１　データ保護法1998の構造

1.1． 84年法との変化

84年法のもとでは、データ保護については「データ･ユーザー」「コンピューター･ビューロー」「データ主体」の概念のもとで論じられていました。
98年法においては、基本的な構造は、維持されたのですが、用語法が異なり、また、基本的な定義および要件について変更がなされています。特に84年法では個人データの処理は、事前に登録局に登録しておかなくてはならず、そして、それが法制の適用の前提条件となっていたのですが、このリンクは98年法で断ち切られています。

1.2.  98年法の構造

98年法の構造を図示すると、以下のようにまとめることができます。

すなわち、データに関連して、データを管理する者と個別にデータを処理する者は、データ保護８原則に従わなくてはなりません。そして、データ主体は、そのデータについてコントロールする具体的な権限を有することになります。それらを監督するために独立の情報コミッショナーが執行の役割を担い、裁判所が一定の役割のもとそれに関与するというものです。
以下において、この仕組みを詳しくみていくことにしましょう。
なお、98年法は、6部(75条)と16の附則からなり立っています。
「序」において、「センシティブ個人データ」「データ保護原則」「法の適用」「コミッショナーおよび審判所」などの基本的な概念が説明されています。
「データ主体の権利など」(2部)において「個人データへのアクセス権」「差止請求権」「訂正･抹消請求権」などがさだめられています。
「データ管理者の通知」(3部)においては、「登録なしの処理の禁止」「変更の通知義務」「犯罪」「コミッショナーの事前評価」などが定められています。
4部は、「例外」規定となり、5部は、「執行」の規定となっています。
6部においては、「コミッショナーの機能」「個人データの違法取得」「データ主体のアクセス権のもとで取得された記録」などについての規定がおかれています。

2 主体･客体

2.1.主体

98年法に関するデータ保護をめぐる当事者としては、従来の「データ･ユーザー」「コンピューター･ビューロー」「データ主体」の用語に取って代わって「データ管理者」「データ処理者」「データ主体」の用語が用いられることになりました。この点について、以下、詳述します。

(1)「データ管理者(data controller)」

84年法においては、データの内容及び使用についてコントロールできる当事者を「データ･ユーザー」としていたが、98年法における「データ管理者」は、内容において、ほとんど変化がありません。
そこでは、データ管理者は、「(単独で、または、共同し、または、他の者と共同して)個人データのあり方、または、処理の目的および手法を決定」するものをいうとされています。
具体的には、ビジネスに関するすべての記録を管理しているビジネス人を例にあげることもできます。彼が、そのデータを会計士にデータを渡して処理を依頼すれば、データ管理者とされます。また、会計士自体もデータの管理を維持する点でデータ管理者と考えられます。

(2)「データ処理者(data processor)」

84年法における「コンピューター･ビューロー」に代えて「データ処理者」が用語として用いられるようになります。「データ処理者」は、「データ管理者のためにデータを処理するもの(データ管理者の被傭者以外のもの)」をいいます（98年法第1条(1)項)。
84年法において「コンピューター･ビューロー」は、活動の詳細についての登録をなすことなどが要求されました。
これに対して、98年法では、適切なセキュリティ要件を満たすためにデータ管理者に対して負担が課せられることになりました、その一方で、「データ管理者」は、通知要件(第17条)に従うものではありません。
データ管理者が、セキュリティに関して十分な保証を提供しうる処理者を選択する責任があります。そして、この際には、書類による契約がなされなくてはならないとされています。

(3)「データ主体」(data subject)

データ主体という用語は、1984年法と相変わらずであり、そこでは、「個人データの主体である個人」と定義されています(同法第1条(1)項)。
データ主体のもっとも重要な権利は、疑いもなく管理者により保管されているデータに対するアクセス権であり、それらの誤りに対する訂正要求権です。

2.2.客体等

データ保護法における重要な概念としては、「データ」「個人データ」「処理」などがあります。それらのうち、特に重要な用語について若干の説明をなすと以下のようになります。

(1)「データ」（data）

98年法において、「データ」は、
「(a )処理目的の指示に従って自動的に処理する設備の手段によって処理される
(b)上記の設備によって処理される目的をもって記録される
(c)関連するファイルシステムの部分または、それを構成する意図をもって記録される」
情報と定義されています。
ここでは、データが自動的に集積しただけでは、98年法の適用対象にはなるものではなく、自動的に処理する意図を有したときに初めて適用対象となるとされているのである。また、(c)によって、マニュアルレコードに対して適用が拡張されることになったのである。

(2)「個人データ」（Personal data）

データから個人が識別されないのであれば、プライバシーに対する侵害や法制化の正当性というのは、考えがたいことになります。
そうだとすると、逆にどのような情報をもって個人を識別させる情報というかということが重要になります。
EU指令では、
「（ａ）『個人データ』とは、識別できる、又は識別できない自然人（データの対象者）に関する全ての情報を意味するものとする。識別できる人物とは、特に身元確認番号の参照によって、又はその人物の肉体的、生理的、精神的、経済的、文化的、経済的アイデンティティーによって、直接又は間接に識別することができるものを意味する。」
と定義されています(同第2条(a)項)。
98年法においては、この実装のために
「『個人データ』は、
(a )それらのデータから
または、
(b)それらのデータおよびデータ管理者の保有する、または、その保有することになるであろう他の情報から
生活する個人を識別することができるのに関連するデータを意味し、個人の意見の表現、個人の観点からするデータ管理者または他の者の何らかの意図の表現を包含する」と定義されている。
この概念は、識別可能性と識別性の二つの概念をカバーするとされています。識別可能性については、何人であるか追跡ができうることをいい、識別性は、「日常の用語でいえば、名前と住所を知ることで達成される」とされています。
「何らかの意図の表現を包含する」という部分ですが、84年法においては、データについては、「事実データ」「意見データ」「意図データ」の3種があり、そのうち、データ･ユーザーの意図については、これを除外すると定義されていました。
が、98年法においては、「意図データ」についても、これを含み、保護の対象とされることになりました。
もっとも、「意図データ」として、従来は、「解雇しようと考える」とか「エクゼクティブの器ではない」などのキャリアについての個人記録があげられていたのですが、98年法においては、「マネジメント予測」の定義のもと例外規定が設けられています（附則７条）。
でもって、この概念の識別可能性と識別性というのは、重要な考え方になるので、別のエントリで、分析するのがいいかと思います。

(3)「センシティブ･データ」（sensitive  data）

84年法においては、人種的出自、政治的信条、宗教ないしは信条、肉体的または精神的健康、性生活または刑事宣告に関するデータについてデータ保護原則を強化する規制をなす権能を準備ていました。しかしながら、この権能は用いられませんでした。
98年法は、センシティブ･データについての取扱を法制の中心とし、他形式のデータの場合よりも、処理についてさらなる要求に従わせることとしました。
98年法におけるセンシティブ･データの定義は、
(a )データ主体の人種的･民族的出自
(b)政治的意見
(c)宗教的信念またはそれに類似する信念
(d)労働組合のメンバーであるか否か
(e)肉体的または精神的健康ないしコンディション
(f)性生活
(g)犯罪についての前科･前歴･容疑
(h)犯罪についての手続き、または、被疑事件についての手続き、その手続きにおける処理または手続きにおける裁判所の宣告
とされています。
これらのセンシティブ･データについては、「明確な同意」「雇用についての必要性」「重大な利益」「特別団体による処理」「パブリック･ドメイン」「法的手続きおよび裁判権の行使」「医学目的のための処理」「民族的モニタリング」「国務大臣の命令」などの場合において、一定の条件のもとに処理が認められているにすぎないのです。

(4)「処理(processing)」

EU指令も98年法も、特定の主体に関連して処理することを必要とはしていません。定義としては広いものであるということができます。
処理行為とは、
「情報またはデータの取得、記録、または保持、もしくは、データについての操作の実行または操作のセットをいい、以下の
(a )情報またはデータの組織化、適合、変更
(b)情報またはデータの検索、調査 、使用
(c)送信、拡散、またはその他の利用可能にする行為による情報またはデータの開示
(d)情報またはデータの整列、合成、妨害、消去または破壊を含む」
と定義されています(98年法第1条(1)項)。
この定義は、きわめて広いもので、すべてのデータに対する操作が含まれるとされています。