改定版標準契約条項（SCC）を公表

欧州連合（EU）では、個人情報（データ）の保護という基本的人権の確保を目的とした「EU 一般データ保護規則（General Data Protection Regulation：GDPR）」が、2016年5月24日に発効、2018年5月25日から適用が開始されています。

さらに、2021年6月4日には改定版標準契約条項（SCC）が公表され、9月27日より改定版標準契約条項（SCC）が施行されました。これらの実施決定は、2020年7月のEU司法裁判所による、EUから米国への個人データの移転に関する枠組みであるプライバシー・シールドの無効判決を受けたもので、欧州委員会は2021年6月4日、2020年11月に発表した改定案に基づき、欧州データ保護会議（EDPB）などの意見を踏まえた上で、今回の実施を決定しました。

この改訂版は、2023年2月24日〜2023年3月24日のフィードバック期間の後に、意見を踏まえた上で、2023年第２四半期に完全実施される予定です。

EU 一般データ保護規則（GDPR)とは？

GDPRは個人データやプライバシーの保護に関して、EUデータ保護指令によって厳格に規定されています。また、EUデータ保護指令がEU加盟各国による法制化を要求するのに対し、GDPRはEU加盟国に共通の効力を持つものです。

この規則の改定は、国境を越えたケースで一般データ保護規則（GDPR）を施行する際に、各国のデータ保護当局間の協力を合理化・調整するものです。そのために、各国のデータ保護当局が国境を越えたケースで適用する行政手続きの一部を調整することにより、GDPRの協力および紛争解決メカニズムが円滑に機能することが期待されています。

EUでは、GDPRに基づき、欧州経済領域（EEA、注2）から域外国への個人データの移転を原則禁止しています。域外国への個人データの移転は、欧州委が移転国に対して行う「十分性認定」（法整備などに基づき十分に個人データ保護を講じていること）や、改定版標準契約条項（SCC）の使用など適切な保護措置に基づく場合に限り、例外的に認められています。

EU 一般データ保護規則の対象

上述したように、EUから「十分性認定」のない第三国への個人データの移転を行う場合には引き続きSCC等を使用した適切な措置が求められます。

日本はEUから2019年1月に、十分性認定を受けていることから、民間企業においては、EEA内から日本への個人データの移転時に、SCCを利用する必要はありません。ただし、EEA内から米国などの十分性認定がされていない域外国への個人データの移転を行っている企業は、新たなSCCに基づく対応が必要になります。

また、日本を含むEU域外の企業・組織によるEU所在者の個人データの取得が「移転」ではなく「処理」と評価される場合には、GDPRが適用され、第三国への個人データの移転の場合のSCC等の使用を含め、GDPRに沿った対応が必要となります。

GDPRは、EUを含む欧州経済領域（EEA）域内で取得した「氏名」や「メールアドレス」「クレジットカード番号」などの個人データを EEA 域外に移転することを原則禁止しており、現地進出の日系企業に勤務する現地採用従業員や、日本から派遣されている駐在員も含まれるため注意が必要とされます。行政罰規定があり、違反行為に対しては、高額の制裁金が課されるリスクもあります。

新たなSCCは、モジュール方式を採用し、これまでの複数のSCCを統合することで、データ移転の幅広いシナリオに対応するものとなっており、これによりデータ処理の複雑なプロセスにも対応するとともに、2つ以上の当事者が同一のSCCを利用することが可能になります。ただし、プライバシー・シールドの無効判決を反映していることから、新たな要件も追加されています。

データ移転国の当局から、個人データへのアクセス要請を受けた場合や、個人データへの直接的なアクセスを受けた場合には、データ輸入者からデータ輸出者への通知などが必要となります。

また、データ移転国の当局によるデータ開示の要請やデータへのアクセス承認などに関しては、データ移転国の現地法にについての事前調査を実施した上で、現地法に基づくデータへのアクセスが、EU法や加盟国法によりGDPRの適用を制限しうる安全保障などの目的の達成において、必要かつ比例した程度で、SCCに反しないことを保証することが求められています。さらに、必要に応じて、データの暗号化などの追加的な措置を実施しなければなりません。

参考情報

■ イニシアチブのためのエビデンスの募集