大統領令により「情報通信技術およびサービスのサプライチェーンの安全確保」に関する国家非常事態の範囲を拡大

2024年03月01日、大統領令「懸念国による米国人の一括機微個人データおよび米国政府関連データへのアクセスの防止(2024年02月28日付公布)」が発表されました。この大統領令は2019年に公布された大統領令「情報通信技術およびサービスのサプライチェーンの安全確保」などによって示された「懸念国に対する米国のデータへのアクセス制限」の範囲を拡大しています。

主として、「米国人が、特に懸念国の外国組織または外国人の財産の取得、保有、使用、移転、輸送、輸出、または取引に従事することを禁止または制限する」規則等の作成を行政命令としています。その他、大量のセンシティブな個人データの保護のため、「海底ケーブル等の大量データ送信に用いられる設備の優先審査」なども、行政命令として発表されています。この命令に従って提案される規制案は、データブローカーなどの米国人の個人データの収集やその販売に関わる事業者に影響を及ぼします。

本大統領令の背景

(第1項に記載)

大統領府は、「米国人の機密個人データおよび米国政府関連データにアクセスしようとする特定の懸念国は、米国の国家安全保障および外交政策にとって、異常かつ並外れた脅威である。」ことから、2019年に大統領令(EO13873)「情報通信技術およびサービスのサプライチェーンの安全確保」とその追加措置である大統領令(EO14034)「外国からの敵対者から米国人の機密データを保護する」を発表し、国家非常事態を宣言していました。近年人工知能(AI)を含む高度な技術の利用により、懸念国からの脅威はさらに増大したと考え、その範囲を、表題の大統領令(Executive Order、EO14117)によって拡大しました。

本大統領令に関する主な定義

(第7項から抜粋)

本大統領令では、以下の文言などの定義付けが行われています。これら定義は、今後提案される規制案などでも使用されると考えられます。

(c) 「懸念国」(country of concern)：本大統領令に従って司法長官が決定した外国政府など

(d) 「対象者」(covered person)：関係国が所有・支配、または関係国の管轄・指示に服する事業体、そのような事業体の従業員・請負業者である外国人、関係国の公務員・請負業者である外国人、関係国の領域管轄内に主として居住する外国人

(e) 「対象となる個人識別子」(covered personal identifiers)：個人と合理的に結び付けられる、具体的に列挙された個人識別可能なデータもしくはその組み合わせ。人口統計学的データまたは連絡先データ、ネットワークベースの識別子のみリンクされているデータは含まれない。

(i) 「ヒトオミックスデータ」(human ‘omic data)：細胞内の遺伝命令を構成する核酸配列を表すヒトゲノムデータに加え、エピゲノム、プロテオミクス、トランスクリプトーム、マイクロバイオーム、またはメタボロームデータなども含む。

(l) 「センシティブな個人データ」(sensitive personal data)：国際緊急経済権限法(International Emergency Economic Powers Act、IEEPA)を含む適用法に合致する限りにおいて、対象となる個人識別子、地理位置データおよび関連センサーデータ、生体認証識別子、ヒトオミックスデータ、個人健康データ、個人財務データ、またはそれらの組み合わせ。

(m) 「米国政府関連データ」(United States Government-related data)：量に関係なく、懸念国によって悪用される危険性が高いと司法長官が判断する、機密性の高い個人(例えば軍関係者)のデータ

本大統領令の主な内容

(第2項から抜粋)

主に以下の事などが司法長官などに対して命令されています。

(a) 外国人が外国またはその国民が何らかの利害関係を有する財産の取得、保有、使用、移転、輸送、輸出、または取引に従事することを禁止または制限する規制を発行すること。

(c) 本命令の日付から180日以内に(a)項に記載された規則案を公表し、通知と一般意見を募集すること。規則案には(i)禁止される取引や(ii)制限される取引(セキュリティ要件)の特定、(iii)「対象者」の特定、(v)禁止取引または制限取引となる取引を許可するライセンスの発行、などが説明・規制される予定です。

(d) 禁止もしくは制限付き取引に関するセキュリティ要件の解釈ガイダンス等を発行すること。

(第3項から抜粋)

大量のセンシティブな個人データの保護のため、各政府機関に以下の事が命令されています。

(a) 米国電気通信サービス分野における外国参入評価委員会(Committee for the Assessment of Foreign Participation)に対して、懸念国の所有、支配、または管轄もしくは指示に服する者が所有または運営する海底ケーブルシステム、または懸念国の管轄内で終端する海底ケーブルシステムの既存ライセンスの審査開始を優先すること。

(b) 国防長官などに対して、個人健康データやヒトゲノムデータを含む、米国人の大量のセンシティブな個人データを懸念国または対象者にからの脅威から保護するためのガイダンスを作成、公表すること。

(c) 消費者金融保護局(Consumer Financial Protection Bureau、CFPB)局長に対し、データブローカー事業者の連邦消費者保護法の遵守を強化する措置を検討すること。

この命令に従って司法省より提案される規制案は、ヒトゲノムデータや個人健康データなどのセンシティブな個人データを取り扱う事業者、海底ケーブルシステムなどの情報通信に用いられるケーブルの関係事業者、データブローカーなどの米国人の個人データの収集やその販売に関わる事業者に影響を及ぼします。

参考資料

懸念国からの大量の米国人のセンシティブ個人データおよび米国政府関連データへのアクセスの防止に関する大統領令