and evolutions
that have taken place since then. It examines digital technologies
and their application openly with essential societal values in mind.
• Founded in Luxembourg in 2011, the DIGITAL ENLIGHTENMENTFORUM aims to shed light on today’s rapid technological changes
and their impact on society and its governance.
• The FORUM stimulates debate and provides guidance.

3

2012/3/11自己紹介の一端• Honorary Members（名誉会員）• Sir Tim Berners-Lee – Professor at MIT, United States, Director ofW3C and WWW Foundation• Ann Cavoukian – Information and Privacy Commissioner, Ontario,
Canada• Masao Horibe – Emeritus Professor at Hitotsubashi University,Fellow at Chuo Law School, Tokyo, Japan• Michael Kirby – The Hon Michael Kirby AC CMG, Australia• Hamadoun Touré – Secretary-General of the International
Telecommunication Union (ITU), Geneva, Switzerland

EUの新データ保護提案と日本の対応• 1990年7月27日 「個人データ取扱いに係る個人の保護に関する理事会
指令の提案」（Proposal for a Council Directive concerning theprotection of individuals in relation to the processing of personaldata）• 1992 年10 月15 日 「個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する理事会指令の改正提案」（Amended
proposal for a Council Directive on the protection of individuals withregard to the processing of personal data and on the free movementof such data）• 1995年10月24日 欧州連合（European Union, EU）の「個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する1995年10月24日の欧州議会及び理事会の95／46／EC指令」（Directive 95/46/EC ofthe European Parliament and of the Council of 24 October 1995 on theprotection of individuals with regard to the processing of personal dataand on the free movement of such data）採択

42012/3/11

ジュリスト1000号（1992年5月1日-15日号）新世紀の日本法：GLOBAL時代の針路EUのデータ保護指令（1995年）
・構成国を拘束することにより、個人データ保護法の調和・統一を図ろうとするもの。
・構成国でない第三国への個人データの移転についても規定（第２５条）。

第三国が十分なレベルの保護(adequate level of protection)を確保している場合に限り可能。

5

2012/3/11

EUデータ保護指令の改正論議①• タイトル―2010年11月4日、欧州委員会から欧州議会、理事会、経済社会委員会評議会、及び、地域委員会への伝達（COMMUNICATIONFROM THE COMMISSION TO THE EUROPEAN PARLIAMENT,THE COUNCIL, THE ECONOMIC AND SOCIAL COMMITTEE AND
THE COMMITTEE OF THE REGIONS ）• サブタイトル―欧州連合における個人データ保護に関する包括的アプローチ （A comprehensive approach on personal data protection in theEuropean Union ）6

2012/3/11

EUデータ保護指令の改正論議②• 1 個人データ保護に対する新たな挑戦(NEW CHALLENGES FOR
THE PROTECTION OF PERSONAL DATA)• 2 データ保護に関する包括的アプローチの主要な目的(KEYOBJECTIVES OF THE COMPREHENSIVE APPROACH ON DATAPROTECTION)
2.1 個人の権利の強化(Strengthening individuals’ rights)
2.1.1 あらゆる状況における個人の適切な保護の確保(Ensuringappropriate protection for individuals in all circumstances)
2.1.2 データ主体に対する透明性の増進(Increasing transparencyfor data subjects)
2.1.3 自己のデータに対するコントロールの向上(Enhancing control
over one's own data)
2.1.4 意識啓発(Raising awareness)

EUデータ保護指令の改正論議③
2.1.5 情報に基づく自由な同意の確保(Ensuring informed and freeconsent)
2.1.6 センシティブ・データの保護(Protecting sensitive data)
2.1.7 救済及び制裁の一層の効率化(Making remedies and sanctions
more effective)
2.2 域内市場特質の強化(Enhancing the internal market dimension)
2.2.1 法的確実性の増進、及び、データ管理者への公平な競争の提供(Increasing legal certainty and providing a level playing field for datacontrollers)
2.2.2 管理上の負担の軽減(Reducing the administrative burden)
2.2.3 準拠法に関する諸原則及び加盟国の責任の明確化(Clarifying
the rules on applicable law and Member States' responsibility)7

2012/3/11

EUデータ保護指令の改正論議④
2.2.4 データ管理者の責任の強化(Enhancing data controllers'responsibility)
2.2.5 自主規制主導の奨励及びEU認証制度の探究(Encouraging
self-regulatory initiatives and exploring EU certification schemes)
2.3 刑事事件における警察・司法協力分野のデータ保護諸原則の改正(Revising the data protection rules in the area of police and judicial
cooperation in criminal matters)
2.4 データ保護に関するグローバルな特質(The global dimension ofdata protection)
2.4.1 国際データ移転のための諸原則の明確化及び単純化(Clarifyingand simplifying the rules for international data transfers)
2.4.2 ユニバーサルな諸原則の促進(Promoting universal principles)

EUデータ保護指令の改正論議⑤
2.5 データ保護ルールのよりよい執行のための制度整備の強化(Astronger institutional arrangement for better enforcement of dataprotection rules)• 3 結論：将来の方向性(CONCLUSION: THE WAY FORWARD)

8

2012/3/11

いくつかの特徴①•

2.1.3 自己のデータに対するコントロールの向上(Enhancing controlover one‘s own data)―「忘れられる権利」（right to be forgotten）• 2.1.6 センシティブ・データの保護(Protecting sensitive data)―（欧州）委員会は、他のカテゴリーのデータが‘センシティブ・データ’、例えば、遺伝データ（genetic data）【1995年EUデータ保護指令は、センシティブ・データについて、「構成国は、人種又は民族、政治的見解、宗教的又は思想的信条、労働組合への加入を明らかにする個人データの取扱い、及び健康又は性生活に関するデータの取扱いを禁止しなければならない」（8条1項）】

いくつかの特徴②•2.2.4 データ管理者の責任の強化(Enhancing datacontrollers‘ responsibility）（１）データ保護オフィサー（Data Protection Officer）任命の義務付け（2）法的フレームワークの中に、データ管理者が、例えば、センシティブ・データ取扱いの場合のデータ保護影響評価（data protection impactassessment）を実施することを義務付ける（3）「プライバシー・バイ・デザイン」（Privacy by Design）概念の具体的実施の可能性• 2.2.5 自主規制主導の奨励及びEU認証制度の探究(Encouraging
self-regulatory initiatives and exploring EU certificationschemes)―EU認証スキーム（certification scheme）（プライバシー・シール）（’privacy seal’）の創設

9

2012/3/11

いくつかの特徴③
2.5 データ保護ルールのよりよい執行のための制度整備の強化(Astronger institutional arrangement for better enforcement of dataprotection rules)―データ保護機関（Data Protection Authority）(DPAs)の役割の重視「完全な独立性」(complete independence)の十分な実施を含む、データ保護機関の強化

Vice-President Viviane Reding,
EU Justice Commissioner

10

2012/3/11

Press Release• Commission proposes a comprehensive reform of data protection
rules to increase users' control of their data and to cut costs forbusinesses.
• Brussels, 25 January 2012 – The European Commission has today
proposed a comprehensive reform of the EU's 1995 data protection
rules to strengthen online privacy rights and boost Europe's digital
economy. Technological progress and globalisation have profoundlychanged the way our data is collected, accessed and used. Inaddition, the 27 EU Member States have implemented the 1995
rules differently, resulting in divergences in enforcement. A single
law will do away with the current fragmentation and costly
administrative burdens, leading to savings for businesses of around€2.3 billion a year. The initiative will help reinforce consumer
confidence in online services, providing a much needed boost togrowth, jobs and innovation in Europe.

一般データ保護規則提案の公表• 欧州委員会は、2012年1月25日に、EU一般データ保護規則（General Data Protection Regulation）
提案を公表：「個人データの取扱いに係る個人の保護及び当該データの自由な移動に関する欧州議会及び理事会の規則（一般データ保護規則）の提案」（Regulation of the European Parliament and ofthe Council on the protection of individuals withregard to the processing of personal data and on
the free movement of such data (General DataProtection Regulation)11

2012/3/11

12

2012/3/11

EUの新データ保護提案の概要1
１ 1995年EUデータ保護指令と改正案との形式的相違• EUデータ保護指令（EU Data Protection Directive）は、法形式としては指令（directive）：「個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する１９９５年１０月２４日の欧州議会及び理事会の９５／４６／ＥＣ指令」（Directive 95/46/EC of the European Parliamentand of the Council of 24 October 1995 on the protection ofindividuals with regard to the processing of personal data and on thefree movement of such data）として採択された。
• EU一般データ保護規則（General Data Protection Regulation）―改正
案は、法形式としては規則（regulation）：「個人データの取扱いに係る個人の保護及び当該データの自由な移動に関する欧州議会及び理事会の規則（一般データ保護規則）の提案」（Regulation of the European
Parliament and of the Council on the protection of individuals withregard to the processing of personal data and on the free movementof such data (General Data Protection Regulation)13

2012/3/11

EUの新データ保護提案の概要2• EUデータ保護指令 前文42項目・本文34条• 改正案 前文139項目・本文91条ともにボリュウムが増大（詳細）２ 改正提案とコンサルテーション• ・2010年11月4日改正提案について• 2010年11月4日～2011年1月15日•305件の回答―市民から54件、公的機関から31件、私的組織から220件

EUの新データ保護提案の概要3
３ 目的の同一性• 【個人データ保護に関する現在のEU立法である、Directive 95/46/ECは、データ保護に対する基本的権利を保護すること、及び構成国間における個人データの自由な流通を保障することという2つの目的を念頭に置いて1995年に採択された。それは、刑事事件での警察協力及び司法協力の分野における連合レベルにおける一般文書としての枠組み判決
2008/977/JHAによって補完された。】
４ 背景• 1995年10月24日採択後10数年経過、その間のテクノロジーの急速の進展•【急速な技術発展は、個人データ保護に新たな課題をもたらした。データの共有及び収集のスケールは劇的に拡大した。技術は、私的企業及び公的機関の双方がその活動を遂行するために空前のスケールで個人データを利用するのを許している。個人は、ますます個人情報が公然かつグローバル規模で利用させている。技術は、経済と社会生活の双方を変化させてきている。】

14

2012/3/11

EUの新データ保護提案の概要4• ・EUデータ保護指令→構成国間の保護レベルの相違→多国籍企業、それぞれの国でそれぞれ異なる対応→企業活動の阻害要因→27構成国の保護レベルの均等化• 【オンライン環境に対する信頼構築は、経済発展のカギである。信頼の欠如は、消費者がオンライン上で買物をし、新しいサービスを選択するのをためらわせることになる。これは、新しい技術の刷新的な利用の発展を遅らせる危険がある。したがって、個人データ保護は、欧州のためのデジタル・アジェンダ（Digital Agenda for Europe）において、さらに一般的には欧州2020年戦略（Europe 2020 Strategy）において、中心的な役割を果たすことになる。】

EUの新データ保護提案の概要5
５ ２つの提案• 提案された新たな法的枠組みは、2つの立法的提案からなっている。
• 前記一般データ保護規則• 刑事犯罪の防止、捜査、探知若しくは訴追又は刑事罰の執行の目的のための管轄機関による個人データの取扱いに係る個人の保護及び当該データの自由な移動に関する欧州議会及び理事会の指令の提案（aproposal for a Directive of the European Parliament and of theCouncil on the protection of individuals with regard to the processingof personal data by competent authorities for the purposes ofprevention, investigation, detection or prosecution of criminal
offences or the execution of criminal penalties, and the freemovement of such data）

15

2012/3/11

EUの新データ保護提案の概要6
第Ⅰ章 総則• 第1条は、規則の主題を明確にし、また、95/46/EC指令第1条におけると同様に、規則の2つの目的を提示している。
• 第2条 適用範囲
• 第3条 地域的範囲（Territorial scope）•第2項 この規則は、取扱い活動が（a）連合内のデータ主体に対して物若しくはサービスを提供すること、又は（b）データ主体の行動をモニタリングすることに関わる場合には、連合内に拠点を有しないデータ管理者による、連合内に居住するデータ主体の個人データの取扱いに適用される。
• 前文第21項「取扱い活動がデータ主体の「行動モニタリング」と考えられ得るかどうかを決定するに当たっては、特に個人に関する決定を行い又は個人の個人的なし好、行動及び態度を分析し若しくは予測するために、「プロフィール」を個人に適用することに存するデータ取扱い技術で個人がインターネット上で追跡されるどうかが確認されなければならない。」→オンライン行動ターゲティング、SNSなど

EUの新データ保護提案の概要7• 第4条は、規則で使われる用語の定義。いくつかの定義は95/46/EC指令から継承されているが、その他の定義は、追加的要素で修正され、補完され、又は新たに導入されている（指令 2009/136/EC30によって修正されたe-プライバシー指令2002/58/EC29第2条（h）に基づく「個人データ・ブリーチ」（personal data breach）、「遺伝データ」（genetic data）、「生体データ」（biometric data）、「保健関係データ」（data concerning health）、「主たる拠点」（main establishment）、「代理」（representative）、「企業」（enterprise）、「事業グループ」（group of undertakings）、「拘束的企業準則」（binding corporate rules）、国連児童権利条約に基づく「子ども」（child）、「監視機関」（supervisory authority））。
• 同意の定義の中に「明示の」（explicit）という基準が追加された。それは、「不明瞭でない」（unambiguous）同意との混同を回避し、同意の一つのかつ一貫した定義を定めるためであり、自ら同意を与え、また何に与えるかということについてのデータ主体の認識を確保することになる。

16

2012/3/11

EUの新データ保護提案の概要8
第Ⅱ章 諸原則•
第5条は、95/46/EC指令第6条の諸原則に相当する個人データ取扱いに関する諸原則を定めている。追加の新たなものは、特に透明性の原則（transparency principle）、データ最小限化の原則（data minimisationprinciple）の明確化、及びデータ管理者（controller）の包括的な責任の確立である。
第Ⅲ章 データ主体の権利• 第1節 透明性及び様式• 第2節 情報及びデータ・アクセス• 第3節 訂正及び削除•
第17条 データ主体の忘れられる権利及び削除権（ the data subject‘sright to be forgotten and to erasure）• 第4節 異議申立権及びプロフィリング• 第5節 制限

EUの新データ保護提案の概要9
第Ⅳ章 データ管理者及びデータ処理者• 第1節 一般的義務•
第25条 連合内に拠点を有しないデータ管理者の代理• 第2節 データ・セキュリティ•
第30条 プライバシー・バイ・デザイン（privacy by design）•
第31条 データ侵害通知（data breach notification）• 第3節 データ保護影響評価及び事前承認• 第4節 データ保護オフィサー•
第35条 データ処理が250人以上の従業者を雇用する企業によって行われる場合• 第5節 行動規範及び認証•第38条 行動規範•
第39条 認証―データ保護シール及びマーク

17

2012/3/11

EUの新データ保護提案の概要10
第Ⅴ章 個人データの第三国又は国際組織への移転•
Article 40 General principle for transfers•
Article 41 Transfers with an adequacy decision•
Article 42 Transfers by way of appropriate safeguards•
Article 43 Transfers by way of binding corporate rules•
Article 44 Derogations•
Article 45 International co-operation for the protection of personaldata•
第40条 移転の一般原則•
第41条 十分性決定による移転•
1. 十分性決定による移転可能性

EUの新データ保護提案の概要11• 2. 十分性評価の要件• (a) the rule of law, relevant legislation in force, both general andsectoral, including concerning public security, defence, national security
and criminal law, the professional rules and security measures which
are complied with in that country or by that international organisation, as
well as effective and enforceable rights including effective administrativeand judicial redress for data subjects, in particular for those data
subjects residing in the Union whose personal data are beingtransferred;• (b) the existence and effective functioning of one or more independent
supervisory authorities in the third country or international organisationin question responsible for ensuring compliance with the data protection
rules, for assisting and advising the data subjects in exercising theirrights and for co-operation with the supervisory authorities of the Unionand of Member States; and• (c) the international commitments the third country or internationalorganisation in question has entered into.

18

2012/3/11

EUの新データ保護提案の概要12
第Ⅵ章 独立監視機関• 第１節 独立的地位•
第46条 監視機関•
第47条 独立性（Independence）•
1 監視機関は、委ねられた職務及び権限を行使する際、完全に独立して（with complete independence）行なければならない。
•
第48条 監視機関の構成員の一般的条件•
1 構成国は、監視機関の構成員は構成国の議会又は政府のいずれかによって任命されなければならないことを規定しなければならない。
•2 構成員は、その独立性に疑問の余地がなく、かつ、特に個人データ保護の分野においてその職務を遂行するのに必要な経験及び技量が明らかな者から選出されなければならない。
• 第２節 義務及び権限

EUの新データ保護提案の概要13
第Ⅶ章 協力及び一貫性• 第１節 協力
• 第２節 一貫性
• 第３節 欧州データ保護会議（European Data Protection Board）
第Ⅷ章 救済、責任及び制裁
第Ⅸ章 特定のデータ取扱状況
第X 章 委任立法及び施行法
第XI章 終章

19

2012/3/11

25th Anniversary of Privacy Laws & Business

EU新データ保護提案の関心事項例1
••
•
•
•

Top 10 List
PL&B Privacy Officers Network ICO Roundtable
The EU’s Draft Data Protection Regulation
14th February, 2012
Host: Norton Rose, London• The Art. numbers below refer to those of the EU’s new proposed
Data Protection Regulation at http://ec.europa.eu/justice/dataprotection/document/review2012/com_2012_11_en.pdf• The following Top 10 list shows the results from the 20 participants
who indicated their Top 5 preferences, not in order of priority. The
full list from which the Top 10 were chosen follows the Top 10 list.

20

2012/3/11

EU新データ保護提案の関心事項例2• Top 10 list
• 1. Art 4 (8) Explicit consent. How explicit in different circumstances?
Also need to consider the balance of interest criterion for a legal
basis for processing in Art. 6 (f) and Art. 7• 2. Art. 17. The right to be forgotten and erasure – but how will itrelate to freedom of expression?
• 3= Arts. 31 and 32 Notification of data breaches to DPAs for all
sectors and to data subjects. Applicable to services targeted at
Europeans even if the service is located outside the EEA.
Enforcement?
• 3= Art. 33 Data protection impact assessment. Underlying conceptof risk assessment and expectation that companies will conduct aPrivacy Impact Assessment. A problem or an opportunity?
• (To be continued)

日本の対応• 2012年2月 ベルギーで関係者と意見交換• 2012年2月17日 JBCE（Japan Business Council in Europe）―
堀部政男「EUデータ保護新動向・日本マイナンバー法案国会提出と企業の対応」• 2012年2月21日 JBCE― Linklaters タンギー・バン・オーバーストラテン（Tanguy Van Overstraeten）弁護士 European Data ProtectionReform• その他

21

2012/3/11

ご清聴ありがとうございました。
堀部 政男

22