EU指令の下では、国内データ保護機関（DPO）が指令の違反について調査し判断する権限がありました。この枠組みが変わるわけではありませんが、EUデータ保護規則（GDPR）の下で４つの大きな変更があります。

①DPO（国内データ保護機関）に代わりSA（監督機関）が設置されます。
②複数の国で事業を行い、国境を越える個人データの処理を行う企業については、主たる事業所がある構成国の監督機関が「主たる監督機関」となり、”One Stop Shop”によって個人データの問題に対応します。
③EU構成国間での規則の適用について相違をなくす工夫として、統一する仕組み（consistency mechanism）が導入されました。
④第２９条作業部会がデータ保護評議会（EDPB）に生まれ変わります。

監督機関とデータ保護評議会については、ざっと確認するだけで足りると思います。欧州で事業を展開する日本企業にとって留意しておくべき点は、主たる監督機関がどこになるのか、という点です。

監督機関の役割と権限

監督機関とは

監督機関とは、データ処理に関して自然人の権利および自由を保護し、個人データのEU内の自由な流通を促進するために、EUデータ保護規則の適用を監視する独立した公的機関をいいます。
規則が次のように定めているとおりです。

Article 51 Supervisory authority
1. Each Member State shall provide for one or more independent public authorities to be responsible for monitoring the application of this Regulation, in order to protect the fundamental rights and freedoms of natural persons in relation to processing and to facilitate the free flow of personal data within the Union (‘supervisory authority’).

監督機関の設置・独立性・構成員の選任

監督機関を設置するのは、各構成国です（第５１条第１項）。ただし、すでにEU指令の下で、国内データ保護機関（DPO）が存在していますので、全く新しい機関を設置するのではなく、DPOをEUデータ保護規則に即して監督機関に変える方向で進められているようです。
監督機関は、EU内の本規則の統一的な適用に寄与しなければならず、監督機関相互でまた欧州委員会と協力しなければなりません（第５１条第１項）。
１つの構成国で監督機関を２つ以上設置することができますが、２つ以上設置する場合は、個人データ保護理事会において代表する監督機関を指定し、第６３条にいう統一する仕組みに関するルールを他の機関が遵守するような仕組みを作っておく必要があります（第５１条第１項・第３項）。

監督機関は、職務を遂行し権限を行使するにあたり完全に独立して行動します（第５２条第１項）。
監督機関の構成員は、外部の影響から自由でなければならず、誰かの指示を求めたり指示を受けたりしません（第５２条第２項）。この「外部」には、構成国政府も当然含まれます。

監督機関の構成員は、義務と矛盾する行為をしてはならず、有償であるか否かを問わず、任期中は義務と矛盾する職業に従事することが禁じられています（第５２条第３項）。

こうした独立性を担保するために、EUデータ保護規則は、構成国に次の義務を課しています（第５２条第４項・第５項・第６項）。
・必要な人的・技術的・財政的資源、施設およびインフラの提供
・監督機関によるスタッフの選任の確保
・独立性に影響を及ぼさない財政管理の下、監督機関が別個の公的年度予算を持つことの保証

規則は、構成員の選任、資格、身分保障などの一般的な条件も定めています。
監督機関の構成員は、透明性ある手続により、議会、政府、元首または構成国法に基づき任命権限を持つ独立団体により、任命されます（第５３項第１項）。任命手続の詳細は、構成国法に委ねられています（第５４条第１項(c)）。

構成員は、個人データ保護の分野で、その義務を遂行し権限を行使するために求められる資質、経験および技術を備えている人物が選ばれます（第５３項第２項）。その詳細は、構成国法によって定められます（第５４条第１項(b)）。

構成員の義務は、構成国法に従って任期満了、辞任または強制退職により終了します（第５３条第３項）。任期は構成国法によって定められますが、４年以下の任期は最初の任期を除き設定できません（第５４条第１項(d)）。再任を認めるかどうかは構成国法によって定められます（第５４条第１項(e)）。

構成員は、重大な不法行為があった場合、または義務の遂行に求められる条件を満たさなくなった場合に限り解任されます（第５３条第４項）。
構成員やスタッフの義務、禁止行為、解職等は、構成国法で詳細が定められることになっています（第５４条第１項(e)）。

構成員やスタッフは守秘義務を負っています（第５４条第２項）。

監督機関の職務

各監督機関の職務には次のようなものがあります（第５７条第１項）。

監督機関の権限

監督機関の権限は、調査権限、是正権限、認可・承認・助言権限に分かれており、規則第５８条に詳細に定められています。

【調査権限】

【是正権限】

【認可・承認・助言権限】

監督機関の活動の公開

以上のように、監督機関には広範な権限があり、個人のデータ保護に関する権利と自由の保障に大きな役割を果たすことが期待されています。同時に、その活動は透明性あるものでなければならず、活動に関する年次報告を通して一般に公開されることが予定されています（第５９条）。

複数の国にまたがる個人データ処理についての対応ー主たる監督機関の役割、他の監督機関との協力、監督機関間の相互支援・共同業務

複数の国で事業を行う企業はいきおい複数の国で個人データの処理を行い、そのデータ処理が国境を越えて複数の国にまたがることがあります。EU指令の下では、こうした企業は各構成国の監督機関の監督をそれぞれ受けていました。このため構成国法の相違も手伝って、監督機関のEU指令の解釈が異なる可能性があり、ビジネスにとっては大きな負担となっていました。

主たる監督機関とは

EUデータ保護規則はこの問題を解消しています。「主たる監督機関」（lead supervisory authority）を定めて、”One Stop Shop”とし、越境する個人データの処理の問題を原則として１つの監督機関が監督することにしたのです。
すなわち、企業が複数の事業所をEU域内に持つ場合には、「主要な事業所」（main establishment）のある構成国の監督機関が「主たる監督機関」になります。
なお、単一の事業所しか持たないものの、個人データの処理が越境する事業を行っている企業については、その単一の事業所のある構成国の監督機関が「主要な監督機関」となります。
これらは規則第５６条第１項に定められています。

Article 56 Competence of the lead supervisory authority
1. Without prejudice to Article 55, the supervisory authority of the main establishment or of the single establishment of the controller or processor shall be competent to act as lead supervisory authority for the cross-border processing carried out by that controller or processor in accordance with the procedure provided in Article 60.

6. The lead supervisory authority shall be the sole interlocutor of the controller or processor for the cross-border processing carried out by that controller or processor.

＊本サイトでは、”establishment”を「事業所」と訳していますが、「拠点」と訳す例もあるようです。

主たる事業所とは

主たる監督機関がどこになるかは、「主たる事業所」(main establishment）がどこかという問題とリンクしています。「主たる事業所」は、規則第４条第１６項に次のように定義が定められています。

(16) ‘main establishment’ means:
(a) as regards a controller with establishments in more than one Member State, the place of its central administration in the Union, unless the decisions on the purposes and means of the processing of personal data are taken in another establishment of the controller in the Union and the latter establishment has the power to have such decisions implemented, in which case the establishment having taken such decisions is to be considered to be the main establishment;
(b) as regards a processor with establishments in more than one Member State, the place of its central administration in the Union, or, if the processor has no central administration in the Union, the establishment of the processor in the Union where the main processing activities in the context of the activities of an establishment of the processor take place to the extent that the processor is subject to specific obligations under this Regulation;

すなわち、複数の構成国内に事業所を有する管理者については、「主要な事業所」は、EU域内で中心的な経営がなされている場所になります。日本語でいえば、本部ということになるでしょうか。たとえば、日本のある企業が、オランダに欧州の本部を置いていたと仮定します。この企業が、フランス、ドイツ、イタリア、スウェーデンなどに複数の事業所を持っている場合、オランダの本部が主たる事業所となり、同時にオランダの監督機関が、この日本企業の個人データの処理に関する問題を監督する「主たる監督機関」となります。

ただし、EUデータ保護規則は、あくまで個人データの処理に関わる法令ですので、主要な事業所であるか否かの判断も個人データの処理を中心になされることになっています。個人データの処理の目的および手段に関する決定が中央本部ではない別の事業所でなされ、その事業所が決定を実施する権限を持っている場合には、この決定を行う事業所が主要な事業所とみなされます。たとえば、上記の事例で、オランダに本部はあるものの、個人データの処理についてはドイツの事業所が目的・手段を決定し、その決定を実施する権限を持っていた場合、オランダの本部ではなく、ドイツの事業所が「主たる事業所」となり、ドイツの監督機関が「主たる監督機関」となります。

一方、複数の構成国内で事業所を有する処理者についてはどうでしょうか。これも、管理者と同様に、処理者がＥＵ域内で中心的に経営をしている場所が「主要な事業所」となります。
処理者がそうした場所をＥＵ域内に持っていない場合には、主な処理行為を行っているＥＵ域内の処理者の事業所が「主要な事業所」となります。

主たる監督機関が事案を処理しない場合

以上が原則ですが、例外があります。
複数の事業所を有する企業について、その個人データ処理が、ある構成国内の事業所にのみ関係するかまたはその構成国内のデータ主体にのみ著しく影響を及ぼす場合には、当該構成国の監督機関が、申し立てられた不服申立てまたは発生の可能性のある本規則の違反を処理することがあります（第５６条第２項）。
この監督機関は、主たる監督機関に通知をし、通知後３週間以内に主たる監督機関は事案を処理するか否かを決定します（第５６条第３項）。主たる監督機関が事案を処理しないことを決定した場合、通知をした監督機関が所定の手続（第６１条、第６２条）に従って事案を処理することになります（第５６条第５項）。
なお、主たる監督機関が事案を処理することを決定した場合、通知をした監督機関は事案を処理しませんが、主たる監督機関に対し決定に関する草案を送付することができ、主たる監督機関はその草案を最大限考慮することになっています（第５６条第４項）。

主たる監督機関と関係監督機関との協力

複数の国に関わる個人データの処理について、１つの監督機関だけが監督をし、不服申立てについて判断すると、他の国の監督機関とは意見を異にする判断がなされる可能性も皆無とはいえません。これを極力避けるためには、監督機関間の協力が必要になります。EUデータ保護規則は、第６０条で詳しくこの協力について定めています。
すなわち、主たる監督機関と関係監督機関は、意見を一致させるために協力し、関連する情報を相互に交換します（第６０条第１項）。必要ならば、主たる監督機関は、関係監督機関に対し相互支援を求め、共同作業を行うこともあります（第６０条第２項）。

また、主たる監督機関は決定案を関係監督機関に送付し、送付を受けた関係監督機関はこれについて意見を述べます（第６０条第３項）。そこで、関係監督機関が、主たる監督機関の決定案について適切で理由を付した異議を述べた場合、主たる監督機関がその異議に従わない場合、または主たる機関がその異議が適切でなく理由がないと考えた場合には、あとで述べる統一する仕組みに事案が付託されます（第６０条第４項）。主たる機関が異議に従うときには、決定案を改訂し、関連監督機関に送付します（第６０条第５項）。この改訂案に対しては４週間以内にさらなる異議を述べない限り、改訂案に同意したものとみなされ、その決定に拘束されることになります（第６０条第６項）。

こうして主たる監督機関と関連監督機関との間の協力により出来上がった決定を、主たる監督機関が採択し、管理者または処理者の主たる事業所または単一の事業所に通知します（第６０条第７項）。決定は不服申立てを受けた監督機関を通じて、申立人にも通知されます（第６０条第７項）。場合によっては、関係監督機関と欧州データ保護評議会に通知されます（第６０条第７項）。
不服申立てが棄却または却下される場合、例外的に不服申立てを受けた監督機関が決定を採択し、申立人に通知をします（第６０条第８項）。
一部が認容され、一部が棄却または却下される場合、認容された部分の決定を主たる監督機関が採択し、棄却または却下された部分の決定を不服申立てを受けた監督機関が採択し、それぞれ管理者または処理者および申立人に通知をします（第６０条第９項）。

主たる監督機関の決定が通知された後、管理者または処理者は、すべての事業所で決定を遵守するための措置を講じなければならず、その措置について主たる監督機関に通知しなければなりません（第６０条第１０条）。主たる監督機関は、それを関係監督機関に通知します（第６０条第１０条）。

監督機関間の相互支援・共同業務

監督機関は、本規則を統一した方法で実施し適用するために、相互に関連情報を提供し、相互に支援しなければならず、効果的な協力をするための措置を相互に整備しなければならないとされています（第６１条第１項）。支援の要請をする場合、目的と理由を含む全情報を要請を求める監督機関に伝えます（第６１条第３項）。要請された場合、監督機関は、管轄権がないか規則、EU法または構成国法に違反する場合でなければ、要請を拒絶することはできず、１か月以内にそれに応じた措置を講じる必要があります（第６１条第４項、第２項）。

管理者または処理者が、複数の構成国に事業所を有する場合、または複数の構成国で相当の数のデータ主体が処理操作によって著しく影響を受けるおそれがある場合、各構成国の監督機関は、共同で調査や執行措置を行う共同業務に参加する権利があります（第６２条第１項、第２項）。

統一する仕組み

以上のとおり、主たる監督機関、監督機関間の協力、相互支援、共同業務といった制度によって、EUデータ保護規則の適用が統一されるような工夫がなされています。
さらに、規則は欧州データ保護評議会を通じて、規則の適用を統一する仕組み（consistency mechanism）を設けました（第６３条以下）。

＊本サイトでは、”consistency mechanism”を統一する仕組みと訳していますが、文献によっては「一貫性メカニズム」と訳しているものもあります。

欧州データ保護評議会の意見

欧州データ保護評議会についてはあとで説明しますが、EUデータ保護規則の統一的な適用のために、欧州データ保護評議会が果たす役割は大きなものがあります。
その一つが、以下の事項について、監督機関から送付を受けた決定案について意見を述べる役割です（第６４条第１項）。

• 監督機関が、データ保護影響評価の要件を満たす必要のある処理操作の一覧を採択する場合
• 監督機関が、行動規範案、行動規範案の修正・拡張を行う場合
• 監督機関が、認証機関の認定基準を承認する場合または認証機関の承認をする場合
• 監督機関が標準データ保護条項を決定する場合
• 監督機関がEU域外の第三国に個人データを移転する場合の契約条項を承認する場合
• 監督機関が拘束的企業準則を承認する場合

監督機関は、欧州データ保護評議会の意見を受領するまでは、決定を採択してはなりません（第６４条第６項）。
欧州データ保護評議会は、監督機関から通知を受けてから８週間以内に意見を採択する必要があります（事案によってはさらに６週間まで延長可能、第６４条第３項）。
意見は監督機関に通知され、公表されます（第６４条第５項）。
監督機関は、欧州データ保護評議会の意見を最大限考慮する義務があり、意見を受領してから２週間以内に、決定案を維持するか、それとも修正するかを欧州データ保護評議会の議長に通知します（第６４条第７項）。監督機関が、欧州データ保護評議会の意見の全部または一部に従うつもりがないことを、関連する理由を示して欧州データ保護評議会の議長に通知した場合には、拘束的決定の採択の対象となります（第６４条第８項。後述します）。

上記の事項に限らず、監督機関、欧州データ保護評議会の議長、欧州委員会は、規則の一般的な適用に関する問題や複数の構成国に影響を及ぼす問題について、欧州データ保護評議会が審査することを要請することができます（第６４条第２項）。管轄を有する監督機関が第６１条に基づく相互支援または第６２条に基づく共同業務の義務を遵守していない場合もこれに含まれます。
欧州データ保護評議会は、８週間以内（事案によっては６週間まで延長可）に意見を採択する必要があります（第６４条第３項）。意見は、監督機関または欧州委員会に通知され、公表されます（第６４条第５項）。

欧州データ保護評議会による紛争解決

これまで見てきたとおり、監督機関間、欧州データ保護評議会と監督機関間で意見の一致をみるように、綿密な手続規定が設けられています。しかし、監督機関がそもそも意見を聞かなかったり、意見を受け取っても意見を一致させられない場合には、誰かが最終的な判断をせざるを得ません。また、監督機関の管轄自体に争いがあるなど一定の場合にも判断者が必要です。こうした場合に、欧州データ保護評議会が判断をします。

具体的には、欧州データ評議会は、以下の場合に、規則の正確かつ統一的な適用を確保するために、拘束力のある決定を下します（第６５条第１項）。

• 関係監督機関が主たる監督機関の決定案に対し適切で理由を付した異議を申し立てた場合
• 関係監督機関の上記の異議を、主たる監督機関が適切でなく理由が付されていないと拒絶した場合
• いずれの関係監督機関が主たる事業所に対する管轄権を有するかについて見解が対立している場合
• 監督機関が欧州データ保護評議会の意見を求める義務があるにもかかわらず、意見の要請をしなかった場合
• 監督機関が欧州データ保護評議会の意見に従わない場合

欧州データ保護評議会は、これらの事項を付託された後１か月以内（事案によってはさらに１か月まで延長可）に、拘束力ある決定を採択し、関係監督機関に通知しなければなりません（第６５条第２項、第５項）。監督機関は、これを受けて１か月以内に、最終決定を採択します（第６５条第６項）。

緊急手続

特別な場合に、データ主体の権利および自由を保護するために、監督機関が緊急に行動する必要がある場合、監督機関が暫定的な措置を講じることがあります（第６６条第１項）。その際、監督機関は、最終的な措置が緊急に必要であると考えた場合、欧州データ保護評議会に、緊急時の意見または緊急時の拘束力ある決定を要請することができます（第６６条第２項）。
また、管轄のある監督機関が適切な措置を講じていない場合に、他の監督機関が、データ主体の権利および自由を保護する目的で、欧州データ保護評議会に、緊急時の意見または緊急時の拘束力ある決定を要請することもできます（第６６条第３項）。
こうした緊急時には、欧州データ保護評議会は、２週間以内に緊急時の意見または緊急時の拘束力ある決定を採択しなければなりません（第６６条第４項）。

 欧州データ保護評議会の役割と権限

欧州データ保護評議会とは

欧州データ保護評議会の役割の一部を紹介しました。さて、そもそも欧州データ保護評議会とは何でしょうか。
The European Data Protection Board（欧州データ保護評議会）は、EUデータ保護規則によって設置された機関で、法人格を有しています（第６８条第１項）。
その構成員は、構成国の監督機関の長、欧州データ保護監督官またはその代理人です（第６８条第３項）。１つの構成国の中で複数の監督機関が存在する場合には、当該構成国法によって共同代表者が任命されます（第６８条第４項）。
欧州委員会は、欧州データ保護評議会の活動や会議に参加する権利がありますが、投票権はありません（第６８条第５項）。
データ保護会議は、議長が代表します（第６８条第２項）。

EU指令の下で法人格はありませんが、第２９条作業部会（The Article 29 Working Party）が、諮問機関としてEUの個人データ保護に関する問題を取り扱っています。
一方、欧州データ保護評議会は、法人格があり、下記にみるとおり、権限も強化されています。もっともゼロから組織を作るわけではありません。現在、第２９条作業部会が欧州データ保護評議会に衣替えをするための準備がなされています。

＊本サイトでは、”The European Data Protection Board”を、「欧州データ保護評議会」と訳しています。当初、欧州データ保護理事会と訳したのですが、EUの理事会と混同しかねないので修正しました。併せて他のページの記載も修正しています。
文献によって、「欧州データ保護会議」、「欧州データ保護局」、「欧州データ保護役員会」など訳し方は様々なようです。

欧州データ保護評議会の独立性

欧州データ保護評議会は、職務の遂行および権限の行使について独立して行動しなければならず、誰かに指示をあおいだり、指示を受けたりしてはならないと定められています（第６９条）。

欧州データ保護評議会の職務

おおざっぱに言ってしまえば、EUのデータ保護の司令塔といったところでしょうか。欧州委員会に立法を含め個人データ保護の問題を助言をしたり、規則の適用に資するために、ガイドライン、提言、事例などの公表をしたり、行動規範の策定やプライバシー・シール・マークの確立を奨励したり、認証の仕組みを具体化したり、EU内で監督機関の判断に齟齬が出ないようにするなどです。

まとめ

長々書いてしまいましたが、要するに、EU指令では構成国によって異なる解釈や執行がなされる可能性がありましたが、EUデータ保護規則では、そうした齟齬を極力なくす工夫が随所に表れているということです。

その一つが「主たる監督機関」です。EU内で事業を行う日本企業にとっては、これに関する知識を押えておけば十分と思われます。

２０１６年１１月９日更新：欧州データ保護評議会の説明部分に、第２９条作業部会の記載を追加しました。

この 作品 は クリエイティブ・コモンズ 表示 – 非営利 – 改変禁止 4.0 国際 ライセンスの下に提供されています。