EU-USデータプライバシーフレームワークの十分性認定
アンダーソン・毛利・友常法律事務所*
弁護士 中 崎 尚
１ EU-USデータプライバシーフレームワークとは
2023年7月10日、欧州委員会は、EUから米国への個人データの越境移転のためのデータプライバシーフレームワーク（Data Privacy Framework（以下「DPF」 という。））に対する十分性認定（以下「本十分性認定」という。）を公表した。[1]本十分性認定は、「EU一般データ保護規則（General Data Protection Rules）」（以下「GDPR」という。）が適用される個人データの処理に関連して、DPFに登録した米国の事業者への個人データの越境移転を認めるものであり、翌日7月11日より施行されている。その後、米国商務省は、同年7月17日には、DPF登録を希望する企業の自己認証手続をスタートしている。[2]
２ EUから米国への個人データの越境移転をめぐる歴史
⑴ セーフハーバー
EUでは、EU域内の個人データ保護を規定する法として、「EUデータ保護指令（Data Protection Directive 95）」が1995年から2016年まで、2016年以後はGDPRが適用されている。前者の時代から、EU域内からEU域外への個人データの越境移転規制が設けられ、EUによる十分性認定を受けていない国への移転は、一定の要件を充足する場合を除いて認められない。
米国への個人データ移転に関しては、十分性認定はなされていないものの、経済的重要性にかんがみて、協定により特別な枠組みが設けられてきた。従前は、セーフハーバーという枠組みが取られてきた。これは、米国企業の監督は、米国側に任せ、EU側は直接は口を出さない、という枠組みであったが、3.11以降のテロ対策の一環として、米国政府による個人データ収集が盛んになったこともあって、EUが米国政府に疑いの目を向けるようになっていった。スノーデン事件で米国の情報機関の情報収集が暴露されたことで、見直しの機運が高まり、最終的には、米国側の運用が、EU側と合意していた水準に達していなかったとして、2015年10月に欧州司法裁判所（CJEU）により、セーフハーバーの枠組み自体が無効であると判断されるに至った（Schrems I事件）。[3]
⑵ プライバシーシールド
欧州司法裁判所がセーフハーバーを無効と判断する決定を下したことは、EEA域内から米国への個人データ移転がこれまでのように無条件ではできなくなってしまったことを意味していたため、一時は、グローバルな個人データの流通に大きな影響が出るのではないかと危惧された。EUと米国は影響を最小限化するためにも協議を急ぎ、2016年2月には新たな枠組みであるプライバシーシールドに関して大枠の合意に至り、2016年8月から本格的に始動した。これによりプライバシーシールドに参加した米国事業者への個人データの移転は、追加手続なしに行えるようになり、ひとまずの解決を見た。しかしながら、2020年7月、欧州司法裁判所は、米当局による監視プログラムなどを理由として、今度は、プライバシーシールドを無効とする決定を下した（Schrems II事件）。[4]
二度にわたる無効決定後、なかなか次の移転枠組みができなかったため、米国への越境移転の多くは、Standard Contractual Clauses（標準契約条項、SCC）に依拠して行われていたが、SCCは単に当事者が締結すれば足りるというものではなく、越境移転影響評価（Transfer Impact Assessment）および、必要に応じて補完的措置（supplemental measures）を実行する必要があることが、Schrems II事件でも厳しく指摘されていたことから、移転元の事業者への負担は重くなっており、新たな枠組みを求める声が高まっていた。
この記事はプレミアム向け有料記事です
ログインしてご覧ください
（なかざき・たかし）
アンダーソン・毛利・友常法律事務所外国法共同事業スペシャルカウンセル。東京大学法学部卒、2001年弁護士登録（54期）、2008年米国Columbia University School of Law (LL.M.)修了、2009年夏まで米国ワシントンD.C.のArnold & Porter法律事務所に勤務。復帰後は、インターネット・IT・システム関連を中心に、知的財産権法、クロスボーダー取引を幅広く取扱う。日本国際知的財産保護協会編集委員、経産省おもてなしプラットフォーム研究会委員、経産省AI社会実装アーキテクチャー検討会作業部会構成員、経産省IoTデータ流通促進研究会委員、経産省AI・データの利用に関する契約ガイドライン検討会委員、International Association of Privacy Professionals (IAPP) Co-Chairを歴任。2022年より内閣府メタバース官民連携会議委員。
＜事務所概要＞
アンダーソン・毛利・友常法律事務所外国法共同事業は、日本における本格的国際法律事務所の草分け的存在からスタートして現在に至る、総合法律事務所である。コーポレート・M&A、ファイナンス、キャピタル・マーケッツ、知的財産、労働、紛争解決、事業再生等、企業活動に関連するあらゆる分野に関して、豊富な実績を有する数多くの専門家を擁している。国内では東京、大阪、名古屋に拠点を有し、海外では北京、上海、香港、シンガポール、ホーチミン、バンコク、ジャカルタ等のアジア諸国に拠点を有する。
＜連絡先＞
〒100-8136 東京都千代田区大手町1-1-1 大手町パークビルディング
* 「アンダーソン・毛利・友常法律事務所」は、アンダーソン・毛利・友常法律事務所外国法共同事業および弁護士法人アンダーソン・毛利・友常法律事務所を含むグループの総称として使用