GDPRの機能不全 ヨーロッパの各国政府に責任 Japanese translation of "Brave 2020 DPA Report: Brave’s 2020 report on the enforcement capacity of data protection authorities".

1. GDPRの機能不全
ヨーロッパの各国政府に責任
Brave2020報告書：データ保護当局の執⾏能⼒

2. GDPRには、デジタル⽣活をより良いものに変
える可能性が秘められています。しかし施⾏
から2年経った現在、GDPRは機能不全の危機
に直⾯しています。
⼈々はわかりにくい同意確認や制御不能な
ネット広告の追跡・監視にさらされ、⼤⼿テ
クノロジー企業に異常なほど詳しく⽇常を把
握されています。GDPRはこうした状況に変化
をもたらせていません。
この報告書ではその理由を明らかにしていま
す。EU加盟国政府は、GDPR執⾏に必要なリ
ソースをデータ保護当局（DPA）に供給して
いません。
BraveはDPA内で技術調査を⾏う技術専⾨員の
数を調べました。技術専⾨員とは主に技術的
な研修をうけ技術的な職務を⾏う職員です。
この調査で、ヨーロッパのDPAには、⺠間セ
クターのGDPR侵害を調査する技術専⾨員がほ
ぼいないことが明らかになりました。
違反⾏為が明らかであっても、DPAは⼤⼿テ
クノロジー企業「ビッグテック」がもつ強固
な法律部⾨を相⼿に訴訟で争うほどの予算が
ないため、権限の⾏使をためらっています。
DPAは、適切な調査を実施し厳しい法廷闘争
を恐れずに⾏動できるべきです。断固たる積
極的な執⾏⼒が不可⽋です。
責任は、DPAではなく各国政府にあります。
GPDRの第52条(4)では、各国政府がDPAの業務
遂⾏に必要な⼈的資源と資⾦をDPAに提供す
べきと規定されています。実現している政府
はほぼありません。
したがって、欧州委員会による介⼊が不可⽋
です。EU条約によると、欧州委員会は、EU
法を遵守していない加盟国政府に対して条約
違反⼿続きを⾏う権限があります。欧州委員
会は、今すぐ⾏動するべきです。
GDPRが信頼を失った場合の代償は⼤きいで
しょう。EUによる規制⼒は低下し、データの
濫⽤が市⺠や社会を脅かすことになるでしょ
う。
GDPRの徹底は可能です。そのためには、加盟
国政府が早急に⾏動を起こすことが必要で
す。次の３つを提案します。
1. DPA技術専⾨チームを拡充する。
2. ⼤⼿テクノロジー企業との法廷闘争に必要
な資⾦をDPAに供給する。
3. EUレベルで各国のDPAの技術調査を⽀援す
るユニットを構築する。
この報告書が、各政府の迅速な⾏動を促すこ
とを祈っております。そして欧州委員会によ
り実⾏が徹底されることも期待しています。
1
序⽂
Johnny Ryan
Brave、チーフポリシー&インダストリー
リレーションズオフィサー
2020年4⽉

3. 2
⽬次
GDPRの施⾏から2年が経過しました。しかしオンラインの世界では、データ保護の原則はほぼ執⾏されていません。この報
告書ではその理由を明らかにします。ヨーロッパの各国政府はデータ保護当局（DPA）に法廷闘争に必要な技術専⾨員と予算
を⼗分に提供していません。その結果、DPAは⼤⼿テクノロジー企業の責任を問うことができていません。極端な例では、技
術専⾨員が⼀⼈もいなく、予算も⾮常にわずかなGDPR規制当局もあります。
導⼊
1. 序⽂
2. ⽬次
3. 要旨
データ
4. ヨーロッパのデータ保護当局は⼈材が不⼗分
5. DPAがテクノロジー業界を管理するリソースは不⼗分
6. ほぼ全てのDPAで政府からの予算が不⾜
7. GDPR規制当局には、より多くの技術専⾨員が必要
国別の特徴
8. ドイツはヨーロッパで先⾏
9. アイルランド政府はDPC拡充にブレーキ
10. 英国ICOでは技術関連の専任職員はわずか3％
提案
11. GDPRの徹底に向けて
付録

4. ヨーロッパの各国政府は、GDPR執⾏に必要な技術⾯における体制を整えていません。
3%
職員680⼈がいる英国ICOの
技術専⾨員の⽐率
21
アイルランドDCPの技術専⾨
員の数
305
ヨーロッパのDPAの技術専⾨
員の数
● 10⼈超の技術専⾨調査員がいるDPAは6機関だけです。
● 7つのDPAでは技術専⾨員が2⼈以下です。
● 全DPAのうち半数では、国からの予算が500万ユーロ未満と少額です。
● アイルランドデータ保護委員会（DPC）は、Google、Facebookのヨーロッパにおける「主担
当当局」です。 苦情申⽴件数は加速度的に増加していますが、予算の伸びと職員数の増加は
鈍化しています。
● 英国の情報コミッショナー（ICO）は、規模も運営コストも圧倒的に⼤きいDPAです。しかし
技術専⾨職員の⽐率はたった３％です。
● DPAの予算はGDPR施⾏に向けて伸びましたが、その後伸びは鈍化しています。
● EU全体の技術専⾨家のうちの約3分の１（29％）は、ドイツのDPAに所属しています。他の
EU諸国はこの点においてかなり遅れています。
3
要旨
14
予算が500万ユーロ未満の
DPAの数

5. 調査結果:
● EUの⺠間セクターのデータ処理問題を担当するDPAの技術専⾨員
は、合計305名（⽋員も含む）で、45の機関で職務についていま
す。この数字には公的セクターを担当する３つのDPA （ドイツの
バイエルン公共部⾨DPA、スペインのバスクおよびカタルーニャ
DPA） は含まれていません。
● 半分のDPAでは、技術専⾨員の数は5⼈以下です。
● ドイツだけで、ヨーロッパのDPA技術専⾨員の29%を占めます。
ヨーロッパのデータ保護当
局は⼈材が不⼗分
BRAVE | 2020 DPA report 4
†オーストリア、ベルギー、キプロス、ラトピアは。外部のコンサル
タントを使⽤
‡DPAの回答やデータから推定
EUのDPA別 技術専⾨調査官とその他の職員の数
常勤換算、端数は四捨五⼊、⽋員は濃い⾚
データ保護当局の技術専⾨調査官の数は⾮常に少ない。
その他の職員
技術専⾨員
694
101‡
658
Portugal
Poland
Romania
Slovakia
Slovenia
Spain
Sweden
UK
4‡
Austria
Belgium
Denmark
Bulgaria
Croatia
Cyprus
Estonia
Finland
France
German
combined
Hungary
Ireland
Italy
Latvia
Lithuania
Luxembourg
Malta
Netherlands
187
41
16
60
97
19
34
5349
34
101
119
162
19 26
28
10
178
42641†8
2128
3842†55† 7† 2
Czech
Republic
4
16
38 48 43
155
75
22
36‡
411‡82
224
Greece
12
26

6. 各国政府はDPAに必要な資⾦を提供しておらず、DPAには
業務遂⾏に必要な技術的専⾨知識がありません。
DPAがテクノロジー業界を
管理するリソースは不⼗分
調査結果:
● DPAの予算は、EUの半数の国でわずか500万ユーロ以下です。
● 英国の予算はかなり⼤きいですが、技術専⾨員の⼈数は多くあり
ません。英国のICOの予算はフランスのCNILの3倍ですが、CNIL
の技術専⾨員の⼈数はICOよりも多いです。
● ドイツは突出しています。
BRAVE | 2020 DPA report 5
100604020
60
100
120
年間予算（百万ユーロ）
技術専⾨調査官の⼈数
DPA年間予算と技術専⾨員の数
Corner cluster: Croatia, Cyprus,
Czech Republic, Estonia, Finland,
Hungary, Latvia, Lithuania, Malta,
Poland, Portugal, Romania, Slovakia,
Slovenia.
注記：オーストリアとベルギーでは
外部契約者を利⽤
120
Denmark
Lux.
20
40 Spain
Netherlands
80
80
0
0
Italy
France
Sweden
Ireland UK
Germany
(federal & Länder combined)
Greece

7. ほぼ全てのDPAで政府から
の予算が不⾜
調査結果:
● DPAの年間予算の増加率は、GDPR施⾏に向かって上昇し2019年
は24%に達しましたが、現在は15%までに落ちています。
● エストニア政府による2019年の年間予算額（750,331ユーロ）は
下から3番⽬でしたが、2020年も横ばいでした。
● ポルトガル政府は、DPAの予算を2018年から2020年の間に
203,000ユーロ削減しました。
● EUの⺠間セクターのデータ処理問題を担当するDPA45機関の合計
予算は、たった約3億ユーロ（325,896,343ユーロ）です。
BRAVE | 2020 DPA report 6
いくらかの投資はありながらも、政府の2020年のDPA予算
は抑制傾向です。
*キプロスの2020年予算は不明
EUのDPAの予算総額増加率
前年⽐、百万ユーロ、端数は四捨五⼊
2017 2018 2019 2020
€16.5
25May2018:GDPRapplies
€16.9
€20.8
€18.6
€16.5
€10.3
€9.4
€9
€6.7
€6.7
€5.6
€4.5
€4.4
€3.1
€2.4
€2.3
€2.3
€1.9
€1.6
€1.4
€1.3
€1.3
€1.2
€0.8
€0.6
€0.5*
€61
€58.9
€30.1
€31
€12.3
France
Netherlands
Ireland
Spain
Sweden
Poland
Belgium
Czech Republic
Luxembourg
Denmark
Finland
Portugal
Austria
Slovenia
Slovakia
Bulgaria
Croatia
Romania
Latvia
Estonia
Malta
Hungary
Greece
Lithuania
Cyprus
Germany
Italy
UK
Germany (Federal) €9 €26.8
€5.2
€5.7
€4.5
€3.2
€32.3
€56.1
€32.6
DPA予算と2018−2020年増加額
百万ユーロ、端数は四捨五⼊、増加額は淡⾊

8. 結論
GDPR規制当局には、より多くの技術専⾨員が必要
調査結果
● ヨーロッパのDPAのうち7機関では、技術専⾨家が2⼈以下です。
● 10⼈超の技術専⾨員がいるのは、28機関のうち6機関だけです。
BRAVE | 2020 DPA report 7
いまや、多くの活動がオンライン上で実施されています。そのためDPA
にとり、技術的な調査とオンラインにおけるGDPRの執⾏は最優先事項
です。しかしこのグラフは、テクノロジー企業による個⼈データの利⽤
実態を調査する能⼒が不⾜していることを示しています。
ヨーロッパのDPAにおける技術専⾨調査官の数
常勤換算、端数は四捨五⼊101
Germany (combined)
EEA加盟国（EU⾮加盟）
13 vacancies‡
6
Norway 2
Iceland
2
Liechtens.
2
Estonia
1†
Latvia
1‡
Romania
1
Slovakia
†
Austria
2
Poland
8
Portugal
8
Denmark
28
France
21
Ireland
36
Spain
22
UK
8
Italy
7
Bulgaria
1 vacancy
6
Lux.
5†
Belgium
5
Croatia
4
Lithuan.
4
Netherl.
4
Slovenia
4
Sweden
3
Finland
2†
Cyprus
4
Czech R.
2
Malta
4‡
Hungary
12
Greece
1 vacancy
†オーストリア、ベルギー、キプロス、ラトピアは。外部のコンサル
タントを使⽤
‡DPAの回答やデータから推定

9. 州のDPA: 技術調査員と他の職員の数の⽐較
常勤換算、端数は四捨五⼊、⽋員は濃い⾚
ドイツはヨーロッパで先⾏
調査結果:
● シュレースヴィヒ＝ホルシュタイン州のDPA（Unabhängiges
Landeszentrum für Datenschutz）１機関に、他国のDPA（7機関
は除く）の合計より多い数の技術専⾨員がいます。
● このグラフには、以下のDPA２機関は含まれていません。
連邦データ保護・情報⾃由監察委員会（BfDi）には、185名の職
員がおり、内22名（10名の⽋員を含む）が技術専⾨員です。
BfDIは、郵便・通信サービス、政府部⾨、連邦機関を担当してい
ます。
バイエルン州には、公共部⾨を担当するDPAがもう１つありま
す。職員は44名で、内5名が技術専⾨員です。
● ドイツでは⽐較的技術専⾨員が多いですが、多くの組織はリソー
スが⼗分でないことに不満を抱いています。技術調査員は18の
機関（連邦と16州）に分かれています。
8
ドイツの州政府は⼤多数の国より多くの資⾦をDPAに投じ
ています。
8 3
288
8 25
456
71
6
53
27
23
24
10
5
5
4
3
4
3
3
1
19
19
25
Baden-Württemberg
Bayern
Berlin
Niedersachsen
Hamburg
Bremen
Rheinland-Pfalz
Brandenburg
Hessen
Sachsen-Anhalt
Sachsen
Schleswig-Holstein
Vorpommern
Saarland‡
Nordrhein-Westfalen
Thüringen
1
465
283
5
29
‡Saarlandの技術専⾨員の数字は、DPA
からの回答に基づく推定値
49
BRAVE | 2020 DPA report

10. 調査結果:
● アイルランドのデータ保護委員会（DPC）は、Google、
Facebookなどの⼤⼿テクノロジー企業のヨーロッパにおける
「主担当当局」です。
● DPC は、他国のどのDPA よりも、多数の案件を主担当当局として
調査する責務があります。
● DPCの職員の15%、21名が技術専⾨調査官です。
● 苦情申⽴件数は加速度的に増加していますが、アイルランド政府
によるDPC予算の伸びと職員数の増加は鈍化しています。
アイルランド政府はDPC拡
充にブレーキ
BRAVE | 2020 DPA report 9
アイルランド政府のデータ保護委員会への予算の伸びは鈍
化しています。
アイルランドのデータ保護委員会の予算、職員
数、苦情申⽴件数の伸び
増加率%, 前年⽐
10%
予算
職員数
苦情受付件数
2017 2018 2019 2020
31%
56%
60%
75%
79%
39%
27%
29%
60% requested
37% requested
国別、主担当案件数
41
127
92
87
64
56
45
25
20 18 17 16 14
11 10 9 8 7 6 5 4 3 2 2 1 1 0 0
Ireland
Germany
Lux.
France
UK
Netherl.
Spain
Belgium
Sweden
Malta
Austria
Italy
Cyprus
Hungary
Estonia
Poland
Czech
Finland
Denm.k
Latvia
Lithuan.
Romania
Greece
Portugal
Bulgaria
Croatia
Slovenia
Slovakia
Note that a caveat applies to these data: see note 6 on page 13.

11. 10
英国のICOの運営コストは最⼤ですが、本来業務に必要な
技術調査能⼒には反映されていません。
英国ICO、技術関連の専任
職員はわずか3％
調査結果:
● 英国情報コミッショナー事務局（ICO）は、他国のDPAに⽐べはる
かに多額の⽀出を⾏なっていますが、技術調査の能⼒の拡⼤には
つながっていません。
● スペインのAEPDとフランスのCNILには、ICOよりも⼤きな技術専
⾨員チームがいます。しかし、運営コストはICOの3分の1です。
● ICOの技術関連の専任職員の割合は全職員30⼈に対したった1⼈で
す。
分析:
ICOの予算は2018年から2020年の間に3,00万ユーロから6,100万ユーロ
へ倍増しました。ICOの予算の少しでも技術専⾨員へ投資されていれ
ば、適正な技術調査能⼒の確保ができた可能性があります。
BRAVE | 2020 DPA report
ICOの技術関連組織
主要案件を担当したDPAによる⽀出：2000年〜2020年
Head of tech.
policy
Head of privacy
innovation
Tech. adviser
(secondment）
Tech. adviser
(secondment)
Data ethics
adviser
Executive director
Group manager
technology
policy
Group manager
digital economy
Principal tech.
advisor
Principal tech.
advisor
Post-doctoral
fellowship in AI
Senior tech.
officer
Senior tech.
officer
Technology policy & innovation unit
Team manager
Group manager
Principal cyber
investigations
officer
Principal cyber
investigations
officer
Principal cyber
investigations
officer
Lead technical
investigations
officer
Lead technical
investigations
officer
Cyber incident response & investigation unit
Vacancy
Team manager
Lead technical
investigations
officer
Germany
（federal only)
2005 2010 2015 20202000
60
40
20
5
France
Ireland
UK
50
30
10
⽀出（百万ユーロ)
15
0
25
Luxembourg
GDPR
Nordrhein-Westfalen
注記: ドイツについては、連邦DPAと州の最⼤のDPA（Nordrhein-Westfalen）を掲載。詳細は13
ページの⽅法論７を参照。
22名 （常勤換算、⽋員１名を含む）

12. GDPRの徹底に向けて
BRAVE | 2020 DPA report 11
各国政府はGDPR第52条(4)を遵守していません。しかし、
まだ対応は間に合います。
提案：国レベル
● 各国政府は技術専⾨調査員を⼤幅に充実するべきです。優秀な⼈
材を獲得するために、競争⼒のある給与を提示するべきです。
● 各国政府は、DPAが断固たる法の執⾏を⾏い、⾼額な費⽤をかけ
て上訴するビックテックに対抗できるよう資⾦を供給すべきで
す。特に⼤規模案件の「主担当当局」であるDPAや⺠事訴訟につ
ながり得る案件を担当するDPAには必要です。
提案：EUレベル
● 欧州データ保護会議の事務局（欧州データ保護監督者による）
は、各国のDPAを⽀援する技術調査ユニットを設⽴するべきで
す。このユニットには、⼗分な数の専属職員と各国DPAからの駐
在職員が数名をおくべきです。
● 欧州委員会は、GDPR第52条(4)を遵守しない加盟国に対して条約
違反⼿続きを開始すべきです。必要に応じて欧州司法裁判所に持
ち込むべきです。
GDPR第52条(4)

13. 12
プライバシー保護について
Braveは、プライバシーを保護する新しいウェブブラ
ウザで、⼤幅なスピードの向上やバッテリー消費の節
約を実感いただけます。また、個⼈データを取得しよ
うとする広告やトラッカーもブロックします。
何百万⼈もの⽅が、Braveを使いスピーディーかつ安
全なネット体験を楽しんでいます。スマホでもPCで
もBrave.comでダウンロードすることが可能で、安⼼
してインターネットを閲覧いただけるようになりま
す。
「Braveはプライバシーを尊重する急成⻑中のブラウ
ザで、最⾼のものだ」と、Wiredは、ブラウザのプラ
イバシー保護を⽐較したレビューで述べています。
Braveによる調査やインサイトはこちらからご覧いた
だけます。
brave.com/insight/

14. ⽅法論:
1. この調査では、EU加盟国28か国のDPA、ドイツの州のDPA17
機関（バイエルン州のDPAは2機関）、欧州経済領域（EEA）
の3か国のDPAを対象に、以下の質問をしています。
「（DPA組織の名称）で、技術的（IT）知識を持って調査また
は執⾏作業に携わっている職員 （常勤換算）の数は何⼈です
か？この⼈数には、主に技術的な研修をうけ技術的な職務を⾏
う職員ですが、社内のシステム対応要員は含みません」
2. 総職員数は各DPAの公表資料に基づきます。必要に応じて、
DPAに直接連絡し確認や更新をしています。
4. 図「アイルランドのデータ保護委員会の予算、職員数、苦情申
⽴件数の伸び」は、アイルランドデータ保護委員会の会計報告
書、年次報告書、政府へ事前に提出された2020年予算のデー
タから作成しています。
5. 4ページ⽬から6ページ⽬の予算のグラフは、欧州データ保護委
員会による「GDPRの評価への貢献」（2020年2⽉）の28ペー
ジと29ページの数値を使⽤して作成しています。
6. 9 ページ⽬の図「 国別、主担当案件数」のデータは、EU 内部
市場情報システム （IMI） から取得しています。 IMIには、他
国の申⽴⼈からDPAが直接受けた苦情は登録されていません。
またIMIでは、複数のデータ保護案件や申⽴⼈をグループ化し
て1つに登録することもあります。したがって、ここでの数値
は、実際よりも少ない件数となっています。
7. 「主要案件を担当したDPAによる⽀出：2000年〜2020年」
は、政府の割り当て予算ではなく、各DPAの年間コストを示し
ています。 英国、ルクセンブルク、アイルランド、ドイツ
（連邦）、ノルトライン＝ヴェストファーレン州の数字は、年
次会計報告書をベースにしています。フランスのCNILは、フ
ランス政府のオープンデータプラットフォームから取得してい
ます。英国の予算は年次報告書から取得しており、ICOの年次
報告書は2004年から発表されています。英国の2003年から
2020年までのユーロベースの予算は、各予算年度の12⽉下旬
の為替レートを使⽤してポンドから換算しています。2019 年
と 2020 年の⽀出が不明な場合、欧州データ保護委員会の数値
（⽅法論４） を使⽤しています。
8. 9ページ⽬のICOの組織図は、ICOに情報公開請求して取得した
ICOの社内組織図より作成しました。
9. 本報告書の図や数字には、公共部⾨のみを担当する以下4つの
DPA機関は含んでいません。Agència Catalana de Protección
de Dades （カタロニア地⽅の公共部⾨）、Agencia Vasca de
Protección de Datos （バスク地⽅の公共部⾨）、Der
Bayerische Landesbeauftragte für den Datenschutz （バイエル
ン州の公共部⾨）、欧州データ保護機関（EU監督機関）。ま
た、リトアニアの報道機関のデータ保護を監視するŽurnalistų
etikos inspektoriaus tarnybaもこの報告書に含まれません。
10. ギリシャの技術専⾨員の数には、新しく採⽤された5⼈の技術
専⾨員を含みますが、新型コロナの影響で業務の開始が遅れて
います。
謝辞:
本報告書を作成したBraveのJohnny Ryan博⼠とAlan Toner⽒。
情報をご提供いただいたデータ保規制当局の皆さま （28か国の
DPA、ドイツの州の17DPA、EEA 3か国のDPA）。
CastlebridgeのDaragh O’Brien⽒。2020年のアイルランドのDPの政
府予算に問題があることを最初に指摘し、欧州委員会に注意を促し
てくださいました。
⽶国のシンクタンクFuture of Privacy Forum社のRob van Eijk博⼠
は、本報告書の調査⼿法に関して貴重なご意⾒をくださいました。
Eticas財団のGemma Galdon Cavell⽒には、スペインに関する有⽤
な情報をご提供いただきました。
表紙の写真はAndrea Piacquadio⽒によるものです。
注意事項：
本報告書では、技術調査と執⾏に何らかの役割を持つ職員を「技術
専⾨員」または「技術専⾨調査官」という⾔葉で定義しています。
この定義は幅広いため各DPAの判断を優先しています。この定義に
は、技術に関する政策、研究、認証も含まれています。ただし、
DPA で社内のソフトとハードウェアを管理する「社内IT」職員は含
まれません。
多くのDPAでは、データ保護監督以外に、透明性、公共部⾨のデー
タ利⽤、セキュリティなどに関する業務も実施しており、技術専⾨
職員のリソースはそちらにも振り分けられています。
⽅法論、注意事項、および参考⽂献
BRAVE | 2020 DPA report 13