国立国会図書館

調査と情報―ISSUE BRIEF―
No. 1216（2023. 2.16）

個人情報保護法制に関する欧米の動向―立法措置と監督機関の比較―
はじめに
Ⅰ 個人情報の保護に関する欧州及び米国
の動向
１ 欧州
２ 米国
Ⅱ 監督機関
１ 欧州
２ 米国
おわりに
キーワード：個人情報保護、EU 一般データ保護規則、GDPR、CCPA、CPRA、監督機関●

個人情報保護への関心が高まる中、個人情報保護をめぐる法制度は国内外で変化を続けている。例えば、EU では 2016 年に GDPR が制定され、世界に大きな影響を与えたことに加え、2021 年には標準契約条項が新たに採択された。米国については 2023 年、様々な州で包括的なプライバシー保護法が施行される。

●

GDPR は EU 加盟国に直接適用される規則ではあるが、加盟国の立法を認める規定を設けているため、ドイツ、フランス等の加盟国がそれぞれ独自の立法措置を講じている。一方米国では、連邦レベルでは民間部門及び公的部門を包括的に規制する個人情報保護のための法制度は存在しないが、州レベルでは広範囲のデータが対象となるプライバシー保護に関する立法措置を講じている。個人情報保護の実
効性を高めるために、欧米を始めとした世界各国では監督機関を設置している。

国立国会図書館 調査及び立法考査局
こんどう

り な

行政法務課 近藤 里南

第１２１６号

個人情報保護法制に関する欧米の動向

はじめに
デジタル技術が進展している現在、個人情報はあらゆる場面で利用されている。個人情報の利活用は社会の発展に大きく貢献してきたが、個人情報の適切な保護が行われなければ、個人の人権侵害にとどまらず、民主主義社会における民意の歪曲1等の重大な問題が引き起こされ得る。個人情報に関する意識が高まる中、個人情報の利活用と保護との両立を目指して、これらをめぐる法制度は変化を続けている。
本稿では、欧州連合（European Union: EU）、ドイツ、フランス及び米国の個人情報保護法
制に関する近年の動向を紹介した後、個人情報保護の実現のために重要な役割を果たす監督機関について取り上げる。

Ⅰ 個人情報の保護に関する欧州及び米国の動向
まず、世界レベルで見ると、プライバシー保護に関する拘束力を有する国際条約として、「個
人データの自動処理に関する個人の保護に関する条約」（欧州評議会条約第 108 号）2があるが、その批准国は欧州評議会の加盟国を中心に 55 か国（2023 年 2 月 3 日現在3）にとどまり、プラ
イバシー権を保護するための法的規範への国際的コンセンサスが得られていない状況が続いている4。その背景には、欧州はプライバシーを人間の尊厳の現れの一つと捉え、米国はプライバ
シーを自由に根差すものと解する5と指摘されるように、それぞれの地域で異なる思想に基づき
プライバシー権が発展してきたことがあるとされている6。このような思想の違いは、プライバ
シーをめぐる具体的な事例に対する態度の違いをも生み出しており、セーフハーバー決定無効判決等の衝突につながっている7。
* 本稿におけるインターネット情報の最終アクセス日は、2023 年 2 月 3 日である。
1 例として、2016 年の米大統領選挙や 2017 年の EU 離脱をめぐる英国民投票における選挙運動や国民投票運動に際し、個人情報の不正利用をしたとされるケンブリッジ・アナリティカ事件がある（Yochai Benkler et al., Network
Propaganda: Manipulation, Disinformation, and Radicalization in American Politics, New York: Oxford University Press,
2018, pp.11, 275-276; 川西晶大「SNS における個人情報の不正利用―ケンブリッジ・アナリティカ事件―」国立国会図書館調査及び立法考査局編『ソーシャルメディアの動向と課題―科学技術に関する調査プロジェクト報告書―』（調
査資料 2019-5）2020.3. <https://dl.ndl.go.jp/view/download/digidepo_11472871_po_20190506.pdf?contentNo=1>）。
2 “Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data,” 1981.1.28. 欧
州評議会ウェブサイト <https://rm.coe.int/1680078b37>
3 批准国は、欧州評議会加盟国のほか、アルゼンチン、メキシコ、ロシア等 10 か国である。なお、日本、米国はオブザーバーである。“Chart of signatures and ratifications of Treaty 108,” 2022.12.12. 欧州評議会ウェブサイト <https://www.coe.int/en/web/conventions/full-list?module=signatures-by-treaty&treatynum=108#>
4 宮下紘『プライバシーという権利―個人情報はなぜ守られるべきか―』岩波書店, 2021, pp.106, 110.
5 アメリカの権利章典は国家が「してはならない」ことを列挙しており、自分自身の領域は国家から不可侵であって、干渉されない考え方が背景にあることを示している（羽賀由利子「GDPR の沿革とその内容（シンポジウム GDPR と情報信託の交錯）」『金沢法学』62(2), 2020.3, p.145.）。
6 宮下 前掲注(4), p.129.
7 セーフハーバー決定とは、2000 年に欧州委員会が欧州経済地域から米国への個人データ移転について、米国の個
人情報保護措置につき欧州並みの「十分な保護の水準」を満たしていることを認定した決定を指す。同決定の対象となるのは、米国商務省が作成した 7 項目から成るセーフハーバープライバシー原則等を遵守した企業である。しかし、米国政府機関の諜報活動の実態が暴露されたいわゆるスノーデン事件において、米国政府が通信事業者や SNS 事
業者から多様なデータを収集していたことが明らかとなり、2015 年、EU 司法裁判所が同決定を無効とする判決を下した（同上, pp.121-123.）。“JUDGMENT OF THE COURT (Grand Chamber) of 6 October 2015,” 2015.10.6.

1

調査と情報―ISSUE BRIEF―

No.1216

国立国会図書館 調査及び立法考査局

個人情報保護法制に関する欧米の動向

グローバル化が進んだ現在、各国の法制度の違いを理解することの重要性は高まっている。
以下では、欧州及び米国の近年の個人情報保護法制を概観する。なお、巻末には、EU、米国に日本を加えて、個人情報保護法制の過去からの主な動きをまとめた別表を用意している。こちらも合わせて参照されたい。
１ 欧州
人権思想発祥の地と言われる欧州では、個人データ保護に対する権利8を基本的権利あるいは人権であると捉えてきた9とされる。「EU 基本権憲章」（Charter of Fundamental Rights of theEuropean Union）10第 8 条、「欧州人権条約」（European Convention on Human Rights）11第 8条及び「EU 運営条約」（Treaty on the Functioning of the European Union）12第 16 条で、個人データ保護に対する権利が基本的人権として取り扱われている。この背景には、ナチスがユダ
ヤ人を迫害する際に個人データを悪用したことへの反省がある13とされる。
個人データの保護については、1995 年に制定された「データ保護指令」（Directive 95/46/EC）14に基づき加盟国の国内法による規制がなされてきた。これを加盟国に直接適用される規則（Regulation）へと格上げし、個人データの保護をより厳格に規定したものが、2016 年に制定された「一般データ保護規則」（General Data Protection Regulation: GDPR）15である。GDPR は
EUR-Lex ウェブサイト <https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX:62014CJ0362> セーフハーバー決
定無効判決後、EU・米国間で「プライバシー・シールド」と呼ばれる新たなデータ移転に関する枠組みが導入されたが、2020 年 7 月に EU 司法裁判所はこれを無効と判断した。その後、欧州委員会は 2022 年 12 月には「EU 米国データ・プライバシー枠組み（DPF）」の十分性を認定する決定案を発表するとともに、決定案の正式な採択に向けた手続を開始した（「欧州委、「EU 米データ・プライバシー枠組み」の GDPR 上の十分性を認める決定案を発表」
2022.12.15. JETRO ウェブサイト <https://www.jetro.go.jp/biznews/2022/12/360eafed6432e630.html>）。
8 EU 基本権憲章第 8 条では、 “right to the protection of personal data”という言葉が用いられていて、「プライバシー保護」という言葉を用いていない。なお、日本の個人情報保護法で保護される「個人の権利利益」（第 1 条）は、
主にプライバシーであるとされるが、それに限られない（園部逸夫・藤原靜雄編集, 個人情報保護法制研究会『個人情報保護法の解説 第 2 次改訂版』ぎょうせい, 2018, pp.53-54.）。
9 石井夏生利「「プライバシー外交」のためのプライバシー」『情報通信政策レビュー』8 号, 2014.4.3, p.1.
10 “CHARTER OF FUNDAMENTAL RIGHTS OF THE EUROPEAN UNION,” OJ C 326, 2012.10.26, pp.391-407.
EUR-Lex ウェブサイト <https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:12012P/TXT> EU 基本権憲章は、
EU 市民や域内に居住する人々の政治的、経済的、社会的権利を定める文書で、2000 年末に欧州議会議長、欧州委員会委員長、そして欧州理事会議長によって署名されたものである（「EU の基礎知識―EU 基本権憲章―」『Europe』
263 号, 2010, p.26.）。
11 “European Convention on Human Rights.” 欧州評議会ウェブサイト <https://www.echr.coe.int/Documents/Convention_ENG.pdf> 欧州人権条約は、世界人権宣言に定められた権利を規定し、拘束力を与えた最初の文書である（齋藤千紘・小島秀亮『欧州評議会入門―人権の守護者―』信山社, 2022, p.90.）。
12 “Consolidated version of the Treaty on the Functioning of the European Union,” OJ C 202, 2016.6.7. EUR-Lex
ウェブサイト <https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:12016E/TXT&from=EN> 欧州機能条約と訳されることも多く、EU の現行の基本条約であり、EU 条約と同一の法的価値（same legal value）を有する（木村志穂「資料（EU の条約）」国立国会図書館調査及び立法考査局編『岐路に立つ EU―総合調査報告書―』（調査資料 2017-3）2018.3, p.12. <https://doi.org/10.11501/11055932>）。
13 ナチスは、パンチカードを利用してユダヤ人を効率的に選別し、強制収容所に送っていた（山本龍彦「なぜ個人デー
タ保護が必要なのか 「情報自己決定権」とは何か」『毎日新聞』（オンライン）2021.8.5.）。
14 “Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals
with regard to the processing of personal data and on the free movement of such data,” OJ L 281, 1995.11.23, pp.
31-50. EUR-Lex ウェブサイト <http://data.europa.eu/eli/dir/1995/46/oj>
15 “Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection ofnatural persons with regard to the processing of personal data and on the free movement of such data, and repealing
Directive 95/46/EC (General Data Protection Regulation) (Text with EEA relevance),” OJ L 119, 2016.5.4, pp.1-88.
EUR-Lex ウェブサイト <https://eur-lex.europa.eu/eli/reg/2016/679/oj> 指令は「達成すべき結果につき名宛人たるす
べての加盟国を拘束するが、形式及び手段についての権限は国内機関に委ねる」とされており、直接適用可能では

国立国会図書館 調査及び立法考査局

調査と情報―ISSUE BRIEF―

No.12162

個人情報保護法制に関する欧米の動向

データ保護指令成立後に発展した欧州及び他国の制度を導入することで制定されたもので、世界の個人情報保護制度の集約版であるとも指摘されている16。
（1）GDPR
GDPR は、2016 年 4 月 27 日に制定され、2018 年 5 月 25 日から適用が開始されている。前文
173 項、全 11 章、99 条で構成される。GDPR は情報流通を前提としつつも、自然人の基本的権利として自己の個人データをコントロールする権利を保障することを第一義としている17。
GDPR は第 3 条で地理的範囲について規定しており、同条第 2 項では、EU 域内に管理者や処理者が不在である場合でも、EU 域内にいるデータ主体（data subjects）に商品やサービスを提供しているときや EU 域内の個人の行動を監視しているときに、域外適用を規定している18。
また、前文第 103 項及び第 45 条では、加盟国でない第三国へ個人データを移転する際に、欧州委員会が認定した十分なデータ保護の水準を確保していることを求めている（十分性認定）19。
個人データの越境移転にこのような厳格な規律が存在することから、EU 以外の第三国からもGDPR は注目され20、世界中の事業者が対応を迫られた21。
近年の動き22としては、2021 年に欧州委員会が GDPR の新たな標準契約条項（Standard
Contractual Clauses: SCC）23を採択したことが挙げられる。十分性認定を受けている場合にはSCC への対応は求められないが、十分性認定を受けていない場合には、欧州経済領域から域外国への個人データの移転の許可を得るために SCC の使用等が求められるため、この SCC に対応する必要がある。なお、日本は 2019 年 1 月に十分性認定を受けている24ため、日本へ個人デー
なく、国内実施される必要がある。一方、規則は一般的適用性を有し、「そのすべての要素について義務的であり、かつ、すべての加盟国において直接適用可能である」とされる。「直接適用可能」とは、規則を国内法に編入又は置換するための国内立法を必要とせず、自動的に加盟国法秩序の一部になることを意味するとされている（庄司克
宏『新 EU 法 基礎篇』（岩波テキストブックス）岩波書店, 2013, pp.209-211.）。
16 石井夏生利『EU データ保護法』勁草書房, 2020, p.3.
17 羽賀 前掲注(5), p.141.
18 同上, p.155.
19 なお、十分性認定は国、地域等の単位で行われる。
20 宮下 前掲注(4), p.115.
21 中崎尚「GDPR 概説」『自由と正義』846 号, 2019.6, p.8.
22 このほか、2022 年に「デジタル市場法案」（Digital Markets Act: DMA）、「デジタルサービス法案」（Digital Services
Act: DSA）等が採択され、DMA、DSA、e プライバシー指令及び GDPR により巨大 IT 企業に対する監督の強化が図られたこと等がある（「EU 理事会、米国大手 IT など規制のデジタル市場法案を採択、6 カ月後には適用開始へ」
2022.7.19. JETRO ウェブサイト <https://www.jetro.go.jp/biznews/2022/12/360eafed6432e630.html>；三菱総合研究所「EU・デジタルサービス法（DSA）の概要」2022.8.23, 総務省ウェブサイト <https://www.soumu.go.jp/main_content/000831952.pdf>）。
23 SCC とは、データ移転元とデータ移転先との間における欧州委員会が認めたひな形条項による契約のことである。
EU 域内から域外へ個人データを移転する手段としては、十分性認定、SCC の締結のほか、企業グループで 1 つの規定を策定し、データ移転元の管轄監督機関がその規定を承認する拘束的企業準則（Binding Corporate Rules: BCR）の締結等の方法がある（「GDPR: General Data Protection Regulation. 一般データ保護規則）」個人情報保護委員会
ウェブサイト <https://www.ppc.go.jp/enforcement/infoprovision/laws/GDPR/>）。“Commission Implementing Decision (EU)2021/915 of 4 June 2021 on standard contractual clauses between controllers and processors under Article 28(7) ofRegulation (EU) 2016/679 of the European Parliament and of the Council and Article 29(7) of Regulation (EU)2018/1725 of the European Parliament and of the Council (Text with EEA relevance), OJ L 199,” 2021.6.7, pp.18-30.
EUR-Lex ウェブサイト <https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj>; “Commission Implementing Decision(EU) 2021/914 of 4 June 2021 on standard contractual clauses for the transfer of personal data to third countries pursuant
to Regulation (EU) 2016/679 of the European Parliament and of the Council (Text with EEA relevance),” OJ L 199,
2021.6.7, pp.31-61. 同 <http://data.europa.eu/eli/dec_impl/2021/914/oj>
24 なお、2019 年 1 月に日本は欧州委員会から十分性認定を受けたが、全ての分野で十分なレベルの個人データ保護

3

調査と情報―ISSUE BRIEF―

No.1216

国立国会図書館 調査及び立法考査局

個人情報保護法制に関する欧米の動向

タを移転する際には SCC を利用する必要はない25。また、「クッキー法」（cookie law）として知られる「e プライバシー指令」（2002/58/EC）26については、GDPR の発効と同時に成立する予定だった e プライバシー規則案の立法作業が現在も続いており27、2021 年には「e プライバ
シー規則」に関する声明が採択された28。
GDPR は加盟各国に直接適用される「規則」だが、第 8 条（子どもの同意に適用される要件）、
第 9 条（特別な種類の個人データの取扱い）、第 23 条（制限）及び第 9 章（特定の取扱いの状
況と関係する条項）で加盟国の立法を認める規定を設けているため、加盟国の国内法にも留意する必要がある29。以下ではそのような独自の規定の例として、ドイツ及びフランスの国内法について紹介する。
（2）ドイツドイツでは 1977 年30に「連邦データ保護法」（Bundesdatenschutzgesetz）31が制定されている。
2018 年 5 月 25 日に、GDPR の適用に合わせて「EU データ保護適用法」（Gesetz zur Anpassung
des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU)2016/680）32が施行されたことで、連邦データ保護法の全文改正と関連各法の改正とが行われた。
ドイツは GDPR の適用前から既に厳格な個人情報保護法を整備していたが、GDPR は各国による規定を認める条文（開放条文）が 70 条にも及び、各国の現行水準等に合致する国内法の規定が可能であるため、今後もその厳格な水準を維持できることとなった33。
改正後の連邦データ保護法は全 4 章から成り、EU 規則及び指令の適用範囲外のデータ処理にも適用される一般的な規定、GDPR を補完する規定、警察司法データ保護指令34の実施に関する規定、EU 規則及び指令が適用されないデータ処理についての規定が置かれている35。
を保障していると認められたわけではない。十分性認定の対象は民間部門（個人情報取扱事業者等）にとどまり、国や地方公共団体の機関を始めとするいわゆる公的部門については対象としていない（巽智彦「公法学から見た日
EU 間相互十分性認定―個人情報保護法制の公法上の課題―」『成蹊法学』92 号, 2020, p.288.）。
25 「GDPR の新たな標準契約条項を採択、2022 年末までに対応を」2021.7.9. JETRO ウェブサイト <https://www.jetr
o.go.jp/biznews/2021/07/09a1c5f9bdcdfbaf.html>
26 2002 年に採択された指令で、電気通信事業分野においてデータ保護指令の特別法としての性格を有するもの。
2009 年には、クッキーの取扱い、オプトインの強化等を含む改正が行われた（宮下紘『EU 一般データ保護規則』
勁草書房, 2018, p.8.）。Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002
concerning the processing of personal data and the protection of privacy in the electronic communications sector(Directive on privacy and electronic communications) Access initial legal act (In force), OJ L 201, 2002.7.31, p.37.
EUR-Lex ウェブサイト <https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02002L0058-20091219>
27 “Cookies, the GDPR, and the ePrivacy Directive.” GDPR.EU ウェブサイト <https://gdpr.eu/cookies/>
28 声明では、e プライバシー規則は現行の e プライバシー指令が提供する保護のレベルを下げてはならず、GDPR を補完するものでなければならないこと等に言及している。European Data Protection Board, “Statement 03/2021 on theePrivacy Regulation Adopted on 9 March 2021.” <https://edpb.europa.eu/system/files/2021-03/edpb_statement_032021_
eprivacy_regulation_en_0.pdf> なお、「指令」と「規則」の違いについては、前掲注(15)を参照のこと。
29 石井 前掲注(16), p.3.
30 1977 年当時は、ドイツ連邦共和国（西ドイツ）であった。
31 Bundesdatenschutzgesetz (BDSG) vom 27. Januar 1977 (BGBl. I S. 201)
32
BGBl. I 2017 S. 2097
33 泉眞樹子「【ドイツ】連邦データ保護法の全文改正―EU 規則等の国内法化―」『外国の立法』No.276-1, 2018.7,
p.6. <https://dl.ndl.go.jp/view/download/digidepo_11117154_po_02760102.pdf?contentNo=1>
34“Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection ofnatural persons with regard to the processing of personal data by competent authorities for the purposes of theprevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on
the free movement of such data, and repealing Council Framework Decision 2008/977/JHA,” OJ L 119, 2016.5.4,
pp.89-131. EUR-Lex ウェブサイト <http://data.europa.eu/eli/dir/2016/680/oj>
35 泉 前掲注(33), pp.6-7.
国立国会図書館 調査及び立法考査局

調査と情報―ISSUE BRIEF―

No.1216

4

個人情報保護法制に関する欧米の動向（3）フランス
フランスでは、「情報処理、情報ファイル及び自由に関する 1978 年 1 月 6 日の法律第 78-17号」（LOI n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
以下「1978 年法」という。）が個人データの保護及び処理について規定していたが、2018 年のGDPR の適用開始に伴い、1978 年法をより GDPR に則したものにするため、「個人データの保護に関する法律第 2018-493 号」（Loi n° 2018-493 du 20 juin 2018 relative à la protection desdonnées personnelles. 以下「2018 年法」という。）が制定された36。
2018 年改正前は、個人情報の処理を開始する段階で一定の手続（情報処理及び自由に関する
国家委員会（Commission nationale de l’informatique et des libertés: CNIL）の事前同意、CNILへの届出等）をとることが求められる事前規制を中心とすることが特徴だったが、2018 年法で事前規制の大部分は廃止され、事後規制について金銭的制裁の大幅な強化等、CNIL の権限が強化された37。
また、2015 年には、イノベーションの自由、権利の平等、誰もがデジタル環境にアクセスできる友愛（Fraternité）、現代化する国家の模範性という 4 つの軸のもと、14 の行動計画がフランス政府により提示された38。これらのうち、立法措置を要するものをパッケージにして定める
目的で39、GDPR の内容が概ね固まっていた 2016 年に「デジタル国家のための法律第 2016-1321
号」（Loi n° 2016-1321 du 7 octobre 2016 pour une République numérique. 以下「デジタル国
家のための法律」という。）が制定された。デジタル国家のための法律は「データ及び知識の流通」、「デジタル社会における権利の保護」、「デジタル環境へのアクセス」の 3 つの編から成る40。第 2 編ではインターネットにおける個人の権利とその保護に関する規定が置かれ41、
GDPR を先取りするような内容であるデータポータビリティ権42、未成年者の忘れられる権利への対応の迅速化等について定められていた43。これらは GDPR の施行によって実質的に意味を失っていることが指摘されている44。
２ 米国
米国でプライバシー権が憲法上の権利として初めて承認されたのは、避妊を法的に規制することが違憲とされた 1965 年の Griswold 判決45であり、「夫婦の寝室という神聖な領域」への政36

安藤英梨香「【フランス】個人データの保護に関する法律」『外国の立法』No.277-1, 2018.10, pp.14-15. <https://dl.ndl.go.jp/view/download/digidepo_11165029_po_02770107.pdf?contentNo=1>
37 曽我部真裕「フランスの個人情報保護法制」『比較法研究』81 号, 2019, p.192.
38 “STRATÉGIE NUMÉRIQUE du Gouvernement,” 2015.6.18. フランス政府ウェブサイト <https://www.gouvernement.fr/sites/default/files/document/document/2015/06/18.06.2015_dossier_de_presse_strategie_numerique_du_gouvernement.pdf>; 曽我部真裕「フランスの「デジタル共和国法」について」『法律時報』1138 号, 2019.6, p.71.
39 同上, p.71.
40 同上, pp.71-72.
41 豊田透「【フランス】デジタル国家を推進する法律の制定」『外国の立法』No.270-1, 2017.1, pp.10-11. <https://dl.
ndl.go.jp/view/download/digidepo_10258433_po_02700105.pdf?contentNo=1>
42 データ主体において、管理者に提供した自己に関する個人データについて、構造化され、共通に利用され機械で判読可能な形式により受け取る権利及び当該データを個人データの提供を受けた管理者に妨害されることなく、他の管理者に移す権利のこと（石井 前掲注(16), p.79.）。
43 村上裕章「デジタル共和国法―デジタル共和国のための 2016 年 10 月 7 日法律第 2016-321 号―」『日仏法学』30号, 2019, p.128.
44 曽我部 前掲注(37), p.195. なお、デジタル国家のための法律はほとんどの規定が既存の法律の改正規定であり、制定後はそれぞれの法律の中に溶け込むことになる（曽我部 前掲注(38), p.71.）。
45 Griswold v. Connecticut, 381 U.S. 479 (1965)5

調査と情報―ISSUE BRIEF―

No.1216

国立国会図書館 調査及び立法考査局

個人情報保護法制に関する欧米の動向

府の介入をもってプライバシーの権利の侵害とした46。そして、プライバシーの権利が保護しているのは、物理的な空間を意味する私的領域ではなく、最も個人的で私的な問題について、政府等他者からの介入や干渉なしに当事者が自由に選択できること47であるとされている。
プライバシー権に関して、米国では政府の規制・介入を嫌う憲法の伝統がある48。このようなプライバシー権の自由権的、したがって消極的な権利観は、米国に欧州のような公的部門及び民間部門を包括的に規制する連邦レベルの制定法が存在せず、特定の分野について個別の制定法を設ける縦割り方式による規制を採用し、それ以外の分野は自主規制に委ねる49米国の現在の個人情報保護法制の在り方にも影響を与えていると考えられる。
一方で、米国では 20 世紀後半から高まっていった監視技術の発達への懸念を背景に、プライバシーを個人等が自らに関する情報をいつ、いかに、どの程度まで他者に伝達するかについて自ら決定することのできる権利として捉える情報プライバシー権の構想がアラン・ウェスティン（Alan Westin）氏らにより提示された50。この構想は、個人情報保護に関する制定法の形成を促すこととなった51。
（1）連邦レベル
連邦レベルでは、公的部門について、個人に対し自己に関するどのような記録を行政機関が収集、保有、利用又は頒布するのかを決定することを認めることを目的とする52「1974 年プラ
イバシー法」（Privacy Act of 1974）53が制定された。同法の適用対象は、（連邦の）行政機関、軍事機関、連邦政府法人、連邦政府が管理する法人、連邦政府の行政機関内の機関、独立行政委員会を含む行政機関である54。
行政機関には、記録システム（system of records）55に含まれる記録の内容及び収集に関する制限、記録システムに含まれる記録の提供に関する制限、記録システムの公示に関する義務等が課されている56。また、個人の権利については、個人のアクセス請求権、記録の訂正、行政機関が行った一定の行為について個人が当該行政機関に対して民事訴訟を提起することができる
こと等について規定されているが、行政機関に対する利用停止請求に関する規定は置かれていない57。
また、米国の個人情報保護は、消費者保護としての側面を有することが特徴として指摘される58。連邦レベルで個人情報の保護そのものを主たる目的とする独立した行政機関は存在しな

46

樋口範雄『アメリカ憲法 第 2 版』（アメリカ法ベーシックス 10）弘文堂, 2021, p.287.
同上, p.287.
48 宮下紘「プライバシーをめぐるアメリカとヨーロッパの衝突（1）自由と尊厳の対立」『比較法文化』18 号, 2010.
3, p.159.
49 松前恵環「米国の法制度の概要と近時の議論動向」『NBL』1185 号, 2021.1.1, p.80.
50 Alan F. Westin, Privacy and freedom, New York: Atheneum, 1967, 成原慧「アメリカにおけるプライバシーと個人情報保護法制」『比較法研究』81 号, 2019, p.202 に引用
51 成原 同上, p.202.
52 5 U.S.C. § 552a note
53 Privacy Act of 1974, as amended, 5 U.S.C. § 552a
54 5 U.S.C. §§ 552a(a)(1), 552(f)55 記録システムとは、個人の氏名又は個人に割り当てられた識別番号、記号、その他識別情報によって情報が取得されるあらゆる行政機関の管理下にある記録の集合を意味する（5 U.S.C. § 552a(a)(5)）。
56 松前恵環「米国の公的部門における個人情報・プライバシー保護法制」『NBL』1203 号, 2021.10.1, p.106.
57 同上, pp.107-108.
58 松前 前掲注(49), p.80.
47

国立国会図書館 調査及び立法考査局

調査と情報―ISSUE BRIEF―

No.1216

6

個人情報保護法制に関する欧米の動向

いが、連邦取引委員会（Federal Trade Commission: FTC）は、消費者保護の観点から「連邦取引委員会法」（Federal Trade Commission Act. 以下「FTC 法」という。）59第 5 条60に基づく権限を行使する等して、米国における個人情報の保護について重要な役割を果たしている61。
（2）州レベル
州レベルでは、2020 年 1 月に施行されたカリフォルニア州の「州消費者プライバシー保護法」（California Consumer Privacy Act: CCPA）が、米国初の広範囲のデータが対象となる包括的な
プライバシー保護法である。さらに同年 11 月 3 日の住民投票で、この CCPA を改正する「州プライバシー権法」（California Privacy Rights Act: CPRA）62が成立した。主な改正点としては、センシティブな個人情報の新設、セキュリティに関する義務の強化、消費者の私的訴権の対象の拡大、カリフォルニア州プライバシー保護局（California Privacy Protection Agency: CPPA）の創設等がある63。CPRA は 2023 年 1 月 1 日から適用開始され、CPPA による法執行は 2023 年
7 月 1 日以降に生じた事例から開始される予定である64。
このほか、ヴァージニア州では、包括的なプライバシー保護法である「消費者データ保護法」（Consumer Data Protection Act: CDPA）65が 2023 年 1 月 1 日から施行され、また、コロラド州
では「プライバシー法」（Colorado Privacy Act: CPA）66が 2023 年 7 月 1 日から、コネチカッ
ト州では「データプライバシー法」（Connecticut Data Privacy Act: CTDPA）67が 2023 年 7 月
1 日から、ユタ州では「消費者プライバシー法」（Utah Consumer Privacy Act）68が 2023 年 12月 31 日から、それぞれ施行予定である。
（3）連邦レベルの包括的な個人情報保護法制定に向けた動き
米国の民間部門についての個人情報保護法制は、分野ごとの制定法と FTC の法執行を背景とした自主規制との組合せを中心としており、このようなパッチワーク的な法制度の限界が指摘されてきた69。こうした問題意識から、プライバシー保護のための統一的なルールの導入を求める動きが盛んになっている70。
連邦レベルでの包括的な個人情報保護法の制定に向けた動きの一つとして、米国連邦データ
プライバシー法案の立法化が、現在、与党である民主党の政権公約「2020 Democratic Party
59

Federal Trade Commission Act, 15 U.S.C. §§ 41-58
同条（15 U.S.C. § 45(a)(1))は、「商取引における又は商取引に影響を及ぼす不公正若しくは欺瞞的な行為又は慣行は違法であることをここに宣言する」と規定する。
61 田中浩之・北山昇「グローバルに対応が必要な個人情報保護制度（GDPR、米国、中国）」『会社法務 A2Z』178号, 2022.3, p.16.
62 “PROPOSITION 24,” 2021.1.1. カリフォルニア州ウェブサイト <https://vig.cdn.sos.ca.gov/2020/general/pdf/topl-prop
24.pdf> CPRA による改正が反映された条文として Cal Civ Code Div. 3, Pt. 4, Title 1.81.5 <https://leginfo.legislat
ure.ca.gov/faces/codes_displayText.xhtml?division=3.&part=4.&lawCode=CIV&title=1.81.5>
63 松前恵環「カリフォルニア州のプライバシー・個人情報保護法制―消費者保護の観点からみた CCPA と CPRA」『現代消費者法』55 号, 2022.6, p.43.
64 Cal Civ Code Div. 3, Pt. 4, Title 1.81.5, 1798.185(d)65 Va. Code Ann. Title 59.1, Ch. 53 <https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/>
66 2021 Colo. Ch. 483 <https://leg.colorado.gov/sites/default/files/documents/2021A/bills/sl/2021a_sl_483.pdf>
67 “Substitute Senate Bill No. 6 Public Act No. 22-15.” コネチカット州議会ウェブサイト <https://www.cga.ct.gov/20
22/act/Pa/pdf/2022PA-00015-R00SB-00006-PA.PDF>
68 Utah Code Ann. § 13-61-102
69 松前 前掲注(49), p.84.
70 同上
60

7

調査と情報―ISSUE BRIEF―

No.1216

国立国会図書館 調査及び立法考査局

個人情報保護法制に関する欧米の動向

Platform」71において掲げられたことがある。上院では「消費者オンラインプライバシー法」（Consumer Online Privacy Rights Act: COPRA）がマリア・カントウェル（Maria Cantwell）議員（民主党）により提案された72。COPRA がこのまま立法化された場合、対象データの範囲の広さ等から現状世界の個人情報保護法の中で厳しいと言われる CPRA 等を凌駕する厳しさの個
人情報保護法になるという見解も存在していた73が、成立には至らなかった74。また、共和党の議員から提出された「セーフデータ法」（Safe Data Act: SDA）も有力な法案とされていたが75成立には至らなかった。
また、2022 年 7 月 20 日には、米下院のエネルギー・商業委員会が「米国データプライバシー保護法案」（American Data Privacy and Protection Act: ADPPA）を可決した76。同法案を成立させるには、今後、下院本会議及び上院での審議等が必要である。法案の概要としては、個人デー
タへのアクセス、訂正及び削除の権利を含む消費者データ保護に関する規定77のほか、ターゲ
ティング広告におけるオプトアウト規定、17 歳未満の者の個人情報の保護の強化等についても規定が置かれている78。さらに、特徴的な点として、同法案では「duty of loyality（忠実義務）」79という言葉で表現されているように、個人情報の取得や利用について企業がその個人に忠実80であることを求めていること、また、違反に対して、FTC や各州政府だけでなく消費者個人が訴訟を提起できる私的訴権が設けられたこと等が指摘されている81。

Ⅱ 監督機関
個人情報保護の実効性を高めるためには、監督機関の存在が重要である。日本に個人情報保護委員会が設置されているように、世界各国で個人情報保護に関する監督機関が置かれており、その実態は様々である。以下では欧州（EU、ドイツ、フランス）と米国の監督機関を紹介する。

71“2020 Democratic Party Platform,” 2020.8.18. 米民主党ウェブサイト <https://democrats.org/wp-content/uploads/2020/
08/2020-Democratic-Party-Platform.pdf>
72 “Summary: S.3195 — 117th Congress (2021-2022).” 米議会ウェブサイト <https://www.congress.gov/bill/117th-congr
ess/senate-bill/3195>
73 日本貿易振興機構（ジェトロ）サンフランシスコ事務所海外調査部「米国連邦データプライバシー法案の概要」
2021.6, p.5. <https://www.jetro.go.jp/ext_images/_Reports/01/7f744522a1ddc8eb/20210021.pdf>
74 「米下院商業委員長ら、連邦レベルのデータプライバシー保護法案の草案発表」2022.6.9. JETRO ウェブサイト
<https://www.jetro.go.jp/biznews/2022/06/d0978940e9de9a79.html>
75 日本貿易振興機構（ジェトロ）サンフランシスコ事務所海外調査部 前掲注(73), p.4.
76 “All Actions H.R.8152 — 117th Congress (2021-2022).” 米議会ウェブサイト <https://www.congress.gov/bill/117th-congress/house-bill/8152/all-actions>
77 消費者のデータの権利（Consumer Data Rights）については、主に第 2 編で規定されている。
78 “Summary: H.R.8152 — 117th Congress (2021-2022).” 米議会ウェブサイト <https://www.congress.gov/bill/117th-congress/house-bill/8152>
79 専ら受益者の利益のために行動する会社取締役など受認者（fiduciary）の義務（小山貞夫編著『英米法律語辞典』
研究社, 2011, p.350.）。
80 “duty of loyality”の編では、データ最小化（Data minimization）（101 条）、忠実義務（Loyalty duties）（102 条）、
プライバシー・バイ・デザイン（Privacy by design）（103 条）、価格設定に関する個人への忠誠（Loyalty to individuals
with respect of pricing）（104 条）が規定されている（石川智也ほか「米国個人情報保護法最新動向 ADPPA Bill の概要（4）Duty of Loyalty（1）」2022.9.27. 西村あさひ法律事務所ウェブサイト <https://www.nishimura.com/sites/default/files/newsletter_pdf/ja/newsletter_220927_north_america_data_protection.pdf>）。
81 「米国版 GDPR 策定へ 個人情報の扱いに忠実義務求める」『日本経済新聞』（電子版）2022.8.21.
国立国会図書館 調査及び立法考査局

調査と情報―ISSUE BRIEF―

No.1216

8

個人情報保護法制に関する欧米の動向

１ 欧州
GDPR では、監督機関について第 6 章（第 51 条～第 59 条）で定めている。各加盟国は、自然人の基本権及び自由の保護並びに EU 域内の個人データの自由な流通の促進のため、GDPRの適用を監視する責任を持つ 1 以上の監督機関を整備することが定められており（第 51 条）、監督機関は任務を執行し権限を行使する際には完全な独立性をもって行動することが求められている（第 52 条第 1 項）。データ保護指令の下では、監督機関の執行権限について、監査の実施等に限定される国がある一方、捜索や押収に類似する権限を有する国もある等、ばらつきがあることがしばしば指摘されてきたが、このような執行のばらつきを克服するため、GDPR では全ての「データ保護監督機関」（Date Protection Authority: DPA）が調査権限、是正権限、助言・認可の権限を有することを明確にした82。
加盟国により整備された監督機関の概要及び近年の制裁事例を、ドイツ及びフランスを例にして紹介する。
（1）ドイツドイツでは GDPR の基準を満たす形で国内法が整備され83、連邦レベルでは連邦データ保護・
情報自由監察官（Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: BfDI）84、各州には州データ保護・情報自由監察官（Landesbeauftragte für Datenschutz und Informationsfreiheit）が監督機関として設置されている。GDPR の定める基本的事項を踏まえ、詳細な事項は連邦デー
タ保護法や各州のデータ保護法において定められている85。
BfDI は、民間事業者のみならず、連邦政府の全ての公的機関を監督する権限を有し、職務の遂行及び権限の行使において完全な独立性を持って行動する。BfDI は行政官庁の監督を受けない連邦最上級官庁で、連邦政府の提案を受けて、連邦議会により選任され、連邦議会による統制を受けるのみである86。GDPR で定められた任務に加えて、連邦データ保護法第 14 条で定められた連邦法及びその他のデータ保護法の適用の監視及び執行（第 1 項第 1 号）、個人データ処理に関するリスク、規則、安全管理及び権利に関する市民の意識向上及び理解の向上（第 1
項第 2 号）等の任務がある。
監督機関の近年の制裁事例87としては、BfDI が 2019 年、電気通信事業者に対して、電話カス
タマーサービスにおいて顧客の名前及び生年月日を伝えるだけで、さらなる広範な顧客情報を引き出せることを防ぐための技術的及び組織的な措置を十分に講じていなかったとして 955 万ユーロ（約 14 億円）88、ニーダーザクセン州が 2021 年、ドイツの企業が法的根拠なしに過去 282

宮下 前掲注(26), p.271.
橋本聖美「地方自治体における個人情報保護の現状と課題―州における監督機関の役割を果たすデータ保護監察官―」『地方自治研究』67 号, 2020.11, p.64.
84 BGBl. I 2017 S. 2097 Teil 1 Kapitel 4
85 橋本 前掲注(83), p.64.
86 平岡秀夫「ドイツの情報機関に対する個人情報保護の制度から日本のそれを考える」『法と民主主義』557 号, 2021.
4, p.28.
87 GDPR 第 83 条では、監督機関の命令に対する不服従は、2000 万ユーロ以下の制裁金又は直前の会計年度における世界全体の売上総額の 4%以下の金額のいずれか高額の方の制裁金に服すること（第 5 項）等を規定している。また、連邦データ保護法第 2 編第 5 章でも罰則について規定されている。
88 “BfDI imposes Fines on Telecommunications Service Providers,” 2019.12.9. BfDI ウェブサイト <https://www.bfdi.bu
nd.de/SharedDocs/Pressemitteilungen/EN/2019/30_BfDIverh%C3%A4ngtGeldbu%C3%9Fe1u1.html?nn=355282> 円換算
値は 1 ユーロ=143 円、1 ドル＝135 円（日本銀行国際局「報告省令レート（令和 5 年 2 月分）」2023.1.20. <https://www.boj.or.jp/about/services/tame/tame_rate/syorei/hou2302.htm>）を用いた（以下同じ。）。
83

9

調査と情報―ISSUE BRIEF―

No.1216

国立国会図書館 調査及び立法考査局

個人情報保護法制に関する欧米の動向

年間従業員を常にビデオ監視下に置いていたとして 1040 万ユーロ（約 15 億円）89の制裁金を科したこと等がある。
（2）フランス
フランスでは、1978 年法により、CNIL が設置されている。CNIL は個人情報保護について官
民両方の監視を行う独立監督機関であり、CNIL の委員は、選出された 17 名（上下両院から 4名、経済社会環境評議会90から 2 名、コンセイユ・デタ91、破毀院92及び会計院93から 6 名、有識者94から 5 名）及び行政文書開示請求審査委員会95の委員長の計 18 名で構成される96。2018 年
法により、GDPR で設置が義務付けられた監視、啓発、国内機関への助言、苦情処理、調査等を行う独立監督機関とするため、CNIL の任務の拡大及び権限の強化が定められた97。
CNIL の近年の制裁事例98としては、2021 年 12 月 31 日、Google に対し、利用者のネット閲
覧履歴などを記録する「クッキー」の利用をユーザーが拒否しにくくしているとして 1 億 5 千万ユーロ（約 215 億円）、同様の理由で、Facebook（現 Meta）の欧州法人に 6 千万ユーロ（約86 億円）の制裁金を科したこと99等がある。
２ 米国
米国の監督機関は制定法ごとに異なっているが、民間部門については、消費者保護の見地か
ら個人情報・プライバシー保護に関する法執行を行う FTC が、連邦における個人情報・プライ
バシー保護のための事実上の監督機関として役割を果たしていると指摘されている100。
FTC は当初、商取引における不公正な競争方法を防止する競争政策を担う機関として設立されたが、1938 年の FTC 法改正により FTC の消費者保護分野における権限が明確化され、消費89“LfD Niedersachsen verhängt Bußgeld über 10,4 Millionen Euro gegen notebooksbilliger.de,” 2021.1.8. ニーダーザ
クセン州ウェブサイト <https://lfd.niedersachsen.de/startseite/infothek/presseinformationen/lfd-niedersachsen-verhangt-bu
ssgeld-uber-10-4-millionen-euro-gegen-notebooksbilliger-de-196019.html>
90 経済社会環境評議会（Conseil Economique, Social et Environnemental）の起源は、公権力による政策の立案と実施について経済的、社会的活動の代表者の意見を反映させるための機関である全国経済評議会である。経済社会環境評議会の議員は大部分が代表的な団体からの選出により、一部分が政府の任命による学識経験者である。経済、社
会、環境の問題に関して一方では諮問を受けて答申を行い、他方で自発的に意見を述べる（滝沢正『フランス法
第 5 版』三省堂, 2018, pp.146.-147.）。
91 コンセイユ・デタ（Conseil d’État）は国務院とも呼ばれ、行政最高裁判所であるだけでなく、同時に法的問題に関する政府の諮問機関である（同上, pp.200, 202.）。
92 破毀院（Cour de cassation）はフランスの司法系列における最高法院であり、法令の解釈について判例を統一することを任務とし、事件そのものを裁く裁判所ではない（同上, p.194.）。
93 会計院（Cour des comptes）は日本の会計検査院に相当する監察役務を担当するほか、公会計に関する事件について管轄権を有する行政例外裁判所（事案の特殊専門技術性に鑑みてその存在を認められたもの）（同上, p.200.）。
94 国民議会（Assemblée nationale）議長（1 名）、上院（Sénat）議長（1 名）、大臣会議（Conseil des ministres）（3名）により任命される（“Status & Composition.” CNIL ウェブサイト <https://www.cnil.fr/en/node/287>）。
95 行政文書開示請求審査委員会（Commission d’accès aux documents administratifs: CADA）は日本の情報公開・個人情報保護審査会に当たる機関である（曽我部 前掲注(37), p.192.）。
96 “Status & Composition,” op.cit.(94)97 安藤 前掲注(36), p.15.
98 1978 年法第 20 条では、データ処理の差止めを求め、定められた期日から 1 日遅れるごとに 10 万ユーロを上限とする制裁金を科すことができること等が規定されている。
99 いずれも e プライバシー指令関連の執行事例。“Cookies: GOOGLE fined 150 million euros,” 2022.1.6. CNIL ウェ
ブサイト <https://www.cnil.fr/en/cookies-google-fined-150-million-euros>; “Cookies: FACEBOOK IRELAND LIMITED
fined 60 million euros,” 2022.1.6. 同 <https://www.cnil.fr/en/cookies-facebook-ireland-limited-fined-60-million-euros>;「グーグル・FB に仏当局が制裁金 閲覧履歴の収集めぐり」『朝日新聞』2022.1.7.
100 松前恵環「米国における個人情報・プライバシー保護監督機関―FTC を中心に―」『NBL』1201 号, 2021.9.1, p.85.
国立国会図書館 調査及び立法考査局

調査と情報―ISSUE BRIEF―

No.121610

個人情報保護法制に関する欧米の動向

者保護機関としての位置付けが確立（追加）された101。FTC は、不公正又は欺瞞（ぎまん）的な行為・慣行に対して差止訴訟を提起する権限等が与えられている102。
FTC 法において、「職権行使の独立性」について明記する規定は置かれていないが、FTC は連邦議会によって特別の分野を規制する権限を付与された独立行政委員会であるとされており、その独立性は組織構成、身分保障の規定（FTC 法第 1 条）等により担保されているものと解されている103。
FTC は上院の承認を経て大統領が任命する 5 人の委員（委員長 1 人）によって率いられ、委員の任期は 7 年で、同じ政党の委員は 3 人までに制限されている104。任務の遂行のために、FTCには競争局、消費者保護局及び経済局の 3 局が置かれており、消費者保護局には、プライバシー
及び個人情報保護課（Division of Privacy and Identity Protection）105が置かれている106。同課では、消費者のプライバシー、個人情報の漏えい、情報セキュリティに関連する問題等を監督しており、消費者保護に関する各法律107の執行等が行われている108。
FTC の近年の制裁事例109としては、2022 年 5 月、FTC と司法省が、Twitter による個人情報の不正利用をめぐり FTC 法等に違反したとして提訴し、同社が 1 億 5 千万ドル（約 203 億円）の民事制裁金を支払うことで和解したもの110等がある。
連邦レベルの個人情報保護に関する法律は、前述したとおり分野別に制定されており、各法律に従って、例えば、「医療保険の携行性と責任に関する法律」（Health Insurance Portability
and Accountability Act: HIPAA）について保健福祉省（Department of Health and Human Services:
HHS）が、「グラム・リーチ・ブライリー法」（Gramm-Leach-Bliley Act: GLBA. 通称「1999年金融サービス近代化法」（Financial Service Modernization Act of 1999））について消費者金融保護局（Consumer Financial Protection Bureau: CFPB）等がそれぞれ法執行権限を有してい
る111。

101

高橋真也「米国連邦取引委員会（FTC）経済局の消費者保護における役割―消費者保護機関における経済学等の活用事例―」『国民生活研究』61(1), 2021.7, p.41.
102 田中・北山 前掲注(61), p.16.
103 石井夏生利ほか編著『個人情報保護法コンメンタール』勁草書房, 2021, p.850.
104 “Commissioners and Staff.” FTC ウェブサイト <https://www.ftc.gov/about-ftc/commissioners-staff>
105 “Division of Privacy and Identity Protection.” FTC ウェブサイト <https://www.ftc.gov/about-ftc/bureaus-offices/burea
u-consumer-protection/our-divisions/division-privacy-and-identity>
106 “Our Divisions.” FTC ウェブサイト <https://www.ftc.gov/about-ftc/bureaus-offices/bureau-consumer-protection/our-divisions>
107 FTC 法（FTC Act）、公正信用報告法（Fair Credit Reporting Act）、グラム・リーチ・ブライリー法（Gramm-Leach-Bliley Act. 通称 Financial Services Modernization Act（1999 年金融サービス近代化法））、児童オンライン・
プライバシー保護法（Children’s Online Privacy Protection Act）、健康侵害通知規則（Health Breach Notification Rule）
108 松前 前掲注(100), p.86.
109 FTC 法第 50 条では、委員会の召喚状等の命令に従って、証言、質問への回答、証拠書類の提出を怠った場合有罪となり、管轄裁判所から有罪判決を受けた場合、1,000 ドル以上 5,000 ドル以下の罰金、若しくは 1 年以下の懲役、又は罰金と懲役の両方によって罰せられなければならないこと等が規定されている。
110 「米連邦取引委、ツイッターに 1 億 5,000 万ドルの制裁金、個人情報の不正使用めぐり」2022.5.31. JETRO ウェ
ブサイト <https://www.jetro.go.jp/biznews/2022/05/5a35689ca4e79a67.html>
111 石井ほか編著 前掲注(103), p.712.

11

調査と情報―ISSUE BRIEF―

No.1216

国立国会図書館 調査及び立法考査局

個人情報保護法制に関する欧米の動向

おわりに
個人情報保護法制はそれぞれの価値観を基に世界各国で発展してきたが、グローバル化の進行に伴い、関係相手国の法制度を学び自国の法制度をアップデートする動きが活発になっている。そして、個人情報保護に関する状況は、技術の進展や人権意識の向上に伴い国内外で変化を続けており、個人情報を適切に保護し続けるためには、継続的に法制度の見直し等が必要であるだろう。本稿で取り上げたテーマ以外にも、子どもの個人情報保護、プロファイリング、AI を含むデータ処理等個人情報保護法制に関する検討すべき課題は存在し、今後も新たな課題が生まれ続ける。国内外の状況に目を配りながら、十分な議論が続けられることが望まれる。

国立国会図書館 調査及び立法考査局

調査と情報―ISSUE BRIEF―

No.1216

12

個人情報保護法制に関する欧米の動向

別表 EU、米国及び日本の個人情報保護法制に関する主な動き
EU

年
1965 年
1974 年

米国
Griswold 判決：米国でプライバシー権が憲法上の権利として初めて承認された判決。
1974 年プライバシー法（Privacy Act of 1974）【東京都国立市】全国で初めて電子計算機処理に係る個人情報の保護に関する条例を制定。

1975 年
1977 年
1978 年

1980 年

1984 年
1988 年
1990 年
1995 年

2000 年
2002 年【ドイツ】連邦データ保護法【フランス】情報処理、情報ファイル及び自由に関する1978 年 1 月 6 日の法律第 78-17 号
プライバシー保護と個人データの国際流通についてのガイドラインに関する OECD 理事会勧告（OECD8 原則）：8 項目から成る原則により成り立っているガイドラインで、世界各国の個
人情報やプライバシー保護に関する法規制の基本原則として取り入れられているもの。
個人データの自動処理に関する個人の保護に関する条
約（欧州評議会条約第 108 号）：プライバシー保護に関する拘束力を有する国際条約。
【福岡県春日市】
全国で初めて個人情報全般を保護する条例を制定。
行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律（昭和 63 年法律第 95 号）【神奈川県】
都道府県で初めて個人情報保護条例を制定。
データ保護指令（Directive 95/46/EC）：加盟国に対し個人データ処理に関する規定を設ける等国内の立法化を義務付け。
セーフハーバー決定：2000 年に欧州委員会が欧州経済地域から米国への個人データ移転について、米国の個人情報保護措置につき欧州並みの「十分な保護の水準」を満たしていることを認定した決定を指す。同決定の対象は、米国商務省が作成した 7 項目から成るセーフハーバープライバシー原則等を遵守した企業である。
e プライバシー指令（2002/58/EC）
個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）、行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）、独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）
全ての都道府県・市区町村が個人情報保護条例の制定を完了。

2003 年
2006 年2013 年2015 年

13日本

中央情報局元職員が米国政府機関の諜報活動の実態を暴露（スノーデン事件）：米国政府が通信事業者や SNS 事業者から多様なデータを収集していたことが明らかとなった。
セーフハーバー決定無効判決：スノーデン事件等を受けて、EU 司法裁判所がセーフハーバー決定を無効とする判決を下した。

調査と情報―ISSUE BRIEF―

No.1216

平成 27 年改正個人情報保護法：情報通信技術の進展が著しいこと等から、施行後 3 年ごとの見直し規定等が設けられた。

国立国会図書館 調査及び立法考査局

個人情報保護法制に関する欧米の動向

EU

年

2016 年2017 年

一般データ保護規則（General Data Protection Regulation:
GDPR）：国（加盟国）内立法を必要とせず直接適用される「規則」である。個人データ保護に関して統一的に適用される。
【フランス】デジタル国家のための法律第 2016-1321 号【ドイツ】EU 規則(EU)2016/679 におけるデータ保護権に適合し、及び EU 指令(EU)2016/680 を適用するための法律（EU データ保護適用法）【フランス】個人データの保護に関する法律第 2018-493 号

2018 年

米国

ケンブリッジ・アナリティカ事件発覚：2016 年の米大統領選
挙や 2017 年の EU 離脱をめぐる英国民投票における選挙運動
や国民投票運動に際し、個人情報の不正利用をしたとされる事件。
【カリフォルニア州】州消費者プライバシー保護法（California
Consumer Privacy Act: CCPA）

2020 年
GDPR の新たな標準契約条項（SCC）を採択。

2021 年2022 年

日本

令和 2 年改正個人情報保護法：3 年ごと見直し規定による初めての改正（仮名加工情報の創設、個人情報漏えい時の事業者等の個
人情報保護委員会及び本人への通知義務化等）
令和 3 年改正個人情報保護法（デジタル社会形成整備法第 51 条による改正部分（後記【 】内）については 2023 年 4 月 1 日施行）：個人情報保護法、行政機関の保有する個人情報の保護に関する法律、独立行政法人等の保有する個人情報の保護に関する法
律を 1 本の法律に統合。【地方公共団体等の個人情報保護制度についても、統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化】。

EU 米国データ・プライバシー枠組み（DPF）の十分性を認定する決定案の正式な採択に向けた手続開始
5 月～ デジタル市場法（Digital Markets Act: DMA）適用開始。欧州委員会が指定する大規模プラットフォー
ム・サービス提供事業者に対し、所定の措置の実施義
務及び禁止事項を規定。

1 月～【カリフォルニア州】州プライバシー権法（California
4 月～ 令和 3 年改正個人情報保護法（デジタル社会形成整備法第Privacy Rights Act: CPRA）、【ヴァージニア州】消費者デー
51 条による改正部分（前記【 】内））の施行。
タ保護法（Consumer Data Protection Act: CDPA）
7 月～【コロラド州】プライバシー法（Colorado Privacy Act:
2023 年CPA）、【コネチカット州】データプライバシー法（Connecticut
Data Privacy Act: CTDPA）
12 月～【ユタ州】消費者プライバシー法（Utah Consumer
Privacy Act）
* 【 】内について、EU は加盟国名、米国は州名、日本は都道府県・市町村名を指す。
** 法律は制定（EU の条約、指令、規則については採択）された年を示しているが、2023 年以降に施行又は適用開始される法律については、施行又は適用開始される年を示している。
（注）なお、昭和 48（1973）年 6 月に徳島市で「電子計算組織運営審議会条例」が制定されており、それを全国最初とする見方もある（「個人情報の保護に関する条例」2022.4.29. 地方自治研究機構
ウェブサイト <http://www.rilg.or.jp/htdocs/img/reiki/017_privacyprotection.htm>）。
（出典）「個人情報の保護に関する条例」2022.4.29. 地方自治研究機構ウェブサイト <http://www.rilg.or.jp/htdocs/img/reiki/017_privacyprotection.htm>; 総務省「令和 2 年版 情報通信白書」2020, p.208.
<https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r02/pdf/02honpen.pdf>;「個人情報の保護に関する法律等の一部を改正する法律（概要）」個人情報保護委員会ウェブサイト <https://www.ppc.go.jp/
files/pdf/200612_gaiyou.pdf>;「個人情報保護制度見直しの全体像」同 <https://www.ppc.go.jp/files/pdf/seibihou_gaiyou.pdf>; “Digital Markets Act (DMA).” 欧州委員会ウェブサイト <https://competition-p
olicy.ec.europa.eu/dma_en>; “The Digital Services Act package.” 同 <https://digital-strategy.ec.europa.eu/en/policies/digital-services-act-package> 等を基に筆者作成。

国立国会図書館 調査及び立法考査局

調査と情報―ISSUE BRIEF―

No.121614