具体的なデータ保護の原則について見ていきましょう。
1 8つの原則
英国98年法における個人データ保護の原則は、以下のようなものです。
(1)個人データは、公正かつ合法的に処理されるものとし、とくに、個人データは、附則2条の最低でも1つの条件を満たし、かつ、センシティブな個人データの場合には、少なくても附則3条の条件の最低でも1つの条件を満たした場合でなければ処理されない。
(2)個人データは、1つまたは2つ以上の特定された合法的な目的に限り取得されるものであり、かかる目的に矛盾する方法により処理されない。
(3)個人データは、目的に関して、適切、関連するものであり、過度であってはならない。
(4)個人データは正確で、必要な場合は最新のものに更新される。
(5)ある目的のために処理された個人データは、かかる目的のために必要な期間を超過して保存されない。
(6)個人データは、同法に基づくデータ主体の権利に従って処理される。
(7)個人データの無権限または不法な処理、個人データの紛失、破損、損傷に対して、適切な技術的・組織的手段が講じられる。
(8)欧州経済地域以外の国等において、個人データの処理に関してデータ主体の権利及び自由のための適切な保護レベルが保障されていない場合は、係る国等に個人データを移転しないものとする。
なお、84年法においても、8つの原則が定められていました。比較すると、処理の概念が広まり、獲得および開示が含まれたために、非開示原則が消えています。その一方で、トランスボーダーへの移転禁止原則が設けられているために原則の数自体は8で変わらないままになっています。
また、この二つの違いとしては、84年法の原則が、登録局と登録したデータユーザーの問題であったのに、98年法では、登録局に対する登録と、処理の適法性というリンクが切れているということと、98年法においては、「公正な処理」についての解釈論が進んできており、それを反映しているということがあげられています。
2 原則の基本概念と84年法との比較
ドイツにおける「情報の自己決定権」の概念が、98年法の基本的なアプローチになっていると評されています。
84年法においては、データ･ユーザーが、行為の詳細を登録していたかということが、処理の実質的な側面について適法な処理か否かという唯一の判断基準でした。98年法の附則2条は、この状況を変えています。
附則3条は、管理者が、センシティブ･データを処理しようという場合において、より制限的な規定を満たさなければならないという規定を含んでいます。さらに98年法は、個人に特定のデータ処理について、特にダイレクト･マーケッティングの目的のために用いることに対して異議を唱える権利を認めています。
3 「公正かつ合法的に処理」 (第1原則)
附則2条は、「個人データは、公正かつ合法的に処理されるものとし、とくに、個人データは、附則2条の最低でも1つの条件を満たし、かつ、センシティブな個人データの場合には、少なくても附則3条の条件の最低でも1つの条件を満たした場合でなければ処理されない。」として適法な個人データの処理のために必要な条件を述べています。
84年法においてはデータ保護の原則の第１原則はデータの取得行為と処理の行為について別々に言及していました。すなわち第１原則はデータの取得についてのみ関するものであり、データ保護審判所は、2つの行為における区別を見出し、行為が適正か否かを決定するのにあたって異なった要因が影響するとしていました。これにたいして、98年法とEU指令においては、データは「公正かつ適法に」「処理」されなくてはならないと定めています。
「適法に」という用語の定義は、「公正に」という用語の含む意味と比較して、定義しやすいといえます。すなわち、制定法に違反してなされる処理は、「適法に」処理されるとはいえないということになります。また、「適法性」の問題を惹起する具体的な例として、「コモンロー違反」「機密性(コンフィデンシャリティ)違反」「権限ゆ越(ウルトラ・バイレェス)」「契約違反」などがあげられます。
個人データは、適法に取得されたかどうかを基準とするほうが直接的なものですが、98年法もEU指令も、「公正」基準をも必要であるとして、より主観的な問題を、この点について提起しているということができます。
98年法は、「データが取得される方法について、取得される本人が、データ処理の目的について欺罔を受けたり、誤解させられたりすることがないこと」という基準を準備しデータが公正に取得されたかどうかを決定するようにしています。
「公正に」という意味は、解釈に問題を含みがちであるということができますす。そして、98年法において、最も解釈論が発展したところということができよう。
コミッショナーのガイドライン(1994)によれば、公正性の判断基準としては、「コモン・マン」の視点に立つのであり、その結果、データユーザーが、不公正な処理をしているつもりがなく、そして、その認識をしていなくても、不公正な処理は起こりうるということになります。
また、名前を含む情報は、データ主体が、データの使用について十分に情報を得ているときであっても、公正性のためには十分でなく、それに加えて、特定の処理に対して異議を直ちに唱える権利が与えられなくてはならないとされています。
4 「公正かつ適法に取得」 (第2原則)
第２原則は、「個人データは、1つまたは2つ以上の特定された合法的な目的に限り取得されるものであり、かかる目的に矛盾する方法により処理されない。」としています。そして、第2原則は、データの処理の目的については、データ主体に対する「適時の通知」ないしはコミッショナーに対する通知によって特定されることになるのです。
この「適時の通知」については、英国では、Innovations (Mail Order)対データ保護登録局事件において、通信販売の業者は、電話などでの販売に際しては、事前にデータ・ブローカーにデータが渡されることについて承諾を得ていない場合には、「適時の通知」とはいえないとされています。
データの使用および開示についての特別の規定は、存在しませんが、この第2原則が、相当するものと考えられます。「開示」という概念は、「処理」という概念に包括されると考えられています。したがって、この原則を解釈する際には、「個人データの開示が、データの取得された目的と両立しうるか否かを決める際には、開示された者により個人データが処理されようと意図された目的に注意が払われなければならない」という点が顧慮されて、合法性が決められることになります。
結局、実質的には、84年法の非開示ルールと釣り合うことになります。実質的にこの規定が例外が認められていて、98年法も、「同意」「重大な利益」「犯罪捜査･課税」などの例外を認めています。
もっとも、この第２原則については、必要性について疑問があるという見解がある 。というのは、第１原則において、すでにデータ管理者が、データ主体に対して、データ処理の目的について、通知していることを要求しているのである。特定された情報の提供なしの処理は、不公正だと認識されるのであり、第２原則に違反するだけではなくて、第１原則にも違反するものと認識されるのである。
5 「取得された情報の関連性およびスケール」 (第3原則)
第3原則は、「個人データは、目的に関して、適切、関連するものであり、過度であってはならない。」として、データは、「適切、関連あり、過度でない」ことが必要とされています。
これは、EU指令において用いられている用語と同一であり、また、84年法にも同様な用語があります。 84年法のもとでは、人頭税の登録局が、不動産の種別（フラット、バンガロー、キャラバンなど）のデータを保持するのが、妥当かが争われた事案があります 。 この原則について、データ管理者が、幾人かにしか関連して用いられず、または有用でないデータを保持しているとしたら、それは、過度で、関連性のないものとなるとされています。また、データがどのように利用されるか審査されず、将来、有用になるかもしれないという根拠でデータを保有する場合も許容さないことになります。それゆえ、データを収集する様式も定期的に見直されなければならず、また、必要であれば再構築されて、適切な情報の量とタイプが得られる様になされなければならないのです。
6 「正確性およびデータの最新性」 (第4原則)
第4原則は、「個人データは、正確で、最新でなくてはならない」ということです。これは、８４年法の第５原則と同じです。
情報は、不正確（incorrect）であるか、または、事実について誤解を生じるときに情報は不正確（inaccurate）とされます（第７０条２項）。したがって、単なる意見は、事実の叙述を有しない場合には、この不正確さを理由として問題にされることはありません。
個人データが不正確なときにデータ主体は、訂正を求めることができ、一定の事件においては、与えられた損害または心痛に対して、損害賠償が支払われます。
もっとも、何をもって虚偽というかは問題がある。そして、第4原則については「データ管理者が、目的に関連して、データの取得および処理について、データが正確であるように合理的なステップを踏んでいる場合」もしくは、「もし、データ主体がデータ管理者にデータ主体のデータが不正確であるという見解を伝えて、その正確性に関するデータ主体の見解が記録されている場合」において、データ主体もしくは第３者から、正確にデータ管理者が個人データを記録している際は、この正確性の要求に反するものではないと解されている。ようするに、98年法は、管理者に信頼に足りるというソースからデータを確認する義務を課するのみではなく、現実的に情報を検証するための適切なステップを採用するように義務づけているのである。
また、最新性の要素については、98年法において、特段に拡張されたということはない。この点については、情報の性質とその目的によって、アップデートの必要性が定まってくるとされている。
7 「適切な期間」(第5原則)
第5原則は、「データは、目的のために必要な期間以上に保管されない」としています。これも、８４年法の第６原則と同じです。
EU指令においては、これらに対応する表現があるが、若干異なっています。EU指令の6条(1)(e )は、「データが収集された目的、又はそれが処理される目的のために必要なだけの期間、データの対象者の特定が可能な形式で保存すること。」と定めていて、この定めは、データ管理者に、より広範な裁量を与えているように思えます。この点については、EU指令においても、98年法も拡張をなしていませんが、特定の期間にわたり管理をすべき義務があると解されています。
84年法のもとでデータ保護登録官が、「データユーザーは、個人データを定期的に見直し、もはや必要ではなくなった情報を削除すべきこと」「かなりの量の個人データを保持しているデータユーザーは、データ消去のシステム的な消去ポリシーを採用すること」「個人データが、データ主体とデータユーザーの関係に基づいて記録されたのであれば、その情報を保持する必要性は、その関係が消滅した際に検討されるべきである」という内容のアドバイスをしていたのですが、実質的には、この原則の内容を明らかにするものとして注目されるでしょう。
８ 主体の権利についての原則（第６原則）
第６原則は、「個人データは、同法に基づくデータ主体の権利に従って処理される」というものである。ここでは、この原則が、データ主体の権利として認識されている点が特徴となる。詳細は、別のエントリで紹介します。
９ データ･セキュリティ(第7原則)
第7原則は、「個人データの無権限または不法な処理、個人データの紛失、破損、損傷に対して、適切な技術的・組織的手段が講じられる。」というものです。ＥＵ指令において、同指令17条(1)が、「特に、処理がネットワーク上でのデータの伝送を伴う場合、及びその他の全ての不法な処理形式に対して、管理者が個人データを不慮の又は不法の破壊、不慮の損失及び無許可の変更、開示又はアクセスから保護するために、適切な技術的及び組織的措置を取らなければならない」としており、これに匹敵するものと考えられます。登録官は、物理的セキュリティ、コンピューターシステムのセキュリティ手段、被傭者のトレーニングおよび監視のレベル、データ及び器具の処理方法などのデータ･セキュリティに関連する種々の事情を明らかにしています。また、ECは、92年に「情報システムセキュリティ分野における決定」 を採択していますし、また、データ登録官は、97年11月には、BS7799を特に参照したコンサルテーションペーパーを公表しています。
10 適切なレベルの保護を持たない領域へのデータ移転禁止(第8原則)
第8原則は、個人データは、データ主体の権利および自由についての「適切な」保護のレベルを確保していない限りは、そのような国家または領域に対する個人データの移転を許容しないというものである。
８４年法の第１２条は、データ保護原則と衝突する、または、そうなるであろう地域に対するデータの移転に対して、データ保護官が、登録されたデータユーザーに対して、その移転の禁止の通知をなす事ができると定めていた。もっとも、その運用においては、１件の通知がなされたにすぎなかった。９８年法の目的も８４年法ととても類似しており、その法域をデータが出る際にもデータ保護原則を守るべきであるというものである。しかしながら、その重点は、大変異なっているとされています。特に、わが国において、かかる観点は、きわめて興味深いものと考えられるで、この越境データ流通については、エントリを変えて触れることにしましょう。
