堀江法律事務所

Notes

ワンストップショップと当局の提訴権限――欧州司法裁判所 C-645/19（2021年6月15日判決）

2026.10.27 ／ 特集 誰が漏えいを裁くのか EU法・加盟国法

欧州司法裁判所 C-645/19 ／ 2021年6月15日判決

本稿は生成AIを用いて作成しています（判決の翻訳を含む）。

特集「誰が漏えいを裁くのか」の素材として、欧州司法裁判所（CJEU）大法廷の先決裁定を取り上げる。GDPRの「ワンストップショップ」のもとでは、越境処理を監督する権限は原則として管理者の主たる拠点がある国の監督機関（主監督機関）に集まる。本判決は、主監督機関でない国の監督機関が、自国の裁判所に訴えを提起し又は係属中の訴訟を継続できるかを扱った。判決は119段であり、GDPRの条文を引用する3〜20段を除き、全段を対訳で掲げる。

1. 書誌

項目内容
事件番号C-645/19
判決日2021年6月15日
法廷大法廷（Grand Chamber）。K. Lenaerts長官ほか14名、報告裁判官 L.S. Rossi
付託国・付託裁判所ベルギー・ブリュッセル控訴裁判所（hof van beroep te Brussel）。2019年5月8日付託決定（2019年8月30日受理）
当事者Facebook Ireland Ltd、Facebook Inc.、Facebook Belgium BVBA 対 ベルギー・データ保護機関（Gegevensbeschermingsautoriteit）
ECLIECLI:EU:C:2021:483
法務官意見M. Bobek法務官（2021年1月13日）
手続言語オランダ語

2. 関係条文

判決は「法的枠組み」として、GDPR前文1項・4項・10項・11項・13項・22項・123項・141項・145項、3条1項、4条(16)・(23)、51条、55条、56条、57条1項、58条1項・4項・5項、60条、61条1項、62条、63条、64条2項、65条1項、66条1項・2項、77条から79条を引用する（3〜20段）。これらの段は対訳を省略した。ベルギー法に関する21〜28段は対訳で掲げる。「…」は判決による省略である。

段落原文（英語版）訳文（AI訳）
21The wet tot bescherming van de persoonlijke levensfeer ten opzichte van de verwerking van persoonsgegevens (law on the protection of privacy with regard to the processing of personal data) of 8 December 1992 (Belgisch Staatsblad, 18 March 1993, p. 5801), as amended by the law of 11 December 1998 (Belgisch Staatsblad, 3 February 1999, p. 3049) (‘the law of 8 December 1992’), transposed into Belgian law Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (OJ 1995 L 281, p. 31).1998年12月11日法（Belgisch Staatsblad, 1999年2月3日, p. 3049）により改正された、個人データの処理に関するプライバシーの保護に関する1992年12月8日法（wet tot bescherming van de persoonlijke levensfeer ten opzichte van de verwerking van persoonsgegevens。Belgisch Staatsblad, 1993年3月18日, p. 5801。以下「1992年12月8日法」）は、個人データの処理に係る個人の保護及び当該データの自由な移動に関する1995年10月24日の欧州議会及び理事会の指令95/46/EC（OJ 1995 L 281, p. 31）をベルギー法に国内法化した。
22The law of 8 December 1992 established the Privacy Commission, an independent body responsible for ensuring that the processing of personal data should comply with that law, in order to protect citizens’ privacy.1992年12月8日法は、市民のプライバシーを保護するため、個人データの処理が同法に適合することを確保する責任を負う独立の機関として、プライバシー委員会を設置した。
23Article 32(3) of the Law of 8 December 1992 provided: ‘Without prejudice to the jurisdiction of the ordinary courts and tribunals for the application of the general principles relating to the protection of privacy, the President of the [Privacy Commission] may bring before the court of first instance any dispute concerning the application of this legislation and its implementing measures.’1992年12月8日法32条3項は、次のとおり定めていた。「プライバシーの保護に関する一般原則の適用についての通常裁判所の管轄を妨げることなく、［プライバシー委員会］の委員長は、この法律及びその実施措置の適用に関するいかなる紛争も、第一審裁判所に提起することができる。」
24The wet tot oprichting van de Gegevensbeschermingsautoriteit (law creating a data protection authority) of 3 December 2017 (Belgisch Staatsblad, 10 January 2018, p. 989; ‘the law of 3 December 2017’), which entered into force on 25 May 2018, established the DPA as a supervisory authority, within the meaning of Regulation 2016/679.2018年5月25日に施行された、データ保護機関の設置に関する2017年12月3日法（wet tot oprichting van de Gegevensbeschermingsautoriteit。Belgisch Staatsblad, 2018年1月10日, p. 989。以下「2017年12月3日法」）は、規則2016/679にいう監督機関として、DPAを設置した。
25Article 3 of the Law of 3 December 2017 provides: ‘There shall be established at the Belgian Chamber of Representatives a “Data Protection Authority”. It shall succeed the [Privacy Commission].’2017年12月3日法3条は、次のとおり定める。「ベルギー代議院に『データ保護機関』を置く。同機関は［プライバシー委員会］を承継する。」
26Article 6 of the Law of 3 December 2017 provides: ‘The [DPA] has the power to bring any infringement of the fundamental principles of personal data protection, within the framework of this law and laws containing provisions on the protection of the processing of personal data, to the attention of the judicial authorities and, where appropriate, to initiate or engage in legal proceedings to have these fundamental principles applied.’2017年12月3日法6条は、次のとおり定める。「［DPA］は、この法律及び個人データの処理の保護に関する規定を含む法律の枠内において、個人データ保護の基本原則のいかなる違反も司法当局に提起し、適切な場合には、これらの基本原則を適用させるために訴訟手続を開始し又はこれに参加する権限を有する。」
27There is no specific provision in relation to court proceedings already commenced by the President of the Privacy Commission as at 25 May 2018 on the basis of Article 32(3) of the law of 8 December 1992. As regards solely complaints or applications lodged with the DPA itself, Article 112 of the law of 3 December 2017 states: ‘Chapter VI shall not apply to complaints or applications still pending at the [DPA] at the time when this legislation enters into force. The complaints or applications mentioned in subparagraph 1 shall be dealt with by the [DPA], as the legal successor of the [Privacy Commission], in accordance with the procedure applicable before the entry into force of this legislation.’2018年5月25日の時点で1992年12月8日法32条3項に基づきプライバシー委員会の委員長がすでに開始していた訴訟手続については、特段の規定はない。DPA自体に申し立てられた苦情又は申請に限っては、2017年12月3日法112条が次のとおり定める。「第VI章は、この法律の施行の時点で［DPA］になお係属している苦情又は申請には適用しない。第1文に掲げる苦情又は申請は、［プライバシー委員会］の法的承継者として［DPA］が、この法律の施行前に適用されていた手続に従って処理する。」
28The law of 8 December 1992 was repealed by the wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (law on the protection of individuals with regard to the processing of personal data) of 30 July 2018 (Belgisch Staatsblad, 5 September 2018, p. 68616; ‘the law of 30 July 2018’). That law transposes into Belgian law the provisions of Regulation 2016/679 requiring or permitting Member States to adopt more detailed rules, to supplement that regulation.1992年12月8日法は、個人データの処理に係る自然人の保護に関する2018年7月30日法（wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens。Belgisch Staatsblad, 2018年9月5日, p. 68616。以下「2018年7月30日法」）により廃止された。同法は、規則2016/679を補完するため、加盟国により詳細な規則を採択することを求め又は認める同規則の規定を、ベルギー法に国内法化するものである。

3. 事案の概要

2015年9月、ベルギーのプライバシー委員会の委員長は、Facebookがクッキー、ソーシャルプラグイン、ピクセルを用いて、アカウント保有者だけでなく非利用者の閲覧行動まで収集しているとして、ブリュッセルの第一審裁判所に差止めを求めた。第一審は2018年2月に差止めを命じた。控訴審の係属中にGDPRの適用が始まり、プライバシー委員会はデータ保護機関（DPA）に承継された。Facebook側は、2018年5月25日以降はワンストップショップにより、アイルランドのデータ保護コミッショナーだけが権限を持つと主張した。判決1〜2段・29〜41段を対訳で掲げる。

段落原文（英語版）訳文（AI訳）
1This request for a preliminary ruling concerns the interpretation of Article 55(1), Articles 56 to 58 and Articles 60 to 66 of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ 2016 L 119, p. 1, and corrigendum OJ 2018 L 127, p. 2), read together with Articles 7, 8 and 47 of the Charter of Fundamental Rights of the European Union (‘the Charter’).本件先決裁定の付託は、欧州連合基本権憲章（以下「憲章」）7条、8条及び47条と併せて読んだ、個人データの処理に係る自然人の保護及び当該データの自由な移動並びに指令95/46/ECの廃止に関する2016年4月27日の欧州議会及び理事会の規則(EU)2016/679（一般データ保護規則）（OJ 2016 L 119, p. 1、正誤表 OJ 2018 L 127, p. 2）の55条1項、56条から58条まで及び60条から66条までの解釈に関するものである。
2The request has been made in proceedings between Facebook Ireland Ltd, Facebook Inc. and Facebook Belgium BVBA, on the one hand, and the Gegevensbeschermingsautoriteit (the Belgian Data Protection Authority) (‘the DPA’), as the successor of the Commissie ter bescherming van de Persoonlijke Levenssfeer (the Belgian Privacy Commission) (‘the Privacy Commission’), on the other, concerning injunction proceedings brought by the President of the Privacy Commission seeking to bring to an end the processing of personal data, of internet users within Belgium, by the Facebook online social network, using cookies, social plug-ins and pixels.本付託は、Facebook Ireland Ltd、Facebook Inc.及びFacebook Belgium BVBAを一方とし、ベルギー・プライバシー保護委員会（Commissie ter bescherming van de Persoonlijke Levenssfeer。以下「プライバシー委員会」）の承継者であるベルギー・データ保護機関（Gegevensbeschermingsautoriteit。以下「DPA」）を他方とする訴訟においてされたものである。当該訴訟は、オンライン・ソーシャルネットワークであるFacebookがクッキー、ソーシャルプラグイン及びピクセルを用いてベルギー国内のインターネット利用者の個人データを処理することをやめさせるため、プライバシー委員会の委員長が提起した差止訴訟に関するものである。
29On 11 September 2015 the President of the Privacy Commission brought legal proceedings seeking an injunction against Facebook Ireland, Facebook Inc. and Facebook Belgium before the Nederlandstalige rechtbank van eerste aanleg Brussel (Dutch-language Court of First Instance, Brussels, Belgium). Since the Privacy Commission had no legal personality, it was necessary that the President of that body take legal action in order to ensure compliance with the legislation on the protection of personal data. However, the Privacy Commission itself sought leave to intervene in the proceedings brought by its President.2015年9月11日、プライバシー委員会の委員長は、ブリュッセル・オランダ語第一審裁判所（Nederlandstalige rechtbank van eerste aanleg Brussel、ベルギー）に、Facebook Ireland、Facebook Inc.及びFacebook Belgiumに対する差止めを求める訴訟を提起した。プライバシー委員会は法人格を有していなかったので、個人データの保護に関する法令の遵守を確保するためには、同機関の委員長が訴訟を提起する必要があった。もっとも、プライバシー委員会自身も、委員長が提起した訴訟への参加の許可を求めた。
30The object of those injunction proceedings was to bring to an end what the Privacy Commission describes, inter alia, as a ‘serious and large‑scale infringement, by Facebook, of the legislation relating to the protection of privacy’ consisting in the collection by that online social network of information on the internet browsing behaviour both of Facebook account holders and of non-users of Facebook services by means of various technologies, such as cookies, social plug-ins (for example, the ‘Like’ or ‘Share’ buttons) or pixels. Those features permit Facebook to obtain certain data of an internet user who visits a website page containing them, such as the address of that page, the ‘IP address’ of the visitor to that page and the date and time of the visit in question.この差止訴訟の目的は、プライバシー委員会がとりわけ「Facebookによるプライバシー保護に関する法令の重大かつ大規模な違反」と呼ぶものをやめさせることにあった。その違反とは、当該オンライン・ソーシャルネットワークが、クッキー、ソーシャルプラグイン（例えば「いいね！」ボタンや「シェア」ボタン）、ピクセルといった様々な技術を用いて、Facebookのアカウント保有者とFacebookのサービスの非利用者の双方について、インターネット上の閲覧行動に関する情報を収集することである。これらの機能により、Facebookは、それを含むウェブページを訪れたインターネット利用者の一定のデータ、例えば当該ページのアドレス、当該ページの訪問者の「IPアドレス」、当該訪問の日時を取得することができる。
31By judgment of 16 February 2018, the Nederlandstalige rechtbank van eerste aanleg Brussel (Dutch-language Court of First Instance, Brussels) held that it had jurisdiction to give a ruling on those injunction proceedings, in so far as the action concerned Facebook Ireland, Facebook Inc. and Facebook Belgium, and declared that the application for leave to intervene made by the Privacy Commission was inadmissible.2018年2月16日の判決により、ブリュッセル・オランダ語第一審裁判所は、訴えがFacebook Ireland、Facebook Inc.及びFacebook Belgiumに関する限りにおいて当該差止訴訟について判断する管轄権を有すると判示し、プライバシー委員会による参加許可の申立てを不適法とした。
32On the substance, that court held that Facebook was not adequately informing Belgian internet users of the collection of the information concerned and of the use of that information. Further, the consent given by the internet users to the collection and processing of that data was held to be invalid. Consequently, that court ordered Facebook Ireland, Facebook Inc. and Facebook Belgium (i) to desist, as regards all internet users established in Belgium, from placing, without their consent, cookies that remain active for two years on the devices used by them when browsing a web page in the Facebook.com domain or visiting the website of a third party, and from placing cookies and collecting data by means of social plug-ins, pixels or similar technological means on third‑party websites, in a manner that was excessive in the light of the objectives thereby pursued by the Facebook social network, (ii) to desist from providing information that might reasonably mislead the data subjects as to the real extent of the mechanisms put in place by Facebook for the use of cookies, and (iii) to destroy all the personal data obtained by means of cookies and social plug-ins.本案について、同裁判所は、Facebookは当該情報の収集及びその利用についてベルギーのインターネット利用者に適切に情報を提供していなかったと判示した。さらに、当該データの収集及び処理に対してインターネット利用者が与えた同意は無効であるとされた。そこで、同裁判所は、Facebook Ireland、Facebook Inc.及びFacebook Belgiumに対し、（i）ベルギーに所在するすべてのインターネット利用者に関し、Facebook.comドメインのウェブページを閲覧し又は第三者のウェブサイトを訪問する際に利用者が用いる端末に、同意なく、2年間有効なクッキーを設置すること、並びに、Facebookソーシャルネットワークがそれによって追求する目的に照らして過度な態様で、第三者のウェブサイト上でソーシャルプラグイン、ピクセル又は類似の技術的手段によりクッキーを設置し及びデータを収集することをやめること、（ii）クッキーの利用のためにFacebookが設けた仕組みの実際の範囲についてデータ主体を合理的に誤認させるおそれのある情報の提供をやめること、（iii）クッキー及びソーシャルプラグインにより取得したすべての個人データを破棄することを命じた。
33On 2 March 2018 Facebook Ireland, Facebook Inc. and Facebook Belgium brought an appeal against that judgment before the hof van beroep te Brussel (Court of Appeal, Brussels, Belgium). Before that court, the DPA acts as the legal successor both of the President of the Privacy Commission, who had brought the injunction proceedings, and of the Privacy Commission itself.2018年3月2日、Facebook Ireland、Facebook Inc.及びFacebook Belgiumは、この判決に対し、ブリュッセル控訴裁判所（hof van beroep te Brussel、ベルギー）に控訴した。同裁判所において、DPAは、差止訴訟を提起したプライバシー委員会の委員長と、プライバシー委員会自体の双方の法的承継者として行動している。
34The referring court held that it has jurisdiction solely to give a ruling on the appeal brought in so far as that appeal concerns Facebook Belgium. Conversely, the referring court held that it lacked jurisdiction to hear that appeal in relation to Facebook Ireland and Facebook Inc.付託裁判所は、控訴がFacebook Belgiumに関する限りにおいてのみ、当該控訴について判断する管轄権を有すると判示した。反対に、付託裁判所は、Facebook Ireland及びFacebook Inc.に関しては当該控訴を審理する管轄権を欠くと判示した。
35Before giving a ruling on the substance of the main proceedings, a question raised by the referring court is whether the DPA had the required standing and interest to bring proceedings. In the view of Facebook Belgium, the action brought seeking an injunction is inadmissible, in so far as it concerns facts prior to 25 May 2018, given that, following the entry into force of the law of 3 December 2017 and of Regulation 2016/679, Article 32(3) of the law of 8 December 1992, which is the legal basis for bringing such an action, was repealed. As regards the facts subsequent to 25 May 2018, Facebook Belgium claims that the DPA has no competence and has no right to bring such an action given the existence of the ‘one-stop shop’ mechanism now provided for under the provisions of Regulation 2016/679. On the basis of those provisions, it is claimed that only the Data Protection Commissioner (Ireland) is competent to bring injunction proceedings against Facebook Ireland, the latter being the sole controller of the personal data of the users of the social network concerned within the European Union.本案訴訟の実体について判断する前に付託裁判所が提起した問題は、DPAが訴訟を提起するのに必要な当事者適格及び訴えの利益を有していたかである。Facebook Belgiumの見解によれば、差止めを求めて提起された訴えは、2018年5月25日より前の事実に関する限り、不適法である。2017年12月3日法及び規則2016/679の施行に伴い、そのような訴えを提起する法的根拠である1992年12月8日法32条3項が廃止されたからである。2018年5月25日より後の事実については、Facebook Belgiumは、規則2016/679の規定のもとで現在定められている「ワンストップショップ」の仕組みが存在する以上、DPAはそのような訴えを提起する権限も権利も有しないと主張する。同社の主張によれば、これらの規定に基づき、欧州連合内における当該ソーシャルネットワークの利用者の個人データの唯一の管理者であるFacebook Irelandに対して差止訴訟を提起する権限を有するのは、アイルランドのデータ保護コミッショナー（Data Protection Commissioner）のみである。
36The referring court has held that the DPA had not demonstrated the required standing to bring the injunction proceedings in so far as those proceedings related to facts prior to 25 May 2018. As regards the facts subsequent to that date, the referring court is however uncertain as to the effect of the entry into force of Regulation 2016/679, in particular the effect of the application of the ‘one-stop shop’ mechanism provided for by that regulation, on the competences of the DPA and on its power to bring such injunction proceedings.付託裁判所は、差止訴訟が2018年5月25日より前の事実に関する限りにおいて、DPAはそれを提起するのに必要な当事者適格を証明していないと判示した。しかし、同日より後の事実については、付託裁判所は、規則2016/679の施行、とりわけ同規則が定める「ワンストップショップ」の仕組みの適用が、DPAの権限及びそのような差止訴訟を提起する権能にどのような影響を及ぼすかについて、確信を持てずにいる。
37In particular, in the view of the referring court, the question that now arises is whether, with respect to the facts subsequent to 25 May 2018, the DPA may bring an action against Facebook Belgium, since Facebook Ireland has been identified as the controller of the data concerned. Since that date and by virtue of the ‘one-stop shop’ rule, it appears that, in accordance with Article 56 of Regulation 2016/679, only the Data Protection Commissioner (Ireland) is competent, subject to review only by the Irish courts.とりわけ、付託裁判所の見解では、いま生じている問題は、Facebook Irelandが当該データの管理者と特定されている以上、2018年5月25日より後の事実に関し、DPAがFacebook Belgiumに対して訴えを提起することができるかである。同日以降、「ワンストップショップ」の規則により、規則2016/679の56条に従い、アイルランドのデータ保護コミッショナーのみが権限を有し、その審査はアイルランドの裁判所のみが行うように思われる。
38The referring court recalls that, in the judgment of 5 June 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388), the Court held that the ‘German supervisory authority’ was competent in respect of data processing where the controller of the data concerned was established in Ireland and the subsidiary that was established in Germany (namely Facebook Germany GmbH) was responsible solely for the sale of advertising spots and other marketing activities in Germany.付託裁判所は、2018年6月5日判決 Wirtschaftsakademie Schleswig-Holstein（C‑210/16、EU:C:2018:388）において、司法裁判所が、当該データの管理者がアイルランドに設立されており、ドイツに設立された子会社（すなわちFacebook Germany GmbH）がドイツにおける広告枠の販売その他のマーケティング活動のみを担当していた場合に、データ処理について「ドイツの監督機関」が権限を有すると判示したことを想起する。
39However, in the case that gave rise to that judgment, the Court was required to give a ruling on a request for a preliminary ruling concerning the interpretation of the provisions of Directive 95/46, which has been repealed by Regulation 2016/679. The referring court is uncertain to what extent the Court’s interpretation in that judgment is still of relevance to the application of Regulation 2016/679.しかし、同判決のもとになった事件において、司法裁判所が判断を求められたのは、規則2016/679により廃止された指令95/46の規定の解釈に関する先決裁定の付託であった。付託裁判所は、同判決における司法裁判所の解釈が規則2016/679の適用にどの程度なお妥当するかについて、確信を持てずにいる。
40The referring court also mentions a decision of the Bundeskartellamt (the German competition authority) of 6 February 2019 (the so-called ‘Facebook’ decision), in which that competition authority took the view that Facebook was abusing its position by merging data from different sources, which is now permitted only if users have given their explicit consent, with the proviso that any user who does not give his or her consent may not be excluded from Facebook services. The referring court notes that the Bundeskartellamt clearly considered itself to be competent, in spite of the ‘one-stop shop’ mechanism.付託裁判所は、ドイツ連邦カルテル庁（Bundeskartellamt）の2019年2月6日の決定（いわゆる「Facebook」決定）にも言及する。同決定において、同競争当局は、Facebookが異なる情報源からのデータを統合することによりその地位を濫用しているとの見解をとった。そのような統合は、現在では、利用者が明示の同意を与えた場合にのみ認められ、同意を与えない利用者をFacebookのサービスから排除してはならないとの条件が付されている。付託裁判所は、連邦カルテル庁が、「ワンストップショップ」の仕組みにもかかわらず、明らかに自らが権限を有すると考えていたことを指摘する。
41Further, the referring court considers that Article 6 of the law of 3 December 2017, which permits, as a general rule, the DPA, where necessary, to initiate or to engage in legal proceedings, does not imply that the action may, in all circumstances, be brought by the DPA before the Belgian courts, since the ‘one-stop shop’ mechanism appears to require that such an action should be brought before the court with jurisdiction in the place where the data processing is carried out.さらに、付託裁判所は、原則として、必要な場合にDPAが訴訟手続を開始し又はこれに参加することを認める2017年12月3日法6条は、DPAがいかなる場合にもベルギーの裁判所に訴えを提起できることを意味するものではないと考える。「ワンストップショップ」の仕組みは、そのような訴えはデータ処理が行われる地を管轄する裁判所に提起すべきことを求めているように思われるからである。

4. 付託された質問

付託裁判所は、主監督機関でない当局の提訴権限（第1問）、自国に主たる拠点がなくその他の拠点がある場合（第2問）、主たる拠点を相手方とする場合（第3問）、GDPRの適用開始前に提訴していた場合（第4問）、58条5項の直接効（第5問）、提訴の結果が主監督機関の判断を拘束するか（第6問）を問うた（42段）。

段落原文（英語版）訳文（AI訳）
42In those circumstances, the hof van beroep te Brussel (Court of Appeal, Brussels) decided to stay the proceedings and to refer the following questions to the Court of Justice for a preliminary ruling: ‘(1) Should Article 55(1), Articles 56 to 58 and Articles 60 to 66 of [Regulation 2016/679], read together with Articles 7, 8 and 47 of the [Charter], be interpreted as meaning that a supervisory authority which, pursuant to national law adopted in implementation of Article 58(5) of that regulation, has the competence to initiate or engage in legal proceedings before a court in its Member State against infringements of that regulation cannot exercise that competence in connection with cross-border data processing if it is not the lead supervisory authority for that cross-border data processing? (2) Does the answer to the first question referred differ if the controller of that cross-border data processing does not have its main establishment in that Member State but does have another establishment there? (3) Does the answer to the first question referred differ if the national supervisory authority initiates the legal proceedings against the main establishment of the controller in respect of the cross‑border data processing rather than against the establishment in its own Member State? (4) Does the answer to the first question referred differ if the national supervisory authority had already initiated the legal proceedings before the date on which [Regulation 2016/679] entered into force (25 May 2018)? (5) If the first question referred is answered in the affirmative, does Article 58(5) of [Regulation 2016/679] have direct effect, meaning that a national supervisory authority can rely on that provision to initiate or continue legal proceedings against private parties even if Article 58(5) of [Regulation 2016/679] has not been specifically transposed into the legislation of the Member States, notwithstanding the requirement to do so? (6) If questions (1) to (5) are answered in the affirmative, could the outcome of such proceedings prevent the lead supervisory authority from making a contrary finding when the lead supervisory authority investigates the same or similar cross-border processing activities in accordance with the mechanism laid down in Articles 56 and 60 of [Regulation 2016/679]?’このような状況において、ブリュッセル控訴裁判所は、手続を停止し、次の質問を司法裁判所に付託して先決裁定を求めることを決定した。「（1）［規則2016/679］の55条1項、56条から58条まで及び60条から66条までは、［憲章］7条、8条及び47条と併せて読むと、同規則58条5項を実施するために採択された国内法に基づき、同規則の違反に対し自国の裁判所において訴訟手続を開始し又はこれに参加する権限を有する監督機関は、越境データ処理について主監督機関でない場合には、当該越境データ処理に関してその権限を行使することができない、という意味に解釈されるべきか。（2）当該越境データ処理の管理者が、当該加盟国に主たる拠点を有しないが、その他の拠点を有する場合には、第1の質問に対する回答は異なるか。（3）国の監督機関が、自国の加盟国にある拠点に対してではなく、越境データ処理に関して管理者の主たる拠点に対して訴訟手続を開始する場合には、第1の質問に対する回答は異なるか。（4）国の監督機関が、［規則2016/679］が発効した日（2018年5月25日）より前にすでに訴訟手続を開始していた場合には、第1の質問に対する回答は異なるか。（5）第1の質問に対する回答が肯定的である場合、［規則2016/679］58条5項は直接効を有し、その結果、国の監督機関は、［規則2016/679］58条5項が、そうすべき義務があるにもかかわらず加盟国の法令に特に国内法化されていないときであっても、同規定を援用して私人に対する訴訟手続を開始し又は継続することができるか。（6）質問（1）から（5）までに対する回答が肯定的である場合、そのような訴訟手続の結果は、主監督機関が［規則2016/679］の56条及び60条に定める仕組みに従って同一又は類似の越境処理活動を調査する際に、主監督機関が反対の認定をすることを妨げ得るか。」

5. 判断

裁判所は、越境処理について違反を認定する決定を採択する権限は主監督機関にあるのが原則で、その他の当局の権限は例外であるとした（63段）。58条5項の提訴権限もこの配分に服し、例外の場面でのみ行使できる（65段、75段）。例外としては、56条2項の地域的な事案、66条の緊急手続、主監督機関が相互支援の要請に応じない場合（71段）が挙げられている。そのうえで、相手方となる拠点の所在（第2問・第3問）、適用開始前に係属した訴訟の継続（第4問）、直接効（第5問）について答え、第6問は仮定的であるとして不適法とした。

第1の質問：主監督機関でない当局の提訴権限（43〜75段）

段落原文（英語版）訳文（AI訳）
43By its first question, the referring court seeks, in essence, to ascertain whether Article 55(1), Articles 56 to 58 and Articles 60 to 66 of Regulation 2016/679, read together with Articles 7, 8 and 47 of the Charter, must be interpreted as meaning that a supervisory authority of a Member State which, under the national legislation adopted in order to implement Article 58(5) of that regulation, has the power to bring any alleged infringement of that regulation to the attention of a court of that Member State and, where necessary, to initiate or engage in legal proceedings, may exercise that power with respect to cross-border data processing even though it is not the ‘lead supervisory authority’, within the meaning of Article 56(1) of that regulation, in relation to such data processing.第1の質問により、付託裁判所は、要するに、規則2016/679の55条1項、56条から58条まで及び60条から66条までは、憲章7条、8条及び47条と併せて読むと、同規則58条5項を実施するために採択された国内法令に基づき、同規則の違反の疑いを当該加盟国の裁判所に提起し、必要な場合には訴訟手続を開始し又はこれに参加する権限を有する加盟国の監督機関は、越境データ処理に関し、当該データ処理について同規則56条1項にいう「主監督機関」でない場合であっても、その権限を行使することができる、という意味に解釈されなければならないかを確かめようとしている。
44In that regard, it must recalled, as a preliminary point, that, first, unlike Directive 95/46, which had been adopted on the basis of Article 100 A of the EC Treaty, concerning the harmonisation of the common market, the legal basis of Regulation 2016/679 is Article 16 TFEU, which enshrines the right of everyone to the protection of personal data concerning them and authorises the European Parliament and the Council of the European Union to lay down the rules relating to the protection of individuals with regard to the processing of that data by European Union institutions, bodies, offices and agencies, and by the Member States, when carrying out activities which fall within the scope of EU law, and the rules relating to the free movement of such data. Second, recital 1 of that regulation confirms that ‘the protection of natural persons in relation to the processing of personal data is a fundamental right’ and states that Article 8(1) of the Charter and Article 16(1) TFEU lay down the right of everyone to the protection of personal data concerning them.この点について、まず次のことを想起しなければならない。第一に、共同市場の調和に関するEC条約100A条に基づいて採択された指令95/46とは異なり、規則2016/679の法的根拠はTFEU16条である。同条は、自己に関する個人データの保護を受ける万人の権利を定め、欧州議会及び欧州連合理事会に対し、EUの機関、組織、事務所及び専門機関による処理、並びにEU法の適用範囲に属する活動を行う際の加盟国による処理に関する個人の保護についての規則、及び当該データの自由な移動に関する規則を定める権限を付与している。第二に、同規則前文1項は、「個人データの処理に関する自然人の保護は基本権である」ことを確認し、憲章8条1項及びTFEU16条1項が、自己に関する個人データの保護を受ける万人の権利を定めていると述べている。
45Consequently, as is clear from its Article 1(2), read together with recitals 10, 11 and 13 thereof, Regulation 2016/679 requires the European Union institutions, bodies, offices and agencies, and the competent authorities of the Member States, to ensure a high level of protection of the rights guaranteed in Article 16 TFEU and Article 8 of the Charter.したがって、規則2016/679は、その前文10項、11項及び13項と併せて読んだ1条2項から明らかなとおり、EUの機関、組織、事務所及び専門機関並びに加盟国の権限ある当局に対し、TFEU16条及び憲章8条が保障する権利の高い水準の保護を確保することを求めている。
46Further, as stated in its recital 4, Regulation 2016/679 respects all fundamental rights and observes the freedoms and principles recognised in the Charter.さらに、その前文4項に述べるとおり、規則2016/679は、すべての基本権を尊重し、憲章で認められた自由及び原則を遵守する。
47Against that background, Article 55(1) of Regulation 2016/679 states the general rule that each supervisory authority is to be competent for the performance of the tasks assigned to it and the exercise of the powers conferred on it, in accordance with that regulation, on the territory of its own Member State (see, to that effect, judgment of 16 July 2020, Facebook Ireland and Schrems, C‑311/18, EU:C:2020:559, paragraph 147).このような背景のもとで、規則2016/679の55条1項は、各監督機関は、同規則に従い、自国の加盟国の領域において、自己に割り当てられた任務の遂行及び自己に付与された権限の行使について権限を有するという一般原則を定めている（同旨、2020年7月16日判決 Facebook Ireland and Schrems、C‑311/18、EU:C:2020:559、147段）。
48One of the tasks assigned to those supervisory authorities is the task of monitoring the application of Regulation 2016/679 and enforcing its application, as laid down in Article 57(1)(a) of that regulation, while another is the task of cooperating with other supervisory authorities, including sharing information, and providing mutual assistance with a view to ensuring the consistency of application and enforcement of that regulation, as laid down in Article 57(1)(g) of that regulation. The powers conferred on those supervisory authorities, for the performance of those tasks, include various investigative powers, laid down in Article 58(1) of Regulation 2016/679, and the power to bring any infringement of that regulation to the attention of the judicial authorities and, where appropriate, to initiate or engage in legal proceedings in order to enforce the provisions of that regulation, as laid down in Article 58(5) of that regulation.これらの監督機関に割り当てられた任務の一つは、同規則57条1項(a)に定めるとおり、規則2016/679の適用を監視し、その適用を執行する任務であり、もう一つは、同規則57条1項(g)に定めるとおり、同規則の適用及び執行の一貫性を確保するため、情報の共有を含め他の監督機関と協力し、相互支援を提供する任務である。これらの任務の遂行のためにこれらの監督機関に付与された権限には、規則2016/679の58条1項に定める様々な調査権限、並びに同規則58条5項に定める、同規則のいかなる違反も司法当局に提起し、適切な場合には、同規則の規定を執行するために訴訟手続を開始し又はこれに参加する権限が含まれる。
49The performance of those tasks and the exercise of those powers presupposes, however, that a supervisory authority is competent with respect to a particular instance of data processing.もっとも、これらの任務の遂行及びこれらの権限の行使は、監督機関が特定のデータ処理の事案について権限を有することを前提とする。
50In that regard, without prejudice to the rule on competence set out in Article 55(1) of Regulation 2016/679, Article 56(1) of that regulation establishes, with respect to ‘cross-border processing’, within the meaning of Article 4, point (23), of that regulation, the ‘one-stop shop’ mechanism, based on an allocation of competences between one ‘lead supervisory authority’ and the other supervisory authorities concerned. Under that mechanism, the supervisory authority of the main establishment or of the single establishment of the controller or processor is to be competent to act as lead supervisory authority for the cross-border processing carried out by that controller or processor, in accordance with the procedure set out in Article 60 of that regulation.この点について、規則2016/679の55条1項に定める権限の規則を妨げることなく、同規則56条1項は、同規則4条(23)にいう「越境処理」に関し、一の「主監督機関」とその他の関係監督機関との間の権限配分に基づく「ワンストップショップ」の仕組みを設けている。この仕組みのもとでは、管理者又は処理者の主たる拠点又は単一の拠点の監督機関が、同規則60条に定める手続に従い、当該管理者又は処理者が行う越境処理について主監督機関として行動する権限を有する。
51Article 60 establishes the procedure for cooperation between the lead supervisory authority and the other supervisory authorities concerned. As part of that procedure, the lead supervisory authority is, in particular, required to endeavour to reach consensus. To that end, in accordance with Article 60(3) of Regulation 2016/679, the lead supervisory authority is without delay to submit a draft decision to the other supervisory authorities concerned for their opinion and is to take due account of their views.60条は、主監督機関とその他の関係監督機関との間の協力の手続を定めている。その手続の一環として、主監督機関は、とりわけ合意に達するよう努めることを求められる。そのため、規則2016/679の60条3項に従い、主監督機関は、遅滞なく、決定案をその他の関係監督機関に意見を求めるために提出し、その見解を十分に考慮しなければならない。
52It follows more specifically from Articles 56 and 60 of Regulation 2016/679 that, with respect to ‘cross-border processing’, within the meaning of Article 4, point (23), of that regulation, and subject to Article 56(2) thereof, the various national supervisory authorities concerned must cooperate, in accordance with the procedure laid down in those provisions, in order to reach a consensus and a single decision, which is binding on all those authorities and with which decision the controller must ensure compliance as regards processing activities undertaken in the context of all its establishments within the European Union. Further, Article 61(1) of that regulation obliges the supervisory authorities, inter alia, to provide each other with relevant information and mutual assistance in order to implement and apply that regulation in a consistent manner throughout the European Union. Article 63 of Regulation 2016/679 states that it was for that purpose that provision was made for the consistency mechanism, set out in Articles 64 and 65 of that regulation (judgment of 24 September 2019, Google(Territorial scope of de‑referencing), C‑507/17, EU:C:2019:772, paragraph 68).より具体的には、規則2016/679の56条及び60条から、同規則4条(23)にいう「越境処理」に関しては、同規則56条2項の場合を除き、関係する各国の監督機関は、これらの規定に定める手続に従って協力し、合意と単一の決定に達しなければならないことが導かれる。その決定は、これらのすべての監督機関を拘束し、管理者は、欧州連合内のそのすべての拠点の活動の過程で行われる処理活動に関し、その決定の遵守を確保しなければならない。さらに、同規則61条1項は、監督機関に対し、とりわけ、欧州連合全体で同規則を一貫した方法で実施し適用するため、互いに関連情報及び相互支援を提供する義務を課している。規則2016/679の63条は、同規則64条及び65条に定める一貫性の仕組みが設けられたのはそのためであると述べている（2019年9月24日判決 Google（参照解除の地理的範囲）、C‑507/17、EU:C:2019:772、68段）。
53The application of the ‘one-stop shop’ mechanism consequently requires, as confirmed in recital 13 of Regulation 2016/679, sincere and effective cooperation between the lead supervisory authority and the other supervisory authorities concerned. Accordingly, as the Advocate General stated in point 111 of his Opinion, the lead supervisory authority may not ignore the views of the other supervisory authorities, and any relevant and reasoned objection made by one of the other supervisory authorities has the effect of blocking, at least temporarily, the adoption of the draft decision of the lead supervisory authority.したがって、「ワンストップショップ」の仕組みの適用には、規則2016/679の前文13項が確認するとおり、主監督機関とその他の関係監督機関との間の誠実かつ実効的な協力が必要である。それゆえ、法務官がその意見の111項で述べたとおり、主監督機関は、その他の監督機関の見解を無視することはできず、その他の監督機関の一つが行った関連性があり理由が付された異議は、少なくとも一時的に、主監督機関の決定案の採択を阻止する効果を有する。
54Thus, in accordance with Article 60(4) of Regulation 2016/679, where one of the other supervisory authorities concerned expresses, within a period of four weeks after having been consulted, such a relevant and reasoned objection to the draft decision, the lead supervisory authority, if it does not follow the relevant and reasoned objection or is of the opinion that that objection is not relevant or reasoned, is to submit the matter to the consistency mechanism provided for in Article 63 of that regulation, in order to obtain a binding decision, adopted on the basis of Article 65(1)(a) of that regulation, from the European Data Protection Board.すなわち、規則2016/679の60条4項に従い、その他の関係監督機関の一つが、意見を求められてから4週間以内に、決定案に対してそのような関連性があり理由が付された異議を表明した場合において、主監督機関は、当該異議に従わないとき、又は当該異議に関連性若しくは理由がないと考えるときは、同規則65条1項(a)に基づいて採択される拘束力のある決定を欧州データ保護会議から得るため、同規則63条に定める一貫性の仕組みに当該事項を付さなければならない。
55Under Article 60(5) of Regulation 2016/679, where the lead supervisory authority intends, on the other hand, to follow the relevant and reasoned objection made, it must submit to the other supervisory authorities concerned a revised draft decision for their opinion. That revised draft decision is to be subject to the procedure referred to in Article 60(4) within a period of two weeks.他方、規則2016/679の60条5項によれば、主監督機関が、表明された関連性があり理由が付された異議に従う意図を有する場合には、修正した決定案をその他の関係監督機関に意見を求めるために提出しなければならない。当該修正決定案は、2週間の期間内に、60条4項に定める手続に付される。
56In accordance with Article 60(7) of that regulation, it is the responsibility of the lead supervisory authority, as a general rule, to adopt a decision with respect to the cross-border processing concerned, to give notice of that decision to the main establishment or the single establishment of the controller or processor, as the case may be, and to inform the other supervisory authorities concerned and the European Data Protection Board of the decision in question, including a summary of the relevant facts and grounds.同規則60条7項に従い、原則として、当該越境処理について決定を採択し、その決定を場合に応じて管理者又は処理者の主たる拠点又は単一の拠点に通知し、関連する事実及び理由の要約を含め、当該決定をその他の関係監督機関及び欧州データ保護会議に知らせるのは、主監督機関の責任である。
57That said, it must be noted that Regulation 2016/679 establishes exceptions to the general rule that it is the lead supervisory authority which is competent to adopt decisions in the context of the ‘one-stop shop’ mechanism provided for in Article 56(1) of that regulation.もっとも、規則2016/679は、同規則56条1項に定める「ワンストップショップ」の仕組みの文脈において決定を採択する権限を有するのは主監督機関であるという一般原則に対し、例外を設けていることに留意しなければならない。
58The first of those exceptions is to be found in Article 56(2) of Regulation 2016/679, which provides that a supervisory authority which is not the lead supervisory authority is to be competent to handle a complaint lodged with it concerning a cross-border processing of personal data or a possible infringement of that regulation, if the subject matter relates only to an establishment in its own Member State or substantially affects data subjects only in that Member State.それらの例外の第一は、規則2016/679の56条2項にある。同項は、主監督機関でない監督機関は、対象事項が自国の加盟国にある拠点のみに関係し、又は当該加盟国のデータ主体のみに実質的な影響を及ぼす場合には、個人データの越境処理に関して自己に申し立てられた苦情又は同規則の違反の可能性を処理する権限を有すると定める。
59The second exception is in Article 66 of Regulation 2016/679, which provides, by way of derogation from the consistency mechanisms referred to in Articles 60 and Article 63 to 65 of that regulation, for an urgency procedure. That urgency procedure makes it possible, in exceptional circumstances, where the supervisory authority concerned considers that there is an urgent need to act in order to protect the rights and freedoms of data subjects, immediately to adopt provisional measures intended to produce legal effects on its own territory with a specified period of validity which is not to exceed three months, while Article 66(2) of Regulation 2016/679 further provides that, where a supervisory authority has taken a measure under Article 66(1) and considers that final measures must urgently be adopted, it may request an urgent opinion or an urgent binding decision from the European Data Protection Board, giving reasons for requesting such an opinion or decision.第二の例外は、規則2016/679の66条にある。同条は、同規則60条及び63条から65条までに定める一貫性の仕組みの例外として、緊急手続を定めている。この緊急手続によれば、例外的な状況において、関係監督機関がデータ主体の権利及び自由を保護するために緊急に行動する必要があると考える場合には、自国の領域において法的効果を生じさせることを目的とし、3か月を超えない特定の有効期間を付した暫定措置を直ちに採択することができる。さらに、規則2016/679の66条2項は、監督機関が66条1項に基づき措置を講じ、最終的な措置を緊急に採択する必要があると考える場合には、理由を付して、欧州データ保護会議に緊急の意見又は緊急の拘束力のある決定を求めることができると定める。
60However, the exercise of that competence by the supervisory authorities must be compatible with the need for sincere and effective cooperation with the lead supervisory authority, in accordance with the procedure referred to in Article 56(3) to (5) of Regulation 2016/679. In such circumstances, under Article 56(3) of that regulation, the supervisory authority concerned must without delay inform the lead supervisory authority, which, within a period of three weeks of being informed, is to decide whether or not it will handle the case.しかし、監督機関によるその権限の行使は、規則2016/679の56条3項から5項までに定める手続に従い、主監督機関との誠実かつ実効的な協力の必要性と両立するものでなければならない。そのような状況において、同規則56条3項によれば、関係監督機関は遅滞なく主監督機関に通知しなければならず、主監督機関は、通知を受けてから3週間以内に、自ら事案を処理するか否かを決定する。
61Under Article 56(4) of Regulation 2016/679, where the lead supervisory authority decides to handle the case, the cooperation procedure laid down in Article 60 of that regulation is applicable. In that context, the supervisory authority which informed the lead supervisory authority may submit to the latter a draft for a decision and the latter must take the utmost account of that draft when preparing the draft decision referred to in Article 60(3) of that regulation.規則2016/679の56条4項によれば、主監督機関が事案を処理すると決定した場合には、同規則60条に定める協力手続が適用される。その文脈において、主監督機関に通知した監督機関は、主監督機関に決定の草案を提出することができ、主監督機関は、同規則60条3項にいう決定案を作成するにあたり、その草案を最大限考慮しなければならない。
62However, under Article 56(5) of Regulation 2016/679, where the lead supervisory authority decides not to handle the case, the supervisory authority which informed the former is to handle the case in accordance with Articles 61 and 62 of that regulation, those provisions requiring the supervisory authorities to comply with the rules on mutual assistance and cooperation within the framework of joint operations, in order to ensure effective cooperation between the authorities concerned.しかし、規則2016/679の56条5項によれば、主監督機関が事案を処理しないと決定した場合には、主監督機関に通知した監督機関が、同規則61条及び62条に従って事案を処理する。これらの規定は、関係当局間の実効的な協力を確保するため、監督機関に対し、相互支援及び共同作業の枠組みにおける協力に関する規則を遵守することを求めている。
63It follows from the foregoing that, first, in relation to the cross-border processing of personal data, the competence of the lead supervisory authority for the adoption of a decision finding that such processing is an infringement of the rules relating to the protection of the rights of natural persons as regards the processing of personal data found in Regulation 2016/679 constitutes the rule, whereas the competence of the other supervisory authorities concerned for the adoption of such a decision, even provisionally, constitutes the exception. Second, while the competence as a general rule of the lead supervisory authority is confirmed in Article 56(6) of Regulation 2016/679, which states that the lead supervisory authority is the ‘sole interlocutor’ of the controller or processor with respect to the cross-border processing carried out by that controller or that processor, that authority must exercise such competence within a framework of close cooperation with the other supervisory authorities concerned. In particular, the lead supervisory authority cannot, in the exercise of its competences, as stated in paragraph 53 of the present judgment, eschew essential dialogue with and sincere and effective cooperation with the other supervisory authorities concerned.以上から、第一に、個人データの越境処理に関しては、当該処理が規則2016/679に定める個人データの処理に関する自然人の権利の保護に係る規則に違反すると認定する決定を採択する主監督機関の権限が原則であり、そのような決定を、暫定的にであれ採択するその他の関係監督機関の権限は例外である。第二に、主監督機関の原則的な権限は、主監督機関が管理者又は処理者の行う越境処理に関し当該管理者又は処理者の「唯一の窓口」であると定める規則2016/679の56条6項で確認されているが、同機関は、その他の関係監督機関との緊密な協力の枠組みの中でその権限を行使しなければならない。とりわけ、本判決53段で述べたとおり、主監督機関は、その権限の行使にあたり、その他の関係監督機関との不可欠な対話並びに誠実かつ実効的な協力を避けることはできない。
64In that regard, it is stated in recital 10 of Regulation 2016/679 that that regulation seeks, inter alia, to ensure consistent and homogeneous application of the rules for the protection of the freedoms and fundamental rights of natural persons with regard to the processing of personal data throughout the European Union and to remove obstacles to flows of personal data within the Union.この点について、規則2016/679の前文10項は、同規則が、とりわけ、個人データの処理に関する自然人の自由及び基本権の保護のための規則を欧州連合全体で一貫して均質に適用することを確保し、欧州連合内の個人データの流通に対する障害を除去することを目指していると述べている。
65That objective, and the effectiveness of the ‘one-stop shop’ mechanism, might be jeopardised if a supervisory authority which is not, with respect to an instance of cross-border data processing, the lead supervisory authority, could exercise the power laid down in Article 58(5) of Regulation 2016/679 in situations other than those where it has competence for the adoption of a decision as referred to in paragraph 63 of the present judgment. The exercise of that power is indeed intended to lead to a binding judicial decision, which is no less liable to undermine that objective and that mechanism than a decision adopted by a supervisory authority which is not the lead supervisory authority.越境データ処理の事案について主監督機関でない監督機関が、本判決63段にいう決定の採択について権限を有する場合以外の状況において、規則2016/679の58条5項に定める権限を行使することができるとすれば、その目的及び「ワンストップショップ」の仕組みの実効性が損なわれるおそれがある。実際、その権限の行使は拘束力のある司法判断をもたらすことを意図しており、その司法判断は、主監督機関でない監督機関が採択した決定に劣らず、その目的及び仕組みを損なうおそれがある。
66Contrary to what is claimed by the DPA, the fact that a supervisory authority of a Member State which is not the lead supervisory authority may exercise the power laid down in Article 58(5) of Regulation 2016/679 only when that exercise complies with the rules on the allocation of competences to adopt decisions laid down, in particular, in Articles 55 and 56 of that regulation, read together with Article 60 thereof, is compatible with Articles 7, 8 and 47 of the Charter.DPAの主張に反し、主監督機関でない加盟国の監督機関が規則2016/679の58条5項に定める権限を行使できるのは、その行使が、とりわけ同規則60条と併せて読んだ同規則55条及び56条に定める決定採択権限の配分に関する規則に適合する場合に限られるということは、憲章7条、8条及び47条と両立する。
67First, as regards the argument concerning an alleged breach of Articles 7 and 8 of the Charter, it must be recalled that Article 7 guarantees that everyone has the right to respect for his or her private and family life, home and communications, whereas Article 8(1) of the Charter, like Article 16(1) TFEU, expressly recognises that everyone has the right to the protection of personal data concerning him or her. It is clear, in particular, from Article 51(1) of Regulation 2016/679 that the supervisory authorities are responsible for monitoring the application of that regulation, for the purpose, inter alia, of protecting the fundamental rights of natural persons as regards the processing of their personal data. It follows that, in line with what has been said in paragraph 45 of the present judgment, the rules on the allocation of competences to adopt decisions between the lead supervisory authority and the other supervisory authorities, as laid down by that regulation, take nothing away from the responsibility incumbent on each of those authorities to contribute to a high level of protection of those rights, with due regard to those rules and to the requirements of cooperation and mutual assistance mentioned in paragraph 52 of the present judgment.第一に、憲章7条及び8条の違反の主張に関する議論については、7条は、すべての者が私生活及び家族生活、住居並びに通信の尊重を受ける権利を有することを保障し、憲章8条1項は、TFEU16条1項と同様に、すべての者が自己に関する個人データの保護を受ける権利を有することを明示的に認めていることを想起しなければならない。とりわけ規則2016/679の51条1項から、監督機関は、とりわけ個人データの処理に関する自然人の基本権を保護する目的で、同規則の適用を監視する責任を負うことが明らかである。したがって、本判決45段で述べたところに沿い、同規則が定める主監督機関とその他の監督機関との間の決定採択権限の配分に関する規則は、これらの規則及び本判決52段で述べた協力及び相互支援の要請を十分に尊重しつつ、これらの権利の高い水準の保護に寄与するという、これらの機関のそれぞれに課された責任を何ら減じるものではない。
68That means, in particular, that the use of the ‘one-stop shop’ mechanism cannot under any circumstances have the consequence that a national supervisory authority, in particular the lead supervisory authority, does not assume the responsibility incumbent on it under Regulation 2016/679 to contribute to providing effective protection of natural persons from infringements of their fundamental rights as recalled in the preceding paragraph of the present judgment, as otherwise that consequence might encourage the practice of forum shopping, particularly by data controllers, designed to circumvent those fundamental rights and the practical application of the provisions of that regulation that give effect to those rights.このことは、とりわけ、「ワンストップショップ」の仕組みの利用が、いかなる状況においても、国の監督機関、とりわけ主監督機関が、前段で想起した基本権の侵害から自然人を実効的に保護することに寄与するという規則2016/679に基づき自己に課された責任を引き受けない、という結果をもたらしてはならないことを意味する。そうでなければ、その結果は、これらの基本権及びこれらの権利を具体化する同規則の規定の実際の適用を回避することを目的とした、とりわけデータ管理者によるフォーラム・ショッピングの慣行を助長するおそれがあるからである。
69Second, as regards the argument concerning the alleged breach of the right to an effective remedy, guaranteed in Article 47 of the Charter, that argument cannot be accepted either. The manner in which, as set out in paragraphs 64 and 65 of the present judgment, the possibility that a supervisory authority other than the lead supervisory authority may exercise the power laid down in Article 58(5) of Regulation 2016/679, with respect to an instance of cross-border processing of personal data, is circumscribed takes nothing away from the right of every data subject, laid down in Article 78(1) and (2) of that regulation, to an effective legal remedy, in particular, against a legally binding decision of a supervisory authority concerning him or her, or against a failure by the supervisory authority which has the competence to adopt decisions under Articles 55 and 56 of that regulation, read together with Article 60 thereof, to handle a complaint that that data subject has lodged.第二に、憲章47条が保障する実効的な救済を受ける権利の侵害の主張に関する議論についても、その議論は認められない。本判決64段及び65段で述べたように、個人データの越境処理の事案に関し主監督機関以外の監督機関が規則2016/679の58条5項に定める権限を行使し得る可能性が限定されているからといって、同規則78条1項及び2項に定める、すべてのデータ主体が、とりわけ自己に関する監督機関の法的拘束力のある決定に対し、又は同規則60条と併せて読んだ55条及び56条に基づき決定を採択する権限を有する監督機関が当該データ主体の申し立てた苦情を処理しないことに対し、実効的な法的救済を受ける権利は何ら減じられない。
70That is particularly true in the situation described in Article 56(5) of Regulation 2016/679, by virtue of which, as stated in paragraph 62 of the present judgment, the supervisory authority which has given information on the basis of Article 56(3) of that regulation, may handle the case in accordance with Articles 61 and 62 thereof, where the lead supervisory authority decides, after having been so informed, that it will not itself handle the case. If a case is to be handled in such a way, it is not inconceivable that the supervisory authority concerned may, where appropriate, decide to exercise the power conferred on it by Article 58(5) of Regulation 2016/679.このことは、規則2016/679の56条5項に定める状況において特に当てはまる。同項によれば、本判決62段で述べたとおり、主監督機関が、同規則56条3項に基づく通知を受けた後、自ら事案を処理しないと決定した場合には、当該通知をした監督機関が同規則61条及び62条に従って事案を処理することができる。事案がそのように処理される場合には、関係監督機関が、適切な場合に、規則2016/679の58条5項により自己に付与された権限を行使すると決定することもあり得ないことではない。
71That said, it must be emphasised that the exercise of the power of a Member State’s supervisory authority to bring actions before the courts of that State cannot be ruled out where, after the mutual assistance of the lead supervisory authority has been sought, under Article 61 of Regulation 2016/679, the latter does not provide the former with the requested information. In that situation, under Article 61(8) of that regulation, the supervisory authority concerned may adopt a provisional measure on the territory of its own Member State and, if it considers that there is an urgent need for the adoption of final measures, that authority may, in accordance with Article 66(2) of that regulation, request an urgent opinion or an urgent binding decision from the European Data Protection Board. Further, under Article 64(2) of that regulation, a supervisory authority may request that any matter that is of general application or that produces effects in more than one Member State be examined by the European Data Protection Board with a view to obtaining an opinion, in particular where a competent supervisory authority does not comply with the obligations for mutual assistance imposed on it by Article 61 of that regulation. Following the adoption of such an opinion or such a decision, and provided that the European Data Protection Board approves, after taking account of all the relevant circumstances, the supervisory authority concerned must be able to take the necessary measures to ensure compliance with the rules on the protection of the rights of natural persons as regards the processing of personal data contained in Regulation 2016/679 and, for that purpose, exercise the power conferred on it by Article 58(5) of that regulation.もっとも、規則2016/679の61条に基づき主監督機関の相互支援が求められた後、主監督機関が求められた情報を提供しない場合には、加盟国の監督機関が当該国の裁判所に訴えを提起する権限を行使することは排除されないことを強調しなければならない。その状況においては、同規則61条8項により、関係監督機関は自国の加盟国の領域において暫定措置を採択することができ、最終的な措置を緊急に採択する必要があると考える場合には、同規則66条2項に従い、欧州データ保護会議に緊急の意見又は緊急の拘束力のある決定を求めることができる。さらに、同規則64条2項によれば、監督機関は、とりわけ権限ある監督機関が同規則61条により課された相互支援の義務を遵守しない場合には、一般的に適用される事項又は複数の加盟国に効果を生じる事項について、意見を得るため欧州データ保護会議の審査に付すよう求めることができる。そのような意見又は決定が採択された後、欧州データ保護会議があらゆる関連する事情を考慮したうえで承認することを条件として、関係監督機関は、規則2016/679に定める個人データの処理に関する自然人の権利の保護に係る規則の遵守を確保するために必要な措置を講じ、そのために同規則58条5項により自己に付与された権限を行使することができなければならない。
72The sharing of competences and responsibilities among the supervisory authorities is of necessity underpinned by the existence of sincere and effective cooperation, between those authorities and with the Commission, in order to ensure the correct and consistent application of that regulation, as Article 51(2) of that regulation confirms.監督機関の間の権限及び責任の分担は、同規則51条2項が確認するとおり、同規則の正確かつ一貫した適用を確保するため、これらの機関相互間及び欧州委員会との間に誠実かつ実効的な協力が存在することを必然的な支えとしている。
73In this instance, it will be for the referring court to determine whether the rules on the allocation of competences and the relevant procedures and mechanisms laid down by Regulation 2016/679 have been correctly applied in the main proceedings. In particular, it will be the task of the referring court to ascertain whether, although the DPA is not the lead supervisory authority in this case, the processing in question, to the extent that it involves the conduct of the Facebook online social network subsequent to 25 May 2018, may be classified as occurring in, in particular, the situation referred to in paragraph 71 of the present judgment.本件において、規則2016/679が定める権限配分の規則並びに関連する手続及び仕組みが本案訴訟において正しく適用されたかを判断するのは、付託裁判所である。とりわけ、DPAは本件において主監督機関ではないが、問題となっている処理が、2018年5月25日より後のオンライン・ソーシャルネットワークFacebookの行為に関わる限りにおいて、とりわけ本判決71段にいう状況において生じたものと性質決定できるかを確認するのは、付託裁判所の任務である。
74In that regard, the Court observes that the European Data Protection Board, in its Opinion 5/2019 of 12 March 2019 on the interplay between the [Directive on privacy and electronic communications] and the [General Data Protection Regulation], in particular regarding the competence, tasks and powers of data protection authorities, stated that storing and obtaining access to personal data by means of cookies fell within the scope of Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ 2002 L 201, p. 37), and not within the scope of the ‘one-stop shop’ mechanism. On the other hand, all earlier processing operations, and all subsequent processing activities, with respect to that personal data, by means of other technologies, do fall within the scope of Regulation 2016/679, and consequently within the scope of the ‘one‑stop shop’ mechanism. Given that its request for mutual assistance concerned subsequent personal data processing operations, the DPA in April 2019 asked the Data Protection Commissioner (Ireland) to respond to its request as expeditiously as possible, but no response was provided.この点について、司法裁判所は、欧州データ保護会議が、［電子通信プライバシー指令］と［一般データ保護規則］の相互関係、とりわけデータ保護機関の権限、任務及び権能に関する2019年3月12日の意見5/2019において、クッキーによる個人データの保存及びそれへのアクセスは、電子通信分野における個人データの処理及びプライバシーの保護に関する2002年7月12日の欧州議会及び理事会の指令2002/58/EC（電子通信プライバシー指令）（OJ 2002 L 201, p. 37）の適用範囲に属し、「ワンストップショップ」の仕組みの適用範囲には属しないと述べたことに注目する。他方、当該個人データに関し、他の技術による先行するすべての処理操作及び後続するすべての処理活動は、規則2016/679の適用範囲に属し、したがって「ワンストップショップ」の仕組みの適用範囲に属する。その相互支援の要請は後続する個人データの処理操作に関するものであったため、DPAは、2019年4月、アイルランドのデータ保護コミッショナーに対し、その要請にできる限り速やかに応じるよう求めたが、回答はなかった。
75In the light of all the foregoing, the answer to the first question referred is that Article 55(1), Articles 56 to 58 and Articles 60 to 66 of Regulation 2016/679, read together with Articles 7, 8 and 47 of the Charter, must be interpreted as meaning that a supervisory authority of a Member State which, under the national legislation adopted in order to transpose Article 58(5) of that regulation, has the power to bring any alleged infringement of that regulation to the attention of a court of that Member State and, where necessary, to initiate or engage in legal proceedings, may exercise that power in relation to an instance of cross‑border data processing even though it is not the ‘lead supervisory authority’, within the meaning of Article 56(1) of that regulation, with respect to that data processing, provided that that power is exercised in one of the situations where that regulation confers on that supervisory authority a competence to adopt a decision finding that such processing is in breach of the rules contained in that regulation, and that the cooperation and consistency procedures laid down by that regulation are respected.以上のすべてに照らし、第1の質問に対しては、次のとおり回答する。規則2016/679の55条1項、56条から58条まで及び60条から66条までは、憲章7条、8条及び47条と併せて読むと、次のように解釈されなければならない。すなわち、加盟国の監督機関であって、同規則58条5項を国内法化するために採択された国内法令に基づき、同規則の違反の疑いを当該加盟国の裁判所に提起し、必要な場合には訴訟手続を開始し又はこれに参加する権限を有するものは、越境データ処理の事案に関し、当該データ処理について同規則56条1項にいう「主監督機関」でない場合であっても、その権限を行使することができる。ただし、その権限が、同規則が当該監督機関に対し、当該処理が同規則に定める規定に違反していると認定する決定を採択する権限を付与している場合の一つにおいて行使され、かつ、同規則に定める協力及び一貫性の手続が遵守されることを条件とする。

第2の質問：自国に主たる拠点がない場合（76〜84段）

段落原文（英語版）訳文（AI訳）
76By its second question, the referring court seeks, in essence, to ascertain whether Article 58(5) of Regulation 2016/679 must be interpreted as meaning that, in the event of cross-border data processing, it is a prerequisite for the exercise of the power of a supervisory authority of a Member State, other than the lead supervisory authority, to initiate or engage in legal proceedings, within the meaning of that provision, that the controller with respect to the cross-border processing of personal data against whom such proceedings are brought has a ‘main establishment’, within the meaning of Article 4, point 16, of Regulation 2016/679, on the territory of that Member State or another establishment on that territory.第2の質問により、付託裁判所は、要するに、規則2016/679の58条5項は、越境データ処理の場合において、主監督機関以外の加盟国の監督機関が同項にいう訴訟手続を開始し又はこれに参加する権限を行使するにあたり、当該手続の相手方となる、個人データの越境処理に関する管理者が、当該加盟国の領域内に規則2016/679の4条(16)にいう「主たる拠点」又は当該領域内にその他の拠点を有していることが前提条件である、という意味に解釈されなければならないかを確かめようとしている。
77In that regard, it must be recalled that, under Article 55(1) of Regulation 2016/679, each supervisory authority is to be competent for the performance of the tasks assigned to it and the exercise of the powers conferred on it, in accordance with that regulation, on the territory of its own Member State.この点について、規則2016/679の55条1項によれば、各監督機関は、同規則に従い、自国の加盟国の領域において、自己に割り当てられた任務の遂行及び自己に付与された権限の行使について権限を有することを想起しなければならない。
78Article 58(5) of Regulation 2016/679 lays down, further, the power of each supervisory authority to bring any alleged infringement of that regulation to the attention of a court of its Member State and, where appropriate, to initiate or engage in legal proceedings, in order to enforce the provisions of that regulation.さらに、規則2016/679の58条5項は、同規則の規定を執行するため、同規則の違反の疑いを自国の加盟国の裁判所に提起し、適切な場合には訴訟手続を開始し又はこれに参加する各監督機関の権限を定めている。
79It must be observed that Article 58(5) of Regulation 2016/679 is worded in general terms and that the EU legislature has not specified that the exercise of that power by a Member State’s supervisory authority is subject to the condition that its legal action should be brought against a controller who has a ‘main establishment’, within the meaning of Article 4, point 16, of that regulation, or another establishment on the territory of that Member State.規則2016/679の58条5項は一般的な文言で規定されており、EU立法者は、加盟国の監督機関によるその権限の行使が、その訴えが当該加盟国の領域内に同規則4条(16)にいう「主たる拠点」又はその他の拠点を有する管理者に対して提起されることを条件とする旨を特定していないことに留意しなければならない。
80However, a Member State’s supervisory authority may exercise the power conferred on it by Article 58(5) of Regulation 2016/679 only if it is demonstrated that that power falls within the territorial scope of that regulation.しかし、加盟国の監督機関が規則2016/679の58条5項により自己に付与された権限を行使することができるのは、その権限が同規則の地理的適用範囲に属することが証明された場合に限られる。
81Article 3(1) of Regulation 2016/679, which governs the territorial scope of that regulation, provides, in that regard, that the regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the European Union, whether or not the processing takes place in the European Union.この点について、規則2016/679の地理的適用範囲を規律する同規則3条1項は、同規則は、処理が欧州連合内で行われるか否かを問わず、欧州連合内の管理者又は処理者の拠点の活動の過程における個人データの処理に適用されると定める。
82In that connection, recital 22 of Regulation 2016/679 states that the existence of such an establishment implies the effective and real exercise of activity through stable arrangements and that the legal form of such arrangements, whether through a branch or a subsidiary with legal personality, is not the determining factor in that respect.この関連で、規則2016/679の前文22項は、そのような拠点の存在は、安定的な仕組みを通じた実効的かつ現実の活動の遂行を意味し、支店によるか法人格を有する子会社によるかを問わず、そのような仕組みの法的形式はこの点について決定的な要素ではないと述べている。
83It follows that, in accordance with Article 3(1) of Regulation 2016/679, the territorial scope of that regulation is determined, without prejudice to the situations referred to in paragraphs 2 and 3 of that article, by the condition that the controller or the processor with respect to the cross‑border processing has an establishment in the European Union.したがって、規則2016/679の3条1項に従い、同規則の地理的適用範囲は、同条2項及び3項に定める状況を妨げることなく、越境処理に関する管理者又は処理者が欧州連合内に拠点を有するという条件によって決まる。
84Consequently the answer to the second question referred is that Article 58(5) of Regulation 2016/679 must be interpreted as meaning that, in the event of cross‑border data processing, it is not a prerequisite for the exercise of the power of a supervisory authority of a Member State, other than the lead supervisory authority, to initiate or engage in legal proceedings, within the meaning of that provision, that the controller or processor with respect to the cross-border processing of personal data against whom such proceedings are brought has a main establishment or another establishment on the territory of that Member State.したがって、第2の質問に対しては、次のとおり回答する。規則2016/679の58条5項は、越境データ処理の場合において、主監督機関以外の加盟国の監督機関が同項にいう訴訟手続を開始し又はこれに参加する権限を行使するにあたり、当該手続の相手方となる、個人データの越境処理に関する管理者又は処理者が当該加盟国の領域内に主たる拠点又はその他の拠点を有していることは前提条件ではない、と解釈されなければならない。

第3の質問：訴えの相手方となる拠点（85〜96段）

段落原文（英語版）訳文（AI訳）
85By its third question, the referring court seeks, in essence, to ascertain whether Article 58(5) of Regulation 2016/679 must be interpreted as meaning that, in the event of cross-border data processing, it is a prerequisite of the exercise by a supervisory authority of a Member State, other than the lead supervisory authority, of the power to bring any alleged infringement of that regulation to the attention of a court of that Member State and, where appropriate, to initiate or engage in legal proceedings, within the meaning of that provision, that the supervisory authority concerned directs its legal proceedings against the main establishment of the controller or against the establishment that is located in its own Member State.第3の質問により、付託裁判所は、要するに、規則2016/679の58条5項は、越境データ処理の場合において、主監督機関以外の加盟国の監督機関が、同規則の違反の疑いを当該加盟国の裁判所に提起し、適切な場合には同項にいう訴訟手続を開始し又はこれに参加する権限を行使するにあたり、関係監督機関がその訴訟手続を管理者の主たる拠点に対して、又は自国の加盟国に所在する拠点に対して向けることが前提条件である、という意味に解釈されなければならないかを確かめようとしている。
86It is clear from the order for reference that that question has arisen in the context of argument by the parties in relation to the issue whether the referring court has jurisdiction to hear the injunction proceedings in so far as those proceedings are brought against Facebook Belgium, given that, first, within the European Union, the headquarters of the Facebook group is situated in Ireland and that Facebook Ireland is the sole controller with respect to the collection and processing of personal data throughout the European Union, and, second, due to the internal division of that group, the establishment located in Belgium was created, primarily, to allow the Facebook group to engage with the EU institutions and, secondarily, to promote the advertising and marketing of that group to people residing in Belgium.付託決定から明らかなとおり、この質問は、Facebook Belgiumに対して提起された限りでの差止訴訟を審理する管轄権を付託裁判所が有するかという問題に関する当事者の議論の文脈で生じたものである。その背景として、第一に、欧州連合内において、Facebookグループの本拠はアイルランドにあり、Facebook Irelandが欧州連合全体における個人データの収集及び処理に関する唯一の管理者であること、第二に、同グループの内部の分担により、ベルギーに所在する拠点は、主として、FacebookグループがEUの機関と関わることを可能にするために、副次的に、ベルギーに居住する人々に向けた同グループの広告及びマーケティングを促進するために設けられたことがある。
87As stated in paragraph 47 of the present judgment, Article 55(1) of Regulation 2016/679 establishes the competence, as a general rule, of each supervisory authority for the performance of the tasks assigned to it and the exercise of the powers conferred on it, in accordance with that regulation, on the territory of its own Member State.本判決47段で述べたとおり、規則2016/679の55条1項は、各監督機関が、同規則に従い、自国の加盟国の領域において、自己に割り当てられた任務の遂行及び自己に付与された権限の行使について原則として権限を有することを定めている。
88As regards the power of a supervisory authority of a Member State to bring legal proceedings, within the meaning of Article 58(5) of Regulation 2016/679, it must be recalled, as the Advocate General stated in point 150 of his Opinion, that that provision is worded in general terms and that it does not specify against which entities the supervisory authorities should or might direct legal proceedings in relation to any infringement of that regulation.規則2016/679の58条5項にいう訴訟手続を提起する加盟国の監督機関の権限については、法務官がその意見の150項で述べたとおり、同規定は一般的な文言で規定されており、同規則の違反に関し監督機関がいずれの主体に対して訴訟手続を向けるべきか又は向けることができるかを特定していないことを想起しなければならない。
89Consequently, that provision does not restrict the exercise of the power to initiate or engage in legal proceedings in such a way that those proceedings can solely be brought against a ‘main establishment’ or against some other ‘establishment’ of the controller. On the contrary, under Article 58(5) of that regulation, where the supervisory authority of a Member State has the necessary competence for that purpose, under Articles 55 and 56 of Regulation 2016/679, it may exercise the powers conferred by that regulation on its national territory, irrespective of the Member State in which the controller or its processor is established.したがって、同規定は、訴訟手続を開始し又はこれに参加する権限の行使を、当該手続を管理者の「主たる拠点」又はその他の「拠点」に対してのみ提起できるように制限するものではない。反対に、同規則58条5項によれば、加盟国の監督機関は、そのために必要な権限を規則2016/679の55条及び56条に基づき有する場合には、管理者又はその処理者がいずれの加盟国に設立されているかにかかわらず、自国の領域において同規則が付与する権限を行使することができる。
90However, the exercise of the power conferred on each supervisory authority in Article 58(5) of Regulation 2016/679 presupposes that that regulation is applicable. In that regard, and as stated in paragraph 81 of the present judgment, Article 3(1) of that regulation provides that it is applicable to the processing of personal data ‘in the context of the activities of an establishment of a controller or a processor in the [European] Union, regardless of whether the processing takes place in the [European] Union or not’.しかし、規則2016/679の58条5項により各監督機関に付与された権限の行使は、同規則が適用されることを前提とする。この点について、本判決81段で述べたとおり、同規則3条1項は、同規則が「処理が［欧州］連合内で行われるか否かを問わず、［欧州］連合内の管理者又は処理者の拠点の活動の過程における」個人データの処理に適用されると定めている。
91Having regard to the objective pursued by Regulation 2016/679, which is to ensure effective protection of the freedoms and fundamental rights of individuals, in particular, their right to protection of privacy and the protection of personal data, the condition that the processing of personal data must be carried out ‘in the context of the activities’ of the establishment concerned, cannot be interpreted restrictively (see, by analogy, judgment of 5 June 2018, Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, paragraph 56 and the case-law cited).個人の自由及び基本権、とりわけプライバシーの保護を受ける権利及び個人データの保護の実効的な保護を確保するという規則2016/679が追求する目的に照らすと、個人データの処理が当該拠点の「活動の過程で」行われなければならないという条件は、限定的に解釈することはできない（類推として、2018年6月5日判決 Wirtschaftsakademie Schleswig‑Holstein、C‑210/16、EU:C:2018:388、56段及び引用判例）。
92In this instance, it is clear from the order for reference and from the written observations lodged by Facebook Belgium that the function of that company is, primarily, to engage with the EU institutions and, secondarily, to promote the advertising and marketing of the Facebook group aimed at people residing in Belgium.本件において、付託決定及びFacebook Belgiumが提出した書面意見から、同社の機能は、主として、EUの機関と関わることであり、副次的に、ベルギーに居住する人々に向けたFacebookグループの広告及びマーケティングを促進することであることが明らかである。
93The objective of the processing of personal data at issue in the main proceedings, which is carried out within the European Union exclusively by Facebook Ireland and which consists in the collection of information on the internet browsing behaviour both of Facebook account holders and of non-users of Facebook services by means of various technologies, such as, inter alia, social plug-ins and pixels, is precisely to enable the social network concerned to make its advertising system more efficient by disseminating targeted communications.本案訴訟で問題となっている個人データの処理は、欧州連合内ではもっぱらFacebook Irelandにより行われ、とりわけソーシャルプラグインやピクセルといった様々な技術を用いて、Facebookのアカウント保有者とFacebookのサービスの非利用者の双方について、インターネット上の閲覧行動に関する情報を収集することから成る。その目的は、まさに、ターゲットを絞った情報を配信することにより、当該ソーシャルネットワークがその広告システムをより効率的にすることを可能にすることにある。
94It must be observed that, first, a social network such as Facebook generates a substantial proportion of its income from, inter alia, the advertising that is disseminated on that social network, and that the activity carried out by the establishment located in Belgium is intended to ensure, within Belgium, even if it is only a secondary function, the promotion and sale of advertising spots which serve to make Facebook services profitable. Second, the activity primarily carried out by Facebook Belgium, which consists in engaging with the EU institutions and constituting a point of contact for those institutions, seeks, inter alia, to determine the personal data processing policy of Facebook Ireland.第一に、Facebookのようなソーシャルネットワークは、その収入の相当部分を、とりわけ当該ソーシャルネットワーク上で配信される広告から得ており、ベルギーに所在する拠点が行う活動は、副次的な機能にすぎないとしても、ベルギー国内において、Facebookのサービスを収益化するのに役立つ広告枠の販促及び販売を確保することを目的としていることに留意しなければならない。第二に、Facebook Belgiumが主として行う活動、すなわちEUの機関と関わり、これらの機関の窓口となる活動は、とりわけFacebook Irelandの個人データ処理の方針を定めることを目指している。
95In those circumstances, the activities of the establishment of the Facebook group located in Belgium must be considered to be inextricably linked to the processing of personal data at issue in the main proceedings, with respect to which Facebook Ireland is the controller within the European Union. Accordingly, that processing must be regarded as being carried out ‘in the context of the activities of an establishment of a controller’, within the meaning of Article 3(1) of Regulation 2016/679.このような状況において、ベルギーに所在するFacebookグループの拠点の活動は、Facebook Irelandが欧州連合内における管理者である、本案訴訟で問題となっている個人データの処理と不可分に結びついているとみなさなければならない。したがって、当該処理は、規則2016/679の3条1項にいう「管理者の拠点の活動の過程で」行われているものとみなさなければならない。
96In the light of all the foregoing, the answer to the third question referred is that Article 58(5) of Regulation 2016/679 must be interpreted as meaning that the power of a supervisory authority of a Member State, other than the lead supervisory authority, to bring any alleged infringement of that regulation to the attention of a court of that Member State and, where appropriate, to initiate or engage in legal proceedings, within the meaning of that provision, may be exercised both with respect to the main establishment of the controller which is located in that authority’s own Member State and with respect to another establishment of that controller, provided that the object of the legal proceedings is a processing of data carried out in the context of the activities of that establishment and that that authority is competent to exercise that power, in accordance with the terms of the answer to the first question referred.以上のすべてに照らし、第3の質問に対しては、次のとおり回答する。規則2016/679の58条5項は、主監督機関以外の加盟国の監督機関が、同規則の違反の疑いを当該加盟国の裁判所に提起し、適切な場合には同項にいう訴訟手続を開始し又はこれに参加する権限は、当該監督機関の属する加盟国に所在する管理者の主たる拠点に関しても、当該管理者のその他の拠点に関しても行使することができる、と解釈されなければならない。ただし、訴訟手続の対象が当該拠点の活動の過程で行われるデータ処理であり、かつ、当該監督機関が、付託された第1の質問に対する回答の趣旨に従い、当該権限を行使する権限を有することを条件とする。

第4の質問：GDPRの適用開始前に提起された訴え（97〜105段）

段落原文（英語版）訳文（AI訳）
97By its fourth question, the referring court seeks, in essence, to ascertain whether Article 58(5) of Regulation 2016/679 must be interpreted as meaning that, where a supervisory authority of a Member State which is not the ‘lead supervisory authority’, within the meaning of Article 56(1) of that regulation, has before 25 May 2018 brought legal proceedings concerning an instance of cross-border processing of personal data, that is, before the date when that regulation became applicable, that fact is such as to affect the conditions governing whether a Member State’s supervisory authority may exercise the power to initiate or engage in legal proceedings conferred on it by Article 58(5).第4の質問により、付託裁判所は、要するに、規則2016/679の58条5項は、同規則56条1項にいう「主監督機関」でない加盟国の監督機関が、2018年5月25日より前、すなわち同規則の適用が開始された日より前に、個人データの越境処理の事案に関する訴訟手続を提起していた場合には、その事実が、加盟国の監督機関が58条5項により自己に付与された訴訟手続を開始し又はこれに参加する権限を行使することができるか否かを規律する条件に影響を及ぼす、という意味に解釈されなければならないかを確かめようとしている。
98The claim made before that court by Facebook Ireland, Facebook Inc. and Facebook Belgium is that the consequence of Regulation 2016/679 becoming applicable after 25 May 2018 is that the continuation of an action brought before that date is inadmissible, or unfounded.Facebook Ireland、Facebook Inc.及びFacebook Belgiumが同裁判所において主張するところによれば、規則2016/679が2018年5月25日以降に適用されることとなった結果、同日より前に提起された訴えを継続することは、不適法であり、又は理由がない。
99It must be noted, first, that Article 99(1) of Regulation 2016/679 provides that that regulation is to enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. Since that regulation was published in the Official Journal on 4 May 2016, it therefore entered into force on 25 May 2016. Further, Article 99(2) of that regulation provides that it is to apply from 25 May 2018.まず、規則2016/679の99条1項は、同規則は欧州連合官報に公表された日の翌日から起算して20日目に発効すると定めていることに留意しなければならない。同規則は2016年5月4日に官報に公表されたので、2016年5月25日に発効した。さらに、同規則99条2項は、同規則は2018年5月25日から適用されると定めている。
100In that regard, it should be borne in mind that a new rule of law applies from the entry into force of the act introducing it, and, while it does not apply to legal situations that have arisen and become definitive under the old law, it does apply to their future effects, and to new legal situations. It is otherwise, subject to the principle of the non‑retroactivity of legal acts, only if the new rule is accompanied by special provisions which specifically lay down its conditions of temporal application. In particular, procedural rules are generally taken to apply from the date on which they enter into force, as opposed to substantive rules, which are usually interpreted as applying to situations existing before their entry into force only in so far as it follows clearly from their terms, their objectives or their general scheme that such an effect must be given to them (judgment of 25 February 2021, Caisse pour l’avenir des enfants(Employment at the time of birth), C‑129/20, EU:C:2021:140, paragraph 31 and the case-law cited).この点について、新たな法規範はそれを導入する法令の発効時から適用され、旧法のもとで生じ確定した法的状況には適用されないが、その将来の効果及び新たな法的状況には適用されることを念頭に置くべきである。法令の不遡及の原則に服することを条件として、これと異なるのは、新たな規範がその時間的適用の条件を特に定める特別の規定を伴う場合に限られる。とりわけ、手続規則は一般にその発効日から適用されるものと解されるのに対し、実体規則は、通常、その文言、目的又は全体の構造からそのような効果を与えなければならないことが明らかである限りにおいてのみ、その発効前に存在した状況に適用されるものと解釈される（2021年2月25日判決 Caisse pour l’avenir des enfants（出生時の雇用）、C‑129/20、EU:C:2021:140、31段及び引用判例）。
101Regulation 2016/679 contains no transitional rule nor any other rule governing the status of court proceedings which were initiated before that regulation became applicable and which were still ongoing when it became applicable. In particular, there is no provision of that regulation which states that its effect is to bring to an end all court proceedings that are pending as at 25 May 2018 concerning alleged infringements of rules governing the processing of personal data laid down by Directive 95/46, even where the conduct that is a constituent element of such alleged infringements persists beyond that date.規則2016/679は、同規則の適用開始前に開始され、適用開始時になお継続していた訴訟手続の地位を規律する経過規定その他の規定を含んでいない。とりわけ、指令95/46に定める個人データの処理を規律する規則の違反の疑いに関し2018年5月25日の時点で係属しているすべての訴訟手続を、そのような違反の疑いの構成要素である行為が同日以降も継続している場合であっても、終了させる効果を有すると定める同規則の規定はない。
102In this instance, Article 58(5) of Regulation 2016/679 lays down rules governing the power of a supervisory authority to bring any infringement of that regulation to the attention of the judicial authorities and, where appropriate, to initiate or engage otherwise in legal proceedings, in order to enforce the provisions of that regulation.本件において、規則2016/679の58条5項は、同規則の規定を執行するため、同規則のいかなる違反も司法当局に提起し、適切な場合には訴訟手続を開始し又はその他の方法でこれに参加する監督機関の権限を規律する規則を定めている。
103In those circumstances, a distinction must be drawn between actions brought by a supervisory authority of a Member State with respect to infringements of the rules for the protection of personal data committed by controllers or processors before the date when Regulation 2016/679 became applicable and actions brought with respect to infringements committed after that date.このような状況においては、規則2016/679の適用開始日より前に管理者又は処理者が行った個人データ保護規則の違反に関して加盟国の監督機関が提起した訴えと、同日より後に行われた違反に関して提起された訴えとを区別しなければならない。
104In the first situation, from the perspective of EU law, a legal action, such as that at issue in the main proceedings, may be continued on the basis of the provisions of Directive 95/46, which remains applicable in relation to infringements committed up to the date of its repeal, namely 25 May 2018. In the second situation, such an action may be brought, under Article 58(5) of Regulation 2016/679, solely on the condition that, as was stated in the context of the answer to the first question referred, that action is brought in a situation where, exceptionally, that regulation confers on a supervisory authority of a Member State which is not the ‘lead supervisory authority’ a competence to adopt a decision finding that the processing of data in question is in breach of the rules contained in that regulation with respect to the protection of the rights of natural persons as regard the processing of personal data, with due regard to the procedures laid down by that regulation.第一の状況においては、EU法の観点からは、本案訴訟で問題となっているような訴えは、指令95/46の規定に基づいて継続することができる。同指令は、その廃止の日、すなわち2018年5月25日までに行われた違反に関しては、引き続き適用される。第二の状況においては、そのような訴えは、規則2016/679の58条5項に基づき、第1の質問に対する回答の文脈で述べたとおり、同規則が例外的に、「主監督機関」でない加盟国の監督機関に対し、当該データ処理が個人データの処理に係る自然人の権利の保護に関して同規則に定める規定に違反していると認定する決定を採択する権限を付与している状況において、同規則に定める手続を十分に尊重して提起されることを唯一の条件として、提起することができる。
105In the light of all the foregoing, the answer to the fourth question referred is that Article 58(5) of Regulation 2016/679 must be interpreted as meaning that, where a supervisory authority of a Member State which is not the ‘lead supervisory authority’, within the meaning of Article 56(1) of that regulation, has brought a legal action, the object of which is an instance of cross-border processing of personal data, before 25 May 2018, that is, before the date when that regulation became applicable, that action may, from the perspective of EU law, be continued on the basis of the provisions of Directive 95/46, which remains applicable in relation to infringements of the rules laid down in that directive committed up to the date when that directive was repealed. That action may, in addition, be brought by that authority with respect to infringements committed after that date, on the basis of Article 58(5) of Regulation 2016/679, provided that that action is brought in one of the situations where, exceptionally, that regulation confers on a supervisory authority of a Member State which is not the ‘lead supervisory authority’ a competence to adopt a decision finding that the processing of data in question is in breach of the rules contained in that regulation with respect to protection of the rights of natural persons as regard the processing of personal data, and that the cooperation and consistency procedures laid down by that regulation are respected, which it is for the referring court to determine.以上のすべてに照らし、第4の質問に対しては、次のとおり回答する。規則2016/679の58条5項は、次のように解釈されなければならない。すなわち、同規則56条1項にいう「主監督機関」でない加盟国の監督機関が、2018年5月25日より前、すなわち同規則の適用が開始された日より前に、個人データの越境処理の事案を対象とする訴訟を提起していた場合、当該訴訟は、EU法の観点からは、指令95/46の規定に基づいて継続することができる。同指令は、同指令が廃止された日までに行われた同指令の規定の違反に関しては、引き続き適用される。当該訴訟は、さらに、同日より後に行われた違反に関しても、規則2016/679の58条5項に基づき、当該監督機関が提起することができる。ただし、当該訴訟が、同規則が例外的に、「主監督機関」でない加盟国の監督機関に対し、当該データ処理が個人データの処理に係る自然人の権利の保護に関して同規則に定める規定に違反していると認定する決定を採択する権限を付与している場合の一つにおいて提起され、かつ、同規則に定める協力及び一貫性の手続が遵守されることを条件とし、その判断は付託裁判所が行う。

第5の質問：58条5項の直接効（106〜113段）

段落原文（英語版）訳文（AI訳）
106By its fifth question, the referring court seeks, in essence, to ascertain whether, if the answer to the first question referred is in the affirmative, Article 58(5) of Regulation 2016/679 must be interpreted as meaning that that provision has direct effect, with the result that a national supervisory authority may rely on that provision in order to bring or continue a legal action against private parties, even where that provision has not been specifically implemented in the legislation of the Member State concerned.第5の質問により、付託裁判所は、要するに、第1の質問に対する回答が肯定的である場合、規則2016/679の58条5項は、同規定が直接効を有し、その結果、国の監督機関は、同規定が関係加盟国の法令において特に実施されていない場合であっても、私人に対する訴訟を提起し又は継続するために同規定を援用することができる、という意味に解釈されなければならないかを確かめようとしている。
107Article 58(5) of Regulation 2016/679 states that each Member State is to provide by law that its supervisory authority is to have the power to bring infringements of this Regulation to the attention of the judicial authorities and where appropriate, to initiate or engage otherwise in legal proceedings, in order to enforce the provisions of that regulation.規則2016/679の58条5項は、各加盟国は、自国の監督機関が、同規則の規定を執行するため、この規則の違反を司法当局に提起し、適切な場合には訴訟手続を開始し又はその他の方法でこれに参加する権限を有することを法律で定めなければならないと規定している。
108First, it must be observed that, as submitted by the Belgian Government, Article 58(5) of Regulation 2016/679 has been implemented in the Belgian legal order by Article 6 of the law of 3 December 2017. Under that Article 6, the wording of which is essentially the same as that of Article 58(5) of Regulation 2016/679, the DPA has the power to bring any breach of the fundamental principles of the protection of personal data, in the context of that law and legislation containing provisions on the protection of processing of personal data, to the attention of the judicial authorities and, where appropriate, to initiate or engage in legal proceedings to enforce those fundamental principles. Consequently, it must be held that the DPA may rely on a provision of national law, such as Article 6 of the law of 3 December 2017, which implements Article 58(5) of Regulation 2016/679 in Belgian law, in order to initiate or engage in legal proceedings seeking to enforce that regulation.第一に、ベルギー政府が主張するとおり、規則2016/679の58条5項は、2017年12月3日法6条によりベルギーの法秩序において実施されていることに留意しなければならない。その文言が規則2016/679の58条5項と実質的に同一である同6条によれば、DPAは、同法及び個人データの処理の保護に関する規定を含む法令の文脈において、個人データの保護の基本原則のいかなる違反も司法当局に提起し、適切な場合には、これらの基本原則を執行するために訴訟手続を開始し又はこれに参加する権限を有する。したがって、DPAは、同規則の執行を求める訴訟手続を開始し又はこれに参加するため、規則2016/679の58条5項をベルギー法において実施する2017年12月3日法6条のような国内法の規定に依拠することができると判断しなければならない。
109Further, for the sake of completeness, it must be observed that, under the second paragraph of Article 288 TFEU, a regulation is to be binding in its entirety and is to be directly applicable in all Member States, so that its provisions do not, as a general rule, require the adoption of any implementing measures by the Member States.さらに、念のため、TFEU288条第2段落によれば、規則はその全体において拘束力を有し、すべての加盟国において直接適用されるので、その規定は、原則として、加盟国による実施措置の採択を必要としないことに留意しなければならない。
110In that regard, it must be recalled that, according to the Court’s settled case-law, pursuant to Article 288 TFEU and by virtue of the very nature of regulations and of their function in the system of sources of EU law, the provisions of those regulations generally have immediate effect in the national legal systems without its being necessary for the national authorities to adopt measures of application. Nonetheless, some of those provisions may necessitate, for their implementation, the adoption of measures of application by the Member States (judgment of 15 March 2017, Al Chodor, C‑528/15, EU:C:2017:213, paragraph 27 and the case‑law cited).この点について、司法裁判所の確立した判例によれば、TFEU288条に従い、また規則の性質そのもの及びEU法の法源の体系における規則の機能により、規則の規定は、一般に、国の当局が適用措置を採択する必要なく、国内法秩序において直ちに効力を有することを想起しなければならない。もっとも、その規定の中には、その実施のために加盟国による適用措置の採択を必要とするものもあり得る（2017年3月15日判決 Al Chodor、C‑528/15、EU:C:2017:213、27段及び引用判例）。
111However, as the Advocate General stated, in essence, in point 167 of his Opinion, Article 58(5) of Regulation 2016/679 lays down a specific and directly applicable rule which states that the supervisory authorities must have legal standing before the national courts and must have the power to initiate or engage in legal proceedings under national law.しかし、法務官がその意見の167項で実質的に述べたとおり、規則2016/679の58条5項は、監督機関が国内裁判所において当事者適格を有しなければならず、国内法に基づき訴訟手続を開始し又はこれに参加する権限を有しなければならないと定める、具体的かつ直接適用可能な規範を定めている。
112It is not stated in Article 58(5) of Regulation 2016/679 that Member States should determine by means of an express legal provision under what circumstances the national supervisory authorities may initiate or engage in legal proceedings, within the meaning of Article 58(5). It is sufficient that the supervisory authority should have the possibility, in accordance with national legislation, to bring to the attention of the judicial authorities infringements of that regulation and, where appropriate, to initiate or engage in legal proceedings or to commence, in some other manner, a procedure for the enforcement of the provisions of that regulation.規則2016/679の58条5項には、国の監督機関がどのような状況において同項にいう訴訟手続を開始し又はこれに参加することができるかを、加盟国が明示の法規定により定めるべきであるとは記されていない。監督機関が、国内法令に従い、同規則の違反を司法当局に提起し、適切な場合には訴訟手続を開始し若しくはこれに参加し、又はその他の方法で同規則の規定の執行のための手続を開始する可能性を有していれば足りる。
113In the light of all the foregoing, the answer to the fifth question referred is that Article 58(5) of Regulation 2016/679 must be interpreted as meaning that that provision has direct effect, with the result that a national supervisory authority may rely on that provision in order to bring or continue a legal action against private parties, even where that provision has not been specifically implemented in the legislation of the Member State concerned.以上のすべてに照らし、第5の質問に対しては、次のとおり回答する。規則2016/679の58条5項は、直接効を有し、その結果、国の監督機関は、当該規定が関係加盟国の法令において特に実施されていない場合であっても、私人に対する訴訟を提起し又は継続するために当該規定を援用することができる、と解釈されなければならない。

第6の質問：不適法（114〜118段）

段落原文（英語版）訳文（AI訳）
114By its sixth question, the referring court seeks, in essence, to ascertain whether, in the event that the answer to the questions (1) to (5) referred is in the affirmative, the outcome of legal proceedings brought by a Member State’s supervisory authority in relation to an instance of cross‑border processing of personal data may preclude the lead supervisory authority from adopting a decision in which it comes to the opposite conclusion where the latter authority investigates the same cross-border processing activities or similar activities, in accordance with the mechanism laid down in Articles 56 and 60 of Regulation 2016/679.第6の質問により、付託裁判所は、要するに、質問（1）から（5）までに対する回答が肯定的である場合、個人データの越境処理の事案に関し加盟国の監督機関が提起した訴訟手続の結果が、主監督機関が規則2016/679の56条及び60条に定める仕組みに従って同一の越境処理活動又は類似の活動を調査する際に、主監督機関が反対の結論に達する決定を採択することを妨げ得るかを確かめようとしている。
115In that regard, it should be borne in mind that, according to settled case‑law, questions on the interpretation of EU law enjoy a presumption of relevance. The Court may refuse to give a ruling on a question referred for a preliminary ruling by a national court only where it is quite obvious that the interpretation of EU law that is sought bears no relation to the actual facts of the main action or its purpose, where the problem is hypothetical, or where the Court does not have before it the factual or legal material necessary to give a useful answer to the questions submitted to it (judgments of 16 June 2015, Gauweiler and Others, C‑62/14, EU:C:2015:400, paragraph 25, and of 7 February 2018, American Express, C‑304/16, EU:C:2018:66, paragraph 32).この点について、確立した判例によれば、EU法の解釈に関する質問には関連性の推定が働くことを念頭に置くべきである。司法裁判所が国内裁判所の付託した先決裁定の質問に対する判断を拒むことができるのは、求められたEU法の解釈が本案訴訟の実際の事実若しくはその目的と何ら関係がないことがまったく明白である場合、問題が仮定的なものである場合、又は付託された質問に有益な回答を与えるのに必要な事実上若しくは法律上の資料を司法裁判所が有しない場合に限られる（2015年6月16日判決 Gauweiler and Others、C‑62/14、EU:C:2015:400、25段、及び2018年2月7日判決 American Express、C‑304/16、EU:C:2018:66、32段）。
116Moreover, according to equally settled case-law, the justification for a reference for a preliminary ruling is not that it enables advisory opinions on general or hypothetical questions to be delivered but rather that it is necessary for the effective resolution of a dispute (judgment of 10 December 2018, Wightman and Others, C‑621/18, EU:C:2018:999, paragraph 28 and the case-law cited).さらに、同じく確立した判例によれば、先決裁定の付託が正当化されるのは、一般的又は仮定的な質問について勧告的意見を示すことを可能にするからではなく、紛争の実効的な解決に必要だからである（2018年12月10日判決 Wightman and Others、C‑621/18、EU:C:2018:999、28段及び引用判例）。
117In this instance, it is clear that, as observed by the Belgian Government, the factual premiss of the sixth question referred has not been shown to have any reality in the context of the main proceedings, namely the premiss that, with respect to the cross-border processing that is the object of the dispute, there exists a lead supervisory authority which not only will investigate the same cross-border personal data processing activities as are the object of the legal proceedings initiated by the supervisory authority of the Member State concerned or similar activities, but, further, will contemplate the adoption of a decision that will reach the opposite conclusion.本件においては、ベルギー政府が指摘するとおり、第6の質問の事実上の前提、すなわち、紛争の対象である越境処理に関し、関係加盟国の監督機関が開始した訴訟手続の対象と同一の個人データの越境処理活動又は類似の活動を調査するだけでなく、さらに反対の結論に達する決定の採択を検討する主監督機関が存在するという前提が、本案訴訟の文脈において何らかの現実性を有することは示されていないことが明らかである。
118In those circumstances, it must be stated that the sixth question referred bears no relation to the actual facts of the main proceedings or their purpose, and concerns a hypothetical problem. Consequently, that question must be declared to be inadmissible.このような状況においては、第6の質問は本案訴訟の実際の事実又はその目的と何ら関係がなく、仮定的な問題に関するものであると述べなければならない。したがって、同質問は不適法と宣言されなければならない。

費用と主文

段落原文（英語版）訳文（AI訳）
119Since these proceedings are, for the parties to the main proceedings, a step in the action pending before the referring court, the decision on costs is a matter for that court. Costs incurred in submitting observations to the Court, other than the costs of those parties, are not recoverable.本件手続は、本案訴訟の当事者にとっては付託裁判所に係属する訴訟の一段階であるから、費用の裁判は同裁判所が行う。当該当事者の費用を除き、司法裁判所に意見を提出するために生じた費用は償還されない。
主文On those grounds, the Court (Grand Chamber) hereby rules:以上の理由により、司法裁判所（大法廷）は、次のとおり判示する。
主文1Article 55(1), Articles 56 to 58 and Articles 60 to 66 of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), read together with Articles 7, 8 and 47 of the Charter of Fundamental Rights of the European Union, must be interpreted as meaning that a supervisory authority of a Member State which, under the national legislation adopted in order to transpose Article 58(5) of that regulation, has the power to bring any alleged infringement of that regulation to the attention of a court of that Member State and, where necessary, to initiate or engage in legal proceedings, may exercise that power in relation to an instance of cross‑border data processing even though it is not the ‘lead supervisory authority’, within the meaning of Article 56(1) of that regulation, with respect to that data processing, provided that that power is exercised in one of the situations where Regulation 2016/679 confers on that supervisory authority a competence to adopt a decision finding that such processing is in breach of the rules contained in that regulation and that the cooperation and consistency procedures laid down by that regulation are respected.個人データの処理に係る自然人の保護及び当該データの自由な移動並びに指令95/46/ECの廃止に関する2016年4月27日の欧州議会及び理事会の規則(EU)2016/679（一般データ保護規則）の55条1項、56条から58条まで及び60条から66条までは、欧州連合基本権憲章7条、8条及び47条と併せて読むと、次のように解釈されなければならない。すなわち、加盟国の監督機関であって、同規則58条5項を国内法化するために採択された国内法令に基づき、同規則の違反の疑いを当該加盟国の裁判所に提起し、必要な場合には訴訟手続を開始し又はこれに参加する権限を有するものは、越境データ処理の事案に関し、当該データ処理について同規則56条1項にいう「主監督機関」でない場合であっても、その権限を行使することができる。ただし、その権限が、規則2016/679が当該監督機関に対し、当該処理が同規則に定める規定に違反していると認定する決定を採択する権限を付与している場合の一つにおいて行使され、かつ、同規則に定める協力及び一貫性の手続が遵守されることを条件とする。
主文2Article 58(5) of Regulation 2016/679 must be interpreted as meaning that, in the event of cross-border data processing, it is not a prerequisite for the exercise of the power of a supervisory authority of a Member State, other than the lead supervisory authority, to initiate or engage in legal proceedings, within the meaning of that provision, that the controller or processor with respect to the cross-border processing of personal data against whom such proceedings are brought has a main establishment or another establishment on the territory of that Member State.規則2016/679の58条5項は、越境データ処理の場合において、主監督機関以外の加盟国の監督機関が同項にいう訴訟手続を開始し又はこれに参加する権限を行使するにあたり、当該手続の相手方となる、個人データの越境処理に関する管理者又は処理者が当該加盟国の領域内に主たる拠点又はその他の拠点を有していることは前提条件ではない、と解釈されなければならない。
主文3Article 58(5) of Regulation 2016/679 must be interpreted as meaning that the power of a supervisory authority of a Member State, other than the lead supervisory authority, to bring any alleged infringement of that regulation to the attention of a court of that Member State and, where appropriate, to initiate or engage in legal proceedings, within the meaning of that provision, may be exercised both with respect to the main establishment of the controller which is located in that authority’s own Member State and with respect to another establishment of that controller, provided that the object of the legal proceedings is a processing of data carried out in the context of the activities of that establishment and that that authority is competent to exercise that power, in accordance with the terms of the answer to the first question referred.規則2016/679の58条5項は、主監督機関以外の加盟国の監督機関が、同規則の違反の疑いを当該加盟国の裁判所に提起し、適切な場合には同項にいう訴訟手続を開始し又はこれに参加する権限は、当該監督機関の属する加盟国に所在する管理者の主たる拠点に関しても、当該管理者のその他の拠点に関しても行使することができる、と解釈されなければならない。ただし、訴訟手続の対象が当該拠点の活動の過程で行われるデータ処理であり、かつ、当該監督機関が、付託された第1の質問に対する回答の趣旨に従い、当該権限を行使する権限を有することを条件とする。
主文4Article 58(5) of Regulation 2016/679 must be interpreted as meaning that, where a supervisory authority of a Member State which is not the ‘lead supervisory authority’, within the meaning of Article 56(1) of that regulation, has brought a legal action, the object of which is an instance of cross-border processing of personal data, before 25 May 2018, that is, before the date when that regulation became applicable, that action may, from the perspective of EU law, be continued on the basis of the provisions of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data, which remains applicable in relation to infringements of the rules laid down in that directive committed up to the date when that directive was repealed. That action may, in addition, be brought by that authority with respect to infringements committed after that date, on the basis of Article 58(5) of Regulation 2016/679, provided that that action is brought in one of the situations where, exceptionally, that regulation confers on a supervisory authority of a Member State which is not the ‘lead supervisory authority’ a competence to adopt a decision finding that the processing of data in question is in breach of the rules contained in that regulation with respect to the protection of the rights of natural persons as regards the processing of personal data, and that the cooperation and consistency procedures laid down by that regulation are respected, which it is for the referring court to determine.規則2016/679の58条5項は、次のように解釈されなければならない。すなわち、同規則56条1項にいう「主監督機関」でない加盟国の監督機関が、2018年5月25日より前、すなわち同規則の適用が開始された日より前に、個人データの越境処理の事案を対象とする訴訟を提起していた場合、当該訴訟は、EU法の観点からは、個人データの処理に係る個人の保護及び当該データの自由な移動に関する1995年10月24日の欧州議会及び理事会の指令95/46/ECの規定に基づいて継続することができる。同指令は、同指令が廃止された日までに行われた同指令の規定の違反に関しては、引き続き適用される。当該訴訟は、さらに、同日より後に行われた違反に関しても、規則2016/679の58条5項に基づき、当該監督機関が提起することができる。ただし、当該訴訟が、同規則が例外的に、「主監督機関」でない加盟国の監督機関に対し、当該データ処理が個人データの処理に係る自然人の権利の保護に関して同規則に定める規定に違反していると認定する決定を採択する権限を付与している場合の一つにおいて提起され、かつ、同規則に定める協力及び一貫性の手続が遵守されることを条件とし、その判断は付託裁判所が行う。
主文5Article 58(5) of Regulation 2016/679 must be interpreted as meaning that that provision has direct effect, with the result that a national supervisory authority may rely on that provision in order to bring or continue a legal action against private parties, even where that provision has not been specifically implemented in the legislation of the Member State concerned.規則2016/679の58条5項は、直接効を有し、その結果、各国の監督機関は、当該規定が関係加盟国の法令において特に実施されていない場合であっても、私人に対する訴訟を提起し又は継続するために当該規定を援用することができる、と解釈されなければならない。

6. コメント

本判決は、主監督機関の権限を原則、その他の当局の権限を例外と位置付けた（63段）。注目されるのは、裁判所への提訴も当局の決定と同列に扱った点である。提訴は拘束力のある司法判断に至るため、主監督機関でない当局の決定と同じくワンストップショップを損ないうる（65段）。当局が裁判所を経由すれば配分を迂回できる、という道は閉じられた。

他方で、判決は、ワンストップショップがフォーラム・ショッピングの温床になってはならないとも述べる（68段）。主監督機関が相互支援の要請に応じないときは、暫定措置と欧州データ保護会議への付議を経て、当該当局が提訴権限を行使できる（71段）。本件では、DPAが2019年4月にアイルランドのコミッショナーに回答を求めたが、回答はなかったとされる（74段）。また、クッキーによる情報の保存・アクセス自体は電子通信プライバシー指令の領域で、ワンストップショップの対象外であるとの欧州データ保護会議の意見も紹介されている（74段）。

C-132/21・C-414/24が扱ったのは、データ主体の救済ルート（苦情と訴訟）の並行である。これに対し、本判決が扱ったのは当局のルートであり、こちらは権限配分に服する。判決は、その限定がデータ主体の78条の救済を何ら減じないと付け加えている（69段）。データ主体のルートは並行・独立、当局のルートは配分による制約、という非対称が見えてくる。

7. 関連判決

C-132/21（2023年1月12日判決）：苦情と訴訟の並行・独立。／C-414/24（2026年6月18日判決）：訴訟の係属を理由とする苦情の却下の可否。／C-210/16 Wirtschaftsakademie Schleswig-Holstein（2018年6月5日判決）：指令95/46のもとでのドイツ当局の権限（38段・91段で引用）。／C-311/18 Facebook Ireland and Schrems（2020年7月16日判決）：55条1項の権限（47段で引用）。／C-507/17 Google（参照解除の地理的範囲）（2019年9月24日判決）：協力と一貫性の仕組み（52段で引用）。

8. 出典

判決本文：EUR-Lex（英語版）。英語版は翻訳であり、正文は手続言語（オランダ語）である。ECLIはEUR-Lexの文書情報による。訳文は生成AIによる。

本稿は生成AIを用いて作成したもので、判決の翻訳もAIによります。内容は筆者が確認しています。本稿は筆者の見解であり、確立した通説を述べたものではありません。具体的な事案の判断は個別の検討を要します。

← 研究ノートの目次へ トップへ戻る