仮日本語訳

Guidelines 10/2020 on restrictions under Article 23 GDPR
GDPR 第 23 条に基づく制限に関するガイドライン 10/2020
Version 2.1
バージョン 2.1
Adopted on 13 October 2021
2021 年 10 月 13 日採択

本書面は、欧州データ保護会議(EDPB)により 2021 年 10 月 13 日に採択された “Guidelines
10/2020 on restrictions under Article 23 GDPR” を個人情報保護委員会が翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負
わないものとし、正確な内容については原文を参照されたい。

Version Table
バージョン一覧表
Version 1.0
バージョン 1.0

15 December 2020
2020 年 12 月 15 日

Adoption of the Guidelines for public consultation
パブリック・コンサルテーションのためのガイドラインの採択

Version 2.0
バージョン 2.0

13 October 2021
2021 年 10 月 13 日

Adoption of the Guidelines after public consultation
パブリック・コンサルテーション後のガイドラインの採択

Version 2.1
バージョン 2.1

15 March 2022
2022 年 3 月 15 日

Formatting change
フォーマットの修正

2

Table of contents
目次
1

Introduction ................................................................................................................................. 5

1

はじめに........................................................................................................................................ 52

The meaning of restrictions ......................................................................................................... 72

制限の意味 .................................................................................................................................. 7

3

Requirements of Article 23(1) GDPR ........................................................................................... 8

3

GDPR 第 23 条(1)の要件.............................................................................................................. 8
3.1

Respect of the essence of the fundamental rights and freedoms .................................... 9

3.1

基本的な権利及び自由の本質的部分の尊重 ................................................................ 9

3.2

Legislative measures laying down restrictions and the need to be foreseeable(Recital 41and CJEU case law) ........................................................................................... 93.2

制限を定める立法措置及びその予見可能性の必要性（前文第 41 項及び CJEU 判例法） .................................................................................... 9

3.3

Grounds for the restrictions ............................................................................................ 12

3.3

制限のための理由 ........................................................................................................... 12
3.3.1

National security, defense and public security ........................................................ 12

3.3.1

国家安全保障、防衛及び公共の安全 .................................................................... 12

3.3.2

Prevention, investigation, detection and prosecution of criminal offences orthe execution of criminal penalties including the safeguarding against andthe prevention of threats to public security............................................................. 123.3.2

公共の安全への脅威からの保護及びその防止を含め、犯罪行為の防止、捜査、検知及び訴追又は刑罰の執行 .................................................................... 12

3.3.3

Other important objectives of general public interest ............................................ 13

3.3.3

一般的な公共の利益の他の重要な対象 ................................................................ 13

3.3.4

Protection of judicial independence and judicial proceedings ................................ 143.3.4

司法の独立の保護及び司法手続の保護 ............................................................... 14

3.3.5

Prevention, investigation, detection and prosecution of breaches of ethics forregulated professions .............................................................................................. 15

3.3.5

規制職種における倫理違背行為の防止、捜査、検知及び訴追 ........................... 15

3.3.6

Monitoring, inspection or regulatory function connected to the exercise of official
authority in the cases referred to in points (a) to (e) and (g) of Article 23 GDPR .... 15

3.3.6

GDPR 第 23 条(a)から(e)及び(g)に規定する場合における公的な権限の行使と関係する監視、 監督及び規制の権能 .................................. 15

3.3.7

Protection of the data subject or the rights and freedoms of others ..................... 15

3.3.7

データ主体の保護、又は、その他の者の権利及び自由の保護............................ 15

3.3.8

Enforcement of civil law claims ............................................................................... 16

3.3.8

民事訴訟の執行確保 .............................................................................................. 16

3.4

Data subjects' rights and controller's obligations which may be restricted ................... 16

3.4

制限される可能性のあるデータ主体の権利及び管理者の義務 ................................... 16
3

3.5

Necessity and proportionality test .................................................................................. 17

3.5

必要性及び比例性のテスト ............................................................................................. 17

4

Requirements of Article 23(2) GDPR ......................................................................................... 19

4

GDPR 第 23 条(2)の要件............................................................................................................ 19
4.1

Categories of personal data ............................................................................................ 21

4.1

個人データの種類 ........................................................................................................... 21

4.2

Scope of the restrictions .................................................................................................. 21

4.2

制限の適用範囲 .............................................................................................................. 21

4.3

Safeguards to prevent abuse or unlawful access or transfer ........................................... 21

4.3

不正使用又は違法なアクセス若しくは移転を防止するための保護措置 ...................... 21

4.4

Specification of the controller ......................................................................................... 22

4.4

管理者の仕様 .................................................................................................................. 22

4.5

Storage periods ................................................................................................................ 224.5

記録保存期間 .................................................................................................................. 22

4.6

Risks to data subjects' rights and freedoms .................................................................... 22

4.6

データ主体の権利及び自由に対するリスク ................................................................... 22

4.7

Right to be informed about the restriction, unless prejudicial to the purposeof the restriction .............................................................................................................. 23

4.7

制限の目的を妨げうるものでない限り、制限に関する情報提供を受ける権利 ............. 23

5

Consultation with the SAS (Articles 36(4) and 57(1)(c) GDPR) ................................................... 245

監督機関との協議（GDPR 第 36 条(4)及び第 57 条(1)(c)） ...................................................... 24

6

Non - observation of article 23 GDPR requirements by a Member State ................................. 25

6

加盟国による GDPR 第 23 条の要件の不遵守 .......................................................................... 25

7

Specific elements for controllers and processors ...................................................................... 26

7

管理者及び処理者にとっての特定の要素 ............................................................................... 26
7.1

Accountability Principle ................................................................................................... 26

7.1

アカウンタビリティの原則 ................................................................................................. 26

7.2

Exercise of data subject's rights after the lifting of the restriction ................................. 26

7.2

制限解除後のデータ主体の権利の行使........................................................................ 26

7.3

Non-observation of a legislative measure imposing such restrictions by a controller ... 27

7.3

制限を課す立法措置の管理者による不遵守 ................................................................. 27

8

Conclusions ................................................................................................................................ 28

8

結論 ............................................................................................................................................ 28

9Annex: Check-lists - Article 23 GDPR in a nutshell...................................................................... 30

9

別 紙：チェック・リスト － GDPR 第 23 条の概要 ........................................................................ 30
9.1

Requirements under Article 23(1) GDPR ......................................................................... 30

9.1

GDPR 第 23 条(1)に基づく要件 ....................................................................................... 30

9.2

Requirements under Article 23(2) GDPR ......................................................................... 31

9.2

GDPR 第 23 条(2)に基づく要件 ....................................................................................... 31

4

THE EUROPEAN DATA PROTECTION BOARD
欧州データ保護会議はHaving regard to Article 70(1)(e) and (l) of the Regulation 2016/679/EU of the European
Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard
to the processing of personal data and on the free movement of such data, and repealing
Directive 95/46/EC, (hereinafter “GDPR”),
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、指令 95/46/EC を廃止する、2016 年 4 月 27 日の欧州議会及び理事会の規則
2016/679/EU、（以下「GDPR」という）、の第 70 条(1)(e)及び(l)に鑑み、Having regard to the EEA Agreement and in particular to Annex XI and Protocol 37 thereof, as
amended by the Decision of the EEA joint Committee No 154/2018 of 6 July 20181,
2018 年 7 月 6 日の EEA 共同委員会の決定 No 154/2018 により改正された EEA 協定 1、特にその附属書 XI 及び議定書 37 に鑑み、Having regard to Article 12 and Article 22 of its Rules of Procedure,
その手続規則の第 12 条及び第 22 条に鑑み、

HAS ADOPTED THE FOLLOWING GUIDELINES
次のガイドラインを採択する

1 INTRODUCTION
1 はじめに1.

This document seeks to provide guidance as to the application of Article 23 GDPR. These
Guidelines provide a thorough analysis of the criteria to apply restrictions, the assessments thatneed to be observed, how data subjects can exercise their rights once the restriction is lifted andthe consequences for infringements of Article 23 GDPR.
この文書は、GDPR 第 23 条の適用に関するガイダンスを提供することを目的としている。当該ガ
イドラインは、制限を適用する基準、遵守する必要がある評価、制限が解除された後にデータ
主体が権利を行使する方法、及び GDPR 第 23 条違反の結果について、徹底的な分析を提供するものである。

2.

The protection of natural persons in relation to the processing of personal data is a fundamental
right. Article 16(2) of the Treaty on the Functioning of the European Union mandates theEuropean Parliament and the Council to lay down the rules in relation to the protection of
personal data and the rules relating to the free movement of personal data. The GDPR protects
the rights and freedoms of natural persons and in particular their right to data protection. Data
protection cannot be ensured without adhering to the rights and principles set out in the GDPR
(Articles 12 to 22 and Article 34, as well as Article 5 in so far as its provisions correspond to therights and obligations provided in Articles 12 to 22 GDPR). All these rights and obligations are at
the core of the fundamental right to data protection and their application should be the general
rule. In particular, any limitation to the fundamental right to data protection needs to observe
Article 52 of the Charter of fundamental rights of the European Union (‘the Charter').
個人データの取扱いと関連する自然人の保護は基本的な権利の一つである。欧州連合の機

1

References to “Member States” made throughout this document should be understood as references to “EEA
Member States”.
この文書において、「加盟国」という表現は、「EEA 加盟国」と解釈されたい。
5

能に関する条約の第 16 条 (2) は、欧州議会及び欧州理事会に対し、個人データの保護に関する規則及び個人データの自由な移転に関する規則を定めるよう義務付けている。GDPR は、
自然人の権利及び自由、特に、自然人のデータ保護の権利を保護している。 データの保護は、GDPR に規定されている権利及び基本原則 (第 12 条から第 22 条及び第 34 条、並びにその条項が GDPR 第 12 条から第 22 条に定める権利及び義務に対応する範囲内において第5 条) に準拠することなしには確保され得ない。これら全ての権利及び義務はデータ保護に対する基本的な権利の中核となるものであり、それを適用することが原則でなければならない。特に、データ保護に対する基本的な権利を制限するには、欧州連合の基本権憲章（『憲章』）の第 52 条を遵守する必要がある。
3.

It is against this background that Article 23 GDPR should be read and interpreted. This provision
is entitled ‘restrictions'. It provides that, under Union or Member State law, the application ofcertain provisions of the Regulation, relating to the rights of the data subjects and controllers'
obligations, may be restricted in the situations therein listed. Restrictions should be seen as
exceptions to the general rule allowing the exercise of rights and imposing the obligations
enshrined in the GDPR2. As such, restrictions should be interpreted narrowly, only be applied in
specifically provided circumstances and only when certain conditions are met.
このような背景を踏まえて、GDPR 第 23 条を読解する必要がある。この条文には『制限』というタイトルが付けられている。当該条文は、EU 法又は加盟国の国内法に基づいて、データ主体の権利及び管理者の義務に関する GDPR の特定の条項の適用が、そこに列挙されている状況では制限されうる旨、規定している。制限は、GDPR に明記されている権利の行使を許可し、義務を課す原則の例外として見なされなければならない 2。したがって、制限は狭く解釈されなければならず、特別な状況においてのみ、かつ特定の条件が満たされる場合にのみ適用されるものでなければならない。

4.

Even in exceptional situations, the protection of personal data cannot be restricted in its entirety.
It must be upheld in all emergency measures, as per Article 23 GDPR thus contributing to therespect of the overarching values of democracy, rule of law and fundamental rights on which theUnion is founded: any measure taken by Member States shall respect the general principles oflaw, the essence of the fundamental rights and freedoms and shall not be irreversible and data
controllers and processors shall continue to comply with data protection rules.
例外的な状況であっても、個人データの保護を全面的に制限することはできない。このことは、全ての緊急措置において維持されなければならず、GDPR 第 23 条に従うことで EU の基礎となる民主主義、法の支配、及び基本的な権利の包括的な価値観の尊重に貢献することにつながる。つまり、加盟国が講じるいかなる措置も、基本的な権利及び自由の本質的部分である法の一般原則を尊重するものであり、不可逆的なものではなく、またデータ管理者及び処理者は、データ保護規定を遵守し続けることになる。

5.

In all cases, where Union or Member State law allows restrictions to data subjects' rights or to

2

These situations do not include the scenarios where the Directive (EU) 2016/680 of the European Parliamentand of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of
personal data by competent authorities for the purposes of the prevention, investigation, detection orprosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data,
and repealing Council Framework Decision 2008/977/JHA applies.
これらの状況は、所管官庁による犯罪行為の防止、捜査、 検知若しくは訴追又は刑罰の執行のために行われる場合の個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、理事会枠組み決定 2008/977/JHA を廃止する、2016 年 4 月 27 日の欧州議会及び理事会の指令 2016/680/EU が適用する場合のシナリオは含まない。
6the obligations of the controllers (including joint controllers3) and processors4, it should be notedthat the accountability principle, as laid down in Article 5(2) GDPR, is still applicable. This meansthat the controller is responsible for, and shall be able to demonstrate to the data subjects his or
her compliance with the EU data protection framework, including the principles relating to theprocessing of their data.
EU 法又は加盟国の国内法がデータ主体の権利又は管理者 (共同管理者 3 を含む) 及び処理者 4 の義務に対する制限を許可する全ての場合において、GDPR 第 5 条(2)に規定されている、
説明責任の原則は引き続き適用されることに留意しておかなければならない。このことは、管理者は、そのデータの取扱いに関する原則を含め、 EU のデータ保護フレームワークについて責任を負い、かつ、データ主体に対しその遵守を証明できるものとすることを意味する。
6.

When the EU or national legislator lays down restrictions based on Article 23 GDPR, it shall ensurethat it meets the requirements set out in Article 52(1) of the Charter, and in particular conduct a
proportionality assessment so that restrictions are limited to what is strictly necessary.
EU 又は各国の立法者が GDPR 第 23 条に基づき制限を定める場合、それが憲章第 52 条(1)に規定されている要件を満たしていることを確保し、特に制限が厳密に必要性のあるものに限定されるように比例性の評価を実施するものとする。

2 THE MEANING OF RESTRICTIONS
2 制限の意味7.

The term restrictions is not defined in the GDPR. Article 23 and Recital 73 GDPR only list theconditions under which restrictions can be applied.
制限という用語は GDPR では定義されていない。 GDPR 第 23 条及び前文第 73 項において、制限が適用される条件が列挙されているのみである。

8.

In these guidelines, the term restrictions will be defined as any limitation of scope of theobligations and rights provided for in Articles 12 to 22 and 34 GDPR as well as corresponding
provisions of Article 5 in accordance with Article 23 GDPR. A restriction to an individual right has
to safeguard important objectives, for instance, the protection of rights and freedoms of others
or important objectives of general public interest of the Union or of a Member State which arelisted in Article 23(1) GDPR. Therefore, restrictions of data subjects' rights can only occur when
the listed interests are at stake5 and these restrictions aim at safeguarding such interests.
当該ガイドラインでは、制限という用語について、GDPR 第 23 条に基づき、GDPR 第 12 条から
第 22 条及び第 34 条、並びに第 5 条の対応する条項に定める義務及び権利の適用範囲の制限として定義する。個人の権利に対する制限は、GDPR 第 23 条(1)に列挙されている、その他の者の権利及び自由の保護、又は EU 若しくは加盟国の一般的な公共の利益の重要な対象など、重要な目的を保護するものでなければならない。したがって、データ主体の権利の制
限は、列挙された利益が危険にさらされている場合にのみ生じうるものであり 5、これらの制限はそのような利益を保護することを目的とするものである。

3

In case of joint controllership, especially in case where controllers are from different Member States, restrictions
applicable in accordance with Article 23 should be considered and taken into account so that joint controllers
clarify in the arrangement their respective roles.
共同管理者の場合、特に共同管理者が異なる加盟国の管理者で構成される場合、その取決めにおいて共同管理者それぞれの役割を明確にするために、第 23 条に従い適用される制限について熟考し、考慮に入れておかなければならない。
4
Although from now on the guidelines will refer to ‘controllers’ only, the recommendations are addressed, whereapplicable, also to processors.
今後、ガイドラインでは『管理者』のみに言及するが、勧告は、該当する場合には、処理者にも適用される。
5
These interests are exhaustively listed in Article 23(1) GDPR.
これらの利益は、GDPR 第 23 条(1)に網羅的に記載されている。
79.

Consequently, the grounds for the restriction need to be clear. To be lawful, restrictions shall be
provided for in a legislative measure, concern a limited number of rights of data subjects and/or
controller's obligations which are listed in Article 23 GDPR 6 , respect the essence of thefundamental rights and freedoms at issue, be a necessary and proportionate measure in a
democratic society and safeguard one of the grounds set out in Article 23(1) GDPR as described
below.
したがって、制限を課す理由を明確にしておく必要がある。合法であるためには、制限は、立法措置により規定するものとし、GDPR 第 23 条に列挙されている事項に限定されたデータ
主体の権利及び／又は管理者の義務に関するものとし 6、問題となっている基本的な権利及び自由の本質的部分を尊重するものとし、 民主主義社会において必要かつ比例的な措置とすることとし、かつ、以下に説明するように GDPR 第 23 条(1)に規定されている理由の一つを保護するものとすること。

10.

Furthermore, as mentioned in Recital 73 GDPR, restrictions should be in accordance with therequirements set out in the Charter and the European Convention for the Protection of Human
Rights and Fundamental Freedoms.
さらに、GDPR 前文第 73 項で述べられているように、制限は、憲章並びに人権及び基本的な自由の保護のための欧州条約に定める要件に従わなければならない。

11.

In addition to restrictions referred to in Article 23, the GDPR also lays down provision relating to
specific processing situations as per Chapter IX, where Member States may provide by law
specific measures impacting data subjects' rights, such as exemptions or derogations (forinstance, Articles 85 or 89 GDPR). However these guidelines do not address those cases.
GDPR は、第 23 条で言及されている制限に加えて、第 9 章に従った特定の取扱いの状況と関連する条項も定めており、加盟国は、例外又は特例（例えば、GDPR 第 85 条又は第 89 条）など、データ主体の権利に影響を与える個別の措置を法律により定めうる。ただし、当該ガイドラ
インはそれらのケースについては対応しない。

12.

Restricting the scope of the obligations and rights provided for in Article 12 to 22 and Article 34
may take different forms but may never reach the point of a general suspension of all rights.
Legislative measures laying down restrictions under Article 23 GDPR may also foresee that theexercise of a right is delayed in time, that a right is exercised partially or circumscribed to certain
categories of data or that a right can be exercised indirectly through an independent supervisory
authority.
第 12 条から第 22 条及び第 34 条に定める義務及び権利の適用範囲の制限は、様々な形式をとる可能性があるが、全ての権利の一般的な停止に至ることはない。GDPR 第 23 条に基づく制限を定める立法措置は、権利の行使が遅延すること、権利が部分的に若しくは特定の種類のデータに限定して行使されること、又は権利が独立の監督機関を通じて間接的に行使される可能性があることについても定めうる。

3 REQUIREMENTS OF ARTICLE 23(1) GDPR
3 GDPR 第 23 条(1)の要件
13.

6

Article 23(1) GDPR lists a number of requirements, which are detailed below. All thoserequirements need to be met in order for a measure to be lawfully relied upon.

There are certain rights which cannot be restricted under Article 23 GDPR, such as the right to submit acomplaint to the supervisory authority (Article 77 GDPR).
監督機関に異議を申立てる権利（GDPR 第 77 条）など、GDPR 第 23 条に基づいて制限できない特定の権利がある。
8

GDPR 第 23 条 (1) は、以下において詳述されるように、多数の要件を列挙している。立法措置が合法であるためには、これら全ての要件が満たされる必要がある。

3.1 Respect of the essence of the fundamental rights and freedoms
3.1 基本的な権利及び自由の本質的部分の尊重
14.

One of the main objectives of data protection law is to enhance data subjects' control overpersonal data concerning them. Any restriction shall respect the essence of the right that is being
restricted. This means that restrictions that are extensive and intrusive to the extent that they
void a fundamental right of its basic content, cannot be justified. In any case, a general exclusionof data subjects' rights with regard to all or specific data processing operations or with regard tospecific controllers would not respect the essence of the fundamental right to the protection of
personal data, as enshrined in the Charter. If the essence of the right is compromised, therestriction shall be considered unlawful, without the need to further assess whether it serves anobjective of general interest or satisfies the necessity and proportionality criteria.
データ保護法の主要な目的の一つは、データ主体が自身に関する個人データの管理を強化することにある。いかなる制限も、制限されている権利の本質的部分を尊重するものとする。このことは、基本的権利の基本的内容を無効にしてしまうほど広範囲で侵害的な制限は正当化され得ないことを意味する。いかなる場合も、全ての若しくは特定のデータ取扱業務に関して、
又は、特定の管理者に関して、データ主体の権利を一般的に排除することは、憲章に謳われている個人データの保護に対する基本的な権利の本質的部分を尊重するものとなることはな
い。権利の本質的部分が損なわれる場合、その制限は、それが一般的な利益の目的にかなうか、又は必要性及び比例性の基準を満たすかどうかを追加的に評価する必要なく、違法であるとみなされる。

15.

In order to guarantee this control, data subjects have a number of rights within the right to dataprotection and the controller has a number of obligations vis a vis the data subject, set out under
Articles 12 to 22 and Article 34 GDPR, as well as Article 5 in so far as its provisions correspond to
the rights and obligations provided for in Articles 12 to 22 GDPR. It is against this backgroundthat Article 23 GDPR should be read and interpreted.
この管理を保証するために、データ主体はデータ保護に対する権利の範囲内で多くの権利を有し、管理者はデータ主体に対して、、GDPR 第 12 条から第 22 条及び第 34 条、並びにその条項が GDPR 第 12 条から第 22 条に定める権利及び義務に対応する範囲内において第 5 条に規定されているように、多くの義務を負う。GDPR 第 23 条は、このような背景を踏まえて、読解される必要がある。

3.2 Legislative measures laying down restrictions and the need to be foreseeable (Recital
41 and CJEU case law)
3.2 制限を定める立法措置及びその予見可能性の必要性（前文第 41 項及び CJEU 判例法）
16.

The requirement of a legislative measure entails that controllers can only rely on a restriction
provided for by Article 23 GDPR to the extent that this restriction has been specified in Union orMember state law. Without the corresponding legislative measure, controllers cannot rely
directly on the grounds listed in Article 23(1) GDPR. Recital 41 GDPR states that ‘[w]here thisRegulation refers to a legal basis or a legislative measure, this does not necessarily require a
legislative act adopted by a parliament, without prejudice to requirements pursuant to theconstitutional order of the Member State concerned. However, such a legal basis or legislative
measure should be clear and precise and its application should be foreseeable to persons subject
to it, in accordance with the case-law of the Court of Justice of the European Union [...] and the9European Court of Human Rights'7.
立法措置の要件は、管理者が GDPR 第 23 条に規定される制限に依拠できるのは、この制限がEU 法又は加盟国の国内法に規定されている場合に限られるということを意味している。対応する立法措置がなければ、管理者は、GDPR 第 23 条(1)に記載されている理由に直接依拠することはできない。GDPR 前文第 41 項は、『本規則が法的根拠又は立法措置に言及する場合、
それは、関係加盟国の憲法秩序による要件を妨げること なく、議会によって採択される立法行為を必ずしも要求するものではない。ただし、そのような法的根拠又は立法措置は、欧州司法裁判所及び欧州人権裁判所の判例法に従い、明確かつ正確であることを要し、かつ、その適用は、それに服する者にとって予見可能なものでなければならない』7 旨、定めている。
17.

According to Article 52(1) of the Charter, any limitation on the exercise of the rights andfreedoms recognised by the Charter shall be ‘provided for by law'. This echoes the expression ‘inaccordance with the law' in Article 8(2) of the European Convention of Human Rights8, whichmeans not only compliance with domestic law, but also relates to the quality of that law without
prejudice to the nature of the act, requiring it to be compatible with the rule of law. In particular,
the domestic law must be sufficiently clear in its terms to give individuals an adequate
indication of the circumstances in and conditions under which controllers are empowered toresort to any such restrictions. The same strict standard should be applied for any restrictions
that could be imposed by Member States. In line with the GDPR and the case law of the Court ofJustice of the European Union (CJEU) and of the European Court of Human Rights (ECtHR), it isindeed essential that legislative measures, which seek to restrict the scope of data subject rights
or of controller's obligations, are foreseeable for the data subjects.
憲章第 52 条(1)によれば、憲章によって認められる権利及び自由の行使に対する制限は『法律で定める』ものとしている。これは、欧州人権条約第 8 条 (2) の『法律に基づき』という表現と呼応するものである 8。このことは、国内法に遵守することを意味するだけではなく、行為の性質

7

The type of legislative measures considered has to be in line with EU law or with the national law. Dependingon the degree of interference of the restriction, a particular legislative measure, taking into account the levelof norm, could be required at national level.
検討される立法措置の種類は、EU 法又は加盟国の国内法に準拠するものでなければならない。制限の干渉度合いに応じて、規範のレベルを考慮して、国家レベルで特定の立法措置が要求される可能性がある。
8
See in particular, European Court of Human Rights, 14 September 2010, Sanoma Uitgevers B.V. v. The
Netherlands, EC:ECHR:2010:0914JUD003822403, paragraph 83: ‘Further, as regards the words “in accordancewith the law” and “prescribed by law” which appear in Articles 8 to 11 of the Convention, the Court observes
that it has always understood the term “law” in its “substantive” sense, not its “formal” one; it has included
both “written law”, encompassing enactments of lower ranking statutes and regulatory measures taken byprofessional regulatory bodies under independent rule-making powers delegated to them by Parliament, andunwritten law. “Law” must be understood to include both statutory law and judge-made “law”. In sum, the “law”
is the provision in force as the competent courts have interpreted it'. On the notion of ‘provided for by law', thecriteria developed by the European Court of Human Rights should be used as suggested in CJEU Advocate
General opinions in joined cases C‑203/15 and C‑ 698/15, Tele2 Sverige AB, ECLI:EU:C:2016:572, paragraphs
137 -154 or in case C-70/10, Scarlet Extended, ECLI:EU:C:2011:255, paragraph 99.
特 に 、 欧 州 人 権 裁 判 所 、 2010 年 9 月 14 日 、 Sanoma Uitgevers B.V. The Netherlands 、
EC:ECHR:2010:0914JUD003822403、パラグラフ 83 を参照のこと。『欧州人権条約の第 8 条から第 11 条に記載されている「法律に基づき」及び「法律で定める」という言葉について、裁判所は、「法律」という用語を常に「形式的な」意味ではなく、「実質的な」意味で理解していることを認める。また、下位の法令の制定や議会から委任された独立した規則制定権限に基づいて専門の規制機関が講じる規制措置を含む「成文法」と、不文法の両方を含んでいる。「法律」には、制定法と裁判官が制定した「法」の両方が含まれると理解されなければならない。要するに、当該「法」は、管轄裁判所が解釈したとおり、有効な規定である』。
『法律で定める』という概念については、CJEU 法務官意見（C-203/15
及び C- 698/15 の合同ケース、Tele2 Sverige AB、ECLI:EU:C:2016:572、パラブラフ 137 ～ 154、又はケー
ス C-70/10、Scarlet Extended、ECLI:EU:C:2011:255、パラグラフ 99）で提案されているように、欧州人権裁判所が策定した基準が使用されるべきである。
10

を損なうことがないこと、法の支配に適合することを要求する、法の質に関するものである。特に、国内法について、管理者にそのような制限を行う権限が与えられている状況及び条件について、個人に十分な示唆を与えるよう、その条項が十分に明確でなければならない。加盟国らが課す可能性のある制限についても、同じ厳格な基準が適用されなければならない。GDPR
及び欧州連合司法裁判所(CJEU)並びに欧州人権裁判所 (ECtHR)の判例に従い、データ主体の権利又は管理者の義務の範囲を制限しようとする立法措置は、データ主体にとって予見可能であることが不可欠である。
18.

While any legislative measure must in any case be adapted to the objective pursued and meetthe foreseeability criterion, a legislative measure laying down the provisions for the applicationof restrictions under Article 23 GDPR does not always have to be limited in time or linked to a
specific period.
いかなる立法措置も、いかなる場合においても、追求される目的に適合し、予見可能性の基準を満たさなければならないが、GDPR 第 23 条に基づく制限の適用に関する規定を定める立法措置は、必ずしも期間を限定したり、特定の期間に関連付けたりする必要はない。
a. In some cases, the restriction is not specifically linked to a timeframe because theground for the restriction to be safeguarded by the legislative measure is not in itself
limited in time. In light of the principle of necessity and proportionality, it is necessary
to ensure that such legislative measures relate to a ground for restriction to besafeguarded on an ongoing basis, or permanently, in a democratic society. For
instance, a legislative measure restricting the scope of the obligations and rights
provided for in Article 12 to 22 and Article 34, for safeguarding the protection of
judicial independence and judicial proceedings may for example be considered as
fulfilling a continuing objective in a democratic society and therefore may not belimited in time.
場合によっては、立法措置によって保護される制限の理由自体が時間的に制限されていないため、制限と時間枠とが、特に関連付かないことがある。必要性及び比例性の原則に照らし、そのような立法措置が、民主主義社会において継続的に、又は恒久的に、保護されるものであるという制限の理由に関連していることを確保する必要がある。例えば、司法の独立と司法手続の保護を守るための、第 12 条から第22 条及び第 34 条に定める義務及び権利の適用範囲を制限する立法措置は、例
えば、民主主義社会における継続的な目的を達成するものとみなされる可能性があり、したがって、時間に制限がない場合がある。
b. In other cases, the ground for the restriction to be safeguarded is in itself limited intime and therefore the legislative measure should provide a limitation in time in order
to meet the foreseeability criterion. For example, where restrictions are adopted in
the context of a state of emergency to safeguard public health, the EDPB considers
that restrictions, imposed for a duration not precisely limited in time, do not meetthe foreseeability criterion, including when such restriction apply retroactively or are
subject to undefined conditions9.
他方、制限の目的として保護される理由自体に時間的な制限がある場合、当該立法措置には、予見可能性の基準を満たすために、時間的な制限を設けなければならない。例えば、公衆衛生を保護するために非常事態に関連して制限が採用される場合、EDPB は、時間が正確に限定されていない期間にわたって課せられる制限
は、その制限が遡及的に適用される場合や、その制限が未定義の条件次第の場

9

See also paragraph 46 below.
以下、パラグラフ 46※も参照。
※仮翻訳者注：非常事態に関連する制限についての EDPB の考えについては、パラグラフ 47 に記述がある。
11

合を含め、予見可能性の基準を満たしていないものと考える 9。
19.

This link between the foreseen restrictions and the objective pursued should be clearly
established and demonstrated in the concerned legislative measure or additional supplementary
documents. For instance, the mere existence of a pandemic alone is not a sufficient reason toprovide for any kind of restriction on the rights of data subjects; rather, any restriction shallclearly contribute to the safeguard of an important objective of general public interest of theUnion or of a Member State.
予見される制限と追求される目的との間のこの関連性は、関連する立法措置又は追加的な補足文書の中で明確に確立され、実証されなければならない。例えば、単にパンデミックが存在するということだけでは、データ主体の権利に対し何らかの制限を設ける十分な理由にはならない。むしろ、いかなる制限も、EU 又は加盟国の一般的な公共の利益という重要な目的の保護に明確に寄与するものでなければならないのである。

3.3 Grounds for the restrictions
3.3 制限のための理由
20.

In order to adopt a legislative measure for restrictions and to apply a restriction in a concrete
case, one or several of the following conditions stated in Article 23(1) GDPR need to be met. This
list is exhaustive, meaning restrictions cannot be carried out under any other conditions than theones listed below.
制限の立法措置を採用し、具体的なケースに制限を適用するためには、GDPR 第 23 条(1)に規定されている以下の条件の一つ又は複数を満たす必要がある。このリストは網羅的なものであり、以下に列挙されている条件以外では制限を課すことができないことを意味する。

21.

The link between the foreseen restrictions and the objective pursued should be clearly stated in
the legislative measure.
予見される制限と追求される目的との間の関連性は、立法措置の中で明確に規定されていなければならない。

3.3.1 National security, defence and public security
3.3.1 国家安全保障、防衛及び公共の安全
22.

A restriction to data subject rights can have national or public security and/or defence of theMember States as an objective to be safeguarded, as stated in Article 23(1)(a), (b) and (c) GDPR.
データ主体の権利に対する制限には、GDPR 第 23 条 (1)(a)、(b)、及び(c)に規定されているように、国家の安全保障又は公共の安全、及び/又は加盟国の防衛を保護される目的とすることが
できる。

23.

Moreover, public security includes protection of human life, especially in response to natural ormanmade disasters.
さらに、公共の安全には、特に自然災害又は人為的な災害への対応の際の人の生命の保護が含まれる。

3.3.2 Prevention, investigation, detection and prosecution of criminal offences or the
execution of criminal penalties including the safeguarding against and theprevention of threats to public security
3.3.2 公共の安全への脅威からの保護及びその防止を含め、犯罪行為の防止、捜査、検知及び訴追又は 刑罰の執行
24.

In certain cases, providing information to the data subjects who are under investigation might12jeopardise the success of that investigation. Therefore, the restriction of the right to informationor other data subject's rights may be necessary, under Article 23(1)(d) GDPR. This is relevant for
instance in the framework of anti-money laundering or the activities of forensic laboratories10.
場合によっては、調査下のデータ主体に情報を提供すると、当該調査の成功を危うくする可能性がある。したがって、GDPR 第 23 条(1)(d)に基づき、情報に対する権利又はその他のデータ
主体の権利の制限が必要となる場合がある。これは、例えば、反マネーロンダリングの枠組み
又はフォレンジック調査機関の活動と関連するものである 10。
25.

Nonetheless, the omitted information shall, in accordance with the case law of the CJEU, beprovided once and if it is no longer possible for it to jeopardise the investigation being carriedout11. This means that a specific (tailor-made) data protection notice should be given to the data
subject as soon as possible, stating the different rights such as access, rectification etc.
ただし、省略された情報は、CJEU の判例法に従い、実施されている調査が危険にさらされる可能性がなくなった時点で、提供される 11。このことは、できるだけ早くデータ主体に対し、アクセスの権利、訂正の権利などの様々な権利を明記した、特定の（オーダーメイドの）データ保護について通知する必要があることを意味する。

26.

Also, the objective of safeguarding public security includes the protection of human life especiallyin response to natural or manmade disasters12.
また、公共の安全を保護する目的には、特に自然災害又は人為的な災害への対応の際の人の生命の保護も含まれる 12。

3.3.3 Other important objectives of general public interest
3.3.3 一般的な公共の利益の他の重要な対象
27.

Article 23(1)(e) GDPR mentions as other important objectives of general public interest of theUnion or of a Member State important economic or financial interest, including monetary,
budgetary and taxation matters, public health and social security. It may concern for instancethe keeping of public registers kept for reasons of general public interest or the further
processing of archived personal data to provide specific information related to the politicalbehaviour under former totalitarian state regimes 13 . However, the costs incurred as aconsequence of providing information and thus the financial burden on public budgets are notsufficient to justify a public interest in restricting the rights of the data subjects. As an example a
Direct Tax Administration may impose restrictions to the rights of access by the data subject
where he or she is under an investigation led by the Tax Administration in the framework of its
legal duty, in so far as this access would jeopardise the ongoing investigation. However such
restriction should be limited to the time necessary for the specific investigation and should be
lifted as soon as the Tax Administration closes the investigation. The data subject should be
informed without delay and be notified with the justifications contained in the decision of thecontroller and with the date from which he or she may again exercise his or her right of access.

10

Recital 19 GDPR.
GDPR 前文第 19 項。
11
Opinion 1/15 of the CJEU (Grand Chamber) on the Draft PNR Agreement between Canada and the European
Union, 26 July 2017, ECLI:EU:C:2017:592.
カナダと EU 間の PNR 協定草案に関する CJEU（大法廷）の意見 1/15、2017 年 7 月 26 日、
ECLI:EU:C:2017:592。
12
Recital 73 GDPR.
GDPR 前文第 73 項。
13
Recital 73 GDPR.
GDPR 前文第 73 項。
13

Also appropriate safeguards should be ensured such as for instance an indirect access14 - when
it is foreseen in national law - so as to ensure that an independent Authority may check thelawfulness of the processing.
GDPR 第 23 条 (1)(e) は、EU 又は加盟国の一般的な公共の利益の他の重要な対象として、通貨、予算及び税務上の事項を含め、重要な経済的な利益又は財政上の利益、公衆衛生及び社会保障に言及している。それは、例えば、一般的な公共の利益を理由として保存される公的記録の維持管理、又はかつての全体主義国家体制の下での政治的活動に関する特別な情報を提供するための保管された個人データの追加的取扱いに関連しうる 13。一方、情報提供の結果として発生するコストや、その結果の公的予算による財政負担は、データ主体の権利を制限する公共の利益を正当化するには十分ではない。一例として、データ主体が、直接税務当局の法的義務の枠内で実施する調査下にある場合、当該データへのアクセスが進行中の調査を危険にさらす可能性がある場合に限り、当該直接税務当局はデータ主体によるアクセスの権利に制限を課しうる。ただし、そのような制限は、特定の調査に必要な時間に限定され、また当該税務当局が調査を終了した時点で直ちに解除されなければならない。データ主体は遅滞なく連絡を受け、管理者の決定に含まれる正当な理由及び自身のアクセスの権利を再び行使できる日付について通知される必要がある。また、国内法において予見される場合、独立した当局が取扱いの合法性を確認しうることを確保できるように、例えば間接的なアクセス 14 といったような、適切な保護措置も確保されなければならない。
28.

In order to ensure the general public interest objective of accessibility of the law, a public
administration may impose restrictions to the right to object the processing of pseudonymised
personal data for the development of a benchmark document and information identifying, by
type of damage, the amounts claimed and offered by the parties to a dispute as well as theamounts allocated to victims as compensation for their physical injury in court decisionsdelivered on appeal by administrative courts and civil courts. Such restrictions may take placeprovided that the conditions under Article 23(2) GDPR are met, and in particular through theimplementation of safeguards such as the approximation of compensation amounts, the deletionof the first and last names of the parties to the dispute and the pseudonymisation of the personal
data processed.
法の利用しやすさという一般的な公共の利益の目的を確保するために、行政機関は、行政裁判所及び民事裁判所による控訴に基づいて下された裁判所の判決において、損害の種類ごとに、紛争当事者が請求及び提示した金額、並びに身体的損害の補償として被害者に配分された金額のベンチマーク文書及び特定の情報を作成するために、仮名化された個人データの取扱いに異議を唱える権利に対し、制限を課しうる。このような制限は、GDPR 第 23 条(2)に基づく条件が満たされている場合に適用される場合があり、特に補償額の概算、紛争当事者の氏名の削除、及び取り扱われた個人データの仮名化といった保護措置の装備を通じて実施されうる。

3.3.4 Protection of judicial independence and judicial proceedings
3.3.4 司法の独立の保護及び司法手続の保護
29.
14

Article 23(1)(f) GDPR also foresees the need to restrict certain data subjects' rights or controller's

I.e. the data subject may ask the competent supervisory authority to proceed with the necessary checks andverifications of the information concerning the data subject. Such indirect access may be established for
instance to protect security of the State, defence or public security. The Supervisory authority may then accessand verify the information and where relevant can request rectification or deletion of the personal data being
processed.
つまり、 データ主体は、データ主体に関する情報の必要な確認及び検証を進めるよう所轄監督機関に要請しうる。 このような間接的なアクセスは、例えば、国家の安全保証、防衛、又は公共の安全を保護するために確立されうる。当該監督機関は情報にアクセスして検証し、必要に応じて取り扱われている個人データの訂正又は消去を要求することがでる。
14

obligations, in order to protect judicial independence and judicial proceedings.
GDPR 第 23 条 (1)(f) はまた、司法の独立及び司法手続を保護するために、特定のデータ主体の権利又は管理者の義務を制限する必要性を予見している。
30.

The scope of these restrictions should be aligned with national legislation regulating thesematters.
これらの制限の適用範囲は、これらの問題を規制する国内法と整合性がなければならない。

3.3.5 Prevention, investigation, detection and prosecution of breaches of ethics forregulated professions
3.3.5 規制職種における倫理違背行為の防止、捜査、検知及び訴追
31.

Article 23(1)(g) GDPR mentions breaches of ethics for regulated professions, such as medical
doctors and lawyers.
GDPR 第 23 条 (1)(g) は、医師や弁護士といった、規制職種における倫理違背について言及し
ている。

32.

These are cases in which an investigation does not relate in principle with criminal offences as,
where the investigation concerns a criminal offence, the ground set out under point 3.3.2 would
be applicable.
これらは、捜査が刑事犯罪に関係する場合は第 3.3.2 項に掲げる理由が適用されると仮定されるため、原則として捜査が刑事犯罪に関連しない場合のケースである。

3.3.6 Monitoring, inspection or regulatory function connected to the exercise of official
authority in the cases referred to in points (a) to (e) and (g) of Article 23 GDPR
3.3.6 GDPR 第 23 条(a)から(e)及び(g)に規定する場合における公的な権限の行使と関係する監視、 監督及び規制の権能
33.

The ground for restriction mentioned in Article 23(2)(h) GDPR refers to a potential limitation
when there is an inspection or a monitoring exercise or a regulatory function connected, even if
only occasionally, to the exercise of official authority in the cases referred to in points 3.3.1 to3.3.3 and 3.3.5.
GDPR 第 23 条 (2) (h) に記載されている制限の理由は、たとえ時折であっても、第 3.3.1 項から
第 3.3.3 項及び第 3.3.5 項に言及されている場合における公的な権限の行使に関係する、監視又は監督の行使、並びに規制の権能が存在する場合の潜在的な制限を指している。

3.3.7 Protection of the data subject or the rights and freedoms of others
3.3.7 データ主体の保護、又は、その他の者の権利及び自由の保護
34.

Article 23(1)(i) GDPR refers to a ground for restriction that aims to protect the data subject or
the rights and freedoms of other persons.
第 23 条 (1)(i) GDPR は、データ主体又は他の者の権利及び自由を保護することを目的とする
制限の理由を指している。

35.

One can illustrate a restriction to protect the rights and freedoms of others with an example ofan administrative inquiry and/or disciplinary proceedings or investigation on allegations ofharassment in the workplace. In this case, a legislative measure may provide that the person
subject to an inquiry or disciplinary proceedings may experience a limitation to his or her rightof access, where the identity of an alleged victim or witness or whistle-blower cannot be
disclosed in order to protect him or her from retaliation. The victim or witness may also see hisor her right of access restricted to respect the rights to privacy and data protection of the person
15subject to an inquiry or disciplinary proceedings.
他の者の権利及び自由を保護するための制限を、職場でのハラスメント疑い関する行政調査
及び／又は、懲戒の手続若しくは調査の例で説明することができる。この場合、報復から身を守るために、被害者とされる者又は目撃者若しくは内部告発者の身元を開示することができな
い場合、調査又は懲戒手続の対象となる者が自身のアクセスする権利に対し制限を加えられる可能性があることを立法措置により定めることができる。被害とされる者や目撃者もまた、調査又は懲戒手続の対象となる者のプライバシー及びデータ保護に対する権利を尊重するために、自身のアクセスの権利に制限が加えられる可能性がある。

3.3.8 Enforcement of civil law claims
3.3.8 民事訴訟の執行確保
36.

Article 23(1)(j) GDPR also includes the enforcement of civil law claims as a ground for restrictions.
While Article 23(1)(j) GDPR allows limitations to protect the individual interests of a (potential)
litigant, Article 23(1)(f) GDPR allows limitations to protect the court proceedings themselves aswell as the applicable procedural rules.
GDPR 第 23 条(1)(j)は、制限の理由として、民事訴訟の執行確保についても含んでいる。GDPR
第 23 条(1)(j)では、（潜在的な）訴訟当事者の個人的利益を保護するための制限が認められているのに対し、GDPR 条第 23 条(1)(f) では、適用される手続規則だけでなく、訴訟手続自体を保護するための制限も認められている。

3.4 Data subjects' rights and controller's obligations which may be restricted
3.4 制限される可能性のあるデータ主体の権利及び管理者の義務
37.

In accordance with Article 23 GDPR, only Articles 12 to 22, Article 34 GDPR and Article 5 as far as
its provisions correspond to the rights and obligations provided for in Article 12 to 22 can be
restricted.
GDPR 第 23 条によれば、GDPR 第 12 条から第 22 条、第 34 条、及びその条項が 第 12 条から
第 22 条に定める権利及び義務に対応する範囲内において第 5 条に限り制限を設けることが
できる。

38.

The restrictions to obligations concern restrictions to the principles relating to the processing of
personal data as far as the provisions of Article 5 correspond to the obligations provided in Article
12 to 22 GDPR and to the communication of a personal data breach to the data subjects (Article
34 GDPR). Article 5 GDPR, which establishes the principles relating to the processing of personaldata, is one of the most important articles in the GDPR. Restrictions to the data protection
principles need to be duly justified by an exceptional situation, respecting the essence of thefundamental rights and freedoms at issue and following a necessity and proportionality test15(see section 3.5 below). It should be noted that Article 5 GDPR can be only restricted in so far as
its provisions correspond to the rights and obligations provided in Articles 12 to 22 GDPR.
義務に対する制限は、第 5 条の条項が GDPR 第 12 条から第 22 条に定める義務に対応する範囲内において個人データの取扱いに関する原則に対する制限、及びデータ主体に対する個
人データ侵害の連絡（GDPR 第 34 条）に対する制限に関するものである。個人データの取扱い

15

See European Data Protection Supervisor (EDPS) Guidelines - 'Assessing the necessity of measures that limit
the fundamental right to the protection of personal data: A Toolkit', the EDPS Guidelines on assessing the
proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data
and the EDPS quick-guide to necessity and proportionality.
次の欧州データ保護監察機関 (EDPS) ガイドライン参照。 『個人データの保護に対する基本的な権利を制限するための措置の必要性の評価: ツールキット』、プライバシーと個人データの基本的な権利を制限するための措置の比例性の評価に関する EDPS ガイドライン、必要性及び比例性に関する EDPS クイックガイド。
16

に関する原則を定める GDPR 第 5 条は、GDPR の中で最も重要な条文の一つである。データ保護の原則に対する制限は、問題となっている基本的な権利及び自由の本質的部分を尊重するものであり、また必要性及び比例性のテスト 15（以下の第 3.5 節参照）に従い、例外的な状況により正式に正当化される必要がある。GDPR 第 5 条は、その条項が GDPR 第 12 条から第 22条に定める権利及び義務に対応する範囲内においてのみ制限されうることに留意しなければ
ならない。
39.

The restrictions to rights concern the right to transparent information (Article 12 GDPR), right toinformation (Articles 13 and 14 GDPR), right of access (Article 15 GDPR), right to rectification(Article 16 GDPR), right to erasure (Article 17 GDPR), right to restriction of processing (Article 18
GDPR), notification obligation regarding rectification or erasure of personal data or restriction ofprocessing (Article 19 GDPR), right to data portability (Article 20 GDPR), right to object (Article
21 GDPR), right not to be subject to an automated individual decision making (Article 22 GDPR).
権利に対する制限は、次の権利に関するものである。透明性のある情報に対する権利（GDPR
第 12 条）、情報に対する権利（GDPR 第 13 条及び第 14 条）、アクセスの権利（GDPR 第 15 条）、
訂正の権利（GDPR 第 16 条）、消去の権利(GDPR 第 17 条)、取扱いの制限の権利 (GDPR 第 18条)、個人データの訂正若しくは消去又は取扱いの制限に関する通知義務(GDPR 第 19 条)、データポータビリティの権利(GDPR 第 20 条)、異議を述べる権利( GDPR 第 21 条）、個人に対する自動化された意思決定の対象とされない権利（GDPR 第 22 条）。

40.

This means that any other data subjects' rights - such as the right to lodge a complaint to thesupervisory authority (Article 77 GDPR) - or other controllers' obligations cannot be restricted.
このことは、監督機関に対し異議を申立てる権利（GDPR 第 77 条）など、その他のデータ主体の権利、又はその他の管理者の義務を制限することはできないことを意味する。

3.5 Necessity and proportionality test
3.5 必要性及び比例性のテスト
41.

Restrictions are only lawful when they are a necessary and proportionate measure in a
democratic society, as stated in Article 23(1) GDPR. This means that restrictions need to pass anecessity and proportionality test in order to be compliant with the GDPR16. The necessity andproportionality test should be carried out before the legislator decides to provide for a restriction.
制限は、GDPR 第 23 条(1)に規定されているように、民主主義社会において必要かつ比例的な措置である場合にのみ合法となる。このことは、GDPR に準拠するには、制限が必要性及び比例性のテストに合格する必要があることを意味する 16。立法者が制限を設けることを決定する前に、必要性及び比例性のテストを実施する必要がある。

42.

The objective to be safeguarded provides the background against which the necessity of themeasure may be assessed. It is therefore important to identify the objective in sufficient detailso as to allow the assessment on whether the measure is necessary. For example, if in
administrative proceedings it is necessary to restrict part of the investigation, but some
information can already be disclosed to the data subjects concerned, then that information
should be provided to the person. The case law of the CJEU applies a strict necessity test for any
limitations on the exercise of the rights to personal data protection and respect for private life
with regard to the processing of personal data: ‛derogations and limitations in relation to the16

Within the mission of the supervisory authorities and in order to ensure legal certainty it is advisable that the
proportionality and necessity test is documented. Supervisory authorities may request additional
documentation.
監督機関の使命の範囲内で、また、法的確実性を確保するために、比例性及び必要性のテストを文書化しておくことが推奨される。監督機関は追加的な文書を要求しうる。
17

protection of personal data (...) must apply only insofar as is strictly necessary'17. The ECtHR
applies a test of strict necessity depending on the context and all circumstances at hand, such aswith regard to secret surveillance measures18.
保護される目的は、その措置の必要性を評価するための背景となる。したがって、その措置が必要かどうかを評価できるように、目的を十分に詳細に特定することが重要である。例えば、行政手続において調査の一部を制限する必要があるが、既に関連するデータ主体に対し開示されている可能性がある情報の場合、そのような情報は当該人物に提供されるべきである。 CJEUの判例法は、個人データの保護に対する権利の行使への制限及び個人データの取扱いに関する私生活の尊重について、厳格な必要性のテストを適用している。つまり、『個人データの保護に関する逸脱及び制限（中略）は、厳密に必要な場合に限り適用されなければならない』17。
ECtHR は、秘密の調査の措置に関する場合など、入手可能な過程や全ての状況に応じて、厳密な必要性のテストを適用している 18。
43.

If this test is satisfied, the proportionality of the envisaged measure will be assessed. Should thedraft measure not pass the necessity test, there is no need to examine its proportionality. A
measure which is not proved to be necessary should not be proposed unless and until it has been
modified to meet the requirement of necessity.
このテストが満たされる場合、想定される措置の比例性を評価する。 措置案が必要性テストに合格しない場合は、その比例性を審査する必要はない。必要性があることが証明されていない
措置は、必要性の要件を満たすように修正されない限り、また修正されるまで、提案されるべき
ではない。

44.

The necessity and proportionality test typically implies assessing the risks to the rights andfreedoms of the data subjects. The risks to the rights and freedoms of data subjects are detailed
in point 4.7 of these guidelines.
必要性及び比例性のテストは通常、データ主体の権利及び自由に対するリスクを評価することを意味する。データ主体の権利及び自由に対するリスクについては、当該ガイドラインの第 4.7
節※において詳しく説明する。
※仮翻訳者注：データ主体の権利及び自由に対するリスクについては、当該ガイドラインの第
4.6 節において説明されている。

45.

According to the proportionality principle, the content of the legislative measure cannot exceed
what is strictly necessary to safeguard the objectives listed in Article 23(1)(a) to (j) GDPR. The
restriction must therefore be appropriate for attaining the legitimate objectives pursued by thelegislation at issue and not exceed the limits of what is appropriate and necessary in order toachieve those objectives. According to the CJEU case law, Article 23 GDPR cannot be interpreted
as being capable of conferring on Member States the power to undermine respect for private
life, disregarding Article 7 of the Charter, or any of the other guarantees enshrined therein. In
particular, the power conferred on Member States by Article 23(1) GDPR may be exercised onlyin accordance with the requirement of proportionality, according to which derogations andlimitations in relation to the protection of personal data must apply only in so far as is strictly
necessary19.

17

See CJEU, judgment of 16 December 2008, case C-73/07, Tietosuojavaltuutettu v. Satakunnan Markkinapörssi
Oy and Satamedia Oy, ECLI:EU:C:2008:727, paragraph 56.
CJEU、2008 年 12 月 16 日判決、ケース C-73/07、Tietosuojavaltuutettu 対 Satakunnan Markkinapörssi Oy
and Satamedia Oy、ECLI:EU:C:2008:727、パラグラフ 56、参照。
18
See ECtHR, Szabo and Vissy v. Hungary, 12 January 2016, paragraph 73.
ECtHR、Szabo and Vissy 対 Hungary、2016 年 1 月 12 日、パラグラフ 73、参照。
19
CJEU, judgment of 6 October 2020, La Quadrature du net and others joined cases C-511/18, C-512/18 and C520/18, ECLI:EU:C:2020:791, paragraph 210. For example, in relation to data retention by online public18

比例性の原則に従い、立法措置の内容は、GDPR 第 23 条 (1) (a) から (j) に列挙される目的を保護するために厳密に必要な内容を超えることはできない。したがって、制限は、問題となっている立法により追求される正当な目的を達成するために適切なものでなければならず、それらの目的を達成するために適切かつ必要な制限を超えてはならない。CJEU の判例法によれば、GDPR 第 23 条は、憲章第 7 条及びそこに謳われているその他の約束事を無視して、加盟国に対し、私生活の尊重を損なうような権限を与えることができるものと解釈することはできない。特に、GDPR 第 23 条(1)により加盟国に与えられる権限は、比例性の要件に従ってのみ行使することができ、それに従い、個人データの保護に関する逸脱及び制限は、厳密に必要な場合に限り適用されなければならない 19。
46.

A proposed restriction measure should be supported by evidence describing the problem to beaddressed by that measure, how it will be addressed by it, and why existing or less intrusive
measures cannot sufficiently address it. There is also a requirement to demonstrate how any
proposed interference or restriction genuinely meet objectives of general interest of the Stateand EU or the need to protect the rights and freedoms of others. The restriction of dataprotection rights will need to focus on specific risks.
提案された制限措置は、その措置により対処される問題、その措置により対処される方法、及び既存の又はより侵害的ではない措置では十分に対処できない理由を説明する証拠によって裏付けされなければならない。また、提案されている干渉又は制限が、どのように国家及び EUの一般的な利益の目的、又はその他の者の権利及び自由を保護する必要性を真に満たすかについて証明することが要求される。データ保護の権利への制限は、特定のリスクに焦点を当てる必要がある。

47.

For example, if restrictions contribute to safeguarding public health in a state of emergency, the
EDPB considers that the restrictions must be strictly limited in scope (e.g. as to the purpose, data
subject rights concerned or the categories of controllers concerned) and in time. In particular, it
must be limited to the emergency state period. Data subject rights can be restricted but notdenied.
例えば、制限が非常事態における公衆衛生の保護に貢献する場合、EDPB は、当該制限の適用範囲（例えば、目的、関係するデータ主体の権利又は関係する管理者の類型に関して）、及
び時間が、厳密に制限されなければならないと考える。特に、制限は、緊急事態宣言の期間に限定されなければならない。データ主体の権利は制限される可能性はあるが、否定されることはない。

4 REQUIREMENTS OF ARTICLE 23(2) GDPR
4 GDPR 第 23 条(2)の要件
48.

According to the CJEU case law, any legislative measure adopted on the basis of Article 23(1)GDPR must, in particular, comply with the specific requirements set out in Article 23(2) of thecommunication services and hosting services providers, the CJEU concluded, paragraph 212, that ‘Article 23(1)(GDPR), read in the light of Articles 7, 8 and 11 and Article 52(1) of the Charter, must be interpreted as precluding
national legislation which requires that providers of access to online public communication services and hosting
service providers retain, generally and indiscriminately, inter alia, personal data relating to those services’ .
CJEU、2020 年 10 月 6 日判決、La Quadrature du net and others の合同ケース C-511/18、C-512/18 及び C520/18、CLI:EU:C:2020:791、パラグラフ 210。例えば、オンラインの公衆通信サービス及びホスティングサービ
スのプロバイダーによるデータ保持に関して、CJEU は、パラグラフ 212 において、『GDPR 第 23 条(1)は、憲章
第 7 条、第 8 条、第 11 条及び第 52 条(1)に照らし、オンラインの公衆通信サービスアクセスプロバイダー及びホスティングサービスプロバイダーが、特にそれらのサービスに関連する個人データを、一般的かつ無差別に、保持することを要求するような国内法を排除するものとして解釈されなければならない』旨、結論付けている。
19

GDPR20. Article 23(2) GDPR states that the legislative measures imposing restrictions to the rightsof data subjects and the controllers' obligations shall contain, where relevant, specific provisions
about several criteria outlined below. As a rule, all the requirements detailed below should be
included in the legislative measure imposing restrictions under Article 23 GDPR.
CJEU の判例法によれば、GDPR 第 23 条 (1) に基づいて採用される立法措置は、特に、GDPR
第 23 条 (2) に定められた特定の要件に準拠しなければならない 20。GDPR 第 23 条 (2)は、デー
タ主体の権利及び管理者の義務に制限を課す立法措置には、それが適切なときは、以下に概説するいくつかの基準に関する特別の条項を含めるよう規定している。原則として、GDPR
第 23 条に基づいて制限を課す立法措置には、以下に詳述する全ての要件を含めなければな
らない。
49.

Exceptions to this rule, based on the fact that one or more provisions in Article 23(2) GDPR are
not relevant regarding the legislative measure foreseeing the restriction of data subjects' rights,
need to be duly justified by the legislator. The EDPB's interpretation of the expression “where
relevant” in Article 23(2) GDPR is linked to the circumstances.
この規則の例外は、GDPR 第 23 条(2)の一つ以上の条項がデータ主体の権利の制限を予見す
る立法措置に関連しないという事実に基づき、立法者により正式に正当化される必要がある。
GDPR 第 23 条(2)の「それが適切なときは」という表現についての EDPB の解釈は、当該状況に関連したものである。

50.

Article 23(2)(a) GDPR mentions the purposes of the processing or categories of processing as oneof the specific provisions that shall be mentioned in any legislative measures restricting the rightsof data subjects or controllers' obligations. As per Recital 8 GDPR, the reason for the restriction
should be comprehensible to persons to whom it applies. This also involves a clear understandingof how and when the restriction may apply.
GDPR 第 23 条(2)(a)は、データ主体の権利又は管理者の義務を制限する立法措置の中で言及される特別の条項の一つとして、取扱いの目的又は取扱いの種類について言及している。
GDPR 前文第 8 項に従い、制限の理由は、その法令の適用を受ける者にとって理解しやすいものである必要がある。このことには、どのように、いつ制限が適用されるかを明確に理解することも含まれる。

51.

For example, national legislation on prevention and investigation of breaches of ethics forregulated professions might state that if the disclosure of the fact that a person is underinvestigation for a serious breach may be prejudicial to the purpose of the investigation, theinformation may not be disclosed to the data subject for a limited time.
例えば、規制職種における倫理違背行為の防止及び調査に関する国内法は、ある人物が重大な違反で調査を受けているという事実の開示が当該調査の目的を妨げうる場合、その情報は一定期間当該データ主体に対し公開されない旨、規定する可能性がある。

52.

The possible purposes of the processing need to be linked to the grounds for the restrictions
mentioned in point 3.3 of these guidelines.
考えられる取扱いの目的は、当該ガイドラインの第 3.3 節で言及されている制限の理由と関連付けられている必要がある。

53.

It should be said that sometimes the exercise of data subjects' rights helps the controllers
performing their function. For example, the right to rectification can contribute to the quality ofthe data.

20

CJEU, judgment of 6 October 2020, La Quadrature du Net and others joined cases C-511/18, C-512/18 and C520/18, ECLI:EU:C:2020:791, paragraph 209.
CJEU、2020 年 10 月 6 日判決、La Quadrature du Net and others、合同ケース C-511/18、C-512/18 及び C512/18、ECLI:EU:C:2020:791、パラグラフ 209。
20

データ主体の権利の行使は、管理者にとって、その役割を履行するのに役立つ場合があるということに言及しておく必要があろう。例えば、訂正の権利はデータの品質に貢献する可能性がある。

4.1 Categories of personal data
4.1 個人データの種類
54.

Article 23(2)(b) GDPR states that the categories of personal data subject to restrictions are to be
indicated in the legislative measure foreseeing those restrictions21.
GDPR 第 23 条(2)(b)は、制限の対象となる個人データの種類は、それらの制限を予見する立法措置の中で示すよう規定している 21。

55.

In the same vein, restrictions concerning special categories of personal data may have a bigger
impact on the data subjects and, therefore, the legislative measure setting such a restriction
should mention the concerned special categories of data therein.
同様に、特別な種類の個人データに関する制限は、データ主体に対し、より大きな影響を与える可能性があるため、そのような制限を設定する立法措置では、その中で関連する特別な種類のデータについて言及する必要がある。

4.2 Scope of the restrictions
4.2 制限の適用範囲
56.

Article 23(2)(c) GDPR prescribes that the scope of the restrictions shall also be specified, i.e.
which rights are concerned and how far they are going to be limited, for instance, that a
restriction only concerns the right to restriction of processing (Article 18 GDPR), or that it may
concern access, rectification and erasure.
GDPR 第 23 条(2)(c) は、制限の適用範囲についても明記するよう規定している。つまり、どの権利が関係し、どの範囲まで制限されるのか、例えば、制限が取扱いの制限の権利（GDPR 第 18条）のみに関するのか、又は制限がアクセス、訂正、消去に関する可能性があるのか等。

4.3 Safeguards to prevent abuse or unlawful access or transfer
4.3 不正使用又は違法なアクセス若しくは移転を防止するための保護措置
57.

Article 23(2)(d) GDPR states that the legislative measure shall include safeguards to prevent
abuse or unlawful access or transfer. This refers in particular to organisational and/or technicalmeasures22 which are necessary in order to avoid breaches or unlawful transfers such as thestorage in a safe way of physical documents. For example, in some Member States the exerciseof rights in respect of processing carried out in specific sectors can be exercised through themediation of the national data protection supervisory authority (‘SA').
GDPR 第 23 条(2)(d)は、立法措置は不正使用又は違法なアクセス若しくは移転を防止するための保護措置を含めるよう規定している。これは特に、物理的な文書の安全な方法での保管など、侵害や違法な移転を回避するために必要な組織的及び／又は技術的措置 22 を指している。例えば、一部の加盟国では、特定の分野で実行される取扱い関する権利の行使は、国内のデータ保護監督機関（『SA』）の仲介を通じて行使が可能となっている。

21

Where possible, the controller can go further and list the specific data items to which the restriction of rights
may apply, such as the preliminary results of an investigation, a decision opening an inquiry, etc.
可能な場合、管理者は更に踏み込んで、権利の制限が適用される特定のデータ項目、例えば、調査の暫定結果、調査を開始する決定等、列挙することができる。
22
See EDPB Guidelines 4/2019 on Article 25 data protection by design and by default.
第 25 条データ保護バイデザイン及びバイデフォルトに関する EDPB ガイドライン 4/2019 参照。
21

58.

The legislative measure may also concern periodic measures to review a given decision on
restrictions. The legislator may propose that each restriction implemented by the controller
should be reviewed periodically to ensure that the justification for it is still valid.
立法措置は、制限に関する所定の決定を見直すための定期的な措置に関する場合もある。
立法者は、管理者が実施する各制限を定期的に見直し、その正当性が依然として有効であることを確保するよう、提案する場合がある。

4.4 Specification of the controller
4.4 管理者の仕様
59.

Article 23(2)(e) GDPR requires that the legislative measure specifies who the controller is or who
the categories of controllers are. This appointment of the controllers in the legislative measure
not only favours legal certainty regarding the responsibility for the processing operations inrelation to the restrictions, but also allows data subjects to know whom to address when
exercising their rights, once the restriction is lifted.
GDPR 第 23 条(2)(e) は、立法措置により、管理者が誰であるか、又は管理者の類型が誰であるかを特定するよう求めている。立法措置における管理者の指名により、制限に関連する取扱業務の責任に関する法的確実性が高められるだけでなく、制限が解除された後にデータ主体が自身の権利を行使する際に誰に連絡すべきかを知ることが可能となる。

4.5 Storage periods
4.5 記録保存期間
60.

Article 23(2)(f) GDPR establishes that the legislative measure must include a specific provision
regarding the storage periods and applicable safeguards taking into account the nature, scopeand purposes of the processing or categories of processing. For instance, the retention period
could be calculated as the duration of the processing operation plus additional time for potential
litigation.
GDPR 第 23 条(2)(f)は、立法措置には、取扱い又は取扱いの種類の性質、範囲及び目的を考慮に入れた記録保存期間及び適用可能な保護措置に関する特別の条項を含めなければならないと定めている。例えば、記録保存期間は、取扱業務の期間に潜在的な訴訟のための追加的な時間を加えたものとして計算することができる。

4.6 Risks to data subjects' rights and freedoms
4.6 データ主体の権利及び自由に対するリスク
61.

Article 23(2)(g) GDPR requires that the legislative measure include the risks to data subject's
rights and freedoms entailed by the restrictions. This is a very important step, which helps in thenecessity and proportionality test of the restrictions.
GDPR 第 23 条(2)(g) は、立法措置により、その制限がデータ主体の権利及び自由にもたらすリ
スクを含めるよう求めている。これは非常に重要な手立てであり、制限の必要性及び比例性のテストに役立つものである。

62.

The goal of this assessment of the risks to data subjects' rights and freedoms is twofold. On the
one hand, it provides an overview of the potential impact of restrictions on data subjects. On theother hand, it provides elements for the necessity and proportionality test of the restrictions. In

22this regard and if applicable, a data protection impact assessment (‘DPIA') should be considered23.
データ主体の権利及び自由に対するリスクを評価する目的は二つある。一方で、このような評
価はデータ主体に対する制限の潜在的な影響の概要を提供し、他方で、制限の必要性及び比例性のテストの要素を提供する。この点に関して、また該当する場合には、データ保護影響評価（『DPIA』） を考慮する必要がある 23。
63.

The legislator should assess the risks to data subject's rights and freedoms from the perspectiveof the data subjects. It is not always mandatory to perform a DPIA, but concrete risks to data
subjects - such as erroneous profiling leading to discrimination, reduced human dignity 24 ,freedom of speech, the right to privacy and data protection25, a bigger impact on vulnerable
groups (such as children or persons with disability), to mention a few - may be stated in thelegislative measure, if applicable.
立法者は、データ主体の観点からデータ主体の権利及び自由に対するリスクを評価する必要がある。DPIA の実施は必ずしも義務ではないが、データ主体に対する具体的なリスク、例えば、
差別につながる誤ったプロファイリング、人間の尊厳 24、言論の自由、プライバシーに対する権
利及びデータ保護 25 の低下、脆弱性のあるグループ（子どもや障害のある者など）に対するより大きな影響などは、該当する場合、立法措置に明記されうる。

64.

When such assessment is provided, the EDPB considers necessary to include it in the recitals or
explanatory memorandum of the legislation26 or in the impact assessment27.
そのような評価が提供される場合、EDPB は、そのことを法律の前文若しくは説明文書 26、又は影響評価 27 に含める必要があると考える。

4.7 Right to be informed about the restriction, unless prejudicial to the purposeof the restriction
4.7 制限の目的を妨げうるものでない限り、制限に関する情報提供を受ける権利
65.

Article 23(2)(h) GDPR states that, unless it may be prejudicial to the purpose of the restriction,
data subjects shall be informed of the restriction. This means that data subjects should be
informed about the restriction to their right to information as a rule. To that purpose, a generaldata protection notice may be sufficient.
GDPR 第 23 条(2)(h)では、その制限の目的を妨げうるものでない限り、データ主体は、その制限に関する情報提供を受けるものとする旨、規定されている。このことは、原則として、データ主体
は、情報に対する権利の制限について通知される必要があることを意味する。その目的のための通知には、一般的なデータ保護通知で十分であろう。

23

See also Article 29 Working Party Guidelines on Data Protection Impact Assessment (DPIA) and determining
whether processing is "likely to result in a high risk" for the purposes of Regulation 2016/679, wp248rev.01,
endorsed by the EDPB on 25 may 2018.
第 29 条作業部会、データ保護影響評価（DPIA）及び取扱いが規則 2016/679 の適用上「高いリスクをもたらすことが予想される」か否かの判断に関するガイドライン、WP 248 rev.01、2018 年 5 月 25 日 EDPB 採択版も参照のこと。
24
Human dignity is a right protected by Article 1 of the Charter.
人間の尊厳は憲章第 1 条により保護される権利である。
25
Articles 7 and 8 of the Charter.
憲章の第 7 条及び第 8 条。
26
The purpose of the explanatory memorandum is to explain the reasons for, and the context of a legislative
measure drawing on the different stages of the preparatory process.
説明文書の目的は、準備過程における様々な段階に基づいて、立法措置の理由及び背景を説明することにある。
27
See Article 35(10) GDPR.
GDPR 第 35 条 (10) 参照。
23

66.

For example, where a data subject specifically asks to exercise a particular right at a very delicate
moment of a given administrative investigation, the data subject should, if possible, be informedof the reasons for the restriction. However, if informing the data subject of the reasons for the
restriction would result in cancelling the effect of the restriction (i.e. would hamper the
preliminary effects of the investigation), that information may not be disclosed. Restrictions may
be adopted to protect investigations. In this case, restrictions must remain necessary andproportionate and to do so an assessment should be performed by the controller to check
whether informing the data subject of the restriction is prejudicial to the purpose of therestriction.
例えば、データ主体が、ある特定の行政調査の非常にデリケートな瞬間に、特定の権利の行使を具体的に要求する場合、可能であれば、データ主体に対し、制限の理由を知らせるべきである。ただし、当該制限の理由をデータ主体に通知することにより当該制限の効果が解消される場合（つまり、調査の初期の効果が阻害される場合）には、その情報は開示されない。制限が調査を保護するために適用されうる。この場合、制限は必要性及び比例性を維持する必要があり、かつ、そのためには、データ主体に制限を通知することが制限の目的を妨げるかどうかについて確認するために、管理者による評価の実施が必要となる。

67.

In other words, in extraordinary circumstances, for instance in the very preliminary stages of aninvestigation, if the data subject requests information if he or she is being investigated, thecontroller could decide not to grant that information at that moment - if this restriction is lawful
and strictly necessary in the specific case to what would be prejudicial to the purpose of therestriction.
言い換えれば、特別な状況、例えば調査のまさに初期段階で、データ主体が調査を受けているかどうかについての情報を要求する場合、そして当該制限が合法であり、かつ当該特定のケースにおいてその制限の目的を妨げうるであろうものに対し厳密に必要であるならば、管理者はその時点ではその情報を与えないことを決定する可能性がある。

68.

At a later stage, such as after the preliminary phase of the investigation or inquiry is completed,data subjects should receive a (specific) data protection notice. It is still possible at this stage thatcertain rights continue to be restricted, such as the right of access to the information about the
opening of an investigation, or to the allegations of potential victims of harassment28. This fact
should be indicated in the data protection notice along with an indication of a period in which
the rights will be fully restored, if possible.
調査又は調査の初期段階が完了した後など、後の段階で、データ主体は （特定の）データ保護通知を受け取るであろう。当該段階では、調査の開始に関する情報に対する、又はハラスメ
ントの潜在的な被害者の申立てに対するアクセスの権利など、特定の権利が引き続き制限される可能性がある 28。この事実は、可能であれば、権利が完全に回復される期間の表示とともにデータ保護通知に記載されなければならない。

5 CONSULTATION WITH THE SAS (ARTICLES 36(4) AND 57(1)(C)GDPR)
5 監督機関との協議 (GDPR 第 36 条(4) 及び第 57 条(1)(C))
28

For further information, see CJEU, judgment of 17 July 2014, YS v Minister voor Immigratie, Integratie en Asieland Minister voor Immigratie, Integratie en Asiel v M and S, cases C-141/12 and C-372/12, ECLI:EU:C:2014:2081,
paragraphs 45 and 46 and judgment of 20 December 2017, Novak, case C-434/16, ECLI:EU:C:2017:994,
paragraph56.
詳細については、CJEU、2014 年 7 月 17 日判決、YS v Minister voor Immigratie, Integratie en Asiel and Ministervoor Immigratie, Integratie en Asiel v M and S、ケース C-141/12 及び C-372/12、ECLI:EU:C:2014:2081、パラグ
ラフ 45 及び 46、並びに 2017 年 12 月 20 日判決、Novak、ケース C-434/16、ECLI:EU:C:2017:994、 パラグラフ
56 参照。
24

69.

In accordance with Article 36(4) GDPR, where restrictions are adopted at the level of the Member
States, SAs shall be consulted before the adoption of the legislative measure to be adopted by anational parliament, or of a regulatory measure based on such a legislative measure envisaging
the restriction of data subjects' rights under Article 23 GDPR.
GDPR 第 36 条(4)に従い、制限が加盟国レベルで採択される場合、国民議会により立法措置が採択される前に、又は、GDPR 第 23 条に基づくデータ主体の権利の制限を想定しているような立法措置に基づく法定の措置が採択される前に、監督機関(SAs)は協議を受ける。

70.

Also, it is within the tasks of the SAs to provide advice on legislative measures relating to theprotection of individuals' rights and freedoms regarding their personal data processing, in
accordance with Article 57(1)(c) GDPR.
また、GDPR 第 57 条 (1) (c) に従い、個人データの取扱いと関連する個人の権利及び自由の保護に関する立法上の措置に関し助言を提供することも、 SAs の職務の範囲内である。

71.

If SAs are not duly consulted, they can issue under Article 58(3)(b) GDPR on their own initiative
opinions to the national parliament, the Member State government or, in accordance withMember State law, to other institutions or bodies as well as to the public on any issue related tothe protection of personal data.
SAs が正式に協議を受けていない場合、SAs は GDPR 第 58 条 (3)(b) に基づき、自らの発意により、国民議会、加盟国政府に対し、又は、加盟国の国内法に従い、それ以外の機関及び組織に対し、並びに、 公衆に対し、個人データ保護と関連する問題に関し、意見書を発すること
ができる。

72.

In addition, data protection legislation at national level may set out specific procedures regarding
the adoption of legislative measures that aim at restricting the rights afforded by Articles 12 to
22 and Article 34 GDPR, in line with Article 23 GDPR. This could be the case only if in line with
the GDPR.
さらに、国内レベルのデータ保護法は、GDPR 第 23 条に沿って、GDPR 第 12 条から第 22 条及び GDPR 第 34 条によって与えられる権利を制限することを目的とした立法措置の採択に関する特定の手順を定めうる。これは、GDPR に準拠している場合のみ可能である。

6 NON - OBSERVATION OF ARTICLE 23 GDPR REQUIREMENTS BY A
MEMBER STATE
6 加盟国による GDPR 第 23 条の要件の不遵守
73.

The European Commission, as Guardian of the Treaties, has the duty to monitor the applicationof EU primary and secondary law and to ensure its uniform application throughout the EU,
including by taking actions where national measures would fail to comply with EU law.
欧州委員会は、条約の守護者として、EU の一次法及び二次法の適用を監視し、国内措置がEU 法を遵守していない場合に措置を講じることを含め、EU 全域でその均一な適用を確保する義務を負っている。

74.

Furthermore, according to the principle of supremacy of EU law, the ‘duty to disapply national
legislation that is contrary to EU law is owed not only by national courts, but also by all organs of
the State — including administrative authorities — called upon, within the exercise of theirrespective powers, to apply EU law'29.
さらに、EU 法の優越の原則によれば、その『EU 法に反する国内法を適用しないという義務は、

29

CJEU, judgment 4 December 2018, Case C-378/17, ECLI:EU:C:2018:979, paragraph 38.
CJEU、2018 年 12 月 4 日判決、ケース C-378/17、ECLI:EU:C:2018:979、パラグラフ 38。
25

国内の裁判所だけでなく、行政当局を含め、それぞれの職務権限の行使の範囲内で、EU 法を適用するよう求められる国家の全ての機関が負うものある』29。

7 SPECIFIC ELEMENTS FOR CONTROLLERS AND PROCESSORS
7 管理者及び処理者にとっての特定の要素
7.1 Accountability Principle
7.1 アカウンタビリティの原則
75.

In light of the accountability principle (Article 5(2) GDPR) and although it is not part of the records
required under Article 30 GDPR, it is good practice that the controller documents the applicationof restrictions on concrete cases by keeping a record of their application. This record should
include the applicable reasons for the restrictions, which ground(s) among those listed in Article
23(1) GDPR apply(ies) (where the legislative measure allows for restrictions on different grounds),
its timing and the outcome of the necessity and proportionality test. The records should be madeavailable on request to the data protection supervisory authority.
説明責任の原則（GDPR 第 5 条(2)）に照らし、GDPR 第 30 条に基づき要求される記録の一部ではないが、管理者が制限の適用の記録を保管することにより、具体的なケースについての制限の適用を文書化しておくことは望ましい慣行である。この記録には、該当する制限の理由、つまり GDPR 第 23 条(1)に列挙されている理由のうち、どの理由（立法措置により異なる理由による制限が認められている場合は複数の理由）が適用されるか、そのタイミング並びに必要性及び比例性テストの結果が含まれる必要がある。記録は、要請に応じて、データ保護監督機関が利用可能なものでなければならない。

76.

In case the controller has a data protection officer (DPO), the DPO should be informed - at leastin a general manner - without undue delay whenever data subject rights are restricted inaccordance with the legislative measure. The DPO should be given access to the associatedrecords and any documents concerning the factual or legal context in which the restriction takes
place. The involvement of the DPO in the application of restrictions should also be documented.
管理者にデータ保護オフィサー (DPO) がいる場合、立法措置に従ってデータ主体の権利が制限される場合には、不当な遅滞なく、少なくとも一般的な方法で、DPO に通知されなければならない。DPO には、制限が行われる事実上の又は法的な文脈に関する関連の記録及びあらゆる文書へのアクセスが与えられなければならない。制限の適用における DPO の関与についても文書化しておく必要がある。

7.2 Exercise of data subject's rights after the lifting of the restriction
7.2 制限解除後のデータ主体の権利の行使
77.

The controller should lift the restrictions as soon as the circumstances that justify them no longer
apply. If the data subjects have not yet been informed of the restrictions before that moment,
they should be at the latest when the restriction is lifted.
管理者は、制限を正当化する状況が適用されなくなり次第、直ちに制限を解除しなければならない。データ主体がその時点までに制限について通知されていない場合、遅くとも制限が解除
される時点で通知を受ける必要がある。

78.

During the application of a restriction, data subjects may be allowed to exercise all their rights,
that are not restricted. In order to assess when the restriction can be partially or integrally lifted,
a necessity and proportionality test may be performed several times during the application of a
restriction.
制限の適用中、データ主体は、制限されない全ての権利を行使することが許されうる。いつ制
26

限が部分的に又は全体的に解除される可能性があるかを評価するために、必要性及び比例性のテストは、制限の適用中に複数回実施される場合がある。
79.

When the restriction is lifted - which should be documented in the record mentioned in section
5 - data subjects can exercise all their rights.
制限が解除される際、このことは第 5 条で言及されている記録の中に文書化しておく必要があるが、データ主体は自身の全ての権利を行使することが可能となる。

80.

If the controller does not allow data subjects to exercise their rights after the restriction has been
lifted, the data subject can submit a complaint to the SA against the controller, in accordancewith Article 57(1)(f) GDPR.
制限が解除された後、管理者がデータ主体に対し、その権利の行使を許可しない場合、デー
タ主体は、GDPR 第 57 条 (1) (f) に従い、管理者を相手に SA に異議を提出することができる。

7.3 Non-observation of a legislative measure imposing such restrictions by acontroller
7.3 制限を課す立法措置の管理者による不遵守
81.

Where the legislative measures imposing restrictions under Article 23 GDPR comply with the
GDPR but are infringed by a controller, SAs can make use of their advisory, investigative andcorrective powers against it, as in any other case of non-observation of GDPR rules.
GDPR 第 23 条に基づき制限を課す立法措置が GDPR に準拠しているが、管理者が違反している場合、SAs は、GDPR 規則を遵守しない他のケースと同様に、管理者に対し、助言、調査権限及び是正権限を利用することができる。

82.

In accordance with the powers foreseen in Article 58(1) GDPR, the SAs have the following
investigative powers:
GDPR 第 58 条(1)で予見される権限に従い、SAs は、以下の調査権限を有する。
•

•
•
•

•

83.

order the controller and the processor, and, where applicable, the controller's orprocessor's representative to provide any information it requires for the performance of
its tasks;
管理者及び処理者に対し、並びに、該当する場合、管理者の代理人又は処理者の代理人に対し、監督機関が職務遂行のために必要とするあらゆる情報の提供を命ずること。
carry out investigations in the form of data protection audits;
データ保護監査の方式により、調査を行うこと。
notify the controller or the processor of an alleged infringement of the GDPR;
管理者又は処理者に対し、GDPR の違反行為があるとの主張を通知すること。
obtain, from the controller and the processor, access to all personal data and to all
information necessary for the performance of its tasks;
管理者及び処理者から、その職務を遂行する上で必要となる全ての個人データへのア
クセス及び全ての情報へのアクセスを得ること。
obtain access to any premises of the controller and the processor, including to any dataprocessing equipment and means, in accordance with Union or Member State procedurallaw.
EU の手続法又は加盟国の手続法に従い、データ取扱いの装置及び手段を含め、管理者及び処理者の施設へのアクセスを得ること。

If corrective measures need to be applied, the SAs can in accordance with Article 58(2) GDPR:
是正措置を適用する必要がある場合、SAs は GDPR 第 58 条 (2) に従い、次のことを実施することができる。
27

•

•

•

•

•
•
•

•

•

84.

issue warnings to a controller or processor that intended processing operations are likely
to infringe provisions of the GDPR;
管理者又は処理者に対し、意図されている取扱業務が GDPR の条項に違反するおそれがある旨の警告 を発すること。
issue reprimands to a controller or a processor where processing operations haveinfringed provisions of the GDPR;
取扱業務が GDPR の条項に違反する場合、管理者又は処理者に対し、懲戒を発すること。
order the controller or the processor to comply with the data subject's requests to exercise
his or her rights pursuant to the GDPR;
管理者又は処理者に対し、GDPR による自らの権利を行使するデータ主体の要求に従うように命ずる こと。
order the controller or processor to bring processing operations into compliance with theprovisions of the GDPR, where appropriate, in a specified manner and within a specified
period;管理者又は処理者に対し、適切な場合、特定の態様により及び特定の期間内に、取扱業務を GDPR の条項を遵守するものとさせるように命ずること。
order the controller to communicate a personal data breach to the data subject;
管理者に対し、個人データ侵害をデータ主体に連絡するように命ずること。
impose a temporary or definitive limitation including a ban on processing;
取扱いの禁止を含め、一時的な制限又は恒久的な制限を課すこと。
order the rectification or erasure of personal data or restriction of processing pursuant to
Articles 16, 17 and 18 GDPR and the notification of such actions to recipients to whom thepersonal data have been disclosed pursuant to Article 17(2) and Article 19 GDPR;
GDPR 第 16 条、第 17 条及び第 18 条により、個人データの訂正若しくは削除又は取扱いの制限を命ずるこ と、並びに、GDPR 第 17 条(2)及び第 19 条により、そのような行為について、個人データの開示を受けた取得者に対して開示するように命ずること。
impose an administrative fine pursuant to Article 83, in addition to, or instead of
measures referred to in Article 58(2) GDPR, depending on the circumstances of eachindividual case;
第 83 条による制裁金を科すこと。この制裁金は、個々の事案の事情に応じて、GDPR 第58 条(2)に規定する措置に加え、又は、その代わりに、科される。
order the suspension of data flows to a recipient in a third country or to an internationalorganisation.
第三国又は国際機関の取得者に対するデータ流通の停止を命ずること。

Regarding the SAs advisory powers foreseen in Article 58(3) GDPR, they can:GDPR 第 58 条(3)で予見される SAs の助言の権限に関して、SAs は以下を行うことがでる。
••

advice the controllers in accordance with the prior consultation procedure referred to in
Article 36(1) and (5) GDPR;
GDPR 第 36 条 (1) 及び (5)で定める事前協議手続に従い、管理者に対し、助言すること。
authorise processing referred to in Article 36(5) GDPR, if the law of the Member Staterequires such prior authorisation.
加盟国の国内法がそのような事前の承認を要求する場合、GDPR 第 36 条(5)で定める取扱いを承認するこ と。

8 CONCLUSIONS
8 結論
28

85.

Article 23 GDPR allows under specific conditions, a national or Union legislator to restrict, by wayof a legislative measure, the scope of the obligations and rights provided for in Articles 12 to 22
and Article 34, as well as Article 5 GDPR in so far as its provisions correspond to the rights andobligations provided for in Articles 12 to 22, when such a restriction respects the essence of thefundamental rights and freedoms and is a necessary and proportionate measure in a democraticsociety to safeguard, inter alia, important objectives of general public interest of the Union or ofa Member State.
GDPR 第 23 条は、特定の条件の下において、国内の又は EU の立法者が、立法措置により、第 12 条から第 22 条及び第 34 条、並びにその条項が GDPR 第 12 条から第 22 条に定める権
利及び義務に対応する範囲内において第 5 条に定める義務及び権利の適用範囲を制限することを認めるものであり、それは、その制限が基本的な権利及び自由の本質的部分を尊重するものであり、かつ、民主主義社会において必要かつ比例的な措置である場合、特に、EU 又は加盟国の一般的な公共の利益の重要な対象である場合に認められるものである。

86.

Restrictions of data subjects' rights need to observe the requirements stated in Article 23 GDPR.
The Member States or the Union issuing the legislative measures setting those restrictions andthe controllers applying them should be aware of the exceptional nature of these restrictions.
データ主体の権利の制限は、GDPR 第 23 条に定められている要件に遵守する必要がある。これらの制限を設定する立法措置を発する加盟国又は EU、及びそれらを適用する管理者は、これらの制限が例外的な性質であることを認識しておかなければならない。

87.

The proportionality test should be carried out before introducing in Union or Member State law
restrictions on the rights of data subjects.
比例性のテストは、データ主体の権利に対する制限を EU 法又は加盟国の国内法に導入する
前に実施されなければならない。

88.

SAs should be consulted before the adoption of the legislative measures setting the restrictions
and have the powers to enforce its compliance with the GDPR.
SAs は、制限を設定する立法措置の採択の前に協議を受けなければならず、また GDPR への遵守を強制する職務権限を有している必要がある。

89.

Once restrictions are lifted, data subjects must be allowed to exercise their rights by thecontroller.
制限が解除された後に、データ主体は、管理者によりその権利を行使することが認められなけ
ればならない。

29

9 ANNEX: CHECK-LISTS - ARTICLE 23 GDPR IN A NUTSHELL
9 別 紙： チェック・リスト－GDPR 第 23 条の概要
9.1 Requirements under Article 23(1) GDPR
9.1 GDPR 第 23 条(1)に基づく要件
i.
ii.
iii.

iv.

v.

Respect of the essence of the fundamental rights and freedoms
基本的な権利及び自由の本質的部分の尊重
Proportionality and necessity test
比例性及び必要性のテスト
Legislative measures laying down restrictions and the need to be foreseeable (Recital 41
and CJEU case law)
制限を定める立法措置及びその予測可能性の必要性（前文 第 41 項及び CJEU 判例
法）
Data subjects' rights and controller's obligations which may be restricted
制限される可能性のあるデータ主体の権利及び管理者の義務a) the right to transparent information (Article 12 GDPR),
透明性のある情報に対する権利 (GDPR 第 12 条)b) right to information (Articles 13 and 14 GDPR),
情報に対する権利 (GDPR 第 13 条及び第 14 条)c) right of access (Article 15 GDPR),
アクセスの権利 (GDPR 第 15 条)d) right to rectification (Article 16 GDPR),
訂正の権利 (GDPR 第 16 条)e) right to erasure (Article 17 GDPR),
消去の権利 (GDPR 第 17 条)f) right to restriction of processing (Article 18 GDPR),
取扱いの制限の権利 (GDPR 第 18 条)g) notification obligation regarding rectification or erasure of personal data or
restriction of processing (Article 19 GDPR),
個人データの訂正若しくは消去又は取扱いの制限に関する通知義務(GDPR
第 19 条)h) right to data portability (Article 20 GDPR),
データポータビリティの権利 (GDPR 第 20 条)i) right to object (Article 21 GDPR),
異議を述べる権利 (GDPR 第 21 条)j) right not to be subject to an automated individual decision making (Article 22
GDPR)
個人に対する自動化された意思決定の対象とされない権利（GDPR 第 22 条）k) obligations provided in Article 12 to 22 GDPR (Article 5 GDPR) and
GDPR 第 12 条から第 22 条（GDPR 第 5 条）に定められた義務、及びl) the communication of a personal data breach to the data subjects (Article 34
GDPR)
データ主体に対する個人データ侵害の連絡 (GDPR 第 34 条)
Grounds for the restrictions
制限の理由a) national security;
国家安全保障。
b) defence;
防衛。
30c) public security;
公共の安全。
d) the prevention, investigation, detection or prosecution of criminal offences or the
execution of criminal penalties, including the safeguarding against and theprevention of threats to public security;
公共の安全への脅威からの保護及びその防止を含め、犯罪行為の防止、捜査、検知若しくは訴追又は 刑罰の執行。
e) other important objectives of general public interest of the Union or of a Member
State, in particular an important economic or financial interest of the Union or ofa Member State, including monetary, budgetary and taxation a matters, publichealth and social security;
EU 又は加盟国の一般的な公共の利益の上記以外の重要な対象、特に、通貨、 予算及び税務上の事項を含め、EU 又は加盟国の重要な経済的な利益
若しくは財政上の利益、公衆衛生及 び社会保障。
f) the protection of judicial independence and judicial proceedings;
司法の独立の保護及び司法手続の保護。
g) the prevention, investigation, detection and prosecution of breaches of ethics forregulated professions;
規制職種における倫理違背行為の防止、捜査、検知及び訴追。
h) a monitoring, inspection or regulatory function connected, even occasionally, tothe exercise of official authority in the cases referred to in points (a) to (e) and (g);(a)から(e)及び(g)に規定する場合において、一時的なものを含め、公的な権限の行使と関係する監視、 監督及び規制の権能。
i) the protection of the data subject or the rights and freedoms of others;
データ主体の保護、又は、その他の者の権利及び自由の保護。
j) the enforcement of civil law claims.
民事訴訟の執行確保。

9.2 Requirements under Article 23(2) GDPR
9.2 GDPR 第 23 条(2)に基づく要件
i.
ii.
iii.
iv.
v.
vi.

vii.
viii.

The purposes of the processing or categories of processing;
取扱いの目的又は取扱いの種類。
The categories of personal data;
個人データの種類。
The scope of the restrictions introduced;
導入される制限の適用範囲。
The safeguards to prevent abuse or unlawful access or transfer;
不正使用又は違法なアクセス若しくは違法な移転を防止するための保護措置。
The specification of the controller or categories of controllers;
管理者又は管理者の類型の仕様。
The storage periods and the applicable safeguards taking into account the nature, scopeand purposes of the processing or categories of processing;
取扱い又は取扱いの種類の性質、範囲及び目的を考慮に入れた記録保存期間及び適用可能な保護措置。
The risks to the rights and freedoms of data subjects; andデータ主体の権利及び自由に対するリスク。並びに、
The right of data subjects to be informed about the restriction, unless that may be
prejudicial to the purpose of the restriction.
その権利がその制限の目的を妨げうるものでない限り、その制限に関する情報提供を受けるデータ主 体の権利。

31