仮日本語訳

Guidelines 2/2018 on derogations of Article 49 under Regulation 2016/679
規則 2016/679 第 49 条の例外に関するガイドライン 2/2018

本書面は、The European Data Protection Board （欧州データ保護会議）により2018年
5月25日に採択された、 “Guidelines 2/2018 on derogations of Article 49 under Regulation
2016/679” の英語版の一部を個人情報保護委員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。

1

Contents
目次
1. GENERAL ...................................................................................................................................... 4

1． 総論 ................................................................................................................................................. 4
2.

SPECIFIC INTERPRETATION OF THE PROVISIONS OF ARTICLE 49 ................................ 102.

第 49 条の規定の個別解釈 ......................................................................................................... 10
2.1 The data subject has explicitly consented to the proposed transfer, after having been informedof the possible risks of such transfers for the data subject due to the absence of an adequacy decision
and appropriate safeguards - Article (49 (1) (a))............................................................................... 10
2.1 十分性認定及び適切な保護措置が存在しないために、そのような移転がそのデータ主体に対して発生させる可能性のあるリスクの情報提供を受けた後に、そのデータ主体が、提案された移転に明示的に同意した場合－第 49 条（1）（a） ............................................... 10
2.1.1

Consent must be explicit................................................................................................. 11

2.1.1

同意は明示的でなければならない ............................................................................ 11

2.1.2

Consent must be specific for the particular data transfer/set of transfers ....................... 12

2.1.2
同意は個別のデータ移転／一連の移転に対して特定されたものでなければならない ................................................................................................................................... 12
2.1.3

Consent must be informed particularly as to the possible risks of the transfer ............. 13

2.1.3
同意は、特に移転がもたらしうるリスクに関して、十分に情報を提供された上で行われるものでなければならない 15 ........................................................................... 13
2.2 Transfer necessary for the performance of a contract between the data subject and thecontroller or for the implementation of precontractual measures taken at the data subject’s request (49 (1) (b)) ........................................................................................................................................ 15
2.2 データ主体と管理者の間の契約の履行のために必要となる、又は、データ主体の要求により、契約締結前の措置を実施するために必要となる移転－第 49 条（1）（b） ....... 15
2.3 Transfer necessary for the conclusion or performance of a contract concluded in the interestof the data subject between the controller and another natural or legal person - (49 (1) (c)) ........... 18
2.3 管理者及びそれ以外自然人若しくは法人との間でデータ主体の利益のために帰する
契約の締結、又は、その契約の履行のために必要な移転－第 49 条（1）（c） ................... 18
2.4

Transfer is necessary for important reasons of public interest - (49 (1) (d)) .......................... 20

2.4

公共の利益の重大な事由により移転が必要である場合－第 49 条（1）（d） ............ 20

2.5
(e))

Transfer is necessary for the establishment, exercise or defense of legal claims - (49 (1)22

2.5

法的主張時の立証、行使又は抗弁に、移転が必要である場合－第 49 条（1）（e）. 22

2.6 Transfer necessary in order to protect the vital interests of the data subject or of other persons,
where the data subject is physically or legally incapable of giving consent – (49 (1) (f)) ............... 25
2.6データ主体が物理的又は法的に同意を与えることができない場合において、データ主体又はそれ以外の者の生命に関する利益を保護するために必要な移転－第 49 条（1）（f）…………………………………………………………………………………………………………………………………………………….25
2

2.7

Transfer made from a public register - (49 (1) (g) and 49 (2))............................................... 27

2.7

公的な登録簿からの移転－第 49 条（1）（g）及び第 49 条（2） ................................ 27

2.8

Compelling legitimate interests – (49 (1) § 2) ....................................................................... 29

2.8

必要不可欠の正当な利益－（第 49 条（1）後段） ........................................................ 29

3

The European Data Protection Board
欧州データ保護会議は、Having regard to Article 70 (1j) and (1e) of the Regulation 2016/679/EU of the European Parliament and of
the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal
data and on the free movement of such data, and repealing Directive 95/46/EC,
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移動に関する、並びに、指令 95/46/EC を廃止する欧州議会及び理事会の 2016 年 4 月 27 日の規則 2016/679/EU の第 70 条（1j）及び（1e）に鑑み、HAS ADOPTED FOLLOWING GUIDELINES:
下記のガイドラインを採択した。
1. GENERAL
1．総論
This document seeks to provide guidance as to the application of Article 49 of the General Data Protection
Regulation (GDPR) 1 on derogations in the context of transfers of personal data to third countries.
本書では、個人データを第三国へ移転する場合における例外に対して、一般データ保護規則 1 第49 条を適用する際の指針を示すことを目的とする。
The document builds on the previous work 2 done by the Working Party of EU Data Protection Authorities
established under Article 29 of the Data Protection Directive (the WP29) which is taken over by the European
Data Protection Board (EDPB) regarding central questions raised by the application of derogations in thecontext of transfers of personal data to third countries. This document will be reviewed and if necessary
updated, based on the practical experience gained through the application of the GDPR.
本書は、個人データを第三国へ移転する場合に例外を適用することによって生じる主な問題に関して、データ保護指令第 29 条に基づき設置された（欧州データ保護会議（以下 EDPB）に引き継がれる）EU データ保護監督機関の作業部会（第 29 条作業部会：以下 WP29）が作成した従来の文書 2 を元にして作成された。本書については GDPR の適用によって得られた実際の経験に即して、見直し、及び、必要とされる場合は、更新を行う。

1 REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on theprotection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing
Directive 95/46/EC (General Data Protection Regulation).
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移動に関する、並びに、指令
95/46/EC を廃止する欧州議会及び理事会の 2016 年 4 月 27 日の規則(EU)2016/679（一般データ保護規則）。
2 Article 29 Working Party, Working Document on a common interpretation of Article 26(1) of Directive 95/46/EC of 24
October 1995, November 25,2005 (WP114)
第 29 条作業部会、1995 年 10 月 24 日の指令 95/46/EC 第 26 条（1）の共通解釈に関する作業文書、2005 年 11 月 25日（WP114）4

When applying Article 49 one must bear in mind that according to Article 44 the data exporter transferring
personal data to third countries or international organizations must also meet the conditions of the otherprovisions of the GDPR. Each processing activity must comply with the relevant data protection provisions,in particular with Articles 5 and 6. Hence, a two-step test must be applied: first, a legal basis must apply tothe data processing as such together with all relevant provisions of the GDPR; and as a second step, theprovisions of Chapter V must be complied with.
第 49 条を適用するにあたり、第 44 条に従い、第三国又は国際機関に個人データを移転するデー
タ移転元が、GDPR の他の規定の条件も満たさなければならないことに留意しなければならない。
それぞれの取扱活動は、関連するデータ保護規定、特に第 5 条及び第 6 条に従わなければならな
い。それゆえ、2 段階のテストを行わなければならない。第 1 段階として、GDPR のすべての関連規定とともに、データ取扱自体に法的根拠が適用されなければならない。また第 2 段階として、第 5 章の規定を遵守しなければならない。

Article 49 (1) states that in the absence of an adequacy decision or of appropriate safeguards, a transfer or aset of transfers of personal data to a third country or an international organization shall take place only undercertain conditions. At the same time, Article 44 requires all provisions in Chapter V to be applied in such a
way as to ensure that the level of protection of natural persons guaranteed by the GDPR is not undermined.
This also implies that recourse to the derogations of Article 49 should never lead to a situation where
fundamental rights might be breached. 3
第 49 条（1）では、十分性認定又は適切な保護措置がなされていないとき、第三国又は国際機関
への個人データの移転又は一連の移転は、一定の条件下でしか行うことができないとされている。
同時に、第 44 条では、GDPR によって保障される自然人に対する保護のレベルが低下しないよう確実を期すために、第 5 章の全規定の適用が義務付けられている。これは、第 49 条の例外に依拠することによって、基本的権利が侵害されかねない状況が生じるようなことが決してあってはならないという意味でもある 3。

The WP29, as predecessor of the EDPB, has long advocated as best practice a layered approach 4 to transfersof considering first whether the third country provides an adequate level of protection and ensuring that theexported data will be safeguarded in the third country. If the level of protection is not adequate in light of all
the circumstances, the data exporter should consider providing adequate safeguards. Hence, data exporters
should first endeavor possibilities to frame the transfer with one of the mechanisms included in Articles 45
and 46 GDPR, and only in their absence use the derogations provided in Article 49 (1).

3 Article 29 Working Party, WP 114, p.9, and Article 29 Working Party Working Document on surveillance of electronic

communications for intelligence and national security purposes (WP228), p.39.
第 29 条作業部会、WP114、p.9、並びに、インテリジェンス及び国家安全保障目的の電気通信傍受に関する第 29条作業部会作業文書（WP228）、p.39。
4 Article 29 Working Party, WP114, p.9
第 29 条作業部会、WP114、p.9

5

EDPB の前身である WP29 が長らく、最も望ましい慣行であると推奨してきたのは、はじめに第三国において十分な水準の保護が行われているかどうかを検討した上で、移転されるデータが当該第三国で保護措置を受けられるように確実を期すという、移転に関する段階的アプローチ 4 であった。あらゆる状況を踏まえた上で、保護の水準が十分でないと判明した場合、データ移転元
は十分な保護措置を講じることを検討すべきである。それゆえ、データ移転元はまず、移転がGDPR 第 45 条及び第 46 条に挙げられたメカニズムの 1 つに該当する可能性を模索し、その可能性がない場合にのみ第 49 条（1）に定められた例外を用いるべきである。

Therefore, derogations under Article 49 are exemptions from the general principle that personal data may
only be transferred to third countries if an adequate level of protection is provided for in the third country or
if appropriate safeguards have been adduced and the data subjects enjoy enforceable and effective rights inorder to continue to benefit from their fundamental rights and safeguards. 5 Due to this fact and in accordancewith the principles inherent in European law, 6 the derogations must be interpreted restrictively so that the
exception does not become the rule. 7 This is also supported by the wording of the title of Article 49 whichstates that derogations are to be used for specific situations (“Derogations for specific situations”).
したがって、第 49 条に基づく例外とは、十分な水準の保護が第三国で与えられる場合、又は適切な保護措置が提示され、かつ、データ主体が引き続き基本的な権利及び保護措置を享受するようにするため執行可能かつ実効的な権利を享受する場合にのみ、個人データを第三国に移転することができるとする一般原則からの例外なのである 5。この事実に起因して、かつ欧州法に内在する原則に従い 6、例外がルールとならないようにすべく、例外は限定的に解釈されなければならない 7。これは、例外は特定の状況において用いられるべきものであると述べた第 49 条の表題の文言によっても裏付けられている（「特定の状況における例外」）。

5 Recital 114

前文第 114 項
6 Article 29 Working Party, WP114, p.7
第 29 条作業部会、WP114、p.7
7 See already Article 29 Working Party, WP114, pg. 7. The European Court of Justice repeatedly underlined that “the protectionof the fundamental right to respect for private life at EU level requires that derogations from and limitations on the protectionof personal data should apply only in so far as is strictly necessary” (judgments of 16 December 2008, Satakunnan
Markkinapörssi and Satamedia, C 73/07, paragraph 56; of 9 November 2010, Volker und Markus Schecke and Eifert, C 92/09
and C 93/09, paragraph 77; the Digital Rights judgment, paragraph 52, and of 6 October 2015, Schrems, C 362/14, paragraph
92, and of 21 December 2016, Tele2 Sverige AB, C 203/15, paragraph 96). See also report on the Additional Protocol toConvention 108 on the control authorities and cross border flows of data, Article 2(2) (a), p.6 accessible athttps://www.coe.int/en/web/conventions/fulllist/-/conventions/treaty/181.1)
前掲第 29 条作業部会、WP114、p.7 を参照。欧州司法裁判所は繰り返し、「EU レベルで私生活を尊重するための基本的な権利を保護するには、厳に必要な場合に限り、個人データ保護の例外及び個人データ保護への制限が適用されることが求められる」と強調した（Satakunnan Markkinapörssi and Satamedia、2008 年 12 月 16 日の判決、C
73/07、パラグラフ 56；Volker and Markus Schecke and Eifert、2010 年 11 月 9 日の判決、C 92/09、C93/09、パラグ
ラフ 77；デジタル権に関する判決、パラグラフ 52；Schrems、2015 年 10 月 6 日の判決、C362/14、パラグラフ
92；Tele2 Sverige AB、2016 年 12 月 21 日の判決、C 203/15、パラグラフ 96）。監督機関及びデータの国際流通に関する第 108 号条約追加議定書のレポート、第 2 条 2 項 a 号、p.6（ https://www.coe.int/en/web/conventions/full-list//conventions/treaty/181 から入手可能）も参照すること。

6

When considering transferring personal data to third countries or international organizations, data exporters
should therefore favour solutions that provide data subjects with a guarantee that they will continue to benefit
from the fundamental rights and safeguards to which they are entitled as regards processing of their data once
this data has been transferred. As derogations do not provide adequate protection or appropriate safeguards
for the personal data transferred and as transfers based on a derogation are not required to have any kind ofprior authorisation from the supervisory authorities, transferring personal data to third countries on the basisof derogations leads to increased risks for the rights and freedoms of the data subjects concerned.
第三国又は国際機関への個人データの移転を検討する際、データ移転元は、データが移転された後、自らのデータの取扱いに関してデータ主体に与えられる、基本的な権利及び保護措置による保護を受け続けられるということの保証を、データ主体に与えられるような方策を優先すべきである。例外においては、移転される個人データが十分に保護されない、又はそれに対する適切な保護措置がなされず、かつ、例外に基づく移転においては監督機関からのいかなる類いの事前の許可も必要とされないので、例外に基づく第三国への個人データ移転は、データ主体の権利と自由に対するリスクの増大をもたらす。

Data exporters should also be aware that, in the absence of an adequacy decision, Union or Member Statelaw may, for important reasons of public interest, expressly limit transfers of specific categories of personal
data to a third country or an international organization (Article 49 (5)).
データ移転元は、十分性認定がなされていない場合、EU 法又は加盟国の国内法では、公益上重要な理由のために、特定の種類の個人データの第三国又は国際機関への移転を明確に制限できる
ことも認識すべきである（第 49 条（5））
。

Occasional and not repetitive transfers
偶発的であり、反復的なものでない移転

The EDPB notes that the term “occasional” is used in recital 111 and the term “not repetitive” is used in the“compelling legitimate interests” derogation under Article 49 par. 1 §2. These terms indicate that suchtransfers may happen more than once, but not regularly, and would occur outside the regular course of actions,for example, under random, unknown circumstances and within arbitrary time intervals. For example, a datatransfer that occurs regularly within a stable relationship between the data exporter and a certain data importercan basically be deemed as systematic and repeated and can therefore not be considered occasional or notrepetitive. Besides, a transfer will for example generally be considered to be non-occasional or repetitive
when the data importer is granted direct access to a database (e.g. via an interface to an IT-application) on a
general basis.
当 EDPB は、「偶発的」の語が前文第 111 項で用いられ、「反復的なものでない」の語が第 49 条(1)
後段に基づく「必要不可欠の正当な利益」の例外で用いられていることを指摘する。これらの語は、かかる移転が、定期的でなくても、複数回起こりうるものであり、例えば、無作為の、未知の状況で、任意の間隔で、通常の一連の行動以外で起こることを示す。例えば、データ移転元と7

何らかのデータ移転先の安定した関係の中で定期的に生じるデータ移転は基本的に、体系的かつ反復的と見なすことができ、それゆえ偶発的又は反復性がないとは見なし得ない。加えて、移転は、例えば、データ移転先が（例えば IT アプリケーションのインターフェースを経由して）直接アクセスすることを一般に認められているとき、それは通常、非偶発的又は反復的と見なされる。

Recital 111 differentiates among the derogations by expressly stating that the “contract” and the “legal claims”
derogations (Article 49 (1) subpar. 1 (b), (c) and (e)) shall be limited to “occasional” transfers, while such
limitation is absent from the “explicit consent derogation”, the “important reasons of public interest
derogation”, the “vital interests derogation” and the “register derogation” pursuant to Article 49 (1) subpar.
1 (a), (d), (f) and, respectively, (g).
前文第 111項では、「契約」と「訴訟」の例外（第 49 条（1）（b）
、（c）及び（e））が「偶発的な」移転に限定されている一方で、第 49 条（1）（a）に基づく「明示的な同意による例外」、第 49 条（d）に基づく「公共の利益の重大な事由の例外」、第 49 条（f）に基づく「生命に関する利益の例外」及び第 49 条（g）に基づく「登録簿の例外」にはかかる限定は存在しないことに触れ、例
外を区別している。

Nonetheless, it has to be highlighted that even those derogations which are not expressly limited to“occasional” or “not repetitive” transfers have to be interpreted in a way which does not contradict the very
nature of the derogations as being exceptions from the rule that personal data may not be transferred to a third
country unless the country provides for an adequate level of data protection or, alternatively, appropriate
safeguards are put in place.8とはいえ、「偶発的な」又は「反復的なものでない」移転と明確に限定されない例外であっても、その国において十分な水準のデータ保護がなされていない、又は適切な保護措置が施行されていないならば、個人データを当該第三国に移転してはならないという原則から外れるものであるという例外の本質と矛盾しないように解釈しなければならない点は、強調されなければならない 8。

Necessity test
必要性テストOne overarching condition for the use of several derogations is that the data transfer has to be “necessary”
for a certain purpose. The necessity test should be applied to assess the possible use of the derogations ofArticles 49 (1) (b), (c), (d), (e) and (f). This test requires an evaluation by the data exporter in the EU ofwhether a transfer of personal data can be considered necessary for the specific purpose of the derogation to
be used. For more information on the specific application of the necessity test in each of the concerned
derogations, please refer to the relevant sections below.
それぞれの例外を用いるにあたって、最重要の条件が、そのデータ移転が一定の目的に対して「必要」でなければならないということである。この必要性テストは、第 49 条（1）
（b）、
（c）
、
8 【原文に記載なし】

8

（d）、（e）及び（f）の例外を用いることが可能かどうかを評価するために行われるべきである。
このテストを行うに当たっては、EU 域内のデータ移転元が、用いようとする例外の具体的な目
的において、個人データの移転が必要と見なせるかどうかを評価することが必要になる。当該の個々の例外における、必要性テストを具体的に行うに当たっての詳細な説明は、以下の関連項目を参照すること。

Article 48 in relation to derogations
第 48 条と例外との関係

The GDPR introduces a new provision in Article 48 that needs to be taken into account when consideringtransfers of personal data. Article 48 and the corresponding recital 115 provide that decisions from third
country authorities, courts or tribunals are not in themselves legitimate grounds for data transfers to third
countries. Therefore, a transfer in response to a decision from third country authorities is in any case only
lawful, if in line with the conditions set out in Chapter V. 9
GDPR では第 48 条に、個人データの移転を検討する際に考慮する必要のある新たな規定が導入された。第 48 条及び対応する前文第 115 項では、第三国当局の決定、裁判所又は法廷の判決自体は、第三国へのデータ移転の法的根拠とならないと定められている。したがって、第三国当局の決定に応じて行われる移転は、いかなる場合においても、第 5 章に示された条件に則していなけ
れば適法とならない 9。

In situations where there is an international agreement, such as a mutual legal assistance treaty (MLAT), EU
companies should generally refuse direct requests and refer the requesting third country authority to existing
MLAT or agreement.
刑事共助条約（MLAT）など、国際協定が存在する状況では、EU 企業は一般に、直接的な要求は全て断り、要求してきた第三国当局に対しては既存の MLAT 又は協定を介して要求するよう伝えるべきである。

This understanding also closely follows Article 44, which sets an overarching principle applying to allprovisions of Chapter V, in order to ensure that the level of protection of natural persons guaranteed by the
GDPR is not undermined.
以上の解釈は、厳密に第 44 条に基づいて行われたものでもある。第 44 条では GDPR で保障される自然人の保護の水準が下がらないよう確実を期すために、第 5 章の全規定に適用される最重要の原則が定められている。

9 See Recital 115 sentence 4

前文第 115 項第 4 文を参照。

9

2. SPECIFIC INTERPRETATION OF THE PROVISIONS OF ARTICLE 49
2.
第 49 条の規定の個別解釈
2.1

The data subject has explicitly consented to the proposed transfer, after having been

informed of the possible risks of such transfers for the data subject due to the absence of anadequacy decision and appropriate safeguards - Article (49 (1) (a))
2.1
十分性認定及び適切な保護措置が存在しないために、そのような移転がそのデータ主体に対して発生させる可能性のあるリスクの情報提供を受けた後に、そのデータ主体が、提案された移転に明示的に同意した場合－第 49 条（1）（a）
The general conditions for consent to be considered as valid are defined in Articles 4 (11) 10 and 7 of the
GDPR 11. The WP29 provides guidance on these general conditions for consent in a separate document, whichis endorsed by the EDPB. 12 These conditions also apply to consent in the context of Article 49 (1) (a).
However, there are specific, additional elements required for consent to be considered a valid legal groundfor international data transfers to third countries and international organizations as provided for in Article 49(1) (a), and this document will focus on them.
同意が有効と見なされるための一般的な条件は、GDPR 第 4 条（11）10 及び第 7 条に定義されている 11。WP29 は別の文書において同意についての一般的な条件に関して指針を示しており、EDPB（a）の場合における同意にも適用さはこれを承認（endorse）する 12。この条件は、第 49 条（1）れる。ただし、同意が、第 49 条（1）（a）に規定されているように、第三国又は国際機関へのデータの国際的な移転を適法とする法的根拠であると見なされるためには、特定の要素が、さらに、複数必要となるのであり、本書ではそこに焦点を当てることにしたい。

Therefore, this section (1) of the present guidelines shall be read in conjunction with the WP29 guidelines onconsent, endorsed by the EDPB, which provide a more detailed analysis on the interpretation of the generalconditions and criteria of consent under the GDPR. 13 It should also be noted that, according to Article 49 (3),public authorities are not able to rely on this derogation in the exercise of their public powers.
したがって、このガイドラインの項目（1）を参照する場合は、EDPB が承認する第 29 条作業部
会の同意に関するガイドラインも併せて参照せねばならない。後者においては、GDPR に基づく同意の一般的条件の解釈、及びその基準の解釈に関して、さらに詳細な分析が加えられている 13。
10 According to Article 4(11) of the GDPR, 'consent' of the data subject means any freely given, specific, informed andunambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies
agreement to the processing of personal data relating to him or her.
GDPR 第 4 条（11）によると、データ主体の「同意」とは、自由に与えられ、特定され、事前に説明を受けた上での、不明瞭ではない、データ主体の意思の表示をいい、それによってデータ主体が、その陳述又は明確な積極的行為により、自身に関連する個人データの取扱いの同意を表明するものを意味する。
11 Also recitals 32, 33, 42 and 43 give further guidance on consent
前文第 32、33、42 及び 43 項が同意に関してさらなる指針を示している。
12 See Article 29 Working Party Guidelines on Consent under Regulation 2016/679 (WP259)
規則 2016/679 に基づく同意に関する第 29 条作業部会のガイドライン（WP259）を参照。
13 Idem
前掲書10また、第 49 条（3）により、公的機関は公権力を行使する際にこの例外を用いることができない点に留意すべきである。

Article 49 (1) (a) states that a transfer of personal data to a third country or an international organization may
be made in the absence of an adequacy decision pursuant to Article 45(3), or of appropriate safeguards
pursuant to Article 46, including binding corporate rules, on the condition that ‘the data subject has explicitly
consented to the proposed transfer, after having been informed of the possible risks of such transfers for thedata subject due to the absence of an adequacy decision and appropriate safeguards’.
第 49 条（1）（a）では、第 45 条（3）に基づく十分性認定又は第 46 条に基づく適切な保護措置（拘束的企業準則を含む）がなされていない場合、「十分性認定及び適切な保護措置がなされていないことに起因する、当該のデータ主体に関する移転によってもたらされうるリスクについて十分に情報が提供された後、データ主体が提案された移転に明示的に同意した」ことを条件として、第三国又は国際機関への個人データの移転を行うことができると述べている。

2.1.1 Consent must be explicit
2.1.1
同意は明示的でなければならない

According to Article 4 (11) of the GDPR, any consent should be freely given, specific, informed andunambiguous. On this very last condition, Article 49 (1) (a) is stricter as it requires “explicit” consent. Thisis also a new requirement in comparison to Article 26 (1) (a) of Directive 95/46/EC, which only required“unambiguous” consent. The GDPR requires explicit consent in situations where particular data protection
risks may emerge, and so, a high individual level of control over personal data is required, as is the case forthe processing of special category data (Article 9 (2) (a)) and automated decisions (Article 22 (2) (c)). Such
particular risks also appear in the context of international data transfers.
GDPR 第 4 条（11）に基づけば、いかなる同意も、自由に与えられ、特定され、事前に説明を受けた上で行われ、不明瞭ではないものとすべきである、とされている。このまさしく最後の条件に関して、第 49 条（1）（a）では「明示的」同意が必要になるとされており、第 4 条（11）よりもさらに厳しいものとなっている。同意が「不明瞭でない」ものであることだけが必要とされていた指令 95/46/EC 第 26 条（1）（a）と比べると、新しい要件が１つ加わったということでもある。
GDPR で、明示的同意が必要とされるのは、データ保護に関する特段のリスクが発生しうる状況であり、したがって、特別な種類のデータの取扱い（第 9 条（2）（a））や自動化された決定（第22 条（2）（c））の場合のように、個人データについては、高い水準で個人が管理することが求められていることになる。そのようなデータ保護に関する特段のリスクは、国際的なデータ移転の場合においても発生するものである。

11

For further guidance on the requirement of explicit consent, and for the other applicable requirements needed
for consent to be considered valid, please refer to the WP29’s Guidelines on Consent which are endorsed by
the EDPB. 14
明示的同意の要件についての指針に関してさらに詳しい情報が必要である場合や、同意が有効と見なされるために必要な他の該当要件についての情報が必要である場合は、EDPB が承認している第 29 条作業部会の同意ガイドライン 14 を参照すること。

2.1.2 Consent must be specific for the particular data transfer/set of transfers
2.1.2
同意は個別のデータ移転／一連の移転に対して特定されたものでなければな
らない
One of the requirements of valid consent is that it must be specific. In order to constitute a valid ground fora data transfer pursuant to Article 49 (1) (a), hence, consent needs to be specifically given for the particular
data transfer or set of transfers.
同意が有効であるための要件の 1 つは、それが特定されたものでなければならないことである。
それゆえ、同意が、第 49 条（1）（a）に基づいた、データ移転を有効とみなす根拠となるには、
個別のデータ移転／一連の移転に対して、同意が明確に与えられる必要がある。

The element “specific” in the definition of consent intends to ensure a degree of user control and transparency
for the data subject. This element is also closely linked with the requirement that consent should be“informed”.
同意の定義における「特定された」という語には、データ主体に対して、一定程度のユーザー管理及び透明性を確保するという意図がある。この要素は、同意が「十分に情報を提供された上で行われる」べきであるという要件と密接に関連している。

Since consent must be specific, it is sometimes impossible to obtain the data subject’s prior consent for a
future transfer at the time of the collection of the data, e.g. if the occurrence and specific circumstances of atransfer are not known at the time consent is requested, the impact on the data subject cannot be assessed. As
an example, an EU company collects its customers’ data for a specific purpose (delivery of goods) without
considering transferring this data, at that time, to a third party outside the EU. However, some years later, thesame company is acquired by a non-EU company which wishes to transfer the personal data of its customers
to another company outside the EU. In order for this transfer to be valid on the grounds of the consent
derogation, the data subject should give his/her consent for this specific transfer at the time when the transfer
is envisaged. Therefore, the consent provided at the time of the collection of the data by the EU company fordelivery purposes is not sufficient to justify the use of this derogation for the transfer of the personal data
outside the EU which is envisaged later.

14 Idem

前掲書

12同意は特定されたものでなければならないため、データの収集を行う際に、将来の移転のために
データ主体から事前に同意を得ておくということは、不可能になることがある。例えば、同意が求められた際に、移転を行うということも、その特定の状況も分からなければ、データ主体に対する影響は評価しようがない。一例を挙げると、ある EU 企業が特定の目的（商品の配送）で顧客のデータを集めるとする。その際には EU 域外の第三者にこのデータを移転することを考えてはいなかった。しかし同じ企業が数年後、非 EU 企業に買収され、その企業は顧客の個人データ
を EU 域外の別会社に移転することを望む。この移転が同意の例外に基づいて有効なものとなるためには、移転が想定された時点で、データ主体が特定の移転に同意を与えなければならない。
それゆえ、EU 企業が配送を目的としてデータを収集した時点で得られた同意では、その後に想定された EU 域外への個人データ移転について、この例外の適用を適法とするには、不十分である。

Therefore, the data exporter must make sure to obtain specific consent before the transfer is put in place even
if this occurs after the collection of the data has been made. This requirement is also related to the necessity
for consent to be informed. It is possible to obtain the specific consent of a data subject prior to the transfer
and at the time of the collection of the personal data as long as this specific transfer is made known to thedata subject and the circumstances of the transfer do not change after the specific consent has been given by
the data subject. Therefore the data exporter must make sure that the requirements set out in section 1.3 below
are also complied with.
したがって、データ移転元は、データの移転がデータ収集を完了した後に行う場合であっても、データを移転する前に特定の同意を確実に取得しなければならない。この要件は、同意が十分に情報を提供された上で行われる必要があるということとも関係する。特定の移転がデータ主体に通知され、かつ、特定の同意がデータ主体によって与えられた後も移転の状況が変わらない限り、個人データの移転前や、データの収集時にデータ主体から特定の同意を取得するのは可能である。
それゆえ、データ移転元は、下記セクション 1.3 に示された要件を確実に遵守しなければならな
い。

2.1.3 Consent must be informed 15 particularly as to the possible risks of the transfer
2.1.3
同意は、特に移転がもたらしうるリスクに関して、十分に情報を提供された上で行われるものでなければならない 15

This condition is particularly important since it reinforces and further specifies the general requirement of“informed” consent as applicable to any consent and laid down in Art. 4 (11). 16 As such, the general

15 The general transparency requirements of Articles 13 and 14 of the GDPR should also be complied with. For more

information see Guidelines on transparency under Regulation 2016/679 (WP 260)
GDPR 第 13 条及び第 14 条の一般的な透明性要件も遵守すべきである。詳しい情報は、規則 2016/679 に基づく透明性に関するガイドライン（WP260）を参照すること。
16 See Article 29 Working Party Guidelines on Consent under Regulation 2016/679 (WP259)
規則 2016/679 に基づく同意に関する第 29 条作業部会ガイドライン（WP259）を参照。

13

requirement of “informed” consent, requires, in the case of consent as a lawful basis pursuant to Article 6(1)(a) for a data transfer, that the data subject is properly informed in advance of the specific circumstances of
the transfer, (i.e. the data controller’s identity, the purpose of the transfer, the type of data, the existence ofthe right to withdraw consent, the identity or the categories of recipients). 17
この条件は、「十分に情報を提供された上で行われる」同意の一般的な要件を補強し、一層明確にするものであって、特に重要である 16。この一般的な要件は、あらゆる同意が準拠するものであり、第 4 条（11）に規定されたものである。第 6 条（1）（a）に基づき、データ移転を適法とする根拠として同意を用いようとする場合において、そのようなものとしての「十分に情報を提供された上で行われる」同意の一般的要件で求められるものは、データ主体が移転の特定の状況（すなわち、データ管理者の身元、移転の目的、データの種類、同意を撤回する権利の存在、取得者の身元又はカテゴリー）について、事前に正しく情報を提供することである 17。

In addition to this general requirement of “informed” consent, where personal data are transferred to a third
country under Article 49 (1) (a), this provision requires data subjects to be also informed of the specific risks
resulting from the fact that their data will be transferred to a country that does not provide adequate protection
and that no adequate safeguards aimed at providing protection for the data are being implemented. The
provision of this information is essential in order to enable the data subject to consent with full knowledge ofthese specific facts of the transfer and therefore if it is not supplied, the derogation will not apply.
この「十分に情報を提供された上で行われる」同意の一般的要件に加え、個人データが第 49 条
（1）（a）に基づいて第三国に移転される場合、この規定において、適切な保護が与えられない国、及びデータの保護を目的とした適切な保護措置が実施されない国にデータが移転されるという事実によって生じる具体的なリスクに関しての情報もまたデータ主体に提供される必要があるとされている。この情報が提供されることは、データ主体がこれらの特定の事実について、十分な知識を得た上で同意できるようにする上で不可欠であり、その情報が提供されない場合、例外は適用されない。

The information provided to data subjects in order to obtain consent for the transfer of their personal data to
third parties established in third countries should also specify all data recipients or categories of recipients,
all countries to which the personal data are being transferred to, that the consent is the lawful ground for thetransfer, and that the third country to which the data will be transferred does not provide for an adequate levelof data protection based on a European Commission decision. 18 In addition, as mentioned above, information
has to be given as to the possible risks for the data subject arising from the absence of adequate protection in
the third country and the absence of appropriate safeguards. Such notice, which could be standardized, should
include for example information that in the third country there might not be a supervisory authority and/or
data processing principles and/or data subject rights might not be provided for in the third country.
17 Idem, page 13

前掲書、p.13
18 The last mentioned requirement also stems from the duty to inform the data subjects (Article 13(1)(f), Article 14(1)(e))
前出の要件は、データ主体に情報を提供する義務からも生じる（第 13 条（1）（f）、第 14 条（1）（e））

14

第三国に拠点がある第三者に個人データを移転することについての同意を取得するため、データ主体に通知される情報においては、すべてのデータ取得者又は取得者の類型、及び個人データの移転先となるすべての国について、また、同意が移転を適法とする根拠となることについて、さらに、データが移転される第三国が欧州委員会の決定に基づく十分な水準のデータ保護を提供していないことについても、明示されるべきである 18。加えて、上記のとおり、当該第三国において十分な保護がなされないこと、及び適切な保護措置がなされないために、データ主体に対して発生しうるリスクに関して、情報が提供されなければならない。この情報提供は、標準化できるかもしれないが、例えば当該第三国に監督機関及び／若しくはデータ取扱原則が存在しないことがありうるという可能性、並びに／又はデータ主体の権利が当該第三国で与えられないことがあ
りうるという可能性も併せて情報提供されるべきである。

In the specific case where a transfer is performed after the collection of personal data from the data subject
has been made, the data exporter should inform the data subject of the transfer and of its risks before it takes
place so as to collect his explicit consent to the “proposed” transfer.
データ主体から個人データが収集された後で移転が行われるような特定の事例においては、デー
タ移転元は「提案した」移転に対する明示的同意をデータ主体から得るため、データ移転を行う
前に、データ主体に移転とそのリスクに関する情報を提供すべきである。

As shown by the analysis above, the GDPR sets a high threshold for the use the derogation of consent. Thishigh threshold, combined with the fact that the consent provided by a data subject can be withdrawn at any
time, means that consent might prove not to be a feasible long term solution for transfers to third countries.
上記の分析で示したとおり、GDPR では、同意の例外を適用するにあたって、高い基準が設けられている。この高い基準が存在することは、データ主体から与えられる同意はいつでも撤回することができるという事実と相まって、同意を得ても、第三国へ移転するための実行可能な長期的解決策とはならないことがありうることを意味している。

2.2
Transfer necessary for the performance of a contract between the data subject and thecontroller or for the implementation of precontractual measures taken at the data subject’s
request - (49 (1) (b))
2.2
データ主体と管理者の間の契約の履行のために必要となる、又は、データ主体の要求により、契約締結前の措置を実施するために必要となる移転－第 49 条
（1）（b）
In view of recital 111, data transfers on the grounds of this derogation may take place “where the transfer isoccasional and necessary in relation to a contract (…)” 19
19 The criterion of “occasional” transfers is found in recital 111 and applies to the derogations of Article 49 (1) (b), (c) and(e).
「偶発的な」移転の基準は、前文第 111 項にも見受けられ、第 49 条（1）（b）、（c）及び（e）の例外に適用される。

15

前文第 111 項を踏まえ、この例外に基づくデータ移転は、「契約との関係において、その移転が偶発的なものであり、かつ、必要なものである場合」に行うことができる 19。

In general, although the derogations relating to the performance of a contract may appear to be potentiallyrather broad, they are being limited by the criterions of “necessity” and of “occasional transfers”.
一般に、契約の履行に関わる例外は、潜在的にかなり広い範囲に及ぶものであるように思えるかもしれないが、「必要性」という基準と「偶発的な移転」という基準によって限定されているのである。

Necessity of the data transfer
データ移転の必要性

The “necessity test” 20 limits the number of cases in which recourse can be made to Article 49 (1) (b). 21 It
requires a close and substantial connection between the data transfer and the purposes of the contract.
（b）を用いることのできる事例の数は限定されたも「必要性テスト」20 によって、第 49 条（1）のになっている 21。データ移転と契約の目的の間には密接かつ実体的な関連があることが要求されているのである。

This derogation cannot be used for example when a corporate group has, for business purposes, centralized
its payment and human resources management functions for all its staff in a third country as there is no direct
and objective link between the performance of the employment contract and such transfer. 22 Other grounds
for transfer as provided for in Chapter V such as standard contractual clauses or binding corporate rules may,
however, be suitable for the particular transfer.
例えば企業グループがビジネスの目的で社員全員の給与支払いや人事機能を第三国に集約した際に、雇用契約の履行とかかる移転の間に直接かつ客観的なつながりはないので、この例外を適用することはできない 22。ただし、標準契約条項や拘束的企業準則など、第 5 章に定められた他の移転の根拠であるならば、この移転における根拠として用いるにふさわしいものとなる場合がある。

On the other hand, the transfer by travel agents of personal data concerning their individual clients to hotels
or to other commercial partners that would be called upon in the organization of these clients’ stay abroadcan be deemed necessary for the purposes of the contract entered into by the travel agent and the client, since,
20 See also Article 29 Working Party Opinion 06/2014 on the notion of legitimate interests of the data controller under Article

7 of Directive 95/46/EC (WP 217)
指令 95/46/EC 第 7 条に基づくデータ管理者の正当な利益の概念については、第 29 条作業部会意見 06/2014（WP217）も参照。
21 The “necessity” requirement also can be found in the derogations set forth in Article 49 (1) (c) to (f).
「必要性」要件は、第 49 条（1）（c）から（f）に規定された例外にも見受けられる。
22 In addition it will not be seen as being occasional (see below).
加えて、偶発的とも見なされない（以下参照）。

16

in this case, there is a sufficient close and substantial connection between the data transfer and the purposesof the contract (organization of clients’ travel).
他方、旅行代理店が、個々の顧客の個人データについて、海外旅行の手配をするに当たって必要となるホテルや他の商業パートナーに対して、移転を行う場合であるならば、その移転は、旅行代理店と顧客が交わした契約の目的において必要と見なすことができる。この場合、データ移転と契約目的（顧客の旅行の手配）の間に、十分に密接かつ実体的な関連があるからである。

This derogation cannot be applied to transfers of additional information not necessary for the performance ofthe contract or, respectively, for the implementation of precontractual measures requested by the data
subject 23; for additional data other tools would hence be required.
この例外は、契約を履行する上で必要がない、あるいは、データ主体が個別に要求した契約前措置を実施 23 する上で必要ない、追加情報の移転に対して適用することはできない。そのため、追加データに対しては、別の手段が必要となる。

Occasional transfers
偶発的な移転Personal data may only be transferred under this derogation when this transfer is occasional. 24 It would haveto be established on a case by case basis whether data transfers or a data transfer would be determined as“occasional” or “non-occasional”.
この例外に基づき個人データを移転できるのは、移転が偶発的なときだけである 24。複数回又は1 回のデータ移転が「偶発的」と判断されるか「偶発的でない」と判断されるかに関しては事例ごとに判断しなければならない。

A transfer here may be deemed occasional for example if personal data of a sales manager, who in the context
of his/her employment contract travels to different clients in third countries, are to be sent to those clients inorder to arrange the meetings. A transfer could also be considered as occasional if a bank in the EU transfers
personal data to a bank in a third country in order to execute a client’s request for making a payment, as longas this transfer does not occur in the framework of a stable cooperation relationship between the two banks.
ここで、例えば雇用契約の文脈に従い、第三国のさまざまな顧客のもとに出張する営業担当者の個人データが、会合を手配する目的で顧客に送付される場合、移転は偶発的と見なされることがある。EU の銀行が、支払いを行いたいという顧客の要求を実行するため、第三国の銀行に個人

23 More generally, all derogations of Article 49(1) (b) to (f) only allow that the data which are necessary for the purpose of thetransfer may be transferred.
より一般的に、第 49 条（1）（b）から（f）までの例外はすべて、移転の目的にとって必要なデータを移転できるとしか認めていない。
24 As to the general definition of the term « occasional » see page 4「偶発的」の語の一般的定義は 4 ページを参照。

17

データを移転する場合も、この移転が両行の安定した協力関係の枠組みの中で行われるのでない
限り、移転は偶発的と見なされる可能性がある。

On the contrary, transfers would not qualify as “occasional” in a case where a multi-national company
organises trainings in a training centre in a third country and systematically transfers the personal data of
those employees that attend a training course (e.g. data such as name and job title, but potentially also dietaryrequirements or mobility restrictions). Data transfers regularly occurring within a stable relationship would
be deemed as systematic and repeated, hence exceeding an “occasional” character. Consequently, in this casemany data transfers within a business relationship may not be based on Article 49 (1) (b).
逆に、多国籍企業が第三国の研修センターで研修を企画し、研修コースに出席する従業員の個人データ（例えば氏名と職階のほか、潜在的には食べ物の必要事項や移動の制限などのデータ）を体系的に移転する場合、この移転は、「偶発的な」移転の基準を満たさないだろう。日常的に安定した協力関係により行われるデータ移転は体系的かつ反復的とみなされるのであり、それゆえ「偶発的」という特徴を有しないことになる。ゆえに、この場合において、1 つのビジネス関係の中で多数のデータを移転することは、第 49 条（1）（b）の規定に基づかないものと考えられる。

According to Article 49(1) (3), this derogation cannot apply to activities carried out by public authorities inthe exercise of their public powers.
第 49 条（1）（3）により、この例外は公的機関が公権力を行使して行う業務に適用できない。

2.3
Transfer necessary for the conclusion or performance of a contract concluded in theinterest of the data subject between the controller and another natural or legal person - (49 (1)(c))
2.3
管理者及びそれ以外自然人若しくは法人との間でデータ主体の利益のために帰する契約の締結、又は、その契約の履行のために必要な移転－第 49 条（1）（c）
The interpretation of this provision is necessarily similar to that of Article 49 (1) (b); namely, that a transfer
of data to a third country or an international organization in the absence of an adequacy decision pursuant to
Article 45(3), or of appropriate safeguards pursuant to Article 46, can only be deemed to fall under the
derogation of Article 49(1) (c), if it can be considered to be “necessary for the conclusion or performance ofa contract between the data controller and another natural or legal person, in the interest of the data subject”.
この条項の解釈は、必然的に第 49 条（1）（b）の解釈に類似したものになる。すなわち、第 45 条
（3）の十分性認定がなされていない、又は第 46 条の適切な保護措置がなされていない第三国又は国際機関へのデータ移転は、「管理者及びそれ以外自然人若しくは法人との間でデータ主体の利益のための契約の締結又履行のために必要」と見なしうる場合にのみ、第 49 条（1）（c）の例
外に該当すると考えられる。

18

Aside from being necessary, recital 111 indicates that, data transfers may only take place “where the transfer
is occasional and necessary in relation to a contract (...)” Therefore, apart from the “necessity test”, personal
data here as well may only be transferred under this derogation only when the transfer is occasional.
（･･･）契約との関必要であるということは別にして、前文第 111 項では、データ移転に関して、「係において、その移転が偶発的なものであり、かつ、必要なものである場合に」のみ、それを行ってもよいと示されている。したがって、「必要性テスト」とは別に、ここでも同様に、移転が偶発的なものである場合にのみ、この例外に基づいて個人データを移転することができる。

Necessity of the data transfer and conclusion of the contract in the interest of the data subject
データ移転の必要性とデータ主体のための契約締結

Where an organization has, for business purposes, outsourced activities such as payroll management toservice providers outside the EU, this derogation will not provide a basis for data transfers for such purposes,
since no close and substantial link between the transfer and a contract concluded in the data subject’s interest
can be established even if the end purpose of the transfer is the management of the pay of the employee. 25
Other transfer tools provided in Chapter V may provide a more suitable basis for such transfers such as
standard contractual clauses or binding corporate rules.
ある組織がビジネスの目的で、給与管理などの業務を EU 域外の事業者に外注する場合、この例
外はその目的でデータを移転するための根拠とならない。たとえ移転の最終的な目的が従業員の給与管理であっても、移転と、データ主体のため締結される契約との間の密接かつ実体的な関連を証明できないからである 25。標準契約条項や拘束的企業準則など、第 5 章で規定された他の移転手段の方が、かかる移転に対する根拠としてより適切なものとなるだろう。

Occasional transfers
偶発的な移転Moreover, personal data may only be transferred under this derogation, when the transfer is occasional as itis the case under the derogation of Article 49 (1) (b). Therefore, in order to assess whether such transfer isoccasional, the same test has to be carried out26.
さらに、個人データがこの例外に基づき移転できるのは、第 49 条（1）（b）の例外に基づく場合と同様に、移転が偶発的なときのみである。したがって、かかる移転が偶発的かどうかを評価するためには、同様のテストが行われなければならない 26。

25 In addition it will not be seen as being occasional (see below).

加えて、偶発的とも見なされない（以下参照）。
26 As to the general definition of the term “occasional” please see page 4「偶発的」の語の一般的定義は 4 ページを参照。

19

Finally, according to Article 49(1) (3), this derogation cannot apply to activities carried out by publicauthorities in the exercise of their public powers. 27
最後に、第 49 条（1）（3）により、この例外は公的機関が公権力を行使して行う業務に適用できない 27。

2.4 Transfer is necessary for important reasons of public interest - (49 (1) (d))
2.4
公共の利益の重大な事由により移転が必要である場合－第 49 条（1）（d）
This derogation, usually referred to as the “important public interest derogation”, is very similar to theprovision contained in Directive 95/46/EC 28 under Article 26 (1) (d), which provides that a transfer shall takeplace only where it is necessary or legally required on important public interest grounds.
（d）に含まこの例外は通常、「重大な公共の利益の例外」と呼ばれ、指令 95/46/EC28 第 26 条（1）れる規定によく似ている。この規定は、重大な公共の利益上の理由から必要とされている、又は法的に義務付けられている場合に限り、移転を行うことができると定められている。

According to Article 49 (4), only public interests recognized in Union law or in the law of the Member Stateto which the controller is subject can lead to the application of this derogation.
第 49 条（4）により、管理者が服する EU 法又は加盟国の国内法で認められる公共の利益のみが、この例外の適用につながりうる。

However, for the application of this derogation, it is not sufficient that the data transfer is requested (forexample by a third country authority) for an investigation which serves a public interest of a third country
which, in an abstract sense, also exists in EU or Member State law. Where for example a third country
authority requires a data transfer for an investigation aimed at combatting terrorism, the mere existence ofEU or member state legislation also aimed at combatting terrorism is not as such a sufficient trigger to apply
Article 49 (1) (d) to such transfer. Rather, as emphasized by the WP29, predecessor of the EDPB, in previous
statements, 29 the derogation only applies when it can also be deduced from EU law or the law of the member
state to which the controller is subject that such data transfers are allowed for important public interest
purposes including in the spirit of reciprocity for international cooperation. The existence of an international
agreement or convention which recognises a certain objective and provides for international cooperation to

27 For more information please refer to section 1, page 5 above.

詳しい情報は、上記セクション 1、5 ページを参照。
28 DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL, of 24 October 1995 on theprotection of individuals with regard to the processing of personal data and on the free movement of such data
個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する欧州議会及び理事会の 1995 年 10 月 24
日の指令 95/46/EC
29 Article 29 Working Party Opinion 10/2006 on the processing of personal data by the Society for Worldwide Interbank
Financial Telecommunication (SWIFT) (WP128), p. 25
国際銀行間金融通信協会（SWIFT）による個人データの取扱いに関する第 29 条作業部会意見 10/2006（WP128）、p.25

20

foster that objective can be an indicator when assessing the existence of a public interest pursuant to Article
49 (1) (d), as long as the EU or the Member States are a party to that agreement or convention.
しかし、この例外を適用するに当たっては、第三国の、EU 法又は加盟国の国内法でも触れられている抽象的な意味での公共の利益に資する調査のため、（例えば第三国の当局によって）デー
タ移転が求められているというだけでは不十分である。例えば、第三国当局がテロ対策を目的とする調査のためデータ移転を要求する場合、テロ対策を目的とする EU 法又は加盟国の国内法が存在するだけでは、かかる移転に第 49 条（1）（d）を適用する十分な契機とならない。そうではなく、EDPB の前身である第 29 条作業部会が従来のステートメント 29 で強調したとおり、管理者が服する EU 法又は加盟国の国内法から、かかるデータ移転が、国際協力における相互主義の精神をはじめとする公共の利益上重大な事由のために、許容されると推測できる場合に限り、例外は適用される。一定の目的を認定し、その目的を推進するために国際協力を規定する国際協定又は条約の存在は、EU 又は加盟国が当該協定又は条約の締約国である限り、第 49 条（1）（d）に基づいた公共の利益の存在を評価する際の指標になりうる。

Although mainly focused to be used by public authorities, Article 49 (1) (d) may also be relied upon by
private entities. This is supported by some of the examples enumerated in recital 112 which mention bothtransfers by public authorities and private entities 30.
第 49 条（1）（d）は、公的機関が用いることにもっぱら焦点を当てているが、民間事業体も用いることができる。これは、前文第 112 項に列挙された例の一部が、公的機関と民間事業体の両方による移転に言及していることで裏付けられている 30。

As such, the essential requirement for the applicability of this derogation is the finding of an important public
interest and not the nature of the organization (public, private or international organization) that transfers
and/or receives the data.
以上のように、この例外を適用するに当たり必須となる要件は、重大な公共の利益を見出すことにあり、データを移転する及び／又は受領する組織（公的、民間又は国際機関）の性質ではない。

Recitals 111 and 112 indicate that this derogation is not limited to data transfers that are “occasional” 31. Yet,this does not mean that data transfers on the basis of the important public interest derogation under Article
49 (1) (d) can take place on a large scale and in a systematic manner. Rather, the general principle needs tobe respected according to which the derogations as set out in Article 49 shall not become “the rule” in practice,30“international data exchange between competition authorities, tax or customs administrations, between financial
supervisory authorities, between services competent for social security matters, or for public health, for example in the caseof contact tracing for contagious diseases or in order to reduce and/or eliminate doping in sport.”「競争当局、税務当局又は税関の間、金融監督当局間、社会保障問題又は公衆衛生の権限を有する事業体（services）の間の、例えば接触感染症の接触の追跡の場合又はスポーツにおけるドーピングの抑制及び／又は撲滅のための、国際データ交換」
31 As to the general definition of the term « occasional » see page 4「偶発的」の語の一般的定義は 4 ページを参照。

21

but need to be restricted to specific situations and each data exporter needs to ensure that the transfer meetsthe strict necessity test. 32
前文第 111 項及び 112 項では、この例外が「偶発的」なデータ移転に限定されないことが示され（d）の重大な公共の利益の例外に基づくデータ移転が、ている 31。ただし、それは、第 49 条（1）
大規模かつ体系的な形で行えるという意味ではない。むしろ、一般原則は尊重される必要があるのであって、これにより、第 49 条に示された例外は実務上の「ルール」となってはならず、特定の状況に限定する必要があるのであって、各データ移転元は移転が厳格な必要性の基準を満たすものになるように確実を期す必要がある 32。

Where transfers are made in the usual course of business or practice, the EDPB strongly encourages all data
exporters (in particular public bodies 33 ) to frame these by putting in place appropriate safeguards inaccordance with Article 46 rather than relying on the derogation as per Article 49(1) (d).
移転が通常の業務又は実務の過程で行われる場合、すべてのデータ移転元（特に公的機関 33）は、第 49 条（1）（d）に基づいた例外を用いるのではなく、第 46 条に基づいた適切な保護措置を実施することで、その移転を形づくるように、EDPB は強く勧める。

2.5
Transfer is necessary for the establishment, exercise or defense of legal claims - (49(1) (e))2.5
法的主張時の立証、行使又は抗弁に、移転が必要である場合－第 49 条（1）（e）
Establishment, exercise or defense of legal claims
法的主張時の立証、行使又は抗弁

Under Article 49 (1) (e), transfers may take place when “the transfer is necessary for the establishment,
exercise or defense of legal claims”. Recital 111 states that a transfer can be made where it is “occasionaland necessary in relation to a contract or a legal claim, regardless of whether in a judicial procedure orwhether in an administrative or any out-of-court procedure, including procedures before regulatory bodies”.
This covers a range of activities for example, in the context of a criminal or administrative investigation in athird country (e.g. anti-trust law, corruption, insider trading or similar situations), where the derogation may
apply to a transfer of data for the purpose of defending oneself or for obtaining a reduction or waiver of afine legally foreseen e.g. in anti-trust investigations. As well, data transfers for the purpose of formal pre-trial
discovery procedures in civil litigation may fall under this derogation. It can also cover actions by the data
exporter to institute procedures in a third country for example commencing litigation or seeking approval for

32 See also page 3

3 ページも参照
33 For example financial supervisory authorities exchanging data in the context of international transfers of personal data foradministrative cooperation purposes
例えば、金融監督当局は、事務協力目的における個人データの国際移転の文脈でデータを交換する

22

a merger. The derogation cannot be used to justify the transfer of personal data on the grounds of the mere
possibility that legal proceedings or formal procedures may be brought in the future.
第 49 条（1）（e）に基づき、「法的主張時の立証、行使又は抗弁に、移転が必要である」場合、移転を行うことができる。前文第 111 項では、「規制当局の手続を含め、それが司法手続内のものであるか行政手続若しくは訴訟外手続によるものであるかを問わず、契約又は訴訟との関係において、その移転が偶発的なものであり、かつ、必要なものである」場合に、移転を行うことができるとされている。これは、第三国の刑事又は行政上の調査（例えば、独占禁止法、汚職、インサ
イダー取引又は類似の状況）の場合など、一定範囲の活動が対象となり、自己防衛のため、又は例えば独占禁止調査で法的に予見される罰金の減免を得るためのデータ移転に、この例外が適用できる。同様に、民事裁判における公式の裁判の前の証拠開示手続のためのデータ移転は、この例外に該当するだろう。例えば裁判を提起する、又は合併の承認を求めるなどの手続を、第三国で開始するデータ移転元の行為も、対象になりうる。この例外は、裁判手続や公的手続を将来起こされるかもしれないという単なる可能性を理由として、個人データの移転を正当化するためには用いることはできない。

This derogation can apply to activities carried out by public authorities in the exercise of their public powers(Article 49 (3)).
この例外は、公的機関が公権力を行使して行う活動に適用できる（第 49 条（3））
。

The combination of the terms “legal claim” and “procedure” implies that the relevant procedure must have abasis in law, including a formal, legally defined process, but is not necessarily limited to judicial oradministrative procedures (“or any out of court procedure”). As a transfer needs to be made in a procedure,a close link is necessary between a data transfer and a specific procedure regarding the situation in question.
The abstract applicability of a certain type of procedure would not be sufficient.
「法的主張」と「手続」の語の組み合わせが示唆していることは、関連する手続は、正式な、法的に定義された手続も含め、法的な根拠があるものでなければならないということであるが、それは必ずしも司法手続や行政手続（「又は何らかの訴訟外手続）に限定されるわけではないことも示唆されている。手続の中で移転が必要となることから、データ移転と当該状況に関する具体的な手続の間に、密接な関連が必要となる。何らかの種類の手続を抽象的に当てはめるだけでは、十分ではない。

Data controllers and data processors need to be aware that national law may also contain so-called “blocking
statutes”, prohibiting them from or restricting them in transferring personal data to foreign courts or possibly
other foreign official bodies.
また、データ管理者とデータ取扱者は、外国裁判所、又は場合によると他の外国公的機関への個人データの移転を禁止する又は制限する、いわゆる「ブロッキング法令」が国内法に存在しうると認識する必要がある。

23

Necessity of the data transfer
データ移転の必要性

A data transfer in question may only take place when it is necessary for the establishment, exercise or defenseof the legal claim in question. This “necessity test” requires a close and substantial connection between thedata in question and the specific establishment, exercise or defense of the legal position. 34 The mere interestof third country authorities or possible “good will” to be obtained from the third country authority as such
would not be sufficient.
当該のデータ移転は、当該の法的主張時の立証、行使又は抗弁に必要なものであるときのみ行う
ことができる。この「必要性テスト」では、法的立場の具体的な立証、行使又は抗弁と当該データの間に、密接かつ実体的な関連が存在することが求められている 34。第三国当局の単なる関心や第三国当局から得られるかもしれない「善意」では、十分ではない。

Whilst there may be a temptation for a data exporter to transfer all possibly relevant personal data in response
to a request or for instituting legal procedures, this would not be in line with this derogation or with the GDPR
more generally as this (in the principle of data minimization) emphasizes the need for personal data to beadequate, relevant and limited to what is necessary in relation to the purposes for which they are processed.
データ移転元は、要求に応じるため、又は法的手続を始めるため、関連する可能性のある個人データをすべて移転したいという誘惑にかられるかもしれないが、それは、この例外にも、またより一般的な意味で GDPR にも則していない。なぜならばここでは（データ最小化原則において）、
個人データが取り扱われる目的との関係において、個人データは、必要なものに対して、適切なものであり、関連しており、限定されることが求められている点が強調されているからである。

In relation to litigation proceedings the WP29, predecessor of the EDPB, has already set out a layered
approach to the question of whether the personal data should be transferred, including the application of thisprinciple. As a first step, there should be a careful assessment of whether anonymized data would be sufficientin the particular case. If this is not the case, then transfer of pseudonymized data could be considered. If it isnecessary to send personal data to a third country, its relevance to the particular matter should be assessed
before the transfer – so only a set of personal data that is actually necessary is transferred and disclosed.
訴訟手続に関して、EDPB の前身である第 29 条作業部会では過去に、この原則の適用をはじめとした、個人データを移転すべきかどうかという問題に対して、段階的アプローチというものが示されている。第 1 段階として、当該事例では、匿名化データで十分なのではないかということが慎重に評価されるべきである。匿名化データでは十分でないとなった場合でも、仮名化データを移転することを検討できるであろう。個人データを第三国に送る必要があるとなった場合、個別事案との関連性が、移転前に評価されるべきである――ここまできてはじめて、実際に必要な一連の個人データの移転及び開示を行うことができるようになるのである。
34 Recital 111: “necessary in relation to a contract or a legal claim.”

前文第 111 項：「契約又は訴訟との関係において必要」

24

Occasional transfer
偶発的な移転Such transfers should only be made if they are occasional. For information on the definition of occasionaltransfers please see the relevant section on “occasional and “non-repetitive” transfers. 35 Data exporters would
need to carefully assess each specific case.
かかる移転は、偶発的な場合のみ行うべきである。偶発的な移転の定義に関する情報は、「偶発的な」及び「反復性がない」移転に関連する項目を参照すること 35。データ移転元は、それぞれの具体的な事例を慎重に評価する必要がある。

2.6
Transfer necessary in order to protect the vital interests of the data subject or of otherpersons, where the data subject is physically or legally incapable of giving consent – (49 (1)(f))
2.6
データ主体が物理的又は法的に同意を与えることができない場合において、データ主体又はそれ以外の者の生命に関する利益を保護するために必要な移転－第49 条（1）（f）
The derogation of Article 49 (1) (f) obviously applies when data is transferred in the event of a medical
emergency and where it is considered that such transfer is directly necessary in order to give the medical carerequired.
第 49 条（1）（f）の例外は、医療上の緊急時にデータが移転されるときや、必要な医療を与える
ため、かかる移転が直接必要と考えられるときには、当然適用されることとなる。

Thus, for example, it must be legally possible to transfer data (including certain personal data) if the data
subject, whilst outside the EU, is unconscious and in need of urgent medical care, and only a exporter (e.g.
his usual doctor), established in an EU Member State, is able to supply these data. In such cases the law
assumes that the imminent risk of serious harm to the data subject outweighs data protection concerns.
それゆえ、例えば、データ主体が EU 域外にいて、意識がなく緊急の医療を要し、EU 加盟国内に拠点がある移転元（例えば、普段の主治医）のみがデータを提供できる場合、データ（一定の個人データを含む）を移転することが法的に可能でなければならない。このような場合、法は、データ主体に重大な危害が及ぶ差し迫ったリスクが、データ保護に関する懸念を上回るとみなす。

The transfer must relate to the individual interest of the data subject or to that of another person’s and, when
it bears on health data, it must be necessary for an essential diagnosis. Accordingly, this derogation cannot
be used to justify transferring personal medical data outside the EU if the purpose of the transfer is not to

35 Page 4

4 ページ

25

treat the particular case of the data subject or that of another person’s but, for example, to carry out general
medical research that will not yield results until sometime in the future.
移転は、データ主体又は他者の個人的利益に関連したものでなければならず、健康データに関しては、必要となる診断に不可欠なものでなければならない。したがって、この例外は、移転の目
的がデータ主体又は他者の個別の症状を治療するのではなく、例えば、未来のある時点まで成果が出ないであろう一般的な医学的研究を行う場合、個人の医療データの移転を正当化するのに用いることはできない。

Indeed, the GDPR does not restrict the use of this derogation to the physical integrity of a person but also
leaves room for example to consider the cases where the mental integrity of a person should be protected. In
this case, the person concerned would also be incapable - physically or legally - of providing his/her consent
for the transfer of his/her personal data. In addition, the concerned individual whose personal data are thesubject of the transfer specifically must not be able to give his/her consent – physically or legally - to thistransfer.
実際に、GDPR においては、この例外の使用は個人の肉体的健全性に対するものに限定されているわけではなく、例えば個人の精神的健全性が保護されるべき事例についても考慮する余地が残されている。この場合には、当該人物もまた、自身の個人データの移転に同意を与えることが――物理的にも法的にも――不可能であろうと考えられるからである。さらに加えて、具体的に言えば、当該個人データの移転の対象に実際になっている人物は、この移転に同意することが――物理的にも法的にも――不可能でなければならない。

However, whenever the data subject has the ability to make a valid decision, and his/her consent can besolicited, then this derogation cannot apply.
ただし、データ主体に有効な決定を下す能力があり、同意を要請できるときは常に、この例外を適用できない。

For example, where the personal data is required to prevent eviction from a property, this would not fallunder this derogation as, even though housing be considered as a vital interest, the person concerned canprovide his/her consent for the transfer of his/her data.
例えば、個人データが不動産からの立ち退きを防ぐのに必要な場合、住居が生命に関わる利益と考えられても、当該人物が自身のデータの移転に自ら同意を与えることができるため、この例外に該当しない。

This ability to make a valid decision can depend on physical, mental but also legal incapability. A legal
incapability can encompass, without prejudice to national representation mechanisms, for example, the caseof a minor. This legal incapability has to be proved, depending on the case, through either a medical certificate
showing the mental incapability of the person concerned or through a governmental document confirming
the legal situation of the person concerned.

26この有効な決定を下す能力の有無は、肉体的無能力、精神的無能力だけでなく法的な無能力によっても決定される可能性がある。法的無能力には、国の代理メカニズムに影響を与えることはな
く、例えば、未成年である場合が含まれる可能性がある。この法的無能力は、当該人物の精神的無能力を示す医療証明書や、当該人物の法的状況を裏付ける政府文書を通じて、それぞれの場合に応じて証明されなければならない。

Data transfers to an international humanitarian organization, necessary to fulfil a task under the Geneva
Conventions or to comply with international humanitarian law applicable in armed conflict may also fallunder Article 49 (1) (f), see recital 112. Again, in such cases the data subject needs to be physically or legally
incapable of giving consent.
ジュネーブ条約に基づく責務を果たすため又は武力紛争時に適用されるべき国際人権法に従うた
め必要な国際人権機関へのデータ移転も、第 49 条（1）（f）に基づき該当する可能性がある。前
文第 112 項を参照すること。やはり、そのような場合、データ主体は物理的又は法的に同意を与えることが不可能である必要がある。

The transfer of personal data after the occurrence of natural disasters and in the context of sharing of personal
information with entities and persons for the purpose of rescue and retrieval operations (for example, relativesof disaster victims as well as with government and emergency services), can be justified under this derogation.
Such unexpected events (floods, earthquakes, hurricanes etc.) can warrant the urgent transfer of certain
personal data to learn for example, the location and status of victims. In such situations it is considered thatthe data subject concerned is unable to provide his/her consent for the transfer of his/her data.
自然災害発生後や、救難・救助活動の目的で（政府や救急部門、被災者親族などの）組織や人と個人情報を共有する場合における個人データ移転は、この例外に基づき適法とすることができる。
こうした不測の事態（洪水、地震、暴風雨など）は、例えば被災者の位置や状況を知るため、一定の個人データを緊急に移転することは適法とすることができる。かかる状況では、当該データ
主体が自身のデータの移転に同意を与えることが不可能と見なされる。

2.7 Transfer made from a public register - (49 (1) (g) and 49 (2))
2.7
公的な登録簿からの移転－第 49 条（1）（g）及び第 49 条（2）Article 49 (1) (g) and Article 49 (2) allow the transfer of personal data from registers under certain conditions.
A register in general is defined as a “(written) record containing regular entries of items or details” or as “anofficial list or record of names or items » 36, where in the context of Article 49, a register could be in written
or electronic form.
第 49 条（1）（g）及び第 49 条（2）では、一定の条件下で登録簿からの個人データの移転を行うことが認められている。登録簿は一般に、「項目又は詳細の整然とした記入を含む（書面での）36

Merriam Webster Dictionary, https://www.merriam-webster.com/dictionary/register (22.01.2018); Oxford Dictionary
https://en.oxforddictionaries.com/definition/register (22.01.2018).

27

記録」又は「氏名又は項目の公式のリスト又は記録」36 と定義される。第 49 条の文脈では、登録簿は書面又は電子形式になる可能性がある。

The register in question must, according to Union or Member State law, be intended to provide information
to the public. Therefore, private registers (those in the responsibility of private bodies) are outside of thescope of this derogation (for example private registers through which credit-worthiness is appraised.
当該の登録簿は、EU 法又は加盟国の国内法に従い、一般市民に情報を提供することを意図したものでなければならない。したがって、民間の登録簿（民間の組織が責任を負う）は、この例外の対象外である（例えば、与信審査に使う民間登録簿）。

The register must be open to consultation by either:
登録簿は、次のいずれかに対して、開かれたものであり閲覧することができなければならない。

(a) the public in general or
一般市民、又は(b) any person who can demonstrate a legitimate interest.
正当な利益を証明できる者

These could be, for example: registers of companies, registers of associations, registers of criminal
convictions, (land) title registers or public vehicle registers.
登録簿は例えば、次に掲げるものの可能性がある：会社登録簿、団体登録簿、刑事事件記録、（土地）登記簿又は車両登録簿

In addition to the general requirements regarding the set-up of the registers themselves, transfers from theseregisters may only take place if and to the extent that, in each specific case, the conditions for consultationthat are set forth by Union or Member State law are fulfilled (regarding these general conditions, see Article
49 (1) (g).
登録簿からの移転に関しては、登録簿自体の設置に関する一般要件に加えて、個々の場合に、
EU 法又は加盟国の国内法により定められた照会の条件が満たされる場合に、その範囲においてのみ、行うことができる（一般的条件に関しては、第 49 条（1）（g）を参照）。

Data controllers and data processors wishing to transfer personal data under this derogation need to be awarethat a transfer cannot include the entirety of the personal data or entire categories of the personal datacontained in the register (Article 49 (2)). Where a transfer is made from a register established by law andwhere it is to be consulted by persons having a legitimate interest, the transfer can only be made at the requestof those persons or if they are recipients, taking into account of the data subjects’ interests and fundamental

28

rights 37. On a case by case basis, data exporters, in assessing whether the transfer is appropriate, would always
have to consider the interests and rights of the data subject.
この例外に基づいて個人データを移転することを望むデータ管理者及びデータ処理者は、この移転に関して、登録簿に記載された個人データ全体、又は個人データのカテゴリー全体を対象とすることはできないということを認識しておく必要がある（第 49 条（2））
。移転が法に基づいて設置された登録簿から行われる場合、及び正当な利益を持つ者により照会される場合、移転はこれ
らの者の要求に基づく場合、若しくはその者が取得者の場合にのみ行うことができるのであり、その場合でもデータ主体の利益と基本的な権利が考慮される必要がある 37。データ移転元は、個別事例ごとに、移転が適切かどうかを評価する際に、常にデータ主体の利益と権利を考慮しなければならない。

Further use of personal data from such registers as stated above may only take place in compliance withapplicable data protection law.
上記の登録簿から移転した個人データをさらに使用する場合は、該当するデータ保護法に則してのみ行うことができる。

This derogation can also apply to activities carried out by public authorities in the exercise of their public
powers (Article 49 (3)).
この例外は、公的機関が公権力を行使して行う活動にも適用できる（第 49 条（3））
。

2.8 Compelling legitimate interests – (49 (1) § 2)
2.8
必要不可欠の正当な利益－（第 49 条（1）後段）
Article 49 (1) § 2 introduces a new derogation which was not previously included in the Directive. Under anumber of specific, expressly enumerated conditions, personal data can be transferred if it is necessary forthe purposes of compelling legitimate interests pursued by the data exporter.
第 49 条（1）後段では、従来、指令に存在しなかった新たな例外が導入されている。複数の具体的な、明確に挙げられた条件に基づいて、データ移転元が追求する必要不可欠の正当な利益の目的に必要な場合において、個人データの移転が可能となる。

This derogation is envisaged by the law as a last resort, as it will only apply where “a transfer could not bebased on a provision in Article 45 or 46, including the provisions on binding corporate rules, and none ofthe derogations for a specific situation is applicable”. 38

37 Recital 111 of the GDPR

GDPR 前文第 111 項
38 Article 49 (1) § 2 GDPR
GDPR 第 49 条（1）後段

29

この例外は、同法において、最後の手段として想定されており、「拘束的企業準則の条項を含め、第 45 条又は第 46 条に基づいて移転を行うことができず、本項(a)から(g)による特定の状況における例外がいずれも適用可能ではない」38 場合にのみ適用される。

This layered approach to considering the use of derogations as a basis for transfers requires consideration ofwhether it is possible to use a transfer tool provided in Article 45 or 46 or one of the specific derogations set
out in Article 49 (1) § 1, before resorting to the derogation of Article 49 (1) §2. This can only be used inresidual cases according to recital 113 and is dependent on a significant number of conditions expressly laid
down by law. In line with the principle of accountability enshrined in the GDPR 39 the data exporter must be
therefore able to demonstrate that it was neither possible to frame the data transfer by appropriate safeguards
pursuant to Article 46 nor to apply one of the derogations as contained in Article 49 (1) § 1.
移転の根拠として例外の使用を考える際の段階的アプローチにおいては、まず、第 49 条（1）後段の例外を用いる前に、第 45 条若しくは第 46 条に規定された移転手段、又は第 49 条（1）前段に示された特定の例外のうちのいずれか 1 つを用いることができないかどうか、検討することが求められる。これは、前文第 113 項に示されているその他の事例の場合にのみ用いることができ、法によって明確に定められた多数の条件に従うものである。GDPR に規定されたアカウンタビリ
ティの原則 39 によって、データ移転元は、第 46 条に基づいて適切な保護措置を行ってデータ移転を適法とすることも、第 49 条（1）前段に含まれる例外のいずれか 1 つを適用することも不可能であることを証明できなければならない。

This implies that the data exporter can demonstrate serious attempts in this regard, taking into account thecircumstances of the data transfer. This may for example and depending on the case, include demonstrating
verification of whether the data transfer can be performed on the basis of the data subjects’ explicit consent
to the transfer under Article 49 (1) (a). However, in some circumstances the use of other tools might not bepractically possible. For example, some types of appropriate safeguards pursuant to Article 46 may not be arealistic option for a data exporter that is a small or medium-sized company. 40 This may also be the case forexample, where the data importer has expressly refused to enter into a data transfer contract on the basis ofstandard data protection clauses (Article 46 (2) (c)) and no other option is available (including, depending on
the case, the choice of a different “data importer”) – see also the paragraph below on ‘compelling’ legitimate
interest.
ここで示唆されていることは、データ移転元がデータ移転の事情を考慮しながら、この点に関して真剣に検討を行ったということを証明できる、ということである。このことには、例えば、状況によっては、データ主体が第 49 条（1）（a）に基づき移転に明示的同意を与えたことを根拠にして、データ移転を行えるかどうかを、検証することが含まれうる。一方、状況によっては、他

39 Article 5 (2) and Article 24 (1)

第 5 条（2）及び第 24 条（1）40 For example binding corporate rules may often not be a feasible option for small and medium-sized enterprises due to theconsiderable administrative investments they imply.
例えば、拘束的企業準則は、相当な事務的投資が示唆されるため、中小企業が実行可能な選択肢ではないだろう。

30

の手段を用いることが現実的に可能ではなかったということにもなりうる。例えば、第 46 条に基づく適切な保護措置の一部のタイプは、中小企業のデータ移転元にとって現実的な選択肢ではないだろう 40。これは、例えばデータ移転先が、標準データ保護条項に基づいてデータ移転契約を交わすことを明示的に拒否する場合にも当てはまるだろう（第 46 条（2）（c）及び他の選択肢（状況に応じて、別の「データ移転先」を選択するなど）が利用できない）――下記「必要不可欠の正当な利益」の項も参照すること。

Compelling legitimate interests of the controller
管理者の必要不可欠の正当な利益

According to the wording of the derogation, the transfer must be necessary for the purposes of pursuingcompelling legitimate interests of the data controller which are not overridden by the interests or rights andfreedoms of the data subject. Consideration of the interests of a data exporter in its capacity as data processor
or of the data importer are not relevant.
例外の文言によると、移転は、データ管理者の必要不可欠の正当な利益を追求するという目的において、必要なものでなければならない。ただし、この利益は、データ主体の利益又は権利及び自由に優先されるものではない。データ処理者の立場にあるデータ移転元の利益又はデータ移転
先の利益は、ここでは関連性はない。

Moreover, only interests that can be recognized as “compelling” are relevant and this considerably limits thescope of the application of the derogation as not all conceivable “legitimate interests” under Article 6 (1) (f)will apply here. Rather a certain higher threshold will apply, requiring the compelling legitimate interest tobe essential for the data controller. For example, this might be the case if a data controller is compelled totransfer the personal data in order to protect its organization or systems from serious immediate harm or froma severe penalty which would seriously affect its business.
加えて、「必要不可欠」と認定できる利益のみが関連性があるものとされるのであり、例外の適用範囲は著しく限定される。第 6 条（1）（f）において想定されているすべての「適法な利益」に適用されるわけではないからである。むしろ、一定のさらに高い基準が適用されることになるのであり、必要不可欠の正当な利益がデータ管理者に不可欠なものであることが求められることになる。例えば、データ管理者が差し迫った重大な危険や事業に大きく影響する厳しい罰から組織やシステムを守るため、個人データを移転せざるを得ない場合が、該当するかもしれない。

Not repetitive

反復性がないAccording to its express wording, Article 49 (1) § 2 can only apply to a transfer that is not repetitive 41.
41 For more information on the term « not repetitive » see page 4「反復的なものでない」の語の詳しい情報は、4 ページ参照。

31

第 49 条（1）後段は、同規定に明確に記されているとおり、反復性のない移転にしか適用できな
い 41。

Limited number of data subjects
データ主体の数の限定

Additionally, the transfer must only concern a limited number of data subjects. No absolute threshold has
been set as this will depend on the context but the number must be appropriately small taking into
consideration the type of transfer in question.
加えて、移転に関するデータ主体の数は、限られたものとならなければならない。状況に左右されるため、絶対的な基準は定められていないが、当該の移転の種類を考慮して、適度に小さい数
でなければならない。

In a practical context, the notion “limited number of data subjects” is dependent on the actual case in hand.
For example, if a data controller needs to transfer personal data to detect a unique and serious security incident
in order to protect its organization, the question here would be how many employees’ data the data controller
would have to transfer in order to achieve this compelling legitimate interest.
実際には、「限られた数のデータ主体」という概念は、目の前の現実の状況に左右される。例えば、データ管理者が組織を守るため、独特で重大なセキュリティ上のインシデントを検出するに当たって、個人データを移転する必要がある場合、問題になるのは、データ管理者が必要不可欠の正当な利益を達成するためには、どれだけ多くの従業員のデータを移転しなければならないことになるかということになるだろう。

As such, in order for the derogation to apply, this transfer should not apply to all the employees of the data
controller but rather to a certain confined few.
上記の場合、この例外を適用するためには、データ管理者の全従業員ではなく、一定の限られた少数の者に移転を適用すべきである。

Balancing the “compelling legitimate interests of the controller” against the “interests or rights and freedomsof the data subject” on the basis of an assessment of all circumstances surrounding the data transfer andproviding for suitable safeguards
データ移転をめぐる全状況の評価と適切な保護措置の提供をもとにした「管理者の必要不可欠の正当な利益」と「データ主体の利益又は権利及び自由」の均衡

As a further requirement, a balancing test between the data exporter’s (compelling) legitimate interest pursued
and the interests or rights and freedoms of the data subject has to be performed. In this regard, the law
expressly requires the data exporter to assess all circumstances of the data transfer in question and, based on
this assessment, to provide “suitable safeguards” regarding the protection of the data transferred. This32

requirement highlights the special role that safeguards may play in reducing the undue impact of the datatransfer on the data subjects and thereby in possibly influencing the balance of rights and interests to theextent that the data controller’s interests will not be overridden. 42
さらに別の要件として、追求されるデータ移転元の（必要不可欠の）正当な利益と、データ主体の利益又は権利及び自由の間において、均衡が図られているかがテストされなければならない。
この点に関して法律では、データ移転元に対して、当該のデータ移転の全状況を評価し、その評価をもとに、移転されるデータの保護に関して「適切な保護措置」を与えることが明確に要求されている。この要件において強調されているのは、保護措置が担いうる特別な役割である 42。すなわち、保護措置によって、データ移転がデータ主体にもたらす不当な影響を緩和することができるということであり、それによって、データ管理者の利益が優先されることのない範囲において、権利と利益の均衡に対しても効力を発揮することができうるというものである。

As to the interests, rights and freedoms of the data subject which need to be taken into consideration, thepossible negative effects, i.e. the risks of the data transfer on any type of (legitimate) interest of the data
subject have to be carefully forecasted and assessed, by taking into consideration their likelihood andseverity. 43 In this regard, in particular any possible damage (physical and material, but also non-material ase.g. relating to a loss of reputation) needs to be taken into consideration 44. When assessing these risks andwhat could under the given circumstances possibly be considered as “suitable safeguards” for the rights andfreedoms of the data subject, the data exporter needs to particularly take into account the nature of the data,
the purpose and duration of the processing as well as the situation in the country of origin, the third country
and, if any, the country of final destination of the transfer. 45
考慮する必要のあるデータ主体の利益、権利及び自由に関しては、発生しうる悪影響が、すなわ
ち、データ移転がデータ主体のあらゆる種類の（適法な）利益にもたらすリスクが、起こりうる可能性と深刻さを考慮した上で、慎重に予測され、評価されなければならない 43。この点で特に考慮する必要があるものとは、発生しうる損害（身体的及び物質的損害、さらには評判の低下な
どの非物質的な損害）についてである 44。こうしたリスクと、所与の状況の中において、データ
主体の権利と自由に対する「適切な保護措置」と見なされる可能性のあるものを評価する際には、データ移転元は、データの性質、取扱いの目的と期間、移転の発信国、第三国の状況、及び該当する場合は移転の最終目的国の状況を、特に考慮する必要がある 45。

42 The important role of safeguards in the context of balancing the interests of the data controller and the data subjects has

already been highlighted by the Article 29 Working Party in WP 217, p. 31.
データ管理者とデータ主体の利益の均衡を図る場合における保護措置の役割の重要性は、既に WP29 によって、第 29 条作業部会意見 06/2014（WP217）31 ページにおいて強調されていた。
43 See Recital 75: “The risk to the rights and freedoms of natural persons, of varying likelihood and severity (…)”
前文第 75 項参照：
「自然人の権利及び自由に対するリスクは、様々な蓋然性と深刻度で（･･･）」
44 See Recital 75: “The risk to the rights and freedoms of natural persons, of varying likelihood and severity, may result frompersonal data processing which could lead to physical, material or non-material damage.”
前文第 75 項参照：「自然人の権利及び自由に対するリスクは、様々な蓋然性と深刻度で、個人データの取扱いから生じうる。それは、物的な損失、財産的な損失若しくは非財産的な損失を発生させうるものである。
」
45 Recital 113
前文第 113 項

33

Furthermore, the law requires the data exporter to apply additional measures as safeguards in order tominimize the identified risks caused by the data transfer for the data subject. 46 This is set up by the law as amandatory requirement, so it can be followed that in the absence of additional safeguards, the controller’sinterests in the transfer will in any case be overridden by the interests or rights and freedoms of the data
subject. 47 As to the nature of such safeguards, it is not possible to set up general requirements applicable toall cases in this regard, but these will rather very much depend on the specific data transfer in question.
Safeguards might include, depending on the case, for example measures aimed at ensuring deletion of thedata as soon as possible after the transfer, or limiting the purposes for which the data may be processedfollowing the transfer. Particular attention should be paid to whether it may be sufficient to transfer
pseudonymized or encrypted data. 48 Moreover, technical and organizational measures aimed at ensuring thatthe transferred data cannot be used for other purposes than those strictly foreseen by the data exporter should
be examined.
さらに同法では、データ主体に関するデータの移転によって引き起こされる識別されたリスクを最小化するために、保護措置としてさらなる措置を講じることがデータ移転元に義務付けられている 46。これは同法によって、義務的要件として規定されており、さらなる保護措置が講じられないのならば、いかなる場合においても、データ主体の利益又は権利及び自由が、管理者の移転の利益に対して、優先されるということになりうる 47。保護措置の性質に関しては、この点で、あらゆる事例に適用できる一般要件を定めることはできず、むしろ、当該の個別のデータ移転に大きく左右されるものである。事例によっては、保護措置には、例えば、データの移転を行った
後、できる限り早急に、確実に、データを消去する措置や、データの移転を行った後に、データが取り扱われるであろう目的を制限するような措置が含まれうる。匿名化又は暗号化したデータを移転することで十分に目的を果たせるかどうかは、特に注意すべきである 48。加えて、移転後
46 While in the context of an “ordinary” balancing test foreseen by the law such (additional) measures might not be necessary

in each case (see Article 29 Working Party Working document on Draft Ad hoc contractual clauses “EU data processor to nonEU sub-processor" (WP 214), p. 41), the wording of Art. 49 (1) § 2 suggests that additional measures are mandatory in orderthe data transfer to comply with the “balancing test” and therefore to be feasible under this derogation.
同法によって想定されている「通常の」バランスのテストを行う場合では、かかる（追加）措置は個々の場合に必要ないものとなりうるが（「非 EU 副取扱者に対する EU データ取扱者」の特別契約条項案に関する第 29 条作業部会作業文書（WP214）、p.41 を参照）
、第 49 条（1）後段の文言では、「均衡テスト」を遵守することで、この例外に基づいてデータ移転を実施可能なものとなるためには、追加措置が義務付けられることになることが示されている。
47 While in the context of an “ordinary” balancing test foreseen by the law such (additional) measures might not be necessary
in each case (see Article 29 Working Party Opinion 06/2014 on the notion of legitimate interests of the data controller under
Article 7 of Directive 95/46/EC, WP 217, p. 41), the wording of Art. 49 (1) § 2 suggests that additional measures are mandatory
in order the data transfer to comply with the “balancing test” and therefore to be feasible under this derogation.
同法によって想定されている「通常の」バランスのテストを行う場合では、かかる（追加）措置は個々の場合に必要ないものとなりうるが（指令 95/46/EC 第 7 条に基づくデータ管理者の適法な利益の概念に関する第 29 条作
業部会意見 06/2014、WP217、p.41 を参照）
、第 49 条（1）後段の文言では、「バランスのテスト」を遵守すること
で、この例外に基づいてデータ移転が実施可能なものとなるためには、追加措置が義務付けられることになることが示されている。
48 For other examples of possible safeguards see Article 29 Working Party Working document on Draft Ad hoc contractual
clauses “EU data processor to non-EU sub-processor" (WP 214), p. 41-43
取りえる保護措置の他の例は、「非 EU 副取扱者に対する EU データ取扱者」の特別契約条項案に関する第 29 条作
業部会作業文書（WP214）、p.41-43 を参照すること。

34

のデータが、データ移転元が厳密に想定した目的ではない目的で、使用できないようにする技術
的及び組織的措置が、検討されるべきである。

Information of the supervisory authority
監督機関の情報

The duty to inform the supervisory authority does not mean that the transfer needs to be authorized by thesupervisory authority, but rather it serves as an additional safeguard by enabling the supervisory authority toassess the data transfer (if it considers it appropriate) as to its possible impact on the rights and freedoms ofthe data subjects affected. As part of its compliance with the accountability principle, it is recommended thatthe data exporter records all relevant aspects of the data transfer e.g. the compelling legitimate interest
pursued, the “competing” interests of the individual, the nature of the data transferred and the purpose of thetransfer.
監督機関に情報を提供する義務は、移転に監督機関の許可が必要であるという意味ではない。この義務の存在によって、監督機関が（適切と判断した場合に）対象となるデータ主体の権利と自由に及ぶ可能性のある影響について、データ移転を評価できるようになるのであり、その点で、さらなる保護措置の役割を果たしているのである。アカウンタビリティ原則の遵守の一環として、
データ移転元がデータ移転のあらゆる関連要素（例えば、追求される必要不可欠の正当な利益、個人の「競合する」利益、移転されるデータの性質、移転の目的）を記録することが勧告される。

Providing information of the transfer and the compelling legitimate interests pursued to the data subject
移転及び追求される必要不可欠の正当な利益に関するデータ主体への情報提供

The data controller must inform the data subject of the transfer and of the compelling legitimate interests
pursued. This information must be provided in addition to that required to be provided under to Articles 13
and 14 of the GDPR.
データ管理者は、データ主体に対し、移転と、追求される必要不可欠の正当な利益について情報を提供しなければならない。この情報は、GDPR 第 13 条及び第 14 条に基づいて提供が義務付けられているものにさらに加えて、提供しなければならないものである。

For the European Data Protection Board
欧州データ保護会議

The Chair
議長(Andrea Jelinek)（アンドレア・ジェリネク）35