EU:EU代理人に関するEDPBガイドライン

データ保護に関する一般規則(規則(EU)2016/679)(‘GDPR’)は、多額の罰金が科される可能性があることや、データ漏洩に関するマスコミの取材の可能性が含まれていることから、ニュースに値するように思われるが、すべての状況において明確であるとは限らなかった。欧州データ保護会議による GDPR の適用範囲に関するガイドライン 3/2018(第三条)(「ガイドライン」)は、2018 年 11 月に協議のために発行され、2019 年 11 月に改訂されて正式に採択されたものであり、企業に説明を提供することを目的としている。DPR Group のマネージング・ディレクターである Tim Bell 氏が、EU 代理人の任命に関する企業向けガイドラインの明確化と、この役割の責任と義務について議論している。

EU 域外に拠点を置く企業にとって、大きなニュースは常に域外への影響についてである。EU保護下にある個人データを処理する場合、データを処理する会社の一部分も EU 域内にない場合であっても、EU は世界中のいかなる会社もその管轄下にあるとみなすという事実がある。本ガイドラインは、EU 域内に設立されていない企業が GDPR の適用範囲に含まれるか否かに関する問題を明確にする上で極めて有益である。すべてのケースに当てはまる万能のテストが存在しないため、ある程度の不確実性は残ってしまう。したがって、各ケースはそれぞれの評価に基づいて判断されるが、全体的な位置づけははるかに明確になる。

それでもやはり、EU 域外の企業の問題はあまり注目されていない。だがガイドラインで明確化されている問題は、GDPR 第 27 条に基づく EU 代理人の問題である。基本的には、EU 域内に拠点を持たない企業は、データ管理者または処理者として行動するかどうかにかかわらず、EU 域内で製品を販売したり EU 域内の人々を監視したりする場合 EU 代理人を任命する必要がある。例外はあるが、原則として、EU にオフィスがなく、かつ EU の個人データを処理する場合は、EU 代理人が必要になる。第 1 版でのガイドラインには、EU 代理人の任命、運営、責任に関するいくつかの主要な原則を確立する上で非常に有益なことが書かれており、最終版では、残っていた空白部分のいくつかについても追加されている。