法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

データローカライゼーション規則(EU) 2018/1807[参考訳]
2019 年 1 月 22 日
明治大学法学部教授
夏 井 高 人＊＊＊
Regulation (EU) 2018/1807 of the European Parliament and of the Council of 14 November 2018 on aframework for the free flow of non-personal data in the European Union（OJ L 303, 28.11.2018, p. 59–68）のテキスト（英語版）に基づき、和訳を試みた。テキストは、下記の Eur-lex の Web サイトから入手した。
https://eur-lex.europa.eu/legalcontent/EN/TXT/PDF/?uri=CELEX:32018R1807&qid=1546502249178&from=EN[2019 年 1 月 3 日確認]規則(EU) 2018/1807 は、個人データではないデータに関し、構成国間における取扱いの整合化を図り、そのようなデータの EU 域内における支障のない移転を促進するための EU の基本法令の 1 つである。規則(EU) 2018/1807 は、特に、データローカライゼーションの削減を目的としている。
規則(EU) 2018/1807 は、前文及び条文の 2 つの部分で構成されている。この参考訳においては、規則(EU) 2018/1807 の前文及び条文の全文を訳出した。
この参考訳においては、原則として直訳とした。直訳のままでは日本語として意味の通らない部分
や非常にわかりにくい部分に関しては、やむを得ず意訳とした。
この参考訳は、あくまでも規則(EU) 2018/1807 の私的な和訳であり、関連分野の研究者のための参考として提供するものである。確定訳ではなく、現時点における検討結果の一部を示すものであるので、今後、必要に応じて改訂・修正が加えられる可能性がある。誤記等があるときは、随時、法と情報雑誌上においてその正誤を公表する。
この参考訳に訳注はない。脚注は、全て原注である。
規則(EU) 2018/1807 は、データ処理の自由及びその事業活動の自由を促進するため、構成国の法令によるデータローカライゼーションの要件、すなわち、構成国の法令によって定められた種類のデータが当該構成国内に所在しなければならないという法律上の規制を撤廃することを目的としている。
規則(EU) 2018/1807 に基づき、構成国は、既存のデータローカライゼーション法令を廃止しな
82

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

ければならない。公共の安全を理由とする場合には適用除外とすることが可能であるが、構成国
は、欧州委員会に対し、規則(EU) 2018/1807 の適用後も存置するデータローカライゼーション及びその存置の理由を通知しなければならない。存置される法令及び新たに制定される法令の法情報は、統一的な方式によって公表され、EU の市民が容易にアクセスできるようにされる。
ハイブリッド脅威のような現代型のサイバー攻撃の存在を念頭に置いた上で、構成国の国家主権の堅持を維持しようとするのであれば、重要なデータの地理的または論理的な移動を完全に阻止する必要がある場合が多々ある。このようなタイプの自己矛盾は、EU 域内だけではなく、日本国を含め、データ駆動型経済が世界的な規模で拡大し、データ処理に依存した社会運営が拡大す
ればするほど、更に拡大することになるであろう。それは、情報通信における障碍の除去は、通常の企業活動にとって利益となるだけではなく、サイバー攻撃者に対しても非常に大きな利益を与えることになることに起因する本質的なものである。換言すると、産業界だけに利益を与え、サイバー攻撃者を利することが全くないような情報通信技術（ICT）の発展など、あり得ないことである。このことを明確に理解しなければならない。特に、情報セキュリティ上の課題に関しては、慎重な検討を行いつつ、適切な方策を構築・実施しなければならない（前文(12)、前文(18)、
前文(35)及び前文(36)参照）。
規則(EU) 2018/1807 は、EU の個人データ保護法令が、各構成国の独自の個人データ保護法令の存在によって（EU 域内における、すなわち、構成国間の国境を越える）個人データの支障のない
移動が妨げられないようにするのと同様に、非個人データに関しても、各構成国の独自の法令の存在によって非個人データの支障のない移動が妨げられないようにすることが同規則の立法目的である旨を述べている（前文(10)参照）。形式論的には、確かに、パラレルとなり得るものかもしれない。
しかし、個人データは、個人（構成国の国民＝EU の市民）の自由と平等という基本理念の尊重を基礎とするのに対し、非個人データは、主として経済界の経済的利益の尊重を基礎とする点において、性質上の相違があることを見落としてはならない。個人の自由と平等は、（当為の問題として）全ての市民に対して平等に保障されなければならないものである。これに対し、企業の経済的利益は、
本質的に利己的かつ排他的なものであり、特に完全な自由経済制度の下においては、
熾烈な競争の結果として大きな独占的地位または市場占有率を獲得した企業だけがその権利からの利益を享受し、それ以外の企業は、「何ももたない」という悲惨な結果を迎えることになることが当然の前提として予定されている（ここでもまた、「自分だけは例外」という全く根拠のない自信のようなものは、禁忌である）。
個人データと非個人データとの間におけるこの点の相違は、極めて大きい。要するに、個人データの国境を越える支障のない移動（free movement）と非個人データの国境を越える支障のない移動（free movement）とは、社会に与える影響または社会における機能を異にするものであり、それによって得られる利益を享受できる者の範囲を全く異にするものであることを十分に理解する必要性がある。
「データ可搬性の権利」という主張または概念は、このような重要な社会的機能上の相違点を隠蔽し、曖昧なものにするという機能または側面をもつことに留意しなければならない。
加えて、契約の自由に基づき、私人間でデータの所在地を限定する契約を締結することは、完
全に自由である。EU 法といえども、そのような自由に介入することはできない（前文(4)、前文
83

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）(24)、前文(25)参照）。
以上のような意味で、規則(EU) 2018/1807 には、それ自体として、かなり大きな限界がある（第4 条参照）。
これらの諸点はさておき、規則(EU) 2018/1807 が定める内容は、結果的に、この規則の立法の過程において予想されていたところよりはかなり抑制的なものとなっている。ただし、欧州委員会によって作成される評価報告書を踏まえた将来の法改正等を通じて、規則(EU) 2018/1807 の定める内容が一定方向に向けて強化される可能性はある。現行の規則(EU) 2018/1807 の内容が不完全なものであることは、むしろ当然に予定されていることであり、その不完全性による失敗という事実によって、EU の構成国の代表が納得せざるを得なくなった時点で、もっと抜本的な（本来の狙いとしていた）法令が制定される可能性があることを否定できない。関連分野の法学研究者
としては、今後とも、継続的な監察と検討を要するところである。
規則(EU) 2018/1807 は、純粋な非個人データの場合だけではなく、非個人データと個人データが混在する場合も想定している。個人データが混在するデータセットに関しては、個人データと非個人データとを分離することが可能なときは、前者には一般データ保護規則(EU) 2016/679（GDPR）（OJ L 119, 4.5.2016, p.1-88）、指令(EU) 2016/680（OJ L 119, 4.5.2016, p.89-131）または e プ
ライバシー指令 2002/58/EC（OJ L 201, 31.7.2002, p.37-47）が適用され、後者には規則(EU) 2018/1807が適用される。これらを分離不可能なときは、関連する規則または指令が重畳的に適用される。
その解釈論がどのようになるかについては、今後の検討課題である。なお、この点に関しては、
日本国の個人情報保護法令の解釈・適用の関係でも再検討を要する。
規則(EU) 2018/1807 は、個人データではないデータ（非個人データ）を対象として制定された法令である。しかし、非個人データと個人データとの境界は、必ずしも明確なものではなく、特に、完全に個人識別性のないデータであってもそれを大量に集め、一定の基準に従って整理すると、完全に個人識別可能なデータセットを生成可能な場合があり、そのような場合においては、個々のデータの匿名化など最初から全く無意味なものとなる。データ処理の分野においては、そのような関係性の概念を主体とした考察が必要であり、物体的または実体的な考察がほぼ無力化
されてしまうことがあることにも十分に留意すべきである。
一般に、IT 業界においては、経営破綻の際のデータ処理と関連する法律問題に関する議論が活発ではないし、少なくとも業界から歓迎される議論でないことだけは確実である。しかし、破産手続や民事再生手続が存在し、それらの制度が現に利用されていることからも容易に理解されるとおり、毎年、かなり多数の企業が経営破綻に陥る。その場合において、個人データや知的財産権のあるデータを含め、当該経営破綻したサービスプロバイダ（ストレージサービスプロバイダ等）が管理していたデータがどのように取り扱われることになるのかに関しては、必ずしも明確ではない部分がある（この点に関しては、夏井高人「破産とコンピュータ」法とコンピュータ 7号 96 頁（1989）で論じたことがある）。
最悪の場合、計画倒産のような意図的な違法行為、あるいは、ハッキング被害の偽装のような行為により、顧客が権利者となっている秘密情報を一挙に奪い、違法に換価または利用するとい84

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

うような事態の発生も十分にあり得ることである。
この点に関し、規則(EU) 2018/1807 は、サービスプロバイダが経営破綻によりサービス提供を終了する場合のことを想定しており、非常に興味深い（前文(5)、前文(30)参照）。今後、個人デー
タ及び非個人データの別を問わず、管理を委託していた企業の経営破綻の場合における利用者のデータの権利保護のための方策が、日本国の国家政策の一部として徹底的に検討される必要がある。
（この参考訳を作成するに際し考慮した事項）「data-localisation」は、様々な訳語が考えられるが、一般的には適切な日本語のみつからない語の 1 つである。具体例としては、国防上及び情報セキュリティ上の目的のために、重要インフラ等の制御と関連するデータの保管場所及び処理場所を当該国の国内だけに限定するような法令を考えることができる。規則(EU) 2018/1807 は、そのような国家安全保障上の「data-localisation」を適用除外とすることを認めている。これに対し、国内産業の保護のための「data-localisation」に関しては、形式的には、規則(EU) 2018/1807 の適用がある。しかし、国防及び情報セキュリティにおける官民の協力が強力に推進されている現状に鑑み、純粋に民間のものであり、国防や国家安全保障とは無関係のものとして区別できない場合が多々あることから、現実の適用を考察する上では慎重な検討を要する。
以上を踏まえた上で、この参考訳においては、「data-localisation」を「データローカライゼーシ
ョン」とカタカナ表記することにした。
「lock-in」は、特定のサービスプロバイダ（特にクラウドサービスベンダ）による顧客（利用者）の囲い込みを意味する。その囲い込みは、契約上の条件や技術仕様等によって実現されることが多い。相互運用性や互換性のない仕組みの下においては、一般データ保護規則(EU) 2016/679（GDPR）に定めるデータ可搬性の権利（データポータビリティの権利）を実現可能とすることが困難または不可能になるので、実際にはそのような権利が存在しないのと同じ状況が継続することになる。逆から言えば、データ可搬性の権利は、それを実際に導入するか否かは別として、
技術仕様や公定の標準約款の強制等により、契約の自由を大幅に抑制することなしには実現が困難または不可能である。仮に実現したとしても、その権利が運用され得る範囲にかなり大きな制約が生ずることを避けられない。このことは、産業界（特にプラットフォーマー）に対して大きな不安を与えるものともなり得る（前文(4)参照）。
他方において、産業界における任意の取り組みが進み過ぎ、事実上の権力的な社会的な力をもつ程度になると、競争法（独占禁止法）上の問題が生ずるだけではなく、対外的には、非関税貿易障壁として機能する（または、そのようなものとして評価される）ことにもなるという点に十分に留意すべきである。
要するに、この文脈における「lock-in」の問題は、理論的には、二律背反の典型例とでも言うべ
きものの一種である。
以上を踏まえた上で、この参考訳においては、「lock-in」を「ロックイン」とカタカナ表記することにした。
85

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

データの「porting」とは、あるサーバから別のサーバまたは利用者自身のデバイスへと当該利用者のデータを移動させることを意味する。一般に、「可搬性（portability）」の概念は、様々な場面で用いられるが、そのようなあるサーバから別のサーバまたは利用者自身のデバイスへのデー
タの移動の可能性のことも「可搬性（portability）」という。規則(EU) 2018/1807 は、消費者である
利用者ではなく、職業活動に従事する利用者に関し、データの移動を容易にするため、「porting」
に関する条項を定めている。
この参考訳においては、「porting」を「移動」と訳すことにした。
以上のほかは、後掲規則(EU) 2018/1725 の参考訳、後掲欧州データ空間通知 COM(2018) 232 finalの参考訳、後掲オンラインコンテント可搬性規則(EU) 2017/1128 の参考訳、後掲サービス指令
2006/123/EC の参考訳、後掲データ駆動型経済通知 COM(2014) 442 final の参考訳及び後掲欧州データ空間通知 COM(2018) 232 final の参考訳の各冒頭部分で述べたとおりである。
（訳出済みの関連法令等及び参考文献）
指令(EU) 2015/1535 の参考訳は、
法と情報雑誌 3 巻 7 号 1～20 頁にある。
NIS 指令(EU) 2016/1148の参考訳・改訂版は、法と情報雑誌 2 巻 8 号 120～163 頁にある。サービス指令 2006/123/EC の参考訳は、法と情報雑誌 3 巻 12 号 1～56 頁にある。オンラインコンテント可搬性規則(EU) 2017/1128の参考訳は、法と情報雑誌 3 巻 6 号 114～132 頁にある。
データ駆動型経済通知 COM(2014) 442 final の参考訳は、法と情報雑誌 3 巻 4 号 129～147 頁にある。欧州データ空間通知 COM(2018) 232 final の参考訳は、法と情報雑誌 3 巻 10 号 107～127 頁にある。
一般データ保護規則(EU) 2016/679（GDPR）の参考訳・再訂版は、法と情報雑誌 3 巻 5 号 1～
114 頁にある。e プライバシー指令 2002/58/EC の参考訳・改訂版は、法と情報雑誌 2 巻 5 号 158～187 頁にある。指令 (EU) 2016/680 の参考訳は、法と情報雑誌 2 巻 1 号 41～140 頁にある。規則(EU) 2018/1725 の参考訳は、法と情報雑誌 4 巻 1 号 1～81 頁にある。
理事会枠組み決定 2006/960/JHA の参考訳は、法と情報雑誌 2 巻 5 号 95～110 頁にある。指令
2014/41/EU の参考訳は、法と情報雑誌 3 巻 7 号 199～245 頁にある。サイバー犯罪条約（ETS
No.185）の説明書の参考訳は、法と情報雑誌 1 巻 6 号 1～132 頁にある。
この参考訳を作成するに際しては、上記各参考訳の冒頭部分に掲記した参考文献等のほか、総務省「平成 30 年版情報通信白書」（2018 年 7 月 12 日）を参考にした。
＊＊＊

86

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

欧州連合内における非個人データの支障のない流れに関する
欧州議会及び理事会の 2018 年 11 月 14 日の規則(EU) 2018/1807
欧州議会及び欧州連合の理事会は、
欧州連合の機能に関する条約、とりわけ、その第 114 条に鑑み、欧州委員会からの提案に鑑み、構成国の議会に対して立法提案を送付した後、欧州経済社会委員会の意見書に鑑み 1
地域委員会との協議を経た上で、通常の立法手続に従って審議し 2、以下のとおりであるので、この規則を採択する。
(1) 経済のデジタル化は、加速されている。情報通信技術は、もはや特別の部門ではなく、現代の全ての革新的な経済システム及び社会の基盤である。電子データは、これらのシステムの中心に位置しており、サービス及び製品を分析または組み合わせる際、大きな価値を生成し得る。それと同時に、データ経済と、人工知能、モノのインターネットの製品及びサービス、
自律型システム並びに 5G のような先端技術の急速な発展は、データへのアクセス及びデー
タの二次利用、法的責任、倫理及び連携の問題をとりまく新たな法的問題を生じさせている。
データ処理の価値連鎖の全てに沿って人間が介在することなく行われる勧告、判定及び行動を考慮に入れた上で、とりわけ、自主規制の準則及びそれ以外のベストプラクティスの実装
を通じて、法的責任の問題に関し、作業が検討されなければならない。そのような作業は、法的責任の決定に関し、共働するサービス間の責任の移転に関し、保険及び監査に関し、適切な仕組みを含めることも可能である。
(2) データの価値連鎖は、異なるデータ活動を基礎としている：すなわち、データの作成及び収集；データの集約及び組織化；データの処理；データの分析、マーケティング及び流通；データの利用及び二次利用である。データ処理の効果的かつ効率的な稼働は、全てのデータ価
値連鎖の礎石である。しかしながら、データ処理の効果的かつ効率的な稼働、及び、欧州連合内におけるデータ経済の発展は、とりわけ、データのモビリティ及び域内市場を妨げる 2
つの種類の障碍によって阻害されている：すなわち、構成国の機関によって設けられるデー
タローカライゼーションの要件、及び、民間部門におけるベンダのロックインの実務である。
(3) 欧州連合の機能に関する条約（「TFEU」）に基づく事業活動の自由及びサービス提供の自由
は、データ処理サービスに適用される。しかしながら、それらのサービスの提供は、データが特定の領域内に所在することを求める一定の国内要件、地域要件または地方要件によって、妨げられ、または、時として、排除されている。
(4) そのようなデータ処理サービスの支障のない移動を妨げる障碍、及び、サービスプロバイダの事業活動の権利を妨げる障碍は、データ処理の目的のために、構成国の法律上の要件に由来するものである。特定の構成国内において認証または承認される技術設備を使用すべきも
1
2

OJ C 227, 28.6.2018, p. 78.
欧州議会の 2018 年 10 月 4 日付け意見書（官報未登載）及び 2018 年 11 月 6 日付け理事会決定。
87

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

(5)

(6)

(7)

(8)

(9)

のとする要件のような、欧州連合内の特定の地理的領域または領土の外におけるデータの処理を一層困難にする特別の要件を課すことにより、別の法令または行政実務が同等の効果をもつ。データローカライゼーションの要件の正当な範囲及び正当ではない範囲に関する法的不安定性は、データ処理の場所に関し、市場参加者及び公的部門に対し、選択の可能性を更に制限するものとなっている。この規則は、データが所在すべき場所を指定する契約を締結するための企業の自由を一切制限しない。この規則は、合意される場所が欧州連合内のいず
れかのところに所在し得ることを確保することより、その自由を防護しようとするものであるのに過ぎない。
それと同時に、欧州連合内におけるデータのモビリティは、私的な制約によっても制限されている：すなわち、データ処理サービスの利用者が、あるサービスプロバイダから別のプロバイダへ彼らのデータを移動させ、または、利用者自身の情報技術（IT）システムに戻すことを妨げ、または、排除する契約上及び技術上の問題、特に、サービスプロバイダとの間の契約の終了である。
これらの障碍の組み合わせは、欧州連合内のクラウドサービスプロバイダの間における競争の欠如、様々なベンダのロックイン問題、そして、データのモビリティの深刻な欠落を生じさせた。同様に、データローカライゼーション政策は、技術革新を狙いとする企業、大学及びそれ以外の研究組織の間における共働を促進するための調査研究会社及び開発会社の能力を損ねてきた。
法的安定性のため、及び、欧州連合内における公平の需要のゆえに、全ての市場参加者のための単一のセットの法令は、域内市場の稼働のための重要な要素の 1 つである。国内法の間における格差から生ずる取引上の障碍及び競争の歪みを除去するため、そして、同様の取引上の障碍及び競争上の大きな歪みが更に生ずることを避けるため、全ての構成国に適用される統一的な法令を採択する必要性がある。
個人データの処理と関連する自然人の保護に関する、電子通信における私生活の尊重及び個
人データの保護の法的枠組み、並びに、とりわけ、欧州議会及び理事会の規則(EU) 2016/6791
及び指令(EU) 2016/6802、欧州議会及び理事会の指令 2002/58/EC3は、この規則によって影響を受けない。
モノのインターネット、人工知能及び機械学習の拡大は、例えば、自動化された産業製造プ
ロセスにおいてそれらが配備された結果として、非個人データの主要な情報源となっている。
非個人データの個別の例は、ビッグデータ分析のために使用される集約され匿名化されたデータセット、農薬及び水の使用を監視し、最適化する助けとなり得る精密農業のデータ、または、工場の機械装置の維持管理の必要上のデータを含む。技術開発により、匿名化された個人データの処理と関連する自然人の保護及びそのデータの支障のない移動に関する、並びに、指令
95/46/EC を廃止する欧州議会及び理事会の 2016 年4 月27 日の規則(EU) 2016/679（OJ L 119, 4.5.2016, p.1）
2
犯罪行為の防止、捜査、検知及び訴追または刑罰の執行の目的のための職務権限を有する機関による個人データの処理及びそのデータの支障のない移動に関する、並びに、理事会枠組み決定 2008/977/JHAを廃止する欧州議会及び理事会の 2016 年 4 月 27 日の指令(EU) 2016/680（OJ L 119, 4.5.2016, p.89）
3
電子通信部門における個人データの処理及びプライバシー保護に関する欧州議会及び理事会の 2002
年 7 月 12 日の指令 2002/58/EC（プライバシー及び電子通信に関する指令）（OJ L 201, 31.7.2002, p.37）
88
1

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

データが個人データへと復元され得るようになる場合、そのようなデータは、個人データとして取り扱われ、規則(EU) 2016/679 がしかるべく適用される。
(10) 規則(EU) 2016/679 の下において、構成国は、個人データの処理と関連する自然人の保護と関係する理由により、欧州連合内における個人データの支障のない移動を制限することも禁止
することもできない。この規則は、公共の安全上の理由により制限または禁止が正当化される場合を除き、非個人データの欧州連合内における支障のない移動という同じ基本原則を定める。規則(EU) 2016/679 及びこの規則は、異なる種類のデータの支障のない移動に対応する
一貫性のある法令のセットを提供する。更に、この規則は、異なる種類のデータを区別して記録保存すべき義務を負わせない。
(11) 欧州連合内における非個人データの支障のない流れのための、並びに、データ経済の発展及び欧州連合の産業の競争力の拡大の基礎のための枠組みをつくり出すため、域内市場における個人データ以外のデータの処理のための明確で、理解しやすく、かつ、予測可能な法的枠組みを定める必要性がある。構成国間の協力及び自主規制を定める基本原則ベースのアプロ
ーチは、欧州連合内の利用者、サービスプロバイダ及び国内行政機関の最新の需要を考慮に入れるために十分に柔軟なものであることを確保しなければならない。既存の仕組みとの重複のリスクを避けるため、それによって、構成国及び企業に対する過大な負担を避けるため、詳細な技術上の規定が定められてはならない。
(12) この規則は、欧州連合法の適用範囲外にある活動の一部として実施されるものである限り、データ処理を害してはならない。とりわけ、この規則は、欧州連合条約（「TEU」）の第 4 条に従い、国家安全保障が個々の構成国の職責のみであることが想起されなければならない。
(13) 欧州連合内におけるデータの支障のない流れは、データ駆動型の成長及び技術革新を達成する上で重要な役割を果たすことになるであろう。企業及び消費者と同様、公法によって規律される構成国の行政機関及び行政組織は、データ駆動型サービスプロバイダに関する選択の自由の増加からの利益、より競争的な価格からの利益、そして、市民に対するより効率的なサービス提供からの利益を擁護する。公法によって規律される行政機関及び行政組織が取扱うデータの莫大な分量に鑑み、データ処理サービスの開始の事例を示すことにより、それらの機関が先導すること、及び、それらの機関がデータ処理サービスを利用する際、データロ
ーカライゼーション規制を控えることは、最も重要なことである。それゆえ、公法によって規律される行政機関及び行政組織は、この規則の適用を受けるものとしなければならない。
この点に関し、この規則が定める非個人データの支障のない流れという基本原則は、欧州議会及び理事会の指令 2014/24/EU1を妨げることなく、一般的かつ一貫性のある行政実務及びそれ以外の公共調達の分野におけるデータローカライゼーション要件にも適用されなければならない。
(14) 指令 2014/24/EU の場合と同様、この規則は、構成国の内部組織と関連し、公法によって規律される行政機関及び行政組織内において、契約による私人の報酬のないデータ処理に関する権限及び職責を分配する法律、規則及び行政規則、並びに、それらの権限及び職責を実装する構成国の法律、規則及び行政規則を妨げない。公法によって規律される行政機関及び行政
公共調達に関する、及び、指令 2004/18/EC を廃止する欧州議会及び理事会の 2014 年 2 月 26 日の指令
2014/24/EU（OJ L 94, 28.3.2014, p.65）
891

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

組織は、外部のサービスプロバイダにアウトソースすることの経済的利益及びそれ以外の利益を検討することが推奨されているが、それらの機関は、サービスの自己提供またはインソースを選択すべき正当な理由をもち得る。そのため、この規則のいかなる条項も、構成国に対し、それらの機関が自前で提供することを望むサービス、または、公共契約以外の手段によって組織化することを望むサービスの提供を契約すること、または、外注することを義務付けない。
(15) この規則は、欧州連合内の事業所なしに欧州連合内においてデータ処理サービスを提供する者を含め、欧州連合内に居住し、もしくは、事業所をもつ利用者に対するデータ処理サービスを提供する事前人または法人に適用されなければならない。それゆえ、この規則は、欧州連合の外で行われるデータ処理サービス、及び、そのようなデータと関連するデータローカ
ライゼーション要件に適用してはならない。
(16) この規則は、商事における準拠法の決定と関連する規定を定めるものではなく、それゆえ、欧州議会及び理事会の規則(EC) No 593/20081を妨げない。とりわけ、契約の準拠法がこの規則によって選択されない範囲内で、サービス提供のための契約は、そのサービスプロバイダの常居住地である国の法律によって特に規律される。
(17) この規則は、利用者の施設に所在しているか、または、サービスプロバイダにアウトソースされているかを問わず、全ての種類の IT システムの利用を包括する最も広い意味におけるデータ処理に適用される。この規則は、データストレージ（Infrastructure-as-a-Service (IaaS)）からプラットフォーム上のデータ処理（Platform-as-a-Service (PaaS)）またはアプリケーショ
ンによるデータ処理（Software-as-a-Service (SaaS)）まで、異なるレベルの強度のデータ処理に適用されなければならない。
(18) データローカライゼーション要件は、欧州連合全域にわたるデータ処理の支障のない提供を妨げ、そして、域内市場を妨げる明らかな障壁を示している。そうであるので、とりわけ、
TFEU の意味における欧州連合法によって定義されるように、かつ、TEU の第 5 条に掲げられている比例性の原則を守り、公共の安全を法的根拠として正当化され場合を除き、それらの要件は、禁止されなければならない。国境を越える非個人データの支障のない流れの原則に実効性を与えるため、既存のデータローカライゼーション要件の迅速な除去を確保するため、及び、業務遂行上の理由により、欧州連合全域にわたり複数の場所にあるデータの処理を可能とするため、そして、規制上の監督の目的のためのデータの可用性をこの規則が定めていることから、構成国は、データローカライゼーション要件のための正当化事由として、
公共の安全によることができるのみである。
(19) TFEU の第 52 条の意味における、かつ、司法裁判所によって解釈されたものとしての「公共の安全」の概念は、とりわけ、犯罪行為の捜査、検知及び訴追を容易にするため、構成国内の安全及び対外的な安全の両者、並びに、公共の安全上の諸問題を包摂する。それは、国家機関及び重要な公共サービスの稼働と人々の生存に対する脅威、並びに、対外関係もしくは諸国の平和な共存を深刻に混乱させるリスク、または、軍事関係のリスクのような、社会の基本的な利益の 1 つを害する真の十分に重大な脅威の存在を想定している。比例性の原則に
契約上の義務の準拠法に関する欧州議会及び理事会の2008年6月17日の規則(EC) No 593/2008（RomeII）（OJ L 177, 4.7.2008, p.6）
901

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

従い、公共の安全を法的根拠として正当化されるデータローカライゼーション要件は、求める目的を達成するために適切なものでなければならず、かつ、その目的を達成するために必要なところを越えてはならない。
(20) 国境を越える非個人データの支障のない流れの原則の実効的な適用を確保するため、そして、域内市場の円滑な稼働を妨げる新たな障壁の出現を防止するため、構成国は、欧州委員会に対し、直ちに、新たなデータローカライゼーション要件を導入し、または、既存のデータローカライゼーション要件を改正する法案を通知しなければならない。これらの法案は、欧州議会及び理事会の指令(EU) 2015/15351に従って送付され、評価されなければならない。
(21) 更に、潜在的な障壁が存在することを解消するため、この規則の適用の日から 24 か月の移行期間の間、構成国は、データローカライゼーション要件を定める既存の一般的な性質の法
律、規則または行政規則の見直しを実施し、かつ、欧州委員会に対し、構成国がこの規則を遵守していると判断するようなデータローカライゼーション要件を、その正当化事由と共に、通知する。これは、欧州委員会が、その余のデータローカライゼーション要件の遵守を吟味し得るものとすべきである。欧州委員会は、それが適切なときは、当の構成国に対して意見を発し得るものとすべきである。そのような意見は、そのデータローカライゼーション要件の修正または廃止の勧告を含めることができる。
(22) この規則によって定められる欧州委員会に対する既存のデータローカライゼーション要件
及び法案の通知義務は、一般的な性質をもつ規制上のデータローカライゼーション要件及び法案に適用されなければならないが、特定の自然人または法人に宛てられた決定に適用してはならない。
(23) データ処理サービスのサービスプロバイダ及び利用者のような自然人及び法人に関する一
般的な性質をもつ法律、規則または行政規則に定める構成国のデータローカライゼーション
要件の透明性を確保するため、構成国は、国内オンライン単一情報部局において、そのような情報を公表し、かつ、当該情報を継続的にアップデートしなければならない。代替的なものとして、構成国は、別の欧州連合法に基づいて設置される中央情報部局に対し、そのような要件に関する最新の情報を提供しなければならない。欧州連合全域にわたりデータローカ
ライゼーション要件を自然人及び法人に対して適切に情報提供するため、構成国は、欧州委員会に対し、そのような単一情報部局の住所を通知しなければならない。欧州委員会は、その Web サイト上において、それらの要件に関する要約された情報を含め、構成国において有効な全てのデータローカライゼーション要件の継続的にアップデートされる統合リスト
と共に、その情報を公表しなければならない。
(24) データローカライゼーション要件は、しばしば、規制上または監督上の管理のための監視及び監査の目的のためのような、構成国の職務権限を有する機関の諸目的のためにデータが利用可能ではないという予測から生ずる国境を越えるデータ処理における信頼の欠如から派生する。そのような信頼の欠如は、その機関の公的な責務を遂行するために職務権限を有する機関による適法なデータへのアクセスを禁止する契約条項を無効とすることのみによって克服され得るものではない。それゆえ、この規則は、欧州連合法または国内法に従ってデ技術規則の分野及び情報社会サービス関連法令の分野における情報提供手続を定める欧州議会及び理事会の 2015 年 9 月 9 日の指令(EU) 2015/1535（OJ L 241, 17.9.2015, p.1）
911

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

ータへのアクセスを要求または獲得するための職務権限を有する機関の権限をこの規則が害さないこと、及び、そのデータが別の構成国内で処理されていることを理由として職務権限を有する機関がデータへのアクセスを拒否され得ないことを明確に定めるものとしなければならない。職務権限を有する機関は、システムの記述が関係構成国内において保管されることの要求のような、データへのアクセスを支援する機能上の義務を課すことができる。
(25) 職務権限を有する機関に対してデータを提供すべき義務に服する自然人または法人は、その領土においてデータが処理されている構成国とは無関係に、職務権限を有する機関に対して
データへの効果的かつ適時の電子的なアクセスを提供し、保証することにより、そのような義務を遵守し得る。そのようなアクセスは、アクセスを提供すべき義務に服する自然人または法人とそのサービスプロバイダとの間の契約の中における具体的な規約及び条件を介して確保され得る。
(26) 自然人または法人が、データを提供すべき義務に服しており、かつ、その義務を遵守しない
場合、職務権限を有する機関は、別の構成国の職務権限を有する機関からの援助を求めることができるものとしなければならない。そのような場合、職務権限を有する機関は、当該案件における対象事項の相違に応じ、就中、警察の協力、刑事法務または民事法務、または、
行政上の事項それぞれの分野において、理事会枠組み決定 2006/960/JHA1、欧州議会及び理事会の指令 2014/41/EU2、欧州評議会のサイバー犯罪条約 3、理事会規則(EC) No 1206/20014、理事会決定 2006/112/EC5及び理事会規則(EU) No 904/20106のような、欧州連合法の中にある
個別の協力関係法律文書または国政協定を用いなければならない。そのような個別の協力の仕組みが存在しない場合、職務権限を有する機関は、指定された単一連絡部局を通じて、求めるデータへのアクセスを提供するために相互に協力しなければならない。
(27) 援助の要請が、データ処理機器及びデータ処理手段へのアクセスを含む要請先機関による自然人または法人の施設へのアクセスの獲得を伴う場合、そのようなアクセスは、法務当局の事前の承認を得るための要件を含め、欧州連合法または国内手続法に従わなければならない。
(28) この規則は、利用者が、国内法の適用を免れようと試みることを許容してはならない。それゆえ、この規則は、職務権限を有する機関が、その職務権限を有する機関の欧州連合法及び国内法に基づく公的な責務の遂行のために必要となる利用者のデータへのアクセスを受領することを妨げる利用者に対し、構成国によって、効果的であり、比例的であり、かつ、抑止力のある制裁を課すことを定めなければならない。緊急の場合において、利用者がその権利を濫用する場合、構成国は、厳格に比例的な仮の措置を講ずることができるものとしなけ
欧州連合の構成国の法執行機関の間における情報及び知識の交換の簡素化に関する 2006 年 12 月 18日の理事会枠組み決定 2006/960/JHA（OJ L 386, 29.12.2006, p.89）
2
刑事に関する欧州捜査命令に関する欧州議会及び理事会の 2014 年 4 月 3 日の指令 2014/41/EU（OJ L
130, 1.5.2014, p.1）
3
欧州評議会のサイバー犯罪に関する条約 CETS No 185
4
民事及び商事における証拠の入手における構成国の裁判所間の協力に関する 2001 年 5 月 28 日の理事
会規則(EC) No 1206/2001（OJ L 174, 27.6.2001, p.1）
5共通の付加価値税制度に関する 2006 年11 月28 日の理事会指令2006/112/EC（OJ L 347, 11.12.2006, p.1）
6付加価値税の分野における行政協力及び詐欺行為との闘いに関する 2010 年 10 月 7 日の理事会規則(EU) No 904/2010（OJ L 268, 12.10.2010, p.1）
921

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

ればならない。再ローカライゼーション後に 180 日を超えてデータの再ローカライゼーショ
ンを要求する仮の措置は、データの支障のない移動の原則からの長期間にわたる逸脱となり得るものであるので、その措置の欧州連合法との適合性の検討のために、欧州委員会に対して通知されなければならない。
(29) 妨げなくデータを移動する能力は、利用者の選択、及び、データ処理サービスのための市場における効果的な競争を促進する上で重要な要素の 1 つである。国境を越えるデータの移動における現実の困難または予想される困難もまた、国境を越えて提供を開始する際の職業利用者の信頼を損ない、そして、それによって、域内市場への彼らの信頼を損なうものである。
個々の消費者が既存の欧州連合法からの利益を享受しておりながら、その事業または職業活動の過程において行動する利用者にとっては、サービスプロバイダの切り替えの能力が促進されていない。技術的な整合化、相互承認、または、任意の整合化のいずれであるかに拘らず、欧州連合全域にわたる一貫性のある技術上の要求事項もまた、データ処理サービスのための競争力のある域内市場の発展に貢献する。
(30) 競争的な環境の全ての利益を享受するため、職業利用者は、説明を受けた上で選択を行うこと、そして、契約の終了によるデータの移動の契約上の規約及び条件に関するものを含め、域内市場において提供される様々なデータ処理サービスの個別の内容を容易に比較することが可能でなければならない。市場の技術革新の潜在力に揃えるため、及び、データ処理サ
ービスのサービスプロバイダ及び職業利用者の経験及び専門知識を考慮に入れるため、データ移動のための詳細情報及び運用上の要求事項は、自主規制を介して市場参加者により決定されなければならず、モデル契約規約及び契約条件を含め得る欧州連合行動準則の形態で、欧州委員会によって推進され、容易にされ、かつ、監視されなければならない。
(31) サービスプロバイダの切り替え及びデータの移動が効果的であるため、及び、それをより容易なものとするため、そのような行動準則は、包括的なものでなければならず、かつ、少な
くとも、データバックアップのために使用される手順及びその場所；利用可能なデータフォ
ーマット及びサポート；要求される IT 設定及びミニマムのネットワーク帯域；移動手続を開始する前の所要期間及び移動のためにデータが利用可能なままとされる期間；並びに、サービスプロバイダの破産の場合におけるデータアクセスの保証のような、データの移動のプ
ロセスの間に重要な、鍵となる諸側面を包摂するものでなければならない。また、行動準則
は、ベンダのロックインが許容されないビジネス慣行であること明確にしなければならず、信頼を増加させる技術を提供しなければならず、そして、技術発展の速度に合わせて継続的にアップデートされるものでなければならない。欧州委員会は、中小企業（SME）及び新規参入者、利用者及びクラウドサービスプロバイダの団体を含め、その策定過程全体を通じて、全ての関連する利害関係者が協議を受けることを確保しなければならない。欧州委員会は、
そのような行動準則の策定、及び、その実装の実効性を評価しなければならない。
(32) この規則によるデータへのアクセスを獲得するため、ある構成国の職務権限を有する機関が別の構成国に対して援助を要請する場合、その機関は、指定された単一連絡部局を通じて、別の構成国の指定された連絡部局に対し、適正に理由を付した要請書を送付しなければならず、その要請書は、データへのアクセスを求める理由及びその法的根拠の書面による説明を含めるものとしなければならない。要請を受けた構成国によって指定された連絡部局は、要請先構成国内の関連する職務権限を有する機関に対するその要請書の転送を容易にしなけ
93

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

ればならない。効果的な協力を確保するため、要請書の転送を受けた機関は、不適切な遅滞なく、与えられた要請に対応する援助を提供し、または、その要請を満たす上で経験した困難に関する情報、もしくは、その要請を拒否する根拠に関する情報を提供しなければならない。
(33) 国境を越えるデータ処理の安全性における信頼を拡大することは、データの安全性の代用としてデータローカライゼーションを用いるという市場参加者及び公的部門の傾向を削減するものでなければならない。それは、別の構成国のサービスプロバイダを含め、サービスプ
ロバイダに対して会社がその処理活動をアウトソースする際に適用される安全性要件の遵守に関し、会社のための法的安定性を向上させるものでもなければならない。
(34) そのデータが関係する自然人または法人の居住地または事業所のある構成国内において、欧州連合法、または、欧州連合法を遵守する国内法に基づき、正当化事由があり、かつ、比例的な態様で適用されるデータ処理と関連する安全性要件は、別の構成国内における当該データの処理に対しても継続して適用されなければならない。それらの自然人または法人は、自分自身で、または、サービスプロバイダとの間の契約内の契約条項を介して、そのような要件を満たすことができなければならない。
(35) 国内レベルで定められる安全性要件は、それらの安全性要件が定められる国内法の適用範囲内のデータ処理の安全性に対して示されるリスクに対し、必要かつ比例的なものでなければならない。
(36) 欧州議会及び理事会の指令(EU) 2016/11481は、欧州連合内のサイバーセキュリティの全体的なレベルを向上させるための法的措置を定めている。データ処理サービスは、同指令の適用のあるデジタルサービスの 1 つを構成している。同指令に従い、構成国は、サービスプロバ
イダが、そのサービスプロバイダが使用するネットワーク及び情報システムの安全性に対して示されたリスクを特定し、かつ、適切かつ比例的な技術上及び組織上の措置を講ずることを確保しなければならない。そのような措置は、示されたリスクに対して適切なレベルの安全性を確保しなければならず、かつ、システム及び設備の安全性；インシデント対応；事業継続性管理；監視、監査及び試験；並びに、国際標準の遵守を考慮に入れなければならない。
これらの諸要素は、欧州委員会によって、同指令に基づく実装行為の中で、更に詳細に定められなければならない。
(37) 欧州委員会は、とりわけ、技術及び市場の発展に照らし、改正の要否を決定するため、この規則の実装に関する報告書を送付する。その報告書は、とりわけ、この規則を評価し、特に、個人データ及び非個人データの両者で構成されるデータセットへのこの規則の適用、並びに、公共の安全の適用除外の実装を評価しなければならない。この規則の適用が開始となる前に、
欧州委員会は、SME を含む企業が、この規則と規則(EU) 2016/679 との間の相互関係をより良く理解するため、及び、両者の規則が遵守されることを確保するため、個人データと非個
人データの両者で構成されるデータセットをどのように取り扱うかに関する有益な指針も公表しなければならない。
(38) この規則は、基本的な権利を尊重し、とりわけ、欧州連合基本権憲章によって認められた基
欧州連合全域にわたるネットワーク及び情報システムの共通の高いレベルの安全性のための措置に関する欧州議会及び理事会の 2016 年 7 月 6 日の指令(EU) 2016/1148（OJ L 194, 19.7.2016, p.1）
941

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

本原則を尊重し、そして、個人データの保護の権利、表現及び情報提供の自由の権利、並びに、事業活動を営む自由の権利を含め、それらの諸権利及び基本原則に従って解釈され、適用されなければならない。
(39) この規則の目的、すなわち、欧州連合内における個人データ以外のデータの支障のない流れを確保することは、構成国によっては十分に達成され得ず、その規模及び効果のゆえに、欧州連合のレベルでより良く達成され得るものであるので、欧州連合は、TEU の第 5 条に定める補完性原則に従い、措置を採択できる。同条に定める比例性原則に従い、この規則は、その目的を達成するために必要となるところを越えることがない。

95

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

第 1 条 対象事項
この規則は、データローカライゼーションの要件、職務権限を有する機関のデータの可用性、及び、職業利用者のためのデータの移動と関連する規定を定めることにより、欧州連合内における個人デー
タ以外のデータの支障のない流れを確保することを目的とする。
第 2 条 適用範囲
1.

2.

3.

この規則は、欧州連合内における個人データ以外の電子データの以下の処理に適用される：(a) そのサービスプロバイダが欧州連合内に事業所をもつか否かを問わず、欧州連合内に居住し、もしくは、事業所をもつ利用者に対するサービスとして提供される処理；または、(b) 自身の必要のために欧州連合内に居住し、もしくは、事業所をもつ自然人もしくは法人によって実施される処理。
データセットが個人データ及び非個人データの両者によって構成される場合、この規則は、そのデータセットの非個人データの部分に適用される。データセット内の個人データと非個人データとが密接不離の関係にある場合、この規則は、規則(EU) 2016/679 の適用を妨げない。
この規則は、欧州連合法の適用範囲外にある活動には適用されない。
この規則は、構成国の内部組織と関連し、かつ、指令 2014/24/EU の第 2 条第 1 項(4)に定義す
る公法によって規律される行政機関及び行政組織内において、契約による私人の報酬のないデータ処理に関する権限及び職責を分配する法律、規則及び行政規則、並びに、それらの権限及び職責を実装する構成国の法律、規則及び行政規則を妨げない。

第 3 条 定義
この規則の目的のために、以下の定義が適用される：(1) 「データ」とは、規則(EU) 2016/679 の第 4 条(1)に定義する個人データ以外のデータのことを意味
し；(2) 「処理」とは、収集、記録、編集、構成、記録保存、修正もしくは変更、検索、参照、使用、送信による開示、配布、または、それら以外に利用可能にすること、整列もしくは結合、制限、削除もしくは破壊のような、電子的なデータもしくはデータセットに実施される業務遂行または業務遂行のセッ
トのことを意味し；(3) 「法案」とは、一般的な性質をもつ法律、規則または行政規則として立法される目的のために作成された文であって、なお実質的な修正が行われ得る段階にある文のことを意味し；(4) 「サービスプロバイダ」とは、データ処理サービスを提供する自然人または法人のことを意味し；(5) 「データローカライズ要件」とは、公共調達の分野を含め、指令 2014/24/EU を妨げることなく、構成国の法律、規則または行政規則の中に定められ、または、構成国における、及び、公法によって規律される機関における一般的かつ一貫性のある行政実務から生ずる義務、禁止、条件、制限またはそれ以外の要件であって、特定の構成国の領土内におけるデータの処理を義務付け、
または、他の構成国におけるデータ処理を妨げるもののことを意味し；(6) 「職務権限を有する機関」とは、欧州連合法または国内法に定めるように、その公的責務の遂行
96

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）のために自然人または法人によって処理されるデータへのアクセスを得る権限をもつ構成国の機関、または、それ以外の、国内法によって承認された機関のことを意味し；(7) 「利用者」とは、公法によって規律される行政機関または行政組織を含め、データ処理サービスを利用または要求する自然人または法人のことを意味し；(8) 「職業利用者」とは、公法によって規律される行政機関または行政組織を含め、その取引、事業、工芸、職業または職務と関連する目的のために、データ処理サービスを利用または要求する自然人または法人のことを意味する。
第 4 条 欧州連合内におけるデータの支障のない移動
1.

2.

3.

4.

5.

データローカライゼーションの要件は、比例性の原則を遵守する公共の安全を根拠としてそれが正当化される場合を除き、禁止される。
本項の第 1 副項は、第 3 項、及び、既存の欧州連合法を基礎として定められたデータローカラ
イゼーション要件を妨げない。
構成国は、欧州委員会に対し、指令(EU) 2015/1535 の第 5 条、第 6 条及び第 7 条に従い、直ちに、新たなデータローカライゼーション要件を導入する法案、または、既存のデータローカライゼ
ーション要件を修正する法案を通知する。
構成国は、2021 年 5 月 30 日までに、一般的な性質をもつ法律、規則または行政規則の中で定められており、かつ、本条の第 1 項を遵守しない既存のデータローカライゼーション要件が廃止されることを確保する。
構成国が、データローカライゼーション要件を含む既存の措置が本条第 1 項を遵守するものであり、それゆえ、有効性を維持し得ると判断するときは、その構成国は、2021 年 5 月 30 日までに、欧州委員会に対し、その措置が有効性を維持する正当化事由と共に、その措置を通知する。
TFEU の第 258 条を妨げることなく、欧州委員会は、そのような通知を受領した時から 6 か月以内に、当該措置の本条第 1 項の遵守を検討し、また、それが適切なときは、必要に応じてその措置の改正または廃止を勧告することを含め、当の構成国に対し、意見を発する。
構成国は、一般的な性質をもつ法律、規則または行政規則の中で定められており、かつ、その領土内において適用されるデータローカライゼーション要件の詳細を、その構成国が最新のものに保ち、かつ、別の欧州連合法に基づいて設置される中央情報部局に対してそのようなローカライ
ゼーション要件の最新の詳細を提供する国内オンライン単一情報部局を介して、公衆が利用できるようにする。
構成国は、欧州委員会に対し、第 4 項に示す構成国の単一情報部局の住所を通知する。欧州委
員会は、その Web サイト上において、それらの要件に関する要約された情報を含め、第 4 項に示す全てのデータローカライゼーション要件の継続的にアップデートされる統合リストと共に、そのような部局へのリンクを公表する。

第 5 条 職務権限を有する機関のデータ可用性
1.

この規則は、欧州連合法または国内法に従い、その機関の公的責務の遂行のためにデータを要求し、入手し、それにアクセスするための職務権限を有する機関の権限を害さない。職務権限を97

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

2.

3.

4.

有する機関によるデータへのアクセスは、そのデータが別の構成国内において処理されていることを理由として、拒否され得ない。
利用者のデータへのアクセスを要求した後、職務権限を有する機関がアクセスを入手しない場合、並びに、異なる構成国の職務権限を有する機関の間におけるデータ交換のための欧州連合法
または国際協定に基づく特別の協力の仕組みが存在しない場合、当該職務権限を有する機関は、第 7 条に定める手続に従い、別の構成国の職務権限を有する機関に対し、援助を要請できる。
援助の要請が、データ処理機器及びデータ処理手段へのアクセスを含む要請先機関による自然
人または法人の施設へのアクセスの獲得を伴う場合、そのようなアクセスは、欧州連合法または国内手続法に従わなければならない。
構成国は、欧州連合法及び国内法に従い、データを提供すべき義務の遵守を促進するため、効果的であり、比例的であり、かつ、抑止力のある制裁を加えることができる。
利用者による権利の濫用の場合において、構成国は、データへのアクセスの緊急性によって正当化されるときは、かつ、関係者の利益を考慮に入れた上で、当該利用者に対し、厳格に比例的な仮の措置を講ずることができる。その仮の措置が、再ローカライゼーション後の 180 日を超える期間によるデータ再ローカライゼーションを措置内容とするものであるときは、その仮の措置は、
欧州委員会に対し、その 180 日の期間内に通知される。欧州委員会は、可能な限り短い期間内に、その措置、及び、その措置の欧州連合法との適合性を検討し、かつ、それが適切なときは、必要な措置を講ずる。欧州委員会は、この点に関して得られた経験に関し、第7 条に示す構成国の単一連絡部局と情報交換する。

第 6 条 データの移動
1.

欧州委員会は、競争力のあるデータ経済に貢献するため、透明性及び比例性の原則に基づき、かつ、就中、以下の側面を包摂するオープン標準を適切に考慮に入れた上で、欧州連合レベルの自主規制行動準則（「行動準則」）の策定を推進し、かつ、容易にする：(a) サービスプロバイダの切り替え、並びに、そのデータを受信するサービスプロバイダから要求または要請された場合、オープン標準を含め、構成され、一般的に利用され、かつ、機会読取可能なフォーマットによるデータの移動を容易にするためのベストプラクティス；(b) データ処理に関する契約が締結される前に、職業利用者が、職業利用者が別のサービスプ
ロバイダへの切り替えること、または、自身の IT システムへのデータを戻すことを望む場合に適用される処置、技術上の要求事項、期間及び料金に関する十分に詳細であり、明確であり、かつ、透明性のある情報の提供を受けることを確保するためのミニマムの情報提供義務；(c) それらの製品及びサービスの互換性を促進するために定められた国内規範または国際規範を考慮に入れた上で、職業利用者に対してデータ処理の製品及びサービスの比較を容易にする認証制度のアプローチ。そのようなアプローチは、就中、品質管理、情報セキュリ
ティ管理、事業継続性管理及び環境管理を含めることができる；(d) 関連する利害関係者の間における行動準則の意識を向上させるための学際的なアプロー
チを行う連絡行程。
98

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

2.
3.

欧州委員会は、行動準則が、SME 及び新規参入者、利用者及びクラウドサービスプロバイダの団体を含め、全ての関連する利害関係者と緊密に協力して策定されることを確保する。
欧州委員会は、サービスプロバイダに対し、2019 年11 月29 日までに行動準則の策定を完了し、かつ、2020 年 5 月 29 日までにそれを効果的に実装することを奨励する。

第 7 条 機関間の協力のための手続
1.

2.

3.
4.

5.
6.

各構成国は、この規則の適用に関し、他の構成国の単一連絡部局及び欧州委員会と連絡をとる
単一連絡部局を指定する。構成国は、構成国は、欧州委員会に対し、指定された単一連絡部局
及びその後のその変更を連絡する。
ある構成国の職務権限を有する機関が、データへのアクセスを得るために、第5条第2項により、別の構成国からの援助を要請する場合、その構成国は、後者の構成国の単一連絡部局に対し、適切な正当化事由のある要請書を送付する。その要請は、データへのアクセスを求める理由及び法律上の根拠の書面による説明を含める。
単一連絡部局は、その構成国の職務権限を有する関連機関を識別し、かつ、第 2 項により受領した要請書をその職務権限を有する機関に対して送付する。
そのような要請を受けた職務権限を有する関連機関は、不適切な遅滞なく、かつ、その要請の緊急性と比例する期間内に、要請を受けたデータを送信する応答を提供し、または、要請元である
職務権限を有する機関に対し、この規則に基づく援助を要請するための条件に適合しているとは判断しなかった旨を通知する。
第 5 条第 2 項に基づき要請され、提供される援助の過程における情報交換は、その機関が要請された事柄に関してのみ、使用される。
単一連絡部局は、利用者に対し、行動準則を含め、この規則に関する一般的な情報を提供する。

第 8 条 評価及び運用指針
1.

2.
3.

欧州委員会は、遅くとも 2022 年 11 月 29 日までに、欧州議会、理事会及び欧州経済社会委員会に対し、とりわけ、以下の諸点との関係において、この規則の実装を評価する報告書を提出する：(a) 特に、市場の発展及び匿名化されたデータの復元の可能性を拡大し得る技術開発に照らし、個人データ及び非個人データの両者で構成されるデータセットへのこの規則の適用；(b) 第 4 条第 1 項の構成国による実装、及び、とりわけ、公共の安全の適用除外の実装；並びに、(c) 行動準則の策定と効果的な実装、及び、サービスプロバイダによる効果的な情報提供。
構成国は、欧州委員会に対し、第 1 項に示す報告書の準備のために必要となる情報を提供する。
欧州委員会は、2019 年 5 月 29 日までに、特に、個人データと非個人データの両者で構成される
データセットに関し、この規則と規則(EU) 2016/679 との相互関係に関する有益な指針を公表する。

第 9 条 最終規定
1. この規則は、EU 官報上において公示された翌日から 20 日目に発効する。
2. この規則は、公示の日の 6 か月後から適用される。
99

法と情報雑誌第 4 巻第 1 号（2019 年 1 月）

この規則は、その全部について拘束力があり、かつ、全ての構成国において直接に適用される。
2018 年 11 月 14 日にストラスブールにおいて行われた。
欧州議会として議長 A. Tajani

理事会として議長 K. Edtstadler100