EDPS判例法ダイジェスト「第三国への個人データの移転」

欧州データ保護監察機関（EDPS）
EUの独立のデータ保護機関

リンドクヴィスト判決からシュレムス II 判決まで
欧州連合司法裁判所 判例法
第三国への個人データの移転について1

2021年6月10日、The European Data Protection Supervisor (欧州データ保護監察機関)
は、判例法ダイジェスト 「EDPS Case Law Digest: Transfers of personal data to third
countries From Lindqvist to Schrems II: case law of the CJEU on transfers of personal
data to third countries」 を発表した。本文書は、本判例法ダイジェストを個人情報保護委
員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。

2

1

INTRODUCTION
前書き

GDPR（一般データ保護規則）は、「現に取扱われている又は第三国又は国際機関への移転の後に取扱いを意図した個人データ移転」を規制する (第44条)。これらのデータ流通（移転及び再移転）は、GDPR第５章に定められる規則並びにGDPRの全ての規則及び原則、特に第5条に基づく原則（適法性、公正性及び透明性、目的の限定、データの最小化、正確性、記録保存の制限、完全性及び機密性、並びにアカウンタビリティ）に従う。
個人データの移転は、GDPR第５章に規定される、移転の法的根拠（すなわち、第45条 十分性
認定に基づく移転、第46条 適切な保護措置に従った移転、第49条 特定の状況における例外）のいずれかに依拠しなければならない。
欧州連合司法裁判所（CJEU）は、リンドクヴィスト判決が下された2003年以降、第三国又は国際組織への個人データの移転に関連する規定の意味を明らかにしてきた。当初はこれを現在は廃止されている指令95/461の規定（多くの場合、GDPRにおける、対応する規定と実質的には異ならない）を考慮することで、そして、後にはGDPRの規定の解釈を示すことで、行ってきた。
「移転の法」の包括的な原則は、個人データの保護の継続、並びにこれを行う中での個人の基
本的な権利及び自由の保護である。データ保護は、基本的な権利であるがゆえに、個人デー
タがどこに行こうとも、またデータが第三国に「移動」するときでさえも、EU内の全ての者に関係する。
「指令95/46第25条第６項は、個人データを保護するために憲章第８条第１項に定められる明示的な義務を実施するもので、法務官がその意見書の第139項で示すように、
個人データが第三国に移転される状況でのその高い保護水準の継続を確保することを目的とする。」 (シュレムス判決、パラグラフ72)「法務官がその意見書の第117項で述べるように、GDPR第５章の規定は、GDPR前
文第6項に記載される目的に従って、個人データが第三国に移転される状況での、その高い保護水準の継続の確保を目的とする。(シュレムスII 判決、パラグラフ93)「個人データの保護に関するこの権利は、特に、EU法によって与えられる基本的な権
利及び自由の高い保護水準が、個人データがEUから非加盟国に移転される状況において継続されることを要求する。そのような保護水準を確保するための手段が、EU法に
1【仮訳作成者注】指令95/46は、「DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF
THE COUNCIL of 24 October 1995 on the protection of individuals with regard to the processing of
personal data and on the free movement of such data」を指す。（※）※GDPRは、「REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE
COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of
personal data and on the free movement of such data, and repealing Directive 95/46/EC(General Data Protection Regulation)」（個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、指令95/46/EC を廃止する欧州議会及び理事会の2016 年4 月27 日の規則(EU) 2016/679 （一般データ保護規則））である。
3

由来する要件を確実に遵守するためにEU内で採用されているものとは異なることがあっても、それらの手段がEU内で保証されるものと本質的に同等の保護を確保する目的
で実務上有効であることを証明しなければならない」。（PNRカナダ意見書パラグラフ
134）。
本判例法ダイジェストの目的は次の通り。
•

欧州連合司法裁判所が第三国への個人データの移転に関する判決において行った分析の構造を明らかにし、関連する判例法における論理や手順、並びに判例法理の法体系を強調すること。
（本判例法ダイジェスト第3部、「出典」を参照）。

•

個人データの国際的な移転に関する主要な課題を探求する可能性を読者に提供すること。本判例法ダイジェスト第４部「質問に対する回答（Replies to Questions）」を参
照）。

4

２

QUESTIONS
質問
1.

GDPR第５章（指令95/46第４章）の意味における第三国への移転が発生するのは、どの時点か。欧州連合司法裁判所は、移転の有無を判断するためにどのような基準を用いているか。
移転に適用される全体的なデータ保護体制はどのようなものか。

2.

次の場合、移転に関して国家監督当局が利用できる権限は何か。a) セーフ・ハーバー、b) 標
準契約条項（SCC）、c) 国際協定。

3.

次の場合、保護水準の十分性とは、何を意味するか。a)第三国への移転の場合、b)第三国への移転の場合であって、特に、セーフ・ハーバー（及びプライバシー・シールド）の規定による場合、c)第三国への移転の場合であって、特に、標準契約条項（SCC）の規定による場合。

4.

次の場合、干渉となる個人データの移転とは、何を意味するか。
a 憲章第７条及び第８条2への干渉。
b 当該干渉が合法となるためには、特に、憲章の第47条及び第52条の遵守が必要である。
c 干渉は厳密に必要なものに限定されるべきであり、プライバシー及び個人データの保護に対する基本的権利の本質を損なってはならない。

5.

いつ、どのような条件に基づいて欧州連合司法裁判所は、個人データ移転の手段としてSCCを有効であると判断したか。

6.

効果的な司法救済及び行政救済とは、何を意味するか。

7.

個人データの移転をデータ主体に通知する義務とは何を意味するか。

8.

自動化された取扱いの対象となる個人データの移転又は機微（センシティブ）データを伴う個
人データの移転の場合には、特定の保護措置が必要か。

9.

個人データの再移転の場合のデータ保護要件は何か。

2【仮訳作成者注】EU基本権憲章第７条及び第８条ではそれぞれ、私生活及び家族生活に対する保護、並びに個人データの保護が謳われている。
5

3

SOURCES
出典1)
2003年11月6日付判決、Lindqvist C-101/01、EU:C:2003:596
第三国への個人データ移転（リンドクヴィスト判決）
リンドクヴィスト氏（Mrs Lindqvist）は、スウェーデンのプロテスタント教会の教区で共にボランテ
ィアとして活動していた多数の人々の個人データを自分のインターネット・サイトで公開したことから、スウェーデンのデータ保護法令違反で起訴された。本件の付託裁判所3（Göta控訴裁判所）は、同裁判所での刑事訴訟で、予備判決のための付託質問4を提起した。同裁判所は、特に、リンドクヴィスト氏が指令95/46/ECの意味での第三国へのデータ移転を行っていたかを立証することを求めた。
欧州連合司法裁判所5は、「ある加盟国の個人が、個人データを当該国又は他の加盟国に拠点のある自分のホスティング・プロバイダに格納されるインターネット・ページに読み込み、それによりそれらのデータを、第三国の人々を含む、インターネットに接続する全ての者にとってアクセス可能とした状況では、指令95/46第25条の意味における『第三国への（データの）移転』は一切存在しない」と判断した。(パラグラフ71)。
(i) 法律における定義の欠如「56. 指令95/46は、第25条でも、第２条を含む他の条項でも、「第三国への移転」という表現を定義していない。」

3【仮訳作成者注】原文はreferring courtであり、欧州連合司法裁判所に本件を付託した裁判所という趣旨であるため、以降、本仮訳において「付託裁判所」と記載する。

4【仮訳作成者注】同判決の第２項に記載されるとおり、リンドクヴィスト氏に対してGöta控訴裁判所での刑事訴訟で提起された質問であり、７件の質問が第29項から第99項に記載されている。当然ながら、本
判例ダイジェスト冒頭に記載される質問９件とは区別される。

5【仮訳作成者注】原文は「the Court」であるが、当段落は同判決のパラグラフ71の一部抜粋であることが判決と照合でき、その内容は付託裁判所からの質問5に対する欧州連合司法裁判所からの回答である。上記の付託裁判所と混乱なきよう、「欧州連合司法裁判所」である旨を明記した。

6

(ii) それでも、欧州連合司法裁判所がいくつかの基準を提供している。
「57. 個人データをインターネットのページ上に読み込むことが、単にそれによりそれらが第三国の人々にとってアクセス可能になるという理由で、指令95/46第25条の意味において当該データの第三国への「移転」を構成するかを判断するには、次の両方を勘案する必要がある。
・実施された操作の技術的性質
・第25条が記載される当該指令第４章の目的及び構造」
したがって、下記を勘案する必要がある。

a)

第一に、実施された操作の技術的性質について指摘すること「59. リンドクヴィスト氏のような個人にとって1990年代に利用可能であったインターネットの利用の手続きでは、インターネット上での公開を目的としたページの作成者は、そのページを構成する
データを自分のホスティング・プロバイダに送信し、プロバイダは、これらのデータの保存並びにサイトをホストするサーバーのインターネットへの接続に必要とされるインフラを管理する。その結果、インターネットに接続しアクセスを試みる全ての人に対して、それらのデータのその後の送信が可能となる。そのインフラを構成するコンピュータは、ホスティング・プロバイダの拠点がある国以外の1か国以上に設置されている可能性があり、実際にそうであることが多いが、プロバイダのクラ
イアントはこれを認識せず、また、認識する立場にもない。
「60. 当裁判所の資料によると、リンドクヴィスト氏が同僚に関する情報を掲載したインターネッ
ト・ページに表示される情報を入手するためには、インターネットの利用者は、インターネットに接続するのみならず、それらのページを参照するために必要な行動を自ら起こすことが必要である
ようである。換言すると、リンドクヴィスト氏のインターネット・ページには、それらのページに意図的にアクセスしようとしない人々に自動的にその情報を送るための技術的手段は含まれなかった。」「61. 従って、本件のような状況では、インターネット・サイトに個人データを読み込んだ者に由来
し第三国の者のコンピュータに表示される個人データは、それらの二者間で直接的に移転されたのではなく、ページが格納されるホスティング・プロバイダのコンピュータ・インフラストラクチャーを介して移転されたことになる」。

b)
第二に、ケースバイケースでの評価が必要であり、立法府の意図（移転に関する規定の目的及び構造）及びデータ取扱いが第三国への移転に該当するかどうかの検討結果を考慮すること「62. その観点から、欧州共同体の立法府が、指令95/46第4章の適用の目的で、当該指令第25条の意味における「第三国への（データの）移転」という表現に、リンドクヴィスト氏が実施したような活動を含めることを意図していたかが検討されなければならない。付託裁判所が尋ねた5つ目の質問は、それらの活動のみに関係しており、ホスティング・プロバイダらにより実施された活動には関係しないことが強調される必要がある。」「67. 指令95/46第４章には、インターネットの利用に関係する規定は存在しない。特に、ホスティ
ング・プロバイダにより実施される操作がサービスの拠点、事業所在地、又はコンピュータ若しくはサービスのインフラストラクチャを構成する複数のコンピュータの所在地で発生するとみなされるべきか、を決定する基準は定められていない。」
7

「68. 第一に、指令95/46の策定時点でのインターネットの発展状況、第二に、インターネットの利用に適用される基準が第４章に存在しないこと、を考慮すると、欧州共同体の立法府が、リンド
クヴィスト氏の立場にある個人によるインターネットのページへのデータの読み込みを、『第三国への（データの）移転』という表現の対象とすることを意図していたと推定することはできない。たとえ、それにより、それらのデータが、それらにアクセスするための技術的手段を持つ第三国の者にとってアクセス可能となったとしても、である。」「69. もし指令95/46の第25条が、個人データがインターネットのページに読み込まれるたびに「第三国への （データの）移転」があることを意味すると解釈される場合、必然的にその移転は、イ
ンターネットにアクセスするために必要な技術的手段が存在するすべての第三国への移転であることとなる。それゆえ、当該指令第４章に規定される特別な制度が、インターネット上での操作に関しては、一般的に適用される制度であることが必定となる。したがって、仮に欧州委員会が、指令95/46第25条第４項に基づいて、たとえ第三国のうち一国でも十分な保護を確保していないと判断した場合であっても、加盟各国は全ての個人データがインターネット上に置かれることを妨げる義務を負うことになる。」「70. したがって、指令95/46第25条は、リンドクヴィスト氏により実施された操作それ自体は、『第三国への（データの）移転』を構成しないことを意味すると解釈されるべきであると結論付けざるを得ない。したがって、関連するインターネット・ページに第三国の個人がアクセスしたかや、当該ホスティング・サービスのサーバーが物理的に第三国にあるかを調査することは不要である。」

8

2)
2015年10月6日付判決（Schrems、C-362/14、EU:C:2015:650）
シュレムス氏（Mr. Schrems）は、アイルランドのデータ保護委員会に対し、Facebook Irelandが同氏の個人データを米国に移転することを禁じるよう求める苦情を提出した。同氏は、米国は保護水準の十分性を確保していないと主張した。公的機関により行われる監視活動がその理由である。
アイルランドのデータ保護委員会は、その決定で、特に、シュレムス氏がその苦情で提起した主張は有効に提示されることはできないと判断した。なぜなら、米国におけるデータ保護の十分性に関する問題は全て、決定2000/5206に従って判断されなければならず、欧州委員会は、その決定で、米国が保護水準の十分性を確保していると判断していたからである。シュレムス氏は、アイルランド高等法院で、アイルランドのデータ保護委員会の決定に対して異議を唱えた。同高等法院は、アイルランドのデータ保護委員会が、保護の十分性に関して上述の欧州委員会の判断に拘束されるか、それとも、問題となっている保護水準が不十分であると主張するデータの取扱いに懸念を有する人物の主張を審議できるか、という問題を欧州連合司法裁判所に付託した。

第三国への個人データの移転（シュレムス判決）
a)

移転に関する操作の技術的性質

本判決は、Facebook Incの子会社であるFacebook Irelandが行った個人データの移転に関するもので、「EU内に居住するFacebook Irelandのユーザーの個人データの一部又は全部が、米国に所在するFacebook Inc.のサーバーに移転され、そこで現に取扱われている。」(パラグラフ27)とするものである。
「45. 個人データを加盟国から第三国に移転させることにより構成される操作の実施は、それ自体が加盟国で行われる指令95/46第２条(b)項の意味における個人データの取扱いを構成する（この 趣 旨 に つ い て は 判 決 Parliament v Council and Commission, C-317/04 and C-318/04,
EU:C:2006:346, パラグラフ56を参照）。同項は、『個人データの取扱い』を『自動的な手段7によるか否かを問わず個人データに対して行われるあらゆる操作の実施又は一連の操作の実施』と定義し、例として『送信による開示、配布、又は、その他の形で利用可能なものとすること』を述べている。」

6【仮訳作成者注】原文「Decision 2000/520」は、2000年に米EU間で合意された、EUから米国に個人データを移転するための枠組み(セーフハーバー（Safe Harbor）と呼ばれる)に対する欧州委員会による認定「COMMISSION DECISION of 26 July 2000 pursuant to Directive
95/46/EC of the European Parliament and of the Council on the adequacy of theprotection provided by the safe harbour privacy principles and related frequently
asked questions issued by the US Department of Commerce」を指す。

7【仮訳作成者注】原文「automatic means」どおり。仮訳上、GDPRやシュレムスII判決で使用される「自動化された手段（automated means）」と区別して「自動的な手段」とした。GDPRや
シュレムスII判決で使用される「automated means」、「automated processing」などにおける、「automated（自動化された）」という表現に対して指令95/46やシュムレス判決では「automatic」で統一されている。
9b)
移転に適用される法的要件：指令95/46の第４章（現在のGDPR第５章）に限定されない「46. 指令95/46の前文第60項には、第三国への個人データの移転は、指令に基づいて加盟各国により採択された規定を完全に遵守した場合にのみ実施可能であると記載されている。これに関して、第25条及び第26条を包含する当該指令第４章は、第三国への個人データの移転に対する加盟各国による監視の確保を目的とする体制を定めており、その体制は、当該指令第２章（個人データの取扱いの適法性に関する一般的な規則を制定する）に定められる、一般的な体制を補完するものである（この点に関しては、リンドクヴィスト判決, C-101/01, EU:C:2003:596, パラグラ
フ 63を参照）。

第三国への移転：セーフ・ハーバー。移転に関して国家監督当局が利用できる権限（シュレムス判決）
付託裁判所が問うているのは、本質的に、憲章第７条、第８条及び第47条に照らして読まれた
場合の指令95/46の第25条第６項は、下記を意味すると解釈されなければならないか、そして、どの程度そう解釈されなければならないかである。同項に基づいて採択される決定（例えば、欧州委員会が、第三国が保護水準の十分性を確保していると認定する決定2000/520）により、加盟国の監督当局が、同指令第28条の意味において、個人の主張（当該個人が、その第三国で有効な法律及び実務が保護水準の十分性を確保していないと主張する状況で加盟国から当該第三国に移転された自らに関連する個人データの取扱いに対する自らの権利及び自由の保護に関する主張）を審議できるようになることから妨げられる。
「55. 指令95/46第28条第４項の第1サブパラグラフに基づいて、国家監督当局は、『個人データの取扱いに関する自己の権利及び自由の保護に関して、［中略］あらゆる者から申し立てられる苦情』を聴取するべきであることが定められるが、欧州委員会が当該指令第25条第６項に基づく決定を採択している状況で、同サブパラグラフはこの点についていかなる例外も規定していない。」「56. 第25条第６項に従って採択された欧州委員会決定の対象となる第三国に加盟国から移転されたか移転される可能性がある個人データの取扱いに関しての、当人の権利及び自由の保護に関する個人の苦情を、国家監督当局が審理することを妨げる効果を、当該決定が持つとすれば、それは、指令95/46に定められた制度及び指令95/46第25条及び第28条の目的に反することになる。」「57. [...]指令95/46第28条は、その性質上、個人データのあらゆる取扱いに適用される。したがって、欧州委員会が同指令第25条第６項に基づく決定を採択している場合でも、国家監督当局は、個人が自らに関連する個人データの取扱いに関する権利及び自由の保護に関して申し立てるところの個人の主張を審理する場合、当該データの移転が指令に定められる要件に準拠しているかを完全な独立性をもって審議できなければならない。」「65. 国家監督当局に苦情を提出した者が自らの個人データの取扱いに関する権利及び自由の保護について提起した異議に十分な根拠があると当該監督当局が考える場合、当該監督当局は、
特に憲章第8条第３項に照らして読まれた指令95/46第28条第３項第1サブパラグラフ第３インデン
トに従って法的手続きに関与できなければならない。国内の立法府は、国家監督当局が十分な根拠があると考える異議を国内の裁判所に提出することを可能にする法的救済措置を規定する義務を負う。国内の裁判所が欧州委員会決定の有効性に対する疑念を共有する場合、有効性の審議を目的とする予備的裁定のための付託が行われるように、である。」
10欧州連合司法裁判所8は、次のように判断した。第三国が保護水準の十分性を確保していることを認定する欧州委員会の決定が個人のプライバシーの保護並びに基本的な権利及び自由の保護に適合しているかを疑問視する可能性のある事項を提出する者がいる状況で、指令95/46/EC
第28条に由来する権限を国家監督当局に与えない限りにおいて2000/520/EC決定第３条は無効である（パラグラフ102-104）。

第三国への移転：保護水準の十分性（シュレムス判決）「74. 保護水準の十分性を確保しなければならないのは、欧州委員会決定の対象である第三国の法的秩序であることは、指令95/46第25条第６項の明示的な文言から明らかである。これに関して、当該第三国がそのような保護水準を確保する目的で依拠する手段が、憲章に照らして読まれる指令95/46に由来する要件を確実に遵守するためにEU内で用いられる手段とは異なる可能性があるとしても、それでもなお、それらの手段は、EU内で保証される保護と本質的に同等の保護を確保する目的で実務上有効であることが証明されなければならない。」「75. 欧州委員会は、第三国が付与する保護水準を審議する際に、指令95/46第25条第２項に基づき、第三国への個人データの移転を取り巻くすべての状況を勘案しなければならない。このため、同委員会は、以下を評価する義務がある。
・当該第三国の国内法又は国際的な約束から生じる、当該第三国で適用される規則の内容
・それらの規則の遵守を確保することを目的とした実務」

第三国への移転：決定2000/520、セーフ・ハーバーの規定による保護水準の十分性（シュレムス判決）
a)
欧州連合司法裁判所における事案において本質的に同等の保護水準を確保することを目的とした国際的な約束及び実務、その性質並びに範囲「79. 欧州委員会は、決定2000/520第１条第１項で、以下の点を確認した。『その付属書 I に定められる原則は、米国に拠点を有する組織にEUから移転される個人データに対して保護水準の十分性を確保する。［中略］同原則が付属書 IIに定められるFAQに提供されるガイダンスに従って実施されることによってである。』これらの原則及びFAQはどちらも米国商務省により公表されたことが同項から明らかである。」「80. 各組織は、決定2000/520第１条第２項及び第３項をその附属書IIに記載されるFAQ ６と併せて読んだ場合に明らかなように、自己認証制度に基づきセーフ・ハーバー原則を遵守している。」「81. 第三国が自己認証制度に依拠すること自体は、関係する第三国が『その国内法又は...国際的な約束を理由に』保護水準の十分性を確保しなければならないとする指令95/46第25条第６項の定める要件に反しないが、その要件に照らした場合、そのような制度の信頼性は、基本的な権利、特に、私生活の尊重及び個人データの保護に対する権利の保護を確保する規則に対する
8【仮訳作成者注】原文は、「the Court」であるが、当該段落がパラグラフ102-104（文尾に記載される）の厳密な引用ではなく、EDPS作成によるそれらの概要であると思われることから、判決と区別する目的
で「欧州連合司法裁判所」と記載し、第三者作成による記述であることを明示した。

11

あらゆる侵害を特定し実際に処罰することを可能にする、効果的な検知及び監督の仕組みを確立することに本質的に基づく。 」「82. 今回の事例では、決定2000/520の付属書 I の第２項により、セーフ・ハーバー原則は、『セーフ・ハーバー及びそれが生み出す「十分性」があると推定されるとみなす目的で、EUから個人データを取得する米国の組織のみが使用することが意図される』ものである。したがって、これらの原則は、EUから個人データを取得する米国の自己認証組織のみに適用される（中略）」。

b)

米国の法秩序とセーフ・ハーバー原則の関係「84. 決定2000/520の附属書 I の第４項にもとづいて、セーフ・ハーバー原則の適用性は、特に、『国家安全保障、公共の利益、又は法執行上の要件を満たすために必要な範囲で』制限される場
合があり、かつ『相反する義務や明確な権限を設ける制定法、政府規制、又は判例法により制限される場合があるが、但し、そのような権限の行使において、組織が、原則の不遵守を、そのような権限により優先的に促進される正当な利益を満たすために必要な範囲に限定することを証明できることを条件とする』。
「85. この関連で、決定2000/520は、附属書IVのパートBで、セーフ・ハーバー原則の適用性が対象となる制限に関して、『米国法が相反する義務を課す場合、米国の組織は、セーフ・ハーバー
内であるかどうかにかかわらず、当然ながら同法に従わなければならない。』としている。」「86. したがって、決定2000/520は、『国家安全保障、公共の利益、又は法執行の要件』がセー
フ・ハーバー原則に対する優位性を有することを規定している。EUから個人データを取得する米
国の自己認証組織は、それらの原則がそれらの要件に干渉し、それゆえそれらと両立しないことが判明した場合、この優位性に基づき、それらの原則を制限なく無視することが義務付けられる。」c)
上記の関係及び第三国の法秩序の関連する側面の評価を勘案した結論「96. 欧州委員会は、指令95/46第25条第６項に基づいて決定を採択するためには、次のことを理由をきちんと述べて認定しなければならない。『EUの法秩序で保証されるものと本質的に同等の基本的な権利の保護の水準、特に本判決の上記の複数のパラグラフから明白である水準を、関係する第三国がその国内法又はその国際的な約束により実際に確保していること。』」「97. しかしながら、欧州委員会は、決定2000/520で、米国が、その国内法又は国際的な約束を理由に、保護水準の十分性を実際に『確保』していると述べていない。」「98. したがって、セーフ・ハーバー原則の内容を審議する必要はなく、次の通り結論付けられることになる。『決定2000/520第１条は、憲章に照らして読んだ場合の指令95/46第25条第６項に定める要件に準拠しておらず、それゆえ無効である。』」

12

干渉となる個人データの移転：憲章第７条及び第８条への干渉及び当該干渉が合法となるためには憲章第52条の遵守が必要である（シュレムス判決）「87. 決定2000/520附属書 I の第４段落に定められる例外の一般的性質に照らせば、同決定により、EUから米国に個人データが移転されつつあるか、移転される可能性のある者の基本的な権利に対して、国家安全保障及び公共の利益の要件又は米国の国内法制を根拠とする干渉が可能となる。」
このような干渉を正当化することが不可能であることについて、欧州連合司法裁判所は、次の通り示した。「第一に、欧州憲章第７条及び第８条により保障される基本的な権利に対する干渉に関わるEUの法制は、措置の範囲及び適用を規定し最低限の保護措置を課す明確かつ正確な規則を定めなければならない。自らの個人データが関係する者が、自らのデータを、不正使用のリス
ク並びにあらゆる不法なアクセス及び使用から効果的に保護することができる十分な保証を得られるように、である。」このような保護措置の必要性がより一層高まるのは、個人データが自動的な取扱い9の対象となる場合や、このデータへの違法なアクセスのリスクが大きい場合である（パラグラフ91）。

干渉は厳密に必要なものに限定されるべきであり、プライバシー及び個人
データの保護に対する基本的な権利の本質を損なってはならない
私生活の尊重及び個人データの保護に対する基本的な権利の保護は、個人データの保護に関連する例外及び制限が、厳密に必要な範囲に限って適用されることを要件とする。(パラグラフ
92)
以下の場合、法制は、厳密に必要なものに限定されていない。法制が、EUから移転された全ての者の全ての個人データの保管について、追求される目的に照らして一切の差別化、制限、例外を設けることなく、データへのアクセス及びデータの使用いずれにも伴われる干渉を正当化可能とする具体的かつ厳しく制限された目的のための公的機関によるその個人データへのアクセス及びその後の使用の限界を判断する客観的基準を示すことなく、その保管を一般化された基準で許可する場合。 (パラグラフ93)
公的機関が電子通信の内容にアクセスすることを一般化された基準で許可する法制は、私生活の尊重に対する基本的な権利の本質を損なう。(パラグラフ94)
個人が自らに関連する個人データにアクセスするため、又はそのようなデータの修正若しくは消去を得るための、法的救済措置を求める可能性を一切規定しない法制は、憲章第47条に記載される効果的な司法上の保護に対する基本的な権利の本質を尊重していない。(パラグラフ95)

9【仮訳作成者注】原文「automatic processing」どおり。GDPRやシュレムスII判決で使用される「自動化された取扱い（automated processing）」と区別して「自動的な取扱い」とした。GDPRやシュレムス II判決で使用される「automated means」、「automated processing」など、「automated（自動化された）」という表現に対して、指令95/46やシュレムス判決では「automatic」で統一されている。

13

3)
2017年7月26日付欧州連合司法裁判所の意見書1/15、EUCanada PNR Agreement、EU:C:2017:592
第三国への個人データの移転：国際協定に基づく移転（PNR 意見書）
EU及びカナダは、乗客予約記録（Passenger Name Record）データの移転及び取扱いに関する協定（PNR協定）を交渉し、この協定は2014年に署名された。その後、EU理事会が、締結予定の協定10の締結に対する決定を欧州議会に要請した。欧州議会は、この要請を受けて、締結予定の協定が条約 11に適合するかを確認するために、本事項を欧州連合司法裁判所に付託することを決定した。締結予定の協定は、カナダの当局への全ての航空旅客のPNRデータの組織的かつ継続的な移転を可能とするものであり、これは、テロや重大な国際犯罪と闘う目的で、データの使用、保持及び場合によりその後のカナダ国内の他の当局への移転（追加的取扱い）や他国への移転（再移転）を視野に入れたものである。2017年７月26日、欧州連合司法裁判所は、欧州連合基本権憲章に対する当該国際協定の適合性、特に、私生活の尊重及び個人データの保護に関連する規定に対する適合性についての意見書を示した。

第三国への移転：国際協定の規定による保護水準の十分性（PNR意見書）「120. TFEU第16条第１項及び憲章第８条の両方に規定される個人データの保護の権利に対する、締結予定の協定の適合性に、下記の評価が関連する範囲において、当裁判所は、それらの条項のうち後者のみを参照する。両方とも全ての者が自らに関する個人データの保護の権利を有することを定めるものの、憲章第８条のみがその第２項に、そのようなデータが取り扱われることができる条件をより具体的に定めている。」「122. したがって、PNRデータは、識別された個人、すなわちEUカナダ間の航空旅客に関する情報を含むため、締結予定の協定の下で当該データが服する可能性のある様々な形態の取扱い、
すなわちEUからカナダへのその移転、その使用を目的とする当該データへのアクセス又は実際の保持は、憲章第７条で保障される私生活の尊重に対する基本的な権利に影響する。」「123. さらに、締結予定の協定の対象であるPNRデータの取扱いも、憲章第８条の意味における個人データの取扱いを構成するため、同条の範囲に該当する。したがって、同条の定めるデー
タ保護要件を必ず満たさなければならない。」「134. 個人データの保護に対するその権利、特に、EU法により付与される基本的な権利及び自由の高い保護水準が、個人データがEUから非加盟国に移転される状況で継続することを要件とする。そのような保護水準を確保するための手段（本件における国際協定）は、EU法に由来する
10【仮訳作成者注】原文は、「the envisaged agreement」であり、PNR意見書（https://curia.europa.eu/juris/document/document.jsf?docid=193216&doclang=EN）の第１章第２項に、同文書の付属書の一つとして、次のとおり記載されている。「乗客予約記録データの移転及び取扱いに関するカナダEU間の協定案（以下、「締結予定の協定」）（the draft Agreement between Canada
and the European Union on the transfer and processing of Passenger Name Record data (‘theenvisaged agreement’)）」11【仮訳作成者注】原文には、「the Treaties」とのみ記載されるところ、PNR意見書第１章第１項に「(theprovisions of the Treaties (Article 16 TFEU) 」との記載があるため、欧州連合の機能に関する条約（通称EU機能条約）を指すと思われる。
14

要件の遵守を確保するためにEU内で用いられる手段とは異なることはあっても、それらの手段は、EU内で保証される保護と本質的に同等の保護を確保するために実務上有効であることが証明されなければならない」。

上記の関係及び第三国の法秩序の関連する側面に対する評価を勘案した上での国際協定の有効性についての結論「232. 上記の全ての考慮に照らして、以下ように判断されなければならない。
(2) 締結予定の協定は、EUからカナダへの機微データの移転並びにそのデータの使用及び保持を排除しない限りにおいて、憲章第７条、第８条、第21条及び第52条第１項と適合しない。12(3) 締結予定の協定は、憲章第７条、第８条及び第52条第１項に適合するために、以下の a) からg）までのとおり実施する必要がある。
a)

EUからカナダに移転されるPNRデータを明確かつ正確に決定すること。

b)

PNRデータの自動化された取扱いの文脈で使用されるモデル及び基準は、具体的かつ信頼性を有し、非差別的となることを規定すること。

c)

使用されるデータベースは、カナダがテロリズム及び重大な国際犯罪に対する戦いに関連して使用するものに限定されることを規定すること。

d)

航空旅客のカナダ滞在中及び出国後のカナダ当局による当該データの使用及び他の当局への開示を、客観的な基準に基づく実質的条件及び手続き上の条件に服させること（PNRデータの自動化された取扱いの根拠となる、事前に確立されたモデル及び基準に関する検証の状況を除く）。その使用及び開示を、裁判所又は独立行政機関のいずれかにより行われる事前審査を条件として行うことし（正当な緊急性が確立している場合を除く）、使用を許可する裁判所又は独立行政機関による判決又は決定は、それらの官庁又は当局による理由ある要請を受け、特に、犯罪の防止、検知又は訴追のための手続きの枠組みの中で下されることとすること。

e)

航空旅客の出発後のPNRデータの保持を、テロリズム及び重大な国際犯罪との戦いの観点からリスクをもたらす可能性があると推察される根拠となる客観的証拠がある旅客のものに限定すること。

f)

カナダ当局による第三国の政府当局へのPNRデータの開示を、次の条件に服させること。
締結予定の協定と同等の協定がEU及び当該第三国間で締結されているか、又は指令
95/46第25条第６項に基づく欧州委員会による認定がPNRデータの開示が意図される当局を対象として下されているという条件。

12【仮訳作成者注】番号が(2)から始まっているが、誤植ではない。下記文書に記載されるパラグラフ
232(1)が本ダイジェスト原文で省略されたものである。
EU:C:2017:592 OPINION 1/15 OF THE COURT (Grand Chamber) 26 July 2017（https://curia.europa.eu/juris/document/document.jsf?docid=193216&doclang=EN）

15

g)

次の場合に、航空旅客が個別の通知を受ける権利を規定すること。航空旅客に関する
PNRデータが彼らのカナダ滞在中及び出国後に使用される場合、並びに、カナダ当局が当該データを他の当局又は個人に開示する場合。

h)

航空旅客に関するPNRデータの取扱いに関する当該旅客の保護に関連して、締結予定の協定に定められる規則の監視が、独立監督当局によって行われることを保証すること。」
比例性に関するEDPSガイドライン（EDPS Guidelines on Proportionality（18、26、30、34ページ））及び必要性及び比例性についてのEDPSクイック・ガイド（The EDPS quick-guideto necessity and proportionality）も参照のこと。13干渉となる個人データの移転：憲章第７条及び第８条への干渉（PNR意見書）「124. 当裁判所が判示したように、公的機関など第三者への個人データの伝達は、伝達された情報のその後の使用にかかわらず、憲章第７条に規定される基本的な権利に対する干渉を構成する。同じことが、公的機関による使用を目的とする、個人データの保持及びそのデータへのアクセスにも当てはまる。これに関連して、私生活に関する問題となっている情報が機微であるか、又は、その干渉のために関係する者が何らかの不都合を被ったかは問題ではない。」「126. それらの業務も憲章第８条で保障される個人データの保護に対する基本的な権利に対する干渉を構成する。それらが個人データの取扱いを構成するためである。」

干渉となる個人データの移転：当該干渉が合法となるためには憲章第52条の遵守が必要である「138. 憲章第52条第１項第１文によれば、憲章で認められる権利及び自由の行使に対するあらゆる制限は、法律で規定されなければならず、また、それらの権利及び自由の本質を尊重しなけ
ればならない。憲章第52条第１項の第２文に基づき、比例性の原則に従って、それらの権利及び自由に対する制限が加えられることができるのは、それらが必要であり、かつEUにより認められる一般的な利益の目的又は他者の権利及び自由を保護する必要性を真に満たす場合のみである。」「139. 基本的な権利の行使に対するいかなる制限も法律によって規定されなければならないとする要件は、これらの権利に対する干渉を許可する法的根拠自体が、当該権利の行使に対する制限の範囲を規定する必要があるということを意味することが付言されるべきである。[...]」「140. 比例性の原則の遵守に関しては、EU水準での私生活の尊重に対する基本的な権利の保護は、当裁判所の判例法に従って、個人データの保護に対する例外及び制限が、厳密に必要な場合にのみ適用されることを要件とする。」

13【仮訳作成者注】ガイドライン及びクイック・ガイド名和文は、本仮訳のための便宜的な暫定訳であり、定訳ではない。

16

「141. その要件を満たすためには、干渉を伴う問題となる法制は、問題となる措置の範囲及び適用を規定し、かつ、最低限の保護措置を課す、明確で正確な規則を定めなければならない。データが移転された者が自らの個人データを不正使用のリスクから効果的に保護するための十分な保証を得られるように、である。法制は、特に、どのような状況で、又どのような条件の下でそのようなデータの取扱いを提供する措置が採択可能であるかを示し、それにより干渉が厳密に必要なものに限定されることを確保しなければならない。」

干渉は、プライバシー及び個人データの保護に対する基本的な権利の本質を損なってはならない
欧州連合司法裁判所は、憲章第７条及び第８条それぞれに基づいて論点となっている基本的な権利の本質を指摘する。
「150. 憲章第７条に謳われる私生活の尊重に対する基本的な権利の本質に関しては、PNRデータが、たとえ一定の状況では、ある者の私生活に関して非常に具体的な情報を明らかにする場
合があるとしても、その情報の性質は、特にEUカナダ間の航空機による渡航に関するその私生活の特定の側面に限定される。
憲章第８条に謳われる個人データの保護に対する権利の本質に関しては、締結予定の協定は、第３条でPNRデータの取扱いが可能となる目的を制限し、第９条で特に当該データのセキュリティ、
機密性、完全性を確保し、それを不法なアクセス及び取扱いから保護するための規則を定めている。」

干渉の必要性「154. 締結予定の協定に伴う干渉の必要性に関しては、本意見書パラグラフ140から141に引用される判例法に従って、それらが厳密に必要なものに限定されているか、また、その状況で、当該協定が、規定される措置の範囲及び適用について明確かつ精緻な規則を定めているか、を確認する必要がある。」
欧州連合司法裁判所は、この関連で、下記を考慮した。
(1) 締結予定の協定の対象であるPNRデータ(i) 移転されるPNRデータに関して、締結予定の協定が十分に正確か(パラグラフ155-162)。
裁判所は、以下の通り結論付けている。
「それらの状況で、締結予定の協定の附属書の見出し５、７及び17は、カナダに移転されるPNRデータに関して憲章第７条及び第８条に謳われる基本的な権利に対する干渉の範囲を十分に明確かつ正確に画定するものではない」(パラグラフ163)。
(ii) ［個人データの移転が］機微データ［に関係するかどうか］（パラグラフ164-166）。
裁判所は、以下次の通り結論付けている。「前記の２つのパラグラフに示された評価を考慮して、憲章第７条、第８条、第21条及び第52条第１項は、以下の両方を排除すると判示されなければならない。①機微データのカナダへの移転並び②にEUが当該非加盟国と交渉し17た当該非加盟国の当局による当該データの使用及び保持に関する条件に対する枠組み。」（パラグラフ167）(2) 移転されたデータが自動化された取扱いの対象であるか（PNR意見書パラグラフ168‐174）。
この点については、特に下記を参照のこと。
「168. 本意見書のパラグラフ130から132に記載され、また、法務官がその意見書の第252ポイン
トで指摘するように、カナダに移転されたPNRデータは、主に、事前に確立されたモデル及び基準
並びに様々なデータベースとのクロスチェックに基づく、自動化された手段による分析の対象となることが意図されている。」「169. 公共の安全に対して航空旅客がもたらすリスクの評価は、それらの航空旅客のカナダ到着前にPNRデータの自動化された分析により（中略）実施される。それらの分析は、未検証の個人データに基づいて実施され、かつ事前に確立されたモデル及び基準に基づくため、特にフランス
政府及び欧州委員会が審理で認めたように、必然的にある程度の誤差が生じる。」「170. EDPSが当裁判所の質問に対する回答で言及したところの、法執行目的での乗客予約記録（PNR）データの使用に関する欧州理事会枠組み決定案に関するEDPSの意見書（2008年官報
C110、ページ１）第30ポイントに記載されるように、その誤差は重大なようである。」(3) PNRデータの取扱いが可能となる目的（PNR意見書、パラグラフ175-181)(4) 締結予定の協定の対象とされるカナダ当局（パラグラフ182-185)(5) 関係する航空旅客（パラグラフ186-189)(6) PNRデータの保持及び使用（パラグラフ190-211）(7) PNRデータの開示（パラグラフ214）
この関連で、欧州連合司法裁判所は、再移転に関するデータ保護要件を明確化した。
「214. EUから非加盟国への個人データの移転は、当該国が、EU内で保証されるものと本質的に同等の基本的な権利及び自由に対する保護水準を確保している場合にのみ発生し得ることが想起されなければならない。同じ要件が、締結予定の協定第19条に言及される、カナダによる第三国へのPNRデータの開示の場合に適用されるが、その目的は、当該協定に規定される保護水
準が第三国への個人データの移転により回避されることを防ぎ、EU法により付与される保護水準の継続を確保することにある（中略）。それらの状況では、そのような開示には、EU及び関係する
非加盟国間にその協定と同等の協定が存在するか、又は、指令95/46第25条第６項に基づき、当該第三国がEU法の意味における保護水準の十分性を確保し、かつ、PNRデータの移転先となることが意図される当局を対象とすることを認める欧州委員会の認定が存在することが要件となる。」

18

機微データの移転及び自動化された取扱いの対象となるデータの移転（PNR意見書）「141.そのような保護措置に対する必要性は、個人データが、自動化された取扱いの対象とされる場合に一層高まる（パラグラフ168‐174参照）。
それらの考慮は、特に、機微データである特定のカテゴリーの個人データの保護が論点となっている場合に該当する。」 (パラグラフ164‐167も参照のこと。)

再移転（PNR意見書）
125. 「EUからカナダの当局へのPNRデータの移転並びに、そのデータの保持、使用、及び（カナダの他の当局、欧州刑事警察機構（Europol）、欧州司法機関（Eurojust）、加盟各国の司法当局若しくは警察当局、又は第三国の当局への）その後の移転に関してEUがカナダと交渉した条件の枠
組みは、どちらも、特に、締結予定の協定の第３条、第４条、第６条、第８条、第12条、第15条、第16条、第18条、及び第19条で許可されているなか、憲章第７条で保障される権利に対する干渉を構成する。」14「214. EUから非加盟国への個人データの移転は、当該国が、EU内で保証されるものと本質的に同等の基本的な権利及び自由に対する保護水準を確保している場合にのみ発生し得ることが想起されなければならない。同じ要件が、締結予定の協定の第19条に言及される、カナダによる第三国へのPNRデータの開示の場合に適用されるが、その目的は、当該協定に規定される保護水準が第三国への個人データの移転により回避されることを防ぎ、EU法により付与される保護水
準の継続を確保することにある（中略）。それらの状況では、そのような開示には、EU及び関係する非加盟国間にその協定と同等の協定が存在するか、又は、指令95/46第25条第６項に基づき、当該第三国がEU法の意味における保護水準の十分性を確保し、かつ、PNRデータの移転先となることが意図される当局を対象とすることを認める欧州委員会の認定が存在することが要件となる。」

移転をデータ主体に通知する義務（PNR意見書）
欧州連合司法裁判所は、欧州連合基本権憲章第７条に謳われる、私生活の尊重に対する基本的な権利は、「関係する者が自分の個人データが正しく適法に取扱われていることを確信できることを意味する」と判示した。（パラグラフ219）
この点について、裁判所は、次の通り指摘した。航空旅客は、関連する第三国への自己のPNR
データの移転及びそれらのデータの使用について、締結予定の協定に言及される政府当局が実施しているところの調査が、その情報により危険にさらされる可能性がなくなり次第、通知されなければならない。(パラグラフ220。パラグラフ221-225も参照。)

14【仮訳作成者注】第125段落のみ引用符が数字より内側にあるが本ダイジェスト原文通り。引用元であるEUCJ意見書には引用符の記載はない。

19

効果的な司法上の救済及び行政上の救済（PNR意見書）「226. 航空旅客の有する、救済に対する権利について、締結予定の協定第14条第２項は、下記を規定する。『PNRデータに関連する決定又は措置によって自己の権利が侵害されたと考える個
人が、カナダの法律に従って、効果的な司法上の救済、又は補償を含みうるその他の救済を求めることができることを、カナダは保証しなければならない。』」

移転に関して国家監督当局が利用できる権限（PNR意見書）「228. 憲章第８条第３項に基づいて、同第８条第１項及び第２項に由来する要件に対する［国際協定による］遵守は、独立した機関による管理の対象とされる」。
独立監督当局に対する要件がPNR協定において十分充足されていなかったことも想起する価値があるかもしれない（パラグラフ230から231参照）。「230. この事例では、締結予定の協定第10条第１項の第１文の記載によると、PNRデータの取扱いに対するデータ保護の保護措置は『独立した公的機関』又は『行政的手段により設立され、その機能を公平に行使し、自律性の実績を有する機関』による監視の対象となる。同項は、監視は独立機関により行われるとそれが定める限り、
憲章第8条第3項に定める要件に対応している。対照的に、代替案では、監視の遂行が、任務を完全に独立して遂行しない機関により部分的又は全体的に行われることを認めているようである。
追加の監督当局に従属し指示を受ける可能性があり、それゆえその決定に影響を及ぼす可能性のある外部の影響から自由ではない機関である。
231. それらの状況で、また、法務官がその意見書の第316ポイントで指摘するように、締結予定の協定第10条は、PNRデータの取扱いに関する個人の保護に関連して協定に定められた規則の遵守に対する監視が、憲章第８条第３項の意味における独立機関により行われることを十分に明
確かつ正確に保証していない。」

20

4)
2020年7月16日付判決、Schrems II、C-311/18、EU:C:2020:559
シュレムスI 判決、及びその後シュレムス氏の訴えを却下した判決が付託裁判所により取り消された15ことを受け、アイルランドの監督当局はシュレムス氏に対し、決定2000/520が無効であるとの裁判所の宣言に照らした苦情の修正を求めた。修正後の苦情でシュレムス氏は、米国は同国に移転されるデータに対して十分な保護を提供していないと主張し、現在、Facebook Irelandが認定2010/87の付属書に記載される標準データ保護条項に従って同氏の個人データを移転している
ところ、EUから米国への今後の移転についての停止又は禁止を求めている。

第三国への移転（シュレムスII 判決）
a)

移転の法的側面「86. 経済事業者である二者間で商業目的のために移転された個人データが、移転時又はその後に、第三国の当局による公安、防衛及び国家安全の目的で取扱いを受ける場合があるという可能性のためにその移転をGDPRの範囲から外すことはできない。」（パラグラフ87、88も参照）。
「89. GDPR第２条第１項及び第２項は、同規則が以下を意味すると解釈されなければならない。
・ 同規則が、移転時又はその後にかかわらず、加盟国に拠点を有する経済事業者による、第三国に拠点を有する他の経済事業者への、商業目的での個人データの移転に適用されること。
・ データは、移転先の第三国の担当当局による公安、防衛、及び国家安全の目的で取り扱われる可能性があること。」
この点で、この手法を裏付ける2020年10月６日付の判決（Privacy International, C-623/17）も参照のこと。（特に、パラグラフ35、39、44、49を参照。パラグラフ44の記述は、特に、次の通り。「[...]
当裁判所の判例法によれば、自国の本質的な安全保障上の利益を定義し内外の安全保障を確保するために適切な措置を採ることは加盟各国の責務であるが、国家安全保障を保護する目的
で国内措置が採られたという事実だけでは、当該加盟国は、EU法を適用不可能とし遵守する義務を免れることはできない。[...]」b)
移転の法制度：指令95/46第４章（現在のGDPR第５章）に限られない。
「82. GDPR第２条第１項に基づいて、同規則は、以下に適用される。全体又は一部が自動化された手段による個人データの取扱い、並びに、ファイリングシステムの一部を形成するか形成することが意図される個人データに対する、自動化された手段以外による取扱い。同規則第４条第２項は、『取扱い』を『個人データ若しくは一群の個人データに対して実施される操作又は一群の操作を意味する。自動化された手段によるか否かを問わない。』と定義し、例として『送信による開示、
15【仮訳作成者注】シュレムス II 判決第54段落参照。「Following that judgment, the referring court
annulled the rejection of Mr Schrems’s complaint and referred that decision back to theCommissioner.」
21

配布、又は、その他の形で利用可能なものとすること』を挙げるが、EU内で発生する業務と第三国に関連する業務とを区別しない。さらに、GDPRは、第三国への個人データの移転を、その第５章の『第三国又は国際機関への個人データの移転』と題される具体的な規則の対象としており、さらに、その目的のために、同規則第58条第２項（j）に記載される具体的な権限を監督当局に付与している。」

第三国への移転：標準契約条項の規定による保護水準の十分性 - 評価（シュレムスII 判決）「102. 付託裁判所はまた、GDPR第46条第２項(c)に基づいて採択された標準データ保護条項に従って個人データが第三国に移転される場合の保護水準の十分性を判断する目的で、どの要素が考慮されるべきかを確認することを求めている。」「103. この点において、同項は、そのような移転で遵守されることになる保護水準の十分性を評価する目的で考慮されなければならない様々な要因を列挙していないが、同規則第46条第１項は、データ主体には適切な保護措置、執行可能な権利、効果的な司法救済が与えられなければならないとする。」「105. [...] GDPR第46条第１項及び第２項(c)は、下記を意味すると解釈されなければならない。
『標準データ保護条項に従って個人データが第三国に移転されるデータ主体に、憲章に照らして読んだ場合の同規則により、EU内で保証されるものと本質的に同等の保護水準が付与されることが、これらの項が要求する適切な保護措置、執行可能な権利、及び効果的な司法救済により確保されなければならない。』そのために、そのような移転に関連して付与される保護水準の評価は、
特に、下記を双方とも考慮したものである必要がある。『EU内に拠点をもつ管理者又は処理者及び当該第三国に拠点をもつ当該移転の取得者との間で合意された契約条項、並びに、（移転された個人データに対する当該第三国の公的機関によるあらゆるアクセスに関する）第三国の法制度の関連する側面。』特にGDPR第45条第２項に非網羅的に記載される側面を考慮しなければなら
ない。」

22

第三国への移転：SCCによる保護水準の十分性、移転に関して国家監督当局が行使可能である権限（シュレムスII 判決）「146. SCC決定16第４条は、実施決定2016/229717の前文第５項に照らして読むと、同決定附属書に記載される標準データ保護条項に従って監督当局が第三国への個人データの移転を必要に応じて停止又は禁止することを、SCC決定は妨げないという見解を支持している。この点で、質問８に対する回答18から明らかなように、GDPR第58条第２項(f)及び(j)が当該第三国で遵守されていないか、又は遵守されることができず、移転されたデータに対してEU法が要求する保護が他の手段で確保できない状況で、管理者又は処理者が自ら移転を一時停止又は終了していない場合には、監督当局は、有効な欧州委員会の十分性認定がない限り、これらの号に基づき、自らの見解
及び当該移転のすべての状況に照らして、当該移転を一時停止又は禁止することが求められる。」「147. アイルランド国データ保護委員会19が強調した、そのような第三国への個人データの移転に関して様々な加盟各国の監督当局が異なる決定を下す可能性があるという事実に関しては、
GDPR第55条第１項及び第57条第１項(a)から明らかなように、その規則を施行する任務は、原則として各監督当局に加盟各国の領域内で付与されていることを付言する必要がある。さらに、異なる決定が下されることを回避するためにGDPR第64条第２項は、次の通り規定する。第三国へのデータの移転が原則として禁止されなければならないと判断する監督当局は、当該事項について欧州データ保護会議（EDPB）に意見を照会できる。EDPBは、GDPR第65条第１項（c）に基づき、特に、監督当局が意見に従わない場合、拘束力のある決定を採択できる。」

16【仮訳作成者注】原文「the SCC Decision」は、2020年７月16日付EUCJシュレムス II判決英文（https://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=E
N&mode=lst&dir=&occ=first&part=1&cid=2333813）中の「指令95/46に基づき第三国に拠点を有する処
理者への個人データの移転に関する標準契約条項に関する2010年２月５日付欧州委員会決定
2010/87/EU（Commission Decision 2010/87/EU of ５ February 2010 on standard contractual clauses
for the transfer of personal data to processors established in third countries under Directive 95/46）」を指すと思われる。当該判決中に、これに対する略称として「‘the SCC Decision’」と記載があるためである。

17【仮訳作成者注】原文「Implementing Decision 2016/2297」は、「COMMISSION IMPLEMENTINGDECISION (EU) 2016/2297 of 16 December 2016 amending Decisions 2001/497/EC and 2010/87/EU
on standard contractual clauses for the transfer of personal data to third countries and to processors
established in such countries, under Directive 95/46/EC of the European Parliament and of theCouncil」を指す。

18【仮訳作成者注】シュレムスII判決のパラグラフ68に、アイルランド高等法院がEUCJに提起した予備判決のための付託質問(1)から（11）までが記載されている。質問（8）に対するEUCJの回答は判決パラ
グラフ106から121に記載されている。当然ながら、本判例法ダイジェスト冒頭に記載される質問９件とは区別される。

19【仮訳作成者注】原文「the Commissioner」について、当該判決中（脚注３参照）に「the Data
Protection Commissioner (Ireland) (‘the Commissioner’)」と言及されることから、アイルランド国データ保護委員会を指すことが分かる。

23

第三国への移転：保護水準の十分性 - 標準契約条項／SCC決定の有効性（シュレムスII 判決）
a)

十分性認定とSCC決定の違いについて「129. このような標準契約条項に関する決定は、GDPR第45条第３項に従って採択された十分性認定とは異なる。十分性認定の目的は、特に、国家安全保障並びに国家機関による個人デー
タに対するアクセスについて関連する法制を勘案して当該第三国の法制を審議した上で、第三国又はその国内の地域若しくは特定部門が保護水準の十分性を確保していること、並びに、それゆえその第三国の公的機関によるそのようなデータに対するアクセスが第三国へのそのような個人データの移転を妨げないことを、拘束力をもって認めることである。したがって、このような十分性認定を欧州委員会が採択できるのは、その分野における第三国の関連する法制が、全ての必要な保証を実際に提供しており、その法制が適切な保護水準を確保していると結論付けることができると、欧州委員会が判断した場合のみである。」「130. 対照的に、SCC決定など、標準データ保護条項を採択する欧州委員会決定の場合は、そのような決定が第三国又は第三国国内の地域若しくは特定部門に言及しない限り、個人データの移転先となり得る第三国が確保する保護水準の十分性を、欧州委員会がそのような決定を採択する前に標準データ保護条項に従って評価することを要求されていることをGDPR第46条第１項及び第46条第２項(c)から推論できない。」「131. GDPR第46条第１項によれば、欧州委員会の十分性認定がない場合、EU内に拠点のある管理者又は処理者が、特に、適切な保護措置を提供することになっている。GDPRの前文第108項及び第114項は、欧州委員会が第三国におけるデータ保護水準の十分性に関する認定を採択していない場合、管理者又は関連する場合における処理者が、『データ主体のための適切な保護措置という方法によって、第三国内におけるデータ保護の欠落を補うための措置を講じなければならない』ことを確認している。
EDPBの「Recommendations 01/2020 on measures that supplement transfer tools to ensurecompliance with EU level of protection of personal data（EUにおける個人データの保護水準への準拠を確保するために移転ツールを補完する措置に関する勧告01/202020）」を参照されたい。下記から入手可能であり、2020年12月21日までパブリック・コンサルテーションに付された。
edpb_ recommendations_202001_supplementarymeasurestransferstools_en.pdf (europa.eu)
さ ら に EDPB は 、 「 Recommendations 02/2020 on the European Essential Guarantees forsurveillance measures（監視措置のための欧州の本質的な保証に関する勧告 02/202021）」を採択した。プライバシー及びデータ保護の基本的な権利に対する、個人データの移転に際する監視措置による干渉の正当化に関する第29条作業部会のワーキング・ドキュメントを更新のうえ統合したものであり、下記に掲載されている。
edpb_recommendations_202002_
europeanessentialguaranteessurveillance_en.pdf(europa.eu)

20【仮訳作成者注】ガイドライン名和文は、本仮訳のための便宜的な暫定訳であり、定訳ではない。

21【仮訳作成者注】同上。

24

b)
SCCと第三国の法的枠組みとの関係 - SCCを補完する他の条
項又は追加的保護措置が必要である可能性「132. 標準データ保護条項は、本質的に契約的なその性質上、第三国の公的機関を拘束できない[...]が、憲章第７条、第８条及び第47条に照らして解釈されるGDPR第44条、第46条第１項及び第46条第２項(c)は同規則が保証する自然人の保護水準が損なわれないことを要求するため、標準データ保護条項に含まれる保証を補完することが必要となる場合がある。この点に関して、
同規則前文第109項に次の通り述べられている。『欧州委員会［中略］によって採択された標準データ保護条項を管理者［中略］が使用する可能性は、[それが]他の条項や追加的な保護措置を加えることを妨げるもの[でもない]。』また、特に、管理者は、『標準［データ］保護条項を補完する［中略］、追加的な保護措置を提供することが奨励されなければならない。』と述べられている。

c)
管理者若しくは処理者の責任、又はその責任が果たされない場合には監督当局の責任「134. GDPR第46条第２項(c)に規定される契約的メカニズムは、EU内に拠点をもつ管理者又はその下請業者、そして代替的には監督当局の責任に基づく。それゆえ、下記は、何よりも当該管理者又は処理者の責任である。標準データ保護条項が提供するものに対する追加的な保護措置を移転先となる第三国の法律が必要に応じて提供することにより、同号に従って移転される個人データの、EU法のもとでの適切な保護が確保されているかを、ケースバイケースで、かつ、必要に応じて、データの取得者と協働で検証すること。」「135. EU内に拠点をもつ管理者又は処理者が、そのような保護を保証するための十分な追加的措置を講じることができない場合、管理者又は処理者が、又はその責任が果たされない場合には監督当局が、関係する第三国への個人データの移転を中断又は終了することが求められる。これが該当するのは、特に、第三国の法律が、EUからの個人データの取得者に対して当該標準データ保護条項22に反する義務を課し、それゆえ、第三国の公的機関によるそのデータへのアクセスに対する保護水準の十分性に対する、契約上の保証に影響を与えることが可能である場合で
ある。」

d)

SCCの有効性についての結論

欧州連合司法裁判所23は、（SCCに関する）決定2010/87の有効性を審議している。同裁判所は、
同決定の標準データ保護条項が、その契約的な性質がそれゆえ、データの移転先となる可能性のある第三国の当局を拘束しないという事実だけでは、同決定の有効性は問われないと判断する。
その有効性が依拠するのは、同決定に下記が含まれるか、である。EU法で要求される保護水準に対する遵守の確保を実務上可能にし、当該標準データ保護条項違反の場合又は遵守が不可能な場合には、当該標準データ保護条項に従った個人データの移転が中断又は禁止される効果的なメカニズム（パラグラフ137）。
22【仮訳作成者注】原文は、「those clauses」である。パラグラフ 134 の「標準データ保護条項（standard
data protection clauses）」を指していると思われるため、その旨明示した。

23【仮訳作成者注】原文は、「the Court」であり、当該出典シュレムス II 判決中「the Court」は欧州連合
司法裁判所を指すが、本段落の記述は、参照先のパラグラフ 137 の厳密な引用ではないため、EDPS
がパラグラフ 137 を参照し記述した個所と思われる。このため、「the Court」の仮訳は、「当裁判所」ではなく「欧州連合司法裁判所」とした。
25

同裁判所は、決定2010/87がそのようなメカニズムを確立していると判断する（この点について
は、パラグラフ138から146を参照）。

プライバシー・シールドの規定による保護水準を評価することの必要性について（シュレムスII
判決）「161. したがって、プライバシー・シールドの認定が、憲章に照らして読まれたGDPRに由来する要件に準拠しているかが審議されるべきである。」

理由は以下の通り。
「154. 特に、米国が保護水準の十分性を確保しているというプライバシー・シールドの認定における判断が拘束力を有するかという疑問は、次の両方の義務を評価する目的において関連性を有する。SCC決定付属書の標準データ保護条項に従って第三国に移転される個人データの管理者及び取得者の義務（上記パラグラフ141及び142(*)に定められるとおり）、並びに、監督当局がそのような移転を停止又は禁止する目的で負う可能性のある全ての義務。」(*) [パラグラフ141「同附属書第４条(a)並びに第５条(a)及び(b)により、EUに拠点をもつ管理者
及び個人データの取得者は、次の確認を行う義務を負う。第三国に個人データを移転する前に、移転先であるその第三国の法制によってその取得者が、SCC決定の附属書に記載される標準データ保護条項を遵守可能となること。」。パラグラフ142「EUに拠点をもつ管理者及び個人データの取得者は、あらゆる移転の前に、関係する第三国でEU法により要求される保護水準が尊重されているかを確認する必要がある。取得者は、上記標準データ保護条項24を遵守できないことがある場合、第５条(b)に基づき、必要に応じてこれを管理者に通知する義務を負い、これを受けて管理者はデータの移転を停止するか若しくは契約を解除する（又はその両方を行う）義務を負う。」]

第三国への移転：プライバシー・シールドの保護水準の十分性（シュレムスII 判決）a) 欧州連合司法裁判所における事案において、本質的に同等の保護水準を確保することを目的とした国際的な約束及び実務、その性質並びに範囲「163. プライバシー・シールド認定の第１条第１項で欧州委員会は、米EU間プライバシー・シー
ルドのもとでEUから米国内の組織に移転される個人データに対する保護水準の十分性を米国が確保していることを認定したが、後者25は特に、同認定第１条第２項に従って、米国商務省が2016

24【仮訳作成者注】原文は、「those clauses」である。前述パラグラフ141「その取得者が、SCC決定の附
属書に記載される標準データ保護条項を遵守可能となること」を勘案し、標準データ保護条項を指していると思われる。

25【仮訳作成者注】引用元である2016年７月12日付プライバシー・シールド判決中で、前出のパラグラ
フ162に十分性認定の記載があることから、この十分性認定と対比してプライバシー・シールド認定が「後者」と記載されていると思われる（「後者」は、当パラグラフ163に記載される構成要素からも、プライ
バシー・シールド認定を指すことが理解される）。
26

年７月７日に公表した原則（同認定附属書 IIに記載）並びに公式の表明及び約束同認定附属書 I
及びIIIからVIIに掲載される文書に記載）から構成される。」b) 米国の法秩序とプライバシー・シールド原則の関係「164. さらに、プライバシー・シールド認定は、付属書 IIの第 I.５項で、『米EU間プライバシー・シールド・フレームワーク原則』という見出しのもと、それらの原則の遵守は、特に『国家安全保障、
公共の利益、又は法執行上の要件を充足するために必要な範囲』で制限できるとしている。したがって、この認定は、決定2000/520と同様に、それらの要件がそれらの原則より優先されることを規定しており、EUから個人データを取得する米国の自己認証組織は、原則が要件と矛盾し、従って要件と両立しないことが判明した場合、この優先性に基づき、原則を無制限に無視する義務を負う。

c) 上記の関係並びに第三国の法秩序の関連する側面の評価を勘案した結論
それらのすべての根拠（パラグラフ168から200までを参照）に基づき、欧州連合司法裁判所は
2016/1250決定（プライバシー・シールド）は無効であると宣言する（パラグラフ199から201まで）。

干渉となる個人データの移転：当該干渉が合法となるためには、憲章第52条の遵守が必要である（シュレムスII 判決）「165. その全般的な性質に照らせば、プライバシー・シールド認定の附属書 IIの第 I.５項に記載される例外は、国家安全保障及び公益の要件、あるいは米国の国内法制に基づいてEUから米国に個人データが移転されているか移転され得る者の基本的な権利に対する干渉を可能にしている［中略］。特に、プライバシー・シールド認定に記載されるように、このような干渉は、FISA第702
条及び大統領令12333号に基づくPRISM及びUPSTREAM監視プログラムを通じて、米国の公的機関が、EUから米国に移転される個人データにアクセスし、それを使用することによって生じる可能性がある。」「174. 憲章第52条第１項第１文によれば、憲章で認められる権利及び自由の行使に対する全ての制限は法律で規定されなければならず、それらの権利及び自由の本質を尊重するものでなければならない。憲章第52条第１項第２文の下では、比例性の原則に従い、それらの権利及び自由に制限を加えることができるのは、それらが必要であり、かつ、EUが認める全体的な利益の目的、又は他者の権利及び自由を保護する必要性を真に満たす場合に限られる。」(パラグラフ178も参照)「175. 前述の点に続き、基本的な権利の行使に対するいかなる制限も法律によって規定されなければならないとする要件は、それらの権利に対する干渉を許可する法的根拠自体が、関係する権利の行使に対する制限の範囲を規定しなければならないという意味を含むことを付言するべきである。」「176. 最後に、個人データの保護の例外及び制限は厳密に必要な範囲にのみ適用されなければならないとする比例性の要件を充足する目的において、干渉を伴う問題となる法制は、問題と27

なる措置の範囲及び適用を規定し最低限の保護措置を課す明確かつ正確な規則を定めなければならならない。データが移転された者が自らの個人データを不正使用のリスクから効果的に保護するための十分な保証を得られるように、である。法制は、特に、そのようなデータの取扱いを規定する措置が採択されることができる状況及び条件がどのようなものかを示し、それにより干渉が厳密に必要なものに限定されることを確保しなければならない。そのような保護措置に対する必要性は、個人データが自動化された取扱いの対象となる場合には一層高まる。［...］」「177. そのために、GDPR第45条第２項（a）は、保護水準の十分性を評価する場合、欧州委員会
は、特に、個人データが移転されるデータ主体のための『効果的で執行可能なデータ主体の権利』を勘案することになっている、としている。」

干渉は厳密に必要なものに限定されるべきであり、プライバシー及び個人
データの保護に対する基本的な権利の本質を損なってはならない。
欧州連合司法裁判所の見解では、欧州委員会が2016/1250決定で評価した、EUからその第三国に移転された個人データ26に対する米国の公的機関によるアクセス及び利用に関する、米国の国内法に起因する個人データの保護に対する制限は（PPD-28とともに読まれた場合のFISA第702条及び大統領令12333号27に基づく監視プログラムが厳密に必要なものに限定されない範囲
において）EU法の下で比例性の原則により要求される要件と本質的に同等の要件を充足する形
式で制限されていない（パラグラフ184及び185）。
同裁判所は、FISA第702条は「監視プログラムを実施するために同条が付与する権限に何の制限も示していない」（パラグラフ180）と指摘する。
同裁判所は、「大統領令12333号に基づく監視プログラムについては、米国当局に対して法廷で行使可能な権利を同令が付与していないことは、当裁判所の資料から明らかである」ことを強調している(パラグラフ182)。
欧州連合司法裁判所は次のとおり付言する。「上記２つのパラグラフで言及されるプログラム28の適用にあたり準拠しなければならないPPD-28では、『情報機関29が特定のターゲットに関連する識別子を使用して［…］収集を絞り込むことができない状況で、比較的大量のシギント（SIGnals
26【仮訳作成者注】原文は「such data」であるが、同文後続の(英文では前出となる)「米国の国内法に起因する個人データ」を指していると思われるため、「個人データ」と記載した。

27【仮訳作成者注】原文は「those provisions」であるが、引用元である2020年７月16日付シュレムスII判決、パラグラフ184（※）を参照すると、PPD-28とともに読まれた場合のFISA第702条及び大統領令12333
号を指すと思われるため、その旨明示した。
(※)「184 It follows therefore that neither Section 702 of the FISA, nor E.O. 12333, read in conjunction
with PPD-28, correlates to the minimum safeguards resulting, under EU law, from the principle ofproportionality, with the consequence that the surveillance programmes based on those
provisions cannot be regarded as limited to what is strictly necessary.」
28【仮訳作成者注】FISA第702条及び大統領令12333号に基づく監視プログラムを指すと思われる。

29【仮訳作成者注】原文は「Intelligence Community」であり、各国の政府が設置している情報機関によって組織されている機関を指す。特にアメリカ合衆国は、CIA（中央情報局）、NSA（国家安全保障局）、
DIA（国防情報局）、NRO（国家偵察局）、FBI（連邦捜査局）など多数の情報機関が存在している。

28

INTelligence）情報又はデータを［…］’一括して’』収集することが可能である。これは、プライバシ
ー・シールド認定の附属書VIに明記される米国商務省及び同省国際貿易局宛ての米国国家情報局（Office of the Director of National Intelligence）の2016年６月21日付の書簡に記載されるとおりである。そのような収集が可能であることにより、大統領令12333号に基づく監視プログラムの状況下で米国に移転中のデータへのアクセスが（それを一切の司法審査の対象とすることなく）可能になるが、それは、いかなる場合においても、個人データのそのような一括収集の範囲を十分に明確かつ正確に画定していない。」(パラグラフ183)

干渉となる個人データの移転：憲章第47条の遵守が必要となる「186. EUで要求される保護水準にも寄与する憲章第47条（GDPR第45条第１項に基づいて十分性認定を採択する前に欧州委員会がその遵守を見極める必要がある）に関しては、EUの法律で保証される権利及び自由が侵害されるすべての者が、同条に定められる条件に従って、法廷での効果的な救済に対する権利を有することが憲章第47条第１項の要件である点に留意するべきである。同条第２項によれば、すべての者は独立した公平な法廷による審理を受ける権利を有する。」「188. そのため、GDPR第45条第２項（a）は、欧州委員会に対して、同委員会が第三国の保護水
準の十分性を評価する際に、特に『その個人データが移転されつつあるデータ主体のための効果的な行政上及び司法上の救済』を勘案することを求める。GDPRの前文第104項は、この点について、第三国は『効果的な、独立したデータ保護監督を確保し、かつ、加盟各国のデータ保護機関との協力の仕組みを定めなければならない』と示し、さらに次の通り付言する。『データ主体は、効果的で執行可能な権利並びに効果的な行政救済及び司法救済を与えられるものとしなければならない。』」

干渉となる個人データの移転：憲章第８条第３項の遵守が必要となる
この点については、憲章第47条の要件に加え、憲章第８条第３項の要件も考慮する必要がある
ことを想起する価値がある。
独立機関による監督を受ける権利は、憲章第８条第３項及びTFEU第16条第２項に、個人デー
タ保護に対する権利の具体的な要素として規定される。欧州連合司法裁判所は、憲章第８条第３項を解釈・適用する際、DPA30の「完全な」独立性を主張した。この点について、特に、意見書1/15「EU-カナダPNR協定」パラグラフ229を参照されたい。「当裁判所の判例法に従って、（TFEU第16条第２項にもその設置が規定される）そのような監督当局の独立性に対する保証は、個人データの取扱いに関する個人の保護に関連する規則の遵守に対する監視の実効性及び信頼性を確保することを目的としており、その目的に照らして解釈されなければならない。したがって、独立監督当局の設置は、個人データの取扱いに関する個人の保護に不可欠な要素である（2010年３月９日付判決、欧州委員会対ドイツ、C-518/07、EU:C:2010:125、第25項。2014年４月８日付判決、欧州

30【仮訳作成者注】データ保護機関（data protection authority）を指す。

29

委員会対ハンガリー、C-288/12、EU:C:2014:237、第48項。2015年10月６日付判決、Schrems、C362/14、EU:C:2015:650、第41項）。」

効果的な司法救済及び行政救済（シュレムスII 判決）「191. この点について欧州委員会は、プライバシー・シールド認定の前文第115項で、次の通り述べている。『EUのデータ主体を含む個人は、[...]自らが、国家安全保障を目的とした違法な（電子的）監視の対象となった場合に多くの救済手段を有するが、一方、米国の諜報当局が利用する
可能性のある少なくとも一部の法的根拠（大統領令12333号など）は対象とならないことも同様に明らかである。』このように、欧州委員会は前文第115項で、大統領令12333号に関して、救済メカ
ニズムの欠如を強調した。[...]」「192. さらに、FISA第702条及び大統領令12333号それぞれに基づく複数の監視プログラムに関して、上記のパラグラフ181及び182で指摘されるとおり、PPD-28及び大統領令12333号のいずれも、米国当局に対して法廷で行使可能な権利をデータ主体に与えておらず、このことからデータ主体は効果的な救済を受ける権利を有さないことになる。」
欧州連合司法裁判所は、当該認定31で言及されるオンブズパーソンのメカニズムは、EU法により要求されるものと実質的に同等の保証を提供する組織に持ち込むことができる請求原因をデー
タ主体に提供していないとする。例えばそのメカニズムが提供するオンブズパーソンの独立性並びに米国の諜報機関に対して拘束力を有する決定を採択する権限をオンブズパーソンに付与する規則の存在の両方を確保するといったことである(パラグラフ195から197まで）。

31【仮訳作成者注】「当該認定」とは、具体的にはプライバシー・シールド認定を指すことが、シュレムス
II 判決パラグラフ197(※)からわかる。(※)「Therefore, the ombudsperson mechanism to which thePrivacy Shield Decision refers does not provide any cause of action before a body which offers the
persons whose data is transferred to the United States guarantees essentially equivalent to thoserequired by Article 47 of the Charter.」
30

4

REPLIES TOQUESTIONS

質問に対する回答

1

GDPR第５章（指令95/46の第４章）の意味における第三国への移転が発生するのは、どの時点か。欧州連合司法裁判所は、移転の有無を判断するためにどのような基準を用いているか。移転に適用される全体的なデータ保護体制はどのようなものか。

第三国への個人データの移転（リンドクヴィスト判決）

リンドクヴィスト氏は、スウェーデンのプロテスタント教会の教区で共にボランティアとして活動していた多数の人々についての個人データを自分のインターネット・サイトで公開したことから、スウェーデンのデータ保護法制違反で起訴された。本件の付託元となった裁判所32（Göta控
訴裁判所）は、同裁判所での刑事訴訟で、予備判決のための付託質問33を提起した。同裁判所
は、特に、リンドクヴィスト氏が指令95/46の意味での第三国へのデータ移転を行っていたかを立証することを求めた。
欧州連合司法裁判所は、次のように判断した。「ある加盟国の個人が、個人データを当該国又は他の加盟国に拠点のある自分のホスティング・プロバイダに格納されるインターネット・ページに読み込み、それにより、それらのデータを、第三国の人々を含む、インターネットに接続する全ての者にとってアクセス可能とした状況では、指令95/46第25条の意味での『第三国への（データの）移転』は一切存在しない。」。(パラグラフ71)。

32【仮訳作成者注】原文はreferring courtである。欧州連合司法裁判所に付託を行った裁判所という趣旨であると思われる。本仮訳において、以降、「付託裁判所」と記載する。

33【仮訳作成者注】本判決の第２項に記載されるとおり、リンドクヴィスト氏に対してGöta控訴裁判所での刑事訴訟で提起された質問であり、７件の質問が第29項から第99項に記載されている。当然ながら、
本判例ダイジェスト冒頭に記載される質問９件とは区別される。

31

(i) 法律における定義の欠如「56. 指令95/46は、第25条でも、第２条を含む他のいずれの規定においても、『第三国への移転』という表現を定義づけていない。」(ii) それでも、欧州連合司法裁判所はいくつかの基準を提供している「57. 個人データをインターネットのページ上に読み込むことが、単にそれにより、それらのデータを第三国の人々にとってアクセス可能になるという理由で、指令95/46第25条の意味で当該データの第三国への「移転」を構成するかを判断するには、次の両方を勘案する必要がある。
・実施された操作の技術的性質
・第25条が記載される当該指令第４章の目的及び構造」
従って、下記を勘案する必要がある。

(a) 第一に、実施された操作の技術的性質について指摘すること「59. リンドクヴィスト氏のような個人にとって1990年代に利用可能であったインターネットの利用の手続では、インターネットでの公開を目的としたページの作成者は、そのページを構成するデータを自分のホスティング・プロバイダに送信する。プロバイダは、これらのデータの保存並びにサイトをホストするサーバーの、インターネット接続に必要とされるインフラを管理し、その結果、インターネットに接続しアクセスを試みる全ての人に対して、それらのデータのその後の送信が可能となる。そのインフラを構成するコンピュータは、ホスティング・プロバイダの拠点がある国以外の１か国以上に設置されている可能性があり、実際にそうであることが多いが、プロバイダのクライアントはこれを認識せず、また、認識する立場にもない。
「60. 当裁判所の資料によると、リンドクヴィスト氏が同僚に関する情報を掲載したインターネ
ット・ページに表示される情報を入手するためには、インターネットの利用者は、インターネットに接続するのみならず、これらのページを参照するために必要な行動を自ら起こすことが必要であるようである。つまり、リンドクヴィスト氏のインターネット・ページには、それらのページに意図的にアクセスしようとしない人々に自動的にその情報を送るための技術的手段は含まれなかった。」「61. 従って、本件のような状況では、インターネット・サイトに個人データを読み込んだ者に由来し第三国の者のコンピュータに表示される個人データは、それらの二者間で直接的に移転されたのではなく、ページが格納されるホスティング・プロバイダのコンピュータ・インフラスト
ラクチャーを介して移転されたことになる」。

(b) 第二に、ケースバイケースでの評価が必要であり、立法府の意図（移転に関する規定の目的及び構造）並びにデータ取扱いが第三国への移転に該当するかどうかの検討結果を考慮すること「62. この観点から、欧州共同体の立法府が、指令95/46の第４章の適用の目的で、当該指令第25条の意味における『第三国への（データの）移転』という表現に、リンドクヴィスト氏が実施したような活動を含めることを意図していたかが検討されなければならない。付託裁判所に32

よる５つ目の質問は、それらの活動のみに関係しており、ホスティング・プロバイダらにより実施された活動には関係しないことが強調される必要がある。」「67. 指令95/46第４章には、インターネットの利用に関連する規定は存在しない。特に、ホスティング・プロバイダにより実施される操作が、サービスの拠点、事業所在地、又はコンピュータ若しくはサービスのインフラストラクチャを構成する複数のコンピュータの所在地で発生するとみなされるべきかを決定する基準は定められていない。」「68. 第一に、指令95/46の策定時点でのインターネットの発展状況、第二に、インターネットの利用に適用される基準が第４章に存在しないこと、を考慮すると、欧州共同体の立法府が、リンドクヴィスト氏の立場にある個人によるインターネットのページへのデータの読み込みを、『第三国への（データの）移転』という表現の対象とすることを意図していたと推定することはできない。たとえ、それにより、それらのデータが、それらにアクセスするための技術的手段を持
つ第三国の者にとってアクセス可能となったとしても、である。」「69. 仮に指令95/46第25条が、個人データがインターネットのページに読み込まれるたびに「第三国への （データの）移転」があることを意味すると解釈される場合、必然的にその移転は、インターネットにアクセスするために必要な技術的手段が存在するすべての第三国への移転であることとなる。それゆえ、当該指令第４章に規定される特別な制度が、インターネット上での操作に関しては、一般的に適用される制度であることが必定となる。したがって、仮に欧州委員会が、指令95/46第25条第４項に基づいて、たとえ第三国のうち一国でも十分な保護を確保していないと判断した場合であっても、加盟各国は全ての個人データがインターネット上に置かれることを妨げる義務を負うことになる。」「70. したがって、指令95/46第25条は、リンドクヴィスト氏により実施されたような操作それ自体は、『第三国への（データの）移転』を構成しないことを意味すると解釈されるべきであると結論付けざるを得ない。したがって、以下を調査することは不要である。
・関連するインターネット・ページに第三国の個人がアクセスしたか・当該ホスティング・サービスのサーバーが物理的に第三国にあるか」

第三国への個人データの移転（シュレムス判決）a)移転に関する操作の技術的性質
本判決は、Facebook Inc.の子会社であるFacebook Irelandが行った個人データの移転に関するもので、「EU内に居住するFacebook Irelandのユーザーの個人データの一部又は全部が、米国に存在するFacebook Inc.に属するサーバーに移転され、そこで現に取り扱われている」というものである。(パラグラフ 27)「45. 個人データを加盟国から第三国に移転させることからなる操作の実施は、それ自体が加盟国で行われる指令95/46第2条(b)項の意味における個人データの取扱いを構成する（この趣旨で 判決Parliament v Council and Commission, C-317/04 and C-318/04, EU:C:2006:346,

33

パラグラフ56を参照）。同項は、『個人データの取扱い』を『自動的な手段34によるものであるかに関わらず、個人データに対して行われるあらゆる操作（又は一連の操作）の実施』と定義し、例として『送信による開示、配布、又は、それら以外に利用可能なものとすること』を述べている。」b) 移転に適用される法的要件：指令95/46第４章（現在のGDPR第５章）に限定されない「46.指令95/46の前文第60項には、第三国への個人データの移転は、指令に基づいて加盟
国により採択された規定を完全に遵守した場合にのみ実施可能であると記載されている。これに関して、第25条及び第26条を包含する当該指令第４章は、第三国への個人データの移転に対する加盟各国による監視の確保を目的とする体制を定めており、その体制は、個人データの取扱いの適法性に関する一般的な規則を制定する当該指令第２章に定められる、一般的な体制を補完するものである（この点に関して、Lindqvist、C-101/01, EU:C:2003:596、パラグラ
フ63を参照）。

第三国への個人データの移転：国際協定に基づく移転（PNR意見書）

EU及びカナダは、乗客予約記録（PNR：Passenger Name Record）データの移転及び取扱いに関する協定（PNR協定）交渉を実施し、同協定は2014年に署名された。その後、EU理事会が、締結予定の協定35の締結に関する認定を欧州議会に要請し、欧州議会は、これを受けて、締結予定の協定が条約36に適合するかを確認する目的で、当該事項を欧州連合司法裁判所に付託することを決定した。締結予定の協定は、カナダの当局への全ての航空旅客のPNRデー
タの組織的かつ継続的な移転を可能とするものであり、テロや重大な国際犯罪と闘う目的での、データの使用及び保持、並びに、場合によりその後のカナダ国内の他の当局への移転（追加的取扱い）や他国への移転（再移転）を視野に入れたものである。欧州連合司法裁判所は、
2017年７月26日に、当該国際協定について、欧州連合基本権憲章、特に、私生活の尊重及び個人データの保護に関連する規定に対するその適合性について意見書を示した。

34【仮訳作成者注】原文「automatic means」どおり。GDPRやシュレムスII判決で使用される「自動化された手段（automated means）」と区別して「自動的な手段」とした。GDPRやシュレ
ムスII判決で使用される「automated means」、「automated processing」などの、「automated（自動化された）」という表現に対して指令95/46やシュレムス判決では「automatic」で統一さ
れている。

35

【仮訳作成者注】原文は、「the envisaged agreement」であり、PNR意見書４ページに、同文書の付属書の一つとして、次のとおり言及されている。「乗客予約記録データの移転及び取扱いに関するカナダ
及びEU間の協定案（以下、「締結予定の協定」）（the draft Agreement between Canada and theEuropean Union on the transfer and processing of Passenger Name Record data (‘the envisaged
agreement’)）」36【仮訳作成者注】原文には、「the Treaties」とのみ記載されるところ、PNR意見書に「(the provisions of
the Treaties (Article 16 TFEU) 」、との記載があるため、欧州連合の機能に関する条約（通称EU機能条約）を指すと思われる。
34

第三国への移転（シュレムスII 判決）

a) 移転の法的側面「86. 経済事業者である二者間で商業目的のために移転された個人データが、移転時又はその後に、その第三国の当局から公安、防衛、及び国家安全の目的での取扱いを受ける可能性があっても、そのために、その移転をGDPRの範囲から除外することはできない。」（パラグラ
フ87、88も参照）。
「89. GDPR第２条第１項及び第２項は、以下を意味すると解釈されなければならない。
・ 同規則が、移転時又はその後にかかわらず、加盟国に拠点を有する経済事業者による、第三国に拠点を有する他の経済事業者への商業目的での個人データの移転に適用されること
・ データは移転先の第三国の当局による公安、防衛、及び国家安全の目的で取り扱われる可能性がある。」
この点で、この手法を裏付ける、2020年10月６日付けの判決（Privacy International, C623/17）も、参照のこと。（特に、パラグラフ35、39、44、49を参照。パラグラフ44の記述は、特に、次の通り。「[...]当裁判所の判例法によれば、自国の本質的な安全保障上の利益を定義し、内外の安全保障を確保するために適切な措置を採ることは加盟各国の責務であるが、国家安全保障を保護する目的で国内措置が採られたという事実だけでは、当該加盟国は、EU法を適用不可能としこれを遵守する義務を免れることはできない。[...]」b) 移転の法制度：指令95/46第５章（現在のGDPR第５章）に限定されない。
「82. GDPRは、同規則第２条第１項に基づいて、以下に適用される。全体又は一部が自動化された手段による個人データの取扱い、並びに、ファイリングシステムの一部を形成するか、それを形成することが意図される個人データに対する、自動化された手段以外による取扱い。同規則第４条第２項は、「取扱い」を「自動化された手段によるか否かを問わず、個人データ若しく
は一群の個人データに対して実施される操作又は一群の操作を意味する。」と定義し、例として「送信による開示、配布、又は、その他の形で利用可能なものとすること」を挙げるが、EU内で発生する操作と第三国に関連する操作を区別しない。さらに、GDPRは、個人データの第三国への移転を、その第５章の「第三国又は国際機関への個人データの移転」と題される個別の規則の対象としており、その目的で、監督当局に、同規則第58条第２項（j）に記載される個別の権限も付与している。」

35

2 次の場合、移転に関して国家監督当局が利用できる権限は何か？
a) セーフ・ハーバー、b) 標準契約条項（SCC）、c) 国際協定。

第三国への移転 ：セーフ・ハーバー。移転に関して国家監督当局が利用できる権限（シュレムス判決）

付託裁判所が問うているのは、本質的に、憲章第７条、第８条及び第47条に照らして読まれた場合の指令95/46の第25条第６項は、下記を意味すると解釈されなければならないか、そして、どの程度そう解釈されなければならないかである。同項に基づいて採択される決定（例えば、欧州委員会が、第三国が保護水準の十分性を確保していると認定する決定2000/520）により、加盟国の監督当局が、同指令第28条の意味において、個人の主張（当該個人が、その第三国で有効な法律及び実務が保護水準の十分性を確保していないと主張する状況で加盟国から当該第三国に移転された自らに関連する個人データの取扱いに対する自らの権利及び自由の保護に関する主張）を審議できるようになることから妨げられる。
「55. 指令95/46第28条第４項第１サブパラグラフに基づいて、国内の監督当局は、『個人データの取扱いに関する自己の権利及び自由の保護に関して［中略］あらゆる者から申し立てられる苦情』を審理するべきであることが定められるが、欧州委員会が当該指令第25条第６項に基づく決定を採択しているなか、同サブパラグラフはこの点についていかなる例外も規定していない。」「56. 第25条第６項に従って採択された欧州委員会決定の対象となる第三国に加盟国から移転されたか移転される可能性がある個人データの取扱いに関しての、当人の権利及び自由の保護に関する個人の苦情を、国家監督当局が審理することを妨げる効果を、当該決定が持つとすれば、それは、指令95/46に定められた制度及び指令95/46第25条及び第28条の目的に反することになる。」「57. [...]指令95/46第28条は、その性質上、個人データのあらゆる取扱いに適用される。したがって、欧州委員会が当該指令第25条第６項に基づく決定を採択している場合でも、国家監督当局は、個人が自己に関連する個人データの取扱いに関する権利及び自由の保護に関して申し立てる苦情を審理する場合、当該データの移転が指令に定められる要件に準拠しているかを完全な独立性をもって審理できなければならない。」「65.国家監督当局に苦情を提出した者が自らの個人データの取扱いに関する権利及び自由の保護について提起した異議に十分な根拠があると、当該監督当局が考える場合、当該監
督当局は、特に憲章第８条第３項に照らして読まれた場合の指令95/46第28条第３項第１サブ
パラグラフ第３インデントに従って法的手続きに関与できなければならない。国内の立法府は、
国家監督当局が十分な根拠があると考える異議を国内の裁判所に提出することを可能にする
法的救済措置を規定する義務を負う。国内の裁判所が欧州委員会決定の有効性に対する疑念を共有する場合、決定の有効性の審議を目的とする予備的裁定のための付託が行われる
ように、である。」

36欧州連合司法裁判所37は、第三国が保護水準の十分性を確保していることを欧州委員会が認定する決定が個人のプライバシーの保護並びに基本的な権利及び自由の保護に適合しているかを、疑問視する可能性のある事項を提出する者がいる状況で、2000/520/EC決定第３条は、指令95/46/EC第28条に由来する権限を国家監督当局に与えない限りにおいて無効であると判断した（パラグラフ102から104まで）。

移転に関して国家監督当局が利用できる権限（PNR意見書）「228. 憲章第８条第３項に基づき、同第８条第１項及び第２項に由来する要件に対する［国際協定による］遵守は、独立機関による管理の対象とされる」。
独立監督当局に対する要件がPNR協定において十分充足されていなかったことも想起する価値があるかもしれない。（パラグラフ230から231参照。「230. この例では、締結予定の協定の第10条第１項第１文によると、PNRデータの取扱いに関するデータ保護のための保護措置は『独立の公的機関』又は『行政的手段により設立され、その機能を公平に行使し、自律性の実
績を有する機関』による監視の対象となる。同項は、監視は独立機関により行われるとそれが定める限り、憲章第８条第３項に定める要件に対応している。対照的に、代替案では、完全に独立して任務を遂行するのではない機関により、部分的又は全体的に、監視が遂行されることを認めているようである。追加の監督当局に従属して指示を受ける可能性があり、それゆえその決定に影響を及ぼす可能性のある外部の影響から自由ではない機関である。
231. それらの状況で、また、法務官がその意見書の第316ポイントで指摘するように、締結
予定の協定第10条は、PNRデータの取扱いに関する個人の保護に関連して同協定に定められる規則の遵守に対する監視が、憲章第８条第３項の意味における独立機関によって行われることを十分に明確かつ精緻に保証していない。）

第三国への移転：SCCの規定による保護水準の十分性。移転に関して
国家監督当局が利用できる権限（シュレムスII判決）「146. SCC決定38第４条は、実施決定2016/229739の前文第５項に照らして読むと、同決定附
属書に記載される標準データ保護条項に従って監督当局が第三国への個人データの移転を
37【仮訳作成者注】原文は、「the Court」であるが、当該段落がパラグラフ102から104（文尾に記載される）の厳密な引用ではないため、EDPS作成によるそれらの概要であると思われることから、判決と区別する目的で「欧州連合司法裁判所」と記載し、当該段落が第三者による記述であることを明示した。

38【仮訳作成者注】原文「the SCC Decision」は、2020年７月16日付EUCJシュレムスII判決英文（https://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=E
N&mode=lst&dir=&occ=first&part=1&cid=2333813）中の「指令95/46に基づき第三国に拠点を有する処
理者への個人データの移転に関する標準契約条項に関する2010年２月５日付欧州委員会決定
2010/87/EU（Commission Decision 2010/87/EU of 5 February 2010 on standard contractual clauses
for the transfer of personal data to processors established in third countries under Directive 95/46）」を指すと思われる（当該判決中に、これに対する略称として「‘the SCC Decision’」と記載があるため）。

39【仮訳作成者注】原文「Implementing Decision 2016/2297」は、「COMMISSION IMPLEMENTINGDECISION (EU) 2016/2297 of 16 December 2016 amending Decisions 2001/497/EC and 2010/87/EU

37

必要に応じて停止又は禁止することを、SCC決定は妨げないという見解を支持している。この点で、質問８に対する回答40から明らかなように、GDPR第58条第２項(f)及び(j)が当該第三国で遵守されていないか、又は遵守されることができず、移転されたデータに対してEU法が要求する保護が他の手段で確保できない状況で、管理者又は処理者が自ら移転を一時停止又は終了していない場合には、監督当局は、有効な欧州委員会の十分性認定がない限り、これらの号に基づき、自らの見解及び当該移転のすべての状況に照らして、当該移転を一時停止又は禁止することが求められる。」「147. アイルランド国データ保護委員会41が強調した、そのような第三国への個人データの移転に関して、様々な加盟各国の監督当局が異なる決定を下す可能性があるという事実に関しては、GDPR第55条第１項及び第57条第１項(a)から明らかなように、その規則を施行する任
務は、原則として各監督当局に加盟各国の領域内で付与されていることを付言する必要がある。さらに、異なる決定が下されることを回避するために、GDPR第64条第２項は、次のとおり規定する。第三国へのデータの移転が原則として禁止されなければならないと判断する監督当局は、当該事項について欧州データ保護会議（EDPB）に意見を照会できる。EDPBは、特に、下された意見に監督当局が従わない場合、GDPR第65条第１項（c）に基づき拘束力のある決定を採択できる。」

on standard contractual clauses for the transfer of personal data to third countries and to processors
established in such countries, under Directive 95/46/EC of the European Parliament and of theCouncil」を指す。
40【仮訳作成者注】シュレムスII判決のパラグラフ68に、アイルランド高等法院がEUCJに提起した予備判決のための付託質問(１)から（11）までが記載されている。質問（８）に対するEUCJの回答は判決パラ
グラフ106から121に記載されている。当然ながら、本判例ダイジェスト冒頭に記載される質問９件とは区
別される。

41

【仮訳作成者注】原文「the Commissioner」について、当該判決中（脚注３参照）に「the Data
Protection Commissioner (Ireland) (‘the Commissioner’)」と言及されることから、アイルランド国データ保護委員会を指すことが分かる。

38

3 次の場合、保護水準の十分性は何を意味するか。a) 第三国への移転の場合、b)第三国への移転の場合であって、 特に、セーフ・ハーバー（及びプライバシー・シールド）の規定による場
合、c) 第三国への移転の場合であって、特に、標準契約条項（SCC）の規定による場合。

第三国への移転:保護水準の十分性（シュレムス判決）「74. 指令95/46第25条第6項の明示的な文言から、保護水準の十分性を確保しなければな
らないのは 欧州委員会決定の対象である第三国の法的秩序であることは明らかである。この関連で、当該第三国がそのような保護水準を確保する目的で依拠する手段は、憲章に照らして読まれる指令95/46に由来する要件を確実に遵守するためにEU内で用いられる手段とは異なる可能性があるとしても、それでもなお、それらの手段は、EU内で保証される保護と本質的に同等の保護を確保する目的で、実務上有効であることが証明されなければならない。」「75. 指令95/46第25条第２項に基づき、欧州委員会は、第三国が付与する保護水準を審議する際に、第三国への個人データの移転を取り巻くすべての状況を勘案しなければならない。
このため、同委員会は、以下を評価する義務がある。
・当該第三国の国内法又は国際的な約束から生じる、当該第三国で適用される規則の内容
・それらの規則の遵守を確保することを目的とした実務」

第三国への移転：決定2000/520/EC、セーフ・ハーバーの規定による保護水準の十分性（シュレムス判決）a) 欧州連合司法裁判所における事案で本質的に同等の保護水準を確保することを目的とした国際的な約束及び実務、その性質並びに範囲「79. 欧州委員会は、決定2000/520第１条第１項で、以下の点を確認した。『その付属書 I に定められる原則は、米国に拠点を有する組織にEUから移転される個人データに対して保護水
準の十分性を確保する。［中略］同原則が付属書 IIに定められるFAQに提供されるガイダンス
に従って実施されることによってである。』これらの原則及びFAQはどちらも米国商務省により公表されたことが同項から明らかである。」「80. 各組織は、決定2000/520第１条第２項及び第３項をその附属書 II記載のFAQ ６と併せて読んだ場合に明らかなように、自己認証制度に基づきセーフ・ハーバー原則を遵守している。」「81. 第三国が自己認証制度に依拠すること自体は、関係する第三国が『その国内法又は...
国際的な約束を理由に』保護水準の十分性を確保しなければならないとする指令95/46第25条第６項の定める要件に反しないが、その要件に照らした場合、そのような制度の信頼性は、
39

基本的な権利、特に、私生活の尊重及び個人データの保護に対する権利の保護を確保する
規則に対するあらゆる侵害を特定し実際に処罰することを可能にする、効果的な検知及び監督の仕組みを確立することに、本質的に基づく。 」「82. 今回の事例では、決定2000/520の付属書 I の第２項により、セーフ・ハーバー原則は、『セーフ・ハーバー及びそれが生み出す「十分性」があると推定されるとみなす目的で、EUから
個人データを取得する米国の組織のみが使用することが意図される』ものである。したがって、
これらの原則は、EUから個人データを取得する米国の自己認証組織のみに適用される（中略）」。

b)米国の法秩序とセーフ・ハーバー原則の関係「84. 決定2000/520の附属書 I の第４項にもとづいて、セーフ・ハーバー原則の適用性は、特に、『国家安全保障、公共の利益、又は法執行上の要件を満たすために必要な範囲で』制限される場合があり、かつ『相反する義務や明確な権限を設ける制定法、政府規制、又は判例法により制限される場合があるが、ただし、そのような権限の行使において、組織が、原則の不遵守を、そのような権限により優先的に促進される正当な利益を満たすために必要な範囲に限定することを証明できることを条件とする』。
「85. この関連で、決定2000/520は、附属書IVのパートBで、セーフ・ハーバー原則の適用可能性が対象となる制限に関して、『当然ながら、米国法が相反する義務を課す場合、米国の組織は、セーフ・ハーバー内であるかにかかわらず、同法に従わなければならない』としている。」「86. したがって、決定2000/520は、『国家安全保障、公共の利益、又は法執行上の要件』がセーフ・ハーバー原則に対する優位性を有することを規定している。EUから個人データを取得する米国の自己認証組織は、それらの原則がそれらの要件に干渉し、それゆえそれらと両立しないことが判明した場合、この優位性に基づき、それらの原則を制限なく無視することが義務付けられる。」

c) 上記の関係及び第三国の法秩序の関連する側面の評価を考慮した結論「96. 欧州委員会は、指令95/46第25条第６項に基づいて決定を採択するためには、次のことを、理由をきちんと述べて認定しなければならない。『関係する第三国が、EUの法秩序で保証されるものと本質的に同等の基本的権利の保護水準、特に、本判決の上記の複数のパラグ
ラフから明白である水準を、その国内法又はその国際的な約束により実際に確保していること。』「97. しかしながら、欧州委員会は、決定2000/520で、米国が、その国内法又は国際的な約束を理由に、保護水準の十分性を実際に『確保』しているとは述べていない。」「98. したがって、セーフ・ハーバー原則の内容を審議する必要はなく、次の通り結論付けられることになる。『決定2000/520第１条は、憲章に照らして読んだ場合の指令95/46第25条第６項に定める要件に準拠しておらず、それゆえ無効である。』」

40

第三国への移転：国際協定の規定による保護水準の十分性（PNR意見書）「120. TFEU第16条第１項及び憲章第８条の両方に規定される個人データ保護の権利に対する締結予定の協定の適合性に、下記の評価が関連している範囲において、当裁判所は、それらの条項のうち後者のみを参照する。いずれも、全ての者が自らに関する個人データの保護の権利を有することを定めるものの、憲章第８条のみがその第２項で、そのようなデータが取扱われることができる条件をより具体的に定めている。」「122. したがって、PNRデータは、識別される個人、すなわちEUカナダ間の航空旅客、に関する情報を含むため、締結予定の協定の下で当該データが服する可能性のある様々な形態の取扱い、すなわちEUからカナダへのその移転、並びにその使用を目的とする当該データへのアクセス又は実際の保持は、憲章第７条により保障される私生活の尊重に対する基本的な権利に影響する。」「123. さらに、締結予定の協定の対象であるPNRデータの取扱いも、憲章第８条の意味における個人データの取扱いの構成要素であるため、同条の範囲に該当する。したがって、同条の定めるデータ保護要件を必ず満たさなければならない。」「134. 個人データの保護に対する権利は、特に、EU法によって付与される基本的な権利及び自由の高い水準での保護が、個人データがEUから非加盟国に移転される状況で継続することを要件とする。このような保護水準を確保するための手段（本件における国際協定）は、EU法に由来する要件の遵守を確保するためにEU内で用いられる手段とは異なることはあっても、それらの手段は、EU内で保証される保護と本質的に同等の保護を確保するために実務上有効であることが証明されなければならない」。

上記の関係及び第三国の法秩序の関連する側面に対する評価を勘案した上での国際協定の有効性についての結論「232. 上記の全ての考慮に照らして、以下のように判断されなければならない。
(2) 締結予定の協定は、EUからカナダへの機微データの移転並びにそのデータの使用及び保持を排除しない限りにおいて、憲章第７条、第８条、第21条及び第52条第１項と適合しない。42

42【仮訳作成者注】番号が(2)から始まっているが、誤植ではない。下記文書中のパラグラフ232(１)が本ダイ
ジェスト原文で省略されたものである。

EU:C:2017:592 OPINION 1/15 OF THE COURT (Grand Chamber) 26 July 2017（https://curia.europa.eu/juris/document/document.jsf?docid=193216&doclang=EN）41

(3) 締結予定の協定は、憲章第７条、第８条及び第52条第１項に適合する目的で、以下を実施する必要がある。
a)

EUからカナダに移転されるPNRデータを明確かつ正確に決定すること。

b)

PNRデータの自動化された取扱いの状況で使用されるモデル及び基準は、具体的か
つ信頼性を有し、非差別的なものとなることを規定すること。

c)

使用されるデータベースは、カナダがテロリズム及び重大な国際犯罪に対する戦いに関連して使用するものに限定されることを規定すること。

d)

航空旅客のカナダ滞在中及び出国後のカナダ当局による当該データの使用及び他の当局への当該データの開示を、客観的な基準に基づく実質的条件及び手続上の条件に服させること（PNRデータの自動化された取扱いの根拠となる、事前に確立されたモデル及び基準に関する検証の状況を除く）。その使用及び開示を、裁判所又は独立行政機関のいずれかにより行われる事前審査を条件として行うこととし（正当な緊急性が確立している場合を除く）、使用を許可する裁判所又は独立行政機関による判決又は決定は、それらの官庁又は当局による理由ある要請を受け、特に、犯罪の防止、検知又は訴追のための手続きの枠組みの中で下されることとすること。

e)

航空旅客の出国後のPNRデータの保持を、テロリズム及び重大な国際犯罪との戦いの観点からリスクをもたらす可能性があると推察される根拠となる客観的証拠がある
旅客のものに限定すること。

f)

カナダ当局による第三国の政府当局へのPNRデータの開示を、次の条件に従って行うこと。締結予定の協定と同等の協定がEU及び当該第三国間で締結されているか、
又は、指令95/46第25条第６項に基づく欧州委員会による認定がPNRデータの開示が意図される当局を対象として下されているという条件。

g)次の場合の、航空旅客に対する個別の通知の権利を規定すること。航空旅客に関す
るPNRデータが彼らのカナダ滞在中及び出国後に使用される場合並びに、カナダ当局が当該データを他の当局又は個人に開示する場合。

h)

航空旅客に関するPNRデータの取扱いに関する彼らの保護について、締結予定の協定に定められた規則の監視が、独立監督当局によって行われることを保証すること。」
EDPSの比例性に関するガイドライン（EDPS Guidelines on Proportionality（18、26、30、34ページ））、EDPSの必要性及び比例性に関するクイック・ガイド（The EDPS quickguide to necessity and proportionality）も参照。43

43【仮訳作成者注】ガイドライン及びクイック・ガイド名和文は、本仮訳のための便宜的な暫定訳であり、定訳ではない。

42

第三国への移転：標準契約条項の規定による保護水準の十分性 - 評価
（シュレムスII判決）「102. 付託裁判所はまた、GDPR第46条第２項(c)に基づいて採択された標準データ保護条項に従って個人データが第三国に移転される場合の保護水準の十分性を判断する目的においてどの要素が考慮されるべきかを確認することを求めている。」「103. この点で、同項は、そのような移転で遵守されることになる保護水準の十分性を評価する目的で考慮されなければならない様々な要因を列挙していないが、同規則第46条第１項
は、データ主体には適切な保護措置、執行可能な権利、及び効果的な司法救済が付与されなければならないとしている。」「105. [...] GDPR第46条第１項及び第46条第２項(c)は、下記を意味すると解釈されなければならない。『憲章に照らして読んだ場合の同規則によりEU内で保証されるものと本質的に同等の保護水準が、個人データが標準データ保護条項に従って第三国に移転されるデータ主体に付与されることが、これらの項が要求する適切な保護措置、執行可能な権利、及び効果的な司法救済により確保されなければならない。』そのために、そのような移転に関連して付与される保護水準の評価は、特に、下記を双方とも考慮したものである必要がある。『EU内に拠点をもつ管理者又は処理者及び当該第三国に拠点をもつ当該移転の取得者との間で合意された
契約条項並びに、（移転された個人データに対する当該第三国の公的機関によるあらゆるア
クセスに関する）第三国の法制度の関連する側面。』特にGDPR第45条第２項に非網羅的に記載される側面を考慮しなければならない。」

第三国への移転：プライバシー・シールドの規定による保護水準の十分性（シュレムスII判決）a) 欧州連合司法裁判所における事案で、本質的に同等の保護水準を確保することを目的とした国際的な約束及び実務、その性質並びに範囲。
「163. プライバシー・シールド認定の第１条第１項で欧州委員会は、米EU間プライバシー・シールドの下でEUから米国内の組織に移転される個人データに対して米国が保護水準の十分性を確保していることを認定したが、後者44は特に、同認定の第１条第２項にもとづいて、2016
44【仮訳作成者注】引用元である2016年7月12日付プライバシー・シールド判決中で、前出のパラグラフ
162に十分性認定の記載があることから、この十分性認定と対比してプライバシー・シールド認定が「後者」と記載されていると思われる（「後者」は、当パラグラフ163に記載される構成要素からプライバシー・
シールド認定を指すことが理解される）。

43

年７月７日に米国商務省が公表した原則（同認定附属書IIに記載）並びに、公式の表明及び約束（同認定の附属書I及びIIIからVIIに掲載される文書に記載）により構成される。」b) 米国の法秩序とプライバシー・シールドの原則の関係「164. さらに、プライバシー・シールド認定は、付属書 IIの第 I.５項で、『米EU間プライバシー・
シールド・フレームワーク原則』という見出しのもと、それらの原則の遵守は、特に『国家安全保
障、公共の利益、又は法執行上の要件を充足するために必要な範囲』で制限できるとしている。
したがって、この認定は、決定2000/520と同様に、それらの要件がそれらの原則より優先することを規定しており、EUから個人データを取得する米国の自己認証組織は、原則が要件と矛盾し、それゆえ要件と両立しないことが判明する状況では、この優先性に基づき、原則を無制限に無視する義務を負う。」

c) 上記の関係及び第三国の法秩序の関連する側面の評価を勘案した結論
それらのすべての根拠（パラグラフ168から200までを参照）に基づき、欧州連合司法裁判所
は2016/1250決定（プライバシー・シールド）は無効であると判断している（パラグラフ199から
201）。

44

4 次の場合、干渉となる個人データの移転とは、何を意味するか？
a) 憲章第７条及び第８条への干渉。
b) 当該干渉が合法となるためには、特に憲章第47条及び第52条の遵守が必要である。
c) 干渉は厳密に必要なものに限定されるべきであり、プライバシー及び個人データの保護に対する基本的権利の本質を損なってはならない。

干渉となる個人データの移転：憲章第７条及び第８条への干渉と、当該干渉が合法となるためには憲章第52条の遵守が必要である（シュレムス判決）「87. 決定2000/520の附属書 I の第４段落に定められる例外の一般的な性質に照らせば、同決定により、EUから米国に個人データが移転されつつあるか、移転される可能性のある者の基本的な権利に対して、国家安全保障及び公共の利益の要件又は米国の国内法制に基づく干渉が可能となる。」
このような干渉を正当化することが不可能であることについて、欧州連合司法裁判所は、次の通り示した。「第一に、欧州憲章第７条及び第８条により保障される基本的な権利に対する干渉に関わるEUの法制は、措置の範囲及び適用を規定し最低限の保護措置を課す明確かつ正確な規則を定めなければならない。自らの個人データが関係する者が、自らのデータを、それらのデータに対する不正使用のリスク並びにあらゆる不法なアクセス及び使用から効果的に保護することができる十分な保証を得られるように、である。」このような保護措置の必要性
がより一層高まるのは、個人データが自動的な取扱い45の対象となる場合や、このデータへの違法なアクセスのリスクが大きい場合である（パラグラフ91）。

干渉は厳密に必要なものに限定されるべきであり、プライバシー及び個人データの保護に対する基本的な権利の本質を損なってはならない。
私生活の尊重及び個人データの保護に対する基本的な権利の保護は、個人データの保護に関する例外及び制限を厳密に必要な範囲のみに適用することを要件とする。(パラグラフ92)
法制は、以下の場合、厳密に必要なものに限定されない。法制が、EUから移転された全ての者の全ての個人データの保管について、追求される目的に照らして一切の差別化、制限、
45【仮訳作成者注】原文「automatic processing」どおり。GDPRやシュレムス IIで使用される「自動化された取扱い（automated processing）」と区別して「自動的な取扱い」とした。GDPRやシュレムスII判決で使用される「automated means」、「automated processing」など、「automated（自動化された）」という表現に対して、指令95/46やシュレムス判決では「automatic」で統一されている。

45

例外を設けることなく、また、具体的かつ厳しく制限されかつ（データへのアクセス及びデータの使用どちらにも伴われる）干渉を正当化可能とする目的のための公的機関によるその個人
データへのアクセス及びその後の使用の限界を判断する客観的基準を示すことなく、一般化された基準でその保管を許可する場合。 (パラグラフ93)
電子通信の内容に対する公的機関によるアクセスを、一般的された根拠に基づいて許可する法制は、私生活の尊重に対する基本的な権利の本質を損なう。(パラグラフ94)
個人が自らに関する個人データにアクセスするための、又は当該データの修正若しくは消去を得るための、法的救済手段を追求する可能性を規定しない法制は、憲章第47条に謳われる効果的な司法的保護に対する基本的な権利の本質を尊重していない。(パラグラフ95)

干渉となる個人データの移転：憲章第７条及び第８条への干渉（PNR意見書）「124. 当裁判所が判示したように、公的機関などの第三者に個人データを伝達することは、伝達された情報のその後の用途にかかわらず、憲章第７条に謳われる基本的な権利に対する干渉を構成する。同じことが、公的機関による使用を目的とした個人データの保持及びそのデータへのアクセスに該当する。これに関連して、私生活に関する問題となっている情報が機微的か、又は、関係する者が、その干渉のために何らかの形で不都合を被ったかは問題ではない。」「126. それらの業務も憲章第８条に保証される個人データの保護に対する基本的な権利に対する干渉を構成する。それらが個人データの取扱いを構成するためである。」

干渉となる個人データの移転：当該干渉が合法となるためには、憲章第52条の遵守が必要である「138. 憲章第52条第１項第１文によれば、憲章で認められる権利及び自由の行使に対するあらゆる制限は、法律で規定されなければならず、また、それらの権利及び自由の本質を尊重しなければならない。憲章第52条第１項の第２文に基づき、比例性の原則に従って、それらの権利及び自由に対する制限が加えられることができるのは、それらが必要であり、かつEUにより認められる全体的な利益の目的又は他者の権利及び自由を保護する必要性を真に満たす
場合のみである。」「139. 基本的な権利の行使に対するいかなる制限も法律によって規定されなければならないとする要件は、これらの権利に対する干渉を許可する法的根拠自体が、当該権利の行使に対する制限の範囲を規定する必要があるということを意味することが付言されるべきである。
[...]」

46

「140. 比例性の原則の遵守に関しては、EU水準での私生活の尊重に対する基本的な権利の保護は、当裁判所の判例法に従って、個人データの保護に対する例外及び制限が厳密に必要な範囲にのみ適用されることを要件とする。」「141. その要件を満たすためには、干渉を伴う問題となる法制は、問題となる措置の範囲及び適用を規定し、かつ、最低限の保護措置を課す、明確で正確な規則を定めなければならない。データが移転された者が自らの個人データを不正使用のリスクから効果的に保護するための十分な保証を得られるように、である。法制は、特に、どのような状況で、又どのような条件の下でそのようなデータの取扱いを規定する措置が採択可能であるかを示し、それにより干渉が厳密に必要なものに限定されることを確保しなければならない。」

干渉は、プライバシー及び個人データの保護に対する基本的な権利の本質を損なってはならない（PNR意見書）
欧州連合司法裁判所は、憲章第７条及び第８条それぞれに基づいて、論点となっている基
本的な権利の本質を指摘する。
「150. 憲章第７条に謳われる私生活の尊重に対する基本的な権利の本質に関しては、たと
え一定の状況では、PNRデータが、ある者の私生活に関して非常に具体的な情報を明らかにする場合があるとしても、その情報の性質は、特に航空機によるカナダEU間の渡航に関する
その私生活の特定の側面に限定される。
憲章第８条に謳われる個人データの保護に対する権利の本質に関して、締結予定の協定
は、第３条でPNRデータの取扱いが可能となる目的を制限し、第９条で特にそのデータのセキュリティ、機密性、完全性の確保並びにそれに対する不法なアクセス及び取扱いからの保護のための規則を定める。」

干渉の必要性（PNR意見書）「154. 締結予定の協定に伴う干渉の必要性に関しては、本意見書パラグラフ140から141に引用される判例法に従って、それらが厳密に必要なものに限定されているか、また、その状況で当該協定が、規定される措置の範囲及び適用について明確かつ精緻な規則を定めているか、を確認する必要がある。」
欧州連合司法裁判所は、この関連で、下記を考慮した。
(1) 締結予定の協定の対象であるPNRデータについて(i) 締結予定の協定が移転されるPNRデータに関して十分に正確か(パラグラフ155から162)。裁判所は、以下の通り結論付けている。「それらの状況で、締結予定の協定の附属書の見出し５、７及び17は、カナダに移転されるPNRデータに関して憲章第７条及び第８条に謳われる基本的な権利に対する干渉の範囲を十分に明確かつ正確に画定するものではない」 (パラグラフ163)。
47

(ii) ［個人データの移転が］機微データ［に関係するかどうか］（パラグラフ164から166）。裁判所は、以下の通り結論付けている。「前記の２つのパラグラフに示された評価を考慮して、憲章第７条、第８条、第21条及び第52条第１項は、以下の両方を排除すると判示されなければならない。①機微データのカナダへの移転、並びに②EUが当該非加盟国と交渉した当該非加盟国の当局による当該データの使用及び保持に関する条件に対する枠組み。
」（パラグラフ167）。
(2) 移転されたデータが自動化された取扱いの対象であるか（PNR意見書パラグラフ168-174）。
この点について、特に下記を参照のこと。
「168. 本意見書のパラグラフ130から132に記載され、また、法務官がその意見書の第252ポ
イントで指摘するように、カナダに移転されたPNRデータは、主に、事前に確立されたモデル及び基準並びに様々なデータベースとのクロスチェックに基づく、自動化された手段による分析の対象となることが意図されている。」「169. 公共の安全に対して航空旅客がもたらすリスクの評価は、それらの航空旅客のカナダ到着前にPNRデータの自動化された分析により（中略）実施される。それらの分析は、未検証の個人データに基づいて実施され、かつ事前に確立されたモデル及び基準に基づくため、特にフランス政府及び欧州委員会が審理で認めたように、必然的にある程度の誤差が生じる。」「170. EDPSが当裁判所の質問に対する回答で言及したところの、法執行目的での乗客予約記録（PNR）データの使用に関する欧州理事会枠組み決定案に関するEDPSの意見書（2008年
官報C110、ページ１）第30ポイントに記載されるように、その誤差は重大なようである。」(3) PNRデータの取扱いが可能となる目的（PNR意見書、パラグラフ175-181）(4) 締結予定の協定の対象とされるカナダの当局（パラグラフ182-185）(5) 関係する航空旅客（パラグラフ186-189）(6) PNRデータの保持及び使用（パラグラフ190-211）(7) PNRデータの開示（パラグラフ214）

これに関連して、同裁判所は、再移転に関するデータ保護要件を明確化した。
「214. EUから非加盟国への個人データの移転は、当該国が、EU内で保証されるものと本質的に同等の基本的な権利及び自由に対する保護水準を確保している場合にのみ発生し得ることが想起されなければならない。同じ要件が、締結予定の協定第19条に言及される、カナダ
による第三国へのPNRデータの開示の場合に適用されるが、その目的は、当該協定に規定される保護水準が第三国への個人データの移転により回避されることを防ぎ、EU法により付与される保護水準の継続を確保することにある（中略）。それらの状況では、そのような開示には、
EU及び関係する非加盟国間にその協定と同等の協定が存在するか、又は、指令95/46第25条第６項に基づき、当該第三国がEU法の意味における保護水準の十分性を確保し、かつ、
PNRデータの移転先となることが意図される当局を対象とすることを認める欧州委員会の認定が存在することが要件となる。」
48

干渉となる個人データの移転：憲章第47条の遵守が必要である（シュレムス判決）「186. EUで要求される保護水準にも寄与する憲章第47条（GDPR第45条第１項に基づいて十分性認定を採択する前に欧州委員会がその遵守を見極める必要がある）に関しては、EUの法律で保証される権利及び自由が侵害されるすべての者が、同条に定められる条件に従って、法廷での効果的な救済に対する権利を有することが、憲章第47条第１項の要件である点に留意するべきである。同条第２項によれば、すべての者は独立した公平な法廷による審理を受ける権利を有する。」「188. そのため、GDPR第45条第２項（a）は、欧州委員会に対して、同委員会が第三国の保護水準の十分性を評価する際に、特に『その個人データが移転されつつあるデータ主体のための効果的な行政上及び司法上の救済』を勘案することを求める。GDPRの前文第104項は、
この点について、第三国は『効果的な、独立したデータ保護監督を確保し、かつ、加盟各国のデータ保護機関との協力の仕組みを定めなければならない』とし、さらに次の通り付言する。
『データ主体は、効果的で執行可能な権利並びに効果的な行政救済及び司法救済を与えられるものとしなければならない。』」

干渉となる個人データの移転：憲章第８条第３項の遵守が必要である（PNR意見書）

この点については、憲章第47条の要件に加え、憲章第８条第３項の要件も考慮する必要があることを想起する価値がある。
独立機関による監督を受ける権利は、憲章第８条第３項及びTFEU第16第条第２項に個人
データの保護に対する権利の具体的な要素として規定される。欧州連合司法裁判所は、憲章
第８条第３項を解釈・適用する際、DPA46の「完全な」独立性を主張した。この点については、特に、意見書１/15、EU-カナダPNR協定のパラグラフ229を参照されたい。「当裁判所の判例法に従って、（TFEU第16条第２項にもその設立が規定される）そのような監督当局の独立性に対する保証は、個人データの取扱いに関する個人の保護に関連する規則の遵守に対する監視の実効性及び信頼性を確保することを目的とするものであり、その目的に照らして解釈されなければならない。したがって、独立監督当局の設置は、個人データの取扱
いに関する個人の保護に不可欠な要素である（2010年３月９日付判決、欧州委員会対ド
イツ、C-518/07、EU:C:2010:125、第25項。2014年４月８日付判決、欧州委員会対ハン
ガリー、C-288/12、EU:C:2014:237、第48項。2015年10月６日付判決、Schrems、C362/14、EU:C:2015:650、第41項）。」

46【仮訳作成者注】データ保護機関（data protection authority）を指す。

49

5 いつ、どのような条件に基づいて欧州連合司法裁判所は、個人データの移転の手段としてSCCを有効であると判断したか。

第三国への移転：保護水準の十分性 - 標準契約条項/SCC決定の有効性（シュレムス判決）a) 十分性認定とSCC決定との違いについて「129. このような標準契約条項に関する決定は、GDPR第45条第３項に従って採択された十分性認定とは異なる。十分性認定の目的は、特に、国家安全保障並びに国家機関による個人
データに対するアクセスに関する関連法制を勘案して当該第三国の法制を審議した上で、第三国又はその国内の地域若しくは特定部門が保護水準の十分性を確保していること、並びに、
それゆえ、その第三国の公的機関によるそのようなデータに対するアクセスが第三国へのそのような個人データの移転を妨げないことを拘束力をもって認めることである。したがって、欧州委員会がこのような十分性認定を採択できるのは、その分野における第三国の関連する法制が、全ての必要な保証を実際に提供しており、その法制が適切な保護水準を確保していると結論付けることができると欧州委員会が判断した場合のみである」。
「130. 対照的に、SCC決定など、標準データ保護条項を採択する欧州委員会決定の場合は、そのような決定が第三国又は第三国国内の地域若しくは特定部門に言及しない限り、個人データの移転先となりうる第三国が確保する保護水準の十分性を、欧州委員会が、そのような決定を採択する前に標準データ保護条項に従って評価することを要求されていることをGDPR第46条第１項及び第46条第２項(c)から推論することはできない。」「131. GDPR第46条第１項によれば、欧州委員会の十分性認定がない場合、EU内に拠点のある管理者又は処理者が、特に、適切な保護措置を提供することになっている。GDPRの前文
第108項及び第114項は、欧州委員会が第三国におけるデータ保護水準の十分性に関する認定を採択していない場合、管理者又は関連する場合における処理者が、『データ主体のための適切な保護措置という方法によって、第三国内におけるデータ保護の欠落を補うための措
置を講じなければならない』ことを確認している。
EDPBの勧告「Recommendations 01/2020 on measures that supplement transfer tools toensure compliance with EU level of protection of personal data（個人データの保護に関するEU
水準への準拠を確保するために移転ツールを補完する措置に関する勧告01/202047）」も参照
されたい。（2020年12月21日まで公開協議に付されたもので、下記リンクから入手可能）。
edpb_ recommendations_202001_supplementarymeasurestransferstools_en.pdf (europa.eu)
EDPBはさらに、勧告「Recommendations 02/2020 on the European Essential Guarantees forsurveillance measures（監視措置のための欧州の本質的な保証に関する勧告 02/202048）」を47【仮訳作成者注】EDPBガイドライン名称和文は、本仮訳のための便宜的な暫定訳であり、定訳ではない。

48【仮訳作成者注】同上。

50

採択した。勧告は、プライバシー及びデータ保護の基本的な権利に対する、個人データの移転に際する監視措置による干渉の正当化に関する第29条作業部会のワーキング・ドキュメントを更新し、統合したものであり、下記リンクから入手可能。
edpb_recommendations_202002_
europeanessentialguaranteessurveillance_en.pdf(europa.eu)b) SCCと第三国の法的枠組みとの関係 - SCCを補完する他の条項又は追加的保護措置が必要である可能性「132. 標準データ保護条項は、本質的に契約的なその性質上、第三国の公的機関を拘束できない[...]が、憲章第７条、第８条及び第47条に照らして解釈されるGDPR第44条、第46条第１項及び第46条第２項(c)は、同規則が保証する自然人の保護水準が損なわれないことを要求するため、標準データ保護条項に含まれる保証を補完することが必要となる可能性がある。この点に関して、同規則前文第109項に、次の通り述べられている。『欧州委員会［中略］によって採択された標準データ保護条項を管理者［中略］が使用する可能性は、[それが]他の条項や追加的な保護措置を加えることを妨げるもの[でもない]。』また、特に、管理者は、『標準［データ］保護条項を補完する［中略］、追加的な保護措置を提供することが奨励されなければならない』。

c) 管理者若しくは処理者の責任、又はその責任が果たされない場
合には監督当局の責任「134. GDPR第46条第２項(c)に規定される契約的メカニズムは、EU内に拠点をもつ管理者又はその下請業者、そして代替的には監督当局の責任に基づく。それゆえ、下記は、何よりも当該管理者又は処理者の責任である。同号に従って移転される個人データのEU法のもとでの適切な保護が、標準データ保護条項が提供するものに対する追加的な保護措置を移転先となる第三国の法律が必要に応じて提供することにより確保されているかを、ケースバイケースで、かつ、必要に応じて、データの取得者と協働で検証すること。」「135. EU内に拠点をもつ管理者又は処理者が、そのような保護を保証するための十分な追加的措置を講じることができない場合、管理者又は処理者が、又はその責任が果たされない場合には監督当局が、関係する第三国への個人データの移転を中断又は終了することが求められる。これが該当するのは、特に、第三国の法律が、EUからの個人データの取得者に対して当該標準データ保護条項49に反する義務を課し、それゆえ、第三国の公的機関によるそのデータへのアクセスに対する保護水準の十分性に対する、契約上の保証に影響を与えることが可能である場合である。」

49【仮訳作成者注】原文は、「those clauses」である。パラグラフ 134 の「標準データ保護条項（standard
data protection clauses）」を指していると思われるため、その旨明示した。

51d) SCCの有効性についての結論
欧州連合司法裁判所は、（SCCに関する）決定2010/8750の有効性を審議している。同裁判
所は、同決定の標準データ保護条項が、その契約的な性質がそれゆえ、データ移転先となる可能性のある第三国の当局を拘束しないという事実だけでは、同決定の有効性は問われないと判断する。その有効性が依拠するのは、同決定に、下記が含まれるかである。EU法で要求される保護水準に対する遵守の確保を実務上可能にし、当該標準データ保護条項違反の場
合又は遵守が不可能な場合には当該標準データ保護条項に基づく個人データの移転が、中断又は禁止される効果的なメカニズム（パラグラフ137）。
同裁判所は、決定2010/87がそのようなメカニズムを確立していると判断する（この点については、パラグラフ138から146を参照）。

50【仮訳作成者注】Decision 2010/87 は、2010/87/: Commission Decision of 5 February 2010 on standard
contractual clauses for the transfer of personal data to processors established in third countries underDirective 95/46/EC of the European Parliament and of the Council (notified under document C(2010) 593)
(Text with EEA relevance)を指す。裁判所による判決ではなく欧州委員会による決定である。

52

6 効果的な司法救済及び行政救済とは、何を意味するか。

効果的な司法救済及び行政救済（PNR意見書）「226. 航空旅客の有する、救済に対する権利について、締結予定の協定第14条第２項は、下記を規定する。『PNRデータに関連する決定又は措置によって自己の権利が侵害されたと考える個人が、カナダの法律に従って、効果的な司法救済、又は補償を含みうる他の救済を求めることができることを、カナダは保証しなければならない』。」

効果的な司法救済及び行政救済（シュレムスII判決）「191. この点について欧州委員会は、プライバシー・シールド認定の前文第115項で次の通り述べている。『EUのデータ主体を含む個人は、[中略]自らが国家安全保障を目的とした違法な（電子的）監視の対象となった場合に多くの救済手段を有するが、一方、米国の諜報当局が利用する可能性のある少なくとも一部の法的根拠（大統領令12333号など）は対象とならないことも同様に、明らかである。』このように、欧州委員会は前文第115項で、大統領令12333号に関して、救済メカニズムの欠如を強調した。[...]」「192. さらに、FISA第702条及び大統領令12333号それぞれに基づく複数の監視プログラム
に関して、上記のパラグラフ181及びパラグラフ182で指摘されるとおり、PPD-28及び大統領令12333号のいずれも、米国当局に対して法廷で行使可能な権利をデータ主体に与えておらず、このことからデータ主体は効果的な救済を受ける権利を有さないことになる。」
欧州連合司法裁判所は、当該認定51で言及されるオンブズパーソンのメカニズムは、EU法により要求されるものと実質的に同等の保証を提供する組織に持ち込むことができる請求原
因をデータ主体に提供していない、とする。例えばそのメカニズムが提供するオンブズパーソンの独立性並びに米国の諜報機関に対して拘束力を有する決定を採択する権限をオンブズパーソンに付与する規則の存在の両方を確保することである（パラグラフ195から197まで）。

51【仮訳作成者注】「当該認定」とは、具体的にはプライバシー・シールド認定を指すことが、シュレムス
II判決パラグラフ197(※)から分かる。(※)「Therefore, the ombudsperson mechanism to which thePrivacy Shield Decision refers does not provide any cause of action before a body which offers the
persons whose data is transferred to the United States guarantees essentially equivalent to thoserequired by Article 47 of the Charter.」53

7 個人データの移転をデータ主体に通知する義務とは、何を意味するか。

移転をデータ主体に通知する義務（PNR意見書）

欧州連合司法裁判所は、欧州連合基本権憲章第７条に規定される私生活の尊重に対する基本的な権利とは、「関係する者が、自分の個人データが正しく適法に取扱われていることを確信できることを意味する。」と判示した。（パラグラフ219）
裁判所は、この点について、次の通り指摘した。航空旅客は、関係する第三国への自らのPNRデータの移転並びにそれらのデータの使用について、締結予定の協定に言及される政府当局により実施されている調査が、その情報により危険にさらされる可能性がなくなり次第、通知されなければならない。(パラグラフ220。パラグラフ221-225も参照。)

54

8 自動化された取扱いの対象となる個人データの移転又は機微（センシティブ）データを伴う個人
データの移転の場合には、特定の保護措置が必要か。

自動化された取扱いの対象となるデータ及び機微データの移転（PNR意見書）「141. このような保護措置に対する必要性は、個人データが、自動化された取扱いの対象となる場合に一層高まる（パラグラフ168から174参照）。
それらの考慮は、特に、機微データである、その特定のカテゴリーの個人データの保護が論点となっている場合に該当する。」 (パラグラフ164から167も参照。)「168. 本意見書のパラグラフ130から132に記載され、また、法務官が、その意見書の第252ポイントで指摘するように、カナダに移転されたPNRデータは、主に、事前に確立されたモデル
及び基準に基づき、また、様々なデータベースとのクロスチェックに基づく、自動化された手段による分析の対象となることが意図されている。」「169. 公共の安全に対して航空旅客がもたらすリスクの評価は、それらの航空旅客のカナダ到着前にPNRデータの自動化された分析により（中略）実施される。それらの分析は、未検証の個人データに基づいて実施され、事前に確立されたモデル及び基準に基づくため、特にフランス政府及び欧州委員会が審理で認めたように、必然的にある程度の誤差が生じる。」「170. EDPSが当裁判所の質問に対する回答で言及したところの、法執行目的での乗客予約記録（PNR）データの使用に関する欧州理事会枠組み決定案に関するEDPSの意見書（2008年
官報C 110、ページ１）の第30ポイントに記載されるように、その誤差は重大なようである。」

55

9 個人データの再移転の場合のデータ保護の要件は何か。

再移転（PNR意見書）

125. 「EUからカナダ当局へのPNRデータの移転、並びにそのデータの保持、使用、及びカナダの他の当局、欧州刑事警察機構（Europol）、欧州司法機関（Eurojust）、加盟各国の司法当局若しくは警察当局、又は第三国の当局へのその後の移転に関してEUがカナダと交渉した条件の枠組みは、いずれも、特に、締結予定の協定の第３条、第４条、第６条、第８条、第12条、第15条、第16条、第18条、及び第19条で許可されているなか、憲章第７条で保証される権利に対する干渉を構成する。」52「214. EUから非加盟国への個人データの移転は、当該国が、EU内で保証されるものと本質的に同等の基本的な権利及び自由に対する保護水準を確保している場合にのみ発生し得ることが想起されなければならない。同じ要件が、締結予定の協定第19条に言及される、カナダ
による第三国へのPNRデータの開示の場合に適用されるが、その目的は、当該協定に規定される保護水準が第三国への個人データの移転により回避されることを防ぎ、EU法により付与される保護の水準の継続を確保することにある（中略）。（類推として、2015年10月６日付判決、Schrems、C-362/14、EU:C:2015:650、パラグラフ72及び73参照）。それらの状況では、そのような開示は、EU及び関係する非加盟国間にその協定と同等の協定が存在するか、又は、指令
95/46第25条第６項に基づき、当該第三国がEU法の意味における保護水準の十分性を確保し、かつ、PNRデータの移転先となることが意図される当局を対象とすることを認める欧州委員会の認定が存在することを要件とする。」

52【仮訳作成者注】第125段落のみ引用符が数字より内側にあるが本ダイジェスト原文通り。引用元であるEUCJ意見書には引用符の記載はない。

56

57