標記委員会(Artle 29 Working Party)(注1)は、2012年3月23日、去る1月25日に発表された1995年の個人情報保護指令(Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data)に取って代わる「欧州個人情報保護規則草案(Proposal for a Regulation of the European Parliament and the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation)：COM(2012) 11)」および「欧州個人情報保護指令改定案(Proposal for a directive of the European Parliament and the Council. on the protection of individuals with regard to the processing of personal data by competent authorities for the purposes of prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and the free movement of such data：COM(2012) 10)」に対する詳細意見書「Opinion 01/2012 on the data protection reform proposals」を採択した。
また、Artle 29 Working Partyは2012年10月5日に「EU情報保護一般規則草案」につき更なる意見書(Opinion 08/2012 providing further input on the data protection reform discussions 」(全45頁)を採択、公表した。
筆者は2012年5月に本ブログの原稿を下書きしていたが、多忙なこともあり、棚上げにしていた。このほど、欧州議会、欧州委員会、Article 29 Working Partyを巻き込んだ米国NSAや英国のGCHQといった情報機関の日頃の活動、とりわけ米国とEU加盟国間の個人情報の移送にかかる監視問題をブログでまとめたことなどをきっかけとして、急遽本ブログをまとめることにした。(したがって、今回まとめていない詳細項目や前述の2012年10月の追加意見書等については、改めて紹介することにしたい)
１．「欧州個人情報保護規則草案」に対するWorking Partyの意見書
(1)内容の要旨
アイルランドの大手ローファーム“A&L Goodbody”(注2)および“Hunton & Williams LLP”(注3)の解説記事が簡潔に要点をまとめており、抜粋・引用のうえ筆者が適宜補足した。
A.全体的な意見
規則案のプライバシー保護に関し次のように積極的に取り組んでいる点を評価する。ただし、規則案の個々の事項・内容については、より明確化や見直しの余地がある。
EU市民(個人)にとっての意義：事業者の個人情報の取扱いのより透明性、データへのアクセス権、利用への反対権ならびにデータの携帯性に関する保護を強化し、またデータの削除権(right to be forgotten)や各国の保護コミッショナー(DPA)や裁判所を介した補償権行使の機会を強化した。
データ・コントローラー(data controllers)にとっての意義：プライバシー・インパクト・アセスメント(プライバシー影響度評価)を通じ、加盟国事業者における情報保護担当役員(Data Protection Officer)の任命、データ漏えい通知義務および国際的な個人情報の移送に関する保護面からの予防的取組みにより、より一貫性を強化した。
データ処理者(data processors)にとっての意義：当該処理がクラウド・サービス・プロバイダーのようなプロセッサーがコントローラーの指示の範囲を超えるような特別な処理を行うときのコントローラーの責任を明確・義務化する。
情報保護コミッショナー(DPAs)にとっての意義：課徴金(administrative fines)を含む独立性と権限強化を定め、かつ立法的措置に関する諮問を受ける責務が与えられる。
B.規則案に関する具体的な改善，修正意見
“Working Party”(以下、「WP」という)規則案に関し、いくつかの明確化すべき点を提起する。例えば、データ主体は第一義的に居住地の裁判管轄権を持つDPAまたは該当地のデータ処理者やデータ・コントローラー宛に権利や司法手続きに関する苦情を申し出る必要があるが、現在の規則案ではこれらのデータ主体の権利の行使手続等につき混乱や不確実性が生じる可能がある。
また、規則案はDPAsが本規則に定める状況下で課徴金を課すことよりも、いつ課徴金を課すかを決定する裁量権を持つ余地を持たねばならないことを推奨する。
しかし、WPはそのような場合に２段階の通知手続きを導入するデータ漏えい通知義務(data breach notification duty)を定めることを勧奨する。データ・コントローラーによる情報漏えい違反の通知はそれが明らかになってから24時間以内に行うべきであり、24時間以内に明確に提供できなかった情報漏えいに関しては更なる機会で行うとするものである。このことは、時宜を得た漏えい違反通知の実現に結びつく。
また、漏えい通知義務はデータ主体にとって影響が小さくまた不必要にDPAsの責務を負うような場合は除くべきである。
個人情報の第三国への移送(data transfer)(注4)についてのデータ主体の同意等、法的根拠の逸脱措置は、「モデル契約」、「第三国への国際データ移転のための拘束的企業準則(BCRs)」および「セーフハーバー」等、その他のより適切なデータ移送メカニズムにより保証されるべく限定的に解すべきである。
“right to be forgotten”は、第三者の所有下にある場合、データ・コントローラーがすでに存在しない場合など特にインターネット環境下では狭く考える必要がある。
WPはデータ主体の自由権に関し重大な影響を持つものである「プロファイリング手法」として、「ウェブ解析ツール」、「ユーザ行動の調査目的の追跡」、「モバイル端末のアプリ・ソフトによる動機の創作」や「ソーシャル・ネットワークによる個人プロファイルの創作」を包含すべきであると考える。
個人の情報保護の権利に影響がある中小企業の経営負担を減少させるための例外措置に関し、WPは情報の性格や範囲を考慮すべくより適切な代替手段の閾値(しきいち：threshhold)の使用の配慮を勧奨する。
WPは、規則案の第4編(EUの予算関連(Budgetary Implication))で“Recitals”(注5)につき解釈注釈の「第24項」につき次の野通りの修正を勧奨する。すなわち、第24項は個人情報の定義に関し、「ID番号(identification numbers)、位置データ(location data)、オンライン識別子(online identifiers)その他特別な識別要素はあらゆる状況下の個人情報として考えられることが必要とされない」とするがこのような定義は、例えば「IPアドレス」や「クッキーID」という個人情報の概念を過度に制限的に解釈するものといえる。WPとしてはこのような場合は「IPアドレス」や「クッキーID」は個人情報であると具体的に明記すべきと勧奨する。
第27項に関し、WPは多国籍企業(EU加盟国内の企業が所有すると否とにかかわらず)の主たる設立場所につき異なる事業部門に分かれて運営している場合を含みより明確な定義を行うべきと考える。
さらに、第20項では「EU加盟国内に所在しないコントローラーによる情報処理活動ならびにデータ主体の行動のモニタリングを行うべく商品やサービスの提供にともなうデータ処理に適用する」と規定する。WPはこの「商品やサービスの提供」や「データ主体の行動モニタリング」につきより明確な定義が必要であると考える。
DPAsには、特にはじめての規則違反や小規模な意図せざる不履行に関し、罰金を課す独自の権限を持たせるべきである。
(2)WPの個別の問題指摘
A.「 COM(2012) 11」に関し、前述した事項を含む28の個別意見をまとめている。
主な項目を挙げる。
・The Principle of Public access to information
・Exceptions introduced for public authorities
・Minors
Right to be forgotten
Direct marketing
Profiling
Data breach notification
With regard to the role and functioning of DPAs
Jurisdiction and competence of DPAs(one-stop- shop)
EDPB(European Data Protection Board) institutional structure
International transfers
Disclosure not authorised by EU law
Right to liability and compensation
Fines
Judicial remedies
B. 「 COM(2012) 10」に関し、前述した事項を含む9の個別意見をまとめている。
主な項目を挙げる。
Choice of instrument
Consistency
Scope of application
Data processing principles
Data subject rights
Data controller oboligations
International transfers
Power of DPAs and co-operation
２．以下は省略する。
**********************************************************************************************
(注1) 「EU情報保護指令第29条専門調査委員会」はEUの全加盟国の個人情報保護コミッショナーの代表からなる委員、欧州個人情報保護監察局(European Data Protection Supervisor：EDPS)および欧州委員会委員で構成されるEU機関。
(注2) 2012年4月17日に掲載した2012年3月23日の委員会の採択意見のまとめに関する同ローファームの第一次紹介レポート、また2012年10月5日のWPの追加意見書に関する解説リリースを参照。
(注3) Article 29 Working Party Opines on Proposed EU Data Protection Law Reform Package Posted on March 30
(注4) 第三国への国際的なデータ移転のための「拘束的企業準則」は、WPが策定している。http://www.caa.go.jp/seikatsu/kojin/H21report3a.pdf参照。
(注5) “Recitals”は“Whereas Clause”とも呼ばれ、Whereasで始まるいくつかの文章で、法令案の起草にいたった経緯・当事者の詳しい説明、当事者のこの契約における希望・契約の目的等を記すものであるが、概して精神条項的な規定も多い。
*******************************************************************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only.
You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.
コメント
コメントを投稿