仮日本語訳

Guidelines on the application and setting of administrative fines
for the purposes of the Regulation
規則における制裁金の適用及び設定に関するガイドライン

本書面は、ARTICLE 29 DATA PROTECTION WORKING PARTY （第29条作業部会）により2017年10月3日に採択された、 “Guidelines on the application and setting of administrativefines for the purposes of the Regulation” の英語版の一部を個人情報保護委員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。

1

TABLE OF CONTENTS
目次
I. Introduction ...........................................................................................................................................3
I. はじめに ..............................................................................................................................................3
II. Principles ..............................................................................................................................................4
II. 原則 ......................................................................................................................................................4
III. Assessment criteria in article 83 (2) ....................................................................................................10
III. 第83条(2)に関する評価基準 ............................................................................................................10
IV. Conclusion ..........................................................................................................................................24
IV. まとめ ................................................................................................................................................24

2

I.
I.

Introduction
はじめに

The EU has completed a comprehensive reform of data protection regulation in Europe. The reform rests on
several pillars (key components): coherent rules, simplified procedures, coordinated actions, user
involvement, more effective information and stronger enforcement powers.
EUは、欧州におけるデータ保護規則の包括的な改革を完了した。この改革は、一貫性のある規則、簡素化した手続、整合性のある行動、利用者の関与、より効果的な情報、執行力の強化といった複数の柱（主要な構成要素）によって支えられている。
Data controllers and data processors have increased responsibilities to ensure that personal data of theindividuals is protected effectively. Supervisory authorities have powers to ensure that the principles of theGeneral Data Protection Regulation (hereafter ‘the Regulation’) as well as the rights of the individuals
concerned are upheld according to the wording and the spirit of the Regulation.
データ管理者及びデータ処理者には、各人の個人データの効果的な保護を確保するためにさらなる責任が課せられることとなる。監督機関は、一般データ保護規則（以下、「本規則」という）の原則及び関連する個人の権利が本規則の文言及び精神に基づいていることを確保する権限を有する。
Consistent enforcement of the data protection rules is central to a harmonized data protection regime.
Administrative fines are a central element in the new enforcement regime introduced by the Regulation, being
a powerful part of the enforcement toolbox of the supervisory authorities together with the other measuresprovided by article 58.
データ保護規則の一貫した執行は、調和の取れたデータ保護制度の中核をなす。制裁金は、本規則によって導入された新たな執行制度の中核要素であり、第58条に定める他の措置と合わせて、強力な監督機関の執行手段となる。
This document is intended for use by the supervisory authorities to ensure better application and enforcementof the Regulation and expresses their common understanding of the provisions of article 83 of the Regulation
as well as its interplay with articles 58 and 70 and their corresponding recitals.
本ガイドラインは、本規則のより効果的な適用及び執行を確保するために、監督機関が使用することを意図したものであり、本規則第83条の条項、並びにその第58条及び第70条及びそれらに対応する前文との相互関係に対する共通理解を示している。
In particular, according to article 70, (1) (e), the European Data Protection Board (hereafter ‘EDPB’) isempowered to issue guidelines, recommendations and best practices in order to encourage consistent
application of this Regulation and article 70, (1), (k) specifies the provision for guidelines concerning thesetting of administrative fines.
特に、第70条(1)(e)に基づき、欧州データ保護会議（以下、「EDPB」という）は、本規則の一貫した適用を推奨する目的でガイドライン、勧告及びベストプラクティスを公表する権限を有している。第70条 (1)(k)は、制裁金の設定に関するガイドラインについて規定している。
These guidelines are not exhaustive, neither will they provide explanations about the differences between
administrative, civil or criminal law systems when imposing administrative sanctions in general.

3これらのガイドラインは包括的なものではなく、一般的な制裁金を科す際の行政、民事又は刑事上の法制度の相違を説明するものでもない。
In order to achieve a consistent approach to the imposition of the administrative fines, which adequatelyreflects all of the principles in these guidelines, the EDPB has agreed on a common understanding of theassessment criteria in article 83 (2) of the Regulation and therefore the EDPB and individual supervisory
authorities agree on using this Guideline as a common approach.
EDPBは、当該ガイドラインの全原則を適切に反映した制裁金の処分に関する一貫したアプロー
チを達成する目的で、本規則の第83条（2）に定める評価基準の共通理解に同意している。そのため、EDPB及び各監督機関は、共通のアプローチとして本ガイドラインを使用することに合意
する。

II.
II.

Principles
原則

Once an infringement of the Regulation has been established based on the assessment of the facts of the case,the competent supervisory authority must identify the most appropriate corrective measure(s) in order toaddress the infringement. The provisions of article 58 (2) b-j1 indicate which tools the supervisory authorities
may employ in order to address non-compliance from a controller or a processor. When using these powers,
the supervisory authorities must observe the following principles:
事案の事実評価に基づいて本規則の違反が立証された場合、所轄監督機関は、当該違反への対処として最適な是正措置を明らかにしなければならない。第58条(2)(b)から(j)1は、管理者又は処理者の不遵守への対処として監督機関が採用可能な手段を定めたものである。監督機関が当該権限を行使する際には以下の原則を遵守しなければならない。

1. Infringement of the Regulation should lead to the imposition of “equivalent
sanctions”.
1.本規則の違反には「均等な制裁」を科すべきである。

The concept of “equivalence” is central in determining the extent of the obligations of the supervisory
authorities to ensure consistency in their use of corrective powers according to article 58 (2) in general, andthe application of administrative fines in particular2.
「均等」の概念は、一般的には第58条（2）に基づく監督機関の是正権限行使の一貫性、特に制1
Article 58 (2) a provides that warnings may be issued when “processing operations are likely to infringe provisions of theRegulation”. In other words, in the case covered by the provision the infringement of the Regulation has not occurred yet.
第58条（2）(a)には、「取扱業務が本規則の条項に違反するおそれがある」場合に警告を発令できると規定している。つまり、当該条項の対象となる事案において、本規則の違反がまだ発生していない場合をいう。
2 Even where the legal systems in some EU countries do not allow for the imposition of administrative fines as set out in theRegulation, such an application of the rules in those Member States needs to have an equivalent effect to administrative fines
imposed by supervisory authorities (recital 151). The Courts are bound by the Regulation but they are not bound by these guidelinesof the EDPB.
あるEU諸国の法制度が本規則に定める制裁金の処分を認めない場合、当該加盟国における当該法令の適用には監督機関が科す制裁金と均等の効果がなければならない（前文第151項）。当該加盟国の裁判所は本規則に拘束されるが、
EDPBのガイドラインに拘束されない。

4

裁金の適用2の一貫性を確保するため、監督機関の義務の範囲を明らかにする上で中核的な役割をなす。
In order to ensure a consistent and high level of protection of natural persons and to remove the obstacles toflows of personal data within the Union, the level of protection should be equivalent in all Member States(recital 10). Recital 11 elaborates the fact that an equivalent level of protection of personal data throughout
the Union requires, amongst others, “equivalent powers for monitoring and ensuring compliance with therules for the protection of personal data and equivalent sanctions for infringements in the Member States.”.
Further more, equivalent sanctions in all Member States as well as effective cooperation between supervisory
authorities of different Member States is seen as a way “to prevent divergences hampering the free movementof personal data within the internal market”, in line with recital 13 of the Regulation.

一貫性があり高いレベルの自然人の保護を確保するため、そして、EU域内における個人データの流通の障碍を除去するために、そのデータの取扱いと関連する自然人の権利及び自由の保護のレベルは、全ての加盟国において均等でなければならない（前文第10項）。さらに前文第11項では、EU内において個人データの保護レベルを均等にするには、特に「加盟国内において個人データ保護法令の遵守を監視し、確保するための均等な権限及び違反行為に対する均等な制裁」が必要となると詳細を述べている。さらに、本規則の前文第13項に定めるとおり、全加盟国による均等な制裁及び各加盟国の監督機関の間における効果的な協力は、「域内市場内における個人データの自由な移動を妨げる格差を防止する」方法だとみなされている。
The Regulation sets a stronger basis than Directive 95/46/EC for a greater level of consistency as theRegulation is directly applicable in the Member States. While supervisory authorities operate with “complete
independence” (article 52) with respect to national governments, controllers or processors, they are required
to cooperate “with a view to ensuring the consistency of application and enforcement of this Regulation”(article 57, (1),(g)).
本規則は、加盟国に直接適用可能であるため、より高度なレベルの一貫性をはかるために、指令
95/46/ECよりも強固な基盤が設けられている。監督機関は、国家政府、管理者又は処理者から「完全に独立」（第52条）した運営を行うが、「本規則の適用及び執行の一貫性を確保する目的で」（第57条（1）(g)）協力する義務がある。
The Regulation calls for a greater consistency than the Directive 95/46 when imposing sanctions. In crossborder cases, consistency shall be achieved primarily through the cooperation (one –stop-shop) mechanism
and to some extent through the consistency mechanism set forth by the new Regulation.
本規則は、制裁を科す際に指令95/46/ECよりも高水準の一貫性を求めている。越境的な事案では、
主に協力の仕組み（ワンストップ・ショップ）、かつ、部分的には新たな本規則に定める一貫性の仕組みを通して一貫性を達成することができる。
In national cases covered by the Regulation, the supervisory authorities will apply these guidelines in thespirit of cooperation according to article 57, 1 (g) and article 63, with a view to ensuring the consistency of
application and enforcement of the Regulation. Although supervisory authorities remain independent in theirchoice of the corrective measures presented in Article 58 (2), it should be avoided that different corrective
measures are chosen by the supervisory authorities in similar cases.
本規則で対象となる国内事案では、本規則の適用及び執行の一貫性を確保する目的で、第57条（1）(g) 及び第63条に定める協力の精神に基づき、監督機関が当該ガイドラインを適用する。監5

督機関は、第58条(2)に定める是正措置の選択について独立した立場を維持するが、類似の事案で当該監督機関が異なる是正措置を選択する事態は避けるべきである。
The same principle applies when such corrective measures are imposed in the form of fines.
これらの是正措置が制裁金の形式で課される場合にも同一の原則が適用される。

2. Like all corrective measures chosen by the supervisory authorities,
administrative fines should be “effective, proportionate anddissuasive”.
2.監督機関が選択するあらゆる是正措置と同じく、制裁金は「効果的、比例的かつ抑止的」であるべきである。

Like all corrective measures in general, administrative fines should adequately respond to the nature, gravity
and consequences of the breach, and supervisory authorities must assess all the facts of the case in a mannerthat is consistent and objectively justified. The assessment of what is effective, proportional and dissuasivein each case will have to also reflect the objective pursued by the corrective measure chosen, that is either toreestablish compliance with the rules, or to punish unlawful behavior (or both).
一般的な全ての是正措置と同じく、制裁金に違反の性質、重大さ及び結果を適切に反映させ、監督機関は、一貫性のある客観的に正当化された方法で各事案の全事実を評価しなければならない。
各事案において何が効果的、比例的かつ抑止的であるかを評価する際には、規則遵守の再立証又は違法行為に対する制裁（又はその両方）を念頭に、選択された是正措置によって追求された目的の反映もしなければならない。
Supervisory authorities should identify a corrective measure that is “effective, proportionate and dissuasive”(art. 83 (1)), both in national cases (article 55) and in cases involving cross- border processing of personal
data (as defined in article 4 (23)).
監督機関は、国内の事例（第55条）及び個人データの越境的取扱いに係る事例（第4条（23）に定義）の双方について「効果的、比例的かつ抑止的」（第83条（1））な是正措置を明らかにするべきである。
These guidelines recognize that national legislation may set additional requirements on the enforcement
procedure to be followed by the supervisory authorities. This may for example include address notifications,form, deadlines for making representations, appeal, enforcement, payment3.
当該ガイドラインでは、国内法に基づいて、監督機関が遵守すべき執行手続に追加要件が設けることができると認められている。例えば、住所の届出、様式並びに苦情申請、決定への不服申立

3 As an example, the constitutional framework and draft data protection legislation of Ireland, provides that a formal decision isreached on the fact of the infringement itself, which is communicated to the relevant parties, before an assessment of the scale ofthe sanction(s). The decision on the fact of the infringement itself cannot be revisited during the assessment of the scale of the
sanction(s).
例えば、アイルランドの憲法枠組み及びデータ保護法の草案の場合、違反自体の事実に基づいて正式決定が下され、制裁範囲を評価する前にこれを関連当事者に連絡するとの規定がある。当該違反事実に関する決定は、制裁範囲の評価時に再考してはならない。

6

て、執行及び支払いの期限等が含まれる3。
Such requirements should however not hinder in practice the achievement of effectiveness, proportionality
or dissuasiveness.
ただし、当該要件は実務上、効果的、比例的又は抑止的な達成を妨げるものであってはならない。
A more precise determination of effectiveness, proportionality or dissuasiveness will be generated byemerging practice within supervisory authorities (on data protection, as well as lessons learned from otherregulatory sectors) as well as case-law when interpreting these principles.
「効果的、比例的又は抑止的」のより具体的な定義は、今後の監督機関で生じる慣行（データ保護及び他の規制部門から得た教訓）及び判例法に基づいて当該原則の解釈時に設定される。
In order to impose fines that are effective, proportionate and dissuasive, the supervisory authority shall use
for the definition of the notion of an undertaking as provided for by the CJEU for the purposes of theapplication of Article 101 and 102 TFEU, namely that the concept of an undertaking is understood to meanan economic unit, which may be formed by the parent company and all involved subsidiaries. In accordancewith EU law and case-law4, an undertaking must be understood to be the economic unit, which engages incommercial/economic activities, regardless of the legal person involved (Recital 150).
効果的、比例的又は抑止的な制裁金を科すため、監督機関は、欧州連合の機能に関する条約（TFEU）の第101条及び第102条の適用について欧州司法裁判所（CJEU）が定めた企業の概念の定義を利用する。具体的に企業の概念とは、親会社又はあらゆる関連子会社が形成しうる経済主体を意味すると理解される。EU法及び判例法4に基づき、企業は、それに関与する法人格を問わず、商業／経済活動に従事する経済主体として理解されなければならない（前文第150項）。

3.

The competent supervisory authority will make an assessment “ineach individual case”.
3.所轄監督機関は、「個々の個別の事案」の評価を行う

Administrative fines may be imposed in response to a wide range of infringements. Article 83 of theRegulation provides a harmonized approach to breaches of obligations expressly listed in paras (4)-(6).
Member State law may extend the application of article 83 to public authorities and bodies established in that
Member State. Additionally, Member State law may allow for or even mandate the imposition of a fine forinfringement of other provisions than those mentioned in article 83 (4)-(6).
制裁金は、多岐にわたる違反の対応策として科すことができる。本規則の第83条には義務違反に対する調和の取れたアプローチが示され、これが第4項から第6項に明示的に列記されている。場合によっては、加盟国の国内法に基づき、当該加盟国において設立された公的機関及び公的組織

4 The ECJ case law definition is: «the concept of an undertaking encompasses every entity engaged in an

economic activity regardless of the legal status of the entity and the way in which it is financed” (Case Höfner and Elsner, para 21,
ECLI:EU:C:1991:161). An undertaking «must be understood as designating an economic unit even if in law that economic unit
consists of several persons, natural or legal» (Case Confederación Española de Empresarios de Estaciones de Servicio [para 40,
ECLI:EU:C:2006:784).
ECJ判例法の定義には、「企業の概念は、当該主体の法的地位及び資金調達の方法を問わず、経済活動に従事するあらゆる主体を包括する」とある（Höfner and Elsnerの事案、[21段落、 ECLI:EU:C:1991:161]）。企業は、「正規の経済主体として理解されなければならない。法律上、経済主体が複数の自然人又は法人で構成されることを問わない。」（Confederación Española de Empresarios de Estaciones de Servicioの事案 [40段落、ECLI:EU:C:2006: 784]）。

7

にも第83条の適用がされうる。また、第83条第4項から第6項に言及される条項以外の他の条項の違反に対する制裁金の処分が認可又は強制されうる。
The Regulation requires assessment of each case individually5. Article 83 (2) is the starting point for suchan individual assessment. The paragraph states “when deciding whether to impose an administrative fine,and deciding on the amount of the administrative fine in each individual case due regard shall be given to
the following…”Accordingly, and also in the light of Recital 1486 the supervisory authority has the
responsibility of choosing the most appropriate measure(s). In the cases mentioned in Article 83 (4) – (6),this choice must include consideration of all of the corrective measures, which would include considerationof the imposition of the appropriate administrative fine, either accompanying a corrective measure under
Article 58(2) or on its own.
本規則では、個別の事案の評価が要求されている5。第83条(2)が当該個別評価の開始地点となる。
本条項には「個々の案件において、制裁金を科すか否かを判断する場合、及び、制裁金の額を判断する場合、以下の事項を適正に考慮に入れる」との規定がある。当該規定及び前文第148項6を考慮の上、監督機関は最適な措置を選択する責任を有する。第83条(4)から(6)に言及する事案においては、適切な制裁金の処分（第58条(2)に基づく是正措置を伴うか否かは問わない）の考慮等、

5

Further to the application of article 83 criteria there are other provisions to bolster the foundation of this approach such as:
第83条の基準の適用を促進するため、以下のような、本アプローチの基盤を強化する他の条項がある。
‐ recital 141 “the investigation following a complaint should be carried out, subject to judicial review, to the extent thatis appropriate in the specific case.”‐
前文第141項「異議申立て後の調査は、司法審査に服するものとして、特定の案件において適切な範囲内で行われなければならない。」‐

recital 129 “The powers of supervisory authorities should be exercised in accordance with appropriate procedural
safeguards set out in Union and Member State law, impartially, fairly and within a reasonable time. In particular eachmeasure should be appropriate, necessary and proportionate in view of ensuring compliance with this Regulation,
taking into account the circumstances of each individual case…”.
前文第129項「監督機関の権限は、EU法及び加盟国の国内法に定める適切な手続上の保護措置に従って、公平に、公正に、かつ、合理的な期間内に行使されなければならない。特に、個々の措置は、個々の事案の事情を考慮に入れた上で、本規則の遵守を確保するという観点から適切であり、必要であり、かつ、比
例的なものでなければならず…」‐

article 57(1) (f) “handle complaints lodged by a data subject, or by a body, organisation or association in accordancewith article 80, and investigate to the extent appropriate, the subject matter of the complaint.”
第57条(1) (f)「第80条に従い、データ主体、又は、組織、団体若しくは協会から申立てられた異議を取り扱い、適切な範囲内で、異議申立てのあった事項について調査する」
6 “In order to strengthen the enforcement of the rules of this Regulation, penalties including administrative fines should be
imposed for any infringement of this Regulation, in addition to, or instead of appropriate measures imposed by the supervisory
authority pursuant to this Regulation. In a case of a minor infringement or if the fine likely to be imposed would constitute a
disproportionate burden to a natural person, a reprimand may be issued instead of a fine. Due regard should however be given
to the nature, gravity and duration of the infringement, the intentional character of the infringement, actions taken to mitigate
the damage suffered, degree of responsibility or any relevant previous infringements, the manner in which the infringement
became known to the supervisory authority, compliance with measures ordered against the controller or processor, adherence
to a code of conduct and any other aggravating or mitigating factor. The imposition of penalties including administrative fines
should be subject to appropriate procedural safeguards in accordance with the general principles of Union law and the Charter,
including effective judicial protection and due process”.

「本規則の規定の執行を強化するために、本規則により監督機関によって課される適切な措置に加え、又は、これに代えて、本規則の違反行為に対し、制裁金を含め、制裁が加えられなければならない。軽微な違反行為の場合、又は、課される制裁金が自然人に対して過大な負担を構成するような場合、制裁金の代わりに注意処分を行うことができる。ただし、その違反行為の性質、重大性及び持続期間、その違反行為が意図的なものであること、被った損害を軽減させるために講じられた行動、責任の程度及び関連する過去の違反行為、その違反行為がどのようにして監督機関に認知されることになったのか、管理者又は処理者に対して命じられた措置の遵守、行動準則の遵守、並びに、これら以外の加重要素及び軽減要素を適正に考慮しなければならない。制裁金を含め、制裁の実施は、効
果的な司法上の保護及び適正手続を含め、EU法及び憲章の一般的な基本原則に従う適切な手続上の保護措置に服するものとしなければならない。」

8当該選択においてあらゆる是正措置を考慮しなければならない。
Fines are an important tool that supervisory authorities should use in appropriate circumstances. The
supervisory authorities are encouraged to use a considered and balanced approach in their use of corrective
measures, in order to achieve both an effective and dissuasive as well as a proportionate reaction to the breach.
The point is to not qualify the fines as last resort, nor to shy away from issuing fines, but on the other hand
not to use them in such a way which would devalue their effectiveness as a tool.
制裁金は、監督機関が適切な状況で採用すべき重要な手段である。違反に対する効果的、比例的
かつ抑止的な対処を実現するため、監督機関は、慎重に検討した上で均衡の取れたアプローチを是正措置の行使に採用することが推奨される。制裁金を最終手段とみなしたり、制裁金の処分に消極的な姿勢を取るべきではないが、一手段としての効果を損なう形で制裁金を使用すべきでもない。
The EDPB, when competent according to article 65 of the Regulation, will issue a binding decision on
disputes between authorities relating in particular to the determination of the existence of an infringement.
When the relevant and reasoned objection raises the issue of the compliance of the corrective measure with
the GDPR, the decision of EDPB will also discuss how the principles of effectiveness, proportionality anddeterrence are observed in the administrative fine proposed in the draft decision of the competent supervisory
authority. EDPB guidance on the application of article 65 of the Regulation will follow separately for further
detail on the type of decision to be taken by the EDPB.
EDPBは、本規則第65条に基づく職務権限を有する場合、特に違反の存在の決定に関する機関間の紛争に対して拘束的決定を下すことができる。関連性及び根拠のある異議申し立てによって、是正措置によるGDPR不遵守が主張された場合、EDPBが所轄監督機関の決定案で提案される制裁金に効果的、比例的、抑止的な原則がいかに反映されているかを議論し、これを決定する。本規則の第65条の適用に関するEDPBのガイダンスには、EDPBの決定の種類に関する詳細が別途定められる。

4. A harmonized approach to administrative fines in the field of dataprotection requires active participation and information exchange among
Supervisory Authorities
4.データ保護の分野において制裁金に調和の取れたアプローチを採用するには、監督機関の積極的な参加及び情報交換が必要となる。

These guidelines acknowledge that fining powers represent for some national supervisory authorities anovelty in the field of data protection, raising numerous issues in terms of resources, organization andprocedure. Notably, the decisions in which the supervisory authorities exercise the fining powers conferredto them will be subject to appeal before national courts.
当該ガイドラインでは、データ保護の分野における制裁金処分の権限は特定の国内監督機関においては新手法となるため、リソース、組織化及び手続の面で数多くの問題が生じることが認識されている。とりわけ、監督機関に付与された制裁金処分の権限を行使する決定については、国内
裁判所における不服申立ての対象となる可能性がある。

9Supervisory authorities shall cooperate with each other and where relevant, with the European Commission
through the cooperation mechanisms as set out in the Regulation in order to support formal and informal
information exchanges, such as through regular workshops. This cooperation would focus on their experienceand practice in the application of the fining powers to ultimately achieve greater consistency.
監督機関は、正規及び非正規の情報交換を支援するために、定期的なワークショップ等を通して、
本規則に定める協力の仕組みを介し、他の監督機関又は（該当する場合は）欧州委員会と協力す
るものとする。当該協力は、最終的に一層の一貫性を達成するため、制裁金権限の適用において、経験及び実践に焦点を当てることになる。
This proactive information sharing, in addition to emerging case law on the use of these powers, may lead tothe principles or the particular details of these guidelines being revisited.
上記の権限行使に係る新規の判例法に加え、この積極的な情報共有によって、当該原則又は当該ガイドラインの詳細が改訂されうる。

III. Assessment criteria in article 83 (2)III. 第83条(2)に関する評価基準
Article 83 (2) provides a list of criteria the supervisory authorities are expected to use in the assessment bothof whether a fine should be imposed and of the amount of the fine. This does not recommend a repeatedassessment of the same criteria, but an assessment that takes into account all the circumstances of eachindividual case, as provided by article 837.
第83条(2)は、制裁金処分の可否及び制裁金の金額の双方を評価する際に監督機関が使用すべき基準の一覧を定めたものである。同じ基準の重複評価を推奨するものではないが、各評価においては、第83条7に定めるとおり、各個別の事案の状況の全てを考慮する必要がある。
The conclusions reached in the first stage of the assessment may be used in the second part concerning theamount of the fine, thereby avoiding the need to assess using the same criteria twice.
第一段階の評価で達した結論は、制裁金の金額に関する第二段階の評価に使用できるため、同一の基準を二度使用した評価の必要性を回避することができる。
This section provides guidance for the supervisory authorities of how to interpret the individual facts of thecase in the light of the criteria in article 83 (2).
本セクションは、第83条(2)の基準と照らし合わせ、各事案の個別の事実を解釈する方法について
監督機関にガイダンスを提供するものである。

(a) the nature, gravity and duration of the infringement(a) 違反の性質、重大さ及び期間
Almost all of the obligations of the controllers and processors according to the Regulation are categorised

7 The assessment of the sanction to be applied may come separately after the assessment of whether there has been an
infringement due to national procedural rules arising from constitutional requirements in some countries. Therefore, this may
limit the content and the amount of detail in a draft decision issued by lead supervisory authority in such countries.
適用される制裁の評価は、特定の国の憲法要件に起因する国内の取扱規則に基づいて違反が存在するか否かの評価を行なった後、個別に実施することができる。そのため、当該国における主監督機関の決定案の内容や詳細が当該評価で制限される可能性がある。

10

according to their nature in the provisions of article 83(4) – (6). The Regulation, in setting up two different
maximum amounts of administrative fine (10/20 million Euros), already indicates that a breach of someprovisions of the Regulation may be more serious than for other provisions. However the competentsupervisory authority, by assessing the facts of the case in light of the general criteria provided in article 83(2), may decide that in the particular case there is a higher or a more reduced need to react with a corrective
measure in the form of a fine. Where a fine has been chosen as the one or one of several appropriate corrective
measure(s), the tiering system of the Regulation (article 83 (4)- 83 (6)) will be applied in order to identify the
maximum fine that can be imposed according to the nature of the infringement in question.
本規則に基づく管理者及び処理者の義務の大半は、第83条(4)から(6)に定める性質に基づいて分類されている。本規則には制裁金として2種類の最大金額（1000万又は2000万ユーロ）が設定されており、一部の条項違反が他の条項違反よりも重大であることが示唆されている。所轄監督機関は、第83条(2)に定める一般基準に基づいた事案の事実の評価をすることで、特定の事案について、制裁金の形式で是正措置を講じる必要性がより高くなるか、より少なくなるかを決定することができる。制裁金が唯一の制裁措置又は複数の適切な是正措置の一つとして選択された場合、該当する違反の性質に応じて科すことができる制裁金の最大金額を決定するために、本規則の段階制度（第83条(4)から(6)）が適用されることになる。
Recital 148 introduces the notion of “minor infringements”. Such infringements may constitute breaches of
one or several of the Regulation’s provisions listed in article 83 (4) or (5). The assessment of the criteria inarticle 83 (2) may however lead the supervisory authority to believe that in the concrete circumstances of thecase, the breach for example, does not pose a significant risk to the rights of the data subjects concerned anddoes not affect the essence of the obligation in question. In such cases, the fine may (but not always) be
replaced by a reprimand.
前文第148項は「軽微な違反」の概念に言及している。当該違反は、第83条(4)又は(5)に列記する
本規則の条項の一つ又は複数への違反を構成する場合がある。ただし、監督機関が第83条(2)の基
準評価に基づき、当該事案の具体的な状況下において、当該違反等が該当するデータ主体の権利に重大なリスクを及ぼさず、懸案の義務の本質に影響を及ぼさないと判断する場合もある。こうした場合（常にではないが）、制裁金の代わりに注意処分を行う場合がある。
Recital 148 does not contain an obligation for the supervisory authority to always replace a fine by areprimand in the case of a minor infringement (“a reprimand may be issued instead of a fine”), but rather apossibility that is at hand, following a concrete assessment of all the circumstances of the case.
前文第148項は、軽微な違反の事案において制裁金の代わりに必ず注意処分を行う（「制裁金の代わりに注意処分を行うことができる」）監督機関の義務を定めるものではなく、当該事案のあらゆる状況の具体的な評価を行った後に利用可能な選択肢を定めたものである。
Recital 148 opens up the same possibility to replace a fine by a reprimand, where the data controller is anatural person and the fine likely to be imposed would constitute a disproportionate burden. The starting
point is that the supervisory authority has to assess whether, considering the circumstances of the case athand, the imposition of a fine is required. If it finds in favour of imposing a fine, then the supervisory authority
must also assess whether the fine to be imposed would constitute a disproportionate burden to a natural person.
前文148項は、データ管理者が自然人で、かつ、科される可能性の高い制裁金が過大な負担を構成するような場合にも、制裁金を注意処分に代替できる可能性が規定されている。まず監督機関
は、事案の状況を考慮して、制裁金の処分が必要か否かを評価する。制裁金を科すことが妥当と

11

判断された場合、監督機関は、科される制裁金が自然人にとって過大な負担となるか否かを評価しなければならない。
Specific infringements are not given a specific price tag in the Regulation, only a cap (maximum amount).
This can be indicative of a relative lower degree of gravity for a breach of obligations listed in article 83(4),compared with those set out in article 83(5). The effective, proportionate and dissuasive reaction to a breachof article 83(5) will however depend on the circumstances of the case.
本規則では、特定の違反につき制裁金の具体的な金額ではなく、その上限（最大金額）のみが規定されている。第83条(4)に列挙される義務の違反の重大さが第83条(5)の違反よりも低水準である
ことが示されている。第83条(5)の違反に対する効果的、比例的及び抑止的な対処については各事案の状況に基づいて判断される。
It should be noticed that breaches of the Regulation, which by their nature might fall into the category of “upto 10 million Euros or up to 2% of total annual worldwide turnover” as set out in article 83 (4), might end up
qualifying for a higher tier (Euro 20 million) category in certain circumstances. This would be likely to be
the case where such breaches have previously been addressed in an order from the supervisory authority, anorder8 which the controller or processor failed to comply with9 (article 83 (6)).The provisions of the nationallaw may in practice have an impact on this assessment10. The nature of the infringement, but also “the scope,

8 The orders, provided in article 58 (2) are:第58条(2)に定める命令とは、‐ to order the controller or the processor to comply with the data subject's requests to exercise his or her rights pursuant tothis Regulation;
本規則によるデータ主体の権利行使要求を遵守するように管理者又は処理者に命令すること。
‐ to order the controller or processor to bring processing operations into compliance with the provisions of this Regulation,
where appropriate, in a specified manner and within a specified period;
本規則の規定を遵守する形で取扱い作業を行うように管理者又は処理者に対して命令すること。適切な場
合、特定の手段で、特定の期間内に遵守させるように命令すること。
‐ to order the controller to communicate a personal data breach to the data subject;
個人データ違反をデータ主体へ連絡するに管理者へ命令すること。
‐ to impose a temporary or definitive limitation including a ban on processing
取扱いの禁止を含めた一時的又は最終的制限を課すこと。
‐ to order the rectification or erasure of personal data or restriction of processing pursuant to Articles 16, 17 and 18 andthe notification of such actions to recipients to whom the personal data have been disclosed pursuant to Article 17(2)and Article 19;
第16条、第17条、第18条による個人データの訂正若しくは消去又は取扱い制限、並びに、第17条（2）及び第19条による個人データが開示された取得者に宛てた当該行動の通知を行うように命令すること。
‐ to order the certification body to withdraw a certification issued pursuant to Articles 42 and 43, or to order thecertification body not to issue certification if the requirements for the certification are not or are no longer met;
第 42 条及び第 43 条により発行された認証を取下さげるように認証機関へ命令すること、又は認証に関する要件に合致しない若しくはもはや合致しなくなった場合、認証機関に認証を発行しないように命令すること。
‐ to order the suspension of data flows to a recipient in a third country or to an international organisation.
第三国内又は国際組織の取得者へのデータ流通の中止を命令すること。
9
Application of article 83(6) necessarily must take into account national law on procedure. National law determines how anorder is issued, how it is notified, from which point it takes effect, whether there is a grace period to work on compliance. Notably,
the effect of an appeal on the enforceability of an order should be taken into account.
第83条(6)を適用する際には、取扱いに関する国内法を考慮しなければならない。命令の発行及び通知方法、その発効日、遵守に向けた猶予期間の有無の決定は、国内法の定めに従う。特に、命令の執行力に関する訴えの影響を考慮する必要がある。
10 Statutory provisions of limitation may have the effect that a previous order of the supervisory authority may no longer be taken
in to consideration due to the amount of time that has lapsed since that previous order was issued. In some jurisdictions, rules

12purpose of the processing concerned as well as the number of data subjects affected and the level of damage
suffered by them”, will be indicative of the gravity of the infringement. The occurrence of several different
infringements committed together in any particular single case means that the supervisory authority is able
to apply the administrative fines at a level which is effective, proportionate and dissuasive within the limit of
the gravest infringement. Therefore, if an infringement of article 8 and article 12 has been discovered, thenthe supervisory authority may be able to apply the corrective measures as set out in article 83(5) whichcorrespond to the category of the gravest infringement, namely article 12. More detail at this stage is beyond
the scope of this particular guideline (as detailed calculation work would be the focus of a potential
subsequent stage of this guideline).
第83条(4)に定める「最大1000万ユーロ又は全世界年間売上高の2％まで」の区分に該当しうる性質を有する本規則の違反には、特定の状況において、上層区分の制裁金（2000万ユーロ）が適用されうることを認識しておくべきである。これは、特定の違反に対する監督機関の従前の命令8に管理者又は処理者が遵守しなかった9場合等が該当する（第83条(6)）。実務上、国内法の条項が当該評価に影響を及ぼす場合がある10。違反の性質及び「重大性及び持続期間、並びに、その違反行為によって害を受けたデータ主体の人数及びデータ主体が被った損害の程度」は、違反の重大さの判断材料となる。単一の事案において複数の異なる違反が一度に発生した場合、監督機関が最も深刻な違反の範囲内で効果的、比例的及び抑止的な水準の制裁金を適用することができる。そのため、第8条及び第12条の違反が発覚した場合、監督機関は、最も深刻な違反区分（すなわち第12条）に対応する第85条(5)の是正措置を適用することができる。現段階において、それ以上の詳細の規定は本ガイドラインの対象外となる（具体的な算出作業は、本ガイドラインの後の段階で検証を予定）。
The factors below should be assessed in combination eg. the number of data subjects together with thepossible impact on them.
以下の要素（例：データ主体の数）は、それらに対する影響と合わせて評価するべきである。
The number of data subjects involved should be assessed, in order to identify whether this is an isolated
event or symptomatic of a more systemic breach or lack of adequate routines in place. This is not to say thatisolated events should not be enforceable, as an isolated event could still affect a lot of data subjects. This
will, depending on the circumstances of the case, be relative to, for example, the total number of registrants
in the database in question, the number of users of a service, the number of customers, or in relation to the
population of the country, as appropriate.
関与したデータ主体の数は、それが単発の事象であるか、組織的な違反の兆候であるか、又は十分なルーティンの配備不足であるかを特定する目的で評価するべきである。単発の事象でも数多くのデータ主体に影響を及ぼす可能性があるため、制裁執行の対象外となるわけではない。例えば、データベースの登録者総数やサービス利用者数、顧客数、その国の総人口（該当する場合）との比較等、該当する事案の状況に応じて判断がなされる。

require that after the prescription period has passed with respect to an order, no fine may be imposed for non-compliance withthat order under article 83(6). It will be up to each supervisory authority in each jurisdiction to determine how such impacts willaffect them.
適用法の条項の制限により、監督機関の以前の命令が発行されてから一定の期間が経過したため当該命令がもはや考慮されなくなるという効果を及ぼす場合がある。特定の管轄地では、命令の発行から所定の期間が経過すると、第83条(6)の当該命令によって不遵守に対して制裁金を科すことができなくなるとの規定がある。これらの監督機関に対する影響については、各管轄地の監督機関が決定する。

13

The purpose of the processing must also be assessed. The WP 29 opinion on “purpose limitation” 11
previously analysed the two main building blocks of this principle in data protection law: purpose
specification and compatible use. When assessing the purpose of the processing in the context of article 83(2), the supervisory authorities should look into the extent to which the processing upholds the two key
components of this principle12. In certain situations, the supervisory authority might find it necessary to factor
in a deeper analysis of the purpose of the processing in itself in the analysis of article 83 (2).
取扱いの目的についても評価を実施しなければならない。WP29 Opinionの「目的の制限」11では、データ保護法の本原則の主要な2つの基盤である「目的の特定」及び「適合性のある利用（compatible use）」が検証されている。第83条(2)の文脈で取扱いの目的を評価する際、監督機関
は、当該取扱いが本原則の2つの主要な構成要素12にどの程度の範囲で適合しているかを検証するべきである。特定の状況においては、監督機関が第83条(2)の検証において、取扱いの目的自体のさらなる検証を考慮する必要性があると判断する場合がある。
If the data subjects have suffered damage, the level of the damage has to be taken into consideration.
Processing of personal data may generate risks for the rights and freedoms of the individual, as illustrated byrecital 75:
データ主体が損害を被った場合、損害の水準を考慮する必要がある。個人データの取扱いは前文第75項に説明するとおり、個人の権利及び自由に対するリスクを生じさせうる。
“The risk to the rights and freedoms of natural persons, of varying likelihood and severity, may result
from personal data processing which could lead to physical, material or non- material damage, inparticular: where the processing may give rise to discrimination, identity theft or fraud, financial
loss, damage to the reputation, loss of confidentiality of personal data protected by professionalsecrecy, unauthorised reversal of pseudonymisation, or any other significant economic or social
disadvantage; where data subjects might be deprived of their rights and freedoms or prevented fromexercising control over their personal data; where personal data are processed which reveal racialor ethnic origin, political opinions, religion or philosophical beliefs, trade union membership, andthe processing of genetic data, data concerning health or data concerning sex life or criminal
convictions and offences or related security measures; where personal aspects are evaluated, inparticular analysing or predicting aspects concerning performance at work, economic situation,
health, personal preferences or interests, reliability or behaviour, location or movements, in orderto create or use personal profiles; where personal data of vulnerable natural persons, in particularof children, are processed; or where processing involves a large amount of personal data and affects
a large number of data subjects.”「自然人の権利及び自由に対するリスクは、様々な蓋然性と深刻度で、個人データの取扱いから生じうる。それは、物的な損失、財産的な損失若しくは非財産的な損失を発生させうるものであり、特に：その取扱いが、差別、ID盗取又はID詐欺、金銭上の損失、信用の毀損、職務上の守秘義務によって保護されている個人データの機密性の喪失、無11

WP 203 , Opinion 03/2013 on purpose limitation, available at: http://ec.europa.eu/justice/data- protection/article29/documentation/opinion-recommendation/files/2013/wp203_en.pdf
目 的 の 制 限 に 関 す る WP 203 Opinion 03/2013 ： http://ec.europa.eu/justice/data- protection/article29/documentation/opinion-recommendation/files/2013/wp203_en.pdf
12 See also Wp 217, opinion 6/2014 on the notion of legitimate interest of the data controller under article 7, page 24, on thequestion: “What makes an interest “legitimate” or “illegitimate”?”
第7条に基づくデータ管理者の法的利益の概念に関するWP 217 Opinion 6/2014（24頁）における、「利益が『合法』又は『違法』となる根拠とは？」の考察も参照のこと。

14

権限による仮名化の復元、又は、それら以外の重大な経済的又は社会的な不利益を生じさせうる場合；データ主体がその権利及び自由を奪われ、又は、その個人データに対す
るコントロールの実行を妨げられる場合；人種的若しくは民族的な出自、政治的な意見、
信教又は思想上の信条、労働組合の加入を明らかにする個人データの取扱い、並びに、遺伝子データ、健康と関係するデータ若しくは性生活と関係するデータ、又は、有罪判
決及び犯罪行為若しくは関連する保護措置と関係するデータの取扱いの場合；個人的側面が評価される場合、特に、個人プロファイルの作成若しくはその使用のために、職務遂行能力、経済状態、健康、個人的な嗜好若しくは興味、信頼性若しくは行動、位置若
しくは移動に関する側面が分析又は予測される場合；脆弱性のある自然人の個人データ、
特に、子どもの個人データが取扱われる場合；又は、取扱いが莫大な量の個人データを含んでおり、多数のデータ主体に対して影響を及ぼす場合がそうである。」
If damages have been or are likely to be suffered due to the infringement of the Regulation then the
supervisory authority should take this into account in its choice of corrective measure, although thesupervisory authority itself is not competent to award the specific compensation for the damage suffered.
当該損害が本規則の違反に起因して発生したか又はその可能性がある場合、監督機関は、自らが当該損害に対する特定の補償を付与する権限を有してはいないが、その是正措置の選択について検討するべきである。
The imposition of a fine is not dependent on the ability of the supervisory authority to establish a causal link
between the breach and the material loss (see for example article 83 (6)).
制裁金の処分は、監督機関が違反及び重大な損害の間の因果関係を証明する能力に依拠しない（第83条(6)を参照）。
Duration of the infringement may be illustrative of, for example:
違反の期間は、以下を反映している場合がある。

a) wilful conduct on the data controller’s part, or
データ管理者の故意による行為、又はb) failure to take appropriate preventive measures, or
適切な予防措置の不履行、又はc) inability to put in place the required technical and organisational measures.
必要となる技術的又は組織的な措置を整備する能力がないこと(b) the intentional or negligent character of the infringement(b) 違反の故意又は過失In general, “intent” includes both knowledge and wilfulness in relation to the characteristics of an offence,
whereas “unintentional” means that there was no intention to cause the infringement although thecontroller/processor breached the duty of care which is required in the law.
「故意」との表現には一般的に、違反の性質に関連する知識及び意図の双方が含まれる。一方、「故意でない」は、管理者／処理者が法令で求められる注意義務を違反したのだが、違反する意

15

図がなかったことを意味する。
It is generally admitted that intentional breaches, demonstrating contempt for the provisions of the law, aremore severe than unintentional ones and therefore may be more likely to warrant the application of an
administrative fine. The relevant conclusions about wilfulness or negligence will be drawn on the basis ofidentifying objective elements of conduct gathered from the facts of the case. In addition, emergent case law
and practice in the field of data protection under the application of the Regulation will be illustrative of
circumstances indicating clearer thresholds for assessing whether a breach was intentional.
法令条項を軽視する故意の違反は、故意でない違反よりも深刻度が高いため、制裁金の適用が正当化される可能性が高くなる旨が一般的に認められている。該当する事案の事実から収集した違反行為の客観的要素を識別することで、違反の故意又は過失に関する結論を導き出すことができる。さらに、今後の判例法及び本規則の適用に基づくデータ保護の慣行により、違反が故意であるか否かを判断する上でのより明確な基準を示す状況が提示されるはずである。
Circumstances indicative of intentional breaches might be unlawful processing authorised explicitly by the
top management hierarchy of the controller, or in spite of advice from the data protection officer or indisregard for existing policies, for example obtaining and processing data about employees at a competitor
with an intention to discredit that competitor in the market.
故意の違反を示す状況としては、管理者の属する組織の最高幹部が明示的に承諾した違法な取扱
い、さらには、市場の競合他社の信頼性を損なう意図でデータ保護オフィサーの助言又は既存の方針を無視して競合他社の従業員に関するデータを取得及び取扱うこと等が挙げられる。
Other examples here might be:
その他の例には以下が含まれる。
‐

amending personal data to give a misleading (positive) impression about whether targets have been
met – we have seen this in the context of targets for hospital waiting times
目標達成に係る虚偽の（肯定的な）印象を与えるため個人データを改ざんする－病院の待ち時間の目標値に関連した実例あり。

‐

the trade of personal data for marketing purpose ie selling data as ‘opted in’ without
checking/disregarding data subjects’ views about how their data should be used
マーケティング目的で個人データの取引を行う。つまり、データの使用方法についてデータ主体の意見を確認せず／無視して、「オプトイン」としてデータを販売する。

Other circumstances, such as failure to read and abide by existing policies, human error, failure to check forpersonal data in information published, failure to apply technical updates in a timely manner, failure to adopt
policies (rather than simply failure to apply them)may be indicative of negligence.
既存の方針を熟読及び遵守しない、人為的ミス、公表された情報について個人データを確認しな
い、適時に技術的な更新を実施しない、方針を導入しない（単純に適用しないのではなく）等のその他の状況については、過失を示す場合がある。
Enterprises should be responsible for adopting structures and resources adequate to the nature and complexityof their business. As such, controllers and processors cannot legitimise breaches of data protection law byclaiming a shortage of resources. Routines and documentation of processing activities follow a risk-based
16

approach according to the Regulation.
企業は、自らの事業の性質及び複雑性に適した体制及びリソースを導入する責任を有しなければならない。そのため管理者及び処理者は、リソース不足を主張してデータ保護法の違反を正当化することはできない。取扱い活動のルーティン及び文書化については、本規則に基づくリスクに応じたアプローチに従うものとする。
There are grey areas which will affect decision-making in relation to whether or not to impose a corrective
measure and the authority may need to do more extensive investigation to ascertain the facts of the case andto ensure that all specific circumstances of each individual case were sufficiently taken into account.
是正措置を科すか否かに関しては、その意思決定に影響を及ぼす曖昧な領域があるため、場合によっては、事案の事実を確認し、各事案の特定の状況全てが十分に考慮されていることを確保するため監督機関がより広域な調査を行うことがありうる。

(c) any action taken by the controller or processor to mitigate the damage suffered by data subjects;(c) データ主体の受ける損害を軽減させるために管理者又は処理者がとった行動。
The data controllers and processors have an obligation to implement technical and organisational measures
to ensure a level of security appropriate to the risk, to carry out data protection impact assessments andmitigate risks arising form the processing of personal data to the rights and freedoms of the individuals.
However, when a breach occurs and the data subject has suffered damage, the responsible party should do
whatever they can do in order to reduce the consequences of the breach for the individual(s) concerned. Such
responsible behaviour (or the lack of it) would be taken into account by the supervisory authority in theirchoice of corrective measure(s) as well as in the calculation of the sanction to be imposed in the specific case.
データ管理者及び処理者は、リスクに適したセキュリティ水準を確保し、データ保護影響評価を実施し、個人データの取扱いに起因する個人の権利や自由に対するリスクを軽減するため、技術的及び組織的な措置を講じる義務を有する。しかし、違反が発生し、データ主体が損害を被った
場合、その責任を有する当事者は、該当者に対する当該違反の影響を軽減するため出来る限りのあらゆる措置を講じなければならない。当該行為（又は行為の不足）は、是正措置の選択及び特定の事案に科される制裁金の算出において監督機関が考慮するものになる。
Although aggravating and mitigating factors are particularly suited to fine-tune the amount of a fine to theparticular circumstances of the case, their role in the choice of appropriate corrective measure should not be
underestimated. In cases where the assessment based on other criteria leaves the supervisory authority indoubt about the appropriateness of an administrative fine, as a standalone corrective measure, or in
combination with other measures in article 58, such aggravating or attenuating circumstances may help tochoose the appropriate measures by tipping the balance in favour of what proves more effective, proportionate
and dissuasive in the given case.
加重要素又は軽減要素は、とりわけ事案の特定の状況に応じて制裁金の金額を調整する際に有効であるが、適切な是正措置の選択時におけるその役割についても過小評価するべきではない。他の基準に基づく評価後に、監督機関が単独の制裁措置として又は第58条に定める他の措置との併用で、制裁金の適切性に関して疑問が残る場合、かかる加重又は軽減の状況は、各事例における効果的、比例的及び抑止的な事項を優先して適切な措置を選択する上で有効となりうる。
This provision acts as an assessment of the degree of responsibility of the controller after the infringement17

has occurred. It may cover cases where the controller/processor has clearly not taken a reckless/ negligent
approach but where they have done all they can to correct their actions when they became aware of theinfringement.
本条項は、違反発生後に管理者が負う責任の度合いを評価する役割を果たす。ただし、管理者／
処理者の明らかな不注意／過失によらず、当該違反に気付いた時点で当該行為を是正するため出来る限りの全ての措置を講じた事案のみが対象となる。
Regulatory experience from SAs under the 95/46/EC Directive has previously shown that it can beappropriate to show some degree of flexibility to those data controllers/processors who have admitted to theirinfringement and taken responsibility to correct or limit the impact of their actions. This might include
examples such as (although this would not lead to a more flexible approach in every case):
指令95/46/ECに基づく監督機関の規制関連の経験に基づき、違反を認めた上で該当行為の影響を是正又は制限する責任を負ったデータ管理者／処理者に対してある程度の柔軟性を認めることが適切でありうることを前もって示している。これには、以下の例が含まれる場合がある（全ての事例でより柔軟なアプローチが採用されるわけではない）。
‐

contacting other controllers/processors who may have been involved in an extension of theprocessing e.g. if there has been a piece of data mistakenly shared with third parties.
取扱いの実施に関与した可能性のある他の管理者／処理者と連絡を取った（例：データの一部が誤って第三者と共有された場合）。

‐

timely action taken by the data controller/processor to stop the infringement from continuing or
expanding to a level or phase which would have had a far more serious impact than it did.
データ管理者／処理者が、実際の影響より遥かに深刻なレベル又は段階へと悪化しない
ように、違反の継続又は拡散を防止して、適時の措置を講じた。

(d) the degree of responsibility of the controller or processor taking into account technical andorganisational measures implemented by them pursuant to Articles 25 and 32;(d) 管理者及び処理者の責任の程度。第25条及び第32条による管理者又は処理者によって実施された技術的及び組織的対策を考慮する。
The Regulation has introduced a far greater level of accountability of the data controller in comparison with
the EC Data Protection Directive 95/46/EC.
本規則は、ECデータ保護指令95/46/ECよりも、データ管理者に遥かに重度な責任を義務付けている。
The degree of responsibility of the controller or processor assessed against the backdrop of applying anappropriate corrective measure may include:
管理者又は処理者に対する責任の程度は、以下を含む適切な是正措置の適用と照らし合わせて評価される。
‐

Has the controller implemented technical measures that follow the principles of data protection by
design or by default (article 25)?
管理者がデータ保護バイデザイン及びバイデフォルトの原則（第25条）に基づく技術的18

措置を実施したか。
‐

Has the controller implemented organisational measures that give effect to the principles of dataprotection by design and by default (article 25) at all levels of the organisation?
管理者が組織の全レベルにおいてデータ保護バイデザイン及びバイデフォルトの原則（第25条）に効果を持たせる目的で組織的な措置を実施したか。

‐

Has the controller/processor implemented an appropriate level of security (article 32)?
管理者／処理者が適切なセキュリティレベルになるようにしたか（第32条）。

‐

Are the relevant data protection routines/policies known and applied at the appropriate level ofmanagement in the organisation? (Article 24).
データ保護に関連するルーティン／方針は、組織内の適切なレベルの管理職に周知及び適用されているか（第24条）。

Article 25 and article 32 of the Regulation require that the controllers “take into account the state of the art,
the cost of implementation and the nature, scope, context, and purposes of the processing, as well as the risksof varying likelihood and severity for rights and freedoms for the natural persons posed by the processing”.
Rather than being an obligation of goal, these provisions introduce obligations of means, that is, the controller
must make the necessary assessments and reach the appropriate conclusions. The question that thesupervisory authority must then answer is to what extent the controller “did what it could be expected to do”
given the nature, the purposes or the size of the processing, seen in light of the obligations imposed on themby the Regulation.
本規則の第25条及び第32条は、管理者が「最新技術、実装費用、取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮」することを義務付けている。上記の条項は、目標の義務よりも手段の義務を説明するもので、管理者は必須評価を実施して適切な結論を導き出さねばならない。すなわち監督機関は、取扱いの性質、目的又は規模に鑑み、本規則が管理者に課した義務と照らし合わせて、管理者がどの程度「期待された事を実行したか」を考慮する必要がある。
In this assessment, due account should be taken of any “best practice” procedures or methods where these
exist and apply. Industry standards, as well as codes of conduct in the respective field or profession areimportant to take into account. Codes of practice might give an indication as to what is common practice inthe field and an indication of the level of knowledge about different means to address typical security issues
associated with the processing.
本評価では、適用可能な既存の「ベストプラクティス」手順又は手法を当然に考慮しなければならない。業界基準及び各分野又は業種の行動規範も考慮することが重要である。行動規範には、業界の標準慣行や、典型的な取扱い関連のセキュリティ問題に対する多様な対応策の知識水準が言及される場合がある。
While best practice should be the ideal to pursue in general, the special circumstances of each individual casemust be taken into account when making the assessment of the degree of responsibility.
一般的にベストプラクティスを目指すことが理想的とされるが、責任の度合いを評価する際には、各事案の特別な状況を考慮しなければならない。

19

(e)
(e)

any relevant previous infringements by the controller or processor;

管理者又は処理者による関連する以前のあらゆる違反

This criterion is meant to assess the track record of the entity committing the infringement. Supervisory
authorities should consider that the scope of the assessment here can be quite wide because any type of breachof the Regulation, though different in nature to the one being investigated now by the supervisory authority
might be “relevant” for the assessment, as it could be indicative of a general level of insufficient knowledge
or disregard for the data protection rules.
この基準は、違反をした主体の違反歴の評価を目的とする。一般的な知識不足又はデータ保護規則の軽視等、本規則のあらゆる種類の違反（現在、監督機関の調査対象となっている違反とは性質が異なる）が当該評価に「関連」する可能性があるため、監督機関は当該評価の範囲が非常に広範になりうることを考慮すべきである。
The supervisory authority should assess:
監督機関は以下を評価すべきである。
‐

Has the controller/processor committed the same infringement earlier?
管理者／処理者が過去に同じ違反をしたことがあるか。

‐

Has the controller/ processor committed an infringement of the Regulation in the same manner? (forexample as a consequence of insufficient knowledge of existing routines in the organisation, or as aconsequence of inappropriate risk assessment, not being responsive to requests from the data subject
in a timely manner, unjustified delay in responding to requests and so on).
管理者／処理者が過去に同じ方法で本規則の違反をしたことがあるか？（例：組織内の既存のルーティンに関する知識不足、又は不適切なリスク評価、データ主体からの要求に適時に対応しない、要求に対する不当な返答遅延など）。

(f) the degree of cooperation with the supervisory authority, in order to remedy the infringement and mitigate
the possible adverse effects of the infringement;(f) 違反の是正及び違反により起こり得る悪影響の軽減のため、監督機関との協力の程度。
Article 83 (2) provides that the degree of cooperation may be given “due regard” when deciding whether toimpose an administrative fine and in deciding on the amount of the fine. The Regulation does not give aprecise answer to the question how to take into account the efforts of the controllers or the processors toremedy an infringement already established by the supervisory authority. Moreover, it is clear that the criteria
would usually be applied when calculating the amount of the fine to be imposed.
第83条(2)は、制裁金を科すか否かの決定又は制裁金額の決定に際しては、協力の程度を「当然に考慮」できると定めている。監督機関が立証した違反について管理者又は処理者の是正努力をいかに考慮するかという疑問に対して、本規則は正確な回答を提示していない。また、当該基準が概して制裁金の金額算出に適用されることは明白である。
However, where intervention of the controller has had the effect that negative consequences on the rights of
the individuals did not produce or had a more limited impact than they could have otherwise done, this could
also be taken into account in the choice of corrective measure that is proportionate in the individual case.
しかし、管理者の介入によって個人の権利に対する悪影響が発生しなかった又は影響が軽減され20たという場合、これを考慮して、各事案において比例的な是正措置を選択することができる。
One example of a case where cooperation with the supervisory authority might be relevant to consider mightbe:
監督機関との協力を考慮すべき事案の例：‐

Has the entity responded in a particular manner to the supervisory authority’s requests during theinvestigation phase in that specific case which has significantly limited the impact on individuals’
rights as a result?
特定の事案の捜査段階において、該当する主体が監督機関の要求に特定の方法で対応した結果、個人の権利に対する影響を大幅に制限できた場合

This said, it would not be appropriate to give additional regard to cooperation that is already required by law
for example, the entity is in any case required to allow the supervisory authority access to premises foraudits/inspections.
ただし、ある事案の主体に対して監査／検査目的で監督機関に敷地への立ち入りを認めることが義務付けられる等、法令等で既に義務付けられる協力を特段考慮することは適切ではない。

(g) the categories of the personal data affected by the infringement;(g) 違反によって影響を受ける個人データの種類
Some examples of key questions that the supervisory authority may find it necessary to answer here, if
appropriate to the case, are:
監督機関が考慮する必要のある主要事項の例（各事案に適切な場合）‐

Does the infringement concern processing of special categories of data set out in articles 9 or 10 of
the Regulation?
違反が本規則の第9条又は第10条に定める特別な種類のデータの取扱いに関連するか。

‐

Is the data directly identifiable/ indirectly identifiable?
データは直接的又は間接的に識別可能か？

‐

Does the processing involve data whose dissemination would cause immediate damage/distress tothe individual (which falls outside the category of article 9 or 10)?
個人に即時の損害／悪影響を及ぼすデータ流布に関連する（ただし、第9条又は第10条の種類に該当しない）取扱いか。

‐

Is the data directly available without technical protections, or is it encrypted13?
データは技術的な保護又は暗号化なしに直接利用可能か13。

13

It shouldn’t always be considered ‘a bonus’ mitigating factor that the breach only concerns indirectly identifiable or evenpseudonymous/encrypted data. For those breaches, an overall assessment of the other criteria might give a moderate or strong
indication that a fine should be imposed.
違反が間接的に特定可能なデータ又は偽名の／暗号化されたデータのみに関連する場合、当該基準を常に「追加の」軽減要素とみなすべきではない。当該違反については、他の基準の全体評価をすることで、制裁金を科すべきか否かについての軽微又は強固な判断材料となる可能性がある。

21

(h) the manner in which the infringement became known to the supervisory authority, in particular whether,and if so to what extent, the controller or processor notified the infringement;(h) 監督機関への違反通知措置。特に管理者又は処理者が違反を通知したか否か、もし通知したのならその程度
A supervisory authority might become aware about the infringement as a result of investigation, complaints,
articles in the press, anonymous tips or notification by the data controller. The controller has an obligationaccording to the Regulation to notify the supervisory authority about personal data breaches. Where thecontroller merely fulfils this obligation, compliance with the obligation cannot be interpreted as anattenuating/ mitigating factor. Similarly, a data controller/processor who acted carelessly without notifying,or at least not notifying all of the details of the infringement due to a failure to adequately assess the extent
of the infringement may also be considered by the supervisory authority to merit a more serious penalty i.e.
it is unlikely to be classified as a minor infringement.
捜査、苦情、発行物の記事、匿名の通報又はデータ管理者の通知の結果として、監督機関が違反を認識する場合がある。管理者は、本規則に基づき、個人データの違反を監督機関に通知する義務を負う。監督者が当該義務を単に履行しただけという場合、当該義務の遵守は低減／軽減要素とはみなされない。同様に、データ管理者／処理者が通知をせずに不注意な行為をした場合、又は違反の範囲を十分に評価しなかったことに起因して、少なくともその全詳細を通知しなかった
場合、監督機関がより深刻な処罰を検討することがある（つまり、軽微な違反に分類する可能性が低くなる）。

(i) where measures referred to in Article 58(2) have previously been ordered against the controller orprocessor concerned with regard to the same subject-matter, compliance with those measures;(i)
同じ対象事項に関して、関連する管理者又は処理者に対して事前に命令された第58 条

第2 項で定める措置における、それら対策への遵守
A controller or processor may already be on the supervisory authority’s radar for monitoring their complianceafter a previous infringement and contacts with the DPO where they exist are likely to have been extensive.
Therefore, the supervisory authority will take into account the previous contacts.
管理者又は処理者が過去の違反以降に監督機関による遵守監視の対象となっており、データ保護責任者（DPO）とのやりとり（存在する場合）が広範に及ぶ可能性がある。そのため、監督機関
は過去のやりとりを考慮する。
As opposed to the criteria in (e), this assessment criteria only seeks to remind supervisory authorities to refer
to measures that they themselves have previously issued to the same controller or processors “with regard to
the same subject matter”.
第(e)号の評価基準とは対照的に、当該基準は、監督機関が自ら「同一の主題に関して」同一の管理者又は処理者に過去に命じた措置を参照するようかかる監督機関に注意を促すことのみを目的としたものである。

(j) adherence to approved codes of conduct pursuant to Article 40 or approved certification mechanisms
pursuant to Article 42;(j) 第40条による承認された行動規範又は第42条による承認された認証メカニズムの固守
22Supervisory authorities have a duty to “monitor and enforce the application of this Regulation, (article 57 1(a))”. Adherence to approved codes of conduct may be used by the controller or processor as an way todemonstrate compliance, according to articles 24 (3), 28 (5) or 32 (3).
監督機関は、「本規則の適用の監視と執行（第57条(1)(a)）」に対する義務を有する。承認された行動規範の遵守は、第24条(3)、第28条(5)又は第32条(3)に基づく遵守を証明する方法として管理者又は処理者が使用できる。
In case of a breach of one of the provisions of the Regulation, adherence to an approved code of conduct
might be indicative of how comprehensive the need is to intervene with an effective, proportionate, dissuasive
administrative fine or other corrective measure from the supervisory authority. Approved codes of conduct
will, according to article 40 (4) contain “mechanisms which enable the (monitoring) body to carry out
mandatory monitoring of compliance with its provisions”.
本規則のいずれかの条項違反が生じた場合、承認された行動規範の遵守は、監督機関が効果的、比例的、抑止的な制裁金又はその他の是正措置をもって介入する必要性がどの程度あるかの判断材料となる場合がある。第40条(4)に基づき、承認された行動規範には、「行動規範の規定の遵守に関して（監督）機関による必須の監視を実行可能にする仕組み」が含まれる。
Where the controller or processor has adhered to an approved code of conduct, the supervisory authority may
be satisfied that the code community in charge of administering the code takes the appropriate action
themselves against their member, for example through the monitoring and enforcement schemes of the codeof conduct itself. Therefore, the supervisory authority might consider that such measures are effective,
proportionate or dissuasive enough in that particular case without the need for imposing additional measuresfrom the supervisory authority itself. Certain forms of sanctioning non-compliant behaviour may be madethrough the monitoring scheme, according to article 41 (2) c and 42 (4), including suspension or exclusion of
the controller or processor concerned from the code community. Nevertheless, the powers of the monitoring
body are “without prejudice to the tasks and powers of the competent supervisory authority”, which meansthat the supervisory authority is not under an obligation to take into account previously imposed sanctions
pertaining to the self-regulatory scheme.
管理者又は処理者が承認された行動規範を遵守する場合、当該規範の管理責任を担うコミュニテ
ィがメンバーに自ら適切な措置を講じることにつき、監督機関がこれで満足する場合がある（例：行動規範の監視及び執行制度を通した措置等）。そのため監督機関は、自らが追加的な措置を講じることなく、当該措置が特定の事案において十分に効果的、比例的又は抑止的であると判断するケースがある。不遵守行為の特定の制裁手段は、第41条(2)(c)及び第42条(4)に基づいて監視制度を通して実施することができる。当該制裁には、該当する管理者又は処理者を行動規範コミュニティから最終的又は一時的に除外すること等が含まれる。ただし、かかる監視組織の権限は「所轄監督機関の業務及び権限を侵害」しないものであるため、監督機関は自主規制スキームで科された過去の制裁を考慮する義務を負わない。
Non-compliance with self-regulatory measures could also reveal the controller’s/processor’s negligence or
intentional behaviour of non-compliance.
自主規制措置の不遵守では、管理者／処理者の過失又は故意の不遵守行為が明らかとなる場合が
ある。

(k)

any other aggravating or mitigating factor applicable to the circumstances of the case, such as
23

financial benefits gained, or losses avoided, directly or indirectly, from the infringement.

(k)

事案の状況に適用される加重要素又は軽減要素。例えば直接又は間接に、違反から得られた
財政上の利益又は避けられた損失。
The provision itself gives examples of which other elements might be taken into account when deciding theappropriateness of an administrative fine for an infringement of the provisions mentioned in Article 83(4-6).
本条項は、第83条(4)から(6)で言及した条項違反に対する制裁金の適切性を決定する際に考慮しうる他の要素の例を提示するものである。
Information about profit obtained as a result of a breach may be particularly important for the supervisory
authorities as economic gain from the infringement cannot be compensated through measures that do nothave a pecuniary component. As such, the fact that the controller had profited from the infringement of theRegulation may constitute a strong indication that a fine should be imposed.
違反による経済的利益は金銭上の要素を含まない措置では補償できないため、違反に起因して取得した利益に関する情報は監督機関にとって特に重要となりうる。そのため、管理者が本規則の違反を通して利益を得た事実がある場合、これは制裁金処分の強固な根拠となりうる。

IV. Conclusion
IV. まとめ
Reflections on the questions such as those provided in the previous section will help supervisory authorities
identify, from the relevant facts of the case, those criteria which are most useful in reaching a decision onwhether to impose an appropriate administrative fine in addition to or instead of other measures under Article
58. Taking into account the context provided by such assessment, the supervisory authority will identify themost effective, proportionate and dissuasive corrective measure to respond to the breach.
先のセクションに記載するような疑問点を検討することは、監督機関が、第58条に基づく他の措置に加えて／の代わりに適切な制裁金を科すべきか否かを決定する際に、事案の関連事実から最も有用な基準を特定することに役立つ。監督機関は、当該評価で得られた前後関係を考慮した上で、違反の対処に最も効果的、比例的及び抑止的な是正措置を特定する。
Article 58 provides some guidance as to which measures a supervisory authority might choose, as thecorrective measures in themselves are different in nature and suited primarily for achieving different purposes.
Some of the measures in article 58 may even be possible to cumulate, therefore achieving a regulatory action
comprising more than one corrective measure.
是正措置はそれぞれ性質が異なり、概して異なる目標達成を念頭としたものであるため、監督機関が選択しうる措置に関しては第58条からある程度のガイダンスを取得することができる。第58条に定める措置の一部は累積可能な場合もあり、複数の是正措置で構成された規制対策を実現することも可能である。
It is not always necessary to supplement the measure through the use of another corrective measure. For
example: The effectiveness and dissuasiveness of the intervention by the supervisory authority with its due
consideration of what is proportionate to that specific case may be achieved through the fine alone.
ある措置を他の是正措置で補完することは必ずしも必要でない。例：特定の事案の比例性を十分24に考慮した監督機関による効果的及び抑止的な介入は、制裁金のみで達成することが可能な場合もある。
In essence, authorities need to restore compliance through all of the corrective measures available to them.
Supervisory authorities will also be required to choose the most appropriate channel for pursuing regulatory
action. For example, this could include penal sanctions (where these are available at national level).
本質的に、監督機関は利用可能な全ての是正措置を通して法令遵守の回復を図る必要がある。監督機関には、規制活動の実施に最適な手段を選択することが義務付けられている（国内で利用可
能な場合は、刑事上の制裁等）。
The practice of applying administrative fines consistently across the European Union is an evolving art.
Actions should be taken by supervisory authorities working together to improve consistency on an ongoingbasis. This can be achieved through regular exchanges through case-handling workshops or other events
which allow the comparison of cases from the sub-national, national and cross-border levels. The creation ofa permanent sub-group attached to a relevant part of the EDPB is recommended to support this ongoing
activity.
EU域内における一貫した制裁金の適用実践は、進化を遂げる技能である。その一貫性を継続的に改善するため、監督機関の間の連携で適切な手段を講じていくべきである。これは、事案対処に関するワークショップ、又は地方、国家、越境レベルでの事例比較が可能なイベントを通した
定期的な情報交換によって達成することができる。この継続的な活動を支援するに当たり、
EDPBの該当部門に永続的なサブグループを設置することが推奨される。

25