欧州 EDPB データ保護責任者 (DPO) の役割と認知を促進するための改善点

こんにちは、丸山満彦です。

EDPBがGPDRが施行されてから5年を迎えるということで、各組織に設置されることになったデータ保護責任者 (Data Protection Officer; DPO) の能力が十分か等の状況について調査をしていますね。。。

次のような課題があると認識したようですね。。。

• DPOの指定が必須であるにもかかわらず、指定されていない。
• DPOの専門的知識とトレーニングが不十分である。
• DPOは、GDPR/EUDPRの下で要求される業務を完全または明確に委託されていない。
• DPOの利益相反および独立性の欠如
• DPOによる組織の最高経営層への報告の欠如
• 監督当局からのさらなるガイダンスが必要

環境は違いますが、日本でも同じ項目で調査をしてみても面白いかもしれませんね。。。

● European Data Protection Board; EDPB

・2024.01.17 EDPB identifies areas of improvement to promote the role and recognition of DPOs

EDPB identifies areas of improvement to promote the role and recognition of DPOs	EDPB、DPOの役割と認知を促進するための改善点を特定
Brussels, 17 January - During its latest plenary, the EDPB adopted a report on the findings of its second coordinated enforcement action, which focused on the designation and position of Data Protection Officers (DPOs). The report is the result of an EU-wide coordinated investigation and lists the obstacles currently faced by DPOs, along with a series of recommendations to further strengthen their role.	ブリュッセル、1月17日 - EDPBは最新の本会議で、データ保護責任者（DPO）の指名と地位に焦点を当てた第2回協調執行行動の調査結果に関する報告書を採択した。この報告書は、EU全域を対象とした協調調査の結果であり、DPOが現在直面している障害と、その役割をさらに強化するための一連の勧告が記載されている。
Anu Talus, EDPB Chair said: “The Coordinated Enforcement Framework (CEF) enables data protection authorities (DPAs) to cooperate more closely on selected topics in order to achieve better efficiency and more consistency. DPOs play an important part in contributing to compliance with data protection law and promoting effective protection of data subject rights. Through the CEF, DPAs investigated whether DPOs have the means to fulfil their tasks, as required by the GDPR. The report provides an analysis of the challenges faced by DPOs, along with points of attention and recommendations to address these challenges.”	EDPBのアヌ・タルス委員長は次のように述べた： 「調整された執行枠組み（CEF）により、データ保護当局（DPA）は、より良い効率性と一貫性を達成するために、特定のテーマについてより緊密に協力することができる。DPOは、データ保護法の遵守に貢献し、データ主体の権利の効果的な保護を促進する上で重要な役割を果たしている。CEFを通じて、DPAはDPOがGDPRで要求される任務を遂行する手段を有しているかどうかを調査した。報告書は、DPOが直面する課題の分析と、これらの課題に対処するための注意点および推奨事項を示している。"
In the course of 2023, 25 DPAs across the European Economic Area (EEA) (including the EDPS) launched coordinated investigations into this topic. Various organisations, as well as DPOs were contacted across the EEA, covering a wide range of sectors (both public and private entities), and more than 17,000 replies were received and analysed. Extensive data was collected offering valuable insights into the profile, position and work of DPOs 5 years after the entry into application of the GDPR.	2023年の過程で、欧州経済領域（EEA）全域の25のDPA（EDPSを含む）がこのテーマについて協調調査を開始した。DPOだけでなく、さまざまな組織がEEA全域で、幅広い分野（公共事業体、民間事業体の両方）にわたって接触し、17,000件以上の回答が寄せられ、分析された。GDPRの適用開始から5年後のDPOのプロフィール、立場、仕事について貴重な洞察を提供する広範なデータが収集された。
Despite some concerns and challenges faced by some DPOs  (such as the lack of designation of a DPO, even if mandatory; insufficient resources or expert knowledge for the DPO; DPOs not being fully entrusted with the tasks required under data protection law; lack of independence or of reporting to the highest management), the results are encouraging. The majority of the DPOs interrogated declare that they have the necessary skills and knowledge to do their work and receive regular trainings; they have clearly defined tasks in line with the GDPR and do not receive instructions on how to exercise their duties. In addition, they indicate that they are consulted in most cases, and provided with sufficient information to fulfil their tasks, and their opinions are followed quite well. Moreover, most consider that they have the means to do their job. However, there are still too many DPOs who are not in such a position.	一部のDPOが直面している懸念や課題（DPOの指定が必須であるにもかかわらず指定されていない、DPOのためのリソースや専門知識が不十分、DPOがデータ保護法で要求される業務を十分に任されていない、独立性や最高経営層への報告が不足しているなど）があるにもかかわらず、結果は勇気づけられるものであった。質問したDPOの大半は、業務に必要なスキルや知識を持ち、定期的な研修を受けていること、GDPRに沿った業務が明確に定義されていること、職務の遂行方法について指示を受けていないことを表明している。また、ほとんどの場合、相談を受け、業務を遂行するのに十分な情報がプロバイダから提供され、その意見にはかなり従っていると回答している。また、ほとんどの場合、職務を遂行するための手段を備えていると考えている。しかし、そのような立場にないDPOもまだまだ多い。
In order to address the challenges identified, the report lists some recommendations for organisations, DPOs and DPAs to strengthen DPOs’ independence and to guarantee that they have the necessary resources to carry out their tasks. Among others, the report encourages DPAs to carry out more awareness-raising activities, information and enforcement actions. The report also encourages organisations to ensure that DPOs have sufficient opportunities, time and resources to refresh their knowledge and learn about the latest developments.	指摘された課題に対処するため、報告書は、DPOの独立性を強化し、任務遂行に必要な資源を保証するために、組織、DPO、DPAに対するいくつかの勧告を挙げている。なかでも報告書は、DPAに対し、啓発活動や情報提供、強制執行を強化するよう促している。報告書はまた、DPOが知識を新たにし、最新の動向を学ぶための十分な機会、時間、資源を確保するよう組織に奨励している。
The report is accompanied by two appendices: the statistics gathered during this action and the national reports of each participating DPA.	報告書には2つの附属書が付されている。この行動で収集された統計と、各参加DPAの国内報告書である。
The CEF is a key action of the EDPB under its 2021-2023 Strategy, aimed at streamlining enforcement and cooperation among DPAs. The CEF 2024 action will be on the implementation of the right of access by data controllers.	CEFは、EDPBの2021-2023年戦略における重要な活動であり、DPA間の執行と協力の合理化を目的としている。CEFの2024年アクションは、データ管理者によるアクセス権の実施に関するものである。

・2023.01.17 Coordinated Enforcement Action, Designation and Position of Data Protection Officers

・[PDF] Designation and Position of Data Protection Officers

エグゼクティブサマリー...

EXECUTIVE SUMMARY	要旨
In October 2020, the European Data Protection Board (EDPB) decided to set up a Coordinated Enforcement Framework (CEF) with a view to streamlining enforcement and cooperation among supervisory authorities, consistently with the EDPB 2021-2023 Strategy. A first CEF was conducted in 2021 on the Use of Cloud Services by Public Bodies.	2020年10月、欧州データ保護委員会（EDPB）は、EDPB 2021-2023年戦略と整合的に、執行と監督当局間の協力を合理化する観点から、調整執行枠組み（CEF）を設置することを決定した。最初のCEFは2021年に公共団体によるクラウドサービスの利用について実施された。
For the second CEF, the EDPB selected in September 2022 'the Designation and Position of Data Protection Officers' for its 2023 Coordinated Enforcement Action.	第2次CEFでは、EDPBは2022年9月に「データ保護オフィサーの任命と防御」を2023年の協調執行行動として選択した。
Throughout 2023, 25 supervisory authorities ('SAs') across the EEA launched coordinated investigations into the role of Data Protection Officers ('DPOs'). The CEF was implemented at national level in one or several of the following ways: (1) fact-finding exercise, (2) questionnaire to identify if a formal investigation is warranted, and/or (3) commencement of a formal enforcement investigation, or follow-up of ongoing formal investigations.	2023年を通じて、EEA全域の25の監督当局（SA）がデータ保護責任者（DPO）の役割について協調調査を開始した。CEFは、(1)実態調査、(2)正式な調査が必要かどうかを確認するためのアンケート、(3)正式な強制捜査の開始、または進行中の正式捜査のフォローアップ、のいずれか、または複数の方法で各国レベルで実施された。
Between November 2022 and February 2023, these supervisory authorities discussed the aims and the means of their actions in the context of the CEF. In this context, the SAs drafted a questionnaire in a neutral way so that it would be possible for either the controller/processor or the PO to fill it in.	2022年11月から2023年2月にかけて、これらの監督当局は、CEFの文脈における行動の目的と手段について協議した。この文脈で、監督機関は、管理者／処理者またはPOのいずれもが記入できるように、中立的な方法で質問票をドラフトした。
While doing this, they ensured that it would be possible for SAs to adjust the questionnaire or to draft their own, based on (or inspired by) the commonly drafted questionnaire. The present report aggregates the findings of all the supervisory authorities participating in the CEF. Particular attention is paid to challenges identified by supervisory authorities and/or respondents during the CEF action.	その一方で、SAが一般的に作成された質問票を基に（あるいはそれに触発されて）、質問票を調整したり、独自の質問票を作成したりすることも可能であることを確認した。本報告書は、CEFに参加したすべての監督当局の調査結果を集約したものである。特に、CEFの活動中に監督当局および／または回答者によって特定された課題に注目している。
These include issues such as insufficient resources allocated to DPOs, insufficient expert knowledge and training of DPOs and risks of conflicts of interests.	これには、DPOに割り当てられるリソースの不足、DPOの専門的知識やトレーニングの不足、利益相反のリスクなどの問題が含まれる。
This report provides, among other things, a list of recommendations that organisations, DPOs and/or SAs may take into account to address the challenges identified, without prejudice to the provisions of the GDPR/EUDPR and the powers of supervisory authorities.	本報告書は、特に、GDPR/EUDPRの規定および監督当局の権限を損なうことなく、特定された課題に対処するために、プロバイダ、DPOおよび/またはSAが考慮すべき勧告のリストを提供する。
List of recommendations / Points of attention	推奨事項／留意事項のリスト
Absence of designation of a DPO, even if mandatory	DPOの指定が必須であるにもかかわらず、指定されていない。
◦ More initiatives by SAs could raise awareness among organisations regarding their obligation to designate a DPO, including as to whether or not a DPO is actually required. Further guidance from SAs on the applicable requirements to designate a DPO, further awareness campaigns to promote existing guidance on this topic and enforcement actions can be part of the solution to educate controllers and processors.	◦ DPOが実際に必要かどうかも含め、DPOを指定する義務について、SAがさらにイニシアチブをとることで、組織間の認識を高めることができる。DPOを指定するために適用される要件に関するSAからのさらなるガイダンス、このトピックに関する既存のガイダンスを促進するためのさらなる啓発キャンペーン、および強制措置は、コントローラとプロセッサーを教育するための解決策の一部となり得る。
Insufficient resources allocated to the DPO	◦ DPOに割り当てられるリソースが不十分である。
◦ More initiatives and actions by SAs could incentivise organisations management to dedicate more resources to DPOs and their team.	◦ DPOとそのチームにもっと多くのリソースを割くよう、SAがもっとイニシアチブを発揮し、行動することで、組織の経営陣のインセンティブを高めることができる。
◦ At all times, controllers and processors must be performing an appropriate, case-by-case analysis of what resources a DPO needs. We recommend that controllers take this obligation seriously and are ready to show their work.	◦ コントローラーとプロセッサーは常に、DPOに必要なリソースをケースバイケースで適切に分析しなければならない。管理者はこの義務を真摯に受け止め、その仕事ぶりを示す用意があることを推奨する。
◦ Controllers and processors must carefully verify that the DPO has sufficient resources to properly exercise their functions. In some cases when employing an external DPO, this may require controllers and processors to verify how many clients that DPO has, to ensure that they have sufficient time and capacity to fulfil the relevant GDPR obligations.	◦ コントローラーおよびプロセッサーは、DPOがその機能を適切に行使するための十分なリソースを有していることを慎重に確認しなければならない。外部のDPOを雇用する場合、場合によっては、管理者及び処理者は、DPOがGDPRの関連義務を果たすのに十分な時間と能力を有していることを確認するため、そのDPOが何人の顧客を有しているかを確認する必要がある。
◦ Further guidance from SAs as well as additional training materials could help DPOs to navigate complex issues and save time.	◦ DPOが複雑な問題に対処し、時間を節約するためには、SAからのさらなるガイダンスや追加の研修資料が役立つ可能性がある。
Insufficient expert knowledge and training of the DPO	DPOの専門的知識とトレーニングが不十分である。
◦ SAs and/or the EDPB could provide further guidance and training sessions for DPOs. These trainings (and the amount of trainings necessary) can be customised according to the specific needs of each Member State.	◦ SAおよび／またはEDPBは、DPOに対してさらなるガイダンスやトレーニングセッションを提供することができる。これらの研修（および必要な研修の量）は、各加盟国の特定のニーズに応じてカスタマイズすることができる。
◦ Controllers and processors should ensure that they are documenting their organisations' knowledge and training needs and progress. This can also be important to ensure compliance with Articles 24 and 5(2) GDPR, and Articles 26 and 4(2) EUDPR.	◦ 管理者及び処理者は、組織の知識及び研修のニーズと進捗状況を文書化することを確保すべきである。これは、GDPR第24条及び第5条2項、並びにEUDPR第26条及び第4条2項の遵守を確保するためにも重要である。
◦ Controllers and processors should ensure that DPOs are given sufficient opportunities, time and resources to refresh their knowledge and learn about the latest developments, including, if it is relevant to their activities, on new EU digital- and Al-related legislation.	◦ 管理者及び処理者は、DPOが知識を更新し、最新の動向を学ぶための十分な機会、時間及びリソースを与えられるようにすべきである。
◦ Increased use of certification mechanisms and initiatives where relevant.	◦ 関連する場合には、認証メカニズムやイニシアチブの利用を増やす。
◦ Increased cooperation from stakeholders with universities and market-led training courses.	◦ 関係者による大学や市場主導の研修コースへの協力の増加。
DPOs not being fully or explicitly entrusted with the tasks required under the GDPR/EUDPR	DPOは、GDPR/EUDPRの下で要求される業務を完全または明確に委託されていない。
◦ More initiatives and actions by SAs could incentivise controllers and processors to maintain a proper separation between, on the one hand, the controller/processor obligations and, on the other, the DPO's own obligations and duties as set out under the GDPR/EUDPR.	◦ SAによるより多くの取り組みや行動が、一方では管理者／処理者の義務、他方ではGDPR／EUDPRに規定されたDPO自身の義務や責務との適切な分離を維持するよう、管理者や処理者のインセンティブとなりうる。
◦ Controllers should make sure to promote the role of their DPO internally.	◦ 管理者は、DPOの役割を社内に浸透させるべきである。
◦ Controllers should work together with their DPOs to build up their roles in an appropriately comprehensive and independent way.	◦ 管理者はDPOと協力し、適切な包括的かつ独立した方法でDPOの役割を構築すべきである。
◦ SAs could include DPOs and/or their opinions in a structural fashion into the SA's processes when contacting a controller and/or processor, which will help to enable and promote DPOs in their roles.	◦ SAは、管理者および／または処理者にコンタクトする際、DPOおよび／またはその意見をSAのプロセスに構造的に含めることができ、これはDPOの役割を可能にし、促進するのに役立つ。
◦ All stakeholders should promote the role of the DPO within organisations to ensure that the DO is seen as necessary and given effective support by the controller (processor) in accordance with the GDPR/EUDPR.	◦ すべての利害関係者は、GDPR/EUDPR に従って、DO が必要であるとみなされ、管理者（処理者）から効果的な支援が与えられるよう、組織内で DPO の役割を推進すべきである。
◦ SAs can support and encourage initiatives to protect and enhance a DO's independence regardless of the form of the contract under which they perform their function, so that DPOs feel safe to fulfil all aspects of their role.	◦ SAは、DPOが安心してその役割のあらゆる側面を果たすことができるように、DOがその機能を果たす契約の形態にかかわらず、DOの独立性を保護し強化するためのイニシアチブを支援し奨励することができる。
◦ Controllers and processors should ensure that they are actively reviewing and (where necessary) improving the DPO's involvement within the organisation. Such review may, among other things, consider the Guidelines on DPOs, an annual report of the DPO's activities, and general good practices.	◦ 管理者および処理者は、組織内におけるDPOの関与を積極的に見直し、（必要な 場合には）改善していることを確認すべきである。このような見直しは、とりわけ、DPOに関するガイドライン、DPOの活動に関する年次報告書、および一般的なグッドプラクティスを考慮することができる。
Conflict of interests and lack of independence of the DPO	DPOの利益相反および独立性の欠如
◦ SAs recall that the term 'conflict of interests was already clarified in the Guidelines on DPOs and more recently by the Court of Justice in its X-Fab Dresden Judgment. Despite this, the results of the CEF action showed risks of possible conflicts of interests. Based on this, the Guidelines on DPOs should be developed further, also taking into account the new roles taken on by DPOs in certain organisations under the new pieces of EU legislation in the digital field.	◦ SAは、「利益相反」という用語がすでにDPOsに関するガイドラインで明確化されており、さらに最近では、X-Fabドレスデン判決において司法裁判所が明確化していることを想起する。にもかかわらず、CEFの行動結果は利益相反のリスクを示していた。これに基づき、DPOに関するガイドラインは、デジタル分野におけるEUの新しい法律の下で、特定の組織においてDPOが担う新たな役割も考慮に入れながら、さらに発展させるべきである。
◦ More initiatives and actions by SAs could verify that controllers and processors have appropriate safeguards in their procedures to ensure that the DPO is not responsible for carrying out tasks that lead to a conflict of interests.	◦ DPOが利益相反につながる業務を遂行する責任を負わないことを保証するための適切なセーフガードを、管理者と処理者がその手続において有していることを、SAがより多くのイニシアティブと行動によって検証することができる。
◦ More awareness-raising activities, information and enforcement actions on the independence of the DPO could be envisaged (including on the prohibition on penalising and dismissing DPOs for performing their DPOs tasks), either by SAs or internally by organisations themselves.	◦ DPOの独立性に関する啓発活動、情報提供、実施措置（DPOの業務遂行を理由とするDPOへの罰則や解雇の禁止を含む）を、SAまたは組織内部でさらに強化することが考えられる。
◦ Organisations and DPOs could formalise the DPO duties and conditions for performing the DPO's duties in an 'engagement letter'.	◦ 組織とDPOは、「エンゲージメント・レター」において、DPOの義務およびDPOの任務遂行の条件を正式に定めることができる。
◦ DPOs should be able to collect evidence in the event of interferences with their independence.	◦ DPOは、その独立性が阻害された場合に証拠を収集できるようにすべきである。
Lack of reporting by the DPO to the organisations highest management level	DPOによる組織の最高経営層への報告の欠如
◦ The legal obligation to have the DPO report to the organisation's highest management level may benefit from further guidance to help controllers and processors implement it in practice. SAs could encourage the drafting and adoption of industry standards, internal data protection policies and best practices to better define the conditions, frequency, content and effectiveness of the direct reporting of the DPO to the highest management level.	◦ DPOを組織の最高経営層に報告させる法的義務は、管理者及び処理者が実際に実施する上で、さらなるガイダンスが必要である。SAは、DPOの最高経営レベルへの直接報告の条件、頻度、内容、有効性をより明確にするため、業界標準、内部データ保護方針、ベストプラクティスのドラフト作成と採用を奨励することができる。
◦ SAs/the EDPB could adopt 'best practise'-based recommendations or/and a template for DPO reporting (e.g. for at least annual reporting), setting out modular and adaptable content to take into account the specificities of the organisations and the industry.	◦ SA/EDPBは、「ベストプラクティス」に基づく勧告、または（少なくとも年次報告な ど）DPO報告のテンプレートを採用することができる。
◦ SAs could initiate more actions and initiatives with respect to the direct access of the DPO to top management, which is an important guarantee of the independence of the DPO	◦ SAは、DPOの独立性を保証する重要な要素である、DPOの経営トップへの直接アクセスに関して、より多くの行動やイニシアティブを開始することができる。
Further guidance from supervisory authorities	監督当局からのさらなるガイダンス
◦ In addition to the existing guidance at national and EEA levels, further guidance could help empower DPOs and address some of the challenges identified above.	◦ 国内およびEEAレベルでの既存のガイダンスに加え、さらなるガイダンスがあれば、DPOに権限を与え、上記で確認された課題のいくつかに対処することができる。
◦ In particular and as mentioned above, the Guidelines on DPOs should be developed further based on the survey results.	◦ 特に、前述の通り、DPOに関するガイドラインは、調査結果に基づいてさらに発展させるべきである。
Some of the actions undertaken by supervisory authorities in the CEF are still ongoing at national level, especially when formal investigations were launched. Accordingly, this document does not constitute a definitive statement of the actions carried out within the CEF and the purpose of this report is not to conclude on the measures to be adopted but to reflect on the actions undertaken by competent supervisory authorities and identify the possible points of attention. It may need to be updated in the course of 2024 to take into account the progress of the procedures which have not yet been completed to date and given the issues identified, if the Guidelines on Data Protection Officers are further developed by the EDPB.	CEFにおいて監督当局が実施した措置の中には、特に正式な調査が開始された場合など、国レベルで現在も進行中のものもある。したがって、本書はCEF内で実施された措置の確定的な記述ではなく、また本報告書の目的は、採用すべき措置について結論を出すことではなく、所轄の監督当局が実施した措置を振り返り、注意すべき可能性のある点を特定することである。EDPBがデータ保護オフィサーに関するガイドラインをさらに発展させる場合には、現在までに完了していない手続きの進捗状況を考慮し、また識別された問題点を考慮するために、2024年中に本報告書を更新する必要があるかもしれない。

目次...

1 INTRODUCTION	1 序文
2 BACKGROUND AND METHODOLOGY	2 背景と方法論
2.1 Legal background	2.1 法的背景
2.2 Methodology	2.2 方法論
3 SURVEY FINDINGS	3 調査結果
3.1 The DPO in the organisation	3.1 組織におけるDPO
3.2 The DPOs profile	3.2 DPOのプロフィール
4 CHALLENGES IDENTIFIED DURING THE CEF ACTION AND RECOMMENDATIONS / POINTS OF ATTENTION	4 CF活動中に識別された課題と提言／留意点
4.1 Absence of designation of a DPO even if mandatory	4.1 DPOの指定が必須であるにもかかわらず、指定されていない。
4.2 Insufficient resources allocated to DPOs	4.2 DPOに割り当てられるリソースが不十分である。
4.3 Insufficient expert knowledge and training of DPOs	4.3 DPOの専門的知識と訓練が不十分である。
4.4 DPOs not being fully or explicitly entrusted with the tasks required under the GDPR	4.4 DPOがGDPRの下で要求される業務を完全または明示的に委ねられていない
4.4.1 DPOs not being given key roles as required under the GDPR	4.4.1 GDPRで求められる重要な役割がDPOに与えられていない
4.4.2 Lack of systematic involvement of the DPO within organisations	4.4.2 組織内におけるDPOの組織的関与の欠如
4.5 Conflict of interests and lack of independence of the DPO	4.5 DPOの利益相反と独立性の欠如
4.5.1 Conflict of interests due to conflicting roles or tasks	4.5.1 相反する役割や業務による利益の相反
4.5.2 Lack of independence due to instructions received by DPOs or contractual or budgetary setup	4.5.2 DPOが受ける指示、または契約上もしくは予算上の設定による独立性の欠如
4.6 Lack of reporting by the DPO to the organisations’ highest management level	4.6 DPOによる組織の最高経営層への報告の欠如
4.7 Further guidance from SAs	4.7 SAからのさらなるガイダンス
4.8 Conclusion on the levels of awareness and compliance	4.8 意識レベルとコンプライアンスに関する結論
5 ACTIONS TAKEN BY SAS	5 SAによる措置
5.1 Enforcement actions	5.1 強制措置
5.2 Guidelines	5.2 ガイドライン
5.3 Conferences and trainings	5.3 会議および研修
5.4 Study and research	5.4 研究と調査
5.5 Other forms of support	5.5 その他の支援
6 CONCLUSION	6 結論

・[PDF] Appendix: National Reports on the Coordinated Enforcement Framework (CEF) Data Protection Officer (DPO)

・[XLSX] Appendix: Statistics