criminal-data-handling

犯罪有罪判決および犯罪データの取り扱い — GDPR 第10条

概要

GDPR 第10条は、犯罪の有罪判決および犯罪、または関連する保安処分に関する個人データの処理について、独立した枠組みを定めています。一般的な禁止に対して列挙された例外が適用される第9条の特別カテゴリーのデータとは異なり、第10条では、公的機関の管理下で行う場合、または適切な保護措置を定めた EU 法もしくは加盟国法によって許可されている場合に限り、処理が認められます。犯罪有罪判決に関する包括的な登録簿を維持できるのは、公的機関の管理下での処理に限られます。このスキルでは、企業環境における犯罪データの特定、分類、および適法な処理のための枠組みを提供します。

法的枠組み — 第10条

第10条の条文

「第6条第1項に基づく、犯罪の有罪判決および犯罪、または関連する保安処分に関する個人データの処理は、公的機関の管理下で行われる場合、またはデータ主体の権利および自由に対する適切な保護措置を定めた連合法もしくは加盟国法によって処理が許可されている場合に限り、実施することができます。犯罪有罪判決に関する包括的な登録簿は、公的機関の管理下でのみ維持するものとします。」

3つの主な要件

要件	説明	実務上の影響
公的機関の管理	処理は、法的権限を有する公的機関の監督下で、またはその権限に基づいて実施する必要があります	民間部門の組織は、特定の国内法によって許可されていない限り、一般に犯罪データを処理できません
国内法による許可	EU 法または加盟国法が処理を具体的に許可し、適切な保護措置を定めている必要があります	管理者は、犯罪データの各処理活動を許可する具体的な法的規定を特定する必要があります
包括的な登録簿の禁止	民間事業者は犯罪有罪判決に関する包括的な登録簿を維持できません	データベースを目的として個人間の犯罪記録を集約するには、公的機関としての地位が必要です

第6条の適法な根拠との関係

第10条は、第6条に加わる追加の要件として機能します。犯罪データを処理する管理者は、以下の両方を満たす必要があります。

1. 第6条第1項に基づく適法な根拠 — 通常は第6条第1項(c)（法的義務）または第6条第1項(f)（正当な利益。国内法で認められる場合）
2. 第10条の要件のいずれか — 公的機関の管理、または適切な保護措置を伴う国内法による許可

第9条との関係

犯罪データは、第9条第1項の特別カテゴリーには記載されていませんが、加盟国は第9条相当の保護を課すことがあります。一部のデータは、第9条と第10条の両方に該当する場合があります。たとえば、犯罪に関するデータが、人種プロファイリングに関する懸念や政治活動も明らかにする場合です。

犯罪データの対象範囲

第10条の対象となるデータ要素

カテゴリー	例	注記
犯罪の有罪判決	有罪判決の記録、刑罰、裁判所の判決	第10条の中心的な対象
犯罪	罪状、起訴、犯罪行為の申し立て	立証されていない申し立ても含みます
関連する保安処分	保護観察命令、接近禁止命令、電子監視の条件	有罪判決後の措置
刑事手続き	逮捕記録、保釈条件、出廷日	手続きに関するデータ
無罪判決および不起訴処分	取り下げられた罪状または無罪判決の記録	第10条の下では、これらも犯罪データに該当します
訓戒および警告	警察による訓戒、秩序違反に対する反則通知	裁判外の処分
失効した有罪判決	国内法に基づき更生後に記録が抹消される有罪判決（英国：1974年犯罪者更生法）	国内法により追加の保護が適用される場合があります

第10条の適用範囲外のデータ

データ	理由
民事訴訟記録	第10条は刑事事件のみを対象としています
規制当局による執行措置（監督当局による罰金）	行政上の措置であり、刑事上の措置ではありません
懲戒手続き（雇用上の不正行為）	刑事事件ではなく、社内の雇用上の問題です
信用不履行および郡裁判所の判決	民事上の債務に関する事項です
自己申告による一般的な「品行方正」に関する記述	特定の刑事データではありません

Vanguard Financial Servicesにおける境界事例

シナリオ	第10条が適用されますか？	理由
規制対象の職務に就く新規採用者のDBS（Disclosure and Barring Service）チェック結果	はい	有罪判決および警告に関するデータが含まれます
FCA（Financial Conduct Authority）による適格性および適正性のチェック	はい — 犯罪歴が評価される場合	FCAのSenior Managers and Certification Regimeでは、犯罪歴の開示が義務付けられています
マネーロンダリング対策における疑わしい取引の届出（SAR）	境界事例 — SARが犯罪の疑いに関係する場合は該当します	SARデータは、犯罪（詐欺やマネーロンダリングの疑い）に関するデータに該当する可能性があります
従業員による詐欺の疑いに関する社内調査	はい — 調査が刑事犯罪に該当する行為に関係する場合	起訴されなかった場合でも、刑事犯罪に関する調査データは第10条の対象となります
制裁対象者のスクリーニング結果	いいえ — 制裁対象者との一致が有罪判決または犯罪に関係する場合を除きます	制裁は通常、行政上または規制上の措置です

国内法による適用除外

イギリス — Data Protection Act 2018

• Schedule 1, Part 1：第10条に基づく有罪判決データの処理条件 — 雇用目的、規制上の要件、違法行為の防止または検知、一般市民の保護に必要な処理が含まれます
• Schedule 1, Part 2：重大な公共の利益に関する条件 — 児童および脆弱な成人の保護、詐欺に関連する規制上の要件が含まれます
• Rehabilitation of Offenders Act 1974：ほとんどの雇用状況では、消滅した有罪判決を開示または利用してはなりません。Rehabilitation of Offenders Act 1974 (Exceptions) Order 1975に記載された規制対象の活動（金融サービス、医療、保育）には例外があります
• DBSチェック：強化DBSチェックを利用できるのは、規定された職位に限られます。基本DBSチェックは、本人の同意があれば、あらゆる目的で利用できます

ドイツ — BDSG §§ 26, 85

• § 26 BDSG：雇用関係に必要であり、かつ相応である場合、従業員の犯罪データを処理できます。求職者の犯罪データの処理が認められるのは、その犯罪が特定の職務に関連する場合に限られます
• 犯罪者登録法（Bundeszentralregistergesetz、BZRG）：連邦中央犯罪者登録簿は、連邦司法庁が専属的に管理しています。民間事業者は犯罪者登録簿を維持できません

フランス — Code pénal、第226-19条；CNILの認可

• 民間事業者による犯罪データの処理には、CNILの個別認可または明示的な法的根拠が必要です
• 犯罪記録（casier judiciaire）の第3号証明書を雇用主が請求できるのは、法律で指定された職位に限られます

オランダ — UAVG第32条

• 民間事業者による犯罪データの処理は、法律で個別に認められている場合、またはデータ主体の明示的な同意がある場合に限り許可されます
• 行為証明書（Verklaring Omtrent het Gedrag、VOG）は、Justis（スクリーニング機関）が管理する制度です

分類方法

ステップ 1：犯罪データ要素を特定する

各システムについて、犯罪データを含む可能性のあるデータ要素を確認します。

検出パターン	フィールドの例	確度
犯罪記録の識別子	criminal_record_number、dbs_certificate_number、police_reference	高
犯罪の分類	offence_code、charge_description、conviction_type	高
裁判所および量刑のデータ	court_name、sentence_type、sentence_duration、judge_name	高
捜査関連の参照情報	investigation_id、sar_reference、fraud_case_number	中
バックグラウンドチェックの結果	dbs_result、background_check_status、criminal_history_flag	高
犯罪に関する用語を含む自由記述フィールド	"convicted"、"arrested"、"charged"、"offence"、"sentence" を含むフィールド	低 — 手動確認が必要

ステップ 2：第 10 条の適用可能性を判断する

特定した各要素について：

1. データが刑事上の有罪判決、犯罪、または関連する保安処分に関するものであることを確認します
2. 民事、行政、または懲戒に関する事項と区別します
3. 判断が難しいケース（例：SAR、内部調査）では、基礎となる行為が犯罪に該当するかどうかを評価します

ステップ 3：国内法による許可を特定する

第 10 条に該当する各データ要素について：

1. 処理を許可する具体的な国内法の規定を特定します
2. 法律に第 10 条が求める「適切な保護措置」が定められていることを確認します
3. 追加の国内規制（例：Rehabilitation of Offenders Act に基づく刑の消滅に関する保護措置）を記録します

ステップ 4：包括的な登録簿のリスクを評価する

いずれかのシステムが「犯罪上の有罪判決に関する包括的な登録簿」に該当し得るものを維持しているか確認します。

• 複数の個人の犯罪記録を集約するデータベース
• 集団全体にわたる犯罪歴の検索や照会を可能にするシステム
• 対象となる集団を包括的に網羅している場合、一部の情報のみを集約していても、包括的な登録簿に関する懸念が生じる可能性があります

ステップ 5：分類ラベルを適用する

• CRIMINAL_ART10：第 10 条の適用範囲内であり、国内法による許可が特定されているデータ
• CRIMINAL_ART10_NO_AUTH：第 10 条の適用範囲内であり、国内法による許可が特定されていないデータ（許可が確認されるまで処理を停止する必要があります）
• CRIMINAL_SPENT：消滅した有罪判決に関するデータで、Rehabilitation of Offenders Act に基づく追加の保護措置の対象となるもの
• NOT_CRIMINAL：確認の結果、第 10 条の適用範囲外であることが確認されたデータ

Vanguard Financial Services での実装

犯罪データを処理するシステム

システム	データ要素	国内法上の根拠	目的
HR 採用プラットフォーム	DBS チェックの結果（基本および拡張）、犯罪歴申告フォーム	UK DPA 2018 Sch.1 Part 1 para 1（雇用）；Rehabilitation of Offenders Act 1974 (Exceptions) Order 1975	FCA 規制対象の職務に関する採用前審査
コンプライアンスケース管理	SAR データ、内部調査記録、規制当局への照会記録	UK Proceeds of Crime Act 2002 s.330-332（SAR の義務）；UK DPA 2018 Sch.1 Part 2 para 14（違法行為の防止および検出）	AML コンプライアンス、不正調査
FCA 規制報告	シニアマネージャーの犯罪歴申告、承認対象者の犯罪記録開示	Financial Services and Markets Act 2000 s.61（適格性および適正性）；FCA SUP 10C	規制上の適格性および適正性の評価
第三者デューデリジェンス	ベンダーおよび取引先の犯罪歴調査結果	UK DPA 2018 Sch.1 Part 2 para 6（規制要件）；Money Laundering Regulations 2017 reg.28	顧客確認、ベンダーリスク管理

必要な保護措置

保護措置	実装
アクセス制限	犯罪データにアクセスできるのは、特定の役割に基づくアクセス権を持つ、指定されたコンプライアンス担当者および人事担当者に限ります。氏名を記載した個人の認可リストを管理します。
目的の限定	犯罪データは、法律で認められた特定の目的に限って処理します。一般的な人事分析やパフォーマンス管理への二次利用は禁止します。
保存期間の限定	DBS チェックの結果は、採用決定後、最長 6 か月間保存します。SAR データは、犯罪収益法の保存期間に関するスケジュールに従って保存します。
データ最小化	特定の規制で必要とされる場合を除き、犯罪歴全体ではなく、犯罪歴チェックの結果（問題なし／問題あり、および関連する詳細）のみを記録します。
ログ記録と監査	犯罪データへのすべてのアクセスについて、ユーザー ID、タイムスタンプ、目的を記録します。DPO がアクセスログを四半期ごとに監査します。
刑の消滅した犯罪歴の取り扱い	刑の消滅した犯罪歴を示すシステムフラグを設定します。刑の消滅した犯罪歴は、標準的な雇用時のチェックから除外します。例外令の適用対象となる職務（FCA 規制対象の職務）に限り表示します。

施行事例

• Metropolitan Police Service v Information Commissioner（英国第一審審判所、2014 年）：審判所は「犯罪データ」の範囲を検討し、立証されていない場合であっても、犯罪行為の申し立ては犯罪データに該当し、第 10 条相当の保護が必要であると確認しました。
• ICO の執行通知 — Experian Ltd（2020 年）：ICO は、金融犯罪リスクを示すデータを含む、マーケティングサービス事業における Experian の個人データ処理について、適切な適法根拠と透明性を欠いていると判断しました。
• CNIL 決定 SAN-2022-023 — Clearview AI：主に第 9 条の生体認証に関する事案ですが、この決定では、犯罪捜査に関連するデータの処理と、そのようなデータを集約する際に公的機関の管理を要することについても取り上げています。
• オーストリア DPA — CRIF GmbH（2021 年）：詐欺による有罪判決に関連する支払不能など、犯罪に関連する財務データのデータベースを、第 10 条に基づく適切な国内法上の許可なく維持していたとして罰金を科されました。

統合ポイント

• special-category-data：犯罪データは第 9 条のカテゴリーと重なる場合があります（例：政治的意見を明らかにする政治犯罪）。
• data-inventory-mapping：第 30 条の RoPA では、第 10 条のデータ処理活動を明示する必要があります。
• classification-policy：犯罪データは、取り扱い手順を強化した「制限付き」階層に分類します。
• cross-jurisdiction-class：犯罪データの保護は法域によって大きく異なるため、多国籍業務ではマッピングが必要です。