これまで、EUデータ保護規則（GDPR)の保障するデータ主体の権利について８回に分けて見てきましたが、データ主体の権利は、管理者の側からみればその権利に関する義務が発生している関係になります。また、様々な事項について、管理者が情報を通知する義務を負っていることは、別の記事”EUデータ保護規則（GDPR）ー管理者の義務：情報の通知（Information Notices）”で確認したとおりです。
本記事は、これらの義務を除くその他の管理者の義務と責任について概観します。
個人データの処理に関する原則を定めたEUデータ保護規則第５条は、第２項で管理者の責任を規定しています。 続きを読む →
本記事がデータ主体の権利については最後の記事となります。データ主体の権利の範囲の制限についてです。
データ主体の権利の範囲は、EU法または構成国法によって制限することができます。EUデータ保護規則第２３条第１項は、次のように定めています。
データ管理者または処理者が従うEU法または構成国法は、法制上の措置により、第５条のみならず第１２条ないし第２０条及び第３４条に定められた義務および権利の範囲を制限することができる。ただし、その諸規定が第１２条ないし第２０条に定められた義務および権利に合致し、当該制限が基本的権利および自由の本質を尊重し、民主主義社会において、以下の事項を保護するために必要かつ比例的な措置である場合に限られる。
本記事では、EUデータ保護規則（GDPR）のデータ主体の権利のうち、プロファイリングを含む自動処理による個人に関する決定の対象とならない権利について簡単にまとめてみました。
自動処理による個人に関する決定の対象とならない権利は、EUデータ保護規則第２２条に次のように定められています。
Article 22
Automated individual decision-making, including profiling
1. The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her.
データ主体は、同人に法的効果を生じさせるかまたは同様の重要な影響を及ぼす、プロファイリングを含む自動処理にのみ基づく決定の対象とならない権利を有しています。
プロファイリングは、EUデータ保護規則上に定義規定があり、「自然人について個人のある側面を評価するために、特に自然人の仕事の実績、経済状況、健康、個人の嗜好、関心、信頼、行動、所在または移動に関する側面を分析または予測するために、個人データの利用から成る個人データのあらゆる形態の自働処理」をいいます（第４条第４号）。
この記事では、EUデータ保護規則（GDPR）のデータ主体の権利のうち、処理に対して異議を述べる権利について見ていきます。
この権利は、EU指令にもありました（第１４条）が、具体的な規定は構成国法に任せられていました。また、構成国法に別段の定めがある場合には異議を述べる権利は認められないというような条文体裁になっていました。
EUデータ保護規則は、直接構成国に適用されるため、統一的な取り扱いがなされることになります。また、EU指令よりも詳細な規定になっています。
大きな変更があるわけではありません。ただし、EUデータ保護規則の方が、データ主体から見て権利行使が容易になっていると思われる変更があったり、EU指令にはなかった規定もあります。すでに処理に対して異議を述べる権利に対応している企業であっても、条文の確認はしておく必要があります。
今回は、EUデータ保護規則（GDPR）のデータ主体の権利のうち、規則で新しく保障された「データ携行の権利」を取り上げます。英文では、Right to data portabilityと書かれており、データ・ポータビリティの権利と訳している文献が大半のようです。アメリカの医療保険に関するプライバシー・ルールであるHIPPA（Health Insurance Portability and Accountability Act of 1996）の和訳では、Portabilityは携行性と訳されています。できる限り日本語に移し替えるならば、携行という用語になるでしょう。
データ携行の権利は、データ主体の自己に関する個人データのコントロールをより強化するために設けられました（前文６８）。
EUデータ保護規則は、第２０条で次のように定めています。
Article 20 Right to data portability
1. The data subject shall have the right to receive the personal data concerning him or her, which he or she has provided to a controller, in a structured, commonly used and machine-readable format and have the right to transmit those data to another controller without hindrance from the controller to which the personal data have been provided, where:
(a) the processing is based on consent pursuant to point (a) of Article 6(1) or point (a) of Article 9(2) or on a contract pursuant to point (b) of Article 6(1); and
(b) the processing is carried out by automated means.
2. In exercising his or her right to data portability pursuant to paragraph 1, the data subject shall have the right to have the personal data transmitted directly from one controller to another, where technically feasible.、
EUデータ保護規則（GDPR）は、２０１８年５月２５日に施行となるので、それまではEUデータ保護指令が適用されます。あちらこちらのサイトを見て、二つ法令を確認するのは大変なので、EUデータ保護規則などの法制枠組みとEUデータ保護指令などの現在の法制枠組みとに大まかに分けて、サイト情報をまとめてみました。
日本語でも法律用語を読むのは大変、まして英語で読むのはくたびれるという方に、参考になる日本語訳が掲載されているサイトも紹介します。
すべての法令を網羅しているわけではないので、逐次、整理して更新する予定です。
１－１．EUデータ保護規則（GDPR）条文
正確な理解のためには、EUの公式サイトの法令ページで原文を確認するのが一番です。規則の発効は２０１６年５月２４日で、施行は２０１８年５月２５日です。規則という法形式を採っているので、施行とともにEUの各構成国に直接適用されます。
上のリンクは、EUの構成国全部の言語で条文が掲載されているページです。英語だけでよいという方は以下のリンクでご確認ください。
英語のHTMLはこちら
英語のPDFはこちら
今回は、EUデータ保護規則（GDPR）のデータ主体の権利のうち、処理を制限する権利（第１８条）について見ていきます。
EUデータ保護規則は、第１８条で次のように定めています。欧州委員会のサイトに規則の英文が全文が掲載されています。
Article 18 Right to restriction of processing
1. The data subject shall have the right to obtain from the controller restriction of processing where one of the following applies:
(a) the accuracy of the personal data is contested by the data subject, for a period enabling the controller to verify the accuracy of the personal data;
(b) the processing is unlawful and the data subject opposes the erasure of the personal data and requests the restriction of their use instead;
(c) the controller no longer needs the personal data for the purposes of the processing, but they are required by the data subject for the establishment, exercise or defence of legal claims;
(d) the data subject has objected to processing pursuant to Article 21(1) pending the verification whether the legitimate grounds of the controller override those of the data subject.
今回は、EUデータ保護規則（GDPR）のデータ主体の権利のうち、訂正権について確認します。
EU指令の下でも、データ主体のアクセス権の規定の中で、個人データの訂正権が定められていました（第１２条(b)(c)）。EUデータ保護規則は、第１６条で独立させて訂正権を規定しています。
訂正権は、修正権とも訳されているようですが、このサイトでは、わかりやすさの観点から、訂正という用語を使用しています。
条文は次のようになっています。EUデータ保護規則の英文は次のようになっています。全文は欧州委員会のサイトに掲載されています。
Article 16 Right to rectification
The data subject shall have the right to obtain from the controller without undue delay the rectification of inaccurate personal data concerning him or her. Taking into account the purposes of the processing, the data subject shall have the right to have incomplete personal data completed, including by means of providing a supplementary statement.
つまり、データ主体は、自身に関する個人データが不正確な場合には、それを訂正することを管理者に請求する権利を有しています。処理目的を考慮に入れて、データ主体は、補足的な説明の提供などにより、不完全な個人データを完全なものにする権利を有しています。
続きを読む →
今回の記事では、EUデータ保護規則（GDPR）の下で保障されるデータ主体の権利のうち、データ主体によるアクセス権（第１５条）を見ていきます。
EU指令でも同様の規定がありました（§１２）。EUデータ保護規則では、データ主体が取得することのできる情報が増え、規定が整理されています。
まず、データ主体は、管理者から、データ主体自身に関する個人データが処理されているか否かの確認を得ることができます（第１５条第１項）。
自身の個人データが処理されている場合には、データ主体は、さらに処理されている個人データにアクセスすることができます（第１５条第１項）。具体的には、管理者がデータのコピーを提供します（第１５条第３項）。ただし、このコピーの取得によって、他者の権利や基本的自由に不利な影響を及ぼしてはなりません（第１５条第４項）。
データ主体が電子的手段によって請求をした場合には、データ主体が特段の請求をしない限り、通常利用される電子的形式で提供を受けることになります（第１５条第３項）。
続きを読む →
今回は、データ主体の８つの権利のうち、情報の通知を受ける権利を取り上げます。
情報の通知については、”EUデータ保護規則―管理者の義務：情報の通知（Information Notices）”で、管理者の義務としてまとめてあります。
情報の通知を受ける権利は、第３章の「データ主体の権利」の他の条文が、”The data subject shall have the right to ….”と始まるのに対し、”the controller shall ….” と管理者を主語にして書かれているためか、データ主体の権利の一つとして紹介していない文献もあるようです。
EU指令の条文も同様で、「権利」と書かれていたわけではありません。しかし、EUデータ保護規則では、情報の通知に関する第１２条ないし第１４条は、明確に第３章の「データ主体の権利」の中に位置づけられています。他の権利の行使を容易にするためには、情報の通知が不可欠という考え方もできるでしょう。そこで、ここでは権利の一つとして取り上げます。