gdpr-prior-consultation

事前協議プロセスの実施

概要

第36条では、第35条に基づくDPIAにより、管理者がリスクを軽減する措置を講じない場合、その処理によって高いリスクが生じると示され、管理者がそのリスクを十分に軽減できない場合、処理を行う前に監督機関と協議することが管理者に求められています。

事前協議が必要となる場合

次の条件をすべて満たす場合、事前協議が必須です。

1. 第35条に基づくDPIAを実施している。
2. DPIAにより、データ主体の権利および自由に対する高いリスクが特定されている。
3. 合理的に利用可能な緩和措置をすべて適用している。
4. 緩和策を講じても、残存リスクが高いままである。

必要な文書（第36条第3項）

管理者は、次の内容を提出する必要があります。

1. 管理者、共同管理者および処理者それぞれの責任
2. 意図する処理の目的および手段
3. データ主体を保護するための措置および保護策
4. DPOの連絡先
5. 第35条に基づき完了したDPIA
6. 監督機関が求めるその他の情報

期間

フェーズ	期間	参照条文
監督機関の初回回答期間	受領から8週間	第36条第2項
複雑な事案における延長	さらに最大6週間	第36条第2項
期間の最大合計	14週間	第36条第2項
処理の開始	助言を受けるか、期限が満了した後に限る	第36条第2項

協議プロセス

ステップ1：提出前の準備

1. 第35条第7項の必須要素がすべて含まれ、DPIAが完了していることを確認します。
2. 利用可能な緩和措置がすべて文書化されていることを確認します。
3. 緩和策を講じても残存リスクが高いままである理由を文書化します。
4. DPOによるレビューおよび承認を受けます。
5. 第36条第3項の文書をすべて含む提出書類一式を準備します。

ステップ2：提出

1. 管轄の監督機関（第56条に基づく越境処理の場合は主監督機関）に提出します。
2. 監督機関が指定する形式がある場合は、それを使用します。
3. 日付印のある提出証明を保管します。

ステップ3：監督機関との対応

1. 追加情報の請求には速やかに対応します。
2. 8週間の期限および延長通知の有無を追跡します。
3. 助言を受けるか、期限が満了するまで処理を開始しないでください。

ステップ4：結果への対応

結果	対応
監督機関が承認	指定された条件がある場合はそれに従い、処理を進めます
監督機関が勧告を提示	勧告を実施し、遵守状況を文書化します
監督機関が異議を唱える、または制限を課す	処理を進めず、処理設計を見直します。適切な場合は再提出します
期限内に回答がない	協議を提出し、期限が満了したことを文書化します。処理を進めることができます

加盟国による違い

第36条第5項では、社会保護や公衆衛生を含む公益上の処理について、加盟国法により事前協議を義務付けることが認められています。管理者は、現地の国内実施法を確認する必要があります。

事前協議が必要となる一般的な理由

• 大規模な生体認証識別システム
• 顔認識を用いた公共空間の体系的な監視
• 集団規模での遺伝データの処理
• 緩和策が不十分な場合における、法的効果または同様に重大な効果を伴う自動意思決定
• リスクの予測が困難な、新しい技術を用いた処理