【報告】GDPR: アクセス権行使が「過剰」とみなされるのはデータ主体の濫用的意思を証明できた場合と判断

2025年10月2日　どこの国にも制度を悪用して金銭を得ようとする人はいる。意図的にメールマガジンに登録後わずか2週間で権利行使を行い、拒否されたために1000ユーロの損害賠償を求めた人物への対応をどうするべきか争われた事例である。GDPRに基づくアクセス権行使が「過剰」とみなされるのは、管理者がデータ主体が濫用的意思を持って行動したことを証明した場合に限られる。例えば、データ処理に同意したのはアクセス権行使を行い後に損害賠償を請求するためだけだった場合などだ。単にデータ主体が他の事例でも同様の請求を行ったことを示すだけでは、悪意を立証するには不十分である。GDPR 第82条に基づく賠償は、違法なデータ処理に限らずあらゆる違反に対して適用される。ただしデータ主体が、個人データに対する管理権喪失といった非物質的損害を含む実際の損害を実証できる場合に限る。最終的に1000ユーロの損害賠償が認められるかはドイツの裁判所に委ねられた。