GDPR関連資格をとろう! Q&Aで学ぶGDPRとCookie規制(30)-透明性ガイドライン(2)

 

今回は,GDPRの第12・13・14条の規定を中心とした「透明性に関するガイドライン」(Guidelines on transparency)[1](以下「ガイドライン」という)の第2回目の解説です。

 

【目  次】

(各箇所をクリックすると該当箇所にジャンプします)

Q1: 個人データ取得時の提供情報についての指針は?

Q2: 情報提供のタイミングについての指針は?

Q3: 提供情報に変更があった場合の指針は?

Q4: 情報提供方法の指針は?

 

Q1: 個人データ取得時の提供情報についての指針は?

A1: GDPR上,事業者(管理者)は個人データを直接その個人(データ主体)から取得する場合(直接取得)またはそれ以外のルートから取得する場合(間接取得),それぞれ一定の情報を提供しなければなりません。その提供すべき情報についてはGDPR第13条(直接取得の場合)および第14条(間接取得の場合)に規定されていますが,大部分共通で,ガイドラインでは以下のように説明されています。(ガイドラインG-Annex)

【提供情報の項目】

(a)管理者および(管理者がEU域内で設立されていない場合にEU域内に置くべき)代理人(representative)(27)の名称・氏名等(identity)および連絡方法(contact details)

-管理者または代理人の情報としては,他に,電話番号,電子メール,住所等

(b)管理者がデータ保護監督者(Data Protection Officer:DPO)を選任している場合,DPOへの連絡方法(contact details)

(c)個人データの処理目的および処理の適法性の根拠(legal basis)

【適法性根拠の種類】データ主体の同意/契約履行・締結前手続/法的義務遵守/管理者・第三者の正当利益等(6(1))。「特別カテゴリーの個人データ」の処理については,データ主体の「明示的な」同意等(9(2))

(d)処理の適法性根拠が管理者または第三者の正当利益(legitimate interests) (6(1)f)の場合その内容

-データ主体の利益等との比較衡量(balancing test)の結果も提供することがベスト。

(e)[個人データが間接取得された場合のみ] 個人データの種類(カテゴリー)

(f)個人データを他に提供する場合その受領者または受領者の種類(カテゴリー)

-受領者(recipient)は第三者に限られない(4(9), (10))。処理者・共同管理者(26)を含む。受領者そのものではなく受領者の種類(カテゴリー)とする場合は事業内容・業界・所在地等で特定

(g)管理者が個人データを第三国または国際組織に移転する場合は,その旨/欧州委員会による十分性決定の有無保護措置(拘束的企業準則:BCR,標準データ保護条項[現在はSCC],データ保護認証等)(46,47,49(1))/および保護措置[SCC等]のコピー(またはコピーを閲覧・入手する方法)

-移転のため利用する制度(mechanism)へのリンクも提供。第三国の国名も表示

(h)個人データの保存予定期間(storage period),または,その情報を提供できない場合は保存期間決定基準(criteria)

-保存期間は,原則,処理目的達成に必要最小限の期間(5(1)e)。保存期間決定基準は,法定基準,業界ガイドライン,個別データの事情によるもの等。「正当な処理目的のため必要な期間」等の表現は不適切

(i)データ主体が,管理者に対し次に関する権利を有する旨(データ主体の権利)

-個人データへのアクセス/個人データの訂正/消去/処理の制限/処理禁止権/データ・ポータビリティー

権利の内容・行使方法の概要特に処理禁止権(Right to object:異議を述べる権利)はデータ主体との最初の連絡時までにデータ主体の注意を引くようかつ他の情報とは明確に分けて明示しなければならない(21(4))。

(j)処理が同意(6(1)(a), 9(2)(a))に基づく場合,いつでも同意を撤回する権利があること

-同意の撤回は,同意の付与と同程度に容易でなければならない(7(3))から,同意撤回方法も記載

(k)監督機関に不服申立する権利(the right to lodge a complaint with supervisory authority)

-データ主体の常居所(habitual residence)/職場/または権利侵害地の管轄監督機関に申立てできる旨も説明(77)

(l)[個人データが直接取得される場合のみ] 個人データの提供が,法令上または契約上の義務であるか,または,契約締結に必要であるか,および,データ主体に個人データ提供義務があるか,ならびに,当該データを提供しないことにより生じ得る結果

-雇用契約に基づく義務等。オンラインフォームでの個人データ入力では入力必須(required)項目と任意項目の別と必須項目を入力しない場合の結果を表示

(m)[個人データが間接取得された場合のみ]個人データの情報源・入手元(source)と,それが公開情報(publicly accessible source)である場合はその旨

-原則として具体的な情報源を記載。それができない場合は,情報の性質(公開・非公開(privately held)等)/情報源の組織・業種・産業部門等を記載

(n)自動意思決定(automated decision-making)(22)を行う場合,その旨,および,その処理ロジックについての[データ主にとっての]意味ある(meaningful)情報(*),ならびに,データ主体にとっての当該処理の重大性(significance)および予想される結果

(*) この「処理ロジック」についての意味ある(meaningful)情報とは,後述の自動意思決定・プロファイリングガイドラインによれば,例えば,クレジット・スコアリングを用いるローン審査の場合,ローン可否決定のため考慮される主なデータ(支払履歴,不正行為,破産情報等)等である(同ガイドラインp14)。

Q2: 情報提供のタイミングについての指針は?

A2: ガイドライン(G26~)に以下の通り説明されています。

情報提供のタイミング】

(a)[直接取得] 個人データがデータ主体から取得される場合

【直接取得の具体例】データ主体自らの意思で提供(オンラインフォームへの入力等)。カメラ,ネットワーク機器,Wi-Fiトラッキング(*1),RFIDタグ(*2)またはその他センサー等による個人データの自動取得

[(*1)(例)来店客の滞留時間把握等のため店舗設置Wi-Fiで来店客スマートフォン等の位置データ取得。(*2)(例)RFIDタグ付き製品保有者の情報取得 ]

【情報提供のタイミング】個人データ取得時点(at the time when personal data are obtained)(13(1))。

従って,商品・サービスの購入の場合は代金支払前と個人データ取得時,無償サービスの場合はそのサービスへの登録(sign-up)前に提供しなければならない(G注29)。

[例えば,監視による個人データの取得はデータ主体からの直接取得であるから,情報提供の時期は正にその監視の時である(13(1))。従って,実務的には監視開始前に情報提供が必要である。]

(b)[間接取得] 個人データが間接取得される場合

【間接取得の具体例】他の管理者,公開情報(publicly available sources),データブローカー,他のデータ主体等からの個人データ入手

【情報提供のタイミング(14(3))】次のいずれか最も早いタイミングで情報提供が必要。従って,いかなる場合も遅くとも 1 カ月以内

-取得後合理的と認められる期間内(但し,遅くとも 1 カ月以内)

-個人データがデータ主体との連絡(communication)のために使われる場合は,データ主体との最初の連絡時まで(但し,遅くとも 1 カ月以内)

-個人データを第三者に開示する場合は,最初の開示まで(但し,遅くとも 1 カ月以内)

 

Q3: 提供情報に変更があった場合の指針は?

A3: ガイドラインに以下の通り説明されています。(G29~)

データ主体が変更(特に処理目的の変更・管理者の連絡先・データ主体の権利行使方法に関するもの)に確実に気付くようにしなければならない。

例えば,ダイレクトマーケティング用メッセージとは分け,[その変更だけについての]電子メール,ハードコピーのレター,Web ページ上のポップアップ等により通知しなければならない。この通知も簡潔さその他第12 条の要件を満たさなければならない。

データ主体にPrivacy Statement/Noticeを定期的にチェックさせることは不十分なだけでなく公正さ(fairness)(5(1)(a))を欠く。

【変更情報の提供時期(G30,31)】管理者は,個人データが取得された目的以外の他の目的のために処理しようとする場合,当該他の[変更後の]目的での処理(further processing)の前に(事前に),データ主体に対し,当該他の目的および第2項に定める関連情報を提供しなければならない(13(3), 14(4))。

処理目的以外の事項の変更の情報提供時期については,GDPR上,明文の規定はない。しかし,公正さの原則から,データ主体が,変更の内容・影響等を考慮し同意の撤回・処理禁止等ができるよう,実際に変更する「前に」合理的期間を置いて明示的かつ効果的方法で提供しなければならない。管理者は合理的期間を置いたことを証明できなければならない。

 

Q4: 情報提供方法の指針は?

A4: 情報提供の方法 (modality)についてはガイドラインに以下の通り説明されています。 (G33~)

(a)階層化による情報表示 (Layered privacy statement/notice)

ディジタル環境では,1画面上に全情報を提供することによりデータ主体に情報疲れ(information fatigue)を生じさせないよう,階層的(layered)Privacy Statement/Noticeの利用が推奨される

【階層的Privacy Statement/Noticeの設計】 

(i)第1層・ステップ(first layer/modality)に含めるべき事項

処理目的,管理者名,データ主体の権利

-データ主体に最も大きな影響(impact)を与える事項,データ主体が合理的に想定できない処理(processing which could surprise the data subject)

-上記以外の提供すべき情報(13, 14)の項目とその詳細(下位層)へのアクセス

(ii)各層(ステップ)間で記載に一貫性があり矛盾がないこと

(b)その他の情報提供方法

(i)プライバシーダッシュボード(privacy dashboards),“just-in-time” pop-up notices,permission management,“learn more” チュートリアル

(ii)郵送による契約締結の場面: 情報提供のための書類送付

(iii)電話利用の場面: 口頭または自動音声による回答

(iv)画面のない機器・IoT機器による個人データ取得場面:

– アイコン/QRコード/音声アラート/セットアップ手順説明書中の記載/ディジタルでのセットアップ手順説明中の映像/スマートフォン等への表示/SMS・電子メールでの通知/ボード(visible board)での説明/標識(public signage)/公衆向け周知活動 (public information campaign)

(v)対面(person to person)(例:世論調査(opinion  polls)・サービス登録手続)の場面: 口頭説明,説明用の書面またはsoft copy

(vi)監視カメラ (CCTV)/ドローン等による個人データ取得の場面ボード,標識,公衆向け情報提供活動,新聞その他メディアによる告知

 

今回は以上です。次回はガイドラインの解説の最終回です。

 

「GDPR関連資格をとろう!Q&Aで学ぶGDPRとCookie規制」バックナンバー

【筆者の最近の個人情報保護関連書籍】

NEW!!改正個人情報保護法アップデート(施行令・施行規則の制定)」2021年4月

​「Q&Aで学ぶCPRA カリフォルニア州プライバシー権法 2020年12月

Q&Aで学ぶCCPA カリフォルニア州消費者プライバシー法」 2020年7月

GDPR関連資格CIPP/E準拠 詳説GDPR  (上) – GDPRとCookie規制」 2019年11月

GDPR関連資格CIPP/E準拠 詳説GDPR  (下) – GDPRとCookie規制」 2019年11月

[2]

                                  

【注】

[1] 【透明性ガイドライン】個人情報保護委員会和訳(原文併記)

[2]

==========

【免責条項】

本コラムは筆者の経験にもとづく私見を含むものです。本コラムに関連し発生し得る一切の損害などについて当社および筆者は責任を負いません。実際の業務においては,自己責任の下,必要に応じ適宜弁護士のアドバイスを仰ぐなどしてご対応ください。

(*) このシリーズでは,読者の皆さんの疑問・質問なども反映しながら解説して行こうと考えています。もし,そのような疑問・質問がありましたら,以下のメールアドレスまでお寄せ下さい。全て反映することを保証することはできませんが,筆者の知識と能力の範囲内で可能な限り反映しようと思います。

review「AT」theunilaw.com (「AT」の部分をアットマークに置き換えてください。)

 

 

【筆者プロフィール】

浅井 敏雄  (あさい としお)

企業法務関連の研究を行うUniLaw企業法務研究所代表/一般社団法人GBL研究所理事

1978年東北大学法学部卒業。1978年から2017年8月まで企業法務に従事。法務・知的財産部門の責任者を日本・米系・仏系の三社で歴任。1998年弁理士試験合格 (現在は非登録)。2003年Temple University Law School  (東京校) Certificate of American Law Study取得。GBL研究所理事,国際取引法学会会員,IAPP  (International Association of Privacy Professionals) 会員,CIPP/E  (Certified Information Privacy Professional/Europe)

【発表論文・書籍一覧】

https://www.theunilaw2.com/

 

関連記事

More from my site

  • Q&Aで学ぶ契約書作成・審査の基礎 第4回 – 契約用語2021年7月15日 Q&Aで学ぶ契約書作成・審査の基礎 第4回 – 契約用語   契約書では、日常あまり使わない独特の用語・用法(以下「契約用語」という)が使われる場合があります。契約を一から作成するような場合、この契約用語の使い方に案外悩むのではないでしょうか。そこで、今回はこの契約用語について解説します。 なお、本Q&Aは、全く新任の法務担当者(新卒者や法学部以外の出身者を含む)も読者として想定しているので、基本的なことから解説 […]
  • ゼロから始める企業法務(第20回/法務担当者の選考方法)2021年7月12日 ゼロから始める企業法務(第20回/法務担当者の選考方法) 皆様、こんにちは!堀切です。 これから企業法務を目指す皆様、念願かなって企業法務として新たな一歩を踏み出す皆様が、法務パーソンとして上々のスタートダッシュを切るための「ノウハウ」と「ツール」をお伝えできればと思っています。今回は法務担当者の選考方法(必要な力量の洗い出しとその見極め方等)について記事にしたいと思います。   「1人法務」から「複数法務」 […]
  • Q&Aで学ぶ契約書作成・審査の基礎 第3回 – 契約のスタイル:契約書末尾2021年7月1日 Q&Aで学ぶ契約書作成・審査の基礎 第3回 – 契約のスタイル:契約書末尾   今回は, 前回に引続き契約書のスタイルやそれに用いる用語などに関し解説します。順番から言えば, 今回は, 契約書の本文(具体的条項部分)のスタイル等の解説ですが, それについては解説することが多いので, 先に, 契約書末尾について解説します。 なお, 本Q&Aは, 全く新任の法務担当者(新卒者や法学部以外の出身者を含む)も読者として想定しているので, […]
  • 2021年7月1日 GDPR関連資格をとろう!Q&Aで学ぶGDPRとCookie規制(35)-受領者への通知/データ・ポータビリティーの権利   今回は, ①管理者が, データ主体の要求に応じ行った個人データの訂正, 消去または処理制限を, その個人データを開示(提供)した各受領者に通知すべき義務, および, ②データ主体のデータ・ポータビリティーの権利に関し解説します。      【目  次】 (各箇所をクリックすると該当箇所にジャンプします) Q1: […]
  • 2021年6月1日 GDPR関連資格をとろう!Q&Aで学ぶGDPRとCookie規制(33)-アクセス権(2)   今回は前回解説したアクセス権に関し, 仮の事例ですが具体的事例でアクセス権への実際の対応方法について考えてみましょう。 なお, この事例は, 世界的情報プライバシー団体であるIAPP(The International Association of Privacy Professionals)の認定資格であるCIPP/E(Certified […]
to top