リトアニアのDPAがGDPRおよび保護法にもとづきデータ管理違反に対するデータ保護調査結果に基づき罰金制裁(その2完)

３．リトアニア共和国におけるGDPR適用1年目を概観(GDPR implementation in Lithuania: Almost a year in review)」

　IAPPのレポートを以下、仮訳する。

　2018年7月11日、リトアニア共和国は「改正個人情報保護法(Asmens duomenų teisinės apsaugos įstatymo Nr. I-1374)」を制定した。同法(第3章第7条～第14条)に基づき 2つの監督当局、すなわち、(1)国家データ保護総局(State Data Protection Inspectorate) と(2)ジャーナリスト倫理査察官事務所(Office of the Inspector of journalist Ethics) が規制の監視と適用を任じられた。

　2018年のこれらの立法努力は主に彼らの諮問および調査の権限を行使することに加えて、EU一般データ保護規則(GDPR)に関連した一般の人々の認識の促進に集中した。2018年、リトアニアのデータ保護当局(以下、「DPA」という)は、データ主体から859件の苦情を受けた(2017年では480件にすぎなかった)。その大部分の苦情は、①ダイレクト・マーケティング目的のデータ処理、②特別なカテゴリーの個人データの処理、および③閉鎖回路テレビ(CCTV) (筆者注8)に関する問題に関連していた。また、DPAは、100件のデータ侵害通知を受信した一方で、民間と公共の両方を含む1470の団体・組織がデータ保護責任者(data protection officer)の任命につきDPAに通知を行った。 DPAは2018年に職権上の調査をいくつか実施し、GDPRの違反を発見したが、罰金は課さなかった。

　本寄稿は、リトアニア共和国のDPAが最近発表したデータ保護影響評価である「ブラックリスト」を分析し、2019年に予定されている進行中および今後の職権上の調査について議論する勧告内容を検討するものである。

(1) DPAによって採用された勧告文書(Recommendations adopted by the DPA)

　2018年から2019年にわたり、リトアニアのDPAはGDPRの解釈と適用を支援するために多数のガイドラインと勧告を発表した。とりわけ話題となる文書は次のとおりである。

(a) 情報処理活動の記録に関する解釈勧告(Recommendations for the records of processing activities)

　勧告には、GDPRの第30条に関する追加のガイドラインが含まれる。重要な点は、彼らは250人以下の従業員を持つ会社は処理記録を維持する義務から免除されるという広く知られている神話を払拭する点である。DPAは、契約上の目的で定期的にクライアントデータを処理する100人の従業員からなる保険会社の例を示している。そのような処理は時折でないので、会社はそれを文書化して関連する記録を維持する義務がある。

(b) DSAR手続き用テンプレート

　DSARテンプレート・ドキュメントは、データ主体のアクセス要求(DSAR( Data Subject Access Request )を処理するための内部手順を提供し、カスタマイズしてコントローラのニーズに合わせることができる。驚くべきことに、テンプレート手順は、識別目的のために、DSAR( Data Subject Access Request )が書面でログインされる時にIDカードまたはパスポートのコピーを提供するようにデータ主体に要求することを示唆している。そのような要件は追求する目的に比例して考えることはほとんど意味がなく、管理者とデータ主体の双方にとって追加のリスクを生み出す可能性がある。

　来るべき欧州議会と国民選挙に照らして、DPAは政党と候補者にGDPRの下での彼らの義務について思い出させた。同勧告は、電子メールまたは電話による政治的キャンペーンは、個人の自由で明白な「同意」が得られた場合にのみ合法であることを強調している。2019年9月からの委員会のガイダンス文書に沿って、勧告は、政治的な主体が広範囲な有権者の監視とプロファイリングを行う場合にデータ保護影響評価を実施することを提案している。

(2) リトアニアの最新のデータ保護影響評価(DPIA)に関する「ブラックリスト」(The final DPIA "blacklist")

　2019年3月18日、リトアニアのDPAは必須のDPIAを必要とする処理業務の最終リストを公開した（英語版の入手可能）。それは2018年9月にヨーロッパのデータ保護委員会によって見直されて、その後DPAによって改訂された最初のDPIA「ブラックリスト」 (筆者注4)に基づいている。 DPAは欧州データ保護会議(EDPB)によって提案された勧奨の大部分を引用し、その結果、いくつかの一般的な処理業務に対して追加の基準が指定されました。例えば、最初は遺伝的データの処理がDPIAを実行する義務を引き起こしたが、今はDPIAは「プロファイリングや予測を含むデータ主体の特徴を評価したり採点しながら」遺伝的データの処理にのみ必須である。

　EDPBの要求に応じて、DPAはリストが完全なものではないことを明確に示し、DPIAは、データ主体の権利と自由に対する高いリスクをもたらす可能性があるすべての処理操作（それらがリストに含まれているかどうかにかかわらず）に対して実行される必要がある。リトアニアのDPIA「ブラックリスト」は、「大規模処理」や「脆弱なデータ主体」など、DPAのリストで使用されている用語のいくつかを明確にしているので、DPIAに関するEU指令第29条専門家会議のガイドラインと併せて読む必要がある。

　「ブラックリスト」に含まれる、より論議の多い処理操作の1つは、「弱い立場にあるデータ主体の個人データが処理されるときに、革新的な技術を使用して、または既存の技術を新しい方法で使用する」個人データの処理問題である。「新技術」はGDPRの第89条と91条、第35条（1）で規定されているが、管理者はこの規定の過度に広く包括的な解釈に懸念を表明した。

　重要なことに、このリストは1件のみの大規模処理（データ主体に第14条の情報を提供しない大規模な「見えない」データ処理）について間違いなく、DPIAを引き起こすと言及している。

(3) 2019年に予定されている職権上の調査

　2019年2月、リトアニアのDPAは年間を通じて75件の職権上の調査を実施する計画を発表した。監督当局は、次のような状況でGDPR要件への準拠をさまざまな程度で評価しようとした。

①スポーツクラブによるバイオメトリックデータ処理。

② 旅行やスポーツ契約の締結および実行時のデータ最小化原則の遵守、およびデータ処理に関するデータ主体への通知義務の遵守。

③ 宿泊客の個人データがホテルで処理されているときのデータ最小化原則の遵守。

④ 国の機関によって締結されたデータ処理契約。

⑤ 契約上の目的で個人向けインスタントローン機関によって処理された個人データのセキュリィ。

·　DPAによると、法執行の優先順位は(1) GDPRの下での新しいデータ処理要件、(2)データ主体によって提出された苦情、および(3) 2018年末に実施された世論調査に基づいて決定された。たとえば、その回答者の59％が、データの処理に関しては、銀行や税務当局などの他の機関と比較して、インスタント・ローン機関を最も信頼していないと回答している。

　DPAの職権上の調査は、書面による問い合わせ、現地での監査または両者の組み合わせによって行われる。DPAは、現地監査の少なくとも10営業日前に関係組織・団体に通知しなければならない。1回の調査で最長5ヶ月（例外的で複雑なケースでは最長6ヶ月）かかり、不適合の事例が特定された場合には、その是正権限を使用してDPAが決定する。スポーツクラブによるバイオメトリックデータ処理の調査は現在進行中であり、その結果は2019年4月に利用可能になるはずである。

　DPAのウェブサイトでは、2014年までさかのぼる職権上の調査スケジュールを見つけることができるが、それらのどれも今年発表されたものほど広範囲に議論されていない。 GDPRは、さまざまな理由で、リトアニアのデータ保護問題にかつてないほどの注目を集めた。そして、DPAの調査結果は、この関心が現場での効果的なプライバシー管理慣行にどの程度変換されたかを示す。

４．.EU加盟国におけるDPIAが必要となる高いリスクのある処理の解釈に寄与するWhitelists 、Blacklistsおよびガイダンスの策定状況

　IAPPは、最近、EU加盟国のDPIAに関するWhitelists、Blacklistsおよびガイダンスの策定状況をまとめており、筆者の責任でリンクを張った。なお、ドイツの場合は州単位で策定している。

　IAPPは2019年5月現在では、

2019年12月現在で加盟国のBlacklistsを更新・公開した。

①オーストリア：Whitelists from the austrian Data Protection Authority

　解説

②ベルギー：Blacklists & Whitelists from Belgian Privacy Commission

③ ブルガリア:未策定

④ クロアチア：未策定

⑤ キプロス：未策定

⑥ チェコ共和国：未策定

⑦ デンマーク：未策定

⑧ エストニア：未策定

⑨ フィンランド：未策定

⑩ ドイツ連邦：Blacklists from German DPAs　(次のURLでダウンロード：https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Datenschutz/Liste_Verarbeitungsvorgaenge.pdf?__blob=publicationFile&v=2)

⑩ バーデン・ヴェルテンベルグ州:Blacklists from The Sat commissioner for Data Protection Baden-Württemberg

⑪　ブランデンブルグ州：Blacklosts frm The Data Protection Supervisor and Right to File Inspection

⑫ ハンブルグ州：Blacklists

⑬ ヘッセン州:Blacklists from The State Commissioner for Data Prtection Hessen

⑭ ニーダーザクセン州：Blacklists from The State Commissioner for Data Protection Nidersachsen

⑮ ノルトライン＝ヴェストファーレン州：Blacklists

⑯ ラインラント＝プファルツ州：Private Bodies Blacklists

⑰ ザールラント州：Blacklists

⑱ ザクセン州：Blacklists from The State Commissioner for Data protection Sachsen

⑲ シュレースヴィヒ＝ホルシュタイン州：Blacklists from The State Commissionwe for Data Pritection Schleswig-Holstein

⑳ テューリンゲン州：Blacklists from The State Commissioner for Data Protection Thüringia　

㉑ギリシャ：未策定

㉒ハンガリー：Blacklists from the Hungarian date prtection authority

㉓アイルランド：Blacklists from the Data Protection Commission

㉔イタリア：Blakilists from the Italian Data Protection Authority

㉕ラトビア：未策定

㉖リトアニア：未策定

㉗ルクセンブルグ：未策定

㉘マルタ共和国：未策定

㉙オランダ：未策定

㉚ポーランド：Blcklists from Polnd’s DPA

㉛ポルトガル：Blacklists fron.m Portugal’s National Commission for Data Protection

㉜ルーマニア：未策定

㉝スロバキア共和国：未策定

㉞スロベニア共和国：未策定

㉟スペイン王国：未策定

㊱英国：Blacklists from the Information Commissioner ‘s Office

****************************************************************************************

(筆者注8) 監視カメラ（closed-circuit television：閉鎖回路テレビ）とは、様々な目的で監視を行うためのビデオカメラのこと。主な用途としては、防犯、防災、計測・記録などがある。一般的に防犯目的の場合は防犯カメラ、防災目的の場合は防災カメラとも呼称される。(Wikipedia から引用)

***********************************************************************

最新の海外法制、プライバシー保護、セキュリティ強化のガイダンス

このブログを検索