著者紹介
オーストリア最高裁判所（Oberste Gerichtshof、OGH）は、2021年4月15日に下した最近の判決において、政党への支持者に関するデータの処理は、特別なカテゴリーの個人データに該当すると判断した。これは、当該データが匿名化された世論調査や統計に基づくものであっても適用される。
さらに、TFEU267条に基づく予備判決請求により、OFEUは、政党との親和性に関するデータの取り扱いは特別なカテゴリーに属すると判断した。267TFEUに従い、欧州人権高等弁務官事務所（OGH）はGDPR82条の解釈に関する基本的な質問を欧州裁判所に提出した。82の解釈に関する基本的な質問を欧州司法裁判所（CJEU）に提出した。具体的には、GDPR違反に基づく損害賠償の要件およびGDPR第82条に基づく損害賠償の評価について明確化を求めた。82 GDPRに基づく損害賠償の要件の明確化を求めた。
事実関係
本件の基礎となる事実は、別の法的紛争（6Ob35/21x）に端を発している。
- 被告は、オーストリア取引規制法（Gewerbeordnung 1994、GewO）151条に基づき、住所発行者（「Adresshändler」）として第三者のマーケティング目的で個人データを販売していた；
- 被告が収集した情報には、オーストリア国民の政党親族に関する詳細が含まれていた；
アクセス要求（GDPR第15条）の後、原告は、被告が原告の政治的親和性をオーストリア自由党（FPÖ）と推定していたことを知った； - 対象者の親和性に関する情報は、社会人口統計学的特性に従って「ターゲットグループのアドレス」を定義するアルゴリズムの使用によって導き出された；
- データの処理および保存に関して同意が得られないまま、原告は以下の請求を行った：
- 推定される政治的見解に関するデータを被告が処理することを防止するための差止命令；
- 侮辱的で恥ずべきものであり、信用を傷つけるものであると判断された、自分に割り当てられた政党との関連性の結果生じた非物質的損害に対する1,000ユーロの賠償。
差止請求はウィーン民事裁判所（Landesgericht für Zivilsachen）により支持されたが、損害賠償は、賠償可能な非物質的損害の基準値を満たさないという理由で却下された。この決定は高等裁判所（Oberlandesgericht）により確定された。この決定は、両当事者によって上訴された。
法的問題
高等法院の判決は、1）政党との親和性に関するデータが個人データに該当するか（GDPR4条1項）、2）当該データが特別カテゴリーの個人データに該当するか（GDPR9条）、3）被告は今後原告のデータ処理を継続しないようにしなければならないか、4）データ処理が原告に補償を受ける権利を与えるか（GDPR82条）に焦点を当てた。
司法省による一部判決
- 個人データ（GDPR第4条1項
- 個人データとは、特定または識別可能な自然人（「データ主体」）に関するあらゆる情報を指す；
- 識別可能な自然人とは、直接または間接的に、識別子を参照することによって識別できる者でなければならない；
- 個人データには、主観的および／または客観的な評価（すなわち、世論調査／統計などの非個人データ）を用いて得られたデータも含まれるとされ、「政党との親和性」を特定／識別可能な自然人に直接割り当てることが可能になった；
- 主張されている親和性の妥当性は、ここに無関係である；
- その情報が、対象者が想定する特定の政党への関心を表現したものにすぎないという事実も同様に重要ではない[1]。
特別カテゴリーの個人データ（GDPR第9条）
- 政治的意見」という用語は、均一かつ高水準の保護を保証するために広く解釈される；
- 特定の種類のデータを処理した結果、深刻な差別が生じるリスクはすべて排除されなければならない；
- 対象者の政治的嗜好に関するデータは、潜在的な差別を生じさせるため、GDPR第9条に従い、政治的意見の範囲に含まれるとみなされなければならない[2]。9 GDPR[2]に従って政治的意見の範囲に含まれるものとみなされなければならない。
救済（GDPR第79条）
- 効果的な司法救済を受ける権利は、GDPR第79条により保証されています。GDPRの規定に準拠していない個人データの処理の結果、データ主体の権利が侵害された場合、GDPR第79条に基づき、効果的な司法救済を受ける権利が保証されます；
- データ主体による明示的な同意がない場合、政党との親和性に関するデータ処理は、それ自体が9(2)(a)に基づき違法とみなされる；
- 関連するデータが削除された／公表されなかった、つまり内部で行われたが外部には公表されなかったという事実は、当該データが将来（再）作成される危険性を除去するものではないため、重要ではない；
- 将来データが再作成される可能性がある場合、差止命令は支持される。
CJEUに付託された問題
オーストリア最高裁判所は、TFEU267条に基づき、CJEUによる予備的判決を要求した。267 TFEUに基づき、GDPR第82条に規定される損害賠償請求の解釈と適用について、CJEUによる予備判決を求めた。82 GDPRに規定されている損害賠償請求の解釈と適用についてである。
特に、CJEUは以下の点を明らかにするよう求めている：
- 損害賠償請求は、GDPR条項の違反に加えて、原告が具体的な損害を被ったことを要求するのか、あるいは、当該違反が損害賠償の対象となるのに十分であるのか；
- 損害賠償の評価において、実効性と同等性の原則を超えるEU法の追加要件を国内裁判所が考慮しなければならないかどうか；
- 非懲罰的／非物質的損害賠償の閾値は、侵害が、当該侵害によって引き起こされた怒りや迷惑を超える、一定の程度または重さの結果をもたらすことを要求するかどうか。
通常、集団請求によって追求されますが、GDPR条項の侵害の結果、物質的または非物質的損害を被った者は、GDPR第82条に基づき法的訴訟を提起する権利を保持します。82 GDPRに基づき法的措置を講じる権利を有する。
企業は、データ損失に関する報道を注意深く監視し、データ保護違反の指標を早期に特定することで、既存のデータ保護規制の不備を迅速に修正することができます。さらに、文書化と内部プロセスをGDPRの原則と実施要件に確実に一致させることも有益であろう。そのためには、GDPR第82条に関連する過去の決定を見直す必要がある。82 GDPRに関連する国内およびEUレベルでの過去の決定を見直すことは有益である。司法高等弁務官事務所（OGH）による予備的質問の欧州司法裁判所（CJEU）への付託に基づき、損害賠償に関するデータ保護法の統一的な解釈を可能にする重要な基礎が築かれたことは明らかである。
リソース
- 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG) も参照。
- W258 2217446-1 (BVwG)も参照のこと。
本記事の内容は、主題に関する一般的なガイドを提供することを意図しています。具体的な状況については専門家の助言を求めるべきである。