参照：https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX:32009L0136

指令2002/58/EC（eプライバシー指令とも呼ばれる）は、欧州連合（EU）域内における電子通信サービスの利用を規制するものです。通信の機密性、トラフィックおよび位置情報データの処理、スパム、クッキー、セキュリティ侵害などの問題を取り上げています。これは、EUにおける個人データ保護の一般原則を定めた指令95/46/EC（データ保護指令とも呼ばれる）を補完し、より具体的に規定するものです。eプライバシー指令は、同意、クッキー、侵害通知に関する新たな規定を導入した指令2009/136/ECによって改正されました。eプライバシー指令は現在見直し中で、EU機関による交渉が続いている新たなプライバシーおよび電子通信規則（eプライバシー規則）に置き換えられる予定です。参照：指令2002/58/EC、指令2009/136/EC、[eプライバシー規則]

欧州データ保護指令95/46/ECの目的は、欧州連合内における個人データ保護のための共通法制度を確立し、域内市場における当該データの自由な移動を確保することでした。この指令は、個人データの処理が個人の基本的権利と自由、特にプライバシー権に影響を与え、これらの権利が尊重され保護される必要があるという認識に基づいています。同時に、この指令は、個人データの自由な流通がEUの経済社会発展に不可欠であり、データ保護法の調和が加盟国間の情報交換とサービス提供を促進することを認めています。したがって、この指令は、個人データの処理に関する主要な原則、義務、権利を定め、各国のデータ保護当局間の協力と調整のためのメカニズムを提供することによって、個人の権利の保護と域内市場の促進とのバランスを取ることを目指しました。参照：1995年10月24日の欧州議会及び理事会指令95/46/EC（個人データの処理に関する個人の保護及び当該データの自由な移動に関する指令）、データ保護指令 - Wikipedia

クラウドコンピューティングサービスは、インターネット経由でサービスとして提供されるコンピューティングリソース（ストレージやインフラストラクチャなど）のオンデマンド利用と定義されます。クラウドコンピューティングサービスには、オンデマンドのセルフサービス、広範なネットワークアクセス、リソースプーリング、迅速な拡張性、従量課金制サービス、マルチテナント、仮想化、回復力のあるコンピューティング、柔軟な料金モデル、セキュリティ、自動化、持続可能性など、共通の特徴があります234。
クラウドコンピューティングサービスの一般的な特徴として認識されていない特性の一つに、サプライヤーがベンダーの、サプライヤーが処理するデータに関連する事業リスクを負うという点があります。これはクラウドコンピューティングサービスの特徴ではなく、サプライヤーとベンダー間の合意に基づく契約上または法的な問題です。サプライヤーとベンダーは、サプライヤーが処理するデータに関して、管理者、処理者、サブ処理者など、異なる役割と責任を負っている可能性があり、GDPRなどの適用されるデータ保護法の下で、異なる義務と責任を負っている可能性があります。したがって、当事者間で明示的に合意されている場合、または法律で義務付けられている場合を除き、サプライヤーは必ずしもサプライヤーが処理するデータに関連するベンダーの事業リスクを負うわけではありません。

参照: https://www.itgovernance.co.uk/blog/gdpr-lawful-bases-for-processing-with-examples GDPR によると、同意は個人データを処理する 6 つの法的根拠の 1 つですが、常に最も適切なものとは限りません。同意は自由意思に基づき、具体的で、十分な情報に基づき、かつ明確でなければならず、データ主体はいつでも同意を撤回する権利を有していなければなりません 1。雇用関係においては、雇用主と従業員の間に明確な力の不均衡があるため、同意は自由意思に基づくものではないことが多く、有効な法的根拠とはなり得ません 2。さらに、同意の管理や文書化は困難であり、従業員が同意を撤回した場合に実務上の問題が生じる可能性があります。したがって、同意は従業員の個人データを処理するための最も弱い法的根拠であり、雇用主は処理の目的と必要性に応じて、契約、法的義務、生命に関わる利益、公共の任務、正当な利益などの他の法的根拠に依拠する必要があります 3。参照: 1: GDPR の第 4 条 (11) および第 7 条。 2：[EDPBガイドライン]、6ページ；3：従業員の個人データ処理の法的根拠に関するガイド。