オランダの個人データ保護法制の最近の動きについてまとめてみました。
オランダは人口約２０００万人の国で、言語の問題もあって、その法律が紹介される機会はあまりないようです。
しかし、多くの日本企業が子会社をオランダに置いていることを思えば、各種の法律の検討が必要となってきます。その中で、本サイトの関心事項である情報法関連で、オランダの個人データ保護法制をみてみました。
オランダはEU加盟国ですので、個人データ保護については、現在EU指令に基づき、個人データ保護法が制定され適用されています。オランダの個人データ保護法は、Wet bescherming persoonsgegevensといい、英語ではDutch Data Protection Act (DDPA)として紹介されています。 続きを読む →
去る２０１７年１月１０日、欧州委員会は、e-Privacy Regulationの提案を公表した。e-Privacy Regulationの正式名称は、
Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications)である。
電子通信における私生活の尊重および個人データの保護並びに２００２／５８／ＥＣ指令の廃止に関する欧州議会および欧州理事会の規則（プライバシーおよび電子通信に関する規則）提案とでも訳せばいいだろうか。
これは、現行のe-Privacy Directive（2002/58/EC）に替わるものとなる。規則の形を採っているので、ＥＵ一般データ保護規則（ＥＵＧＤＰＲ）と同様に、加盟国に直接適用される。
e-Privacy Regulation提案は、適用範囲をすべての電子通信プロバイダーに拡張し、現在の準則を最新のものとすることを目指している。また、通信データを処理する新しい可能性を創り出し、デジタル単一市場における信頼と安全を強化することも目指している。提案は、電子通信の準則をＥＵ一般データ保護規則の新基準にそろえている。
EUデータ保護規則（GDPR）は、①構成国に直接適用されること、②監督機関間の協力や欧州データ保護評議会の意見等の統一する仕組みがあることによって、EU全域で解釈や執行を統一し、構成国法による相違が生じないようにしています。
しかし、こうした統一がなされない分野が残っています。
統一がなされない分野について一覧表を作成してみました。以下は構成国の法律によって異なる対応がなされる可能性が残っています。
| EU法の適用範囲外の活動（例：各構成国の安全保障）における個人データ処理 | §2Ⅱ(a) |
| EU条約の共通外交安全保障政策の適用範囲内の活動を行う際の構成国による個人データ処理 | §2Ⅱ(b) |
| 純粋に個人的または家庭内の活動における自然人による個人データの処理 | §2Ⅱ© |
| 公共の安全への脅威に対する保護およびその防止を含む犯罪の防止 、探知もしくは訴追または刑罰の執行のための権限のある機関による個人データの処理 | §2Ⅱ(d) |
| データ主体の権利の制限 | §23 |
| 個人データ保護の権利と表現および情報の自由（報道目的および学術的、美術的または文学的表現目的の処理を含む）との調和 | §85 |
| 国民識別番号およびその他一般的に適用する識別子 | §87 |
| 職場における個人データの処理 | §88 |
| 職業上の守秘義務に関する構成国の法律 | §90 |
| 電子通信プライバシー指令に基づく構成国の通信傍受法 | e-Privacy Directive |
EU指令の下では、国内データ保護機関（DPO）が指令の違反について調査し判断する権限がありました。この枠組みが変わるわけではありませんが、EUデータ保護規則（GDPR）の下で４つの大きな変更があります。
①DPO（国内データ保護機関）に代わりSA（監督機関）が設置されます。
②複数の国で事業を行い、国境を越える個人データの処理を行う企業については、主たる事業所がある構成国の監督機関が「主たる監督機関」となり、”One Stop Shop”によって個人データの問題に対応します。
③EU構成国間での規則の適用について相違をなくす工夫として、統一する仕組み（consistency mechanism）が導入されました。
④第２９条作業部会がデータ保護評議会（EDPB）に生まれ変わります。
監督機関とデータ保護評議会については、ざっと確認するだけで足りると思います。欧州で事業を展開する日本企業にとって留意しておくべき点は、主たる監督機関がどこになるのか、という点です。
続きを読む →
EUデータ保護規則に関するページがたくさんになってきて、どの記事がどこにあるのかが分かりにくくなってしまったので、便宜のために一覧表を作りました。どうぞご利用ください。記事をUPするごとに更新していきます。
| Glossary―EUデータ保護規則（GDPR）用語集 |
| 【便利帳】EUデータ保護規則とEUデータ保護指令の条文に関するサイトをまとめてみました：日本語仮訳情報も |
| どのような場合に日本企業に適用されるのか |
| 用語の定義：本人の同意がより厳しくなっています！ |
| 個人データの処理に関する７つの原則 |
EUデータ保護規則（GDPR）は、一定の場合に管理者および処理者にデータ保護担当者（DPO：Data Protection Officer）の指名を義務付けました。データ保護担当者は専門知識を持っている者である必要があり、独立して行動し、職務の遂行にあたり管理者および処理者からの指示は受けません。データ保護担当者は、管理者および処理者にデータ保護規則の遵守に関して助言をしたり、遵守の有無を監視する役割を担っています。
EUデータ保護規則第３７条第１項でデータ保護担当者の指名について定めています。
Article 37 Designation of the data protection officer
1. The controller and the processor shall designate a data protection officer in any case where:
(a) the processing is carried out by a public authority or body, except for courts acting in their judicial capacity;
(b) the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or
(c) the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 and personal data relating to criminal convictions and offences referred to in Article 10.
管理者および処理者は、次の３つのいずれかに該当する場合には、データ保護担当者を指名しなければなりません。
(a) 司法上の権限に基づき行動する裁判所を除く公的機関または団体によって処理が行われる場合
(b) 管理者または処理者の中心的な行為が、その性質、範囲、目的に照らし、大規模にデータ主体の定期的および系統的監視を必要とする処理操作である場合
(c) 管理者または処理者の中心的な行為が、第９条による特別な種類のデータ並びに第１０条にいう有罪判決及び犯罪に関連する個人データの大規模な処理を構成する場合
EUデータ保護規則（GDPR)は、管理者だけではなく、管理者が個人データの処理を委託する処理者にも直接義務を負わせています。EU指令と異なる大きな変更点です。
EU指令では、個人データの保護に関する義務と責任は管理者に課せられていました。個人データの違法な処理が行われた場合、法的な責任を負うのは管理者であり、処理者は、管理者との間の契約に定める義務に違反したとしても、管理者に対して責任を負うだけでした。
もっともEU指令が何も手当していなかったわけではありません。EU指令では、管理者が処理者と結ぶ契約の中に、処理者が管理者の指示に従うこと、技術的・組織的保護措置を講じることを書くことを求めていました（第１７条第３項）。つまり、管理者と処理者との間の契約を通じて、処理者による個人データの処理を適正化する枠組みが取られていたわけです。
しかし、EUデータ保護規則は、この契約を通じた処理の適正化に加えて、処理者にも直接一定の規則の遵守義務を負わせています。この義務に違反すれば、監督機関は権限を発動することができ、処理者は責任を追及されることになります。
個人データの処理を管理者から委託されている処理者にとっては、大きな変更となりますので注意が必要です。
また、管理者の側でも、管理者と処理者の間の契約に盛り込むべき事項が詳細になったことから、現在結んでいる契約の見直しが必要となります。 続きを読む →
１０月２８日という少し古い記事ですが、BBCでFacebookの傘下に入ったWhatsAppのFacebookとの利用者情報の共有に関する記事”WhatsApp warned over Facebook data share deal”が掲載されました。利用者情報の共有は個人データの処理に該当するため、第２９条作業部会から、欧州のプライバシー法制の違反していないことが明らかになるまで、利用者情報の共有を止めるよう求められているといった内容です。
WhatsAppの利用者情報の共有については、ITMediaの”WhatsApp、ユーザーの電話番号などのアカウント情報をFacebookと共有へ”の記事が詳しいです。
不正アクセスやデータの漏えいなどのデータ侵害があった場合、管理者は遅滞なく監督機関に通知する義務があります。データ侵害が個人の権利や自由に高い危険を及ぼすおそれがある場合には、管理者は遅滞なくデータ主体にデータ侵害を連絡する義務があります。
EU指令では、個人データ侵害を監督機関に通知したり、データ主体に連絡したりする一般的な報告義務は管理者に課せられていませんでした。もっとも、電子情報プライバシー指令では、管理者は個人データ侵害について報告義務を負っていましたし、構成国によっては、法令で管理者に個人データ侵害の報告義務を課していた国もあります。
EUデータ保護規則は、分野や構成国によってまちまちであった報告義務を一般的な義務として統一したわけです。
こうした報告義務を管理者に課すことによって、監督機関は迅速に個人データ侵害についてその権限を行使することができます。一方、データ主体も権利や自由への影響を軽減する何らかの手段を講じることができます。たとえばクレジットカードの情報が漏えいしたならば、クレジットカードの使用停止をカード会社に連絡したり、パスワード情報に不正アクセスがあった場合にはパスワードの変更をするなどです。もっとも、管理者の側から見れば義務の負担が増えたことになります。
EUデータ保護規則（GDPR)は、個規則は、匿名化されたデータには適用されないと記しています。また、仮名化されたデータは、収集時の目的とは別の目的による処理が可能であり、データ保護byデザインの義務に例示されているように技術的・組織的措置の中の１つの手段として位置付けられています。
匿名化とは、EUデータ保護規則第４条の定義規定には定められていませんが、前文の第２６項で、次のように書かれています。
The principles of data protection should therefore not apply to anonymous information, namely information which does not relate to an identified or identifiable natural person or to personal data rendered anonymous in such a manner that the data subject is not or no longer identifiable. This Regulation does not therefore concern the processing of such anonymous information, including for statistical or research purposes.
「匿名の情報、すなわち特定のもしくは特定可能な自然人に関連しない情報、またはデータ主体が特定されないもしくは特定される可能性のない方法で匿名化された個人データ」には、EUデータ保護規則は適用されないと規定されています。 続きを読む →
