ICTワールドニュース

欧州データ保護会議（EDPB）（注）は4月21日、第23回プレナリーセッションにおいて、COVID-19発生に係る研究目的の健康医療情報の処理に係るガイドラインとCOVID-19発生に係る位置情報及び他の追跡ツールに係るガイドラインを採択したことを公表した。ただし、4月22日現在、採択された両ガイドラインの本体自体は法的チェックや文言精査等のため、まだ公表されていない。

＜COVID-19発生に係る研究目的の健康医療情報の処理に係るガイドライン＞
COVID-19発生に係る研究目的の健康医療情報の処理に係るガイドラインは、健康医療情報の利用に関する最も緊急の法的論点（例：データ処理の法的根拠、科学的研究目的の健康医療情報の追加的処理、十分な安全措置の実施、データ主体の権利の行使）に光を当てることを目的としている。ガイドラインでは、GDPRが、特に、同意に関する部分や個々の国内法に関し、科学的研究目的のための健康医療情報の処理に関するいくつかの規定を含み、これは、COVID-19のパンデミックの場合でも適用されるとしている。GDPRは、例えば健康医療情報などの特別な分類の個人データを科学的な研究目的のために必要な場合に処理することを想定している。さらに、ガイドラインは、COVID-19との戦いに関する研究目的での健康医療情報を含む国際的なデータ移転に関する法的論点についても対処している。

＜COVID-19発生に係る位置情報及び他の追跡ツールに係るガイドライン＞
COVID-19発生に係る位置情報及び他の追跡ツールに係るガイドラインは、特に以下の二つの目的で位置データや接触追跡ツールを適切に利用するための条件と原則を明確化することを目的としている。

＊封じ込め策の効果を評価するため、ウイルス拡散をモデル化することで、パンデミックへの対応を支援するために位置データを利用する
＊可能な限り早期に感染連鎖を防ぐため、ウイルスのキャリアと確認された人の近くにいた可能性がある人に通知をする目的で、接触追跡を利用する

ガイダンスは、GDPRとeプライバシー指令の双方とも、国内、EUレベルの両方における当局がCOVID-19の拡散を監視し防ぐ努力のため、匿名化されたデータや個人データを利用することを許容する規定があることを強調する。有効性、必要性、比例性の一般原則は、加盟国やEU機関によって採られた、COVID-19と戦うために個人データを処理することを伴う措置を導かなければならない。EDPBとしては、EDPBが4月14日付で欧州委員会に宛てたレターの中で表明した立場を強調する。すなわち、接触追跡アプリは、自発的なものであり、個人の移動を追跡するのではなく、利用者に関連した近接情報に依拠しなければならない。

EDPBのアンドレア・ジェリネック議長は、「アプリは看護師や医者を不要とすることはできない。データや技術は重要なツールである一方で、内在的な制約があることに留意する必要がある。アプリは公衆衛生対策の有効性や医療従事者の献身を補完することができるのみである。危機に対する効果的な対応と基本的人権の保護のどちらかを選ばなければならないということではない。」としている。加えて、EDPBは、接触追跡アプリのガイドを、ガイドラインの補遺（アネックス）として採択した。このガイドの目的は、非排他的なものとして、接触追跡アプリの設計者や実行者に一般的なガイダンスを提供することである。ガイドでは、アプリの評価はケースバイケースで実施されなければならないとしている。なお、これらのガイドラインは、現状の緊急性等に鑑み、例外的に公開諮問にはかけられない。

（注）欧州データ保護会議（EDPB）：一般データ保護規則（GDPR）により設置されたEUの組織。EU加盟国各国のデータ保護機関の代表などによって構成され、EU内でGDPRの一貫性のある適用を確保する機関。