オーストリアオーストリアの判例法の動向：データプライバシー侵害とGDPR

オーストリア連邦行政裁判所（Bundesverwaltungsgericht、BVwG）は、2020年11月26日に下した最新の判決^[1]において、オーストリアのデータ保護当局（DPA）がオーストリア郵便公社（APS）に課した1,800万ユーロの罰金を覆した。この事件は、BVwGが別の判決^[2]で検討したのと同じ事実が中心となっており、裁判所は、個人的な住所や想定される政治的忠誠心などの顧客の個人データを違法に処理し、マーケティング目的で第三者に販売したとして訴えられたAPSに対するDPAの行政処分を支持した。

BVwGは、APSの行為が違法であることを認めつつも、APSを代表して行動する法人および自然人の双方に当該罪責の責任があったことを立証するのが不十分であったとして、DPAの処罰を覆した。

事実関係

この事件の事実上の起源は、2019年1月のジャーナリズム・プラットフォームAddendumによる報告に遡り^[3]、個人的な住所、性別、年齢、学歴、投資や寄付に関する嗜好に関する情報に加えて、APSは約300万人の顧客の政治的傾向に関するデータも収集していたと述べている^[4]。

職権による調査の結果、DPAは次のように述べた：

• 法的根拠なく社会人口統計学的要因を調査し、個人の政治的嗜好に関する情報を処理する行為は、一般データ保護規則（規則（EU）2016/679）（GDPR）第9条1項に基づく特別な個人データのカテゴリーに該当するため、関係者による事前の明示的な承認が必要であると結論づけた（GDPR第9条2項（a）、Gewerbeordnung（GewO）第151条4項）；
• 2週間以内にデータ処理を停止し、既に収集された情報を削除するよう命じた；
• APSは（2018年5月25日以前に）適切なデータ保護影響アセスメントを実施しておらず、政治的所属を個人データの特別なカテゴリーとして考慮することを誤っていたと判断。

APSは控訴により反論し、一般的な予測を提供する匿名化された世論調査を通じて収集された情報であることを考慮すれば、私人の政治的親和性に関する情報は個人データには該当しないと主張した。これらの確率計算は修正することができないため（GDPR第16条）、マーケティング情報とみなされ、GewO第151条6項に従って分類される。しかし、個人データとみなされたとしても、後者の特別なカテゴリーには該当しないことが追加された。

最近では、11月にBVwGがDPAの決定を確認し、政党との親和性に関するデータ処理行為はGDPR第4条1項に従って個人データとして適格であるとした。取得された情報が、GDPR第9条に基づき差別から保護されるべき政治的信条を持つ、具体的に特定可能な私人に割り当てられる可能性があることを考慮すると、それは特別なカテゴリーの個人データとして扱われるため、事前の同意が必要となる。この部分は現在、オーストリア最高行政裁判所（Verwaltungsgerichtshof、VwGH）で係争中である。

しかし、本稿で検討するのは、同事件の別の法的側面に関するものである。

上記の事実を踏まえ、本件はAPSによるGDPR第5条1項、第6条2項、第6条4項、第9条、第14条、第30条、第35条、第36条違反の疑いが中心となっている。この事件は、APSのために行動する自然人側の過失を立証することなく罰金を科したという主張（GDPR第4条7項）に基づいてAPSが提出した上訴に続くものである。

以下では、VwGHが先に下した結論に照らして、DPAの制裁金を覆すというBVwGの最近の決定に焦点を当てる。同裁判所では、法人が責任を負うためには、申し立てられた事実上の違法かつ有責な行為も自然人に起因するもの（VStG第44a条）でなければならないとした^[5]。

論点

GDPRは、私人による個別の不正行為を証明することなく、法人に直接責任を負わせることを意図し、実際に規定しているため、BVwGは以下を検討する必要があった：

1. 法人を代表して行動する自然人による有責行為が証明されない場合、DPAがGDPR第83条に基づき法人に罰金を課す権利があるかどうか；

2. 国内行政刑法規則の適用が認められるか、または検討中の問題がGDPR規則に照らして検討されるべきかどうか。

判決

裁判所は、GDPR第83条の規定に基づいて課されたDPAの罰金は、オーストリアのデータ保護法（Datenschutzgesetz, DSG）だけでなく、オーストリアの行政刑罰法（Verwaltungsstrafgesetz, VStG）の規定にも該当するとした。第83条(8)には以下のように記載されているため、GDPRの違反により課される罰金については、国内手続規則が適用される：監督当局による権限の行使は、実効的な司法救済および適正手続を含む、連邦法および加盟国法に従った適切な手続上の保護措置に従うものとする」^[6]。

さらに、DPAは、APSを代表し、APSの内部で支配権を行使し、APSを代表して意思決定を行う個人など、APSを代表して行動した自然人の一部について有責性を証明することを怠ったことにより、第44a条、第45条VStGおよび第30条DSGに従って行動することができなかった。

コメント

APSに課された罰則はBVwGによって覆されたかもしれないが、その決定はDPA側の形式的なミスに基づくものである。そのため、これは別個に扱われるべきものであり、政党との個人的親和性に関するデータ処理行為が責任を生じさせると結論づけられたBVwGの先の裁定と対立するものではない。

リソース

1. ロケット番号ロケット番号W258 2217446-1/14E。https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=c4b7610d-5502-49f6-af50-791b9361c9f1&Position=1&SkipToDocumentPage=True&Abfrage=Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2227269_1_00
2. ロケット番号ソケット番号W258 2217446-1/35E。https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=e9b780cb-e5e0-4be8-81e7-7a49b08cc25b&Position=1&SkipToDocumentPage=True&Abfrage=Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&。GZ=&VonDatum=&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2217446_1_00.
3. "Wenn Die Post Partei Ergreift." Addendum, 28 July 2020,www.addendum.org/datenhandel/parteiaffinitaet/[accessed 10.12.2020].
4. 詳細については、「2019年と2020年のマイルストーンと展望」（2019.10.29）と題するオーストリアの郵便事業のプレスリリース、および「Österreichische Post AGに対するオーストリアのデータ保護当局の行政刑事手続」（2019.10.23）と題する欧州データ保護委員会のプレスリリース（https://edpb.europa.eu/news/national-news/2019/administrative-criminal-proceedings-austrian-data-protection-authority_fr）を参照されたい。
5. ロケット番号R2019/04/0229。Available via:https://www.ris.bka.gv.at/Dokumente/Vwgh/JWT_2019040229_20200512J00/JWT_2019040229_20200512J00.html.
6. "Art. 83 GDPR - General Conditions for Imposing Administrative Fines." General Data Protection Regulation (GDPR), 29 Mar. 2018,gdpr-info.eu/art-83-gdpr/[accessed 14.12.2020].

本記事の内容は、主題に関する一般的なガイドを提供することを意図しています。具体的な状況については、専門家の助言を求めるべきである。