個人データへのアクセス権

アクセス権は、アクセス権や（データ）主体アクセス権とも呼ばれ、世界中のデータ保護法における最も基本的な権利の1つです。たとえば、米国、シンガポール、ブラジル、およびヨーロッパ諸国はすべて、プライバシー保護として個人データへのアクセスを規制する法律を制定しています。欧州連合は、「アクセス権は、EUデータ保護法のデータ主体エンパワーメント対策の武器庫において中心的な役割を果たしている」と述べています。^{[1]この権利は、多くの場合、}主体アクセス要求（SAR）またはデータ主体アクセス要求（DSAR）として実装されます。 ^[2]

意欲的な持続可能な開発目標16のターゲット9は、すべての人類に法的アイデンティティを提供することを求めています。「デジタル経済では、これがデジタルアイデンティティの権利になります。」^[3]このようなアイデンティティは、個人情報へのアクセス要求を提出する際に役立ちます。

ブラジルの一般データ保護法（LGPD）は、ブラジル初の包括的なデータ保護規制です。LGPDによれば、本人によるアクセス要求は15日以内に満たされる必要があります。^[4]

アクセス権は、 欧州連合基本権憲章におけるデータ保護の基本的権利の一部として定められています。実際、そこに記載されている個人データに関する実際的権利はこれだけです。

GDPRでは、この権利は第15条のさまざまなセクションで定義されています。GDPRのパートナー法であるデータ保護法執行指令にもアクセス権があります。^[5]欧州データ保護委員会（EDPB）は、「さまざまな状況でアクセス権をどのように実装する必要があるかについて、より正確なガイドラインを提供する必要がある」と考えています。^{[6] EU指令が加盟国の国内法に転換されると、ドイツの}連邦データ保護法第34条の場合のように、アクセス権が停止または制限される可能性があります。^[7] さらに、ヨーロッパレベルでは、ユーロポールがアクセス権を提供しています。^[8]

シンガポールの個人情報は、2012年個人情報保護法（PDPA）に基づいて保護されています。PDPAは、個人情報の収集、使用、開示、管理を規定するさまざまな規則を含むデータ保護法を定めています。個人情報へのアクセスは、第4部第21章に規定されており、個人の要請に応じて、組織は合理的に可能な限り速やかに、個人に以下の情報を提供しなければならないとされています。^[9]

英国では、情報コミッショナー事務局のウェブサイトで、個人情報アクセス要求（SAR）に関して次のように述べられている。^[10]

あなたには、組織があなたの個人データを使用または保管しているかどうかを知る権利があります。これはアクセス権と呼ばれます。データのコピーを要求することでこの権利を行使します。これは一般に「本人によるアクセス要求」として知られています。...個人データのコピーは、一般的に使用され、機械で読み取り可能な形式で無料で提供される必要があります。
[ ^11]組織は追加のコピーに対して料金を請求できます。組織は、要求が「明らかに根拠がない、または過剰」であると判断した場合にのみ料金を請求できます。その場合、組織は要求に関連する管理コストとして合理的な料金を請求できます。

2018年5月25日に一般データ保護規則（GDPR）が施行される前は、^[12]組織はSARへの対応に対して、ほとんどのリクエストに対して最大10ポンドの指定料金を請求することができました。

個人データへのアクセス権は、 以下の 5 つの連邦法に規定されています。

• FCRA公正信用報告法、
• FERPA家族教育権とプライバシー法、
• COPPA児童オンラインプライバシー保護法、
• HIPAA医療保険の携行性と責任に関する法律。
• 1974年プライバシー法。

さらに、CCPAカリフォルニア州消費者プライバシー法などの一部の州法にもこの権利が盛り込まれ始めています。

EUと米国間のデータフロー（少なくとも米国に向かう西側へのデータフロー）は、EU・米国プライバシーシールドによって規制されている。プライバシーシールドの原則の1つはアクセス権である。^[13]実際、これは個人データ処理に関する説明責任のメカニズムを有効にする上で最も基本的なものである。この例は、ヨーロッパ式のプライバシーの概念が、必ずしもデータ主体の言論の自由に新たな制限を課すものとしてアメリカの主体に認識される必要はないことを示している。

このプライバシーシールドの実践は、民間のデータ保護（GDPRに基づく）のケースが、米国最高裁判所のMicrosoft Corp. v. United Statesのケースのように、アクセス権が個人ではなく政府による「データ要求」として行使される刑事捜査のケースとはまったく異なることも示しています。刑事事件の個人は、自分に関するデータが何であるか、そして自分がどのような犯罪で告発されているかを知る権利を保持しています。^[14]

• マックス・シュレムス#アイルランドデータ保護コミッショナーへの苦情 2011
• Facebookとケンブリッジ・アナリティカのデータスキャンダル
• データアクセス
• マイクロソフト社対アメリカ合衆国

• ノリス、クライヴ、アントネッラ・ガレッタ、ポール・デ・ハート、ザビエル・ロワリー。2016 年。「監視の無責任な現状：ヨーロッパにおけるアクセス権の行使」（書籍）。
• Ausloos, Jef、René Mahieu、Michael Veale。2019。データ主体の権利を正しく理解する: 国際的なデータ権利研究者から欧州データ保護委員会への提出物、規制ガイダンスの通知、40 ページ | doi=10.31228/osf.io/e2thg |
• マヒュー、ルネ、ジェフ・オースロース。2020年。GDPRの集合的側面とアクセス権の認識と有効化。LawArXiv。7月2日。doi:10.31228/osf.io/b5dwm