法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

規則 (EU) 2016/679（一般データ保護規則）[参考訳・再訂版]
2018 年 4 月 22 日
明治大学法学部教授
夏 井 高 人＊＊＊
Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on theprotection of natural persons with regard to the processing of personal data and on the free movement ofsuch data, and repealing Directive 95/46/EC (General Data Protection Regulation)（OJ L 119, 4.5.2016,
p.1-88）のテキスト（英語版）に基づき、和訳を試みた。そのテキストは、下記の Eur-lex のWeb サイトから入手した。
http://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016R0679&from=EN[2018 年 4 月 12 日確認]

この一般データ保護規則(EU)2016/679（以下「GDPR」という。
）の参考訳・再訂版は、法と情報雑誌 2 巻 5 号 188～331 頁に掲載した GDPR 参考訳・改訂版について、その後の検討結果等を踏まえ、訳漏れの部分の補充、誤記や校正漏れの訂正は無論のこと、誤解等に基づく誤訳部分を改め、それが合理的であると判断される場合には他の EU 法令の参考訳中における訳語との統一性をできる限り維持しつつ、全面的に改訂を加えた再訂版である。
GDPR は、前文及び条文の 2 つの部分で構成されている。この参考訳・再訂版においては、
GDPR の前文及び条文の全文を訳出した。
この参考訳・再訂版においては、原則として直訳とした。直訳のままでは日本語として意
味の通らない部分や非常にわかりにくい部分に関しては、やむを得ず意訳とした。
訳語の選定及び参考文献等に関しては、前掲 GDPR 参考訳・改訂版の冒頭部分に記載のとおりである。ただし、この参考訳・再訂版においては、日本国の個人情報保護委員会において採用されている訳語にできるだけ準拠するように一定の修正を加えた。そのため、GDPR
参考訳・改訂版の訳語とは異なる訳語を用いている部分がある。
この参考訳・再訂版は、あくまでも GDPR の私的な和訳であり、関連分野の研究者のための参考として提供するものである。確定訳ではなく、現時点における検討結果の一部を示す
ものであるので、今後、必要に応じて改訂・修正が加えられる可能性がある。誤記等がある
ときは、随時、法と情報雑誌上においてその正誤を公表する。
1

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

この参考訳・再訂版に訳注はない。脚注は、全て原注である。
GDPR の前文と密接な関係のある EU の法令及び WP29 による運用指針並びに欧州委員会の重要な政策文書との対応関係は、以下のとおりである。
ここに列挙する EU の法令等は、法と情報雑誌においてその参考訳を公表したものを主体とするものであるが、網羅的ではない。法と情報雑誌（第 3 巻第 5 号まで）の中で参考訳を公表していないものについては、今後参考訳を公表する予定のものを含め、法令名の末尾に「[未出]」と表示して識別できるようにしてある。
GDPR 前文

関連する EU の法令

(1)

基本権憲章

(2)

規則(EU) 2016/399（シェンゲンボーダーコード）、規則(EU) 2016/1624、入国／出国シス
テム（EES）規則(EU) 2017/2226、VIS 規則(EC) No 767/2008、委員会決定 2008/602/EC、規則(EU) No 1052/2013 [未出](3)

個人データ保護指令 95/46/EC

(4)

基本権憲章

(5)

IMI 委員会決定 2008/49/EC、ITS 指令 2010/40/EU(7)

域内市場における立法の執行のための行政機関の間の協力に関する 1996 年 7 月 8 日の理事会規則[未出](9)

個人データ保護指令 95/46/EC(10)

個人データ保護指令 95/46/EC(11)

WP29 行政制裁に関する運用指針 [未出](13)

委員会勧告 C(2003) 1422[未出](17)

規則(EC) No 45/2001(19)

指令(EU) 2016/680、EPPO 理事会規則(EU) 2017/1939、Europol 規則(EU) 2016/794、理事会枠組み決定 2009/905/JHA
電子商取引指令 2000/31/EC、情報社会指令 2001/29/EC、視聴覚メディアサービス指令
2010/13/EU

(21)
(22)

e プライバシー指令 2002/58/EC(23)

eプライバシー指令2002/58/EC、委員会勧告98/257/EC[未出]、委員会勧告2001/310/EC[未出]、規則(EU) 2017/2394[未出]、規則(EC) No 2006/2004[未出]、消費者 ODR 規則(EU) No 524/2013[未出]、消費者 ADR 指令 2013/11/EU[未出](24)

e プライバシー指令 2002/58/EC(26)

電子識別規則 (EU) No 910/2014、委員会委任規則(EU) 2017/2055(30)

e プライバシー指令 2002/58/EC(31)

金融商品市場指令 2014/65/EU（MiFID II）、金融商品市場規則(EU) No 600/2014（MiFIR）、決済サービス指令(EU) 2015/2366（PSD2）、電子マネー指令 2009/110/EC、理事会決定 2009/917/JHA(32)

WP29 規則 2016/679 に基づく同意に関する運用指針 [未出]、情報社会指令 2001/29/

2

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）
EC、視聴覚メディアサービス指令 2010/13/EU(33)

WP29 規則 2016/679 に基づく同意に関する運用指針 [未出](34)

理事会決定 2008/615/JHA、理事会決定 2008/616/JHA(35)

指令 2011/24/EU [未出](36)

WP29 管理者または処理者の主監督機関の特定に関する運用指針 [未出](37)

指令(EU) 2016/680、EPPO 理事会規則(EU) 2017/1939、Europol 規則(EU) 2016/794(39)

指令 2013/40/EU、指令(EU)2017/541、WP29 規則 2016/679 に基づく透明性に関する運用指針 [未出](41)

2016 年改正欧州司法裁判所手続規則、2016 年改正欧州司法裁判所規程(42)

理事会指令 93/13/EEC [未出]、規則(EU) 2017/2394[未出]、規則(EC) No 2006/2004[未出]、消費者 ODR 規則(EU) No 524/2013[未出]、消費者 ADR 指令 2013/11/EU[未出](46)

INSPIRE 指令 2007/2/EC(47)

OLAF 規則(EC) No 1073/1999、e プライバシー指令 2002/58/EC(49)

NIS 指令(EU) 2016/1148、指令(EU)2017/541、ハイブリッドな脅威報告書（JOIN (2017)30、欧州評議会サイバー犯罪条約 ETS No.185(50)

指令2003/98/EC、指令2013/37/EU、指令(EU) 2016/680、規則(EC) No 1049/2001、EPPO
理事会規則(EU) 2017/1939、Europol 規則(EU) 2016/794、NIS 指令(EU) 2016/1148、指令(EU)2017/541(51)

基本権憲章、理事会決定2008/615/JHA、理事会決定2008/616/JHA、入国／出国システ
ム（EES）規則(EU) 2017/2226(52)

規則(EU) 2016/589、医療機器規則(EU) 2017/745 [未出]、指令 2011/24/EU [未出](53)

理事会規則(EC) No 2252/2004、規則(EC) No 444/2009(54)

規則(EC) No 1338/2008 [未出]

(55)

基本権憲章

(56)

基本権憲章

(57)

e プライバシー指令 2002/58/EC(58)

WP29 規則 2016/679 に基づく透明性に関する運用指針 [未出](60)

WP29 規則 2016/679 に基づく透明性に関する運用指針 [未出](61)

個人データ保護指令 95/46/EC(62)

個人データ保護指令 95/46/EC(63)

営業秘密指令(EU) 2016/943、情報社会指令 2001/29/EC(64)

電子識別規則 (EU) No 910/2014(68)

オンラインコンテント可搬性規則(EU) 2017/1128[未出]、WP29 データ可搬性の権利に関する運用指針[未出](70)WP29 規則 2016/670 の目的のための自動的な個人の判定及びプロファイリングに関する運用指針 [未出]、e プライバシー指令 2002/58/EC、指令 97/67/EC [未出](71)

WP29 規則 2016/670 の目的のための自動的な個人の判定及びプロファイリングに関する運用指針 [未出]、OLAF 規則(EC) No 1073/1999、規則(EU) No 1052/2013 [未出]3

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）
(73)

WP29 規則 2016/670 の目的のための自動的な個人の判定及びプロファイリングに関する運用指針 [未出]、基本権憲章、OLAF 規則(EC) No 1073/1999、EPPO 理事会規則(EU) 2017/1939、指令(EU) 2016/680(75)

電子識別規則 (EU) No 910/2014、NIS 指令(EU) 2016/1148、指令(EU)2017/541(77)

委員会決定 2008/597/EC、WP29 データ保護責任者（DPO）に関する運用指針 [未出](80)

e プライバシー指令 2002/58/EC(84)

WP29 データ保護影響評価（DPIA）等に関する運用指針 [未出](85)

電子識別規則 (EU) No 910/2014、NIS 指令(EU) 2016/1148、指令(EU)2017/541(86)

WP29 データ保護影響評価（DPIA）等に関する運用指針 [未出](89)

個人データ保護指令 95/46/EC、WP29 データ保護影響評価（DPIA）等に関する運用指針 [未出](90)-(95)

WP29 データ保護影響評価（DPIA）等に関する運用指針 [未出](97)

委員会決定 2008/597/EC、WP29 データ保護責任者（DPO）に関する運用指針 [未出](101)

規則(EU) No 1291/2013 [未出]、データ駆動型経済通知 COM(2014) 442 final(102)

委員会実装決定(EU) 2016/1250 [未出]

(104)

基本権憲章

(105)

欧州評議会個人データ保護条約 ETS No.108、同追加議定書 ETS No.181(106)

個人データ保護指令 95/46/EC、規則(EU) No 182/2011(108)

委員会通知 COM(2017) 7 final、委員会通知 COM(2018) 43 final(112)

金融商品市場指令 2014/65/EU（MiFID II）、金融商品市場規則(EU) No 600/2014（MiFIR）、決済サービス指令(EU) 2015/2366（PSD2）、電子マネー指令 2009/110/EC、理事会決定 2009/917/JHA、PNR 指令(EU) 2016/681、API 指令 2004/82/EC、ドーピングとの闘いに関する理事会決議 2012/C 169/03[未出](114)

委員会通知 COM(2017) 7 final、委員会通知 COM(2018) 43 final(115)

規則(EU) 2016/399（シェンゲンボーダーコード）、規則(EU) 2016/1624、入国／出国シス
テム（EES）規則(EU) 2017/2226、委員会決定 2008/602/EC、指令(EU) 2016/680、EPPO
理事会規則(EU) 2017/1939 、 Europol 規則(EU) 2016/794 、 理事会枠組み 決定2009/905/JHA、欧州評議会閣僚委員会勧告 No. R(95)13、欧州評議会閣僚委員

会勧告 No. R (87) 15(121)(124)-(128)

決定 No 1247/2002/EC
委員会通知 COM(2017) 7 final、WP29 管理者または処理者の主監督機関の特定に関する運用指針 [未出](129)

基本権憲章、WP29 行政制裁に関する運用指針 [未出](132)

委員会勧告 C(2003) 1422 [未出](135)

委員会通知 COM(2017) 7 final(136)

委員会通知 COM(2017) 7 final(139)

個人データ保護指令 95/46/EC

(141)

基本権憲章

4

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(143)-(146)2016 年改正欧州司法裁判所手続規則、2016 年改正欧州司法裁判所規程、2016 年改正
一般裁判所手続規則(147)

規則(EU) No 1215/2012 [未出](148)

基本権憲章、WP29 行政制裁に関する運用指針 [未出]

(149)

基本権憲章

(150)-(152)

WP29 行政制裁に関する運用指針 [未出](153)

基本権憲章、情報社会指令 2001/29/EC、視聴覚メディアサービス指令 2010/13/EU(154)

指令 2003/98/EC、指令 2013/37/EU、規則(EC) No 1049/2001、委員会決定 2011/833/EU(155)

規則(EU) 2016/589、委員会通知 COM(2008) 420 final [未出](156)

医療機器規則(EU) 2017/745 [未出]、規則(EU) No 536/2014 [未出]、指令 2011/24/EU [未
出]

(158)

基本権憲章

(161)

規則(EU) No 536/2014 [未出](162)

規則(EU) No 182/2011(163)

規則(EC) No 223/2009 [未出](164)

理事会決定 2013/488/EU [未出]、一般裁判所決定(EU) 2016/2387、Europol 規則(EU)2016/794、指令(EU) 2016/680、指令 2003/98/EC、指令 2013/37/EU、規則(EC) No
1049/2001、委員会決定 2011/833/EU

(165)

基本権憲章

(167)

規則(EU) No 182/2011、委員会勧告 C(2003) 1422 [未出](168)

電子識別規則 (EU) No 910/2014、委員会委任規則(EU) 2017/2055(170)

委員会通知 COM(2017) 7 final、委員会通知 COM(2018) 43 final(171)

個人データ保護指令 95/46/EC(172)

規則(EC) No 45/2001(173)

e プライバシー指令 2002/58/EC（この参考訳において特に考慮した事項）「criminal convictions and offences」は、厳密には正確ではないけれども、この参考訳・再訂版においては、「有罪判決及び犯罪行為」と訳すことにした。
「offences」は、有罪判決が確定する前の行為（被疑事実である行為）を含むものであるので、無罪の推定の原則上、これを「犯罪事実」と訳すことは、厳密には正しくない。無罪の推定の原則を重視する場合には、「offences」を「侵害行為」と訳さなければならない。
「specific measures」は、従前の参考訳においては、「特別の措置」または「明確な措置」と訳した。しかし、EU の他の関連法令における用例等と比較検討した上で、この参考訳・再訂版においては、「具体的な措置」と訳すことにした。
「language」は、一般的には、「言語」のことを指す。しかし、文書等の表現の態様を示す
5

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

場合には、「文言」と表現したほうが理解しやすいかもしれないが、EU の構成国のような多言語国家の場合、複数の言語が公用語または非公用語として併存して常用されている地域に
おいては、文書で使用される言語の選択それ自体が文言の明瞭さまたは平易さと直結する。
そこで、この参考訳・再訂版においては、文書等の表現の態様を示す趣旨で用いられている
ような場合を含め、「言語」との訳語で統一することにした。
「identity」は、この参考訳・再訂版においては、文脈により、「同一性」、「識別子」または「識別名」と訳し分けることにした。
「accreditation」及び「accredit」は、この参考訳・再訂版においては、慣例に従い、「認定」と訳すことにした。
（訳出済みの関連法令等及び参考文献）
欧州連合基本権憲章（2012/C 326/02）の参考訳は、法と情報雑誌 1 巻 2 号 1～33 頁にある。規則(EC) No 45/2001 の参考訳・改訂版は、法と情報雑誌 2 巻 5 号 111～146 頁にある。規則(EC) No
1049/2001 の参考訳は、法と情報雑誌 2 巻 3 号 102～118 頁にある。規則(EC) No 45/2001 の改正案の参考訳は、法と情報雑誌 2 巻 4 号 249～354 頁にある。指令 2002/58/EC の参考訳・改訂版は、法と情報雑誌 2 巻 5 号 158～187 頁にある。指令 2002/58/EC の改正案の参考訳は、法と情報雑誌 2 巻 4 号
195～248 頁にある。規則(EU) 2016/589 の参考訳は、法と情報雑誌 3 巻 5 号 131～165 頁にある。委
員会通知 COM(2018) 43 final の参考訳は、法と情報雑誌 3 巻 5 号 113～130 頁にある。委員会通知
COM(2017) 7 final の参考訳は、法と情報雑誌 2 巻 12 号 93～112 頁にある。規則(EU) No 182/2011 の参考訳は、法と情報雑誌 3 巻 5 号 166～177 頁にある。
欧州評議会個人データ保護条約 ETS No.108 の参考訳は、法と情報雑誌1 巻4 号1～20 頁にある。
欧州評議会個人データ保護条約 ETS No.108 の説明書の参考訳は、法と情報雑誌 1 巻 4 号 26～61
頁にある。欧州評議会個人データ保護条約追加議定書 ETS No.181 の参考訳は、法と情報雑誌 1 巻 4
号 21～25 頁にある。欧州評議会閣僚委員会勧告 No. R(95)13 の参考訳は、法と情報雑誌 1 巻 6 号
135～139 頁にある。欧州評議会閣僚委員会勧告 No. R (87) 15 の参考訳は、法と情報雑誌 1 巻 6 号
140～149 頁にある。
2016 年改正欧州司法裁判所手続規則の参考訳は法と情報雑誌 2 巻 9 号 201～282 頁にある。2016年改正欧州司法裁判所規程の参考訳は法と情報雑誌2 巻9 号283～303 頁にある。2016 年改正一般
裁判所手続規則の参考訳は、法と情報雑誌 2 巻 9 号 368～449 頁にある。
データ駆動型経済通知 COM(2014) 442 final の参考訳は、法と情報雑誌 3 巻 4 号 129～147 頁にある。情報社会指令 2001/29/EC の参考訳は、法と情報雑誌 2 巻 11 号 1～26 頁にある。視聴覚メディア
サービス指令 2010/13/EU の参考訳は、法と情報雑誌 2 巻 12 号 24～72 頁にある。EESC 意見書
2017/C 434/06 の参考訳は、法と情報雑誌 3 巻 1 号 151～170 頁にある。ロボット法の制定を求める欧州議会決議の参考訳は、法と情報雑誌 2 巻 5 号 438～492 頁にある。製造物責任に関する理事会指令 85/374/EEC の参考訳は、法と情報雑誌 2 巻 10 号 278～291 頁にある。データベース保護指令
96/9/EC の参考訳・改訂版は、法と情報雑誌 2 巻 12 号 73～92 頁にある。営業秘密指令(EU) 2016/943
6法と情報雑誌第 3 巻第 5 号（2018 年 5 月）の参考訳は、法と情報雑誌 2 巻 9 号 489～514 頁にある。INSPIRE 指令 2007/2/EC の参考訳は、法と情報雑誌 2 巻 9 号 1～25 頁にある。ITS 指令 2010/40/EU の参考訳は、法と情報雑誌 2 巻 9 号 27～
47 頁にある。指令2003/98/EC の参考訳は、法と情報雑誌2 巻9 号48～59 頁にある。指令2013/37/EUの参考訳は、法と情報雑誌 2 巻 9 号 60～76 頁にある。
金融商品市場規則(EU) No 600/2014（MiFIR）の参考訳は、法と情報雑誌 3 巻 4 号 1～79 頁にある。
金融商品市場指令 2014/65/EU（MiFID II）の参考訳は、法と情報雑誌 3 巻 3 号 1～175 頁にある。決済
サービス指令(EU) 2015/2366 の参考訳は、法と情報雑誌 3 巻 2 号 1～115 頁にある。委員会委任規則(EU) 2017/2055 の参考訳は、法と情報雑誌3 巻2 号116～139 頁にある。電子マネー指令2009/110/ECの参考訳は、法と情報雑誌 2 巻 12 号 1～23 頁にある。電子商取引指令 2000/31/EC の参考訳は、法と情報雑誌 3 巻 1 号 110～141 頁にある。電子識別規則 (EU) No 910/2014 の参考訳は、法と情報雑誌
2 巻 10 号 147～196 頁にある。指令(EU) 2017/1564 の参考訳は、法と情報雑誌 2 巻 11 号 27～41 頁にある。指令 2009/24/EC の参考訳は、法と情報雑誌 2 巻 11 号 51～62 頁にある。2006/115/EC の参考
訳は、法と情報雑誌 2 巻 11 号 63～76 頁にある。指令 2006/116/EC の参考訳は、法と情報雑誌 2 巻 11
号 77～87 頁にある。指令 2011/77/EU の参考訳は、法と情報雑誌 2 巻 11 号 88～90 頁にある。指令
2012/28/EU の参考訳は、法と情報雑誌 2 巻 11 号 105～120 頁にある。指令(EU) 2016/1034 の参考訳
は、法と情報雑誌 3 巻 3 号 176～180 頁にある。
EPPO 理事会規則(EU) 2017/1939 の参考訳は、法と情報雑誌 3 巻 1 号 1～91 頁にある。指令(EU)2017/1939 の参考訳は、法と情報雑誌 3 巻 1 号 92～109 頁にある。Eurojust 決定 2009/426/JHA の参考訳は、法と情報雑誌 2 巻 4 号 36～80 頁にある。Europol 規則(EU) 2016/794 の参考訳は、法と情報
雑誌 2 巻 3 号 1～101 頁にある。OLAF 規則(EU, Euratom) No 883/2013 の参考訳は、法と情報雑誌 2
巻 4 号 1～35 頁にある。警察指令 (EU) 2016/680 の参考訳は、法と情報雑誌 2 巻 1 号 41～140 頁にある。NIS 指令(EU) 2016/1148 の参考訳・改訂版は、法と情報雑誌 2 巻 8 号 120～163 頁にある。指令
2013/40/EU の参考訳・改訂版は、法と情報雑誌 2 巻 8 号 164～185 頁にある。規則(EU) 2016/399（シェンゲンボーダーコード）の参考訳は、法と情報雑誌 2 巻 7 号 1～82 頁にある。PNR 指令(EU)2016/681 の参考訳は、法と情報雑誌 2 巻 3 号 119～155 頁にある。API 指令 2004/82/EC の参考訳は法と情報雑誌2 巻5 号60～70 頁にある。入国／出国システム(EES)規則(EU) 2017/2226 の参考訳は、
法と情報雑誌 3 巻 3 号 201～300 頁にある。VIS 規則(EC) No 767/2008 の参考訳は、法と情報雑誌 2
巻 5 号 1～59 頁にある。理事会枠組み決定 2009/905/JHA の参考訳は、法と情報雑誌 2 巻 8 号 41～
47 頁にある。サイバーセキュリティ通知 JOIN(2017) 450 final の参考訳は、法と情報雑誌 2 巻 12 号 113～147 頁にある。
この参考訳・再訂版を作成するに際しては、上記各参考訳の冒頭部分に掲記の各文献等を参考に
した。
＊＊＊

7

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

個人データ処理と関連する自然人の保護に関する、及び、そのデータの支障のない移転に関する、並びに、指令 95/46/EC を廃止する
欧州議会及び理事会の 2016 年 4 月 27 日の規則(EU) 2016/679（一般データ保護規則）
欧州議会及び欧州連合の理事会は、
欧州連合の機能に関する条約、及び、とりわけ、同条約の第 16 条に鑑み、欧州委員会からの提案に鑑み、立法案を構成国の議会に送付した後、欧州経済社会委員会の意見に鑑み 1、地域委員会の意見に鑑み 2、
通常の立法手続に従って審議し 3、以下のとおりであるので、本規則を採択する。
(1) 個人データ処理と関連する自然人の保護は、基本的な権利の 1 つである。欧州連合基本
権憲章
（以下
「憲章」
という。
）
の第8 条第1 項及び欧州連合の機能に関する条約（以下「TFEU」という。
）の第 16 条第 1 項は、全ての者が彼または彼女に関する個人データの保護の権利をもつと定めている。
(2) 自然人の個人データ処理と関連する自然人の保護の基本原則及びそれと関連する法令は、その国籍及び居住地がいかなるものであれ、自然人の基本的な権利及び自由を尊重し、とりわけ、その個人データ保護の権利を尊重する。本規則は、自由、安全及び正義の領域の達成
及び経済共同体の達成、経済的及び社会的な成長、域内市場における経済の強化及び収斂、並びに、自然人の福利に貢献しようとするものである。
(3) 欧州議会及び理事会の指令 95/46/EC4は、処理活動と関連する自然人の基本的な権利及び自由の保護を整合性のとれたものとすること、そして、構成国間における個人データの支障のない移転を確保することを求める。
(4) 個人データ処理は、人間に奉仕するために設計されるべきである。個人データ保護の権

1

OJ C 229, 31.7.2012, p. 90.
OJ C 391, 18.12.2012, p. 127.
3
欧州議会の 2014 年 3 月 12 日付け意見書（官報未登載）及び第 1 読会における欧州連合理事会の 2016
年 4 月 8 日付け意見書（官報未登載）及び欧州議会の 2016 年 4 月 14 日付け意見書
4
個人データ処理と関連する個人の保護に関する、及び、そのデータの支障のない移動に関する欧州議会及び理事会の 1995 年 10 月 24 日の指令 95/46/EC（OJ L 281, 23.11.1995, p.31）
82

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

利は、絶対的な権利ではない；すなわち、それは、比例性原則に従い、社会におけるその機能との関係において判断されなければならず、かつ、他の基本的な権利とバランスのとれたものでなければならない。本規則は、全ての基本的な権利を尊重し、そして、憲章によって認められ、諸条約に掲げられている自由及び基本原則、とりわけ、私的な家庭生活、住居及び通信の尊重、個人データの保護、思想、信条及び信教の自由、表現及び情報伝達の自由、事業活動を営む自由、実効的な救済及び公正な裁判を受ける権利、並びに、文化上、宗教上
及び言語上の多様性を尊重する。
(5) 域内市場の稼働から生ずる経済及び社会の統合は、個人データの国境を越える移転の大規模な増加を導いた。欧州連合全域において、自然人、団体及び事業者を含め、公的な行為
主体及び民間の行為主体の間における個人データの交換が増加した。構成国の国内機関は、
欧州連合法によって、構成国自身の職務を遂行できるようにするため、または、別の構成国の機関の代わりにその職務を行うことができるようにするため、協力すること、及び、個人
データを交換することが求められている。
(6) 急速な技術発展とグローバル化は、個人データ保護に対して新たな検討課題をもたらした。個人データの収集及び共有の規模は、大きく増加した。技術は、私企業と行政機関のいずれに対しても、その活動の遂行のために、かつてない規模で個人データを利用できるようにしている。自然人は、個人情報を公開で、グローバルに利用する機会を増加させている。
技術は、経済と社会生活の両方を変容させてきたし、更に、高いレベルの個人データ保護を確保しつつ、欧州連合内における個人データの支障のない移転と第三国及び国際機関に対する移転を更に促進しなければならない。
(7) 域内市場全域にわたりデジタル経済を発展させることができるようにする信頼を形成することの重要性に鑑み、それらの発展は、強力な執行によって支えられた欧州連合内における強力かつより一貫性のある個人データ保護の枠組みを求める。自然人は、彼ら自身の個人
データの支配をもつべきである。自然人、事業者及び行政機関のための法的安定性及び実務上の確実性は、拡大されなければならない。
(8) 構成国法によるその法令の仕様または制限を本規則が定める場合、構成国は、その一貫性を保つため、及び、その法令の適用を受ける者にとって国内条項を理解しやすくするために必要がある範囲内で、本規則の諸要素を国内法の中に組み込むことができる。
(9) 指令 95/46/EC の目的及び基本原則は、今なお正しいものであるが、欧州連合全域における個人データ保護の実装の断片化、法的な不安定性、または、とりわけ、オンライン上の行
為に関して、自然人の保護に対する重大なリスクがあるという一般的な認識が広がることを防止できなかった。構成国内における個人データ処理に関し、自然人の権利及び自由、とりわけ個人データ保護の権利のレベルに相違があることは、欧州連合全域にわたる個人データの支障のない移転を妨げ得る。それゆえ、それらの相違は、欧州連合のレベルでの経済活動の遂行の障碍を構成し得るものであり、競争を歪め、そして、欧州連合法に基づくその職責遂行において機関を害するものとなり得る。そのような保護のレベルの相違は、指令
95/46/EC の実装及び適用における相違が存在することによるものである。
(10) 一貫性があり高いレベルの自然人の保護を確保するため、そして、欧州連合内における個人データの流れの障碍を除去するために、そのデータの処理と関連する自然人の権利及び9

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

自由の保護のレベルは、全ての構成国において均等でなければならない。欧州連合全域において、個人データ処理と関連する自然人の基本的な権利及び自由の保護のための法令の一貫性があり均質な適用が確保されなければならない。法律上の義務の遵守のための個人データ
処理、公共の利益において行われる職務、または、管理者に与えられた公的な権限の行使において行われる職務の遂行のための個人データ処理に関し、構成国は、本規則の規定の適用の細則を定める国内法上の条項を維持または導入することが認められなければならない。指令 95/46/EC を実装する一般的で水平的なデータ保護法と併せ、構成国は、より細かな条項を必要とする分野における幾つかの部門別の法律をもっている。本規則は、特別類型の個人データ（以下「機微のデータ」という。
）の処理に関するものを含め、構成国がその法令を定める余地も与えている。その範囲内で、本規則は、個人データ処理が適法であることの条件をより詳細に定めることを含め、特別な処理をする状況のための前提となる事情を定める構成国法を排除しない。
(11) 欧州連合全域における個人データの実効的な保護は、データ主体の権利及び個人データを処理する者とその処理を決定する者の義務を強化し、かつ、その詳細を定めること、並びに、構成国内において個人データ保護法令の遵守を監視し、確保するための均等な権限及び違反行為に対する均等な制裁を求める。
(12) TFEU の第 16 条第 2 項は、欧州議会及び理事会に対し、個人データ処理と関連する自然
人の保護に関する法令及び個人データの支障のない移動に関する法令を制定することを命じている。
(13) 欧州連合全域において自然人のための一貫性のあるレベルの保護を確保し、かつ、域内
市場内における個人データの支障のない移動を妨げる格差を防止するため、マイクロ企業及び中小企業を含む事業者に対して法的安定性と透明性を定め、全ての構成国内の自然人に対して同じレベルの法的に執行可能な権利、そして、管理者及び処理者の義務と責任を定め、個人データ処理の一貫性のある監視、及び、全ての構成国において均等な制裁、並びに、異なる構成国の監督機関の間における効果的な協力を確保するための規則が必要である。域内
市場が適正に稼働するためには、個人データ処理と関連する自然人の保護と関係する理由によって、欧州連合内における個人データの支障のない移動が制限または禁止されないことが求められる。マイクロ企業及び中小企業の特殊事情を考慮に入れるため、本規則は、記録の保管に関し、従業員数 250 名未満の組織のための特例を含める。加えて、欧州連合の機関及び組織並びに構成国及びその監督機関は、本規則の適用に際し、マイクロ企業及び中小企業の特別の必要性を考慮に入れることが推奨される。マイクロ企業及び中小企業の概念については、委員会勧告 2003/361/EC1の別紙の第 2 条に示すとおりである。
(14) 本規則によって与えられる保護は、その国籍及び居住地がいかなるものであれ、自然人の個人データ処理との関係において、自然人に対して適用される。本規則は、法人の名称及び形態並びに法人の連絡先を含め、法人と関係する個人データ処理及び特に法人として設立された事業者と関係する個人データ処理をその適用対象としない。
(15) 抜け道という重大なリスクがつくり出されることを防止するため、自然人の保護は、技マイクロ企業、小企業及び中規模企業の定義に関する 2003 年 5 月 6 日の委員会勧告（C(2003) 1422）（OJ L 124, 20.5.2003, p.36）
101

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

術的に中立でなければならず、かつ、用いられる技術に依存するものであってはならない。
自然人の保護は、自動的な手段による個人データ処理、及び、その個人データがファイリン
グシステムに含められている場合または含められる予定である場合には、手作業の処理による個人データ処理に適用される。特定の基準に従って構成されていないファイルもしくは一群のファイル及びその表紙は、本規則の適用範囲内にない。
(16) 本規則は、国家安全保障と関係する活動のような欧州連合法の適用範囲外にある活動と関連する基本的な権利及び自由の保護の問題並びに個人データの支障のない流れの問題には適用されない。欧州連合の共通の外交政策及び安全保障政策との関連においてその活動が行われる場合、本規則は、構成国による個人データ処理に対して適用されない。
(17) 欧州議会及び理事会の規則(EC) No 45/20011は、欧州連合の機関、組織、事務局及び部局
による個人データ処理に適用される。規則(EC) No 45/2001 及びそのような個人データ処理に適用可能な欧州連合の法的行為は、本規則に定める基本原則及び規定に合わせて調整されなければならず、また、本規則に照らして適用されなければならない。欧州連合における強固かつ一貫性のあるデータ保護の枠組みを定めるため、本規則の採択の後、本規則と同時に適用できるようにするため、規則(EC) No 45/2001 の必要な調整が行われなければならない。
(18) 本規則は、純粋に私的な行為または家庭内の行為の過程における自然人による個人デー
タ処理であって、職業活動または商業活動とは何らの関係もないものには適用されない。私的な行為または家庭内の行為は、手紙のやりとり及び宛名の保管、または、そのような行為の過程で行われるソーシャルネットワーキング及びオンラインの行為を含み得る。ただし、そのような私的な行為または家庭内の行為のために個人データ処理の手段を提供する管理者または処理者に対しては、本規則が適用される。
(19) 公共の安全への脅威に対する防護及びその脅威の抑止を含め、犯罪行為の防止、捜査、
検知もしくは訴追または刑罰の執行の目的のため、並びに、そのデータの支障のない移動の目的のための職務権限を有する機関による個人データ処理と関連する自然人の保護は、欧州連合の特別の法的行為に服する。それゆえ、本規則は、それらの目的のための処理行為に適用してはならない。ただし、本規則に基づく行政機関による個人データ処理は、それらの目的のために用いられるときは、欧州連合の更に特別の法的行為、すなわち、欧州議会及び理事会の指令(EU) 2016/6802によって規律される。構成国は、それが欧州連合法の適用範囲内にある限り、それらの別の目的のための個人データ処理が本規則の適用範囲内にあるようにす
るため、指令(EU) 2016/680 の意味における職務権限を有する機関に対し、公共の安全への脅
威に対する防護及びその脅威の防止を含め、犯罪行為の防止、捜査、検知もしくは訴追または刑罰の執行の目的で行われる必要のない職務を委任できる。

欧州共同体の機関及び組織による個人データ処理と関連する個人の保護に関する、及び、そのデータの支障のない移動に関する欧州議会及び理事会の 2000 年 11 月 18 日の規則(EC) No 45/2001（OJ L 8,
12.1.2001, p.1）
2
犯罪行為の防止、捜査、探知もしくは訴追または刑罰の執行のための職務権限を有する機関による個人
データ処理と関連する自然人の保護、及び、そのデータの支障のない移動に関する、並びに、理事会枠組
み決定 2008/977/JHA を廃止する 2016 年 4 月 27 日の欧州議会及び理事会の指令(EU) 2016/680（この官報の 89 頁参照）
111

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

本規則の適用範囲内にある目的のためのそれらの職務権限を有する機関による個人デー
タ処理に関して、構成国は、本規則の規定の適用を調整するためのより特則的な条項を維持し、または、それを導入できる。そのような条項は、それぞれの構成国の国家体制上、国家組織上及び行政上の構造を考慮に入れた上で、それらの別の目的のための職務権限を有する機関による個人データ処理について、より詳細に特別の要件を定めることができる。民間組
織による個人データ処理が本規則の適用範囲内にある場合、本規則は、そのような制限が、公共の安全への脅威に対する防護及びその脅威の防止を含め、公共の安全、犯罪行為の防止、捜査、検知もしくは訴追または刑罰の執行を含む特別に重要な利益の防護のために、民主社会において必要であり、かつ、比例的な措置であるときは、構成国に対し、特別の条件の下で、法律に基づき、一定の義務と権利を制限できることを定めなければならない。これは、
例えば、資金洗浄禁止の枠組みまたはフォレンジック調査機関の活動と関連するものである。
(20) 本規則が、就中、裁判所及びその他の司法機関の活動に対して適用されるのとは別に、
欧州連合法または構成国法は、裁判所及びその他の司法機関による個人データ処理と関連する処理業務及び処理手続を定めることができる。判決を含め、その司法上の職務の遂行における司法権の独立を防護するため、裁判所がその司法上の権能において行動する場合における個人データ処理に対しては、監督機関の職務権限が及ぶものとしてはならない。構成国の司法制度内にある特別の組織に対してそのようなデータ処理業務の監督を委任できるものとしなければならない。その組織は、とりわけ、本規則の規定の遵守を確保し、司法機関の構成員の間に、本規則に基づく司法機関の義務の認識を拡大し、そして、そのようなデータ処理業務と関連する不服申立てを取り扱わなければならない。
(21) 本規則は、欧州議会及び理事会の指令 2000/31/EC1の適用、とりわけ、同指令の第 12 条
ないし第 15 条に定める中間介在者であるサービスプロバイダの法的責任に関する法令の適用を妨げない。同指令は、構成国間における情報社会サービスの支障のない移動を確保することによって、域内市場の適正な稼働に貢献することを求めるものである。
(22) 欧州連合内の管理者または処理者の事業所の活動の過程における個人データ処理は、その処理それ自体が欧州連合内で行われたか否かに拘らず、本規則に従って行われなければならない。事業所とは、確実な拠点を通じて行われる実効的かつ現実の活動の実施を意味する。
そのような拠点の法的形態、その支店または子会社を通じて法人格をもつか否かは、この点に関する判断要素とならない。
(23) 自然人が本規則に基づいて与えられる保護を妨げられないことを確保するために、欧州連合内に設けられていない管理者または処理者による欧州連合内のデータ主体の個人デー
タ処理は、その処理行為がそのようなデータ主体に対する物品または役務の提供と関連する場合には、決済と関係するか否かとは無関係に、本規則に服さなければならない。欧州連合
内のデータ主体に対してそのような管理者または処理者が物品または役務を提供しているか否かを判断するために、欧州連合内の 1 または複数の構成国内のデータ主体に対してその管理者または処理者が役務を提供しようとする意図が明確かどうかを確認しなければならない。管理者、処理者またはその中間介在者の欧州連合内の Web サイト、電子メールアドレ
域内市場における情報社会サービスの一定の法的側面とりわけ電子商取引に関する欧州議会及び理事
会の 2000 年 6 月 8 日の指令 2000/31/EC（電子商取引指令）（OJ L 178, 17.7.2000, p.1）
121

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）スまたはその他の連絡先へのアクセスが容易ではないということ、または、当該管理者が設けられている第三国において一般的に用いられている言語が使用されているということだ
けでは、そのような意図を確認するためには不十分であるが、1 または複数の構成国内で一般的に用いられている言語及び通貨を用いて当該別の言語による物品及び役務の注文ができること、または、欧州連合内に居住する消費者または利用者に関する言及があることといったような要素は、その管理者が欧州連合内のデータ主体に対して物品または役務を提供する予定があることを明確にし得るものである。
(24) 欧州連合内に設けられていない管理者または処理者による欧州連合内のデータ主体の個人データ処理は、そのようなデータ主体の行動の監視と関連する場合においても、そのデータ主体の行動が欧州連合内で行われるものである限り、本規則に服さなければならない。
処理行為がデータ主体の行動の監視と考えられ得るか否かを判断するためには、とりわけ、
彼もしくは彼女に関連する判定をするため、または、彼もしくは彼女の個人的な嗜好、行動
及び傾向を分析または予測するために、自然人のプロファイリングを構成する個人データ処理技術が後に使用される可能性を含め、自然人がインターネット上で追跡されているかどうかを確認しなければならない。
(25) 国際法の効力によって構成国法が適用される場合においても、欧州連合内に設けられていない管理者に対し、構成国の大使館または領事館のような場所において、本規則が適用されなければならない。
(26) データ保護の基本原則は、識別された自然人または識別可能な自然人に関する全ての情報に対して適用されなければならない。付加的な情報の利用によって自然人に割り当てられ得る仮名化された個人データは、識別可能な自然人に関する情報として判断されなければならない。ある自然人が識別可能であるかどうかを判定するためには、選別のような、自然人を直接または間接に識別するために管理者またはそれ以外の者によって用いられる合理的な可能性のある全ての手段を考慮に入れなければならない。自然人を識別するために手段が用いられる合理的な可能性があるか否かを確認するためには、処理の時点において利用可能な技術及び技術の発展を考慮に入れた上で、識別のために要する費用及び時間量のような、全ての客観的な要素を考慮に入れなければならない。それゆえ、データ保護の基本原則は、
匿名情報、すなわち、識別された自然人または識別可能な自然人との関係をもたない情報、
または、データ主体を識別できないようにするような態様で匿名化された個人データに対しては、適用されない。本規則は、それゆえ、統計の目的または調査研究の目的を含め、そのような匿名情報の処理に関するものではない。
(27) 本規則は、死亡した者の個人データには適用されない。構成国は、死亡した者の個人データ処理に関する規定を定めることができる。
(28) 個人データに仮名化を適用することは、関係するデータ主体に対するリスクを削減させ得るものであり、また、管理者及び処理者が彼らのデータ保護上の義務に適合することを助けるものである。本規則における「仮名化」の明示の導入は、データ保護のためのそれ以外の手段を排除することを意図するものではない。
(29) 個人データを処理する際に仮名化を適用するインセンティブをつくり出すために、一般的な分析を認めることとは別に、関係する処理の目的のために、本規則が実装されること、
13

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

及び、特定のデータ主体に対して個人データを割り当てるための付加的な情報が別個に保管されることを確保するために必要となる技術上の措置及び組織上の措置を当該管理者が講じたときは、同じ管理者の範囲内において、仮名化の手段を利用できるものとしなければならない。個人データを処理する管理者は、同じの管理者の下で承認を受けた者を表示しなけ
ればならない。
(30) 自然人は、インターネットプロトコルアドレス、クッキー識別子、または、無線識別タ
グのようなその他の識別子といったような、彼らの装置、アプリケーション、ツール及びプロトコルによって提供されるオンライン識別子と関連付けられ得る。これは、とりわけ、サーバによって受信されるユニークな識別子及びそれ以外の情報と組み合わされるときは、自然人のプロファイルをつくり出し、そして、自然人を識別するために用いられる追跡の余地を残し得るものである。
(31) 税務当局及び税関当局、金融情報機関、独立行政機関、または、証券市場の規制及び監視の職責をもつ金融監視当局のような、それらの機関の公的な任務を実施すべき法的義務に従って個人データの開示を受ける行政機関は、それらの機関が、欧州連合法または構成国法に従い、一般的な利益における特別の調査を行うために必要な個人データを取得する場合、個人データの取得者とはみなされない。そのような行政機関から送られるデータ開示要請は、
常に、書面により、理由を付し、かつ、個別的なものでなければならず、かつ、ファイリン
グシステム全体にかかわるものであってはならず、かつ、ファイリングシステムへの相互接続となるものであってもならない。それらの行政機関による個人データ処理は、その処理の目的に従い、適用可能なデータ保護法令を遵守するものでなければならない。
(32) 同意は、電子的な手段による場合を含め、書面による陳述または口頭による陳述のように、彼または彼女と関連する個人データ処理に対するデータ主体の合意の、任意に与えられ、特定され、事前に説明を受け、不明瞭ではない表示を構成する明らかに肯定的な行為によって与えられるものとしなければならない。この同意は、インターネット Web サイトを訪問する際にボックスをチェックすること、情報社会サービスのための技術的な設定を選択すること、または、この文脈において、彼または彼女の個人データの予定された処理についてのデータ主体の承諾を明確に示す上記以外の陳述または行為を含み得る。それゆえ、沈黙、予めチェック済みのボックスまたは不作為は、同意を構成するものとしてはならない。同意は、同じ目的のために行われる全ての処理活動を包摂しなければならない。処理が複数の目的をもつ場合、同意は、それらの全ての目的に対して与えられなければならない。データ主体の同意が電子的な手段による要求の後に与えられる場合、その要求は、明確であり、理解しやすく、かつ、提供されるサービスの利用を不必要に損なわないものでなければならない。
(33) 科学研究の目的のための個人データ処理の目的をそのデータの取得の時点で完全に特定することは、しばしば、不可能なことである。それゆえ、データ主体は、科学研究のための承認された倫理基準が保たれている場合、一定の分野の科学研究に対して同意を与えることが認められる。データ主体は、予定されている目的が許す範囲内で、一定の分野の科学研
究のみ、または、その一部分のみに対して同意を与える機会をもつものとしなければならない。
(34) 遺伝子データは、自然人の、受け継がれまたは獲得された遺伝的特性に関する個人デー
14

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

タとして定義される。それは、当の自然人から得られた生化学資料の分析結果、とりわけ、染色体、デオキシリボ核酸（DNA）またはリボ核酸（RNA）の分析の結果、または、それらと均等の情報を得ることのできる他の要素の分析結果である。
(35) 健康に関する個人データは、データ主体の健康状態と関係のあるデータであって、デー
タ主体の過去、現在及び未来の身体状態または精神状態に関する情報を明らかにする全てのデータを含む。このデータは、欧州議会及び理事会の指令 2011/24/EU1に示す医療サービスのための当該自然人の登録過程において、または、その医療サービスの当該自然に対する提供の過程において収集されるその自然人に関する情報；医療上の目的で自然人をユニークに識別するために自然人に対して特別に割り当てられた番号、シンボルまたは項目；遺伝子デー
タ及び生化学的資料を含め、身体の一部または身体組成物の試験もしくは検査から得られる
情報；並びに、例えば、医師その他の医療専門職、病院、医療機器または試験管内での診療検査のような当該情報の情報源の別を問わず、例えば、データ主体の疾病、障害、疾病リス
ク、病歴、診療治療、精神的状態または生体医療上の状態を示す全ての情報を含む。
(36) 欧州連合内における管理者の主たる事業所は、欧州連合内におけるその中枢機関の所在
地としなければならない。ただし、個人データ処理の目的及び方法の決定が欧州連合内の管理者の別の事業所において行われる場合を除く。この場合、当該別の事業所が主たる事業所とみなされる。欧州連合内における管理者の主たる事業所は、客観的な基準に従って判断されなければならず、また、確実な拠点を通じて、処理の目的及び方法に関する主要な判断事
項に関する決定をするという管理行為が実効的かつ現実になされていることを示すものとしなければならない。その基準は、個人データ処理が当該の場所で行われているか否かには依拠しない。個人データ処理または処理活動のための技術的手段及び技術が存在すること及びそれが利用されていることは、それ自体としては、主たる事業所を組成するものではなく、それゆえ、そのことは、主たる事業所の判断基準とならない。処理者の主たる事業所は、欧州連合内における中枢機関の所在地とし、または、欧州連合内に中枢機関が存在しない場合、
欧州連合内において主要な処理活動が行われる場所とすべきである。管理者と処理者の両者が関与する場合、管理者が主たる事業所をもつ構成国の監督機関は、主監督機関であり続けるが、処理者の監督機関は、関係監督機関とみなされ、そして、当該監督機関は、本規則によって定められる協力手続に参加しなければならない。いずれの場合においても、処理者が1 または複数の事業所をもつ場合、その構成国の監督機関らは、決定書案が当該管理者にのみ関係するものである場合には、関係監督機関とはみなされない。処理が事業者グループによって行われる場合、処理の目的及び方法が別の事業者によって決定される場合を除き、支配権をもつ事業者の主たる事業所がその事業者グループの主たる事業所とみなされる。
(37) 事業者グループは、支配権をもつ事業者とその事業者による支配を受ける事業者とを包含ものであり、支配権をもつ事業者は、例えば、所有関係、資金関係によって、または、他の事業者を統治する規則の力によって、もしくは、実装される個人データ保護の規定上の権限によって、他の事業者に対して支配的な影響力を及ぼすことのできる企業である。その事業者グループと提携している事業者の個人データ処理を管理する事業者は、それらの事業者
国境を越える医療における患者の権利の適用に関する欧州議会及び理事会の 2011 年 3 月 9 日の指令
2011/24/EU（OJ L 88, 4.4.2011, p.45）
151

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）と共に、事業者グループの一員とみなされる。
(38) 子どもは、個人データ処理と関連するリスク、結果及び関係する安全性確保措置、並びに、彼らの権利について十分に認識できないかもしれないので、彼らの個人データに関して特別の保護を享受する。とりわけ、子供に対して直接に提示されるサービスを利用する場合、マーケティングの目的、その子どもに関するパーソナリティもしくは個人プロファイルの作成の目的及び個人データの収集の目的のための子供の個人データの利用に対して、そのような特別の保護が適用されなければならない。子どもに対して直接に提供される役務の防止の過程またはそれに関する相談の過程においては、親権を有する者の同意を要しない。
(39) いかなる個人データ処理も適法かつ公正でなければならない。彼らに関する個人データが収集され、利用され、調査され、または、それら以外の処理をされていること、及び、どの範囲の個人データが処理されており、または、処理されることになるのかが、自然人に対して明らかにされなければならない。透明性の原則は、それらの個人データ処理と関連する
情報及び通信に容易にアクセスできること及び容易に理解できること、そして、明確で平易な言語が用いられることを要求する。この基本原則は、とりわけ、管理者の識別名及び処理の目的、並びに、関係する自然人に関する公正かつ透明性のある処理を確保し、そして、処理されている自然人に関する個人データの確認及び連絡を得る彼らの権利を確保するための別の情報についての、データ主体に対する情報提供と関係している。自然人は、個人デー
タ処理と関連するリスク、法令、安全性確保措置及び権利、並びに、その処理と関連する彼らの権利をどのように行使するかについて、知らされなければならない。とりわけ、個人データを処理するための特定の目的は、その個人データの収集の時点において、明示のものであり、正当なものであり、かつ、確定されたものでなければならない。個人データは、それが処理される目的のために十分であり、関連性があり、それに必要な範囲に限定されるものでなければならない。このことは、とりわけ、個人データが記録保存される期間が厳格にミニマムな範囲に制限されることを確保することを求める。個人データは、その処理の目的が他の手段によっては合理的に満たされない場合においてのみ、処理されるものとしなければならない。個人データが必要な範囲を超えて保存されないことを確保するために、消去または定期的な見直しのための期限が管理者によって設けられなければならない。不正確な個人データが訂正または削除されることを確保するための全ての合理的な手立てが講じられなければならない。個人データは、個人データ及び処理に用いられる装置に対する無権限のア
クセスまたはその無権限使用に防止に関するものを含め、個人データの適切な安全性及び機密性を確保する態様で、処理されなければならない。
(40) 処理が適法であるものとするために、個人データは、関係するデータ主体の同意に基づいて、または、管理者が服すべき法的義務遵守のための必要性、もしくは、データ主体が当事者となっている契約の履行のための必要性、または、契約の締結に入る前のデータ主体の申込みの時点で手立てを講ずるための場合を含め、データ主体の同意以外の、本規則の中で、もしくは、本規則に示す欧州連合法または構成国法の中で法律によって定められる幾つかの正当化根拠に基づいて、処理されなければならない。
(41) 本規則が法的根拠または立法措置に言及する場合、それは、関係構成国の憲法秩序による要件を妨げることなく、議会によって採択される立法行為を必ずしも要求するものではな
16

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）い。ただし、そのような法的根拠または立法措置は、欧州司法裁判所（以下「司法裁判所」という。
）及び欧州人権裁判所の判例法に従い、明確かつ正確であることを要し、かつ、その適用は、それに服する者にとって予測可能なものでなければならない。
(42) 処理がデータ主体の同意に基づく場合、管理者は、そのデータ主体がその処理業務に対して同意を与えたということを説明できなければならない。とりわけ、別の事項に関する書
面上の宣言の中においては、その安全性確保措置は、同意が与えられることになるという事
実及びその同意が与えられる範囲についてデータ主体が気づくことを確保しなければならない。理事会指令 93/13/EEC 1に従い、管理者によって事前に書式化された同意の宣言は、理解しやすく、利用しやすい方式により、明瞭かつ平易な言語を用いて示されなければならず、
かつ、不公正な契約条件を含むものであってはならない。通知される同意に関し、そのデー
タ主体は、少なくとも、管理者の同一性、及び、その個人データについて予定されている処理の目的を認識していなければならない。データ主体が真正または任意の選択肢をもたない
場合、または、不利益を受けずにその同意を拒否または撤回できない場合、その同意は、任意に与えられたものとはみなされない。
(43) 同意が任意に与えられることを確保するために、データ主体と管理者との間に明確なアンバランスが存在する特別な場合、とりわけ、管理者が行政機関である場合において、そうであるがゆえに、当該特殊な状況全体からみて、同意が任意に与えられる見込みがないような場合には、その同意は、個人データを処理するための有効な法的根拠を提供するものとはならない。個々の場合に個別に同意することが適切であるにも拘らず、異なる個人データ処
理業務毎に分けて同意を与えることが認められない場合、または、役務提供の場合を含め、その契約の履行のためにそのような同意を必要としないのにも拘らず、契約の履行が同意に依拠している場合、そのような同意は、任意に与えられたものではないと推定される。
(44) 契約の過程において必要となる場合、または、契約の締結に入る意図の場合、その処理は適法である。
(45) 管理者が服すべき法的義務に従って処理が行われる場合、または、公共の利益において、
もしくは、公的な権限の行使において行われる職務の遂行のために処理が必要となる場合、その処理は、欧州連合法または構成国法に根拠をもつものとしなければならない。本規則は、個々の処理に関する特別の法律を要求しない。管理者が服すべき法的義務に基づく幾つかの処理業務のための根拠として、または、公共の利益において、もしくは、公的な権限の行使
において行われる職務の遂行のために処理が必要となる場合の根拠として、法律は、十分なものであろう。その処理の目的を決定するのも欧州連合法または構成国法でなければならない。更に、その法律は、個人データ処理の適法性を規律する本規則の一般的な要件の細則を定め、管理者、処理の対象となる個人データの種類、関係するデータ主体、個人データの開示を受けることができる組織、目的の制限、記録保存の期間を決定するための詳細を定め、並びに、上記以外の適法かつ公正な処理を確保するための措置を定めることができる。欧州連合法または構成国法は、公共の利益において、もしくは、公的な権限の行使において行われる職務を遂行する管理者が、行政機関またはそれ以外の公法によって規律される自然人も消費者契約における不公正な契約条件に関する 1993 年 4 月 5 日の理事会指令 93/13/EEC（OJ L 95,
21.4.1993, p.29）
171

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

しくは法人でなければならないかどうか、または、公衆衛生や社会保障のような医療上の目的の場合並びに専門職の団体のような私法による公衆衛生サービスの管理の場合を含め、どのような処理が公共の利益によるものとなるかについても定めなければならない。
(46) 個人データ処理は、データ主体の生命または他の自然人の生命にとって本質的な利益を保護するために必要である場合、適法なものとみなされる。他の自然人の生存の利益を根拠とする個人データ処理は、原則として、その処理が、他の法的根拠に基づき得ないことが明白である場合においてのみ、行われるものとしなければならない。例えば、感染症及びその感染域の監視を含め、人道上の目的のために処理が必要となる場合、または、人道上の緊急性のある状況下にある場合、とりわけ、自然災害や人為的な災害の状況下にある場合のように、幾つかの種類の処理では、公共の利益及びデータ主体の生存の利益の両者が重要な根拠となり得る。
(47) 個人データの開示を受け得る管理者の正当な利益を含め、管理者または第三者の正当な利益は、データ主体と管理者との関係に基づくデータ主体の合理的な期待を考慮に入れた上で、データ主体の利益または基本的な権利及び自由を劣後的なものとならないことを条件として、処理のための法的根拠を提供し得る。そのような正当な利益は、例えば、データ主体
が管理者のサービスの顧客である場合や管理者から役務の提供を受けている場合のような状況において、データ主体と管理者との間に妥当で適切な関係が存在している場合には、存在し得る。いずれにせよ、個人データの収集の時点において、及び、その過程において、当該目的のために処理が行われることをデータ主体が合理的に期待できるか否かを含め、正当な利益の存在に関しては、注意深い評価を要するであろう。別の目的による処理をデータ主体が合理的に予期しない状況下で個人データが処理される場合、とりわけ、データ主体の利益及び基本的な権利は、データ管理者の利益よりも優先する。行政機関に関して個人データを処理するための法的根拠を法律によって定めるのが立法者であることに鑑み、当該法的根
拠は、行政機関がその職務の遂行において行う処理に適用してはならない。不正行為の防止の目的のために厳格に必要性のある個人データ処理もまた、関係するデータ管理者の正当な利益を構成する。ダイレクトマーケティングのための個人データ処理は、正当な利益のために行われるものと推定され得る。
(48) 事業者グループの一員またはその中枢企業と提携する組織の一員である管理者は、顧客または従業員の個人データ処理を含め、内部的な業務管理の目的のために、その事業者グループ内において個人データを送付することについて、正当な利益をもち得る。個人データの移転に関する一般的な基本原則は、事業者グループ内において、第三国に所在する事業者に対して個人データを移転する場合であっても、影響を受けることがない。
(49) ネットワーク及び情報の安全性を確保する目的のために厳格に必要性であり、かつ、比
例的な範囲内で行われる個人データ処理、例えば、記録保存される個人データもしくは送信される個人データの可用性、真正性、完全性及び機密性を阻害し、また、行政機関、コンピュータ緊急対応チーム（CERT）、コンピュータセキュリティインシデント対応チーム（CSIRT）、
電子通信ネットワークのプロバイダ及び電子通信サービスのプロバイダ、
並びに、
セキュリティ技術及びセキュリティサービスの提供者によって、そのネットワーク及びシス
テムを介して提供されまたはアクセス可能なものとされている関連サービスの安全性を阻18

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

害する事故、または、違法な行為もしくは悪意ある行為に対して、所与の機密性のレベルにおいて対抗するためのネットワークシステムまたは情報システムの能力を確保することは、関係するデータ管理者の正当な利益を構成する。これには、例えば、電子通信ネットワーク
への無権限アクセス及び悪意あるコードの配布を防止すること、並びに、「サービス拒否」攻撃やコンピュータシステム及び電子通信ネットワークシステムの破壊行為を阻止することが含まれ得る。
(50) 個人データが収集された当初の目的とは異なる目的のための個人データ処理は、その処理が、その個人データが収集された当初の目的と適合する場合に限り、認められる。そのような場合、その個人データの収集が認められる法的根拠とは異なる法的根拠は要求されない。
公共の利益においてまたは管理者に与えられた公的な権限の行使において行われる職務の遂行のためにその処理が必要となる場合、欧州連合法もしくは構成国法は、別の目的のために行われる処理が適合するものであり、かつ、適法なものとみなされるべき場合に関する職
務及び目的を定め、その細則を定めることができる。公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のための別の目的による処理は、適合的で適法な処理業務とみなされる。個人データ処理のために欧州連合法または構成国法によって定められる法的根拠は、別の目的による処理のための法的根拠についても定めることができる。別の目的による処理の目的が、その個人データが収集された当初の目的と適合するか否かを確認するために、管理者は、当初の処理の適法性のための全ての要件を適合させた後、就中：当初の目的と予定されている別の目的による処理の目的との間の関連性；個人データが取得された経緯、とりわけ、個人データの別の目的による利用に関するデータ主体と管理者との間の関係に基づくデータ主体の合理的な期待；個人データの性質；予定されている別の目的による処理の結果；並びに、当初の処理業務及び予定されている別の目的による処理業務の両方について、適切な安全性確保措置が存在していることを考慮に入れなければならない。
データ主体が同意を与えている場合、または、その処理が、とりわけ、一般的な公共の利益の重要な対象を防護するために民主主義の社会において必要かつ比例的な手段を構成する欧州連合法もしくは構成国法に基づくものである場合、管理者は、その目的の適合性の有無に拘らず、個人データを別の目的で処理することが認められなければならない。いずれの場合においても、本規則に定める基本原則が適用されること、並びに、とりわけ、当該別の目的に関し、及び、異議を述べる権利を含め、彼または彼女の権利に関し、データ主体に対する情報提供が確保されなければならない。犯罪行為または公共の安全に対する脅威があり得ることについて管理者から指摘し、そして、同じ犯罪行為または公共の安全に対する脅威と関連する個々の事案もしくは幾つかの事案において、職務権限を有する機関に対して関連する個人データを送付することは、管理者により正当な利益において行われるものとみなされる。ただし、そのような管理者の正当な利益における個人データの移転または別の目的による処理は、その処理が、法律上の守秘義務、職業上の守秘義務またはそれ以外の拘束力のある守秘義務に適合しないときは、禁止されなければならない。
(51) その性質上、基本的な権利及び自由との関係において特に機微な個人データは、その処理の過程が基本的な権利及び自由に対する深刻なリスクをつくり出し得るものであるがゆ19

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

えに、特別の保護を受ける。それらの個人データは、人種的または民族的な出自を明らかにする個人データを含むが、本規則の中における「人種的な出自」という用語の使用は、それによって、異なる人種が存在することを決定しようとする思想を欧州連合が受容することを意味するものではない。写真の処理は、特別類型の個人データ処理であると即断してはならない。なぜなら、自然人のユニークな識別または認証をすることができる特別な技術的手段
を用いて処理される場合においてのみ生体データに含まれるからである。法律上の義務を遵守するため、または、公共の利益においてもしくは管理者に与えられた公的な権限の行使において行われる職務の遂行のために、本規則の規定の適用を採択するためのデータ保護に関する特別な条項を構成国法が定めることができることを考慮に入れた上で、本規則に定める
特別な場合に該当する場合において処理が許容される場合を除き、そのような個人データを処理してはならない。そのような処理に関する特別の要件に加え、とりわけ、適法な処理のための要件に関し、本規則の一般的な基本原則及びその他の規定が適用される。そのような特別類型の個人データ処理の一般的な禁止の特例は、就中、データ主体が彼または彼女の明示の同意を与える場合、または、その特別の必要性に関して、とりわけ、基本的な自由の行使を許容することを目的とする一定の団体もしくは協会による正当な活動の過程においてその処理が行われる場合において、明確に定められなければならない。
(52) それが公共の利益において行われる場合であり、とりわけ、労働法の分野、年金及び医療保険を含む社会保護法の分野における個人データ処理、伝染病及びその他の健康に対する重大な脅威の防止または管理の目的のための監視及び警戒の場合において、個人データ及びそれ以外の基本的な権利を保護するために、欧州連合法または構成国法の中に定められており、かつ、適切な安全性確保措置に従うものである限り、特別類型の個人データ処理の禁止の特例も認められる。公衆衛生及び医療サービスの管理を含め、医療の目的のために、特に健康保険制度における給付及び役務の提供の請求を処理するために用いられる手続の品質
及び費用対効果を確保するため、または、公共の利益におけるアーカイブの目的、科学調査
及び歴史調査の目的並びに統計の目的のために、そのような特例を設けることができる。特例は、裁判所の訴訟手続、行政上の手続及び裁判外の手続のいずれにおいても、訴えの提起
及び攻撃防御のために必要な場合には、そのような個人データ処理を許容する。
(53) 自然人及び社会全体の利益となる目的を達成するために必要となる場合に限り、とりわ
け、医療と社会福祉の提供及び制度の管理の過程において、医療と関連する目的のために、より強い保護を享受して、特別類型の個人データが処理されるものとしなければならない。
これには、公共の利益の目的と適合すべき欧州連合法または構成国法に基づき、医療制度及び社会福祉制度の品質管理、情報管理及び国内もしくは地域における一般的な監督の目的、及び、医療及び社会福祉並びに国境を越える医療または健康保険の継続性を確保する目的、監視または警告の目的、または、公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的、並びに、公衆衛生の領域における公共の利益において行
われる研究の目的のための、医療管理機関または国内中央医療行政組織によるそのようなデータの処理が含まれる。それゆえ、本規則は、特別の必要性に関し、とりわけ、職務上の守秘義務という法的義務に服する者によって健康と関係する一定の目的のためにそのような個人データ処理が行われる場合に関し、健康と関係する特別類型の個人データ処理のための20

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

整合性のとれた要件を定める。欧州連合法または構成国法は、自然人の基本的な権利及び個人データを保護するための特別の適切な措置を定めなければならない。構成国は、遺伝子データ、生体データまたは健康に関するデータの処理に関し、その制限を含め、別の条件を維持または導入することが認められなければならない。ただし、その条件がそのようなデータの国境を越える処理に適用される場合、その条件は、欧州連合内における個人データの支障のない流れを阻害してはならない。
(54) 特別類型の個人データ処理は、データ主体の同意なしに、公衆衛生の分野における公共の利益を理由として、必要となることがある。そのような処理は、自然人の権利及び自由を保護するための適切かつ具体的な措置に服するものでなければならない。この文脈において、「公衆衛生」とは、欧州議会及び理事会の規則 No 1338/20081に定義されているように、すな
わち、健康に関する全ての要素、換言すると、健康状態のこととして解釈されなければならない。それは、疾病率及び障害、健康状態に影響を与える素因、医療の必要性、医療に割り当てられる資源、医療の提供及び医療へのユニバーサルアクセス、並びに、医療の支出及び資金手当、そして、死亡原因を含む。そのような公共の利益を理由とする医療と関連する個
人データ処理は、使用者、保険会社及び金融機関のような第三者によって別の目的のために
個人データ処理される結果をもたらしてはならない。
(55) 更に、憲法または国際法によって定められている諸目的を達成する目的のために、公的機関による、公に認められている宗教団体の個人データ処理は、公共の利益を根拠として行われるものである。
(56) 選挙活動の過程において、構成国における民主制度の運営のために、政党が人々の政治的意見に関する個人データを集約する必要がある場合、そのようなデータ処理は、適切な安全性確保措置が設けられることを条件として、公共の利益を理由として認められ得る。
(57) 管理者によって処理される個人データが管理者に対して自然人の識別を認めていない
場合、そのデータ管理者は、本規則の条項を遵守するという目的のみのために、データ主体を識別するための付加的な情報を入手することを義務付けられない。ただし、その管理者は、
データ主体から彼または彼女の権利の行使を支持するために提供される付加的な情報の取得を拒むことができない。識別子は、例えば、オンラインサービスにログインするためにデータ管理者から提供され、データ主体によって用いられる同じクレデンティアルのような認証手段を介するデータ主体のデジタル識別子を含むものとしなければならない。
(58) 透明性の原則は、公衆またはデータ主体に伝達される情報が、明解であり、容易にアクセスでき、かつ、容易に理解できるものであること、そして、明解で平易な言語によるもの
であること、加えて、それが適切な場合には、視覚化技術が用いられていることを求める。
そのような情報は、例えば、Web サイトを介して公衆に伝達される場合には、電子的な方式
によって提供され得る。オンラインの宣伝広告の場合のように、関与者の増加及び実務上の技術的な複雑性によって、彼または彼女の個人データが収集されるのかどうか、誰によって、何の目的のためであるのかをデータ主体が認識し、理解することを困難にされてしまっているような状況下においては、この原則は、特に関連性をもつものである。子どもが特別の保公衆衛生並びに労働における健康及び安全上の欧州共同体の統計に関する欧州議会及び理事会の規則(EC) No 1338/2008（OJ L 354, 31.12.2008, p.70）
211

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

護を享受することに鑑み、処理が子ども向けのものであるときは、いかなる情報及び通信も、子どもが容易に理解することのできるような明確かつ平易な言語によるものでなければならない。
(59) 本規則に基づくデータ主体の権利の行使を容易なものとするため、書式が定められなけ
ればならない。これには、とりわけ、個人データに対するアクセス及び訂正または消去を要請し、かつ、それが適用可能なときは、無料で、それらを得るための仕組み、並びに、異議を述べる権利の行使が含まれる。特に電子的な方法で個人データが処理される場合、管理者
は、電子的に要請を行うための方法も提供しなければならない。管理者は、不適切な遅滞なく、遅くとも 1 か月以内に、データ主体からの要請に対応することを義務付けられ、かつ、管理者がその要請に応ずるつもりがない場合には、その理由を提供しなければならない。
(60) 公正かつ透明性のある処理の原則は、その処理業務の存在及びその目的について、デー
タ主体が情報の提供を受けることを求める。管理者は、データ主体に対し、その個人データが処理される具体的な状況及びその処理過程を考慮に入れた上で、公正かつ透明性のある処理を確保するために必要な情報を別に提供しなければならない。更に、データ主体は、プロファイリングの存在及びそのようなプロファイリングから生ずる結果についても情報の提供を受けるものとしなければならない。個人データがデータ主体から収集される場合、そのデータ主体は、彼または彼女がその個人データの提供を義務付けられているのか否かについて、及び、彼または彼女がそのデータを提供しない場合に生ずる結果についても情報の提供を受けるものとしなければならない。その情報は、容易に視認することができ、分かりやす
く、明確に理解することのできる態様で、予定されている処理の意味のある概要を提供するための標準的なアイコンと組み合わせて提供することができる。そのアイコンが電子的に表示される場合、それらは、機械読み取り可能なものでなければならない。
(61) データ主体に関する個人データ処理と関係する情報は、データ主体からの収集の時点において、または、個人データが他の情報源から取得される場合には、案件の状況に応じて合理的な期間内に、彼または彼女に対して与えられなければならない。個人データが別の取得者に対して正当に開示される場合、そのデータ主体は、その個人データがその取得者に対して最初に開示される時に通知を受けるものとしなければならない。個人データが取得された目的とは別の目的のために管理者がその個人データを処理しようとする場合、その管理者は、別の目的による処理の開始前に、そのデータ主体に対し、当該別の目的に関する情報及びその他の必要な情報を提供しなければならない。様々な情報源が用いられたために、データ主体に対してその個人データの入手元の情報を提供ができない場合には、一般的な情報が提供されなければならない。
(62) ただし、データ主体が既にその情報を保有している場合、その個人データの記録もしくは開示が法律によって明確に定められている場合、または、データ主体に対する情報の提供が明らかに不可能であるか、もしくは、過大な負担を生じさせるような場合、情報を提供すべき義務を課す必要はない。とりわけ、公共の利益におけるアーカイブの目的、科学調査も
しくは歴史調査の目的または統計の目的のために処理が行われる場合、それに該当し得る。
この点に関し、データ主体の人数、データの経過年数及び導入されている適切な安全性確保
措置が考慮に入れられなければならない。
22

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

(63) データ主体は、彼または彼女に関して収集された個人データにアクセスする権利をもち、そして、その処理の適法性に注意を払い、それを検証するために、容易に、かつ、合理的な間隔で、その権利を行使するものとしなければならない。この権利は、彼らの健康に関するデータ、例えば、疾病の診断、検査結果、治療担当医師により行われた評価並びに提供された治療行為もしくは治療介入行為のような情報を含む彼らの医療記録中にあるデータへのアクセスをもつデータ主体の権利を含む。それゆえ、全てのデータ主体は、とりわけ、その個人データが処理される目的、可能な場合には、その個人データが処理される期間、その個人データの取得者、自動的な個人データ処理の中に含まれている論理、並びに、少なくともプロファイリングに基づく場合、そのような処理の結果として発生し得る事態に関し、知る権利及び連絡を受ける権利をもつものとしなければならない。それが可能な場合、管理者は、
データ主体に対して彼または彼女の個人データへの直接のアクセスを提供し得る安全なシ
ステムへのリモートアクセスを提供できるようにしなければならない。その権利は、営業秘密または知的財産及び特にソフトウェアの著作権を含め、他の者の権利または自由を害してはならない。ただし、これらの考慮は、データ主体に対して全ての情報を提供することの拒絶となるものであってはならない。管理者がデータ主体に関する情報を大規模に処理する場
合、その管理者は、その情報が提供される前に、その要請と関連する情報または処理行為をデータ主体が特定するように求めることができるものとしなければならない。
(64) 管理者は、とりわけ、オンラインサービス及びオンライン認証の過程において、アクセスを要請するデータ主体の同一性を確認するための全ての合理的な手段を用いなければならない。管理者は、あり得る要請に対応するという目的のみのために個人データを保持してはならない。
(65) そのようなデータを保持することが、管理者が服すべき本規則または欧州連合法もしくは構成国法の違反行為となる場合、データ主体は、彼または彼女に関する個人データを訂正させる権利及び「忘れられる権利」をもつものとしなければならない。とりわけ、データ主体は、当該個人データを収集する目的もしくはそれ以外の処理の目的との関連においてその個人データが必要なくなった場合、データ主体が彼もしくは彼女の同意を撤回した場合、もしくは、彼もしくは彼女に関する個人データ処理に対して異議を述べる場合、または、彼または彼女の個人データ処理が本規則を何ら遵守するものではない場合において、彼または彼
女の個人データを消去させ、処理されないようにさせる権利をもつものとしなければならない。その権利は、とりわけ、データ主体が、子どもの時に、その処理に含まれるリスクについて完全に理解しないまま彼または彼女の同意を与えたけれども、後になって、そのような個人データの削除、特にインターネット上のデータの削除を望むようになった場合において適切なものである。データ主体は、彼または彼女が既に子どもではないという事実とは無関係に、その権利を行使することができるものとしなければならない。ただし、表現及び情報伝達の自由の権利の行使のために必要な場合、法律上の義務を遵守するために必要な場合、公衆衛生の領域における公共の利益を法的根拠として、公共の利益において、または、管理者に与えられた公的な権限の行使において行われる職務の遂行のために必要な場合、公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のために必要な場合、または、訴訟の提起もしくは攻撃防御のために必要がある場合には、別の目
23

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

的のためにその個人データを保持することを適法としなければならない。
(66) オンライン環境における忘れられる権利を強化するため、削除の権利は、当該個人デー
タを公開のものとした管理者が、当該個人データを処理している管理者に対して、当該個人
データへのリンク、そのコピーまたは複製物を消去するように通知することを義務付けられるというような方法によっても拡張されるべきである。そのようにする場合、当該管理者は、
技術的な措置を含め、利用可能な技術及びその管理者にとって利用可能な方法を考慮に入れた上で、そのデータ主体の要請の対象である個人データを処理している管理者に対して通知をするための合理的な手立てを講じなければならない。
(67) 個人データ処理を制限するための方法は、就中、選別されたデータを一時的に他の処理システムに移動すること、選別された個人データを利用者が利用できないようにすること、または、公開されたデータを一時的に Web サイト上から削除することを含み得る。自動的なファイリングシステムにおいては、処理の制限は、原則として、その個人データが別の目的による処理業務の対象とされないようにし、かつ、修正されないようにする態様で、技術的な手段によって確保されなければならない。個人データ処理が制限されているという事実は、
そのシステムの中で明確に表示されなければならない。
(68) 彼または彼女自身のデータに対する支配をより強化するため、個人データ処理が自動的な手段によって行われる場合、データ主体は、彼または彼女が管理者に対して提供した彼または彼女と関係する個人データを、構成され、一般に利用され、機械処理可能かつ相互運用可能なフォーマットで取得し、そして、これを別の管理者に対して送信できるようにもされなければならない。データ管理者は、データの可搬性を可能とする相互運用可能なフォーマットの開発を奨励されなければならない。この権利は、彼もしくは彼女の同意に基づいてデータ主体がその個人データを提供した場合、または、契約の履行のためにその処理が必要となる場合に適用されなければならない。この権利は、その処理が同意または契約以外の法的根拠に基づく場合には、適用されない。その性質上、この権利は、管理者の公的な義務の履行において個人データを処理する管理者に対して、行使してはならない。それゆえ、この権利は、管理者が服すべき法的義務を遵守するために個人データ処理が必要となる場合、または、公共の利益において、もしくは、管理者に与えられた公的な権限の行使において行われる職務の遂行のために個人データ処理が必要となる場合には、適用されない。彼または彼女と関係する個人データの取得及び送信というデータ主体の権利は、管理者に対して、技術的に互換性のある処理システムの導入または維持をすべき義務をつくり出すものではない。ある一群の個人データについて複数のデータ主体が関係している場合、個人データを取得する
権利は、本規則に従い、他のデータ主体の権利及び自由を妨げてはならない。更に、この権利は、個人データの削除を得るデータ主体の権利及び本規則に定める制限を妨げてはならず、
また、とりわけ、当該契約の履行のために必要となる範囲内で、かつ、その限りで、契約の履行のために彼または彼女から提供された、そのデータ主体と関係する個人データの削除を意味するものではない。技術的に実現可能な場合において、データ主体は、ある管理者から別の管理者へと直接に個人データを移転させる権利をもつものとしなければならない。
(69) 公共の利益において、または、管理者に与えられた公的な権限の行使において行われる職務の遂行のために処理が必要であるという理由で、または、管理者もしくは第三者の正当24

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

な利益を根拠として、個人データが適法に処理され得る場合、データ主体は、それにも拘らず、彼または彼女の特別の状況に関する個人データ処理について、異議を述べる資格が与えられなければならない。管理者は、管理者の義務的な正当な利益がデータ主体の基本的な権
利及び自由よりも優先することを説明しなければならない。
(70) ダイレクトマーケティングの目的で個人データが処理される場合、そのダイレクトマー
ケティングと関連する範囲内にあるプロファイリングを含め、データ主体は、当初の処理と別の目的による処理のいずれに関しても、いつでも、無料で、そのような処理を拒否する権
利をもつものとしなければならない。この権利は、明示で、データ主体の目にとまるようにされなければならず、また、明確に他の情報とは別に表示されなければならない。
(71) データ主体は、与信申込みの自動的な拒否または人間が介在しない電子就職活動のような、自動的な処理のみに基づき、かつ、彼もしくは彼女に関する法的効果を発生させ、または、彼もしくは彼女に対して類似の重大な悪影響を及ぼす、彼または彼女に関する人格的側面を評価する判定の対象とされない権利をもつ。その判定は、措置を含み得る。そのような処理は、それが、彼もしくは彼女に関する法的効果を発生させ、または、彼もしくは彼女に対して類似の大きな悪影響を及ぼす場合、とりわけ、データ主体の業務遂行能力、経済状態、
健康、個人的な嗜好または興味、信頼性または行動、位置または移動に関する側面を分析または予測するために、自然人に関する人格的側面を評価する個人データの何らかの形態の自動的な処理で構成される「プロファイリング」を含める。ただし、プロファイリングを含め、そのような処理に基づく判定は、欧州連合の機関または国内監視機関の規則、基準及び勧告に従って行われる不正行為及び脱税の監視及び防止のため、並びに、管理者によって提供される役務の安全性及び信頼性を確保するため、または、データ主体と管理者との間で契約を締結し、もしくは、それを履行するため、または、データ主体が彼もしくは彼女の明示の同意を与えた場合を含め、管理者が服する欧州連合法または構成国法によって明確に承認される場合において認められるものとしなければならない。いずれの場合においても、そのような処理は、適切な安全性確保措置に服するものとしなければならず、その安全性確保措置は、
データ主体に対する特別の情報提供、人間の介在を得る権利、彼または彼女の見解を表明す
る権利、そのような評価の後に到達した判定について説明を受ける権利、そして、その判定に対して異議を述べる権利を含むものでなければならない。そのような措置は、子どもと関係するものであってはならない。
データ主体に関する公正かつ透明性のある処理を確保するために、その個人データが処理される具体的な状況及び過程を考慮に入れた上で、管理者は、プロファイリングのための適切な数学的または統計的な手順を使用し、かつ、とりわけ、個人データに不正確さをもたらす要素が補正され、エラーのリスクをミニマム化されることを確保し、データ主体の利益及び権利に含まれる潜在的なリスクを考慮に入れる態様で、そして、就中、自然人に対して、人種的もしくは民族的な出自、政治的な意見、信教もしくは信条、労働組合への加入、遺伝子の状態もしくは健康状態または性的指向に基づく差別的効果が生ずることを避ける態様
で、または、措置がそのような効果を帰結することを避ける態様で、個人データを防護する
ための適切な技術上及び組織上の手段を実装しなければならない。特別類型の個人データに基づく自動的な判定及びプロファイリングは、特別の条件に基づく場合においてのみ認めら25

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）れる。
(72) プロファイリングは、処理の法的根拠またはデータ保護の基本原則のような、個人デー
タ処理を規律する本規則の規定に服する。本規則によって設置される欧州データ保護委員会（以下「委員会」という。
）は、この文脈における運用指針を発行できるものとしなければならない。
(73) 特に自然災害または人為的な災害への対応の際の人の生命の保護を含め、公共の安全への脅威、規制のある職業の倫理違反、または、欧州連合もしくは構成国の一般的な公共の利益の重要な対象、とりわけ、欧州連合または構成国の重要な経済上もしくは財政上の利益に対する防護及びその防止を含め、犯罪行為の防止、捜査及び訴追または刑罰の執行を防護す
るため、一般的な公共の利益を理由として保存される公的記録の維持管理、かつての全体主
義国家体制の下での政治的活動に関する特別な情報を提供するためのアーカイブされた個
人データの別の目的による処理、または、社会保障、公衆衛生及び人道上の目的を含め、データ主体の保護、または、他の者の権利及び自由を防護するために、民主主義社会において必要であり、かつ、比例的なものである限り、特定の基本原則、及び、情報提供の権利、個人データへのアクセス及びその訂正もしくは削除の権利、データの可搬性の権利、異議を述べる権利、プロファイリングに基づく判定、並びに、データ主体に対する個人データ侵害の連絡及び管理者の一定の関連義務に関し、欧州連合法もしくは構成国法により、制限を加えることができる。これらの制限は、憲章及び人権及び基本的な自由の保護のための欧州条約に定める要件に従わなければならない。
(74) 管理者または管理者の代わりの者によって行われる個人情報の処理に関し、管理者の職責及び法的責任が定められなければならない。とりわけ、管理者は、適切かつ実効的な措置を実装すること、そして、その措置の実効性を含め、処理活動が本規則を遵守していることを説明できるようにすることを義務付けられなければならない。それらの措置は、処理の性
質、範囲、過程及び目的、並びに、自然人の権利及び自由に対するリスクを考慮に入れなければならない。
(75) 自然人の権利及び自由に対するリスクは、様々な蓋然性と深刻度で、個人データ処理から生じ得る。それは、物的な損失、財産的な損失もしくは非財産的な損失を発生させ得るものであり、とりわけ：その処理が、差別、ID 窃盗または ID 詐欺、金銭上の損失、信用の毀損、職務上の守秘義務によって保護されている個人データの機密性の喪失、無権限による仮名の復元、または、それら以外の重大な経済的または社会的な不利益を生じさせ得る場合；
データ主体がその権利及び自由を奪われ、または、その個人データに対する支配の実行を妨げられる場合；人種的もしくは民族的な出自、政治的な意見、信教または思想上の信条、労働組合の加入を明らかにする個人データ処理、並びに、遺伝子データ、健康と関係するデー
タもしくは性生活と関係するデータ、または、有罪判決及び犯罪行為もしくは関連する保護措置と関係するデータの処理の場合；人格的側面が評価される場合、とりわけ、個人プロフ
ァイルの作成もしくはその使用のために、職務遂行能力、経済状態、健康、個人的な嗜好も
しくは興味、信頼性もしくは行動、位置もしくは移動に関する側面が分析または予測される
場合；脆弱性のある自然人の個人データ、とりわけ、子どもの個人データが処理される場合；
または、処理が莫大な量の個人データを含んでおり、大勢のデータ主体に対して悪影響を及26

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

ぼす場合がそうである。
(76) データ主体の権利及び自由に対するリスクの蓋然性及びその深刻度は、その処理の性質、範囲、過程及び目的に照らして判断されなければならない。リスクは、データ処理業務がリスクまたは高度なリスクを含むものか否かを決めることのできる客観的な評価に基づいて評定されなければならない。
(77) 特に、処理と関連するリスクの特定、その発生源、性質、蓋然性及び深刻度に関するリ
スク評価と関連して、適切な措置の実装に関する運用指針及び管理者または処理者による遵守の説明に関するガイド、並びに、リスクを削減するためのベストプラクティスの指定は、とりわけ、承認された行動指針、承認された認証、委員会から提供される運用指針またはデータ保護責任者から提供される指示によって、提供され得る。委員会は、自然人の権利及び自由に対する高度なリスクを生じさるおそれがないと判断される処理業務に関する運用指針を発行し、また、そのような場合において、そのようなリスクに対応するためにはどのような措置が十分なものとなり得るかを示すことができる。
(78) 個人データ処理と関連する自然人の権利及び自由の保護は、本規則の義務に適合することを確保するための適切な技術上及び組織上の措置が講じられることを要求する。本規則の遵守を説明できるようにするため、管理者は、内部的な基本原則を採択しなければならず、
かつ、とりわけ、バイデザインのデータ保護の原則及びバイデフォルトのデータ保護の原則に適合する措置を実装しなければならない。そのような措置は、就中、個人データ処理のミ
ニマム化、可能な限り速やかな個人データの仮名化、権能及び個人データ処理に関する透明性、データ主体がデータ処理を監視可能とすること、管理者が安全機能を開発し、向上させることを可能とすることによって、構成され得る。個人データ処理を基盤とし、または、その職務を遂行するために個人データを処理するアプリケーション、役務及び製品を開発、設計、選択及び利用する場合、そのような製品、役務及びアプリケーションの開発者は、そのような製品、役務及びアプリケーションを開発及び設計する際、データ保護の権利を考慮に入れることが奨励され、また、最新技術を適正に考慮に入れた上で、管理者及び処理者がそのデータ保護義務を充足できるようにすることが奨励されなければならない。バイデザイン
及びバイデフォルトのデータ保護の原則は、公共入札の際においても考慮に入れられなければならない。
(79) 管理者が他の管理者と共同して処理の目的及び方法を決定する場合、並びに、処理業務
が管理者の代わりに行われる場合を含め、データ主体の権利及び自由の保護並びに管理者及び処理者の義務及び法的責任は、監督機関による監視及び監督機関の措置との関係においても、本規則に基づく責任の明確な割り当てを求める。
(80) 欧州連合内に設けられていない管理者または処理者が、欧州連合内のデータ主体の個人
データを処理しており、データ主体に対して決済が要求されると否とに拘らず、その処理活動が、そのような欧州連合内のデータ主体に対する物品または役務の提供と関連するものである場合、または、欧州連合内で起きる行動である限り、データ主体の行動の監視と関連するものである場合、その処理が、偶発的なものであり、特別類型のデータの処理を大規模に含んでおらず、有罪判決及び犯罪行為と関連する個人データ処理を含んでおらず、かつ、処理の性質、過程、範囲及び目的を考慮に入れた上で、自然人の権利及び自由に対するリスク27

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）を発生させるおそれがない場合、または、その管理者が行政機関もしくは行政組織である場
合を除き、その管理者または処理者は、代理者を指定しなければならない。代理者は、管理者または処理者の代わりに行動しなければならず、かつ、監督機関からの名宛人となることができる。代理者は、本規則に基づく管理者または処理者の義務に関し、それらの者の代わりに行動することの管理者または処理者の書面による委任によって、明示で指定されなければならない。そのような代理者の指定は、本規則に基づく管理者及び処理者の責務または法的責任に影響を与えることはない。そのような代理者は、本規則の遵守を確保するために行われる全ての行為に関する職務権限をもつ監督機関との協力を含め、管理者または処理者から受けた委任に従って、その職務を遂行しなければならない。指定された代理者は、管理者
または処理者による違背行為が発生した場合には、法執行の手続に服さなければならない。
(81) 管理者の代わりに処理者によって行われる処理に関する本規則の義務の遵守を確保するため、管理者は、処理者に対して処理活動を委託する場合、とりわけ、処理の安全性に関するものを含め、本規則の義務に適合する技術上及び組織上の措置を実装するための専門知
識、信頼性及び資源の面において十分な保証を提供する処理者のみを使用しなければならない。処理者が承認された行動準則または承認された認証方法を遵守していることは、管理者の義務の遵守を示すための要素として用いられ得る。処理者による処理の実施は、処理者と管理者とを拘束し、行われる処理の過程における処理者の特別な職務及び職責並びにデータ
主体の権利及び自由に対するリスクを考慮に入れた上で、処理の対象及び期間、処理の性質
及び目的、個人データの種類及びデータ主体の類型を定める契約または欧州連合法もしくは構成国法に基づくその他の法律行為によって規律されなければならない。管理者及び処理者
は、個別の契約、または、欧州委員会によって直接に採択された標準約款、もしくは、一貫性確保メカニズムに従って監督機関により採択され、欧州委員会によって承認された標準約款の利用を選択できるものとしなければならない。管理者の代わりの処理を完了した後、その処理者が服する欧州連合法または構成国法に基づいて当該個人データを記録保存すべき義務が存在しない限り、処理者は、管理者の選択により、その個人データを返却し、または、
これを削除しなければならない。
(82) 本規則の遵守を説明するために、管理者または処理者は、その責任において、処理活動の記録を保管しなければならない。個々の管理者及び処理者は、監督機関と協力し、かつ、その要請に基づき、その処理業務の監視の用に供し得るようにするため、それらの記録を監
督機関が利用できるようにすることを義務付けられる。
(83) 安全性を維持管理するため、そして、本規則の違反となる処理を防止するため、管理者
または処理者は、その処理に内在するリスクを評定しなければならず、また、暗号のような、それらのリスクを削減するための手段を実装しなければならない。その手段は、最新技術及びそのリスクと関連する実装費用並びに保護されるべき個人データの性質を考慮に入れた上で、機密性を含め、適切なレベルの安全性を確保しなければならない。データのセキュリ
ティ上のリスクの評価に際しては、送信され、記録保存され、または、それ以外の処理をされる個人データの偶発的または違法な破壊、喪失、改変、無権限の開示または無権限のアクセスのような、個人データ処理によって示され、特に物的な損失、財産的もしくは非財産的な損失を発生させるかもしれないリスクについて、検討が加えられなければならない。
28

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

(84) 処理業務によって自然人の権利及び自由に対する高度なリスクが生ずるおそれのある場合に対して本規則の遵守を拡大するために、管理者は、とりわけ、そのリスクの発生源、性質、特性及び深刻度を評価するためのデータ保護影響評価を行うべき責任を負う。その評
価結果は、その個人データ処理が本規則を遵守するものであることを説明するための適切な措置がどの時点で定められたのかを考慮に入れなければならない。利用可能な技術及び実装費用の条件内では管理者が適切な措置によって削減させることのできない高度のリスクがその処理業務に含まれているということをそのデータ保護影響評価が示す場合、その処理を開始する前に、監督機関との協議を行わなければならない。
(85) 個人データ侵害は、適切かつ適時の態様で対応が行われないと、自然人の個人データに対する管理の喪失または自然人の権利制限の喪失、差別、ID 窃盗または ID 詐欺、金銭上の損失、無権限による仮名の復元、信用の毀損、職務上の守秘義務によって保護された個人データの機密性の喪失、または、関係する自然人に対するその他の重要な経済的もしくは社会的不利益といったような、自然人に対する物的な損失、財産的な損失もしくは非財産的な損失をもたらし得る。それゆえ、個人データ侵害が発生したことに管理者が気づいたならば可能な限り速やかに、説明責任の原則に従い、その個人データ侵害が自然人の権利及び自由に対するリスクを発生させるおそれがないということを管理者が説明できる場合を除き、その管理者は、監督機関に対し、不適切な遅滞なく、かつ、それが可能であるときは、それに気づいた時から遅くとも 72 時間以内に、その個人データ侵害を通知しなければならない。72
時間以内にその通知を完了できない場合、その遅延の理由をその通知に付さなければならず、
そして、更なる不適切な遅延なく、同時に情報を提供できる。
(86) 管理者は、当該個人データ侵害が自然人の権利及び自由に対する高度なリスクを発生させるおそれがあるときは、彼または彼女が予め必要な警戒をできるようにするため、データ主体に対し、不適切な遅滞なく、個人データ侵害について連絡しなければならない。その連
絡は、個人データ侵害の性質、並びに、関係する自然人に向けた潜在的な悪影響を削減するための勧告を記述しなければならない。そのようなデータ主体に対する連絡は、監督機関から提供された運用指針または法執行機関のような監督機関以外の関連機関から提供された運用指針を尊重しつつ、可能な限り速やかに合理的に実現できるように、かつ、監督機関と密接に協力して、行われなければならない。例えば、損害発生の緊急のリスクを削減させる
必要性があることは、データ主体への通知を督促することになるが、他方、個人データ侵害の継続または類似の侵害の発生に対抗するための適切な措置の実装の必要性があることは、
更に時間をかけることを正当化し得る。
(87) 個人データ侵害が発生したかどうかを迅速に確定するため、そして、監督機関及びデー
タ主体に対して速やかに連絡するための全ての適切な技術的な保護及び組織上の措置が実装されているか否かが確認されなければならない。とりわけ、その個人データ侵害の性質及び重大性、その結果として生じる事態及びデータ主体に対する悪影響を考慮に入れた上で、不適切な遅滞なく通知が行われたという事実が証明されなければならない。そのような通知は、本規則に定める監督機関の職務及び権限に従い、監督機関の介入を招くものとなり得る。
(88) 個人データ侵害の通知に適用可能なフォーマット及び手続と関係する規定を設ける際、
ID 詐欺またはそれ以外の形態による濫用行為が発生するおそれを実効的に抑制する適切な
29

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

技術的保護措置によって個人データが保護されていたか否かを含め、個人データ侵害の状況について、十分な検討が加えられなければならない。更に、そのような規定及び手続は、早い段階における開示が個人データ侵害の状況に関する捜査を不必要に妨げてしまう場合、法執行機関の正当な利益を考慮に入れなければならない。
(89) 指令 95/46/EC は、監督機関に対して個人データ処理を通知すべき一般的な義務を定めた。その義務は、業務管理上及び資金上の問題を生じさせる一方で、全ての場合において、個人データ保護の向上に寄与しなかった。それゆえ、そのような無限定の一般的な通知義務は廃止されなければならず、そして、それに代えて、処理業務の性質、範囲、過程及び目的のゆえに自然人の権利及び自由に対する高度なリスクを生じさせるおそれのある種類の処
理業務に焦点を絞った実効的な手続及び仕組みによって置き換えられるべきである。そのよ
うな種類の処理業務は、とりわけ、その中に新たな技術または新たな種類の技術の利用を含む処理業務であり、そして、管理者によるデータ保護影響評価がこれまで行われたことがな
く、または、最初の処理の時から経過した時日に照らし、データ保護影響評価が必要となった処理業務であり得る。
(90) そのような場合において、処理が行われる前に、処理の性質、範囲、過程及び目的並びにリスクの発生源を考慮に入れた上で、高度のリスクの特定の蓋然性及び深刻度を評価するために、管理者によって、データ保護影響評価が行われなければならない。その影響評価は、
とりわけ、そのリスクを削減し、個人データの保護を確保し、そして、本規則の遵守を説明するために準備された手段、安全性確保措置及び仕組みを含めなければならない。
(91) このことは、とりわけ、地域レベル、国家レベル及び多国間レベルの非常に大きな分量の個人データ処理を対象とし、大勢のデータ主体に対して悪影響を及ぼすおそれがあり、かつ、例えば、機微性のゆえに高度のリスクを発生させるおそれがあり、かつ、技術上の知識の到達状態に従って新技術が大規模に利用される大規模な処理業務に対して、並びに、それ以外の、データ主体の権利及び自由に対して高度のリスクを発生させる処理業務に対して、
とりわけ、それらの処理業務がデータ主体による彼らの権利の行使をより困難にしている処
理業務に対して適用されなければならない。それらのデータのプロファイリングに基づく自然人に関する人格的な側面のシステム化され、拡張可能な評価を伴う、あるいは、特別類型の個人データ、生体データ、または、有罪判決及び犯罪行為もしくは関連する保護措置に関するデータの処理を伴う特定の自然人に関する判定を行うために個人データが処理される場合においても、データ保護影響評価が実施されなければならない。公衆がアクセス可能な場所の大規模な監視、特に光学・電子機器を用いて行われる場合に関しても、または、とりわけ、データ主体が権利の行使や役務もしくは契約の利用を妨げられているという理由により、あるいは、その処理が大規模にシステム化されて行われているという理由により、デー
タ主体の権利及び自由に高度のリスクが生ずるおそれがあると職務権限をもつ監督機関が判断する場合、上記以外の全ての業務についても、同等に、データ保護影響評価が要求される。その処理が患者または来診者からの個人データに関するものであり、個々の医師、その他の医療専門職または法律家による場合、その個人データ処理は、大規模なものと判断されてはならない。そのような場合、データ保護影響評価は、義務的なものではない。
(92) データ保護影響評価の対象を単独の評価計画による場合よりも拡張したほうが合理的
30

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

で経済的なものとなり得るような場合がある。例えば、行政機関または行政組織が共通のア
プリケーションまたは処理プラットフォームの構築を予定する場合、または、複数の管理者が、産業部門もしくは区分を横断して、あるいは、広範に利用されている横断的な活動のために、共通のアプリケーションまたは処理環境の導入を計画する場合がそうである。
(93) 行政機関及び行政組織の職務遂行の根拠となり、かつ、当の特別の処理業務または一群の処理業務を規律する構成国法の採択の過程において、構成国は、処理活動を行う前にそのような評価を行う必要性があると判断できる。
(94) リスクを削減するための安全性確保措置、防護措置及び仕組みを欠くときは、その処理が自然人の権利及び自由に対する高度のリスクをもたらし得るということをデータ保護影
響評価が示しており、かつ、利用可能な技術及びその実装費用の条件下における合理的な手段によってはそのリスクを削減できないという意見をその管理者がもつ場合、監督機関は、処理活動を開始する前に協議を受けるものとしなければならない。自然人の権利及び自由に対する被害または妨害を現実に発生させ得るような高度のリスクは、一定の種類の処理から、そして、処理の範囲及び頻度から生ずる可能性がある。監督機関は、所定の期間内に、協議の要請に対応しなければならない。ただし、当該期間内に監督機関から何らの応答もないことは、処理業務を禁止する権限を含め、本規則に定める監督機関の職務及び権限に従った監
督機関の介入を妨げない。その協議過程の一部として、監督機関に対し、問題となる処理に関して行われたデータ保護影響評価の結果、とりわけ、自然人の権利及び自由に対するリスクを削減するために準備された措置に関する評価結果を提出できる。
(95) 処理者は、それが必要なときは、かつ、要請に応じて、データ保護影響評価を行うことから派生する義務及び監督機関の事前評価から派生する義務の遵守を確保する際、管理者を補佐しなければならない。
(96) 監督機関との協議は、予定されている処理の本規則への遵守を確保するため、及び、とりわけ、データ主体のために内在するリスクを削減するため、個人データ処理を定める立法または規制上の措置を準備する過程においても行われなければならない。
(97) 裁判所または独立の司法機関がその司法上の権能において行動する場合を除き、処理が行政機関によって行われる場合、民間部門において、継続的にシステムによってデータ主体
を大規模に監視することを要する処理業務を中心的な業務とする管理者によって処理が行われる場合、または、管理者及び処理者の中心的な業務が、特別類型の個人データ並びに有罪判決及び犯罪行為と関連するデータの大規模な処理によって構成されている場合、本規則の内部的な遵守を監視するために、データ保護法令及びその実務に関する専門知識をもつ者
が管理者または処理者を補佐しなければならない。民間部門においては、管理者の本来業務は、その基本的な活動と関連するものであり、付随的な業務としての個人データ処理と関連するものではない。必要とされる専門知識のレベルは、とりわけ、行われるデータ処理業務に従って、そして、管理者または処理者によって処理される個人データにとって必要な保護に従って、決定されなければならない。そのようなデータ保護責任者は、管理者の従業者であるか否かを問わず、独立の態様でその義務及び職務を遂行するための地位をもつものとしなければならない。

31

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

(98) 一定の部門において行われる処理の特殊性並びにマイクロ企業及び中小企業の特殊事
情を考慮に入れた上で、本規則の効果的な適用を促進するために、様々な類型の管理者または処理者を代表する団体その他の組織は、本規則の制限内で、行動準則を作成することが奨
励されなければならない。とりわけ、そのような行動準則は、処理の結果として発生するおそれのある自然人の権利及び自由に対するリスクを考慮に入れた上で、管理者及び処理者の義務を調整し得る。
(99) 行動準則を作成する際、または、その準則を改正または追補する際、様々な類型の管理者または処理者を代表する団体その他の組織は、それが有用であるときはデータ主体を含め、関係する利害関係者と協議し、そして、そのような協議に応じて申し出や表明された意見を考慮しなければならない。
(100) 透明性及び本規則の遵守を拡大するために、関連する製品及び役務のデータ保護レベ
ルをデータ主体が即座に評価できるようにする認証方法、データ保護シール及びデータ保護マークを設けることが促進されなければならない。
(101) 欧州連合外の国々及び国際機関への個人データの流れ並びにこれらのところからの個
人データの流れは、国際取引及び国際協力を拡大するために必要なものである。そのような流れの増加は、個人データの保護に関する新たな検討課題と不安を発生させてきた。ただし、欧州連合から第三国または国際機関の中に所在する管理者、処理者もしくはそれ以外の取得者に対して個人データが移転される場合、その第三国または国際機関から同じ第三国もしくは国際機関内の管理者や処理者または別の第三国もしくは国際機関の管理者や処理者に対して個人データが転送される場合を含め、本規則によって欧州連合内で確保される自然人の保護のレベルを低下させてはならない。いずれの場合においても、第三国及び国際機関への移転は、本規則を完全に遵守する場合においてのみ、これを行うことができる。本規則の別の条項に従い、第三国または国際機関へ個人データを移転するための本規則の条項中に定める要件が管理者または処理者によって遵守される場合においてのみ、その移転をすることができる。
(102) 本規則は、データ主体のための適切な安全性確保措置を含め、個人データの移転と関連して欧州連合と第三国との間で締結される国際協定を妨げない。構成国は、そのような協定が本規則またはそれ以外の欧州連合法の条項を害することがなく、かつ、データ主体の基本的な権利のための適切なレベルの保護を含めている場合に限り、第三国または国際機関への個人データの移転を含む国際協定を締結できる。
(103) 欧州委員会は、十分なレベルの保護を提供するものと判断される第三国または国際機関に関しては、欧州全域において有効なものとして、第三国、第三国内の地域もしくは特定の部門または国際機関が十分なレベルのデータ保護を提供しており、そして、欧州連合全域
における法的安定性及び統一性を提供している旨の判定を行うことができる。その場合、当該第三国または国際機関への個人データの移転は、別の承認を得る必要なく、これを行うことができる。欧州委員会は、その第三国または国際機関に対し、その通知及びその理由の全文を示す声明文を発して、その判定を破棄する判定を行うこともできる。
(104) 欧州連合が立脚する基本的な価値観、とりわけ、人権の保護に沿って、欧州委員会は、その第三国またはその第三国内の地域もしくは特定の部門の評価に際し、特定の第三国が、
32

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

法の支配、司法へのアクセス、並びに、国際人権の規範と基準、及び、公共の安全、国防及び国家安全保障並びに公共の秩序及び刑事法に関する立法を含め、その第三国の一般法及び特別法をいかに尊重しているかを考慮に入れなければならない。第三国内の地域または特定の部門と関連する十分性判定の採択は、特定の処理活動及びその第三国において施行されている適用可能な法的基準及び立法の適用範囲のような、明確で客観的な基準を考慮に入れなければならない。とりわけ、個人データが 1 または複数の特定の部門において処理される場
合において、その第三国は、欧州連合内で確保されている保護と基本的に均等で十分なレベルの保護を確保していることの保証を提供しなければならない。とりわけ、その第三国は、実効的かつ独立のデータ保護監督を確保しなければならず、かつ、構成国のデータ保護機関との協力の仕組みを定めなければならず、かつ、データ主体は、実効的で執行可能な権利並びに実効的な行政救済及び司法救済を与えられるものとしなければならない。
(105) 第三国または国際機関が加入している国際関係とは別に、欧州委員会は、とりわけ、個人データの保護並びにその義務の履行と関連して、第三国または国際機関が多国間のシス
テムまたは地域的なシステムに参加することから生ずる義務に考慮しなければならない。とりわけ、個人データの自動的な処理に関連する個人の保護のための 1981 年 1 月 28 日の欧州評議会条約及びその追加議定書への第三国の加盟を考慮に入れなければならない。欧州委員会は、第三国及び国際機関における保護のレベルを評価する際、委員会と協議しなければならない。
(106) 欧州委員会は、第三国、第三国内の地域もしくは特定の部門または国際機関における保護のレベルに関する判定が有効に機能していることを監視しなければならず、また、指令95/46/EC の第 25 条第 6 項または第 26 条第 4 項に基づいて採択された判定が有効に機能していることを監視しなければならない。この十分性の判定において、欧州委員会は、それらが有効に機能していることを定期的に見直す仕組みを定めなければならない。この定期的な見直しは、当の第三国または国際機関との協議を経た上で、その第三国または国際機関内の関連する全ての発展を考慮に入れた上で、行われなければならない。この監視及び定期的な見直しを行う目的のために、欧州委員会は、欧州議会及び理事会並びにそれ以外の関連する組織や情報源からの意見及び判断を考慮に入れなければならない。欧州委員会は、合理的な期
間内に、後者の判定が有効に機能していることを評価し、かつ、本規則に基づいて設置されたものとしての欧州議会及び理事会の規則(EU) No 182/20111の意味における委員会、欧州議会及び理事会に対し、その調査結果を報告しなければならない。
(107) 欧州委員会は、第三国、第三国内の地域もしくは特定の部門または国際機関が十分なレベルのデータ保護を確保していない旨を判断できる。その判断の結果、当該第三国または国際機関に対する個人データの移転は、拘束的企業準則を含め、適切な安全性確保措置による移転及び特別の状況における特例に関する本規則の要件が充足されない限り、禁止されなければならない。この場合、欧州委員会と当該第三国または国際機関との間で、協議がもた
れなければならない。欧州委員会は、その状況を打開するため、適時に、その第三国または国際機関に対し、その理由を通知し、かつ、協議に入らなければならない。
欧州委員会の実装権限の行使の構成国による管理のための制度に関する規則及び一般原則を定める
欧州議会及び理事会の 2011 年 2 月 16 日の規則(EU) No 182/2011（OJ L 55, 28.2.2011, p. 13）
33
1

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

(108) 十分性の判定がない場合、管理者または処理者は、データ主体のための適切な安全性確保措置という方法によって、第三国内におけるデータ保護の欠落を補う措置を講じなければならない。そのような適切な安全性確保措置は、拘束的企業準則、欧州委員会によって採択された標準データ保護約款、監督機関によって採択された標準データ保護約款、または、監督機関によって承認された契約条項によって構成され得る。それらの安全性確保措置は、
データ主体の執行可能な権利を利用できること、並びに、実効的な行政救済または司法救済を得るためのもの及び損害賠償を請求するためのものを含む実効的な司法救済を利用できることを含め、欧州連合内における処理にとって適切なデータ保護上の義務の遵守並びにデータ主体の権利及び自由を、欧州連合内または第三国内において確保するものでなければならない。それらは、とりわけ、個人データ処理と関連する一般的な基本原則、バイデザイン
データ保護の原則及びバイデフォルトのデータ保護の原則の遵守と関連するものでなければならない。行政機関または行政組織は、確認覚書のような行政文書の中に挿入されたデー
タ主体のための執行可能で実効的な権利を定める条項に基づく場合を含め、第三国または国際機関内において対応する職責及び権能をもつ行政機関または行政組織との間で移転を行
うこともできる。安全性確保措置が法的拘束力のない行政文書によって定められている場合、職務権限をもつ監督機関による承認を受けなければならない。
(109) 欧州委員会または監督機関によって採択された標準データ保護約款を管理者または処理者が利用することができるということは、欧州委員会または監督機関によって採択された標準データ保護約款と直接または間接に矛盾せず、かつ、データ主体の基本的な権利及び自由を妨げるものではない限り、管理者または処理者が、処理者と別の処理者との間の契約のような、より広範囲の契約の中に標準データ保護約款の条項を含めることを妨げるものではなく、また、その約款の中に別の条項や安全性確保措置を追加することを妨げるものでもない。管理者及び処理者は、標準データ保護約款を補完する契約上の約定を介して、追加的な安全性確保措置を提供することが奨励されなければならない。
(110) 事業者グループまたは共同で経済活動に従事する企業グループは、そのような拘束的企業準則が、個人データの移転またはその移転の類型のための適切な安全性確保措置を確保するための全ての重要な基本原則及び執行可能な権利を含めるものである限り、欧州連合から同じ事業者グループまたは共同で経済活動に従事する企業グループ内にある組織に対する個人データの国際的な移転のために、承認された拘束的企業準則を利用できるようにしなければならない。
(111) データ主体が彼または彼女の明示の同意を与えたという一定の状況下において、規制当局の手続を含め、それが司法手続内のものであるか行政手続もしくは訴訟外手続によるものであるかを問わず、契約または訴訟との関係において、その移転が偶発的なものであり、かつ、必要なものである場合、移転を可能とするための条項が設けられなければならない。
欧州連合法または構成国法によって定められる公共の利益上の重要な法的根拠がそのような移転を求める場合、または、法律によって設置され、公衆もしくは正当な利益をもつ個人からの照会に応ずるための登録所から移転が行われる場合において、移転ができるようにするための条項も設けられなければならない。後者の場合、そのような移転は、その登録所の中に収められている個人データ全体またはデータの類型全体を含めることはできず、かつ、
34

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

正当な利益をもつ個人からの照会に対して登録所が応じようとする場合には、そのような者の要請があった際においてのみ、または、それが取得者のために行われる場合には、データ主体の利益及び基本的な権利を完全に考慮に入れた上で、移転が行われるものとしなければならない。
(112) これらの特例は、とりわけ、公共の利益上の重要な理由により求められ、その必要があるデータの移転に対して、例えば、公正取引委員会、税務当局または税関当局の間、金融監視当局の間、並びに、例えば、感染症の追跡調査の場合、または、スポーツにおけるドー
ピングの抑制及びまたは抑止のために、社会保障に関する事項もしくは公衆衛生について職
務権限を有する当局の間において行われる国際的なデータ交換の場合に適用されなければならない。個人データの移転は、データ主体がその同意を与えることができない場合において、身体的な完全性または生命を含め、データ主体またはそれ以外の者の生存の利益のために必須の利益の保護のために必要となる場合においても、適法とみなされなければならない。
十分性の判定がない場合、欧州連合法または構成国法は、公共の利益上の重要な理由のために、特別類型のデータの第三国または国際機関に対する移転の制限を明確に定めることができる。構成国は、そのような条項を、欧州委員会に対して通知しなければならない。ジュネ
ーブ諸条約に基づいて行う義務のある職務の遂行という観点から、または、武力衝突に適用可能な国際人道法を遵守するための、身体的または法的な原因により同意を与えることができないデータ主体の個人データの国際的な人道組織に対する移転は、公共の利益上の重要な理由のために、または、データ主体の生存の利益に係わるという理由により、必要なものと判断できる。
(113) 管理者の義務的な正当な利益がデータ主体の権利及び自由よりも優先するものではな
い場合であり、かつ、管理者がその移転に伴う全ての事情を評価している場合、管理者による義務的な正当な利益の目的のために、反復性がないと評価され得るものであり、かつ、限定された人数のデータ主体のみに関する移転を行うことができる。管理者は、とりわけ、個
人データの性質、予定されている処理業務の目的及び期間、並びに、移転元の国、第三国及び最終移転先の国の状況について検討しなければならず、かつ、その個人データ処理に関連する自然人の基本的な権利及び自由を保護するための適切な安全性確保措置を提供しなけ
ればならない。そのような移転は、移転のための他の適用可能な根拠が存在しないその余の場合においてのみ、これを行うことができる。科学調査もしくは歴史調査の目的または統計の目的に関しては、知識の増加に対する社会の正当な期待を考慮に入れなければならない。
管理者は、監督機関及びデータ主体に対し、その移転に関し情報提供しなければならない。
(114) 欧州委員会が第三国における十分なレベルのデータ保護についていかなる判定もしな
い場合、いかなる場合においても、管理者及び処理者は、データ主体が引き続き基本的な権
利及び安全性確保措置を享受するようにするため、データ主体のデータが移転されてしまっても、欧州連合におけるデータ主体のデータの処理と関連する執行可能かつ実効的な権利をデータ主体に提供する解決策を、利用できるようにしなければならない。
(115) 幾つかの第三国は、構成国の裁判管轄権の下にある自然人及び法人の処理活動を直接に規律することを旨とする法律、規則及びその他の法的行為を採択している。これは、管理者または処理者に対して個人データの移転または開示を求める第三国内の裁判所もしくは35

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

法廷の判決または行政機関の決定であって、司法共助協定のような要請元の第三国と欧州連合もしくは構成国との間で効力を有する国際協定に基づくものではないものを含み得る。これらの法律、規則及びそれ以外の法的行為の域外適用は、国際法違反となり得るものであり、また、本規則によって欧州連合内で確保されるべき自然人の保護の達成を害するものとなり得る。移転は、第三国への移転に関して定める本規則の要件に適合する場合にのみ、認められるものとしなければならない。これは、就中、管理者が服する欧州連合法または構成国法において認められている公共の利益上の重要な法的根拠のゆえに開示が必要となる場合に該当し得るものである。
(116) 個人データが欧州連合の対外国境を越えて移動する場合、自然人のデータ保護の権利を行使することができること、とりわけ、その情報の違法な利用または違法な開示から自らを防護することについて、リスクが増大する状況に置かれることとなり得る。それと同時に、監督機関らは、その管轄地の境界外にある活動に関しては、異議を申立て、または、調査を行うことができないと結論付けることとなり得る。国境を越えるという文脈の中で共に仕事をするという彼らの努力は、防止の権限または救済の権限が不十分であること、一貫性のない法制度、及び、資源の制約という実務的な障碍によっても妨げられ得る。それゆえ、監督機関らが国際的な相手と情報交換し、調査を行うことを支援するために、データ保護監督機関の間での緊密な協力を促進する必要がある。個人データ保護のための立法を執行するための国際的な相互支援を促進し、それを提供するための国際協力の仕組みを発展させる目的のために、欧州委員会及び監督機関は、互恵に基づき、かつ、本規則に従って、第三国内の職務権限を有する行政機関と情報交換をし、または、それらの機関の権限行使と関連する活動
において協力しなければならない。
(117) 完全な独立性をもってその職務を遂行し、その権限を行使する地位をもつ構成国内の監督機関を設けることは、自然人の個人データ処理と関連する自然人の保護の本質的な構成要素である。構成国は、その構成国の国家体制上、国家組織上及び行政組織上の構造の相違に応じて、1 または複数の監督機関を設置できるものとしなければならない。
(118) 監督機関の独立性は、その財政上の支出に関する管理もしくは監視の仕組みまたは司法審査に監督機関が服すことがないということを意味するものではない。
(119) 構成国が複数の監督機関を設ける場合、その構成国は、法律によって、一貫性確保メ
カニズムの中におけるそれらの監督機関の効果的な参加を確保するための仕組みを設けなければならない。構成国は、とりわけ、他の監督機関、委員会及び欧州委員会との迅速かつ円滑な協力関係を確保するため、そのメカニズムへの監督機関らの効果的な参加のための連絡部局として機能する監督機関を指定しなければならない。
(120) 個々の監督機関は、欧州連合全域における他の監督機関との共助及び協力と関連するものを含め、その職務を効果的に遂行するために必要となる資金上及び人員上の資源、施設
及びインフラの提供を受けるものとしなければならない。個々の監督機関は、独立の公的な予算を受ける。それは、全州の予算または国内予算の一部とすることができる。
(121) 監督機関の構成員に関する一般的な条件は、それぞれの構成国において法律によって定められなければならず、また、その条件は、とりわけ、透明性のある手続により、政府、政府の構成員、議会もしくは議会の議院、または、構成国法に基づいて信任された独立の組
36

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

織からの提案に基づき、議会、政府または構成国の州の長によってその構成員が任命されることを定めなければならない。監督機関の独立性を確保するため、その構成員は、誠実に行動し、その職務と適合しないいかなる行為をも控えなければならず、かつ、その在任中は、報酬の有無を問わず、その職務と適合しない職業に従事してはならない。監督機関は、監督機関によって選任され、または、構成国法によって設置される独立の組織によって選任される監督機関自身の職員をもつものとしなければならない。その職員は、その監督機関の構成員の指示のみに従う。
(122) 個々の監督機関は、その監督機関の構成国の領土上において、本規則に従ってその監
督機関に与えられた権限を行使し、職務を遂行するための職務権限をもつ。これは、とりわけ、その監督機関の構成国の領土上にある管理者または処理者の事業所の活動の過程における処理、行政機関または公共の利益において活動をする民間組織によって行われる個人デー
タ処理、対象となるデータ主体がその領土上に居住する場合において、欧州連合内に設けられたのではない管理者または処理者によって行われる、その構成国上の領土上におけるデー
タ主体を害する処理に対して、適用される。これは、データ主体から申立てられる異議の取り扱い、本規則の適用に関する調査の実施、並びに、個人データ処理と関連するリスク、規則、安全性確保措置及び権利についての公衆への周知の促進を含めるものとしなければならない。
(123) 監督機関は、自然人の個人データ処理に関して自然人を保護し、域内市場内における個人データの支障のない流れを促進するために、本規則による条項の適用を監視し、そして、
欧州連合全域におけるその一貫性のある適用に貢献しなければならない。その目的のために、監督機関は、共助の提供またはそのような協力に関する構成国間の協定を要することなく、相互に協力し、かつ、欧州委員会と協力しなければならない。
(124) 欧州連合内の管理者もしくは処理者の活動の過程において個人データ処理が行われ、かつ、その管理者もしくは処理者が複数の構成国において設けられている場合、または、欧州連合内の管理者または処理者の単一の事業所の活動の過程で行われる処理が複数の構成
国内のデータ主体に対して重大な悪影響を及ぼす場合、もしくは、重大な悪影響を及ぼすおそれがある場合、管理者もしくは処理者の主たる事業所のための監督機関、または、管理者
もしくは処理者の単一の事業所のための監督機関は、主監督機関として行動しなければならない。管理者または処理者がそれらの構成国の領土上に事業所をもっていることを理由として、それらの構成国に居住しているデータ主体が重大な悪影響を受けていることを理由に、
または、それらの監督機関に対して異議の申立てがなされたことを理由に、主監督機関は、他の関係監督機関と協力しなければならない。当該構成国に居住していないデータ主体が異議を申立てた場合、その異議を申立てられた監督機関も、関係監督機関となる。本規則の適用の範囲内にある問題に関する運用指針を発行する職務の中で、委員会は、とりわけ、当の処理が複数の構成国のデータ主体に対して重大な悪影響を与えるか否か、及び、関連性があり理由を付した異議はどのようなものによって構成されるのかを確認するために考慮に入れられるべき基準に関し、運用指針を発行できるものとしなければならない。
(125) 主監督機関は、本規則に従って監督機関に与えられる権限を適用する措置と関連する
拘束力のある決定を採択する職務権限をもつ。その主監督機関としての権限内において、そ37

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）の監督機関は、決定書の作成過程において、密接に関与し、関係監督機関らと協力しなければならない。その決定が、データ主体からの異議申立ての全部または一部を却下するものであるときは、その決定は、その異議申立てを受理した監督機関によって採択されなければならない。
(126) 決定は、主監督機関と関係監督機関との共同で合意されなければならない。その決定は、管理者もしくは処理者の主たる事業所宛てまたは単一の事業所宛てのものとし、その管理者及び処理者を拘束するものとしなければならない。管理者及び処理者は、本規則の遵守を確保し、そして、欧州連合内における処理活動に関する管理者または処理者の主たる事業所に対して主監督機関から通知された決定の実装を確保するために必要となる措置を講じなければならない。
(127) 主監督機関として行動しない個々の監督機関は、管理者または処理者が複数の構成国において設けられていても、特定の処理の対象が単一の構成国において行われる処理のみと関係するものであり、かつ、当該単一の構成国内のデータ主体のみを含む場合、例えば、その対象が、ある構成国の特定の雇用の過程における労働者の個人データ処理と関係する場合のような、ローカルな案件を取り扱う職務権限をもつ。そのような場合、その監督機関は、主監督機関に対し、遅滞なく、その事柄について通知しなければならない。通知を受けた後、その主監督機関は、主監督機関と他の関係監督機関との間の協力に関する条項によりその案件を取り扱うか（以下「ワンストップショップメカニズム」という）、または、その通知をした監督機関がローカルなレベルでその案件を取り扱うべきかについて判断しなければならない。その案件を取り扱うか否かを判断する際、その主監督機関は、管理者または処理者毎の決定の実効的な執行を確保するために、その通知をした監督機関の構成国内に管理者または処理者の事業所が存在するか否かを考慮に入れなければならない。その主監督機関がその案件を取り扱うと判断するときは、その案件を通知した監督機関は、決定書案を送付する機会をもつものとしなければならない。その主監督機関は、当該ワンストップショップメカニ
ズムの中で自らの決定書案を準備する際、送付された決定書案を最大限考慮に入れなければならない。
(128) 主監督機関に関する規定及びワンストップショップメカニズムに関する規定は、その処理が行政機関によって行われる場合、または、公共の利益において民間組織によって処理が行われる場合には、適用されない。そのような場合においては、本規則に従って与えられた権限を行使する職務権限をもつ監督機関のみが、その行政機関またはその民間組織が設けられている構成国の監督機関となるものとしなければならない。
(129) 欧州連合全域における本規則の一貫性のある監視と執行を確保するため、監督機関は、
とりわけ、自然人から異議を申立てられた場合において、調査権限、是正権限及び制裁、承認及び助言の権限、並びに、構成国法に基づく検察当局の権限を妨げることなく、本規則の違反行為に対して法務当局の関心を向けさせること及び訴訟手続を行うことを含め、それぞれの構成国内において同じ職務及び効果的な権限をもつ。その権限は、禁止を含め、処理の一時的または恒久的な制限を課す権限も含む。構成国は、本規則に基づく個人データ保護と関連する上記以外の職務を定めることができる。監督機関の権限は、欧州連合法及び構成国
法に定める適切な手続上の安全性確保措置に従って、公平に、公正に、かつ、合理的な期間
38

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

内に行使されなければならない。とりわけ、個々の措置は、個々の事案の事情を考慮に入れた上で、本規則の遵守を確保するという観点から適切であり、必要であり、かつ、比例的なものでなければならず、彼または彼女に対して不利益な影響を与える個々の措置が講じられる前に全ての者が聴聞を受ける権利を尊重するものであり、かつ、関係者に対する過大な費
用負担と過度の不便を避けるものでなければならない。施設へのアクセスと関連する調査権
限は、事前に裁判所の承認を得るための要件のような、構成国の手続法上の特別の要件に従って行使されなければならない。監督機関の個々の法的拘束力のある措置は、書面によるものであり、明確で紛れのないものであり、その措置を発した監督機関、その措置が発せられた日付を表示するものであり、監督機関の長の署名または彼もしくは彼女によって承認された監督機関の構成員の署名のあるものであり、その措置の理由を提供するものであり、かつ、
効果的な司法救済の権利を示すものとしなければならない。このことは、構成国の手続法による付加的な要件を妨げるものではない。法的拘束力のある決定を採択することは、その決定を採択した監督機関の構成国において、司法審査の申立てを提起できることを意味する。
(130) 異議を申立てられた監督機関が主監督機関ではない場合、主監督機関は、本規則に定める協力及び一貫性に関する条項に従い、異議を申立てられた監督機関と密接に協力しなければならない。そのような場合、その主監督機関は、行政罰を科すことを含め、法的効果を生じさせる措置を講ずる予定である場合、その異議の申立てを受けた監督機関であり、かつ、
職務権限をもつ監督機関と連絡をとりながら自己の構成国の領土上において調査を行う職
務権限を維持している監督機関の意見を最大限考慮に入れなければならない。
(131) 管理者または処理者の処理活動に関して別の監督機関が主監督機関として行動しなけ
ればならないけれども、異議が申立てられた具体的な事項または関係する違反行為のおそれが、異議申立てのあった構成国の管理者または処理者の処理のみに関係するものである場合、
または、検出された違反行為のおそれ及びその事項が、別の構成国のデータ主体に対して重大な悪影響を及ぼしておらず、または、そのおそれがない場合、異議を受理した監督機関、
または、本規則の違反行為の可能性を伴う状況を検知し、もしくは、その他の事情の情報提供を受けている監督機関は、管理者との話し合いによる解決を模索しなければならず、そして、そのような解決ができないときは、監督機関の権限を全面的に行使しなければならない。
このことは、その監督機関の構成国の領土内で行われる特定の処理、または、当該構成国の領土上のデータ主体と関連する特定の処理；その監督機関の構成国の領土内のデータ主体を特に対象とする物品または役務の提供の過程で行われる処理；または、構成国法に基づく関連する法的義務を考慮に入れて評価されなければならない処理を含めるものとしなければならない。
(132) 監督機関による公衆向けの周知活動は、マイクロ企業及び中小企業を含め、並びに、
特に教育の過程において、自然人を含め、管理者及び処理者向けの具体的な措置を含めるものとしなければならない。
(133) 監督機関は、域内市場において本規則の一貫性のある適用及び執行を確保するために、その職務の遂行において相互に支援し、また、共助を提供しなければならない。共助を要請する監督機関は、共助を求める要請に対して当該別の監督機関からその要請を受領した後 1か月以内に何らの回答も受けない場合、暫定的な措置を採択できる。
39

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(134) 個々の監督機関は、それが適切なときは、他の監督機関との共同の職務遂行に参加しなければならない。要請を受けた監督機関は、指定された期限内に、その要請に対する回答を義務付けられるものとしなければならない。
(135) 欧州連合全域における本規則の一貫性のある適用を確保するため、監督機関の間の協力のための一貫性確保メカニズムが構築されなければならない。とりわけ、複数の構成国内の大勢のデータ主体に対して重大な悪影響を及ぼす処理業務に関し、法的効果を発生させる措置を監督機関が採択しようとする場合、このメカニズムが適用されなければならない。関
係監督機関または欧州委員会が、そのような事柄は一貫性確保メカニズムの中で取り扱われるべきであると要求する場合においても、それが適用されなければならない。そのメカニズ
ムは、欧州委員会が諸条約に基づく権限を行使する際に講ずることのできる措置を妨げない。
(136) 一貫性確保メカニズムを適用する際、委員会は、委員会の構成員の多数がそのように判断した場合、または、関係監督機関もしくは欧州委員会からそのように要請された場合、定められた期間内に、その意見を発しなければならない。監督機関の間で見解の対立がある
場合、委員会は、法的拘束力のある決定を採択する権限も与えられなければならない。その目的のために、委員会は、監督機関の間において見解の対立があることが明確に示されている案件において、とりわけ、協力の仕組みの中で主監督機関と関係監督機関との間でその案件の結論について対立がある場合、特に本規則の違反行為があるか否かについて対立がある場合において、原則として、その構成員の 3 分の 2 の多数決により、法的拘束力のある決定をしなければならない。
(137) とりわけ、データ主体の権利の執行が深刻に害され得るような危険が存在する場合において、データ主体の権利及び自由を保護するために行動する緊急の必要があり得る。それゆえ、監督機関は、その監督機関の領土内において、3 か月を超えない期間内で有効性をもつ指定された期間内、正当な根拠をもつ暫定的な措置を採択できるものとしなければならない。
(138) そのような仕組みを適用することは、その適用が義務的なものである場合、それらの案件において監督機関によって法的効果を発生させることが予定されている措置の適法性のための条件となるものとしなければならない。これ以外の国境を越える関連案件に関しては、主監督機関と関係監督機関との間の協力の仕組みが適用されなければならず、また、一貫性確保メカニズムを発動させることなく、2 国間または多国間で、関係監督機関の間の共助及び共同の職務遂行が行われ得る。
(139) 本規則の一貫性のある適用を促進するため、委員会は、欧州連合の独立の組織として設置されなければならない。この目的を充足するために、委員会は、法人格をもつものとしなければならない。委員会は、その委員長によって代表される。委員会は、指令 95/46/EC によって設置された個人データの保護と関連する個人の保護に関する作業部会と置き換わる
ものとしなければならない。委員会は、それぞれの構成国の監督機関の長及び欧州データ保護監督官またはそれらそれぞれの者の代理者によって構成されるものとしなければならな
い。欧州委員会は、議決権なく委員会の活動に参加するものとし、また、欧州データ保護監
督官は、特別の議決権をもつものとしなければならない。委員会は、とりわけ、第三国または国際機関における保護のレベルに関して欧州委員会に助言することによる場合、及び、欧40

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

州連合全域における監督機関の協力を促進することによる場合を含め、欧州連合全域における本規則の一貫性のある適用のために貢献しなければならない。委員会は、その職務を遂行する際、独立して行動しなければならない。
(140) 委員会は、欧州データ保護監督官から提供される事務局によって補佐される。本規則
によって委員会の権限とされる職務に関与する欧州データ保護監督官の職員は、委員会の委
員長の指示の下においてのみその職務を遂行し、かつ、その委員長に直属する。
(141) 全てのデータ主体は、とりわけ、彼または彼女の定居住地の構成国において、単一の監督機関に異議を申立てる権利をもち、かつ、本規則に基づく彼または彼女の権利が侵害されたと判断する場合、または、監督機関が異議について何も行動せず、その異議の全部または一部を棄却もしくは却下し、または、そのような行動がデータ主体の権利を保護するために必要である場合に何ら行動しない場合、憲章の第 47 条に従い、効果的な司法救済を受ける権利をもつものとしなければならない。異議申立て後の調査は、司法審査に服するものとして、特定の案件において適切な範囲内で行われなければならない。監督機関は、データ主体に対し、合理的な期間内に、その異議の進捗状況及び結果について、情報提供しなければならない。更なる調査または別の監督機関との連携が必要となる場合、データ主体に対し、中間的な情報提供が行われなければならない。異議の申立てを容易にするために、各監督機関は、他の通信手段を排除することなく、電子的に完結できる異議申立ての方式を提供するといったような措置を講じなければならない。
(142) データ主体が、本規則に基づく彼または彼女の権利が侵害されていると判断する場合、彼または彼女は、構成国法に従って組織され、公共の利益に属する制定法上の目的をもち、かつ、彼または彼女の代わりとなって監督機関に異議の申立てをし、データ主体の代わりとなって司法救済の権利を行使し、または、構成国が定めている場合には、データ主体の代わりとなって損害賠償金を受領する権利を行使するために、個人データの保護の領域において活動する非営利の組織、団体または協会に対し、委任する権利をもつものとしなければならない。構成国は、データ主体の委任を受けることなく、そのような組織、団体または協会が当該構成国において異議を申し立てる権利、及び、それらの組織が、本規則に違反する個人
データ処理の結果としてデータ主体の権利が侵害されていると判断すべき根拠をもつ場合
における効果的な司法救済の権利を定めることができる。その組織、団体または協会は、データ主体の委任を受けることなく、データ主体の代わりに損害賠償を請求することは認められない。
(143) 自然人または法人は、TFEU の第 263 条に定める条件の下で、司法裁判所において、委員会の決定の取消しを求める訴えを提起する権利をもつ。その決定の名宛人として、その決定に対して不服申立てをする意思のある関係監督機関は、TFEU の第 263 条に従い、その決定が通知された後2 か月以内に訴えを提起しなければならない。
委員会の決定が、管理者、処理者または異議申立人に対する直接的かつ個別的な決定である場合、それらの者は、TFEUの第 263 条に従い、委員会の Web サイト上でその決定が公示された時から 2 か月以内に、その決定の取消しを求める訴えを提起することができる。TFEU の第 263 条に基づくこの権利を妨げることなく、個々の自然人または法人は、それらの者に関して法的効果を発生させる監督機関の決定を不服として、職務権限をもつ自国の裁判所において、効果的な司法救済41

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）を得るものとしなければならない。そのような決定は、とりわけ、監督機関による調査権限、是正権限及び承認権限と関係するもの、または、異議の棄却もしくは却下に関するものである。ただし、効果的な司法救済の権利は、監督機関から発された意見や提供された助言のよ
うな、監督機関によって講じられた法的拘束力のない措置については、適用対象外となる。
監督機関に対する訴訟手続は、その監督機関が設けられている構成国の裁判所において提起されなければならず、かつ、当該構成国の手続法に従って行われなければならない。これらの裁判所は、裁判管轄権を全面的に行使しなければならない。その管轄権は、その裁判所に提起された紛争と関係する全ての事実上の争点及び法律上の争点を審理するための裁判管轄権を含むものとしなければならない。
異議申立てが監督機関によって却下または棄却された場合、その異議申立人は、同じ構成
国内の裁判所において、訴訟を提起できる。本規則の適用と関係する司法救済の過程においては、その事件について判決を与えることを可能とするために必要な争点の判断をする国内
裁判所は、欧州司法裁判所に対し、本規則を含め、欧州連合法の解釈に関する先決裁定を与えることを求めることができ、TFEU の第 267 条に規定する場合には、そのように求めなければならない。更に、委員会の決定を実装する監督機関の決定に対して国内裁判所において不服申立てがなされ、かつ、その委員会の決定の有効性が争点となっている場合、当該国内裁判所は、その委員会の決定を無効であると宣言する権限をもたず、その国内裁判所がその決定を無効であると判断するときは、欧州司法裁判所によって解釈されるものとしての
TFEU の第 267 条に従い、その有効性に関する争点の判断を欧州司法裁判所に照会しなければならない。ただし、国内裁判所は、とりわけ、それが当該決定によって直接的かつ個別に関係するものであっても、TFEU の第 263 条に定める期間内にその申立てがなされたものではない場合、その決定の取消しを求める訴訟を提起する機会をもっていた自然人または法人の求めに対し、当該委員会の決定の有効性に関する争点の判断の照会をしないものとすることができる。
(144) 監督機関の決定を不服とする訴訟の提起を受けた裁判所が、同じ管理者または処理者による処理と判断できる同じ対象である場合のような、同じ処理と関係する訴訟手続、または、同じ訴訟原因による訴訟手続が、他の構成国の管轄権をもつ裁判所に提起されていると信ずべき根拠をもつときは、その裁判所は、そのような関連訴訟の存在を確認するために当該裁判所と連絡をとらなければならない。関連訴訟手続が他の構成国の裁判所に係属しているときは、最初に訴訟係属した裁判所以外の裁判所は、その訴訟手続の進行を停止することができ、また、最初に訴訟係属した裁判所が当の訴訟手続について管轄権をもち、かつ、その構成国法がそのような関連訴訟事件の併合を認めている場合、どちらか一方の訴訟当事者
からの求めにより、最初に訴訟係属した裁判所の管轄権を優先させることができる。別の訴訟手続から相反する内容の判決が生ずるリスクを避けるため、異なる訴訟手続が密接に関係しており、それらについて一緒に審理し判断したほうが得策である場合には、それらの訴訟
手続は、関連するものとみなされる。
(145) 管理者または処理者を相手方とする訴訟手続に関し、管理者がその公権力の行使において行動する構成国の行政機関である場合を除き、原告は、管理者または処理者がその事業所をもつ構成国の裁判所、または、データ主体の居住地である構成国の裁判所において、訴42

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

えを提起する選択肢をもつものとしなければならない。
(146) 管理者または処理者は、いずれかの者が本規則に違反する処理の結果として被る損害の賠償をしなければならない。管理者または処理者は、その損害に関しいかなる態様の責任もないことを証明したときは、その法的責任を免れる。損害の概念は、本規則の目的を完全に反映する態様で、欧州司法裁判所の判例法に照らし、幅広く解釈されなければならない。
これは、欧州連合法または構成国法中の他の規定の違反から生ずる損害に関するいかなる訴訟をも妨げるものではない。本規則に違反する処理は、本規則及び本規則の細則を定める構
成国法に従って採択される委任される行為及び実装行為に違反する処理も含む。データ主体
は、彼らが被った損害について、完全かつ効果的な損害賠償を受けるものとしなければならない。管理者または処理者が同じ処理に関与する場合、個々の管理者または処理者は、損害の全部について法的責任を負わなければならない。ただし、それらの者が同じ訴訟手続に加わっている場合、被害を受けたデータ主体の完全かつ効果的な損害賠償が確保される限り、構成国法に従い、その処理から生じた損害について、個々の管理者または処理者の責任の割合に応じた賠償とすることができる。全額を弁償した管理者または処理者は、その後に、同じ処理に関与した他の管理者または処理者を相手方として、求償請求の訴えを提起できる。
(147) とりわけ、損害賠償を含め、管理者または処理者を相手方として司法救済を求める訴
訟手続に関し、裁判管轄権に関する特別規定が本規則の中に含まれている場合、欧州議会及び理事会の規則(EU) No 1215/20121中の規定のような裁判管轄権に関する一般的な規定は、そのような特別規定の適用を妨げてはならない。
(148) 本規則の規定の実効的な執行を強化するために、本規則により監督機関によって課される適切な措置に加え、または、これに代えて、本規則の違反行為に対し、行政罰を含め、制裁が加えられなければならない。軽微な違反行為の場合、または、課される罰金が自然人に対して過大な負担を構成するような場合、罰金の代わりに注意処分を行うことができる。
ただし、その違反行為の性質、重大性及び持続期間、その違反行為が意図的なものであること、被った損害を軽減させるために講じられた行動、責任の程度及び関連する過去の違反行為、その違反行為がどのようにして監督機関に認知されることになったのか、管理者または処理者に対して命じられた措置の遵守、行動準則の遵守、並びに、これら以外の増悪要素及び軽減要素を適正に考慮しなければならない。行政罰を含め、制裁の実施は、効果的な司法上の保護及び適正手続を含め、欧州連合法及び憲章の一般的な基本原則に従う適切な手続上の安全性確保措置に服するものとしなければならない。
(149) 構成国は、本規則に従って、または、本規則の制限の範囲内で採択された国内規定の違反行為に関するものを含め、本規則の違反行為に対する刑事罰に関する規定を定めることができる。その刑事罰は、本規則の違反行為によって得られた利益の没収を認めることもできる。ただし、そのような国内規定の違反行為に対して刑罰及び行政上の制裁を加えることが、司法裁判所によって解釈されるものとしての一事不再理の原則を侵害するような結果を導いてはならない。
(150) 本規則の違反行為に対する行政上の制裁を強化し、整合性のとれたものとするため、裁判管轄権並びに民事及び商事における判決の承認及び執行に関する欧州議会及び理事会の 2012 年
12 月 12 日の規則(EU) No 1215/2012（OJ L 351, 20.12.2012, p.1）
431

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

各監督機関は、行政罰を加える権限をもつものとしなければならない。本規則は、関連する
行政罰を決定するための違反行為、上限及び基準を示すものとしなければならならず、それは、個々の事案において、監督機関によって、特定の状況における全ての関連する事情を考慮に入れた上で、とりわけ、違反行為の性質、重大性及び持続期間、その結果として発生した事態、並びに、本規則に基づく義務の遵守を確保し、違反行為による結果の発生を防止または軽減するために講じられた措置を適切に考慮した上で、決定されなければならない。行
政罰が事業者に対して加えられる場合、その目的のために、事業者とは、TFEU の第 101 条
及び第 102 条による事業者として理解されなければならない。行政罰が事業者ではない者に対して加えられる場合、監督機関は、罰の適切な金額を検討するに際し、その構成国における一般的な所得レベル及び当該の者の経済状態を考慮に入れなければならない。一貫性確保
メカニズムは、行政罰の一貫性のある適用を促進するためにも用いることができる。行政機関が行政罰に服すべきか否か及びその範囲は、構成国によって定められなければならない。
行政罰を加えること、または、注意処分を与えることは、本規則に基づく監督機関のそれ以外の権限の行使またはそれ以外の制裁の適用に影響を及ぼすものではない。
(151) デンマーク及びエストニアの法制度は、本規則に定める行政罰を認めていない。これ
らの構成国におけるそのような法令の適用が監督機関によって加えられる行政罰と均等の効果をもつ限り、デンマークにおいては、職務権限をもつ国内裁判所によって刑罰として罰金が科されるものとし、そして、エストニアにおいては、監督機関によって微罪の手続の枠組みの中で罰金が科されるものとするという方法で、行政罰に関する法令を適用できる。それゆえ、職務権限をもつ国内裁判所は、罰金を求める監督機関からの勧告を考慮に入れなければならない。いずれの場合においても、罰金は、効果的であり、比例的であり、かつ、抑止力のあるものでなければならない。
(152) 本規則が行政上の制裁と整合しない場合、または、例えば、本規則の重大な違反行為の場合のような、それ以外の場合にその必要性があるときは、構成国は、効果的であり、比例的であり、かつ、抑止力のある処罰を定める法制度を実装しなければならない。そのような制裁の法的性質、刑事罰とするか行政罰とするかは、構成国法によって定められるものとしなければならない。
(153) 構成国法は、報道、学問上、芸術または文学上の表現を含め、表現及び情報伝達の自由を規律する規定と、本規則による個人データの保護の権利との間の調和を図らなければならない。報道の目的のため、または、学問上、芸術もしくは文学上の表現のためにのみ行われる個人データ処理は、個人データの保護に関する権利と憲章の第 11 条に掲げられている表現及び情報伝達の自由の権利とを調和させる必要があるときは、本規則の一定の条項からの特例または例外に服さなければならない。このことは、とりわけ、視聴覚の分野並びにニュースアーカイブ及び報道ライブラリにおける個人データ処理に関して適用されなければならない。それゆえ、構成国は、これらの基本的な諸権利の間のバランスをとる目的のために必要な例外条項及び特例条項を定める立法上の措置を講じなければならない。構成国は、一般的な基本原則、データ主体の権利、管理者及び処理者、第三国または国際機関に対する
個人データの移転、独立の監督機関、協力と一貫性、並びに、特別のデータ処理に関し、そのような例外条項及び特例条項を採択しなければならない。そのような例外条項または特例
44

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

条項が構成国間で区々になっている場合、管理者が服する構成国の法律が適用される。全ての民主主義社会における表現の自由の権利の重要性を考慮に入れるため、報道のような、表現の自由と関連する諸概念を広く解釈する必要がある。
(154) 本規則は、本規則の適用の際に考慮されるべき、公文書への公衆のアクセスの原則を認める。公文書への公衆のアクセスは、公共の利益に属するものと考えることができる。行政機関または行政組織によって保有される文書中の個人データは、その行政機関または行政組織が服する欧州連合法または構成国法によってその開示が定められている場合、その行政機関または行政組織によって公衆に開示され得るものとしなければならない。そのような法律は、公文書への公衆のアクセス及び公的分野にある情報の再利用と個人データの保護の権利との調和を図るものとしなければならず、また、それゆえ、本規則による個人データの保護の権利との必要な調和を図ることを定めることができる。行政機関及び行政組織に対する照会は、その文脈において、文書への公衆のアクセスに関する構成国法の適用範囲内にある全ての機関及びそれ以外の組織を含むものとしなければならない。欧州議会及び理事会の指令 2003/98/EC1は、そのまま維持されており、そして、欧州連合法または構成国法の条項に基づく個人データ処理と関連する自然人の保護のレベルに対して、いかなる方法においても影響を与えることがなく、また、とりわけ、本規則に定める義務及び権利を変更するものではない。とりわけ、同指令は、個人データの保護を根拠とするアクセス制度によりアクセスが禁止または制限されている文書、及び、その制度により部分的に公開可能な文書であっても、その部分の二次利用が個人データ処理と関連する自然人の保護に関する法律と適合しない
ものと法律によって定められた個人データを含んでいる部分をもつものには適用されない。
(155) 構成国法、または、「労働協約」を含む協約は、雇用の過程における労働者の個人デー
タ処理に関して、とりわけ、雇用の過程において、労働者の同意に基づき、求人、法律または協約に定める就労義務の履行を含む雇用契約の履行、仕事の管理、企画及び編成、職場における平等と多様性、職場における健康と安全の目的、及び、個人ベース及び集団ベースで、雇用と関連する権利の行使及び利益の享受の目的、並びに、雇用関係の終了の目的のために
個人データを処理することができる場合の条件に関して、その特別規定を定めることができる。
(156) 公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のための個人データ処理は、本規則により、データ主体の権利及び自由のための適切な安全性確保措置に服するものとしなければならない。それらの安全性確保措置は、とりわけ、データのミニマム化の原則を確保するために、技術上及び組織上の措置が設けられることを確保しなければならない。公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のための個人データの別の目的による処理は、（例えば、データの仮名化のような）適切な安全性確保措置が存在することを条件として、データ主体の識別を許さない、もしくは、許さなくなったデータの処理によってその目的を充足させることができるということを管理者が評価したときは、行われるべきである。構成国は、公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のため
公的部門の情報の二次利用に関する欧州議会及び理事会の 2003 年 11 月 17 日の指令 2003/98/EC（OJ
L 345, 31.12.2003, p. 90）
45
1

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）に行われる個人データ処理のための適切な安全性確保措置に関して定めなければならない。
構成国は、公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のために個人データ処理が行われる場合、特別の条件の下で、かつ、データ主体のための適切な安全性確保措置に服して、情報提供義務、並びに、訂正の権利、削除の権利、忘れられる権利、処理の制限の権利、データの可搬性の権利及び異議を述べる権利に関し、その細則及び特例を定めることが認められる。当の条件及び安全性確保措置は、比例性原則
及び必要性原則に従って個人データをミニマム化することを狙いとする技術上及び組織上の措置に沿う特別の処理によって求められる目的に照らしてそれが適切である場合、データ
主体がそれらの権利を行使するための特別の手続を伴うものとすることができる。また、科学調査の目的のための個人データ処理は、臨床試験に関する法令のような、関連する他の立法を遵守しなければならない。
(157) 登録所からの情報と連結することによって、研究者は、心血管疾患、ガン及びうつ病のような広い範囲の健康状態と関連する大きな価値のある新たな知識を得ることができる。
登録所を基盤として、その研究結果は、より大きな人口に基づいて考察するものとして拡大され得る。社会科学の範囲内では、登録所に基づく調査は、失業及び教育のような、多数の社会条件とそれ以外の生活条件との長期間にわたる相関関係に関する基礎的な知識を研究者が得ることができるようにするものである。登録所から得られる調査結果は、安定的で高品位の知識を提供し、それは、知識に基づく政策の形成や実施のための基礎を提供し、大勢の人々の生活の質を向上させ、そして、社会サービスの効率性を向上させ得るものである。
科学的な調査を促進するために、個人データは、欧州連合法または構成国法に定める適切な要件及び安全性確保措置に服して、科学調査の目的のために、処理できる。
(158) アーカイブの目的のために個人データが処理される場合、本規則は、死亡した者に対しては本規則が適用されないことに留意した上で、その処理にも適用されなければならない。
公共の利益の記録を保有する行政機関または行政組織もしくは民間組織は、欧州連合法または構成国法により、一般的な公共の利益のための不朽の価値を有する記録の収集、保存、鑑定、編纂、記述、送信、広報、普及及び配布をし、かつ、その記録へのアクセスを提供すべ
き法的義務をもつ公共機関でなければならない。構成国は、例えば、かつての全体主義国家
体制下の政治的活動、ジェノサイド、人道に対する罪、とりわけ、ホロコースト、または、
戦争犯罪と関連する特別の情報を提供するという観点から、アーカイブの目的のための個人
データの別の目的による処理を定めることも認められるものとしなければならない。
(159) 科学調査の目的で個人データが処理される場合、本規則は、その処理にも適用される。
本規則の目的のために、科学調査の目的のための個人データ処理は、例えば、技術開発及び展示、基礎研究、応用研究並びに民間資金の提供を受けた研究を含め、幅広く解釈されなけ
ればならない。加えて、欧州の研究領域を達成するという TFEU 第 179 条第 1 項に基づく欧州連合の目的を考慮に入れなければならない。科学調査の目的は、公衆衛生の領域において公共の利益において行われる研究も含めるものとしなければならない。科学調査の目的のための個人データ処理の特殊性に適合させるため、とりわけ、科学調査の目的の過程における個人データの出版またはそれ以外の開示に関しては、特別の条件が適用されなければならない。とりわけ、健康という文脈における科学調査の結果が、データ主体の利益において、別46

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）の措置のための根拠を与える場合、そのような措置の観点から、本規則の一般的な規定が適用されなければならない。
(160) 歴史調査の目的で個人データが処理される場合、本規則は、その処理にも適用される。
死亡した者に対しては本規則が適用されないことに留意した上で、これは、歴史調査及び地理調査の目的を含めるものとしなければならない。
(161) 臨床試験における科学的な研究活動への参加に同意する目的のためには、欧州議会及び理事会の規則(EU) No 536/20141の関連条項が適用されなければならない。
(162) 統計の目的のために個人データが処理される場合、本規則は、その処理に適用される。
欧州連合法または構成国法は、本規則の制限の範囲内で、統計の内容、アクセス管理、統計の目的による個人データ処理の仕様、並びに、データ主体の権利及び自由の安全性を確保し、統計上の秘密を確保するための適切な措置を定めなければならない。統計の目的とは、統計調査または統計結果の作成のために必要となる個人データの収集及び処理の業務遂行のことを意味する。統計結果は、科学調査の目的を含め、更に、異なる目的のために用いることができる。統計の目的は、統計の目的による処理の結果が、個人データではなく、集約されたデータであること、そして、その結果または個人データが特定の自然人に関する措置または判定を支援する際に用いられるものではないことを意味する。
(163) 欧州連合の公式統計及び構成国の公式統計を作成するために欧州連合の統計局及び構成国の統計局が収集する機密性のある情報は、保護されなければならない。欧州統計は、TFEU の第 338 条第 2 項に定める統計上の基本原則に従って設けられ、作成され、かつ、配布されるものとしなければならない。他方において、構成国の統計は、構成国法を遵守しなければならない。欧州議会及び理事会の規則(EC) No 223/20092は、欧州統計のために統計上の秘密に関する別の細則を定めている。
(164) 管理者または処理者から個人データへのアクセス及びその施設へのアクセスを得るための監督機関の権限に関し、構成国は、法律により、本規則の制限の範囲内で、個人データの保護の権利と職務上の守秘義務との整合性を保つために必要となる範囲内において、職務上の秘密またはそれと均等の機密保持義務を防護するための特別規定を採択できる。これは、欧州連合法によって要求される場合、職務上の守秘義務に関する法令を採択すべき構成国の既存の義務を妨げるものではない。
(165) 本規則は、TFEU の第 17 条において承認されているように、構成国内にある教会、宗教団体及び宗教上の集団の現行の憲法に基づく地位を尊重し、かつ、これを妨げない。
(166) 本規則の目的、すなわち、自然人の基本的な権利及び自由、とりわけ、自然人の個人
データ保護の権利を保護し、かつ、欧州連合内における個人データの支障のない移転を確保

人間用の医療機器の臨床試験に関する、及び、
指令 2001/20/EC を廃止する欧州議会及び理事会の 2014
年 4 月 16 日の規則(EU) No 536/2014（OJ L 158, 27.5.2014, p.1）
2
欧州の統計に関する、並びに、欧州共同体統計局に対する統計上の秘密に服するデータの移転に関する欧州議会及び理事会の規則(EC, Euratom) No 1101/2008 を廃止し、欧州共同体の統計に関する理事会
規則(EC) No 332/97 を廃止し、及び、Euratom の欧州委員会統計計画委員会の設置に関する理事会決定
89/382/EEC を廃止する欧州議会及び理事会の 2009 年 5 月 11 日の規則(EC) No 223/2009（OJ L 87,
31.3.2009, p.164）47
1

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）するために、TFEU の第 290 条による行為を採択する権限が欧州委員会に委任される。とりわけ、認証方法の基準及び要件、標準化されたアイコンによって表示されるべき情報及びそのアイコンを提供する手続に関して、委任される行為が採択されなければならない。専門家
レベルのものを含め、欧州委員会がその作業を準備する間に適切に協議を行うことは、特に重要なことである。欧州委員会は、委任された行為を準備し、起草する際、欧州議会及び理事会に対し、同時に、適時に、かつ、適切に、関連文書を送付することを確保しなければならない。
(167) 本規則の実装のための統一的な条件を確保するため、本規則によって定められている
場合、欧州委員会に対してその実装権限が与えられなければならない。この権限は、規則(EU)No 182/2011 に従って行使されなければならない。その過程において、欧州委員会は、マイクロ企業及び中小企業のための具体的な措置を検討しなければならない。
(168) 管理者と処理者の間及び処理者間における標準約款；行動準則；認証のための技術基
準及び認証方法；第三国、第三国内における地域もしくは特定の部門または国際機関によって与えられる十分なレベルの保護；標準データ保護約款；拘束的企業準則のための管理者、処理者及び監督機関間の電子的な手段による情報交換のフォーマット及び手続；共助；監督機関の間及び監督機関と委員会の間での電子的な手段による情報交換のための手配に関する実装行為の採択のために、審議手続が用いられなければならない。
(169) 利用可能な証拠によって、第三国、第三国内の地域もしくは特定の部門または国際機関が十分なレベルの保護を確保していないことが明らかになり、かつ、緊急性という正当化根拠があるときは、欧州委員会は、直ちに、適用可能な実装行為を採択しなければならない。
(170) 本規則の目的、すなわち、欧州連合の全域における自然人の保護及び個人データの支
障のない移転の均等なレベルでの確保は、構成国によっては十分に達成することができず、そのような行為の規模及び効果のゆえに、欧州連合レベルでより良くその目的を達成することができるものであるから、欧州連合は、欧州連合条約（TFU）の第 5 条に定める補完性原則に従い、措置を採択できる。同条に定める比例性原則に従い、本規則は、その目的を達成するために必要なところを超えることがない。
(171) 指令 95/46/EC は、本規則によって廃止される。本規則が適用される日において既に行われている処理は、本規則の発効の後 2 年以内に、本規則に適合するようにされなければならない。処理が指令 95/46/EC による同意に基づくものである場合、その同意を与えた態様が本規則の条件に沿うものである限り、本規則の適用の日の後に管理者がその処理を継続することができるようにするために、データ主体が彼もしくは彼女の同意を重ねて提供することを要しない。指令 95/46/EC に基づいて採択され、監督機関によって承認された欧州委員会の決定は、その改正、置き換えまたは廃止があるまでの間は、その有効性を維持する。
(172) 欧州データ保護監督官は、規則(EC) No 45/2001 の第 28 条第 2 項に従って協議をし、2012 年 3 月 7 日にその意見書を 1提出した。
(173) 本規則は、管理者の義務及び自然人の権利を含め、欧州議会及び理事会の指令
2002/58/EC2に定めるのと同じ特別の義務に服さない個人データ処理とそれぞれ対応する基1
2

OJ C 192, 30.6.2012, p. 7.
電子通信分野における個人データの保護及びプライバシーの保護に関する欧州議会及び理事会の48

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

本的な権利及び自由の保護に関する全ての事柄に適用される。本規則と指令 2002/58/EC との関係を明確にするため、同指令は、しかるべく改正されなければならない。本規則が採択された後、指令 2002/58/EC は、特に本規則との整合性を確保するために、見直されなければならない。

2002 年 7 月 12 日の指令 2002/58/EC（プライバシー及び電子通信に関する指令）（OJ L 201, 31.7.2002,
p.37）
49

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 1 章 一般規定
第 1 条 対象事項及び目的
1. 本規則は、個人データ処理と関連する自然人の保護に関する規定及び個人データの支障のない移動に関する規定を定める。
2. 本規則は、自然人の基本的な権利及び自由、並びに、とりわけ、彼らの個人データの保護の権利を保護する。
3. 欧州連合内における個人データの支障のない移動は、個人データ処理と関連する自然人の保護と関係する理由のゆえに制限されることも禁止されることもない。
第 2 条 実体的適用範囲
1. 本規則は、その全部または一部が自動的な手段による個人データ処理に対し、並びに、自動的な手段以外の方法による個人データ処理であって、ファイリングシステムの一部を構成するもの、または、ファイリングシステムの一部として構成することが予定されているものに対し、適用される。
2. 本規則は、以下の個人データ処理には適用されない：(a) 欧州連合法の適用範囲外にある活動の過程で行われる場合；(b) 構成国によって欧州連合条約第5 款第2 章の適用範囲内にある活動が行われる場合；(c) 自然人によって純粋に私的な行為または家庭内の行為の過程において行われる場
合；(d) 公共の安全への脅威に対する防護及びその脅威の防止を含め、職務権限を有する機関によって犯罪行為の防止、捜査、検知もしくは訴追または刑罰の執行のために行われる場合。
3. 欧州連合の機関、組織、事務局及び部局による個人データ処理に関しては、規則(EC) No
45/2001 が適用される。規則(EC) No 45/2001 及び個人データのそのような処理に適用可能な
同規則以外の欧州連合の法令は、第 98 条に従い、本規則の基本原則及び規定に適合するように調整される。
4. 本規則は、指令 2000/31/EC の適用、とりわけ、同指令の第 12 条ないし第 15 条にある中間介在サービスプロバイダの法的責任に関する規定の適用を妨げない。
第 3 条 地理的適用範囲
1. 本規則は、その処理が欧州連合内で行われるものであるか否かを問わず、欧州連合内の管理者または処理者の事業所の活動の過程における個人データ処理に適用される。
2. 処理活動が以下と関連する場合、本規則は、欧州連合内に設けられたのではない管理者または処理者による欧州連合内のデータ主体の個人データ処理に適用される：(a) データ主体の決済が要求されるか否かを問わず、そのような欧州連合内のデータ主50

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

体に対する物品または役務の提供；または(b) データ主体の行動が欧州連合内で起きるものである限り、その行動の監視。
3. 本規則は、欧州連合内に設けられたのではない管理者によるものであっても、国際公法の効力により構成国法の適用のある場所において行われる個人データ処理に適用される。
第 4 条 定義
本規則の目的のために：(1) 「個人データ」とは、識別された自然人または識別可能な自然人（「データ主体」）に関する情報を意味し；識別可能な自然人とは、とりわけ、氏名、識別番号、位置データ、オン
ライン識別子のような識別子を参照することによって、または、当該自然人の肉体的、生理的、遺伝的、精神的、経済的、文化的または社会的な同一性を示す 1 または複数の要素を参照することによって、直接的または間接的に、識別され得る者のことであり；(2) 「処理」とは、それが自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正もしくは変更、検索、参照、使用、送信による開示、配布、または、それら以外に利用可能なものとすること、整列もしくは結合、制限、消去もしくは破壊のような、個人データもしくは一群の個人データに実施される業務遂行または一群の業務遂行のことを意味し；(3) 「処理の制限」とは、将来におけるその処理を限定するために、記録保存された個人データに目印をつけることを意味し；(4) 「プロファイリング」とは、自然人と関連する一定の人格的側面を評価するために、とりわけ、当該自然人の業務遂行能力、経済状態、健康、個人的嗜好、興味関心、信頼性、行動、位置及び移動に関する側面を分析または予測するために、個人データの利用によって構成される、全ての形態の、個人データの自動的な処理を意味し；(5) 「仮名化」とは、当該追加的な情報が分離して保管されており、かつ、その個人データが識別された自然人または識別可能な自然人に属することを示さないことを確保するための技術上及び組織上の措置の下にあることを条件として、その追加的な情報を使用することなしには、その個人データが特定のデータ主体に割り当てられていることを示すことができないようにする態様で行われる個人データ処理を意味し；(6) 「ファイリングシステム」とは、個人データの構成された集合体であって、機能上または地理上における集中型、放射状型または分散型の別を問わず、特定の基準に従ってアクセス可能なものを意味し；(7) 「管理者」とは、自然人または法人、行政機関、部局またはそれ以外の組織であって、単独でまたは他の者と共同で、個人データ処理の目的及び方法を決定する者のことを意味し；その処理の目的及び方法が欧州連合法または構成国法によって決定される場合、管理者または管理者を指定するための特別の基準は、欧州連合法または構成国法によって定めることができ；(8) 「処理者」とは、管理者の代わりに個人データを処理する自然人もしくは法人、行政機
関、部局またはそれ以外の組織のことを意味し；
51

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

(9) 「取得者」とは、第三者であるか否かを問わず、個人データの開示を受ける自然人もしくは法人、行政機関、部局またはそれ以外の組織を意味する。ただし、欧州連合法または構
成国法に従って特別の調査の枠組み内で個人データを取得できる行政機関は、取得者とはみなされず；それらの行政機関によるそのデータの処理は、その処理の目的に従い、適用可能なデータ保護の規定を遵守するものとし；(10) 「第三者」とは、データ主体、管理者、処理者、及び、管理者または処理者の直接の承認の下で個人データ処理を承認されている者以外の自然人もしくは法人、行政機関、部局ま
たはそれ以外の組織を意味し；(11) データ主体の「同意」とは、任意に与えられ、特定され、事前に説明を受けた上での、不明瞭ではない、データ主体の意思の表示であって、それによって、彼もしくは彼女が、その言辞または明確に肯定的な行動により、彼もしくは彼女と関連する個人データ処理の同意を表明するものを意味し；(12) 「個人データ侵害」とは、事故によるまたは違法な、破壊、喪失、改変、無権限の開示または無権限のアクセスを導くような、送受信され、記録保存され、または、それ以外の処理が行われる個人データの安全性に対する侵害のことを意味し；(13) 「生体データ」とは、自然人の生来的または獲得された生体特徴と関連する個人データであって、当該自然人の生理または健康に関するユニークな情報を与えるもの、及び、とりわけ、当の自然人からの生体サンプルの分析から得られるもののことを意味し；(14) 「遺伝子データ」とは、自然人の身体的、生理的または行動的な特性と関連する特別な技術的処理から得られる個人データであって、顔画像や指紋データのように、当該自然人のユニークな識別をできるようにするもの、または、その識別を確認するもののことを意味し；(15)「健康に関するデータ」とは、医療サービスの提供を含め、自然人の身体的または精神的な健康と関連する個人データであって、彼または彼女の健康状態に関する情報を明らかにするもののことを意味し；(16) 「主たる事業所」とは、以下のものを意味し：(a) 複数の構成国に事業所をもつ管理者に関しては、個人データ処理の目的及び方法の決定が欧州連合内の管理者の別の事業所で行われ、かつ、当該事業所がその決定を実施する権限をもち、そのような決定を実施する事業所が主たる事業所とみなされる場合を除き、欧州連合内の管理者の中枢的な管理運営の場所；(b) 複数の構成国に事業所をもつ処理者に関しては、欧州連合内の処理者の中枢的な管理運営の場所、または、処理者が欧州連合内に中枢的な管理運営をもたない場合、処理者が本規則に基づく特別の義務に服する範囲内において、処理者の事業所の活動の過程
で主要な処理活動が行われる欧州連合内の処理者の事業所；(17) 「代理者」とは、欧州連合内に設けられた自然人または法人であって、第 27 条に従い、管理者または処理者から書面によって指名され、本規則に基づく管理者または処理者のそれぞれの義務に関して管理者または処理者を代理する者のことを意味し；(18) 「企業」とは、その法的形態を問わず、継続的に経済活動に従事する組合及び団体を含
め、経済活動に従事する自然人または法人のことを意味し；(19) 「事業者グループ」とは、支配管理する事業者及びそれによって支配管理される事業者
52

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）のことを意味し；(20) 「拘束的企業準則」とは、個人データ保護方針であって、事業者グループの中または共同事業を営んでいる企業グループの中で、1 または複数の第三国内の管理者または処理者に対して個人データの移転をするため、もしくは、一群の個人データの移転をするために、構成国の領土上に設けられた管理者または処理者によって遵守されるもののことを意味し；(21) 「監督機関」とは、第 51 条により構成国によって設置される独立の行政機関のことを意味し；(22) 「関係監督機関」とは、以下のいずれかの理由によって、個人データ処理と関係付けられている監督機関のことを意味し：(a) 当該監督機関の構成国の領土上に管理者または処理者が設けられている；(b) 当該監督機関の構成国に居住するデータ主体が、処理によって重大な影響を受けている、もしくは、重大な影響を受けるおそれがある；または、(c) 当該監督機関に異議が申立てられた；(23) 「国境を越える処理」とは、以下のいずれかを意味し：(a) 管理者または処理者が複数の構成国に設けられている場合、欧州連合内の管理者または処理者の複数の構成国の事業所の活動の過程で行われる個人データ処理；または、(b) 欧州連合内の管理者または処理者の単一の事業所の活動の過程で行われるけれども、複数の構成国内のデータ主体に対して重大な影響を与え、または、重大な影響を与える
おそれのある個人データ処理。
(24) 「関連性があり理由を付した異議」とは、本規則の違反行為があるか否か、または、管理者または処理者との関係において予定されている活動が本規則を遵守するものか否かに関する決定書案に対する異議であって、データ主体の基本的な権利及び自由に関して、並びに、適用可能なときは、欧州連合内における個人データの支障のない流れに関して、その決定書案によって示されるリスクの重大性を明瞭に述べるもののことを意味し；(25) 「情報社会サービス」とは、欧州議会及び理事会の指令(EU) 2015/15351の第 1 条第 1 項の(b)に定義するサービスのことを意味し；(26) 「国際機関」とは、国際法によって規律される組織及びその下部組織、または、それ以外の組織であって、複数の国の間の協定によって、もしくは、その協定に基づいて、設立されるもののことを意味する。
第 2 章 基本原則
第 5 条 個人データ処理と関連する基本原則
1. 個人データは：(a) そのデータ主体との関係において、適法であり、公正であり、かつ、透明性のある態様で処理され（「適法性、公正性及び透明性」）；
技術標準及び情報社会サービスに関する法令の分野における情報提供の手続を定める欧州議会及び理事会の 2015 年 9 月 9 日の指令(EU) 2015/1535（OJ L 241, 17.9.2015, p.1）
531

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(b) 特定され、明示であり、かつ、正当な目的のために収集されるものとし、かつ、その目的に適合しない態様で別の目的のために処理してはならず；公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のために行われる
別の目的による処理は、第 89 条第 1 項に従い、当初の目的と適合しないものとはみなされず（「目的の限定」）；(c) その個人データが処理される目的との関係において、十分であり、関連性があり、かつ、必要のあるものに限定され（「データのミニマム化」）；(d) 正確であり、かつ、それが必要な場合、最新の状態に維持され；その個人データが処理される目的を考慮した上で、遅滞なく、不正確な個人データが削除または訂正されることを確保するための全ての手立てが講じられなければならず（
「正確性」
）
；
(e) その個人データが処理される目的のために必要な期間だけ、データ主体の識別を許容する方式が維持され；データ主体の権利及び自由の安全性を確保するために本規則によって求められる適切な技術上及び組織上の措置の実装の下で、第89 条第1 項に従い、公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のみのために処理される個人データである限り、その個人データをより長い期間で記録保存でき（「記録保存の制限」）；(f) 無権限による処理もしくは違法な処理に対して、並びに、事故による喪失、破壊または加害に対して、適切な技術上または組織上の措置を用いて行われる防護を含め、個人データの適切な安全性を確保する態様により、処理される（「完全性及び機密性」）。
2. 管理者は、第 1 項について責任を負い、かつ、同項の遵守を説明できるものとする（
「説
明責任」
）
。
第 6 条 処理の適法性
1. 処理は、以下の少なくとも 1 または複数が適用される場合においてのみ、その範囲内で、適法である：(a) 1 または複数の特定の目的のための彼または彼女の個人データ処理に関し、データ主体が同意を与えた場合；(b) データ主体が契約当事者となっている契約の履行のために処理が必要となる場合、または、契約締結の前に、データ主体の申込みに際して手立てを講ずるために処理が必要となる場合；(c) 管理者が服する法的義務を遵守するために処理が必要となる場合；(d) データ主体または他の自然人の生存の利益を保護するために処理が必要となる場
合；(e) 公共の利益において、または、管理者に与えられた公的な権限の行使において行われる職務の遂行のために処理が必要となる場合；(f) その利益よりも、個人データの保護を求めるデータ主体の利益並びに基本的な権利
及び自由のほうが優先する場合、とりわけ、そのデータ主体が子どもである場合を除き、管理者によって、または、第三者によって求められる正当な利益の目的のために処理が54

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）必要となる場合。
第 1 副項の(f)は、行政機関によってその職務の遂行のために行われる処理には適用されない。
2. 構成国は、第 1 項の(c)及び(e)を遵守する処理に関し、第 9 章に定めるその他の特別の処理の状況に関する場合を含め、適法かつ公正な処理を確保するため、処理のためのより詳細で細目的な要件及びそれ以外の措置を定めることによって、本規則の規定の適用を調整する
ためのより細目的な条項を維持し、または、これを導入できる。
3. 第 1 項の(c)及び(e)に示す処理のための根拠は、以下によって定められる：(a) 欧州連合法；または、(b) 管理者が服する構成国法。
処理の目的は、その法的根拠に従って決定され、または、第 1 項の(e)に示す処理に関して
は、公共の利益において、もしくは、管理者に与えられた公的な権限の行使において行われる職務の遂行のために必要なものとする。その法的根拠は、本規則の規定の適用を調整するための特別の条項、就中：管理者による処理の適法性を規律する一般的な条件；処理の対象となるデータの種類；関係するデータ主体；個人データが開示され得る組織及びその目的；
目的の限定；記録保存期間；並びに、第 9 章中に定めるその他の特別の処理の状況のための措置のような適法かつ公正な処理を確保するための措置を含め、処理業務及び処理手続を含めることができる。欧州連合法または構成国法は、公共の利益の目的に適合するものであり、かつ、その求める正当な目的と比例的なものとする。
4. 個人データが収集された目的以外の目的のための処理が、データ主体の同意に基づくもの
ではなく、または、第 23 条第 1 項に示す対象を防護するために民主主義の社会において必要かつ比例的な手段を構成する欧州連合法もしくは構成国法に基づくものではない場合、管理者は、別の目的のための処理が、その個人データが当初に収集された目的と適合するか否かを確認するため、就中、以下を考慮に入れる：(a) 個人データが収集された目的と予定されている別の目的による処理の目的との間の関連性；(b) とりわけ、データ主体と管理者との間の関係と関連して、その個人データが収集された経緯；(c) 個人データの性質、とりわけ、第 9 条により、特別類型の個人データが処理されるのか否か、または、第 10 条により、有罪判決または犯罪行為と関係する個人データが処理されるのか否か；(d) 予定されている別の目的による処理の結果としてデータ主体に発生する可能性のある事態；(e) 適切な安全性確保措置の存在。それは、暗号化または仮名化を含めることができる。
第 7 条 同意の要件
1. 処理が同意に基づく場合、管理者は、データ主体が彼または彼女の個人データ処理に同意していると説明することをできるものとする。
55

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

2. 別の事項とも関係する書面上の宣言の中でデータ主体の同意が与えられる場合、その同意の要求は、別の事項と明瞭に区別でき、理解しやすくかつ利用し易い態様で、明瞭かつ平易な言語を用いて、表示される。そのような書面上の宣言中の本規則の違反行為を構成する部
分は、いかなる部分についても拘束力がない。
3. データ主体は、彼または彼女の同意を、いつでも、撤回する権利をもつ。同意の撤回は、その撤回前の同意に基づく処理の適法性に影響を与えない。データ主体は、同意を与える前に、そのことについて情報提供を受ける。同意の撤回は、同意を与えるのと同じように、容易なものとする。
4. 同意が任意に与えられたか否かを判断する場合、就中、役務の提供を含め、当該契約の履行に必要のない個人データ処理の同意を契約の履行の条件とするものであるか否かについて、最大限の考慮を払う。
第 8 条 情報社会サービスとの関係において子どもの同意に適用される要件
1. 子どもに対する直接的な情報社会サービスの提供との関係において第 6 条第 1 項の(a)が適用される場合、その子どもが少なくとも 16 歳以上であるときは、その子どもの個人デー
タ処理は適法である。その子どもが 16 歳未満の場合、そのような処理は、その子どもの親権上の責任のある者によって同意が与えられた場合、または、その者によってそれが承認された場合に限り、かつ、その範囲内に限り、適法である。
構成国は、その年齢が 13 歳を下回らない限り、法律によって、それらの目的のためのより低い年齢を定めることができる。
2. 管理者は、そのような場合、利用可能な技術を考慮に入れた上で、その子どもについて親権上の責任のある者によって同意が与えられたこと、または、その者によってそれが承認されたことを確認するための合理的な努力を尽くす。
3. 第 1 項は、子どもと関係する契約の有効性、締結または法律効果に関する規定のような構
成国の一般的な契約法に対して影響を与えない。
第 9 条 特別類型の個人データ処理
1. 人種的もしくは民族的な出自、政治的な意見、宗教上もしくは思想上の信条、または、労働組合への加入を明らかにする個人データ処理、並びに、遺伝子データ、自然人をユニークに識別することを目的とする生体データ、健康に関するデータ、または、自然人の性生活もしくは性的指向に関するデータの処理は、禁止される。
2. 第 1 項は、以下のいずれかの場合には適用されない：(a) 欧州連合法または構成国法が第 1 項に示す禁止をデータ主体が解除できないことを定めている場合を除き、1 または複数の特定された目的のためのその個人データ処理に関し、データ主体が明確な同意を与えた場合；(b) 欧州連合法もしくは構成国法により認められている範囲内、または、データ主体の基本的な権利及び利益のための適切な安全性確保措置を定める構成国法による団体協56

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

約によって認められる範囲内で、雇用及び社会保障並びに社会保護の法律の分野における管理者またはデータ主体の義務を履行する目的のため、または、それらの者の特別の権利を行使する目的のために処理が必要となる場合；(c) データ主体が物理的または法的に同意を与えることができない場合、データ主体またはそれ以外の自然人の生存の利益を保護するために処理が必要となる場合；(d) 政治、思想、宗教または労働組合の目的による財団、団体その他の非営利組織による適切な安全性確保措置を具備する正当な活動の過程において、当該処理が、その組織の構成員もしくは元構成員、または、その組織の目的と関係してその組織と継続的に接触をもつ者のみに関するものであることを条件とし、かつ、データ主体の同意なくその個
人データが当該組織の外部に開示されないことを条件として、処理が行われる場合；(e) データ主体によって明白に公開のものとされた個人データに関する処理の場合；(f) 訴えの提起もしくは攻撃防御のため、または、裁判所がその司法上の権能を行使する際に処理が必要となる場合；(g) 求められる目的と比例的であり、データ保護の権利の本質的部分を尊重し、そして、
データ主体の基本的な権利及び利益の安全性を確保するための適切かつ個別の措置を定める欧州連合法または構成国法に基づき、重要な公共の利益を理由とする処理が必要となる場合；(h) 欧州連合法または構成国法に基づき、または、医療専門家との契約により、かつ、第3 項に示す条件及び安全性確保措置に従い、予防医学もしくは産業医学の目的のために、労働者の業務遂行能力の評価、医療上の診断、医療もしくは社会福祉または治療の提供、または、医療制度もしくは社会福祉制度及びその役務提供の管理のために処理が必要となる場合；(i) データ主体の権利及び自由、とりわけ、職務上の秘密を保護するための適切かつ個別の措置に関して定める欧州連合法または構成国法に基づき、健康に対する国境を越える
重大な脅威に対して防護すること、または、医療及び医薬品もしくは医療機器の高い水準の品質及び安全性を確保することのような、公衆衛生の分野において、公共の利益を理由とする処理が必要となる場合；(j) 求められる目的と比例的であり、データ保護の権利の本質的部分を尊重し、そして、
データ主体の基本的な権利及び利益の安全性を確保するための適切かつ個別の措置を定める欧州連合法または構成国法に基づき、第 89 条第 1 項に従い、公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のために処理が必要となる場合。
3. 欧州連合法もしくは構成国法または構成国の職務権限を有する組織によって設けられた準則に基づく職務上の守秘義務に服する職にある者によって、もしくは、そのような者の責任の下で、または、欧州連合法もしくは構成国法または構成国の職務権限を有する組織によって設けられた準則に基づく守秘義務に服するそれ以外の者によってそのデータが処理される場合、第 2 項の(h)に示す目的のために、第 1 項に示す個人データは、処理され得る。
4. 構成国は、遺伝子データ、生体データまたは健康に関するデータの処理に関し、その制限を含め、付加的な条件を維持または導入することができる。
57

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 10 条 有罪判決及び犯罪と関連する個人データ処理
第 6 条第 1 項に基づく有罪判決及び犯罪行為または保護措置と関連する個人データ処理
は、公的機関の管理の下にある場合、または、データ主体の権利及び自由のための適切な安全性確保措置を定める欧州連合法または構成国法によってその処理が認められる場合に限り、これを行うことができる。有罪判決の包括的な記録は、公的機関の管理の下にある場合に限り、これを保管できる。
第 11 条 識別を要しない処理
1. 管理者が個人データを処理するための目的が管理者によるデータ主体の識別を要しない
場合、または、その識別を要しなくなった場合、その管理者は、本規則を遵守するという目的のみのために、データ主体を識別するための付加的な情報を維持管理し、取得し、または、処理することを義務付けられない。
2. 本条第 1 項に示す場合において、管理者がデータ主体を識別する立場にないことを説明できるときは、その管理者は、それが可能であるならば、データ主体に対し、しかるべく通知する。そのような場合、データ主体が、それらの条項に基づく彼または彼女の権利の行使の目的のために、彼または彼女の識別ができるようにする付加的な情報を提供する場合を除き、
第 15 条ないし第 20 条は、適用されない。
第 3 章 データ主体の権利
第 1 節 透明性及び書式
第 12 条 データ主体の権利行使のための透明性のある情報提供、連絡及び書式
1. 管理者は、データ主体に対し、明解で、透明性があり、理解しやすく、利用しやすい方式
により、明瞭かつ平易な言語を用いて、処理に関する第 13 条及び第 14 条に示す情報並びに第 15 条ないし第 22 条及び第 34 条に示す情報を提供するために、とりわけ、子どもに対して格別に対処する情報提供のために、適切な措置を講じる。その情報は、それが適切である
ときは、電子的な手段を含め、書面その他の方法により、提供される。データ主体から求められたときは、当該データ主体の同一性が他の手段によって証明されることを条件として、その情報を口頭で提供できる。
2. 管理者は、第 15 条ないし第 22 条に基づくデータ主体の権利の行使を容易にする。第 11条第 2 項に示す場合において、管理者は、データ主体の同一性識別をする立場にはないということを説明しない限り、第 15 条ないし第 22 条に基づく彼または彼女の権利を行使するためのデータ主体からの要請に基づく行為を拒むことができない。
3. 管理者は、データ主体に対し、不適切な遅滞なく、かつ、いかなる場合においてもその要58

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

請を受けた時から 1 か月以内に、第 15 条ないし第 22 条に基づく要請に基づいて行われた行為に関する情報を提供する。この期間は、必要があるときは、その要請の複雑性及び数量を考慮に入れた上で、更に 2 か月延長することができる。管理者は、データ主体に対し、その要請を受けた時から 1 か月以内に、その遅延の理由と共に、その期間延長を通知する。デー
タ主体が電子的な方式の手段によってその要請をした場合、データ主体から別の方法によることが求められている場合を除き、それが可能なときは、電子的な手段によって提供される。
4. 管理者がデータ主体からの要請に関して何らの行為もしないときは、その管理者は、デー
タ主体に対し、遅滞なく、かつ、その要請を受けてから遅くとも 1 か月以内に、何も行わな
い理由、並びに、監督機関に異議を申立てることができること及び司法上の救済を求めることができることを通知する。
5. 第 13 条及び第 14 条に基づいて提供される情報並びに第 15 条ないし第 22 条及び第 34 条に基づく連絡及びこれらに基づいて行われる行為は、無料で提供される。データ主体からの要請が、特にそれが反復して行われることからして、明らかに根拠のない場合または過剰な性質のものである場合、管理者は、：(a) 情報もしくは連絡を提供すること、または、要請された行為を行うことの業務運営費用を考慮に入れ、合理的な手数料を課金でき；または、(b) 要請された行為を拒むことができる。
管理者は、その要請が明らかに根拠のないものであることまたは過剰な性質のものである
ことについて、説明をすべき責任を負う。
6. 第 11 条を妨げることなく、第 15 条ないし第 21 条に示す要請を行う自然人の同一性に関して管理者が合理的な疑いをもつ場合、その管理者は、そのデータ主体の同一性を確認するために必要となる追加的な情報の提供を求めることができる。
7. 第 13 条及び第 14 条によりデータ主体に対して提供される情報は、容易に視認でき、分かりやすく、明確に理解できる態様で、予定されている処理の意味のある概要を提供するための標準的なアイコンと組み合わせて提供できる。アイコンが電子的に表示される場合、それらは、機械によって読み取り可能なものとする。
8. 欧州委員会は、アイコンによって示される情報及び標準的なアイコンを提供する手続を定める目的のために、第 92 条に従って委任される行為を採択する権限をもつ。
第 2 節 情報提供及び個人データへのアクセス
第 13 条 データ主体から個人データが収集される場合において提供される情報
1. データ主体と関連する個人データがそのデータ主体から収集される場合、管理者は、その個人データを取得する時点において、そのデータ主体に対し、以下の全ての情報を提供する：(a) 管理者の識別名及び連絡先、及び、適用可能なときは、管理者の代理者の識別名及び連絡先；(b) 適用可能なときは、データ保護責任者の連絡先；(c) 予定されている個人データ処理の目的及びその処理の法的根拠；
59

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(d) その処理が第 6 条第 1 項の(f)を根拠とする場合、管理者または第三者が求める正当な利益；(e) 該当するときは、個人データの取得者または取得者の類型；(f) 適用可能なときは、管理者が個人データを第三国または国際機関に移転することを予定しているという事実、及び、欧州委員会による十分性の判断の存否、または、第 46条もしくは第 47 条に示す移転の場合または第 49 条第 1 項第 2 副項に示す移転の場合、
適切または適合する安全性確保措置への参照、及び、その複製物を取得するための方法、
または、どこでそれらが利用可能とされたか。
2. 第 1 項に示す情報に加え、管理者は、個人データを取得する時点において、データ主体に対し、公正かつ透明性のある処理を確保するために必要な以下の付加的な情報を提供する：(a) その個人データが記録保存される期間、または、それが不可能なときは、その期間を決定するために用いられる基準；(b) 個人データへのアクセス、個人データの訂正または削除、または、データ主体と関係する処理の制限を管理者から得ることを要請する権利、または、処理に対して異議を述べる権利、並びに、データの可搬性の権利が存在すること；(c) その処理が第 6 条第 1 項の(a)または第 9 条第 2 項の(a)に基づく場合、その撤回前の同意に基づく処理の適法性に影響を与えることなく、いつでも同意を撤回する権利が存在すること；(d) 監督機関に異議を申立てる権利；(e) その個人データの提供が制定法上もしくは契約上の要件であるか否か、または、契約を締結する際に必要な要件であるか否か、並びに、データ主体がその個人データの提供の義務を負うか否か、及び、そのデータの提供をしない場合に生じ得る結果について；(f) プロファイリングを含め、第 22 条第 1 項及び第 4 項に示す自動的な判定が存在すること、また、それが存在する場合、その判定に含まれている論理、並びに、その重要性
及びそれによってデータ主体に生ずると想定される結果に関する意味のある情報。
3. 当該個人データが収集された際の目的とは別の目的による個人データ処理を管理者が予定している場合、その管理者は、データ主体に対し、当該別の目的による処理の開始前に、当該別の目的に関する情報及び第 2 項に示す関連する付加的情報を提供する。
4. 第 1 項、第 2 項及び第 3 項は、データ主体が既にその情報をもっている場合、その範囲内
では、適用されない。
第 14 条 個人データがデータ主体から収集されたものではない場合において提供される情報
1. 個人データがデータ主体から取得されたものではない場合、管理者は、データ主体に対し、
以下の情報を提供する：(a) 管理者の識別名及び連絡先、及び、適用可能なときは、管理者の代理者の識別名及び連絡先；(b) 適用可能なときは、データ保護責任者の連絡先；
60

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(c) 予定されている個人データ処理の目的及びその処理の法的根拠；(d) 関係する個人データの類型；(e) 該当するときは、個人データの取得者または取得者の類型；(f) 適用可能なときは、管理者が個人データを第三国または国際機関の取得者に対して移転することを予定しているという事実、及び、欧州委員会による十分性の判断の存否、
または、第 46 条もしくは第 47 条に示す移転の場合または第 49 条第 1 項第 2 副項に示す移転の場合、適切または適合する安全性確保措置への参照、及び、その複製物を取得するための方法、または、どこでそれらが利用可能とされたか。
2. 第 1 項に示す情報に加え、管理者は、データ主体に対し、データ主体に関して公正かつ透明性のある処理を確保するために必要な以下の情報を提供する：(a) その個人データが記録保存される期間、または、それが不可能なときは、その期間を決定するために用いられる基準；(b) その処理が第 6 条第 1 項の(f)を根拠とする場合、管理者または第三者が求める正当な利益；(c) 個人データへのアクセス、個人データの訂正または削除、または、データ主体と関係する処理の制限を管理者から得ることを要請する権利、または、処理に対して異議を述べる権利、並びに、データの可搬性の権利が存在すること；(d) その処理が第 6 条第 1 項の(a)または第 9 条第 2 項の(a)に基づく場合、その撤回前の同意に基づく処理の適法性に影響を与えることなく、いつでも同意を撤回する権利が存在すること；(e) 監督機関に異議を申立てる権利；(f) どの情報源からその個人データが生じたか、及び、適用可能なときは、公衆がアクセス可能な情報源からその個人データが来たものかどうか；(g) プロファイリングを含め、第 22 条第 1 項及び第 4 項に示す自動的な判定が存在すること、また、それが存在する場合、その判定に含まれている論理、並びに、その重要性
及びそれによってデータ主体に生ずると想定される結果に関する意味のある情報。
3. 管理者は、以下のとおりに、第 1 項及び第 2 項に示す情報を提供する：(a) その個人データが処理される具体的な状況を考慮に入れ、個人データ取得後の合理的な期間内に、ただし、遅くとも 1 か月以内に；(b) その個人データがデータ主体との間の連絡のために用いられる場合、遅くとも、当該データ主体に対して最初の連絡がなされる時点において；または(c) 他の取得者に対する開示が予定される場合、遅くともその個人データが最初に開示される時点において。
4. 当該個人データが入手された際の目的とは別の目的のための個人データ処理を管理者が予定する場合、その管理者は、データ主体に対し、当該別の目的による処理の開始前に、当該別の目的に関する情報及び第 2 項に示す関連する付加的な情報を提供する。
5. 第 1 項ないし第 4 項は、以下の場合、その範囲内では、適用されない：(a) データ主体が既にその情報をもっている場合；(b) とりわけ、第 89 条第 1 項に示す条件及び安全性確保措置による公共の利益における61

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

アーカイブの目的、科学調査もしくは歴史調査の目的、または、統計の目的のための処理に関し、そのような情報の提供が不可能であるか、または、過大な負担を要することが明らかな場合、または、本条第 1 項に示す義務が当該処理の目的の達成を不可能としてしまうおそれ、または、それを深刻に阻害するおそれがある範囲内において。そのよ
うな場合、その管理者は、その情報を公衆が利用可能とすることを含め、データ主体の権利及び自由並びに正当な利益を保護するための適切な措置を講ずる；(c) 管理者がそれに服し、かつ、データ主体の正当な利益を保護するための適切な措置を定める欧州連合法または構成国法によって、その入手または開示が明示で定められている場合；(d) 制定法上の守秘義務の場合を含め、欧州連合法または構成国法によって規律される
職務上の守秘義務によって、その個人データを機密のものとして維持しなければならない場合。
第 15 条 データ主体によるアクセスの権利
1. データ主体は、管理者から、彼または彼女に関係する個人データが処理されているか否かの確認を得る権利、並びに、それが処理されているときは、その個人データ及び以下の情報にアクセスする権利をもつ：(a) 処理の目的；(b) 関係する個人データの類型；(c) 個人データが開示された、または、個人データが開示される取得者もしくは取得者の類型、とりわけ、第三国または国際機関の取得者；(d) それが可能なときは、個人データが記録保存される予定期間、または、それが不可能なときは、その期間を決定するために用いられる基準；(e) 管理者から、個人データの訂正または削除を得る権利、データ主体と関係する個人
データ処理の制限を要求する権利、または、処理に対して異議を述べる権利が存在すること；(f) 監督機関に異議を申立てる権利；(g) 個人データがデータ主体から収集されたものではない場合、その情報源に関する利用可能な全ての情報；(h) プロファイリングを含め、第 22 条第 1 項及び第 4 項に示す自動的な判定が存在すること、また、それが存在する場合、その判定に含まれている論理、並びに、その重要性
及びそれによってデータ主体に生ずると想定される結果に関する意味のある情報。
2. 個人データが第三国または国際機関に移転される場合、データ主体は、その移転に関して、第 46 条による適切な安全性確保措置について通知を受ける権利をもつ。
3. 管理者は、処理中の個人データの複製物を提供する。データ主体から求められた追加的な複製物の提供に関し、管理者は、業務運営費用に基づいて、合理的な手数料を課金できる。
データ主体が電子的な手段によって要請するときは、データ主体から別の手段によることが求められている場合を除き、その情報は、一般的に用いられる電子的な手段によって提供さ
62

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）れる。
4. 第 3 項に示す複製物を取得する権利は、他の者の権利及び自由を害さない。
第 3 節 訂正及び削除
第 16 条 訂正の権利
データ主体は、管理者から、不適切な遅滞なく、彼または彼女と関係する不正確な個人データの訂正を得る権利をもつ。処理の目的を考慮に入れた上で、データ主体は、付記を提供する方法による場合を含め、不完全な個人データを完全なものとさせる権利をもつ。
第 17 条 削除の権利（「忘れられる権利」）
1. 以下の根拠中のいずれかが適用される場合、データ主体は、管理者から、不適切な遅滞なく、彼または彼女に関する個人データの削除を得る権利をもち、そして、管理者は、不適切な遅滞なく、個人データを削除すべき義務を負う：(a) その個人データが、それが収集された目的またはそれ以外の処理の目的との関係で、必要のないものとなっている場合；(b) そのデータ主体が、第 6 条第 1 項の(a)または第 9 条第 2 項の(a) に従ってその処理の根拠である同意を撤回し、かつ、その処理のための法的根拠が他に存在しない場合；(c) そのデータ主体が、第 21 条第 1 項によって処理に対する異議を述べ、かつ、その処理のための優越する法的根拠が存在しない場合、または、第 21 条第 2 項によって異議を述べた場合；(d) その個人データが違法に処理された場合；(e) その個人データが、管理者が服する欧州連合法または構成国法の法的義務を遵守するために削除されなければならない場合；(f) その個人データが、第 8 条第 1 項に示す情報社会サービスの提供との関係において収集された場合。
2. 管理者が個人データを公開のものとしており、かつ、第 1 項によって、その個人データを削除すべき義務を負っている場合、その管理者は、利用可能な技術及びその実装費用を考慮に入れた上で、技術的な手段を含め、その個人データを処理している管理者に対して、そのデータ主体が、そのデータ主体の個人データへのリンクまたはそのコピーもしくは複製物が、その管理者によって削除されることを請求した旨の通知をするための合理的な手立てを講ずる。
3. 第 1 項及び第 2 項は、以下のために処理が必要となる場合、その範囲内で、適用されない：(a) 表現及び情報伝達の自由の権利の行使のため；(b) 管理者が服する欧州連合法または構成国法により処理をすべき法的義務の遵守のため、または、公共の利益において、もしくは、管理者に与えられた公的な権限の行使に63

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

おいて行われる職務の遂行のため；(c) 第 9 条第 2 項の(h)及び(i)並びに第 9 条第 3 項に従う公衆衛生の分野における公共の利益上の理由のため；(d) 第 1 項に示す権利が、当該処理の目的を達成できないようにしてしまうおそれがある限り、または、それを深刻に阻害するおそれがある限り、第 89 条第 1 項に従い、公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的、または、統計の目的のため；または、(e) 訴えの提起、攻撃防御のため。
第 18 条 処理の制限の権利
1. データ主体は、以下のいずれかが適用される場合、管理者から、処理の制限を得る権利をもつ：(a) 個人データの正確性についてデータ主体から疑義が提示されている場合、その個人
データの正確性を管理者が確認できるようにする期間内において；(b) 処理が違法であり、かつ、データ主体が個人データの削除に反対し、その代わりに、そのデータの利用の制限を求めている場合；(c) 管理者がその処理の目的のためにはその個人データを必要としないが、データ主体
から、訴訟の提起及び攻撃防御のためにそのデータが求められている場合；(d) データ主体が、管理者の正当性の根拠がデータ主体の正当性の根拠よりも優越するか否かの確認を争い、第 21 条第 1 項により、処理に対する異議を申立てている場合。
2. 第 1 項に基づいて処理が制限された場合、その個人データは、記録保存の場合を除き、データ主体の同意がある場合、または、訴えの提起及び攻撃防御のための場合、または、他の自然人もしくは法人の権利を保護するための場合、または、欧州連合もしくは構成国の重要な公共の利益の理由のための場合においてのみ、処理される。
3. 第 1 項により処理の制限を得たデータ主体は、その処理の制限が解除される前に、管理者からその通知を受ける。
第 19 条 個人データの訂正もしくは削除または処理の制限に関する通知義務
管理者は、それが不可能であるか、または、過大な負担を要することが明らかである場合を除き、そのデータの開示を受けた個々の取得者に対し、第 16 条、第 17 条第 1 項及び第 18条に従って行われた個人データの訂正もしくは削除または処理の制限を通知する。管理者は、
データ主体に対し、そのデータ主体がそれを求める場合、その取得者に関する情報提供する。
第 20 条 データの可搬性の権利
1. データ主体は、以下の場合においては、彼または彼女が管理者に対して提供した彼または彼女と関係する個人データを、構成され、一般に用いられ、かつ、機械読取可能な方式で取64

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）得する権利をもち、また、その個人データの提供を受けた管理者から妨げられることなく、別の管理者に対し、それらの個人データを送信する権利をもつ：(a) その処理が第 6 項第 1 項の(a)もしくは第 9 条第 2 項による同意、または、第 6 条第1 項の(b) よる契約に基づくものであり；かつ、(b) その処理が自動的な手段によって行われる場合。
2. 第 1 項による彼または彼女のデータの可搬性の権利を行使する際、データ主体は、それが技術的に実行可能な場合、ある管理者から別の管理者へと直接に個人データを送信させる権利をもつ。
3. 本条の第 1 項に示す権利の行使は、第 17 条を妨げない。この権利は、公共の利益において、または、管理者に与えられた公的な権限の行使において行われる職務の遂行のために必要となる処理には適用されない。
4. 第 1 項に示す権利は、他の者の権利及び自由を害してはならない。
第 4 節 異議を述べる権利及び自動的な個人の判定
第 21 条 異議を述べる権利
1. データ主体は、彼または彼女の特別な状況と関連する根拠に基づき、第 6 条第 1 項の(e)または(f) に基づいて行われる彼または彼女と関係する個人データ処理に対し、それらの条項に基づくプロファイリングの場合を含め、いつでも、異議を述べる権利をもつ。管理者は、
データ主体の利益、権利及び自由よりも優越する処理について、または、訴えの提起及び攻撃防御について、義務的な正当化根拠があることをその管理者が説明しない限り、以後、その個人データ処理をしない。
2. 個人データがダイレクトマーケティングの目的のために処理される場合、データ主体は、
いつでも、そのようなマーケティングのための彼または彼女に関係する個人データ処理に対して、異議を述べる権利をもつ。その処理は、そのようなダイレクトマーケティングと関係する範囲内で、プロファイリングを含む。
3. データ主体がダイレクトマーケティングの目的のための処理に対して異議を述べる場合、その個人データは、そのような目的のために処理されてはならない。
4. 遅くともデータ主体への最初の連絡の時点で、第 1 項及び第 2 項に示す権利は、明示でデータ主体の注意を引くようにされ、かつ、他の情報とは明確に分けて表示される。
5. 情報社会サービスの利用の過程において、かつ、指令 2002/58/EC に拘りなく、データ主
体は、技術的な仕様を用いる自動化された仕組みによって異議を述べる彼または彼女の権利を行使できる。
6. 第 89 条第 1 項により科学調査もしくは歴史調査の目的または統計の目的で個人データが処理される場合、データ主体は、公共の利益のための理由によって行われる職務の遂行のためにその処理が必要となる場合を除き、彼または彼女の特別な状況と関連する根拠に基づき、彼または彼女と関係する個人データ処理に対して、異議を述べる権利をもつ。

65

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 22 条 自動化された個人の判定、プロファイリングを含む
1. データ主体は、プロファイリングを含め、自動化された処理のみに基づいて、彼もしくは彼女に関する法的効果を発生させ、または、彼もしくは彼女に対して類似の影響を及ぼす判定の対象とされない権利をもつ。
2. 第 1 項は、以下の判定には、適用されない：(a) データ主体とデータの管理者の間の契約の締結またはその履行のために必要となる
場合；(b) 管理者がそれに服し、かつ、データ主体の権利及び自由並びに正当な利益の安全性を確保するための適切な措置も定める欧州連合法または構成国法によって認められる
場合；または、(c) データ主体の明示の同意に基づく場合。
3. 第 2 項の(a)及び(c)に示す場合においては、そのデータの管理者は、データ主体の権利及び自由並びに正当な利益、少なくとも、管理者の側での人間の関与を得る権利、彼または彼女の見解を表明する権利及びその判定を争う権利の安全性を確保するための適切な措置を実装する。
4. 第 9 条第 2 項の(a)または(g)が適用され、かつ、データ主体の権利及び自由並びに正当な利益の安全性を確保するための適切な措置が設けられている場合を除き、第 2 項に示す判定は、第 9 条第 1 項に示す特別類型の個人データを基礎としてはならない。
第 5 節 制限第 23 条 制限
1. データの管理者もしくは処理者が服する欧州連合法または構成国法は、その制限が基本的な権利及び自由の本質的部分を尊重するものであり、かつ、以下の対象を防護するために民主主義社会において必要かつ比例的な措置である場合、第 12 条ないし第 22 条に定める権利及び義務に対応するそれらの法律の条項の範囲内で、立法措置によって、第 12 条ないし第22 条及び第 34 条並びに第 5 条に定める義務及び権利の適用範囲を制限できる：(a) 国家安全保障；(b) 防衛；(c) 公共の安全；(d) 公共の安全への脅威に対する防護及びその防止を含め、犯罪行為の防止、捜査、検知
もしくは訴追または刑罰の執行；(e) 欧州連合または構成国の一般的な公共の利益の上記以外の重要な対象、とりわけ、通貨、予算及び税務上の事項を含め、欧州連合または構成国の重要な経済的な利益もし
くは財政上の利益、公衆衛生及び社会保障；(f) 司法の独立の保護及び司法手続の保護；(g) 規制を受ける職種における倫理違背行為の防止、捜査、検知及び訴追；
66

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(h) (a)ないし(e)及び(g)に示す場合において、一時的なものを含め、公的な権限の行使と関係する監視、監督及び規制の権能；(i) データ主体の保護、または、それ以外の者の権利及び自由の保護；(j) 民事訴訟の執行確保。
2. とりわけ、第 1 項に示す立法措置は、それが適切なときは、以下の事項に関する特別の条項を含める：(a) 処理の目的または処理の類型；(b) 個人データの類型；(c) 導入される制限の適用範囲；(d) 非違行為または違法なアクセスもしくは違法な移転を防止するための安全性確保措
置；(e) 管理者または管理者の類型の指定；(f) 処理または処理の類型の性質、範囲及び目的を考慮に入れた記録保存期間及び適用可能な安全性確保措置；(g) データ主体の権利及び自由に対するリスク；並びに、(h) その権利がその制限の目的を妨げ得るものでない限り、その制限に関する情報提供を受けるデータ主体の権利。
第 4 章 管理者及び処理者
第 1 節 一般的な義務
第 24 条 管理者の責任
1. 処理の性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、本規則に従って処理が遂行されることを確保し、かつ、そのことを説明できるようにするための適切な技術上及び組織上の措置を実装する。それらの措置は、見直され、そして、必要があるときは、最新のものに改められる。
2. 処理活動と関連して比例的である場合、第 1 項に示す措置は、管理者による適切なデータ保護方針の実装を含む。
3. 第 40 条に示す承認された行動準則及び第 42 条に示す承認された認証方法に忠実である
ことは、管理者の義務が履行されていることを説明するための要素として用いることができる。
第 25 条 バイデザイン及びバイデフォルトによるデータ保護
1. 最新技術、実装費用、処理の性質、範囲、過程及び目的並びに処理によって示される自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、
本規則の要件に適合するものとし、かつ、データ主体の権利を保護するため、処理の方法を
67

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

決定する時点及び処理それ自体の時点の両時点において、データのミニマム化のようなデー
タ保護の基本原則を効果的な態様で実装し、その処理の中に必要な安全性確保措置を統合するために設計された、仮名化のような、適切な技術上及び組織上の措置を実装する。
2. 管理者は、その処理の個々の特定の目的のために必要な個人データのみが処理されることをデフォルトで確保するための適切な技術上及び組織上の措置を実装する。この義務は、収集される個人データの分量、その処理の範囲、その記録保存期間及びアクセス可能性に適用される。とりわけ、そのような措置は、個人データが、その個人の関与なく、不特定の自然
人からアクセス可能なものとされないことをデフォルトで確保する。
3. 第 42 条により承認された認証方法は、本条の第 1 項及び第 2 項に定める要件の充足を説明するための要素として用いることができる。
第 26 条 共同管理者
1. 2 以上の管理者が共同して処理の目的及び方法を決定する場合、それらの者は、共同管理者となる。管理者らが服すべきそれぞれの管理者の責任が欧州連合法または構成国法によって定められていない場合、その範囲内において、それらの者は、本規則に基づく義務、とりわけ、データ主体の権利の行使に関する義務、並びに、第 13 条及び第 14 条に示す情報を提供すべき彼らのそれぞれの義務を遵守するための彼らのそれぞれの責任について、それらの者の間での合意書により、透明性のある態様で、定める。その合意書は、データ主体のための連絡先を指定できる。
2. 第 1 項に示す合意書は、共同管理者各自とデータ主体とのそれぞれの間における役割及び関係を適正に反映するものとする。その合意書の要点は、データ主体に利用可能なものとされる。
3. 第 1 項に示す合意書に定める条件に拘らず、データ主体は、個々の管理者との関係において、及び、個々の管理者に対して、本規則に基づく彼または彼女の権利を行使できる。
第 27 条 欧州連合内に設けられていない管理者または処理者の代理者
1. 第 3 条第 2 項が適用される場合、管理者または処理者は、書面により、欧州連合内における代理者を指定する。
2. 本条の第 1 項に定める義務は、以下の場合には適用されない：(a) 一時的なものであり、かつ、第 9 条第 1 項に示す特別類型のデータの処理または第10 条に示す有罪判決及び犯罪行為と関連する個人データ処理を大量に含まず、かつ、その処理の性質、過程、範囲及び目的を考慮に入れた上で、自然人の権利及び自由に対するリスクが生ずるおそれのない処理；または、(b) 行政機関または行政組織。
3. 代理者は、データ主体に対する物品もしくは役務の提供と関連してその個人データが処理されるデータ主体、または、その行動が監視されるデータ主体が所在する構成国中の 1 つに設けられる。
68

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

4. 本規則の遵守を確保する目的のために、代理者は、処理と関連する全ての事項に関し、とりわけ、監督機関及びデータ主体への対応のために、管理者または処理者に加え、または、
それらの者の代わりとして、管理者または処理者から委任を受ける。
5. 管理者または処理者による代理者の指定は、管理者または処理者自身を相手方として提起される訴訟行為を妨げない。
第 28 条 処理者
1. 管理者の代わりの者によって処理が行われる場合、その管理者は、当該処理が本規則に定める義務に適合するものとし、かつ、データ主体の権利の保護を確保するような態様で、適切な技術上及び組織上の安全性確保措置を実装することについて十分な保証を提供する処
理者のみを用いる。
2. 処理者は、管理者から、事前に、個別的または一般的な書面による承認を得ないで、別の処理者を業務に従事させてはならない。一般的な書面による承認の場合、処理者は、管理者に対し、別の処理者の追加または交代に関する変更の予定を通知し、それによって、管理者
は、そのような変更に対して異議を述べる機会を与えられる。
3. 処理者による処理は、管理者との関係に関して処理者を拘束し、かつ、処理の対象及び期間、処理の性質及び目的、個人データの種類及びデータ主体の類型、並びに、管理者の義務及び権利を定める契約またはそれ以外の欧州連合法もしくは構成国法に基づく法律行為によって規律される。契約またはそれ以外の法律行為は、とりわけ、処理者が、以下のとおり行うことを定める：(a) 処理者が服する欧州連合または構成国法がそのようにすることを要求する場合を除
き、個人データの第三国または国際機関に対する移転と関連するものを含め、管理者からの文書化された指示のみに基づいて個人データを処理すること；そのような場合、当該の法律がそのような公共の利益上の重要な法的根拠に関する情報提供を禁止しない
限り、処理者は、管理者に対し、処理の前に、当該法律上の要件について情報提供する；(b) 個人データ処理を承認された者が自ら守秘義務を課し、または、適切な法律上の守秘義務の下にあることを確保すること；(c) 第 32 条によって求められる全ての措置を講ずること；(d) 別の処理者を業務に従事させるために、第 2 項及び第 4 項に示す要件を尊重すること；(e) 第 3 章に定めるデータ主体の権利を行使するための要請に対処すべき管理者の義務を充足させるために、それが可能な範囲内で、処理の性質を考慮に入れた上で、適切な技術上及び組織上の措置によって、管理者を補佐すること；(f) 処理の性質及び処理者が利用可能な情報を考慮に入れた上で、第 32 条ないし第 36 条
による義務の遵守の確保において、管理者を補佐すること；(g) 処理と関係する役務の提供が終了した後、欧州連合法または構成国法が個人データの記録保存を要求していない限り、管理者の選択により、全ての個人データを消去し、
または、これを管理者に返却すること、並びに、存在している複製物を消去すること；
69

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(h) 本条に定める義務の遵守を説明するため、及び、管理者によって行われる検査もし
くは管理者から委任された別の監査人によって行われる検査を含め、監査を受け入れ、
もしくは、監査に資するようにするために必要な全ての情報を、管理者が利用できるよ
うにすること。
第 1 副項の(h)に関し、処理者は、その見解において、指示が本規則またはそれ以外の欧州連合または構成国のデータ保護の条項に違反する場合、直ちに、そのことを管理者に通知する。
4. 管理者の代わりの特定の処理活動を行うために、処理者が別の処理者を業務に従事させる
場合、当該別の処理者に対し、契約によって、または、欧州連合法もしくは構成国法に基づ
くそれ以外の法律行為によって、とりわけ、その処理が本規則の要件に適合するような態様で適切な技術上及び組織上の措置を実装する十分な保証を提供することによって、第 3 項に示す管理者及び処理者間の契約またはそれ以外の法律行為に定めるのと同じデータ保護上の義務が課される。当該別の処理者がそのデータ保護の義務を充足しない場合、当初の処理者は、当該別の処理者の義務の履行について、その管理者に対する法的責任を全面的に負ったままとする。
5. 第 40 条に示す承認された行動準則または第 42 条に示す承認された認証方法に処理者が忠実であることは、本条の第 1 項及び第 4 項に示す十分な保証を説明するための要素として用いることができる。
6. 管理者と処理者との間の個別の契約を妨げることなく、第 3 項もしくは第 4 項に示す契
約またはそれ以外の法律行為は、それが第 42 条及び第 43 条により管理者または処理者に対して与えられる認証の一部分である場合を含め、その全部または一部について、本条の第 7項及び第 8 項に示す標準約款に基づくものとすることができる。
7. 欧州委員会は、本条の第 3 項及び第 4 項に示す事項に関し、かつ、第 93 条第 2 項に示す審議手続に従い、標準約款を定めることができる。
8. 監督機関は、本条の第 3 項及び第 4 項に示す事項に関し、かつ、第 63 条に示す一貫性確
保メカニズムに従い、標準約款を採択できる。
9. 第 3 項及び第 4 項に示す契約その他の法律行為は、電子的な方式による場合を含め、書面によるものとする。
10. 第 82 条、第 83 条及び第 84 条を妨げることなく、処理の目的及び方法を定める際に処理者が本規則に違反する場合、その処理者は、当該処理との関係においては、管理者として扱われる。
第 29 条 管理者または処理者の承認の下における処理
処理者並びに管理者の承認または処理者の承認の下で行為する者であって、個人データへのアクセスをもつ者は、欧州連合または構成国法がそのようにすることを要求する場合を除き、管理者から指示がない限り、それらの個人データを処理してはならない。

70

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 30 条 処理活動の記録
1. 個々の管理者、及び、それが適用可能なときは、管理者の代理者は、その責任において、処理活動の記録を保管する。その記録は、以下の情報の全てを含める：(a) 管理者、及び、それが適用可能なときは、共同管理者、管理者の代理者並びにデータ保護責任者の名前及び連絡先；(b) 処理の目的；(c) データ主体の類型の記述及び個人データの類型の記述；(d) 第三国または国際機関内の取得者を含め、個人データが開示された、または、開示される取得者の類型；(e) それが適用可能なときは、当該第三国もしくは国際機関の識別名を含め、第三国または国際機関に対する個人データの移転、及び、第 49 条第 1 項の第 2 副項に示す移転の場合、適正な安全性確保措置を示す文書；(f) それが可能なときは、異なる類型のデータの削除のために予定されている期限；(g) それが可能なときは、第 32 条第 1 項に示す技術上及び組織上の防護措置の一般的な記述。
2. 個々の処理者、及び、適用可能なときは、処理者の代理者は、管理者の代わりに行われる全ての類型の処理の記録を保管する。以下の事項を含める：(a) 処理者の名前及び連絡先及びその処理者がその代わりに活動している個々の管理者の名前及び連絡先、並びに、適用可能なときは、管理者の代理者、処理者の代理者及びデータ保護責任者の名前及び連絡先；(b) 個々の管理者の代わりに行われる処理の類型；(c) それが適用可能なときは、当該第三国もしくは国際機関の識別名を含め、第三国または国際機関に対する個人データの移転、及び、第 49 条第 1 項の第 2 副項に示す移転の場合、適切な安全性確保措置を示す文書；(d) それが可能なときは、第 32 条第 1 項に示す技術上及び組織上の防護措置の一般的な記述。
3. 第 1 項及び第 2 項に示す記録は、電子的な方式による場合を含め、書面によるものとする。
4. 管理者または処理者、並びに、それが適用可能なときは、管理者の代理者または処理者の代理者は、要請に応じて、監督機関がその記録を利用できるようにする。
5. それが行う処理がデータ主体の権利及び自由に対してリスクを発生させる可能性がある
場合、その処理が一時的なものではない場合、または、その処理が第 9 条第 1 項に示す特別類型のデータを含んでおり、もしくは、第 10 条に示す有罪判決及び犯罪行為と関連するものである場合を除き、第 1 項及び第 2 項に示す義務は、従業者の数が 250 名未満の企業または組織に対しては、適用されない。

71

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 31 条 監督機関との協力
管理者及び処理者、並びに、適用可能なときは、それらの者の代理者は、要請に応じて、その職務の遂行において監督機関と協力する。
第 2 節 個人データの安全性
第 32 条 処理の安全性
1. 最新技術、実装費用、処理の性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者及び処理者は、リスクに適切に対応する一定のレベルの安全性を確保するために、就中、以下のものを含め、適切な技
術上及び組織上の措置をしかるべく実装する：(a) 個人データの仮名化または暗号化；(b) 処理システム及び処理サービスの現在の機密性、完全性、可用性及び回復性を確保する能力；(c) 物的または技術的なインシデントが発生した際、適時な態様で、個人データの可用性及びそれに対するアクセスを復旧する能力；(d) 処理の安全性を確保するための技術上及び組織上の措置の有効性の定期的なテスト、評価及び評定のための手順。
2. 安全性のレベルの適切性を評価する際、処理によって示されるリスク、とりわけ、送信され、記録保存され、または、それ以外の処理がなされる個人データの、偶発的または違法な、破壊、喪失、改変、無権限の開示、または、アクセスから生ずるリスクを特に考慮に入れる。
3. 第 40 条に示す行動準則または第 42 条に示す承認された認証方法に忠実であることは、
本条第 1 項に定める要件の遵守を説明するための要素として用いることができる。
4. 管理者及び処理者は、管理者または処理者の承認の下で行動し、個人データにアクセスする自然人が、管理者の指示に基づく場合を除き、彼または彼女が欧州連合法または構成国法によってそのようにすることを求められない限り、その個人データを処理しないことを確保するための手立てを講ずる。
第 33 条 監督機関に対する個人データ侵害の通知
1. 個人データ侵害が発生した場合、管理者は、その個人データ侵害が自然人の権利及び自由に対するリスクを発生させるおそれがない場合を除き、不適切な遅滞なく、かつ、それが実施可能なときは、その侵害に気づいた時から遅くとも 72 時間以内に、第 55 条に従って職務権限をもつ監督機関に対し、その個人データ侵害を通知する。監督機関に対する通知が 72 時
間以内に行われない場合、その通知は、その遅延の理由を付す。
2. 処理者は、個人データ侵害に気づいた後、不適切な遅滞なく、管理者に対して通知する。
3. 第 1 項の通知は、少なくとも、以下のとおりとする：
72

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(a) それが可能なときは、関係するデータ主体の類型及び予想される最大数、並びに、関係する個人データ記録の類型及び予想される最大数を含め、個人データ侵害の性質を記述する；(b) データ保護責任者の名前及び連絡先、または、より多くの情報を入手することのできる他の連絡先を連絡する；(c) その個人データ侵害の結果として発生する可能性のある事態を記述する；(d) それが適切なときは、あり得る負の影響を低減させるための措置を含め、その個人
データ侵害に対処するために管理者によって講じられた措置または講ずるように提案された措置を記述する。
4. 同時に情報を提供できない場合、その範囲内において、その情報は、更なる不適切な遅滞なく、その状況に応じて提供できる。
5. 管理者は、その個人データ侵害と関連する事実関係、その影響及び講じられた復旧措置を含め、全ての個人データ侵害を文書化する。その文書は、本条の遵守を検証するために、監督機関が利用できるものとする。
第 34 条 データ主体に対する個人データ侵害の連絡
1. 個人データ侵害が自然人の権利及び自由に対する高度なリスクを発生させる可能性がある場合、管理者は、そのデータ主体に対し、不適切な遅滞なく、その個人データ侵害を連絡する。
2. 本条の第 1 項に示すデータ主体に対する連絡は、明確かつ平易な言語でその個人データ侵害の性質を記述し、かつ、少なくとも、第 33 条第 3 項の(b)、(c)及び(d)に示す情報及び措置を含める。
3. 第 1 項に示すデータ主体に対する連絡は、以下の条件に該当する場合、これを要しない：(a) 管理者が適切な技術上及び組織上の防護措置を実装しており、かつ、それらの措置、とりわけ、暗号化のような、データに対するアクセスが承認されていない者にはその個
人データを識別できないようにする措置が、個人データ侵害によって害を受けた個人データに対して適用されていた場合；(b) 管理者が、第 1 項に示すデータ主体の権利及び自由に対する高度なリスクが具体化しないようにすることを確保する事後的な措置を講じた場合；または、(c) それが過大な負担を要するような場合。そのような場合、データ主体が平等に効果的な態様で通知されるような広報またはそれに類する方法に変更される。
4. 管理者がデータ主体に対して個人データ侵害をまだ通知をしていない場合、監督機関は、その個人データ侵害が高度なリスクを発生させる可能性を検討した上で、その管理者に対し、そのようにすべきことを要求でき、または、第 3 項に示す要件のいずれに該当するかを判断
できる。

73

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 3 節 データ保護影響評価及び事前協議
第 35 条 データ保護影響評価
1. 処理の性質、範囲、過程及び目的を考慮に入れた上で、特に新たな技術を用いるような種類の処理が、自然人の権利及び自由に対する高度なリスクを発生させるおそれがある場合、管理者は、その処理の開始前に、個人データの保護に関し、予定している処理業務の影響評価を行う。類似の高度のリスクを示す一群の類似の処理業務を単一の評価の対象とすることができる。
2. 管理者は、データ保護影響評価を行う場合、その指定をしているときは、データ保護責任者に対して助言を求める。
3. 第 1 項に示すデータ保護影響評価は、とりわけ、以下の場合に求められる：(a) プロファイリングを含め、自動的な処理に基づくものであり、かつ、それに基づく判断が自然人と関係する法的効果を発生させ、または、自然人に対して同様の重大な害を及ぼす、自然人に関する人格的側面のシステムによる幅広い評価の場合；(b) 第 9 条第 1 項に示す特別類型のデータまたは第 10 条に示す有罪判決及び犯罪行為と関連する個人データの大規模な処理の場合；または、(c) 公衆がアクセス可能な場所の、システムによる監視が大規模に行われる場合。
4. 監督機関は、第 1 項によるデータ保護影響評価の義務に服する処理業務の種類のリストを作成し、これを公表する。監督機関は、第 68 条に示す委員会に対し、そのリストを送付する。
5. 監督機関は、データ保護影響評価を要しない処理業務の種類のリストを作成し、これを公表することもできる。監督機関は、その委員会に対し、そのリストを送付する。
6. それらのリストが複数の構成国におけるデータ主体に対する物品もしくは役務の提供と関連する処理活動またはデータ主体の行動の監視と関連する処理活動を含んでいる場合、または、欧州連合内における個人データの支障のない移動に大きな害を与え得るものである場
合、第 4 項及び第 5 項に示すリストを採択する前に、職務権限をもつ監督機関は、第 63 条に示す一貫性確保メカニズムを適用する。
7. 評価は、少なくとも以下の事項を含める：(a) 予定されている処理業務の体系的な記述、及び、適用可能なときは、管理者の求める正当な利益を含め、処理の目的；(b) その目的との関係におけるその処理業務の必要性及び比例性の評価；(c) 第 1 項に示すデータ主体の権利及び自由に対するリスクの評価；並びに、(d) データ主体及び他の関係者の権利及び正当な利益を考慮に入れた上で、個人データの保護を確保するための、及び、本規則の遵守を説明するための、安全性確保措置、防護措置及び仕組みを含め、リスクに対処するために用意されている手段。
8. 関係する管理者または処理者によって第 40 条に示す承認された行動準則が遵守されていることは、そのような管理者または処理者によって遂行される処理業務の影響を評価するに際し、とりわけ、データ保護影響評価の目的のために、適正に考慮に入れるものとする。
74

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

9. それが適切であるときは、商業上の利益、公共の利益または処理業務の安全性を妨げることなく、管理者は、予定されている処理に関し、データ主体またはその代理者から意見を求める。
10. 第 6 条第 1 項の(c)または(e)による処理が、管理者が服する欧州連合法または構成国法の中に法律上の根拠をもつ場合であって、当該法律が、当の特定の処理業務または一群の処理業務を規律しており、かつ、当該法律上の根拠の採択の過程において一般的な影響評価の一部として個人データ保護影響評価が既に行われているときは、処理活動を開始する前にそのような評価が行われるべきものであると構成国が判断する場合を除き、第 1 項ないし第 7 項
は、適用されない。
11. 必要があるときは、管理者は、遅くとも、処理業務によって示されるリスクの変化が存在する時点において、データ保護影響評価に従って処理が遂行されているか否かを評価する
ために、再評価を行う。
第 36 条 事前協議
1. そのリスクを削減させるために管理者によって講じられる措置が存在しなければ自然人の権利及び自由に対して高度のリスクをもたらすおそれがあるということを第 35 条に基づ
くデータ保護影響評価が示している場合、管理者は、その処理を開始する前に、監督機関と協議する。
2. 第 1 項に示す予定されている処理が本規則に違反し得るとの見解を監督機関がもつときは、とりわけ、管理者がリスクの特定及び削減について不十分であるときは、その監督機関
は、協議の要請を受理した時から 8 週間以内に、その管理者に対し、及び、適用可能なときは、処理者に対し、書面による助言を提供し、また、第 58 条に示す権限中のいずれかを用いることもできる。この期限は、予定されている処理の複雑性を考慮に入れた上で、6 週間延長できる。その監督機関は、その管理者に対し、及び、適用可能なときは、処理者に対し、協議の要請を受領した時から 1 か月以内に、その遅延の理由を付して、そのような期限延長を通知する。これらの期限は、監督機関が協議のために求めた情報を入手するまでの間、その進行を停止させることができる。
3. 第 1 項により監督機関と協議する場合、管理者は、監督機関に対し、以下の情報を提供する：(a) 適用可能なときは、とりわけ、事業者グループの内の処理において、当該処理に関与する管理者、共同管理者及び処理者のそれぞれの職責；(b) 予定されている処理の目的及び方法；(c) 本規則によるデータ主体の権利及び自由を保護するために提供される措置及び安全性確保措置；(d) 適用可能なときは、データ保護責任者の連絡先；(e) 第 35 条に定めるデータ保護影響評価；並びに、(f) 監督機関から求められた上記以外の情報。
4. 構成国は、処理と関連して、国内議会によって採択される立法措置の提案を準備する間、75

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

または、その立法措置に基づく法定の措置の提案を準備する間において、監督機関と協議する。
5. 第 1 項に拘らず、構成国法は、社会保護及び公衆衛生と関連する処理を含め、公共の利益において管理者によって行われる職務の遂行のための管理者による処理に関し、監督機関と協議することを管理者に対して要求でき、また、監督機関から事前に承認を得ることを要求できる。
第 4 節 データ保護責任者
第 37 条 データ保護責任者の指定
1. 管理者及び処理者は、以下の場合において、データ保護責任者を指定する：(a) 裁判所がその司法上の権能を行使する場合を除き、行政機関または行政組織によって行われる処理；(b) その処理の性質、範囲及びまたは目的のゆえに、継続的なシステムによるデータ主
体の監視を大規模に要する処理業務によって構成される管理者または処理者の中心的な活動；または、(c) 第 9 条による特別類型のデータ及び第 10 条に示す有罪判決及び犯罪行為と関連する
個人データの大規模な処理によって構成される管理者または処理者の中心的な業務。
2. 事業者グループは、データ保護責任者が各事業所から容易にアクセス可能な場合に限り、単一のデータ保護責任者を指定できる。
3. 管理者または処理者が行政機関または行政組織である場合、その組織上の構造及び規模を考慮に入れた上で、複数の行政機関または行政組織のために単一のデータ保護責任者を指定できる。
4. 第 1 項に示す以外の場合においては、管理者もしくは処理者、または、様々な類型の管理者もしくは処理者を代表する団体その他の組織は、データ保護責任者を指定することができ、または、欧州連合法または構成国法によって要求される場合、データ保護責任者を指定する。
そのデータ保護責任者は、そのような団体その他の組織を代表する管理者または処理者のために行動できる。
5. データ保護責任者は、専門家としての資質、及び、とりわけ、データ保護の法令及び実務に関する専門知識並びに第 39 条に示す職務を充足するための能力に基づいて指定される。
6. データ保護責任者は、管理者または処理者の職員とすることができ、または、役務提供契約に基づいてその職務を果たすことができる。
7. 管理者または処理者は、データ保護責任者との連絡先の詳細を公表し、かつ、監督機関に対し、それを連絡する。
第 38 条 データ保護責任者の地位
1. 管理者及び処理者は、個人データの保護と関連する全ての問題に、適正かつ適時に、デー76

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

タ保護責任者が関与することを確保する。
2. 管理者及び処理者は、第 39 条に示す職務の遂行において、その職務を遂行し、個人デー
タ及び処理業務にアクセスするため、並びに、彼もしくは彼女の専門的な知識を維持するために必要となる資源を提供することによって、データ保護責任者を支援する。
3. 管理者及び処理者は、データ保護責任者が、彼または彼女の職務の遂行に関し、いかなる指示も受けないことを確保する。彼または彼女は、彼の職務の遂行のゆえに、管理者または処理者から解任され、または制裁を受けることがない。データ保護責任者は、最も高い職位にある管理者または処理者に直属する。
4. データ主体は、その個人データ処理と関連する全ての問題及び本規則に基づくその権利の行使と関連する全ての問題に関し、データ保護責任者と連絡をとることができる。
5. データ保護責任者は、欧州連合法または構成国法に従い、彼または彼女の職務の遂行と関係する秘密または機密を厳守する。
6. データ保護責任者は、上記以外の職務を遂行し、義務を履行することができる。管理者または処理者は、そのような職務及び義務が利益相反とならないことを確保する。
第 39 条 データ保護責任者の職務
1. データ保護責任者は、少なくとも、以下の職務をもつ：(a) 管理者または処理者及び処理を行う従業者に対し、本規則及びそれ以外の欧州連合
もしくは構成国のデータ保護条項による彼らの義務について情報提供し、かつ、助言すること；(b) 処理業務に関与する職員の責任の割当て、注意喚起及び訓練、並びに、関連する監査を含め、本規則の遵守、それ以外の欧州連合または構成国の個人データ保護条項の遵守、並びに、個人データ保護と関連する管理者または処理者の保護方針の遵守を監視すること；(c) 要請があった場合、第 35 条によるデータ保護影響評価に関して助言を提供し、その遂行を監視すること；(d) 監督機関と協力すること；(e) 第 36 条に示す事前協議を含め、処理と関連する問題に関し、監督機関のための連絡部局として行動すること、及び、それが適切であるときは、それ以外の関連事項について協議すること。
2. データ保護責任者は、彼または彼女の職務を遂行する際、処理の性質、範囲、過程及び目的を考慮に入れた上で、処理業務と関係するリスクに関し、適正に注意を払う。
第 5 節 行動準則及び認証
第 40 条 行動準則
1. 構成国、監督機関、委員会及び欧州委員会は、様々な処理部門の特性及びマイクロ企業及77

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

び中小企業の特殊事情を考慮に入れた上で、本規則の適正な適用に貢献することを旨とする
行動準則の作成を奨励する。
2. 様々な類型の管理者または処理者を代表する団体及びその他の組織は、以下のような事項に関し、本規則の適用の細目を定めるために、行動準則を用意し、その準則を改正し、または、その準則を追補できる：(a) 公正かつ透明性のある処理；(b) 具体的な場面において管理者が求める正当な利益；(c) 個人データの収集；(d) 個人データの仮名化；(e) 公衆及びデータ主体に対して提供される情報；(f) データ主体の権利の行使；(g) 子どもに対して提供される情報及び子どもの保護、並びに、子どもに対して親権者としての責任を負う者から同意を得るための方法；(h) 第 24 条及び第 25 条に示す措置及び措置、並びに、第 32 条に示す処理の安全性を確保するための措置；(i) 監督機関に対する個人データ侵害の通知及びデータ主体に対するその個人データ侵害の連絡；(j) 第三国または国際機関に対する個人データの移転；または、(k) 第 77 条及び第 79 条によるデータ主体の権利を妨げることなく、管理者とデータ主体との間の処理に関する紛争を解決するための裁判外の手続及びそれ以外の紛争解決手続。
3. 本規則に服する管理者または処理者による遵守に加え、本条の第 5 項により承認され、かつ、本条の第 9 項によって一般的な有効性をもつ行動準則は、第 46 条第 2 項の(e)に示す条件に基づいて第三国または国際機関に対して個人データを移転する枠組みの中における適切な安全性確保措置を提供するために、第 3 条によって本規則の適用対象となっていない管理者または処理者によっても遵守され得る。そのような管理者または処理者は、契約上の拘束力のある法律文書またはそれ以外の法的拘束力のある法律文書を介して、データ主体の権利に関するものを含め、適切な安全性確保措置を適用するための拘束力があり執行可能な約束を形成する。
4. 本条の第 2 項に示す行動準則は、第 41 条第 1 項に示す組織が、第 55 条及び第 56 条によって職務権限をもつ監督機関の職務及び権限を妨げることなく、その行動準則を適用している管理者または処理者によるその行動準則の条項の遵守を強制的に監視できるようにする
仕組みを含める。
5. 行動準則の準備または既存の準則の改正もしくは追補を予定する本条の第 2 項に示す団体及びその他の組織は、第 55 条により職務権限をもつ監督機関に対し、行動準則案、改正または追補を送付する。その監督機関は、その行動準則案、改正または追補が本規則を遵守するものであるか否に関する意見書を作成し、かつ、それが十分に適切な安全性確保措置を提供するものであるとの結論を得たときは、当該行動準則案、改正または追補を承認する。
6. 行動準則案、改正または追補が第 5 項に従って承認される場合、及び、関係する行動準則
78

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

が複数の構成国内の処理活動と関連するものではない場合、その監督機関は、その準則を登録し、それを公表する。
7. 行動準則案が複数の構成国内の処理活動と関連する場合、第 55 条により職務権限をもつ
監督機関は、その行動準則案、改正または追補を承認する前に、第 63 条に示す手続の中で、それを委員会に送付し、委員会は、その行動準則案、改正または追補が本規則を遵守するものであるか否か、または、本条の第 3 項に示す状況において適切な安全性確保措置を提供するものか否かに関し、意見書を作成する。
8. 第 7 項に示す意見書が、その行動準則案、改正または追補が本規則を遵守するものである
ことを確認するものである場合、または、第 3 項に示す状況の下における適切な安全性確保措置を提供することを確認するものである場合、委員会は、欧州委員会に対し、その意見書を送付する。
9. 欧州委員会は、実装行為によって、本条第 8 項により欧州委員会に対して送付された承認
された行動準則、その改正及び追補が欧州連合内において一般的な有効性をもつと判定できる。その実装行為は、第 93 条第 2 項に定める審議手続に従って採択される。
10. 欧州委員会は、第 9 項に従って一般的な有効性をもつと判定された承認された準則に関し、適切な周知を確保する。
11. 委員会は、全ての承認された行動準則、その改正及び追補を登録所の中で校合し、かつ、適切な手段によって、公衆がそれを利用できるようにする。
第 41 条 承認された行動準則の監視
1. 第 57 条及び第 58 条に基づく職務権限をもつ監督機関の職務及び権限を妨げることなく、第 40 条による行動準則の遵守の監視は、その準則の対象事項と関連する適切なレベルの専門性をもち、かつ、職務権限をもつ監督機関によってその目的のために認定される組織によって行われ得る。
2. 第 1 項に示す組織は、当該組織が以下のとおりである場合、行動準則の遵守を監視するための認定を受けることができる：(a) その組織の独立性及びその準則の対象事項に関する専門性について、職務権限をもつ監督機関が納得する程度に説明し；(b) その準則を適用し、それらの者による準則の条項の遵守を監視し、かつ、その業務を定期的に見直すための、関係する管理者及び処理者の適格性を評価できるようにする手続が設けられており；(c) その準則の違反行為、または、管理者または処理者によってその準則が実装された手法もしくは実装されつつある手法に関する苦情を取り扱うための手続及び組織構造が定められ、かつ、そのような手続及び組織構造をデータ主体及び公衆にとって透明性のあるものとしており；かつ、(d) その組織の職務と義務が利益相反を発生させないことを、職務権限をもつ監督機関が納得する程度に説明した場合。
3. 職務権限をもつ監督機関は、第 63 条に示す一貫性確保メカニズムによって、委員会に対79

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）し、本条第 1 項に示す組織の認定のための基準案を送付する。
4. 職務権限をもつ監督機関の職務及び権限並びに第 8 章の条項を妨げることなく、本条第 1項に示す組織は、適切な安全性確保措置の下で、管理者または処理者による準則違反行為の場合において、準則の一時停止または関係する管理者または処理者の準則からの排除を含め、適切な行動を執る。その組織は、職務権限をもつ監督機関に対し、その行動及びそのような行動をとる理由を通知する。
5. 職務権限をもつ監督機関は、認定の条件に適合していない場合、もしくは、適合しなくなった場合、または、その組織によって行われた行動が本規則に違反する場合、第 1 項に示す
組織の認定を取り消す。
6. 本条は、行政機関及び行政組織によって行われる処理には適用されない。
第 42 条 認証
1. 構成国、監督機関、委員会及び欧州委員会は、とりわけ、欧州連合レベルにおいて、管理者及び処理者による処理業務が本規則を遵守することを説明する目的のために、データ保護
認証方法並びにデータ保護シール及びデータ保護マークを設けることを奨励する。マイクロ
企業及び中小企業の特殊事情を考慮に入れるものとする。
2. 本規則に服する管理者または処理者の遵守に加え、第 46 条第 2 項の(f)に示す条件に基づ
く第三国または国際機関に対する個人データの移転の枠組みの中で、第 3 条により本規則の適用対象となっていない管理者または処理者によって提供される適切な安全性確保措置の存在を示す目的のために、本条の第 5 項によって認められるデータ保護認証方法、データ保護シールもしくはデータ保護マークを設けることができる。そのような管理者または処理者
は、契約上の拘束力のある法律文書またはそれ以外の法的拘束力のある法律文書を介して、データ主体の権利に関するものを含め、適切な安全性確保措置を適用するための拘束力があり執行可能な約束を形成する。
3. 認証は、任意であり、かつ、透明性のある手続を介して利用可能なものとする。
4. 本条に基づく認証は、本規則を遵守するための管理者または処理者の責務を軽減することはなく、また、第 55 条または第 56 条により職務権限をもつ監督機関の職務及び権限を妨げない。
5. 本条による認証は、第 58 条第 3 項により職務権限をもつ監督機関によって承認された基準、または、第 63 条により委員会によって承認された基準に基づき、第 43 条に示す認証機
関または職務権限をもつ監督機関から発行される。その基準が委員会によって承認される場
合、それは、共通の認証、すなわち、欧州データ保護シールとなる。
6. その処理を認証方法に服させる管理者または処理者は、第 43 条に示す認証機関に対し、
または、適用可能なときは、職務権限をもつ監督機関に対し、認証手続を行うために必要となる全ての情報及びその処理活動へのアクセスを提供する。
7. 認証は、管理者または処理者に対し、最長 3 年の期限で発行され、関連する要件に適合し続けている限り、同じ条件で更新され得る。認証のための要件に適合していない場合、または、適合しなくなった場合、その認証は、第 43 条に示す認証機関または職務権限をもつ監80

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

督機関によって、しかるべく取り消される。
8. 委員会は、全ての認証方法並びにデータ保護シール及びデータ保護マークを登録所の中で校合し、かつ、適切な手段によって、公衆がそれを利用できるようにする。
第 43 条 認証機関
1. 第 57 条及び第 58 条に基づく職務権限をもつ監督機関の職務及び権限を妨げることなく、データ保護に関する適切なレベルの専門性をもつ認証機関は、その必要があるときは、第 58条第 2 項の(h)によるその権限を行使できるようにするため、監督機関に通知した後、認証を発行し、または、それを更新する。構成国は、構成国の認証機関が、以下の一方または両方から認定されることを確保する：(a) 第 55 条または第 56 条により職務権限をもつ監督機関；(b) EN-ISO/IEC 17065/2012 に準拠する欧州議会及び理事会の規則(EC) No 765/20081に従い、かつ、第 55 条または第 56 条により職務権限をもつ監督機関によって定められる付
加的な要件に従って指定される国内認定機関。
2. 第 1 項に示す認証機関は、以下の場合に限り、同項に従って、認定を受ける：(a) その組織の独立性及び認証の対象事項に関する専門性について、職務権限をもつ監
督機関を納得させる程度に説明し；(b) 第 42 条第 5 項に示す基準を満たし、かつ、第 55 条もしくは第 56 条により職務権限をもつ監督機関による承認、または、第 63 条により委員会による承認を受け；(c) データ保護認証方法、データ保護シール及びデータ保護マークの発行、定期的な見直し及び取消しの手続が設けられ；(d) その認証の違反行為、または、管理者または処理者によってその準則が実装された手法もしくは実装されつつある手法に関する苦情を取り扱うための手続及び組織構造が定められ、かつ、そのような手続及び組織構造をデータ主体及び公衆にとって透明性のあるものとしており；かつ、(e) その組織の職務と義務が利益相反を発生させないことを、職務権限をもつ監督機関が納得する程度に説明した場合。
3. 本条の第 1 項及び第 2 項に示す認証機関の認定は、第 55 条または第 56 条により職務権限をもつ監督機関によって承認された基準、または、第 63 条により委員会によって承認された基準に基づき、行われる。本条第 1 項の(b)による認定の場合、その要件は、規則(EC) No
765/2008 及び認証機関の方法及び手順を示す技術規則に掲げられる要件に適合するものとする。
4. 第 1 項に示す認証機関は、本規則の遵守に関する管理者または処理者の責任を妨げることなく、その認証または当該認証の取り消しを導く適正な評価について責任を負う。認定は、認証機関が本条に定める要件に適合する限り、最長で 5 年以内の期間で発行され、また、同じ条件の下で更新され得る。
製品のマーケティングと関連する認定及び市場調査の要件を定め、規則(EEC) No 339/93 を廃止する
欧州議会及び理事会の 2008 年 7 月 9 日の規則(EC) No 765/2008（OJ L 218, 13.8.2008, p.30）
811

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

5. 第 1 項に示す認証機関は、職務権限をもつ監督機関に対し、求められた認証の付与またはその取り消しの理由を提供する。
6. 本条第 3 項に示す要件及び第 42 条第 5 項に示す基準は、容易にアクセス可能な方式で、監督機関によって、公表される。その監督機関は、委員会に対し、それらの要件及び基準を送付する。委員会は、全ての認証方法及びデータ保護シールを登録所の中で校合し、かつ、適切な手段によって、公衆がそれを利用できるようにする。
7. 第 8 章を妨げることなく、認定の要件に適合していない場合、もしくは、適合しなくなった場合、または、認証機関によって行われた行動が本規則に違反する場合、職務権限をもつ
監督機関または国内認定機関は、本条の第 1 項による認証機関の認定を取り消す。
8. 欧州委員会は、第 42 条第 1 項に示すデータ保護認証方法のために考慮に入れられるべき要件の細目を定めるために、第 92 条に従い、委任される行為を採択する権限を与えられる。
9. 欧州委員会は、認証方法、データ保護シール及びデータ保護マークのための技術基準、並びに、それらの認証方法、シール及びマークを推奨し、周知するための仕組みを定める実装
行為を採択できる。この実装行為は、第 93 条第 2 項に示す審議手続に従って採択される。
第 5 章 第三国または国際機関に対する個人データの移転
第 44 条 移転のための一般原則
現に処理されている個人データまたは第三国または国際機関に対する移転の後に処理される予定の個人データの移転は、その第三国または国際機関から別の第三国または国際機関
に対する個人データの転送に関するものを含め、本規則の他の条項に従い、本章に定める要件が管理者及び処理者によって遵守される場合においてのみ、行われる。本章の全ての条項
は、本規則によって保証される自然人保護のレベルが低められないことを確保するために適用される。
第 45 条 十分性の判定に基づく移転
1. 当の第三国、第三国内の地域または 1 もしくは複数の特定の部門、または、国際機関が十分なレベルのデータ保護を確保していると欧州委員会が判定した場合、第三国または国際機関に対する個人データの移転が行われる。その移転は、いかなる個別の許可も要しない。
2. 保護のレベルの十分性を評価する場合、欧州委員会は、とりわけ、以下の要素を考慮に入れる：(a) 法の支配、人権及び基本的自由の尊重、公共の安全、国防、国家安全保障及び犯罪法を含め、一般的または分野別の関連立法、及び、行政機関による個人データへのアクセス、並びに、そのような立法の実装、他の第三国または国際機関に対する個人データの転送に関する規定であって、当該第三国または国際機関が遵守する法令を含め、データ保護の法令、職業上の準則及び防護措置、判例法、並びに、効果的で執行可能なデータ主体の権利、その個人データが移転されつつあるデータ主体のための行政上の救済及び82

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

司法上の救済；(b) 適切な執行権限を含め、データ保護法令の遵守を確保し、かつ、執行することに関し、データ主体がその権利を行使する際に支援し助言することに関し、及び、構成国の監督機関と協力することに関して責任を負う第三国内の、または、国際機関が服する 1
もしくは複数の独立の監督機関が存在し、かつ、それが効果的に機能していること；並びに、(c) とりわけ、個人データ保護に関し、関係する第三国もしくは国際機関が加盟している国際的な約束、または、法的拘束力のある条約もしくは法律文書から生ずるそれ以外の義務、並びに、多国間システムまたは領域システムへの参加から生ずる義務。
3. 欧州委員会は、保護のレベルの十分性を評価した後、実装行為により、第三国、第三国内の地域または 1 もしくは複数の特定の部門または国際機関が、本条第 2 項の意味における十分なレベルのデータ保護を確保している旨を判定できる。その実装行為は、少なくとも 4 年毎の定期的な見直しの仕組みを定め、その見直しは、その第三国または国際機関の関係する
全ての発展を考慮に入れるものとする。その実装行為は、その領域上の適用及び部門上の適用範囲を指定し、かつ、適用可能なときは、本条第 2 項の(b)に示す監督機関を指定する。この実装行為は、第 93 条第 2 項に示す審議手続に従って採択される。
4. 欧州委員会は、継続的に、本条第 3 項により採択された判定及び指令 95/46/EC の第 25 条
第6 項に基づいて採択された判定が機能することに対して影響を及ぼし得る第三国内及び国際機関内の発展を監視する。
5. 欧州委員会は、当該第三国、第三国内の地域または 1 もしくは複数の特定の部門または国際機関が本条第 2 項の意味における十分なレベルのデータ保護を確保していないことが、利用可能な情報から、とりわけ、本条の第 3 項に示す見直しの結果から、明らかにされた場合、実装行為により、遡及効をもつことなく、必要な範囲内で、本条の第 3 項に示す判定を取り消し、修正し、または、停止とする。この実装行為は、第 93 条第 2 項に示す審議手続に従って採択される。
緊急性という正当化事由に基づき、欧州委員会は、第 93 条第 3 項に示す手続に従い、直ちに、適用可能な実装行為を採択する。
6. 欧州委員会は、第 5 項によって行われた判定を生じさせている事態を打開するという観点から、第三国または国際機関と協議に入る。
7. 本条第 5 項による判定は、第 46 条ないし第 49 条による当の第三国、第三国内の地域また
は 1 もしくは複数の特定の部門または国際機関に対する個人データの移転を妨げない。
8. 欧州委員会は、EU 官報及びその Web サイト上において、十分なレベルの保護がある旨の判定がなされ、または、確保されていない旨の判定がなされた第三国、第三国内の地域もし
くは特定の部門または国際機関のリストを公表する。
9. 指令 95/46/EC の第 25 条第 6 項に基づき欧州委員会によって採択された判定は、本条の第3 項または第 5 項に従って採択される欧州委員会の判定によって修正され、置き換えられ、または、廃止されるまでの間は、その有効性を維持する。

83

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 46 条 適切な安全性確保措置による移転
1. 第 45 条第 3 項による判定がない場合、管理者または処理者は、その管理者または処理者が適切な安全性確保措置を提供しており、かつ、データ主体の執行可能な権利及びデータ主体のための効果的な司法救済が利用可能なことを条件としてのみ、第三国または国際機関に対して個人データを移転できる。
2. 第 1 項に示す適切な安全性確保措置は、監督機関からいかなる個別の承認も求められることなく、以下のいずれかによって提供できる：(a) 行政機関または行政組織の間の法的拘束力及び執行力のある文書；(b) 第 47 条に従う拘束的企業準則；(c) 第 93 条第 2 項に示す審議手続に従って欧州委員会によって採択された標準データ保護約款；(d) 監督機関によって採択され、かつ、第 93 条第 2 項に示す審議手続に従って欧州委員会によって承認された標準データ保護約款；(e) データ主体の権利に関するものを含め、適切な安全性確保措置を適用するための拘束力があり執行可能な第三国の管理者または処理者の約定のある第 40 条による承認された行動準則；または、(f) データ主体の権利に関するものを含め、適切な安全性確保措置を適用するための拘束力があり執行可能な第三国の管理者または処理者の約定のある第 42 条による承認された認証方法。
3. 職務権限をもつ監督機関から承認を受けることを条件として、第 1 項に示す安全性確保措
置は、とりわけ、以下の方法によっても提供できる：(a) 管理者または処理者と第三国または国際機関内の管理者、処理者または個人データの取得者との間の契約条項；または、(b) 行政機関または行政組織の間の業務覚書の中に入れられる条項であって、執行可能かつ効果的なデータ主体の権利を含むもの。
4. 監督機関は、本条第 3 項に示す場合において、第 63 条に示す一貫性確保メカニズムを適用する。
5. 指令 95/46/EC の第 26 条第 2 項に基づく構成国または監督機関による承認は、その必要に応じて、監督機関によって改正され、置き換えられ、または、廃止されるまでの間は、その有効性を維持する。指令 95/46/EC の第 26 条第 4 項に基づき欧州委員会によって採択された
決定は、その必要に応じて、本条の第 2 項に従って採択される欧州委員会決定により改正され、置き換えられ、または、廃止されるまでの間は、その有効性を維持する。
第 47 条 拘束的企業準則
1. 職務権限をもつ監督機関は、その拘束的企業準則が以下のとおりであることを条件として、第 63 条に定める一貫性確保メカニズムに従い、拘束的企業準則を承認する：(a) その従業者を含め、事業者グループまたは共同で経済活動に従事する企業グループ84

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）の関係する全ての構成員を法的に拘束し、それらの者に適用され、かつ、それらの者によって執行され；(b) その個人データ処理と関連するデータ主体の執行可能な権利を明示で認めており；
かつ、(c) 第 2 項に定める要件を充足する場合。
2. 第 1 項に示す拘束的企業準則は、少なくとも、以下の細目を定める：(a) 事業者グループもしくは共同で経済活動に従事する企業グループまたはそれらを構成する個々の事業者の組織構造及び連絡先；(b) 個人データの類型、処理の種類及びその目的を含め、データの移転または一群のデータの移転、影響を受けるデータ主体の種類、及び、当の第三国の識別名；(c) その拘束的企業準則の内部的拘束力及び対外的拘束力の法的性質；(d) データ保護の一般的な基本原則の適用、とりわけ、目的の限定、データのミニマム化、記録保存期間の制限、データの品質、バイデザイン及びバイデフォルトによるデー
タ保護、処理の法的根拠、特別類型の個人データ処理、データの安全性を確保するための措置、並びに、拘束的企業準則によって拘束されない組織に対するデータ転送に関する要件；(e) 第 22 条に従うプロファイリングを含む自動処理のみに基づく判定に服さない権利、職務権限をもつ監督機関に対し及び第 79 条に従い構成国の裁判所に異議を申し立てる
権利、並びに、拘束的企業準則の違反行為に対する救済、及び、それが適切なときは、損害賠償を求める権利を含め、処理と関連するデータ主体の権利及びその権利の行使の方法；(f) 欧州連合内において設立されたものではない関係構成員による拘束的企業準則の違反行為による法的責任を構成国の領土上に設けられた管理者または処理者が負うこと；
その管理者または処理者は、当該構成員がその損害の発生に関して責任を負わないことを証明した場合に限り、その法的責任の全部または一部を免れる；(g) 拘束的企業準則に関する情報、とりわけ、第 13 条及び第 14 条に加え、本項の(d)、(e)及び(f)に示す各条項に関する情報をデータ主体に提供する方法；(h) 事業者グループ内または共同で経済活動に従事する企業グループ内において、拘束的企業準則の遵守の監視並びに訓練及び異議申立て処理の監視を実施するデータ保護責任者またはそれ以外の者もしくは組織の職務；(i) 異議申立て手続；(j) 事業者グループもしくは共同で経済活動に従事する企業グループの構成員内における拘束的企業準則の遵守の確認を確保するための仕組み。その仕組みは、データ保護監
査、及び、データ主体の権利を保護するための調整活動を確保するための方法を含む。
その確認の結果は、(h)に示す者もしくは団体並びに事業者グループもしくは共同で経済活動に従事する企業グループの中枢事業者の執行役員に対して通知され、また、要求に応じて、職務権限をもつ監督機関に利用可能なものとされる；(k) 準則の変更の報告及び記録の仕組み、並びに、監督機関に対するその変更の報告；(l) 事業者グループもしくは共同で経済活動に従事する企業グループの構成員による遵85

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

守を確保するための、とりわけ、(j)に示す確認の仕組みの結果を監督機関が利用できるようにすることによる、監督機関との協力の仕組み；(m) 事業者グループもしくは共同で経済活動に従事する企業グループの構成員が服する第三国における法律上の要件であって、その拘束的企業準則によって提供される保証に対して重大な影響を及ぼすおそれのあるものを監督機関に報告するための仕組み；並びに、(n) 恒常的または継続的に個人データへのアクセスをもつ者に対する適切なデータ保護
訓練。
3. 欧州委員会は、本条の意味における拘束的企業準則に関する管理者、処理者及び監督機関の間の情報交換のフォーマット及び手順の細目を定めることができる。この実装行為は、第93 条第 2 項に示す審議手続に従って採択される。
第 48 条 欧州連合法によって認められない移転または開示管理者または処理者に対して個人データの移転または開示を命ずる第三国の裁判所もし
くは法廷の判決及び行政機関の決定は、本章による移転のための別の法的根拠を妨げることなく、いかなる態様によるにせよ、司法共助条約のような要請元である第三国と欧州連合または構成国との間で有効な国際合意に基づく場合においてのみ、これを承認または執行できる。
第 49 条 個別状況に関する特例
1. 第 45 条第 3 項による判定がない場合、または、拘束的企業準則を含め、第 46 条による適切な安全性確保措置がない場合、以下の条件中のいずれかを充足する場合においてのみ、第三国または国際機関に対する個人データの移転またはその一群の移転を行うことができる：(a) 十分性の判定及び適切な安全性確保措置が存在しないために、そのような移転がそのデータ主体に対して発生させる可能性のあるリスクの情報提供を受けた後に、そのデータ主体が、予定されている移転に明示で同意した場合；(b) データ主体と管理者との間の契約の履行のためにその移転が必要となる場合、または、データ主体の申込みの際に、契約締結前の措置を実施するためにその移転が必要となる場合；(c) 管理者及びそれ以外の自然人もしくは法人との間でデータ主体の利益のために結ばれる契約の締結、または、その契約の履行のために移転が必要となる場合；(d) 重要な公共の利益のためにその移転が必要となる場合；(e) 訴訟の提起、攻撃防御のためにその移転が必要となる場合；(f) データ主体が物理的または法的に同意を与えることができない場合において、デー
タ主体またはそれ以外の者の生存の利益を保護するために移転が必要となる場合；(g) 欧州連合法または構成国法に従い、公衆に対して情報を提供することを予定しており、かつ、公衆一般及び正当な利益をもつことを説明することのできる者の両者に対し
86

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）て開かれているが、個々の案件において、照会に関して欧州連合法または構成国法により定められた条件が充足する限度内のみに制限されている登録所に限り、登録所からの移転が必要となる場合。
拘束的企業準則の条項を含め、第 45 条または 46 条に基づいて移転を行うことができず、かつ、本項第 1 副項に示す個別状況における特例がいずれも適用可能ではない場合、その移転が、反復的なものではなく、限定された人数のデータ主体に関係するものであり、データ
主体の権利及び自由によって優先されるものではない管理者が求める義務的な正当な利益の目的のために必要であり、かつ、管理者がデータ移転と関連する全ての事情を評価しており、かつ、その評価に基づき、その管理者が個人データの保護に関連して適合する安全性確保措置を提供した場合に限り、第三国または国際機関に対する移転を行うことができる。その管理者は、監督機関に対して、その移転を通知する。その管理者は、そのデータ主体に対し、第 13 条及び第 14 条に示す情報に加え、その移転及び求められる義務的な正当な利益に関し、情報提供する。
2. 第 1 項第 1 副項の(g)による移転は、その登録所に収録されている個人データ全体または全ての類型の個人データを含むものではない。登録所が公正な利益を有する者からの照会に応じようとする場合、その者の求める部分のみ、または、その者が取得者となる場合に限定して、その移転が行われる。
3. 第 1 項第 1 副項の(a)、(b)及び(c)並びに同項の第 2 副項は、その権限の行使において行政機関によって行われる行為には適用されない。
4. 第 1 項第 1 副項の(d)に示す公共の利益は、管理者が服する欧州連合法または構成国法において認められるものとする。
5. 十分性の判定がない場合、
欧州連合法または構成国法は、重要な公共の利益を理由として、
第三国または国際機関に対する特別類型の個人データの移転について、明示の制限を設ける
ことができる。構成国は、欧州委員会に対し、そのような条項を通知する。
6. 管理者または処理者は、本条第 1 項第 2 副項に示す評価及び適切な安全性確保措置を第30 条に示す記録の中で文書化する。
第 50 条 個人データ保護のための国際協力
第三国及び国際機関との関係において、欧州委員会及び監督機関は、以下の適切な手立てを講ずる：(a) 個人データ保護立法の効果的な執行を促進するための国際協力の仕組みを構築する
こと；(b) 個人データ保護及びそれ以外の基本的な権利及び自由の保護のための適切な安全性確保措置の下で、通知、苦情相談、調査の支援及び情報交換を介する場合を含め、個人データ保護立法の執行に関して国際的な共助を提供すること；(c) 利害関係者との意見交換、及び、個人データ保護立法の執行に関する国際協力の推進を目的とする活動に従事すること；(d) 第三国との裁判管轄権の抵触に関するものを含め、個人データ保護の立法及び実務
87

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）の交換及び文書化を促進すること。
第 6 章 独立の監督機関
第 1 節 独立の地位
第 51 条 監督機関
1. 各構成国は、処理と関連する自然人の基本的な権利及び自由を保護し、かつ、欧州連合内における個人データの支障のない流れを促進するため、本規則の適用を監視する職責を負う
1 もしくは複数の独立の行政機関を定める（「監督機関」）。
2. 各監督機関は、欧州連合全域における本規則の一貫性のある適用に貢献する。この目的のために、監督機関は、第 7 章に従い、相互に協力し、かつ、欧州委員会と協力する。
3. 1 つの構成国内において複数の監督機関が設けられる場合、当該構成国は、委員会においてそれらの監督機関を代表する監督機関を指定し、かつ、第 63 条に示す一貫性確保メカニ
ズムと関連する規定をそれ以外の監督機関が遵守することを確保するための仕組みを定める。
4. 各構成国は、欧州委員会に対し、2018 年 5 月 25 日までに、本章により構成国が採択した構成国の法律の条項を通知し、かつ、遅滞なく、その条項に影響を与えるその後の改正を通知する。
第 52 条 独立性
1. 各監督機関は、本規則に従ってその職務を遂行し、かつ、その権限を行使する際、完全に独立して行動する。
2. 各監督機関の構成員は、本規則に従ってその職務を遂行し、その権限を行使する際、直接または間接を問わず、外部からの影響を受けることなく、かつ、誰に対しても指示を求めず、また、誰からの指示も受けない。
3. 各監督機関の構成員は、その職責と適合しない行動を慎み、かつ、その在任中は、収入の有無を問わず、その仕事と適合しない業務に従事してはならない。
4. 各構成国は、各監督機関が、委員会における共助、協力及び参加の過程において行われる職務を含め、その職務の効果的な遂行及びその権限の行使のために必要となる人員上、技術上及び資金上の資源、施設及びインフラの提供を受けることを確保する。
5. 各構成国は、各監督機関が、関係する監督機関の構成員の指示のみに従うその監督機関自身の職員を選任し、かつ、これをもつことを確保する。
6. 各構成国は、各監督機関が、監督機関の独立性に影響を与えない財政上の管理に服すること、及び、監督機関が独立の公的な予算をもつことを確保する。その予算は、全州の予算または国内予算の一部とすることができる。

88

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 53 条 監督機関の構成員の一般的要件
1. 構成国は、以下によって、その構成国の監督機関の個々の構成員が、透明性のある手続により任命されることを定める：－構成国の議会；－構成国の政府；－構成国の州の長；または、－構成国法に基づく指定によって信任された独立の組織。
2. 個々の構成員は、とりわけ、個人データの保護の領域において、その職務を遂行し、かつ、その権限を行使するために求められる資質、専門性及び技能をもつ者とする。
3. 構成員の職務は、関係する構成国法に従い、任期が終了した時、辞任の時、または、強制的な退任の時に終了する。
4. 構成員は、重大な非違行為があった場合、または、その構成員がその職務の遂行のために求められる条件を満たさなくなった場合においてのみ、解任される。
第 54 条 監督機関の設置に関する規定
1. 各構成国は、法律によって、以下の全てを定める：(a) 各監督機関の設置；(b) 各監督機関の構成員として任命されるための資格及び適格性の条件；(c) 各監督機関の構成員の任命のための規則及び手続；(d) 2016 年 5 月 24 日以降の最初の任命を除き、個々の監督機関の構成員の少なくとも 4
年以上の任期。交互的な任命手続によって監督機関の独立性を保護するために必要なときは、その構成員の一部をより短い任期とすることができる；(e) 各監督機関の構成員の再任の可否、及び、再任する場合、再任できる回数；(f) 各監督機関の構成員及び職員の義務、その在任中及び退任後を通じて職務と適合しない行動、就業及び収入の禁止を規律する条件、並びに、雇用の終了を規律する規則。
2. 各監督機関の構成員及び職員は、欧州連合法または構成国法に従い、その職務の遂行及び権限の行使の過程において知ることとなった全ての機密情報に関し、その在任中及び退任後
とも、職務上の守秘義務を負う。その在任中、その職務上の守秘義務は、とりわけ、本規則の違反行為に関する自然人からの通報に適用される。
第 2 節 職務権限、職務及び権限
第 55 条 職務権限
1. 各監督機関は、その監督機関の構成国の領土上において、本規則に従って割り当てられる
職務を遂行し、かつ、本規則に従って与えられる権限を行使するための職務権限をもつ。
2. 行政組織によって、または、第 6 条第 1 項の(c)または(e)に基づいて活動する民間組織に89

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

よって処理が行われる場合、関係する構成国の監督機関は、その職務権限をもつ。この場合、第 56 条は、適用されない。
3. 監督機関は、その司法上の権能の行使における裁判所の処理業務を監督する職務権限をもたない。
第 56 条 主監督機関の職務権限
1. 第 55 条を妨げることなく、管理者または処理者の主たる事業所または単一の事業所の監督機関は、第 60 条に定める手続に従い、その管理者または処理者によって行われる国境を越える処理に関し、主監督機関として行動するための職務権限をもつ。
2. 第 1 項からの特例により、その対象事項がその監督機関の構成国内にある事業所のみに関係する場合、または、その監督機関の構成国内のデータ主体に対してのみ大きな影響を与える場合、各監督機関は、その監督機関に申立てられた異議、または、本規則の潜在的な違反行為を取り扱うための職務権限をもつ。
3. 本条第 2 項に示す場合において、その監督機関は、主監督機関に対し、遅滞なく、その事柄を通知する。その通知を受けてから 3 週間以内に、主監督機関は、その事柄の通知をした
監督機関の構成国内にその管理者または処理者が設けられているか否かを考慮に入れた上で、第 60 条に定める手続に従い、その案件を取り扱うか否かを判断する。
4. その主監督機関がその案件を取り扱うと判断する場合、第 60 条に定める手続が適用される。主監督機関に対して通知をした監督機関は、主監督機関に対し、決定書案を送付できる。
その主監督機関は、第 60 条第 3 項に示す決定書案を準備する際、送付された決定書案を最大限考慮に入れる。
5. その主監督機関がその案件を取り扱わないと判断する場合、主監督機関に対して通知をした監督機関は、第 61 条及び第 62 条に従い、その案件を取り扱う。
6. 主監督機関は、当該管理者または処理者によって行われる国境を越える処理について、その管理者または処理者の単独の担当者となる。
第 57 条 職務
1. 本規則に定める他の職務を妨げることなく、各監督機関は、その構成国上において：(a) 本規則の適用を監視し、これを執行する；(b) 処理と関連するリスク、法令、安全性確保措置及び権利の公衆への周知及び認識を促進する。とりわけ、子ども向けの活動に格別の注意を払う；(c) 構成国法に従い、国内議会、政府及びそれ以外の機関及び組織に対し、処理と関連する自然人の権利及び自由の保護に関する立法上の措置及び行政上の措置に関し、助言する；(d) 本規則に基づく管理者及び処理者の義務について、それらの者に対する周知を促進
する；(e) 要請に応じて、本規則に基づくデータ主体の権利の行使に関し、いかなるデータ主90

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

体に対しても情報を提供し、また、それが適切なときは、その目的のために、別の構成
国の監督機関と協力する；(f) 第 80 条に従い、データ主体、または、組織、団体もしくは協会から申立てられた異議を取り扱い、適切な範囲内で、異議申立てのあった事項について調査し、かつ、とりわけ、更に調査することまたは他の監督機関と協力することが必要な場合、合理的な期間内に、異議申立人に対し、その進捗状況及び結果について、情報提供する；(g) 本規則の適用及び執行の一貫性を確保するため、情報共有及び共助の提供を含め、他の監督機関と協力する；(h) 他の監督機関または行政機関から提供された情報に基づく場合を含め、本規則の適用に関する調査を行う；(i) 個人データの保護に対して影響をもつものである限り、関連する発展、とりわけ、情報通信技術の発展及び商業活動の実務を監視する；(j) 第 28 条第 8 項及び第 46 条第 2 項の(d)に示す標準約款を採択する；(k) 第 35 条第 4 項によるデータ保護影響評価の要件と関連するリストを作成し、維持管理する；(l) 第 36 条第 2 項に示す処理業務に関し、助言を与える；(m) 第 40 条第 1 項による行動準則の作成を奨励し、第 40 条第 5 項により、意見を提供
し、かつ、十分な安全性確保措置を提供する行動準則を承認する；(n) 第 42 条第 1 項によるデータ保護認証方法、データ保護シール及びデータ保護マークを設けることを促進し、かつ、第 42 条第 5 項による認証の基準を承認する；(o) 適用可能なときは、第 42 条第 7 項に従って発行される認証の定期的な見直しを行う；(p) 第 41 条による行動準則を監視するための組織の認定に関する基準及び第 43 条による認証機関の認定に関する基準を策定し、それを公表する；(q) 第 41 条による行動準則を監視するための組織の認定、及び、第 43 条による認証機
関の認定を行う；(r) 第 46 条第 3 項に示す契約条項及び条項を承認する；(s) 第 47 条による拘束的企業準則を承認する；(t) 委員会の活動に貢献する；(u) 本規則の違反行為の内部資料及び第58 条第2 項に従って講じられた措置に関する内部資料を保管する；並びに、(v) 個人データの保護と関連する上記以外の職務を尽くす。
2. 各監督機関は、他の伝達手段を排除することなく、電子的に完了させることのできる異議申立方式のような手段によって、第 1 項の(f)に示す異議申立てを容易にする。
3. 各監督機関の職務の遂行は、データ主体に関しては無料とし、また、適用可能なときは、データ保護責任者に関しても無料とする。
4. 特にそれが反復して行われることからして、要求が明らかに根拠のない場合または過剰な性質のものである場合、監督機関は、業務運営費用に基づく合理的な手数料を課金し、または、その要求を拒むことができる。その監督機関は、その要求が明らかに根拠のないもので91

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

あることまたは過剰なものであることを説明する責任を負う。
第 58 条 権限
1. 各監督機関は、以下の全ての調査権限をもつ：(a) 管理者及び処理者に対し、並びに、適用可能なときは、管理者の代理者または処理者の代理者に対し、監督機関がその職務の遂行のために必要とする情報の提供を命ずること；(b) データ保護監査の方式により、調査を行うこと；(c) 第 42 条第 7 項により発行される認証に関し、見直しを行うこと；(d) 管理者または処理者に対し、本規則の違反行為があるとの主張を情報提供すること；(e) 管理者及び処理者から、その職務を遂行する上で必要となる全ての個人データへのアクセス及び全ての情報へのアクセスを得ること；(f) 欧州連合の手続法または構成国の手続法に従い、データ処理の装置及び手段を含め、管理者及び処理者の施設へのアクセスを得ること。
2. 各監督機関は、以下の全ての是正権限をもつ：(a) 管理者または処理者に対し、予定されている処理業務が本規則の条項に違反するおそれがある旨の警告を発すること；(b) 処理業務が本規則の条項に違反する場合、管理者または処理者に対し、注意を発す
ること；(c) 管理者または処理者に対し、本規則による彼または彼女の権利を行使するデータ主体の求めに従うように命ずること；(d) 管理者または処理者に対し、それが適切であるときは、指定した態様により及び指定した期間内に、処理業務を、本規則の条項を遵守するものとさせるように命ずること；(e) 管理者に対し、個人データ侵害をデータ主体に連絡するように命ずること；(f) 処理の禁止を含め、一時的な制限または恒久的な制限を加えること；(g) 第 16 条、第 17 条及び第 18 条により、個人データの訂正もしくは削除または処理の制限を命ずること、並びに、第 17 条第 2 項及び第 19 条により、そのような行為について、個人データの開示を受けた取得者に対して開示するように命ずること；(h) 認証を取り消すこと、もしくは、認証機関に対し、第 42 条及び第 43 条によって発行した認証を取り消すように命ずること、または、認証の要件に適合しない場合、もし
くは、適合しなくなった場合、認証機関に対し、認証を発行しないように命ずること；(i) 個々の事案の事情に応じて、本項に示す措置に加え、または、その代わりに、第 83条による行政罰を科すこと；(j) 第三国または国際機関の取得者に対するデータの流れの停止を命ずること。
3. 各監督機関は、以下の全ての承認及び助言の権限をもつ：(a) 第 36 条に示す事前協議手続に従い、管理者に対し、助言すること；(b) 自らの発意により、または、要請に応じて、国内議会、構成国政府に対し、または、構成国法に従い、それ以外の機関及び組織に対し、並びに、公衆に対し、個人データ保92

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

護と関連する問題に関し、意見書を発すること；(c) 構成国法がそのような事前の承認を要求する場合、第 36 条第 5 項に示す処理を承認すること；(d) 第 40 条第 5 項による行動準則案について意見を発し、それを承認すること；(e) 第 43 条により認証機関を認定すること；(f) 認証を発行し、及び、第 42 条第 5 項に従い認証の基準を承認すること；(g) 第 28 条第 8 項及び第 46 条第 2 項の(d)に示す標準データ保護約款を採択すること；(h) 第 46 条第 3 項の(a)に示す契約条項を承認すること；(i) 第 46 条第 3 項の(b)に示す業務覚書を承認すること；(j) 第 47 条による拘束的企業準則を承認すること。
4. 本条により監督機関に与えられる権限の行使は、効果的な司法救済及び適正手続を含め、憲章に従って欧州連合法及び構成国法の中に定める適切な安全性確保措置に服する。
5. 各構成国は、構成国の監督機関が、本規則の違反行為に対して法務当局の関心を向けさせる権限、及び、それが適切なときは、本規則の条項を執行するために、訴訟手続を開始し、または、それに関与する権限をもつことを、法律によって定める。
6. 各構成国は、第 1 項、第 2 項及び第 3 項に示す権限に加え、その構成国の監督機関が付加的な権限をもつことを、法律によって定めることができる。それらの権限の行使は、第 7 章の効果的な遂行を損なうものであってはならない。
第 59 条 活動報告書
各監督機関は、その活動に関する年次報告書を作成する。それは、通知を受けた違反行為の種類のリスト及び第 58 条第 2 項に従って講じられた措置の種類のリストを含めることができる。それらの報告書は、国内議会、政府及び構成国法によって指定されたそれ以外の機関に対して送付される。それらの報告書は、公衆、欧州委員会及び委員会が利用可能なものとされる。
第 7 章 協力と一貫性
第 1 節 協力
第 60 条 主監督機関とそれ以外の関係監督機関との間の協力
1. 主監督機関は、本条に従い、合意に至る努力を尽くして、他の関係監督機関と協力する。
主監督機関及び関係監督機関は、相互に、全ての関連情報を交換する。
2. 主監督機関は、いつでも、他の関係監督機関に対し、第 61 条による共助の提供を要請することができ、また、とりわけ、調査を行うため、または、別の構成国に設けられた管理者
または処理者に関する措置の実装を監視するために、第 62 条による共同の職務遂行を行うことができる。
93

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

3. 主監督機関は、遅滞なく、他の関係監督機関に対し、案件と関連する情報を伝達する。主監督機関は、遅滞なく、他の関係監督機関に対し、それらの関係監督機関の意見を求め、そして、その見解を適正に考慮に入れるため、決定書案を送付する。
4. 本条の第 3 項に従って協議がなされた後、4 週間以内に、他の関係監督機関がその決定書案に対して関連性があり理由を付した異議を述べたときは、その主監督機関は、その関連性があり理由を付した異議に従わない場合、または、その異議が関連性のないもの、もしくは、理由のないものであるとの意見をもつ場合、第 63 条に示す一貫性確保メカニズムに対し、その案件を送付する。
5. その主監督機関が、その関連性があり理由を付した異議に従う意向である場合、その主監
督機関は、他の関係監督機関に対し、それらの関係監督機関の意見を求めるため、改訂版の決定書案を送付する。改訂版の決定書案は、2 週間以内の期限で、第 4 項に示す手続に服する。
6. 第 4 項及び第 5 項に示す期間内に、主監督機関から送付された決定書案に対して他の関係監督機関から何らの異議も述べられなかった場合、主監督機関及び関係監督機関は、その決定書案に同意したものとみなされ、かつ、それによって拘束される。
7. その主監督機関は、その決定書を採択し、かつ、管理者または処理者の主たる事業所または単一の事業所に対して送付し、場合によっては、他の関係監督機関及び委員会に対し、関連事実の要旨及び決定理由を含め、当の決定を通知する。異議を申立てられた監督機関は、
その異議申立人に対し、その決定に関して通知する。
8. 第 7 項からの特例により、異議申立てが棄却または却下となる場合、異議を申立てられた監督機関は、その決定書を採択し、それを異議申立人に送付し、かつ、その管理者に対し、そのことを通知する。
9. 主監督機関と関係監督機関が異議の一部について棄却または却下し、その異議の残部について措置をすることに合意するときは、それらの事項の各部分に分けた別の決定書を採択する。その主監督機関は、管理者に関する措置と関連する部分について決定書を採択し、その構成国の領土上にある管理者または処理者の主たる事業所または単一の事業所に対してそれを送付し、そして、異議申立人に対してそのことを通知する。一方、異議申立てを受けた監督機関は、当該異議の棄却または却下に関係する部分に関する決定書を採択し、当該異議申立人に対してそれを送付し、そして、管理者または処理者に対し、そのことを通知する。
10. 第 7 項及び第 9 項による主監督機関からの決定書の送付を受けた後、管理者または処理者は、欧州連合内にあるその全ての事業所の中における処理行為に関して、その決定の遵守を確保するために必要となる措置を講ずる。管理者または処理者は、主監督機関に対し、その決定の遵守のために講じられた措置を通知する。主監督機関は、他の関係監督機関に対し、それを通知する。
11. 例外的な状況において、関係監督機関が、データ主体の利益を保護するために行動すべき緊急の必要性があると判断する根拠をもつときは、第 66 条に示す緊急の手続が適用される。
12. 主監督機関及びそれ以外の関係監督機関は、本条に基づき求められる情報を、電子的な手段により、標準的なフォーマットを用いて、相互に提供する。
94

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 61 条 共助
1. 監督機関は、一貫性のある態様で本規則を実装し、適用するため、関連情報及び共助を相互に提供し、また、相互に効果的な協力のための措置を設ける。共助は、とりわけ、事前の承認及び協議、検査並びに調査を行うことの要請のような、情報提供の要請及び監督措置を包摂する。
2. 各監督機関は、不適切な遅滞なく、かつ、その要請を受けてから遅くとも 1 か月以内に、他の監督機関からの要請に対処するために必要な全ての適切な措置を講ずる。その措置は、
とりわけ、調査を行う上での関連情報の送信を含めることができる。
3. 支援の要請は、その要請を求める目的及び理由を含め、必要な全ての情報を含める。交換された情報は、それが要請された目的のみのために用いられる。
4. 要請を受けた監督機関は、以下の場合を除き、その要請への対応を拒否してはならない：(a) 要請を求められた事項について、もしくは、執行を求められた措置について、職務権限をもたない場合；または、(b) 要請に従うことが、本規則の違反、または、その要請を受けた監督機関が服する欧州連合法もしくは構成国法の違反となり得る場合。
5. 要請を受けた監督機関は、要請元の監督機関に対し、その結果を通知し、または、事案により、その要請に対処するために講じられる措置の進捗状況を通知する。要請を受けた監督
機関は、第 4 項により要請に応ずることを拒否する場合、その理由を提供する。
6. 要請を受けた監督機関は、原則として、電子的な手段により、標準的なフォーマットを用いて、他の監督機関から求められた情報を提供する。
7. 要請を受けた監督機関は、共助の要請に対処するために当該監督機関によって行われる活動の手数料を請求しない。監督機関は、例外的な状況において共助を提供することから生ずる特別の支出を相互に補填するための規則に同意できる。
8. 監督機関が、他の監督機関から要請を受けた時から 1 か月以内に本条第 5 項に示す情報を提供しない場合、その要請元の監督機関は、第 55 条第 1 項に従い、その監督機関の構成
国の領土上における暫定的な措置を採択できる。その場合、第 66 条第 1 項に基づく行為をすべき緊急の必要性があることは、第 66 条第 2 項による委員会による緊急の拘束力のある決定の要件に該当し、その要請があるものと推定される。
9. 欧州委員会は、実装行為により、本条に示す共助のためのフォーマット及び手続、並びに、各監督機関の間及び監督機関と委員会との間における電子的な手段による情報交換のための覚書、とりわけ、本条の第 6 項に示す標準的なフォーマットを定めることができる。これ
らの実装行為は、第 93 条第 2 項に示す審議手続に従って採択される。
第 62 条 監督機関の共同の職務遂行
1. 監督機関は、それが適切なときは、別の構成国の監督機関の構成員または職員が関与する
共同調査及び共同執行の措置を含め、共同の職務遂行を行う。
2. 管理者または処理者が複数の構成国に事業所をもつ場合、または、複数の構成国内の大勢
95

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）のデータ主体が処理業務によって大きな影響を受けるおそれがある場合、それらそれぞれの構成国の監督機関は、共同の職務遂行に参加する権利をもつ。第 56 条第 1 項または第 4 項
により職務権限をもつ監督機関は、その共同の職務遂行の参加のため、それらそれぞれの構
成国の監督機関を招請し、また、遅滞なく、監督機関からの参加の要請に対処する。
3. 監督機関は、構成国法に従い、かつ、派遣元の監督機関の承認を得て、当該共同の職務遂行に関与する派遣元の監督機関の構成員もしくは職員に対し、調査権限を含め、権限を与えることができ、また、ホスト監督機関の構成国法が許容する範囲内で、派遣元の監督機関の構成国法に従い、派遣元の監督機関の構成員もしくは職員がその調査権限を行使することを認めることができる。そのような調査権限は、運用指針に基づき、かつ、ホスト監督機関の構成員もしくは職員の立会いの下においてのみ、行使され得る。派遣元の監督機関の構成員
もしくは職員は、ホスト監督機関の構成国法に服する。
4. 第 1 項に従い、派遣元の監督機関の職員が別の構成国において職務遂行する場合、ホスト
監督機関の構成国は、それらの職員が職務遂行する領土のある構成国法に従い、それらの職員の職務遂行の間にそれらの職員によって発生した損害に関し、法的責任を含め、それらの職員の行動の責任を引き受ける。
5. その領土上において損害が発生した構成国は、自国の職員が損害を発生させた場合に適用される条件に基づき、その損害を回復する。別の構成国の領土内において誰かに対して損害を発生させた職員の派遣元監督機関の構成国は、当該別の構成国に対し、その構成国が派遣
元構成国の代わりに権利者に対して支払った総額を全部弁償する。
6. 第三者それぞれとの間におけるその権利の行使を妨げることなく、かつ、第 5 項の場合を除き、各構成国は、第 1 項に定める場合において、第 4 項に示す損害と関連する別の構成国からの求償請求を免れる。
7. 共同の職務遂行が予定されており、かつ、ある監督機関が、1 か月以内に、本条第 2 項第2 文に定める義務を遵守しない場合、他の監督機関は、第 55 条に従い、その監督機関の構成
国の領土上における暫定的な措置を採択できる。その場合、第 66 条第 1 項に基づく行為をすべき緊急の必要性があることは、第 66 条第 2 項による委員会による緊急の拘束力のある決定の要件に該当し、その要請があるものと推定される。
第 2 節 一貫性
第 63 条 一貫性確保メカニズム
欧州連合全域における本規則の一貫性のある適用に資するものとするため、監督機関は、本節に定める一貫性確保メカニズムを介して、相互に協力し、また、それが適切なときは、
欧州委員会と協力する。
第 64 条 委員会の意見
1. 職務権限をもつ監督機関が以下の措置中のいずれかを採択する意向である場合、委員会は、
96

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

意見を発する。その目的のために、以下の場合においては、職務権限をもつ監督機関は、委員会に対し、その決定書案を送付する：(a) 第 35 条第 4 項によるデータ保護影響評価に関する要件に服する処理業務のリストの採択を計画する場合；(b) 行動準則案、行動準則の改定または追補が本規則を遵守するものであるか否かに関する第 40 条第 7 項に定める事項と関係する場合；(c) 第 41 条第 3 項による組織または第 43 条第 3 項による認証機関の認定の基準の承認を計画する場合；(d) 第 46 条第 2 項の(d)及び第 28 条第 8 項に示す標準データ保護約款を定めることを計画する場合；(e) 第 46 条第 3 項の(a)に示す契約条項の承認を計画する場合；または、(f) 第 47 条の意味における拘束的企業準則の承認を計画する場合。
2. 監督機関、委員会の委員長または欧州委員会は、とりわけ、職務権限をもつ監督機関が第61 条による共助の義務または第 62 条による共同の業務遂行の義務を遵守しない場合、意見を得るため、委員会において複数の構成国における一般的な適用に関する事項、または、複数の構成国に影響がある事項の審議を求めることができる。
3. 第 1 項及び第 2 項に示す場合において、委員会は、同じ事項に関して委員会が既に意見を発していないことを条件として、委員会に提議された事項に関し、意見を発する。その意見は、8 週間以内に、委員会の構成員の単純多数決によって採択される。この期限は、対象事
項の複雑性を考慮に入れた上で、更に 6 週間延長できる。第 1 項に示す決定書案が第 5 項に従って委員会の構成員に回覧されることに鑑み、委員長によって指定された合理的な期限内に異議を述べない構成員は、その決定書案に同意したものとみなされる。
4. 監督機関及び欧州委員会は、委員会に対し、不適切な遅滞なく、電子的な手段により、標準的なフォーマットを用いて、関連情報を伝達する。その情報は、事案により、事実関係の要旨、決定書案、そのような措置を行う必要性の根拠、及び、他の関係監督機関の見解を含めることができる。
5. 委員会の委員長は、不適切な遅滞なく、電子的な手段によって、以下のとおり通知する：(a) 標準的なフォーマットを用いて委員長に通知された関連する全ての情報を、委員会の構成員及び欧州委員会に対して。委員会の事務局は、必要があるときは、関連情報の翻訳物を提供する；及び、(b) その意見及びそれを公表することを、事案により、第 1 項及び第 2 項に示す監督機
関及び欧州委員会に対して。
6. 職務権限をもつ監督機関は、第 3 項に示す期間内は、第 1 項に示す当該監督機関の決定書案を採択してはならない。
7. 第 1 項に示す監督機関は、委員会の意見を最大限考慮に入れ、かつ、その意見書を受領した時から 2 週間以内に、委員会の委員長に対し、電子的な手段により、標準的なフォーマッ
トを用いて、その決定書案を維持するか、それとも、それを修正するかについて送信し、かつ、それを修正する場合、修正された決定書案を送信する。
8. 関係監督機関が、委員会の委員長に対し、本条の第 7 項に示す期間内に、関連する根拠を
97

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

提供して、委員会の意見の全部または一部に従うつもりがないことを通知する場合、第 65 条
第 1 項が適用される。
第 65 条 委員会による対立の解決
1. 個々の事案における本規則の適正かつ一貫性のある適用を確保するため、委員会は、以下の場合、拘束力のある決定を採択する：(a) 第 60 条第 4 項に示す場合において、主監督機関の決定書案に対して、関係監督機関
が、関連性があり理由を付した異議を述べた場合、または、主監督機関が、関連性もしくは理由がないものとして、その異議を却下した場合。その拘束力のある決定は、関連性があり理由を付した異議の対象となっている全ての事項、とりわけ、本規則の違反があるか否かに関するものとする。
(b) どの関係監督機関が主たる事業所に対する職務権限をもつかに関し、見解の対立がある場合；(c) 第 64 条第 1 項に示す場合において、職務権限をもつ監督機関が委員会の意見を求めない場合、または、第 64 条に基づいて発せられる委員会の意見に従わない場合。その場
合、関係監督機関または欧州委員会は、委員会に対し、そのことを連絡できる。
2. 第 1 項に示す決定は、その事項の付託があった時から 1 か月以内に、委員会の構成員の 3分の 2 の多数によって、採択される。この期間は、対象事項の複雑性を考慮に入れた上で、更に 1 か月延長できる。第 1 項に示す決定は、その理由を付し、主監督機関及び全ての関係
監督機関に宛てるものとし、かつ、それらの者を拘束する。
3. 委員会が第 2 項に示す期間内に決定を採択できない場合、委員会は、第 2 項に示す 2 か月目が経過した後の2週間以内に、委員会の構成員の単純多数決により、その決定を採択する。
委員会の構成員が可否同数の場合、その決定は、委員長の投票によって採択される。
4. 関係監督機関は、第 2 項及び第 3 項に示す期間内においては、第 1 項に基づいて委員会に付託された事項に関する決定を採択してはならない。
5. 委員会の委員長は、関係監督機関に対し、不適切な遅滞なく、第 1 項に示す決定を通知する。委員長は、欧州委員会に対し、そのことを通知する。その決定書は、その監督機関が第6 項に示す最終決定の通知をした後、遅滞なく、委員会の Web サイト上で公表される。
6. 主監督機関、または、事案により、異議申立てを受けた監督機関は、本条第 1 項に示す決定に基づき、不適切な遅滞なく、かつ、委員会がその決定を通知した後遅くとも 1 か月以内に、その監督機関の最終決定書を採択する。その主監督機関、または、事案により、その異議申立てを受けた監督機関は、委員会に対し、その最終決定書が管理者または処理者及びデータ主体に送付された日付を通知する。関係監督機関の最終決定は、第 60 条第 7 項、第 8 項
及び第 9 項の条件に基づいて採択される。最終決定書は、本条第 1 項に示す決定書を参照す
るものとし、かつ、同項に示す決定書が本条の第 5 項に従って委員会の Web サイト上で公表されることを表記する。最終決定書は、本条第 1 項に示す決定書を添付する。

98

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 66 条 緊急の手続
1. 関係監督機関が、データ主体の権利及び自由を保護するために緊急の必要があると判断す
る例外的な状況において、その監督機関は、第 63 条、第 64 条及び第 65 条に示す一貫性確
保メカニズムからの特例により、または、第 60 条に示す手続からの特例により、直ちに、3か月を超えない指定された有効期限で、当該監督機関の構成国の領土上において法的効力を発生させる意図で、暫定的な措置を採択できる。その監督機関は、遅滞なく、他の関係監督
機関、委員会及び欧州委員会に対し、当該措置及びその措置を採択する理由を送付する。
2. 監督機関が第 1 項による措置を講じ、かつ、確定的な措置を緊急に採択する必要があると判断するときは、その意見または決定を求める理由を付して、委員会から緊急の意見または緊急の拘束力のある決定を求めることができる。
3. データ主体の権利及び自由を保護するために緊急に行動する必要性のある状況において、職務権限をもつ監督機関が適切な措置を講じなかった場合、事案に応じて、いかなる監督機
関も、委員会に対し、行動すべき緊急の必要性に関するものを含め、そのような意見または決定を求める理由を付して、緊急の意見または緊急の拘束力のある決定を求めることができる。
4. 第 64 条第 3 項及び第 65 条第 2 項からの特例により、本条の第 2 項及び第 3 項に示す緊急の意見及び緊急の拘束力のある決定は、委員会の構成員の単純多数決により、2 週間以内に採択される。
第 67 条 情報交換
欧州委員会は、監督機関の間及び監督機関と委員会との間で、電子的な手段による情報交換のための覚書を定めるため、とりわけ、第 64 条に示す標準的なフォーマットに関し、一般的な適用範囲の実装行為を採択することができる。
この実装行為は、第 93 条第 2 項に示す審議手続に従って採択される。
第 3 節 欧州データ保護委員会
第 68 条 欧州データ保護委員会
1. 欧州データ保護委員会（「委員会」）は、ここに、欧州連合の組織として設置され、そして、法人格をもつ。
2. 委員会は、その委員長によって代表される。
3. 委員会は、各構成国につき 1 の監督機関の長及び欧州データ保護監督官、または、それらのそれぞれの代理者によって構成される。
4. 1 つの構成国内において複数の監督機関が本規則による条項の適用の監視について職責を負う場合、当該構成国法に従い、共同代理者が任命される。
5. 欧州委員会は、議決権なく、委員会の活動及び会合に参加する権利をもつ。
欧州委員会は、
99

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

代理者を任命する。委員会の委員長は、欧州委員会に対し、委員会活動を連絡する。
6. 第 65 条に示す場合において、欧州データ保護監督官は、本規則上の組織と実質的に対応する欧州連合の機関、組織、事務局及び部局に対して適用される基本原則及び規定に関する決定についてのみ、議決権をもつ。
第 69 条 独立性
1. 委員会は、第 70 条及び第 71 条による職務を遂行し、または、その権限を行使する際、独立して行動する。
2. 第 70 条第 1 項の(b)及び第 70 条第 2 項に示す欧州委員会からの要請を妨げることなく、委員会は、その職務を遂行し、または、その権限を行使する際、誰に対しても指示を求めることがなく、誰からも指示を受けることがない。
第 70 条 委員会の職務
1. 委員会は、本規則の一貫性のある適用を確保する。その目的のために、委員会は、委員会
自身の発意により、または、それが適切なときは、欧州委員会の要請により、とりわけ：(a) 国内監督機関の職務を妨げることなく、
第64 条及び第65 条に定める場合において、本規則の適正な適用を監視し、かつ、それを確保する；(b) 本規則の改正提案を含め、欧州連合内における個人データ保護と関連する問題に関し、欧州委員会に対して助言する；(c) 管理者、処理者及び監督機関の間における拘束的企業準則に関する情報交換のためのフォーマット及び手続に関し、欧州委員会に対して助言する；(d) 個人データへのリンク、そのコピーまたは複製物を、第 17 条第 2 項に示す公衆が利用可能な通信サービスから削除するための手順に関する運用指針、勧告及びベストプラ
クティスを発行する；(e) 自らの発意により、または、委員会の構成員の一員もしくは欧州委員会からの要請に応じて、本規則の適用の範囲内にある全ての問題について検討し、かつ、本規則の一貫性のある適用を奨励するための運用指針、勧告及びベストプラクティスを発行する；(f) 第 22 条第 2 項によるプロファイリングに基づく判定のための基準及び条件の細目を定めるために、本項の(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(g) 第 33 条第 1 項及び第 2 項に示す個人データ侵害の判断及び不適切な遅延の判断に関し、並びに、管理者または処理者が個人データ侵害の通知を求められる特別な状況に関し、本項の(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(h) 第 34 条第 1 項に示す個人データ侵害が自然人の権利及び自由に対する高度なリス
クをもたらす可能性のある状況に関し、本項の(e)に従い、運用指針、勧告及びベストプ
ラクティスを発行する；(i) 管理者によって遵守される拘束的企業準則及び処理者によって遵守される拘束的企
業準則に基づく個人データの移転のための基準及び要件の細目を定める目的のために、100

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

並びに、第 47 条に示す関係するデータ主体の個人データの保護を確保するための必要な別の要件に関し、本項の(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(j) 第 49 条第 1 項に基づく個人データの移転のための基準及び要件の細目を定める目的のために、本項の(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(k) 第 58 条第 1 項、第 2 項及び第 3 項に示す措置の適用、並びに、第 83 条による行政罰の量刑に関し、監督機関のための運用指針を策定する；(l) (e)及び(f)に示す運用指針、勧告及びベストプラクティスの実務上の適用を見直す；(m) 第 54 条第 2 項による本規則の違反行為の自然人による通報のための共通の手続を設けるため、本項の(e)に従い、運用指針、勧告及びベストプラクティスを発行する；(n) 行動準則の作成、並びに、第 40 条及び第 42 条によるデータ保護認証方法、データ保護シール及びデータ保護マークを設けることを推進する；(o) 認証機関の認定、及び、第 43 条によるその定期的な見直しを行い、並びに、第 43 条
第 6 項により認定された認証機関の公共登録簿を維持管理し、第 42 条第 7 項により第三国内で設立され、認定された管理者または処理者の公共登録簿を維持管理する；(p) 第 42 条に基づく認証機関の認定のため、第 43 条第 3 項に示す要件の細目を定める；(q) 欧州委員会に対し、第 43 条第 8 項に示す認証の要件に関する意見を提供する；(r) 欧州委員会に対し、第 12 条第 7 項に示すアイコンに関する意見を提供する；(s) 欧州委員会に対し、第三国、第三国内の地域もしくは 1 もしくは複数の特定の部門
または国際機関が十分なレベルの保護を確保しなくなったか否かの評価に関するものを含め、第三国または国際機関における保護のレベルの十分性の評価に関する意見を提供する。この目的のために、欧州委員会は、委員会に対し、第三国の政府との書簡のやりとりを含め、当該第三国、第三国内の地域もしくは特定の部門または国際機関と関連する全ての必要な文書を提供する；(t) 第 64 条第 1 項に示す一貫性確保メカニズムにより、監督機関の決定書案に関し、及び、第 64 条第 2 項により付託された事項に関する意見を発し、並びに、第 66 条に示す場合を含め、第 65 条により拘束力のある決定を発する；(u) 監督機関の間における協力並びに 2 国間または多国間の効果的な情報交換及びベス
トプラクティスの交換を促進する；(v) 共通の訓練計画を促進し、並びに、監督機関の間の、及び、それが適切であるときは、第三国の監督機関との間または国際機関との間の人材交流を容易にする；(w) 世界各国のデータ保護監督機関との間で、データ保護立法及びその実務に関する知識及び文書の交換を促進する；(x) 第 40 条第 9 項による行動準則の欧州連合レベルにおける策定に関し、意見書を発行する；並びに、(y) 一貫性確保メカニズムの中で取り扱われた問題に関し、監督機関及び裁判所による判断の公衆がアクセス可能な電子的な登録所を維持管理する。
2. 欧州委員会が委員会からの助言を求める場合、その事項の緊急性を考慮に入れた上で、回答期限を指示できる。
101

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

3. 委員会は、欧州委員会及び第 93 条に示す委員会に対し、合理的な期間内に、その意見書、運用指針、勧告及びベストプラクティスを転送し、かつ、それらを公表する。
4. 委員会は、それが適切なときは、利害関係者と協議し、そして、合理的な期間内にそれらの者が意見を述べる機会を与える。委員会は、第 76 条を妨げることなく、その協議手続の結果を公衆が利用可能なものとする。
第 71 条 報告書
1. 委員会は、欧州連合内における処理、並びに、それが適切なときは、第三国内及び国際機関内における処理と関連する自然人の保護に関する年次報告書を作成する。この報告書は、公表され、かつ、欧州議会、理事会及び欧州委員会に対して送付される。
2. その年次報告書は、第 70 条第 1 項の(l)に示す運用指針、勧告及びベストプラクティス並びに第 65 条に示す拘束力のある決定の実際の適用の見直しを含める。
第 72 条 手続
1. 委員会は、本規則に別の定めがない限り、単純多数決により議決を行う。
2. 委員会は、委員会の構成員の 3 分の 2 の多数決により自身の手続規則を採択し、そして、自らの業務覚書を作成する。
第 73 条 委員長
1. 委員会は、単純多数決により、構成員の中から 1 名の委員長及び 2 名の副委員長を選任する。
2. 委員長及び副委員長の任期は 5 年とし、1 度だけ再任され得る。
第 74 条 委員長の職務
1. 委員長は、以下の職務をもつ：(a) 委員会の会合を招集し、その議題を準備すること；(b) 主監督機関及び関係監督機関に対し、第 65 条により委員会によって採択された決定を通知すること；(c) とりわけ、第 63 条に示す一貫性確保メカニズムと関連して、委員会の職務の適時な遂行を確保すること。
2. 委員会は、その手続規則中において、委員長と副委員長との間の職務分担を定める。
第 75 条 事務局
1. 委員会は、事務局をもつ。それは、欧州データ保護監督官から提供される。
102

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

2. 事務局は、委員会の委員長の指示のみに基づいて、その職務を遂行する。
3. 本規則によって委員会に与えられる職務の遂行に関与する欧州データ保護監督官の職員
は、欧州データ保護監督官に与えられた職務の遂行に関与する職員とは区別された指揮命令系統の下に置かれる。
4. それが適切なときは、委員会及び欧州データ保護監督官は、本条を実装し、それらの協力の条件を定め、そして、本規則によって委員会に与えられる職務の遂行に関与する欧州デー
タ保護監督官の職員に適用される了解覚書を定め、それを刊行する。
5. 事務局は、委員会に対して、分析、業務運営及び庶務に関する補佐を提供する。
6. 事務局は、とりわけ、以下について責任を負う：(a) 委員会の日々の業務；(b) 委員会の構成員、委員長及び欧州委員会の間の連絡；(c) 他の機関及び公衆との連絡；(d) 内部の連絡及び外部との連絡のための電子的な手段の利用；(e) 関連情報の翻訳；(f) 委員会の会合の準備及び事後対応；(g) 委員会によって採択される監督機関の間の対立の解決に関する意見書、決定書、並びに、それら以外の文書の準備、起草及び刊行。
第 76 条 秘密
1. 委員会における討議は、委員会がそれを必要と認める場合、委員会の手続規則に定めるところに従い、秘密のものとされる。
2. 委員会の構成員、専門委員及び第三者の代理者に対して送付された文書へのアクセスは、
欧州議会及び理事会の規則(EC) No 1049/20011によって規律される。
第 8 章 救済、法的責任及び制裁
第 77 条 監督機関に異議を申立てる権利
1. 他の行政上の救済または司法上の救済を妨げることなく、全てのデータ主体は、そのデー
タ主体が、彼または彼女と関係する個人データ処理が本規則に違反すると判断するときは、
特に、彼または彼女の常居住地の構成国、就業場所の構成国または違反行為があると主張する場所の構成国において、監督機関に異議を申立てる権利をもつ。
2. 異議の申立てを受けた監督機関は、その異議申立人に対し、第 78 条による司法救済の可能性を含め、異議の進捗状況及び結果に関し、情報提供する。

欧州議会、理事会及び欧州委員会の文書に対する公衆のアクセスに関する欧州議会及び理事会の2001 年 5 月 30 日の規則(EC) No 1049/2001（OJ L 145, 31.5.2001, p. 43）
103

1

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 78 条 監督機関を相手方とする効果的な司法救済の権利
1. 他のいかなる行政上の救済または裁判外の救済をも妨げることなく、個々の自然人または法人は、それらの者に関する監督機関の法的拘束力のある決定を不服として、効果的な司法救済を得る権利をもつ。
2. 他のいかなる行政上の救済または裁判外の救済をも妨げることなく、第 55 条及び第 56 条
により職務権限をもつ監督機関が異議を取り扱わない場合、または、第 77 条により申立てられた異議の進捗状況もしくは結果に関し、データ主体に対して 3 か月以内に情報提供しな
い場合、個々のデータ主体は、効果的な司法救済を得る権利をもつ。
3. 監督機関を相手方とする訴訟手続は、その監督機関が設けられている構成国の裁判所において提起されるものとする。
4. 一貫性確保メカニズムの中における委員会の意見または決定の後の監督機関の決定を不服として訴訟手続が提起される場合、その監督機関は、裁判所に対し、その意見書または決定書を転送する。
第 79 条 管理者または処理者を相手方とする効果的な司法救済の権利
1. 第 77 条により監督機関に異議を申立てる権利を含め、利用可能な行政上の救済または裁判外の救済を妨げることなく、個々のデータ主体は、彼もしくは彼女が、本規則を遵守せずに彼もしくは彼女の個人データ処理がなされた結果として本規則に基づく彼もしくは彼女の権利が侵害されたと判断するときは、効果的な司法救済の権利をもつ。
2. 管理者または処理者を相手方とする訴訟手続は、管理者または処理者が事業所をもつ構成国の裁判所において提起されるものとする。その管理者または処理者がその公権力の行使において行動する構成国の行政機関である場合を除き、代替的なものとして、データ主体が彼
または彼女の常居住地をもつ構成国の裁判所において、そのような訴訟手続を提起できる。
第 80 条 データ主体の代理者
1. データ主体は、構成国法に従って適正に組織され、公共の利益に属する制定法上の目的をもち、かつ、データ主体の個人データの保護と関連するデータ主体の権利及び自由の保護の分野において活動する非営利の組織、団体または協会に対し、彼または彼女の代わりに異議を申立てること、彼または彼女の代わりに第 77 条、第 78 条及び第 79 条に示す権利を行使すること、並びに、構成国法が定めている場合、彼または彼女の代わりに第 82 条に示す賠償金を受ける権利の行使を委任する権利をもつ。
2. 構成国は、本条の第 1 項に示す組織、団体または協会が、データ主体の委任とは独立に、当該構成国内において、第 77 条により職務権限をもつ監督機関に異議を申立てる権利、及び、処理の結果として本規則に基づくデータ主体の権利が侵害されたと判断する場合、第 78条及び第 79 条に示す権利を行使する権利をもつことを定めることができる。

104

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 81 条 訴訟手続の停止
1. 構成国の管轄権をもつ裁判所が、同じ管理者または処理者の処理と関連する同じ訴訟原因と関係する訴訟手続が別の構成国の裁判所に係属しているという情報をもつときは、その裁判所は、そのような訴訟の存在を確認するため、当該別の構成国の裁判所と連絡をとる。
2. 同じ管理者または処理者の処理と関連する同じ訴訟原因と関係する訴訟手続が別の構成
国の裁判所に係属している場合、最初に訴えの提起のあった裁判所以外の管轄権をもつ裁判所は、その訴訟手続の進行を停止できる。
3. それらの訴訟手続が第一審として係属している場合、最初に訴訟係属した裁判所が当の訴
訟手続に関する管轄権をもっており、かつ、その構成国法が訴訟事件の併合を認めているときは、最初に訴訟係属した裁判所以外の裁判所は、いずれかの当事者からの申立てにより、その管轄権を劣後させることもできる。
第 82 条 賠償の権利及び法的責任
1. 本規則の違反行為の結果として財産的な損害または非財産的な損害を被った者は、管理者
または処理者から、その被った損害の賠償を受ける権利をもつ。
2. 処理に関与した管理者は、本規則に違反する処理によって発生した損害に関し、法的責任を負う。処理者は、処理者に対して特に課される本規則上の義務をその処理者が遵守しなかった場合、または、管理者の適法な指示の範囲外で処理者が行動した場合、もしくは、その指示に反して行動した場合においてのみ、処理によって発生した損害に関し、法的責任を負う。
3. 管理者または処理者は、その損害を生じさせた出来事に関し、いかなる意味においても責任を負わないことを証明したときは、第 2 項に基づく法的責任を免れる。
4. 複数の管理者もしくは処理者が同一の処理に関与し、または、管理者及び処理者が共に同一の処理に関与しており、かつ、第 2 項及び第 3 項に基づき、それらの者が処理によって生じた損害に対して責任を負う場合、データ主体の効果的な損害賠償を確保するため、個々の管理者及び処理者は、それぞれ、損害全部に関して法的責任を負う。
5. 管理者または処理者が、第 4 項に従い、被った損害に関し、賠償金全額を支払ったときは、その管理者または処理者は、第 2 項に定める条件に従い、その損害に関して責任のある部分に対応する賠償分担部分について、同一の処理に関与した他の管理者または処理者に対して求償請求する権利をもつ。
6. 損害賠償を受ける権利を行使するための裁判所の手続は、第 79 条第 2 項に示す構成国法に基づく管轄権をもつ裁判所において行われる。
第 83 条 行政罰を科すための一般的要件
1. 各監督機関は、第 4 項、第 5 項及び第 6 項に示す本規則の違反行為に関し、本条による行政罰を科すことが、個々の案件において、効果的であり、比例的であり、かつ、抑止力のあ105

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

るものであることを確保する。
2. 行政罰は、個々の案件の事情に応じて、第 58 条第 2 項の(a)ないし(h)及び(j)に示す措置に加えて、または、その措置に代えて、科される。個々の案件において、行政罰を科すかどうかを判断する場合、及び、行政罰の額を判断する場合、以下の事項を適正に考慮に入れる：(a) 関係する処理の性質、範囲及び目的を考慮に入れた上で、違反行為の性質、重大性及び持続期間、並びに、その違反行為によって害を受けたデータ主体の人数及び彼らが被った損害の程度；(b) 違反行為の意図的または落度的な性格；(c) データ主体が被った損失を軽減するために管理者または処理者によって講じられた
措置；(d) 第 25 条及び第 32 条により管理者または処理者によって実装された技術上及び組織上の措置を考慮に入れた上で、管理者または処理者の責任の程度；(e) その管理者または処理者による過去の関連違反行為；(f) 違反行為を解消するための、及び、違反行為の潜在的な影響を低減させるための、監督機関との協力の程度；(g) 違反行為によって害を受けた個人データの類型；(h) その違反行為が監督機関の知るところとなった態様、とりわけ、その管理者または処理者がその違反行為を通知したのかどうか、及び、その場合、どの範囲で通知したのか；(i) 関係する管理者または処理者に対し、過去に、同じ事項に関して、第 58 条第 2 項に示す措置が命じられていた場合、それらの措置の遵守；(j) 第 40 条による承認された行動準則の遵守、または、第 42 条による承認された認証方法の遵守；並びに、(k) その違反行為から直接または間接に得た財産的な利益もしくは回避された損失のよ
うな、その案件の事情に適用可能な上記以外の増悪要素または軽減要素。
3. 管理者または処理者が、意図的にまたは落度により、同じ処理業務または連携する処理業
務に関し、本規則の複数の条項に違反する場合、その行政罰の総額は、その最も重い違反行為に関して定められた額を超えることができない。
4. 以下の条項の違反行為は、第 2 項に従い、1000 万ユーロ以下の行政罰に服するものとし、または、事業者の場合、直前の会計年度における世界全体における売上総額の 2％以下の金額、もしくは、いずれか高額の方の行政罰に服するものとする：(a) 第 8 条、第 11 条、第 25 条ないし第 39 条並びに第 42 条及び第 43 条による管理者及び処理者の義務；(b) 第 42 条及び第 43 条による認証機関の義務；(c) 第 41 条第 4 項による監視組織の義務。
5. 以下の条項の違反行為は、第 2 項に従い、2000 万ユーロ以下の行政罰に服するものとし、または、事業者の場合、直前の会計年度における世界全体における売上総額の 4％以下の金額、もしくは、いずれか高額の方の行政罰に服するものとする：(a) 同意の条件を含め、第 5 条、第 6 条、第 7 条及び第 9 条による処理の基本原則；
106

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）(b) 第 12 条ないし第 22 条によるデータ主体の権利；(c) 第 44 条ないし第 49 条による第三国内または国際機関内の取得者に対する個人デー
タの移転；(d) 第 9 章に基づいて採択された構成国法による義務；(e) 第 58 条第 2 項による監督機関からの命令、処理の一時的な制限もしくは恒久的な制
限またはデータ移転の停止の不服従、または、第 58 条第 1 項に違反するアクセスの不提供。
6. 第 58 条第 2 項に示す監督機関の命令に対する不服従は、本条第 2 項に従い、2000 万ユー
ロ以下の行政罰に服するものとし、または、事業者の場合、直前の会計年度における世界全体における売上総額の 4％以下の金額、もしくは、いずれか高額の方の行政罰に服するものとする。
7. 第 58 条第 2 項による監督機関の是正権限を妨げることなく、各構成国は、当該構成国内に設けられている行政機関及び行政組織に対して行政罰を科すか否か、並びに、その範囲に関する法令を定めることができる。
8. 本条に基づく監督機関の権限の監督機関による行使は、効果的な司法救済及び適正手続を含め、欧州連合法及び構成国法に従い、適切な手続上の安全性確保措置に服する。
9. 構成国の法制度が行政罰を定めていない場合、それらの法的回復措置が効果的なものであり、かつ、監督機関によって科される行政罰と均等な効果をもつことを確保しつつ、その罰金が、職務権限をもつ監督機関によって開始され、かつ、職務権限をもつ国内裁判所によって科されるような態様で、本条を適用できる。いずれの場合においても、科される罰金は、効果的であり、比例的であり、かつ、抑止力のあるものとする。それらの構成国は、欧州委員会に対し、2018 年 5 月 25 日までに、本項により採択するそれらの構成国法の条項を通知し、かつ、遅滞なく、その後の改正法またはそれらの条項に影響を与える改正を通知する。
第 84 条 制裁
1. 構成国は、本規則の違反行為、とりわけ、第 83 条による行政罰に服さない違反行為に適用可能な別の制裁に関する法令を定め、かつ、その法令が実装されることを確保するために必要となる全ての措置を講ずる。その制裁は、効果的であり、比例的であり、かつ、抑止力のあるものとする。
2. 各構成国は、欧州委員会に対し、2018 年 5 月 25 日までに、第 1 項により採択した構成国
法の条項を通知し、かつ、遅滞なく、それらの条項に影響を与えるその後の改正を通知する。
第 9 章 特定の処理の状況と関係する条項
第 85 条 処理と表現の自由及び情報伝達の自由
1. 構成国は、法律によって、本規則による個人データ保護の権利と、報道の目的のための処理、及び、学術上、芸術上または文学上の表現の目的のための処理を含め、表現の自由及び107

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

情報伝達の自由の権利との調和を保つ。
2. 報道の目的、または、学術上の表現、芸術上の表現または文学上の表現の目的のために行われる処理に関し、構成国は、個人データの保護の権利と表現の自由及び情報伝達の自由との調和を保つ必要がある場合、第 2 章（基本原則）、第 3 章（データ主体の権利）、第 4 章（管理者及び処理者）、第 5 章（第三国及び国際機関に対する個人データの移転）、第 6 章（独立の監督機関）、第 7 章（協力と一貫性）及び第 9 章（特別のデータ処理の状況）の例外または特例を定める。
3. 各構成国は、欧州委員会に対し、第 2 項に従って構成国が採択した構成国法の条項を通知し、かつ、遅滞なく、その後の改正法またはそれらの条項に影響を与える改正を通知する。
第 86 条 公文書の処理及び公衆のアクセス
行政機関もしくは行政組織によって、または、公共の利益において行われる職務の遂行のために民間組織によって保有される公文書の中にある個人データは、公文書への公衆のアクセスと本規則による個人データの保護の権利との調和を保つため、行政機関または組織が服する欧州連合法または構成国法に従い、その機関または組織から開示できる。
第 87 条 国民識別番号の処理
構成国は、国民識別番号またはそれ以外の一般に利用されている識別子の処理のための特別の条件を別に定めることができる。その場合、国民識別番号またはそれ以外の一般に利用されている識別子は、本規則によるデータ主体の権利及び自由のための適切な安全性確保措置の下においてのみ、これを用いることができる。
第 88 条 雇用の過程における処理
1. 雇用の過程における労働者の個人データ処理と関係する権利及び自由の保護、とりわけ、求人、法律または団体協約に定める義務の遂行を含む労働契約の履行、仕事の管理、企画及び編成、職場における平等と多様性、職場における健康と安全、労働者の財産または顧客の財産の保護の目的、及び、個人ベース及び集団ベースで、雇用と関連する権利及び利益の行使及び享受の目的、並びに、雇用関係の終了の目的のための処理と関係する権利及び自由の保護を確保するため、構成国は、法律または団体協約によって、より細目的な規定を定める
ことができる。
2. それらの規定は、とりわけ、処理の透明性、事業者グループまたは共同で経済活動に従事する企業グループ内における個人データの移転、並びに、職場における監視システムに関し、
データ主体の人間の尊厳、正当な利益及び基本的な権利を保護するための適切かつ個別の措置を含む。
3. 各構成国は、欧州委員会に対し、2018 年 5 月 25 日までに、第 1 項に従って採択した構成
国法の条項を通知し、かつ、遅滞なく、それらの条項に影響を与えるその後の改正を通知す
108

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）る。
第 89 条 公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のための処理と関連する安全性確保措置及び特例
1. 公共の利益におけるアーカイブの目的、科学調査もしくは歴史調査の目的または統計の目的のための処理は、本規則に従い、データ主体の権利及び自由のための適切な安全性確保措置に服する。それらの安全性確保措置は、とりわけ、データのミニマム化の原則に対する尊重を確保するため、技術的及び組織的な措置を設けることを確保する。それらの措置は、それらの目的がそのような態様で充足され得る限り、仮名化を含むことができる。データ主体の識別を許容しないまたは許容することのない別の目的による処理によってそれらの目的が充足され得る場合、それらの目的は、その態様によって充足される。
2. 個人データが科学調査もしくは歴史調査の目的または統計の目的で処理される場合、欧州連合法または構成国法は、そのような権利が、個別具体的な目的を達成できないようにしてしまうおそれがある場合、または、その達成を深刻に阻害するおそれがある場合であり、かつ、そのような特例がそれらの目的を果たすために必要である場合に限り、本条第 1 項に示す条件及び安全性確保措置に従い、第 15 条、第 16 条、第 18 条及び第 21 条に示す権利の特例を定めることができる。
3. 個人データが公共の利益におけるアーカイブの目的のために処理される場合、欧州連合法または構成国法は、そのような権利が、個別具体的な目的を達成できないようにしてしまう
おそれがある場合、または、その達成を深刻に阻害するおそれがある場合であり、かつ、そのような特例がそれらの目的を果たすために必要である場合に限り、本条第 1 項に示す条件
及び安全性確保措置に従い、第 15 条、第 16 条、第 18 条、第 19 条、第 20 条及び第 21 条に示す権利の特例を定めることができる。
4. 第 2 項及び第 3 項に示す処理が、同時に他の目的のためにも供される場合、その特例は、それらの項に示す目的のための処理のみに適用される。
第 90 条 守秘義務
1. 構成国は、個人データの保護の権利と守秘義務との調和を保つために必要かつ比例的である場合、欧州連合法もしくは構成国法または職務権限をもつ国内組織によって定められた規則に基づき、職務上の守秘義務またはそれに類する守秘義務に服する管理者または処理者と関係する第 58 条第 1 項の(e)及び(f)に規定する監督機関の権限を定める特別の法令を採択できる。それらの法令は、管理者または処理者がその守秘義務の適用のある行為の結果として取得し、または、その行為の中で得た個人データに関してのみ、適用される。
2. 各構成国は、欧州委員会に対し、2018 年 5 月 25 日までに、第 1 項に従って採択した規定を通知し、かつ、遅滞なく、それらの規定に影響を与えるその後の改正を通知する。

109

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 91 条 教会及び宗教団体の既存のデータ保護規則
1. 構成国内おいて、本規則が発効する時点で、教会及び宗教団体もしくは宗教上の集団が、処理に関する自然人の保護と関連する包括的な法令を適用している場合、そのような法令は、本規則に沿うようにされている限り、引き続き適用できる。
2. 本条の第 1 項に従って包括的な法令を適用する教会及び宗教団体は、独立の監督機関の監督に服する。それは、本規則の第 6 章に定める条件を満たす限り、特別のものとし得る。
第 10 章 委任される行為及び実装行為
第 92 条 委任される行為の執行
1. 委任される行為を採択する権限は、本条に定める条件に従い、欧州委員会に対して与えられる。
2. 第 12 条第 8 項及び第 43 条第 8 項に示す権限の委任は、2018 年 5 月 24 日から不定期間
で、欧州委員会に対して与えられる。
3. 第 12 条第 8 項及び第 43 条第 8 項に示す権限の委任は、欧州議会または理事会によって、
いつでも、取消され得る。取消しとする決定は、その決定の中に示される権限の委任を終了させる。この決定は、EU 官報でそれが公示された日の翌日、または、遅くともその決定の中で示される日に発効する。この決定は、既に発効している委任される行為の有効性を害さない。
4. 欧州委員会は、委任される行為の採択後、直ちに、欧州議会及び理事会に対し、同時に、そのことを通知する。
5. 第 12 条第 8 項及び第 43 条第 8 項に従って採択された委任される行為は、欧州議会及び理事会に対する通知の日から3 か月以内に欧州議会または理事会のいずれからも何らの異議も表明されなかった場合、または、その期間が経過する前に、欧州議会及び理事会の両者から異議を述べない旨が欧州委員会に対して通知された場合においてのみ、発効する。この期
間は、欧州議会または理事会からの発意により、3 か月間延長される。
第 93 条 委員会の手続
1. 欧州委員会は、委員会によって補佐される。この委員会は、規則(EU) No 182/2011 の意味
における委員会である。
2. 本項への参照がある場合、規則(EU) No 182/2011 の第 5 条が適用される。
3. 本項への参照がある場合、規則(EU) No 182/2011 の第 8 条が同規則の第 5 条と共に適用さ
れる。

110

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 11 章 最終規定
第 94 条 指令 95/46/EC の廃止
1. 指令 95/46/EC は、2018 年 5 月 25 日から効力を生ずるものとして、廃止される。
2. 廃止される指令への参照は、本規則への参照として解釈される。指令 95/46/EC の第 29 条
によって設置された個人データ処理と関連する個人の保護に関する作業部会に対する参照
は、本規則によって設置される欧州データ保護委員会への参照として解釈される。
第 95 条 指令 2002/58/EC との関係
本規則は、欧州連合内にある公衆通信ネットワークにおける公衆が利用可能な電子通信サービスの提供と関連する処理と関係する自然人または法人に対し、指令 2002/58/EC の中で同じ目的で定められ、彼らが特別な義務として服する事柄に加え、付加的な義務を課すものではない。
第 96 条 既に締結された協定との関係
第三国または国際機関に対する個人データの移転を含む国際協定であって、2016 年 5 月
24 日より以前に構成国によって締結され、かつ、その日よりも前に適用可能な欧州連合法に適合するものは、それが改正され、置き換えられ、または、廃止されるまでの間、その有効性を維持する。
第 97 条 欧州委員会の報告書
1. 2020 年 5 月 25 日までに、その後は 4 年毎に、欧州委員会は、欧州議会及び理事会に対し、本規則の評価及び見直しに関する報告書を送付する。その報告書は、公表される。
2. 第 1 項に示す評価及び見直しの過程において、欧州委員会は、とりわけ、以下の事柄の適用及び有効性を検討する：(a) 本規則の第 45 条第 3 項によって採択される決定及び指令 95/46/EC の第 25 条第 6 項に基づいて採択される決定と特に関連して、第三国または国際機関に対する個人データの移転に関する第 5 章；(b) 協力及び一貫性に関する第 7 章。
3. 第 1 項の目的のために、欧州委員会は、構成国及び監督機関から情報提供を求めることができる。
4. 第 1 項及び第 2 項に示す評価及び見直しを行う際、欧州委員会は、欧州議会、理事会及びそれ以外の関連組織または情報源からの意見書及び決議書を考慮に入れる。
5. 欧州委員会は、必要があるときは、とりわけ、情報技術の発展を考慮に入れ、かつ、情報社会における進歩の状況に照らし、本規則を改正するための適切な提案書を送付する。
111

法と情報雑誌第 3 巻第 5 号（2018 年 5 月）

第 98 条 データ保護に関する欧州連合の他の法的行為の見直し
欧州委員会は、それが適切なときは、処理と関連する自然人の統一的で一貫性のある保護を確保するため、個人データの保護に関する他の欧州連合の法的行為を改正するための立法の提案書を送付する。これは、欧州連合の機関、組織、事務局及び部局による処理と関連する自然人の保護並びにそのデータの支障のない移動に関する規則と特に関係するものである。
第 99 条 発効及び適用
1. 本規則は、EU 官報上で公示された翌日から 20 日目の日に発効する。
2. 本規則は、2018 年 5 月 25 日から適用される。

本規則は、その全部について拘束力があり、かつ、全ての構成国において直接に適用可能である。

2016 年 4 月 27 日にブリュッセルにおいて行われた。
欧州議会として議長 M. Schulz

理事会として議長 J.A. Hennis-Plasschaert

112