EUから米国への個人データ越境移転枠組み（EU-U.S. Data Privacy Framework）に対する十分性認定

GDPRに基づく十分性認定の概要

1. 十分性認定の概要

　欧州一般データ保護規則（GDPR）では、EU域外への個人データの移転は、原則として禁止され、例外的に、GDPR第5章に定める要件に従った場合のみ適法に行うことができるとされています。

　このように、十分性認定は、GDPRに基づいて個人データを適法に越境移転するための枠組みの一つです。具体的には、欧州委員会がデータ移転先の国・地域について十分なレベルの個人データ保護を保障していると決定した場合、EU域内における個人データの移転と同様に、当該国・地域に個人データを移転することが可能となります。すなわち、当該国・地域に対しては、当事者が十分性認定の根拠となった法令等（本十分性認定においては、DPFの要求事項）に従う限り、追加的な措置を講じることなく個人データを移転することができることを意味します。

　十分性認定は、当該第三国（移転先国）が、十分なデータ保護の水準を確保しているかどうかによって判断されます。十分なデータ保護の水準かどうかは、必ずしもGDPRが定める要求事項と同じである必要はなく、本質的に同等の保護レベルを確保しているかどうかによって判断されます（essentially equivalent test）。

2. 十分性認定における考慮要素としてのガバメントアクセス

　十分性認定においては、第三国（移転先国）の法制度上、ガバメントアクセスからデータ主体（個人）が十分に保護されるかどうかが考慮要素の一つとされており※4、米国との関係では、特に、この点が十分性認定の有効性に関する論点の一つとされてきました。その契機の一つは、2013年の元CIA職員エドワード・スノーデン氏による機密文書の暴露以降、ガバメントアクセスから個人データを保護することへの関心が高まったことにあります。以下においてご紹介するとおり、DPFの前身であるプライバシーシールドが無効とされた理由も、このガバメントアクセスの論点に関係しています。

本十分性認定に至る経緯

1. 本十分性認定に至る経緯（プライバシーシールド無効判決）

　2020年7月、欧州司法裁判所（CJEU）は、DPFの前身であるプライバシーシールドに関する十分性認定を無効と判断しました（SchremsⅡ判決）※5。その主な理由として、米国の法令が、①米国政府によるガバメントアクセスを必要かつ相当なものに限定するための措置が十分に講じられていないこと及び②EUの個人に対するガバメントアクセスからの法的救済メカニズムを十分に整備していなかったことが挙げられています。SchremsⅡ判決以降、EUから米国への個人データの移転に際しては、十分性認定に依拠することができないこととなりました。

　SchremsⅡ判決を受けて、EUと米国の間では、上記①・②への対応を中心に議論が重ねられ、2022年3月、上記①・②に対応するための措置を含むDPFの大枠について基本合意が成立しました※6。その後、基本合意で示された上記①・②に対応するための措置を具体化すべく、米国において大統領令が署名され、欧州委員会によって本十分性認定が採択されました。

2. SCCによるEUから米国への個人データ移転

　SchremsⅡ判決以降、EUから米国への個人データの移転に際しては、十分性認定に依拠することができないこととなったため、越境移転の適法化根拠のうちSCCが利用されることが多くなりました。他方で、SchremsⅡ判決により、EUから米国への個人データのSCCに依拠した越境移転は、移転影響評価（Transfer Impact Assessment、以下「TIA」といいます）を実施し、ガバメントアクセスから個人が十分に保護されないと評価された場合、「補完的措置」（additional safeguards）を講じなければならないこととされました。同判決は、補完的措置の内容に言及しなかったため、2021年6月にEDPB（EU各国のデータ保護当局のメンバーから構成されるデータ保護会議）がガイダンス（Recommendations※7）を出すなどしましたが、EU域内の各国のデータ保護当局から、補完的措置が十分でないと判断されて処分されるリスクが残されていました※8。

本十分性認定の概要

　本十分性認定では、「米国は、EUからDPFリストに含まれる米国企業（DPF認証企業）に対して移転する個人データに対し、十分な保護レベルを確保している」と結論づけています※9。これにより、本十分性認定が採択された2023年7月10日から、EUから米国に個人データを移転する事業者は、十分性認定に依拠して適法に移転することが可能となりました※10。

　また、同年7月19日、EDPBは、「十分性認定採択後のGDPRに基づく米国へのデータ移転に関するinformation note」（以下「Information Note」といいます）を採択し、本十分性認定が対象とする範囲やDPF認証企業以外の米国企業に移転する際の留意点等に関する情報を提供しています。

　本十分性認定は、日本に対する十分性認定等と異なり、EUからDPF認証企業である米国企業に移転する場合にのみ依拠できる点に特徴があります※11。また、本十分性認定では、ガバメントアクセスに対する保護を強化するための大統領令の内容が参照されています。以下、DPF及び大統領令についてそれぞれ説明します。

1. DPF

　DPFとは、企業がDPFのData Privacy Framework Principles（以下「Principles」といいます）をはじめとする義務への適合を自己認証することによって参加できる、企業認証システムです。DPFへの参加を意図する米国企業は、Principles（利用目的制限、データの最小化原則を含みます）をはじめとする義務への遵守を約束し、Principlesへの遵守をプライバシーポリシー等に反映することでDPFに参加することができ※12、米国商務省（DoC）は当該企業をDPFのリストに登録します。Principlesの遵守状況については、連邦取引委員会（FTC）による調査・監督に服し、DPF認証企業によって権利を侵害されたと主張するEUの個人は、法的救済を受けることができます。

2. 「米国のシグナルインテリジェンス活動の保護措置を強化するための大統領令」（EO14086）

　十分性認定における評価、とりわけ米国インテリジェンス機関によるデータアクセスに対する保護については、EUと米国の基本合意に基づき2022年10月に署名された「米国のシグナルインテリジェンス活動の保護措置を強化するための大統領令」（EO14086）※13に依拠しています。この大統領令は、SchremsⅡ判決で指摘された点（上記「本十分性認定に至る経緯」の1．①・②参照）に対処するための大統領令です。具体的には、以下の拘束力ある措置を含んでいます。

• 米国インテリジェンス機関によるアクセスを国家安全保障上必要かつ相当な範囲に制限すること
• 米国インテリジェンス機関の行為に対する監督の強化
• 独立のデータ保護審査裁判所※14（Data Protection Review Court：DPRC）の創設を含む、EUの個人が利用可能な独立かつ公平な救済手段を確立するための多層的な救済メカニズムの創設※15

　上記の措置は、DPFが保有するデータであるか否かに限らず、米国インテリジェンス機関によるデータアクセス一般に適用されます。

　なお、本十分性認定に有効期間の定めはありませんが、発効から1年以内に欧州委員会によるレビューに服することとされています。一般に、十分性認定は、欧州委員会が破棄するまで有効性が維持されますが※16、欧州司法裁判所も欧州委員会の十分性認定の有効性を判断する権限を持っています。

本十分性認定による企業への影響

1. 本十分性認定による企業への影響

(1) 十分性認定に依拠した米国への移転への影響

　十分性認定により、個人データをEUから米国に移転している企業にとっては、DPFを利用することにより、米国に個人データを適法に移転する新たなルートが追加されたといえます。特に、DPFに依拠してEUから米国への個人データを適法に移転する場合、SCCに依拠する場合と異なり、事業者において高コストのかかるTIAを実施することなくEUから米国へ個人データを適法に移転することができるメリットがあります。

　他方で、欧州委員会による十分性認定によって、本フレームワークの有効性が完全に保証されるものではなく、今後、欧州司法裁判所が無効と判断する可能性が完全に否定されたわけではありません。現に、セーフハーバールール及びその後継であるプライバシーシールドが次々と無効化されてきた経緯を考えると、今回のDPFについても、同様に欧州司法裁判所における司法判断に服する可能性は否定できません。また、SchremsⅡ判決の原告が、DPFについて、将来の訴え提起を示唆している点も踏まえると※17、今後の動向を注視する必要があります。

(2) SCCに依拠した米国への移転への影響

　既に述べたとおり、現状、SCCに依拠した越境移転は、TIAを実施した上で、「ガバメントアクセスから個人が十分に保護されない」と判断される場合、「補完的措置」を講じる必要があることとされています。ここでいう「補完的措置」の内容については、EDPBのRecommendationsや改訂版SCCの条項を踏まえても、実務的にどこまで対応すれば良いかについては一義的に明らかでなく、さらに、EU域内の各国のデータ保護当局から、補完的措置が十分でないと判断されて処分されるリスクが引き続き残されていました。

　他方で、本十分性認定に先立って成立した大統領令（EO14086）は、DPF認証企業が保有するデータであるか否かに拘わらず、米国インテリジェンス機関によるデータアクセス一般に適用されるため、SCCに依拠して移転された個人データへのガバメントアクセスにも適用があります。したがって、当該大統領令（EO14086）によって米国でのガバメントアクセスと個人データ保護とのバランスが図られた点を、TIAにおいて考慮することができ※18、その結果、米国への移転に関しては、補完的措置を講じる必要がないと評価できる可能性があります。

　DPFとSCCに依拠したEUから米国への個人データ移転の違いをまとめると、以下のようになります。

2. 日本企業への影響

　少なくともEUから日本への個人データ移転、例えば、EUに所在する子会社の従業員データを日本の親会社に共有する場合については、日本とEU間の十分性認定に依拠できるため、越境移転時の適法化根拠は通常問題にならないと思われます。

　一方で、EUに所在する子会社の個人データが米国に移転される場合、日本とEU間の十分性認定に依拠することができないため、GDPRが定める越境移転時の適法化根拠が問題となりえます。想定されるケースとしては、例えば、以下が挙げられます。

　これまでSCCに依拠してEUから米国へのデータ移転を行っていた場合に、委託先の米国企業が本十分性認定によってDPFに参加することとなった場合には、越境移転の適法化根拠に変更が生じることとなるため、プライバシーノーティスの見直しが必要になる可能性があります※20。また、SCCに依拠する場合に必要とされていた補完的措置については、大統領令（EO14086）の成立によって見直しが必要になる可能性があるため、あらためてTIAを行い、補完的措置の内容を検討することが考えられます。