投稿者「todkm.admin」のアーカイブ

日本のGDPR十分性認定、個人情報保護委員会が誤解を招く発表

2018/12/26になって日本の個人情報保護委員会が欧州議会（EP）によりGDPRに関する日本の十分性認定が可決されなかった旨、発表があった。

欧州議会の十分性認定否決の決議がなされた2018/12/12からすでに2週間たっており、個人情報保護委員会の情報公開は遅すぎると言わざるを得ない。

日欧の個人データ移転に係る相互認証の時期について

しかしこの発表は欧州側の発表と完全に食い違っている。

まず、最終決定が1月中にずれ込んだ原因は、EDPB（欧州データ保護会議）の事務的な手続きのためではなく、EDPBが採択した日本の十分性認定に関する意見書を、欧州議会（EP）が採択しなかったことだ。

また、この個人情報保護委員会の発表の3点目には「なお、十分性認定については、12 月 11 日に行われた欧州議会（EP）本会議においても、議員から賛成の意見が示されています」とある。

しかし、欧州議会（EP）はEDPBの意見書を採決しなかったことが1月へずれこむ原因であり、本当に欧州議会（EP）の「議員から賛成の意見が示され」たのであれば延期されなかったはずである。

詳細についてはこのブログの直前の記事に欧州議会（EP）の決議を要約してあるので、そちらをご覧いただきたい。

事実関係についてあえて日本政府に有利に読めるように表現するのは典型的な「霞が関文書」だが、GDPRの影響をうける日本企業に対して誤ったメッセージを発することになる。

日本のGDPR十分性、欧州データ保護会議の意見を受けた欧州議会の厳しい決議

恥ずかしながら下記の方のツイートで気づいたのだが、欧州データ保護会議（EDPB）の意見に対して、2018/12/12にすでに欧州議会（European Parliament）で決議がなされていたようだ。その内容がかなり厳しかったので、確認しておく。

日本の十分性認定については、EDPBの意見書をうけて欧州議会（European Parliament）で2018/12/11に、日欧間のEPA、経済的パートナーシップ合意、戦略的パートナシップ合意の決議とともに議論された。

こちらが2018/12/11の議事。

議事のうちEPAについては、こちらにあるように2018/12/12に採択されている。

日本のGDPR十分性認定については、こちらの文書が採択されている。

この文書の結論として、日本のデータ保護の法的枠組みが、欧州のデータ保護の法的枠組みと本質的に同等な十分な保護レベルにあることを示すために、2018/12/05に欧州データ保護会議（EDPB）が指摘した点も含めて、欧州委員会（EC）にさらなるエビデンスと説明を要求している。

要するに、日本のGDPR十分性認定の手続きは、EPAとは別のテーマとして、まだ欧州委員会、欧州議会の間でまだ続くということだ。

エビデンスと説明が不十分だと言っているだけなので、却下されることはないと思われるが、この採択文書の第24項では、こちらの「THE UNTOLD STORY OF JAPAN’S SECRET SPY AGENCY」（The Intercept 2018/05/19）という記事が触れている、NHKの報道、『日本の諜報 スクープ 最高機密ファイル』（NHKスペシャル 2018/05/19初回放送）に対する懸念が含まれていたりする。

日本のGDPR十分性認定の草案に、無差別な大規模監視のことが言及さえされておらず、この大規模監視が欧州司法裁判所の過去の判例の基準を満たさないことについて「seriously worried」非常に懸念していると書かれている。

その他、この採択文書は相当数の論点にふれており、どうやら日本の十分性認定が採択されるまでの道のりは長そうだ。

欧州議会による日本のGDPR十分性認定草案に対するEDPB（欧州データ保護会議）意見書

2018/12/05にEDPB（欧州データ保護会議）がGDPRに関するEC（欧州議会）の日本の十分性認定についての意見書を公開した。41ページにわたる詳細な意見書で、すべて紹介するのは難しいので「EXECUTIVE SUMMARY」の部分だけ要約してみたい。

まず確認しておくべきはEDPBがどれだけECの十分性認定草案に意見をつけても、認定取消になることはないという点だ。改善すべき点が少なくないという意見書であり、十分性認定に反対するという意見書ではない。

では「EXECUTIVE SUMMARY」だけでも全242項目のうち30項目あるが、一つずつ見ていく。

1. 欧州議会が2018/09/05の十分性認定実施の正式な手続きを開始した。

2. 欧州議会が2018/09/25にEDPBに意見を求め、関連資料をEDPBに提出した。

3. 欧州議会がEDPBとの議論の結果、十分性認定草案を2回書き直し、2018/11/13最終版をEDPBに送付、この最終草案に対する意見書である。

4. EDPBが欧州議会の十分性認定の保護レベルにつき分析、検討を行った。
5. EDPBは十分性認定草案の商業的側面、行政的側面の両方を調査、日本の法的枠組みでの個人データ保護の有効性を評価した。

6. EDPBは2018/02の旧第29条作業部会（W29）の十分性認定に関する参照資料を主に参照した。

7. EDPBは日本の法的枠組みが欧州データ保護法制をコピーすることを期待していない。

8. しかし、個人データの正確性、収集データの最少化、保存期間の制限、データのセキュリティ、利用目的の制限、独立した監督機関である個人情報保護委員会など、主要な点でGDPRの原理原則との一致を求める。

9. 加えて、EDPBは日本が追加の補完的ルールによりギャップを埋めている努力を歓迎する。

10. EDPBは欧州議会がEDPBの懸念に応えて十分性認定の決定を強化している努力を歓迎する。

ここまでは事実の確認。いよいよここからがEDPBの意見になる。

全般的な課題

11. しかしながら、EDPBは日本の法体系において以下の重要な領域を強化し、注意深くモニタリングするよう提案する。
12. 第一の課題：既存の法的枠組みに対する「補完的ルール」という、十分性の新たな建付けで、具体的で有効な法執行の問題を生じないことを保証する必要がある。（要は、個人情報保護法そのものを改正するのでなく「補完的ルール」という対応で大丈夫か？ということ）
13. 第二の課題：EDPBは「補完的ルール」の法的強制力について欧州議会と日本は継続してモニタリングするよう繰り返し求めている。

商業利用に特化した課題

14. 十分性合意の商業的側面でEDPBは特定の懸念を持っており、説明を求めたい。

15. EDPBは「補完的ルール」が、APEC越境プライバシールールシステムによるEU個人データの第三国へのさらなる移転を除外していることを歓迎する。

16. 日本の法制度では、第三国への個人情報移転の法的基礎の一つは、日本の保護レベルを十分満たしていることとしているが、第三国の保護レベル評価の際に「補完的ルール」が含まれていないように見える。したがって日本に移転されたEU個人データが、さらに第三国へ移転される場合は、GDPRのデータ保護枠組みと同等とみなすことはできない。

17. 日本からさらに第三国へ移転される場合、EUの個人データ保護レベルが保証されるかどうかのモニタリングは欧州議会が代わって行うべきである。

18. さらに、同意と義務の透明性に懸念がある。日本の法制度でのデータ主体の同意は、同意取り下げの権利を含んでいない。また、データ主体に事前に情報提供がなされるか疑念がある。

19. 日本の補償システムはEUのデータ主体にとって容易にアクセスできるものではない。ヘルプラインは日本語しかない。個人情報法語委員会のウェブサイトの仲裁サービスの情報も英語版がない。FAQなど重要な情報も日本語しかない。EU域内のデータ主体には少なくとも英語のオンラインサービスがあるべき。

20. EDPBは十分性認定の草案のいくつかの点につきさらなる説明による確証を歓迎する。

21. 例えば、GDPRではデータ処理者の一つとみなされる「委託先（trustee）」が個人データ処理の目的や手段を決定、変更できるのか、あいまいである。

22. 民主主義社会においてデータ主体の権利（アクセス権、修正権、拒否権）の制限の必要性と、基本的人権の本質を尊重しているのかどうかに関する文書が不足している。

23. EUに移転された欧州個人データは、日本の法制度では3年間の記録義務を課しているが、「ライフサイクル」全体を通して有効な保護を受けられるのか、欧州議会が注意深くモニタリングするよう期待している。

行政機関によるEU個人データへのアクセスについての課題

24. 法執行や国家安全保障に関するEU個人データの取扱いについて、EDPBは追加説明を求める。

25. 法執行の分野では、EUのルールと同等のように見えるが、いくつかの法律や判例の翻訳が存在しないため、EU法と「本質的に等価」かどうか結論付けられない。

26. 国家安全保障の分野では、日本政府は自由にアクセス可能な情報源、または企業による自発的な情報開示を通じてのみ個人情報を入手するとしているが、EDPBは専門家やメディアがそれに対して懸念を示していることを知っている。行政機関による監督方法についてさらなる説明を歓迎する。

27. データ主体に対する補償方法について日本政府が追加したメカニズムを歓迎するが、新たなメカニズムが日本法における監督や補償の不足を完全に補っていない点を懸念している。新たなメカニズムがその不足を完全に補うよう、さらなる説明を歓迎する。

28. EDPBは今回の十分性認定がGDPR施行後初であり、今後の前例となる点を重視している。EU日本間の十分性認定による保護に何ら不足が無いよう、欧州議会は確保する必要がある。

29. 「補完的ルール」によってなされた改善は重要である。

30. しかしながら、欧州議会の十分性認定と日本の個人データ保護の枠組みについて、EDPBは少なくない懸念を持っており、さらなる説明が必要である。既存の国内法の枠組みに、限定的な規則を追加するという方式にも、法運用上の疑問がある。EDPBは欧州議会にこれら懸念に対するさらなる説明とエビデンスを要求する。また欧州議会が現行の十分性認定の草案にある4年に1回ではなく、2年に1回のレビューを実施するよう求める。

以上が「EXECUTIVE SUMMARY」の部分の要約である。

要するにEDPB（欧州データ保護会議）は以下のような点についてさらなる説明と対応を求めている。

・既存の法制度に対する「補完的ルール」という建付けで、本当に法的な実効性を担保できるのか？
・行政による法執行や国家安全保障に関して、本当に個人の基本的人権をベースにした個人データ保護は担保されるのか？
・少なくとも英語で、必要情報の入手や手続きができるようにすべき。

個人的には、2019/02に日欧EPAが発効する可能性が高いとされているので、同じタイミングで2年に1回のレビューという条件付きでEDPBも十分性認定草案の正式に採択するのではないかと思う。

GDPRの日本の十分性認定、欧州データ保護会議（EDPB）が欧州委員会（EU）に追加改善要請

2018/12/05にEDPB（欧州データ保護会議）が欧州議会から諮問をうけていた日本の十分性認定決定の草案についての意見を採択した。

‘European Data Protection Board – Fifth Plenary session: EU-Japan draft adequacy decision, DPIA lists (DK, HR, LU, and SI), and guidelines on accreditation’ (European Data Protection Board 2018/12/05)

全体が婉曲な表現で一回読んだだけでは理解しづらいが、「相当数の懸念が残っている（a number of concerns remain）」ためすんなり承認とはならなかったようだ。

以下、日本語試訳する。

EDPBメンバーはEDPBが2018年9月に欧州委員会から受領していた、EU～日本の十分性決定草案についての意見を採択した。EDPBは欧州委員会から入手した文書をもとに評価をおこなった。

EDPBの重要な目的は、日本の枠組みにおける個人データ保護の十分性のレベルについて、欧州委員会が十分な保証があることを確認しているかを評価することだ。

EDPBは欧州委員会と日本の個人情報保護委員会が、日本と欧州の法的枠組みを収れんさせるべく行った努力を歓迎する。２つの枠組みの間のいくつかの差異を橋渡しするために、「補完的ルール」を定めることで改善された点については、非常に重要であり、受け入れることができる。

しかしながら、欧州委員会の十分性草案と日本の個人情報保護枠組みについて、その後注意深く分析し、相当数の懸念が残っていることに気づいた。EUから日本に移転された個人情報の保護のライフサイクル全体などである。

EDPBは欧州委員会に対して、EDPBの求める明確な説明に対応するとともに、提起された問題点についてより踏み込んだ証拠と説明を提出するよう、また、実効性をもって実施されるかを注意深く監視するように勧めた。

EDPBはEU～日本の十分性決定が最高度の重要性をもつと考えている。GDPR実施後の最初の十分性決定として、これが前例になるためだ。

最初の1文「The Board Members adopted an opinion on the EU-Japan draft adequacy decision」が紛らわしいが、十分性決定（十分性認定）の草稿を採択した、のではなく、草稿に関する意見を採択しただけだ。

EDPB（欧州データ保護会議）が欧州委員会に対して正式な意見を提出しただけのことで、十分性決定の草稿そのものを採択したわけではない。

EDPBは、「相当数の懸念（a number of concerns）」があるとし、それについて欧州委員会に「より踏み込んだ証拠（further evidence）」や説明を求めている。とくに指摘事項になっているのは、EUから日本に移転された個人データのライフサイクル全体（throught their whole life cycle）での保護である。

EDPBは十分性認定の草稿を却下したわけではないが、日本側に追加対応を求めていることになる。

欧州データ保護会議のGDPR「地理的範囲」パブコメ用ガイドライン要約（３）

2018/11/23欧州データ保護会議がGDPR第3条「地理的範囲」についてガイドラインを公開した。

Guidelines 3/2018 on the territorial scope of the GDPR (Article 3) – version for public consultation (2018/11/23 欧州データ保護会議EDPB)

23ページあるガイドラインから要点をピックアップしてご紹介しているが、地理的範囲のガイドラインに加えて「4.EU域内にないデータ管理者または処理者の代表者」のガイドラインも示されている。

EU域内に事業所のない企業・組織であっても第3条(2)で地理的範囲内と見なされ、GDPRの適用を受ける場合、EU域内に代表者を置く必要があるためだ。

このガイドラインについても一応要点だけ拾ってみる。

4.EU域内にないデータ管理者または処理者の代表者

このガイドラインは以下の4点が議論になっている。

a) 代表者の任命
b) 代表者の任命が免除される場合
c) 処理される個人データのデータ主体が存在するEU加盟国の事業所について
d) 代表者の義務と責任

4.a)代表者の任命

ここには代表者が満たすべき条件について書かれている。まず例示から。

例19 : 例12にあるウェブサイトは、トルコに拠点があり、家族写真のアルバムの制作、編集、印刷、発送を行っている。このウェブサイトは英語、フランス語、オランダ語、ドイツ語があり、ユーロまたはポンドで支払いができる。またこのウェブサイトは、英国、フランス、ベネルックス、ドイツにのみアルバムを郵送すると記載している。GDPR第3条(2)(a)により、このウェブサイトはGDPR適用対象となり、データ管理者はEU域内に代表者を任命しなければならない。

代表者はサービスを利用できるEU加盟国で任命しなければならない。このケースでは英国、フランス、ベルギー、オランダ、ルクセンブルク、ドイツのいずれかとなる。アルバム制作のサービスを開始すると同時に、データ主体が、データ管理者の名称と詳細な連絡先をオンラインで閲覧できるようにする必要がある。ウェブサイトには全般的なプライバシーノーティスも掲載する必要がある。

この例示は代表者をどの国に設置する必要があるかしか書かれていないが、代表者が満たすべき条件は他にも書かれている。

まず代表者は自然人（個人）でも法人でも良く、一人の代表者がEU域外の複数のデータ管理者、処理者を代表しても良い。その場合でも特定の人物が各データ管理者、処理者の主担当になるようにするのが望ましいが、必須ではない。

欧州データ保護会議は、代表者は社外DPO（Data Protection Officer）同等の役割を果たすべきと考えてはいない。DPOはデータ管理者から独立しており、その影響を受けないことが必要だが、代表者は逆にデータ管理者または処理者の指示にしたがって、その代表として行動するからだ。

代表者の任命についてはEU加盟国の監督機関への通知義務は一切ないが、データ主体には代表者についての情報を提供する必要があり、監督機関も容易に知りうる状態にしておく必要もある。

4.b) 代表者の任命が免除される場合

この点についてガイドラインは単にGDPR第27条(2)を読むように、と言っているだけなので省略する。

4.c) 処理される個人データのデータ主体が存在するEU加盟国の事業所について

これについてもまず例示から見てみる。

例20 : EU域内に事業所がないがGDPR第3条(2)の適用対象となるインドの製薬会社が、ベルギー、ルクセンブルク、オランダの病院が行う治験の支援をしている。

このインドの製薬会社はデータ管理者としてEU域内のこれら3つの国のいずれかに代表者を任命しなければならないが、ベルギーの患者がいちばん多いので、ベルギーに代表者を任命するのが望ましい。ベルギーに任命した代表者は、オランダとルクセンブルクのデータ主体や監督機関が容易に連絡できるようにする必要がある。

つまり、代表者を任命するのは、EU加盟国のうちデータ処理の対象となるデータ主体がいる国でなければいけない。また、データ処理の対象となるデータ主体の相当数がいる加盟国であることが望ましいが、こちらは必須ではない。

4.d) 代表者の義務と責任

この最後の論点は例示がない。

代表者はデータ主体の権利の保護義務の責任そのものを負うのではなく、データ主体とデータ管理者・処理者の間のコミュニケーションをファシリテートする必要がある（だけである）。

あとはGDPR第27条(5)、第30条、Recital(80)が参照されているだけだが、要するに代表者は、EU域外にあるデータ管理者・処理者と、EU域内のデータ主体や監督機関の間で、言語の問題も含めて円滑なやり取りができるようにする役割を果たす必要があると書かれている。

代表者は任命されたEU加盟国の言語でコミュニケーションできる必要があり、データ管理者・処理者に対してGDPR上義務付けられていることに関して、データ主体や監督機関にスムーズに情報提供できる必要があるということだ。

当然だが、代表者が任命されていないからといって、データ管理者・処理者がGDPRに基づく訴訟などの法的措置から逃れられるわけではない。また、制裁金や処罰はデータ管理者・処理者に対してと同様、代表者に課せられる場合もある。

以上が「4.EU域内にないデータ管理者または処理者の代表者」についてのガイドラインだ。

これで23ページにわたるGDPRの地理的範囲についてのガイドラインの要約は終わり。

ここからは、純粋に個人的な感想を書いてみる。

ガイドライン自体に解釈の余地があるのはいつものことだし、そもそもガイドラインは適用逃れを防ぐためで、適用逃れの口実を与えるためではない。

それでも意外なのは「2.対象（targeting）に関する適用基準：第3条(2)」のb)にある「商品またはサービスの提供」の解釈に関する部分だ。

例えば原文のp.15～16に列挙されている「商品またはサービスの提供」に該当する事例は、筆者の個人的な解釈より狭く、GDPR第3条の適用対象はかなり限定されるように感じた。

例えば、商品もサービスも提供しておらず、単に日本語でブログを書いている個人が（GDPRは法人だけでなく自然人（個人）にも適用される）、Google AdSenseやAmazonの広告を埋め込んでいるだけで「GDPRのEU域外適用になる！！プライバシーノーティスを公開しなきゃ！！」と大慌てしているのは完全にナンセンスということになる。

逆に、実はナンセンスではなく、各種ネット広告を埋め込んでいるだけで、その広告を見る可能性のあるデータ主体の個人データを管理するデータ管理者と見なされるのであれば、「商品またはサービスの提供」という条件の方がほぼナンセンスになってしまう。

配信される広告が地域別に自動的に切り替わり、フランスから開けばフランス語の広告が表示され、ドイツから開けばドイツ語の広告が表示されるGoogleやAmazonなどのネット広告を埋め込んで「いない」個人ブログはほとんどいないだろう。

無償ブログサービスを使うと、ほとんどの場合、本人が望むと望まざるとにかかわらずブログサービス業者に強制的に広告を挿入される。

常識的に考えると「個人ブロガーがGDPR域外適用で大騒ぎするのは完全にナンセンス」の方が正解だろう。

もう一つ驚いたのは例13だ。

モナコに本社がある民間企業で、大部分の被雇用者がフランス、イタリアの居住者であっても、それらのデータ処理が人事管理であれば「商品またはサービスの提供」にあたらないので「GDPR第3条の適用対象ではない」と書いてある。

EU域内のデータ主体（自然人）に商品やサービスの提供をする事業が全く存在せず、EUの現地拠点に現地居住者の被雇用者がいる企業はかなりあるだろう。

（なお、EUのいわゆるePrivacy法の保護対象には自然人（個人）だけでなく法人も含まれるが、GDPRの保護対象は自然人（個人）だけである）

つまり、EU域内の個人ではなく、法人に商品やサービスの提供を行うために現地で従業員を雇用している企業で、現地従業員の人事管理のためのデータぐらいしか個人データがない場合は、GDPRの域外適用にならないということだ。

リテールをやっていないすべての金融機関、自ら小売りをやっていないすべての製造業、企業向けサービスのみを提供しているすべてのIT企業やコンサル会社、小売りをやっていないすべての商社などが、EU域内の事業所に人事管理用の個人データしかない場合は、GDPRの適用対象外になると読める。

仮にこの読解が正しいとすると、GDPRの域外適用除外になる日本企業は実はかなりあるのではないか。

では、個人ブログの事例や、EU域内で法人向け事業しか行っていない域外企業の人事管理の事例が、本当にGDPR域外適用の対象ではないのかは誰に確認すればいいのだろう。

このガイドラインを読むだけで、大部分の読者がこの2つの事例について「適用対象外だ」と明確な結論が出せなければ、このガイドラインに存在意義はない。

ガイドラインが役にたたなければ、GDPR違反と認定されたとき連帯責任を負うリスクを取ってくれる法律事務所やコンサルに、多額の費用を払ってGDPRの解釈を丸投げし、制裁金が課されないよう天に祈り続けるしかないことになる。

このガイドラインはじっくり読んだところで大して意味がないと分かっただけでも、このガイドラインをじっくり読む意味があったわけだ。

このガイドラインは、読んでも意味がないということを確認するためにこそ、読む意味がある。

皮肉なことだ。