仮日本語訳

Guidelines 03/2020 on the processing of data concerning health for the
purpose of scientific research in the context of the COVID-19 outbreak
新型コロナウイルス感染症の発生下における科学的研究を目的とした
健康に関するデータの取扱いに関するガイドライン03/2020

Adopted on 21 April 20202020年4月21日に採択

本書面は、The European Data Protection Board（欧州データ保護会議）により2020年4月21日に採択
後、修正のうえ2020年4月30日に採択された、”Guidelines 03/2020 on the processing of data concerning
health for the purpose of scientific research in the context of the COVID-19 outbreak”の英語版を個人情報保護委員会が日本語に翻訳したものである。本書面は参考のための仮日本語訳であって、その利用について当委員会は責任を負わないものとし、正確な内容については原文を参照されたい。

1

Version history
バージョン履歴
Version 1.1
Version 1.0

30 April 20202020年4月30日
21 April 20202020年4月21日

Minor corrections
軽微な修正
Adoption of the Guidelines
ガイドラインの採択

2

Table of contents
目次
1

INTRODUCTION..............................................................................................................5
序文

2

APPLICATION OF THE GDPR ........................................................................................6
GDPR の適用

3

DEFINITIONS ..................................................................................................................7
定義
3.1 “Data concerning health” ...............................................................................................7「健康に関するデータ」
3.2 “Processing for the purpose of scientific research” .......................................................8「科学的研究を目的とした取扱い」
3.3 “Further processing” ......................................................................................................9「追加の取扱い」

4

LEGAL BASIS FOR THE PROCESSING ......................................................................10
取扱いの法的根拠
4.1 Consent........................................................................................................................11
同意
4.2 National legislations .....................................................................................................13
国内法令

5

DATA PROTECTION PRINCIPLES ...............................................................................14
データ保護の原則
5.1 Transparency and information to data subjects ..........................................................14
透明性及びデータ主体への情報提供
5.1.1 When must the data subject be informed? ...........................................................15
データ主体が通知されなければならない時点は何時か
5.1.2 Exemptions............................................................................................................16
適用除外
5.2 Purpose limitation and presumption of compatibility ...................................................18
目的の制限及び適合性の推定
5.3 Data minimisation and storage limitation.....................................................................19
データの最小化及び保存制限
5.4 Integrity and confidentiality ..........................................................................................20
完全性及び機密性

3

6

EXERCISE OF THE RIGHTS OF DATA SUBJECTS ....................................................22
データ主体の権利の行使

7

INTERNATIONAL DATA TRANSFERS FOR SCIENTIFIC RESEARCH PURPOSES .22
科学的研究を目的としたデータの国際移転

8

SUMMARY .....................................................................................................................27
概要

4

The European Data Protection Board
欧州データ保護会議は、Having regard to Article 70 (1) (e) of the Regulation 2016/679/EU of the European
Parliament and of the Council of 27 April 2016 on the protection of natural persons withregard to the processing of personal data and on the free movement of such data, andrepealing Directive 95/46/EC, (hereinafter “GDPR”),
個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、指令95/46/ECを廃止する欧州議会及び理事会の2016年4月27日の規則(EU) 2016/679/EU（以下、「GDPR」という。）の第70条(1)(e)を考慮し、Having regard to the EEA Agreement and in particular to Annex XI and Protocol 37
thereof, as amended by the Decision of the EEA joint Committee No 154/2018 of 6 July
2018,2018年7月6日のEEA共同委員会の決定No 154/2018により修正されたEEA協定、
特にその付属書XI及びその議定書37を考慮し、Having regard to Article 12 and Article 22 of its Rules of Procedure,
その手続規則の第12条及び第22条を考慮して、
HAS ADOPTED THE FOLLOWING GUIDELINES
以下のガイドラインを採択した。

1

INTRODUCTION
序文

1. Due to the COVID-19 pandemic, there are currently great scientific research efforts
in the fight against the SARS-CoV-2 in order to produce research results as fast as
possible.
新型コロナウイルス感染症のパンデミックにより、可能な限り迅速に研究結果を出すため、現在、SARS-CoV-2との闘いにおいて優れた科学的研究が行われている。
2. At the same time, legal questions concerning the use of health data pursuant to
Article 4 (15) GDPR for such research purposes keep arising. The present guidelines
aim to shed light on the most urgent of these questions such as the legal basis, theimplementation of adequate safeguards for such processing of health data and theexercise of the data subject rights.
同時に、GDPR第4条（15）に準拠して健康データをそのような研究目的に利用することに関する法的問題が発生し続けている。現在のガイドラインは、法的根拠、健康データのそのような取扱いのための適切な保護措置の実施及びデータ主体の権利の行使など、こ5れらの問題のうち最も緊急性の高いものに光を当てることを目的としている。
3. Please note that the development of a further and more detailed guidance for theprocessing of health data for the purpose of scientific research is part of the annual
work plan of the EDPB. Also, please note that the current guidelines do not revolvearound the processing of personal data for epidemiological surveillance.
科学的研究を目的とした健康データの取扱いに関する追加のより詳細なガイダンスの開発は、EDPBの年間作業計画の一部であることに留意されたい。また、現在のガイドライ
ンは、疫学的監視のための個人データの取扱いを中心に展開していないことにも留意されたい。
2

APPLICATION OF THE GDPR
GDPRの適用

4. Data protection rules (such as the GDPR) do not hinder measures taken in the fightagainst the COVID- 19 pandemic. 1 The GDPR is a broad piece of legislation andprovides for several provisions that allow to handle the processing of personal data
for the purpose of scientific research connected to the COVID-19 pandemic incompliance with the fundamental rights to privacy and personal data protection. 2
The GDPR also foresees a specific derogation to the prohibition of processing ofcertain special categories of personal data, such as health data, where it is necessary
for these purposes of scientific research. 3
データ保護ルール（GDPRなど）は、新型コロナウイルス感染症のパンデミックとの闘い
で講じられる措置を妨げるものではない1。GDPRは幅広い法律であり、プライバシー及び個人データの保護に対する基本的な権利を遵守しつつ、新型コロナウイルス感染症のパンデミックに関連する科学的研究を目的とする個人データの取扱いを可能にするいくつかの規定を置いている2。GDPRは、科学的研究の目的で必要な場合、健康データなどの一定の特別なカテゴリーの個人データの取扱いを禁止することに対する特定の例外も予測している3。
5. Fundamental Rights of the EU must be applied when processing health data for the
purpose of scientific research connected to the COVID-19 pandemic. Neither the
Data Protection Rules nor the Freedom of Science pursuant to Article 13 of theCharter of Fundamental Rights of the EU have precedence over the other. Rather,
these rights and freedoms must be carefully assessed and balanced, resulting in an
1

See the Statement of the EDPB from 19.3.2020 on the general processing of personal data inthe context of the COVID-19 outbreak, available at
2020年3月19日付EDPBによる新型コロナウイルス感染症発生下における個人データの一般的な取扱いに関するステートメントを参照。https://edpb.europa.eu/our-work-tools/ourdocuments/other/statement-processing-personal-data-context-covid-19-outbreak_en.

See for example Article 5 (1) (b) and (e), Article 14 (5) (b) and Article 17 (3) (d) GDPR.
例えばGDPR第5条(1)(b)及び(e),第14条(5)(b)及び第17条(3)(d)を参照。
3 See for example Article 9 (2) (j) and Article 89 (2) GDPR.
例えばGDPR第9条(2)(j)及び第89条(2)を参照。
26outcome which respects the essence of both.
新型コロナウイルス感染症のパンデミックに関連する科学的研究を目的として健康デー
タを取扱う場合、EUの基本的な権利が適用されなければならない。データ保護ルールも 、EUの基本的権利憲章の第13条に準拠した科学の自由のいずれも、他方より優先されない。むしろ、これらの権利及び自由は、双方の本質を尊重する結果がもたらされるよう慎重に評価され、バランスが取られなければならない。
3

DEFINITIONS
定義

6. It is important to understand which processing operations benefit from the special
regime foreseen in the GDPR and elaborated on in the present guidelines. Therefore,
the terms “data concerning health”, “processing for the purpose of scientific research”
as well as “further processing” (also referred to as “primary and secondary usage ofhealth data”) must be defined.
GDPRで予測され、現在のガイドラインで詳しく説明されている特別な体制からどの取扱業務が便益を得るかを理解することは重要である。したがって、「健康に関するデータ」、「科学的研究を目的とした取扱い」、及び「追加の取扱い」（「健康データの一次利用及び二次利用」ともいう）という用語が定義されなければならない。

3.1 “Data concerning health”「健康に関するデータ」
7. According to Article 4 (15) GDPR, “data concerning health” means “personal data
related to the physical or mental health of a natural person, including the provision ofhealth care services, which reveal information about his or her health status”. As
indicated by Recital 53, data concerning health deserves higher protection, as theuse of such sensitive data may have significant adverse impacts for data subjects. In
the light of this and the relevant jurisprudence of the European Court of Justice(“ECJ”), 4 the term “data concerning health” must be given a wide interpretation.
GDPR第4条（15）によれば、「健康に関するデータ」とは、「医療サービスの提供を含め、健康状態に関する情報を明らかにする、自然人の身体的又は精神的な健康と関連する
個人データ」を意味する。前文53で示されているように、健康に関するデータは、そのようなセンシティブデータの利用がデータ主体に重大な悪影響を与える可能性があるため、より高度な保護に値する。この点及び欧州司法裁判所（「ECJ」）4の関連法学に照らして、「健康に関するデータ」という用語には、幅広い解釈が与えられなければならない。
8. Data concerning health can be derived from different sources, for example:

4

See for example, regarding the Directive 95/46/EC, ECJ 6.11.2003, C-101/01 (Lindqvist)
paragraph 50.
例えば、96/46指令においては、2003年11月6日ECJ, C-101/01(リンドクヴィスト)、パラグラフ50を参照。

7

健康に関するデータは、さまざまなソースから派生し得る。例えば、
1. Information collected by a health care provider in a patient record (such as
medical history and results of examinations and treatments).
医療提供者により、患者の記録から収集された情報（病歴並びに検査及び治療の結果など）。
2. Information that becomes health data by cross referencing with other data thus
revealing the state of health or health risks (such as the assumption that aperson has a higher risk of suffering heart attacks based on the high bloodpressure measured over a certain period of time).
他のデータと相互参照することにより健康データとなる情報で、これにより、健康状態又は健康リスクが明らかとなる（ある期間にわたって測定された高血圧に基づき、心臓発作を起こすリスクが高いという想定など）。
3. Information from a “self check” survey, where data subjects answer questions
related to their health (such as stating symptoms).
データ主体が自身の健康に関連する質問に回答する「自己チェック」調査からの情報（症状の記述など）。
4. Information that becomes health data because of its usage in a specific context(such as information regarding a recent trip to or presence in a region affectedwith COVID-19 processed by a medical professional to make a diagnosis).
特定の状況における利用が原因で健康データとなる情報（診断を行うために医療専門家によって取扱われた、新型コロナウイルスに感染した地域への最近の旅行やそこに居たことに関する情報など）。
3.2 “Processing for the purpose of scientific research”「科学的研究を目的とした取扱い」
9. Article 4 GDPR does not entail an explicit definition of “processing for the purpose ofscientific research”. As indicated by Recital 159, “the term processing of personal
data for scientific research purposes should be interpreted in a broad mannerincluding for example technological development and demonstration, fundamental
research, applied research and privately funded research. In addition, it should take
into account the Union’s objective under Article 179 (1) TFEU of achieving a
European Research Area. Scientific research purposes should also include studies
conducted in the public interest in the area of public health.”
GDPR第4条は、「科学的研究を目的とした取扱い」の明確な定義を伴っていない。前文
159で示されているように、「科学的研究を目的とした個人データの取扱い」という用語は、
例えば、技術開発及び実証、基礎研究、応用研究並びに民間資金による研究を含めて幅広く解釈されるべきである。さらに、欧州研究圏を達成するというTFEU第179条（1）におけるEUの目的を考慮すべきである。科学的研究の目的には、公衆衛生の分野における8

公益のために行われた研究も含まれるべきである。」
10. The former Article 29-Working-Party has already pointed out that the term may not
be stretched beyond its common meaning though and understands that “scientificresearch” in this context means “a research project set up in accordance with relevant
sector-related methodological and ethical standards, in conformity with goodpractice”. 5
旧第29条作業部会は、この用語は、その一般的な意味を超えて拡大されないかもしれないことを既に指摘しているが、この文脈での「科学的研究」は、「関連するセクター関連の方法論的及び倫理的基準に従って、望ましい慣行に準拠して立ち上げられた研究プロ
ジェクト」を意味することを理解している5。
3.3 “Further processing”「追加の取扱い」
11. Finally, when talking about “processing of health data for the purpose of scientificresearch”, there are two types of data usages:
最後に、「科学的研究を目的とした健康データの取扱い」について語る場合、二つのタ
イプのデータ利用がある。
1. Research on personal (health) data which consists in the use of data directlycollected for the purpose of scientific studies (“primary use”).
科学的研究を目的として直接収集されたデータの利用からなる個人（健康）データの研究（「主たる利用」）。
2. Research on personal (health) data which consists of the further processing ofdata initially collected for another purpose (“secondary use”).
当初別の目的で収集されたデータを別の目的で取扱うことからなる個人（健康）データの研究（「二次的利用」）。
12. Example 1: For conducting a clinical trial on individuals suspected to be infected with
COVID-19, health data are collected and questionnaires are used. This is a case of“primary use” of health data as defined above.
例1：新型コロナウイルス感染症に感染している疑いのある個人に対して臨床試験を実施するため、健康データが収集され、質問表が使用される。これは、上記で定義された健康データの「主たる利用」の場合である。

5

See the Guidelines on Consent under Regulation 2016/679 of the former Article 29 WorkingParty from 10.04.2018, WP259 rev.01, 17EN, page 27 (endorsed by the EDPB). Available at
旧第29条作業部会の規則2016/679に基づく同意に関するガイドライン（2018年10月4日、WP259
rev.01、17英語、27ページ（EDPBにより承認））を参照。
https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051.

913. Example 2: A data subject has consulted a health care provider as a patient regarding
symptoms of the SARS-CoV-2. If health data recorded by the health care provider isbeing used for scientific research purposes later on, this usage is classified as further
processing of health data (secondary use) that has been collected for another initial
purpose.
例2：データ主体は、SARS-CoV-2の症状に関して患者として医療提供者に相談した。
医療提供者により記録された健康データが後に科学的研究の目的で利用される場合、この利用は、当初別の目的で収集された健康データの追加の取扱い（二次的利用）として分類される。
14. The distinction between scientific research based on primary or secondary usage ofhealth data will become particularly important when talking about the legal basis forthe processing, the information obligations and the purpose limitation principle
pursuant to Article 5 (1) (b) GDPR as outlined below.
健康データの主たる利用と二次的利用に基づく科学的研究の区別は、以下で概説す
るように、取扱いの法的根拠、通知義務及びGDPR第5条1項（b）に準拠した目的制限の原則について語るとき、特に重要となる。
4

LEGAL BASIS FOR THE PROCESSING
取扱いの法的根拠

15. All processing of personal data concerning health must comply with the principles
relating to processing set out in Article 5 GDPR and with one of the legal grounds
and the specific derogations listed respectively in Article 6 and Article 9 GDPR for the
lawful processing of this special category of personal data. 6
健康に関する個人データのすべての取扱いにおいては、GDPR第5条に定められた取扱いに関する原則、並びに、GDPR第6条及び第9条においてそれぞれ掲示されている、
この特別なカテゴリーの個人データの適法な取扱いに関する法的根拠の及び特定の例
外事項のいずれかに準拠していなければならない6。
16. Legal bases and applicable derogations for processing health data for the purposeof scientific research are provided for respectively in Article 6 and Article 9. In thefollowing section, the rules concerning consent and respective national legislation
are addressed. It has to be noted that there is no ranking between the legal bases
stipulated in the GDPR.
科学的研究を目的とした健康データの取扱いに関する法的根拠及び適用可能な例外
は、それぞれ、第6条及び第9条に規定されている。以下のセクションでは、同意に関するルール及びそれぞれの国内法について説明する。 GDPRにおいて規定されている法的6

See for example, regarding the Directive 95/46/EC ECJ 13.5.2014, C-131/12 (Google Spain),paragraph 71.
例えば、2014年5月13日付指令96/46/EC ECJについては、C-131/12(グーグルスペイン)、パラグラフ
71を参照。

10

根拠には順位がないことに留意すべきである。
4.1 Consent
同意
17. The consent of the data subject, collected pursuant to Article 6 (1) (a) and Article 9(2) (a) GDPR, may provide a legal basis for the processing of data concerning healthin the COVID-19 context.
GDPR第6条（1）（a）及び第9条（2）（a）に準拠して収集されたデータ主体の同意は、新型コロナウイルス感染症の文脈における健康に関するデータの取扱いに関する法的根拠となろう。
18. However, it has to be noted that all the conditions for explicit consent, particularly
those found in Article 4 (11), Article 6 (1) (a), Article 7 and Article 9 (2) (a) GDPR,
must be fulfilled. Notably, consent must be freely given, specific, informed, andunambiguous, and it must be made by way of a statement or “clear affirmative action”.
しかしながら、明示的同意に関するすべての条件、特にGDPR第4条（11）、第6条（1）（a）、第7条及び第9条（2）（a）に見られる条件が満たされなければならないことに留意すべきである。とりわけ、同意は自由に与えられ、具体的で、情報に基づく、曖昧でないもの
でなければならず、また、それは、声明又は「明確な肯定的行動」によってなされなければならない。
19. As stated in Recital 43, consent cannot be considered freely given if there is a clear
imbalance between the data subject and the controller. It is therefore important thata data subject is not pressured and does not suffer from disadvantages if they decide
not to give consent. The EDPB has already addressed consent in the context ofclinical trials. 7 Further guidance, particularly on the topic of explicit consent, can befound in the consent guidelines of the former Article 29-Working-Party. 8
前文43で述べられているように、データ主体と管理者の間に明らかな不均衡がある場
合、同意は自由に与えられたとは見なされない。したがって、データ主体が同意しないことを決定した場合にも、データ主体に圧力がかからず、不利益を被らないことが重要である7。
EDPBは、既に、臨床試験の文脈における同意に対処している。追加のガイダンス、特に明示的な同意のテーマに関するものは、旧第29条作業部会の同意ガイドラインに見出す

7

See Opinion 3/2019 of the EDPB from 23.1.2019 on concerning the Questions and Answers
on the interplay between the Clinical Trials Regulation (CTR) and the General Data Protection
regulation (GDPR), available at

臨床試験規制（CTR）と一般データ保護規制（GDPR）の相互関係に関する質疑応答については、2019年1月23日のEDPBの意見3/2019を参照：https://edpb.europa.eu/our-work-tools/our-documents/avis-art-70/opinion-32019-concerning-questions-and-answers-interplay_en.
8 Guidelines on Consent under Regulation 2016/679 of the former Article 29 Working-Party
from 10.04.2018, WP259 rev.01, 17EN, page 18 (endorsed by the EDPB).

2018年4月10日からの旧第29条作業部会の規則2016/679に基づく同意に関するガイドライン、
WP259 rev.01、17英語、18ページ（EDPBにより承認）。

11

ことができる8。
20. Example: A survey is conducted as part of a non-interventional study on a given
population, researching symptoms and the progress of a disease. For the processingof such health data, the researchers may seek the consent of the data subject under
the conditions as stipulated in Article 7 GDPR.
例：調査は、特定の母集団に対す観察研究（非介入研究）の一部として行われ、病気の症状及び進行を研究する。そのような健康データの取扱いに関して、研究者は、GDPR第7条に規定されている条件の下で、データ主体の同意を求めることができる。
21. In the view of the EDPB, the example above is not considered a case of “clear
imbalance of power” as mentioned in Recital 43 and the data subject should be able
to give the consent to the researchers. 9 In the example, the data subjects are not ina situation of whatsoever dependency with the researchers that could inappropriately
influence the exercise of their free will and it is also clear that it will have no adverse
consequences if they refuse to give their consent.
EDPBの観点からは、上記の例は、前文43で言及されている「力の明らかな不均衡」の場合とは見なされず、データ主体は、研究者に同意を与えることができるべきである9。この例では、データ主体は、自己の自由意志の行使に不適切に影響を与え得る研究者と依存関係に全くなく、データ主体が同意を拒否した場合に悪影響を及ぼさないことも明らかである。
22. However, researchers should be aware that if consent is used as the lawful basis forprocessing, there must be a possibility for individuals to withdraw that consent at any
time pursuant to Article 7 (3) GDPR. If consent is withdrawn, all data processing
operations that were based on consent remain lawful in accordance with the GDPR,
but the controller shall stop the processing actions concerned and if there is no otherlawful basis justifying the retention for further processing, the data should be deleted
by the controller. 10
しかしながら、研究者は、同意が取扱いの法的根拠として用いられる場合、GDPR第7条（3）に準拠して、個人がいつでもその同意を取り消す可能性があることを認識すべきである。同意が取り消された場合、同意に基づくすべてのデータ取扱業務はGDPRに従って適法のままであるが、管理者は関係する取扱行為を停止しなければならず、追加の取扱いのための保持を正当化する他の法的根拠がない場合には、そのデータは管理者によって削除されるべきである10。

9

Assuming that the data subject has not been pressured or threatened with disadvantages
when not giving his or her consent.

データ主体が同意を与えていないときに不利な立場で圧力をかけられたり脅されたりしていないと仮定する。
10

See Article17 (1) (b) and (3) GDPR.

GDPR 第 17 条(1)(b)及び(3)参照。

12

4.2 National legislations
国内法令
23. Article 6 (1) e or 6 (1) f GDPR in combination with the enacted derogations under
Article 9 (2) (j) or Article 9 (2) (i) GDPR can provide a legal basis for the processingof personal (health) data for scientific research. In the context of clinical trial this has
already been clarified by the Board. 11
GDPR第6条（1）e又は第6条（1）fは、GDPR第9条（2）（j）又は第9条（2）（i）に基づき制定された適用例外と組み合わせて、科学的研究のための個人（健康） データの取扱いに関する法的根拠を提供できる。臨床試験の文脈では、このことは、欧州データ保護会議により既に明確にされている11。
24. Example: A large population based study conducted on medical charts of COVID-19
patients.
例：新型コロナウイルス感染症患者のカルテに基づき行われた大規模な人口ベースの研究。
25. As outlined above, the EU as well as the national legislator of each Member State
may enact specific laws pursuant to Article 9 (2) (j) or Article 9 (2) (i) GDPR to provide
a legal basis for the processing of health data for the purpose of scientific research.
Therefore, the conditions and the extent for such processing vary depending on theenacted laws of the particular Member State.
上記のように、EU及び各加盟国の立法者は、科学的研究を目的とした健康データの取扱いに関する法的根拠を提供するため、GDPR第9条（2）（j）又は第9条（2）（i）に準拠して特定の法律を制定することができる。したがって、そのような取扱いの条件及び範囲は、特定の加盟国の制定法によって異なる。
26. As stipulated in Article 9 (2) (i) GDPR, such laws shall provide “for suitable andspecific measures to safeguard the rights and freedoms of the data subject, inparticular professional secrecy”. As similarly stipulated in Article 9 (2) (j) GDPR, suchenacted laws “shall be proportionate to the aim pursued, respect the essence of theright to data protection and provide for suitable and specific measures to safeguard
the fundamental rights and the interests of the data subject”.
GDPR第9条（2）（i）に規定されているように、それらの法律では「データ主体の権利及び自由、特に専門職の秘密を保護するための適切かつ具体的な措置」を規定しなければならない。同様に、GDPR第9条（2）（j）に規定されているように、それらの制定法は、「追求する目的に比例しており、データ保護の権利の本質を尊重し、データ主体の基本的権利及び利益を保護するための適切かつ具体的な措置を規定しなければならない」。
27. Furthermore, such enacted laws must be interpreted in the light of the principles

11

See Opinion 3/2019 of the EDPB from 23.1.2019, page 7.
2019年1月23日付EDPBの意見2019/3、ページ７参照。

13

pursuant to Article 5 GDPR and in consideration of the jurisprudence of the ECJ. In
particular, derogations and limitations in relation to the protection of data provided in
Article 9 (2) (j) and Article 89 GDPR must apply only in so far as is strictly necessary. 12
さらに、それらの制定法は、GDPR第5条の原則に照らして、また、ECJの法学を考慮して解釈されなければならない。特に、GDPR第9条（2）（j）及び第89条に規定されたデータの保護に関する例外及び制限は、厳密に必要な場合にのみ適用されなければならない12。
5

DATA PROTECTION PRINCIPLES
データ保護の原則

28. The principles relating to processing of personal data pursuant to Article 5 GDPR
shall be respected by the controller and processor, especially considering that a greatamount of personal data may be processed for the purpose of scientific research.
Considering the context of the present guidelines, the most important aspects ofthese principles are addressed in the following.
GDPR第5条に準拠した個人データの取扱いに関連する原則は、特に科学的研究の目的で大量の個人データが取扱われる可能性があることを考慮して、管理者及び処理者により尊重されなければならない。現在のガイドラインの内容を考慮して、これらの原則の最も重要な側面を記述すれば、以下のとおりである。
5.1 Transparency and information to data subjects
透明性及びデータ主体への情報提供
29. The principle of transparency means that personal data shall be processed fairly andin a transparent manner in relation to the data subject. This principle is strongly
connected with the information obligations pursuant to Article 13 or Article 14 GDPR.
透明性の原則とは、個人データがデータ主体に関して公平かつ透明性が確保された方法で取扱われることを意味する。この原則は、GDPRの第13条又は第14条に定める通知義務と強く関連している。
30. In general, a data subject must be individually informed of the existence of theprocessing operation and that personal (health) data is being processed for scientificpurposes. The information delivered should contain all the elements stated in Article
13 or Article 14 GDPR.
一般に、データ主体は、取扱業務が存在すること及び個人（健康）データは科学的目的のために取扱われていることを、個別に通知されなければならない。提供される情報には、GDPR第13条又は第14条に定められているすべての要素が含まれているべきである。
31. It has to be noted that researchers often process health data that they have not
12

See for example, regarding the Directive 95/46/EC ECJ 14.2.2019, C–345/17 (Buivids)
paragraph 64.

例えば、指令 95/46/EC ECJ 2019 年 2 月 14 日付、C-345/17（ブイビド）、パラグラフ 64 を参照。

14

obtained directly from the data subject, for instance using data from patient records
or data from patients in other countries. Therefore, Article 14 GDPR, which covers
information obligations where personal data is not collected directly from the data
subject, will be the focus of this section.
研究者は、しばしば、例えば患者の記録からのデータ又は他国の患者からのデータを利用するなど、データ主体から直接取得していない健康データを取扱うことに留意すべきである。したがって、個人データがデータ主体から直接収集されない場合の通知義務を規定しているGDPR第14条が本セクションの焦点となる。
5.1.1 When must the data subject be informed?
データ主体が通知されなければならない時点は何時か。
32. When personal data have not been obtained from the data subject, Article 14 (3) (a)GDPR stipulates that the controller shall provide the information “within a reasonable
period after obtaining the personal data, but at the latest within one month, having
regard to the specific circumstances in which the personal data are processed”.
個人データをデータ主体から直接取得していない場合、GDPR第14条（3）（a）は、管理者は、「その個人データが取扱われる具体的な状況を考慮して、個人データを取得後の合理的な期間内、ただし、遅くとも1か月以内」に情報を提供しなければならないと規定している。
33. In the current context, it has to be particularly noted that according to Article 14 (4)GDPR, where “the controller intends to further process the personal data for a
purpose other than that for which the personal data were obtained, the controller
shall provide the data subject prior to that further processing with information on that
other purpose”.
現在の状況においては、GDPR第14条（4）に準拠して、「管理者が、個人データが取得された目的とは別の目的で当該個人データの取扱いを予定する場合、その管理者は、データ主体に対し、その取扱いの開始前に、当該別の目的に関する情報を提供しなければならない」ことに特に留意すべきである。
34. In the case of the further processing of data for scientific purposes and taking into
account the sensitivity of the data processed, an appropriate safeguard according to
Article 89 (1) is to deliver the information to the data subject within a reasonable
period of time before the implementation of the new research project. This allows thedata subject to become aware of the research project and enables the possibility to
exercise his/her rights beforehand.
科学的目的のデータを追加の取扱い、さらに取扱われたデータの機密性を考慮する場
合、第89条（1）に準拠した適切な保護措置は、新しい研究プロジェクトの実施前の合理的な期間内に、その情報をデータ主体に提供することである。これにより、データ主体は研究プロジェクトを知ることができ、事前に自己の権利の行使が可能となる。

15

5.1.2 Exemptions
適用除外
35. However, Article (14) (5) GDPR stipulates four exemptions of the information
obligation. In the current context, the exemption pursuant to Article (14) (5) (b)(“proves impossible or would involve a disproportionate effort”) and (c) (“obtaining or
disclosure is expressly laid down by Union or Member State law“) GDPR are ofparticular relevance, especially for the information obligation pursuant to Article 14(4) GDPR.
しかしながら、GDPR第14条（5）では、通知義務につき四つの適用除外を規定している。
現在の状況においては、GDPR第14条（5）（b）（「不可能を証明する又は過大な負担を要する」）及び（c）（「取得又は開示がEU又は加盟国の法律に明示に定められている」）に準拠した適用除外が特に関連する。とりわけ、GDPR第14条（4）に準拠した通知義務が関連する。
5.1.2.1 Proves impossible
不可能を証明する
36. In its Guidelines regarding the principle of Transparency, 13 the former Article 29Working-Party has already pointed out that “the situation where it “proves impossible”
under Article 14 (5) (b) to provide the information is an all or nothing situation because
something is either impossible or it is not; there are no degrees of impossibility. Thus,
if a data controller seeks to rely on this exemption it must demonstrate the factorsthat actually prevent it from providing the information in question to data subjects. If,
after a certain period of time, the factors that caused the “impossibility” no longer
exist and it becomes possible to provide the information to data subjects then thedata controller should immediately do so. In practice, there will be very few situations
in which a data controller can demonstrate that it is actually impossible to provide theinformation to data subjects.”
透明性の原則に関するガイドラインにおいて13、旧第29条作業部会は、「第14条（5）（b）に定める情報を提供することは『不可能であることを証明する』という状況は、全てかゼロかの状況であると既に指摘している。何故なら、何かは不可能であるか又は不可能ではな
いかのいずれかであり、不可能の度合いはないからである。したがって、データ管理者がこの適用除外に依存しようとする場合、問題の情報をデータ主体に提供することを実際に妨げる要因を証明しなければならない。一定期間後、『不可能』を引き起こした要因がもはや存在せず、データ主体に情報を提供することが可能となった場合には、データ管理者
は直ちにそれを行うべきである。実際には、データ管理者がデータ主体に情報を提供することが実際に不可能であることを証明できる状況はほとんどないであろう」と指摘している。
13

See the Guidelines on transparency under Regulation 2016/679 of the former Article-29
Working-Party from 11.4.2018, WP260 rev.01, 17/EN, page 29 (endorsed by the EDPB).
旧第29条作業部会の規制2016/679に基づく透明性に関するガイドラインの2018年4月11日付
WP260 rev.01、17 / EN、29ページ（EDPBにより承認）参照。
Available at https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227.

16

5.1.2.2 Disproportionate effort
過大な負担
37. In determining what constitutes disproportionate effort, Recital 62 refers to thenumber of data subjects, the age of the data and appropriate safeguards in place aspossible indicative factors. In the Transparency Guidelines mentioned above, 14 it isrecommended that the controller should therefore carry out a balancing exercise toassess the effort involved to provide the information to data subjects against the
impact and effects on the data subject if they are not provided with the information.
過大な負担を構成するものの決定において、前文62は、データ主体の数、データの古さ及び講じられた適切な保護措置を、可能な指標要因としている。上記の透明性ガイドラ
インにおいては14、管理者は、データ主体に情報を提供するために必要な労力と情報を提供しない場合のデータ主体への影響及び効果を評価するため、バランスを取る訓練を行うべきことが推奨されている。
38. Example: A large number of data subjects where there is no available contact
information could be considered as a disproportionate effort to provide theinformation.
例：利用可能な連絡先情報がない多数のデータ主体は、情報を提供するための過大な負担と見なされる可能性がある。
5.1.2.3 Serious impairment of objectives
目的の深刻な障害
39. To rely on this exception, data controllers must demonstrate that the provision of theinformation set out in Article 14 (1) alone would nullify the objectives of the processing.
この適用除外に依存するには、データ管理者は、第14条（1）に規定されている情報の提供のみで取扱いの目的が無効となることを証明しなければならない。
40. In a case where the exemption of Article (14) (5) (b) GDPR applies, “the controller
shall take appropriate measures to protect the data subject’s rights and freedoms
and legitimate interests, including making the information publicly available”.
GDPR第14条（5）（b）の適用除外が適用される場合、「管理者は、情報を公開することを含め、データ主体の権利及び自由並びに正当な利益を保護するため、適切な措置を講じなければならない」としている。
5.1.2.4 Obtaining or disclosure is expressly laid down by Union or Member State law
取得又は開示は、EU又は加盟国の国内法により明示的に規定されている。
14

Guidelines on transparency under Regulation 2016/679 of the former Article-29 WorkingParty from 11.4.2018, WP260 rev.01, 17/EN, page 31 (endorsed by the EDPB).

2018 年 4 月 11 日の旧第 29 条作業部会の規制 2016/679 に基づく透明性に関するガイドライ
ン、WP260 rev.01、17 / EN、31 ページ（EDPB により承認）。

17

41. Article 14 (5) (c) GDPR allows for a derogation of the information requirements in
Articles 14 (1), (2) and (4) insofar as the obtaining or disclosure of personal data “isexpressly laid down by Union or Member State law to which the controller is subject”.
This exemption is conditional upon the law in question providing “appropriate
measures to protect the data subject’s legitimate interests”. As stated in the above
mentioned Transparency Guidelines, 15 such law must directly address the data
controller and the obtaining or disclosure in question should be mandatory upon thedata. When relying on this exemption, the EDPB recalls that the data controller must
be able to demonstrate how the law in question applies to them and requires themto either obtain or disclose the personal data in question.
GDPR第14条（5）（c）は、個人データの取得又は開示が「管理者が対象となるEU又は加盟国の国内法によって明示的に定められている」限り、第14条（1）、（2）及び（4）の通知
要件の例外を認めている。この適用除外は、「データ主体の正当な利益を保護するための適切な措置」を規定している問題の法律を条件としている。上記の透明性ガイドラインに記載されているように15、それらの法律はデータ管理者に直接対処していなければならず、また、問題の取得又は開示はデータに対し強制であるべきである。この適用除外に依存する場合、EDPBは、データ管理者が、問題の法律がどのように彼らに適用され、彼らに問題の個人データの取得又は開示を要求するかを証明できなければならないということを想起する。
5.2 Purpose limitation and presumption of compatibility
目的の制限及び適合性の推定
42. As a general rule, data shall be “collected for specified, explicit and legitimate
purposes and not further processed in a manner that is incompatible with those
purposes” pursuant to Article 5 (1) (b) GDPR.
原則として、データは、GDPR第5条1項（b）に準拠して、「特定の明示的かつ正当な目的で収集され、それらの目的と適合しない方法で追加で目的で取扱われることはない」ものとする。
43. However the “compatibility presumption” provided by Article 5 (1) (b) GDPR statesthat “further processing for […] scientific research purposes […] shall, in accordancewith Article 89 (1), not be considered to be incompatible with the initial purposes”.
This topic, due to its horizontal and complex nature, will be considered in more detailin the planned EDPB guidelines on the processing of health data for the purpose ofscientific research.
しかしながら、GDPR第5条（1）（b）に規定された「適合性の推定」では、「[…]科学研究

15

Guidelines on transparency under Regulation 2016/679 of the former Article-29 WorkingParty from 11.4.2018, WP260 rev.01, 17/EN, page 32 (endorsed by the EDPB).

2018 年 4 月 11 日の旧第 29 条作業部会の規制 2016/679 に基づく透明性に関するガイドライ
ン、WP260 rev.01、17 / EN、32 ページ（EDPB により承認）。

18

目的[…]の追加の目的での取扱いは、第89条（1）に従い、当初の目的と適合しないものとはみなされないものとする」としている。このトピックは、その水平的かつ複雑な性質のため、科学研究を目的とした健康データの取扱いに関するEDPBガイドラインでより詳細に検討される予定である。
44. Article 89 (1) GDPR stipulates that the processing of data for research purposes“shall be subject to appropriate safeguards” and that those “safeguards shall ensurethat technical and organizational measures are in place in particular in order toensure respect for the principle of data minimisation. Those measures may include
pseudonymisation provided that those purposes can be fulfilled in that manner”.
GDPR第89条（1）は、研究目的でのデータの取扱いは「適切な保護措置の対象となる」
こと、及び、それらの「保護措置は、データ最小化の原則の尊重を確保するため、特に技
術的及び組織的な措置が講じることを確保しなければならない。これらの措置には、それらの目的がその方法で満たされる場合には、仮名化が含まれるであろう」と規定している。
45. The requirements of Article 89 (1) GDPR emphasise the importance of the data
minimisation principle and the principle of integrity and confidentiality as well as theprinciple of data protection by design and by default (see below). 16 Consequently,
considering the sensitive nature of health data and the risks when re-using healthdata for the purpose of scientific research, strong measurements must be taken inorder to ensure an appropriate level of security as required by Article 32 (1) GDPR.
GDPR第89条（1）の要件は、データ最小化の原則、完全性及び機密性の原則並びにデータ保護バイデザイン及びバイデフォルトの重要性を強調している（以下を参照）16 。したがって、健康データの機微な性質及び科学的研究の目的で健康データを再利用する際のリスクを考慮して、GDPR第32条（1）で要求される適切なレベルのセキュリティを確保するために、強力な測定がなされなければならない。
5.3 Data minimisation and storage limitation
データの最小化及び保存制限
46. In scientific research, data minimisation can be achieved through the requirement ofspecifying the research questions and assessing the type and amount of datanecessary to properly answer these research questions. Which data is needed
depends on the purpose of the research even when the research has an explorative
nature and should always comply with the purpose limitation principle pursuant to
Article 5 (1) (b) GDPR. It has to be noted that the data has to be anonymised where
it is possible to perform the scientific research with anonymised data.
16

Also see the Guidelines 4/2019 of the EDPB from 13.11.2019 on Data Protection by Design
and by Default (version for public consultation),
また、2019 年 11 月 13 日のプライバシーバイデザイン及びデフォルトに関する EDPB のガイドライン
4/2019（パブリックコンサルテーションのバージョン）を参照されたい。available athttps://edpb.europa.eu/our-work-tools/public-consultations-art-704/2019/guidelines-42019article-25-data-protection-design_en19科学的研究においては、調査質問を特定し、これらの調査質問に適切に回答するために必要なデータの種類及び量を評価するという要件を通じて、データの最小化が実現可能となる。どのデータが必要かは、その研究が探索的性質を持つ場合においても研究の目的によって異なり、GDPR第5条1項（b）に準拠した目的制限の原則を常に遵守すべきである。なお、匿名化されたデータで科学的研究を行うことが可能な場合には、データは匿名化されなければならないことに留意すべきである。
47. In addition, proportionate storage periods shall be set. As stipulated by Article 5 (1)(e) GDPR “personal data may be stored for longer periods insofar as the personal
data will be processed solely for archiving […] scientific purposes […] in accordancewith Article 89 (1) subject to implementation of the appropriate technical andorganisational measures required by this Regulation in order to safeguard the rights
and freedoms of the data subject”
また、比例的な保存期間が設けられなければならない。 GDPR第5条（1）（e）で規定されているように、「個人データは、データ主体の権利及び自由を保護するため本規則が要求する適切な技術的及び組織的措置を講じることを条件として、第89条（1）に従い、それが、保存目的[…]科学的目的[…]のみのために取扱われる限り、より長期間保存できる」。
48. In order to define storage periods (timelines), criteria such as the length and the
purpose of the research should be taken into account. It has to be noted that national
provisions may stipulate rules concerning the storage period as well.
保存期間（適時性）を定義するには、研究の長さ及び目的などの基準を考慮すべきである。国内法の規定も、保存期間に関するルールを定めることができることに留意すべきである。
5.4 Integrity and confidentiality
完全性及び機密性
49. As mentioned above, sensitive data such as health data merit higher protection as
their processing is likelier to lead to negative impacts for data subjects. Thisconsideration especially applies in the COVID- 19 outbreak as the foreseeable reuse of health data for scientific purposes leads to an increase in the number and typeof entities processing such data.
上述したように、健康データなどのセンシティブデータは、それらの取扱いがデータ主体に悪影響を与える可能性が高いことから、保護を強化する価値がある。この考察は、科学的な目的のために健康データが再利用されることが予測されることから、そのようなデー
タを取扱う事業体の数及び種類が増加する新型コロナウイルス感染症の発生において特に当てはまる。
50. It has to be noted that the principle of integrity and confidentiality must be read in
conjunction with the requirements of Article 32 (1) GDPR and Article 89 (1) GDPR.
The cited provisions must be fully complied with. Therefore, considering the high risks
as outlined above, appropriate technical and organisational up-to-date measures20

must be implemented to ensure a sufficient level of security.
完全性及び機密性の原則は、GDPR第32条（1）及びGDPR第89条（1）の要件と併せて読まれなければならないことに留意すべきである。引用された規定は完全に遵守されなけ
ればならない。したがって、上述した高いリスクを考慮して、十分なレベルのセキュリティを確保するため、適切な技術的及び組織的な最新の措置が講じられなければならない。
51. Such measures should at least consist of pseudonymisation, 17 encryption, nondisclosure agreements and strict access role distribution, restrictions as well as logs.
It has to be noted that national provisions may stipulate concrete technicalrequirements or other safeguards such as adherence to professional secrecy rules.
そのような措置は、少なくとも、仮名化17、暗号化、秘密保持契約及び厳格なアクセス権の付与、制限並びにログで構成されるべきである。国内規定では、具体的な技術的要件
又は職務上知り得た情報に対する守秘義務の遵守など他の保護措置を規定することができることに留意すべきである。
52. Furthermore, a data protection impact assessment pursuant to Article 35 GDPR must
be carried out when such processing is “likely to result in a high risk to the rights andfreedoms of natural persons & quot; pursuant to Article 35 (1) GDPR. The lists
pursuant to Article 35 (4) and (5) GDPR shall be taken into account.
さらに、GDPR第35条に準拠したデータ保護影響評価は、そのような取扱いが「自然人の権利及び自由に高いリスクをもたらす可能性が高い」場合には実施されなければならな
い；GDPR第35条（1）に準拠。GDPR第35条（4）及び（5）に準拠したリストが考慮されなければならない。
53. At this point, the EDPB emphasises the importance of data protection officers. Where
applicable, data protection officers should be consulted on processing of health data
for the purpose of scientific research in the context of the COVID-19 outbreak.
この時点で、EDPBは、データ保護オフィサー（DPO）の重要性を強調する。該当する場
合、新型コロナウイルス感染症の発生下における科学的研究を目的とする健康データの取扱いにつき、DPOに相談すべきである。
54. Finally, the adopted measures to protect data (including during transfers) should beproperly documented in the record of processing activities.
最後に、データを保護するために採用された措置（データ移転時を含む）は、取扱活動の記録に適切に文書化されるべきである。

17

It has to be noted that personal (health data) that has been pseudonymised is still regarded
as “personal data“ pursuant to Article 4 (1) GDPR and must not be confused with “anonymiseddata” where it is no longer possible for anyone to refer back to individual data subjects. See forexample Recital 28.

仮名化された個人（健康データ）は、GDPR の第 4 条（1）に従って「個人データ」と見なされ、誰もデータ主体を特定することのできない「匿名化されたデータ」と混同してはならないことに注意されたい。たとえば、前文 28 を参照されたい。

21

6

EXERCISE OF THE RIGHTS OF DATA SUBJECTS
データ主体の権利の行使

55. In principle, situations as the current COVID-19 outbreak do not suspend or restrict
the possibility of data subjects to exercise their rights pursuant to Article 12 to 22
GDPR. However, Article 89 (2) GDPR allows the national legislator to restrict (some)of the data subject’s rights as set in Chapter 3 of the regulation. Because of this, therestrictions of the rights of data subjects may vary depending on the enacted laws of
the particular Member State.
原則として、現在の新型コロナウイルス感染症の発生のような状況では、データ主体がGDPR第12条から第22条に準拠して自己の権利を行使する可能性を一時停止又は制限
することはない。しかしながら、GDPR第89条（2）は、GDPRの第3章で規定されているように、国の立法者にデータ主体の権利の（一部）を制限することを認めている。このため、データ主体の権利の制限は、特定の加盟国の国内法によって異なり得る。
56. Furthermore, some restrictions of the rights of data subjects can be based directlyon the Regulation, such as the access right restriction pursuant to Article 15 (4)GDPR and the restriction of the right to erasure pursuant to Article 17 (3) (d) GDPR.
The information obligation exemptions pursuant to Article 14 (5) GDPR have alreadybeen addressed above.
さらに、データ主体の権利のいくつかの制限は、GDPR第15条（4）に準拠するアクセス権の制限及びGDPR第17条（3）（d）に準拠する消去権の制限など、GDPRを直接根拠とすることができる。GDPR第14条（5）GDPRに準拠する通知義務の適用除外については、すでに上記で説明した。
57. It has to be noted that, in the light of the jurisprudence of the ECJ, all restrictions of
the rights of data subjects must apply only in so far as it is strictly necessary. 18
ECJの法学の観点から、データ主体の権利に対するすべての制限は、厳密に必要な場
合にのみ適用されなければならないことに留意すべきである18。
7

INTERNATIONAL DATA TRANSFERS FOR SCIENTIFIC RESEARCHPURPOSES
科学的研究を目的としたデータの国際移転
58. Within the context of research and specifically in the context of the COVID-19
pandemic, there will probably be a need for international cooperation that may also
imply international transfers of health data for the purpose of scientific researchoutside of the EEA.
研究の文脈、特に新型コロナウイルス感染症のパンデミックの状況下においては、おそ18

See for example, regarding the Directive 95/46/EC ECJ 14.2.2019, C–345/17 (Buivids)
paragraph 64.

たとえば、指令 95/46 / EC ECJ 2019 年 2 月 14 日、C–345 / 17（Buivids）、パラグラフ 64 を参照。

22らく国際的な協力が必要となり、EEA域外の科学的研究を目的とした健康データの国際移転を意味することもあろう。
59. When personal data is transferred to a non-EEA country or international organisation,in addition to complying with the rules set out in GDPR, 19 especially its Articles 5(data protection principles), Article 6 (lawfulness) and Article 9 (special categories ofdata), 20 the data exporter shall also comply with Chapter V (data transfers). 21
個人データが非EEA国又は国際機関に移転される場合19、GDPRに定められたルール、
特にその第5条（データ保護の原則）、第6条（適法性）及び第9条（データの特別なカテゴ
リ）を遵守することに加えて20。データ輸出者は、第5章（データ移転）についても遵守しなければならない21。
60. In addition to the regular transparency requirement as mentioned on page 7 of thepresent guidelines, a duty rests on the data exporter to inform data subjects that it
intends to transfer personal data to a third country or international organisation. This
includes information about the existence or absence of an adequacy decision by theEuropean Commission, or whether the transfer is based on a suitable safeguard from
Article 46 or on a derogation of Article 49 (1). This duty exists irrespective of whether
the personal data was obtained directly from the data subject or not.
本ガイドラインの7ページ（和訳においては14ページ）に記載されている通常の透明性要件に加えて、個人データを第三国又は国際機関に移転する予定であることをデータ主体に通知する義務が、データ輸出者に課されている。 これには、欧州委員会による十分性認定の有無に関する情報、又は、当該移転が第46条の適切な保護措置若しくは第49条(1)の例外に基づいているかの情報が含まれる。この義務は、個人データがデータ主体
から直接取得されたかどうかにかかわらず存在する。
61. In general, when considering how to address such conditions for transfers of
personal data to third countries or international organisations, data exporters should
assess the risks to the rights and the freedoms of data subjects of each transfer 22
and favour solutions that guarantee data subjects the continuous protection of their

19

Article 44 GDPR.
GDPR第44条

20

See sections 4 to 6 of the present Guidelines.
本ガイドラインのセクション4から6を参照。
21 See the Guidelines 2/018 of the EDPB from 25.5.2018 on derogations of Article 49 under
Regulation 2016/679, page 3, on the two-step test,
2ステップテストについては、規制2016 / 679に基づく第49条の例外に関する2018年5月25日付
EDPBのガイドライン2/2018、ページ3を参照。
available at https://edpb.europa.eu/our-work-tools/our-documents/smjernice/guidelines-22018derogations-article-49-under-regulation_en.
22International Data Transfers may be a risk factor to consider when performing a DPIA as
referred to in page 10 of the present guidelines.
現在のガイドラインの10ページで言及されているように、DPIAを実行する際には、国際データ転送が考慮すべきリスク要因になる可能性がある。

23

fundamental rights and safeguards as regards the processing of their data, even after
it has been transferred. This will be the case for transfers to countries having anadequate level of protection, 23 or in case of use of one of the appropriate safeguards
included in Article 46 GDPR, 24 ensuring that enforceable rights and effective legal
remedies are available for data subjects.
一般に、第三国又は国際機関への個人データの移転に関するこのような条件にいかに対処するかを検討する場合、データ輸出者は、各移転22におけるデータ主体の権利及び自由に対するリスクを評価し、データ主体の個人データが移転された後においても、そのデータの取扱いに関し、データ主体の基本的な権利及び保護措置をデータ主体に保証する解決策を伝えるべきである。これは、適切なレベルの保護措置を有する国への移転の場合23、又はGDPR第46条に定める適切な保護措置の一つを利用する場合で24、法的強制力のある権利及び効果的な法的救済策がデータ主体に保証されている場合である。
62. In the absence of an adequacy decision pursuant to Article 45 (3) GDPR or
appropriate safeguards pursuant to Article 46 GDPR, Article 49 GDPR envisages
certain specific situations under which transfers of personal data can take place as
an exception. The derogations enshrined in Article 49 GDPR are thus exemptions
from the general rule and, therefore, must be interpreted restrictively, and on a caseby-case basis. 25 Applied to the current COVID-19 crisis, those addressed in Article
49 (1) (d) (“transfer necessary for important reasons of public interest”) and (a)(“explicit consent”) may apply.
GDPR第45条（3）に準拠した十分性の認定又はGDPR第46条に準拠した適切な保護措置がない場合、GDPR第49条は、例外として個人データの移転が可能な特定の状況を想定している。したがって、GDPR第49条に規定されている例外は、一般規則からの適用除外であり、それ故、ケースバイケースで制限的に解釈されなければならない25。現在の新型コロナウイルス感染症の危機に適用される場合には、第49条（1）（d）（「公共の利益の重大な事由のための必要な移転」）及び（a）（「明示的な同意」）において言及されているものが適用される可能性があります。
63. The COVID-19 pandemic causes an exceptional sanitary crisis of an unprecedented
nature and scale. In this context, the EDPB considers that the fight against COVID19 has been recognised by the EU and most of its Member States as an important
23

The list of countries recognised adequate by the European Commission is available at

欧州委員会により十分性認定を受けている国のリストは以下から取得可能
https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-dataprotection/adequacy-decisions_en
24
For example standard data protection clauses pursuant to Article 46 (2) (c) or (d) GDPR, ad
hoc contractual clauses pursuant to Article 46 (3) (a) GDPR) or administrative arrangements
pursuant to Article 46 (3) (b) GDPR.

たとえば、GDPR 第 46 条（2）（c）又は（d）に基づく標準的データ保護条項、GDPR 第 46 条（3）（a）に基づく臨時の契約条項、又は GDPR 第 46 条（3）（b）に基づく行政協定。
25

See Guidelines 2/2018, page 3.
ガイドライン 2/2018、ページ 3 参照。

24

public interest, 26 which may require urgent action in the field of scientific research(for example to identify treatments and/or develop vaccines), and may also involve
transfers to third countries or international organisations. 27
新型コロナウイルス感染症のパンデミックは、前例のない性質及び規模の格別な衛生危機を引き起こす。この文脈において、EDPBは、新型コロナウイルス感染症に対する闘
いがEU及びその加盟国のほとんどによって重要な公共の利益として認識されていると考えており26、これには、科学的研究の分野における緊急の行動（例えば、治療法の特定及び／又はワクチンの開発）が必要であろうし、第三国又は国際機関への移転を伴うこともあろう27。
64. Not only public authorities, but also private entities playing a role in pursuing such
public interest (for example, a university’s research institute cooperating on thedevelopment of a vaccine in the context of an international partnership) could, under
the current pandemic context, rely upon the derogation mentioned above.
公的機関のみならず、そのような公共の利益の追求において役割を果たす民間団体（例えば、国際的パートナーシップの形態でワクチンの開発に協力している大学の研究所）も、現在のパンデミックの状況下においては、上記の例外に依存することができよう。
65. In addition, in certain situations, in particular where transfers are performed by private
entities for the purpose of medical research aiming at fighting the COVID-19

26

Article 168 of the Treaty on the Functioning of the European Union recognises a high level ofhuman health protection as an important objective that should be ensured in the implementationof all Union policies and activities. On this basis, Union action supports national policies toimprove public health, including in combatting against major health scourges and serious crossborder threats to health, e.g. by promoting research into their causes, transmission and prevention.
Similarly, Recitals 46 and 112 of the GDPR refer to processing carried out in the context of thefight against epidemics as an example of processing serving important grounds of public interest.
In the context of the COVID-19 pandemic, the EU has adopted a series of measures in a broad
range of areas (e.g. funding of healthcare systems, support to cross-border patients anddeployment of medical staff, financial assistance to the most deprived, transport, medical devicesetc.) premised on the understanding that the EU is facing a major public health emergency
requiring an urgent response.

欧州連合の機能に関する条約の第168条は、連合のすべての政策と活動の実施において確保されるべき重要な目標として、高いレベルの人間の健康保護を示している。これに基づいて、連合の活動は国民の健康を改善するための国家政策を支援する。これには、主要な健康被害や国境を越えた深刻な健康への脅威、例えばそれらの原因、伝染及び予防についての研究を促進するなどが含まれる。同様に、GDPR前文46と112は、公共の利益に役立つ取扱いの例として、パンデミ
ックとの闘いのコンテクストで実行される取扱いを参照している。EUは新型コロナウイルスのパンデミックに関連して、幅広い分野で一連の措置を採用している（たとえば、医療システムへの資金提供、国境を越えた患者への支援、医療スタッフの配備、最も恵まれない人々への財政支援、輸送、
医療機器など）ことは、EUが緊急の対応を必要とする主要な公衆衛生上の緊急事態に直面しているという理解を前提としている。
27

The EDPB underlines that the GDPR, in its Recital 112, refers to the international dataexchange between services competent for public health purposes as an example of theapplication of this derogation.

EDPB は、GDPR 前文 112 で、公衆衛生の目的に適したサービス間の国際データ交換をこの特例の適用の例として参照していることを強調する。

25

pandemic, 28 such transfers of personal data could alternatively take place on thebasis of the explicit consent of the data subjects. 29
さらに、特定の状況においては、特に新型コロナウイルス感染症のパンデミックとの闘いを目的とした医学的研究を目的として民間団体により移転が行われる場合28、個人デー
タのこのような移転は、別の方法として、データ主体の明示的な同意に基づいて行われることもあろう29。
66. Public authorities and private entities may, under the current pandemic context, when
it is not possible to rely on an adequacy decision pursuant to Article 45 (3) or on
appropriate safeguards pursuant to Article 46, rely upon the applicable derogations
mentioned above, mainly as a temporary measure due to the urgency of the medical
situation globally.
公的機関及び民間団体は、現在のパンデミック状況下において、第45条（3）に準拠した十分性の認定又は第46条に準拠した適切な保護措置に依存することができない場合、主として世界的な医療状況の緊急性による一時的な措置として、上記の適用可能な例外に依存することができる。
67. Indeed, if the nature of the COVID-19 crisis may justify the use of the applicable
derogations for initial transfers carried out for the purpose of research in this context,
repetitive transfers of data to third countries part of a long lasting research project inthis regard would need to be framed with appropriate safeguards in accordance with
Article 46 GDPR. 30
確かに、新型コロナウイルス感染症の危機の性質により、この文脈における研究の目的で実行された当初の移転に適用される例外の使用が正当化される場合において、この点に関する長期にわたる研究プロジェクトの一環として、データを第三国に繰り返し移転する場合は、 GDPR第46条に従って、適切な保護措置による枠組化の必要があろう30。
68. Finally, it has to be noted that any such transfers will need to take into consideration
on a case-by-case basis the respective roles (controller, processor, joint controller)
and related obligations of the actors involved (sponsor, investigator) in order to
identify the appropriate measures for framing the transfer.
最後に、このような移転においては、その移転を枠組化するための適切な措置を特定するため、ケースバイケースで、それぞれの役割（管理者、処理者、共同管理者）及び関係者（スポンサー、調査員）の関連する義務を考慮する必要があることに留意すべきである。

28

In accordance with Article 49 (3) GDPR, consent cannot be used for activities carried out by
public authorities in the exercise of their public powers.

GDPR 第 49 条（3）に従い、公権力の行使において公的機関が実施する活動に同意を使用することはできない。

29

See EDPB Guidelines 2/2018, section 2.1
EDPB ガイドライン 2/2018、セクション 2.1 参照。
30 See EDPB Guidelines 2/2018, page 5.
EDPB ガイドライン 2/2018、5 ページを参照。

26

8

SUMMARY
概要

69. The key findings of these guidelines are:
これらのガイドラインの主な所見は、以下のとおりである。
1. The GDPR provides special rules for the processing of health data for the
purpose of scientific research that are also applicable in the context of the
COVID-19 pandemic.
GDPRは、新型コロナウイルス感染症のパンデミックの文脈においても適用可能な科学的研究を目的とした健康データの取扱いに関する特別なルールを規定している。
2. The national legislator of each Member State may enact specific laws pursuant
to Article (9) (2) (i) and (j) GDPR to enable the processing of health data forscientific research purposes. The processing of health data for the purpose ofscientific research must also be covered by one of the legal bases in Article 6(1) GDPR. Therefore, the conditions and the extent for such processing varies
depending on the enacted laws of the particular member state.
各加盟国の立法者は、GDPR第9条（2）（i）及び（j）に準拠して、科学的研究を目的とした健康データを取扱うことを可能にする特定の法律を制定することができる。
科学的研究を目的とした健康データの取扱いも、GDPR第6条（1）の法的根拠の一つでカバーされなければならない。したがって、そのような取扱いの条件及び範囲
は、特定の加盟国の制定法により異なる。
3. All enacted laws based on Article (9) (2) (i) and (j) GDPR must be interpreted
in the light of the principles pursuant to Article 5 GDPR and in consideration of
the jurisprudence of the ECJ. In particular, derogations and limitations inrelation to the protection of data provided in Article 9 (2) (j) and Article 89 (2)GDPR must apply only in so far as is strictly necessary.
GDPR第9条(2)条（i）及び（j）に基づき制定されたすべての法律は、GDPR第5条に準拠した原則に照らして、また、ECJの法学を考慮して解釈されなければならない。
特に、GDPR第9条（2）（j）及び第89条（2）において規定されているデータの保護に関連する例外及び制限は、厳密に必要な場合にのみ適用されなければならない。
4. Considering the processing risks in the context of the COVID-19 outbreak, highemphasise must be put on compliance with Article 5 (1) (f), Article 32 (1) and
Article 89 (1) GDPR. There must be an assessment if a DPIA pursuant to Article
35 GDPR has to be carried out.
新型コロナウイルス感染症の発生下における取扱いのリスクに鑑みれば、GDPR
第5条（1）（f）、第32条（1）及び第89条（1）の遵守に重点が置かれなければならない。
GDPR第35条に準拠したDPIAを実施すべきかどうかの評価がなされなければならない。

27

5. Storage periods (timelines) shall be set and must be proportionate. In order todefine such storage periods, criteria such as the length and the purpose of theresearch should be taken into account. National provisions may stipulate rules
concerning the storage period as well and must therefore be considered.
保存期間（適時性）が設定されなければならず、比例的でなければならない。このような保存期間を定義するため、研究の長さ及び目的などの基準が考慮されるべきである。国内規定もまた保存期間に関するルールを定めることができるため、考慮されなければならない。
6. In principle, situations as the current COVID-19 outbreak do not suspend or
restrict the possibility of data subjects to exercise their rights pursuant to Article
12 to 22 GDPR. However, Article 89 (2) GDPR allows the national legislator to
restrict (some) of the data subject’s rights as set in Chapter 3 of the GDPR.
Because of this, the restrictions of the rights of data subjects may varydepending on the enacted laws of the particular Member State.
原則として、現在の新型コロナウイルスの発生の状況は、GDPR第12条から第22条に準拠して、データ主体が自己の権利を行使する可能性を一時停止又は制限するものではない。しかしながら、GDPR第89条（2）は、GDPRの第3章で規定されているように、国の立法者にデータ主体の権利の（いくつか）を制限することを認めている。このため、データ主体の権利の制限は、特定の加盟国の制定法によって異なり得る。
7. With respect to international transfers, in the absence of an adequacy decision
pursuant to Article 45 (3) GDPR or appropriate safeguards pursuant to Article
46 GDPR, public authorities and private entities may rely upon the applicable
derogations pursuant to Article 49 GDPR. However, the derogations of Article
49 GDPR do have exceptional character only.
国際移転については、GDPR第45条（3）に準拠した十分性の認定がない場合、
又はGDPR第46条に準拠した適切な保護措置がない場合、公的機関及び民間団
体は、GDPR第49条に準拠した適用可能な例外に依存することができる。しかしながら、GDPR第49条の例外は、例外的な性質のもののみである。

For the European Data Protection Board
欧州データ保護会議
The Chair
議長(Andrea Jelinek)（アンドレア イェリネク）28