連邦データ保護法

ドイツ連邦データ保護法( BDSG ) は連邦データ保護法であり、ドイツ連邦州のデータ保護法およびその他の地域固有の規制とともに、手動で処理されるか IT システムに保存される個人データの公開を規制します。

1960 年代初頭、米国では包括的なデータ保護の検討が始まり、コンピュータ技術の進歩とプライバシーリスクの増大とともにさらに発展しました。そのため、個人データの処理におけるプライバシーの侵害に対抗するための規制の枠組みが必要でした。

1970年、ヘッセン州は世界初のデータ保護法でもあった国内初のデータ保護法を可決しました。1971年には、連邦データ保護法の最初の法案が提出されました。そしてついに1978年1月1日、初の連邦データ保護法が施行されました。^[1]その後、BDSGが実際に形を整えるにつれ、職場でも民間部門でもコンピューターの重要性が増し、データ処理の技術開発が進みました。^[2]

法分野でも大きな変化がありました。1983年12月15日のVolkszählungsurteil  [de] ^[3] （ドイツ語） （国勢調査判決）により、連邦憲法裁判所は情報自己決定権（ドイツ基本法第1条第1項と第2条第1項を併せて）を制定しました。この判決は、個人情報がドイツで憲法上保護されていることを確認したものです。これは、個人情報をいつ、どの程度公開するかを決定する権限が個人にあることを意味します。^[4]

1990 年、立法府はドイツ憲法裁判所の判決に基づいて新しいデータ保護法を採択しました。

BDSGは2009年と2010年に3回の修正を加えて改正された。2010年4月1日、「Novelle I」により信用調査機関とその取引先（特に信用機関）の活動とスコアリングに関する新しい規制が施行された。長く激しい議論を呼んだ「Novelle II」は2009年9月1日に施行された。これらはBDSGの18のパラグラフを変更する。内容には、アドレス取引のリスト特権の変更、市場と世論の調査に関する新しい規制、オプトイン、カップリング禁止、従業員データ保護、注文データ処理、監督当局の新しい権限と新しいまたは大幅に拡大された罰金、データ侵害の場合の情報義務、データ保護担当者の解雇保護などが含まれる。2010年6月11日、「Novelle III」[4]は、EU消費者信用指令を実施する法律内の小さなサブ項目として、§ 29 BDSGに2つのパラグラフを変更した。

2009年には、消費者擁護団体からの批判と企業における数多くのプライバシースキャンダルの結果として、BDSGに3つの改正が行われました。改正では以下の項目が取り上げられました。^[5]

• データ保護権の執行における厳格な指定（§ 6 III BDSG）
• 自動化された個別決定における許容性と透明性（§ 6a BDSG）
• 商業機関へのデータの送信（§ 28a BDSG）
• 採点手順における許容性（§ 28b BDSG）
• EU/EEA 内の国境を越えた信用照会に​​関する信用拒否情報の請求 (§ 29 VI および VII BDSG)
• 責任機関に対する請求に関する情報、特にスコアリング機関および商業機関の場合（§ 34 BDSG）
• 新しい罰則違反（§ 43 I No. 4a、8b、8c BDSG）

• 「 Beschäftigte 」（従業員）という用語の法的定義の導入（§ 3 XI BDSG）
• 対象データ経済とデータ回避の拡張（§ 3a BDSG）
• 研修と明確な職務保護法による社内データ保護担当者の地位の強化（BDSG§4fIII文5-7）
• 請負業者のデータ処理と管理のために書面による内容を固定する必要があるという要件の拡張（§ 11 II BDSG）
• 住所取引およびプロモーション目的における個人データの使用に関する新たな適格要件と透明性（§ 28 III BDSG）
• 非書面同意の同意要件の厳格化（§ 28 IIIa BDSG）
• 同意に基づくカップリングの禁止の導入（§ 28 IIIb BDSG）
• 市場調査会社および世論調査会社に対する救済措置（§ 30a BDSG）
• 雇用データの処理の許容性に関する規則（§ 32 BDSG）
• 中程度の感染性リストの開示要件の拡大（§ 34 Ia BDSG）
• データ保護と利用の処理に関する監督当局の取り決め権限の拡大（§ 38 V BDSG）
• データの知識を不法に取得したことについて、監督当局および影響を受けた個人に自己開示する義務（§ 42a BDSG）
• 新たな罰金の導入（§43 I No. 2a、2b、3a、8aおよびII No. 5a-7 BDSG）
• 罰金の額を5万ユーロから30万ユーロに引き上げる（§43 III BDSG）
• 市場調査や世論調査、および2009年9月1日以前に記録された保存データのプロモーション利用に関する移行措置（§47 BDSG）
• 暗号化の使用の強調（BDSG § 9 文 1 の付録）

• 第1節（§ § 1-11）：一般規則および共通規則
• 第2条（§ § 12-26）：公的機関によるデータ処理
• 第3条（§ § 27-38a）：非公的機関および公的競合企業によるデータ処理
• 第4節（§§39-42）：特別規定
• 第五節（§ § 43-44）：刑事罰および民事罰規定
• 第六条（§ § 45-46）：経過規定

法律は、個人情報の取り扱いによって個人の権利が侵害されることから個人の権利を保護する必要があります (§ 1 I BDSG)。

§ 1 II BDSG によれば、この法律は以下の者による個人データの収集、処理、使用に適用されます。

• 連邦の公的機関
• 連邦州の公的機関
• 非公的機関

外国人中央登録簿は、法律第22条および第37条に基づき、連邦データ保護法の特定の条項から除外されている。^[6]

公的機関とは、その法的形態にかかわらず、連邦当局、連邦の司法行政およびその他の公法機関、連邦当局、公法上の組織および財団、ならびにそれらの団体を指します（§ 2 I BDSG）。

連邦州の公的機関、連邦州の当局および司法機関、その他の公法機関、コミュニティ、コミュニティ協会、およびその他の公法上の法人は、その法的形態にかかわらず、連邦公法州およびその協会の監督に従属します（§ 2 II BDSG）。

非公的機関とは、BDSG § 2 I-III (BDSG § 2 IV) の条項に該当しない自然人、法人、会社、およびその他の私法上の人々の団体です。

BDSGにはデータ保護法の7つの基本原則が含まれている: ^[7]

1. 許可を留保した禁止：

法律で許可されている場合、または関係者が同意した場合を除き、個人データの収集、処理、使用は固く禁じられています（§ 4 I BDSG）。

2. 即時性の原則:

個人データは、関係者から直接収集する必要があります。この原則の例外は、法的許可または過度の努力です (§ 4 III BDSG)。

3. 特別法の優先権：

BDSG は、個人情報およびその公開に関連するその他の連邦法に優先します (§ 1 III BDSG)。

4. 比例の原則:

基準の作成は、影響を受ける人の基本的権利を制限します。したがって、これらの法律と手順は適切かつ必要でなければなりません。利害関係のバランスを取る必要があります。

5. データ回避とデータ経済の原則：

データの匿名化または疑似匿名化を使用することで、すべてのデータ処理システムは、個人を特定できるデータを一切使用しない（または可能な限り少なくする）という目標を達成する必要があります。

6. 透明性の原則:

個人データを収集する場合、責任者は、影響を受ける個人にその身元と、収集、処理、または使用の目的を通知する必要があります（§ 4 III BDSG）。

7. 特定予算の原則：

特定の目的のためにデータの収集が許可されている場合、データの使用はその目的に制限されます。データが別の目的で使用される場合は、新しい同意または法律が必要です。

個人データとは、特定された、または特定可能な自然人に関する個人的な関係または事実に関する情報を提供するすべてのデータを指します。これには以下が含まれます。

• 個人的な関係: 氏名、住所、職業、電子メール、IP アドレス、または個人番号
• 事実上の状況：収入、税金、所有権
• 特別な種類の個人データ: 人種または民族的起源、政治的意見、宗教的または哲学的信念、労働組合への加入、健康、または性生活。これらのデータは特別な保護の対象となります。

保護される個人データには、個人の身元が識別できない匿名化されたデータは含まれません。仮名化されたデータ (個人の名前が仮名に置き換えられたもの) は、身元が識別可能な個人に関連するデータであるため、BDSG によって保護されます。BDSG は企業などの法人のデータは保護しませんが、一部の裁判所は法人に保護の範囲を拡大しています。

1995年10月24日、閣僚理事会と欧州議会はデータ保護指令を採択したが、これは1998年末までに加盟国の国内法に転換する必要があった（個人データの処理における個人の保護とそのようなデータの自由な移動に関する欧州議会および理事会の指令95/46/EC）。すべての加盟国は独自のデータ保護法を制定している。^[8]

2012 年 1 月 25 日、欧州委員会は、データ保護指令に代わる 一般データ保護規則の草案を発表しました。

以下の規則は、欧州委員会のデータ保護指令の要件に従って、ドイツに本拠を置く企業および海外に拠点を置く企業に適用されます。

ドイツに拠点を置く企業の場合、連邦データ保護法は、他の EU 加盟国と第三国へのデータ転送を異なる方法で規制します。

EU データ保護指令の実施により、EU 加盟国で統一されたレベルのデータ保護が確立されました。したがって、ドイツに拠点を置く企業は、ドイツ国内でデータを転送する場合と同じ規則に従って、ヨーロッパで個人データを転送する権利があります。

第三国への転送は、連邦プライバシー法の要件に準拠する必要があります (§ 4b II 1 文 BDSG)。転送の防止に正当な権利を持つ人物がいる場合、特に第三国で適切なデータ保護が保証されていない場合は、転送を停止する必要があります (§ 4b II 2 文 BDSG)。保護の適切性は、データ転送に重要なすべての状況を考慮して評価される必要があります (§ 4b III BDSG)。これには、データの種類、目的、処理期間、専門的規則、セキュリティ対策が含まれます。欧州委員会の見解では、スイスとカナダは適切なレベルの保護を備えています。

欧州委員会によるさらなる決定は、米国へのデータ送信に影響を及ぼします。この決定によると、米国商務省は、交渉されたセーフハーバー協定を通じて、合理的なレベルのデータ保護を保証しました。セーフハーバー協定（2015年10月6日にマクシミリアン・シュレムス対データ保護コミッショナーにより無効にされ、その後継であるプライバシーシールドは2020年7月16日に無効にされました）を通じて、米国の受信者は、関連する米国当局への声明を通じて、特定のデータ保護原則を遵守することを約束します。現在、転送フレームワークは適用されておらず、米国との間の転送には、すべての第三国と同様に、GDPRに基づく別の承認されたメカニズム（拘束的企業準則、標準契約条項など）が必要です。

その他の第三国については、複雑な基準のため、適切な保護レベルを決定することはほとんど不可能です。このため、適切なレベルのデータ保護が保証されていない場合でも、第三国でのデータ転送が許可される特定の例外（BDSG § 4c I および II）が重要です。BDSG § 4c I は、本人の同意があり、本人と責任者の間の契約が履行されている場合に、国境を越えたデータ転送を許可します。

その他のすべてのケースでは、「承認を条件とする」ソリューション（§ 4c II BDSG）により、製造拠点は、十分なレベルのデータ保護が保証されている受取国にデータを転送できます。契約条項または「拘束力のある企業規則」は、個人の権利の保護に関する十分な保証を提供し、管轄当局によって事前に承認されている必要があります（§ 4c BDSG II セット 1）。国際企業の場合、標準契約条項の承認を得ることをお勧めします。企業ポリシーの自己規制でも、多国籍企業内でのデータフローが可能になります。行動規範は、契約の場合と同様に、被害者に法的権利と特定の保証を与える必要があります。^[9]

• Volkszählungsurteil (ドイツ語)

• 第一原理の概要（ドイツ語）
• 全文（ドイツ語）
• 英語翻訳