仮日本語訳

Guidelines 8/2020 on the targeting of social media users
Version 2. 0
Adopted on 13 April 2021

ソーシャルメディア・ユーザーのターゲティングに関するガイドラ
イン08/2020バージョン 2. 0

2021年4月13日に採択

本書面は、The European Data Protection Board（欧州データ保護会議）により2021年4月13日に採択された“Guidelines 8/2020 on the targeting of social media users” を個人情報保護委員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。

1

Adopted適用

Version history
バージョン履歴
Version
2.1

7 July 2021
2021年7月7日

Version
2.0

13 April 2021
2021年4月13日

Version
1.0

2 September 20202020年9月2日

References to EDPB Guidelines 07/2020 amended
欧州データ保護会議（EDPB）ガイドライン
07/2020参照部分を改正
Adoption of the Guidelines after public consultation
パブリック・コンサルテーション後におけるガイドラインの採択
Adoption of the Guidelines for public consultation
パブリック・コンサルテーションのためのガイ
ドラインの採択

2

Adopted
適用

TABLE OF CONTENTS
目次
1

INTRODUCTION ................................................................................................................................... 6
はじめに ............................................................................................................................................. 62

SCOPE .................................................................................................................................................. 8
範囲 ..................................................................................................................................................... 8

3

RISKS TO THE RIGHTS AND FREEDOMS OF USERS POSED BY THE PROCESSING OF PERSONAL DATA........................................................................................................................................................... 10
個人データの取扱いに伴うユーザーの権利及び自由へのリスク ........................................... 10

4

ACTORS AND ROLES........................................................................................................................... 15
関与者及び役割 ............................................................................................................................... 15
4.1

Users .......................................................................................................................................... 15
ユーザー ................................................................................................................................... 15

4.2

Social media providers .............................................................................................................. 17
ソーシャルメディア・プロバイダー ................................................................................... 17

4.3

Targeters.................................................................................................................................... 18
ターゲッター ........................................................................................................................... 18

4.4

Other relevant actors ................................................................................................................ 19
その他の関与者 ....................................................................................................................... 19

4.5

Roles and responsibilities .......................................................................................................... 20
役割及び責任 ........................................................................................................................... 20

5ANALYSIS OF DIFFERENT TARGETING MECHANISMS ........................................................................ 24
様々なターゲティング・メカニズムの分析 ............................................................................... 24
5.1

Overview.................................................................................................................................... 24
概要 ........................................................................................................................................... 24

5.2

Targeting on the basis of provided data.................................................................................... 26
提供データに基づくターゲティング ................................................................................... 26

5.2.1

Data provided by the user to the social media provider ................................................... 26
ユーザーからソーシャルメディア・プロバイダーに提供されるデータ ............... 26

A.

Roles .......................................................................................................................................... 27
役割 ........................................................................................................................................... 27

B.

Legal basis .................................................................................................................................. 30
法的根拠 ................................................................................................................................... 30

5.2.2

Data provided by the user of the social media platform to the targeter .......................... 36
3

Adopted適用

ソーシャルメディア・プラットフォームのユーザーからターゲッターに提供されるデータ .......................................................................................................................... 36
A.

Roles .......................................................................................................................................... 37
役割 ........................................................................................................................................... 37

B.

Legal basis .................................................................................................................................. 39
法的根拠 ................................................................................................................................... 39

5.3

Targeting on the basis of observed data ................................................................................... 40
観察データに基づくターゲティング ................................................................................... 40

5.3.1

Roles .................................................................................................................................. 42
役割 ................................................................................................................................... 42

5.3.2

Legal basis .......................................................................................................................... 43
法的根拠 ........................................................................................................................... 43

5.4

Targeting on the basis of inferred data ..................................................................................... 47
推定データに基づくターゲティング ................................................................................... 47

5.4.1

Roles .................................................................................................................................. 48
役割 ................................................................................................................................... 48

5.4.2

Legal basis .......................................................................................................................... 49
法的根拠 ........................................................................................................................... 49

6

TRANSPARENCY AND RIGHT OF ACCESS ........................................................................................... 51
透明性及びアクセス権 ................................................................................................................... 51
6.1

Essence of the arrangement and information to provide (Article 26 (2) GDPR) ....................... 52
合意の要点と提供する情報（GDPR第26条(2)） ................................................................. 52

6.2

Right of access (Article 15) ........................................................................................................ 55
アクセス権（第15条） ........................................................................................................... 55

7

DATA PROTECTION IMPACT ASSESSMENTS (DPIA) ........................................................................... 58
データ保護影響評価（DPIA） ....................................................................................................... 58

8

SPECIAL CATEGORIES OF DATA ......................................................................................................... 61
特別な種類のデータ ....................................................................................................................... 61
8.1

What constitutes a special category of data ............................................................................. 61
何が特別な種類のデータを構成するのか ........................................................................... 61

8.1.1

Explicit special categories of data...................................................................................... 62
明確に特別な種類のデータ ........................................................................................... 62

8.1.2

Inferred and combined special categories of data ............................................................ 63
推定及び組合せによる特別な種類のデータ ............................................................... 63

8.2

The Article 9(2) exception of special categories of data made manifestly public..................... 68
データ主体により明白に公開のものとされた特別な種類のデータに関する第9条(2)の4

Adopted適用

例外 .......................................................................................................................................... 68
9

JOINT CONTROLLERSHIP AND RESPONSIBILITY ................................................................................. 71
共同管理及び責任 ........................................................................................................................... 71
9.1

Joint controller arrangement and determination of responsibilities (Art. 26 GDPR) ............... 71
共同管理者間の合意及び責任の決定（GDPR第26条） ...................................................... 71

9.2

Levels of responsibility .............................................................................................................. 74
責任の度合い ........................................................................................................................... 74

5Adopted
適用

The European Data Protection Board
欧州データ保護会議は、Having regard to Article 70(1)(e) of Regulation 2016/679/EU of the European Parliament and of theCouncil of 27 April 2016 on the protection of natural persons with regard to the processing of personal
data and on the free movement of such data, and repealing Directive 95/46/EC.
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関
す る 、 並 び に 、 指 令 95/46/EC を 廃 止 す る 欧 州 議 会 及 び 理 事 会 の 2016 年 4 月 27 日 の 規 則(EU)2016/679の第70条(1)(e)に鑑み、HAS ADOPTED THE FOLLOWING GUIDELINES
以下のガイドラインを採択する。

1 INTRODUCTION
はじめに
A significant development in the online environment over the past decade has been the rise of social
media. More and more individuals use social media to stay in touch with family and friends, to engage
in professional networking or to connect around shared interests and ideas. For the purposes of theseguidelines, social media are understood as online platforms that enable the development of networks
and communities of users, among which information and content is shared.1 Key characteristics ofsocial media include the ability for individuals to register in order to create “accounts” or “profiles” forthemselves, to interact with one another by sharing user-generated or other content and to develop
connections and networks with other users.2
オンライン環境に見る過去10年の著しい変化とはソーシャルメディアの台頭である。ソーシャルメディアを使い、家族や友人と連絡を取り合い、ビジネス目的のネットワーキングを行
い、又は共通の興味関心や考え方を通してつながる個人の数がますます増えている。本ガイドラインの目的上、ソーシャルメディアとは、ユーザーがネットワークとコミュニティを形成し、その中で情報やコンテンツを共有することを可能にするようなオンライン・プラット
フォームであると理解される1。ソーシャルメディアの主な特徴には、個人が自己の「アカウント」又は「プロファイル」を作成するために登録する機能、ユーザーが制作した等のコンテンツを共有することにより相互作用する機能、及び他のユーザーとの接続やネットワー
クを形成する機能が含まれる2。
1

Additional functions provided by social media may include, for example, personalization, application
integration, social plug-ins, user authentication, analytics and publishing. Social media functions may be astandalone offering of controllers or they may be integrated as part of a wider service offering.
ソーシャルメディアにより提供される追加的な機能には、例えば、パーソナライゼーション、アプリ
ケーション統合、ソーシャル・プラグイン、ユーザー認証、分析、及び公開が含まれうる。ソーシャ
ルメディアの機能は、管理者の単独の機能として提供される場合もあれば、より広範なサービス提供の一部に統合される場合もある。
2
In addition to “traditional” social media platforms, other examples of social media include: dating platforms
where registered users present themselves to find partners they can date in real life; platforms where registeredusers can upload their own videos, comment on and link to other’s videos; or computer games where registered
6

Adopted
適用

As part of their business model, many social media providers offer targeting services. Targeting
services make it possible for natural or legal persons (“targeters”) to communicate specific messages
to the users of social media in order to advance commercial, political, or other interests. 3 A
distinguishing characteristic of targeting is the perceived fit between the person or group being
targeted and the message that is being delivered. The underlying assumption is that the better the fit,
the higher the reception rate (conversion) and thus the more effective the targeting campaign (returnon investment).
多くのソーシャルメディア・プロバイダーは、それぞれのビジネスモデルの一環としてター
ゲティング・サービスを提供している。ターゲティング・サービスにより、自然人又は法人（「ターゲッター」）は商業的、政治的、その他の利益を追求する目的でソーシャルメディ
アのユーザーに対しその者に適したメッセージを送信することが可能になる 3。ターゲティ
ングの際立った特徴は、ターゲットになる個人又は集団と、配信されるメッセージとの知覚適合性である。その根底にある仮定とは、適合性が高くなるほど、受容性（コンバージョン
レート）が高まり、ターゲティング活動の効果（投資収益率）も向上するというものである。
Mechanisms to target social media users have increased in sophistication over time. Organisations
now have the ability to target individuals on the basis of a wide range of criteria. Such criteria may
have been developed on the basis of personal data which users have actively provided or shared, suchas their relationship status. Increasingly, however, targeting criteria are also developed on the basis of
personal data which has been observed or inferred, either by the social media provider or by third
parties, and collected (aggregated) by the platform or by other actors (e.g. data brokers) to support
ad-targeting options. In other words, the targeting of social media users involves not just the act of“selecting” the individuals or groups of individuals that are the intended recipients of a particularmessage (the ‘target audience’), but rather it involves an entire process carried out by a set ofstakeholders which results in the delivery of specific messages to individuals with social media
accounts.4
ソーシャルメディア・ユーザーをターゲットにするメカニズムは時間とともに高度化してきた。組織は現在、幅広い基準に基づき個人をターゲットにする能力を備えている。このような基準は、間柄など、ユーザーが積極的に提供又は共有した個人データをもとに開発しうる。
しかしながら、ソーシャルメディア・プロバイダー又は第三者のいずれかにより観察又は推定され、広告ターゲット設定オプションの作成を手助けする目的でソーシャルメディア・プ
ラットフォーム又はその他の関与者（データブローカーなど）により収集（集約）された個
人データをもとにターゲティング基準が開発される傾向を強めている。言い換えれば、ソー
シャルメディア・ユーザーのターゲティング行為は、特定のメッセージの受け手として想定されている個人又は個人の集団（『ターゲット・オーディエンス』）を「選択」する行為にusers may play together in groups, exchange information or share their experiences and successes within thegame.
「従来型の」ソーシャルメディア・プラットフォームに加え、ソーシャルメディア・プラットフォー
ムの他の例には次のものがある。登録ユーザーが実生活でデートできるパートナーを見つけるために自身をアピールするデーティング(dating)・プラットフォーム、登録ユーザーが自身のビデオをアップロードし、また他人のビデオにコメントを加え、リンクを貼ることのできるプラットフォーム、又は登録ユーザーが集団で一緒にプレイし、情報を交換し、もしくはゲーム内における経験や成功を共有できるコンピューターゲーム。
3
Targeting has been defined as “the act of directing or aiming something at a particular group of people” and“the act of attempting to appeal to a person or group or to influence them in some way”.
ターゲティングとは、「ある特定の集団に向け、又はそれをねらって何かを行う行為」及び「ある個人又は集団にアピールするか又はそれらに何らかの方法で影響を及ぼそうと試みる行為」であると定義される。
https://www.collinsdictionary.com/dictionary/english/targeting.
7

Adopted適用

とどまらない。ターゲティング行為には、多様な利害関係者が参加し、ソーシャルメディアのアカウントを持つ個人に適合するメッセージが送信されるまでの全過程が含まれる4。
The combination and analysis of data originating from different sources, together with the potentiallysensitive nature of personal data processed in the context of social media5, creates risks to thefundamental rights and freedoms of individuals. From a data protection perspective, many risks relate
to the possible lack of transparency and user control. For the individuals concerned, the underlying
processing of personal data which results in the delivery of a targeted message is often opaque.
Moreover, it may involve unanticipated or undesired uses of personal data, which raise questions not
only concerning data protection law, but also in relation to other fundamental rights and freedoms.
Recently, social media targeting has gained increased public interest and regulatory scrutiny in thecontext of democratic decision making and electoral processes6.
多様な情報源から得たデータを組み合わせ、分析する行為は、ソーシャルメディアの中で取扱われる個人データが潜在的にセンシティブな性質を有すること 5もあり、個人の基本的な権利及び自由へのリスクを生み出す。データ保護の観点では、多くのリスクは、透明性とユーザー管理の不足の可能性が関係している。データ主体にとって、的を絞ったメッセージの配信につながるまでの、その基となる個人データの取扱いが不透明である場合が多い。さらに、当該取扱いに個人データの予期されていないか又は希望に反する利用が含まれる可能性もあり、その点がデータ保護法上だけでなく、他の基本的な権利及び自由の関係でも問題を提議する。ソーシャルメディアにおけるターゲティング行為は民主主義社会における意思決定と選挙過程に関連して、近年益々、公衆の関心及び規制当局による監視の目を増している
6。

2 SCOPE
範囲
Targeting of social media users may involve a variety of different actors which, for the purposes ofthese guidelines, shall be divided into four groups: social media providers, their users, targeters and
4

The messages delivered typically consist of images and text, but may also involve video and/or audio formats.
配信されるメッセージは通常、画像とテキストで構成されるものの、ビデオ及び／又はオーディオ形式が含まれる場合もある。
5
Personal data processed in the context of social media may constitute ‘special categories of personal data’pursuant to Article 9 GDPR, relate to vulnerable individuals, or otherwise be of a highly personal nature. See also
Article 29 Data Protection Working Party, Guidelines on Data Protection Impact Assessment (DPIA) anddetermining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, WP
248 rev. 01, p. 9.
ソーシャルメディアに関連して取扱われる個人データが、GDPR第9条に規定する『特別な種類の個人
データ』を構成する場合、脆弱な個人に関連するものである場合、又は極めて個人的な性質のものである場合もある。第29条作業部会、「データ保護影響評価（DPIA）及び取扱いが規則2016/679の適用
上「高いリスクをもたらすことが予想される」か否かの判断に関するガイドライン」, WP 248 rev. 01,
9頁も参照のこと.
6
See, for example:
例えば、以下のURLを参照のこと。
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb-2019-03-13-statement-on-elections_en.pdf、
https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/07/findings-recommendations-andactions-from-ico-investigation-into-data-analytics-in-political-campaigns/;
https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-data-protection-law-electoral-guidance638_en.pdf; https://www.personuvernd.is/information-in-english/greinar/nr/2880.
8Adopted適用other actors which may be involved in the targeting process. The importance of correctly identifying
the roles and responsibilities of the various actors has recently been highlighted with the judgments in
Wirtschaftsakademie and Fashion ID of the Court of Justice of the European Union (CJEU). 7 Bothjudgments demonstrate that the interaction between social media providers and other actors may giverise to joint responsibilities under EU data protection law.
ソーシャルメディア・ユーザーのターゲティングには様々な者が関与しうる。本ガイドライ
ンの目的上、関与者を以下の四つの集団に分ける。すなわち、ソーシャルメディア・プロバ
イダー、そのユーザー、ターゲッター、及びターゲティング過程に関与しうるその他の関与者である。欧州連合司法裁判所（CJEU）のWirtschaftsakademie判決及びFashion ID判決により、多様な関与者の果たす役割と責任とを正しく特定する重要性が最近はっきりした7。いずれの判決も、ソーシャルメディア・プロバイダーと他の関与者との相互作用が、EUデータ保護法に基づく共同管理責任を生じさせうることを示している。
Taking into account the case law of the CJEU, as well as the provisions of the GDPR regarding joint
controllers and accountability, the present guidelines offer guidance concerning the targeting of social
media users, in particular as regards the responsibilities of targeters and social media providers. Where
joint responsibility exists, the guidelines will seek to clarify what the distribution of responsibilities
might look like between targeters and social media providers on the basis of practical examples.8
CJEUの判例及び共同管理者とアカウンタビリティに関するGDPRの規定を考慮すると、本ガイドラインは、ソーシャルメディア・ユーザーのターゲティング、特にターゲッターとソー
シャルメディア・プロバイダーの責任に関する指針となる。共同管理責任が存在する場合、本ガイドラインでは、ターゲッターとソーシャルメディア・プロバイダーとの責任配分がどのようなものになる可能性があるかについて、実例をもとに明確にすることを目指している
8。
The main aim of these guidelines is therefore to clarify the roles and responsibilities among the social
media provider and the targeter. In order to do so, the guidelines also identify the potential risks forthe rights and freedoms of individuals (section 3), the main actors and their roles (section 4), and tackle
the application of key data protection requirements (such as lawfulness and transparency, DPIA, etc.)
as well as key elements of arrangements between social media providers and the targeters.
したがって、本ガイドラインの主な目的は、ソーシャルメディア・プロバイダーとターゲッ
ターとの間のそれぞれの役割と責任を明確にすることである。また本ガイドラインは、当該目的のため、個人の権利及び自由への潜在的リスク（第3章）、主要な関与者とその役割（第4章）を明らかにし、また主要なデータ保護要件（適法性及び透明性、データ保護影響評価（DPIA）など）の適用、及びソーシャルメディア・プロバイダーとターゲッター間の合意の重要な要素にも取り組む。
Nevertheless, the scope of these Guidelines covers the relationships between the registered users ofa social network, its providers, as well as the targeters. Thorough analysis, of scenarios, such asindividuals that are not-registered with social media providers does not fall under the scope of the7

CJEU, Judgment in Wirtschaftsakademie, 5 June 2018, C-210/16, ECLI:EU:C:2018:388; CJEU, Judgment inFashion ID, 29 July 2019, C-40/17, ECLI:EU:C:2019:629.
CJEU、Wirtschaftsakademie判決, 2018年6月5日, C-210/16, ECLI: EU: C: 2018: 388, CJEU, Fashion ID判決, 2019年7月29日, C-40/17, ECLI: EU: C: 2019: 629.
8
The present guidance is without prejudice to the EDPB Guidelines 07/2020 on the concepts of controller andprocessor under the GDPR adopted on 07 July 2021, concerning the distribution of responsibilities in othercontexts.
本指針は、他の文脈における責任の配分に関して2021年7月7日に採択されたEDPB「GDPRにおける管理者及び処理者の概念に関するガイドライン07/2020バージョン 1.0」の適用を妨げない。
9

Adopted適用

present guidelines.
しかし、本ガイドラインが対象としているのは、ソーシャルネットワークの登録ユーザー、
そのプロバイダー及びターゲッターの相互関係である。個人がソーシャルメディア・プロバ
イダーに利用登録されていないなどのシナリオの詳細な分析は本ガイドラインの対象範囲に含まれない。

3 RISKS TO THE RIGHTS AND FREEDOMS OF USERS POSED BY THE
PROCESSING OF PERSONAL DATA
個人データの取扱いに伴うユーザーの権利及び自由へのリ
スク
The GDPR underlines the importance of properly evaluating and mitigating any risks to the rights andfreedoms of individuals resulting from the processing of personal data.9 The mechanisms that can beused to target social media users, as well as the underlying processing activities that enable targeting,may pose significant risks. These guidelines do not seek to provide an exhaustive list of the possible
risks to the rights and freedoms of individuals. Nonetheless, the EDPB considers it important to pointout certain types of risks and to provide a number of examples how they may manifest themselves.
GDPRは、個人データの取扱いの結果生ずる個人の権利及び自由へのリスクを適切に評価し、軽減する重要性を強調している9。ソーシャルメディア・ユーザーをターゲットにするために利用できるメカニズム、またターゲティングを可能にする根底にある取扱活動は重大なリスクを伴いうる。本ガイドラインは、個人の権利及び自由に対する潜在的なリスクを網羅することを意図したものではない。しかし、EDPBは、一定の種類のリスクを指摘し、そうした
リスクがどのような形で現れるのか、いくつか例を示すことが重要だと考えている。
Targeting of social media users may involve uses of personal data that go against or beyond individuals’
reasonable expectations and thereby infringes applicable data protection principles and rules. For
example, where a social media platform combines personal data from third-party sources with data
disclosed by the users of its platform, this may result in personal data being used beyond their initial
purpose and in ways the individual could not reasonably anticipate. The profiling activities that areconnected to targeting might involve an inference of interests or other characteristics, which theindividual had not actively disclosed, thereby undermining the individual’s ability to exercise control
over his or her personal data10. Moreover, a lack of transparency regarding the role of the different
actors and the processing operations involved may undermine, complicate or hinder the exercise ofdata subject rights.
ソーシャルメディア・ユーザーのターゲティングは、個人の合理的な期待に反し、又はそれ
9

According to Article 24 of the GDPR, the controller shall implement appropriate technical and organizational
measures to ensure and be able to demonstrate that processing is performed in accordance with the GDPR,“taking into account the nature, scope, context and purposes of processing as well as the risks of varying
likelihood and severity for the rights and freedoms of natural persons”. See also Article 29 Working Party,
Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to resultin a high risk” for the purposes of Regulation 2016/679, WP248 rev. 01, 4 October 2017.
GDPR第24条によれば、管理者は、「取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で」GDPRに従って取扱いが遂行されることを確保し、かつ、そのことを説明できるようにするための適切な技術上及び組織上の措置を実施するものとする。第29条作業部会、「データ保護影響評価（DPIA）及び取扱いが規則2016/679の適用
上「高いリスクをもたらすことが予想される」か否かの判断に関するガイドライン」、WP 248 rev. 01、2017年10月4日も参照のこと。
10

Adopted適用

を超える個人データの利用を伴い、その結果、適用されるデータ保護原則及び規則に違反しうる。例えば、あるソーシャルメディア・プラットフォームが第三者の情報源に由来する個人データと、当該プラットフォームのユーザーにより開示されたデータとを組み合わせる場
合、当初の目的を超え、当該個人が合理的に予測できないような方法での個人データの利用が生じうる。ターゲティングに関連するプロファイリング活動には、個人が積極的に開示していない興味関心又はその他の特性を推定する活動が含まれ、これにより個人が自己の個人データを管理する能力が損なわれる可能性がある10。さらに、様々な関与者の役割とそれに関連する各々の取扱業務をめぐる透明性の欠如がデータ主体の権利行使を弱め、煩雑にし、又は妨げうる。
A second type of risk concerns the possibility of discrimination and exclusion. Targeting of social media
users may involve criteria that, directly or indirectly, have discriminatory effects relating to anindividual’s racial or ethnic origin, health status or sexual orientation, or other protected qualities of
the individual concerned. For example, the use of such criteria in the context of advertising related tojob offers, housing or credit (loans, mortgages) may reduce the visibility of opportunities to persons
within certain groups of individuals. The potential for discrimination in targeting arises from the ability
for advertisers to leverage the extensive quantity and variety of personal data (e.g. demographics,
behavioral data and interests) that social media platforms gather about their users.11 Recent researchsuggests that the potential for discriminatory effects exists also without using criteria that are directly
linked to special categories of personal data in the sense of Article 9 of the GDPR.12
二番目の種類のリスクは、差別と排除が生ずる可能性に関するものである。ソーシャルメディア・ユーザーのターゲティングは、個人の人種的若しくは民族的出自、健康状態若しくは性的指向、又は関係する個人の保護されうる他の性質に関連して、直接又は間接的に、差別的効果を及ぼす基準を伴いうる。例えば、求人、住宅、又は信用（融資、住宅ローン）に関連する広告にこのような基準が適用された場合、一定の集団に含まれる個人に対しては機会の可視性が下がる可能性がある。ターゲティングの際にソーシャルメディア・プラットフォームがユーザーに関して収集する膨大な量及び多様な個人データ（人口統計、行動データ、
興味関心）を広告主が利用できる場合、ターゲティングにおいて潜在的な差別の問題が生じうる11。最近の研究によると、GDPR第9条の意味での特別な種類の個人データに直接関連する基準を利用しない場合でも、差別的効果が生じる可能性が示唆されている12。
A second category of risk relates to potential possible manipulation of users. Targeting mechanisms
are, by definition, used in order to influence the behavior and choices of individuals, whether it be in
10

See also European Data Protection Supervisor, EDPS Opinion on online manipulation, Opinion 3/2018, 19
March 2018, p. 15 (“The concern of using data from profiles for different purposes through algorithms is that thedata loses its original context. Repurposing of data is likely to affect a person’s informational self-determination,
further reduce the control of data subjects’ over their data, thus affecting the trust in digital environments andservices.”).
欧州データ保護監察機関(EDPS)、「オンライン操作に関するEDPS意見」, 意見03/2018, 2018年3月19日、15頁（「アルゴリズムを介したプロファイルによるデータがさまざまな目的で利用されることに対する懸念は、データが元の文脈を失うことである。データの転用は個人の情報に対する自己決定に影響を及ぼし、データに対するデータ主体のデータ管理権限をさらに弱め、結果デジタル環境とデジタ
ル・サービスへの信頼に影響を及ぼす可能性が高い」も参照のこと。）。
11

T. Speicher a.o., Potential for Discrimination in Online Targeted Advertising, Proceedings of the 1st Conference
on Fairness, Accountability and Transparency, Proceedings of Machine Learning Research PMLR 81:5-19, 2018,
T. Speicher a. o.、「オンラインのターゲティング広告における差別の可能性」、公正性・アカウンタビ
リティ・透明性に関する第1回会議の議事録、機械学習研究の議事録PMLR 81: 5-19、2018年、
http://proceedings.mlr.press/v81/speicher18a.html。
12
idem.
同上。
11

Adopted適用terms of their purchasing decisions as consumers or in terms of their political decisions as citizens
engaged in civic life.13 Certain targeting approaches may however go so far as to undermine individualautonomy and freedom (e.g. by delivering individualized messages designed to exploit or evenaccentuate certain vulnerabilities, personal values or concerns). For example, an analysis of content
shared through social media can reveal information about the emotional state (e.g. through an analysisof the use of certain key words). Such information could be used to target the individual with specificmessages and at specific moments to which he or she is expected to be more receptive, thereby
surreptitiously influencing his or her thought process, emotions and behaviour.14
二番目の種類のリスクとは、ユーザーが潜在的に操られる危険性である。ターゲティングのメカニズムは、その定義上、消費者としての購入決定に関するものであれ、市民生活に従事する市民としての政治的決定に関するものであれ、その個人の行動や選択に影響を及ぼすために利用される13。しかしながら、ある種のターゲティング手法により（例えば、なんらかの脆弱性、個人の価値観又は不安を、悪用又は強調することをねらい、個人をターゲットにしたメッセージを配信することにより）個人は自律性と自由を損ないうる。例えば、ソーシャルメディアを通じて共有されたコンテンツを分析することで（例えば、一定のキーワードの利用の分析を通じて）感情の状態に関する情報が明らかになる場合もある。データ主体の受容性を高めることが期待できるようなメッセージにより、またそう期待できる瞬間に当該個人をターゲットにするためにそのような情報を利用することで、データ主体に意識させる
ことなくその思考過程、感情及び行動に影響を及ぼすことが可能である14。
Mechanisms to target social media users can also be used to unduly influence individuals when it
comes to political discourse and democratic electoral processes.15 While ‘traditional’ offline political
campaigning intends to influence voters’ behaviour via messages that are generally available andretrievable (verifiable), the available online targeting mechanisms enable political parties andcampaigns to target individual voters with tailored messages, specific to the particular needs, interestsand values of the target audience.16 Such targeting might even involve disinformation or messages that
individuals find particularly distressing, and are therefore (more) likely to stimulate a certain emotion
or reaction by them. When polarising or untruthful (disinformation) messages are targeted at specificindividuals, with no or limited contextualisation or exposure to other viewpoints, the use of targetingmechanisms can have the effect of undermining the democratic electoral process.17
また、政治演説や民主主義社会における選挙過程に関して、ソーシャルメディア・ユーザーをターゲットにするためのメカニズムが個人に不当に影響を及ぼすために使われる場合もある15。オフラインによる『従来型の』政治的宣伝活動は、一般に公開され、検索可能（検証可能）なメッセージを介して有権者の行動に影響を及ぼすことを目的としているのに対し、
13

European Data Protection Supervisor, Opinion 3/2018, p. 18.
欧州データ保護監察機関(EDPS)、意見03/2018、18頁。
14
See ‘Experimental evidence of massive-scale emotional contagion through social networks’, Adam D. I.
Kramer, Jamie E. Guillory, and Jeffrey T. Hancock, PNAS June 17, 2014 111 (24) 8788-8790; first published June2, 2014 https://doi.org/10.1073/pnas.1320040111, available at: https://www.pnas.org/content/111/24/8788
Adam D. Kramer Core Data Science Team, Facebook, Inc., Menlo Park, CA 94025.
『ソーシャルネットワークを介した大規模な感情的伝染の実験的証拠』, Adam D. I. Kramer, Jamie E.
Guillory and Jeffrey T. Hancock, PNAS 2014年6月17日 111 (24) 8788-8790, 初版2014年6月2日、https://doi.org/10.1073/pnas.1320040111、以下のURLから入手できる。
https://www.pnas.org/content/111/24/8788 Adam D. Kramer Core Data Science Team, Facebook, Inc. , Menlo
Park, CA 94025
15
See also European Data Protection Board, Statement 2/2019 on the use of personal data in the course ofpolitical campaigns, 13 March 2019, p. 1.
欧州データ保護会議(EDPB)、「政治的宣伝活動の過程における個人データの利用に関する声明
02/2019」、2019年3月13日、1頁も参照のこと。
12

Adopted適用

オンラインによるターゲティングのメカニズムを利用する場合、政党により又は宣伝活動において、個々の有権者をターゲットにし、ターゲット・オーディエンス固有のニーズ、興味
関心、価値観に合わせたメッセージを配信することが可能になる16。そのようなターゲティ
ングは、偽情報又は当該個人にとって特に苦痛に感じるメッセージを伴い、結果その者たちの一定の感情や反応を（より）効果的に刺激する場合さえある。文脈を全く若しくはほとん
ど踏まえていないか、又は他の視点に一切若しくはほとんど触れさせることなく、二極化を促すか又は不誠実な（偽情報の）メッセージが特定の個人をターゲットに発信される場合、ターゲティング・メカニズムの利用により民主主義社会における選挙過程が損なわれる効果を及ぼしかねない17。
In the same vein, the use of algorithms to determine which information is displayed to which
individuals may adversely affect the likelihood of access to diversified sources of information in relation
to a particular subject matter. This may in turn have negative consequences for the pluralism of publicdebate and access to information.18 Targeting mechanisms can be used to augment the visibility ofcertain messages, while giving less prominence to others. The potential adverse impact may be felt at
two levels. On the one hand, there are risks related to so-called ‘filter-bubbles’ where people areexposed to ‘more-of-the-same’ information and encounter fewer opinions, resulting in increased
political and ideological polarisation.19 On the other hand, targeting mechanisms may also create risksof “information overload”, whereby individuals cannot make an informed decision because they havetoo much information and cannot tell if it is reliable.
同様に、どの個人に対してどの情報を表示するかを決めるアルゴリズムを利用することも、
特定の主題に関連して多様な情報源にアクセスできる自由に悪影響を及ぼしうる。この結果、公開された議論の多元性及び情報へのアクセスに悪影響を及ぼす可能性がある18。ターゲテ
ィングのメカニズムを利用すれば、特定のメッセージの可視性を高める一方、他のメッセー
ジを目立たなくできる。潜在的な悪影響は、二つのレベルで感じ取ることができるかもしれない。一つは、いわゆる『フィルターバブル』に伴うリスク、すなわち人々が『ほぼ同質の』情報にさらされ、それとは異なる見解に接する機会が減る結果として、政治的及びイデオロ
ギー的二極化が助長される危険性である 19 。もう一つは、ターゲティングのメカニズムが「情報過多」を引き起こすリスク。これは個人の受け取る情報量が多すぎ、その信頼性を判断できないがために個人が十分な情報に基づく決定を下すことができないリスクである。
The collection of personal data by social media providers may not be limited to the activities performed
16

Information Commissioner’s Office (ICO), Democracy disrupted? Personal information and political influence,
10 July 2018, p. 14.
情報コミッショナーオフィス（ICO）、「民主主義は崩壊したか。個人情報と政治的影響」、2018年7月10日、14頁。
17
See also European Commission, Commission Guidance on the application of Union data protection law in theelectoral context, A contribution from the European Commission to the Leaders’ meeting in Salzburg on 19-20
September 2018. See also L. M. Neudert and N. M. Marchal, Polarisation and the use of technology in political
campaigns and communication, European Parliamentary Research Service, 2019, p. 22-24.
欧州委員会(EC)、「選挙との関係における連合データ保護法の適用に関する委員会指針」、2018年9月
19〜20日にザルツブルクで開催された首脳会議への欧州委員会からの寄稿も参照のこと。L. M.
Neudert及びN. M. Marchal、「政治的な宣伝活動と通信における二極化及びテクノロジーの利用」、欧
州議会調査局、2019年、22-24頁も参照のこと。
18
See also European Parliament resolution of 3 May 2018 on media pluralism and media freedom in theEuropean Union.
「欧州連合域内におけるメディアの多元性とメディアの自由に関する2018年5月3日の欧州議会決議」
も参照のこと。
19
European Data Protection Supervisor, Opinion 3/2018, p. 7.
欧州データ保護監察機関(EDPS)、意見03/2018、7頁。
13

Adopted適用

by individuals on the social media platform itself. The targeting of social media users on the basis of
information concerning their browsing behaviour or other activities outside the social media platform
can give individuals the feeling that their behaviour is systematically being monitored. This may havea chilling effect on freedom of expression, including access to information. 20 Such effects may be
exacerbated if targeting is also based on the analysis of content shared by social media users. If private
messages, posts and comments are subject to analysis for commercial or political use, this may also
give rise to self-censorship.
ソーシャルメディア・プロバイダーによる個人データの収集対象が、ソーシャルメディア・プラットフォーム上で個人が行う活動に限定されない場合がある。ソーシャルメディア・プ
ラットフォーム外におけるソーシャルメディア・ユーザーのブラウジング行動又はその他の活動に関する情報に基づくユーザーのターゲティングにより、自己の行動が体系的に監視されていると当該個人に感じさせる可能性がある。これは、情報へのアクセスを含め、表現の自由を萎縮させる効果をもたらしうる20。ソーシャルメディア・ユーザーにより共有されたコンテンツの分析に基づいてターゲティングが行われる場合には、そのような効果が増幅されうる。プライベートメッセージ、投稿、及びコメントが商業的又は政治的利用を目的とす
る分析の対象とされる場合、そのことも自己検閲を引き起こしうる。
The potential adverse impact of targeting may be considerably greater where vulnerable categories ofindividuals are concerned, such as children. Targeting can influence the shaping of children’s personal
preferences and interests, ultimately affecting their autonomy and their right to development. Recital
38 of the GDPR indicates that specific protection should apply to the use of personal data of children
for the purposes of marketing or creating personality or user profiles and the collection of personal
data with regard to children when using services offered directly to a child.21
子どもなどの脆弱な種類に含まれる個人が対象とされる場合、ターゲティングによる潜在的な悪影響が大幅に拡大しうる。ターゲティングは子どもの個人的な好みや興味関心の形成に影響を及ぼし、最終的には子どもの自律性と発達に対する権利に影響を及ぼしうる。GDPRの前文第38項は、マーケティングの目的又はその子どもに関するパーソナリティ若しくは個人プロファイルの作成の目的での子どもについての個人データの使用、及び子どもに対して直接に提示されるサービスを利用する際の子どもの個人データの収集に対して、特別の保護が適用されなければならないと指示する21。
The use of social media in the EU is widespread as 54% of people aged 16-74 participated in social
networks in 2019. Besides, this participation rate has steadily increased over the years.22 The EDPB
recognizes that the increase in concentration in the markets of social media and targeting may also
increase risks to the rights and freedoms of a substantial number of individuals. For example, certainsocial media providers may be able to combine, either alone or in connection with other companies, ahigher quantity and diversity of personal data. This ability, in turn, may increase the ability to offer
more advanced targeting campaigns. This aspect is relevant from both a data protection (more indepth profiling of the persons concerned) and competition law viewpoint (the unrivalled insight
20

European Data Protection Supervisor, Opinion 3/2018, p. 9 and Committee of experts on media pluralism andtransparency of media ownership (MSI-MED), Internet and Electoral Campaigns, Study on the use of internet inelectoral campaigns, Council of Europe study DGI(2017)11, April 2018, p. 19-21.
欧州データ保護監察機関(EDPS)、意見03/2018、9頁及びメディアの多元性とメディア所有権の透明性に関する専門家委員会（MSI-MED）、「インターネット及び選挙運動、選挙運動におけるインターネ
ットの利用に関する研究」、欧州評議会研究DGI（2017）11、2018年4月、19-21頁。
21
See also Article 29 Data Protection Working Party, Guidelines on Automated individual decision-making andProfiling for the purposes of Regulation 2016/679, 6 February 2018, WP251rev. 01, p. 29.
第29条作業部会、「自動化された個人に対する意思決定とプロファイリングに関するガイドライン」、
2018年2月6日, WP251 rev. 01, 29頁も参照のこと。
14

Adopted適用

capabilities provided by the platform may make it an 'unavoidable trading partner' for online
marketers). The degree of market and informational power, in turn, as the EDPB has recognised, “hasthe potential to threaten the level of data protection and freedom enjoyed by consumers of digital
services”.23
16〜74歳の人々の54％が2019年にソーシャルネットワークに参加していることからも示されるように、EUではソーシャルメディアの利用が広がっている。また、当該参加率は年々着実に上昇している22。EDPBでは、市場におけるソーシャルメディアとターゲティングの集中度が高まるほど、相当な数の個人の権利及び自由へのリスクも高まる事実を認識している。例
えば、一定のソーシャルメディア・プロバイダーは、単独で又はその他の企業と提携して、より多くかつ多様な個人データを組み合わせる能力を備えうる。こうした能力は、次にはより高度なターゲティング・サービスを提供する能力を高めうる。当該側面は、データ保護法（該当者に対するより深いプロファイリングが実施される点）及び競争法（プラットフォー
ムにより極めて高度な見識が得られるため、ソーシャルメディア・プロバイダーがオンライ
ン・マーケッターにとって『選択の余地のない取引相手（ unavoidable trading partner ）』になりうる点）の両方の観点から重要である。EDPBが認識しているように、市場支配力及び情報の集中度が高いほど、「デジタル・サービスの消費者が享受するデータ保護と自由の水準を脅かしかねない」23。
The likelihood and severity of the aforementioned risks will depend, inter alia, on the nature of thetargeting mechanism and how and for which exact purpose(s) it is used. Elements which may affectthe likelihood and severity of risks in the context of the targeting of social media users will be discussed
in greater detail in section 7.
前述したリスクが生ずる可能性及びその深刻さの度合いは、特にターゲティングのメカニズ
ムの性質及びそれがどのように、また厳密にどのような目的で利用されるかで決まる。ソー
シャルメディア・ユーザーのターゲティングに関連してリスクが生ずる可能性及びその深刻さの度合いに影響を及ぼしうる要素に関しては、第7章でさらに詳しく議論する。

4 ACTORS AND ROLES
関与者及び役割
4.1 Users
ユーザー
Individuals make use of social media in different capacities and for different purposes (e.g. to stay intouch with friends, to exchange information about shared interests, or to seek out employment
opportunities). The term “user” is typically used to refer to individuals who are registered with theservice (i.e. those who have an “account” or “profile”). Many social media services can, however, also
be accessed by individuals without having registered (i.e. without creating an account or profile).24
Such individuals are typically not able to make use of all of the same features or services offered toindividuals who have registered with the social media provider. Both individuals that are and that are
not registered with the social media providers may be considered “data subjects” within the meaning

22

https://ec.europa.eu/eurostat/en/web/products-eurostat-news/-/edn-20200630-2.
Statement of the EDPB on the data protection impacts of economic concentration, available at:「経済的集中によるデータ保護への影響に関するEDPBの声明」。以下のURLから入手できる。
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_statement_economic_concentration_en.pdf
1523

Adopted適用

of Article 4(1) GDPR insofar as the individual is directly or indirectly identified or identifiable.25
個人は、様々な立場からまた様々な目的でソーシャルメディアを利用している（例えば友人と連絡を取り合うため、共通の興味関心に関する情報を交換するため、又は雇用機会を探すため）。「ユーザー」という語は、通常、サービスに利用登録されている個人（つまり、「アカウント」又は「プロファイル」を持っている個人）を指す。しかしながら、多くのソーシャルメディア・サービスでは、個人が登録せずに（つまり、アカウントやプロファイルを作成せずに）アクセスすることも可能である24。そのような個人の場合、通常、そのソーシャルメディア・プロバイダーに利用登録した個人に提供される全機能又は全サービスは利用できない。ソーシャルメディア・プロバイダーに利用登録されている個人も、登録されていない個人も、その個人が直接若しくは間接的に識別され又は識別可能である限り、GDPR
第4条(1)の趣旨での「データ主体」であるとみなされうる25。
Whether or not individuals are expected to register with a real name or use a nickname or pseudonym
may vary according to the social media service in question. It will generally still be possible, however,to target (or otherwise single out) the user in question even in the absence of a real name policy, as
most types of targeting do not rely on user names but other types of personal data such as interests,sociographic data, behaviour or other identifiers. Social media providers often encourage their users
to reveal “real world” data, such as telephone numbers.26 Finally, it is worth noting that social media
providers may also enable targeting of individuals who do not have an account with the social media
provider.27
個人が本名で登録することを期待されているか、ニックネーム又は匿名で登録することが許されるかどうかは、それぞれのソーシャルメディア・サービスによる。しかしながら、実名で登録する決まりではない場合でも問題のユーザーをターゲティングする（又は他の方法で特定する）ことは一般に可能である。これは、大半の種類のターゲティングは、ユーザー名
ではなく、興味関心、社会統計学的データ、行動などの識別子といった他の種類の個人デー
タに頼っているためである。ソーシャルメディア・プロバイダーは、電話番号などの「現実世界」のデータを公開するようユーザーに奨励している場合が多い26。最後に、ソーシャルメディア・プロバイダーが、ソーシャルメディア・プロバイダーのアカウントを持っていな
い個人のターゲティングも可能にしうる点にも留意しておきたい27。
24

The personal data and profiling information maintained by social media providers in relation to individuals thatare not registered with social media providers are sometimes referred to as “shadow profiles”.
ソーシャルメディア・プロバイダーに利用登録されていない個人に関連してソーシャルメディア・プ
ロバイダーにより管理される個人データ及びプロファイリング情報は「シャドウ・プロファイル」と呼ばれる場合がある。
25
See also recital (26) (“singling out”). See also Article 29 Data Protection Working Party, Opinion 4/2007 on theconcept of personal data, 20 June 2007, WP 136, p. 12 and following.
前文第26項（「選別」）も参照のこと。第29条作業部会、「個人データという概念に関する意見
04/2007」、2007年6月20日、WP 136、12頁以降も参照のこと。
26
In some cases, social media providers ask for additional documentation to further verify the data provided, forexample by requesting users to upload their ID cards or similar documentation.
一部には、ソーシャルメディア・プロバイダーが、提供データをさらに検証するために、例えばIDカード又は類似の身分証明書類をアップロードするようにユーザーに要求するなど追加の身分証明書類を要求する場合もある。
27
Such targeting may be rendered possible on the basis of online identifiers provided by their devices,
applications, tools and protocols, such as internet protocol addresses, cookie identifiers or other identifiers. This
may leave traces which, in particular when combined with unique identifiers and other information received by
the servers, may be used to create profiles of the natural persons and identify them. See also recital (30) GDPR.
Based on this recognition, targeted ads may be displayed on a website the individual visits.
インターネットプロトコルアドレス、クッキー識別子、又はその他の識別子といったような、当該自然人のデバイス、アプリケーション、ツール及びプロトコルによって提供されるオンライン識別子に
16

Adopted適用

4.2 Social media providers
ソーシャルメディア・プロバイダー
Social media providers offer an online service that enables the development of networks andcommunities of users, among which information and content is shared. Social media services are
typically offered through web browsers or dedicated apps, often after having requested the user toprovide a set of personal data to constitute the user’s “account” or “profile”. They also often offer
users associated account “controls” to enable them to access and control the personal data processedin the context of the use of their account.
ソーシャルメディア・プロバイダーは、ユーザーがネットワーク及びコミュニティを形成し、その中での情報とコンテンツの共有を可能にするようなオンラインサービスを提供する。
ソーシャルメディア・サービスは多くの場合、ユーザーの「アカウント」又は「プロファイ
ル」を構成する一連の個人データを提供するようユーザーに求めた上で、ウェブブラウザ又は専用アプリを介して提供されるのが典型である。また、ユーザーらが自身のアカウントを使用する際に自身の個人データにアクセスし、管理するためのアカウント「管理」機能を提供している場合も多い。
The social media provider determines the functionalities of the service. This in turn involves adetermination of which data are processed, for which purpose, under which terms, as well as how
personal data shall be processed. This allows for the provision of the social media service but also likely
the provision of services, such as targeting, that can benefit business partners operating on the social
media platform or in conjunction with it.
サービスの機能を決めるのはソーシャルメディア・プロバイダーの側である。これには、取り扱うデータの種類、目的、条件、及び個人データの取扱い方法の決定を伴う。この決定により、ソーシャルメディア・サービスの提供が可能になり、またソーシャルメディア・プラ
ットフォーム上又はそれに連携して活動するビジネス・パートナーに利益をもたらすような、
例えばターゲティングなどの、サービスを提供することも可能になる。
The social media provider has the opportunity to gather large amounts of personal data relating tousers’ and individuals’ that are not registered with social media providers behaviour and interactions,which enables it to obtain considerable insights into the users’ socio-demographic characteristics,
interests and preferences. It is important to note that the ‘insights’ based on user activity often involve
inferred or derived personal data. For example, where a user interacts with certain content (e.g. by“liking” a post on social media, or watching video content), this action can be recorded by the social
media provider, and an inference might be made that the user in question enjoyed the content he or
she interacted with.
ソーシャルメディア・プロバイダーには、プロバイダーに登録されていないユーザー及び個人の行動及び相互作用に関連する大量の個人データを収集する機会が与えられている。これ
により、ソーシャルメディア・プロバイダーは、ユーザーの社会人口統計学的特性、興味関
心及び嗜好に関するかなりの見識を得ることが可能になる。ユーザーの活動に基づく『見識』には、推定に基づくか又は派生的な個人データが含まれる場合が多い点に注意を要する。例
えば、ユーザーが（例えばソーシャルメディアの投稿に「いいね」と評価する、又はビデ
オ・コンテンツを視聴するなどにより）一定のコンテンツと相互作用する場合、その活動が基づきこのようなターゲティングが可能になりうる。これは、特に、サーバーによって受信される一意の識別子及びその他の情報と組み合わされる時は、自然人のプロファイルをつくり出し、そして、自然人を識別するために用いられうる痕跡を残しうるものである。GDPR前文第30項も参照のこと。
この認識に基づき、個人がアクセスするウェブサイトにターゲティング広告を表示できる。
17

Adopted適用

ソーシャルメディア・プロバイダーにより記録され、当該ユーザーが相互作用したコンテンツを楽しんだと推定しうる。
Social media providers increasingly gather data not only from activities on the platform itself, but also
from activities undertaken ‘off-platform’, combining data from multiple sources, online and offline, inorder to generate further insights. The data can be combined with personal data that individuals
actively disclose to the social media provider (e.g. a username, e-mail address, location, and phone
number), alongside data which is “assigned” to them by the platform (such as unique identifiers).
さらなる見識を得るため、ソーシャルメディア・プロバイダーは、データ収集活動を拡大しており、プラットフォーム自体で行われる活動のみならず、オンライン及びオフラインの複数の情報源から得たデータを組み合わせた『オフ・プラットフォーム』で行われる活動からもデータを収集している。こうしたデータを（一意の識別子など）プラットフォームにより個人に「割当てられた」データとともに、個人がソーシャルメディア・プロバイダーに積極的に開示した（例えば、ユーザー名、電子メールアドレス、位置、電話番号などの）個人データと組み合わせる場合がある。

4.3 Targeters
ターゲッター
These guidelines use the term “targeter” to designate natural or legal persons that use social media
services in order to direct specific messages at a set of social media users on the basis of specificparameters or criteria.28 What sets targeters apart from other users of social media is that they selecttheir messages and/or their intended audience according to the perceived characteristics, interests orpreferences of the individuals concerned, a practice which is sometimes also referred to as “microtargeting”.29 Targeters can engage in targeting to advance commercial, political, or other interests.
Typical examples include brands who use social media to advertise their products including to increase
brand awareness. Political parties also increasingly make use of social media as part of theircampaigning strategy. Charities and other non-profit organisations also use social media to target
messages at potential contributors or to develop communities.
本ガイドラインで「ターゲッター」という語を用いる場合、これは、特定のパラメータ又は基準に基づき一連のソーシャルメディア・ユーザーにその者に適したメッセージを送信するためにソーシャルメディア・サービスを利用する自然人又は法人を指す28。ターゲッターは、該当する個人に関して認知される特性、興味関心、又は好みに応じて、メッセージ及び／又は想定される視聴者（「オーディエンス」）を選択する点でソーシャルメディアの他のユーザーとは異なる。こうした慣行は「マイクロターゲティング」と呼ばれる場合もある 29。ターゲッターがターゲティングを実施する目的は、商業的、政治的、又はその他の利益を高めるためである。典型的な例として、ブランド・メーカーがブランドの認知度の向上を含む自社製品の宣伝を目的としてソーシャルメディアを使う場合がある。また、政党も、宣伝戦略

28

Processing of personal data by a natural person in the course of a purely personal or household activity does
not fall under the material scope of the GDPR (Art. 2(2)(c)).
自然人によって純粋に私的な行為又は家庭内の行為の過程において行われる個人データの取扱いは、
GDPRの実体的適用範囲に該当しない（第2条(2)(c)）。
29Simply sharing information on a social media page which is intended for the public at large (e.g. information
about opening hours) without prior selection of the intended audience would not be considered as «targeting»for the purposes of these guidelines.
想定されるオーディエンスを事前に選択せず、ソーシャルメディアの一般公衆向けのページで（例えば営業時間に関する情報などの）情報を単に共有することは、本ガイドラインの目的上「ターゲティ
ング」とはみなされない。
18

Adopted適用

の一環としてソーシャルメディアの利用を増やしている。また、慈善団体及びその他の非営利団体も、潜在的な寄付者に的を絞ったメッセージを届ける又はコミュニティを形成するためにソーシャルメディアを利用している。
It is important to note that social media users can be targeted in different ways. For example, targetingmight occur not only through displaying personalized advertisement (e.g. through a “banner” shownon the top or side of a webpage), but - as far as it is happening within the social media platform - also
through display in a user’s “feed”, ”timeline“ or “story”, where the advertising content appears
alongside user-generated content. Targeting may also involve the creation of content hosted by thesocial media provider (e.g. via a dedicated “page” or other social media presence) or elsewhere (i.e.
on third-party websites). Targeters may have their own websites and apps, where they can integrate
specific social media business tools or features such as social plugins or logins or by using theapplication programming interfaces (APIs) or software development kits (SDKs) offered by social media
providers.
ソーシャルメディア・ユーザーをターゲティングする方法が多様である点に注意を要する。
例えば、ターゲティングは（ウェブページの上部又は側面に表示される「バナー」を介するなど）パーソナライズされた広告を表示することにより行われる場合もあれば、（ソーシャルメディア・プラットフォーム内で行われる場合であるが）ターゲティングがユーザーの「フィード」、「タイムライン」、又は「ストーリー」への表示により行われる場合もある。
後者の場合、広告コンテンツはユーザーの作成したコンテンツとともに表示される。また、ターゲティングを行う際に（例えば、専用の「ページ」又はその他のソーシャルメディア・
プレゼンスを介して）ソーシャルメディア・プロバイダーが提供するコンテンツを作成する際にターゲティングされる場合もあれば、ターゲティングが他の場所（つまり、第三者のウェブサイト上）で行われる場合もある。ターゲッターが独自のウェブサイト及びアプリを備え、そこにソーシャル・プラグイン又はログインなどの特定のソーシャルメディア用のビジ
ネスツール又は機能を組込む場合もあれば、ソーシャルメディア・プロバイダーが提供するアプリケーション・プログラミング・インターフェイス（API）又はソフトウェア開発キット（SDK）を利用する場合もある。

4.4 Other relevant actors
その他の関与者
Targeters may directly use targeting mechanisms offered by social media providers or enlist theservices of other actors, such as marketing service providers, ad networks, ad exchanges, demand-side
and supply-side platforms, data management providers (DMPs) and data analytics companies. These
actors are part of the complex and evolving online advertising ecosystem (which is sometimes known
as “adtech”) that collects and processes data relating to individuals (including social media users) by,
for example, tracking their activities across websites and apps.30
ターゲッターがソーシャルメディア・プロバイダーの提供するターゲティング・メカニズムを直接利用する場合もあれば、マーケティング・サービスプロバイダー、広告ネットワーク、
アドエクスチェンジ、デマンドサイド・サプライサイド・プラットフォーム、データ管理プ
ロバイダー（DMP）、データ分析会社などの他の関与者のサービスに参加する場合もある。
これらの関与者は、複雑かつ変化するオンライン広告エコシステム（「アドテック」と呼ばれる場合もある）を構成し、例えば（ソーシャルメディア・ユーザーを含む）個人の活動を
ウェブサイト及びアプリ横断的に追跡することにより、当該個人に関連するデータを収集し、取り扱う30。
30

On the description of the different actors, see WP29, Opinion 2/2010 on online behavioural advertisement, at
19

Adopted適用

Data brokers and data management providers are also relevant actors playing an important role in thetargeting of social media users. Data brokers and DMPs differentiate themselves from other adtech
companies to the extent that they not only process data collected by means of tracking technologies,
but also by means of data collected from other sources, that can include both online and offline
sources. In other words, data brokers and DMPs aggregate data collected from a wide variety ofsources, which they then might sell to other stakeholders involved in the targeting process.31
また、データブローカー及びデータ管理プロバイダー（DMP）も、ソーシャルメディア・ユーザーのターゲティングに重要な役割を果たす主要な関与者である。データブローカー及びDMPは、追跡技術により収集したデータだけではなく、オンライン及びオフライン両方を含
むその他の情報源から収集したデータをも取り扱うという点で他のアドテックとは異なる。
言い換えると、データブローカー及びDMPは、様々な情報源から収集されたデータを集約し、それをターゲティング過程に関与する他のステークホルダーに販売する31。
While each of the other actors mentioned above can play an important role in targeting of social media
users, the focus of the current guidelines is on the distribution of roles and data protection obligationsof social media providers and targeters. Analogous considerations may apply, however, to the otheractors involved in the online advertising ecosystem, depending on the role of each actor in thetargeting process.
上記の他の関与者もソーシャルメディア・ユーザーのターゲティングにそれぞれ重要な役割を果たす場合があるものの、本ガイドラインでは、ソーシャルメディア・プロバイダーとターゲッターの役割及びデータ保護義務の配分に重点が置かれている。しかしながら、ターゲ
ティング過程にそれぞれが果たす役割に応じ、オンライン広告エコシステムに関与する他の関与者にも類似の考慮があてはまりうる。

4.5 Roles and responsibilities
役割及び責任In order to clarify the respective roles and responsibilities of social media providers and targeters, it isimportant to take account of the relevant case law of the CJEU. The judgments in Wirtschaftsakademie(C-210/16), Jehovah’s Witnesses(C-25/17) and Fashion ID(C-40/17) are particularly relevant here.
ソーシャルメディア・プロバイダーとターゲッターのそれぞれの役割及び責任を明確にする
ためには、これに関連するCJEUの判例を考慮に入れることが重要である。ここで特に重要なのがWirtschaftsakademie判決（C-210/16）、 エホバの証人 判決（C-25/17）、Fashion ID判決
（C-40/17）である。
The starting point of the analysis is the legal definition of controller. According to Article 4(7) GDPR, a“‘controller” means “the natural or legal person […] which, alone or jointly with others, determines the
purposes and means of the processing of personal data”.
管理者の法的な定義が分析の出発点となる。GDPR第4条(7)によれば、「管理者」とは、「自然人又は法人（中略）であって、単独で又は他の者と共同で、個人データの取扱いの目的及び方法を決定する者」を意味する。
page 5. The Opinion is available at:
様々な関与者の説明に関しては、第29条作業部会、「オンライン行動広告に関する意見02/2010」、5
頁を参照のこと。当該意見は以下のURLから入手できる。
https://ec.europa.eu/justice/Article-29/documentation/opinion-recommendation/files/2010/wp171_en.pdf
31
See Consumer Policy Research Centre, “A day in the life of data”, available at:
消費者政策研究センター、「データと関わる生活の中のある1日」（以下のURLから入手できる）を参照のこと。http://cprc.org.au/publication/research-report-a-day-in-the-life-of-data/
20

Adopted
適用

In Wirtschaftsakademie, the CJEU decided that the administrator of a so-called “fan page” on Facebook
must be regarded as taking part in the determination of the purposes and means of the processing of
personal data. According to the submissions made to the CJEU, the creation of a fan page involves thedefinition of parameters by the administrator, which has an influence on the processing of personal
data for the purpose of producing statistics based on visits to the fan page. 32 Using the filters provided
by Facebook, the administrator can define the criteria in accordance with which the statistics are to be
drawn up, and even designate the categories of persons whose personal data is to be made use of by
Facebook:
Wirtschaftsakademieにおいて、CJEUは、Facebookのいわゆる「ファンページ」のアドミニス
トレータを、個人データの取扱いの目的及び手段の決定に関与する者であるとみなさなければならないと判断した。CJEUに提出された資料によれば、ファンページの作成に伴い、当該アドミニストレータによりパラメータが定義されている。当該行為は、ファンページへの訪問者に基づく統計を作成する目的での個人データの取扱いに影響を及ぼす32。アドミニスト
レータは、Facebookが提供するフィルターを使って統計を取るための基準を定義でき、またFacebookによる個人データの利用の対象となる者の類型を指定することもできる。
“In particular, the administrator of the fan page can ask for — and thereby request theprocessing of — demographic data relating to its target audience, including trends in terms ofage, sex, relationship and occupation, information on the lifestyles and centers of interest of
the target audience and information on the purchases and online purchasing habits of visitors
to its page, the categories of goods and services that appeal the most, and geographical data
which tell the fan page administrator where to make special offers and where to organise
events, and more generally enable it to target best the information it offers.”「ファンページのアドミニストレータは、特に年齢、性別、関係及び職業の傾向を含むターゲット・オーディエンスに関連する人口統計学的データ、ターゲット・オ
ーディエンスのライフスタイルと興味関心の中心に関する情報及び自社のページの
訪問者の購入とオンライン購入習慣に関する情報、最も魅力のある商品及びサービ
スの種類、並びに特別なオファーを行うべき場所及びイベントを開催するべき場所、
より一般的な表現で言うと自己の提供する情報を最適にターゲティングすることが可能になるような地理的データに関する情報の提供を求め、またそうしたデータを取扱うよう要求する場合がある」。
As the definition of parameters depends inter alia on the administrator’s target audience “and theobjectives of managing and promoting its activities”, the administrator also participates in determining
the purposes of the processing of personal data.33 The administrator was therefore categorised as acontroller jointly responsible for the processing of personal data of the visitors of its ‘page’, together
with the social media provider.
パラメータの定義が特にアドミニストレータのターゲット・オーディエンス「及びその活動を管理・促進する目的」により決まるため、当該アドミニストレータも、個人データの取扱目的の決定に参加する者である33。したがって当該アドミニストレータは、ソーシャルメディア・プロバイダーとともに、自己の『ページ』の訪問者の個人データの取扱いに共同で責任を負う管理者に区分された。
As further developed in section 9 of the present guidelines, controllers may be involved at different
32

Judgment in Wirtschaftsakademie, C-210/16, paragraph 36.
Wirtschaftsakademie判決、C-210/16、パラグラフ36。
33
Judgment in Wirtschaftsakademie, C-210/16, paragraph 39.
Wirtschaftsakademie判決、C-210/16、パラグラフ39。
21

Adopted適用stages of the processing of personal data and to different degrees. In such circumstances, the level of
responsibility of each of them must be assessed with regard to all the relevant circumstances of theparticular case:
本ガイドラインの第9章でさらに展開しているように、管理者は、個人データの取扱いの様々な段階に様々な程度で関与している場合がある。そのような状況において、特定の事件に関連するあらゆる状況に照らしてそれぞれの管理者の責任の度合いを評価しなければならない。
“[T]he existence of joint responsibility does not necessarily imply equal responsibility of the various
operators involved in the processing of personal data. On the contrary, those operators may be
involved at different stages of that processing of personal data and to different degrees, so thatthe level of responsibility of each of them must be assessed with regard to all the relevant
circumstances of the particular case.”34「共同管理責任が存在するということは、個人データの取扱いに関与する複数の運営者が等しい責任を負うことを必ずしも意味しない。それとは逆に、これらの運営者は、個
人データの取扱いの様々な段階に様々な程度で関与している可能性があるため、特定の事件に関連するあらゆる状況に照らしてそれぞれの運営者の責任の度合いを評価しなければならない」34。
While concluding that the administrator of a page acts as a controller, jointly with Facebook, the CJEU
also noted that in the present case, Facebook must be regarded as primarily determining the purposes
and means of processing the personal data of users of Facebook and persons visiting the fan pages
hosted on Facebook.35
また、CJEUは、ページのアドミニストレータがFacebookと共同で行為する管理者であると結論付けた一方、当該事件において、Facebookのユーザー及びFacebook上に開設されているファンページの訪問者の個人データを取扱う目的及び手段についてはFacebookが主たる決定者とみなされなければならない点も指摘した35。
In Fashion ID, the CJEU decided that a website operator can be a considered a controller when it
embeds a Facebook social plugin on its website that causes the browser of a visitor to transmit personal
data of the visitor to Facebook.36 The qualification of the website operator as controller is, however,limited to the operation or set of operations in respect of which it actually determines the purposes
and means. In this particular case, the CJEU considered that the website operator is only capable ofdetermining, jointly with Facebook, the purposes and means of the collection and disclosure bytransmission of the personal data of visitors to its website. As a result, the CJEU ruled that, for what
concerns the embedding of a social plug-in within a website, the liability of the website operator is:
CJEUは、Fashion IDにおいて、ウェブサイトの運営者がFacebookソーシャル・プラグインを自己のウェブサイトに埋込むことで訪問者のブラウザが当該訪問者の個人データをFacebookに送信するよう仕向けた場合、当該運営者を管理者とみなすことが可能だと判断した36。しかしながら、当該ウェブサイトの運営者の管理者としての資格は、その者が実際に目的及び手34

Judgment in Wirtschaftsakademie, C-210/16, paragraph 43; Judgment in Jehovah’s Witnesses, C-25/17,
paragraph 66 and Judgment in Fashion ID, C-40/17, paragraph 70.
Wirtschaftsakademie判決、C-210/16、パラグラフ43、エホバの証人判決、C-25/17、パラグラフ66及びFashion ID判決、C-40/17、パラグラフ70。
35
Judgment in Wirtschaftsakademie, C-210/16, paragraph 30.
Wirtschaftsakademie判決、C-210/16、パラグラフ30。
36
Judgment in Fashion ID, C-40/17, paragraph 75 and following and paragraph 107.
Fashion ID判決、C-40/17、パラグラフ75以降及びパラグラフ107。
22

Adopted適用

段を決定する業務又は一連の業務に限定される。当該事件の場合、CJEUは、ウェブサイトの運営者は、訪問者の個人データを自己のウェブサイトに送信することにより、Facebookと共同で収集及び開示の目的及び手段を決定できたに過ぎないと考えた。その結果、CJEUは、ウェブサイト内へのソーシャル・プラグインの埋込みに関して、ウェブサイトの運営者の責任が、“limited to the operation or set of operations involving the processing of personal data in respectof which it actually determines the purposes and means, that is to say, the collection and disclosure
by transmission of the data at issue.”37「目的及び手段を実際に決定している個人データの取扱いを伴う業務又は一連の業務、すなわち問題のデータの送信による収集と開示に限定される」と判示した37。
The CJEU considered that the website operator was not a controller for subsequent38 operations
involving the processing of personal data carried out by Facebook after their transmission to the latter,as the website operator was not in a position to determine the purposes and means of those
operations by virtue of embedding the social plug-in:
CJEUは、ウェブサイトの運営者が、ソーシャル・プラグインを自身のウェブサイトに埋め込
んだとはいえ、Facebookへの送信後のFacebookによる個人データの取扱いに関するその後の業務に関しては、当該業務の目的及び手段を決定できる立場にはなかったことから、管理者ではないとみなした38。
“By contrast, in the light of that information, it seems, at the outset, impossible that Fashion ID
determines the purposes and means of subsequent operations involving the processing of personal
data carried out by Facebook Ireland after their transmission to the latter, meaning that Fashion ID
cannot be considered to be a controller in respect of those operations [...]”.39「それとは対照的に、その情報に照らして、Fashion IDにとって、Facebook Irelandに送信された後の、Facebook Irelandの行った個人データの取扱いを伴う業務の目的及び手段を決定することはそもそも不可能であり、つまりFashion IDがこれらの業務に関して管理者
37

Judgment inFashion ID, C-40/17, paragraph 107.
Fashion ID判決、C-40/17、パラグラフ107。
38
Subsequent processing is any processing operation or set of processing operations which follows (i.e. takes
place after) the data collection. In Fashion ID, the term is used to refer to processing operations carried out by
Facebook after their transmission and for which Fashion ID should not be considered as a joint controller(because it does not effectively participate in determining the purposes and means of those processing).
Subsequent processing for a purpose other than that for which the personal data have been collected is only
permissible insofar as Article 6(4) GDPR relating to further processing is complied with. For example, if an online
retailer collects data relating to an individual’s home address, a subsequent processing would consist in thestorage or later deletion of this information. However, if this online retailer later decides to process this personal
data to enrich the profile of the data subject for targeting purposes, this would amount to further processing
within the meaning of Article 6(4) GDPR as it involves processing for a purpose other than that for which they
were initially collected.
その後の取扱いとは、データ収集に続く（つまり、データ収集後に行われる）取扱業務又は一連の取扱業務である。Fashion IDでは、送信後にFacebookにより実行され、Fashion IDが（取扱いの目的及び手段の決定に実質的に関与していないため）共同管理者であるとみなされるべきではない取扱業務を指すためにこの語が使われている。個人データが収集された目的以外の目的でのその後の取扱いは、追加的取扱いに関連するGDPR第6条(4)が遵守されている場合にのみ許される。例えば、オンライン小売
業者が個人の自宅住所に関連するデータを収集する場合、当該情報の保存又は後の削除はその後の取扱いを構成する。しかしながら、当該オンライン小売業者がターゲティング目的でデータ主体のプロファイルを充実させるために当該個人データを取扱うことを後に決める場合、これはデータが最初に収集された目的以外の目的での取扱いを伴うため、GDPR第6条(4)の趣旨における追加的取扱いになる。
23

Adopted適用であるとみなすことはできないように思われる」39。
In case of joint controllership, pursuant to Article 26(1) GDPR, controllers are required to put in place
an arrangement which, in a transparent manner, determines their respective responsibilities forcompliance with the GDPR, in particular as regards the exercising of the rights of the data subject andtheir respective duties to provide the information referred to in Articles 13 and 14 GDPR.
GDPR第26条(1)に準拠した共同管理者の場合、複数の管理者は、GDPRの遵守に関するそれぞれの責任、特にデータ主体の権利行使に対する責任、及び第13条及び第14条に規定する情報を提供するそれぞれの義務を透明性のある態様で定める合意を交わす必要がある。
The following sections clarify, by way of specific examples, the roles of targeters and social media
providers in relation to different targeting mechanisms. Specific considerations are given in particular
as to how the requirements of lawfulness and purpose limitation apply in this context. Next, therequirements concerning transparency, data protection impact assessments and the processing ofspecial categories of data are analysed. Finally, the Guidelines address the obligation for joint
controllers to put in place an appropriate arrangement pursuant to Article 26 GDPR, taking into
account the degree of responsibility of the targeter and of the social media provider.
以下の章では、具体例を示し、様々なターゲティング・メカニズムに関連するターゲッターとソーシャルメディア・プロバイダーの役割を明確にする。特に、これに関連して適法性要件及び目的の限定要件がどのように適用されるかに留意している。続いて、透明性、データ
保護影響評価、及び特別な種類のデータの取扱いに関する要件を分析する。最後に、本ガイ
ドラインは、ターゲッターとソーシャルメディア・プロバイダーの責任の程度を考慮に入れ、GDPR第26条に従った適切な合意を交わす共同管理者の義務を扱う。

5 ANALYSIS OF DIFFERENT TARGETING MECHANISMS
様々なターゲティング・メカニズムの分析
5.1 Overview
概要
Social media users may be targeted on the basis of provided, observed or inferred data, as well as a
combination thereof:
ソーシャルメディア・ユーザーは、提供データ、観察データ又は推定データ、及びこれらのデータの組合せに基づいてターゲットとなる可能性がある。
a)Targeting individuals on the basis of provided data– “Provided data” refers to information
actively provided by the data subject to the social media provider and/or the targeter.40 For
example:
提供データに基づく個人のターゲティング – 「提供データ」とは、データ主体からソーシャルメディア・プロバイダー及び／又はターゲッターに積極的に提供される情報を指す40。例えば、

39

Judgment in Fashion ID, C-40/17, paragraph 76.
Fashion ID判決、C-40/17、パラグラフ76。
40
Article 29 Data Protection Working Party, Guidelines on the right to data portability, WP 242 rev. 01, 5 April
2017, p. 10.
第29条作業部会、「データポータビリティの権利に関するガイドライン」、WP 242 rev. 01、2017年424

Adopted
適用

A social media user might indicate his or her age in the description of his or her user profile.
The social media provider, in turn, might enable targeting on the basis of this criterion.
ソーシャルメディア・ユーザーが自身のユーザープロファイルの説明に自身の年齢を記載するケースがある。それに伴い今度はソーシャルメディア・プロバイダ
ーが、当該基準に基づいたターゲティングを可能にする場合がある。
A targeter might use information provided by the data subject to the targeter in order totarget that individual specifically, for example by means of customer data (such as an email address list), to be matched with data already held on the social media platform,
leading to all those users who match being targeted with advertising41.
ターゲッターが、例えば（電子メールアドレスのリストなどの）顧客データを既にソーシャルメディア・プラットフォーム上にあるデータと照合し、その結果として適合するユーザー全員が広告のターゲティング対象になるなど、特定の個人をターゲットにするためにデータ主体からターゲッターに提供される情報を利用するケースがある41。
b) Targeting on the basis of observed data– Targeting of social media users can also take placeon the basis of observed data.42 Observed data are data provided by the data subject by virtue
of using a service or device.43 For example, a particular social media user might be targeted on
the basis of:
観察データに基づくターゲティング – 観察データに基づいてソーシャルメディア・ユーザーのターゲティングが行われる場合もある42。観察データは、データ主体がサービス又はデバイスを利用することによりデータ主体により提供されるデータである43。例えば、以下に挙げる事項に基づいて特定のソーシャルメディア・ユーザーがターゲットとなるケースがある。
his or her activity on the social media platform itself (for instance the content that the user
has shared, consulted or liked);
ソーシャルメディア・プラットフォーム上におけるデータ主体の活動（例えば、月5日、10頁。
41
See for example the decision by the Higher Administrative Court of Bavaria h (Germany), Beschlussv.26.09.2018 – 5 CS 18.1157, www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2018-N-25018.
例えば、バイエルン州高等行政裁判所（ドイツ）決定、Beschluss v. 26. 09. 2018 – 5 CS 18. 1157, www.
gesetze-bayern. de/Content/Document/Y-300-Z-BECKRS-B-2018-N-25018を参照のこと。
42
In its Opinion 2/2010 on online behavioural advertising the WP29 noted that “there are two main approaches
to building user profiles: i) Predictive profiles are established by inference from observing individual and collective
user behaviour over time, particularly by monitoring visited pages and ads viewed or clicked on. ii) Explicit profiles
are created from personal data that data subjects themselves provide to a web service, such as by registering”(Article 29 Data Protection Working Party, Opinion 2/2010 on online behavioural advertising, WP 171, p. 7).
第29条作業部会は「オンライン行動広告に関する意見02/2010」で次のように指摘している。「 ユーザープロファイルの構築には、主に次の二つの方法がある。i）特に訪れたページ及び閲覧又はクリッ

クされた広告を監視することにより、個人及び集団としてのユーザーの行動を経時的に観察することで、推定し、予測のプロファイルを構築する方法。ii）登録によるものなど、データ主体自身がウェブサービスに提供する個人データから明確なプロファイルを作成する方法」（第29条作業部会、「オンライン行動広告に関する意見02/2010」、WP 171、7頁）。
43
Article 29 Data Protection Working Party, Guidelines on the right to data portability, WP 242 rev. 01, 5 April
2017, p. 10.
第29条作業部会、「データポータビリティの権利に関するガイドライン」、WP 242 rev. 01、2017年4月5日、10頁。
25

Adopted適用

ユーザーが共有、参照、又は「いいね」と評価したコンテンツ）、
the use of devices on which the social media’s application is executed (for instance GPS
coordinates, mobile telephone number);ソーシャルメディアのアプリが実行されるデバイスの利用（例えば、GPS座標、携帯電話番号）、
data obtained by a third-party application developer by using the application programming
interfaces (APIs) or software development kits (SDKs) offered by social media providers;
第三者のアプリケーション開発者がソーシャルメディア・プロバイダーにより提供されるアプリケーション・プログラミング・インターフェイス（API）又はソフトウェア開発キット（SDK）を使って取得するデータ、data collected through third-party websites that have incorporated social plugins or pixels;
ソーシャル・プラグイン又はピクセルを埋め込んだ第三者のウェブサイトを通じて収集されるデータ、data collected through other third parties (e.g. parties with whom the data subject has
interacted, purchased a product, subscribed to loyalty cards); or（データ主体が相互作用した第三者、製品を購入した第三者、ポイントカードに登録した第三者など）他の第三者を通じて収集されるデータ、data collected through services offered by companies owned or operated by the social
media provider.
ソーシャルメディア・プロバイダーが所有又は運営する企業が提供するサービス
を通じて収集されるデータ。
c)Targeting on the basis of inferred data– “Inferred data” or “derived data” are created by thedata controller on the basis of the data provided by the data subject or as observed by thecontroller.44 For example, a social media provider or a targeter might infer that an individual islikely to be interested in a certain activity or product on the basis of his or her web browsing
behaviour and/or network connections.
推定データに基づくターゲティング – 「推定データ」又は「派生データ」は、デー
タ主体により提供されるデータ又は管理者により観察されるデータに基づきデータ
管理者により作成される44。例えば、ソーシャルメディア・プロバイダー又はターゲッターは、ある個人のウェブブラウジング行動及び／又はネットワーク接続に基づき、当該個人が一定の活動又は製品に関心を持つ可能性が高いと推定できる。

5.2 Targeting on the basis of provided data
提供データに基づくターゲティング
5.2.1

Data provided by the user to the social media provider
ユーザーからソーシャルメディア・プロバイダーに提供されるデータ

44

Idem.
同上。

Adopted適用

26

Individuals may actively disclose a great deal of information about themselves when making use ofsocial media. The creation of a social media account (or “profile”) involves disclosure of a number of
attributes, which may include name, date of birth, gender, place of residence, language, etc.
Depending on the nature of the social media platform, users may include additional information suchas relationship status, interests or current employment. Personal data provided by social media users
can be used by the social media provider to develop criteria, which enables the targeter to address
specific messages at the users of the social media.
個人がソーシャルメディアを利用する際に自身に関する大量の情報を積極的に開示するケースがある。ソーシャルメディア・アカウント（又は「プロファイル」）の作成に伴って多くの属性が開示され、これには氏名、生年月日、性別、居住地、言語などが含まれうる。ソー
シャルメディア・プラットフォームの特性に応じ、ユーザーが、間柄、興味関心、現在の勤務先などの追加情報を含める場合もある。ソーシャルメディア・プロバイダーは、ターゲッ
ターがソーシャルメディアのユーザーに宛て、その者に適したメッセージを送信できるようにするための基準を開発するためにユーザーにより提供された個人データを利用する場合がある。
Example 1:
事例1:
Company X sells gentlemen’s shoes and wishes to promote a sale of its winter collection. For its
advertising campaign, it wishes to target men between the age of 30 and 45 who have indicated thatthey are single in their social media profile. It uses the corresponding targeting criteria offered by thesocial media provider as parameters to identify the target audience to whom its advertisement should
be displayed. Moreover, the targeter indicates that the advertisement should be displayed to social
media users while they are using the social media service between the hours of 5pm and 8pm. To
enable targeting of social media users on the basis of specific criteria, the social media provider has
previously determined which types of personal data shall be used in order to develop the targeting
criteria and which targeting criteria shall be offered. The social media provider also communicatescertain statistical information once the advertisements has been displayed to the targeter (e.g. toreport on the demographic composition of individuals that interacted with the advertisement).
X社は紳士靴を販売しており、冬向けの商品の販売を促進したいと考えている。同社は、その広告活動において、ソーシャルメディアのプロファイルに独身者と表示されている30〜45
歳の男性をターゲットにしたいと考えている。そこで、自社の広告を表示するターゲット・
オーディエンスを識別するためにソーシャルメディア・プロバイダーが提供するターゲティ
ング基準をパラメータとして用いる。さらに、ターゲッターは、午後5時から午後8時の間にソーシャルメディア・サービスを利用しているソーシャルメディア・ユーザーに広告を表示するよう指示する。ソーシャルメディア・プロバイダーは、具体的な基準に該当するソーシャルメディア・ユーザーに対しターゲティングを実施する目的で、予めターゲティング基準を開発するために使用する個人データの種類及び提供するターゲティング基準を決定している。また、ソーシャルメディア・プロバイダーは、一旦広告が表示されると（例えば、広告と相互作用した個人の人口統計学的構成を知らせるために）一定の統計情報をターゲッターに送信する。

A. Roles役割
In Example 1, both the targeter and the social media provider participate in determining the purposeand means of the processing personal data. This results in the display of the advertisement to thetarget audience.
Adopted適用

27

事例1では、個人データを取扱う目的及び手段の決定にターゲッターとソーシャルメディ
ア・プロバイダーの両者が関与している。その結果として広告がターゲット・オーディエン
スに表示される。
As far as the determination of purpose is concerned, Company X and the social media provider jointly
determine the purpose of the processing, which is to display a specific advertisement to a set ofindividuals (in this case social media users) who make up the target audience, by choosing available
targeting criteria associated with these users in order to reach a likely interested audience and toprovide them more relevant advertisement content. Moreover, there is also mutual benefit arisingfrom the same processing operation, which is an additional indicator that the purposes pursued by
given Company X and the social media provider are inextricably be linked.45

目的の決定に関する限り、X社とソーシャルメディア・プロバイダーとは共同で取扱目的を決定している。当該取扱目的は、ターゲット・オーディエンスを構成する個人集団（この場
合はソーシャルメディア・ユーザー）に、ある特定の広告を表示することであり、これを関心があると思われるオーディエンスに対し、より関連性の高い広告コンテンツを届けるために、ソーシャルメディア・ユーザーに関連付けられた既存のターゲティング基準を選択する
ことにより実施する。さらに、同一の取扱業務から生じる相互利益があり、その点も、X社が追求する目的と、ソーシャルメディア・プロバイダーが追求する目的とが密接に関連していることを示すもう一つの手がかりになる45。
As far as the determination of means is concerned, the targeter and the social media provider jointly
determine the means, which results in the targeting. The targeter participates in the determination of
the means by choosing to use the services offered by the social media provider46, and by requesting it
to target an audience based on certain criteria (i.e. age range, relationship status, timing of display).47
In doing so, the targeter defines the criteria in accordance with which the targeting takes place anddesignates the categories of persons whose personal data is to be made use of. The social media
provider, on the other hand, has decided to process personal data of its users in such a manner todevelop the targeting criteria, which it makes available to the targeter.48 In order to do so, the social
media provider has made certain decisions regarding the essential means of the processing, such as
which categories of data shall be processed, which targeting criteria shall be offered and who shallhave access (to what types of) personal data that is processed in the context of a particular targeting
campaign.49

手段の決定について、ターゲッター及びソーシャルメディア・プロバイダーは共同で手段を決め、その結果、ターゲティングとういう結果に結びついている。ターゲッターは、ソーシャルメディア・プロバイダーが提供するサービスを利用することを選択し 46 、一定の基準
45

See EDPB Guidelines 7/2020 on concepts of the controller and the processor in the GDPR, para. 60 (“In addition,
when the entities do not have the same purpose for the processing, joint controllership may also, in light of the CJEU
case law, be established when the entities involved pursue purposes which are closely linked or complementary.
Such may be the case, for example, when there is a mutual benefit arising from the same processing operation,
provided that each of the entities involved participates in the determination of the purposes and means of therelevant processing operation”).
EDPB「GDPRにおける管理者及び処理者の概念に関するガイドライン07/2020」、パラグラフ60（「さらに、主体が取扱いに対する同一の目的を持っていない場合でも、共同管理は、CJEUの判例に照らせば、関係する主体が密接に関連する又は補完する目的を追求するときに確立し得る。これは、例えば、関係する個々の主体が関連する取扱業務の目的及び手段の決定に参加する場合で、同一の取扱業務から生じる相互利益がある場合に当てはまるであろう。」）を参照のこと。
46

See EDPB Guidelines 7/2020 on concepts of the controller and the processor in the GDPR, para. 67(“Furthermore, the choice made by an entity to use for its own purposes a tool or other system developed byanother entity, allowing the processing of personal data, will likely amount to a joint decision on the means ofthat processing by those entities. This follows from the Fashion ID case where the CJEU concluded, that by
28

Adopted適用

（すなわち年齢層、間柄、表示タイミングなど）に基づき、あるオーディエンスをターゲッ
トにするようソーシャルメディア・プロバイダーに要求することで手段の決定に関与している47。ターゲッターは、そうすることで、ターゲティングが行われる基準を定義し、個人データの利用の対象となる者の種類を指定している。他方で、ソーシャルメディア・プロバイ
ダーは、ターゲッターの利用に供するターゲティング基準を開発するという行為によりユーザーの個人データを取扱うことを決定している48。ソーシャルメディア・プロバイダーは、そうするために、どの種類のデータを取り扱うか、どのターゲティング基準を提供するか、ある特定のターゲティング活動に関連して取り扱われる（どの種類の）個人データへのアク
セスを誰に認めるかなど、取扱いに不可欠な手段に関する決定を下している49。
For the sake of completeness, the EDPB notes that the social media provider does not qualify as aprocessor as defined in Article 4 (8) GDPR. 50 In Example 1, the targeting criteria, as developed by thesocial media provider on the basis of user’s’ personal data can be used by the social media provider
for future processing operations, which demonstrates that the later cannot qualify as a processor.
Moreover, the social media provider does not appear to exclusively process the data on behalf ofCompany X and in accordance with its instructions.
完全を期すため、EDPBでは、ソーシャルメディア・プロバイダーが、GDPR第4条(8)において定義される処理者としての資格を備えない点に留意する50。事例1において、ソーシャルメ
ディア・プロバイダーは、ユーザーの個人データに基づき自身が開発したターゲティング基
準を、将来的な取扱業務にも利用できる。このことは、ソーシャルメディア・プロバイダーが処理者としての資格を備えないことを示す。さらに、ソーシャルメディア・プロバイダー
が、X社の代わりに、又その指示に従って、データを専属的に取り扱っているようには見えない。
The joint control among the targeter and social media provider only extends to those processing
operations for which they effectively co-determine the purposes and means. It extends to theprocessing of personal data resulting from the selection of the relevant targeting criteria and theembedding on its website the Facebook Like button made available by Facebook to website operators, Fashion
ID has exerted a decisive influence in respect of the operations involving the collection and transmission of thepersonal data of the visitors of its website to Facebook and had thus jointly determined with Facebook the meansof that processing”).
EDPB「GDPRにおける管理者及び処理者の概念に関するガイドライン07/2020」、パラグラフ67（「さらに、ある主体が、別の主体によって開発された個人データの取扱いを可能にするツール又は他のシステムを、自らの目的のために利用するという選択は、それらの主体による当該取扱いの手段に関する共同決 定になる可能性が高い。 これは、 CJEU が、 Facebook がウェブサ イト運営者 に提供する
Facebookのいいね！ボタンをウェブサイトに埋め込むことにより、Fashion IDはそのウェブサイトの訪問者の個人データの収集及び Facebookへの送信を含む業務に関して決定的な影響を及ぼしており、したがって、当該取扱いの手段をFacebookと共同で決定していたと結論付けたFashion IDの事件から導かれる。」）を参照のこと。
47

See in this respect Wirtschaftsakademie, C-210/16, para. 39 - ECLI:EU:C:2018:388.
この点に関しては、Wirtschaftsakademie、C-210/16、パラグラフ39 - ECLI: EU: C: 2018: 388を参照のこと。
48
See in the same vein also Fashion ID, C-40/17, para. 80: “those processing operations are performed in theeconomic interests of both Fashion ID and Facebook Ireland, for whom the fact that it can use those data for its
own commercial purposes is the consideration for the benefit to Fashion ID”.
同様に、Fashion ID、C-40/17、パラグラフ80、「これらの取扱業務は、 Fashion IDとFacebook Irelandの両者の経済的利益のために実行される。つまりFacebook Irelandにとって、これらのデータを自身の商業目的で利用できるという事実は、Fashion IDの利益を考慮したものである」も参照のこと。
49
See Opinion 1/2010.
意見01/2010を参照のこと。
50
See EDPB Guidelines 7/2020 on concepts of the controller and the processor in the GDPR.
EDPB「GDPRにおける管理者及び処理者の概念に関するガイドライン07/2020」を参照のこと。
29

Adopted適用

display of the advertisement to the target audience. It also covers the processing of personal data
undertaken by the social media provider to report to the targeter about the results of the targeting
campaign. The joint control does not, however, extend to operations involving the processing of
personal data at other stages occurring before the selection of the relevant targeting criteria or after
the targeting and reporting has been completed (e.g. the development of new targeting criteria by thesocial media provider on the basis of completed targeting campaigns) and in which the targeter has
not participated in determining the purposes and means, likewise the social media provider, inprinciple, does not participate in phase of planning a targeting campaign prior to the moment where
the targeter makes contact with the social media provider”.51
ターゲッターとソーシャルメディア・プロバイダーとの共同管理の範囲に含まれるのは、両者が目的及び手段を実効的に共同で決めている取扱業務に限られる。共同管理の範囲は、関連するターゲティング基準の選択及びターゲット・オーディエンスへの広告の表示から生ずる個人データの取扱いを含む。加えて、ソーシャルメディア・プロバイダーが、ターゲティ
ング活動の成果に関してターゲッターに報告するために行う個人データの取扱いにも及ぶ。
しかしながら、関連するターゲティング基準が選択される前、又は（例えば、ソーシャルメ
ディア・プロバイダーが完了したターゲティング活動に基づいて新たに行うターゲティング
基準の開発など）ターゲティング及び報告が完了した後に発生するものであって、ターゲッ
ターが目的及び手段の決定に関与していない他の段階における個人データの取扱いを伴う業
務は共同管理の範囲に含まれず、ソーシャルメディア・プロバイダーの場合も同様に、原則として、ターゲッターが当該ソーシャルメディア・プロバイダーに接触する以前に行ったターゲティング活動の計画段階には関与していない51。
The above analysis remains the same even if the targeter only specifies the parameters of its intended
audience and does not have access to the personal data of the users that are affected. Indeed, joint
responsibility of several actors for the same processing does not require each of them to have accessto the personal data concerned. 52 The EDPB recalls that actual access to personal data is not aprerequisite for joint responsibility.53
ターゲッターが想定しているオーディエンスのパラメータのみを指定し、影響を受けるユー
ザーの個人データにアクセスできない場合でも上記の分析は変わらない。実際、各関与者が該当する個人データにアクセスできることは、同一取扱業務に関して複数の関与者の共同管理責任を認める要件に含まれない52。EDPBは、個人データに実際にアクセスできることが共同管理責任を認めるための前提条件ではない点を想起する53。

B. Legal basis
法的根拠
51

See also Judgment inFashion ID, C-40/17, para. 74 (“[a] natural or legal person cannot be considered to be acontroller, within the meaning of that provision, in the context of operations that precede or are subsequent in
the overall chain of processing for which that person does not determine either the purposes or the means”) andparagraph 101.
Fashion ID判決、C-40/17、パラグラフ74（「自然人又は法人が目的も手段も決めないような取扱いの連鎖全体の前又は後に行われた業務との関係において、それらの者を当該規定の意味内における管理者であるとみなすことはできない」）及びパラグラフ101も参照のこと。
52

Judgment in Wirtschaftsakademie, C-210/16, para. 38 - ECLI:EU:C:2018:388; Judgment in Jehovah’s Witnesses,
C-25/17, para. 69 - ECLI:EU:C:2018:551.
Wirtschaftsakademie判決、C-210/16、パラグラフ38 - ECLI: EU: C: 2018: 388、エホバの証人判決、C-25/17、
パラグラフ69 - ECLI: EU: C: 2018: 551。
53
CJEU Judgment 10 July 2018 (C-25/17, para. 68 to 72).
CJEU判決、2018年7月10日（C-25/17）パラグラフ68から72まで。
30

Adopted
適用

As joint controllers, both parties (the social media provider and the targeter) must be able todemonstrate the existence of a legal basis (Article 6 GDPR) to justify the processing of personal data
for which each of the joint controllers is responsible. The EDPB recalls that no specific hierarchy ismade between the different lawful basis of the GDPR: the controller needs to ensure that the selectedlawful basis matches the objective and context of the processing operation in question. The
identification of the appropriate lawful basis is tied to principles of fairness and purpose limitation.54
両当事者（ソーシャルメディア・プロバイダーとターゲッター）は、共同管理者として、それぞれが責任を負う個人データの取扱いを正当化するための法的根拠（GDPR第6条）の存在を証明できるようにしなければならない。EDPBは、GDPRの様々な法的根拠の間には明確な優劣がない点を想起する。すなわち、管理者は、選択する法的根拠が問題となる取扱業務の目的及び過程に適合するよう確保する必要がある。適切な法的根拠を明らかにすることは、
公正性と目的の限定の原則に関係している54。
Generally speaking, there are two legal bases which could justify the processing that supports thetargeting of social media users: data subject’s consent (Article 6(1)(a) GDPR) or legitimate interests(Article 6(1)(f) GDPR). A controller must always consider what the appropriate legal basis is under the
given circumstances. In respect to the social media providers Article 6 (1) b GDPR cannot provide a
lawful basis for online advertising simply because such advertising indirectly funds the provision of
their service. 55 The same applies to the targeter as targeting of social media users cannot be
considered as an intrinsic aspect of any services or necessary to perform a contract with the user. 56
While personalisation of content may, in certain circumstances, constitute an intrinsic and expected
element of certain online services57, Article 6 (1) b GDPR in the context of targeting of social media
users is hardly applicable, as illustrated in the examples of these Guidelines.58
一般論として、ソーシャルメディア・ユーザーのターゲティングを支える取扱いを正当化しうる法的根拠には次の二つのものがある。それは、データ主体の同意（GDPR第6条(1)(a)）又は正当な利益（GDPR第6条(1)(f)）である。管理者は、状況毎に適切な法的根拠が何であるかを常に考慮しなければならない。単にオンライン広告が、間接的に、ソーシャルメディア・プロバイダーがサービスを提供するための資金になるという理由から、ソーシャルメディ
ア・プロバイダーはGDPR第6条(1)(b)をオンライン広告の法的根拠とすることはできない55。
ターゲッターの場合も、ソーシャルメディア・ユーザーのターゲティングをサービスの本質的な側面である、又はユーザーとの契約を履行するために必要な行為であるとみなすことができないため、同様にGDPR第6条(1)(b)をターゲティング広告の法的根拠にすることはできな
い56。コンテンツのパーソナライズは、一定の状況において、一定のオンラインサービスの54

See paragraph 18, Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in thecontext of the provision of online services to data subjects, Version 2.0, 8 October 2019, available at「データ主体へのオンラインサービスの提供に関連するGDPR第6条(1)(b)に基づく個人データの取扱いに関するガイドライン02/2019バージョン 2.0」、2019年10月8日を参照のこと。以下のURLから入手できる。
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_en.pdf
55
See para. 52, 53, Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in thecontext of the provision of online services to data subjects,
Version 2.0, 8 October 2019, available at「データ主体へのオンラインサービスの提供に関連するGDPR第6条(1)(b)に基づく個人データの取扱いに関するガイドライン02/2019バージョン 2.0」、2019年10月8日、パラグラフ52、53を参照のこと。
以下のURLから入手できる。
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_en.pdf
56
There would be a lack of necessity if the targeter were to switch to social media providers despite a directcontractual relationship with its customer and thus the possibility of direct advertising.
顧客との直接の契約関係があり、このため広告を直接行えるにもかかわらず、ターゲッターがソーシ
31

Adopted
適用

本質的かつ期待される要素57を構成しうるものの、本ガイドラインの例に示されているように、ソーシャルメディア・ユーザーのターゲティングとの関係ではGDPR第6条(1)(b)がほぼ適用されない58。
For what concerns the legitimate interest lawful basis, the EDPB recalls that in Fashion ID, the CJEU
reiterated that in order for a processing to rely on the legitimate interest, three cumulative conditions
should be met, namely59 (i) the pursuit of a legitimate interest by the data controller or by the third
party or parties to whom the data are disclosed, (ii) the need to process personal data for the purposesof the legitimate interests pursued, and (iii) the condition that the fundamental rights and freedomsof the data subject whose data require protection do not take precedence. The CJEU also specified
that in a situation of joint controllership “it is necessary that each of those controllers should pursue alegitimate interest […] through those processing operations in order for those operations to be justified
in respect of each of them”.60
EDPBは、正当な利益が法的根拠となる場合に関し、CJEUがFashion IDにおいて、取扱いが正当な利益を根拠にするためには次の三つの条件を累積的に満たす必要があると繰り返し述べている点を想起する59。それは、(i)データ管理者又は第三者若しくはデータが開示される当事者による正当な利益の追求、(ii)追求される正当な利益を目的として個人データが取り扱われる必要性、及び(iii)データの保護が必要とされるデータ主体の基本的な権利及び自由が優先されない条件、である。また、CJEUは、共同管理状況において、「これらの管理者のそれぞれにつきその取扱業務が正当化されるには、そのそれぞれがそうした取扱業務を通じて（中略）正当な利益を追求している必要がある」と述べた60。
With regard to Example 1, the targeter might consider its legitimate interest to be the economic
interest of having an increased publicity for its goods through social media targeting. The social media
provider could consider that its legitimate interest consists of making the social media service
profitable by selling advertising space. Whether the targeter and the social media provider can rely
upon Article 6(1)(f) GDPR as legal basis depends on whether all three cumulative conditions are met,as recently reiterated by the CJEU. Even if the targeter and the social media provider consider theireconomic interests to be legitimate, it does not necessarily mean that they will be able to actually rely
on Article 6(1)(f) GDPR.
事例1に関して、ターゲッターは、ソーシャルメディアでのターゲティングを通じて商品の宣伝を強化することによる経済的利益が正当な利益であると認められないかを考える可能性がある。ソーシャルメディア・プロバイダーは、広告スペースを販売することによりソーシャルメディア・サービスに収益性をもたらすことが自身にとっての正当な利益だと考える可ャルメディア・プロバイダーに切り替える場合には必要性が認められない。
57
See p. 15 , Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context ofthe provision of online services to data subjects, Version 2.0, 8 October 2019, available at「データ主体へのオンラインサービスの提供に関連するGDPR第6条(1)(b)に基づく個人データの取扱いに関するガイドライン02/2019バージョン 2.0」、2019年10月8日、15頁を参照のこと。以下のURLから入手できる。
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_en.pdf
58
Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provisionof online services to data subjects, Version2.0, para 57.
「データ主体へのオンラインサービスの提供に関連するGDPR第6条(1)(b)に基づく個人データの取扱いに関するガイドライン02/2019バージョン2.0」、パラグラフ57。
59
CJEU, Judgment in Fashion ID, 29 July 2019, C-40/17, para. 95 - ECLI:EU:C:2019:629.
CJEU、Fashion ID判決、2019年7月29日、C-40/17、パラグラフ95 - ECLI: EU: C: 2019: 629。
60
Idem, para 97.
同上、パラグラフ97。
32

Adopted適用

能性がある。CJEUが最近繰り返し述べたように、ターゲッターとソーシャルメディア・プロ
バイダーがGDPR第6条(1)(f)を法的根拠としうるかどうかは、累積的な三つの条件の全てを満たしているかどうかで決まる。自身の経済的利益が正当であるとターゲッターとソーシャルメディア・プロバイダーが判断していたとしても、そのことは、必ずしも彼らが実際にGDPR第6条(1)(f)を根拠としうることを意味するものではない。
The second part of the balancing test entails that the joint controllers will need to establish that theprocessing is necessary to achieve those legitimate interests. “Necessary” requires a connection
between the processing and the interests pursued. The ‘necessity’ requirement is particularly relevantin the context of the application of Article 6(1)f, in order to ensure that processing of data based on
legitimate interests does not lead to an unduly broad interpretation of the necessity to process data.
As in other cases, this means that it should be considered whether other less invasive means areavailable to serve the same end.61
バランス要件の二番目の部分は、共同管理者が、これらの正当な利益を実現するためにそうした取扱いが必要であることを立証する必要があることを意味する。「必要性」には、取扱いと追求される利益との結び付きが要件となる。正当な利益に基づくデータの取扱いがデー
タを取扱う必要性の過度に広範な解釈につながらないことを確保するには、第6条(1)(f)の適用に関連して『必要性』の要件が特に重要になる。これは、他の場合と同様に、その目的を実現するため、より侵害性の低い他の手段を利用できないかどうかを検討すべきであることを意味する61。
The third step in assessing whether the targeter and the social media provider can rely upon Article
6(1)(f) GDPR as legal basis for the processing of personal data, is the balancing exercise necessary to
determine whether the legitimate interest at stake is overridden by the data subject’s interests or
fundamental rights and freedoms.62
ターゲッターとソーシャルメディア・プロバイダーがGDPR第6条(1)(f)を個人データを取扱う
法的根拠としうるかどうかを評価する際の第三のステップはバランスを図る措置であり、これは、問題の正当な利益に優先されるデータ主体の利益又は基本的な権利及び自由が存在しないかどうかを判断するために必要なものである62。
61

Article 29 Working Party Opinion 06/2014 on the concept of legitimate interests of the data controller under
Article 7 of Directive 95/46/EC, WP217, 9 April 2014, p. 29.
第29条作業部会、「指令95/46/EC第7条のもとでの管理者の正当な利益の概念に関する意見06/2014」、
WP217、2014年4月9日、29頁。
62
When assessing the impact on the interests, fundamental rights and freedoms of the individual concerned, thefollowing considerations are particularly relevant in the context of targeting directed to users of social media (i)the purposes of the targeting, (ii) the level of detail of the targeting criteria used (e.g., a broadly described cohort
such as ‘people with an interest in English literature’, or more detailed criteria to allow segmentation andtargeting on a more granular level), (iii) the type (and combination) of targeting criteria used (i.e. whether thetargeting only focuses on a small aspect of the data subject, or is more comprehensive in nature), and (iv) thenature (sensitivity), volume and source of the data used in order to develop the targeting criteria. See Article 29
Working Party Opinion 06/2014 on the concept of legitimate interests of the data controller under Article 7 of
Directive 95/46/EC, WP217, 9 April 2014 https://ec.europa.eu/justice/Article-29/documentation/opinionrecommendation/files/2014/wp217_en.pdf
関係する個人の利益、基本的権利及び自由への影響を評価する場合、ソーシャルメディアのユーザーに向けられたターゲティングに関連して特に以下の考慮事項が重要である。(i)ターゲティングの目的、(ii)利用するターゲティング基準の詳細さの度合い（例えば、『英文学に関心のある人々』の集団など
おおまかに定義されているのか、又はより粒度の高いレベルでの区分及びターゲティングを可能にするためのさらに詳細な基準に基づいて定義されているのか）、(iii)使われたターゲティング基準の種
類（及び組合せ）（つまり、ターゲティングの際にデータ主体の小さな側面にのみ焦点を当てているのか、それとも包括的な性質を備えるのか）、及び(iv)ターゲティング基準を開発するために使われる
33

Adopted
適用

The EDPB recalls that in cases where a controller envisages to rely on legitimate interest, the duties oftransparency and the right to object require careful consideration. Data subjects should be given theopportunity to object to the processing of their data for targeted purposes before the processing is
initiated. Users of social media should not only be provided with the possibility to object to the displayof targeted advertising when accessing the platform, but also be provided with controls that ensure
the underlying processing of his or her personal data for the targeting purpose no longer takes place
after he or she has objected.
EDPBは、管理者が正当な利益を根拠とすることを想定している場合、透明性に関する義務
及び異議を述べる権利を注意深く検討する必要がある点を想起する。データ主体に対し、ターゲティングを目的とするデータの取扱いに異議を述べる機会を取扱いが開始される前に与えるべきである。ソーシャルメディアのユーザーに対し、プラットフォームにアクセスする
際にターゲティング広告が表示されることに異議を述べる機会を与えるべきであるのみならず、異議を述べれば、それ以降、ターゲティング目的での自己の個人データの基となる取扱いが行われないことを確保するような管理権限も付与すべきである。
The targeter seeking to rely on legitimate interest should, for its part, make it easy for individuals to
express a prior objection to its use of social media for targeting purposes. However, insofar as thetargeter does not have any direct interaction with the data subject, the targeter should at least ensurethat the social media platform provide the data subject with means to efficiently express their right toprior objection. As joint controllers, the targeter and social media provider should clarify how theindividuals’ right to object (as well as other rights) will be accommodated in the context of the joint
arrangement (see section 6). If the balancing exercise points out that data subject’s interests or
fundamental rights and freedoms override the legitimate interest of the social media provider and thetargeter, the use of Article 6(1)(f) is not possible.
ターゲッターが正当な利益を根拠としたいのであれば、その一環として、ターゲティングの目的でターゲッターがソーシャルメディアを利用することについて、個人が容易な形で事前に異議を表明できるようにしなければならない。ターゲッターがデータ主体と直接相互作用
しない場合でも、少なくともターゲッターは、ソーシャルメディア・プラットフォームにおいて効率的に事前に異議を述べる権利を表明する手段がデータ主体に提供されるように確保するべきである。ターゲッターとソーシャルメディア・プロバイダーは、共同管理者として、異議を述べる個人の権利（及び他の権利）が共同合意の中にどのように盛り込まれているかを明確にしなければならない（第6章を参照のこと）。バランスを図る措置の結果、データ主体の利益又は基本的な権利及び自由がソーシャルメディア・プロバイダーとターゲッターの正当な利益に優先されることが判明する場合には第6条(1)(f)を利用できない。
For what concerns the consent lawful basis, the controller needs to keep in mind that there are clearlysituations in which the processing would not be lawful without the valid consent of the individuals
concerned (Article 6(1)(a) GDPR). For example, the WP29 has previously considered that it would be
difficult for controllers to justify using legitimate interests as a legal basis for intrusive profiling andtracking practices for marketing or advertising purposes, for example those that involve tracking
individuals across multiple websites, locations, devices, services or data-brokering.63
同意が法的根拠になる場合関して、管理者は、該当する個人の有効な同意がない限りその取扱いが適法にはなりえないことが明白であるという点に留意する必要がある（GDPR第6条(1)(a)）。例えば、第29条作業部会は従前、複数のウェブサイト、場所、デバイス、サービ
データの性質（センシティビティ）、量、及び情報源。第29条作業部会、「指令95/46/EC第7条のもとでの管理者の正当な利益の概念に関する意見06/2014」、WP217、2014年4月9日を参照のこと。
https://ec.europa.eu/justice/Article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf
34

Adopted適用

ス又はデータブローカーをまたいで個人を追跡することなどといった、マーケティング又は広告目的での侵害的なプロファイリング及び追跡活動を行う場合には、管理者が正当な利益を法的根拠としてこうした活動を正当化することは困難であると考えている63。
To be valid, the consent collected for the processing needs to fulfil the conditions laid out in Articles
4(11) and 7 GDPR. Generally speaking, consent can only be an appropriate legal basis if a data subject
is offered control and genuine choice. If consent is bundled up as a non-negotiable part of terms andconditions, it is presumed not to have been freely given. Consent must also be specific, informed andunambiguous and the data subject must be able to refuse or withdraw consent without detriment.64
同意が有効とされるためには、取扱いのために得られた同意が、GDPR第4条(11)及び第7条に定める条件を充足する必要がある。一般的に言って、同意が適切な法的根拠となりうるのは、管理権限と真の選択がデータ主体に与えられる場合のみである。同意が契約条件の交渉できない部分としてまとめられている場合、それは自由に与えられたものとはみなされない。また、同意は、特定され、説明を受けた上での、不明瞭ではないものでなくてはならず、デー
タ主体が不利益を被らずにその同意を拒否し又は撤回できるものでなければならない64。
Consent (Article 6(1)(a) GDPR) could be envisaged, provided that all the requirements for valid consent
are met. The EDPB recalls that obtaining consent also does not negate or in any way diminish thecontroller’s obligations to observe the principles of processing enshrined in the GDPR, especially Article
5 with regard to fairness, necessity and proportionality, as well as data quality. Even if the processingof personal data is based on consent of the data subject, this would not legitimize targeting which isdisproportionate or unfair.65
有効な同意に関するあらゆる要件が満たされている場合にのみ、同意（GDPR第6条第1項(a)）の存在を想定できる。EDPBは、同意を得ても、GDPRに定める取扱原則、特に、公正性、必要性、比例性とデータの質に関するGDPR第5条を遵守するための管理者の義務を無効とし又は弱めるものではない点を想起する。個人データの取扱いがデータ主体の同意に基づいているとしても、比例しないか又は不公正なターゲティングを正当化しない65。
Finally, the EDPB is of the opinion that the processing of personal data described in the Example 1
cannot be justified on the basis of Article 6(1)(b) by neither the social platform nor the targeter.66
最後に、EDPBは、ソーシャルメディア・プラットフォームも、ターゲッターも、事例1で説明するような個人データの取扱いに関して、第6条(1)(b)を根拠に取り扱いを正当化できないと考えている66。
63

Article 29 Working Party, Opinion on profiling and automated decision making, WP 251, rev. 01, p. 15, see also
Article 29 WP, Opinion on legitimate interest, 32 and 48: « Overall, there is an imbalance between the company’s
legitimate interest and the protection of users’ fundamental rights and Article 7(f) should not be relied on as a legal
ground for processing. Article 7(a) would be a more appropriate ground to be used, provided that the conditions
for a valid consent are met ».
第29条作業部会、「プロファイリングと自動化された意思決定に関する意見」、WP 251、rev. 01、15頁。第29条作業部会、「正当な利益に関する意見」、32頁及び48頁も参照のこと。「会社の正当な利益とユーザーの基本的権利の保護とが全体として均衡を欠くため、取扱うための法的根拠として第7条(f)に依拠するべきではない。有効な同意としての条件が満たされていれば、第7条(a)を根拠として利用する方が適切である」。
64
See Article 29 Working Party, Guidelines on consent under Regulation 2016/679, WP259 rev. 01.
第29条作業部会、「規則2016/679に基づく同意に関するガイドライン」、WP259、rev. 01を参照のこと。
65
See Article 29 Working Party, Guidelines on consent under Regulation 2016/679, WP259 rev. 01, p. 3-4.
第29条作業部会、「規則2016/679に基づく同意に関するガイドライン」、WP259、rev. 01、3-4頁を参照のこと。
66
See Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the
35

Adopted適用

5.2.2

Data provided by the user of the social media platform to the targeter
ソーシャルメディア・プラットフォームのユーザーからターゲッターに提供されるデータ

Targeting can also involve data provided by the data subject to the targeter, who then uses the datacollected in order to target the data subject on social media. For example, “list-based” targeting occurs
where a targeter uploads pre-existing lists of personal data (such as e-mail addresses or phone
numbers) for the social media provider to match against the information on the platform. In this case,the social media provider compares the data uploaded by the targeter with user data that it alreadypossesses, and any users that match are added to or excluded from the target audience (that is, the‘cluster’ of persons to which the advertisement will be displayed on the social media platform). The
social media provider may also allow the targeter to ‘check’ the list prior to finalising it, meaning thatsome processing takes place even before the audience has been created.
また、データ主体によりターゲッターにデータが提供され、その後、ターゲッターが収集したデータを、ソーシャルメディア上でデータ主体をターゲットにするために利用する場合もある。例えば、ソーシャルメディア・プロバイダーがプラットフォーム上の情報と照合するため、ターゲッターが個人データ（電子メールアドレスや電話番号など）の既存リストをアップロードする場合、「リストベース」のターゲティングが行われる。その場合、ソーシャ
ルメディア・プロバイダーは、ターゲッターによりアップロードされたデータを、自身が既に保持するユーザーデータと比較し、一致するユーザーをターゲット・オーディエンス（つまり、広告をソーシャルメディア・プラットフォーム上に表示する人々の『集団（cluster）』）に追加又はそれから削除する。また、リストを完成させる前に当該リストに記載されたデータを『確認』することをソーシャルメディア・プロバイダーがターゲッター
に対して認める、つまり、オーディエンスが確定する前に何らかの取扱いが行われる場合もある。

provision of online services to data subjects, Version 2. 0, 8 October 2019, available at:
EDPB「データ主体へのオンラインサービスの提供に関連するGDPR第6条(1)(b)に基づく個人データの取扱いに関するガイドライン02/2019バージョン 2.0」、2019年10月8日を参照のこと。以下のURLから入手できる。
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_en.pdf
36

Adopted適用

Example 2:
事例2:
Ms. Jones contacts Bank X to set up an appointment regarding a possible mortgage because she isbuying a house. She contacts the bank via e-mail to set up the appointment. Following theappointment, Ms. Jones decides not to become a customer of the bank. The bank has neverthelessadded the e-mail address of Ms. Jones to its customer e-mail database. Then, the bank uses its e-maildatabase, by allowing the social media provider to ‘matching’ the list of e-mail addresses it holds withthose held by the social media platform, in order to target the individuals concerned with the full rangeof financial services on the social media platform.
Jones氏は、住宅を購入するため、銀行Xに連絡し、住宅ローンを受けられるかどうかを相談するために予約を入れる。同氏は、予約を入れるために電子メールで銀行に連絡する。相談
後、Jones氏は銀行の顧客にならないことに決める。銀行はそれでもJones氏の電子メールア
ドレスを自行の顧客電子メール・データベースに追加する。次に銀行は、ソーシャルメディ
ア・プラットフォームに対し、自行が保有する電子メール・データベースを使い、当該電子
メールアドレスのリストとソーシャルメディア・プラットフォームが保有するメール・リス
トと『照合』することを許可し、該当する個人をターゲットにし、ソーシャルメディア・プ
ラットフォーム上であらゆる種類の金融サービスの広告を行う。

Example 3:
事例3:
Mr. Lopez has been a customer at Bank X for almost a year. When he became a customer, he provided
an e-mail address and was informed by Bank X, at the moment of collection, that: (a) his e-mail address
would be used for advertising of offers linked to the bank services that he is already using; and (b) he
may object to this processing at any time. The bank has added his e-mail address to its customer email database. Afterwards, the bank uses its e-mail database to target its customers on the social
media platform with the full range of financial services it has on offer.67
Lopez氏が銀行Xの顧客になってからほぼ1年が経過する。銀行Xの顧客になる際、同氏は電子メールアドレスを提供し、データ収集の時点で銀行Xから次の内容の通告を受けた。(a) 同氏が既に利用している銀行サービスに関連するオファーの広告を行うために同氏の電子メー
ルアドレスを利用すること、(b) 同氏が当該取扱いに随時、異議を述べうること。銀行は、
顧客電子メール・データベースに同氏の電子メールアドレスを追加した。その後、当該銀行
は、ソーシャルメディア・プラットフォーム上の自行の顧客をターゲットにし、自行の提供する全種類の金融サービスを広告するために当該電子メール・データベースを利用する67。

A. Roles役割
In these examples, the targeter, i.e. the bank, acts as a controller because it determines the purposes
and means of the processing by actively collecting, processing and transmitting the personal data of
the individuals concerned to the social media provider for advertising purposes. The social media
67

In situations where e-mail addresses are used to send direct marketing to users controllers must also take into
account the provisions of Article 13 of the ePrivacy Directive. ”.
電子メールアドレスを使ってダイレクトメールをユーザーに送信する場合、管理者は「eプライバシ
ー指令第13条の規定も考慮しなければならない」。
37

Adopted適用

provider, in turn, acts as a controller because it has taken the decision to use personal data acquired
from the social media user (i.e. the e-mail address provided when setting up his or her account) inorder to enable the targeter to display advertising to an audience of specific individuals.
これらの例では、ターゲッター、つまり銀行が、該当する者の個人データを広告目的で積極的に収集し、取り扱い、ソーシャルメディア・プロバイダーに送信することにより取扱いの目的及び手段を決定しているため、管理者として行為している。一方、ソーシャルメディ
ア・プロバイダーは、ターゲッターが特定の個人から成るオーディエンスに広告を表示できるよう、ソーシャルメディア・ユーザーから取得した個人データ（つまり、アカウントの設
定時にユーザーから提供された電子メールアドレス）を利用する決定を下すことで、管理者として行為している。
Joint controllership exists in relation to the processing operations for which the social media provider
and the targeter jointly determine the purposes and means, in this case, uploading unique identifiers
related to the intended audience, matching, selection of targeting criteria and subsequent display of
the advertisement, as well as any reporting relating to the targeting campaign.68
ソーシャルメディア・プロバイダーとターゲッターが目的及び手段を共同で決定した取扱業
務、すなわちこの場合であれば、想定されるオーディエンスに関連する一意の識別子のアップロード、照合、ターゲティング基準の選択、事後的な広告の表示、及びターゲティング活動に関連する報告に関して共同管理が行われている68。
In both examples the bank acts as the sole controller regarding the initial collection of the email
addresses of Ms. Jones and Mr. Lopez respectively. The social media provider does not participate inany way to determine the means and purposes of this collection. The joint control begins with thetransmission of the personal data and the simultaneous collection of it by the social media provider. It
continues throughout the display of the targeted advertisement ends (in most of the cases) when asubsequent reporting phase is completed. In some cases, joint controllership can be further extended,even until the deletion of the data phase insofar as the targeter still continues to participate in thedetermination of purposes and means.
いずれの例でも、Jones氏とLopez氏それぞれの電子メールアドレスの当初の収集に関して、銀行は、管理者として単独で行為している。ソーシャルメディア・プロバイダーは、当該収集の手段と目的の決定にいかなる形でも関与してはいない。共同管理は、個人データの送信及びそれと同時に行われるソーシャルメディア・プロバイダーによるデータの収集から始ま68

The determination of purposes and means of the processing of the targeter and social media provider is similar(albeit not identical) to Example 1. By uploading the list of email addresses and setting the additional targeting
criteria, the targeter defines the criteria in accordance with which the targeting takes place and designates thecategories of persons whose personal data is to be made use of. The social media provider likewise makes adetermination as to whose personal data shall be processed, by allowing which categories of data shall beprocessed, which targeting criteria shall be offered and who shall have access (to what types of) personal datathat is processed in the context of a particular targeting campaign. The shared purpose underlying theseprocessing operations resembles the purpose identified in Example 1, namely the display a specificadvertisement to a set of individuals (in this case: social media users) who make up the target audience.
ターゲッターとソーシャルメディア・プロバイダーによるデータを取扱う目的及び手段の決定は、事例1と（同一ではないものの）類似である。ターゲッターは、電子メールアドレスのリストをアップロードし、追加的なターゲティング基準を設定することにより、ターゲティングが行われる基準を定義し、個人データが利用される者の種類を指定する。同様にソーシャルメディア・プロバイダーも、どの種類のデータを取扱うか、どのターゲティング基準を提供するか、ある特定のターゲティング活動に関連して取扱われる（どの種類の）個人データへのアクセスを誰に認めるかを受け入れることにより、誰の個人データを取扱うかを決定している。これらの取扱業務の根底にある共通の目的は、事
例1で特定された目的に似ており、それはターゲット・オーディエンスを構成する一連の個人（この場合、ソーシャルメディア・ユーザー）に特定の広告を表示することである。
38

Adopted適用

る。これは、（大半の場合には）ターゲティング広告の表示が終わり、報告段階が完了するまでの全期間に及ぶ。時には、共同管理の期間がさらに延長され、ターゲッターが目的及び手段の決定になお関与し続ける限り、データが削除される段階まで、共同管理が継続される場合もある。
The reason why the bank acts as sole controller when collecting the e-mail addresses from Ms. Jonesand Mr. Lopez respectively, is because the collection of data occurs prior to (and is not inextricably
linked to) the targeting campaign. Therefore, in this case one must distinguish between the initial setof processing operations for which only the bank is a controller and a subsequent processing for which
joint control exists. The responsibility of the bank does not extend to operations occurring after thetargeting and reporting has been completed and in which the targeter has not participated in the
purposes and means and for which the social media provider acts as the sole controller.
Jones氏とLopez氏それぞれから電子メールアドレスを収集する際に銀行が管理者として単独で行為している理由は、データの収集がターゲティング活動の前に行われている（又、ターゲティング活動と密接に関連していない）ためである。したがって、当該ケースでは、銀行のみが管理者である最初の一連の取扱業務と、共同管理が行われているその後の取扱いとを区別しなければならない。ターゲティングと報告が完了した後に発生し、ターゲッターが目的及び手段に関与せず、ソーシャルメディア・プロバイダーが管理者として単独で行為する業務には銀行の責任は及ばない。

B. Legal basis
法的根拠
In Example 2, Article 6(1)f GDPR does not provide an appropriate legal basis to justify the processingin this case, taking into account the context in which the personal data was provided. Indeed, Ms. Jones
contacted the bank for the sole purpose of setting up an appointment, following which she
communicated her intention not to make use of the services offered by the bank. Hence, one canconsider that there is no reasonable expectation by Ms. Jones that her personal data shall be used fortargeting purposes (‘re-targeting’). Moreover, a compatibility test under Article 6(4) GDPR would likely
lead to the outcome that this processing is not compatible with the purpose for which the personal
data are initially collected.
事例2の個人データが提供された状況を考慮すると、GDPR第6条(1)(f)が、当該ケースにおける取扱いを正当化するための適切な法的根拠とはならない。実際、Jones氏は予約することのみを目的として銀行に連絡を取り、その後、その銀行が提供するサービスを利用しない意思を伝えた。したがって、Jones氏には、自己の個人データがターゲティング目的（『リターゲティング』）に利用されることへの合理的な期待が存在しないと考えることができる。
さらに、GDPR第6条(4)に基づく適合性テストは、当該取扱いと、個人データが最初に収集された目的とが適合しないという結果につながる可能性が高い。
In Example 3, the targeter might be able to rely on legitimate interest to justify the processing, taking
into account inter alia that Mr. Lopez was: (a) informed of the fact that his e-mail address may be used
for purposes of advertising via social media for services linked to the one used by the data subject; (b)the advertisement relates to services similar to those for Mr. Lopez is already a customer, and (c) Mr.
Lopez was given the ability to object prior to the processing, at the moment where the personal data
were collected by the bank. However, the EDPB would like to clarify that the fulfillment of information
duties as per Articles 13 and 14 GDPR and the weighing of interests to be performed according to
Article 6 (1)(f) GDPR are two different sets of obligations. Therefore, the mere fulfilment of information
duties according to Articles 13 and 14 GDPR is not a transparency measure to be taken into
consideration for the weighing of interests according to Article 6 (1)(f) of GDPR.
Adopted適用39

事例3では、特にLopez氏に関する次の点を考慮に入れる場合、ターゲッターが正当な利益を根拠にして取扱いを正当化できる可能性がある。(a) データ主体により利用されるサービスに関連するサービスをソーシャルメディアを介して広告する目的で自己の電子メールアドレ
スが利用されうる旨の通告を受けており、(b) その広告は、Lopez氏が既に顧客になっているものと類似のサービスに関連しており、かつ(c) 銀行が取扱いに先立つ個人データの収集
時に異議を述べる機会をLopez氏に与えている点。しかしながら、EDPBは、GDPR第13条及び第14条に基づく情報提供義務の履行に関係する一連の義務と、GDPR第6条(1)(f)に基づく利益の衡量に関係する一連の義務とが性質の異なるものである点を明確にしたいと考える。したがって、GDPR第13条及び第14条に基づく情報提供義務が履行されているというのみでは、
GDPR第6条(1)(f)に基づく利益を衡量する際に考慮に加えるべき透明性措置を構成しない。

5.3 Targeting on the basis of observed data
観察データに基づくターゲティング
There are several ways in which social media providers may be able to observe the behaviour of theirusers. For example, observation is possible through the social media service itself or may also be
possible on external websites by virtue of social plug-ins or pixels.
ソーシャルメディア・プロバイダーがユーザーの行動を観察する方法には複数のものがある。
例えば、ソーシャルメディア・サービス自体を介して観察することが可能であり、また、ソーシャル・プラグイン又はピクセルを使って外部のウェブサイトで観察できる場合もある。
Example 4: Pixel-based targeting
事例4: ピクセルベースのターゲティング
Mr Schmidt is browsing online in order to purchase a backpack. He visits the website “BestBags.com”,
views a number of items, but decides not to make a purchase. The operator of “BestBags.com” wishes
to target social media users who have visited their website without making a purchase. To this end, it
integrates a so-called “tracking pixel”69 on its website, which is made available by the social media
provider. After leaving the website of BestBags.com and logging into his social media account, Mr
Schmidt begins to see advertisement for the backpacks he was considering when browsing
BestBags.com.
Schmidt氏はバックパックを購入するためにオンラインでブラウジングをしている。同氏はウェブサイト「BestBags. com」を訪問し、幾つかの品目を表示するものの、購入しないことに決める。「BestBags. com」の運営者は、購入はしなかったものの自社のウェブサイトを訪問したソーシャルメディア・ユーザーをターゲットにしたいと考えている。同社は、そのために、ソーシャルメディア・プロバイダーにより提供されるいわゆる「トラッキング・ピク
セル」69をそのウェブサイトに埋め込む。Schmidt氏は、BestBags. comのウェブサイトを離れ
69

Tracking pixels are comprised of small snippets of code that are integrated into the website of the targeter.
When an individual accesses the targeter’s website in their browser, the browser automatically sends a request
to the social media provider’s server to obtain the tracking pixel. Once the tracking pixel is downloaded, thesocial media provider is typically able to monitor the user’s session (i.e. the individual’s behaviour on thewebsite(s) in question). The observed data can be used in order for example to add a social media user to aparticular target audience.
トラッキング・ピクセルは、ターゲッターのウェブサイトに埋め込まれるコードの小さな切れ端で構成される。個人がブラウザでターゲッターのウェブサイトにアクセスすると、ブラウザがトラッキン
グ・ピクセルを取得するための要求をソーシャルメディア・プロバイダーのサーバーに自動的に送信する。トラッキング・ピクセルがダウンロードされると、ソーシャルメディア・プロバイダーは通常、ユーザーのセッション（つまり、問題のウェブサイトにおける当該個人の行動）を監視することがで
40

Adopted適用

た後、自身のソーシャルメディア・アカウントにログインすると、BestBags. Comでブラウジングした際に検討したバックパックの広告を目にするようになる。
Example 5: Geo-targeting
事例5: ジオターゲティング
Mrs Michu has installed the application of a social media provider on her smartphone. She is walking
around Paris during her holidays. The social media provider collects information regarding Mrs Michu’s
whereabouts via the GPS functionalities of her smartphone on an ongoing basis 70, using thepermissions that have been granted to the social media provider when the application was installed.
Mrs Michu is staying at a hotel that is located next to a pizzeria. The pizzeria uses the geo-targeting
functionality offered by the social media provider to target individuals who are within 1km of its
premises for the first time in the last 6 months. When opening the social media provider’s application
on her smartphone, Mrs Michu sees an advertisement from the pizzeria, decides that she is hungry
and buys a pizza via its website.
Michu氏はソーシャルメディア・プロバイダーのアプリを自身のスマートフォンにインストールする。同氏は休暇中にパリを歩き回る。ソーシャルメディア・プロバイダーは、アプリのインストール時にソーシャルメディア・プロバイダーに与えられた許可を使い、スマート
フォンのGPS機能を介してMichu氏の位置情報を継続的に収集する70。Michu氏はあるピザ屋の隣にあるホテルに泊まっている。当該ピザ屋は、過去6か月間に店舗から1km圏内に初めて立ち入る個人をターゲットにするためにソーシャルメディア・プロバイダーが提供するジオターゲティング機能を利用している。Michu氏は、スマートフォンでソーシャルメディ
ア・プロバイダーのアプリを開くと当該ピザ屋の広告を目にし、空腹を感じ、ウェブサイト
からピザを購入することを決める。
Example 6:
事例6:
Mrs Ghorbani creates an account on a social media platform. During the process of registration she is
asked if she consents to the processing of her personal data to see targeted advertisement on hersocial media page, on the basis of data she directly provides to the social media provider (such as herage, sex and location), as well as on the basis of her activity on other websites outside of the social
media platform using cookies. She is informed that this data will be collected via social media plug-ins
or tracking pixels, the processes are clearly described to her, as well as the fact that targeting involves
other entities who are jointly responsible for ensuring compliance with the GDPR. It is also explained
to her that she can withdraw her consent at any time, and she is provided with a link to the privacy
policy. Because Mrs Ghorbani is interested in seeing targeted advertisement on her social media page,
she gives her consent. No advertising cookies are placed or collected until Mrs Ghorbani expresses
here consent.
Ghorbani氏はソーシャルメディア・プラットフォームのアカウントを取得する。同氏は、ソきる。例えばソーシャルメディア・ユーザーを特定のターゲット・オーディエンスに追加するために
当該観察データが利用されうる。
70
A social media provider may also be able to determine the whereabouts of their users on the basis of otherdata points, including IP address and WiFi information from mobile devices, or the user-derived data (e.g. if theyplace information about their location on the platform in a post).
ソーシャルメディア・プロバイダーは、また、モバイル機器から取得したIPアドレス及びWi-Fi情報、又は（例えば、ユーザーが投稿により自己の位置情報をプラットフォームに提供するなど）ユーザー
派生データを含む他のデータポイントに基づいてユーザーの位置を決定することができる。
41

Adopted適用

ーシャルメディア・プロバイダーに直接提供するデータ（年齢、性別、位置など）、及びソーシャルメディア・プラットフォーム外の他のウェブサイトにおけるCookieを利用した活動に基づき、ターゲティング広告をソーシャルメディアの自己のページに表示する目的で自己の個人データを取扱うことに同意するかどうかを登録手続中に問われる。同氏は、当該デー
タがソーシャルメディア・プラグイン又はトラッキング・ピクセルを介して収集されること、取扱いが自己に明瞭に説明されること、及びGDPRの遵守を確保することに共同管理責任を負う他の主体もターゲティングに関与している旨を通知される。また、同氏は、同意を随時撤回することができる旨の説明を受け、又プライバシー・ポリシーへのリンクを提供される。
Ghorbani氏はソーシャルメディアの自身のページでターゲティング広告を見ることに関心があり、これに同意する。Ghorbani氏が同意を表明するまで、広告目的のCookieは埋め込まれず、個人データの収集も実施されない。
Later on, she visits the website “Thelatesthotnews.com” that has a social media button integrated on
it. A small but clearly visible banner appears on the right edge of the screen, asking Mrs Ghorbani toconsent to the transmission of her personal data to the social media provider using cookies and social
media plug-ins. The website operator undertook technical measures so that no personal data istransferred to the social media platform until she gives her consent.
その後、同氏はソーシャルメディアボタンが組み込まれたウェブサイトである「Thelatesthotnews. com」を訪問する。すると、Cookieとソーシャルメディア・プラグイン
を使い、自己の個人データをソーシャルメディア・プロバイダーに送信することに同意する
か同氏に求める旨のバナーが画面の右端に小さいながらもはっきりと視認できる形で表示される。ウェブサイトの運営者は、同氏が同意するまで個人データがソーシャルメディア・プ
ラットフォームに移転されないことを確保するための技術的な措置を講じていた。

5.3.1

Roles
役割

In Example 4, both the targeter and the social media provider participate in determining the purposes
and means of the processing of personal data, which results in the display of the advertisement to Mr.
Schmidt.
事例4では、ターゲッターとソーシャルメディア・プロバイダーの両者が個人データを取扱う目的及び手段の決定に参加しており、その結果としてSchmidt氏に広告が表示されている。
As far as the determination of purpose is concerned, Bestbags.com and the social media provider
jointly determine the purpose of the processing, which is to display a specific advertisement on thesocial media platform to the individuals who make up the target audience. By embedding the pixel into
its website, Bestbags.com exerts a decisive influence over the means of the processing. The collection
and transmission of the personal data of visitors of the website to the social media provider would nothave occurred without the embedding of that pixel. The social media provider, on the other hand, hasdeveloped and offers the software code (pixel) that leads to the automatic collection, transmission andevaluation for marketing purposes of personal data to the social media provider. As a result, joint
controllership exists in relation to the collection of personal data and its transmission by way of pixels,
as well as in relation to the matching and subsequent display of the advertisement to Mr Schmidt on
the social platform, and for any reporting relating to the targeting campaign. Joint controllership also
exists, for similar reasons, in Example 6.
目的の決定に関する限り、Bestbags. Comとソーシャルメディア・プロバイダーは共同で取扱目的、すなわち、ターゲット・オーディエンスを構成する個人に対しその者に適した広告をAdopted適用42

ソーシャルメディア・プラットフォーム上で表示することを決めている。Bestbags. comは、ピクセルをウェブサイトに埋め込むことにより、取扱手段に決定的な影響を及ぼしている。
ピクセルを埋め込む行為が存在しなければウェブサイトの訪問者の個人データの収集及びソーシャルメディア・プロバイダーへの送信は行われなかったはずである。他方で、ソーシャ
ルメディア・プロバイダーは、マーケティングを目的とした個人データの自動化された収集、ソーシャルメディア・プロバイダーへの送信、及び評価につながるソフトウェアコード（ピクセル）を開発し、提供している。結果として、ピクセルによる個人データの収集及びその送信、プラットフォーム上のSchmidt氏との照合及びその後のソーシャル・プラットフォー
ム上での広告の表示、並びにターゲティング活動に関係する一切の報告に関して、共同管理が行われている。また、類似の理由から事例6でも共同管理が行われている。
In Example 5, the pizzeria exercises a decisive influence over the processing of personal data by
defining the parameters of the ad targeting in accordance with its business needs (for instance,
opening hours of the pizzeria and geo-location of persons close to the pizzeria in this time-slot), andtherefore must be regarded as taking part in the determination of the purposes and means of the dataprocessing. The social media provider, on the other hand, has collected the information regarding Mrs.
Michu’s location (via GPS) for its purpose of enabling such location-based targeted advertising. As aresult, joint control exists between the targeter and the social platform in relation to the collection andanalysis of Mrs. Michu’s location, as well as the display of the advertisement, in order to target her (asa person appearing within 1km of the pizzeria for the first time in the last 6 months) with the ad.
事例5では、ピザ屋が、その営業上のニーズに応じてターゲティング広告を実施するためのパラメータ（例えば、ピザ屋の営業時間及びその時間帯にピザ屋の付近にいる者の地理上の位置情報など）を定義することにより、個人データの取扱いに決定的な影響を及ぼしており、したがって、データを取扱う目的及び手段の決定に関与しているとみなさなければならない。
他方で、ソーシャルメディア・プロバイダーは、そのような地理的な位置情報に基づくター
ゲティング広告を可能にする目的で、Michu氏の位置情報を（GPSを介して）収集している。
結果として、（過去6か月間にピザ屋から1km圏内に初めて立ち入った人物としての）Michu
氏にターゲティング広告を行う目的での位置情報の収集及び分析並びに広告の表示に関し、
ターゲッターとソーシャル・プラットフォームの共同管理が行われている。

5.3.2

Legal basis
法的根拠First of all, because Examples 4, 5 and 6 involve the use of cookies, requirements resulting from Article
5(3) of the ePrivacy Directive need to be taken into account.
まず、事例4、5、6ではCookieが利用されているため、eプライバシー指令の第5条(3)の要件を考慮する必要がある。
In this regard, it should be noted that Article 5(3) of the ePrivacy Directive requires that users areprovided with clear and comprehensive information, inter alia about the purposes of the processing,prior to giving their consent 71 , subject to very narrow exceptions. 72 Clear and comprehensive
information implies that a user is in a position to be able to determine easily the consequences of any
consent he or she might give and ensure that the consent given is well informed.73 As a result, thecontroller will have to inform data subjects about all the relevant purposes of the processing –including any subsequent processing of the personal data obtained by accessing information in theterminal equipment.
これに関連して、eプライバシー指令の第5条(3)では、ユーザーから同意を得る前に、特に取Adopted適用

43

扱目的に関する明確で包括的な情報をユーザーに提供することを求めており71、その例外が極めて限定されている点に注意するべきである72。明確で包括的な情報とは、同意した場合の結果をユーザーが容易に判断でき、同意が十分な情報に基づくものとなることが確保されていることを意味する73。従って、管理者は、端末機器の情報にアクセスすることにより取得される個人データについて、その後の取扱いを含む、関連するあらゆる取扱目的に関して
データ主体に通知しなければならない。
To be valid, the consent collected for the implementation of tracking technologies needs to fulfil theconditions laid out in Article 7 GDPR.74 For instance, consent is not validly constituted if the use of
cookies is permitted by way of a checkbox pre-ticked by the service provider, which the user mustdeselect to refuse his or her consent.75 Based on recital 32, actions such as scrolling or swiping througha webpage or similar user activity will not under any circumstances satisfy the requirement of a clear
and affirmative action: such actions may be difficult to distinguish from other activity or interaction bya user and therefore determining that an unambiguous consent has been obtained will also not be
possible. Furthermore, in such a case, it will be difficult to provide a way for the user to withdraw
consent in a manner that is as easy as granting it.76
追跡技術を利用するために得られる同意が有効とされるためには、当該同意がGDPR第7条に定める条件を充足する必要がある74。例えば、サービスプロバイダーがあらかじめこれにチェックを入れており、同意を拒否するためにはユーザーがチェックを外さなければならない
ようなチェックボックスによりCookieの利用が許されるような場合には、同意が有効に成立していない75。前文第32項に基づくと、ウェブページのスクロール若しくはスワイプ、又は同様のユーザーアクティビティなどの行為は、いかなる状況であっても明確で肯定的な行為の要件を満たさない。このような行為は、ユーザーによる他の行為や相互作用と区別することが難しい場合がある。したがって、不明瞭ではない同意が得られたと判断することもできない。さらに、このような場合、ユーザーが同意を与えたと同じくらい簡単な方法で、同意を撤回する方法を提供することは困難であろう76。
Any (joint) controller seeking to rely on consent as a legal basis is responsible for ensuring that valid
consent is obtained. In Fashion ID, the CJEU emphasized the importance of ensuring the efficient andtimely protection of the data subject rights, and that consent should not be given only to the joint
controller that is involved later in the processing. Valid consent must be obtained prior to theprocessing, which implies that (joint) controllers need to assess when and how information should be
provided and consent should be obtained. In other words, the question as to which of the joint
controllers should be in charge of collecting the consent comes down to determining which of them is
71

Court of Justice of the European Union, Judgment in Planet 49 Gmbh, Case C-673/17, paragraph 73.
欧州連合司法裁判所(CJEU)、Planet 49 Gmbh判決、事件C-673/17、パラグラフ73。
72
See Opinion 5/2019 on the interplay between the ePrivacy Directive and the GDPR, in particular regarding thecompetence, tasks and powers of data protection authorities. See also Court of Justice of the European Union,
Judgment in Fashion ID, C-40/17, paragraphs 89-91.
「eプライバシー指令とGDPRの相互作用に関する、特にデータ保護当局の職務権限、職務及び権限に関する意見05/2019」を参照のこと。欧州連合司法裁判所、Fashion ID判決、C-40/17、パラグラフ89-91
も参照のこと。
73
Idem, paragraph 74.
同上、パラグラフ74.
74
EDPB Guidelines 05/2020 on consent under Regulation 2016/679, Version 1.1, p. 6.
EDPB「規則2016/679に基づく同意に関するガイドライン05/2020バージョン1. 1」、6頁。
75
Court of Justice of the European Union, Judgement in Planet 49, C-637/17, paragraph 57.
欧州連合司法裁判所(CJEU)、Planet 49判決、C-637/17、パラグラフ57。
76
EDPB Guidelines 05/2020 on consent under Regulation 2016/679, Version 1.1, p. 19.
EDPB「規則2016/679に基づく同意に関するガイドライン05/2020バージョン 1.1」、19頁。
44

Adopted適用

involved first with the data subject. In example 6, as the placement of cookies and processing of
personal data occurs at the moment of account creation, the social media provider must collect her
valid consent before the placement of advertisement cookies.
同意を法的根拠にしたい（共同）管理者は、有効な同意が得られることを確保する責任を負っている。CJEUは、Fashion IDにおいて、データ主体の権利の効率的かつ適時な保護を保障する重要性、及び同意は、取扱いの後の方で関与する共同管理者にのみ与えられるべきではないことを強調した。有効な同意は、取扱いの前に得る必要がある。このことは、情報の提供及び同意を得る時期及び方法を（共同）管理者が吟味する必要があること意味する。言い換えれば、どの共同管理者が同意の取得を担当すべきかの問題は、どちらが最初にデータ主体に関与するかの決定に帰着する。事例6では、Cookieの配置及び個人データの取扱いがア
カウントの作成時に行われるため、ソーシャルメディア・プロバイダーが、広告目的のCookieを埋め込む前に、有効な同意を得なければならない。
The EDPB also recalls that in a case where the consent sought is to be relied upon by multiple (joint)
controllers or if the data is to be transferred to or processed by other controllers who wish to rely on
the original consent, these organisations should all be named.77 Insofar as not all joint controllers are
known at the moment when the social media provider seeks the consent, the latter will necessarilyneed to be complemented by further information and consent collected by the website operator
embedding the social media plugin (i.e.Thelatesthotnews.com in Example 6).
また、EDPBは、求められる同意が複数の（共同）管理者によって依拠されるものである場
合、又はデータがオリジナルの同意に依拠することを望む他の管理者に移転され若しくは取扱われるものである場合、それらの組織の全ての名前が明示されるべきである点も想起する
77。ソーシャルメディア・プロバイダーが同意を求める時点で全ての共同管理者が判明していない場合、ソーシャルメディア・プロバイダーは、必ずソーシャルメディア・プラグインを埋め込むウェブサイトの運営者（つまり、事例6のThelatesthotnews.com）からの追加的な情報及び同意で補完する必要がある。
The EDPB emphasizes that the consent that should be collected by the website operator for thetransmission of personal data triggered by its website (by embedding a social plug-in) relates only tothe operation or set of operations involving the processing of personal data in respect of which theoperator actually determines the purposes and means 78. The collection of consent by a website
operator, i.e. “Thelatesthotnews.com” in Example 6 for instance, does not negate or in any way
diminish the obligation of the social media provider to ensure the data subject has provided a valid
consent for the processing for which it is responsible as a joint controller 79 , as well as for any
subsequent or further processing it carries out for which the website operator does not jointly
determine the purposes and means (e.g. subsequent profiling operations for targeting purposes).
EDPBは、ウェブサイトの行為により（ウェブサイトにソーシャル・プラグインを埋め込む
ことにより）可能となる個人データの送信目的で当該ウェブサイトの運営者が得るべき同意は、当該運営者が目的及び手段を実際に決定している個人データの取扱いを伴う業務又は一連の業務に限定することを強調する78。ウェブサイトの運営者、すなわち、例えば事例6の「Thelatesthotnews. com」が同意を得る場合でも、ソーシャルメディア・プロバイダーが共同管理者として責任を負っている取扱い79、及び当該プロバイダーが実行する（例えば、タ77

EDPB Guidelines 05/2020 on consent under Regulation 2016/679, Version 1.1, p. 16, paragraph 65.
EDPB「規則2016/679に基づく同意に関するガイドライン05/2020バージョン 1.1」、16頁、パラグラフ
65。
78
Judgment in Fashion ID, 29 July 2019, C-40/17, ECLI:EU:C:2019:629, paragraphs 100-101.
Fashion ID判決、2019年7月29日、C-40/17、ECLI: EU: C: 2019: 629、パラグラフ100-101。
79
This is all the more the case insofar as that for most targeting tools, it is the social media that carries out the45

Adopted適用ーゲティング目的のその後のプロファイリング業務など）事後的な又は追加的取扱いで、ウェブサイトの運営者が目的及び手段を共同で決定していないものに関しては、プロバイダー
がデータ主体より有効な同意を得ることを確保する義務は、免除されることも、何らかの形で軽減されることもない。
In addition, any subsequent processing of personal data, including personal data obtained by cookies,
social plug-ins or pixels, must also have a legal basis under Article 6 of the GDPR in order to be lawful.80
For what concerns the legal basis of the processing in Examples 4, 5, and 6, the EDPB considers that
legitimate interest cannot act as an appropriate legal basis, as the targeting relies on the monitoringof individuals’ behaviour across websites and locations using tracking technologies.81
さらに、Cookie、ソーシャル・プラグイン、又はピクセルにより取得される個人データを含
むその後の個人データの取扱いも、適法となるためにはGDPR第6条に基づく法的根拠を備えなければならない80。取扱いの法的根拠に関して、事例4、5、及び6ではターゲティングを行う際に追跡技術を用い、個人の行動のウェブサイト及び場所をまたいだ監視に頼っている
ため、EDPBでは、正当な利益が適切な法的根拠になりえないと考える81。
Therefore, in such circumstances, the appropriate legal basis for any subsequent processing under
Article 6 GDPR is also likely to be the consent of the data subject. Indeed, when assessing compliancewith Article 6 GDPR, one should take into account that the processing as a whole involves specificactivities for which the EU legislature has sought to provide additional protection. 82 Moreover,controllers must take into account the impact on data subjects’ rights when identifying the appropriate
legal basis in order to respect the principle of fairness.83
したがって、そのような状況のもとでは、その後の取扱いに関しても、GDPR第6条に基づく
適切な法的根拠はデータ主体の同意となる可能性が高い。実際、GDPR第6条への遵守を評価
する際は、取扱いが、全体として見た場合に、EU議会が追加的保護を与えようとした特定の活動を伴うものであるのかどうかを考慮すべきである82。さらに、管理者は、公正性の原則
read/write operations on the terminal of the user, because it collects the personal data for the purpose oftargeted advertisement. Therefore, the social media provider is responsible for ensuring that valid consent isobtained.
これは、ターゲティング広告の目的で個人データを収集するのがソーシャルメディアである結果として大半のターゲティングツールに関してユーザーの端末上で読取り／書込み操作を行うのもソーシャ
ルメディアである限り、なおさらである。したがって、ソーシャルメディア・プロバイダーは、有効な同意が得られることを確保する責任を負っている。
80
Opinion 5/2019 on the interplay between the ePrivacy Directive and the GDPR, in particular regarding thecompetence, tasks and powers of data protection authorities, paragraph 41.
「eプライバシー指令とGDPRの相互作用に関する、特にデータ保護当局の職務権限、職務及び権限に関する意見05/2019」、パラグラフ41。
81
Article 29 Working Party, Opinion on profiling and automated decision making, WP 251, rev. 01, p. 15, see also
Article 29 WP, Opinion on legitimate interest, p. 32 and 48: «Overall, there is an imbalance between thecompany’s legitimate interest and the protection of users’ fundamental rights and Article 7(f) should not be
relied on as a legal ground for processing. Article 7(a) would be a more appropriate ground to be used, provided
that the conditions for a valid consent are met».
第29条作業部会、「プロファイリングと自動化された意思決定に関する意見」、WP 251、rev. 01、15頁。第29条作業部会、「正当な利益に関する意見」、32頁及び48頁も参照のこと。「会社の正当な利益とユーザーの基本的権利の保護とが全体として均衡を欠くため、取扱いのための法的根拠として第7条(f)に依拠するべきではない。有効な同意の条件が満たされるならば、根拠として第7条(a)を使用する方が適切である」。
82
Opinion 5/2019 on the interplay between the ePrivacy Directive and the GDPR, in particular regarding thecompetence, tasks and powers of data protection authorities, paragraph 41.
「eプライバシー指令とGDPRの相互作用に関する、特にデータ保護当局の職務権限、職務及び権限に関する意見05/2019」、パラグラフ41。
46

Adopted
適用

を尊重するため、適切な法的根拠を明らかにする際にはデータ主体の権利に与える影響を考慮しなければならない83。

5.4 Targeting on the basis of inferred data
推定データに基づくターゲティング
Inferred data refers to data which is created by the controller on the basis of the data provided by thedata subject (regardless of whether these data were observed or actively provided by the data subject,
or a combination thereof).84 Inferences about data subjects can be made both by the social media
provider and the targeter.
推定データとは、データ主体により提供されるデータに基づき（そのデータが観察されたものであるのか、若しくはデータ主体により積極的に提供されたものであるのか、又はその組合せであるのかに関係なく）管理者により作成されるデータを指す84。データ主体に関する推定はソーシャルメディア・プロバイダーが行う場合も、ターゲッターが行う場合もある。
For example, by virtue of monitoring the behaviour of its users over a long period of time, both on andoff the social media (e.g. pages visited, time spent on each page, number of reconnections to that page,
words searched, hyperlinks followed, “likes” given), the social media provider may be able to infer
information regarding the interests and other characteristics of the user of the social media. In thesame vein, a targeter might also be able to infer data about specific individuals and use that knowledge
when targeting him or her to display ads on his or her social media page.
例えば、ソーシャルメディア・プロバイダーは、ソーシャルメディア上及びメディア外の両方におけるユーザーの行動（例えば、訪れたページ、各ページに費やした時間、そのページへの再接続回数、検索した語、たどったハイパーリンク 、「いいね」と評価した対象）を長期にわたってモニタリングすることにより、ソーシャルメディアのユーザーの興味関心及びその他の特性に関する情報を推定しうる。同様に、ターゲッターも、特定の個人に関するデータを推定し、その者をターゲットにしてソーシャルメディアのページに広告を表示するためにそのデータ主体に関する知識を利用する場合もある。
Example 7:
事例7:
Mrs Delucca often “likes” photos posted by the Art Gallery “Beautifulart” by impressionist painterPataolito on its social media page. Museum Z is looking to attract individuals who are interested in
impressionist paintings in light of its upcoming exhibition. Museum Z uses the following targeting
criteria offered by the social media provider: “interested in impressionism”, gender, age and place ofresidence. Mrs Delucca subsequently receives targeted advertisement by Museum Z related to theupcoming exhibition of Museum Z on her social media page.
Delucca氏は、ソーシャルメディアの自身のページで、印象派の画家であるPataolitoによる

83

European Data Protection Board, Guidelines 2/2019 on the processing of personal data under Article 6(1)(b)
GDPR in the context of the provision of online services to data subjects, Version 2.0, 8 October 2019, paragraph
1.
EDPB「データ主体へのオンラインサービスの提供に関連するGDPR第6条(1)(b)に基づく個人データの取扱いに関するガイドライン02/2019バージョン 2.0」、2019年10月8日、パラグラフ1。
84
See also Article 29 Data Protection Working Party, Guidelines on the right to data portability, WP 242 rev.01,
5 April 2017, p. 10.
第29条作業部会、「データポータビリティの権利に関するガイドライン」、WP 242 rev. 01、2017年4月5日、10頁も参照のこと。
47

Adopted適用

「Beautifulart」というアートギャラリーにより投稿された写真を「いいね」と評価する場合が多い。美術館Zは、次回の絵画展を目指し、印象派の絵画に関心のある個人を誘引することを目指している。美術館Zは、ソーシャルメディア・プロバイダーにより提供された次のようなターゲティング基準を利用する。すなわち、「印象派に関心がある」、性別、年齢、居住地。結果、美術館Zによる次回の絵画展に関連するターゲティング広告がDelucca氏のソーシャルメディアのページに表示されるようになる。
Example 8:
事例8:
Mr Leon has indicated on his social media page that he is interested in sports. He has downloaded an
application on his mobile phone to follow the latest results of his favorite sport games, has set on his
browser the page www.livesportsresults.com as his homepage on his laptop, often uses his desktop
computer at work to search for the latest sports results on the internet. He also visits a number of
online gambling websites. The social media provider tracks Mr Leon’ online activity across his multiple
devices, i.e. his laptop, his cell mobile phone, and his desktop computer. Based on this activity and all
the information provided by Mr Leon, the social media provider infers that he will be interested in
online betting. In addition, the social media platform has developed targeting criteria enablingcompanies to target people who are likely to be impulsive and have a lower income. The online betting
company “bestpaydayloans” wishes to target users that are interested in betting and that are likely tobe betting heavily. It therefore selects the criteria offered by the social media provider to target theaudience to whom its advertisement should be displayed.
Leon氏は、スポーツに関心がある旨をソーシャルメディアのページに記載する。同氏は、お気に入りのスポーツの試合の最新の結果を追うために携帯電話にアプリをダウンロードし、
www. livesportsresults. comを自身のノートPCのブラウザにホームページとして設定し、職場のデスクトップPCを使って最新の試合結果をインターネットで検索している。また同氏は、複数のオンラインギャンブル・サイトにもアクセスしている。ソーシャルメディア・プロバ
イダーは、Leon氏のノートPC、携帯電話及びデスクトップPCなど、複数のデバイスにわたって同氏のオンライン活動を追跡している。ソーシャルメディア・プロバイダーは、追跡活動
及びLeon氏から提供された情報全てに基づき、同氏がオンライン・ベッティングに関心があると推定する。さらに、ソーシャルメディア・プラットフォームは、衝動的かつ低所得の可能性が高い人々を企業がターゲットにすることを可能にするターゲティング基準を開発する。
オンライン・ベッティング会社「bestpaydayloans」は、ベッティングに関心があり、ベッテ
ィングにのめり込む可能性が高いユーザーをターゲットにしたいと考えている。したがって、同社は、該当するオーディエンスをターゲットに自社の広告を表示すべく、ソーシャルメディア・プロバイダーが提供する該当する基準を選択する。

5.4.1

Roles

役割
For what concerns the determination of the roles of the different actors, the EDPB notes the following:in Example 7, joint controllership exists between Museum Z and the social media provider concerning
the processing of personal data for the purposes of targeted advertising, taking into account thecollection of these data via the ‘like’-functionality on the social media platform, and the ‘analysis’
undertaken by the social media provider in order to offer the targeting criterion (“interested in
impressionism”) to the targeter fitting the purpose of finally displaying the advertisement.85
EDPBは、多様な関与者の役割の決定に関し、次の点を指摘する。事例7では、ソーシャルメ
Adopted適用48

ディア・プラットフォームの『いいね』機能を介して個人データが収集されている点、及び最終的に広告を表示するという目的に合うターゲティング基準（「印象派に関心がある」）
をターゲッターに提供するためにソーシャルメディア・プロバイダーが『分析』を行っている点を考慮すると、当該ターゲティング広告の目的のためのデータの取扱いに関して、美術館Zとソーシャルメディア・プロバイダーの間に共同管理責任が存在する85。
In Example 8, joint control exists between “bestpaydayloans” and the social media provider in relation
to the processing operations jointly determined, in this case the selection of targeting criteria andsubsequent display of the advertisement, as well as any reporting relating to the targeting campaign.
事例8では、共同で決定された取扱業務、この場合、ターゲティング基準の選択、これに続く広告の表示、及びターゲティング活動に関連する報告に関して、「bestpaydayloans」とソーシャルメディア・プロバイダーとの間で共同管理が行われている。

5.4.2

Legal basis

法的根拠
Targeting of social media users on the basis of inferred data for advertising purposes typically involves
profiling.86 The WP29 has previously clarified that according to the GDPR, profiling is an automatedprocessing of personal data which aims at evaluating personal aspects, in particular to analyse or makepredictions about individuals, adding that “[t]he use of the word ‘evaluating’ suggests that profiling
involves some form of assessment or judgement about a person”.87 Profiling may be lawful by reference
to any of the legal grounds in Article 6(1) GDPR, subject to the validity of this legal basis.
広告目的で推定データに基づいてソーシャルメディア・ユーザーのターゲティングを行うには、一般にプロファイリングを行う必要がある86。GDPRによれば、第29条作業部会は以前、
プロファイリングというものが、特に個人に関する分析又は予測を行うものであるため、個人の側面を評価すること(evaluating)をねらいとする個人データの自動化された取扱いであることを明確にし、「『評価する(evaluating)』という語の当該用法は、プロファイリングが人に関する何らかの形の評価 (assessment)又は判断 (judgement)を伴うものであることを示唆している」と補足した87。プロファイリングは、その法的根拠が有効であることを条件として、
GDPR第6条(1)の法的根拠のいずれかに照らして適法となりうる。
In Example 7, Article 5(3) of the ePrivacy Directive is applicable, insofar as the display of theadvertisement on Mrs. Delucca’s page related to the painter Pataolito requires a read/write operation
to match this “like” with information previously held on her by the social media provider. Consent will
therefore be required for these operations.
事例7では、画家Pataolitoに関連する広告をDelucca氏のページに表示するには、同氏の「いいね」の評価をソーシャルメディア・プロバイダーが既に保有する同氏に関する情報と照合
85

As regards social media pages, joint controllership conditions may also be met in relation to statisticalinformation provided by the social media provider to the page administrator: see CJEU C-210/16,
Wirtschaftsakademie.
ソーシャルメディアのページに関しては、ソーシャルメディア・プロバイダーからページのアドミニ
ストレータに提供される統計情報に関連しても共同管理条件が満たされうる。 CJEU C-210/16、
Wirtschaftsakademieを参照のこと。
86
The EDPB notes that profiling may have occurred in previous examples as well.
EDPBは、これまでの事例でもプロファイリングが行われていた可能性がある点を指摘する。
87
Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679,
WP251rev.01, p. 7.
EDPB「自動化された個人に対する意思決定とプロファイリングに関するガイドライン」、WP251 rev.
01、7頁。
49

Adopted適用するために読込み／書込み操作を行う必要があるという点で、eプライバシー指令の第5条(3)が適用される。したがって、これらの操作に関して同意を得る必要がある。
For what concerns Example 8, the EDPB recalls that in the case of automated decision-making which
produces legal effects or similarly significantly affects the data subject, as set out in Article 22 GDPR
data controllers may rely on the following exceptions:
事例8に関しては、EDPBは、GDPR第22条に規定されているような、当該データ主体に関する法的な効果を発生させる、又は、当該データ主体に対して同様の重大な影響を及ぼす自動化
された意思決定の場合に、データ管理者が次の例外を根拠としうる点を想起する。
explicit consent of a data subject;
データ主体の明確な同意、
the necessity of the automated decision-making for entering into, or performance of, acontract; or契約の締結又はその履行のための自動化された意思決定の必要性、
authorisation by Union or Member State law to which the controller is subject.
管理者の服するEU法又は加盟国の国内法による承認。
WP29 has already stated that “In many typical cases the decision to present targeted advertising basedon profiling will not have a similarly significant effect on individuals (…). However, it is possible that it
may do, depending upon the particular characteristics of the case, including:
第29条作業部会は既に次のように述べている。「多くの典型的なケースでは、プロファイリ
ングに基づくターゲティング広告の決定は、個人に同様の重大な影響を及ぼさない。しかし、プロファイリングに基づくターゲティング広告の決定は、以下を含め、個別ケースの特有な性質によっては、重大な効果をもつかもしれない。
the intrusiveness of the profiling process, including the tracking of individuals across different
websites, devices and services;

異なるウェブサイト、デバイス及びサービスにまたがって個人を追跡することを含む、侵害的なプロファイリング過程
the expectations and wishes of the individuals concerned;

関係する個人の期待及び意思
the way the advert is delivered; or

広告提示の方法、又はusing knowledge of the vulnerabilities of the data subjects targeted.”88

ターゲットとなるデータ主体の脆弱性についての知識を利用」88。
Where the profiling undertaken by the social media provider is likely to have a “similarly significant
88

Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679,
WP251rev.01, p. 22.
EDPB「自動化された個人に対する意思決定とプロファイリングに関するガイドライン」、WP251 rev.
01、22頁。
50

Adopted適用[effect]” on a data subject, Article 22 shall be applicable. An assessment as to whether targeting will“similarly significantly [effect]” a data subject will need to be conducted by the controller (or joint
controllers, as the case may be) in each instance with reference to the specific facts of the targeting.
ソーシャルメディア・プロバイダーによるプロファイリングがデータ主体に「同様の重大な［影響］」を及ぼす可能性が高い場合には第22条が適用される。管理者（又は場合により共同管理者）は、それぞれのケースにつき、ターゲティングがデータ主体に「同様の重大な［影響］を及ぼす」かどうかをターゲティングに関係する個別具体的な事実に照らして評価する必要がある。
In such circumstances as described in Example 8, the display of online betting advertisements may fallunder the scope of Article 22 GDPR (targeting financially vulnerable persons that are interested in
online betting which have the potential to significantly and adversely affect his financial situation).
Therefore, in accordance with Article 22, explicit consent would be required. Furthermore, the use of
tracking techniques triggers the applicability of Article 5(3) of the ePrivacy Directive, resulting in arequirement of prior consent. Finally, the EDPB recalls that for the processing to be lawful, thecontroller must conduct a case-by-case assessment, and that obtaining consent does not reduce otherobligations to observe the requirements of fairness, necessity, proportionality and data quality, as
stated in Article 5 GDPR.
事例8で説明しているような状況では、オンライン・ベッティング広告の表示が（自己の経済状態に重大な悪影響を及ぼしかねないオンライン・ベッティングに興味がある経済的に脆
弱な者をターゲットしているために）GDPR第22条の適用対象に該当する可能性がある。したがって、第22条に従い、明確な同意が必要になるであろう。さらに、追跡技法の利用はe
プライバシー指令第5条(3)の適用を招き、結果、事前の同意要件が適用される。最後に、
EDPBは、取扱いが適法であるためには、管理者が案件ごとの評価を実施しなければならな
い点、及び同意を得ていても、GDPR第5条で述べる公正性、必要性、比例性、及びデータの質に関する要件を遵守するといった、その他の義務を減じない点を想起する。

6 TRANSPARENCY AND RIGHT OF ACCESS
透明性及びアクセス権
Article 5(1)(a) GDPR states that personal data shall be processed lawfully, fairly and in a transparent
manner in relation to the data subject. Article 5(1)(b) GDPR also states that personal data shall becollected for specified, explicit and legitimate purposes. Articles 12, 13 and 14 GDPR contain specificprovisions on the transparency obligations of the data controller. Finally, recital 39 states that “itshould be transparent to natural persons that personal data concerning them are collected, used,consulted or otherwise processed and to what extent the personal data are or will be processed”.89
GDPR第5条(1)(a)は、個人データがそのデータ主体との関係において適法であり、公正であり、かつ、透明性のある態様で取扱われなければならないと規定する。また、GDPR第5条(1)(b)は、個人データが特定され、明確であり、かつ、正当な目的のために収集されなければならないと規定する。GDPR第12条、第13条及び第14条には、データ管理者の透明性の義
務に関する特別な規定が含まれている。最後に、前文第39項は、「自然人に関する個人デー

タが収集され、利用され、調査され、又は、それら以外の取扱いをされていること、及び、
どの範囲の個人データが取扱われており、又は、取扱われることになるのかが、当該自然人に対して明らかにされなければならない」と規定する89。
89

See also Article 29 Working Party, Guidelines on transparency under Regulation 2016/679, WP260 rev.01, 11
April 2018,51

Adopted適用

Information presented to data subjects in respect of the way in which their personal data areprocessed, should be, in all cases, concise, transparent, in an intelligible and easily accessible form,
using clear and plain language.
データ主体の個人データの取扱い方法に関してその者に提示される情報は、いかなる場合も簡潔で、透明性があり、理解しやすく、容易にアクセスできる方式により、明確かつ平易な文言を用いなければならない。
The EDPB recalls that the mere use of the word “advertising” would not be enough to inform the usersthat their activity is being monitored for the purpose of targeted advertising. It should be madetransparent to individuals what types of processing activities are carried out and what this means forthe data subject in practice. Data subjects should be informed in an easily understandable language if
a profile will be built based on their online behaviour on the platform or on the targeter’s website,
respectively, by the social platform and by the targeter, providing information to the users on the typesof personal data collected to build such profiles and ultimately allow targeting and behaviouraladvertising by targeters.90 Users should be provided with the relevant information directly on thescreen, interactively and, where appropriate or necessary, through layered notices.91「広告」という用語を用いるのみでは、ターゲティング広告の目的でユーザーの活動が監視されていることをユーザーに伝えるのに十分ではない点をEDPBは想起する。どのような種類の取扱活動が行われており、それがデータ主体にとって実際にどのような意味を持つのかをその個人に対して透明にするべきである。プラットフォーム又はターゲッターのウェブサ
イト上におけるデータ主体のオンライン行動に基づいて、ソーシャル・プラットフォームとターゲッターのそれぞれによりプロファイルが作成される場合には、データ主体が容易に理解することのできるような文言でその旨を伝え、その際にユーザーに対しては、そのようなプロファイルを作成し、最終的にはターゲッターによるターゲティング及び行動ターゲティ
ング広告を可能にするために収集される個人データの種類に関する情報を提供すべきである
90。ユーザーに対し、該当する情報を画面上で直接、対話式で、また適切又は必要な場合には、階層化した情報通知を通じて提供するべきである91。

6.1 Essence of the arrangement and information to provide (Article 26 (2) GDPR)
合意の要点と提供する情報（GDPR第26条(2)）
According to Article 26(1) GDPR, joint controllers “shall in a transparent manner determine theirrespective responsibilities for compliance with the obligations under this Regulation, in particular as
regards the exercising of the rights of the data subject and their respective duties to provide theinformation referred to in Articles 13 and 14, by means of an arrangement between them unless, andin so far as, the respective responsibilities of the controllers are determined by Union or Member Statelaw to which the controllers are subject. The arrangement may designate a contact point for data
subjects”.
GDPR第26条(1)によれば、共同管理者は、「管理者らが服すべきそれぞれの管理者の責任がEU 法又は加盟国の国内法によって定められていない場合、その範囲内において、本規則に基づく義務、とりわけ、データ主体の権利の行使に関する義務、並びに、第 13 条及び第14第29条作業部会・EDPB、「透明性に関するガイドライン」、WP260 rev. 01、2018年4月11日も参照のこと。https://ec.europa.eu/newsroom/Article29/item-detail.cfm?item_id=622227
90
Ref. to EDPB Guidelines on transparency under Regulation 2016/679.
EDPB「透明性に関するガイドライン」を参照のこと。
91
Article 29 Working Party, Guidelines on consent under Regulation 2016/679, WP259 rev. 01., para 24, 35.
第29条作業部会・EDPB「同意に関するガイドライン」、WP259、rev. 01、パラグラフ24、35。
52

Adopted適用

条に規定する情報を提供すべき管理者それぞれの義務を遵守するための管理者それぞれの責任に関して、管理者の間での合意により、透明性のある態様で定める。その合意においては、
データ主体のための連絡先を指定できる」。
A further expression of the transparency principle is the obligation to make the essence of the joint
controllership arrangement available to the data subject according to Article 26 (2) GDPR. Indeed,
Article 26 GDPR requires joint controllers to take appropriate measures to ensure that data subjects
are made aware of the allocation of responsibilities.
GDPR第26条(2)に従い共同管理合意の要点をデータ主体に利用可能なものとする義務は、更なる透明性原則の表現である。実際、GDPR第26条は、共同管理者が適切な措置を講じて、データ主体が責任の割当てを認識できるようにすることを求めている。
As a matter of principle, the information provided to the data subject must cover all aspects of thedata processing operation(s) for which the joint controllers are jointly responsible. Indeed, the data
subject is entitled to receive all information (including regarding envisaged subsequent processing
where there is joint controllership) at the outset, so that the information is fair and appropriate. Moreprecisely, this joint arrangement needs to ensure that the data subject will be provided information
required by Articles 13 and 14 GDPR, including on their shared or closely linked purposes, storage
periods, transmission to third parties etc., which need to be communicated to the data subject uponcollection of the data or before the processing starts. The arrangement needs to make it clear where
the responsibilities lie in this regard. To meet these requirements, such arrangement must contain (orreference) clear and comprehensive information in respect of the processing to which it relates with
explanations, where appropriate, on the various phases and actors of the processing.92
データ主体に提供される情報は、原則として、共同管理者が共同で責任を負うデータ取扱業
務のあらゆる側面を網羅しなければならない。実際、情報が公正かつ適切なものとなるよう、
データ主体は、（共同管理が行われている場合に想定されるその後の取扱いに関するものを含む）あらゆる情報を最初から取得する権利を有する。より正確に言えば、当該共同合意は、共有される目的又は密接に関連する目的、記録保存期間、第三者への送信などを含む、GDPR第13条及び第14条で要求される情報をデータ主体に提供されることを確実にする必要があり、当該情報は、データの収集時又は取扱いの始まる前にデータ主体に伝達される必要がある。合意は、この点に関する責任の所在を明確にするものである必要がある。当該合意には、これらの要件を充足する目的で、合意の対象となる取扱いに関する明確で包括的な情報が含まれ（又は参照され）ていなくてはならず、適切な場合には取扱いの様々な段階及び関与者に関する説明を伴う必要がある92。
Although both joint controllers are subject to the duty to inform where there is joint responsibility,
they can mutually agree that one of them shall be tasked with providing the initial information to data
subjects, especially in cases where only one of the controllers interacts with the users prior toprocessing, for example on its website93. This exchange of information to provide to the data subject
should be an integral part of the joint arrangement (e.g. an appendix). In case one of the joint
controllers does not have all information in detail because, for example, it does not know the exact
technical execution of the processing activities, the other joint controller shall provide all necessary
information to enable him to provide the data subject with full information in accordance with Articles
13 and 14 GDPR.
いずれの共同管理者も、共同管理責任を負う場合には通知義務を負うものの、特に取扱いの前にユーザーと相互作用するのが一方の管理者のみである、例えば管理者のウェブサイト上92

Opinion 1/2010 on the concepts of "controller" and "processor", WP 169, p. 28.
「管理者及び処理者の概念に関する意見01/2010」、WP 169、28頁。
53

Adopted適用といった場合には、最初の情報をデータ主体に提供する責任を自分たちの中の一方に担わせる旨を相互に合意できる93。データ主体に提供するための当該情報の交換は、共同合意の必須部分（例えば、付録）に含めるべきである。共同管理者の中の一方が、例えば取扱活動の正確な技術的実施方法を知らないなどの理由で全ての詳細な情報を持っていない場合、当該共同管理者がGDPR第13条及び第14条に従い完全な情報をデータ主体に提供できるようにするために、もう一方の共同管理者が必要なあらゆる情報を提供する。
The EDPB notes that controllers are not directly responsible for providing the information required by
Articles 13 and 14 GDPR in relation to further processing operations that do not fall under the scopeof joint controllership. Therefore, the targeter is not directly responsible for providing the information
relating to any further processing which will be carried out by the social media platform.94
EDPBは、共同管理の対象範囲に含まれない追加的取扱業務に関して、共同管理者がGDPR第13条及び第14条で要求される情報を提供することに直接的な責任を負わないことに留意する。
したがって、ターゲッターは、ソーシャルメディア・プラットフォームにより実行される追加的取扱いに関連する情報の提供に対して直接的には責任を負わない94。
However, the EDPB emphasizes that the joint controller who intends to further use the personal data
has specific obligations of information for this further processing where there is no joint responsibility,
according to Article 14(4) of the GDPR, as well as obligations of compatibility of the further processing
under Article 6(4).For example, the targeter and social media provider could agree that the targeter
will provide certain information on behalf of the social media provider. The social media provider,however, remains ultimately responsible for ensuring that the data subject has been provided with therelevant information in relation to all the processing activities under its control.
しかしながら、EDPBは、個人データの追加的利用を予定している共同管理者は、共同管理責任が存在しない追加的な取扱いに関し、GDPR第14条(4)に従い情報を提供する特別な義務、及びGDPR第6条(4)に基づく適合性義務を負う点を強調する。例えば、ターゲッターとソーシャルメディア・プロバイダーは、ターゲッターがソーシャルメディア・プロバイダーに代わって一定の情報を提供することに同意することができる。しかしながら、ソーシャルメディ
ア・プロバイダーは、その管理下にあるあらゆる取扱活動に関係する重要な情報がデータ主体に提供されることを確保しなくてはならず、引き続きそのことへの最終的責任を負う。
In Example 3 (Mr. Lopez being targeted for advertisement for Bank X on his social media page following
the upload by the Bank of his email address to the social media provider), the Bank needs to inform Mr.
Lopez that his email address will be used for advertising, via the social media provider, of offers linked
93

CJEU Fashion ID, para 102, 105.
CJEU Fashion ID、パラグラフ102、105。
94
As clarified in the EDPB Guidelines 7/2020 on concepts of the controller and processor in the GDPR, para. 167,
each controller’s duty, to ensure that the data are not further processed in a manner that is incompatible withthe purposes for which they were originally collected by the controller sharing the data. It should be goodpractice that the controller that intends to process personal data for further purposes provides sufficient means
to the other controller that transmits personal data to ascertain that there is indeed a legal basis, which would
likely be consent, and data subjects have been properly informed as this would enable the targeter to ensurethat the transfer to the social media provider is lawful.
EDPB「GDPRにおける管理者及び処理者の概念に関するガイドライン07/2020」、パラグラフ167において明確にされているように、個々の管理者には、データを共有する管理者によって当初収集された目的と矛盾する態様でデータが更に取り扱われないよう確保する義務がある。追加的な目的のために
個人データを取り扱うことを予定している管理者が、法的根拠が、恐らくは同意となるであろうが、実際に存在し、データ主体への通知が適切に行われていることを個人データを送信するもう一方の管理者が確認できる十分な手段を提供すれば、ソーシャルメディア・プロバイダーへのデータ移転が適法であることをターゲッターが確認できるため、そうすることが望ましい慣行である。
54

Adopted適用to the bank services. Any further processing by the social media provider must be lawful andcompatible with the purposes for which the Bank collected the data.
事例3（銀行XがLopez氏の電子メールアドレスをソーシャルメディア・プロバイダーにアップロードした後、同氏がソーシャルメディアのページで銀行Xによるターゲティング広告の対象になった）において、銀行は、Lopez氏の電子メールアドレスが、ソーシャルメディ
ア・プロバイダーを介し、銀行のサービスに関連するオファーの広告に利用されることを同氏に伝える必要がある。ソーシャルメディア・プロバイダーによる追加的取扱いは適法でなくてはならず、銀行がデータを収集する目的と適合しなければならない。
In addition, to the extent that the social media provider intends to further process Mr. Lopez’s email for
another purpose, it must ensure that Mr. Lopez is provided with the information required by Article
14(4) GDPR prior to doing so.
さらに、ソーシャルメディア・プロバイダーが別な目的でLopez氏の電子メールを追加的に取扱うことを意図している場合、GDPR第14条(4)で要求される情報が、当該取扱いの前にLopez氏に対して提供されることを確保しなければならない。
The social media provider and the Bank may agree that the Bank will provide Mr. Lopez with therelevant information on behalf of the social media provider. Even if that is the case, however, the social
media provider remains ultimately responsible for ensuring that the data subject has been provided
with the relevant information in relation to all the processing activities for which it is (alone)
responsible. This obligation would not apply if Mr. Lopez has already been informed by the Bank ofthis processing, according to Article 14(5)(a) GDPR.
ソーシャルメディア・プロバイダーと銀行は、銀行がソーシャルメディア・プロバイダーに代わって関連情報をLopez氏に提供することに合意しうる。しかしながら、その場合でも、
ソーシャルメディア・プロバイダーは、自身が（単独で）責任を負うあらゆる取扱活動に関係する重要な情報がデータ主体に提供されることを確保することに引き続き最終的な責任を負う。GDPR第14条(5)(a)に従い、Lopez氏が当該取扱いに関して既に銀行から通知されている場合には、当該義務は適用されない。
These transparency obligations are to be considered without prejudice of the specific obligations
applicable to legal basis considerations.
これらの透明性の義務は、法的根拠について考慮する際に適用される特定の義務に影響を与えることなく考慮されなければならない。

Each joint controller is responsible for ensuring that that the essence of the arrangement is madeavailable to the data subject. In practice, the essence of the arrangement should be directly available
on the platform, referred to in its privacy policy, and also made directly accessible by a link, for example,
in the targeter’s page on the social media platform or in links such as “why am I seeing this ad?”.
各共同管理者は、合意の要点がデータ主体に利用可能なものとされることを確保する責任を負っている。実際には、合意の要点は、プラットフォーム上で直接利用可能であり、プライ
バシー・ポリシーで言及されており、かつ例えばソーシャルメディア・プラットフォームのターゲッターのページのリンク又は「なぜ当該広告が表示されるのか? 」といったリンクの中で直接アクセス可能なものとされている必要がある。

6.2 Right of access (Article 15)
アクセス権（第15条）
Adopted適用

55

Data controllers must enable users to easily and fully exercise their data subjects’ rights. An easy-touse and efficient tool should be available for the data subject to ensure the easy exercise of all of theirrights, at any time, in particular the right to erasure, to object, and the right of access pursuant to
Article 15 GDPR.95 The following paragraphs focus on how and by whom the right of access should beaccommodated in the context of targeting of social media users.96
データ管理者は、ユーザーが自己のデータ主体としての権利を容易かつ完全に行使できるよ
うにしなければならない。データ主体が自己のあらゆる権利、特に消去し、異議を申立てる
権利、及びGDPR第15条に従ってアクセスする権利を随時、容易に行使できることを確保するため、使いやすく効率的なツールを利用可能にするべきである95。次節は、ソーシャルメ
ディア・ユーザーのターゲティングに関連して、アクセス権についてどのように、誰が対応するべきであるかに注視している96。
In general, to fulfill the requirements of Article 15 (1) GDPR and to ensure full transparency, controllers
may want to consider implementing a mechanism for data subjects to check their profile, including
details of the information and sources used to develop it. The data subject should be able to learn theidentity of the targeter, and controllers should facilitate access to information regarding the targeting,including the targeting criteria that were used, as well as the other information required by Article 15
GDPR.97
一般にGDPR第15条(1)の要件を満たし、完全な透明性を確保するため、管理者は、プロファ
イルを開発するために使われた情報及び情報源の詳細を含む自己のプロファイルを、データ主体が確認するためのメカニズムの導入を検討したいと考えるかもしれない。データ主体が望めばターゲッターの身元を知ることができる必要があり、管理者は、利用されたターゲテ
ィング基準、及びGDPR第15条により要求されているその他の情報など、ターゲティングに関する情報へのアクセスを容易にしなければならない97。
As regards the kind of access to be provided to data subjects, recital 63 advises that“[w]here possible,
the controller should be able to provide remote access to a secure system which would provide the data
subject with direct access to his or her personal data.” The specific features of social media providers the online environment, the existence of a user account - suggest the possibility to easily grant thedata subject with remote access to the personal data concerning him or her in accordance with Article
95

Article 15 (1), (2) GDPR detail the information to be given to the data subject asking for access to her data.
Article 15 (3), (4) GDPR regulate the right to obtain a copy.
GDPR第15条(1)、(2)は、自己のデータへのアクセスを要求するデータ主体に提供されるべき情報を詳しく述べている。GDPR第15条(3)、(4)は、複製物を取得する権利を規定する。
96
See EDPB, Guidelines on transparency under Regulation 2016/679, p. 35.
EDPB「透明性に関するガイドライン」、35頁を参照のこと。
97
For further details regarding information pursuant to Art. 15 GPDR in the context of profiling, see Art. 29 Data
Protection Working Party, WP 251rev.01, p. 17 for (“Article 15 gives the data subject the right to obtain detailsof any personal data used for profiling, including the categories of data used to construct a profile. In addition to
general information about the processing, pursuant to Article 15(3), the controller has a duty to make available
the data used as input to create the profile as well as access to information on the profile and details of which
segments the data subject has been placed into”). It is important that such information should be tailored to theparticular situation of the data subject, complementing any information already given under Articles 1 and 14.
プロファイリングとの関係におけるGPDR第15条に従った情報の詳細に関しては、第29条作業部会、WP 251 rev. 01、17頁（「第15条は、プロファイルを作成するために使用されるデータの種類を含め、プロファイリングに使用される個人データの詳細を得る権利を、データ主体に与えている。第 15条(3)に従い、取扱いに関しての一般的情報に加え、管理者はプロファイル作成のためのインプットとして使用されたデータを利用できるようにし、また、プロファイルに関しての情報及びデータ主体が位置づけられているセグメントの詳細に関する情報へアクセスできるようにするという義務を負う」）を参照のこと。そのような情報が、データ主体の特定の状況に合わせて調整され、第1条及び第14条に基づき既に提供されている情報を補完することが重要である。
56

Adopted適用

15 (1), (2) GDPR. Remote access in this case can be regarded as the most “appropriate measure” in thesense of Article 12(1) GDPR, also taking into account the fact that this is a typical situation “where theproliferation of actors and the technological complexity of practice make it difficult for the data subject
to know and understand whether, by whom and for what purpose personal data relating to him or her
are being collected” (see recital 58, which explicitly adds “online advertising” as concrete example). In
addition, if requested, social media users who have been targeted should also be given a copy of thepersonal data relating to them in accordance with Article 15(3) GDPR.
データ主体に提供されるアクセスの種類に関して、前文第63項は、「可能な場合、管理者

は、データ主体に対して当該データ主体の個人データへの直接のアクセスを提供しうる安全なシステムへのリモートアクセスを提供できるようにしなければならない」と奨励している。
ソーシャルメディア・プロバイダー特有の特徴、すなわちオンライン環境、ユーザーアカウ
ントの存在は、GDPR第15条(1)及び(2)に従い自己に関する個人データへのリモートアクセス
を当該データ主体に容易に認めうる可能性を示唆している。この場合のリモートアクセスは、
これが「関与者の増加及び実務上の技術的な複雑さによって、自己の個人データが収集されるのかどうか、誰によって、何の目的のために収集されるのかをデータ主体が認識し、理解することを困難にされてしまっているような」（具体例として「オンライン広告」を明確に加えている前文第58項を参照のこと）典型的な状況であるという事実も考慮すればGDPR第12条(1)の意味での最も「適切な措置」とみなすことができる。さらに、ターゲットにされたソーシャルメディア・ユーザーが要求する場合、GDPR第15条(3)に従い、関連する個人デー
タの複製物もその者に提供するべきである。
According to Article 15(1)(c) GDPR, the user shall have access in particular to information on “therecipients or categories of recipients to whom the personal data have been or will be disclosed, inparticular recipients in third countries or international organisations”. According to Article 4(9), theterm “recipient” refers to a natural or legal person, public authority, agency or another body, to which
the personal data are disclosed, whether they are a third party or not. A targeter will not necessarily
be a “recipient” of the personal data (see Example 1), as the personal data might not be disclosed toit, but it will receive statistics of the targeted customers in aggregated or anonymised form, e.g. as partof its campaign, or in a performance review of the same. Nevertheless, to the extent that the targeter
acts as a joint controller, it must be identified as such to the social media user.
GDPR第15条(1)(c)によれば、ユーザーは、特に「個人データが開示された、又は、個人デー
タが開示される取得者若しくは取得者の類型、特に、第三国又は国際機関の取得者」にアクセスする権利を有する。第4条(9)によれば、「取得者」という語は、第三者であるか否かを問わず、個人データの開示を受ける自然人若しくは法人、公的機関、部局又はその他の組織を指す。例えばターゲティング活動の一環として又はその実績評価の際に、ターゲットとなった顧客の個人データがターゲッターに開示されず、ターゲッターが統計を集約的又は匿名化された形式で取得する場合、ターゲッターは必ずしも個人データの「取得者」ではない（事例1を参照のこと）。とはいえ、ターゲッターが共同管理者として行為する限り、その旨をソーシャルメディア・ユーザーに明らかにしなければならない。
Although Article 15 GDPR is not explicitly identified in Article 26(1) GDPR, the wording of this Article
refers to all “responsibilities for compliance” under GDPR, which includes Article 15 GDPR.
GDPR第26条(1)ではGDPR第15条の規定が明記されていないものの、第26条(1)の文言は、GDPR第15条を含むGDPRに基づくあらゆる「遵守責任」を意味する。
In order to enable data subjects to exercise their rights in an effective and easily accessible way, thearrangement between the social media provider and the targeter may designate a single point ofcontact for data subjects. Joint controllers are in principle free to determine amongst themselves who
Adopted適用

57

should be in charge of responding to and complying with data subject requests, but they cannot
exclude the possibility for the data subject to exercise his or her rights in respect of and against eachof them (Article 26 (3) of the GDPR). Hence, targeters and social media providers must ensure that asuitable mechanism is in place to allow the data subjects to obtain access to his or her personal data
in a user-friendly manner (including the targeting criteria used) and all information required by Article
15 of the GDPR.
データ主体が効果的で容易にアクセスできる方法でその権利を行使できるようにするため、ソーシャルメディア・プロバイダーとターゲッターとの合意でデータ主体への一元的な対応
窓口を指定することもできる。共同管理者は、データ主体からの要求への対応及び遵守を自分たちの中の誰に担当させるかを原則として自由に決定できるものの、データ主体が個々の管理者との関係において、及び、個々の管理者に対して、自己の権利を行使する可能性を排除することはできない（GDPR第26条(3)）。したがって、ターゲッターとソーシャルメディ
ア・プロバイダーは、データ主体が（使われるターゲティング基準を含む）自己の個人デー
タ及びGDPR第15条が要求するあらゆる情報へのアクセスを、ユーザーフレンドリーな方法で取得することを可能にする適切なメカニズムを整えるよう確保しなければならない。

7 DATA PROTECTION IMPACT ASSESSMENTS (DPIA)
データ保護影響評価（DPIA）
In principle, prior to initiating the envisaged targeting operations, both joint controllers should checkthe list of processing operations “likely to result in a high risk” adopted at national level under Article
35(4) and recitals (71), (75) and (91) GDPR to determine if the designated targeting matches any of thetypes of processing operations subject to the requirement to conduct a DPIA. To assess whether theenvisaged targeting operations are “likely to result in a high risk” and whether a DPIA is required, thecriteria identified in the guidelines on DPIA should also be taken into account98, as well as the lists thatsupervisory authorities have established of the kind of processing operations which are subject to therequirement for a data protection impact assessment (pursuant to Article 35(4)).
原則、いずれの共同管理者も、予定しているターゲティング業務を開始する前に、当該ター
ゲティングが、DPIAを実施する義務に服する取扱業務の種類のいずれかに該当するかどうかを判定するため、GDPR第35条(4)並びに前文71項、75項及び91項に基づき国内レベルで採択された「高いリスクをもたらすことが予想される」取扱業務のリストを確認するべきである。
予定されているターゲティング業務が「高いリスクをもたらすことが予想される」かどうか、
又DPIAが必要とされるかどうかを評価するには、DPIAに関するガイドラインで明らかにされている基準98、及び監督機関が（第35条(4)に従い）作成したデータ保護影響評価の義務に服する取扱業務の種類のリストも考慮するべきである。
In some cases, the nature of the product or service advertised, the content of the message or the way
the advert is delivered might produce effects on individuals whose impact has to be further assessed.
This might be the case, for example, with products which are targeted at vulnerable people. Additionalrisks may emerge depending on the purposes of the advertising campaign and its intrusiveness, or if
the targeting involves the processing of observed, inferred or derived personal data.
一部には、広告される製品若しくはサービスの性質、メッセージの内容、又は広告の配信方

98

See EDPB Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is"likely to result in a high risk" for the purposes of Regulation 2016/679, wp248rev.0.
EDPB「データ保護影響評価（DPIA）及び取扱いが規則2016/679の適用上「高いリスクをもたらすことが予想される」か否かの判断に関するガイドライン」、WP248 rev. 0を参照のこと。
58

Adopted
適用

法から個人への影響が生じ、その影響をさらに評価しなければならない場合もある。例えば、脆弱な人々を対象とする製品がこれに該当する可能性がある。広告活動の目的及びその侵害的な性質に応じ、又はターゲティングに個人の観察データ、推定データ、若しくは派生デー
タの取扱いが含まれる場合には追加的リスクが発生しうる。
In addition to the obligations specifically referred to in Article 26 (1) GDPR, joint controllers should also
consider other obligations when determining their respective obligations. As stated in the EDPB
guidelines on DPIAs “When the processing operation involves joint controllers, they need to define
their respective obligations precisely”.
共同管理者は、それぞれの義務を決定する際にGDPR第26条(1)で具体的に述べる義務に加え、他の義務も考慮するべきである。DPIAに関するEDPBガイドラインに記載されているように、「取扱作業に共同管理者が関与する場合、共同管理者はそれぞれの義務を明確に規定する必要がある」。
As a consequence, both joint controllers need to assess whether a DPIA is necessary. If a DPIA isnecessary, they are both responsible for fulfilling this obligation. The EDPB recalls that the DPIA shouldtackle the entire processing of personal data, which means that in principle both joint controllers needto take part in the realization of the DPIA. In this context, both controllers need to ensure that they
have a sufficient level of information on the processing to carry out the required DPIA.99This implies
that “each data controller should express his needs and share useful information without either
compromising secrets (e.g.: protection of trade secrets, intellectual property, confidential businessinformation) or disclosing vulnerabilities”.100
その結果として、DPIAが必要とされるかどうかを両方の共同管理者が評価する必要がある。
DPIAが必要な場合、当該義務の履行には両者が責任を負う。EDPBは、個人データの取扱い全体をDPIAの対象に含めるべきである点、つまり、DPIAの実施に原則として両方の共同管理者が関与する必要がある点を想起する。これに関連して、両方の管理者が必要とされるDPIAを実行するため、取扱いに関する十分な情報を備えることを確保する必要がある 99。これは、「各データ管理者が、秘密を損なうことなく（例：企業秘密、知的財産、機密のビジネス情報の保護）又は脆弱性を開示することなく、自己の必要性を表明し、有用な情報を共有すべきである」ことを意味する100。
In practice, it is possible that joint controllers decide that one of them shall be tasked with carrying out
the DPIA as such. This should then be specified in the joint arrangement, without prejudice to theexistence of joint responsibility as such. It may indeed be that one of the controllers is better placed
to assess certain processing operations. For example, this controller may, depending on the context,
be the one with a higher degree of control and knowledge of the targeting process in particular on the
back-end of the deployed system, or on the means of the processing.
実際にはDPIA自体を実行する責務を自分たちの中の一方に担わせることを共同管理者が決定
99

The EDPB reiterates that a DPIA is not required when the nature, scope, context and purposes of theprocessing are very similar to the processing for which DPIA have been carried out. In such cases, results of DPIA
for similar processing can be used, see Article 29 Data Protection Working Party, Guidelines on Data Protection
Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposesof Regulation 2016/679, WP 248 rev.01, p. 12.
EDPBは、その取扱いの性質、範囲、過程及び目的が、既にDPIAが実施された取扱いと極めて似ている
場合には、DPIAの実施は必要なく、同種の取扱いのDPIA結果を用いることができる点を改めて示しておく。EDPB「データ保護影響評価（DPIA）及び取扱いが規則2016/679の適用上『高いリスクをもたらすことが予想される』か否かの判断に関するガイドライン」、WP 248 rev. 01、12頁を参照のこと。
100
Idem, page 8.
同上、8頁。
59

Adopted
適用することも可能である。その場合、共同管理責任の存在自体を損なうことなく、共同管理者の一方が担う旨、共同合意に明記するべきである。実際、管理者中の一方が特定の取扱業務を評価するのに適した立場にある場合も存在する。例えば、ターゲティング過程において、特に配備されたシステムのバックエンド又は取扱手段に関して、より高度な管理能力及び知識を備えた共同管理者がこれに該当しうる。
Every DPIA must include measures envisaged to address the risks, including safeguards, security
measures and mechanisms to ensure the protection of personal data, and to demonstrate compliancewith the GDPR taking into account the rights and legitimate interests of data subjects and otherpersons concerned. If the identified risks cannot be sufficiently addressed (i.e. the residual risks remainhigh), the joint controllers are each responsible for ensuring a prior consultation with the relevantsupervisory authorities. If the targeting would infringe the GDPR, in particular because the risks haveinsufficiently been identified or mitigated, the targeting should not take place.
どのDPIAにも、データ主体及び他の関係者の権利及び正当な利益を考慮に入れた上で、個人データの保護を確保するための、及び、本規則の遵守を証明するための、保護措置、安全管
理措置及び仕組みを含め、リスクに対処するために予定されている手段が含まれなければならない。特定されたリスクに十分に対処できない場合（つまり、残存リスクが依然として高い）場合、共同管理者は、該当する監督機関との事前協議を確実に実行する責任をそれぞれ負う。特にリスクが十分に特定されていないか、又は軽減されていないためにターゲティン
グがGDPRに違反する場合には、ターゲティングを行うべきではない。
Example 9:
事例9:The political party “Letschangetheworld” wishes to encourage social media users to vote for aparticular political candidate in the upcoming elections. They wish to target elderly people living inrural areas of the country, who regularly go to church, and who have not travelled abroad in thepast 2 years.
政党「Letschangetheworld」は、ソーシャルメディア・ユーザーが次の選挙で特定の候補者に投票するよう奨励したいと考えている。同党は、自国の農村部に住み、定期的に教会に通い、過去2年間海外旅行をしたことがない高齢者をターゲットにしたいと考えている。
There is joint controllership between the social media platform and the political party, for the matchingof the profile and the display of the targeted advertisement. The assessment of whether a DPIA isrequired needs to be carried out both by the Letschangetheworld political party and the social media
platform. Indeed, in this example, they both have sufficient knowledge on the criteria that are being
used to target the individuals in order to see that the processing is likely to result in a high risk.
プロファイルの照合及びターゲティング広告の表示に関してソーシャルメディア・プラット
フォームと政党との間に共同管理が存在する。DPIAが必要とされるかどうかの評価をLetschangetheworld党とソーシャルメディア・プラットフォームの両者が行う必要がある。
実際、この例では、いずれの共同管理者も、個人をターゲットにするために利用する基準に関して、当該取扱いが高いリスクをもたらすことが予想されるか否かを評価するのに十分な知識を備えている。
If a DPIA is necessary, the joint arrangement should address the question of how the controllers should
carry it and ensure that a relevant exchange of knowledge takes place. In this example, it may be thatthe social media platform is better placed to assess certain processing operations, insofar as the
Adopted適用60

political party merely selects general targeting criteria.
DPIAを行う必要がある場合、共同合意で管理者がDPIAをどのように行うべきかの問題に対処し、関連する知識の交換が行われることを確保するべきである。今回の例では、政党が一般的なターゲティング基準を選択するにとどまる限り、ソーシャルメディア・プラットフォー
ムの方が一定の取扱業務を評価するのに適した立場にあると考えらえる。

8 SPECIAL CATEGORIES OF DATA
特別な種類のデータ
8.1 What constitutes a special category of data
何が特別な種類のデータを構成するのか
The GDPR provides specific protection for personal data that are particularly sensitive in relation toindividuals’ fundamental rights and freedoms. Such data are defined in Article 9 GDPR as special
categories of personal data and include data about an individual’s health, racial or ethnic origin,biometry, religious or philosophical belief, political opinion, trade union membership, sex life or sexual
orientation.
GDPRは、個人の基本的な権利及び自由に関連して特にセンシティブな個人データに特別の保護を与える。このようなデータはGDPR第9条で特別な種類の個人データとして定義され、これには個人の健康、人種的若しくは民族的出自、生体データ、宗教上若しくは思想上の信条、政治的な意見、労働組合への加入、性生活若しくは性的指向に関するデータが含まれる。
Controllers may only process special categories of data if they can meet one of the conditions set out
in Article 9(2) GDPR, such as having obtained the data subject’s explicit consent or the data have been
manifestly made public by the data subject. In addition to the conditions in Article 9 GDPR, processingof special categories of data must rely on a legal basis laid down in Article 6 GDPR and be carried out
in accordance with the fundamental principles set out in Article 5 GDPR.
管理者は、データ主体の明確な同意が得られているか又はそのデータがデータ主体により明白に公開のものとされているなど、GDPR第9条(2)に定める条件のいずれかを充足できる場合にのみ、特別な種類のデータを取扱うことができる。特別な種類のデータの取扱いは、
GDPR第9条の条件に加え、GDPR第6条に定める法的根拠を備え、GDPR第5条に定める基本原則に従って行わなければならない。
Furthermore, the processing of special categories of personal data is relevant when assessing
appropriate measures according to Articles 24, 25, 28 and 32 GDPR, but also to determine whether a
DPIA must be carried out according to Article 35 GDPR, and whether a data protection officer must be
appointed under Article 37 GDPR.
さらに、GDPR第24条、第25条、第28条、及び第32条に従った適切な措置を評価する場合のみならず、GDPR第35条に従ってDPIAを実施しなければならないかどうか、及びGDPR第37条に基づきデータ保護オフィサーを任命しなければならないかどうかを決める場合にも、特別な種類の個人データの取扱いが問題になる。
In the context of social media and targeting, it is necessary to determine whether the processing of
personal data involves “special categories of data” and if such data are processed by the social media
provider, the targeter or both. If special categories of personal data are processed, it must be
determined whether and under what conditions the social media provider and the targeter can
Adopted適用61

lawfully process such data.
ソーシャルメディアとターゲティングとの関係において、個人データの取扱いが「特別な種類のデータ」を伴うものであるかどうか、及びそのようなデータを取扱うのがソーシャルメ
ディア・プロバイダーなのか、ターゲッターなのか、又はその両方なのかを判断する必要がある。特別な種類の個人データを取扱う場合には、ソーシャルメディア・プロバイダーとターゲッターがそのようなデータを適法に取扱うことができるのかどうか、またどのような条件のもとで取扱うことができるのかを判断しなければならない。
If the social media provider processes the special category of data for targeting purposes, it must finda legal basis for the processing in Article 6 GDPR and rely on an exemption in Article 9(2) GDPR, suchas explicit consent according to Article 9(2)(a) GDPR. If a targeter engages a social media provider andrequests that the social media provider targets users based on this special category of data, thetargeter will be jointly responsible with the social media provider for the processing of the special
category data.
ソーシャルメディア・プロバイダーがターゲティング目的で特別な種類のデータを取扱う場
合、GDPR第6条に定める取扱いのための法的根拠を見つけ、かつ例えばGDPR第9条(2)(a)の明
確な同意など、GDPR第9条(2)に定める適用除外を根拠としなければならない。ターゲッター
がソーシャルメディア・プロバイダーに対し業務に従事させ、当該特別な種類のデータに基づきユーザーをターゲットにすることをソーシャルメディア・プロバイダーに要求した場合、ターゲッターは、特別な種類のデータの取扱いにソーシャルメディア・プロバイダーと共同で責任を負う。
The following legal analysis will explore different situations when such processing may take place andtheir legal implications.
次の法的分析では、特別な種類のデータの取扱いが生じうるそれぞれの状況とその法的意味を検討する。

8.1.1

Explicit special categories of data
明確に特別な種類のデータ

At times, personal data being processed clearly falls within the definition of special categories of data,e.g., in case of a direct statement about a person being member of a certain political party or religious
association.
例えば、ある人物が特定の政党又は宗教団体のメンバーである旨の直接の表明が存在する
場合など、時には取扱う個人データが特別な種類のデータの定義に該当することが明白な場合がある。
Example 10:
事例10:
Ms. Flora states explicitly in her social media profile that she is a member of the GreenestPlanet
political Party. The environmental organisation “Long live the Earth” wants to target social media usersthat are members of the GreenestPlanet political party in order to address targeted messages to them.
Flora氏は、自身がGreenestPlanet政党のメンバーであることをソーシャルメディアのプロフ
ァイルに明記している。環境団体「Long live the Earth」は、GreenestPlanet政党のメンバーであるソーシャルメディア・ユーザーをターゲットにし、そのメンバー宛てに的を絞ったメッ
セージを発信したいと考えている。
In Example 10, the social media provider and the environmental organisation are acting as joint
Adopted適用

62controllers.101 Insofar as the environmental organisation requests the social media provider to target
users based on their political opinion, both controllers contribute to the processing of special
categories of data as defined by Article 9 GDPR. Processing of these data are in principle prohibited
according to Article 9(1). Both the social media provider and the environmental organisation must
therefore be able to rely on one of the exemptions in Article 9(2) for their processing. In addition tothat, they must also both have a legal basis according to Article 6. Out of the exemptions in Article 9(2),it appears that the only applicable exemptions in this situation would be to obtain the data subject’s
explicit consent, under Article 9(2)(a) GDPR, or the exemption that Ms. Flora manifestly made thepersonal data public, under Article 9 (2)(e) GDPR.
事例10では、ソーシャルメディア・プロバイダーと環境団体とが共同管理者として行為している101。環境団体がユーザーの政治的見解に基づいてユーザーをターゲットにするようソー
シャルメディア・プロバイダーに要求している以上、両方の管理者が、GDPR第9条で定義する特別な種類のデータの取扱いに寄与している。これらのデータの取扱いは、第9条(1)に従い、原則として禁止されている。したがって、これを取扱うにはソーシャルメディア・プロ
バイダーと環境団体の両方が第9条(2)の適用除外のいずれかを根拠にできなければならない。
加えて、いずれも第6条に従った法的根拠を備えなければならない。当該状況で適用されうる除外は、GDPR第9条(2)の適用除外のうちの(a)に基づくデータ主体による明確な同意を得ることによるものか又は(e)に基づくFlora氏が個人データを明白に公開のものとしていることによるものしかないように思われる。

8.1.2

Inferred and combined special categories of data
推定及び組合せによる特別な種類のデータ
Assumptions or inferences regarding special category data, for instance that a person is likely to votefor a certain party after visiting a page preaching liberal opinions, would also constitute a special
category of personal data. Likewise, as previously stated by the EDPB, “profiling can create special
category of data by inference from data which is not special category of data in its own right, but
becomes so when combined with other data. For example, it may be possible to infer someone’s stateof health from the records of their food shopping combined with data on the quality and energy content
of foods”. 102
また、例えば、リベラルな見解を説くページにアクセスした者はある特定の政党に投票する可能性が高い、といった特別な種類のデータに関する仮定又は推定も特別な種類の個人デー
タを構成する。同様に、EDPBが過去に述べたように、「 プロファイリングは、データからの推定によって特別な種類のデータを作成する可能性がある。こうしたデータはそれ自体で特別な種類のデータではないが他のデータとの組み合わせた時に、特別な種類のデータとなる。例えば、食品品質とエネルギー容量のデータと食品購入履歴を組み合わせることによって、誰かの健康状態を推定できるかもしれない」102。
For instance, the processing of a mere statement, or a single piece of location data or similar, which
reveals that a user has (either once or on a few occasions) visited a place typically visited by people
with certain religious beliefs will generally not in and of itself be considered as processing of special
categories of data. However, it may be considered as processing of special categories of data if these101

See the analysis in chapter 5.2.1.
5. 2. 1章の分析を参照のこと。
102
Article 29 Data Protection Working Party, Guidelines on Automated individual decision-making and Profilingfor the purposes of Regulation 2016/679, WP251rev.01, page 15.
第29条作業部会・EDPB「自動化された個人に対する意思決定とプロファイリングに関するガイドライン」、WP251 rev. 01、15頁。
63

Adopted適用data are combined with other data or because of the context in which the data are processed or the
purposes for which they are being used.
例えば、一定の宗教的信条を持つ人々が典型的に訪れる場所をあるユーザーが（1回又は数回）訪れたことを明らかにする単なる記載又は位置データの一部を取扱うのみでは、一般に、特別な種類のデータの取扱いであるとはみなされない。しかしながら、これらのデータが他のデータと組み合わされる場合、又はデータが取扱われる過程若しくはデータの利用目的が原因となって特別な種類のデータの取扱いであるとみなされる場合もある。
Example 11:
事例11:
The profile on Mr. Novak’s social media account only reveals general information such as his name anddomicile, but a status update reveals that he has visited the City Church frequently where he attended
a religious service. Later on, the City Church wants to target its visitors with religious messages in orderto encourage Christian people to join the congregation. In such circumstances, the use of personal data
in Mr. Novak’s status update for such a targeting purposes amounts to the processing of special
categories of personal data.
Novak氏のソーシャルメディア・アカウントのプロファイルには、同氏の氏名や住所などの一般的な情報しか示されていないものの、同氏のステータスの更新により、同氏がCity
Churchの教会を頻繁に訪れ、礼拝に出席していることが明らかになる。その後、当該City
Churchは、クリスチャンの人々が当該教会の会派に加わることを奨励するため、教会の訪問者をターゲットにした宗教的メッセージを発信したいと考える。このような状況において、
ステータスの更新内のNovak氏の個人データを当該ターゲティング目的で利用することは、特別な種類の個人データを取扱うことに相当する。
If a social media provider or a targeter uses observed data to categorise users as having certain
religious, philosophical or political beliefs - regardless of whether the categorization is correct/true or
not - this categorisation of the user must obviously be seen as processing of special category of
personal data in this context. As long as the categorisation enables targeting based on special categorydata, it does not matter how the category is labelled.
ソーシャルメディア・プロバイダー又はターゲッターが観察データを使い、ユーザーを一定の宗教的、思想上、又は政治的信条を持つ人物に分類した場合、分類の仕方が正しい／真実
であるかどうかに関わらず、ユーザーのこのような分類が、当該過程において特別な種類の個人データの取扱いであるとみなされなければならないことは明らかである。分類により特別な種類のデータに基づくターゲティングが可能になる限り、分類にどのような見出しを付けているかは無関係である。

Adopted適用

64

Example 12:
事例12:
Mr. Sifuentes provides information in his social media profile in the shape of regular status updates,
check-ins, etc., which indicate that he regularly takes part in activities arranged by the “Mind, Body
and Spirit Movement”. Even though no explicit statement on philosophical belief is provided, all
updates, likes, check-ins and similar data provided by the user when collated, strongly indicate that
Mr. Sifuentes has a certain philosophical belief.
Sifuentes氏は、定期的なステータス更新やチェックインなどの形でソーシャルメディアのプ
ロファイルに情報を提供している。その情報は、同氏が「Mind, Body and Spirit（心・身体・霊）運動」の企画する活動に定期的に参加していることを示している。思想上の信条に関しては明言してはいないものの、当該ユーザーが提供する更新、いいね、チェックイン、及び類似のデータの全てを総合すれば、Sifuentes氏が一定の哲学的信条を有することを強く示している。
Example 13:
事例13:
A social media provider uses information actively provided by Ms. Allgrove on her social media profile
page about her age, interests and address and combines it with observed data about the websites
visited by her and her “likes” on the social media platform. The social media provider uses the data toinfer that Ms. Allgrove is a supporter of left-wing liberal politics and places her in the “interested in left
wing liberal politics” targeting category, and makes this category available to targeters for targeted
advertising.
ソーシャルメディア・プロバイダーは、Allgrove氏がソーシャルメディアのプロファイルのページに積極的に提供した年齢、興味関心、住所に関する情報を利用し、同氏がアクセスしたウェブサイト及びソーシャルメディア・プラットフォームで同氏が表明した「いいね」に関する観察データと組み合わせる。ソーシャルメディア・プロバイダーは、当該データを使い、Allgrove氏が左翼リベラル政治の支持者であると推定し、同氏をターゲティング分類「左翼リベラル政治に関心がある」に入れ、当該分類をターゲッターがターゲティング広告目的で利用できるようにする。
In Example 12, the vast information and the absence of measures to prevent targeting based on special
category data implies that a processing of special categories of data is taking place. However, the merefact that a social media provider processes large amounts of data which potentially could be used toinfer special categories of data does not automatically mean that the processing falls under Article 9
GDPR. Article 9 will not be triggered if the social media provider’s processing does not result in
inference of special categories of data and the social media provider has taken measures to preventthat such data can be inferred or used for targeting. In any case, processing of a large amount of
personal data about users may entail specific risks for the rights and freedoms of natural persons,which have to be addressed by implementing appropriate security measures, as prescribed under
Article 32 GDPR, and also by taking into account the outcome of the DPIA to be performed pursuant
to Article 35 GDPR.
事例12における膨大な情報量の存在及び特別な種類のデータに基づくターゲティングを防ぐための対策が存在しないことは、特別な種類のデータの取扱いが行われていることを示唆する。しかしながら、ソーシャルメディア・プロバイダーが特別な種類のデータを推定するために利用可能な大量のデータを取扱っているという事実のみでは、当該取扱いがGDPR第9条に該当することを自動的に意味することにはならない。ソーシャルメディア・プロバイダー
Adopted適用

65

の取扱いが特別な種類のデータの推定という結果をもたらさず、かつ特別な種類のデータの推定又はターゲティングへの利用を防ぐための対策を当該ソーシャルメディア・プロバイダ
ーが講じている場合、第9条は適用されない。いずれにせよ、ユーザーに関する大量の個人
データの取扱いは、自然人の権利及び自由に対する特定のリスクを伴いうる。こうしたリス
クには、GDPR第32条に規定する適切な安全管理措置を実施することで、またGDPR第35条に従って実行されるDPIAの結果を考慮することで対処しなければならない。
In Example 13, the offering as well as use of the targeting category “interested in left wing liberalpolitics” amounts to processing of special categories of data, as this category could easily be used as aproxy to target individuals who have left wing liberal political beliefs. By assigning an inferred politicalopinion to a user, the social media provider processes special categories of data. For the purpose of
Article 9 GDPR, it is not relevant whether the user in fact is a supporter of left-wing liberal politics. Nor
is it relevant that the targeting category is named “interested in…” and not “supporter of…”, since theuser is placed in the targeting category based on inferred political interests.
事例13における「左翼リベラル政治に関心がある」というターゲティング分類は、左翼リベ
ラルの政治的信条を有する個人をターゲットにするための基準として容易に使用できるため、
当該分類の提供及び利用は特別な種類のデータの取扱いに相当する。ソーシャルメディア・プロバイダーは、ユーザーの政治的意見を推定し、一定の分類にあてはめることにより、特別な種類のデータを取扱っている。GDPR第9条の目的上、ユーザーが実際に左翼リベラル政治の支持者であるかどうかは問題ではない。また、ユーザーのターゲティング分類が推定された政治的関心に基づいて行われているため、ターゲティング分類の見出しが「～の支持者」
ではなく「～に関心がある」となっていても関係ない。

Adopted適用

66

Example 14:
事例14:
Mr. Svenson takes a career aptitude test developed, containing a psychological evaluation, by thecompany “YourPerfectJob” which is made available on a social media platform and makes use of the
Application Programming Interface (API) provided by the social media provider. YourPerfectJobcollects data about Mr. Svenson‘s education, employment status, age, hobbies, posts, email-addressand connections. YourPerfectJob obtains the data through the API in accordance with the“permissions” granted by Mr. Svenson through his social media account. The stated purpose of theapplication is to predict what would be the best career path for a specific user.
Svenson氏は、「YourPerfectJob」により開発された心理的評価を含むキャリア適性診断テス
トを受ける。当該テストはソーシャルメディア・プラットフォーム上で提供され、ソーシャルメディア・プロバイダーが提供するアプリケーション・プログラミング・インターフ
ェイス（API）を利用している。YourPerfectJobは、Svenson氏の学歴、雇用状況、年齢、趣味 、 投 稿 、 メ ー ル ア ド レ ス 、 つ な が り (connections) に 関 す る デ ー タ を 収 集 す る 。
YourPerfectJobは、Svenson氏が自身のソーシャルメディア・アカウントを通じて与えた「許可」をもとにAPIを介してデータを取得する。当該アプリケーションに記載されている目的
は、特定のユーザーに最適なキャリアパスを予測することである。
Without the knowledge or approval of the social media provider, YourPerfectJob uses this information
to infer a number of personal aspects, including his personality traits, psychological profile and politicalbeliefs. YourPerfectJob later decides to use this information to target Mr. Svenson on behalf of apolitical party, using of the email-based targeting feature of the social media provider, without adding
any other targeting criteria offered by the social media provider.
YourPerfectJobは、ソーシャルメディア・プロバイダーに知らせること、また承認を得ることなく、当該情報を使い、同氏の性格、心理的プロファイル、政治的信条など、多くの個
人的な側面を推定する。YourPerfectJobは後日、ある政党に代わってSvenson氏をターゲットにするために当該情報を利用することに決める。その際、当該ソーシャルメディア・プロ
バイダーが提供する電子メールベースのターゲティング機能を使うが、同プロバイダーが提供するその他のターゲティング基準は追加しない。
In Example 14, the targeter processes special categories of personal data, whereas the social media
provider does not. Indeed, the assessment and identification of Mr. Svenson’s political belief occurs
without the involvement of the social media provider. 103 In addition to triggering the generalprohibition of Article 9 GDPR, the targeting mentioned in Example 14 also constitutes an infringementof the requirements concerning fairness, transparency and purpose limitation. Indeed, Mr. Svenson is
not properly informed of the fact that the personal relating to him will be processed for politicaltargeting, which in addition, does not seem compatible with a career aptitude test.
事例14において、ターゲッターは特別な種類の個人データを取り扱っているものの、ソーシャルメディア・プロバイダーは取り扱っていない。実際、ソーシャルメディア・プロバイダーが関与することなくSvenson氏の政治的信条の評価及び特定が行われている103。事例14で103

In Example 14, there is no joint controllership between the social media provider and YourPerfectJob at the
moment of collection of personal data, because they do not jointly determine the purposes of the collection andsubsequent or further processing of personal data for the purposes of Yourperfectjob at this stage of theprocessing. The EDPB would like to recall that the analysis on the roles and responsibilities needs to be done ona case by case basis, and that the conclusion on this specific example is without prejudice of any further workthat can be carried out by the EDPB on APIs. The situation would of course be different if the social media
provider, in addition to making the personal data available, also participated in the determination of purpose
67

Adopted
適用説明されているターゲティングは、GDPR第9条の一般的な禁止を発動させることに加え、公正性、透明性、目的の限定に関する要件の違反にもなる。事実、Svenson氏は、自身に関連する個人データが政治的なターゲティング目的で取扱われるという事実に関して適切に知らされておらず、またキャリア適性診断テストにも適合しないように思われる。
While processing activities of the social media provider in Example 14 do not amount to processing ofspecial categories of data within the meaning of Article 9 GDPR, the social media provider is
responsible for integrating the necessary safeguards into the processing in order to meet therequirements of the GDPR and protect the rights of data subjects in accordance with Article 24 and 25
GDPR.
事例14におけるソーシャルメディア・プロバイダーの取扱活動は、GDPR第9条の意味内における特別な種類のデータの取扱には相当しないものの、ソーシャルメディア・プロバイダーには、GDPRの要件を満たし、GDPR第24条及び第25条に従いデータ主体の権利を保護するために必要な保護措置を取扱いに組み込む責任を負っている。

8.2 The Article 9(2) exception of special categories of data made manifestly public
データ主体により明白に公開のものとされた特別な種類のデータに関する第9条(2)の例外
Article 9(2)(e) of the GDPR allows processing of special category of data in cases where the data havebeen manifestly made public by the data subject. The word “manifestly” implies that there must be ahigh threshold for relying on this exemption. The EDPB notes that the presence of a single element
may not always be sufficient to establish that the data have been “manifestly” made public by the data
subject. In practice, a combination of the following or other elements may need to be considered forcontrollers to demonstrate that the data subject has clearly manifested the intention to make the data
public, and a case-by-case assessment is needed. The following elements may be relevant to help
inform this assessment:
GDPR第9条(2)(e)では、データ主体により明白に公開のものとされた場合に関し、特別な種類のデータの取扱いを許可している。「明白に」という言葉は、当該適用除外を根拠とするための要件が厳格であることを意味する。EDPBは、単一の要素が存在するというのみでは
当該データがデータ主体により「明白に」公開のものとされたことを立証するのに必ずしも十分ではない可能性がある点に留意する。実際、データ主体がデータを公開のものとする意図を明白にしたことを管理者が証明するためには、以下の要素又は他の要素との組合せをもとに検討する必要があり、また個別案件ごとに評価する必要がある可能性がある。当該評価を行う材料として次の要素が重要になる可能性がある。
(i) the default settings of the social media platform (i.e. whether the data subject took a specificpursued by YourPerfectJob. In any event, joint controllership still exists between the targeter and the social
media provider as regards the use of list-based targeting.
事例14では、個人データの収集時、ソーシャルメディア・プロバイダーとYourPerfectJobとの間に共同管理は存在しない。その理由は、取扱いのこの段階において、Yourperfectjobの目的とする個人データの収集目的及び個人データのその後の又は追加的な取扱目的を両者が共同で決めていないためである。
EDPBは、役割と責任の分析を個別案件ごとに行う必要があること、及び当該特定の事例に関する結論
を、EDPBがAPIに関して行う可能性のある今後の作業を損なうことなく下す点を想起する。ソーシャ
ルメディア・プロバイダーが、個人データを利用可能にすることに加え、YourPerfectJobが追求する目的の決定にも関与した場合には事情が当然異なる。いずれにせよ、リストベースのターゲティングの利用に関して、ターゲッターとソーシャルメディア・プロバイダーとの共同管理が依然として存在する。
68

Adopted適用

action to change these default private settings into public ones); or
ソーシャルメディア・プラットフォームの初期設定（つまり、データ主体がこれらの初期のプライベート設定をパブリック設定に変更するために特定の行為を行う必要があるかどうか）、又は(ii) the nature of the social media platform (i.e. whether this platform is intrinsically linked with
the idea of connecting with close acquaintances of the data subject or creating intimate
relations (such as online dating platforms), or if it is meant to provide a wider scope ofinterpersonal relations, such as professional relations, or microblogging, media sharing, social
platforms to share online reviews, etc. ; orソーシャルメディア・プラットフォームの性質（つまり、該当するプラットフォー
ムがデータ主体をデータ主体の親しい知人とつなげること若しくは（オンライン・
デート・プラットフォームなど）親密な関係を形成することを本質的に志向するものであるかどうか、又は当該プラットフォームが、職業的関係、ミニブログ、メディア共有、オンラインレビューを共有するためのソーシャル・プラットフォームな
どの個人間関係を広げることを意図するものであるか）、又は(iii) the accessibility of the page where the sensitive data is published (i.e. whether the
information is publicly accessible or if, for instance, the creation of an account is necessary
before accessing the information); or
センシティブなデータが公開されているページのアクセス可能性（つまり、情報が公開されているかどうか、又は例えば情報にアクセスする前にアカウントを作成する必要があるかどうかなど）、又は(iv) the visibility of the information where the data subject is informed of the public nature of
the information that they publish (i.e. whether there is for example a continuous banner on
the page, or whether the button for publishing informs the data subject that the information
will be made public…); or
データ主体が公開する情報について、公開となる旨をデータ主体に知らせる情報の可視性（つまり、例えばページにバナーが継続して表示されているかどうか、又は公開ボタンを押した際に情報が公開のものとされる旨のデータ主体への通知が表示されるかどうか）、又は(v) if the data subject has published the sensitive data himself/herself, or whether instead thedata has been published by a third party (e.g. a photo published by a friend which reveals
sensitive data) or inferred.
データ主体がセンシティブなデータを自身で公開したか、若しくは本人の代わりに第三者によりデータが公開のものとされた（例えば、センシティブなデータを明らかにする写真が友人により公開された）か又は推定データであるかどうか。
The EDPB notes that the presence of a single element may not always be sufficient to establish thatthe data have been “manifestly” made public by the data subject. In practice, a combination of theseor other elements may need to be considered for controllers to demonstrate that the data subject has
clearly manifested the intention to make the data public.
EDPBは、単一の要素が存在するというのみでは当該データがデータ主体により「明白に」公開のものとされたことを立証するのに必ずしも十分ではないかもしれない点に留意する。
実際、データ主体がデータを公開のものとする意思を明白にしたことを管理者が証明するた
めには、これらの要素又は他の要素との組合せをもとに検討する必要がある可能性がある。
Adopted適用

69

Example 15:
事例15:
Mr Jansen has opened an account on a microblogging social media platform. While completing his
profile, he indicated that he is homosexual. Being a conservative, he chose to join conservative groups,
knowing that he has been informed while subscribing that the messages he exchanges on the platform
are public. A conservative political party wishes to target people who share the same politicalaffiliations and sexual orientation as Mr. Jansen using the social media targeting tools.
Jansen氏は、ミニブログのソーシャルメディア・プラットフォームのアカウントを開設する。同氏は、自身のプロファイルを完成させる際、自身が同性愛者であると記載する。同氏は、自身が保守主義者であるため、保守主義グループに参加、を選択する。参加する際、同氏は、プラットフォーム上で交換するメッセージが公開される旨の通知を受ける。ある保守主義政党は、ソーシャルメディアのターゲティングツールを使い、Jansen氏のような政治的
所属かつ性的指向を持つ人々をターゲットにしたいと考えている。
Because members’ sexual orientation is by default “private” and that Mr. Jansen has not taken any
step to make it public, it cannot be considered as having been manifestly made public. In addition, thedata relating to his political affiliation has not been made manifestly public, despite of (i) the nature of
the microblogging social media platform, which is meant to share information with the wide public,and (ii) the fact that he has been informed of the public nature of the messages he publishes on theforums. In addition, although he has joined public forums relating to conservatism, he cannot betargeted on the basis of this sensitive data, because it is the social media platform that makes adeduction on Mr Janssen’s political affiliation, and it was not the specific intention of the data subject
to make this data manifestly public, all the more that this deduction may turn out to be false. He cannot
therefore be targeted on the basis of political affiliation data. In other words, the circumstances ineach specific case have to be taken into account when assessing whether the data have manifestly
been made public by the data subject.104
メンバーの性的指向は本来的に「プライベート」な性質のものであり、またJansen氏が何らそれを公開のものとするための措置を講じていないため、明白に公開のものとされたとはみなすことはできない。加えて、(i)広く一般の人々と情報を共有することを目的とするミニブ
ログのソーシャルメディア・プラットフォームの性質、及び(ii) 同氏がフォーラムで公開するメッセージの公開性に関して知らされていたという事実はあるものの、同氏の政治的所属に関連するデータは明白に公開のものとされたものではない。さらに、Jansen氏は保守主義に関する公開フォーラムに参加しているものの、当該センシティブなデータに基づき同氏をターゲットにすることは許されない。何故ならJansen氏の政治的所属を推定したのはソーシャルメディア・プラットフォームであり、当該データを明白に公開のものとするデータ主体の明確な意思表示があるわけではい。加えて当該推定が見当違いに終わる可能性もある。したがって、政治的所属に関するデータに基づき同氏をターゲットすることはできない。言い換えれば、データがデータ主体により明白に公開のものとされたかどうかを評価する際は、それぞれ特定のケースの状況を考慮しなければならない104。

104

The WP29 clarified in its Opinion on some key issues of the Law Enforcement Directive (WP 258, 29/11/2017,p. 10) that the expression “manifestly made public by the data subject” has to be interpreted to imply that thedata subject was aware that the respective data will be publicly available which means to everyone, including
authorities; therefore, “In case of doubt, a narrow interpretation should be applied…”.
第29条作業部会は、「法執行指令の幾つかの重要な問題に関する意見」（WP 258、2017年11月29日、10頁）において、「データ主体により明白に公開のものとされた」という表現に関し、それぞれのデータが当局を含むあらゆる者を意味する公衆に利用可能になることをデータ主体が認識していたこと
70

Adopted適用

9 JOINT CONTROLLERSHIP AND RESPONSIBILITY
共同管理及び責任9.1 Joint controller arrangement and determination of responsibilities (Art. 26 GDPR)
共同管理者間の合意及び責任の決定（GDPR第26条）
Article 26 (1) GDPR requires joint controllers to determine – in a transparent manner – their respective
responsibilities for compliance with the obligations of the GDPR in an arrangement, including, as
explained above, the requirements for transparency.
GDPR第26条(1)は、共同管理者が、上記で説明したように透明性の要件を含め、GDPRに基づく義務を遵守するための管理者それぞれの責任について、合意により、透明性のある態様で定めることを要求している。
In terms of scope, the EDPB considers that the arrangement between targeters and social media
providers should encompass all processing operations for which they are jointly responsible (i.e. which
are under their joint control). By concluding an arrangement that is only superficial and incomplete,targeters and social media providers would be in breach of non-compliance with their obligations
under Article 26 of the GDPR.
範囲に関して、EDPBは、ターゲッターとソーシャルメディア・プロバイダー間の合意の対象に、両者が共同で責任を負う（つまり、その共同管理下にある）あらゆる取扱業務を含めるべきだと考える。ターゲッターとソーシャルメディア・プロバイダーが表面的で不完全な合意を締結する場合、両者は、GDPR第26条に基づくそれぞれの義務に違反することになる。
For instance, in Example 4 the arrangement should cover the entire processing of personal data
where there is joint controllership, i.e. from the collection of personal data in the context of the visit
by Mr. Schmidt of the website “BestBags.com” with a tracking pixel, to the display of theadvertisement on his social media page, as well as any eventual reporting relating to the targeting
campaign.
例えば、事例4では、共同管理下で行われる個人データの取扱い全体、つまり、Schmidt氏のウェブサイト「BestBags.com」への訪問に関連して行われるトラッキング・ピクセルによる個人データの収集から、ソーシャルメディアの同氏のページへの広告の表示、及びターゲティング活動に関連する最終報告までの全過程を合意の範囲に含めるべきである。
In order to develop a comprehensive arrangement, both the social media provider and the targeter
must be aware of and have sufficiently detailed information regarding the specific data processing
operations taking place. The arrangement between the targeter and the social media provider should
therefore contain (or refer to) all necessary information to enable both parties to comply with their
obligations under the GDPR, including their duty to comply with the principles under Article 5(1) GDPR
and their duty to demonstrate their compliance according to Article 5(2) GDPR.
包括的な合意を結ぶためには、ソーシャルメディア・プロバイダーとターゲッターの両者が、特定のデータ取扱業務に関する十分に詳細な情報を認識し、備えなければならない。したがって、両当事者がGDPR第5条(1)に基づく原則を遵守する義務、及びGDPR第5条(2)に従った遵を意味するものとして解釈しなければならず、したがって、「疑問の余地がある場合には、狭い解釈を適用するべきである（略）」ことを明確にした。
71

Adopted適用

守を証明する義務を含むGDPRに基づくそれぞれの義務を遵守することを可能にするために必要な全ての情報をターゲッターとソーシャルメディア・プロバイダー間の合意に（又は参照に）含めるべきである。
If, for example, the controller is considering to rely on Article 6(1)(f) GDPR as a legal basis, it isnecessary, among other things, to know the extent of the data processing in order to be able to assess
whether the interest of the controller(s) are overridden by the interests or fundamental rights andfreedoms of the data subjects. Without sufficient information concerning the processing, such anassessment cannot be performed. The importance of including or referencing the necessary
information in the context of a joint arrangement cannot be overstated, especially in situations where
one of the parties almost exclusive has the knowledge and access to the information necessary forboth parties to comply with the GDPR.
例えば、管理者がGDPR第6条(1)(f)を法的根拠とすることを検討する場合、データ主体の利益又は基本的な権利及び自由が管理者の利益に優先されるかどうかを評価できるよう、特にそれぞれの管理者によるデータの取扱いの範囲を調べる必要がある。取扱いに関する十分な情報がない状態でそのような評価を行うことはできない。特に両当事者がGDPRを遵守するために必要な知識及び情報へのアクセスを、一方の当事者のみがほぼ独占しているような場合、共同合意の中に必要な情報を含めること又は参照を入れることの重要性を幾ら強調しても足りない。
For instance, in Example 1, when Company X is assessing whether it can rely on the legitimate
interest as a legal basis to target men between the age of 30 and 45 and who have indicated thatthey are single, it is necessary that it has access to sufficient information concerning the processing
carried out by the social media platform, including for instance for what concerns the additional
measures (such as the right to prior objection) put into place by the latter, to ensure that legitimate
interests are not overridden by the data subject’s interests or fundamental rights and freedoms.
例えば、事例1では、X社が、30歳から45歳までの、独身であると述べた男性をターゲットにする法的根拠として、正当な利益を援用できるかを評価する際、例えば正当な利益に優先されるようなデータ主体の利益又は基本的な権利及び自由が存在しないことを確保するために講じる追加的措置（事前に異議を述べる権利など）に関する情報を含め、当該ソー
シャルメディア・プラットフォームが実施する取扱いについての十分な情報にＸ社がアクセスできる必要がある。
In order to ensure that the rights of the data subject can be accommodated effectively, the EDPB takes
the view that the purpose of the processing and the corresponding legal basis should be also reflectedin the joint arrangement between targeters and social media providers who are joint controllers.
Although the GDPR does not preclude joint controllers to use different legal basis for different
processing operations they carry out, it is recommended to use, whenever possible, the same legal
basis for a particular targeting tool and for a particular purpose. Indeed, if each stage of the processing
is processed on a different legal basis, this would render the exercise of rights impracticable for thedata subject (e.g. for one stage there would be a right to data portability, for another there would bea right to object).
EDPBは、データ主体の権利が効果的に尊重されるよう、取扱目的及び対応する法的根拠も、共同管理者であるターゲッターとソーシャルメディア・プロバイダーとの共同合意に盛り込まれるべきだと考える。GDPRは、共同管理者が実施するそれぞれの取扱業務ごとに異なる法的根拠を利用することを排除してはいないものの、可能な場合は常に、特定のターゲティ
ングツール及び特定の目的につき同じ法的根拠を利用するよう勧告する。実際、取扱いの段
階ごとに異なる法的根拠が適用される場合、（例えば、ある段階ではデータポータビリティ
Adopted適用

72に対する権利が存在し、別な段階では異議を述べる権利が生ずるなど）データ主体にとって権利行使は実行不可能なものとなるであろう。
As controllers the targeter and the social media provider are both responsible for ensuring that the
principle of purpose limitation is complied with and should therefore incorporate appropriate
provisions to that end within the joint arrangement.
管理者として、ターゲッターとソーシャルメディア・プロバイダーはいずれも、目的の限定の原則が遵守されることを確保する責任を負うため、当該原則を遵守するために適した規定を共同合意に盛り込むべきである。
For example, if the targeter wishes to use personal data provided to it by the data subject in orderto target on social media, it must take appropriate measures to ensure that the data provided shallnot be further used by the social media provider in a manner that is incompatible with those
purposes, unless the valid consent of the data subject has been obtained pursuant to Article 6(4) of
the GDPR.
例えば、ターゲッターがデータ主体をソーシャルメディア上でターゲットにするために当該データ主体から提供される個人データを利用したい場合、GDPR第6条(4)に従ったデータ
主体の有効な同意が得られない限り、データ主体より提供されるデータが提供時の目的に適合しないような目的でソーシャルメディア・プロバイダーによって利用されないよう確保するための適切な措置を講じなければならない。
In Example 3, the Bank X should ensure that there are appropriate provisions in the joint
arrangement with the social media platform that Mr. Lopez’ email address is not used for otherpurposes that advertising of offers linked to the bank services that he is already using without Mr.
Lopez’ consent.
事例3における銀行Xは、Lopez氏の電子メールアドレスが、同氏による同意を得ずに、同氏が既に利用している銀行のサービスに関連するオファーの広告以外の目的に利用されな
いよう、適切な規定をソーシャルメディア・プラットフォームとの共同管理に係る合意に盛り込むことを確保するべきである。
Likewise, the social media provider must ensure that use of data for targeting purposes by thetargeters is in compliance with the principles of purpose limitation, transparency and lawfulness.
同様に、ソーシャルメディア・プロバイダーは、ターゲッターによるターゲティング目的
でのデータの利用が、目的の限定、透明性、及び適法性の原則に適合することを確保しなければならない。
Other obligations that should be considered by the targeter and social media provider in the context
of their joint arrangement include: other general data protection principles contained in Article 5 GDPR,
security of processing, data protection by design and by default, notifications and communications of
personal data breaches, data protection impact assessments, the use of processors and transfers to
third countries.
共同管理に係る合意に関連してターゲッターとソーシャルメディア・プロバイダーが考慮すべきその他の義務には、次のものが含まれる。GDPR第5条に含まれるその他の一般的なデー
タ保護の基本原則、取扱いの安全性、データ保護バイデザイン及びバイデフォルト、個人データ侵害の通知及び連絡、データ保護影響評価、処理者の利用、並びに第三国への移転。

Adopted
適用73For instance, in Example 13, the joint arrangement should address the question of which of thecontrollers should carry a DPIA and ensure that a relevant exchange of knowledge takes place. In
other words, the political party “Letschangetheworld” should ensure that it has a sufficient level of
information, for instance on the security measures put into place by the social media platform, whena DPIA is carried out.
例えば、事例13における共同合意では、どの管理者がDPIAを実行するべきかの問題に対処し、該当する知識の交換が行われることを確保するべきである。言い換えれば、政党「Letschangetheworld」は、DPIAを実施する際に、例えばソーシャルメディア・プラット
フォームにより実施される安全管理措置に関して、十分なレベルの情報を自らが備えることを確保するべきである。
Finally, the joint arrangement between the social media provider and the targeter must containspecific information about how the obligations under the GDPR shall be fulfilled in practice. If there isno clarity as to the manner in which the obligations are to be fulfilled, in particular in relation to data
subject rights, both the targeter and the social media provider will be considered as acting in violationof Article 26(1) GDPR. Moreover, in such cases, both (joint) controllers will not have implemented
appropriate technical and organisational measures to ensure and to be able to demonstrate thatprocessing is performed in accordance with the GDPR and therefore will have breached their
obligations under Articles 5(2) and 24.
最後に、ソーシャルメディア・プロバイダーとターゲッターとの共同合意には、GDPRに基づく義務が実際にどのように履行されるかに関する特定の情報を含めなければならない。特にデータ主体の権利に関して、当該義務が履行される方法が明瞭ではない場合、ターゲッタ
ーとソーシャルメディア・プロバイダーの両者の行為はGDPR第26条(1)に違反するとみなされる。さらに、この場合、いずれの（共同）管理者もGDPRに従って取扱いがなされることを確保し、証明するための適切な技術的及び組織上の措置を講じておらず、したがって第5条(2)及び第24条に基づくそれぞれの義務に違反していることになる。

9.2 Levels of responsibility
責任の度合いThe EDPB observes that targeters who wish to use targeting tools provided by a social media provider
may be confronted with the need to adhere to pre-defined arrangements, without any possibility tonegotiate or make modifications (‘take it or leave it’ conditions). The EDPB considers that such asituation does not negate the joint responsibility of the social media provider and the targeter andcannot serve to exempt either party from its obligations under the GDPR. Both parties to the joint
arrangement are also bound to ensure that the allocation of responsibilities duly reflects theirrespective roles and relationships vis-à-vis data the subjects in a practical, truthful and transparent
manner.
EDPBは、ソーシャルメディア・プロバイダーが提供するターゲティングツールの利用を希望するターゲッターが、交渉し又は変更を加える余地なく、あらかじめ作成された合意に従わざるを得ない状況（『交渉の余地がない』条件）に直面する場合があると考える。EDPB
は、このような状況であってもソーシャルメディア・プロバイダーとターゲッターの共同管
理責任は否認されず、また、いずれの当事者も当該状況を理由にGDPRに基づく義務の適用を免れることはできないと考える。加えて、共同合意の両当事者は、責任の割当てが、実際的であり、真摯であり、かつ、透明性のある方法で、共同管理者各自とデータ主体とのそれぞれの間における役割及び関係を適正に反映するように確保する義務も負う。
It is important to stress that an arrangement pursuant to Article 26 GDPR cannot override the legal
Adopted適用74

obligations incumbent upon a (joint) controller. While joint controllers shall, in accordance with Article
26 GDPR “determine their respective responsibilities for compliance” with the GDPR, each controller
remains, as a matter of principle, responsible for the compliance of processing. This means that eachcontroller is –inter alia– responsible for compliance with the principles set out under Article 5(1) GDPR,
including the principle of lawfulness established under Article 5(1)(a) GDPR.
GDPR第26条に基づく合意が（共同）管理者の負う法的義務に優先されることがないことを強調する必要がある。共同管理者は、GDPR第26条に従い、GDPRを「遵守するためのそれぞれの責任に関して定める 」ものの、それぞれの管理者は、原則として、取扱いがGDPRに適合すことを確保する責任を負い続ける。これは、個々の管理者が、特にGDPR第5条(1)(a)に規定されている適法性の原則を含む、GDPR第5条(1)に定める原則の遵守に責任を負うことを意味する。
However, the degree of responsibility of the targeter and of the social media provider in relation to
specific obligations may vary. In Wirtschaftsakademie, the CJEU noted that “the existence of joint
responsibility does not necessarily imply equal responsibility of the various operators involved in theprocessing of personal data. […] those operators may be involved at different stages of that processingof personal data and to different degrees, so that the level of responsibility of each of them must be
assessed with regard to all the relevant circumstances of the particular case”. 105
しかしながら、特定の義務に関連するターゲッターとソーシャルメディア・プロバイダーの責任の程度は異なる可能性がある。Wirtschaftsakademieにおいて、CJEUは、次のように述べた。「共同管理責任が存在するということは、個人データの取扱いに関与する複数の運営者が等しい責任を負うことを必ずしも意味しない。（中略）これらの運営者は、個人データの取扱いの様々な段階に様々な程度で関与している可能性があるため、特定の事件に関連するあらゆる状況に照らしてそれぞれの各運営者の責任の度合いを評価しなければならない」105。
In other words, although joint controllers are both responsible for complying with the obligations
under the GDPR, and although the data subject may exercise his or her rights as against each of thecontrollers, their level of responsibility must be assessed on their actual role in the processing. In
Google Spain, the CJEU clarified that a controller must ensure, “within the framework of its
responsibilities, powers and capabilities”, that the processing of personal data meets the requirementsof EU data protection law.106
言い換えると、共同管理者はいずれもGDPRに基づく義務を遵守する責任を負い、データ主体は各管理者に対して自己の権利を行使できるものの、各管理人の責任の度合いは、取扱いに実際に果たした役割に応じて評価されなければならない。Google Spain事件において、
CJEUは、管理者が「その責任、権限、能力の範囲内で」、個人データの取扱いがEUデータ保
護法の要件を満たすことを確保しなければならないことを明確にした106。
When it comes to assessing the level of responsibility of targeters and social media providers, several
factors may be relevant, such as the ability to influence the processing on a practical level, as well as
the actual or constructive knowledge of each of the joint controllers. It is also important to be clear atwhat stage of the processing and to what extent or degree the targeter and the social media provider
are responsible for the processing.107
ターゲッターとソーシャルメディア・プロバイダーの責任の度合いを評価する際、実際の取105

CJEU judgment of 05 June 2018, Wirtschaftsakademie, C-210/16, paragraph 43.
2018年6月5日のCJEU判決、Wirtschaftsakademie、C-210/16、パラグラフ43。
106
See also CJEU, C-131/12, Google Spain (“responsibilities, powers and capabilities").
CJEU、C-131/12、Googleスペイン（「責任、権限、能力」）も参照のこと。
75

Adopted適用

扱いに影響を及ぼす能力、及び各共同管理者の実際の又は推定上の知識など、幾つかの要因が重要性を持ちうる。また、ターゲッターとソーシャルメディア・プロバイダーが取扱いのどの段階で、取扱いにどの程度の責任を負うのかを明確にすることも重要である107。
In Example 1, Company X sets up an advertising campaign so that users corresponding to specifictargeting criteria may be shown advertisements for the company on the social media platform.
However, although it sets the parameters for the advertising campaign, it does not collect or haveaccess to any personal data, nor does it have any direct contact with the data subject. Each of theseelements may be relevant when assessing the level (or “degree”) or[f] responsibility of the targeter
and social media provider in case a violation of the GDPR is established (e.g. in case of lack oftransparency towards the data subject or failure to ensure lawfulness of processing). As indicatedearlier, notwithstanding, both parties are obliged to undertake appropriate measures in order tomeet the requirements of the GDPR and protect the rights of data subjects against unlawful forms
of processing.
事例1のX社は、特定のターゲティング基準に該当するユーザーに向け、ソーシャルメディ
ア・プラットフォーム上に同社の広告を表示する広告活動を立ち上げる。しかしながら、同社は広告活動のパラメータを決定するものの、個人データの収集及びアクセスに一切関与せず、データ主体との直接的な接触も存在しない。GDPR違反が証明される場合（例えば、データ主体に対する透明性の欠如又は取扱いの適法性が確保されていない場合）、ターゲッターとソーシャルメディア・プロバイダーの責任の度合い（又は「程度」）を評価する際に、前記の要素のそれぞれが重要性を持ちうる。とはいえ、前述のとおり、両方の当事者は、GDPRの要件を満たし、違法な形式での取扱いからデータ主体の権利を保護するために適切な措置を講じる義務を負う。
In Example 3, which involved list-based targeting, the situation is slightly different than Example 1.
In Example 3, the bank initially collected the personal data and shared it with the social media
provider for targeting purposes. In that case, the targeter has voluntarily caused the collection andtransmission stage of the data processing. Each of these elements should be taken into accountwhen assessing the level of responsibility of each actor and should be duly reflected in the terms of
the joint arrangement.
リストベースのターゲティングに関する事例3では、事例1とは状況が若干異なる。事例3
では、銀行が最初に個人データを収集し、それをターゲティング目的でソーシャルメディ
ア・プロバイダーと共有する。その場合、データの取扱いにおける収集段階及び送信段階をターゲッターが自発的に引き起こすことになる。各関与者の責任の度合いを評価する際はこれらの要素のそれぞれを考慮し、共同合意の条件に適切に反映させるべきである。

107

The EDPB considers that in a variety of cases an assessment based on the criteria mentioned above (e.g. thedata used to establish the targeting criteria, the matching of the data subject, the collection of consent) will likely
lead to the outcome that it is the social media provider that has more factual influence on the processing andtherefore has a higher degree of responsibility, depending on the specific targeting mechanism being used.
EDPBは、上記の基準（例えば、ターゲティング基準を設定するために利用されているデータ、データ主体の照合、同意の取得）に基づいて評価を行えば、さまざまなケースにおいて、利用されている特定のターゲティング・メカニズムにより、ソーシャルメディア・プロバイダーの方が取扱いへの影響力が実際に大きく、したがって責任の程度が大きいという結果に至る可能性が高いと考えている。
76

Adopted
適用

Similarly, in Example 4, in case of pixel-based targeting, it should be taken into account that thewebsite operator enables the transmission of personal data to the social media provider. It is indeed
the website “BestBags.com” that integrates a tracking pixel on its website so that it can target Mr
Schmidt, although he has decided not to make a purchase108. The website is therefore actively
involved in the collection and transmission of the data. As a joint controller, however, the social
media provider is also under an obligation to undertake appropriate measures to meet therequirements of the GDPR and protect the rights of data subjects against unlawful forms ofprocessing. In this case, if the data subject’s consent is sought, the joint controllers should agree
upon the way in which consent is collected in practice.
同様に、事例4のピクセルベースのターゲティングの場合、ウェブサイトの運営者がソー
シャルメディア・プロバイダーへの個人データの送信を可能にする点を考慮するべきである。Schmidt氏が購入しないことに決めたにもかかわらず、同氏をターゲットにできるように追跡ピクセルをウェブサイト「BestBags.com」に埋め込んだのは間違いなく当該
ウェブサイト運営者である108。したがって、当該ウェブサイト運営者はデータの収集と送信に積極的に関与している。しかしながら、ソーシャルメディア・プロバイダーにも共同管理者としてGDPRの要件を満たし、データ主体の権利を違法な形式での取扱いから保護するために適切な措置を講じる義務を負う。こうしたケースにおいてデータ主体の同意を求めるのであれば、共同管理者は、同意を実際に得る方法に関して合意するべきである。
When it comes to assessing the level of responsibility of social media provider, the EDPB observes thatseveral targeting mechanisms rely on profiling and/or other processing activities previously
undertaken by the social media provider. It is the social media provider who decides to process
personal data of its users in such a manner to develop the targeting criteria which it makes available
to targeters. In order to do so, the social media provider has independently made certain decisions
regarding the processing, such as which categories of data shall be processed, which targeting criteria
shall be offered and who shall have access (to what types of) personal data that is processed in thecontext of a particular targeting campaign. Such processing activities must also comply with the GDPR,
prior to the offering of any targeting services.
EDPBは、ソーシャルメディア・プロバイダーの責任の度合いを評価する際、幾つかのター
ゲティング・メカニズムが、ソーシャルメディア・プロバイダーが以前実施したプロファイ
リング及び／又は他の取扱活動を利用していることを認識する。ターゲッターにとって利用可能であるようなターゲティング基準を開発するため、ユーザーの個人データを取扱うことを決めるのはソーシャルメディア・プロバイダーである。ソーシャルメディア・プロバイダ
ーは、そうするために、どの種類のデータを取り扱うか、どのターゲティング基準を提供す
るか、ある特定のターゲティング活動に関連して取り扱われる（どの種類の）個人データへのアクセスを誰に認めるかなど、取扱いに関する一定の決定を独自に実施する。このような取扱活動も、当然、ターゲティング・サービスを提供する前にGDPRに適合している必要がある。
The examples mentioned in the preceding paragraphs indicate the importance of clearly allocating
responsibilities in the joint controller arrangement between social media providers and targeters. Even108

In addition, as BestBags.com has integrated the social media tracking pixel on its website, it is also responsible
for complying with the ePrivacy Directive requirements regarding this tool, which, given that the pixel also
facilitates the processing of personal data, is also of importance when determining the level of responsibility.
さらに、BestBags.comはソーシャルメディアの追跡ピクセルを自身のウェブサイトに埋め込むので、
当該ウェブサイト運営者は、当該ツールに関し、ePrivacy Directiveの要件を遵守する責任も負う。当該
追跡ピクセルが個人データの取扱いを可能にする点を考慮すると、責任の度合いを決定する際にこの点も重要性を持つ。
77

Adopted適用though the terms of the arrangement should in any case mirror the level of responsibility of each actor,
a comprehensive arrangement which duly reflects the role and capabilities of each party is necessary
not only to comply with Article 26 of the GDPR, but also for complying with other rules and principlesof the GDPR.
前節で述べた例は、共同管理者合意においてソーシャルメディア・プロバイダーとターゲッ
ターとの間で責任を明確に割当てることの重要性を示している。いかなる場合も各関与者の責任の度合いを合意の条件に反映させるべきではあるものの、GDPR第26条を遵守するのみ
ならず、GDPRの他の規則及び原則を遵守するためにも、各当事者の役割と能力が適切に反映される包括的な合意を結ぶ必要がある。
Finally, the EDPB notes that insofar as the terms of the joint arrangement between the social media
provider and the targeter do not bind supervisory authorities, supervisory authorities may exercise
their competences and powers in relation to either joint controller, as long as the joint controller inquestion is subject to the competence of that supervisory authority.
最後に、EDPBは、ソーシャルメディア・プロバイダーとターゲッターとの間で締結される共同合意の条件が、監督機関を拘束するものでない場合は、監督機関は、いずれの共同管理者に関しても、当該共同管理者が当該監督機関の職務権限に服する限り、自己の職務権限及び権限を行使できる点に留意する。

Adopted適用

78