法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

規則(EC) No 45/2001[参考訳・改訂版]
2017 年 5 月 21 日
明治大学法学部教授
夏 井 高 人＊＊＊
Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000
on the protection of individuals with regard to the processing of personal data by the Community
institutions and bodies and on the free movement of such data のテキスト（英語版）に基づ
き、和訳を試みた。テキストは、下記の Web サイトにある EU 官報（Official Journal of
the European Union）から入手した。
http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2001:008:0001:0022:en:PDF[2016 年 8 月 4 日確認]
この規則の第 26 条第 2 副項には誤植があり、EU 官報（OJ L 164, 26.6.2007, p.36–36）
によって、その誤植の訂正が行われている。すなわち、「the European Data Processing
Supervisor」は、「the European Data Protection Supervisor」と訂正された。
規則(EC) No 45/2001 の細則として、委員会決定 2008/597/EC（OJ L 193, 22.7.2008, p.7–
11）が制定されている。
規則(EC) No 45/2001 は、前文、条文及び別紙の 3 つの部分からなっている。この参考訳・改訂版では、上記の誤植訂正後のテキストに基づき、同規則の前文、条文及び別紙の全文を訳出した。
この参考訳・改訂版は、あくまでも規則(EC) No 45/2001 の私訳である。
この参考訳・改訂版は、法と情報雑誌 1 巻 2 号 74～116 頁に掲載した参考訳について、その後の検討結果等を踏まえ、誤記や校正漏れの訂正は無論のこと、誤解等に基づく誤訳部分を改め、それが合理的であると判断される場合には他の参考訳中における訳語との統一性をできる限り維持しつつ、全面的に改訂を加えた改訂版である。

111

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

原則として直訳としたが、直訳のままでは日本語として意味の通らない部分や非常にわかりにくい部分に関しては、やむを得ず意訳とした。この参考訳・改訂版には、訳注はない。注記（脚注）は、全て原注である。
規則(EC) No 45/2001 は、2017 年 5 月現在、全面改正の過程にある。その改正提案は、2017 年 1 月 10 日に上程された。規則(EC) No 45/2001 の改正提案（COM/2017/08 final）のテキストは、下記の Eur-lex のサイトから入手することができる。
http://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52017PC0008&from=EN[2017 年 3 月 27 日確認]

この改正提案は、規則(EC) No 45/2001 を一般データ保護規則(EU) 2016/679 と均等な法令とするためのものである。この改正により、EU の公的部門に関しては欧州データ保護監督官（EDPS）が統括し、民間部門に関しては欧州データ保護委員会（Board）が統括し、構成国のデータ保護監督機関の代表は、委員会（Board）の構成員となって、EU 全域で一貫性のある個人データ保護のための法的な仕組みが構築されることにな
る。EDPS は、委員会（Board）に出席し、EDPS と Board の個人データ保護政策における一貫性を確保する。
規則(EC) No 45/2001 の改正提案の参考訳は、法と情報雑誌 2 巻 4 号 249～354 頁にある。
「free movement」については、従前の参考訳では、慣例に従い、「自由な移転」と訳した。しかし、何らの制約もない無条件での自由な移転はあり得ないことである。一般
データ保護規則(EU) 2016/679 及び指令(EU)2016/680 においても、これらの法令に定める EU 域内における共通の義務を遵守することを絶対条件としてのみ、かつ、これらの法令の適用範囲内及び目的内にあることを必須の前提として、それらの法令の適用との関係において、その移転が認められる。これらの法令だけではなく、EU の個人デー
タ保護と関連する全ての法令がそのような基本的な論理構造を採用している。
これらの法令は、各構成国における法制の相違によって個人データの移転が妨げられるという問題を解決するための法的手段の 1 つなのであって、いわゆる「利活用」の場合を含め、個人データの無制約な移転や取引を保護法益とするものではない。それゆえ、従前の参考訳における訳語の選択を改め、「free movement of such data」を「そのデータの支障のない移転」と訳すことにした。
「free flow of such data」についても同様で
112

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）ある。
この場合の「free」の意義に関しては、夏井高人「欧州連合における個人データ保護の諸要素に関する考察」法律論叢 90 巻 1 号掲載予定で詳論したとおりである。
「interception」は、捜査機関による通信傍受のことを意味する。規則(EC) No 45/2001の中では、明示のものとしては、前文(19)に簡単な言及があるのみであるが、この言及は、大きな意味をもっている（第 40 条参照）。
この前文(19)にある「彼ら（they, their）」とは、欧州共同体（欧州連合）の機関及び組織のことを指すと解される。同規則制定時点において有効な関連法令は、1995 年 1 月
17 日の理事会決議（OJ C 329, 4.11.1996, p.1–6）であった。同決議に基づく通信傍受は、構成国の捜査機関と Frontex の協力・連携によって実施される場合もある。その後、通信傍受に関して、EUROSUR に関する通知（COM/2008/0068 final）が発せられ、また、
指令 2014/41/EU（OJ L 130, 1.5.2014, p.1–36）が制定された。
EU 及びその機関並びに構成国の行政機関及び警察活動における独立のデータ保護
監督機関の役割に関しては、夏井高人「EU の行政機関に適用される個人データ保護規則における基本概念－個人データ保護条約及び EU 一般個人データ保護規則との関係を含めて－」法律論叢 89 巻 2・3 号 181～245 頁及び同「欧州連合の構成国における独立の個人データ保護監督官の職務」法律論叢 89 巻 6 号 309～363 頁で詳論したとおりである。
規則(EC) No 45/2001 の改正案の参考訳は、法と情報雑誌 2 巻 4 号 249～354 頁にある。委員会決定 2008/597/EC の参考訳は、法と情報雑誌 2 巻 5 号 147～157 頁にある。
一般個人データ保護規則(EU)2016/679 の参考訳・改訂版は、法と情報雑誌 2 巻 5 号
188～331 頁にある。個人データ保護指令 95/46/EC の参考訳・改訂版は、法と情報雑誌
2 巻 5 号 332～365 頁にある。指令 2002/58/EC の参考訳・改訂版は、法と情報雑誌 2 巻
5 号 158～187 頁にある。指令 2002/58/EC の改正案の参考訳は、法と情報雑誌 2 巻 4 号
195～248 頁にある。指令 97/66/EC の参考訳は、法と情報雑誌 1 巻 5 号 66～83 頁にある。個人データ保護条約（ETS No.108）の参考訳は、法と情報雑誌 1 巻 4 号 1～20 頁にある。個人データ保護条約追加議定書の参考訳は、法と情報雑誌 1 巻 4 号 21～25 頁にある。規則(EC) No 1049/2001 の参考訳は、法と情報雑誌 2 巻 3 号 102～118 頁にある。
指令(EU) 2016/680 の参考訳は、法と情報雑誌 2 巻 1 号 41～140 頁にある。Europol 規113

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）則(EU)2016/794 の参考訳は、法と情報雑誌 2 巻 3 号 1～101 頁にある。Europol 決定
2009/371/JHA の参考訳は、法と情報雑誌 2 巻 2 号 31～98 頁にある。決定 2009/934/JHAの参考訳は、法と情報雑誌 2 巻 2 号 99～113 頁にある。決定 2009/935/JHA の参考訳は、
法と情報雑誌 2 巻 2 号 114～118 頁にある。決定 2009/936/JHA の参考訳は、法と情報雑誌 2 巻 2 号 119～139 頁にある。決定 2009/968/JHA の参考訳は、法と情報雑誌 2 巻 2 号
140～154 頁にある。決定 2008/615/JHA の参考訳は、法と情報雑誌 2 巻 2 号 155～181
頁にある。枠組み決定 2008/977/JHA の参考訳は、法と情報雑誌 2 巻 1 号 141～169 頁にある。決定 2003/659/JHA 及び決定 2009/426/JHA による改正後の Eurojust 決定
2002/187/JHA は、法と情報雑誌 2 巻 4 号 81～125 頁にある。2003/659/JHA による改正
前の Eurojust 決定 2002/187/JHA の参考訳は、法と情報雑誌 2 巻 4 号 126～152 頁にある。警察分野における個人データの利用に関する勧告 No. R (87) 15 の参考訳は、法と情報雑誌 1 巻 6 号 140～149 頁にある。
PNR 指令(EU)2016/681 の参考訳は、法と情報雑誌 2 巻 3 号 119～155 頁にある。VIS
規則(EC) No 767/2008 の参考訳は、法と情報雑誌 2 巻 5 号 1～59 頁にある。決定2009/917/JHA の参考訳は、法と情報雑誌 2 巻 2 号 1～30 頁にある。API 指令 2004/82/ECの参考訳は、法と情報雑誌 2 巻 5 号 60～70 頁にある。
理事会枠組み決定 2002/475/JHA の参考訳は、法と情報雑誌 2 巻 5 号 71～85 頁にある。理事会枠組み決定 2008/919/JHA の参考訳は、法と情報雑誌 2 巻 5 号 86～94 頁にある。理事会枠組み決定 2006/960/JHA の参考訳は、法と情報雑誌 2 巻 5 号 95～110 頁にある。
この参考訳を作成するに際しては、上記各参考訳の冒頭に掲記した文献のほか、Juergen Kuehling und Benedikt Buchner (Hrsg.), Datenschutz-Grundverordnung Kommentar:
DS-GVO, C.H. Beck (2017)、Alain Bensoussan (direction), Règlement européen sur la protection
des données: Textes, commentaires et orientations pratiques, Larcier (2016)、Mariusz Krzysztofek,
Post-Reform Personal Data Protection in the European Union: General Data Protection
Regulation EU 2016/679, Wolters Kluwer (2016)、Linnet Taylor, Luciano Floridi & Bart van der
Sloot (Eds.), Group Privacy: New Challenges of Data Technologies, Springer (2017)、Clive
Norris, Paul de Her, Xavier L'Hoiry & Antonella Galetta (Eds.), The Unaccountable State ofSurveillance: Exercising Access Rights in Europe, Springer (2017)、Brent Mittelstadt & Luciano
Floridi (Eds.), The Ethics of Biomedical Big Data, Springer (2016)、Georg Borges und Jan Geert
Meents (Hrsg.), Cloud Computing: Rechtshandbuch, C.H. Beck (2015)を参考にした。
＊＊＊
114

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

欧州共同体の機関及び組織による個人データの処理と関連する個人の保護並びにそのデータの支障のない移転に関する欧州議会及び理事会の 2000 年 12 月 18 日の規則(EC) No 45/2001

欧州議会及び欧州連合の理事会は、
欧州共同体設立条約、及び、とりわけ、その第 286 条に鑑み、欧州委員会からの提案に鑑み 1、
欧州経済社会委員会の意見に鑑み 2、条約の第 251 条に定める手続に基づいて審議し 3、以下のとおりであるので、この規則を採択する。
(1) 条約の第 286 条は、欧州共同体の機関及び組織に対し、個人データの処理と関連する個人の保護及びそのデータの支障のない移転に関する欧州共同体の法令を適用する
ことを求めている。
(2) 完全に成熟した個人データ保護制度は、データ主体の権利及び個人データを処理する者の義務を定めることを求めるだけではなく、その侵害者に対する適切な制裁及び独立の監督機関による監視も求める。
(3) 条約の第 286 条第 2 項は、そのような欧州共同体の法令の欧州共同体の組織及び機関に対する適用を監視する職責を負う独立の監督機関の設置を求める。
(4) 条約の第 286 条第 2 項は、それら以外の関連条項を適切に採択することを求める。
(5) 個人に対して法的に執行可能な権利を与え、欧州共同体の機関及び組織内の管理者の個人データ処理上の義務を定め、そして、欧州共同体の機関及び組織による個人デー
タ処理を監視する職責を負う独立の監督機関を創設するために、規則が必要である。
(6) 個人データの処理と関連する個人の保護及びそのデータの支障のない移転に関する欧州議会及び理事会の 1995 年 10 月 24 日の指令 95/46/EC4の第 29 条に基づいて設置された個人データの処理と関連する個人の保護に関する作業部会は、協議を重ねた。
(7) 保護される個人は、例えば、その者が欧州共同体の機関または組織に雇用されているという理由で、何らかの過程において、欧州共同体の機関または組織によってその個
人データが処理される個人である。
1

OJ C 376E, 28.12.1999, p.24.
OJ C 51, 23.2.2000, p.48.
3
欧州議会の 2000 年 11 月 14 日の意見書及び 2000 年 11 月 30 日の理事会決定
4
OJ L 281, 23.11.1995, p.31.
115
2

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

(8) データ保護の基本原則は、識別された個人または識別可能な個人と関係する全ての情報に適用される。ある者が識別可能であるか否かを判断するためには、管理者またはそれ以外の者によって、当該の者を識別するために合理的に用いられる可能性のある全ての手段を考慮に入れなければならない。保護の基本原則は、そのデータ主体を全く識別することができないような方法で匿名化されたデータには適用されない。
(9) 指令 95/46/EC は、構成国に対し、欧州共同体の中における個人データの支障のない移転を確保するため、自然人の基本的な権利及び自由、並びに、とりわけ、個人デー
タの処理と関連する彼らのプライバシーの権利を保護することを求める。
(10) 通信分野における個人データの処理及びプライバシーの保護に関する欧州議会及び理事会の 1997 年 12 月 15 日の指令 97/66/EC1は、通信分野における個人データの処理に関して指令 95/46/EC の特則を定め、これを増補している。
(11) 国内機関と欧州共同体との間の共助上の措置を含め、上記以外の様々な欧州共同体の措置もまた、それらが関係する分野において、指令 95/46/EC の特則を定め、これを増補するように設計されている。
(12) 個人データの処理と関連する個人の基本的な権利及び自由の保護のための規定の一貫性のある整合性のとれた適用は、欧州共同体の全域において確保されなければならない。
(13) その目的は、個人の基本的な権利及び自由の保護を規律する規定の効果的な遵守を確保すること、そして、各機関それぞれの職務権限の行使と関係する目的のための構
成国と欧州共同体の機関及び組織との間または欧州共同体の機関及び組織の間における個人データの支障のない移転を確保することの両方である。
(14) この目的のために、欧州共同体の機関及び組織に拘束力のある措置が採択されなければならない。それらの措置は、その全部または一部が欧州共同体の法律の適用範囲内にある活動を実施する中でその処理が行われる限り、欧州共同体の全ての機関及び組織の全ての個人データ処理に適用されなければならない。
(15) この規則の適用範囲外にある活動の実施に際して欧州共同体の機関または組織によってそのようなデータ処理が行われる場合、とりわけ、欧州連合条約の第 5 款及び
第 6 款に定める処理の場合には、欧州連合条約の第 6 条に十分配慮し、個人の基本的な権利及び自由の保護が確保されなければならない。個人データを含む文書へのアクセスの要件を含め、文書へのアクセスは、その適用範囲に欧州連合条約の第 5 款及び
第 6 款を含む欧州共同体設立条約の第 255 条に基づいて採択される規定によって規律される。
1

OJ L 24, 30.1.1998, p.1.

116

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

(16) その措置は、欧州共同体の枠組みの外で設置された組織には適用されず、また、
欧州データ保護監督官は、そのような組織による個人データの処理を監視する職務権限を有しない。
(17) 欧州連合の中における個人データの処理と関連する個人の保護の有効性は、異なる法的文脈に位置する諸活動に対して適用される関連法規及び手続との一貫性がある
ことを前提としている。刑事における司法共助及び捜査共助の分野、並びに、税関の共助の分野における個人データ保護に関する基本的な諸原則の発展、Europol 条約、税関の目的のための情報技術の利用に関する条約及びシェンゲン条約によって設置された共同監督機関のための事務局の設置は、この点に関する最初の第一歩を表している。
(18) この規則は、指令 95/46/EC 及び指令 97/66/EC に基づく構成国の権利及び義務を害することがない。この規則は、国家安全保障、騒乱の防止、並びに、欧州共同体の特権及び免除に関する議定書及び国際法を遵守して行われる犯罪行為の防止、検知、捜査及び訴追の分野において、構成国によって適法に実装された既存の手続及び実務を変更することを意図するものではない。
(19) 欧州共同体の機関及び組織は、適用可能な国内法上の条項を遵守しつつ、彼らの通信ネットワーク上の通信が傍受されるべきものと彼らが判断するときは、構成国の職務権限を有する機関に対し、そのことを通知しなければならない。
(20) 欧州共同体の機関及び組織に適用される条項は、国内法との整合性との関係、または、欧州共同体の別の政策の実装との関係において定められた条項、特に、共助の場
面において定められた条項と対応するものでなければならない。しかしながら、欧州共同体の機関及び組織による個人データの処理の場合において保護を確保すべきときは、
それらの条項の特則を定め、増補することが必要となり得る。
(21) これには、そのデータが処理されている個人の権利、データを処理する欧州共同体の機関及び組織の義務、並びに、この規則が適正に適用されることを確保する職責を負う独立の監督機関が該当する。
(22) データ主体に認められた権利とその行使は、管理者に課せられた義務に影響を及ぼすものではない。
(23) 独立の監督機関は、条約に従い、かつ、人権及び基本的自由を遵守して、その監督権限を行使しなければならない。監督機関は、特権及び免除に関する議定書、並びに、
欧州共同体の官吏の職員規則及び欧州共同体のそれ以外の公務員に適用される雇用条
件規則を遵守して、その調査活動を行わなければならない。
(24) データ保護責任者によって行われる処理業務の登録簿への独立の監督機関を介したアクセスをできるようにするための必要な技術的措置が採択されなければならない。
117

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）(25) 個人データ処理業務と関連する例外、保証、承認及び条件に関する独立の監督機
関の判断は、この規則に定めるとおり、活動報告書の中で公表されなければならない。
年次活動報告書の発行とは別に、独立の監督機関は、特定の事柄に関する報告書を発行することができる。
(26) データ主体の権利及び自由と関連する特別のリスクを示す可能性のある一定の処
理業務は、独立の監督機関による事前の点検に服するものとしなければならない。その
事前の点検の過程で与えられる意見は、所定の期限内に回答がなかったことから生ずる意見を含め、当の処理業務に関して、独立の監督機関がその権限を事後的に行使することを妨げない。
(27) 欧州共同体の機関及び組織により公共の利益において行われる職務の遂行のための個人データの処理は、それらの機関及び組織の管理運営及び活動のために必要な個
人データの処理を含む。
(28) 一定の場合においては、データの処理は、欧州共同体の条項によって、または、欧州共同体の条項を組み込む法令によって承認されなければならない。ただし、その採択が保留中であり、そのような条項が存在しない移行期間内においては、欧州データ保護
監督官は、十分な安全性確保措置が採択されている限り、そのようなデータ処理を承認することができる。そのようにする場合、彼は、同様の場合を取り扱うために構成国によって採択された条項を特に考慮に入れなければならない。
(29) それらの場合とは、人種的もしくは民族的な出自、政治的意見、宗教上もしくは思想上の信条、または、労働組合への加入を明らかにするデータの処理、並びに、健康もしくは性生活に関するデータの処理であって、労働法の分野における管理者の特別の権利と義務を遵守する目的のためにそれが必要となり、または、重要な公共の利益のためにそれが必要となる場合と関係する。それらの場合は、犯罪行為、有罪判決もしくは保護措置と関連するデータの処理、並びに、彼もしくは彼女に関する法的効果を発生させ、または、彼もしくは彼女に対して重大な悪影響を及ぼし、かつ、彼もしくは彼女に関する一定の人格的側面を評価するために自動的な処理のみに基づく判断をデータ主体に対して適用することの承認の場合とも関係する。
(30) 無権限の利用を防止する目的のために、欧州共同体の機関及び組織の管理下で運用されるコンピュータネットワークを監視することが必要となるかもしれない。欧州
データ保護監督官は、それが可能か否か、及び、どのような要件の下でそれが可能となるかを判断しなければならない。
(31) この規則の違反から生ずる法的責任は、条約の第 288 条第 2 項によって規律される。
118

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）(32) 欧州共同体のそれぞれの機関または組織において、1 名または複数名の個人デー
タ保護責任者は、この規則の条項の適用を確保しなければならず、かつ、管理者に対し、彼らの義務を遂行する上での助言をしなければならない。
(33) 欧州共同体の統計に関する 1997 年 2 月 17 日の理事会規則(EC) No 322/971の第 21条に基づき、同規則は、指令 95/46/EC を妨げることなく、適用される。
(34) 欧州中央銀行による統計情報の収集に関する 1998 年 11 月 23 日の理事会規則(EC)No 2533/982の第 8 条第 8 項に基づき、同規則は、指令 95/46/EC を妨げることなく、適用される。
(35) 欧州共同体統計局に対する統計上の秘密に服するデータの送信に関する 1990 年 6
月 11 日の理事会規則（Euratom、EEC）No 1588/903の第 1 条第 2 項に基づき、同規則
は、統計上の秘密以外の秘密の安全性確保に関する欧州共同体の特別の条項または国内条項の特例とはならない。
(36) 条約の第 249 条に従い、指令 95/46/EC の第 32 条に基づいて、この規則は、データ保護に関するその国内法を制定するための構成国の余地を狭めることを目的とする
ものではない。

1

OJ L 52, 22.2.1997, p.1.
OJ L 318, 27.11.1998, p.8.
3
OJ L 151, 15. 6.1990, p.1。規則(EC) No 322/97（OJ L 52, 22.2.1997, p.1）による改正後の規則。
1192

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 1 章 一般規定
第 1 条 規則の目的
1. この規則に従い、欧州共同体設立条約により、または、それに基づき設置された機関及び組織は、以下、「欧州共同体の機関または組織」として示され、自然人の基本的な権利及び自由、とりわけ、個人データの処理と関連するプライバシーの権利を保護し、かつ、それらの機関の間または指令 95/46/EC を実装する構成国の国内法に従う取得者に対する個人データの支障のない移転を制限することがなく、禁止することもな
い。
2. この規則によって設置される独立の監督機関は、以下、「欧州データ保護監督官」として示され、欧州共同体の機関または組織によって行われる全ての処理業務に対するこの規則の条項の適用を監視する。
第 2 条 定義
この規則の目的のために：(a) 「個人データ」とは、以下「データ主体」として示す識別された自然人または識別可能な自然人に関する情報を意味する；識別可能な者とは、とりわけ、個人識
別番号、または、彼もしくは彼女の肉体的、生理的、精神的、経済的、文化的または社会的な同一性を示す 1 もしくは複数の要素を参照することによって、直接的
または間接的に、識別され得る者のことである；(b) 以下「処理」として示す「個人データの処理」とは、自動的な手段によるか否かを問わず、収集、記録、編集、記録保存、修正もしくは変更、検索、参照、使用、送信による開示、配布、または、それら以外に利用可能なものとすること、整列もしくは結合、処理の制限、消去または破壊のような、個人データについて実施される全ての業務または一群の業務のことを意味する；(c) 以下「ファイリングシステム」として示す「個人データファイリングシステム」とは、個人データの構成された集合体であって、機能上または地理上における集中型、放射状型または分散型の別を問わず、特定の基準に従ってアクセスすることのできるものを意味する；(d) 「管理者」とは、欧州共同体の機関または組織、事務局長、部局、または、それ以外の組織体であって、単独でまたは他の組織と共同で、個人データの処理の目
120

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

的及び方法を決定する者のことを意味する；処理の目的及び方法が欧州共同体の特定の法令によって定められる場合には、管理者または管理者を指定するための特別の基準は、そのような欧州共同体の法令によって定めることができる；(e) 「処理者」とは、管理者の代わりに個人データを処理する自然人もしくは法人、行政機関、部局またはそれ以外の組織を意味する；(f) 「第三者」とは、データ主体、管理者、処理者、及び、管理者または処理者の直接の承認の下でデータ処理の承認を受けている者以外の自然人もしくは法人、行政機関、部局または組織を意味する；(g) 「取得者」とは、第三者であるか否かを問わず、データの開示を受ける自然人
もしくは法人、行政機関、部局またはそれ以外の組織を意味する；しかしながら、特別の照会の枠組み内においてデータを取得することができる機関は、取得者とはみなされない；(h) 「データ主体の同意」とは、任意に与えられ、特定され、事前に説明を受けた上での、彼もしくは彼女の意思の表示を意味し、それによって、データ主体が、彼もしくは彼女に関する個人データが処理されることについての彼もしくは彼女の同意を表明するものを意味する。
第 3 条 適用範囲
1. この規則は、その処理が、その全部または一部が欧州共同体の法律の適用範囲内にある活動の実施において行われるものである限り、欧州共同体の全ての機関及び組織による個人データの処理に適用される。
2. この規則は、その全部または一部が自動的な手段による個人データの処理、並びに、自動的な手段以外の方法による個人データの処理であって、ファイリングシステムの一部を構成し、または、ファイリングシステムの一部を構成する予定であるものに適用される。
第 2 章 個人データ処理の適法性に関する一般規定
第 1 節 データの品質に関する原則
第 4 条 データの品質121

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

1. 個人データは：(a) 公正かつ適法に処理されなければならない；(b) 特定され、明示され、かつ、正当な目的のために収集されなければならず、かつ、その目的と適合しない方法で、別の目的のために処理されてはならない；歴史の目的、統計の目的または科学の目的のための別の目的による処理は、とりわけ、別の目的のためにそのデータが処理されることないようにするため、または、特定の個人と関連する措置もしくは判定をする際の支援に用いられることがないようにするために、管理者が適切な安全性確保措置を提供している限り、適合しないものとはみなされない；(c) それが収集される目的及びまたは別の目的で処理される目的との関係において十分であり、関連性があり、かつ、過剰でないものでなければならない；(d) 正確であり、かつ、必要なときは、最新のものに保たなければならない；それが収集された目的またはそれが別の目的のために処理される目的を考慮して、不正確もしくは不完全なデータが消去または訂正されることを確保するための全ての合理的な手立てが講じられなければならない；(e) データが収集された目的またはそれを別の目的で処理する目的のために必要な期間だけ、データ主体の識別を許容する方式が維持されなければならない。欧州共同体の機関及び組織は、歴史、統計または科学の利用のために長期間にわたり記録保存されるべき個人データについて、匿名化された方式のみで保存すべきこと、または、それが不可能なときは、暗号化されたデータ主体の識別子のみで保存すべ
きことを定める。いずれの場合においても、歴史、統計または科学以外の目的でデータを用いてはならない。
2. 管理者は、第 1 項が実施されることを確保する。
第 2 節 データ処理を適法なものとするための基準
第 5 条 処理の適法性
個人データは、以下の場合にのみ処理することができる：(a) 欧州共同体設立条約、または、同条約に基づいて採択されたその他の法律文書に基づく公共の利益において職務を遂行するため、または、欧州共同体の機関もし
くは組織またはそのデータが開示される第三者に与えられた公的な権限の正当な行使において職務を遂行するために、処理が必要となる場合；または122

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）(b) 管理者が服する法的な義務を遵守するために処理が必要となる場合；または(c) データ主体が当事者となっている契約の履行のため、または、契約の締結前に
データ主体からの申込みに際して手立てを講じるために処理が必要となる場合；
または(d) データ主体が彼または彼女の同意を明確に与えた場合；または(e) データ主体の生存の利益を保護するために処理が必要となる場合。
第 6 条 目的の変更
第 4 条、第 5 条及び第 10 条を妨げることなく：
1. 個人データは、その目的の変更が欧州共同体の機関または組織の内部規則によって明示で認められている場合においてのみ、それが収集された目的以外の目的のために処理することができる。
2. 専ら処理システムもしくは処理業務の安全性または管理を確保するために収集された個人データは、重大な犯罪行為の防止、捜査、検知及び訴追の場合を除き、別の目的のために用いることができない。
第 7 条 欧州共同体の機関または組織内もしくはこれらの間の個人データの移転
第 4 条、第 5 条、第 6 条及び第 10 条を妨げることなく：
1. 個人データは、取得者の職務権限の範囲内にある職務の正当な遂行のためにそのデータが必要となる場合に限り、欧州共同体の機関または組織の中で、または、他の機関に対して移転される。
2. 取得者の求めに応じてデータが移転される場合、管理者及び取得者は、両者共に、その移転の正当性について責任を負う。
管理者は、取得者の職務権限を確認すること、そして、そのデータの移転の必要性について暫定的な評価をすることが求められる。その必要性に関して疑問が生じたときは、管理者は、取得者に対して、更に情報提供を求める。
取得者は、そのデータの移転の必要性を事後的に確認できることを確保する。
3. 取得者は、それが送付された目的のためにのみ、その個人データを処理する。
第 8 条 欧州共同体の機関及び組織以外の指令 95/46/EC に服する取得者に対する移転

123

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 4 条、第 5 条、第 6 条及び第 10 条を妨げることなく、個人データは、以下の場合
においてのみ、指令 95/46/EC の実装のために採択された国内法に服する取得者に対して移転される：(a) 公共の利益において、または、公的な権限の行使により行われる職務の遂行のためにそのデータが必要となることを取得者が証明する場合；または(b) そのデータを移転させる必要性があること、及び、データ主体の正当な利益が損なわれるおそれがあると推定すべき根拠が存在しないことを取得者が証明する場合。
第 9 条 欧州共同体の機関及び組織以外の指令 95/46/EC に服さない取得者に対する移転
1. 個人データは、取得者の国内または取得者である国際機関の内部において十分なレベルの保護が確保されており、かつ、管理者の職務権限内にある職務を行うことができるようにするためにのみデータが移転される場合に限り、欧州共同体の機関及び組織以外の者であって、指令 95/46/EC により採択された国内法に服さない取得者に対して、移転される。
2. 当の第三国または国際機関によって与えられる保護のレベルの十分性は、データ移転業務及び一群のデータ移転業務と関連する全ての事情に照らして評価される；データの性質、申し込まれた処理業務の目的及び継続期間、取得者である第三国または取得者である国際機関、当の第三国または国際機関において一般的にも分野別にも有効な法律の規定、そして、当該第三国または国際機関において実施されている職務上の規則
及び防護措置について、特段の考慮をする。
3. 欧州共同体の機関及び組織は、当の第三国または国際機関が第 2 項の意味における十分なレベルの保護を確保していないと判断するときは、欧州委員会及び欧州データ保護監督官に対して、その件について通知する。
4. 欧州委員会は、構成国に対して、第 3 項に示す件について通知する。
5. 欧州共同体の機関及び組織は、欧州委員会が、指令 95/46/EC の第 25 条第 4 項及び第 6 項に従い、第三国または国際機関が十分なレベルの保護を確保している、または、確保していないとの判定をしたときは、欧州委員会によって行われた判定を遵守するために必要となる措置を講ずる。
6. 第 1 項及び第 2 項の特例により、欧州共同体の機関または組織は、以下の場合には個人データの移転をすることができる：
124

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）(a) データ主体が、申し込まれたデータの移転について、彼または彼女の同意を明確に与えた場合；または(b) データ主体と管理者との間の契約を履行するため、または、データ主体からの申込みに応じて行われる契約締結前の措置の実施のために移転が必要となる場
合；または(c) 管理者と第三者との間のデータ主体の利益のために結ばれる契約の締結、または、その履行のために移転が必要となる場合；(d) 重要な公共の利益を根拠として、または、訴訟の提起もしくは攻撃防御のために、その移転が必要となる場合、または、それが法的に要求される場合；または(e) データ主体の生存の利益を保護するために移転が必要となる場合；または(f) 欧州共同体の法律に従い、公衆に対して情報を提供することを予定し、かつ、
一般の公衆または正当な利益を説明することのできる者からの照会のために公開されている登録所から、個々の案件において欧州共同体の法律に定める照会のための要件を満たす範囲内で、移転が行われる場合。
7. 第 6 条を妨げることなく、個人のプライバシー及び基本的な権利及び自由の保護と関連し、並びに、これらの権利の行使に関する十分な安全性確保措置を管理者が引証する場合には、欧州データ保護監督官は、第 1 項及び第 2 項の意味における十分なレベルの保護を確保していない第三国または国際機関に対する個人データの移転または一群の個人データの移転を承認することができる；その安全性確保措置は、とりわけ、適切な契約条項によって発生させることができる。
8. 欧州共同体の機関及び組織は、欧州データ保護監督官に対し、第 6 項及び第 7 項が適用された案件の類型について通知する。
第 3 節 処理の特別類型
第 10 条 特別類型のデータの処理
1. 人種的または民族的な出自、政治的意見、宗教上もしくは思想上の信条または労働組合への加入を明らかにする個人データの処理、並びに、健康または性生活に関するデータの処理は、禁止される。
2. 第 1 項は、以下の場合には適用されない：(a) 欧州共同体の機関または組織の内部規則が、第 1 項に示す禁止をデータ主体が彼または彼女の同意を与えることによって解除することはできないと定めている
125

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

場合を除き、それらのデータの処理について、データ主体が彼または彼女の明確な同意を与えた場合、または(b) 欧州共同体設立条約もしくは同条約に基づいて採択されたそれ以外の法律文
書によって認められる場合に限り、または、必要があるときは、十分な安全性確保
措置に従い、欧州データ保護監督官による同意がある場合に限り、労働法の分野において、管理者の特別の権利及び義務を遵守する目的のために、処理が必要となる
場合、または(c) データ主体が物理的または法的に彼または彼女の同意を与えることができな
い場合において、データ主体もしくは他の者の生存の利益を保護するために処理が必要となる場合；(d) データ主体によって明示的に公開のものとされたデータに関する処理、または、訴訟の提起もしくは攻撃防御のために処理が必要となる場合、または(e) 欧州共同体の機関もしくは組織の中で結成された団体を構成し、かつ、指令95/46/EC の第 4 条による国内データ保護法令の適用がなく、かつ、政治上、思想上
もしくは宗教上または労働組合の目的をもつ非営利の組織による、十分な安全性確保措置を具備するその正当な活動の過程において、かつ、その処理が、その組織の構成員またはその組織の目的との関係でその組織と定期的に接触する者のみに関係するものであることを条件とし、かつ、データ主体の同意なく、そのデータが第三者に対して開示されないことを条件として、処理が行われる場合。
3. 予防医学、医療上の診断、看護もしくは治療の提供、医療サービス上の管理の目的のためにデータの処理が求められる場合、並びに、職業上の守秘義務を負う医療専門家
によって、または、それと均等の守秘義務に服する上記以外の者によって、それらのデータが処理される場合には、第 1 項は、適用されない。
4. 適切な安全性確保措置の条項に従い、かつ、重要な公共の利益を根拠として、第 2 項に定める例外に加え、欧州共同体設立条約または同条約に基づいて採択されたそれ以外の法律文書による例外、または、必要があるときは、欧州データ保護監督官の判断による例外を定めることができる。
5. 欧州共同体設立条約もしくは同条約を基礎として採択されたそれ以外の法律文書によって認められる場合、または、必要があるときは、十分な安全性確保措置に従い、欧州データ保護監督官による承認がある場合には、侵害行為、有罪判決または保護措置に関するデータの処理を行うことができる。
6. 欧州データ保護監督官は、個人番号またはそれ以外の一般に利用されている識別子
を欧州共同体の機関または組織が処理することができる場合の要件を定める。
126

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 4 節 データ主体に対して与えられる情報
第 11 条 データ主体からデータが取得された場合に提供される情報
1. 管理者は、彼または彼女が既にその情報を得ている場合を除き、彼自身または彼女自身に関するデータが収集されるデータ主体に対して、少なくとも以下の情報を提供
する：(a) 管理者の識別子；(b) そのデータのために予定されている処理業務の目的；(c) 個人データの取得者または取得者の類型；(d) 求めに応ずることが義務的なものか任意的なものか、及び、その求めに応じない場合に生じ得る結果：(e) 彼または彼女に関するデータにアクセスする権利及びそのデータを訂正する権利の存在；(f) 以下のような追加的な情報：(i) そのデータのために予定されている処理業務の法的根拠、(ii) そのデータの記録保存の期限、(iii) いつでも、欧州データ保護監督官と相談する権利、そのような別の情報が必要となる範囲内で、そのデータが収集される特別な事情に配慮し、そのデータ主体に関する公正な処理を保証するために。
2. 第 1 項の特例により、統計の目的のために特例が必要な範囲内で、第 1 項の(a)、(b)及び(d)に示す情報を除き、情報の全部または一部の提供を除外することができる。情報提供を控えるための理由が消滅したときは、速やかに、その情報が提供されなければならない。
第 12 条 データ主体からデータが取得されたものではない場合に提供される情報
1. データがデータ主体から取得されたものではない場合、管理者は、彼または彼女が既にその情報を得ている場合を除き、個人データの記録を行う時点、または、第三者に対する開示が予定されている場合には、その開示が最初になされる時点以前に、データ主体に対して、少なくとも以下の情報を提供する：(a) 管理者の識別子；(b) 処理業務の目的；
127

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）(c) 関係するデータの類型；(d) 取得者または取得者の類型；(e) 彼または彼女に関するデータにアクセスする権利及びそのデータを訂正する権利の存在；(f) 以下のような追加的な情報：(i) そのデータのために予定されている処理業務の法的根拠、(ii) データの記録保存の期限、(iii) いつでも、欧州データ保護監督官と相談する権利、(iv) 職務上の守秘義務により管理者がその情報を開示することができない場
合を除き、そのデータの取得元、
そのような別の情報の提供が必要となる範囲内で、そのデータが収集される
特別な事情に配慮し、データ主体に関する公正な処理を保証するために。
2. とりわけ、統計の目的または歴史調査もしくは科学調査の目的のための処理について、そのような情報の提供が不可能であること、または、過大な努力を要するようなものであることが明らかな場合、または、記録することもしくは開示することが欧州共同体の法律によって明確に定められている場合には、第 1 項は、適用されない。これらの場合においては、欧州共同体の機関または組織は、欧州データ保護監督官との協議を経た後、適切な安全性確保措置を定める。
第 5 節 データ主体の権利
第 13 条 アクセスの権利
データ主体は、強制されることなく、管理者から、求めを受けた時から 3 か月以内のいつでも、無料で、以下の情報を得る権利をもつ：(a) 彼または彼女に関するデータが処理されているか否かに関する確認；(b) 少なくとも、処理業務の目的、関係するデータの類型、データが開示される取得者または取得者の類型に関する情報；(c) 処理中のデータ及びその収集源に関する利用可能な情報のわかりやすい方式
による連絡；(d) 彼または彼女に関する自動的な判定処理に含まれている論理の知識。

128

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 14 条 訂正
データ主体は、管理者から、不正確または不完全な個人データの遅滞のない訂正を得る権利をもつ。
第 15 条 処理の制限
1. データ主体は、以下の場合においては、管理者から、データの処理の制限を得る権
利をもつ：(a) その正確性についてデータ主体から疑義が提示されている場合、完全性を含め、そのデータの正確性を管理者が確認できるようにする期間内について；または(b) 管理者がその職務の達成のためにそのデータを必要としなくなっているが、証明の目的のためにそのデータを管理者が保管しなければならない場合；または(c) その処理が違法であり、かつ、データ主体がそのデータの消去ではなく、その代わりに、そのデータの処理の制限を求める場合。
2. 自動的なファイリングシステムの処理の制限は、原則として、技術的な手段によって確保される。個人データの処理が制限されるという事実は、その個人データを使用することができないことが明らかになるような方法で、そのシステム内で示される。
3. 本条により処理が制限される個人データは、それを記録保存する場合を除き、証明の目的のための場合、データ主体の同意がある場合、または、第三者の権利を保護する目的のための場合においてのみ処理される。
4. 彼または彼女のデータの処理の制限を求め、それを得たデータ主体は、そのデータの処理の制限が解除される前に、その連絡を受ける。
第 16 条 削除
データ主体は、そのデータ処理が違法な場合、とりわけ、第 2 章の第 1 節、第 2 節
及び第 3 節の条項の違反の場合には、管理者から、データの削除を得る権利をもつ。
第 17 条 第三者に対する連絡
データ主体は、それが不可能であるか、または、過大な努力を要することが明らかである場合を除き、管理者から、第 13 条ないし第 16 条によって行われた個人データの129

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

訂正もしくは削除または処理の制限について、そのデータの開示を受けた第三者に対して連絡することを得る権利をもつ。
第 18 条 データ主体の異議を述べる権利
データ主体は、以下の権利をもつ：(a) 第 5 条の(b)、(c)及び(d)が適用される場合を除き、彼または彼女に関するデータの処理について、彼または彼女の特別の事情に関するやむを得ない正当な根拠に基づき、いつでも、異議を述べること。正当な異議があるときは、当の処理は、当該データを含めることができない；(b) 第三者に対して個人データが最初に開示される時点よりも前に、または、ダイ
レクトマーケティングの目的で、個人データが彼らの利益において使用される前に、その情報提供を受ける権利、並びに、そのような開示または使用に対して無料で異議を述べる権利が明示で示されること。
第 19 条 個人の自動的な判定
その判定が国内立法もしくは欧州共同体の立法によって明示で認められる場合、または、それが必要なときは、欧州データ保護監督官による承認がある場合を除き、デー
タ主体は、彼または彼女に関する法的効果を発生させ、または、彼または彼女に重大な悪影響を及ぼし、かつ、彼または彼女の職務遂行能力、信頼性もしくは行動といったよ
うな彼または彼女に関する一定の人格的側面を評価することを意図するデータの自動処理のみに基づく判定に服さない権利をもつ。これらいずれの場合においても、彼または彼女が彼または彼女の見解を示すことができるようにする手配のような、データ主体の正当な利益を防護するための措置が講じられなければならない。
第 6 節 例外及び制限
第 20 条 例外及び制限
1. 欧州共同体の機関及び組織は、そのような制限が以下の対象を防護するために必要な措置を構成する場合には、第 4 条第 1 項、第 11 条、第 12 条第 1 項、第 13 条ないし第 17 条及び第 37 条第 1 項の適用を制限することができる：
130

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）(a) 犯罪行為の防止、捜査、検知及び訴追；(b) 通貨、予算及び税に関する事柄を含め、構成国または欧州共同体の重要な経済
上または財政上の利益；(c) データ主体の保護またはそれ以外の者の権利及び自由の保護；(d) 構成国の国家安全保障、公共の安全または国防；(e) (a)及び(b)に示す場合において、一時的なものを含め、公的な権限の行使と関係する監視、監督及び規制の職務。
2. 科学研究の目的のみのためにデータが処理される場合、または、統計の実施のみの目的のために必要な期間を超えない期間内だけ個人識別可能な状態でデータを保存する場合においては、データ主体のプライバシーの侵害のリスクが明らかに存在せず、かつ、とりわけ、当該データが特定の個人と関連する措置または判定を行うために用いられないことを確保するための適切な法的安全性確保措置を管理者が定めている限り、第 13 条及び第 16 条は、適用されない。
3. 第 1 項による制限が加えられる場合、データ主体は、欧州共同体の法律に従い、その制限の適用が根拠とする主要な理由について、及び、欧州データ保護監督官に不服を申立てる彼または彼女の権利について、情報提供を受ける。
4. 第 1 項に定める制限が、そのデータ主体のアクセスの拒否に基づく場合、欧州デー
タ保護監督官は、その異議について調査する際、彼または彼女に対し、データが適切に処理されているか否か、及び、そうでない場合には、必要な修正が行われたか否かについて、情報提供する。
5. 第 3 項及び第 4 項中に示される情報の提供は、当該情報が第 1 項により加えられた制限の効果を損ねる可能性がある場合には、保留とすることができる。
第 7 節 処理の機密性及び安全性
第 21 条 処理の機密性
欧州共同体の機関及び組織に雇用される者、並びに、それ自体が処理者として行動する欧州共同体の機関及び組織が、個人データへのアクセスをもつときは、管理者からの指示による場合を除き、国内法または欧州共同体の法律によってそのようにすることが求められない限り、個人データを処理しない。

131

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 22 条 処理の安全性
1. 技能の水準及びその実装の費用を考慮に入れた上で、管理者は、その処理及び保護される個人データの性質によって示されるリスクに適切に対応する一定のレベルの安全性を確保するために、適切な技術上及び組織上の措置を実装する。
そのような措置は、とりわけ、無権限の開示もしくはアクセス、事故もしくは違法な破壊または事故による喪失、または、改変を防止し、かつ、これら以外の全ての形態の違法な処理を防止するために、講じられる。
2. 個人データが自動的な手段で処理される場合、とりわけ、以下の目的でそのリスクに対応するという観点から、適切に措置を講ずる：(a) 無権限の者が、個人データを処理するコンピュータシステムへのアクセスを得ることの防止；(b) 記録保存媒体の無権限の閲読、複製、改変または除去の防止；(c) 無権限のメモリ入力、並びに、記録保存された個人データの無権限の開示、改変または消去の防止；(d) 無権限の者が、データ送信設備によりデータ処理システムを使用することの防止；(e) データ処理システムの承認を受けた利用者が、彼らのアクセス権の示す個人データ以外の個人データにはアクセスできないことの確保；(f) 個人データが、いつ、誰に対して送信されたのかについての記録；(g) 個人データが、いつ、誰によってなされたのかを事後的に点検し得るようにす
ることの確保；(h) 第三者の代わりに処理される個人データが、契約者である機関または組織によって提示された方法によってのみ処理され得ることの確保；(i) 個人データの送信中または記録保存媒体の輸送中、権限なく、そのデータが閲読され、複製され、または、消去され得ないことの確保；(j) データ保護の特別の要件に適合するように、機関または組織内の組織構造を設計すること。
第 23 条 管理者の代わりの者による個人データの処理
1. 処理業務が管理者の代りの者によって行われる場合、その管理者は、第 22 条により求められる技術上及び組織上の安全性確保措置に関して十分な保証を提供する処理者
132

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）を選任し、かつ、そのような措置の遵守を確保する。
2. 処理者による処理業務の実施は、管理者及び処理者を拘束する契約または法律行為、とりわけ、以下を定める契約によって規律される：(a) 処理者は、管理者の指示に基づいてのみ行動する：(b) 第 21 条及び第 22 条に定める義務は、指令 95/46/EC の第 16 条及び第 17 条第 3
項第 2 段により、その処理者が、構成国中のいずれかの国内法に定める秘密保持及び防護に関する義務に既に服していない限り、処理者に対しても負わせられる。
3. 証跡を保存する目的のため、データ保護及び第 22 条に示す措置と関連する義務に関する契約書または法律行為の約定は、書面またはこれと均等の方式によるものとする。
第 8 節 データ保護責任者
第 24 条 データ保護責任者の任命及び職務
1. 欧州共同体の各機関及び各組織は、少なくとも 1 名のデータ保護責任者を任命する。
この者は、以下の職務をもつ：(a) 管理者及びデータ主体がこの規則による彼らの権利及び義務について情報提供を受けることを確保すること；(b) 欧州データ保護監督官からの要請に対応すること、及び、彼もしくは彼女の職
務権限の範囲内において、欧州データ保護監督官からの要請により、または、彼もしくは彼女の発意により、欧州データ保護監督官と協力すること；(c) 独立した方法により、この規則の条項の組織内での適用を確保すること；(d) 管理者によって行われる処理業務の、第 25 条第 2 項に示す情報の項目を含む
登録簿を保管すること；(e) 第 27 条の意味における特別のリスクを示す可能性のある処理業務について、
欧州データ保護監督官に対して通知すること。
そして、その者は、データ主体の権利及び自由が処理業務によって害されるおそれがないようにすることを確保する。
2. データ保護責任者は、彼または彼女の個人的な資質及び職業人としての資質、並びに、とりわけ、彼または彼女のデータ保護の専門知識を基礎として、選任される。
3. データ保護責任者の選任は、とりわけ、この規則の条項の適用に関して、彼または彼女のデータ保護責任者としての義務とそれ以外の公務上の義務との間の利益相反の結果について責任を負わない。
133

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

4. データ保護責任者は、2 年から 5 年の間の任期で任命される。彼または彼女は、通算
して 10 年を上限に、再任されることができる。彼または彼女は、彼または彼女の職務の遂行のために求められる条件を満たさなくなったときは、欧州データ保護監督官の同意がある場合に限り、彼または彼女を任命した欧州共同体の機関または組織によって、データ保護責任者の地位を解かれ得る。
5. 彼または彼女の任命の後、データ保護責任者は、彼もしくは彼女を任命した機関または組織毎に、欧州データ保護監督官に登録される。
6. データ保護責任者を任命した欧州共同体の機関または組織は、彼または彼女に対し、彼または彼女の職務を遂行するために必要な職員及び資源を提供する。
7. 彼または彼女の職務の遂行に関して、データ保護責任者は、いかなる指示も受けない。
8. 別紙に定めるところに従い、個々の欧州共同体の機関または組織によって、データ保護責任者に関する更に別の実装規則が採択される。その実装規則は、とりわけ、デー
タ保護責任者の職務、責務及び権限に関するものとする。
第 25 条 データ保護責任者に対する通知
1. 管理者は、データ保護責任者に対し、単一の目的または数個の関連する目的のためにすることを予定する処理業務または一群の処理業務について、事前に通知する。
2. 与えられる通知は、下記の事項を含める：(a) 管理者の氏名及び住所、並びに、特定の目的のために個人データの処理を任せた機関または組織の部署を示す識別子；(b) 処理の目的；(c) データ主体の類型の記述、及び、データ主体と関連するデータまたはデータの類型の記述；(d) そのデータについて予定している処理業務の法的根拠；(e) そのデータを開示され得る取得者または取得者の類型；(f) 異なる類型に属するデータの処理の制限または削除のための期限に関する一般的な記述；(g) 第三国または国際機関に対する要請されたデータ移転；(h) 処理の安全性を確保するために第 22 条に従って講じられる措置の適切性について行われる準備的な評価を実施できるようにするための一般的な記述。
3. 第 2 項に示す情報に影響を与えるいかなる変更も、データ保護責任者に対し、速や134

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

かに、通知される。
第 26 条 登録簿
第 25 条に従って通知を受ける処理業務の登録簿は、それぞれのデータ保護責任者によって保管される。
登録簿は、少なくとも、第 25 条第 2 項の(a)ないし(g)に示す情報を含める。登録簿
は、欧州データ保護監督官を介して、直接または間接に、いかなる者によっても調査され得る。
第 9 節 欧州データ保護監督官による事前の点検及び協力義務
第 27 条 事前の点検
1. その性質、その適用範囲及びその目的のゆえに、データ主体の権利及び自由に対する特別のリスクを示す可能性のある処理業務は、欧州データ保護監督官による事前の点検を受ける。
2. 以下の処理業務は、そのようなリスクを示す可能性があるものである：(a) 医療と関連するデータの処理、及び、犯罪容疑、侵害行為、有罪判決または保護措置と関連するデータの処理；(b) 彼または彼女の能力、能率及び行動を含め、データ主体と関連する人格的側面を評価するための処理業務；(c) 異なる目的のために処理されるデータ間で、国内立法または欧州共同体の立法によって定められていない連携を許す処理業務；(d) 個人を権利、利益または契約から排除する目的のための処理業務。
3. 事前の点検は、事前の点検の必要性に関する疑いがある場合に欧州データ保護監督官と協議するデータ保護責任者からの通知を受領した後、欧州データ保護監督官によって行われる。
4. 欧州データ保護監督官は、通知を受けた後 2 か月以内に、彼または彼女の意見を送付する。この期間は、彼または彼女が求めることのできる追加情報を欧州データ保護監
督官が入手するまで、その進行を停止とすることができる。また、事柄が複雑であるためにその必要があるときは、欧州データ保護監督官の決定により、この期間を更に 2 か135

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

月延長することができる。この決定は、当初の 2 か月の期間が満了となる前に、管理者に対して通知される。
この 2 か月の期限内またはその延長された期限内にその意見が送付されなかった場
合、通知内容を是認するものと推定される。
欧州データ保護監督官の意見が、通知された処理はこの規則の条項の違反を含むものであり得るというものであるときは、彼または彼女は、それが適切なときは、そのよ
うな違反を避けるための提案をする。管理者がしかるべく処理業務を変更しないとき
は、欧州データ保護監督官は、第 47 条第 1 項に基づき、彼または彼女に与えられた権限を行使することができる。
5. 欧州データ保護監督官は、第 2 項により彼または彼女に通知された全ての処理業務
登録簿を保管する。登録簿は、第 25 条に示す情報を含めるものとし、かつ、公衆の調査のために公表される。
第 28 条 協議
1. 欧州共同体の機関及び組織は、欧州共同体の機関及び組織内が単独で関係し、または、他の機関と共同で関係する個人データの処理と関連する行政上の措置を作成した
ときは、欧州データ保護監督官に対し、そのことを通知する。
2. 個人データの処理と関連する個人の権利及び自由の保護に関する立法提案を欧州委
員会が採択する場合には、欧州委員会は、欧州データ保護監督官と協議する。
第 29 条 情報提供の義務
欧州共同体の機関または組織は、欧州データ保護監督官に対し、第 46 条の(h)に示す
彼もしくは彼女の決定または承認に付加して講じられた措置について情報提供する。
第 30 条 共同活動の義務
管理者は、彼または彼女から求めがあるときは、とりわけ、第 47 条第 2 項の(a)に示す情報を提供することによって、及び、第 47 条第 2 項の(b)に定めるアクセスを与える
ことによって、彼または彼女の職務の遂行において、欧州データ保護監督官を補佐する。

136

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 31 条 要求に回答する義務
欧州データ保護監督官の第 47 条の(b)に基づく彼または彼女の権限の行使に対する回答書の中において、関係する管理者は、監督官によって指定された合理的な期間内に、監督官に対し、自己の見解を通知する。この回答書は、それに該当するときは、欧州データ保護監督官からの意見に対応して講じられた措置の記述を含める。
第 3 章 救済第 32 条 救済
1. 欧州司法裁判所は、損害賠償請求訴訟を含め、この規則の条項と関連する全ての紛争について、聴聞をするための管轄権をもつ。
2. 司法救済を妨げることなく、全てのデータ主体は、欧州共同体の機関または組織による彼もしくは彼女の個人データの処理の結果として条約の第 286 条に基づく彼もし
くは彼女の権利が侵害されたと考えるときは、欧州データ保護監督官に対し、異議の申立てをすることができる。
6 か月以内に欧州データ保護監督官から何も返答がない場合、その異議の申立ては、却下されたものとみなされる。
3. 欧州データ保護監督官の決定に対する訴訟は、欧州司法裁判所で提起される。
4. 違法な処理業務またはこの規則と適合しない活動によって損害を被った者は、条約の第 288 条に従い、その損害の回復を受ける権利をもつ。
第 33 条 欧州共同体の職員による異議申立て
欧州共同体の機関または組織に雇用される者は、公式の経路を経て行動することな
く、個人データの処理を規律するこの規則の条項の違反があるとの主張に関し、欧州データ保護監督官に異議の申立てをすることができる。個人データの処理を規律するこの規則の条項の違反があると主張して行われる欧州データ保護監督官への異議申立てによって、いかなる者も不利益を受けることがない。

137

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 4 章 組織内の通信ネットワークにおける個人データ及びプライバシーの保護
第 34 条 適用範囲
この規則の他の条項を妨げることなく、本章は、欧州共同体の機関または組織の管理下で運用される通信ネットワークまたは端末装置の利用と関係する個人データの処理に適用される。
本章の目的のために、「利用者」とは、欧州共同体の機関または組織の管理下で運用される通信ネットワークまたは端末装置を利用する自然人のことを意味する。
第 35 条 安全性
1. 欧州共同体の機関及び組織は、必要があるときは、公衆が利用可能通信ネットワー
クサービスのプロバイダまたは公共通信ネットワークのプロバイダと共に、通信ネッ
トワーク及び端末装置の安全な利用を防護するための技術上及び組織上の適切な措置を講ずる。技能の水準及びその実装の費用を考慮に入れた上で、これらの措置は、示されるリスクに適切に対応するレベルの安全性を確保するものとする。
2. ネットワーク及び端末装置の安全性を損なう特別のリスクがある場合、欧州共同体の関係する機関または組織は、その利用者に対し、そのリスクが存在すること、並びに、利用可能な復旧方法及び代替的な通信手段について、情報提供する。
第 36 条 通信の秘密
欧州共同体の機関及び組織は、欧州共同体の法律の一般原則に従い、通信ネットワー
ク及び端末装置による通信の秘密を確保する。
第 37 条 トラフィックデータ及び課金データ
1. 第 2 項、第 3 項及び第 4 項の条項を妨げることなく、通信ネットワーク上の起呼及びそれ以外の接続を確立するために処理されまたは記録保存される利用者に関するトラフィックデータは、起呼もしくはそれ以外の接続の終了により、消去され、または、匿名化される。
2. それが必要なときは、欧州データ保護監督官が同意したリストの中に示されるトラ138

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

フィックデータは、通信システムの承認を受けた利用の検証を含め、通信の課金管理またはトラフィック管理の目的のために処理され得る。これらのデータは、裁判所に係属中の訴訟における権利の行使または攻撃防護のためにより長い期間保存されるべき必要がある場合を除き、可能な限り速やかに、かつ、遅くとも収集後 6 か月以内に、消去または匿名化される。
3. トラフィックデータ及び課金データの処理は、課金管理、トラフィック管理または予算管理を取扱う者によってのみ行われる。
4. 通信ネットワークの利用者は、明細書のない請求書、または、それ以外の行われた通話記録を受領する権利をもつ。
第 38 条 利用者の名簿
1. 利用者の印刷物の名簿もしくは電子的な名簿に含まれる個人データまたはそのような名簿へのアクセスは、その名簿の特別の目的のために厳格に必要なものに限定される。
2. 欧州共同体の機関及び組織は、それが公衆にアクセス可能なものか否かを問わず、それらの名簿に含まれている個人データがダイレクトマーケティングの目的で用いられることを防止するために必要となる全ての措置を講ずる。
第 39 条 起呼識別子及び接続識別子の表示及び制限
1. 起回線識別子の表示が提供される場合、起呼側の利用者は、簡単な操作で、無料で、起回線識別子の表示を非表示とする可能性をもつ。
2. 起回線識別子の表示が提供される場合、着呼側の利用者は、簡単な操作で、無料で、入ってくる通話の呼回線識別子の表示を抑止する可能性をもつ。
3. 接続回線識別子の表示が提供される場合、着呼側の利用者は、簡単な操作で、無料で、起呼側の利用者への接続回線識別の表示を非表示とする可能性をもつ。
4. 呼回線識別子の表示または接続回線識別子の表示が提供される場合、欧州共同体の機関及び組織は、その利用者に対し、そのことについて、並びに、第 1 項、第 2 項及び第 3 項に定める可能性について、情報提供する。

139

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

第 40 条 特例
欧州共同体の機関及び組織は、以下のとおり、それらの機関が起呼回線識別子の表示の非表示を無効化することができる方法を規律する透明性のある手続が存在することを確保する：(a) 違法または有害な通話の追跡を求める利用者の要請の申出により、一時的に；(b) 緊急通話に応答する目的のために、緊急通話を取扱う組織化された団体のために、回線単位で。
第 5 章 独立の監督機関：欧州データ保護監督官
第 41 条 欧州データ保護監督官
1. ここに、欧州データ保護監督官として示される独立の監督機関が設置される。
2. 個人データの処理に関して、欧州データ保護監督官は、自然人の基本的権利及び自由、とりわけ、自然人のプライバシーの権利が欧州共同体の機関及び組織によって尊重されることを確保する職責を負う。
欧州データ保護監督官は、この規則の条項の適用、並びに、欧州共同体の機関または組織による個人データの処理と関連する自然人の基本的権利及び自由の保護に関する欧州共同体のこの規則以外の法令の適用を監視し、これを確保する職責を負い、かつ、
個人データの処理と関係する全ての事柄に関し、欧州共同体の機関及び組織並びにデータ主体に助言する職責を負う。これらの目的のために、彼または彼女は、第 46 条に定める職務を遂行し、かつ、第 47 条で与えられる権限を行使する。
第 42 条 任命
1. 欧州議会及び理事会は、候補者を公募した後に欧州委員会によって作成されるリストに基づき、一致した意見により、5 年の任期で、欧州データ保護監督官を任命する。
副監督官は、同じ手続に従い、同じ任期で任命され、監督官の全ての職務について監督官を補佐し、かつ、監督官が不在の場合またはその職務の遂行に支障がある場合には、その代理として行動する。
2. 欧州データ保護監督官は、例えば、指令 95/46/EC の第 28 条に示す監督機関に所属している、または、これに所属していたという理由により、その独立性に疑うべき余地
140

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）がなく、かつ、欧州データ保護監督官の職務を遂行するために求められる経験及び能力をもつと認められる者の中から選任される。
3. 欧州データ保護監督官は、再任されることができる。
4. 通常の改任の場合及び死亡の場合とは別に、欧州データ保護監督官の職務は、第 5項に従って辞任または解任があった時点で終了する。
5. 欧州データ保護監督官は、彼もしくは彼女の職務を遂行するために求められる条件
を彼または彼女が満たさなくなった場合、または、彼もしくは彼女に重大な非違行為により有罪となる場合には、欧州議会、理事会または欧州議会の求めにより、欧州司法裁
判所によって、解任され、または、年金もしくはその代価となる収入を受ける彼または彼女の権利を剥奪され得る。
6. 通常の交代または任意の辞任の場合には、欧州データ保護監督官は、それにも拘らず、彼または彼女が交代となるまでの間、その執務室に留まる。
7. 欧州共同体の特権及び免除に関する議定書の第 12 条ないし第 15 条及び第 18 条は、
欧州データ保護監督官に対しても適用される。
8. 第 2 項ないし第 7 項は、副監督官に対して適用される。
第 43 条 欧州データ保護監督官の職務を規律する規則及び一般的な条件、職員及び予算
1. 欧州議会、理事会及び欧州委員会は、欧州データ保護監督官の職務の遂行を規律する規則及び一般的な条件について、並びに、とりわけ、彼または彼女の俸給、手当及びそれ以外の報酬に代わる収入について、一致した意見により、これを定める。
2. 予算総局は、欧州データ保護監督官が彼または彼女の職務を遂行するために必要となる人的資源及び資金の提供を受けることを確保する。
3. 欧州データ保護監督官の予算は、欧州連合の一般予算の第 8 節の標題で区分された予算の中に示される。
4. 欧州データ保護監督官は、事務局によって補佐される。事務局の官吏及びそれ以外の職員は、欧州データ保護監督官によって任命される；彼らの上司は、欧州データ保護
監督官となり、彼らは、彼または彼女の指示に専ら服する。その員数は、毎年、予算手続の一部として決定される。
5. 欧州データ保護監督官事務局の官吏及びそれ以外の職員は、欧州連合の官吏及びその他の公務員に適用される規定及び規則に服する。
6. 事務局職員に関する事項について、欧州データ保護監督官は、欧州共同体の官吏の141

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

職員規則の第 1 条の意味における機関と同じ地位をもつ。
第 44 条 独立性
1. 欧州データ保護監督官は、彼または彼女の権限を行使する際、完全に独立して行動する。
2. 欧州データ保護監督官は、彼または彼女の職務を遂行する際、誰に対しても指示を求めず、また、誰からの指示も受けない。
3. 欧州データ保護監督官は、彼または彼女の義務と適合しない行動を慎み、かつ、彼または彼女の在任中は、有償であるか否かを問わず、別の仕事に従事することを控える。
4. 欧州データ保護監督官は、彼または彼女の任期を終えた後においても、任命及び収入を受諾したことに関して、誠実かつ慎重に行動する。
第 45 条 職務上の秘密
欧州データ保護監督官及び彼または彼女の職員は、彼または彼女の在任中及び彼らの任期を終えた後のいずれにおいても、彼らの公的な職務を遂行する過程において彼らが認知した全ての機密情報に関して、職務上の守秘義務に服する。
第 46 条 職務
欧州データ保護監督官は：(a) 異議について聴取及び調査し、かつ、合理的な期間内に、データ主体に対してその結果を通知する；(b) 彼または彼女の発意により、または、異議申立てに基づいて調査を行い、かつ、
合理的な期間内に、データ主体に対してその結果を通知する；(c) 欧州共同体司法裁判所による司法機関としての行為を除き、この規則の条項の適用、並びに、欧州共同体の機関または組織による個人データの処理と関連する自然人の保護に関するこの規則以外の欧州共同体の法令の適用を監視し、かつ、これを確保する；(d) 彼もしくは彼女の発意により、または、協議への対応の中で、個人データの処理と関連する全ての事項について、とりわけ、個人データの処理と関連する基本的142

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

権利及び自由の保護に関する内部規則を策定する前に、欧州共同体の全ての機関
及び組織に対して、助言をする；(e) それが個人データの保護に何らかの影響をもつものである限り、関連技術の発展、とりわけ、情報技術及び通信技術の発展を注視する；(f)(i) とりわけ、全ての有用な情報を交換すること、そのような機関または組織に対してその権限の行使を要請すること、または、そのような機関または組織からの要請に応ずることによって、国内監督官それぞれの職務の遂行のために必要な範囲で、指令 95/46/EC が適用される諸国における同指令の第 28 条に示す国内監督機関と協力する；(ii) また、遵守を確保することについてそれぞれの職責を負う欧州連合条約第6 款に基づいて設置されるデータ保護監督機関との間でも、とりわけ、規定と手続の適用における一貫性を促進するという観点から、協力する；(g) 指令 95/46/EC の第 29 条に定める個人データの処理と関連する個人の保護に関する作業部会の活動に参加する；(h) 第 10 条第 2 項(b)、同条第 4 項、第 5 項及び第 6 項、第 12 条第 2 項、第 19 条
並びに第 37 条第 2 項に示す例外、安全性確保措置、承認及び要件を定め、その理由を明らかにし、かつ、それらを公表する；(i) 第 27 条第 2 項の適用により彼または彼女に通知され、第 27 条第 5 項に従って登録された処理業務の登録簿を保管し、かつ、第 26 条に基づきデータ保護責任者
によって保管されている登録簿へのアクセスの方法を提供する；(j) 彼または彼女に対して通知された処理の事前点検を行う；(k) 彼または彼女の手続規則を定める。
第 47 条 権限
1. 欧州データ保護監督官は：(a) データ主体に対し、その権利の行使について助言できる；(b) 個人データの処理を規律する条項に違反するとして申立てられた出来事について、管理者に事項照会をすること、及び、それが適切な場合には、その侵害を解消し、データ主体の保護を向上するための提案をすることができる；(c) 第 13 条ないし第 19 条に違反してその要請が拒絶された場合には、データと関連する一定の権利を行使するための要請を実施することを命ずることができる；
143

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）(d) 管理者に警告または注意を発することができる；(e) 個人データの処理を規律する条項に違反してデータが処理された場合、全てのデータの訂正、処理の制限、削除または破壊を命ずること、並びに、そのデータが開示された第三者に対し、そのように命令したことを通知することができる；(f) 処理に関する一時的な禁止または恒久的な禁止を命ずることができる；(g) 欧州共同体の関係する機関または組織に対し、並びに、必要があるときは、欧州議会、理事会及び欧州委員会に対し、事項の照会をすることができる；(h) 条約に定める要件の下で、欧州司法裁判所に対し、事項の照会をすることができる；(i) 欧州司法裁判所で訴訟を提起することができる。
2. 欧州データ保護監督官は、以下の権限をもつ：(a) 管理者または欧州共同体の機関もしくは組織から、彼または彼女の調査のために必要な全ての個人データ及び全ての情報に対するアクセスを得ること；(b) この規則の適用のある活動がそこで行われていると推定すべき合理的な根拠があるときは、管理者または欧州共同体の機関もしくは組織がその活動を行っている施設へのアクセスを得ること。
第 48 条 活動報告書
1. 欧州データ保護監督官は、欧州議会、理事会及び欧州委員会に対し、その活動に関する年次報告書を送付し、かつ、それと同時に、それを公表する。
2. 欧州データ保護監督官は、上記以外の欧州共同体の機関及び組織に対し、その活動報告書を転送する。それらの機関及び組織は、欧州議会におけるその報告書の検討があり得るという観点から、とりわけ、第 31 条に基づいて欧州データ保護監督官によって行われた指示に対応して講じられた措置の記述に関し、意見書を発行することができる。
第 6 章 最終条項
第 49 条 制裁
この規則による義務の不遵守は、それが意図的なものであれ彼もしくは彼女の側の過失によるものであれ、欧州共同体の官吏の職員規則及び欧州共同体のそれ以外の公144

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

務員に適用される雇用条件規則に定める規定及び手続に従い、欧州共同体の官吏またはそれ以外の公務員について、懲戒行為の責を負わせるものとする。
第 50 条 国内法化の期限
欧州共同体の機関及び組織は、この規則が発効する日において既に行われている処
理業務について、その発効の日から 1 年以内に、この規則に適合させるようにすることを確保する。
第 51 条 発効
この規則は、EU 官報上で公示された翌日から 20 日目の日に発効する。

この規則は、全ての構成国において、その全体について拘束力があり、かつ、直接に適用される。

2000 年 12 月 18 日にブリュッセルにおいて行われた。

欧州議会として理事会として議長 N. FONTAINE

議長 D. VOYNET

145

法と情報雑誌第 2 巻第 5 号（2017 年 5 月）

別 紙
1. データ保護責任者は、彼または彼女を任命した欧州共同体の機関または組織に対し、データ保護の実務上の改善のための勧告をすることができ、また、その機関及び関係する管理者に対し、データ保護の条項の適用に関する事項について助言をすることができる。更に、彼または彼女は、彼または彼女自身の発意により、または、彼または彼女を任命した共同体の機関もしくは組織、管理者、関係する職員委員会または個人の求めに応じて、彼または彼女の職務と直接に関係し、または、彼または彼女が認識した事項
及び出来事について調査することができ、そして、その調査を依頼した者または管理者に対し、その結果報告を返すことができる。
2. データ保護責任者は、公式の経路によらずに、この規則の解釈または適用に関する事項について、彼または彼女を任命した欧州共同体の機関または組織、関係する管理者、関係する職員委員会及び個人からの相談を受けることができる。
3. いかなる者も、データ保護責任者の注意を惹くように規則の条項の違反があると申立てられた事柄のゆえに、不利益を受けることがない。
4. 関係する全ての管理者は、彼または彼女の職務を遂行する際にデータ保護責任者を支援することを求められ、かつ、質問に対する回答の際に情報を提供することを求められる。彼または彼女の職務を遂行するに際し、データ保護責任者は、いつでも、処理業
務の対象を形成しているデータに対し、並びに、全ての執務場所、実装された機器及びデータ記録装置に対するアクセスをもつ。
5. 求められる範囲内で、データ保護責任者は、他の活動から解放される。データ保護責任者及び条約の第 287 条が適用される彼または彼女の職員は、彼らの職務の過程で彼らが入手した情報または文書を漏らすことを要求されない。

146