仮日本語訳

Guidelines on Automated individual decision-making and Profiling for the
purposes of Regulation
自動化された個人に対する意思決定とプロファイリング
に関するガイドライン

本書面は、ARTICLE 29 DATA PROTECTION WORKING PARTY （第29条作業部会）により2017年10月3日に採択後、修正のうえ2018年2月6日に採択された、 “Guidelines on
Automated individual decision-making and Profiling for the purposes of Regulation” の英語版の一部を個人情報保護委員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。
1

TABLE OF CONTENTS
I．Introduction ................................................................ 5
I．はじめに ................................................................... 5
II．Definitions ................................................................. 8
II．定義 ...................................................................... 8
A．Profiling ................................................................. 8
A．プロファイリング ........................................................ 8
B.

Automated decision-making ............................................... 11

B．自動化された意思決定 .................................................... 11C.

How the GDPR addresses the concepts ...................................... 13

C． GDPR はどのようにこの概念を取り上げているか ........................... 13
III. General provisions on profiling and automated decision-making .................... 14
III. プロファイリング及び自動化された意思決定についての一般規定 ................ 14
A．Data protection principles ................................................. 15
A．データ保護の原則 ....................................................... 15
1．Article 5(1) (a) - Lawful, fair and transparent .............................. 15
1．第 5 条（1）（a）：適法性、公正性、透明性 .............................. 15
2．Article 5(1) (b) Further processing and purpose limitation ................... 17
2．第 5 条（1）（b）：追加的取扱い及び目的の制限 .......................... 17
3．Article 5(1) (c) Data minimisation ....................................... 19
3．第 5 条（1）(c)：データの最小化 ....................................... 19
4．Article 5(1) (d) Accuracy ............................................... 19
4．第 5 条（1）（d）：正確性 .............................................. 19
5．Article 5(1) (e) Storage limitation ........................................ 20
5．第 5 条（1）（e）：記録保存の制限 ...................................... 20
B．Lawful bases for processing ................................................ 21
B．取扱いの法的根拠........................................................ 21
1．Article 6(1) (a) consent................................................. 211.

第 6 条(1) (a)：同意 .................................................. 21

2．Article 6(1) (b) – necessary for the performance of a contract ................. 22
2．第 6 条（1）（b）：契約履行に必要である ................................ 22
3．Article 6(1) (c) – necessary for compliance with a legal obligation ............. 23
3．第 6 条（1）（c）：法的義務の遵守に必要である .......................... 23
4．Article 6(1) (d) – necessary to protect vital interests ......................... 24
4．第 6 条（1）（d）：生命に関する利益の保護に必要である .................. 24

2

5．Article 6(1) (e) – necessary for the performance of a task carried out in the public
interest or exercise of official authority ...................................... 25
5．第 6 条（1）（e）：公共の利益又は公的な権限の行使に際して実施される職務遂行のために必要である ................................................... 25
6．Article 6(1) (f) – necessary for the legitimate interestspursued by the controller or bya third party ............................................................ 25
6．第 6 条（1）（f）：管理者又は第三者により追求される正当な利益に必要である25
C．Article 9 – Special categories of data ......................................... 27
C．第 9 条：特別な種類のデータ.............................................. 27
D．Rights of the data subject .................................................. 28
D．データ主体の権利 ....................................................... 28
1．Articles 13 and 14 – Right to be informed ................................. 30
1．第 13 条及び第 14 条：情報を与えられる権利 ............................ 30
2．Article 15 – Right of access ............................................. 31
2．第 15 条：アクセス権 ................................................. 31
3．Article 16 - Right to rectification, Article 17 Right to erasure and Article 18 Right torestriction of processing................................................... 32
3．第 16 条：訂正の権利、第 17 条：消去の権利、第 18 条：取扱いの制限の権利 32
4．Article 21 – Right to object ............................................. 33
4．第 21 条：異議を述べる権利 ........................................... 33
IV. Specific provisions on solely automated decision-making as defined in Article 22 ....... 35
IV．第 22 条に定めるもっぱら自動化された意思決定についての特別規定 ............ 35
A．‘Decision based solely on automated processing’ ............................... 38
A．「もっぱら自動化された取扱いに基づく決定」 ............................... 38
B．‘Legal’ or ‘similarly significant’ effects ....................................... 39
B．「法的な」又は「同様の重大な」効果 ....................................... 39‘Decision producing legal effects’ ....................................................................................39「法的効果をもたらす決定」 ........................................................................................ 39
C.

Exceptions from the prohibition ............................................ 43

C．禁止に対する例外 ....................................................... 43
1．Performance of a contract .............................................. 44
1．契約の履行 .......................................................... 44
2. Authorised by Union or Member State law ................................. 45
2．EU 法又は加盟国の国内法により認められる ............................. 45
3．Explicit consent ...................................................... 45
3．明示的な同意 ........................................................ 45
3

D．Special categories of personal data – Article 22(4) .............................. 46
D．特別な種類の個人データ：第 22 条（4） .................................... 46
E．Rights of the data subject .................................................. 47
E．データ主体の権利........................................................ 47
1．Articles 13(2) (f) and 14(2) (g) - Right to be informed ........................ 47
1．第 13 条（2）（f）及び第 14 条（2）（g）：情報を与えられる権利 ............ 47
Meaningful information about the ‘logic involved’ .......................................................48「関係するロジック」についての意味のある情報..................................................... 48‘Significance’ and ‘envisaged consequences’ ..................................................................50「重大性」と「想定される帰結」.................................................................................50
2. Article 15(1) (h) - Right of access ......................................... 51
2．第 15 条（1）（h）：アクセス権 ......................................... 51
F．Establishing appropriate safeguards ......................................... 52
F．適切な保護措置の確立 .................................................... 52
V.

Children and profiling ...................................................... 54

V．子どもとプロファイリング ................................................. 54
VI. Data protection impact assessments (DPIA) and Data Protection Officer (DPO) ....... 57
VI．データ保護影響評価（DPIA）とデータ保護オフィサー（DPO） ................ 57
ANNEX 1 - Good practice recommendations ....................................... 60
付録 1：望ましい慣行の勧告 ................................................... 60
ANNEX 2 – Key GDPR provisions ................................................ 66
付録 2：関連する GDPR の規定 ................................................. 66
Key GDPR provisions that reference general profiling and automated decision-making .. 66
一般的なプロファイリング及び自動化された意思決定に関わる GDPR の主要な規定 . 66
Key GDPR provisions that reference automated decision-making as defined in Article 22 69
第 22 条に定める自動化された意思決定に関わる GDPR の主要な規定 .............. 69
ANNEX 3 - Further reading ..................................................... 75
付録 3：参考文献 ............................................................. 75

4

I．Introduction
I．はじめにThe General Data Protection Regulation (the GDPR), specifically addresses profiling and automatedindividual decision-making, including profiling.1
一般データ保護規則（GDPR）は、プロファイリングを含む、個人に対する自動化された意思決定について、明確に取り上げている 1。
Profiling and automated decision-making are used in an increasing number of sectors, both private
and public. Banking and finance, healthcare, taxation, insurance, marketing and advertising are just a
few examples of the fields where profiling is being carried out more regularly to aid decision-making.
プロファイリング及び自動化された意思決定は、官民両方の多くの分野で利用されるようになっている。銀行と金融、ヘルスケア、租税、保険、マーケティングと広告は、意思決定を助けるためにプロファイリングをより定期的に実施している分野のわずかな例にすぎない。
Advances in technology and the capabilities of big data analytics, artificial intelligence and machinelearning have made it easier to create profiles and make automated decisions with the potential tosignificantly impact individuals’ rights and freedoms.

1

Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection ofnatural persons with regard to the processing of personal data and on the free movement of such data, and repealing
Directive 95/46/EC. Profiling and automated individual decision-making are also covered by Directive (EU) 2016/680
of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to theprocessing of personal data by competent authorities for the purposes of the prevention, investigation, detection orprosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data. Whilethese guidelines focus on profiling and automated individual decision-making under the GDPR, the guidance is also
relevant regarding the two topics under Directive 2016/680, with respect to their similar provisions. The analysis of
specific features of profiling and automated individual decision-making under Directive 2016/680 is not included inthese guidelines, since guidance in this respect is provided by the Opinion WP258 “Opinion on some key issues of the
Law Enforcement Directive (EU 2016/680)”, adopted by WP29 on 29 November 2017 This Opinion covers automatedindividual decision-making and profiling in the context of law enforcement data processing at pages 11-14 and isavailable at: http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610178
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに指令 95/46/EC を廃止する欧州議会及び理事会の 2016 年 4 月 27 日の規則（EU）2016/679。プロファイリン
グ及び自動化された個人に対する意思決定は、犯罪行為の防止、捜査、検知若しくは訴追又は刑罰の執行のために所轄官庁によって取扱われる個人データと関連する自然人の保護及び個人データの自由な移転に関する欧州議会及び理事会の 2016 年 4 月 27 日の指令（EU）2016/680 によっても取り上げられている。このガイドラインは、GDPR のもとでのプロファイリング及び自動化された個人の意思決定に焦点を当てているが、その方針は類似の規定により指令 2016/680 におけるそれら二つのトピックスについても関連している。なお指令 2016/680 におけるプロファイリング及び自動化された個人の意思決定に関する特別な特徴の分析は、このガイドラインには含まれない。それに関する方針は、2017 年 11 月 29 日付けの WP29 により採択された意見 258「指令（EU2016/680）の法執行に関する問題についての意見」により提供されているためである。その意見は、データ取扱の法執行というコンテクストにおいて自動化された個人に対する意
思決定とプロファイリングを 11 頁から 14 頁で取り上げている。以下のウェブサイトで閲覧できる。
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610178

5ビッグデータ解析、人工知能、機械学習の技術と能力の進歩は、プロファイルの作成と自動化された意思決定を容易にし、個人の権利と自由に大きな影響を与える可能性を有している。
The widespread availability of personal data on the internet and from Internet of Things (IoT) devices,and the ability to find correlations and create links, can allow aspects of an individual’s personality or
behaviour, interests and habits to be determined, analysed and predicted.
インターネットにおける、また、IoT（モノのインターネット）デバイスからの個人データの広範な利用可能性と、相関性を見いだしリンクを作成する能力は、個人のパーソナリテ
ィ又は行動、関心そして習慣のあらゆる側面を決定し、分析し、予測することを可能としている。
Profiling and automated decision-making can be useful for individuals and organisations, delivering
benefits such as:increased efficiencies; and

resource savings.

プロファイリング及び自動化された意思決定は、以下のような利便を提供することで、個人、組織にとって役立つかもしれない。


効率性の増進、及び

リソースの節約

They have many commercial applications, for example, they can be used to better segment markets
and tailor services and products to align with individual needs. Medicine, education, healthcare andtransportation can also all benefit from these processes.
それらは多くの商業的なアプリケーションを持ち、例えば、市場セグメントを改善し、個々のニーズに合ったサービスや商品の提供に利用できる。医療、教育、ヘルスケア、輸送もそうしたプロセスから多くの利便を受け取ることができる。
However, profiling and automated decision-making can pose significant risks for individuals’ rights
and freedoms which require appropriate safeguards.
しかしプロファイリング及び自動化された意思決定は、適切な保護措置が必要な個人の権利と自由に大きなリスクをもたらすかもしれない。
These processes can be opaque. Individuals might not know that they are being profiled or understandwhat is involved.
そのプロセスは不明瞭であるかもしれない。個人はプロファイル化されることを知らず、又は何が関係しているかを理解していないかもしれない。
Profiling can perpetuate existing stereotypes and social segregation. It can also lock a person into a
specific category and restrict them to their suggested preferences. This can undermine their freedom6to choose, for example, certain products or services such as books, music or newsfeeds. In some cases,
profiling can lead to inaccurate predictions. In other cases it can lead to denial of services and goods
and unjustified discrimination.
プロファイリングはこれまでの典型的で社会的な区分を永続させるかもしれない。それは個人を特定のカテゴリーに閉じ込め、それら個人の示唆する選好に個人を制限するかもしれない。それは、例えば、書籍、音楽、ニュースのような商品若しくはサービスの選択の自由を弱めるかもしれない。プロファイリングは、ある場合には、不正確な予測に繋がるかもしれない。他の場合には、それはサービスや商品の提供拒否や不当な差別をもたらすかもしれない。
The GDPR introduces new provisions to address the risks arising from profiling and automateddecision-making, notably, but not limited to, privacy. The purpose of these guidelines is to clarify
those provisions.
GDPR は、プロファイリング及び自動化された意思決定から生じるリスク、これに限定されるわけではないが、特にプライバシーのリスクを解決するための新しい規定を導入した。このガイドラインの目的はその規定を明確にすることである。
This document covers:

Definitions of profiling and automated decision-making and the GDPR approach to thesein general – Chapter IIGeneral provisions on profiling and automated decision-making – Chapter III

Specific provisions on solely automated decision-making defined in Article 22 -ChapterIVChildren and profiling – Chapter VData protection impact assessments and data protection officers– Chapter VI

この文書は以下を対象にしている。


プロファイリング及び自動化された意思決定の定義とそれらについての全般的なGDPR のアプローチ（第 II 章）



プロファイリング及び自動化された意思決定についての一般規定（第 III 章）



第 22 条において定められた、もっぱら自動化された意思決定の特別規定（第 IV章）



子どもとプロファイリング（第 V 章）



データ保護影響評価とデータ保護オフィサー（data protection officer）（第 VI 章）

The Annexes provide best practice recommendations, building on the experience gained in EU
Member States.
付録は、EU 加盟国での経験に基づいたベストプラクティスの勧告を示している。
7

The Article 29 Data Protection Working Party (WP29) will monitor the implementation of theseguidelines and may complement them with further details as appropriate.
第 29 条データ保護作業部会（WP29：以下、第 29 条作業部会）は、ガイドラインの実施を監視し、適切な場合には、さらに詳細な内容を補完することができる。

II．Definitions
II．定義
The GDPR introduces provisions to ensure that profiling and automated individual decision-making(whether or not this includes profiling) are not used in ways that have an unjustified impact on
individuals’ rights; for example:


specific transparency and fairness requirements;



greater accountability obligations;

specified legal bases for the processing;

rights for individuals to oppose profiling and specifically profiling for marketing; and

if certain conditions are met, the need to carry out a data protection impact assessment.

GDPR は、プロファイリング及び自動化された個人に対する意思決定（プロファイリング
を含むかどうかにかかわらず）が個人の権利に正当化されない影響を与える形で使用されないことを確保する規定を導入している。例えば、


特定の透明性と公正性の要件



強化されたアカウンタビリティの義務

取扱いのために特定された法的根拠



プロファイリング、特に、マーケティングのためのプロファイリングに異議を述べる個人の権利、及び

いくつかの条件が満たされる場合、データ保護影響評価を行う必要性

The GDPR does not just focus on the decisions made as a result of automated processing or profiling.
It applies to the collection of data for the creation of profiles, as well as the application of those profiles
to individuals.
GDPR は自動化された取扱い又はプロファイリングの結果としての意思決定にだけ焦点を当てているわけではない。それはプロファイル作成のためのデータ収集、それらのプロフ
ァイルを個人に当てはめることにも適用される。
A．Profiling
A．プロファイリング
The GDPR defines profiling in Article 4(4) as:
8

GDPR は、第 4 条（4）において、プロファイリングを、以下のように定義している。
any form of automated processing of personal data consisting of the use of personal data to evaluate
certain personal aspects relating to a natural person, in particular to analyse or predict aspects
concerning that natural person’s performance at work, economic situation, health, personal
preferences, interests, reliability, behaviour, location or movements;
自然人と関連する一定の個人的側面を評価するために、特に、当該自然人の業務遂行能力、経済状態、健康、個人的嗜好、興味関心、信頼性、行動、位置及び移動に関する側面を分析又は予測するために、個人データの利用によって構成される、あらゆる形式の、個人データの自動的な取扱い。
Profiling is composed of three elements:

it has to be an automated form of processing;

it has to be carried out on personal data; andthe objective of the profiling must be to evaluate personal aspects about a natural person.

プロファイリングは、三つの要素で構成されている。


自動化された取扱いの形式でなければならない



個人データについて実施されなければならない

プロファイリングの目標は、自然人についての個人的側面を評価するためのものでなければならない。

Article 4(4) refers to ‘any form of automated processing’ rather than ‘solely’ automated processing(referred to in Article 22). Profiling has to involve some form of automated processing – althoughhuman involvement does not necessarily take the activity out of the definition.
第 4 条（4）は、「もっぱら」自動化された取扱い（第 22 条に規定）というよりも、むしろ「あらゆる形の自動化された取扱い」と規定している。プロファイリングは、－人的な介在が必ずしもその行為を定義から除外することになるものではないが－何らかの形式の自動化された取扱いを含んでいなければならない。
Profiling is a procedure which may involve a series of statistical deductions. It is often used to makepredictions about people, using data from various sources to infer something about an individual,
based on the qualities of others who appear statistically similar.
プロファイリングは一連の統計的推定を伴うかもしれない手続きである。それは、統計的に類似すると思われる他者の性質に基づいてある個人の何かを推定する様々なソースのデータを用いて、人々についての予測を行うためにしばしば利用されている。
The GDPR says that profiling is automated processing of personal data for evaluating personal aspects,
in particular to analyse or make predictions about individuals. The use of the word ‘evaluating’suggests that profiling involves some form of assessment or judgement about a person.

9GDPR は、プロファイリングが個人的側面を評価するため、特に、個人について分析又は予測するための個人データの自動化された取扱いであると定めている。「評価する」（evaluating）という用語の利用は、プロファイリングがある個人について何らかの形式の評価（assessment）又は判断（judgement）を伴うことを示唆する。
A simple classification of individuals based on known characteristics such as their age, sex, and height
does not necessarily lead to profiling. This will depend on the purpose of the classification. For
instance, a business may wish to classify its customers according to their age or gender for statistical
purposes and to acquire an aggregated overview of its clients without making any predictions or
drawing any conclusion about an individual. In this case, the purpose is not assessing individual
characteristics and is therefore not profiling.
年齢、性別、身長のようなよく知られる特性に基づくシンプルな分類は、必ずしもプロファイリングとなるわけではない。それは分類の目的に依拠する。例えば、企業は、個人についての予測又は結論を得ようとするのではなく、統計目的のために年齢又は性別に基づき顧客を分類し、顧客の集計的な概観を得ようと望むかもしれない。その場合、その目的
は個人の特性評価ではないため、プロファイリングではない。
The GDPR is inspired by but is not identical to the definition of profiling in the Council of Europe
Recommendation CM/Rec (2010)13 2 (the Recommendation), as the Recommendation excludes
processing that does not include inference. Nevertheless the Recommendation usefully explains thatprofiling may involve three distinct stages:
data collection;automated analysis to identify correlations;applying the correlation to an individual to identify characteristics of present or future
behaviour.

GDPR は、欧州評議会勧告 CM/Rec(2010)132 におけるプロファイリングの定義を参考にしているが、同じではない。なぜなら、同勧告は推定（inference）を含まない取扱いを除外しているためである。しかし同勧告はプロファイリングが三つの異なる段階に関わるかもしれないと有益な説明をしている。


データ収集



相関性を識別するための自動化された分析



現在又は将来の行動の特徴を識別するためにその相関性を個人に当てはめること2

Council of Europe. The protection of individuals with regard to automatic processing of personal data in the context
of profiling. Recommendation CM/Rec (2010)13 and explanatory memorandum. Council of Europe 23 November
2010.
https://www.coe.int/t/dghl/standardsetting/cdcj/CDCJ%20Recommendations/CMRec(2010)13E Profiling.pdf .
Accessed 24 April 2017
欧州評議会。プロファイリングにおける個人データの自動取扱いに関する個人の保護。勧告 CM/Rec(2010)13
及び説明メモランダム。欧州評議会、2010 年 11 月 23 日。

10Controllers carrying out profiling will need to ensure they meet the GDPR requirements in respect of
all of the above stages.
プロファイリングを行う管理者は、上記の段階の全てにおいて GDPR の要件を満たすことを確保する必要がある。
Broadly speaking, profiling means gathering information about an individual (or group of individuals)
and evaluating their characteristics or behaviour patterns in order to place them into a certain categoryor group, in particular to analyse and/or make predictions about, for example, their:ability to perform a task;interests; orlikely behaviour.

広義に言えば、プロファイリングは、特に、例えば以下のような分析及び／又は予測を行うために、あるカテゴリー又はグループに分けることを目的として個人（又は個人のグループ）について情報を集め、当該個人又は個人のグループの特性又は行動パターンを評価することを意味している。


業務遂行能力



関心、又は



起こりうる行動

Example事例
A data broker collects data from different public and private sources, either on behalf of its clientsor for its own purposes. The data broker compiles the data to develop profiles on the individuals
and places them into segments. It sells this information to companies who wish to improve thetargeting of their goods and services. The data broker carries out profiling by placing a person intoa certain category according to their interests.
あるデータ・ブローカーは、顧客の代理として又は自らの目的のために、官民の異なる情報源からデータを集める。そのデータ・プロ－カーは個人についてのプロファイルを作成するためにデータを蓄積し、個人をセグメントに分類する。当該データ・ブローカ
ーはその情報を、商品やサービスのターゲティングを改善しようとする企業に販売する。データ・ブローカーは、個人の関心に従って個人をある特定のカテゴリーに入れることによって、プロファイリングを行う。
Whether or not there is automated decision-making as defined in Article 22(1) will depend upon thecircumstances.
第 22 条（1）に定めるように自動化された意思決定が存在するかどうかは、状況による。

B.

Automated decision-making

B．自動化された意思決定

11Automated decision-making has a different scope and may partially overlap with or result fromprofiling. Solely automated decision-making is the ability to make decisions by technological means
without human involvement. Automated decisions can be based on any type of data, for example:data provided directly by the individuals concerned (such as responses to a questionnaire);data observed about the individuals (such as location data collected via an application);

derived or inferred data such as a profile of the individual that has already been created(e.g. a credit score).

自動化された意思決定は、プロファイリングと異なった範囲を持ち、また、部分的にはプ
ロファイリングと重なっているか、又はプロファイリングによって生じているかもしれない。もっぱら自動化された意思決定とは、人的介在なしに技術的方法によって意思決定を行う能力である。自動化された意思決定はどのようなタイプのデータも基礎にすることができる。例えば、


関係する個人により直接提供されたデータ（アンケートに対する回答など）



個人について観察されたデータ（アプリケーションを通じて集めた位置データのなど）



すでに作成されている個人のプロファイルのような派生データ（derived data）又は推定データ（inferred data）。（例えば、クレジット・スコア）

Automated decisions can be made with or without profiling; profiling can take place without making
automated decisions. However, profiling and automated decision-making are not necessarily separate
activities. Something that starts off as a simple automated decision-making process could become one
based on profiling, depending upon how the data is used.
自動化された意思決定は、プロファイリングがあってもなくても行うことができ、プロファイリングは自動化された意思決定なしで行うことができる。しかし、プロファイリング
及び自動化された意思決定は必ずしも別々の行為ではない。単純に自動化された意思決定プロセスから出発したものが、データがどのように利用されるかによって、プロファイリ
ングに基づいたものとなりうる。

Example事例
Imposing speeding fines purely on the basis of evidence from speed cameras is an automateddecision- making process that does not necessarily involve profiling
スピード・カメラの証拠にだけ基づき制限速度違反の罰金を科すことは、必ずしもプロ
ファイリングに関わらない自動化された意思決定プロセスである。
It would, however, become a decision based on profiling if the driving habits of the individual weremonitored over time, and, for example, the amount of fine imposed is the outcome of an assessment
involving other factors, such as whether the speeding is a repeat offence or whether the driver has
had other recent traffic violations.
12しかし、その個人の運転習慣が経過的にモニターされ、例えば、科された罰金額が、繰
り返し速度違反があるかどうか又はそのドライバーが他に最近の交通違反があったかど
うかのような他の要素を含めた評価結果であるならば、それはプロファイリングに基づく意思決定となる。
Decisions that are not solely automated might also include profiling. For example, before granting amortgage, a bank may consider the credit score of the borrower, with additional meaningfulintervention carried out by humans before any decision is applied to an individual.
もっぱら自動化されているわけではない意思決定にも、プロファイリングが含まれうる。
例えば、融資を行う前に銀行は、何らかの決定を個人に対して適用することに先立って、借り手のクレジット・スコアを、人により行われる追加的な意味のある介在と共に、考慮
するかもしれない。
C.

How the GDPR addresses the concepts

C． GDPR はどのようにこの概念を取り上げているか
There are potentially three ways in which profiling may be used:（i） general profiling;（ii） decision-making based on profiling; and（iii） solely automated decision-making, including profiling, which produces legal effects orsimilarly significantly affects the data subject (Article 22[1]).
プロファイリングの利用には、潜在的に三つの方法がある。
（i）

一般的なプロファイリング

（ii） プロファイリングに基づく意思決定、及び（iii） データ主体に対して法的効果又は同様の大きな影響を与える、プロファイリングを含む、もっぱら自動化された意思決定（第 22 条（1））
The difference between (ii) and (iii) is best demonstrated by the following two examples where an
individual applies for a loan online:a human decides whether to agree the loan based on a profile produced by purely
automated means(ii);an algorithm decides whether the loan is agreed and the decision is automatically delivered
to the individual, without any prior and meaningful assessment by a human (iii).

（ii）と（iii）の相違は、個人がオンラインで借入申込みを行う次の二つの事例によってうまく説明できる。


純粋に自動化された手段によって作成されたプロファイルに基づいて貸し付けに同意するかどうかを人間が決定する場合は(ii)に該当する。

13



事前の人間による意味のある評価なしに、アルゴリズムが貸付けに同意するかどうかを決定し、その決定が個人に対して自動的に通知される場合は(iii)に該当する。

Controllers can carry out profiling and automated decision-making as long as they can meet all theprinciples and have a lawful basis for the processing. Additional safeguards and restrictions apply inthe case of solely automated decision-making, including profiling, defined in Article 22(1).
管理者は、それらが全ての原則を満たすことができ、かつ取扱いについての適法な根拠を持つ限り、プロファイリング及び自動化された意思決定を実施することができる。第 22条（1）に規定するプロファイリングを含むもっぱら自動化された意思決定のケースでは、追加の保護措置と制限が適用される。
Chapter III of these guidelines explains the GDPR provisions for all profiling and automatedindividual decision-making. This includes decision-making processes that are not solely automated.
このガイドラインの第 III 章は、全てのプロファイリング及び自動化された個人に対する意思決定に関する GDPR の規定を説明する。これには、もっぱら自動化はされていない意
思決定のプロセスも含まれる。
Chapter IV of these guidelines explains the specific provisions that only apply to solely automatedindividual decision-making, including profiling.3 A general prohibition on this type of processing
exists to reflect the potential risks to individuals’ rights and freedoms.
このガイドラインの第 IV 章は、プロファイリングを含むもっぱら自動化された個人に対する意思決定に限って適用される特定の規定を説明する 3。このタイプの取扱いに関する
一般的な禁止は、個人の権利と自由に対する潜在的なリスクを反映させるために存在している。

III. General provisions on profiling and automated decision-making
III. プロファイリング及び自動化された意思決定についての一般規定
This overview of the provisions applies to all profiling and automated decision-making. Additional
specific provisions set out in Chapter IV apply if the processing meets the definition in Article 22(1).
この規定の概観は、全てのプロファイリング及び自動化された意思決定に当てはまる。第IV 章に定める追加的な特定の規定は、取扱いが第 22 条（1）の定義を満たす場合に適用される。

3

As defined in Article 22(1) of the GDPR.
GDPR 第 22 条（1）で定義される。

14

A．Data protection principles
A．データ保護の原則
The principles are relevant for all profiling and automated decision-making involving personal data4.
To aid compliance, controllers should consider the following key areas:
原則は、個人データに関わる全てのプロファイリング及び自動化された意思決定に関連する 4。その遵守を支えるため、管理者は、以下の主要な点を考慮すべきである。

1．Article 5(1) (a) - Lawful, fair and transparent
1．第 5 条（1）（a）：適法性、公正性、透明性
Transparency of processing5 is a fundamental requirement of the GDPR.
取扱いの透明性 5 は、GDPR の根本的要件である。
The process of profiling is often invisible to the data subject. It works by creating derived or inferreddata about individuals – ‘new’ personal data that has not been provided directly by the data subjects
themselves. Individuals have differing levels of comprehension and may find it challenging tounderstand the complex techniques involved in profiling and automated decision-making processes.
プロファイリングのプロセスは、データ主体にとってしばしば見えないものとなっている。それは個人についての派生データ又は推定データを作成すること－データ主体が自ら直接に提供したわけではない「新しい」個人データ－によって機能する。個人は様々な理解レベルを持ち、そのためプロファイリング及び自動化された意思決定のプロセスに関わる複雑な技術の理解を困難と思うかもしれない。
Under Article 12.1 the controller must provide data subjects with concise, transparent, intelligible andeasily accessible information about the processing of their personal data6.

4

GDPR – Recital 72 “Profiling is subject to the rules of this Regulation governing the processing of personal data,such as the legal grounds for processing or data protection principles.”GDPR 前文第 72 項「プロファイリングは、取扱いの法的根拠又はデータ保護の基本原則のような、個人データの取扱いを規律する本規則の規定に服する。」
5
Guidelinesontransparency
underRegulation
2016/679
WP260,
28
November
2017
http://ec.europa.eu/newsroom/just/document.cfm?doc_id=48850, Accessed 18 December 2017.
「規則 2016/679 における透明性に関するガイドライン」WP260、2017 年 11 月 28 日
6
Office of the Australian Information Commissioner. Consultation draft: Guide to big data and the Australian Privacy
Principles, 05/2016 says: “Privacy notices have to communicate information handling practices clearly and simply, butalso comprehensively and with enough specificity to be meaningful. The very technology that leads to greater collectionof personal information also presents the opportunity for more dynamic, multi-layered and user centric privacy notices.”
https://www.oaic.gov.au/engage-with-us/consultations/guide-to-big-data-and-the-australian-privacyprinciples/consultation-draft-guide-to-big-data-and-the-australian-privacy-principles. Accessed 24 April 2017
オーストラリア情報コミッショナーオフィス。
「ビッグデータとオーストラリアのプライバシー原則に関するガイドライン 05/2016」のドラフトは、「プライバシー通知は、情報の取扱慣行を、明確にまたシンプルに、また理解しやすくさらに意味のある十分な特定化により伝えなければならない。個人情報をさらに大きく収集する技術は、よりダイナミックで、多層的で、かつユーザー重視的なプライバシー通知へアクセスする機会を提供する」と述べている。

15

第 12 条（1）のもとに、管理者は、個人データの取扱いについて簡潔で、透明的で、理解しやすく容易にアクセスできる情報をデータ主体に提供しなければならない 6。
For data collected directly from the data subject this should be provided at the time of collection(Article 13); for indirectly obtained data the information should be provided within the timescales set
out in Article 14(3).
データ主体から直接収集するデータの場合、これは収集時に提供されなければならない（第 13 条）。間接的に取得されるデータの場合、その情報は第 14 条（3）に定める期間内に提供されなければならない。
Example事例
Some insurers offer insurance rates and services based on an individual’s driving behaviour.
Elements taken into account in these cases could include the distance travelled, the time spent
driving and the journey undertaken as well as predictions based on other data collected by the sensors
in a (smart) car. The data collected is used for profiling to identify bad driving behaviour (such as
fast acceleration, sudden braking, and speeding). This information can be cross-referenced withother sources (for example the weather, traffic, type of road) to better understand the driver’s
behaviour.
いくつかの保険会社が個人の運転行動に基づいて保険料率とサービスを提供する。その場合に考慮される要素には、これまでの走行距離、走行時間、及び旅程、またその他（スマート）カー・センサーで収集されたデータに基づいた予測が含まれうる。収集されたデータは（急加速、急ブレーキ、超過速度など）望ましくない運転行動を識別する
プロファイリングのために利用される。この情報は、ドライバーの行動をより理解する
ために、他の情報源（例えば、天候、交通量、道路種別）とも相互参照されうる。
The controller must ensure that they have a lawful basis for this type of processing. The controller
must also provide the data subject with information about the collected data, and, if appropriate, theexistence of automated decision-making referred to in Article 22(1) and (4), the logic involved, andthe significance and envisaged consequences of such processing.
管理者は、この種類の取扱いが法的根拠に依拠していることを確保しなければならない。また、管理者は、収集データ、さらに適切な場合、第 22 条(1)及び(4)に規定されている自動化された意思決定の存在、関係するロジック、その取扱いの重要性と想定される帰結についての情報もデータ主体に提供しなければならない。
The specific requirements surrounding information and access to personal data are discussed in
Chapters III (section D) and IV (section E).
情報に関する特別な要件及び個人データへのアクセスは、第 III 章（第 D 節）及び第 IV 章
（第 E 節）で議論される。
Processing also has to be fair, as well as transparent.
また取扱いは、公正であり透明性がなければならない。

16

Profiling may be unfair and create discrimination, for example by denying people access toemployment opportunities, credit or insurance, or targeting them with excessively risky or costly
financial products. The following example, which would not meet the requirements of Article 5(1)(a),illustrates how unfair profiling can lead to some consumers being offered less attractive deals thanothers.
プロファイリングは、例えば、就業機会、クレジット若しくは保険へのアクセスを拒絶す
ることにより、又はある人々をターゲットにした過度にリスクのある若しくは費用のかかる金融商品を提供することにより、不公正であるかもしれず、また差別を生み出すかもしれない。次の第 5 条(1)(a)の要件を満たさない事例は、公正さを欠くプロファイリングがいかに一部の消費者に対して他の消費者よりも魅力のない取引の提供を受けることに導きう
るかを示している。

Example事例
A data broker sells consumer profiles to financial companies without consumer permission or
knowledge of the underlying data. The profiles define consumers into categories (carrying titles
such as “Rural and Barely Making It,” “Ethnic Second-City Strugglers,” “Tough Start: Young
Single Parents,”) or “score” them, focusing on consumers’ financial vulnerability. The financial
companies offer these consumers payday loans and other “non-traditional” financial services (highcost loans and other financially risky products).7
あるデータのブローカーは、消費者の許可なしに又は基礎とするデータの知識なしに、金融会社に消費者のプロファイルを販売する。そのプロファイルは、消費者の金銭的脆弱性に焦点を当てて、消費者をいくつかのカテゴリー（「地方で困窮」、「民族的セカン
ドシティ困窮者」、「厳しいスタート。若いシングル・ペアレント」のような見出しを付けて）に分類し、又は「スコア化」している。金融会社はそうした消費者に対してペイデイローンや他の「通常と異なった」金融サービス（高コストのローンや他の金融リス
クのある商品）を提供する 7。

2．Article 5(1) (b) Further processing and purpose limitation
2．第 5 条（1）（b）：追加的取扱い及び目的の制限
Profiling can involve the use of personal data that was originally collected for something else.
プロファイリングは、もともと他の何かのために収集された個人データの利用を含みうる。

7

This example is taken from: United States Senate, Committee on Commerce, Science, and Transportation. A Reviewof the Data Broker Industry: Collection, Use, and Sale of Consumer Data for Marketing Purposes, Staff Report for
Chairman Rockefeller, December 18, 2013. https://www.commerce.senate.gov/public/_cache/files/0d2b3642-62214888-a631-08f2f255b577/AE5D72CBE7F44F5BFC846BECE22C875B.12.18.13-senate-commerce-committeereport-ondata-broker-industry.pdf. See page ii of the Executive Summary and 12 of the main body of the document
in particular. Accessed 21 July 2017
この事例は、以下からとられたものである。米国上院商務/科学/運輸委員会「データ仲介業に関する報告：
マーケティング目的のためのデータに関する収集、利用、販売」、ロックフェラー委員長のためのスタッフ
レポート、2013 年 12 月 18 日。

17Example
事例
Some mobile applications provide location services allowing the user to find nearby restaurants
offering discounts. However, the data collected is also used to build a profile on the data subject formarketing purposes - to identify their food preferences, or lifestyle in general. The data subject
expects their data will be used to find restaurants, but not to receive adverts for pizza delivery justbecause the app has identified that they arrive home late. This further use of the location data may
not be compatible with the purposes for which it was collected in the first place, and may thus
require the consent of the individual concerned.8
いくつかのモバイル・アプリケーションは、ユーザーが近くにある割引提供のレストランを見つけられるようにしたロケーション・サービスを提供している。しかしその検索で収集された利用者のデータは、－ユーザーの食べ物の好み又は一般的なライフスタイ
ルを特定するための－マーケティング目的をもったデータ主体のプロファイル作成にも利用される。データ主体は、自己のデータがレストランを見つけるために使用されることを予想しているが、アプリが遅く帰宅するのを特定しただけでピザ配達の広告を受けるようにするために使用されるものではないと予想している。こうした位置データの追加的利用は、最初に収集された目的と両立しないかもしれず、したがってそうした利用には、関係する個人の同意が必要かもしれない 8。
Whether this additional processing is compatible with the original purposes for which the data werecollected will depend upon a range of factors9, including what information the controller initiallyprovided to the data subject. These factors are reflected in the GDPR10and summarised below:


the relationship between the purposes for which the data have been collected and the
purposes of further processing;the context in which the data were collected and the reasonable expectations of the data
subjects as to their further use;

the nature of the data;the impact of the further processing on the data subjects; andthe safeguards applied by the controller to ensure fair processing and to prevent any undue
impact on the data subjects.

8Note that the provisions of the future ePrivacy Regulation may also apply.
今後 EU で採択される「e プライバシー規則」（ePrivacy Regulation）の規定も適用されうることに注意されたい。
9
Opinion 03/2013 on purpose limitation,2 April 2013. http://ec.europa.eu/justice/data-protection/article29/documentation/opinionrecommendation/files/2013/wp203 en.pdf. Accessed 24 April 2017
第 29 条作業部会では、以下の文書で取り上げている。「目的の制限に関する意見 03/2013」、2013 年 4 月 2日。
10GDPR Article 6(4)GDPR 第 6 条（4）18

追加的な取扱いがデータ収集の当初の目的と両立しているかどうかは、管理者が最初にデータ主体に対してどんな情報を提供したかを含め、幅広い要因 9 に依拠している。そうした要因は GDPR においても反映され 10、以下のように要約できる。


データが収集された目的と追加的取扱いの目的の関係性



データが収集されたコンテクストと追加的利用に関するデータ主体の合理的な期待

データの性質

追加的取扱いがデータ主体に与える影響、また、



公正な取扱いを確保しデータ主体に対する不当な影響を防止するために管理者が採用した保護措置3．Article 5(1) (c) Data minimisation
3．第 5 条（1）(c)：データの最小化
The business opportunities created by profiling, cheaper storage costs and the ability to process large
amounts of information can encourage organisations to collect more personal data than they actuallyneed, in case it proves useful in the future. Controllers must make sure they are complying with thedata minimisation principle, as well as the requirements of the purpose limitation and storage
limitation principles.
プロファイリング、より安価な記録保存費用、大量情報の取扱能力がもたらすビジネス機会は、組織に対して、それが将来的に役立つかもしれないケースでは、実際に必要とする
以上に個人データの収集拡大を促しうる。管理者は、データ最小化原則、また目的の制限と記録保存の制限の原則に関する要件の遵守を確保しなければならない。
Controllers should be able to clearly explain and justify the need to collect and hold personal data, or
consider using aggregated, anonymised or (when this provides sufficient protection) pseudonymised
data for profiling.
管理者は、個人データを収集し保有する必要性を明確に説明し正当化できるようにすべきであり、又は、プロファイリングのために集計化され、匿名化若しくは（それが十分な保護を提供する場合に）仮名化されたデータの利用を考慮すべきである。

4．Article 5(1) (d) Accuracy
4．第 5 条（1）（d）：正確性
Controllers should consider accuracy at all stages of the profiling process, specifically when:collecting data;

analysing data;building a profile for an individual; or19applying a profile to make a decision affecting the individual.

管理者は、プロファイリング・プロセスの全ての段階において、特に、以下の際に、正確性を考慮すべきである。


データの収集

データの分析



個人のプロファイル作成、又は

個人に影響を与える決定についてのプロファイル適用

If the data used in an automated decision-making or profiling process is inaccurate, any resultant
decision or profile will be flawed. Decisions may be made on the basis of outdated data or the incorrectinterpretation of external data. Inaccuracies may lead to inappropriate predictions or statements about,for example, someone’s health, credit or insurance risk.
もし自動化された意思決定又はプロファイリングのプロセスで使用されるデータが不正確であれば、そこから得られた意思決定やプロファイルは欠陥をもつものとなる。意思決定が、更新されていないデータ、又は外部データの不正確な解釈に基づいて行われるかもしれない。不正確であることは、例えば、誰かの医療、信用又は保険に関わるリスクについての不適切な予測や記述に繋がるかもしれない。
Even if raw data is recorded accurately, the dataset may not be fully representative, or the analytics
may contain hidden bias.
生データが正確に記録されていたとしても、データセットは十分に代表的でないかもしれ
又は、解析には隠れたバイアスが含まれているかもしれない。
Controllers need to introduce robust measures to verify and ensure on an ongoing basis that data reusedor obtained indirectly is accurate and up to date. This reinforces the importance of providing clear
information about the personal data being processed, so that the data subject can correct any
inaccuracies and improve the quality of the data.
管理者は再利用されるデータ又は間接的に取得されたデータが正確であり、また最新であることを継続的ベースで証明し確保する安定した措置を導入する必要がある。これは取り扱われる個人データについて明確な情報を提供する重要性を強化し、それによりデータ主体は不正確なところを修正しまたデータの質を改善することができる。
5．Article 5(1) (e) Storage limitation
5．第 5 条（1）（e）：記録保存の制限
Machine-learning algorithms are designed to process large volumes of information and build
correlations that allow organisations to build up very comprehensive, intimate profiles of individuals.
Whilst there can be advantages to retaining data in the case of profiling, since there will be more data
for the algorithm to learn from, controllers must comply with the data minimisation principle when
they collect personal data and ensure that they retain those personal data for no longer than is necessary
for and proportionate to the purposes for which the personal data are processed20機械学習のアルゴリズムは、大容量の情報を取扱い、組織が個人についてのきわめて包括的で親密的なプロファイル作成を可能にする相関性を確立するようにデザインされている。プロファイリングでは、データが多くなるほどそのデータからアルゴリズムが学習できるため、データを保有するメリットがあるものの、管理者は、個人データを収集するときには、データ最小化の原則を遵守し、また個人データ取扱いの目的に対して必要であり比例的である以上に長い期間、それら個人データの保存をしないように確保しなければな
らない。
The controller’s retention policy should take into account the individuals’ rights and freedoms in linewith the requirements of Article 5(1)(e).
管理者の保存ポリシーは、第 5 条(1)(e)の要件に沿って、個人の権利と自由を考慮すべきである。
The controller should also make sure that the data remains updated throughout the retention period to
reduce the risk of inaccuracies.11
管理者は、不正確性のリスクを減じるため、保存期間を通じて、データがアップデートされたものとなっていることも確保すべきである 11。
B．Lawful bases for processing
B．取扱いの法的根拠
Automated decision-making defined in Article 22(1) is only permitted if one of the exceptions
described in Chapter IV (sections C and D) applies. The following lawful bases for processing are
relevant for all other automated individual decision-making and profiling.
第 22 条に定められる自動化された意思決定は、第 IV 章（第 C 節及び第 D 節）で述べる例
外の一つが該当する場合に限り、許容される。取扱いに関する以下の法的根拠は、全ての他の個人に対する自動化された意思決定とプロファイリングに関連する。
1．Article 6(1) (a) consent
1.

第 6 条(1) (a)：同意

Consent as a basis for processing generally is addressed in the WP29 Guidelines on consent.12 Explicit
consent is one of the exceptions from the prohibition on automated decision-making and profilingdefined in Article 22(1).

11Norwegian Data Protection Authority. The Great Data Race – How commercial utilisation of personal data
challenges privacy, Report, November 2015. Datatilsynet https://www.datatilsynet.no/English/Publications/The-GreatData-Race/ Accessed 24 April 2017ノルウェー・データ保護機関。報告書「大容量データのレース：プライバシーに対する個人データの商業的利用の課題」、2015 年 11 月。
12Article 29 Data Protection Working Party. Guidelines on Consent under Regulation 2016/679 WP259, 28 November
2017, http://ec.europa.eu/newsroom/just/document.cfm?doc_id=48849. Accessed 18 December 2017
第 29 条作業部会「規則 2016/679 における同意に関するガイドライン」WP259、2017 年 11 月 28 日、

21

取扱いの基礎としての同意は、第 29 条作業部会の同意に関するガイドラインで取り上げられている 12。明示的な同意は、第 22 条（1）の自動化された意思決定とプロファイリン
グの禁止に関する例外の一つである。
Profiling can be opaque. Often it relies upon data that is derived or inferred from other data, rather
than data directly provided by the data subject.
プロファイリングは不透明でありうる。しばしばそれは、データ主体が直接提供したデー
タというよりも他のデータから派生し又は推定されたデータに依拠する。
Controllers seeking to rely upon consent as a basis for profiling will need to show that data subjects
understand exactly what they are consenting to, and remember that consent is not always anappropriate basis for the processing. 13 In all cases, data subjects should have enough relevant
information about the envisaged use and consequences of the processing to ensure that any consent
they provide represents an informed choice.
プロファイリングの基礎を同意に依拠しようとする管理者は、データ主体が何に同意するかを正確に理解していることを示す必要があり、また同意が必ずしも常に取扱いの適切な基礎とはならないことを思い出す必要がある 13。どんなケースでも、データ主体は、それの与える同意が説明を受けた上での選択であることを確保するため、取扱いの想定される利用と結論について十分に関連する情報をもつべきである。

2．Article 6(1) (b) – necessary for the performance of a contract
2．第 6 条（1）（b）：契約履行に必要である
Controllers may wish to use profiling and automated decision-making processes because they:

potentially allow for greater consistency or fairness in the decision making process (e.g. by
reducing the potential for human error, discrimination and abuse of power);

reduce the risk of customers failing to meet payments for goods or services (for example
by using credit referencing); orenable them to deliver decisions within a shorter time frame and improve efficiency.

管理者は、以下の理由から、プロファイリング及び自動化された意思決定のプロセスを利用したいと思うかもしれない。


意思決定プロセスにおいて、潜在的に、より高い一貫性又は公正性を可能としうる（例えば、人的なミス、差別及び権限の濫用の可能性を減じることによって）

商品又はサービスに対して支払いを満たすことができない顧客のリスクを減少させる（例えば、信用照会を利用することによって）

13

Ibid
同上

22



管理者がより短い期間で決定を提供し、効率性を改善できる

Regardless of the above, these considerations alone are not sufficient to show that this type ofprocessing is necessary under Article 6(1)(b) for the performance of a contract. As described in the
WP29 Opinion on legitimate interest14, necessity should be interpreted narrowly.
上記事項にもかかわらず、契約履行に関する第 6 条（1）（b）のもとでこの種の取扱いが必要であることを示すには、これらの考慮事項だけでは十分でない。正当な利益に関する
第 29 条作業部会の意見 14 で述べたように、必要性は狭く解釈されるべきである。
The following is an example of profiling that would not meet the Article 6(1)(b) basis for processing.
次の事例は、第 6 条（1）（b）の取扱いの基礎を満たさないプロファイリングの事例である。
Example事例
A user buys some items from an on-line retailer. In order to fulfil the contract, the retailer must
process the user’s credit card information for payment purposes and the user’s address to deliver
the goods. Completion of the contract is not dependent upon building a profile of the user’s tastes
and lifestyle choices based on his or her visits to the website. Even if profiling is specificallymentioned in the small print of the contract, this fact alone does not make it ‘necessary’ for the
performance of the contract.
あるユーザーがオンラインの小売業者から商品を購入する。小売業者は契約を履行するため、支払いを受ける目的でユーザーのクレジットカード情報を取り扱わなければならず、また、商品を届けるためにユーザーの住所を取扱わなければならない。契約の完了
は、ウェブサイトの訪問に基づくユーザーの嗜好やライフスタイルのプロファイル作成に依拠しない。プロファイリングが契約書の細かな文字で述べられているとしても、その事実だけでは、契約履行にそれが「必要である」とはならない。

3．Article 6(1) (c) – necessary for compliance with a legal obligation
3．第 6 条（1）（c）：法的義務の遵守に必要である

14

Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC.
European Commission, 9 April 2014. http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2014/wp217_en.pdf. Accessed 24 April 2017
「指令 95/46/EC 第 7 条のもとでのデータ管理者の正当な利益の概念に関する意見 06/2014」、欧州委員会、2014 年 4 月 9 日。

23There may be instances where there will be a legal obligation15 to carry out profiling – for example inconnection with fraud prevention or money laundering. The WP29 Opinion on legitimate interests16
provides useful information about this basis for processing, including the safeguards to be applied.
プロファイリングを実施することが法的な義務 15 となっているケース－例えば、詐欺の防止又はマネーロンダリングに関連して－があるかもしれない。第 29 条作業部会の正当な利益に関する意見 16 は、適用されるべき保護措置を含め、取扱いの根拠についての有用な情報を提供している。

4．Article 6(1) (d) – necessary to protect vital interests
4．第 6 条（1）（d）：生命に関する利益の保護に必要である
This covers situations where the processing is necessary to protect an interest which is essential forthe life of the data subject or that of another natural person.
これは、取扱いが、データ主体又は他の自然人の生命にとって重要な利益を保護するために必要である状況を対象としている。
Certain types of processing may serve important public interest grounds as well as the vital interestsof the data subject. Examples of this may include profiling necessary to develop models that predict
the spread of life-threatening diseases or in situations of humanitarian emergencies. In these cases,
however, and in principle, the controller can only rely on vital interest grounds if no other legal basis
for the processing is available. 17 If the processing involves special category personal data thecontroller would also need to ensure that they meet the requirements of Article 9(2) (c).
いくつかの種類の取扱いは、重要な公共の利益の根拠及びデータ主体の生命に関する利益に役立つかもしれない。この事例には、生命を脅かす疾病の予測モデル開発又は人道的な緊急性のある状況において必要とされるプロファイリングが含まれる。しかしそれらのケースにおいて、また原則として、管理者は、プロファイリングについて他の法的根拠が利用できないときに限り、生命に関する利益の根拠に依拠することができる 17。取扱いが特別な種類の個人データを含む場合、管理者はなお、それが第 9 条（2）（c）の要件を満たすことを確保する必要がある。

15

GDPR Recitals 41 and 45
GDPR 前文第 41 項及び 第 45 項
16
Page 19 Article 29 Data Protection Working Party. Opinion 06/2014 on the notion of legitimate interests of the data
controller under Article 7 of Directive 95/46/EC. European Commission, 9 April 2014. http://ec.europa.eu/justice/dataprotection/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf. Accessed 24 April 201719 頁。第 29 条作業部会「指令 95/46/EC 第 7 条のもとでのデータ管理者の正当な利益の概念に関する意見
06/2014」、欧州委員会、2014 年 4 月 9 日
17Recital 46 GDPR
GDPR 前文第 46 項

24

5．Article 6(1) (e) – necessary for the performance of a task carried out in the public
interest or exercise of official authority
5．第 6 条（1）（e）：公共の利益又は公的な権限の行使に際して実施される職務遂行のために必要である
Article 6(1) (e) might be an appropriate basis for public sector profiling in certain circumstances. The
task or function must have a clear basis in law.
第 6 条（1）（e）は、いくつかの状況において、公的分野のプロファイリングの適切な基礎となる。その作業又は機能は法律に明確な基礎を持たなければならない。
6．Article 6(1) (f) – necessary for the legitimate interests18pursued by the controller
or by a third party
6．第 6 条（1）（f）：管理者又は第三者により追求される正当な利益 18 に必要である
Profiling is allowed if it is necessary for the purposes of the legitimate interests19 pursued by thecontroller or by a third party. However, Article 6(1) (f) does not automatically apply just because thecontroller or third party has a legitimate interest. The controller must carry out a balancing exercise toassess whether their interests are overridden by the data subject’s interests or fundamental rights andfreedoms.
プロファイリングは、管理者又は第三者の追求する正当な利益 19 の目的のために必要な場
合に、認められる。しかし第 6 条（1）（f）は、管理者が正当な利益を持つということだけで、自動的に適用されるわけではない。管理者は、その利益がデータ主体の利益又は基本的権利と自由によって優先されるかどうかを評価するため、バランスを図る措置を実施しなければならない。
The following are particularly relevant:the level of detail of the profile (a data subject profiled within a broadly described cohort
such as ‘people with an interest in English literature’, or segmented and targeted on a
granular level);the comprehensiveness of the profile (whether the profile only describes a small aspect ofthe data subject, or paints a more comprehensive picture);

18

Legitimate interests listed in GDPR Recital 47 include processing for direct marketing purposes and processing
strictly necessary for the purposes of preventing fraud.
前文第 47 項に挙げる正当な利益は、ダイレクトマーケティング目的の取扱い、及び詐欺防止目的のために厳密に必要な取扱いを含む。
19
The controller’s “legitimate interest” cannot render profiling lawful if the processing falls within the Article 22(1)definition.
取扱いが第 22 条（1）の定義に該当する場合、データ管理者の「正当な利益」がプロファイリングを適法化することはできない25



the impact of the profiling (the effects on the data subject); andthe safeguards aimed at ensuring fairness, non-discrimination and accuracy in the profilingprocess.

以下は、特に関係する。


プロファイルの詳細さのレベル（「英文学に関心を持つ人々」のような広義に叙述された集団の中でプロファイル化されるデータ主体、又は粒状的レベルでセグメント化されまたターゲット化されるデータ主体）

プロファイルの包括性（プロファイルがデータ主体の狭い側面しか叙述していな
いのか、包括的な像を叙述しているのかどうか）

プロファイリングの影響（データ主体に与える効果）、及び



プロファイリングの過程における公正性、非差別性、正確性を確保するための保護措置

Although the WP29 opinion on legitimate interests20 is based on Article 7 of the data protection
Directive 95/46/EC (the Directive), it contains examples that are still useful and relevant for controllers
carrying out profiling. It also suggests it would be difficult for controllers to justify using legitimate
interests as a lawful basis for intrusive profiling and tracking practices for marketing or advertising
purposes, for example those that involve tracking individuals across multiple websites, locations,devices, services or data-brokering.
第 29 条作業部会の正当な利益に関する意見 20 は、データ保護指令 95/46/EC（指令）第 7条に基づくが、それは今でもなおプロファイリングを実施する管理者にとって有用かつ関連する事例を含んでいる。それはまた、例えば、複数のウェブサイト、ロケーション、デバイス、サービス又はデータ仲介（data brokering）についての個人のトラッキングを含め、マーケティングや広告目的のために踏み込んだプロファイリング及びトラッキングの慣行、に関する適法性の基礎として、管理者が正当な利益を根拠とするのが難しいことを示唆している。
The controller should also consider the future use or combination of profiles when assessing thevalidity of processing under Article 6(1) (f).
管理者は、第 6 条（1）（f）のもとでの取扱いの有効性を評価する際、将来のプロファイル
利用やプロファイルの組み合わせも考慮すべきである。

20
Article 29 Data Protection Working Party. Opinion 06/2014 on the notion of legitimate interests of the data controller
under Article 7 of Directive 95/46/EC. European Commission, 9 April 2014, P59 – examples 5and 7
http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2014/wp217 en.pdf.
Accessed 24 April 2017
第 29 条作業部会「指令 95/46/EC 第 7 条のもとでのデータ管理者の正当な利益の概念に関する意見 06/2014」、
欧州委員会、2017 年 4 月 9 日、59 頁－事例 5 及び 7。

26

C．Article 9 – Special categories of data
C．第 9 条：特別な種類のデータ
Controllers can only process special category personal data if they can meet one of the conditions set
out in Article 9(2), as well as a condition from Article 6. This includes special category data derived
or inferred from profiling activity.
管理者は、第 6 条の条件のみならず第 9 条（2）に定める条件の一つを満たすことができる場合にのみ、特別な種類の個人データを取扱うことができる。これにはプロファイリン
グ行為から派生し又は推定された特別な種類のデータが含まれる。
Profiling can create special category data by inference from data which is not special category data in
its own right but becomes so when combined with other data. For example, it may be possible toinfer someone’s state of health from the records of their food shopping combined with data on thequality and energy content of foods.
プロファイリングは、データからの推定によって特別な種類のデータを作成できる。こう
したデータはそれ自体で特別な種類のデータではないが他のデータとの組み合わせたときに、特別な種類のデータとなる。例えば、食品品質とエネルギー容量に関するデータと食品購入履歴を組み合わせることによって、誰かの健康状態を推定できるかもしれない。
Correlations may be discovered that indicate something about individuals’ health, political convictions,religious beliefs or sexual orientation, as demonstrated by the following example:
次の事例が示すように、個人の健康、政治的な信念、宗教的信条又は性的指向について何かを意味する相関性が見いだされるかもしれない。

Example事例
One study21 combined Facebook ‘likes’ with limited survey information and found that researchers accurately
predicted a male user’s sexual orientation 88% of the time; a user’s ethnic origin 95% of the time; and whether auser was Christian or Muslim 82% of the time.

ある研究 21 は、Facebook の「いいね」と限定的な調査情報と組み合わせ、研究者が男性ユーザーの性的指向を 88％、ユーザーの人種を 95％、ユーザーがキリスト教徒かイスラム教徒であるかを 82％、正確に予測したことを明らかにした。

If sensitive preferences and characteristics are inferred from profiling, the controller should make sure
that:
21

Michael Kosinski, David Stilwell and Thore Graepel. Private traits and attributes are predictable from digital recordsof human behaviour. Proceedings of the National Academy of Sciences of the United States of America,
http://www.pnas.org/content/110/15/5802 full.pdf. Accessed 29 March 2017
マイケル・コシンスキー、デビッド・スティルウェル及びトーレ・グレーペル「人間行動のデジタル記録から予測可能な個人の特性と属性」、米国科学アカデミー財団論文集、
http://www.pnas.org/content/110/15/5802 full.pdf.

27

the processing is not incompatible with the original purpose;

they have identified a lawful basis for the processing of the special category data; andthey inform the data subject about the processing.

プロファイリングからセンシティブな好みや特徴が推定されるならば、管理者は以下を確保すべきである。
取扱いがオリジナルの目的と両立する



管理者が特別な種類のデータの取扱いに関する法的根拠を特定している、また

管理者が取扱いについてデータ主体に情報を提供する

Automated decision-making as defined in Article 22(1) that is based on special categories of data iscovered in Chapter IV (section D).
特別な種類のデータに基づいた第 22 条（1）に定める自動化された意思決定は、第 IV 章
（第 D 節）で取り上げる。
D．Rights of the data subject22
D．データ主体の権利 22
The GDPR introduces stronger rights for data subjects and creates new obligations for controllers. In
the context of profiling these rights are actionable against the controller creating the profile and thecontroller making an automated decision about a data subject (with or without human intervention), if
these entities are not the same.
GDPR は、データ主体の権利を強化し、管理者について新たな義務を設けている。プロファイリングのコンテクストでは、その権利は、プロファイルを作成する管理者と、同一組織でない場合に（人的な介在の有無にかかわらず）データ主体について自動化された意思決定を行う管理者に対して行使することができる。

Example事例
A data broker undertakes profiling of personal data. In line with their Article 13 and 14 obligations
the data broker should inform the individual about the processing, including whether they intend toshare the profile with any other organisations. The data broker should also present separately detailsof the right to object under Article 21(1).
データのブローカーが個人データのプロファイリング化を行っている。その場合、第 13条及び第 14 条の義務に沿って、データ・ブローカーは、プロファイルを他の組織と共有する意図があるかどうかの情報を含め、取扱いについての情報を個人に提供すべきで22This Section is relevant for both profiling and automated decision-making. For automated decision making under
Article 22, please note that there are also additional requirements as described in Chapter IV
この節はプロファイリング及び自動化された意思決定の両方に関連している。第 22 条のもとでの自動化された意思決定については、第 IV 章で述べるように追加の要件が存在することに注意されたい。

28

ある。データ・ブローカーは、第 21 条（1）のもとでの取扱いに異議を述べる権利の詳
細もまた別途提示すべきである。
The data broker shares the profile with another company. This company uses the profile to send theindividual direct marketing.
データ・ブローカーは他の会社とプロファイルを共有する。その会社は個人にダイレク
トマーケティングを送るために、そのプロファイルを利用する。
The company should inform the individual (Article 14(1) (c)) about the purposes for using thisprofile, and from what source they obtained the information (14(2) (f)). The company must also
advise the data subject about their right to object to processing, including profiling, for direct
marketing purposes (Article 21(2)).
その場合、その会社はプロファイルを利用する目的（第 14 条（1）（c））、及び、どのソースから情報を取得したか（第 14 条（2）（f））の情報を、個人に提供すべきである。またその会社は、ダイレクトマーケティング目的のための、プロファイリングを含む、取扱いについて異議を述べる権利をデータ主体に伝えなければならない（第 21 条（2））
The data broker and the company should allow the data subject the right to access the information
used (Article 15) to correct any erroneous information (Article 16), and in certain circumstances
erase the profile or personal data used to create it (Article 17). The data subject should also be given
information about their profile, for example in which ‘segments’ or ‘categories’ they are placed. 23
データ・ブローカー及びその会社は、利用されたデータへデータ主体がアクセスし（第15 条）、誤った情報を修正し（第 16 条）、また場合によってはプロファイル又はその作成のために利用された個人データを消去できるようにすべきである（第 17 条）。さらにデータ主体は自己のプロファイルについての情報、例えば、自己がどの「セグメント」
又は「カテゴリー」に配置されているかの情報も与えられるべきである23。
If the company uses the profile as part of a solely automated decision-making process with legal orsimilarly significant effects on the data subject, the company is the controller subject to the Article
22 provisions. (This does not exclude the data broker from Article 22 if the processing meets therelevant threshold.)
もしその会社が法的な効果又は類似の大きな効果をデータ主体に与えるもっぱら自動化
された意思決定プロセスの一部としてプロファイルを利用する場合、その会社は第 22条の規定に従う管理者となる（このことは、データブローカーの取扱いが関連する条件を満たす場合にデータ・ブローカーを第 22 条の対象外としない）。

23

The Norwegian Data Protection Authority. The Great Data Race -How commercial utilisation of personal data
challenges privacy. Report, November 2015. https://www.datatilsynet.no/English/Publications/The-Great-Data-Race/
Accessed 24 April 2017ノルウェー・データ保護委員会、報告書「大容量データのレース：プライバシーに対する個人データの商業的利用の課題」、2015 年 11 月。

29

1．Articles 13 and 14 – Right to be informed
1．第 13 条及び第 14 条：情報を与えられる権利
Given the core principle of transparency underpinning the GDPR, controllers must ensure they explain
clearly and simply to individuals how the profiling or automated decision-making process works.
GDPR を支えるコアとしての透明性の原則を考慮すれば、管理者は、個人に対して、プロファイリング又は自動化された意思決定のプロセスがどのように機能しているかについての、明確かつシンプルな説明を確保しなければならない。
In particular, where the processing involves profiling-based decision making (irrespective of whether
it is caught by Article 22 provisions), then the fact that the processing is for the purposes of both (a)profiling and (b) making a decision based on the profile generated, must be made clear to the data
subject.24
特に、取扱いがプロファイリングに基づく意思決定を含む場合（それが第 22 条の規定の適用対象になるかどうかにかかわらず）、その取扱いが（a）プロファイリング、及び（b）
作成されたプロファイルに基づく意思決定の両方の目的のためであるという事実は、データ主体に対して明確にされなければならない 24。
Recital 60 states that giving information about profiling is part of the controller’s transparency
obligations under Article 5(1) (a). The data subject has a right to be informed by the controller about
and, in certain circumstances, a right to object to ‘profiling’, regardless of whether solely automatedindividual decision-making based on profiling takes place.
前文第 60 項は、プロファイリングについての情報を提供することが、第 5 条（1）（a）による管理者の透明性の義務の一部であると述べている。データ主体は、プロファイリング
に基づくもっぱら自動化された個人の意思決定が行われているかどうかにかかわらず、「プロファイリング」について管理者から説明を受ける権利を持ち、また状況によっては、プロファイリングに異議を述べる権利を持つ。
Further guidance on transparency in general is available in the WP29 Guidelines on transparency
under the GDPR25
一般的な透明性についてのガイダンスは、第 29 条作業部会の、GDPR のもとでの透明性に関するガイドラインで利用できる 25。

24
GDPR – Article 13(1)(c) and Article 14(1)(c). Article 13(2)(f) and 14(2)(g) require the controller to inform the data
subject about the existence of automated decision-making, including profiling, described in Article 22(1) and (4). Thisis explained further in Chapter IV.
GDPR 第 13 条（1）（c）及び第 14 条（1）（c）。第 13 条（2）（f）及び第 14 条（2）（g）は、管理者に対して、第 22 条（1）及び（4）に述べるプロファイリングを含む自動化された意思決定の存在についての情報をデータ主体に提供するように求めている。これは第 IV 章において、さらに説明する。
25
Article 29 Data Protection Working Party. Guidelines on transparency under Regulation 2016/679 WP260, 28
November 2017 http://ec.europa.eu/newsroom/just/document.cfm?doc_id=48850, Accessed 18 December 2017
第 29 条作業部会、「規則 2016/679 における透明性に関するガイドライン」WP260、2017 年 11 月 28 日

30

2．Article 15 – Right of access
2．第 15 条：アクセス権
Article 15 gives the data subject the right to obtain details of any personal data used for profiling,including the categories of data used to construct a profile.
第 15 条は、プロファイルを作成するために使用されるデータのカテゴリーを含め、プロファイリングに使用される個人データの詳細を得る権利を、データ主体に与えている。
In addition to general information about the processing, pursuant to Article 15(3), the controller has aduty to make available the data used as input to create the profile as well as access to information on
the profile and details of which segments the data subject has been placed into.
第 15 条（3）による取扱いについての一般的情報に加え、管理者はプロファイル作成のためのインプットとして使用されたデータを利用できるようにし、また、プロファイルについての情報及びデータ主体が位置づけられているセグメントの詳細に関する情報へアクセスできるようにするという義務を負う。
This differs from the right to data portability under Article 20 where the controller only needs tocommunicate the data provided by the data subject or observed by the controller and not the profile
itself.26
これは、プロファイルそれ自体ではなくデータ主体により提供されたデータ又は管理者によって観察されたデータを管理者が伝達するだけでよい、第 20 条に基づくデータポータ
ビリティの権利とは異なる 26。
Recital 63 provides some protection for controllers concerned about revealing trade secrets or
intellectual property, which may be particularly relevant in relation to profiling. It says that the rightof access ‘should not adversely affect the rights or freedoms of others, including trade secrets or
intellectual property and in particular the copyright protecting the software’. However, controllers
cannot rely on the protection of their trade secrets as an excuse to deny access or refuse to provide
information to the data subject.
前文第 63 項は、プロファイリングに関連して特に重要であるかもしれない企業秘密又は知的財産の曝露を懸念する管理者に対して、なんらかの保護を提供している。それは、ア
クセス権が「営業秘密又は知的財産及び特にソフトウェア保護の著作権を含め、他者の権利又は自由に不利な影響を与えてはならない」と述べている。しかし、管理者は、
アクセスを拒絶し又はデータ主体への情報提供を拒否するための理由として、この企業秘密の保護に依拠することはできない。
Recital 63 also specifies that ‘where possible, the controller should be able to provide remote accessto a secure system which would provide the data subject with direct access to his or her personal data.’

26

Page 9, WP29 Guidelines on the Right to data portability, WP242
http://ec.europa.eu/newsroom/document.cfm?doc_id=45685. Accessed 8 January 2018
第 29 条作業部会、「データポータビリティの権利に関するガイドライン」WP242、2017 年 11 月 28 日

31

前文第 63 項は「可能な場合、管理者は、データ主体に対して当該データ主体の個人データへの直接のアクセスを提供しうる安全なシステムへのリモートアクセスを提供できるようにしなければならない。
」とも記している。
3．Article 16 - Right to rectification, Article 17 Right to erasure and Article 18 Right
to restriction of processing
3．第 16 条：訂正の権利、第 17 条：消去の権利、第 18 条：取扱いの制限の権利
Profiling can involve an element of prediction, which increases the risk of inaccuracy. The input data
may be inaccurate or irrelevant, or taken out of context. There may be something wrong with thealgorithm used to identify correlations.
プロファイリングは不正確性によるリスクを増幅させる予測の要素を含みうる。インプッ
ト・データが不正確であり、若しくは関連性がなく、又はコンテクストから逸脱しているかもしれない。相関性を特定するために用いるアルゴリズムに何らかの不具合があるかもしれない。
The Article 16 right to rectification might apply where, for example, an individual is placed into a
category that says something about their ability to perform a task, and that profile is based on incorrect
information. Individuals may wish to challenge the accuracy of the data used and any grouping or
category that has been applied to them.
第 16 条の訂正の権利は、例えば、ある個人が自分の実務能力について何かを述べるカテゴリーに置かれ、そのプロファイルが不正確な情報に基づいている場合に、適用される。
個人は、利用されるデータの正確性及びそれに適用されているグループ化又はカテゴリーの正確性について、異議申立てを望むことができる。
The rights to rectification and erasure27 apply to both the ‘input personal data’ (the personal data used
to create the profile) and the ‘output data’ (the profile itself or ‘score’ assigned to the person).
「インプット個人データ」（プロファイル作成に利用された個人デ訂正と消去の権利 27 は、ータ）と「アウトプットデータ」（プロファイルそれ自体、又は個人に割り当てられた「スコア」）の両方に適用される。
Article 16 also provides a right for the data subject to complement the personal data with additional
information.
第 16 条は、データ主体がその個人データに追加の情報を補う権利も定めている。

Example事例

27

GDPR – Article 17、 GDPR- Article 18(1)(d)GDPR 第 17 条、GDPR 第 18 条(1)(d)32

A local surgery’s computer system places an individual into a group that is most likely to get heartdisease. This ‘profile’ is not necessarily inaccurate even if he or she never suffers from heart disease.
The profile merely states that he or she is more likely to get it. That may be factually correct as amatter of statistics.
ある地方の医院のコンピュータ・システムがある個人を心臓病にかかりやすいグループに分類する。この「プロファイル」は、その個人がこれまでに心臓病にかかったことがないとしても、必ずしも不正確だというわけではない。プロファイルは、その個人が「よりかかりやすい」ということを述べているにすぎないためである。統計上の問題としてみれば、それは事実として正確かもしれない。
Nevertheless, the data subject has the right, taking into account the purpose of the processing, toprovide a supplementary statement. In the above scenario, this could be based, for example, on amore advanced medical computer system (and statistical model) factoring in additional data andcarrying out more detailed examinations than the one at the local surgery with more limited
capabilities.
しかし、データ主体は、取扱いの目的を考慮して、補完的なステートメントを提供する権利を持つ。上記のシナリオでは、これは、例えば、追加データを考慮しより詳細な検査を実施する、限定的な設備しかもたない地方の医院より高度な、医療コンピュータ・システム（及び統計モデル）を根拠とすることができる。
The right to restrict processing (Article 18) will apply to any stage of the profiling process.
取扱いの制限の権利（第 18 条）は、プロファイリング・プロセスのどの段階にも適用される。

4．Article 21 – Right to object
4．第 21 条：異議を述べる権利
The controller has to bring details of the right to object under Article 21(1) and (2) explicitly to thedata subject’s attention, and present it clearly and separately from other information (Article 21(4)).
管理者は、第 21 条（1）及び（2）による異議を述べる権利の詳細を明示的にデータ主体の注意を喚起するようにし、それを明確にまた他の情報と区別して提示しなければならな
い（第 21 条（4））。
Under Article 21(1) the data subject can object to processing (including profiling), on grounds relating
to his or her particular situation. Controllers are specifically required to provide for this right in allcases where processing is based on Article 6(1) (e) or (f).
第 21 条（1）により、データ主体は、自己の特別な状況に関する理由に基づいて、取扱い（プロファイリングを含む）に異議を述べることができる。管理者は、その取扱いが第 6条（1）（e）又は（f）に基づく全てのケースにおいて、この権利を提供するように、特に求められる。

33

Once the data subject exercises this right, the controller must interrupt28(or avoid starting) the profilingprocess unless it can demonstrate compelling legitimate grounds that override the interests, rights andfreedoms of the data subject. The controller may also have to erase the relevant personal data.29
データ主体がこの権利を行使する場合、管理者は、データ主体の利益、権利又は自由よりも優先されるやむをえない正当な根拠を示すことができなければ、プロファイリングのプ
ロセスを中断 28（又は開始を回避）しなければならない。また管理者は関連する個人デー
タを消去しなければならない 29。
The GDPR does not provide any explanation of what would be considered compelling legitimate
grounds30. It may be the case that, for example, the profiling is beneficial for society at large (or thewider community) and not just the business interests of the controller, such as profiling to predict the
spread of contagious diseases.
GDPR はやむをえない正当な根拠と考えられる事案の説明を提供していない 30。これに相当するケースは、例えば、伝染病の広がりを予測するプロファイリングのような、管理者のビジネス上の利益だけでなく、社会全体（又は大きなコミュニティ）に便益となるケースかもしれない。
The controller would need to:consider the importance of the profiling to their particular objective;consider the impact of the profiling on the data subject’s interest, rights and freedoms –this should be limited to the minimum necessary to meet the objective; andcarry out a balancing exercise.

管理者は、以下を行うことが必要になる。


特定の目的に対してプロファイリングが重要であることを考慮すること

データ主体の利益、権利及び自由に対するプロファイリングの影響を考慮すること－その影響は目的の達成に必要な最小限の範囲に限定されるべきである。



バランスをとること

There must always be a balancing exercise between the competing interests of the controller and thebasis for the data subject’s objection (which may be for personal, social or professional reasons).

28

GDPR- Article 18(1)(d)GDPR 第 18 条（1）（d）
29
GDPR – Article 17(1)(c)
GDPR 第 17 条(1)(c)30
See explanation on legitimacy. Article 29 Data Protection Working Party Opinion 06/2014 on the notion oflegitimate interests of the data controller under Article 7 of Directive 95/46/EC. European Commission. 9 April 2014.
Page 24 - 26
http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2014/wp217 en.pdf.
Accessed 24
April 2017 正当性に関する説明を参照せよ。第 29 条作業部会「指令 95/46/EC 第 7 条のもとでのデータ管理者の正当な利益の概念に関する意見 06/2014」、欧州委員会、2014 年 4 月 9 日、24～26 頁

34

Unlike in the Directive 95/46/EC, the burden of proof to show compelling legitimate grounds lies withthe controller rather than the data subject.
管理者の対立利益とデータ主体の異議の根拠（それは個人的、社会的又は専門的な理由かもしれない）との間で、常に、バランスがとられなければならない。指令 95/46/EC と異なり、やむをえない正当な根拠を示す挙証責任は、データ主体よりもむしろ管理者に置かれている。
It is clear from the wording of Article 21 that the balancing test is different from that found in Article
6(1)(f). In other words, it is not sufficient for a controller to just demonstrate that their earlier legitimate
interest analysis was correct. This balancing test requires the legitimate interest to be compelling,
implying a higher threshold for overriding objections.
第 21 条の文言から、バランス評価のテストが第 6 条（1）（f）におけるテストと異なることは明らかである。言い換えれば、管理者が自身の以前の正当な利益の分析の正しさを証明するだけでは十分でない。このバランステストは、正当な利益が「やむをえない」ものであることを求め、異議を上回るほどの高い基準値であることを意味している。
Article 21(2) grants an unconditional right for the data subject to object to the processing of theirpersonal data for direct marketing purposes, including profiling to the extent that it is related to suchdirect marketing.31 This means that there is no need for any balancing of interests; the controller must
respect the individual’s wishes without questioning the reasons for the objection. Recital 70 provides
additional context to this right and says that it may be exercised at any time and free of charge.
第 21 条（2）は、プロファイリングを含めたダイレクトマーケティング目的のための個人
データ取扱いに対して、ダイレクトマーケティングと関係する範囲で異議を述べる無条件の権利をデータ主体に与えている 31。これは利益のバランスをはかる必要がないことを意味し、管理者は、異議を述べる理由を問うことなしに個人の希望を尊重しなければならない。前文第 70 項はこの権利に対して追加のコンテクストを示し、それがいつでもまた無償で行使できることを述べている。

IV. Specific provisions on solely automated decision-making as defined in Article
22
IV．第 22 条に定めるもっぱら自動化された意思決定についての特別規定
Article 22(1) says
第 22 条（1）は、以下のように定めている。

31
In line with Article 12(2) controllers who collect personal data from individuals with the aim of using it for direct
marketing purposes should, at the moment of collection, consider offering data subjects an easy way to indicate thatthey do not wish their personal data to be used for direct marketing purposes, rather than requiring them to exercise
their right to object at a later occasion.
第 12 条（2）に沿って、ダイレクトマーケティング目的の利用のために個人から個人データを収集するデータ管理者は、データ主体が事後的に権利行使を求めるよりも、収集の時点で、ダイレクトマーケティン
グ目的のためにその個人データの利用を望まないと表示する容易な方法をデータ主体に提示することを検討すべきである。

35

The data subject shall have the right not to be subject to a decision based solely on automatedprocessing, including profiling, which produces legal effects concerning him or her or similarly
significantly affects him or her.
データ主体は、自らに関して法的効果をもたらし、又は自らに同様の重大な影響をもた

らす、プロファイリングを含む、もっぱら自動化された取扱いに基づく決定に従わない権利を持つ。
The term “right” in the provision does not mean that Article 22(1) applies only when actively invokedby the data subject. Article 22(1) establishes a general prohibition for decision-making based solely
on automated processing. This prohibition applies whether or not the data subject takes an action
regarding the processing of their personal data.
同条における「権利」という文言は、第 22 条（1）がデータ主体によって積極的に求められる場合にのみ適用されることを意味しているわけではない。第 22 条（1）はもっぱら自動化された取扱いに基づいた意思決定に関する一般的な禁止を定めている。この禁止は、
データ主体がその個人データの取扱いに関して行動を取るかどうかにかかわりなく、適用される。
In summary, Article 22 provides that:（i） as a rule, there is a general prohibition on fully automated individual decision-making,including profiling that has a legal or similarly significant effect;（ii） there are exceptions to the rule;（iii） where one of these exceptions applies, there must be measures in place to safeguard the data
subject’s rights and freedoms and legitimate interests32.
要約すると、第 22 条は以下を規定している（i）

一般に、法的な又は同様の重大な効果をもたらすプロファイリングを含む完全に自動化された個人に対する意思決定は禁止される。
（ii）

このルールには例外がある。

（iii）

例外の一つが該当する場合、データ主体の権利及び自由並びに正当な利益の安全性を確保するための措置が存在しなければならない 32。
This interpretation reinforces the idea of the data subject having control over their personal data, whichis in line with the fundamental principles of the GDPR. Interpreting Article 22 as a prohibition
rather than a right to be invoked means that individuals are automatically protected from the potential
effects this type of processing may have. The wording of the Article suggests that this is the intention
and is supported by Recital 71 which says:

32

Recital 71 says that such processing should be “subject to suitable safeguards, which should include specificinformation to the data subject and the right to obtain human intervention, to express his or her point of view, to obtainan explanation of the decision reached after such assessment and to challenge the decision.”
前文第 71 項は、そうした取扱いは「適切な保護措置に服する」べきであり、その保護措置は、「データ主体に対する特別の情報提供、人間の介在を得る権利、当該データ主体の見解を表明する権利、そのような評価の後に到達した決定について説明を受ける権利、そして、その決定に対して異議を述べる権利を含む
ものでなければならない。」ことを述べている。

36

この解釈はデータ主体が自分の個人データについて支配権限を有するという考え方を補強し、それは GDPR の基本原則に沿うものである。行使されるべき権利というよりも禁止であるとの第 22 条の解釈は、このタイプの取扱いが有するかもしれない潜在的効果から個人が自動的に保護されることを意味している。同条の文言は、それが意図であることを示唆しており、以下のように述べた前文第 71 項によってサポートされている。
However, decision-making based on such processing, including profiling, should be allowed where
expressly authorised by Union or Member State law……, or necessary for the entering or
performance of a contract……., or when the data subject has given his or her explicit consent
ただし、プロファイリングを含め、このような取扱いに基づく決定は、管理者が服するEU 法又は加盟国の国内法によって明確に承認される場合・・・又は、データ主体と管理者との間で契約を締結し、若しくは、それを履行するために必要な場合・・・又は、データ主体が明示の同意を与えた場合において認められるものとしなければならない。
This implies that processing under Article 22(1) is not allowed generally.33
これは、第 22 条（1）のもとでの取扱いが一般的に許容されないことを示唆している 33。
However the Article 22(1) prohibition only applies in specific circumstances when a decision based
solely on automated processing, including profiling, has a legal effect on or similarly significantly
affects someone, as explained further in the guidelines. Even in these cases there are defined
exceptions which allow such processing to take place.
しかし、第 22 条（1）の禁止は、本ガイドラインでさらに説明されるように、プロファイ
リングを含むもっぱら自動化された取扱いに基づく意思決定が法的効果又は類似の重大な影響をもつという特定の状況においてのみ適用される。これらの場合でもこのような取扱いを行うことを許容する例外が定義されている。
The required safeguarding measures, discussed in more detail below, include the right to be informed(addressed in Articles 13 and 14 – specifically meaningful information about the logic involved, as
well as the significance and envisaged consequences for the data subject), and safeguards, such as theright to obtain human intervention and the right to challenge the decision (addressed in Article 22(3)).
求められる保護措置には、以下で詳細に取り上げるが、情報提供を受ける権利（第 13 条
及び第 14 条において取り上げられている。特に、関係するロジック及びデータ主体にとっての重要性と想定される帰結に関する意味のある情報）、また人間の関与を得る権利及びその決定を争う権利（第 22 条（3））といった保護措置が含まれる。
Any processing likely to result in a high risk to data subjects requires the controller to carry out a Data
Protection Impact Assessment (DPIA). 34 As well as addressing any other risks connected with the33

Further comments on the interpretation of Article 22 as a prohibition can be found in Annex 2.
禁止としての第 22 条についての解釈に関するコメントについては、付録 2 を参照されたい。
34
Article 29 Data Protection Working Party. Guidelines on Data Protection Impact Assessment (DPIA) anddetermining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679. 4 April
2017. European Commission. http://ec.europa.eu/newsroom/document.cfm?doc_id=44137 Accessed 24 April 2017.

37

processing, a DPIA can be particularly useful for controllers who are unsure whether their proposed
activities will fall within the Article 22(1) definition, and, if allowed by an identified exception, what
safeguarding measures must be applied.
データ主体に大きなリスクをもたらす可能性のある取扱いは、管理者による「データ保護
影響評価」（Data Protection Impact Assessment：DPIA）34 の実施が必要となる。DPIA は、取扱に関するその他のリスクに対処するだけでなく、管理者の提案する行動が第 22 条（1）の規定に該当するかどうか、また、もし特定された例外によって許容されるのであれば、どのような保護措置を採用しなければならないかについて不確かな管理者にとって、特に役立つかもしれない。
A．‘Decision based solely on automated processing’A．「もっぱら自動化された取扱いに基づく決定」
Article 22(1) refers to decisions ‘based solely’ on automated processing. This means that there is no
human involvement in the decision process.
第 22 条（1）は、「もっぱら」自動化された取扱い「に基づく」決定を規定している。これは決定プロセスにおいて人的な介在がないことを意味している。

Example事例
An automated process produces what is in effect a recommendation concerning a data subject. If ahuman being reviews and takes account of other factors in making the final decision, that decision
would not be ‘based solely’ on automated processing.
自動化された取扱いは、データ主体に関して実質的に提案となるものを作成する。最終決定を行う際、ある人間が評価を行い、かつ、他の要因を考慮するならば、その決定は「もっぱら」自動化された取扱い「基づく」ことにはならない。
The controller cannot avoid the Article 22 provisions by fabricating human involvement. For example,
if someone routinely applies automatically generated profiles to individuals without any actual
influence on the result, this would still be a decision based solely on automated processing.
管理者は、人間の関与があると装ったとしても、第 22 条の規定を回避できるわけではない。例えば、ある者が自動的に作成されたプロファイルを、結果に対して実際上の影響をもたらさずに、個人に対して日常的に適用しているならば、それはすでにもっぱら自動化
された取扱いに基づく意思決定となる。
To qualify as human involvement, the controller must ensure that any oversight of the decision ismeaningful, rather than just a token gesture. It should be carried out by someone who has the authority
and competence to change the decision. As part of the analysis, they should consider all the relevantdata.

第 29 条作業部会「データ保護影響評価（DPIA）及び取扱いが規則 2016/679 の適用上『高いリスクをもたらすことが予想される』か否かの判断に関するガイドライン」、2017 年 4 月 4 日、欧州委員会38人間の関与があると資格づけるには、管理者は、決定の監督が形式的なものではなく、意味のあるものであることを確保しなければならない。それは決定を変更する権限と能力をもった者によって実施されるべきである。その分析の一部として、管理者は関連するデー
タの全てを考慮すべきである。
As part of their DPIA, the controller should identify and record the degree of any human involvementin the decision-making process and at what stage this takes place.
管理者は、DPIA の一部として、意思決定プロセスにおける人間の関与の程度とそれがどの段階で行われるかを確認し記録すべきである。
B．‘Legal’ or ‘similarly significant’ effects
B．「法的な」又は「同様の重大な」効果
The GDPR recognises that automated decision-making, including profiling can have serious
consequences for individuals. The GDPR does not define ‘legal’ or ‘similarly significant’ however thewording makes it clear that only serious impactful effects will be covered by Article 22.
GDPR は、プロファイリングを含む自動化された意思決定が個人に対して深刻な結果をもたらすかもしれないことを認識している。GDPR は「法的な」又は「同様の重大な」との文言を定義していないが、当該文言は深刻な影響を与える効果だけが第 22 条の対象となることを明らかにしている。

‘Decision producing legal effects’「法的効果をもたらす決定」

A legal effect requires that the decision, which is based on solely automated processing, affects
someone’s legal rights, such as the freedom to associate with others, vote in an election, or take legal
action. A legal effect may also be something that affects a person’s legal status or their rights under acontract. Examples of this type of effect include automated decisions about an individual that resultin:

cancellation of a contract;

entitlement to or denial of a particular social benefit granted by law, such as child or
housing benefit;refused admission to a country or denial of citizenship.

‘Similarly significantly affects him or her’

法的効果は、もっぱら自動化された取扱いに基づく決定が、他者と行動する自由、選挙において投票する自由、又は法的措置をとる自由のような、ある者の法的権利に影響を与えることを必要とする。法的効果は、契約におけるある者の法的地位又は権利に影響を与え39

るものでもあるかもしれない。このタイプの効果の事例には、以下の結果をもたらす自動化された意思決定も含まれる。


契約のキャンセル

法律によって与えられる子ども手当又は住宅手当のような特定の社会給付資格の認定又は却下

入国の拒否又は市民権の否定



「同様の重大な影響」

Even if a decision-making process does not have an effect on people’s legal rights it could still fallwithin the scope of Article 22 if it produces an effect that is equivalent or similarly significant in its
impact.
意思決定のプロセスが人々の法的権利に与える効果を持たないとしても、それが影響という点で同等の効果又は同様の重大な効果をもつならば、それはなお第 22 条の対象となりうる。
In other words, even where there is no change in their legal rights or obligations, the data subject could
still be impacted sufficiently to require the protections under this provision. The GDPR introduces theword ‘similarly’ (not present in Article 15 of Directive 95/46/EC) to the phrase ‘significantly affects’.
Therefore the threshold for significance must be similar to that of a decision producing a legal effect.
Recital 71 provides the following typical examples: ‘automatic refusal of an online credit application’or ‘e-recruiting practices without any human intervention’.
言い換えれば、法的な権利又は義務に変化がない場合でさえ、データ主体は、なおこの規定の下に保護を必要とするほど十分に影響を受けうる。GDPR は、「重大な影響を及ぼす」という文言に（指令 95/46/EC 第 15 条にはなかった）「同様の」という用語を加えた。そのため、重大さの基準は法的効果をもたらす決定の基準と同様でなければならない。前文第71 項は次のような典型的な事例を提供している。「オンラインでの与信申込みに対する自動的な拒否」又は「人的介在なしの電子リクルート活動」。
For data processing to significantly affect someone the effects of the processing must be sufficiently
great or important to be worthy of attention. In other words, the decision must have the potential to:significantly affect the circumstances, behaviour or choices of the individuals concerned;have a prolonged or permanent impact on the data subject; or

at its most extreme, lead to the exclusion or discrimination of individuals.

誰かに重大な影響を与えるデータの取扱いの場合、その取扱いの効果は注意に値するほど十分に大きく又は重要でなければならない。言い換えれば、その決定が以下の可能性を持たなければならない。


関係する個人の環境、行動又は選択に重大な影響を与える



データ主体に対し長期の又は恒常的な影響を及ぼす
40

極端な場合には、個人の排除又は差別に繋がる。

It is difficult to be precise about what would be considered sufficiently significant to meet the threshold,although the following decisions could fall into this category:decisions that affect someone’s financial circumstances, such as their eligibility to credit;decisions that affect someone’s access to health services;

decisions that deny someone an employment opportunity or put them at a serious
disadvantage;decisions that affect someone’s access to education, for example university admissions.

以下の決定は上記のカテゴリーに該当しうるものの、何が基準を満たすために十分に重大であると考えるかを正確に決めるのは難しい。


融資を受ける資格のような、ある者の経済的状況に影響を与える決定

ある者がヘルスサービスへアクセスすることに影響を与える決定

ある者の就業機会を拒否するか、又はそれについて深刻な不利を生じさせる決定

たとえば大学の入学許可のような、ある者が教育へアクセスすることに影響を与える決定This bring us also to the issue of online advertising, which increasingly relies on automated tools andinvolves solely automated individual decision-making. As well as complying with the generalprovisions of the GDPR, covered in Chapter III, the provisions of the proposed ePrivacy Regulation
may also be relevant. Furthermore, children require enhanced protection, as will be discussed below
in Chapter V.
オンラインの広告は、それが徐々に、自動化されたツールに依拠し、もっぱら自動化された個人に対する意思決定を含むようになってくると、問題となる。第 III 章における GDPRの一般規定の遵守だけでなく、提案中の e プライバシー規則の条文も関連しうる。さらに子どもについては、第 V 章で議論するように、高度の保護が必要である。
In many typical cases the decision to present targeted advertising based on profiling will not have asimilarly significant effect on individuals, for example an advertisement for a mainstream online
fashion outlet based on a simple demographic profile: ‘women in the Brussels region aged between
25 and 35 who are likely to be interested in fashion and certain clothing items’.
多くの典型的なケースでは、プロファイリングに基づくターゲティング広告の決定は、個人に同様の重大な効果を及ぼさない。例えば、「ファッションと特定の洋服に関心を持つかもしれない 25 歳から 35 歳までのブリュッセルの地域の女性」というようなシンプルな
人口学的プロファイルに基づいた流行のオンライン･ファッション店の広告である。
However it is possible that it may do, depending upon the particular characteristics of the case,including:41

the intrusiveness of the profiling process, including the tracking of individuals acrossdifferent websites, devices and services;

the expectations and wishes of the individuals concerned;the way the advert is delivered; orusing knowledge of the vulnerabilities of the data subjects targeted.

しかし、プロファイリングに基づくターゲティング広告の決定は、以下を含め、ケースの特別な性格によっては、重大な効果をもつかもしれない。
異なるウェブサイト、デバイス及びサービスにまたがって個人を追跡することを含む、プロファイリング過程の押しつけがましさ

関係する個人の期待及び意思

広告提示の方法、又はターゲットとなるデータ主体の脆弱性についての知識を利用

Processing that might have little impact on individuals generally may in fact have a significant effectfor certain groups of society, such as minority groups or vulnerable adults. For example, someone
known or likely to be in financial difficulties who is regularly targeted with adverts for high interest
loans may sign up for these offers and potentially incur further debt.
一般に個人にほとんど影響しない取扱いでも、実際には、少数者グループや脆弱な成人のような特定の社会グループに重大な効果を及ぼすかもしれない。例えば、金銭的困窮に陥っていることが知られている、又はそうなりやすい者をターゲットとして定期的に高利のローンの広告を提示されるならば、その者はそれに手を出し、さらに借金を重ねるかもしれない。
Automated decision-making that results in differential pricing based on personal data or personal
characteristics could also have a significant effect if, for example, prohibitively high prices effectively
bar someone from certain goods or services.
個人データ又は個人的な性格に基づく差別的料金に繋がる自動化された意思決定は、例えば、もし法外な料金によって誰かの商品やサービスの購入を実質的に妨げるならば、これは重大な効果を持つことになりうる。
Similarly significant effects could also be triggered by the actions of individuals other than the one towhich the automated decision relates. An illustration of this is given below.
類似の重大な効果は、自動化された決定に関係する個人ではない他の個人の行為からも生じうる。その事例は以下のとおりである。

42

Example
事例
Hypothetically, a credit card company might reduce a customer’s card limit, based not on that
customer’s own repayment history, but on non-traditional credit criteria, such as an analysis of othercustomers living in the same area who shop at the same stores.
仮に、クレジットカード会社が、顧客自身の支払履歴ではなく、同じ店でショッピング
をする同じ地域の他の顧客の分析のような非伝統的なクレジット基準に基づいて、その顧客の利用限度を引き下げる。
This could mean that someone is deprived of opportunities based on the actions of others
これは他の者の行動に基づいてある者のショッピング機会が奪われるかもしれないことを意味しうる。
In a different context using these types of characteristics might have the advantage of extending
credit to those without a conventional credit history, who would otherwise have been denied.
別なコンテクストでは、この種の特性をもった利用は、他の場合には拒否されるはずの伝統的なクレジット履歴のない者に利用限度額の引き上げという恩恵を与えるかもしれない。
C.

Exceptions from the prohibition

C．禁止に対する例外
Article 22(1) sets out a general prohibition on solely automated individual decision-making with legal
or similarly significant effects, as described above.
第 22 条（1）は、上述したように、法的効果又は類似の効果を持つもっぱら自動化された個人の意思決定の一般的な禁止を定めている。
This means that the controller should not undertake the processing described in Article 22(1) unless
one of the following Article 22(2) exceptions applies - where the decision is:
これは、第 22 条（2）による次の例外の一つが適用されなければ、管理者が取扱いを行ってはならないことを意味している。
(a) necessary for the performance of or entering into a contract;（a）契約の履行又は契約の締結に必要である(b) authorised by Union or Member State law to which the controller is subject and which also lays
down suitable measures to safeguard the data subject’s rights and freedoms and legitimate interests;or（b）EU 法又は加盟国の国内法によって認められる。管理者はそれに従い、またそれがデータ主体の権利と自由及び正当な利益を保護するための適切な措置を定めている、
又は43

(c) based on the data subject’s explicit consent.
（c）データ主体の明示的な同意に基づく
Where the decision-making involves special categories of data defined in Article 9(1) the controller
must also ensure that they can meet the requirements of Article 22(4).
意思決定が第 9 条（1）に定める特別な種類のデータに関わる場合、管理者は第 22 条
（4）の要件を満たすことができることも確保しなければならない。

1．Performance of a contract
1．契約の履行Controllers may wish to use solely automated decision-making processes for contractual purposes
because they believe it is the most appropriate way to achieve the objective. Routine human
involvement can sometimes be impractical or impossible due to the sheer quantity of data being
processed.
管理者は、目標実現のための最も適切な方法だと考えて、契約目的のためもっぱら自動化
された意思決定プロセスの利用を希望するかもしれない。ルーチン化した人的介在は、取り扱われるデータの膨大な量のために、非実用的か不可能である。
The controller must be able to show that this type of processing is necessary, taking into account
whether a less privacy-intrusive method could be adopted. 35If other effective and less intrusive means
to achieve the same goal exist, then it would not be ‘necessary’.
管理者は、プライバシー侵害の少ない方法が適用できるかどうかを考慮して、この種の取扱いが必要であることを示すことができなければならない 35。もし同じ目標実現のために他の有効で侵害の少ない方法が存在するならば、それは「必要である」とはならない。
Automated decision-making described in Article 22(1) may also be necessary for pre-contractual
processing.
第 22 条（1）に記す自動化された意思決定は、契約前の取扱いにも必要かもしれない。

Example事例
A business advertises an open position. As working for the business in question is popular, thebusiness receives tens of thousands of applications. Due to the exceptionally high volume of
applications, the business may find that it is not practically possible to identify fitting candidates
without first using fully automated means to sift out irrelevant applications. In this case, automated35

Buttarelli, Giovanni. Assessing the necessity of measures that limit the fundamental right to the protection of
personal data. A Toolkit European Data Protection Supervisor, 11 April 2017,https://edps.europa.eu/sites/edp/files/publication/17-04-11_necessity_toolkit_en_0.pdf Accessed 24 April 2017
ブッタレリ, ジョバンニ「個人データ保護のために基本的な権利を制限する必要性の評価」、欧州データ保護監察機関ツールキット、2017 年 4 月 11 日

44

decision-making may be necessary in order to make a short list of possible candidates, with theintention of entering into a contract with a data subject.
ある企業がオープン・ポジションで人材の採用を行うと宣伝している。その企業で働くことに人気があり、その企業は数万の応募を受けた。並はずれて多くの応募があったことから、その企業は、最初に完全に自動化された手段を用いて応募者の篩い分けをしな
ければ、適切な応募者を確認するのが実際上不可能であると考えるかもしれない。その場合、データ主体と契約を結ぶ意図から、応募者を絞り込むために自動化された意思決定が必要かもしれない。
Chapter III (Section B) provides more information on contracts as a lawful basis for processing.
第 III 章（第 B 節）は、取扱いの法的根拠としての契約に関する情報を提供する。

2. Authorised by Union or Member State law
2．EU 法又は加盟国の国内法により認められる
Automated decision-making including profiling could potentially take place under 22(2)(b) if Union
or Member State law authorised its use. The relevant law must also lay down suitable measures tosafeguard the data subject’s rights and freedoms and legitimate interests.
プロファイリングを含む自動化された意思決定は、EU 法又は加盟国の国内法が利用を認める場合、第 22 条（2）（b）のもとに潜在的に実施することができる。関係する法律は、
データ主体の権利と自由、そして正当な利益を守るための適切な措置を定めていなければならない。
Recital 71 says that this could include the use of automated decision-making defined in Article 22(1)for monitoring and preventing fraud and tax-evasion, or to ensure the security and reliability of aservice provided by the controller.
前文第 71 項は、これにはモニタリング、詐欺の防止と租税回避の防止のため、又は管理者によって提供されるサービスのセキュリティと信頼性を確保するため、第 22 条（1）に定める自動化された意思決定の利用を含めることができると述べている。
3．Explicit consent
3．明示的な同意
Article 22 requires explicit consent. Processing that falls within the definition of Article 22(1) posessignificant data protection risks and a high level of individual control over personal data is therefore
deemed appropriate.
第 22 条は、「明示的な」同意を求めている。第 22 条（1）の定義に該当する取扱いはデー
タ保護の大きなリスクをもち、そのため、個人データに対し高い水準の個人の制御が適切であるとみなされる。

45

‘Explicit consent’ is not defined in the GDPR. The WP29 guidelines on consent36provide guidance on
how this should be interpreted.
「明示的な同意」は GDPR において定義されていない。第 29 条作業部会の同意に関する
ガイドライン 36 は、それがどのように解釈されるべきかのガイダンスを提供している。
Chapter III (Section B) provides more information on consent generally.
第 III 章（第 B 節）は、一般的に、同意に関する情報を提供している。
D．Special categories of personal data – Article 22(4)D．特別な種類の個人データ：第 22 条（4）Automated decision-making (described in Article 22(1)) that involves special categories of personal
data is only allowed under the following cumulative conditions (Article 22(4)):


there is an applicable Article 22(2) exemption; andpoint (a) or (g) of Article 9(2) applies.

特別な種類の個人データに関わる（第 22 条（1）に述べる）自動化された意思決定は、以下の累積的条件のもとでのみ許容される。
第 22 条（2）による適用除外が適用される、かつ

第 9 条（2）の（a）又は（g）が適用される

9(2) (a) - the explicit consent of the data subject; or
第 9 条（2）（a）：データ主体の明示的な同意、又は9(2) (g) - processing necessary for reasons of substantial public interest, on the basis of Union orMember State law which shall be proportionate to the aim pursued, respect the essence of the rightto data protection and provide for suitable and specific measures to safeguard the fundamental rights
and interests of the data subject.
第 9 条（2）（g）：追求される目的と比例的であり、データ保護の権利の本質を尊重し、データ主体の基本的権利及び利益を保護するための適切かつ特定の対策を規定した EUの法律又は加盟国の法律に基づく、実質的な公共の利益の理由から必要とされる取扱い
In both of the above cases, the controller must put in place suitable measures to safeguard the data
subject’s rights and freedoms and legitimate interests.
上記の両条文において、管理者は、データ主体の権利と自由及び正当な利益を保護するために適切な措置を実施しなければならない。

36
Article 29 Data Protection Working Party. Guidelines on Consent under Regulation 2016/679 WP259. 28 November
2017, http://ec.europa.eu/newsroom/just/document.cfm?doc_id=48849. Accessed 18 December 2017
第 29 条作業部会「規則 2016/679 における同意に関するガイドライン」WP259、2017 年 11 月 28 日

46

E．Rights of the data subject37
E．データ主体の権利 37

1．Articles 13(2) (f) and 14(2) (g) - Right to be informed
1．第 13 条（2）（f）及び第 14 条（2）（g）：情報を与えられる権利
Given the potential risks and interference that profiling caught by Article 22 poses to the rights of data
subjects, data controllers should be particularly mindful of their transparency obligations.
第 22 条に関わるプロファイリングがデータ主体の権利に対し潜在的なリスクを及ぼし、妨害になるとすれば、データ管理者は透明性の義務に特に留意すべきである。
Articles 13(2) (f) and 14(2) (g) require controllers to provide specific, easily accessible information
about automated decision-making, based solely on automated processing, including profiling, that
produces legal or similarly significant effects.38
第 13 条（2）（f）及び第 14 条（2）（g）は、管理者に対して、法的効果又は類似の重大な効果をもたらすプロファイリングを含むもっぱら自動化された取扱いに基づく自動化された意思決定について、特定の容易にアクセスできる情報を提供するように求めている 38。
If the controller is making automated decisions as described in Article 22(1), they must:tell the data subject that they are engaging in this type of activity;

provide meaningful information about the logic involved; and

explain the significance and envisaged consequences of the processing.

管理者が第 22 条（1）に規定されている自動化された意思決定を行っているならば、管理者は以下を実施しなければならない。


管理者がこの種の行為に従事していることをデータ主体に知らせる



関係するロジックについて意味のある情報を提供する、かつ取扱いの重要性と想定される帰結を説明する

Providing this information will also help controllers ensure they are meeting some of the required
safeguards referred to in Article 22(3) and Recital 71.
この情報の提供は、第 22 条（3）及び前文第 71 項に述べるいくつかの求められる保護措置を管理者が満たしていることを確保するのにも役立つ。

37

GDPR Article 12 provides for the modalities applicable for the exercise of the data subject’s rights
GDPR 第 12 条は、データ主体の権利行使に適用される形式を定めている。
38
Referred to in Article 22(1) and (4). The WP Guidelines on transparency cover the general information requirements
set out in Articles 13 and 14.
第 22 条（1）及び（4）に規定される。第 29 条作業部会の透明性に関するガイドラインには、第 13 条及び第 14 条に定める一般的な情報要件が含まれている。

47

If the automated decision-making and profiling does not meet the Article 22(1) definition it isnevertheless good practice to provide the above information. In any event the controller must provide
sufficient information to the data subject to make the processing fair, 39 and meet all the otherinformation requirements of Articles 13 and 14.
自動化された意思決定とプロファイリングが第 22 条（1）の定義を満たさないとしても、
上記情報を提供することはグッドプラクティスである。いずれにせよ、管理者は、取扱いを公正に行うには 39 データ主体に十分な情報を提供し、第 13 条及び第 14 条による他の全ての情報要件を満たさなければならない。
Meaningful information about the ‘logic involved’「関係するロジック」についての意味のある情報

The growth and complexity of machine-learning can make it challenging to understand how an
automated decision-making process or profiling works.
機械学習の発展と複雑性は、自動化された意思決定プロセス又はプロファイリングがどのように機能するかについての理解に問題をもたらすかもしれない。
The controller should find simple ways to tell the data subject about the rationale behind, or the criteria
relied on in reaching the decision. The GDPR requires the controller to provide meaningful
information about the logic involved, not necessarily a complex explanation of the algorithms used ordisclosure of the full algorithm. 40 The information provided should, however, be sufficiently
comprehensive for the data subject to understand the reasons for the decision.
管理者は、データ主体に対して、背景にある論拠、又は決定に至る際に依拠する基準について説明するシンプルな方法を見いだすべきである。GDPR は、必ずしも使用されるアルゴリズムの複雑な説明又はアルゴリズムの全ての開示ではなく 40、関係するロジックについての意味のある情報を、管理者が提供するように求めている。しかし提供される情報
は、データ主体が決定の理由を理解するのに十分なだけ包括的とすべきである。

39

GDPR Recital 60 “The controller should provide the data subject with any further information necessary to ensure
fair and transparent processing taking into account the specific circumstances and context in which the personal data
are processed. Furthermore the data subject should be informed of the existence of profiling and the consequences ofsuch profiling.”
GDPR 前文第 60 項、「管理者は、データ主体に対し、その個人データが取扱われる具体的な状況及びその取扱い過程を考慮に入れた上で、公正かつ透明性のある取扱いを確保するために必要な情報を別に提供しなければならない。さらに、データ主体は、プロファイリングの存在及びそのようなプロファイリングから生ずる結果についても情報の提供を受けるものとしなければならない」。
40
Complexity is no excuse for failing to provide information to the data subject. Recital 58 states that the principle oftransparency is “of particular relevance in situations where the proliferation of actors and the technological complexityof practice makes it difficult for the data subject to know and understand whether, by whom and for what purpose
personal data relating to him are being collected, such as in the case of online advertising”.
複雑であることは、データ主体にうまく情報提供できないことの口実とはならない。前文第 58 項は、透明性の原則が「オンライン宣伝広告の場合のように、関与者の増加及び実務上の技術的な複雑さによって、自己の個人データが収集されるのかどうか、誰によって、何の目的のために収集されるのかをデータ主体が認識し、理解することを困難にされてしまっているような状況下においては、特に関連性をもつものである。」と述べている。

48

Example
事例
A controller uses credit scoring to assess and reject an individual’s loan application. The score may
have been provided by a credit reference agency, or calculated directly based on information held by
the controller.
管理者はクレジット・スコアを利用して個々の貸付申請を評価しまた却下する。そのスコ
アは信用照会会社により提供され、又は管理者の保有する情報に直接基づいて算定されたものかもしれない。
Regardless of the source (and information on the source must be provided to the data subject under
Article 14 (2) (f) where the personal data have not been obtained from the data subject), if thecontroller is reliant upon this score it must be able to explain it and the rationale, to the data subject.
情報ソース（またその個人データがデータ主体から取得されていない場合には、その情報ソースに基づく情報は第 14 条（2）（f）のもとにデータ主体に提供されなければならない）にかかわらず、管理者がそのスコアに依拠するならば、その管理者はそのことと理由をデータ主体に対して説明できるようにしなければならない。
The controller explains that this process helps them make fair and responsible lending decisions. It
provides details of the main characteristics considered in reaching the decision, the source of thisinformation and the relevance. This may include, for example:

the information provided by the data subject on the application form;

information about previous account conduct, including any payment arrears; and

official public records information such as fraud record information and insolvency
records.

管理者は、このプロセスが意思決定に関わるそれらの公正さと責任を果たすことに役立つことを説明する。同者は決定に至る際に考慮した主要な特性についての詳細、その情報ソースと関連性を提供する。それには、例えば、以下を含めることができる。


申請フォームにおいてデータ主体により提出された情報



延滞を含むそれまでの口座履歴についての情報

不正記録情報や破産記録のような公式の公表記録情報

The controller also includes information to advise the data subject that the credit scoring methods
used are regularly tested to ensure they remain fair, effective and unbiased.
管理者は、使用されたクレジット・スコアリングの方法が公正で効果的でバイアスがかかっていないことを確保するために定期的に検査されていることを、データ主体に伝える情報も含める。

49

The controller provides contact details for the data subject to request that any declined decision isreconsidered, in line with the provisions of Article 22(3).
管理者は、第 22 条（3）の規定に沿って、データ主体が、拒否の意思決定を再考することを要求するための連絡上の詳細も提供する。

‘Significance’ and ‘envisaged consequences’「重大性」と「想定される帰結」

This term suggests that information must be provided about intended or future processing, and how
the automated decision-making might affect the data subject.41 In order to make this information
meaningful and understandable, real, tangible examples of the type of possible effects should be given.
この文言は、意図された取扱い又は追加の取扱いについて、また自動化された意思決定がデータ主体にどのように影響するかについて情報が提供されなければならないことを示唆している 41。この情報が意味のある理解容易で現実的なものとするために、潜在的な効果のタイプについての具体的な例が示されるべきである。
In a digital context, controllers might be able to use additional tools to help illustrate such effects.
デジタルのコンテクストでは、管理者はそうした効果を示すために追加的なツールを用いることができる。

Example事例
An insurance company uses an automated decision making process to set motor insurance premiums
based on monitoring customers’ driving behaviour. To illustrate the significance and envisaged41

Council of Europe. Draft Explanatory Report on the modernised version of CoE Convention 108, paragraph 75:“Data subjects should be entitled to know the reasoning underlying the processing of their data, including theconsequences of such a reasoning, which led to any resulting conclusions, in particular in cases involving the use ofalgorithms for automated-decision making including profiling. For instance in the case of credit scoring, they should
be entitled to know the logic underpinning the processing of their data and resulting in a ‘yes’ or ‘no’ decision, andnot simply information on the decision itself. Without an understanding of these elements there could be no effective
exercise of other essential safeguards such as the right to object and the right to complain to a competent authority.”
https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=09000016806b6ec2
Accessed 24 April 2017
欧州評議会「CoE（個人データの自動的な取扱いに関する個人の保護のための条約）の現代化バージョンに関する説明報告書案 108」パラグラフ 75 「データ主体は、自分のデータの取り扱いのもとになる推定（reasoning）を知る権利を持つべきであり、特に、プロファイリングを含む自動化された意思決定にアル
ゴリズムの利用が関わる場合には、最終結論に至るその推定の経過を含む。例えば、クレジット・スコアの場合には、データ主体は、決定そのものに関するシンプルな情報ではなく、データ取扱いと「イエス」
又は「ノー」の結論の基礎になるロジックを知る権利を有すべきである。これらの要素の理解がなければ、異議を述べる権利や所轄機関への不服申し立ての権利（right to object and the right to complain to acompetent authority）のような他の不可欠な保護措置の有効な行使ができないことになる。
」

50

consequences of the processing it explains that dangerous driving may result in higher insurance
payments and provides an app comparing fictional drivers, including one with dangerous driving
habits such as fast acceleration and last-minute braking.
保険会社は「顧客」の運転行動をモニタリングすることに基づいて自動車保険の保険料を設定する取扱いのために、自動化された決定を用いる。その取扱いの重大性と想定される帰結を示すために、その会社は危険な運転が高い保険料になることを説明し、急加
速や急ブレーキのような危険な運転習慣を含む架空のドライバーになぞられたアプリケーションを提供する。
It uses graphics to give tips on how to improve these habits and consequently how to lower
insurance premiums.
同社はグラフを用いて、そうした運転習慣をどのように改善するか、そしてその結果どのように保険料が安くなるかについての秘訣を示す。
Controllers can use similar visual techniques to explain how a past decision has been made.
管理者は、類似のビジュアル技術を用いて、過去の決定がどのように行われたかを説明することができる。

2. Article 15(1) (h) - Right of access
2．第 15 条（1）（h）：アクセス権
Article 15(1) (h) entitles data subjects to have the same information about solely automated decisionmaking, including profiling, as required under Articles 13(2) (f) and 14(2) (g), namely:the existence of automated decision making, including profiling;

meaningful information about the logic involved; andthe significance and envisaged consequences of such processing for the data subject.

第 15 条（1）（h）は、データ主体がプロファイリングを含むもっぱら自動化された意思決定について、第 13 条（2）（f）及び第 14 条（2）（g）のもとで求められたものと同じ情報を持つ権利を定めている。すなわち、


プロファイリングを含む自動化された意思決定の存在

関係するロジックについての意味のある情報、及び

データ主体にとって、その取扱いの重大性と想定される帰結

The controller should have already given the data subject this information in line with their Article 13
obligations.42
管理者は、第 13 条の義務に沿ってこの情報をデータ主体に既に与えているべきである 42。

42

GDPR Article 12(3) clarifies the timescales for providing this information
GDPR 第 12 条（3）は、この情報を提供するための期限を明確化している。

51

Article 15(1)(h) says that the controller should provide the data subject with information about theenvisaged consequences of the processing, rather than an explanation of a particular decision. Recital
63 clarifies this by stating that every data subject should have the right of access to obtain‘communication’ about automatic data processing, including the logic involved, and at least whenbased on profiling, the consequences of such processing,
第 15 条（1）（h）は、管理者が「特定の」決定の説明よりもむしろ取扱いの「想定される帰結」についての情報をデータ主体に提供すべきであることを述べている。前文第 63 項
は、どのデータ主体も関係するロジックを含め自動化されたデータの取扱いについて、そして「少なくとも」プロファイリングに基づいているときには、そうした取扱いの帰結について、「連絡」を得るためのアクセス権を持つべきであると述べて、それを明確にしている。
By exercising their Article 15 rights, the data subject can become aware of a decision made concerning
him or her, including one based on profiling.
第 15 条の権利を行使することによって、データ主体は、プロファイリングに基づく決定
を含む自分に関して行われた決定を把握することができる。
The controller should provide the data subject with general information (notably, on factors taken into
account for the decision-making process, and on their respective ‘weight’ on an aggregate level) whichis also useful for him or her to challenge the decision.
管理者は、決定に対する異議を申し立てるのにも役立つ一般的な情報（特に、意思決定プ
ロセスのために考慮される要因、集計レベルでの各「ウェイト」）をデータ主体に提供すべきである。

F．Establishing appropriate safeguards
F．適切な保護措置の確立
If the basis for processing is 22(2)(a) or 22(2)(c), Article 22(3) requires controllers to implement
suitable measures to safeguard data subjects’ rights freedoms and legitimate interests. Under Article
22(2)(b) the Member or Union State law that authorises the processing must also incorporate
appropriate safeguarding measures.
取扱いの基礎が第 22 条（2）（a）又は第 22 条（2）（c）である場合、第 22 条（3）は管理者に対して、データ主体の権利及び自由と正当な利益を守るための適切な措置を実施するように求めている。第 22 条（2）（b）では、取扱いを認める EU 法又は加盟国の国内法が適切な保護措置を含めるように求めている。
Such measures should include as a minimum a way for the data subject to obtain human intervention,
express their point of view, and contest the decision.
そうした保護措置には、データ主体が人的介在を獲得し、その意見を表明し、決定に異議を唱える方法が少なくとも含まれるべきである。

52

Human intervention is a key element. Any review must be carried out by someone who has theappropriate authority and capability to change the decision. The reviewer should undertake a thoroughassessment of all the relevant data, including any additional information provided by the data subject.
人的介在は重要な要素である。どんな審査も決定を変更する適切な権限と能力をもった者によって行われなければならない。その審査者は、データ主体が提供する追加情報を含む
全ての関連するデータの評価を通じて行われるべきである。
Recital 71 highlights that in any case suitable safeguards should also include:
前文第 71 項は、「どんな場合でも」、適切な保護措置が含まれるべきであることを強調している。
.. specific information to the data subject and the right ………… to obtain an explanation of thedecision reached after such assessment and to challenge the decision.
・・・データ主体に対する特別の情報提供・・・そのような評価の後に到達した決定について説明を受ける権利、そして、その決定に対して異議を述べる権利
The controller must provide a simple way for the data subject to exercise these rights.
管理者は、データ主体がそれら権利を行使するためのシンプルな方法を提供しなければならない。
This emphasises the need for transparency about the processing. The data subject will only be able tochallenge a decision or express their view if they fully understand how it has been made and on what
basis. Transparency requirements are discussed in Chapter IV (section E).
これは、取扱いについて透明性が必要であることを強調している。データ主体は、決定がどのように行われまた何に基づいているかを十分に理解できる場合にのみ、決定に異議を唱え又はその意見を表明できる。透明性の要件は第 IV 章（第 E 節）で取り上げられている。
Errors or bias in collected or shared data or an error or bias in the automated decision-making process
can result in:incorrect classifications; and

assessments based on imprecise projections; that

impact negatively on individuals.

収集又は共有されるデータの誤謬又はバイアス、又は自動化された意思決定プロセスでの誤謬又はバイアスは、結果として、以下をもたらすかもしれない。


不正確な分類、そして

不正確な想定に基づく評価、

個人に対するネガティブな影響

53

Controllers should carry out frequent assessments on the data sets they process to check for any bias,
and develop ways to address any prejudicial elements, including any over-reliance on correlations.
Systems that audit algorithms and regular reviews of the accuracy and relevance of automateddecision-making including profiling are other useful measures.
管理者は、バイアスをチェックするために取扱うデータセットをしばしば評価し、相関性に対する過剰な依存を含め、不利益な要素に対処する方法を開発すべきである。アルゴリ
ズムを点検しプロファイリングを含む自動化された意思決定の正確性と関連性を定期的に審査するシステムも有用な措置となる。
Controllers should introduce appropriate procedures and measures to prevent errors, inaccuracies43or
discrimination on the basis of special category data. These measures should be used on a cyclical basis;
not only at the design stage, but also continuously, as the profiling is applied to individuals. The
outcome of such testing should feed back into the system design.
管理者は、特別な種類のデータをもとに誤謬、不正確性又は差別化を回避するための適切な手続きと措置を導入すべきである 43。これらの措置は、循環的に利用されるべきである。すなわち、プロファイリングが個人に対して適用されるときには、デザイン段階だけなく、継続的に利用されるべきである。そうした検査の結果はシステムのデザインにフィードバックされるべきである。
Further examples of appropriate safeguards can be found in the Recommendations section
適切な保護措置の事例は、さらに「勧告」の節で取り上げる。

V. Children and profiling
V．子どもとプロファイリング
The GDPR creates additional obligations for data controllers when they are processing children’s
personal data.
GDPR は、管理者に対し、子どもの個人データを取扱うときには、追加的な義務を設けている。
Article 22 itself makes no distinction as to whether the processing concerns adults or children.
However, recital 71 says that solely automated decision-making, including profiling, with legal or

43

GDPR Recital 71 says that:“In order to ensure fair and transparent processing in respect of the data subject, taking into account the specificcircumstances and context in which the personal data are processed, the controller should use appropriate
mathematical or statistical procedures for the profiling, implement technical and organisational measures appropriate
to ensure, in particular, that factors which result in inaccuracies in personal data are corrected and the risk of errors is
minimised,
GDPR 前文第 71 項は「データ主体に関する公正かつ透明性のある取扱いを確保するために、その個人データが取扱われる具体的な状況及び過程を考慮に入れた上で、管理者は、プロファイリングのための適切な数学的又は統計的な手順を使用し、かつ、特に、個人データに不正確さをもたらす要素が補正され、エラーのリスクをミニマム化されることを確保するのに、適切な技術上及び組織上の手段を実装しなければならない」と述べている。

54

similarly significant effects should not apply to children44.Given that this wording is not reflected in
the Article itself, WP29 does not consider that this represents an absolute prohibition on this type ofprocessing in relation to children. However, in the light of this recital, WP29 recommends that, as arule, controllers should not rely upon the exceptions in Article 22(2) to justify it.
第 22 条そのものは、取扱いが成人に関係するか又は子どもに関係するかを区別していない。しかし前文第 71 項は、法的効果又は類似の重大な効果をもたらすプロファイリング
を含むもっぱら自動化された意思決定が子どもには適用されるべきでないと述べている。前文が条文自体には反映されていないことから、第 29 条作業部会は、それが子どもに44

関わるその種の取扱いを絶対的に禁止しているわけではないと考えている。しかし前文の観点から、第 29 条作業部会は、一般的に、管理者が取扱いを正当化するために第 22 条
（2）の例外に依拠すべきではないと勧告する。
There may nevertheless be some circumstances in which it is necessary for controllers to carry out
solely automated decision-making, including profiling, with legal or similarly significant effects inrelation to children, for example to protect their welfare. If so, the processing may be carried out on
the basis of the exceptions in Article 22(2)(a), (b) or (c) as appropriate.
ただし子どもに関して法的効果又は類似の重大な効果をもたらすプロファイリングを含む
もっぱら自動化された意思決定を、例えば、子どもの福祉を守るために、管理者が実施する必要がある状況もあるかもしれない。もしそうしたケースがあるならば、その取扱いは、適切な場合、第 22 条（2）（a）、（b）、（c）の例外を根拠として、実施することができる。
In those cases there must be suitable safeguards in place, as required by Article 22(2)(b) and 22(3),and they must therefore be appropriate for children. The controller must ensure that these safeguards
are effective in protecting the rights, freedoms and legitimate interests of the children whose data they
are processing.
そうしたケースでは、第 22 条（2）（b）及び第 22 条（3）により求められるものとして、
適切な保護措置が存在しなければならず、またその保護措置は子どもに対して適切なものでなければならない。管理者は、データを扱われる子どもの権利と自由及び正当な利益を守る際に、それらの保護措置が有効であることを確保しなければならない。
The need for particular protection for children is reflected in recital 38, which says:
子どもに対する特別な保護の必要性は、以下のように述べる前文第 38 項を反映している。
Children merit specific protection with regard to their personal data, as they may be less aware of
the risks, consequences and safeguards concerned and their rights in relation to the processing of
personal data. Such specific protection should, in particular, apply to the use of personal data of44

Recital 71 – “such measure should not concern a child”
前文第 71 項「そのような措置は、子どもと関係するものであってはならない」

55children for the purposes of marketing or creating personality or user profiles and the collection of
personal data with regard to children when using services offered directly to a child.
子どもは、個人データの取扱いと関連するリスク、結果及び関係する保護措置、並びに、自らの権利について十分に認識できないかもしれないため、その個人データに関して特別の保護を享受する。特に、マーケティングの目的、その子どもに関するパーソナ

リティ若しくは個人プロファイルの作成の目的での子供についての個人データの使用、及び子どもに対して直接に提示されるサービスを利用する際の子どもの個人データの収集に対して、そのような特別の保護が適用されなければならない。
Article 22 does not prevent controllers from making solely automated decisions about children, if thedecision will not have a legal or similarly significant effect on the child. However, solely automateddecision making which influences a child’s choices and behaviour could potentially have a legal orsimilarly significant effect on them, depending upon the nature of the choices and behaviours inquestion.
第 22 条は、決定が子どもに関して法的効果又は類似の重大な効果を有さない場合、管理者が子どもについて行うもっぱら自動化された意思決定を妨げてはいない。しかし子どもの選択と行動に影響を与えるもっぱら自動化された意思決定は、関係する選択と行動の性質によるものの、子どもに対して法的効果又は類似の重大な効果をもつかもしれない。
Because children represent a more vulnerable group of society, organisations should, in general, refrainfrom profiling them for marketing purposes.45 Children can be particularly susceptible in the online
environment and more easily influenced by behavioural advertising. For example, in online gaming,
profiling can be used to target players that the algorithm considers are more likely to spend money on
the game as well as providing more personalised adverts. The age and maturity of the child may
affect their ability to understand the motivation behind this type of marketing or the consequences.46
子どもは社会において脆弱なグループを代表しているため、企業は一般的にマーケティン
グ目的のためのプロファイリングを控えるべきである 45。子どもは特に、オンライン環境と行動ターゲティング広告の影響を受けやすいかもしれない。例えば、オンライン・ゲー
ミングでは、アルゴリズムがゲームにお金をかけそうなプレイヤーを対象化し、パーソナライズした広告提供のためにプロファイリングを利用することができる。子どもの年齢と45

The WP29 Opinion 02/2013 on apps on smart devices (WP202), adopted on 27 February 2013, under the specificsection 3.10 on Children, specifies at page 26 that “data controllers should not process children’s data for behaviouraladvertising purposes, neither directly nor indirectly, since this will be outside of the scope of the child’s understanding
and therefore exceed the boundaries of lawful processing”.
第 29 条作業部会「スマートデバイスのアプリケーションに関する意見 02/2013」（WP202）、2013 年 2 月 27日採択。子どもに関する特定の第 3.10 節、26 頁において、「データ管理者は、子どもの理解の範囲外であり適法な取扱いの限度を超えるため、直接的にも間接的にも、行動ターゲティング広告目的で子どものデータを取り扱うべきではない」とする。
46
An EU study on the impact of marketing through social media, online games and mobile applications on children’s
behaviour found that marketing practices have clear impacts on children’s behaviour. This study was based on children
aged between 6 and 12 years.
子どもの行動に与えるソーシャルメディア、オンラインゲーム、モバイルアプリによるマーケティングの影響について EU が行った調査で、マーケティング行為が子どもの行動に明確な影響を与えていることが明らかになった。この調査は、6 歳から 12 歳までの子どもに基づいている。

56

発育度は、その種のマーケティング又は帰結の背後にある動機を理解する能力に影響を与えているかもしれない 46。
Article 40(2) (g) explicitly refers to the preparation of codes of conduct incorporating safeguards forchildren; it may also be possible to develop existing codes.47
第 40 条（2）（g）は、子どもに対する保護措置を盛り込んだ行動規範の用意について明確に言及している。したがって既存の行動規範を発展させることもできるかもしれない 47。

VI. Data protection impact assessments (DPIA) and Data Protection Officer (DPO)
VI．データ保護影響評価（DPIA）とデータ保護オフィサー（DPO）
Accountability is an important area and an explicit requirement under the GDPR. 48
アカウンタビリティは、GDPR において重要な部分であり明確な要件である 48。
As a key accountability tool, a DPIA enables the controller to assess the risks involved in automateddecision-making, including profiling. It is a way of showing that suitable measures have been put inplace to address those risks and demonstrate compliance with the GDPR.
重要なアカウンタビリティのツールとして、DPIA は、プロファイリングを含む自動化された意思決定に関わるリスクを管理者が評価できるようにするものである。それは適切な対策がリスク対処のために導入されたかどうか、また GDPR を遵守しているかどうかを証明する方法である。
Article 35(3) (a) highlights the need for the controller to carry out a DPIA in the case of:
第 35 条（3）（a）は、以下を行うケースにおいて、DPIA を管理者が実施しなければならないことを強調している。
a systematic and extensive evaluation of personal aspects relating to natural persons which is basedon automated processing, including profiling, and on which decisions are based that produce legal
effects concerning the natural person or similarly significantly affect the natural person;

47

One example of a code of conduct dealing with marketing to children is that produced by FEDMA Code of conduct,
explanatory memorandum, available at: http://www.oecd.org/sti/ieconomy/2091875.pdf Accessed 15 May 2017. See,in particular: “6.2 Marketers targeting children, or for whom children are likely to constitute a section of their audience,
should not exploit children’s credulity, loyalty, vulnerability or lack of experience.;
6.8.5 Marketers should not make a child’s access to a website contingent on the collection of detailed personal
information. In, particular, special incentives such as prize offers and games should not be used to enticechildren to divulge detailed personal information.”
子どもに対するマーケティングを取り上げた行動規範の一例は、FEDMA の行動規範（説明メモ）である。
特に、「6.2．子どもを対象とするマーケティング、又は子どもが視聴者の一部かもしれないマーケティングの実施者は、子どもの信じやすさ、忠実さ、脆弱さ又は経験の不足を利用すべきではない。6.8.5 マーケテ
ィング実施者は、詳細な個人情報を条件としたウェブサイトへ子どもをアクセスさせるべきではない。特に、子どもをそそのかして詳細な個人情報を打ち明けるようにするため賞品やゲームのような特別のインセンティブを用いるべきではない」。
48
As required by the GDPR Article 5(2)GDPR 第 5 条（2）により求められている

57

プロファイリングを「含めた」自動化された取扱いに「基づいた」、また自然人に関して法的効果をもたらし、又は自然人に類似の重大な影響を及ぼす決定に基づいた自然人に関する個人的側面を「体系的かつ広範囲な評価」
Article 35(3)(a) refers to evaluations including profiling and decisions that are ‘based’ on automatedprocessing, rather than ‘solely’ automated processing. We take this to mean that Article 35(3) (a) will
apply in the case of decision-making including profiling with legal or similarly significant effects thatis not wholly automated, as well as solely automated decision-making defined in Article 22(1).
第 35 条（3）（a）は、自動化「のみ」に基づく取扱いよりも、むしろ自動化された取扱いに「基づく」プロファイリング及び意思決定を含む評価に言及している。第 29 条作業部
会は、必ずしもすべてが自動化されてはいないが法的効果又は類似の重大な効果を持つプ
ロファイリングを含む意思決定の場合、及び第 22 条（1）に定めるもっぱら自動化された意思決定の場合に、第 35 条（3）（a）が適用されることを意味すると理解している。
If the controller envisages a ‘model’ where it takes solely automated decisions having a high impact
on individuals based on profiles made about them and it cannot rely on the individual’s consent, on acontract with the individual or on a law authorising this, the controller should not proceed.
管理者が個人について作成される「プロファイル」に基づいて個人に「大きな影響」を与える自動化「のみ」に基づいた決定を行うものの、個人の同意、個人との契約又はそれを認める法律に依拠することが「できない」場合の「モデル」を想定しているならば、その管理者は進めるべきではない。
The controller can still envisage a ‘model’ of decision-making based on profiling, by significantly
increasing the level of human intervention so that the model is no longer a fully automated decision
making process, although the processing could still present risks to individuals’ fundamental rights
and freedoms. If so the controller must ensure that they can address these risks and meet therequirements described in Chapter III of these Guidelines.
取扱いがなお個人の基本的な権利と自由にリスクをもたらするかもしれないとしても、そのモデルが「完全に自動化された意思決定プロセスではないよう」にするため人的介在のレベルを大きく引き上げることで、プロファイリングに基づく意思決定の「モデル」をなお想定することができる。管理者が実際にそれに着手するならば、その管理者は、そうしたリスクに対処するができ、また本ガイドライン第 III 章で述べた要件を満せることを確保しなければならない。
A DPIA can also be a useful way for the controller to identify what measures they will introduce toaddress the data protection risks involved with the processing. Such measures49could include:

informing the data subject about the existence of and the logic involved in the automateddecision-making process;49

Mirroring the requirements in Article 13(2)(f), Article 14(2)(g) and Article 22(3)第 13 条（2）（f）、第 14 条（2）（g）、及び第 22 条（3）の要件を反映。

58



explaining the significance and envisaged consequences of the processing for the data
subject;providing the data subject with the means to oppose the decision; andallowing the data subject to express their point of view

また DPIA は、取扱いに関わるデータ保護のリスクを解決するのに管理者がどんな措置を導入すればよいかを確認するのに役立つ方法かもしれない。そうした措置 49 には､以下を含めることができるだろう。


自動化された意思決定プロセスの存在及びそれに関わるロジックについてデータ
主体に情報提供すること

データ主体に対して取扱いの重要性と想定される帰結を説明すること

意思決定に反対する手段をデータ主体に提供すること

データ主体がその意見の表明をできるようにすること

Other profiling activities may warrant a DPIA, depending upon the specifics of the case. Controllers
may wish to consult the WP29 guidelines on DPIAs50 for further information and to help determine
the need to carry out a DPIA.
その他のプロファイリング行為は、各ケースの特殊性に依拠して、DPIA を確保すればよい。管理者は、追加の情報のために第 29 条作業部会の DPIA に関するガイドライン 50 を調べ、DPIA 実施の必要性を判断するのがよいだろう。
An additional accountability requirement is the designation of a DPO, where the profiling and/or the
automated decision-making is a core activity of the controller and requires regular and systematic
monitoring of data subjects on a large scale (Article 37(1)(b).51
追加のアカウンタビリティの要件は、プロファイリング及び/又は自動化された意思決定が管理者の中心的な活動であり、データ主体の規則的で体系的なモニタリングを大規模に必要としている場合、DPO（Data Protection Officer：データ保護オフィサー）を指名することである（第 37 条（1）（b））51。

50
Article 29 Data Protection Working Party. Guidelines on Data Protection Impact Assessment (DPIA) anddetermining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679. 4 April
2017. http://ec.europa.eu/newsroom/document.cfm?doc_id=44137 Accessed 24 April 2017.
第 29 条作業部会「データ保護影響評価（DPIA）と取扱いが 2016/679 規則の適用上、『高いリスクをもたらすことが予想される』か否かの判断に関するガイドライン」、2017 年 4 月 4 日、欧州委員会。
51
Article 29 Data Protection Working Party. Guidelines on Data Protection Officer (DPOs). 5 April 2017;
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612048 Accessed 22 January 2018
第 29 条作業部会「データ保護オフィサー（DPO）に関するガイドライン」、2017 年 4 月 5 日

59ANNEX 1 - Good practice recommendations
付録 1：望ましい慣行の勧告
The following good practice recommendations will assist data controllers in meeting the requirementsof the GDPR provisions on profiling and automated decision making.52
以下の望ましい慣行の勧告は、プロファイリング及び自動化された意思決定に関するGDPR の要件をデータ管理者が満たす場合の助けとなる 52。

ArticleIssue

Recommendation

条文

事項

5(1)(a),Right to have

12,13,14

information

勧告
Controllers should consult the WP29 Guidelines on transparency
WP260 for general transparency requirements.
管理者は、一般的な透明性の要件について第 29 条作業部会

第5条

情報を持つ権（1）（a）、 利の透明性に関するガイドライン（WP260）を参照すべきである。

第 12 条、第 13 条、
第 14 条In addition to the general requirements, when the controller isprocessing data as defined in Article 22, they must provide
meaningful information about the logic involved.
一般的な要件に加え、管理者が第 22 条に定めるデータを取り扱う場合、管理者は関係するロジックについての意味のある情報を提供しなければならない。
Instead of providing a complex mathematical explanation about how
algorithms or machine-learning work, the controller should consider
using clear and comprehensive ways to deliver the information to thedata subject, for example:

the categories of data that have been or will be used inthe profiling or decision-making process;

why these categories are considered pertinent

how any profile used in the automated decision-making
process is built, including any statistics used in theanalysis;

why this profile is relevant to the automated decisionmaking process; and52

Controllers also need to ensure they have robust procedures in place to ensure that they can meet their obligations
under Articles 15 – 22 in the timescales provided for by the GDPR.
データ管理者は、GDPR に定めるスケジュールで第 15 条～第 22 条の義務を満たすことができることを確保するための安定した手続きをもつように確保しなければならない。

60

how it is used for a decision concerning the data subject.

アルゴリズム又は機械学習がどのように機能するかの複雑な数学的説明の提供の代わりに、管理者はデータ主体に対し情報を提供する明確で包括的な方法の利用を検討すべきである。例えば、

プロファイリング又は意思決定プロセスでこれまで用いた又は今後用いるデータのカテゴリー

それらカテゴリーが関連していると考えられる理由



分析で使用される統計学を含め、自動化された意思決定プロセスで使用されるプロファイルの作成方法



そのプロファイルが自動化された意思決定プロセス
にとって重要であることの理由

それがデータ主体に関する決定に使用される方法

Such information will generally be more relevant to the data subject
and contribute to the transparency of the processing.
こうした情報は一般的に、データ主体に一層関連し、取扱いの透明性に貢献する。
Controllers may wish to consider visualisation and interactive
techniques to aid algorithmic transparency53.
管理者はアルゴリズムの透明性を助けるビジュアル化とイン

6(1)(a)Consent as a

第6条

basis for（1）（a）

processing

タラクティブな技術の考慮を望むことができる 53。
If controllers are relying upon consent as a basis for processing theyshould consult the WP29 Guidelines on consent WP259.
管理者が取扱いの根拠として同意に依拠する場合、その管理者は第 29 条作業部会の同意に関するガイドライン

取扱いの根拠15
第 15 条（WP259）を参照すべきである。
としての同意Right of access Controllers may want to consider implementing a mechanism fordata subjects to check their profile, including details of the
アクセス権
information and sources used to develop it.

53

Information Commissioner’s Office – Big data, artificial intelligence, machine learning and data protection version
2.0, 03/2017. Page 87, paragraph 194, March 2017. https://ico.org.uk/media/for-organisations/documents/2013559/bigdata-ai-ml-and-data-protection.pdf Accessed 24 April 2017
情報コミッショナーオフィス「ビッグデータ、人工知能、機械学習及びデータ保護」バージョン 2.0、2017
年 3 月、87 頁、パラグラフ 19461管理者は、作成のために用いた情報の詳細とソースを含め、データ主体が自分のプロファイルをチェックするためのメカ16
第 16 条ニズムの実施を望むかもしれない。
Right
to Controllers providing data subjects with access to their profile inrectification
connection with their Article 15 rights should allow them theopportunity to update or amend any inaccuracies in the data or
訂正の権利
profile.
第 15 条の権利に関連して、データ主体に対し自分のプロフ
ァイルへのアクセスを提供する管理者は、データ又はプロフ
ァイルを更新する又は不正確性を修正する機会を与えるべきである。
This can also help them meet their Article 5(1) (d) obligations.
これは、第 5 条（1）（d）の義務を満たすのにも役立てることができる。
Controllers could consider introducing online preference
management tools such as a privacy dashboard. This gives data
subjects the option of managing what is happening to theirinformation across a number of different services – allowing them toalter settings, update their personal details, and review or edit theirprofile to correct any inaccuracies.
管理者は、プライバシー･ダッシュボードのようなオンライ
ンのお気に入り管理ツールの導入を考慮することができる。
それはデータ主体に対して、様々なサービスを通じて自分の情報について起きていることを管理する選択肢を与えるもの
である－データ主体が設定を変更し、個人データの内容を更新する又は不正確なところを訂正するために自分のプロファ
イルを見直せる又は編集できるようにする。

21(1) and(2)
第 21 条Right to object
異議を述べる
権利

The right to object in Article 21(1) and (2) has to be explicitly
brought to the attention of the data subject and presented clearlyand separately from other information (Article 21(4)).
第 21 条（1）及び（2）の異議を述べる権利は、明示的に（1）及びデータ主体の注意を引くようにされ、かつ、他の情報とは（2）

明確に分けて表示されなければならない（第 21 条（4））
Controllers need to ensure that this right is prominently displayedon their website or in any relevant documentation and not hidden
away within any other terms and conditions.

62管理者は、この権利がそのウェブサイト又は関連する文書において目立つ形で表示され、他の条件の中に隠れないよ
うにすることを確保する必要がある。

22 andAppropriate

Recital 71

safeguards

第 22 条、

適切な保護措

前文第 71

置項

The following list, though not exhaustive, provides some goodpractice suggestions for controllers to consider when making
solely automated decisions, including profiling(defined in Article
22(1)):
次のリストは、網羅的ではないが、プロファイリングを含
むもっぱら自動化された決定を行う際に、管理者が考慮すべき望ましい慣行の提案を示している（第 22 条（1））。
regular quality assurance checks of their systems to
make sure that individuals are being treated fairly andnot discriminated against, whether on the basis of
special categories of personal data or otherwise;

特別な種類の個人データを基礎にしているかどうかにかかわらず、個人が公正に扱われ差別されないことを確保するため、システムについての定期的な品質確保チェックalgorithmic auditing – testing the algorithms used anddeveloped by machine learning systems to prove thatthey are actually performing as intended, and not
producing discriminatory, erroneous or unjustified
results;

アルゴリズムの点検：アルゴリズムが意図したよ
うに実際に動作し、差別的、誤りのある又は不当な結果をもたらしていないことを証明するため、機械学習システムにより利用されまた開発されたアルゴリズムを検査すること63

for independent ‘third party’ auditing (where decisionmaking based on profiling has a high impact on
individuals), provide the auditor with all necessary
information about how the algorithm or machinelearning system works;



独立した「第三者」による監視の際（プロファイ
リングに基づく意思決定が個人に大きな影響を与える場合）、アルゴリズム又は機械学習システム
がどのように動作するかについて必要な情報の全てを監視者に提供することobtaining contractual assurances for third party
algorithms that auditing and testing has been carriedout and the algorithm is compliant with agreed
standards;

第三者のアルゴリズムについて監視と検査が実施され､アルゴリズムが合意された標準に対応していることを契約で確保を得ること



specific measures for data minimisation to incorporate
clear retention periods for profiles and for any personal
data used when creating or applying the profiles;

プロファイルの作成又は適用の際に使用されるプ
ロファイルと個人データの明確な保存期間を含む
データ最小化のための特別措置

using anonymisation or pseudonymisation techniquesin the context of profiling;

プロファイリングのコンテクストにおいて匿名化
又は仮名化の技術を利用すること64

ways to allow the data subject to express his or her
point of view and contest the decision; and,



データ主体による意見の表明と決定に対する異議の申し立てを可能にする方法、そして

a mechanism for human intervention in defined cases,
for example

providing a link to an appeals process atthe point the automated decision is delivered to thedata subject, with agreed timescales for thereviewand a named contact point for any queries.


決められたケースにおける人的介在のメカニズ
ム。例えば、自動化された決定がデータ主体に提供される際に、レビューのための合意された期間
及び問い合わせのために示された連絡先と共に、
異議申し立てプロセスへのリンクを提示すること。

Controllers can also explore options such as:

管理者は､以下のような選択肢を検討することもできる。

certification mechanisms for processing operations;

取扱操作に関する証明メカニズム

codes of conduct for auditing processes involving
machine learning;

機械学習に関連する取扱いを点検するための行動
規範

65



ethical review boards to assess the potential harms andbenefits to society of particular applications forprofiling.



プロファイリングのための特定アプリケーション
が社会に対して与える潜在的な弊害と便益を評価するための倫理評価委員会

ANNEX 2 – Key GDPR provisions
付録 2：関連する GDPR の規定
Key GDPR provisions that reference general profiling and automated decision-making
一般的なプロファイリング及び自動化された意思決定に関わる GDPR の主要な規定

ArticleRecitalComments

条文

前文

3(2)(b)24

第3条

第 24 項コメント
The monitoring of data subjects’ behaviour as far as their behaviour
takes place within the Union.
データ主体の行動が欧州連合内で行われる限り、データ主体（2）（b）の行動のモニタリング
Recital 24“….tracked on the internet ……use of personal data processing
techniques which consist of profiling a natural person, particularly
in order to take decisions concerning her or him or for analysing or
predicting her or his personal preferences, behaviours or attitudes”.
前文第 24 項：「（取扱行為がデータ主体の行動の監視と考えられうるか否かを判断するためには、）自然人がインターネット上で追跡されているかどうか、特に、データ主体に関連する判断をするため、又は、データ主体の個人的な嗜好、行動及び傾向を分析又は予測するために追跡されている（かを確認しなければならない）
。」

4(4)

30

第4条

第 30 項（4）

Article 4(4) definition of profiling
第 4 条（4）プロファイリングの定義
Recital 30“online identifiers …., such as Internet Protocol addresses, cookie
identifiers or other identifiers such as radio frequency identification
tags… may leave traces which, in particular when combined withunique identifiers and other information received by the servers,
66may be used to create profiles of the natural persons and identify
them.”
前文第 30 項：「（自然人は、）インターネットプロトコルアドレス、クッキ
ー識別子、又は、無線識別タグのようなその他の識別子といったような…（当該自然人のデバイス、アプリケーション、
ツール及びプロトコルによって提供される）オンライン識別
子…（と関連付けられうる。）特に、一意的な識別子やサーバーが受け取る他の情報と組み合わされたときには、自然人のプロファイルを作成しまたそれらを確認するために利用することのできる追跡を野放しにしておくかもしれない」。
5 and 672

第 5 条及び第 72 項

第6条

Recital 72:“Profiling is subject to the rules of this Regulation governing theprocessing of personal data, such as the legal grounds for processing(Article 6) or data protection principles (Article 5).”
前文第 72 項：「プロファイリングは、取扱いの法的根拠（第 6 条）又はデータ保護の基本原則（第 5 条）のような、個人データの

8

38

第8条

第 38 項取扱いを規律する本規則の規定に服する。」
Use of children’s personal data for profiling.
プロファイリングのための子どもの個人データ利用
Recital 38:“Children merit specific protection ….. in particular,…to the use of
personal data of children for the purposes of….creating personality
or user profiles.”
前文第 38 項：「子どもは、・・・特に・・・パーソナリティ若しくは個人
プロファイルの作成・・・の目的での子供についての個人データの使用に対して、そのような特別の保護が適用されなけ

13 and60

14

第 60 項

第 13 条及び第 14 条ればならない。」
Right to be informed.
情報を与えられる権利
Recital 60:“Furthermore, the data subject shall be informed of the existence ofprofiling and the consequences of such profiling.”
前文第 60 項：「さらに、データ主体は、プロファイリングの存在及びそのようなプロファイリングから生ずる結果についても情報の提15

63

第 15 条

第 63 項

供を受けるものとしなければならない。」
Right of access.
アクセス権
67

Recital 63:“right to know and obtain communication…..with regard to the
purposes for which the personal data are processed,…..and, at least
when based on profiling, the consequences of such profiling”.
前文第 63 項：「知る権利及び連絡を受ける権利・・・その個人データが取扱われる目的に関して・・・、少なくともプロファイリング
に基づく場合、そのような取扱いの結果として発生しうる事

21(1)(2) and

70

(3)

第 70 項

第 21 条（1）、（2）、（3）態」
Right to object to profiling.
プロファイリングに異議を述べる権利
Recital 70“…the right to object to such processing, including profiling to theextent that it is related to such direct marketing.”
前文第 70 項：「そのダイレクトマーケティングと関連する範囲内にあるプロファイリングを含め、（データ主体は）そのような取扱いに異議を述べる権利…（を有するものとしなければならな
い）。」

23

73

第 23 条

第 73 項

Recital 73:“Restrictions concerning specific principles and concerning…….the right to object and decisions based on profiling …….may
be imposed by Union or Member State law as far as necessary andproportionate in a democratic society…” to safeguard specificobjectives of general public interest.
前文第 73 項：「特定の原則に関する制限・・・プロファイリングに基づく決定に反対する権利の制限は・・・一般的な公共の利益の特定的な目標を保護するため・・・民主社会において必要でありまた比例的である限り、EU 法又は加盟国の国内法によっ

35(3)(a)91

第 35 条

第 91 項（3）（a）て課すことができる。」
A DPIA is required in the case of “a systematic and extensive
evaluation of personal aspects relating to natural persons which isbased on automated processing, including profiling, and on which
decisions are based that produce legal effects concerning the natural
person or similarly significantly affect the natural person;” Covers
decision-making including profiling that is not solely automated.
DPIA は、「プロファイリングを含め、自動的な取扱いに基づくものであり、かつ、それに基づく判断が自然人に関して法的効果を発生させ、又は、自然人に対して同様の重大な影
響を及ぼす、自然人に関する人格的側面の体系的かつ広範囲

68

な評価」を行う場合に求められる。もっぱら自動化されていないプロファイリングを含む意思決定も対象とする。

Key GDPR provisions that reference automated decision-making as defined in Article 22
第 22 条に定める自動化された意思決定に関わる GDPR の主要な規定

ArticleRecitalComments

条文

前文

13(2)(f) and

61

コメント
Right to be informed about:14(2)(g)第 61 項the existence of automated decision-making underA22(1) and (4);

第 13 条（2）（f）、



meaningful information about the logic involved;

第 14 条significance and envisaged consequences of such（2）（g）

processing.
以下の情報を提供される権利第 22 条（1）及び（4）により自動化された意思決
定の存在

15(h)
第 15 条（h）

関係するロジックについての意味のある情報



そうした取扱いの重要性と想定される帰結

Specific access rights to information about the existence of solely
automated decision-making, including profiling.
プロファイリングを含むもっぱら自動化された意思決定の存在についての情報への特別なアクセスの権利69

22(1)

71

第 22 条

第 71 項（1）

Prohibition on decision-making based solely on automatedprocessing, including profiling, which produces legal/similarly
significant effects.
法的効果／類似の重大な効果をもたらすプロファイリングを含むもっぱら自動化された意思決定の禁止
In addition to the explanation provided in the main body of theguidelines, the following points expand on the rationale for reading
Article 22 as a prohibition:
ガイドラインの中心部分で提供される説明に加え、以下の点は､第 22 条の読み込みを根拠に、禁止として拡張する。


Although Chapter III is about the rights of the data
subject, the provisions in Articles 12 - 22 are notexclusively concerned with the active exercise of rights.
Some of the rights are passive; they do not all relate tosituations where the data subject takes an action i.e.
makes a request or a complaint or a demand of somesort. Articles 15-18 and Articles 20-21 are about the data
subject actively exercising their rights, but Articles 13&14 concern duties which the data controller has tofulfil, without any active involvement from the data
subject. So the inclusion of Article 22 in that chapter
does not in itself mean that it is a right to object;

第 III 章はデータ主体の権利について述べているが、第 12 条から第 22 条の規定は権利の「能動的な」行使にのみ関係しているわけではない。権利のいくつかは受動的である。それらはすべてデー
タ主体が行動を起こす状況、すなわち、要請や異議申し立て又は何らかの種類の要求を行う状況に必ずしも関係しているわけではない。第 15 条から
第 18 条、及び第 20 条から 21 条は、データ主体が能動的にその権利を行使することに関係しているが、第 13 条及び第 14 条はデータ管理者がデータ

70

主体の能動的な関与なしに遂行しなければならない義務に関係している。したがって第 22 条をその章に含めていること自体が、第 22 条の規定が異議を述べる権利であることを意味するものではない。

Article 12(2) talks about the exercise of ‘data subject
rights under Articles 15 to 22; but this does not mean that
Article 22(1) itself has to be interpreted as a right. Thereis an active right in A22, but it is part of the safeguards
which have to be applied in those cases where automateddecision making is allowed (Articles 22(2) (a-c)) - theright to obtain human intervention, express his or her
point of view and to contest the decision. It only applies
in those cases, because carrying out the processing
described in Article 22(1) on other bases is prohibited;

第 12 条（2）は、第 15 条から第 22 条に基づくデータ主体の権利行使を述べている。しかしこれは、第 22 条（1）がそれだけで権利として解釈されなければならないことを意味していない。第 22条には能動的な権利が含まれるが、それは自動化
された意思決定が許容される場合（第 22 条（2）（a）から（c））に適用しなければならない保護措置の部分－人的介在、データ主体の意見の表明、決定に対する異議申し立て－である。他の根拠に基づいて第 22 条（1）に述べる取扱いを実施することは禁止されているために、それはそれらのケースにおいてのみ適用される。



Article 22 is found in a section of the GDPR called“Right to object and automated individual decision-71

making”, implying that Article 22 is not a right to object
like Article 21. This is further emphasised by the lack in
Article 22 of an equivalently explicit information duty asthat found in Article 21(4);

第 22 条は「異議を述べる権利及び個人に対する自動化された意思決定」と呼ばれる GDPR の節に配置され、第 22 条が第 21 条のような異議を述べる
権利ではないことを意味している。これは、さらに第 21 条（4）に見られるような明示的な情報提供の義務と同等の義務が、第 22 条にはないことによって特徴付けされている。



If Article 22 were to be interpreted as a right to object,
the exception in Article 22(2)(c) would not make muchsense. The exception states that automated decisionmaking can still take place if the data subject has given
explicit consent (see below). This would be contradictory
as a data subject cannot object and consent to the sameprocessing;

万が一第 22 条が異議を述べる権利として解釈されるならば、第 22 条（2）（c）の例外はほとんど意味を持たないことになる。その例外は、データ主体が明示的な同意を与える場合には、なお自動化された意思決定を行うことが可能であることを規定している（以下参照）。そうであれば、これはデー
タ主体が同じ取扱いに対して異議を述べつつ同意をすることはできないため矛盾することとなる。



An objection would mean that human intervention musttake place. Article 22(2)(a) and (c) exceptions override
the main rule in Article 22(1), but only as long as humanintervention is available to the data subject, as specified72

in Article 22(3). Since the data subject (by objecting) has
already requested human intervention, Article 22(2)(a)and (c) would automatically be circumvented in every
case, thus rendering them meaningless in effect.


異議は、人的介在がなければならないことを意味する。第 22 条（2）（a）と（c）の例外は第 22 条
（1）のメインのルールに優先するが、第 22 条
（3）に定めるように、人的介在をデータ主体が利用できる場合に限られている。データ主体が（異議を述べることによって）すでに人的介在を要求しているならば、第 22 条（2）（a）及び（c）はどんなケースでも自動的に回避され、それを無意味なものとする。

Recital 71: “…Such processing includes ‘profiling’ that consists ofany form of automated processing of personal data evaluating thepersonal aspects relating to a natural person, in particular to analyseor predict aspects concerning the data subject’s performance atwork, economic situation, health, personal preferences or interests,
reliability or behaviour, location or movements”………. “Suchmeasure should not concern a child”
前文第 71 項：「・・・そのような取扱いは、特に、データ主体の業務遂行能力、経済状態、健康、個人的な嗜好又は興味、信頼性又は行動、位置又は移動に関する側面を分析又は予測するために、自然人に関する個人的側面を評価する個人データの何らかの形式の自動的な取扱いで構成される『プロファイリング』を含める。」・・・「そのような措置は子どもと関係するものであってはならない」（2）（a）

Article 22(2) lifts the prohibition for processing based on (a) the
performance of or entering into a contract, (b) Union or Member
state law, or (c) explicit consent.
第 22 条（2）は、（a）契約の履行又は締結、（b）EU 法又は～（c）

加盟国の国内法、又は（c）明示的な同意に基づく取扱いに

22(2)(ac)71

第 22 条

第 71 項ついて､禁止を解除している。
Recital 71 provides further context on 22(2)(b)and says thatprocessing described in A22(1):73前文第 71 項は、第 22 条（2）（b）についての背景を示し、第 22 条（1）に述べる取扱いについて以下のように述べている。
“should be allowed where expressly authorised by Union orMember State law to which the controller is subject, including for
fraud and tax-evasion monitoring and prevention purposes
conducted in accordance with the regulations, standards andrecommendations of Union institutions or national oversight bodies
and to ensure the security and reliability of a service provided by thecontroller…”「EU の機関又は国内監視機関の規則、基準及び勧告に従って行われる不正行為及び脱税の監視及び防止のため、並びに、管理者によって提供されるサービスの安全性及び信頼性を確保するため、管理者が服する EU 法又は加盟国の国内法によって明確に承認される場合において認められるものとし

22(3)

71

第 22 条

第 71 項（3）

なければならない」。
Article 22 (3) and Recital 71 also specify that even in the cases
referred to in 22(2)(a) and (c) the processing should be subject tosuitable safeguards.
第 22 条（3）と前文第 71 項は、第 22 条（2）（a）及び（c）に述べるケースであっても、取扱いは適切な保護措置に従うべきであることを記述している。
Recital 71: “which should include specific information to the data
subject and the right to obtain human intervention, to express his or
her point of view, to obtain an explanation of the decision reachedafter such assessment and to challenge the decision. Such measure
should not concern a child.”
前文第 71 項：「（その保護措置には）データ主体に対する特別の情報提供、人間の介在を得る権利、当該データ主体の見解を表明す
る権利、そのような評価の後に到達した決定について説明を受ける権利、そして、その決定に対して異議を述べる権利を含むものでなければならない。そのような措置は、子どもと23

73

第 23 条

第 73 項関係するものであってはならない。
」。
Recital 73:“Restrictions concerning specific principles and concerning…….the right to object and decisions based on profiling …….may
be imposed by Union or Member State law as far as necessary andproportionate in a democratic society…” to safeguard specificobjectives of general public interest.
前文第 73 項：74

一般的な公共の利益の特定の目標を保護するため「民主主義社会において必要であり、かつ、比例的なものである限り、特定の基本原則・・・異議を述べる権利、プロファイリング
に基づく決定、・・・に関し、EU 法若しくは加盟国の国内法

35(3)(a)91

第 35 条

第 91 項により、制限を加えることができる・・・」
Requirement to carry out a DPIA.
DPIA を実施するための要件（3）（a）
47(2)(e)第 47 条（2）（e）

Binding corporate rules referred to in 47(1) should specify at least“…the right not to be subject to decisions based solely on automatedprocessing, including profiling in accordance with Article 22...”
第 47 条（1）に述べる拘束的企業準則は､少なくとも「・・・第 22 条に従うプロファイリングを含む自動化された取扱いのみによる決定に服しない権利」を規定すべきである。

ANNEX 3 - Further reading
付録 3：参考文献
These Guidelines take account of the following:
本ガイドラインは以下を参考としている。

-

WP29 Advice paper on essential elements of a definition and a provision on profilingwithin the EU General Data Protection Regulation, adopted 13 May 2013;-

WP29 Opinion 2/2010 on online behavioural advertising, WP171;-

WP29 Opinion 03/2013 on Purpose limitation, WP 203;-

WP29 Opinion 06/2014 on the Notion of legitimate interests of the data controller under

Article 7 of Directive 95/46/EC, WP217-

WP29 Statement on the role of a risk-based approach to data protection legal frameworks,

WP218;-

WP29 Opinion 8/2014 on the Recent Developments on the Internet of Things, WP223; -WP29 Guidelines on Data Protection Officers (DPOs), WP243;-

WP29 Guidelines on identifying a controller or processor’s lead supervisory

authorityWP244;-

WP29 Guidelines on consent,WP259-

WP29 Guidelines on transparency, WP260-

Council of Europe. Recommendation CM/Rec(2010)13 on the protection of individuals

with regard to automatic processing of personal data in the context of profiling;75-

Council of Europe. Guidelines on the protection of individuals with regard to theprocessing of personal data in a world of Big Data, 01/2017-

Information Commissioner’s Office – Big data, artificial intelligence, machine learningand data protection version 2.0, 03/2017-

Office of the Australian Commissioner -Consultation draft: Guide to big data and theAustralian Privacy Principles, 05/2016-

European Data Protection Supervisor (EDPS) Opinion 7/2015 – Meeting the challenges ofbig data, 19 November 2015-

Datatilsynet – Big Data – privacy principles under pressure 09/2013-

Council of Europe. Convention for the protection of individuals with regard to automatic

processing of personal data

- Draft explanatory report on the modernised version of CoE

Convention 108, August 2016-

Datatilsynet – The Great Data Race – How commercial utilisation of personal data

challenges privacy. Report, November 2015-

European Data Protection Supervisor – Assessing the necessity of measures that limit thefundamental right to the protection of personal data: A Toolkit-

Joint Committee of the European Supervisory Authorities. Joint Committee Discussion

Paper on the use of Big Data by financial institutions 2016-86.
https://www.esma.europa.eu/sites/default/files/library/jc-2016-86_discussion_paper_big_data.pdf.

-

Commission de la protection de la vie privée. Big Data Rapport

https://www.privacycommission.be/sites/privacycommission/files/documents/Big%20Data%20vo
or%20MindMap%2022-02-17%20fr.pdf.

-

United States Senate, Committee on Commerce, Science, and Transportation. A Review of

the Data Broker Industry: Collection, Use, and Sale of Consumer Data for Marketing Purposes, Staff
Report for Chairman Rockefeller, December 18, 2013.
https://www.commerce.senate.gov/public/_cache/files/0d2b3642-6221-4888-a63108f2f255b577/AE5D72CBE7F44F5BFC846BECE22C875B.12.18.13-senate-commercecommitteereport-on-data-broker-industry.pdf-

Lilian Edwards & Michael Veale. Slave to the Algorithm? Why a ‘Right to an Explanation’is probably not the remedy you are looking for. Research paper, posted 24 May 2017.
https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2972855-

NYTimes.com. Showing the Algorithms behind New York City Services.

https://mobile.nytimes.com/2017/08/24/nyregion/showing-the-algorithms-behind-new-yorkcityservices.html?referer=https://t.co/6uUVVjOIXx?amp=1. Accessed 24 August 2017-

Council of Europe. Recommendation CM/REC(2018)x of the Committee of Ministers toMember76

States on Guidelines to promote, protect and fulfil children’s rights in the digital environment(revised draft, 25 July 2017). https://www.coe.int/en/web/children/-/call-for-consultationguidelinesfor-member-states-to-promote-protect-and-fulfil-children-s-rights-in-thedigitalenvironment?inheritRedirect=true&redirect=%2Fen%2Fweb%2Fchildren . Accessed 31
August 2017-

Unicef. Privacy, protection of personal information and reputation rights. Discussion paper

series: Children’s Rights and Business in a Digital World.
https://www.unicef.org/csr/files/UNICEF_CRB_Digital_World_Series_PRIVACY.pdf. Accessed 31
August 2017-

House of Lords. Growing up with the internet. Select Committee on Communications, 2ndReport of Sessions 2016 – 17.
https://publications.parliament.uk/pa/ld201617/ldselect/ldcomuni/130/13002.htm. Accessed 31
August 2017-

Sandra Wachter, Brent Mittelstadt and Luciano Floridi. Why a right to explanation of

automated decision-making does not exist in the General Data Protection Regulation, 28 December
2016. https://www.turing.ac.uk/research_projects/data-ethics-group-deg/ . Accessed 13 December
2017-

Sandra Wachter, Brent Mittelstadt and Chris Russell. Counterfactual explanations Without

Opening the Black Box: Automated Decisions and the GDPR, 6 October 2017.
https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3063289. Accessed 13 December 2017-

Australian Government. Better Practice Guide, Automated Assistance in Administrative

DecisionMaking. Six steps methodology, plus summary of checklist points Part 7 February 2007.
https://www.oaic.gov.au/images/documents/migrated/migrated/betterpracticeguide.pdf. Accessed 9
January 201877