欧州データ保護監察機関（EDPS）は2026年10月、EU出版局から The European Data Protection Supervisor before the Court of Justice of the European Union（57頁、doi:10.2804/9018731）を刊行した。EDPSは加盟国のデータ保護当局とは別の組織で、EUの機関・組織自身による個人データ処理を監督する独立機関である。本書は2004年の設立20周年を記念する判例集で、2005年の初介入から2024年のHadopi判決、さらに単一破綻処理委員会（SRB）事件の上訴審まで、約25件の訴訟を9つのテーマに分けて収める。各事件には要約と、EDPS弁論書・法務官意見・判決へのリンクが付く。巻末には歴代訴訟代理人8名の回想を置き、序文を初代監察官ピーター・ハスティンクス（在任2004年1月〜2014年12月）、結語を現監察官ヴォイチェフ・ヴィェヴィオロフスキが書いている。本書はEDPS自身の記念出版であり、自機関の貢献を前面に出す編集になっている。元担当者ヒルケ・ハイマンスは独立性判例について「成功の親は多いが、この件では疑いなくEDPSだ」とまで書く。その一方で、敗訴や、裁判所が提案を全面的には採らなかった経緯も記録しており、その点で単なる顕彰録とは性格が異なる。
介入権という制度的発明
ハスティンクスによれば、EDPSはEU司法裁判所の訴訟に介入できる、EU域内で唯一のデータ保護当局である。現行の根拠は規則2018/1725にある。ただ、前身の規則45/2001にこの条項が入った当時は、法的に成り立つかどうかに疑問があった。裁判所規程と判例が、介入できる者を加盟国、主要機関、利害を立証した当事者に限っていたためである。転機は、欧州議会が米国への航空旅客予約記録（PNR）提供に関する理事会決定と委員会決定を提訴した事件であった（C-317/04およびC-318/04、2006年5月30日判決）。裁判所は、規則45/2001は1997年のアムステルダム条約で挿入された旧EC条約286条を具体化するものであり、その限りで裁判所規程から逸脱しうるとして、EDPSの介入を認めた。判決自体は、十分性認定は公共の安全と法執行に関わる処理でデータ保護指令95/46/ECの適用範囲外であり、理事会決定も旧EC条約95条では正当化できないとして、法的根拠の誤りを理由に両決定を無効とした。ハスティンクスもハイマンスも、EDPSの実体的主張の影響は小さかったと認めている。そのうえで、直接訴訟への介入権を確立したこと自体を最大の成果としている。
もう一つの経路は、各国裁判所がEU法の解釈を求める先決裁定手続である。この手続でEDPSが自発的に介入することを、司法裁判所は一度も認めていない。代わりに、裁判所規程24条2項に基づき、裁判所がEDPSを情報提供者として「招請」する慣行が生まれた。最初の例はDigital Rights Ireland事件で、当時はあまりに異例だったため、判決文にEDPSの関与が記載されなかったという。
監督機関の「完全な独立性」
ハイマンスが実体面での最初の大きな成功と呼ぶのが、委員会対ドイツ事件（C-518/07、2010年3月9日判決）である。争点は、民間部門の処理を監視する州の監督機関を国家監督の下に置く制度が、指令95/46/ECの「完全な独立性」に反するかどうかであった。裁判所は、国家監督を含むあらゆる外部影響からの自由が必要であり、政治的影響の危険があるだけで独立性は損なわれると判断した。判決35段落は、民間主体の処理が問題となる場面では政府自身がデータ保護規定を遵守しないことに利益を持ちうる、というEDPSの指摘をそのまま引用している。監督機関は監督対象からだけでなく政治からも独立すべきだという論理は、いまではGDPR51〜54条の前提として当然視されている。しかしハイマンスは、当時はまったく自明ではなかったと書いている。
続く委員会対オーストリア事件（C-614/10、2012年10月16日判決）では、三つの点が独立性違反とされた。業務責任者が監督に服する連邦公務員であったこと、機関が連邦首相府に組み込まれていたこと、首相が業務について無条件の情報請求権を持っていたことである。他方で、独立した予算までは必須でないとされた。委員会対ハンガリー事件（C-288/12、2014年4月8日判決）では、データ保護監察官の任期を、客観的に検証可能な理由なく途中で打ち切ったことが違反とされた。1970年代のハンガリーで育った代理人ジュジャンナ・ベレニェシは、口頭弁論の当日、ルクセンブルクの異常な渋滞に巻き込まれた。上司アンナ・ブフタと車中で瞑想テープを聴き、委員会側の同僚に法服の受け取りを頼み、駐車場から走って、裁判官の入廷にかろうじて間に合ったと回想している。
文書公開とデータ保護の衡量
EDPSが設立直後に取り組んだのが、文書公開規則1049/2001と規則45/2001の調整である。Bavarian Lager事件では、英国の独占購入契約をめぐって開かれた欧州委員会・英国当局・欧州共同市場醸造業者連盟（CBMC）の会合の議事録について、参加者5名の氏名の開示が争われた。現在は欧州委員会法務部に所属するヘルケ・クラーネンボルフによれば、EDPSは2006年2月に介入を決め、開示を支持した。データ保護当局が開示側に立ったのは、規則が機能する広い文脈を考慮した衡量の表明だったという。第一審裁判所は、組織の代表として名簿に名前が載るだけではプライバシーの侵害にあたらないとして、委員会の拒否を無効とした（T-194/04、2007年11月8日判決）。しかし司法裁判所は上訴審でこれを破棄した（C-28/08 P、2010年6月29日判決）。名簿は個人データにあたり、参加者の同意もなく、請求者は移転の必要性を示していないとして、5名の氏名を削除した版の公開で足りるとしたのである。EDPSはこの判断に沿ってEU機関向けの指針を作り直し、以後も同種の事件に介入を続けた。
その後の判例は、開示を求める側が必要性を具体的に立証すれば開示が認められる方向へ進んだ。Dennekamp対欧州議会事件は、欧州議会議員の追加年金制度への加入者名簿をめぐる事件である。第一審（T-82/09、2011年11月23日判決）は請求を棄却した。しかし四つの文書類型について改めて請求した二度目の訴訟（T-115/13、2015年7月15日判決）では、公人の正当な利益は保護の程度が低く、利益相反の開示は公益に資するとして、制度に関する採決に参加した加入議員の氏名の開示が認められた。ClientEarthとPAN Europe対欧州食品安全機関（EFSA）事件（C-615/13 P、2015年7月16日判決）では、草案に意見を寄せた外部専門家の氏名が争われた。司法裁判所は、職業活動の一環で提供された情報も、既にEFSAのサイトで公表されていても個人データであり、個人データは私生活に関するデータと同じではないとした。そのうえで、透明性への抽象的な言及は開示の必要性の立証にならないが、プライバシーへの悪影響を一般的に主張するだけでも拒否は正当化されないとして、EFSAの拒否決定を無効とした。Valero Jordana事件（T-161/04、2011年7月7日判決）でも、採用予備名簿と任命決定へのアクセス拒否が無効とされている。
採用手続と損害賠償
V対欧州議会事件（F-46/09、2011年7月判決）では、採用前の健康診断で不適格とされ、雇用の申し出を撤回された応募者が訴えた。公務員裁判所は、医務官の意見を上訴医療委員会で争う機会を与えなかったことを聴聞権の侵害とした。また、本人の同意なく医療データを第三者に移転することは私生活の尊重を侵害すると判断した。代理人マリア・ベロニカ・ペレス・アシナリによれば、事案の核心は、健康データが欧州委員会から欧州議会へ違法に移転され、さらに処理されたことにあった。EDPSが特に注目したのはデータの正確性で、ある時点で有効だった検査結果が一定期間後も有効とは限らないという問題である。裁判所は、管理者がEDPSの事前審査で届け出た内容と届け出なかった内容を精査し、応募者が有期採用の真の機会を奪われたと認定した。賠償額は物的損害5,000ユーロ、非物的損害20,000ユーロである。アシナリは、EU機関のデータ保護違反責任を評価した先駆的判決と位置づけている。
対照的に、Pachtitis事件は「見逃された機会」として記録されている。ギリシャ語言語職の選考で上位者名簿から外された応募者について、公務員裁判所（F-35/08、2010年6月15日判決）は、欧州人事選考局（EPSO）には試験内容の決定や採点の権限がないとして、除外決定を無効とした。一般裁判所も上訴審でこれを維持した（T-361/10 P、2011年12月14日判決）。EDPSが論じたかったのは、応募者が自分の解答と正答の記号は入手できたのに、設問そのものへのアクセスを拒否された点であった。EDPSの主張は三段階で組み立てられていた。設問は解答という個人データを理解可能にするために必要な情報であり、自動化された決定の論理を知る権利の対象でもある。採点過程は自動化された個人決定にあたり、EDPSは事前審査でアクセス権の尊重を保護措置として承認していた。したがって、その措置が機能していなければ承認の前提が崩れる。しかし裁判所は、この部分について判断しても原告に利益がないとして判断を示さなかった。
通信データ保持判例の系譜
本書で最も紙幅が割かれ、回想も集中しているのがデータ保持である。
| 事件 | 判決日 | 対象 | 判断の要点 |
|---|---|---|---|
| C-301/06 アイルランド対欧州議会・理事会 | 2009年2月10日 | データ保持指令の法的根拠 | 域内市場条項（旧EC条約95条）で適法 |
| C-293/12, C-594/12 Digital Rights Ireland | 2014年4月8日 | 指令2006/24/EC | 比例性を超え無効 |
| C-623/17 Privacy International | 2020年10月6日 | 英国：情報機関への一般的移転 | 電子プライバシー指令の範囲内、一般的移転は違法 |
| C-511/18ほか La Quadrature du Net | 2020年10月6日 | 仏・ベルギー：一般的保持 | 国家安全保障上の深刻な脅威時のみ例外 |
| C-140/20 G.D. | 2022年4月5日 | アイルランド：重大犯罪 | 警察官は独立審査機関にあたらない |
| C-793/19, C-794/19 SpaceNet | 2022年9月20日 | ドイツ電気通信法 | 短期の保持でも重大な介入となりうる |
| C-339/20, C-397/20 VD・SR | 2022年9月20日 | 仏：市場不正対策の1年保持 | 市場阻害行為の指令・規則は根拠にならない |
| C-470/21 Hadopi | 2024年4月30日 | 著作権侵害対策とIPアドレス | 分離保持を条件に一般的保持を容認 |
Digital Rights Ireland判決は、通信データから個人の習慣・移動・社会関係が詳細に推知されうることを指摘した。そのうえで、対象の広さ、保持の区別の欠如、アクセスの客観的基準の欠如、濫用への保障の不足、独立機関による統制の欠如を理由に指令を無効とした。ただし、権利の本質までは侵害していないとも述べている。EDPS訴訟部門長のブフタは、この判決について広く流布している誤解を正している。判決はメタデータの保持自体を違法としたのではなく、強固な保障を伴い、一般的・無差別でないことを要件としたにすぎないという。 2019年夏、EDPSは裁判所規程24条に基づき、英国・フランス・ベルギーの3事件に招請された。問われたのは、電子プライバシー指令2002/58/ECの適用範囲と、IPアドレスなどのメタデータが通信内容をどこまで明らかにするかであった。ブフタは、EDPSが弁論で示した三つの主張を挙げている。第一に、基本権憲章6条（自由と安全への権利）は国家「を通じた」安全ではなく、国家に「対する」個人の自由と安全を保護するという解釈であり、これは後の判決に反映されたという。第二に、それ以前の判例が示唆していた地理的限定による保持への反論である。地理的限定は必然的に差別的な結果を生み、また保持は普遍的でなければ実効性を持たない、というのがその理由であった。後に通信事業者も、地理的限定保持はほぼ実装不可能だと認めたという。第三に、代替案として「限定的だが実効的な」制度を提案した。保持するデータの類型を明確に定義し、アクセスへの保障を大幅に強化し、保持とアクセスを一体として設計するという構想である。ブフタは、この立場が既存のデータ保護の正統的見解に挑戦するものだと自覚していたと書く。裁判所は全面的には採らなかったが、その判決とHadopi判決に柔軟性の痕跡が見えるという。
後続判決は、許容される類型を具体化していった。G.D.事件は殺人罪で有罪となった者が証拠能力を争った事件で、判決は対象を限定した保持、IPアドレスの一般的保持、民事上の身元データの保持、迅速保全を許容した。そのうえで、アクセスには裁判所か独立行政機関による事前審査が必要で、警察官はそれにあたらないとした。SpaceNet判決は、私生活について精密な推論を可能にするデータであれば、短期間の保持でも重大な介入になりうるとした。VD・SR事件は、フランス金融市場庁がインサイダー取引の捜査で集めた通話データをめぐる事件である。Hadopi事件では、P2P上の著作権侵害者のIPアドレスを収集し、事業者から身元データを取得する段階的対応制度が問われた。判決は、データ類型が厳格に分離され精密な推論が不可能であれば、IPアドレスの一般的保持と身元データへのアクセスを許容した。法務官意見は2022年と2023年の2本が出され、事件は27人の全員法廷に回付された。デジタル権利の事件としては初めての全員法廷である。G.D.以降の4事件を担当したダニエレ・ナルディは、自身もすべての結論を理解できているわけではないと認めつつ、憲法裁判所としての司法裁判所を信頼するとし、EDPSが目指したのは「執行され、執行可能なデータ保護」だったと総括している。
PNR・越境移転・実質的所有者登録
意見1/15（EU・カナダPNR協定案、2017年7月26日）で、裁判所は、保持期間、収集データの範囲、機微データへの保障の欠如などを理由に、協定案はそのままでは締結できないと判断した。本書の要約は保持期間を「無期限」と記しているが、協定案の規定は5年であり、裁判所が主に問題にしたのは出国後も一律に保持し続ける点である。代理人ロマン・ロベールは2015年1月に着任し、その1年後に法廷に立った。EDPSは、国際協定によってEU域外に出た個人データへの不可欠な保障を回避することはできないと主張した。ロベールは、裁判所が欧州委員会に対し、なぜ2005年と2008年のEDPS意見を無視し、乗客の権利の守護者の役割を果たさなかったのかと問いただした場面を記憶しているという。Ligue des droits humains事件（C-817/19、2022年6月21日判決）は、PNR指令を限定的解釈を条件に有効とした。そのうえで、EU域内便への適用は、真正かつ現存するテロの脅威がない限り、リスクの兆候がある路線・渡航パターン・空港に限られるとした。
Schrems I事件（C-362/14、2015年10月6日判決）は、2000年から運用されていたセーフハーバー枠組みと十分性決定を無効とし、各国監督機関は委員会の決定にかかわらず移転を停止できるとした。後継のプライバシー・シールドも、Schrems II事件（C-311/18）で無効とされている。ドックシーの回想は、本書で法的に最も踏み込んだ記述である。先決裁定手続では欧州委員会が裁判所の主たる助言者となり、EDPSには介入権がない。しかし2013年6月のスノーデン暴露を受けて、裁判所はEDPSを招請した。付託された問いは、十分性決定が監督機関による監督を排除できるかどうかであり、EDPSは委員会に監督機関の完全な独立性を覆す権限はないと主張して、これが認められた。裁判所はさらに、付託されていない十分性そのものについても検討を求めた。そこでEDPSは、基本権憲章52条1項にいう権利の「本質」の侵害まで主張するかどうかを検討した。Digital Rights Ireland判決は、通信内容を保持対象としていないことを理由に本質の侵害を否定していた。これに対し、米国の情報機関は通信内容にアクセスしており、それを制約する保障も見当たらなかった。そこでドックシー、ブフタ、ペレス・アシナリの3名は、本質侵害を主張しに法廷へ赴いた。同様の介入が相次ぎ、裁判所が委員会を集中的に質問する異例の口頭弁論になったという。
WM・Sovim事件（C-37/20, C-601/20、2022年11月22日大法廷判決）は、マネーロンダリング対策指令を改正した指令2018/843が、実質的所有者情報をあらゆる場合に一般公衆へ公開させる規定の有効性を争った事件である。マリオ・グリエルメッティによれば、裁判所がEDPSの意見1/2017（2017年2月2日）と意見12/2021（2021年9月22日）に着目したことが、2021年10月19日の口頭弁論への招請につながった。判決は、介入の存在、介入の重大性（無制限の人数への公開）、正当化（法律の根拠、本質の尊重、公益目的）、比例性（実効性と、目的・介入の重大性の衡量）という4段階で審査した。グリエルメッティは、これを2019年12月19日のEDPS比例性評価指針の「試金石」と呼んでいる。判決85段落は、一般公開は旧制度に比べ著しく重大な介入であり、資金洗浄対策上の利益によって相殺されないとした。2024年2月28〜29日、グリエルメッティはアムステルダム大学情報法研究所の研修会で透明性への「損害」を確かめ、2024年5月30日に採択された規則パッケージの新指令12条・13条が、記者や市民社会組織を正当な利益を持つ者として位置づけたことに安堵したと書き、「終わりよければ、すべてよし？」と疑問符付きで結んでいる。
仮名化データと「誰の視点か」
最新の事件は、Banco Popular Españolの破綻処理で、SRBが株主・債権者の意見をデロイトに提供しながら、そのことを本人に通知しなかった事案である。EDPSはこれを規則2018/1725第15条の情報提供義務違反と認定した。一般裁判所（T-557/20）は、デロイトが受け取った情報は個人データではないとしてEDPSの決定を無効とした。これに対し司法裁判所（C-413/23 P）は第一審判決を破棄した。意見は投稿者個人の見解である以上、内容・目的・効果を検討するまでもなく本人に関連する情報だとしたのである。一方で、仮名化データがあらゆる場合に誰にとっても個人データになるわけではないという第一審の判断は維持した。そのうえで、情報提供義務は本人と管理者の関係の一部であるから、識別可能性は第三者への移転前、つまり収集時点の管理者の視点で判断すべきだとした。トーマス・ゼルディックは、かつて欧州委員会職員としてGDPRの仮名化規定の交渉に関わった。その彼が今度はEDPS代理人として、再識別が可能な限り仮名化データは個人データであり続けると弁論したことになる。ゼルディックはこれを、交渉、起草、監督、司法審査というEU法の形成過程を一巡する経験だったと書いている。
構造的読解と偽情報研究への含意
以下は判例集の記述ではなく、編者による読解である。本書を通読すると、EDPSの法廷戦略には一貫した軌跡が見える。2006年のBavarian Lager事件で開示側に立ったこと、データ保持事件で地理的限定保持を差別的として退け、限定的だが普遍的な保持を提案したことは、いずれも「データ保護の最大化」ではなく「執行可能な衡量」を志向する立場である。ナルディとブフタの回想は、この立場が既存の正統的見解と緊張関係にあったことを当事者の言葉で記録しており、その点に本書の資料的価値がある。
偽情報・影響工作の研究と対策にとって、収録判例には少なくとも四つの接点がある。第一に、Hadopi判決とG.D.判決は、匿名の発信者を国家機関が特定する経路の法的上限を定めている。IPアドレスと身元データの結び付けは分離保持を条件に広く許される。これに対し、通信履歴や位置データは、国家安全保障上の深刻な脅威がない限り、対象を限定した保持と独立機関の事前審査に縛られる。第二に、WM・Sovim判決の後、複数の加盟国が実質的所有者登録の一般公開を停止し、影響工作の資金網やペーパー会社の実体を追う調査報道は打撃を受けた。新指令が定める正当な利益の枠組みが記者と市民社会組織をどこまで救うかは、各国の運用次第である。第三に、SRB判決の相対的な識別可能性の考え方は、デジタルサービス法40条に基づく審査済み研究者のデータアクセスに直結する。仮名化データセットが研究者にとって個人データにあたるかどうかは、研究者が持つ再識別手段によって判断されうる。一方で、プラットフォーム側の通知義務は収集時点で判断される。第四に、デジタルサービス法50条はデジタルサービス調整官に「完全な独立性」を求めている。この文言の解釈では、2010〜2014年の3判決が示した基準、すなわち政治的影響の危険、組織的な従属、任期保障が参照点になる。加えて、ClientEarthとDennekampで確立した、意思決定に関与した者の氏名を開示させる論理は、政策形成への影響力を可視化する透明性研究にとっても実用的な判例である。
コメント