忘れられる権利――Google v. Spain

今日は欧州司法裁判所(Court of Justice)が、2014年5月13日にグーグル検索に関して「忘れられる権利」を認めた裁定をまとめておこうと思います。
略してGoogle v. Spain 事件と呼びます。
裁定の英語版はこちらです。
長い裁定を読むのが大変!という方は、プレスリリースで概略を読んでみてはいかがでしょうか。

Google v. Spain事件とは?

Google v. Spain事件は、2010年にスペイン人の弁護士Mario Costeja González氏が、スペインの新聞社とGoogleスペイン社およびGoogle社に対する苦情を、スペインのデータ保護機関(AEPD:the Agencia Española de Protección de Datos)に申し立てた事件が発端です。González氏は、約10年前に社会保障費用の未払いがあり、不動産差押手続きに関連する強制競売について、新聞に名前が載りました。GoogleでGonzález氏の名前を検索すると、過去の2件の新聞記事へのリンクが表示されるようになっていました。

González氏は、まず新聞社に対して、関連するページを削除または変更し、彼に関するデータが表示されないようにすることを求めました。彼は、次にGoogle Spain またはGoogle Inc.に対して、彼に関するデータを削除または隠すかし、検索結果に彼のデータが含まれたり、新聞社へのリンクで表示されないようにすることを求めました。
AEDPは、新聞社の記事は、労働社会政策省の命令に基づいてなされた法的に正当なものであるとして、新聞社に対する苦情は認めませんでした。一方で、Google両社に対する苦情は認めました。

このため、Google Spain社とGoogle社が、スペインの裁判所にAEDPの判断の取消しを求めて訴訟を提起しました。スペインの裁判所は、欧州司法裁判所に、次の3つの問題についてEU個人データ保護指令の解釈を付託しました。理事会(European Commission)のファクトシート(Factsheet on the “Right to be Forgotten” ruling)から抜粋します。
続きを読む →

EUデータ保護規則(GDPR)ーデータ主体の権利④:削除権(忘れられる権利)

EU個人データ保護規則が正式決定

2016年4月27日に、EUの欧州議会と理事会が共同で、EU個人データ保護規則を決定しました。理事会が同規則の提案をしたのが、2012年1月25日でしたから、正式決定するまで約4年強かかったことになります。

英語の正式名称は、”REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)”という長い名称です。和訳するならば、「個人データの処理に係る自然人の保護及び当該データの自由な移動並びにEC指令の廃止に関する2016年4月27日付け欧州議会と理事会の2016年679号EU規則」とでもいうのでしょうか。長い名称なので、ここではEUデータ保護規則と呼ぶことにします。施行は2018年5月25日です。

EUでは、欧州議会と理事会が立法機関ですが、立法行為には、欧州議会と理事会が共同で決定する通常立法行為と、欧州議会または理事会が単独で決定する特別立法手続があります。個人データ保護規則は、通常立法行為によって決定されました。

これまでEUの個人データ保護は、個人データ保護指令(”DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data”)で規律されていましたが、2018年5月25日からは個人データ保護規則が取って代わることになります。

なお、指令と規則は、いずれも第二次法ですが、両者の法的効力についてはどちらかが優位とされるという関係にはありません。違いは、規則はすべての構成国で直接に適用され自動的に国内法になりますが、指令は内容を達成する手段と方法が構成国に任されており、国内法化をする必要があります。
EU個人データ保護規則は、この意味で構成国内での相違が少なくなり、統一的な規律ができるものとなっています。

削除権(忘れられる権利)

EU個人データ保護規則案の段階

EU個人データ保護規則は、様々な意味で動向に注目を集まっていましたが、その一つが忘れられる権利でした。
理事会が提案をした規則案では、忘れられる権利について、次のような条文が示されました。2項以下は省略しています。

 

Article 17  Right to be forgotten and to erasure

1  The data subject shall have the right to obtain from the controller the erasure of personal data relating to them and the abstention from further dissemination of such data, especially in relation to personal data which are made available by the data subject while he or she was a child, where one of the following grounds applies:

(a) the data are no longer necessary in relation to the purposes for which they were collected or otherwise processed;

(b) the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1), or when the storage period consented to has expired, and where there is no other legal ground for the processing of the data;

(c) the data subject objects to the processing of personal data pursuant to Article 19;

(d) the processing of the data does not comply with this Regulation for other reasons.

第17条 忘れられる権利と削除権
1 データ主体は、次の理由がある場合、特に子供のときに自身が利用可能にした個人データについて、管理者に対し個人データの削除及び当該データの拡散の抑止を求める権利を有する。
(a) 当該データが収集その他処理された目的との関係でもはや必要でなくなった場合
(b) データ主体が第6条(1)(a)に基づきなされた処理についての同意を撤回した場合、同意した保管期間が経過した場合、その処理にその他の法的根拠がない場合
(c) データ主体が第19条に従って個人データの処理に異議を申し立てた場合
(d) データ処理がその他の理由で本規則を遵守していない場合

欧州議会の修正意見

この規則案に対して、欧州議会は、忘れられる権利という言葉を削除し、いくつかの修正提案をしました。このため、最終的に決定される規則には、忘れられる権利という言葉は削られるのではないかと思われていました。

Article 17 Right to be forgotten and to erasure

1  The data subject shall have the right to obtain from the controller the erasure of personal data relating to him or her and the abstention from further dissemination of such data,especially in relation to personal data which are made available by the data subject while he or she was a child,and to obtain from third parties the erasure of any links to, or copy or replication of, those data where one of the following grounds applies:

(a) the data are no longer necessary in relation to the purposes for which they were collected or otherwise processed;

(b) the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1), or when the storage period consented to has expired, and where there is no other legal ground for the processing of the data;

(c) he data subject objects to the processing of personal data pursuant to Article 19;

(ca) a court or regulatory authority based in the Union has ruled as final and absolute that the data concerned must be erased;

(d) the processing of the data does not comply with this Regulation for other reasons have been unlawfully processed.

 最終的に確定したEUデータ保護規則

ところが、公表された規則では、忘れられる権利という言葉が復活。

Article 17 Right to erasure (‘right to be forgotten’)

1  The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or her without undue delay and the controller shall have the obligation to erase personal data without undue delay where one of the following grounds applies:

(a) the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise processed;

(b) the data subject withdraws consent on which the processing is based according to point (a) of Article 6(1), or point (a) of Article 9(2), and where there is no other legal ground for the processing;

(c) the data subject objects to the processing pursuant to Article 21(1) and there are no overriding legitimate grounds for the processing, or the data subject objects to the processing pursuant to Article 21(2);

(d) the personal data have been unlawfully processed;

(e) the personal data have to be erased for compliance with a legal obligation in Union or Member State law to which the controller is subject;

(f) the personal data have been collected in relation to the offer of information society services referred to in Article 8(1).

第17条 削除権(「忘れられる権利」)
1 データ主体は、次の理由がある場合、遅滞なく管理者に対し個人データの削除を求める権利を有し、管理者は遅滞なく個人データを削除する義務を負う。
(a) 当該データが収集その他処理された目的との関係でもはや必要でなくなった場合
(b) データ主体が第6条(1)(a)又は第9条(2)(a)に基づきなされた処理についての同意を撤回した場合、及びその処理にその他の法的根拠がない場合
(c) データ主体が第21条(1)に従って処理に異議を申し立てた場合で、その処理に優越的な正当理由がない場合か、又は第21条(2)に従って異議を申し立てた場合
(d) 個人データが違法に処理された場合
(e) 管理者がEU法又は構成国法の法的義務を遵守するために個人データを削除しなければならない場合
(f)    個人データが、第8条(1)にいう情報化社会サービスの提供に関連して収集された場合

今後は、EUでは、データ主体は、上記の内容で削除権=忘れられる権利を行使することができ、管理者は削除の義務を負うことになります。

違反がある場合の救済

データ主体の権利に関して違反がある場合、管理者である企業などは、行政罰である過料を課される可能性があります。また、データ主体は、監督機関に対し不服を申し立てたり、司法的救済を求めることができます。
詳細は、”EUデータ保護規則(GDPR)―規則の執行と罰則の強化・不服申立てと司法的救済“の記事でまとめましたので、参考にしてください。

*本記事は、Privacylaw.jpのサイトに掲載していたものを、同サイトをリニューアルするため、本サイトに移動したものです。

2016年10月21日更新:違反がある場合の救済を追加しました。

 

Google法務顧問が忘れられる権利について語る

Google法務顧問のピーター・フライシャーさんが、朝日新聞のインタビューに答えて、忘れられる権利について語っています。
日本語記事を全文読むには会員登録が必要ですが、英語版はそのまま読めるようです。

Did you know Mr. Peter Fleischer, the global privacy counsel for Google Inc., speaks about the right to be forgotten in the Asahi Shimbun interview?
INTERVIEW/ Peter Fleischer: Google performs balancing act over the right to be forgotten

 

*本記事は、Privacylaw.jpのサイトに掲載していたものですが、同サイトをリニューアルするため本サイトに移動したものです。公開日時はPrivacylaw.jpのサイト掲載時と合わせています。