Notes
勤務先が作った自分の鑑定書――欧州司法裁判所 C-667/21（2023年12月21日判決）
欧州司法裁判所 C-667/21 ／ 2023年12月21日判決
本稿は生成AIを用いて作成しています（判決の翻訳を含む）。
研究ノート「情報の価値」第2回「「不安」は損害か」の素材として、欧州司法裁判所（CJEU）の先決裁定をもう1件取り上げる。C-687/21は、賠償の機能と過失について、本判決を引いて判断した。本判決は、健康保険の医療機関が自らの被用者について作成した鑑定書を、同じ職場のIT部門の同僚が見ることのできる状態にあった事件で、健康に関するデータの処理の要件（GDPR 9条・6条）と、82条の賠償の性格（補償的機能・過失の推定）を扱う。
1. 書誌
| 項目 | 内容 |
|---|---|
| 事件番号 | C-667/21 |
| 判決日 | 2023年12月21日 |
| 法廷 | 第3小法廷（Third Chamber） |
| 付託国・付託裁判所 | ドイツ・連邦労働裁判所（Bundesarbeitsgericht） |
| 当事者 | ZQ（自然人） 対 Medizinischer Dienst der Krankenversicherung Nordrhein（公法上の団体。以下「MDK Nordrhein」） |
| ECLI | ECLI:EU:C:2023:1022 |
| 法務官意見 | M. Campos Sánchez-Bordona（2023年5月25日） |
| 手続言語 | ドイツ語 |
2. 関係条文
本判決が「法的枠組み」として引用するGDPRの条文のうち、判断に関係するものを掲げる。原文は判決8段・9段・14段の引用により、「…」は判決による省略である。判決は前文4〜8項・10項・35項・51〜53項・75項・146項、2条・4条・5条・24条・32条・83条・84条も引用している（3〜16段）。
| 段落 | 原文（英語版） | 訳文（AI訳） |
|---|---|---|
| 8 | Article 6 of that regulation, headed ‘Lawfulness of processing’, provides in paragraph 1 thereof: ‘Processing shall be lawful only if and to the extent that at least one of the following applies: (a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes; (b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract; (c) processing is necessary for compliance with a legal obligation to which the controller is subject; (d) processing is necessary in order to protect the vital interests of the data subject or of another natural person; (e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller; (f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child. Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performance of their tasks.’ | 同規則の「処理の適法性」と題する6条は、その1項で次のとおり規定する。「処理は、次のいずれか少なくとも一つに該当する場合に限り、かつ、その範囲においてのみ、適法である。（a）データ主体が、一つ又は複数の特定の目的のための自己の個人データの処理に同意を与えた場合（b）処理が、データ主体が当事者である契約の履行のため、又は契約締結前にデータ主体の求めに応じて措置を講じるために必要な場合（c）処理が、管理者が服する法的義務の遵守のために必要な場合（d）処理が、データ主体又は他の自然人の生命に関わる利益を保護するために必要な場合（e）処理が、公共の利益において行われる任務の遂行のため、又は管理者に与えられた公的権限の行使のために必要な場合（f）処理が、管理者又は第三者が追求する正当な利益のために必要な場合。ただし、個人データの保護を必要とするデータ主体の利益又は基本的な権利及び自由が当該利益に優越する場合、とりわけデータ主体が子どもである場合を除く。第1段落(f)は、公的機関がその任務の遂行において行う処理には適用しない。」 |
| 9 | Article 9 of that regulation, entitled ‘Processing of special categories of personal data’, is worded as follows: ‘1. Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person’s sex life or sexual orientation shall be prohibited. 2. Paragraph 1 shall not apply if one of the following applies: … (b) processing is necessary for the purposes of carrying out the obligations and exercising specific rights of the controller or of the data subject in the field of employment and social security and social protection law in so far as it is authorised by Union or Member State law or a collective agreement pursuant to Member State law providing for appropriate safeguards for the fundamental rights and the interests of the data subject; … (h) processing is necessary for the purposes of preventive or occupational medicine, for the assessment of the working capacity of the employee, medical diagnosis, the provision of health or social care or treatment or the management of health or social care systems and services on the basis of Union or Member State law or pursuant to contract with a health professional and subject to the conditions and safeguards referred to in paragraph 3; … 3. Personal data referred to in paragraph 1 may be processed for the purposes referred to in point (h) of paragraph 2 when those data are processed by or under the responsibility of a professional subject to the obligation of professional secrecy under Union or Member State law or rules established by national competent bodies or by another person also subject to an obligation of secrecy under Union or Member State law or rules established by national competent bodies. 4. Member States may maintain or introduce further conditions, including limitations, with regard to the processing of genetic data, biometric data or data concerning health.’ | 同規則の「特別な種類の個人データの処理」と題する9条は、次のとおり規定する。「1 人種的若しくは民族的出自、政治的意見、宗教的若しくは哲学的信条又は労働組合への加入を明らかにする個人データの処理、並びに遺伝データ、自然人を一意に識別することを目的とする生体データ、健康に関するデータ又は自然人の性生活若しくは性的指向に関するデータの処理は、禁止する。2 1項は、次のいずれかに該当する場合には適用しない。…（b）処理が、雇用及び社会保障並びに社会保護法の分野における管理者又はデータ主体の義務の履行及び特定の権利の行使のために必要な場合であって、連合法若しくは加盟国法、又はデータ主体の基本権及び利益のための適切な保護措置を定める加盟国法に基づく労働協約により認められる限りにおいて…（h）処理が、予防医学若しくは産業医学の目的、被用者の労働能力の評価、医学的診断、保健医療若しくは社会福祉若しくは治療の提供、又は保健医療若しくは社会福祉のシステム及びサービスの管理のために、連合法若しくは加盟国法に基づき、又は保健医療専門職との契約に従って必要な場合であって、3項に定める要件及び保護措置に服する場合…3 1項に定める個人データは、連合法若しくは加盟国法又は国内の権限ある機関が定めた規則に基づき職業上の守秘義務を負う専門職により、又はその責任の下で処理される場合、又は同じく連合法若しくは加盟国法又は国内の権限ある機関が定めた規則に基づき守秘義務を負う他の者により処理される場合には、2項(h)に定める目的のために処理することができる。4 加盟国は、遺伝データ、生体データ又は健康に関するデータの処理に関して、制限を含む追加の要件を維持し又は導入することができる。」 |
| 14 | Under Article 82 of that regulation, entitled ‘Right to compensation and liability’: ‘1. Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered. 2. Any controller involved in processing shall be liable for the damage caused by processing which infringes this Regulation. … 3. A controller or processor shall be exempt from liability under paragraph 2 if it proves that it is not in any way responsible for the event giving rise to the damage. …’ | 同規則の「損害賠償を受ける権利及び責任」と題する82条は、次のとおり規定する。「1 この規則の違反の結果として物質的又は非物質的損害を被った者は、被った損害について、管理者又は処理者から賠償を受ける権利を有する。2 処理に関与した管理者は、この規則に違反する処理によって生じた損害について責任を負う。…3 管理者又は処理者は、損害を生じさせた事象について自らに何ら責任がないことを証明した場合には、2項に基づく責任を免れる。…」 |
3. 事案の概要
MDK Nordrheinは、健康保険基金の依頼を受けて被保険者の就労不能に関する鑑定書を作る公法上の団体であり、自らの被用者が対象となる場合も同じ任務を負う。そのIT部門で働いていた原告が就労不能となり、鑑定書がMDK Nordrhein自身で作成された。原告は、IT部門の同僚に頼んで電子アーカイブにあった鑑定書を撮影させ、自分に送らせた。原告は、健康に関するデータが違法に処理されたとして20,000ユーロ（約355万円。2026年10月14日のレート1ユーロ＝約177円で換算）の賠償を求めた。判決19〜24段を対訳で掲げる。
| 段落 | 原文（英語版） | 訳文（AI訳） |
|---|---|---|
| 19 | MDK Nordrhein is a body governed by public law which, as a medical service for health insurance funds, has the statutory task, inter alia, of drawing up expert medical reports to remove doubts as to the incapacity for work of persons insured with the statutory health insurance funds under its responsibility, including where such reports concern its own employees. | MDK Nordrheinは公法上の団体であり、健康保険基金のための医療機関として、とりわけ、その所管する法定健康保険基金の被保険者の就労不能に関する疑義を除くための医学的鑑定書を作成するという法定の任務を有する。当該鑑定書が自らの被用者に関するものである場合も、これに含まれる。 |
| 20 | In such a case, only the members of the ‘special case organisational unit’ are authorised to process that employee’s ‘social’ data, using a locked area of MDK Nordrhein’s IT system, and to access the electronic archives once an assignment has been completed. An internal operating manual relating to those cases provides, inter alia, that a limited number of authorised staff, including certain members of the IT department, have access to those data. | そのような場合、MDK NordrheinのITシステムの施錠された領域を用いて当該被用者の「社会」データを処理し、業務の完了後に電子アーカイブにアクセスする権限を与えられているのは、「特別事案組織単位」の構成員のみである。これらの事案に関する内部の業務マニュアルは、とりわけ、IT部門の一部の構成員を含む限られた数の権限を与えられた職員が、それらのデータにアクセスできることを定めている。 |
| 21 | The applicant in the main proceedings worked in the IT department of MDK Nordrhein before being declared unfit for work on medical grounds. At the end of the six-month period during which that body, as an employer, continued to pay him, the statutory health insurance fund to which he was affiliated began to pay him sickness benefits. | 本案訴訟の原告は、医学的理由により就労不能と認定されるまで、MDK NordrheinのIT部門で勤務していた。同団体が使用者として原告に給与を支払い続けた6か月の期間が終了した後、原告が加入する法定健康保険基金が原告に傷病手当金の支給を開始した。 |
| 22 | That fund then asked MDK Nordrhein to prepare an expert report on the incapacity for work of the applicant in the main proceedings. A doctor working in the ‘special case organisational unit’ of MDK Nordrhein prepared the expert report, inter alia, by obtaining information from the doctor treating the applicant in the main proceedings. When the applicant in the main proceedings was informed of this by his doctor, he contacted one of his colleagues in the IT department and asked her to take, and then send to him, photographs of the expert report which was in the electronic archives of MDK Nordrhein. | 同基金は、その後、本案訴訟の原告の就労不能に関する鑑定書の作成をMDK Nordrheinに求めた。MDK Nordrheinの「特別事案組織単位」に勤務する医師が、とりわけ本案訴訟の原告の主治医から情報を得て、鑑定書を作成した。本案訴訟の原告は、主治医からこのことを知らされると、IT部門の同僚の一人に連絡し、MDK Nordrheinの電子アーカイブにあった鑑定書の写真を撮影して自分に送るよう依頼した。 |
| 23 | Taking the view that data concerning his health data had thus been unlawfully processed by his employer, the applicant in the main proceedings asked the employer to pay him compensation in the amount of EUR 20000, which MDK Nordrhein refused. | 本案訴訟の原告は、このようにして自己の健康に関するデータが使用者により違法に処理されたと考え、使用者に対し20,000ユーロ（約355万円。2026年10月14日のレート1ユーロ＝約177円で換算）の賠償の支払を求めたが、MDK Nordrheinはこれを拒絶した。 |
| 24 | Subsequently, the applicant in the main proceedings brought an action before the Arbeitsgericht Düsseldorf (Labour Court, Düsseldorf, Germany) seeking, on the basis of Article 82(1) of the GDPR and provisions of German law, an order that MDK Nordrhein pay compensation for the damage which he claims to have suffered as a result of such processing of personal data. He claimed, in essence, first, that the expert report in question should have been prepared by a different medical service in order to prevent his colleagues having access to data concerning his health and, secondly, that the security measures surrounding the archiving of that expert report were inadequate. He also submitted that that processing constituted a breach of the rules protecting such data which had caused him both non-material and material damage. | その後、本案訴訟の原告は、デュッセルドルフ労働裁判所（ドイツ）に、GDPR82条1項及びドイツ法の規定に基づき、このような個人データの処理の結果として被ったと主張する損害の賠償をMDK Nordrheinに命じることを求める訴えを提起した。原告は、要するに、第一に、同僚が自己の健康に関するデータにアクセスすることを防ぐため、当該鑑定書は別の医療機関が作成すべきであったこと、第二に、当該鑑定書の保存をめぐる安全管理措置が不十分であったことを主張した。原告はまた、当該処理は、そのようなデータを保護する規定の違反であり、自己に非物質的損害と物質的損害の双方を生じさせたと主張した。 |
4. 付託された質問
付託された質問は判決35段のとおり5問である。第1問〜第3問が9条・6条、第4問・第5問が82条に関する。
| 段落 | 原文（英語版） | 訳文（AI訳） |
|---|---|---|
| 35 柱書き | In those circumstances, the Bundesarbeitsgericht (Federal Labour Court) decided to stay the proceedings and to refer the following questions to the Court of Justice for a preliminary ruling: | このような状況の下で、連邦労働裁判所は、手続を停止し、次の質問を司法裁判所に付託して先決裁定を求めることとした。 |
| 第1問 | ‘(1) Is Article 9(2)(h) of [the GDPR] to be interpreted as prohibiting a medical service of a health insurance fund from processing its employee’s data concerning health which are a prerequisite for the assessment of that employee’s working capacity? | 「（1）［GDPR］9条2項(h)は、健康保険基金の医療機関が、自らの被用者の労働能力の評価の前提となる当該被用者の健康に関するデータを処理することを禁じるものと解釈されるべきか。 |
| 第2問 | (2) If the Court answers Question 1 in the negative, with the consequence that an exception to the prohibition on the processing of data concerning health laid down in Article 9(1) of the GDPR is possible under Article 9(2)(h) of the GDPR: in a case such as the present one, are there further data protection requirements, beyond the conditions set out in Article 9(3) of the GDPR, that must be complied with, and, if so, which ones? | （2）当裁判所が第1問に否定で答え、その結果、GDPR9条1項に定める健康に関するデータの処理の禁止に対する例外がGDPR9条2項(h)に基づき可能となる場合、本件のような事案において、GDPR9条3項に定める要件を超えて遵守しなければならない追加のデータ保護上の要件があるか。あるとすれば、それは何か。 |
| 第3問 | (3) If the Court answers Question 1 in the negative, with the consequence that an exception to the prohibition on the processing of data concerning health laid down in Article 9(1) of the GDPR is possible under Article 9(2)(h) of the GDPR: does the permissibility or lawfulness of the processing of data concerning health depend on the fulfilment of at least one of the conditions set out in Article 6(1) of the GDPR? | （3）当裁判所が第1問に否定で答え、その結果、GDPR9条1項に定める健康に関するデータの処理の禁止に対する例外がGDPR9条2項(h)に基づき可能となる場合、健康に関するデータの処理の許容性又は適法性は、GDPR6条1項に定める要件の少なくとも一つを満たすことに依存するか。 |
| 第4問 | (4) Does Article 82(1) of the GDPR have a specific or general preventive character, and must that be taken into account in the assessment of the amount of non-material damage to be compensated at the expense of the controller or processor on the basis of Article 82(1) of the GDPR? | （4）GDPR82条1項は特別予防的又は一般予防的な性格を有するか。また、GDPR82条1項に基づき管理者又は処理者の負担で賠償されるべき非物質的損害の額の評価において、そのことを考慮しなければならないか。 |
| 第5問 | (5) Is the degree of fault on the part of the controller or processor a decisive factor in the assessment of the amount of non-material damage to be compensated on the basis of Article 82(1) of the GDPR? In particular, can non-existent or minor fault on the part of the controller or processor be taken into account in their favour?’ | （5）管理者又は処理者の過失の程度は、GDPR82条1項に基づき賠償されるべき非物質的損害の額の評価において決定的な要素か。とりわけ、管理者又は処理者に過失がないこと又は過失が軽微であることを、その者に有利に考慮することができるか。」 |
5. 判断
主文は次の5点である。
| 段落 | 原文（英語版） | 訳文（AI訳） |
|---|---|---|
| 主文1 | 1. Article 9(2)(h) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) must be interpreted as meaning that the exception provided for in that provision is applicable to situations in which a medical examination body processes data concerning the health of one of its employees acting not in its capacity as employer, but as a medical service, in order to assess the working capacity of that employee, provided that the processing concerned satisfies the conditions and guarantees expressly imposed by that point (h) and by Article 9(3) of that regulation. | 1 個人データの処理に係る自然人の保護及び当該データの自由な移転に関する、並びに指令95/46/ECを廃止する2016年4月27日の欧州議会及び理事会の規則（EU）2016/679（一般データ保護規則）の9条2項(h)は、同規定に定める例外が、医療審査機関が使用者としての資格ではなく医療機関としての資格で行動して、自らの被用者の一人の労働能力を評価するためにその健康に関するデータを処理する状況に、当該処理が同(h)及び同規則9条3項によって明示的に課された要件及び保障を満たすことを条件として、適用されるという意味に解釈されなければならない。 |
| 主文2 | 2. Article 9(3) of Regulation 2016/679 must be interpreted as meaning that the controller of data concerning health, based on Article 9(2)(h) of that regulation, is not required, under those provisions, to ensure that no colleague of the data subject can access data relating to his or her state of health. However, such an obligation may be imposed on the controller either under rules adopted by a Member State on the basis of Article 9(4) of that regulation or under the principles of integrity and confidentiality set out in Article 5(1)(f) of that regulation and defined in Article 32(1)(a) and (b) thereof. | 2 規則2016/679の9条3項は、同規則9条2項(h)に基づく健康に関するデータの管理者が、これらの規定に基づき、データ主体の同僚の誰もがその健康状態に関するデータにアクセスできないことを確保する義務を負うものではないという意味に解釈されなければならない。もっとも、そのような義務は、同規則9条4項に基づき加盟国が採択した規定により、又は同規則5条1項(f)に定め同規則32条1項(a)及び(b)で具体化された完全性及び機密性の原則により、管理者に課され得る。 |
| 主文3 | 3. Article 9(2)(h) and Article 6(1) of Regulation 2016/679 must be interpreted as meaning that the processing of data concerning health based on the first provision must, in order to be lawful, not only comply with the requirements arising from that provision, but must also satisfy at least one of the conditions of lawfulness set out in Article 6(1) of that regulation. | 3 規則2016/679の9条2項(h)及び6条1項は、前者の規定に基づく健康に関するデータの処理が、適法であるためには、当該規定から生じる要件を遵守するだけでなく、同規則6条1項に定める適法性の要件の少なくとも一つをも満たさなければならないという意味に解釈されなければならない。 |
| 主文4 | 4. Article 82(1) of Regulation 2016/679 must be interpreted as meaning that the right to compensation provided for in that provision fulfils a compensatory function, in that financial compensation based on that provision must allow the damage actually suffered as a result of the infringement of that regulation to be compensated in its entirety, and not a dissuasive or punitive function. | 4 規則2016/679の82条1項は、同項に定める損害賠償請求権が、同項に基づく金銭賠償が同規則の違反の結果として現に被った損害をその全体において塡補するものでなければならないという意味で補償的機能を果たし、抑止的又は制裁的機能を果たすものではないという意味に解釈されなければならない。 |
| 主文5 | 5. Article 82 of Regulation 2016/679 must be interpreted as meaning that first, the establishment of liability on the part of the controller is subject to the existence of a fault committed by the controller, which is presumed unless the controller proves that the event giving rise to the damage is in no way attributable to it and, secondly, Article 82 of that regulation does not require the degree of seriousness of that fault to be taken into account when determining the amount of damages awarded as compensation for non-material damage on the basis of that provision. | 5 規則2016/679の82条は、第一に、管理者の責任の成立は管理者の犯した過失の存在を要件とし、その過失は、管理者が損害を生じさせた事象が自らに何ら帰責されないことを証明しない限り推定されること、第二に、同規則82条は、同条に基づき非物質的損害の賠償として認められる賠償額を決定する際にその過失の重大性の程度を考慮することを求めていないことを意味するものと解釈されなければならない。 |
主要な理由を、段落番号とともに掲げる。
| 段落 | 原文（英語版） | 訳文（AI訳） |
|---|---|---|
| 46 | In the light of the referring court’s view that, in essence, a body should not be able to rely on its ‘dual function’ as employer of the data subject and as a medical service in order to circumvent the principle of the prohibition on processing data concerning health, set out in Article 9(1) of the GDPR, it must be stated that it is crucial to take into consideration the capacity in which the processing of those data is carried out. | 団体は、GDPR9条1項に定める健康に関するデータの処理の禁止の原則を回避するために、データ主体の使用者及び医療機関としての「二重の機能」を援用することはできないはずであるという、要するに付託裁判所の見解に照らし、当該データの処理がどの資格で行われるかを考慮することが決定的に重要であると述べなければならない。 |
| 47 | Although Article 9(1) prohibits, as a matter of principle, the processing of data concerning health, Article 9(2) provides, in points (a) to (j), ten derogations which are independent of each other and which must therefore be assessed independently. It follows that the fact that the conditions for the application of one of the derogations provided for in paragraph 2 are not met cannot prevent a controller from being able to rely on another derogation referred to in that provision. | 9条1項は原則として健康に関するデータの処理を禁止するが、9条2項は、(a)から(j)において、互いに独立しており、したがって独立に評価されなければならない十の例外を定めている。したがって、2項に定める例外の一つについてその適用要件が満たされないという事実は、管理者が同項に定める別の例外を援用することを妨げることができない。 |
| 62 | By adopting Article 9(3) of that regulation, which refers specifically to Article 9(2)(h) of that article, the EU legislature defined the specific protection measures it intended to impose on controllers of such processing, which consist in such processing being reserved to persons subject to an obligation of secrecy, in accordance with the conditions set out in paragraph 3. There is therefore no need to add to the wording of the latter provision requirements to which it does not refer. | EUの立法者は、同条2項(h)を特に参照する同規則9条3項を採択することにより、そのような処理の管理者に課そうとする具体的な保護措置を定めたのであり、それは、3項に定める要件に従い、当該処理を守秘義務に服する者に留保することにある。したがって、同項の文言に、同項が言及していない要件を付け加える必要はない。 |
| 63 | It follows, as the Advocate General points out in essence in point 43 of his Opinion, that Article 9(3) of the GDPR cannot serve as a legal basis for a measure guaranteeing that no colleague of the data subject may have access to data relating to the data subject’s state of health. | したがって、法務官がその意見43点で要するに指摘するとおり、GDPR9条3項は、データ主体の同僚の誰もがデータ主体の健康状態に関するデータにアクセスできないことを保証する措置の法的根拠となることはできない。 |
| 70 | The answer to the second question must therefore be that Article 9(3) of the GDPR must be interpreted as meaning that the controller of data concerning health, based on Article 9(2)(h) of that regulation, is not required, under those provisions, to ensure that no colleague of the data subject can access data relating to his or her state of health. However, such an obligation may be imposed on the controller either under rules adopted by a Member State on the basis of Article 9(4) of that regulation or under the principles of integrity and confidentiality set out in Article 5(1)(f) of that regulation and defined in Article 32(1)(a) and (b) thereof. | したがって、第2問に対する回答は、GDPR9条3項は、同規則9条2項(h)に基づく健康に関するデータの管理者が、これらの規定に基づき、データ主体の同僚の誰もがその健康状態に関するデータにアクセスできないことを確保する義務を負うものではないという意味に解釈されなければならない、というものでなければならない。もっとも、そのような義務は、同規則9条4項に基づき加盟国が採択した規定により、又は同規則5条1項(f)に定め同規則32条1項(a)及び(b)で具体化された完全性及び機密性の原則により、管理者に課され得る。 |
| 73 | In addition, it should be noted that recital 51 of the GDPR expressly states that, ‘in addition to the specific requirements’ for the processing of ‘particularly sensitive’ data, which are set out in Article 9(2) and (3) of that regulation, without prejudice to any measures adopted by a Member State on the basis of Article 9(4), ‘the general principles and other rules of [that] Regulation should [also] apply [to such processing], in particular as regards the conditions for lawful processing’, as set out in Article 6 of that regulation. | さらに、GDPR前文51項は、9条4項に基づき加盟国が採択する措置を妨げることなく、同規則9条2項及び3項に定める「特にセンシティブな」データの処理に関する「特別の要件に加えて」、「［同］規則の一般原則その他の規定が、とりわけ」同規則6条に定める「適法な処理の要件に関して、［そのような処理にも］適用されるべきである」と明示的に述べていることに留意すべきである。 |
| 78 | It follows, in particular, that in so far as the purpose of Article 9(2)(h) of the GDPR is to clarify the scope of the data controller’s obligations under Article 5(1)(a) and Article 6(1) of that regulation, the processing of data concerning health which is based on the first provision must, in order to be lawful, comply with both the requirements arising from that provision and the obligations arising from the latter two provisions and, in particular, must satisfy at least one of the conditions of lawfulness set out in Article 6(1) thereof. | したがって、とりわけ、GDPR9条2項(h)の目的が同規則5条1項(a)及び6条1項に基づくデータ管理者の義務の範囲を明確にすることにある限りにおいて、前者の規定に基づく健康に関するデータの処理は、適法であるためには、当該規定から生じる要件と後者の二つの規定から生じる義務の双方を遵守しなければならず、とりわけ同規則6条1項に定める適法性の要件の少なくとも一つを満たさなければならない。 |
| 85 | In that regard, it must be pointed out that Article 82 of the GDPR has a compensatory rather than a punitive function, unlike other provisions of that regulation which are also in Chapter VIII thereof, namely Articles 83 and 84, which have essentially a punitive purpose since they permit the imposition of administrative fines and other penalties, respectively. The relationship between the rules set out in Article 82 and those set out in Articles 83 and 84 shows that there is a difference between those two categories of provisions, but also complementarity, in terms of encouraging compliance with the GDPR, it being observed that the right of any person to seek compensation for damage reinforces the operational nature of the protection rules laid down by that regulation and is likely to discourage the reoccurrence of unlawful conduct (see, to that effect, judgment of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraphs 38 and 40). | この点、GDPR82条は、同じく同規則第8章に置かれた同規則の他の規定、すなわち、それぞれ制裁金その他の罰則を科すことを認めることから本質的に制裁的な目的を有する83条及び84条とは異なり、制裁的機能ではなく補償的機能を有することを指摘しなければならない。82条に定める規律と83条及び84条に定める規律との関係は、GDPRの遵守を促すという点で、これら二つの種類の規定の間に違いがあるとともに相互補完性もあることを示している。なお、損害の賠償を求めるすべての者の権利は、同規則が定める保護規定の実効性を強化し、違法行為の再発を抑止する可能性が高いことが認められる（その旨、2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、38段及び40段参照）。 |
| 86 | Since the right to compensation provided for in Article 82(1) of the GDPR does not have a dissuasive or even a punitive function, as envisaged by the referring court, the seriousness of the infringement of that regulation which caused the damage in question cannot influence the amount of damages awarded under that provision, even in the case of non-material damage rather than material damage. It follows that that amount cannot be set at a level which exceeds full compensation for that damage. | GDPR82条1項に定める損害賠償請求権は、付託裁判所が想定するような抑止的機能、さらには制裁的機能を有しないから、当該損害を生じさせた同規則の違反の重大性は、物質的損害ではなく非物質的損害の場合であっても、同項に基づき認められる賠償額に影響し得ない。したがって、その額は、当該損害の完全な賠償を超える水準に定めることはできない。 |
| 94 | It therefore follows from a combined analysis of those various provisions of Article 82 of the GDPR that that article provides for fault-based liability in which the burden of proof rests not on the person who has suffered damage, but on the controller. | したがって、GDPR82条のこれらの各規定を併せて分析すると、同条は、証明責任が損害を被った者ではなく管理者に課される過失責任を定めているということになる。 |
| 96 | In that regard, first, it is apparent from the wording of Articles 24 and 32 of the GDPR that those provisions merely require the controller to adopt technical and organisational measures intended to avoid, in so far as it is at all possible, any personal data breach. The appropriateness of such measures must be assessed in a concrete manner, by assessing whether those measures were implemented by that controller taking into account the various criteria referred to in those articles and the data protection needs specifically inherent in the processing concerned and the risks arising from the latter (see, to that effect, judgment of 14 December 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, paragraph 30). | この点、まず、GDPR24条及び32条の文言から、これらの規定は、管理者に対し、およそ可能な限り個人データ侵害を回避することを意図した技術的及び組織的措置を講じることを求めているにすぎないことが明らかである。そのような措置の適切性は、当該管理者が、これらの条文に定める様々な基準、並びに当該処理に特に内在するデータ保護の必要及び当該処理から生じるリスクを考慮してそれらの措置を実施したかを評価することにより、具体的に評価されなければならない（その旨、2023年12月14日 Natsionalna agentsia za prihodite判決、C-340/21、EU:C:2023:986、30段参照）。 |
| 97 | Such an obligation would be called into question if the controller were then required to compensate for any damage caused by processing carried out in breach of the GDPR. | 管理者が、その上で、GDPRに違反して行われた処理によって生じたあらゆる損害を賠償しなければならないとすれば、このような義務は疑問に付されることになろう。 |
| 98 | Secondly, with regard to the objectives of the GDPR, it is clear from recitals 4 to 8 of that regulation that it seeks to strike a balance between the interests of controllers of personal data and the rights of data subjects whose personal data are processed. The aim is to enable the development of the digital economy while ensuring a high level of protection of data subjects. A balance is therefore sought between the interests of the controller and the data subjects whose personal data are being processed. A fault-based liability mechanism accompanied by a reversal of the burden of proof, as provided for in Article 82 of the GDPR, specifically enables such a balance. | 次に、GDPRの目的に関しては、同規則前文4項から8項から、同規則が、個人データの管理者の利益と、その個人データが処理されるデータ主体の権利との間の均衡を図ろうとしていることは明らかである。その狙いは、データ主体の高い水準の保護を確保しつつ、デジタル経済の発展を可能にすることにある。したがって、管理者の利益と、その個人データが処理されているデータ主体の利益との間の均衡が求められている。GDPR82条に定めるような、証明責任の転換を伴う過失責任の仕組みは、まさにそのような均衡を可能にする。 |
| 102 | It must be stated that, in the light of its compensatory function, Article 82 of the GDPR does not require the degree of seriousness of the infringement of that regulation, which the controller is presumed to have committed, to be taken into account when determining the amount of damages awarded as compensation for non-material damage on the basis of that provision, but requires that amount to be fixed in such a way that the damage actually suffered as a result of the infringement of that regulation is compensated in its entirety, as is apparent from paragraphs 84 and 87 of this judgment. | GDPR82条は、その補償的機能に照らし、同条に基づき非物質的損害の賠償として認められる賠償額を決定する際に、管理者が犯したと推定される同規則の違反の重大性の程度を考慮することを求めておらず、本判決84段及び87段から明らかなとおり、同規則の違反の結果として現に被った損害がその全体において塡補されるようにその額を定めることを求めていると述べなければならない。 |
※英語版は翻訳であり、正文はドイツ語である。訳文は生成AIによる。
6. その後の経過
本判決を受けて、連邦労働裁判所は2024年6月20日、原告の上告を棄却した（8 AZR 253/20）。同裁判所は、MDK Nordrheinによる健康に関するデータの処理は9条2項(h)により許され、9条3項の要件も満たしているとして、GDPRの違反がそもそもないと判断した。同僚の一切のアクセスを排除する義務はなく、講じられた技術的・組織的措置は完全性・機密性の原則に適っていたとされた。確認された唯一の無権限のアクセスは、原告自身が同僚に頼んだものであった。違反がない以上、本判決が示した賠償の機能や過失の推定は、本件では使われずに終わったことになる。
出典：連邦労働裁判所 プレスリリース Nr. 18/24（2024年6月20日）https://www.bundesarbeitsgericht.de/en/presse/verarbeitung-von-gesundheitsdaten-im-arbeitsverhaeltnis-medizinischer-dienst-schadenersatz/
7. コメント
本判決は、2023年12月の82条判決群（C-340/21、C-456/22、本判決）の一つであり、その後のC-687/21（48段・52段・58段）が賠償の機能と過失について本判決を引用している。82条の部分は、C-300/21の一般論を確認したうえで（82〜85段）、二つの点で新しい判断を示した。9条の部分は、健康に関するデータの処理の要件についての判断である。
第一に、賠償の機能について。82条1項の賠償は補償的機能を果たし、抑止的・制裁的機能を果たさない（主文4、87段）。理由は、制裁的な目的を持つのは同じ第8章の83条（制裁金）と84条（罰則）であり、82条はそれとは異なるが補完的な関係にあるという、規定の配置にある（85段）。そのため、違反の重大性は、非物質的損害であっても賠償額に影響せず、額は損害の完全な賠償を超えられない（86段）。付託裁判所は、EU法の他の分野の実効性・比例性・同等性の原則から予防的性格を読み込む可能性を問うたが（33段）、裁判所はこれを採らなかった。
第二に、過失について。82条は過失責任であり、証明責任は被害者ではなく管理者が負う（94段、主文5）。根拠は、82条2項第1文の言語版の比較（92段）と、24条・32条は可能な限り侵害を避ける措置を求めるにすぎず、あらゆる損害を賠償させればその義務の意味が失われること（96〜97段）、管理者の利益とデータ主体の保護の均衡（98段）に求められている。無過失責任は法的確実性を損ない、被害者に過失の証明を負わせれば高い保護水準に反する（99〜100段）。日本の不法行為（民法709条）では過失の主張立証責任は原則として被害者側にあるのに対し、GDPR 82条では過失が推定され、管理者が「何ら責任がない」ことを証明しない限り責任を負う。そのうえで、過失の程度は額に影響しない（102段）。責任の成否では過失が問われるが、額では問われないという二段構えである。
第三に、健康に関するデータについて。9条2項(h)の例外は、処理する者が使用者であるか中立的な第三者であるかを問わず、医療機関としての資格で行う処理に及ぶ（主文1、46〜48段）。また、9条の例外に当たっても6条1項の適法性の要件を別に満たす必要がある（主文3、78段）。付託裁判所は、同僚が健康情報に触れること自体が評判の毀損等の損害のリスクを伴うとして、同僚の一切のアクセスを排除する義務を9条3項から導こうとした（59段）。裁判所はこれを9条3項からは否定し、その義務は加盟国法（9条4項）か、完全性・機密性の原則（5条1項(f)、32条1項）の問題であるとした（主文2、62〜63段・70段）。
ここで、事実の側に目を向けておきたい。原告が問題にした「同僚によるアクセス」は、原告自身が同僚に依頼して鑑定書を撮影させたことで現実化している（22段）。健康に関する情報の価値（ここでは害の大きさ）は、誰が知るかによって変わる。見知らぬ第三者よりも、日々顔を合わせる同僚に知られることのほうが重い、という付託裁判所の直観（59段）はもっともである。しかし本判決は、その「誰に知られるか」という問題を9条の特別な保護の内容とはせず、32条のリスクに応じた安全管理の評価に委ねた。情報の価値は、ここでも損害の側ではなく、措置の適切性の側で扱われている。
8. 関連判決
- CJEU 2023年5月4日判決 C-300/21 Österreichische Post（ECLI:EU:C:2023:370）――82条1項の3要件、賠償額の算定は国内法（同等性・実効性）、補償的機能。本判決82〜85段が引用
- CJEU 2023年12月14日判決 C-340/21 Natsionalna agentsia za prihodite（ECLI:EU:C:2023:986）――安全管理措置の適切性の具体的評価、立証責任。本判決96段・99段が引用
- CJEU 2024年1月25日判決 C-687/21 MediaMarktSaturn Hagen-Iserlohn（ECLI:EU:C:2024:72）――誤交付と「おそれ」。本判決82段・86〜87段・103段を引用
- CJEU 2023年12月14日判決 C-456/22 Gemeinde Ummendorf（ECLI:EU:C:2023:988）――軽微性の閾値の否定と損害の立証
- CJEU 2019年9月24日判決 C-136/17 GC and Others（センシティブデータの参照削除）（ECLI:EU:C:2019:773）――本判決55段が引用
- CJEU 2023年7月4日判決 C-252/21 Meta Platforms and Others（ECLI:EU:C:2023:537）――9条2項の厳格解釈、6条1項の限定列挙。本判決50段・75段が引用
9. 出典
- 判決原文（英語版）：EUR-Lex C-667/21 判決（出典：Court of Justice of the European Union／EUR-Lex）
- 国内裁判所の判断：連邦労働裁判所 プレスリリース Nr. 18/24（2024年6月20日、8 AZR 253/20）
- 為替レート：Trading Economics EUR/JPY（2026年10月14日参照）
本稿は生成AIを用いて作成したもので、判決の翻訳もAIによります。内容は筆者が確認しています。本稿は筆者の見解であり、確立した通説を述べたものではありません。具体的な事案の判断は個別の検討を要します。