CJEUの判決はGDPRはデータ主体のアクセス要求に応じて、カテゴリだけでなく、データ受信者IDの開示を要求した

　欧州連合の一般データ保護規則(GDPR)の下では、個々のデータ主体は、データ主体の個人情報に関する情報を共有することをデータ管理者に要求する権利を有する。これには、データ主体の個人データが開示された「受信者または受信者のカテゴリー」を知る権利が含まれる。これまで、データ管理者は、特定の受信者を名前で開示するのではなく、受信者のカテゴリーのみを開示することをデフォルトで行っていた。しかし、それはCJEU判決により変わろうとしている。

　今回のブログは､Bradley Arant Boult Cummings LLPのレポート(著者はBenjamin William Perry氏 & Rachel M. LaBruyere氏)などに基づき欧州司法裁判所判決の重要論点を論じる。

Benjamin William Perry氏

Rachel M. LaBruyere氏

１．要旨

　2023年１月12日、欧州連合司法裁判所(CJEU)は、データ主体のアクセス要求に応じて、データ管理者は受信者のカテゴリ-だけでなく、受信者を具体的に特定する必要があるとの判決を下した。この判決は、GDPRの第13条(データ主体のアクセス権)に基づくデータ主体のアクセス要求に特に対処したが、この決定は、GDPR第15条に基づく収集時点での必要な開示にも重要な影響を及ぼす。

２．事件の背景・経緯

　この事件は、オーストリアの個人であるRW氏が、オーストリアの郵便サービスプロバイダーであるÖsterreichische Post AG(以下、OPという)(注1)にデータ主体アクセス要求を提出し、データの受信者の身元を求めたときに始まった。GDPRの第15条に従い、データ主体は「個人データが開示された、または開示される予定の受信者または受信者のカテゴリ-を要求することができる。RWへの回答の中で、OPは、マーケティング目的でRWの個人情報を取引パートナーと共有しているが、特定の受信者を特定することを拒否したと述べた。

　原告RWは受信者の身元を求めて訴訟を起こしたが、GDPRが「個人データが転送される特定の受信者を名前で特定することなく、受信者のカテゴリのみをデータ主体に通知するオプションを管理者に与える」という理由で、訴訟は当初却下された。RWはこの決定をオーストリア最高裁判所(Oberster Gerichtshof)に上訴し、TFEU第267条(注2)にもとづき最高裁判所は予備判決のためにCJEUにこの質問を付託した。

CJEUはGDPRの広範な解釈を採用した

　広範囲にわたる影響を伴う決定において、CJEUは、管理者がデータ主体アクセス要求に応じてデータ主体にデータ受信者の特定のIDを明らかにする必要があると裁定した。受信者のカテゴリを明らかにするだけで十分であり、受信者の特定の身元を明らかにすることが不可能な場合のみである。その決定を支持するために、CJEUは、GDPRの全体的な目標に照らして、アクセス権にはすべての個人データ処理における透明性が必要であることを強調した。CJEUは、データ主体がGDPRに基づくデータ主体の権利(修正、消去、処理の制限の権利など)を行使するためには、受信者の身元へのアクセスが必要であると指摘した。

3.CJEU判決から導き出された結論

　この判決は、データ主体のアクセス要求と収集のポイント開示の両方に関して重要な意味を持つ。

①データ主体のアクセス要求 –少なくとも、このCJEUの決定では、管理者はデータ主体のアクセス要求に応じてデータ受信者の特定のIDを開示する必要がある。管理者が特定のIDを共有することは不可能であると判断した場合(特に、すべての受信者のIDをまだ知らないため)、管理者(コントローラー)は不可能であると判断した理由を明確に文書化する必要がある。GDPRの第14.5条(b)(第三者からデータが収集された場合の開示の提供)の文脈で、欧州データ保護委員会(EDPB)は次のように述べている。不可能の程度は問わない。」また、EDPBは、データ主体のアクセス要求に関して同様の態度をとる可能性がある。

②収集時点での開示–管理者は、データ主体のアクセス要求に応じて特定の受信者IDを開示することに加えて、EUのデータ主体全般に対する収集時点の開示を再検討することを検討する必要がある。GDPRの第15条(データ主体のアクセス権)と同様に、第13条(収集時点の開示)には、「個人データの受信者または受信者のカテゴリーがある場合は」の開示を要求する文言がある。CJEUはまだその理由を収集の開示のポイントに拡張していないが、管理者がデータ受信者のIDをすでに知っている場合は、収集の時点でそれらのIDの開示も検討する必要があると判示した。

　念のため、データ主体のアクセス要求は、要求が明らかに根拠のないものであるか過剰であるかの「しきい値照会」の対象であるため、GDPRで要求される透明性には制限がないわけではない。また、管理者は、特定の受信者の身元が不可能な場合、特にCJEUの見解では、身元がまだわかっていない場合、特定の受信者の身元を開示する必要はない。

　不可能性に関するEDPBの調査結果に照らして、不可能性の決定は控えめに使用する必要がある(使用する場合は徹底的に文書化する必要がある)。結局のところ、訴訟や規制当局の調査を防御するためのコストは、これらの要求に対応するための管理コストを小さくするため、企業は可能な限り合理的なデータ主体のアクセス要求を尊重することで誤りを犯すことに適合する。

*************************************************************************

(注1) ÖsterreichischePostは、オーストリアの郵便サービスを担当する会社である。この会社は、旧国営PTTエージェンシーPost- und Telegraphenverwaltungの郵便会社部門から分離した後、1999年に設立された。ウィーン証券取引所に上場している。(Wikipedia から抜粋、仮訳)

(注2) 特定の事件を審理する欧州連合（EU）加盟国の裁判所は、欧州共同体設立条約(Treaty establishing the European Community: TEC）第 234 条および欧州連合の機能に関する条約（Treaty on the Functioning of the European Union: TFEU）第 267 条に基づき、EU の法律や規則の解釈または有効性について CJEU に予備判決（preliminary ruling）を照会・請求することができる。この照会制度は、上記の垂直的な控訴制度と対照をなす水平的な協力体制であり、EU 全域にわたって法・規則の統一的な適用を促進・担保するものである。日本弁理士会｢欧州連合司法裁判所への予備判決の照会制度｣から抜粋。)

なお、TFEU第267条を、以下、仮訳する。

欧州連合の司法裁判所は、以下に関する予備的判決を下す管轄権を有するものとする。

( a )条約の解釈;

( b )連合の機関、団体、事務所または機関の行為の有効性と解釈;

そのような質問が加盟国の裁判所または法廷で提起された場合、その裁判所または裁判所は, 質問の決定が判決を下すために必要であると考える場合、裁判所に判決を下すよう要請する。

国内法に基づく司法的救済がない決定に反対する加盟国の裁判所または法廷で係争中の訴訟でそのような質問が提起された場合, その裁判所または法廷は、問題を裁判所に提起するものとする。

拘留者に関して加盟国の裁判所または法廷で係争中の訴訟でそのような質問が提起された場合, 欧州連合の司法裁判所は、最小限の遅延で行動するものとする。

***************************************************************************:

最新の海外法制、プライバシー保護、セキュリティ強化のガイダンス

このブログを検索