EDPB 航空会社が保管する旅客情報の取り扱いに関して（CJEU判決C-817/19を踏まえたPNR指令の実施に関する声明）(2025.03.14): まるちゃんの情報セキュリティ気まぐれ日記

April 2025
Sun	Mon	Tue	Wed	Thu	Fri	Sat
		1	2	3	4	5
6	7	8	9	10	11	12
13	14	15	16	17	18	19
20	21	22	23	24	25	26
27	28	29	30

2025.03.18

EDPB 航空会社が保管する旅客情報の取り扱いに関して（CJEU判決C-817/19を踏まえたPNR指令の実施に関する声明）(2025.03.14)

こんにちは、丸山満彦です。

EUは2016.04.27に安全保障上の観点から、テロ犯罪および重大犯罪の防止、検知、捜査および訴追のための旅客名記録（PNR）データの利用についての指令（PNR指令）を官報に公表しています。しかし、捜査機関等による行き過ぎた個人データの取り扱いは基本的人権の保護の観点から望ましくないことから、一定の歯止めが必要といえますね...特に技術進歩により、個人データを大量かつ高速に分析できるようになっていくので...

そういう観点もあって、CJEU判決C-817/19が2022.06.21に出されているわけですが、それを踏まえてEDPBが2022.05.21に声明を出したのに続いて、今回EDPBが声明を出したものです...

安全保障上、国民のプライバシーが一定制限されることがあるとは思います。犯罪捜査のために国民のプライバシーが制限される必要性があるかもしれません。

ただ、国家権力が国民の大量のデータにアクセスできるようになり、その意思さえあれば、国民を実質的に監視できるようになる世界というのを国民が望むのか、どこまでの安全と引き換えにそれを行うのか、国民による国家権力の暴走をどのように監視、止めることができるのか？ということも合わせて考えないと、将来取り返しがつかないことになってしまうかもしれません。そういうことを考えさせる話かもしれません...

⚫︎European Data Protection Board: EDPB

・2025.03.14 EDPB adopts statement on the implementation of the PNR directive

EDPB adopts statement on the implementation of the PNR directive	EDPB、PNR指令の実施に関する声明を採択
Brussels, 14 March - During its March 2025 plenary meeting, the European Data Protection Board (EDPB) adopted a statement on the implementation of the Passenger Name Record Directive (PNR) in light of the Court of Justice of the EU (CJEU) judgment C-817/19*.	ブリュッセル、3月14日 - 欧州データ保護理事会（EDPB）は2025年3月の本会議で、EU司法裁判所（CJEU）のC-817/19判決*を踏まえた旅客名記録指令（PNR）の実施に関する声明を採択した。
In its second statement on the implementation of the PNR Directive, which follows the one of 15 December 2022, the Board gives further guidance to the Passenger Information Units (PIUs)** on the necessary adaptions and limitations to the processing of PNR data, following the PNR judgment. PNR data is personal information provided by passengers, and collected and held by air carriers that includes the names of the passengers, travel dates, itineraries, seats, baggage, contact details and means of payment.	2022年12月15日の声明に続くPNR指令の実施に関する2回目の声明では、PNR判決を受けて、PNRデータの処理に必要な適応と制限について、旅客情報ユニット（PIU）**にさらなるガイダンスを示している。PNRデータとは、旅客が提供し、航空会社が収集・保有する個人情報で、旅客の氏名、旅行日、旅程、座席、手荷物、連絡先、支払手段などが含まれる。
The statement includes practical recommendations for the national laws transposing the PNR Directive in order to give effect to the findings of the CJEU in the PNR judgment. The recommendations cover some of the key aspects of the PNR judgement such as how European countries should select the flights from which PNR data is collected, or how long PNR data should be retained. According to the Board, the retention period of all PNR data should not exceed an initial period of six months. After this period, European countries may only store PNR data as long as needed and proportionate to the objectives of the PNR Directive.	この声明には、PNR判決におけるCJEUの所見を実現するため、PNR指令を移管する国内法に対する実践的な勧告が含まれている。勧告は、PNRデータを収集するフライトを欧州各国がどのように選択すべきか、あるいはPNRデータをどの程度の期間保持すべきかなど、PNR判決の重要な側面のいくつかをカバーしている。理事会によると、すべてのPNRデータの保持期間は、当初6ヶ月を超えるべきではない。この期間経過後は、欧州各国はPNR指令の目的に見合った必要な期間のみPNRデータを保存することができる。
EDPB Chair Anu Talus said: “The EDPB recognises the importance of the PNR Directive in improving the security of passengers across Europe and in helping prevent, detect and prosecute terrorist offences and serious crime. The transfer of PNR data in Europe should take place in a harmonised way and in full respect of data protection principles.”	EDPBのアヌ・タルス委員長は次のように述べた：「EDPBは、欧州全域の旅客のセキュリティを改善し、テロ犯罪や重大犯罪の防止、検知、訴追に役立つPNR指令の重要性を認識している。欧州におけるPNRデータの移転は、データ保護の原則を完全に尊重し、調和された方法で行われるべきである。
The Board is aware that some European countries have already started the adaptation process, but there is still a substantial lack of implementation efforts throughout the Member States. Therefore, in its statement, the EDPB outlines the urgent need to implement the necessary changes and to amend national laws by taking into account the PNR judgment as soon as possible.	理事会は、一部の欧州諸国がすでに適応プロセスを開始していることを承知しているが、加盟国全体における実施努力がまだ大幅に不足している。そのため、EDPBは声明の中で、PNR判決を考慮した必要な変更を早急に実施し、国内法を改正する必要性を概説している。
Note to editors	編集後記
* On 21 June 2022, on a referral from the Belgian Constitutional Court, the CJEU rendered its judgment C-817/19 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime, under the PNR Directive 2016/681. While the Court found that the validity of the PNR Directive was not affected, it ruled that, in order to ensure compliance with the EU Charter of Fundamental Rights (the Charter), the PNR Directive needs to be interpreted as including important limitations to the processing of personal data. Some of these limitations are the application of the PNR system only to terrorist offences and serious crime, having an objective link with the carriage of passengers by air, and the non-indiscriminate application of the general retention period of five years to all passengers’ personal data.	* 2022年6月21日、ベルギー憲法裁判所からの照会に基づき、欧州司法共同体（CJEU）は、PNR指令2016/681に基づき、テロ犯罪および重大犯罪の予防、検知、捜査、訴追のための旅客名記録（PNR）データの利用に関する判決C-817/19を下した。同裁判所は、PNR指令の妥当性確認に影響はないとしながらも、EU基本権憲章（the Charter of Fundamental Rights）の遵守を確実にするために、PNR指令はパーソナルデータの処理に重要な制限を含むものとして解釈される必要があるとの判決を下した。これらの制限の一部とは、PNRシステムをテロ犯罪および重大犯罪にのみ適用すること、航空機による旅客運送と客観的な関連性があること、すべての旅客の個人データに5年間という一般的な保存期間を無差別に適用することなどである。
** The PIUs are specific entities in European countries which are responsible for the collection, storage, and processing of PNR data.	** PIUは、PNRデータの収集、保管、処理に責任を負う欧州各国の特定の事業体である。