2024 年 4 月 10 日

米国におけるデータプライバシー保護に関する大統領令について
中曽根平和研究所主任研究員

細井宏泰
はじめに米国バイデン大統領は、2024 年 2 月 28 日、「懸念国による米国人の機微な個人データおよび米国政府関連データへのアクセス防止に関する大統領令 (EO14117)1」に署名し、司法長官に対して大量の米国人の個人情報を懸念国へ移転することを防止する権限を付与するとともに、懸念国による米国人の機微なデータへのアクセスに対する予防措置を講じることによって、米国人のデータプライバシーの保護を強化するよう指示している。
大統領令は、米国人のデータプライバシーの保護に関するこれまでで最も重要な取り組みであるが、デジタル領域におけるデカップリングをもたらす可能性がある。DFFT（Data Free Flow with Trust：信頼性のある自由なデータ流通）を推進する我が国としても今度の動向を注視する必要がある。

1. 方針
大統領令は、米国の国家安全保障に容認できないリスクをもたらす可能性がある場合、米国人の大量の機密な個人データ および米国政府関連データへの懸念国によるアクセスを禁止または制限している。同時に、米国は引き続き、オープンでグローバル、相互運用可能で信頼性が高く安全な越境データ流通を支持することも明確にしており、司法長官に対して、データの米国内での保存要件を設けることを禁止している。

2.大統領令の概要
大統領令が具体的に規定しているのは、以下の 6 つの事項についてである。
(1) 司法省は、懸念国2によるアクセスや悪用から米国人の機微な個人データ等を保護するための明確な規則を制定(2) 司法省は、機密性の高い政府施設の位置情報や軍人の情報等、政府に関する機密データの保1

大統領令（https://www.whitehouse.gov/briefing-room/presidential-actions/2024/02/28/executiveorder-on-preventing-access-to-americans-bulk-sensitive-personal-data-and-united-statesgovernment-related-data-by-countries-of-concern/）及びファクトシート（https://www.whitehouse.gov/briefing-room/statements-releases/2024/02/28/factsheet-president-biden-issues-sweeping-executive-order-to-protect-americans-sensitive-personaldata/）参照
2

中国 (香港、マカオを含む)、ロシア、キューバ、イラン、ベネズエラ、北朝鮮
1

護を強化する規則を制定(3) 司法省は、国土安全保障省と協力し、出資、サービス提供、雇用等の商業的手段により米国人のデータを入手可能となることに対して、懸念国によるアクセスを防止する高いセキュリティー基準を設定(4) 保健福祉省、国防総省、退役軍人省は、連邦政府の補助金や契約が懸念国による米国人の健康データへのアクセスを助長するように用いられないよう支援。なお、懸念国の補助金等が在米国企業に支給され、当該企業を経由して懸念国にデータが移転する場合も含む。
(5) 米国の電気通信サービス分野の外国参入評価委員会 (チーム・テレコム)は、海底ケーブルのライセンス審査で、米国人の機微な3個人データへの脅威を考慮(6) これらの活動が金融サービスに必要な情報の流れを止めたり、米国が他国と結ぶ消費者、経済、科学、貿易関係を広範に切り離することを目的とした措置は講じない。

3. 司法省による規則策定案事前公告 (ANPRM)4 の主な内容
大統領令による指示を受けて、司法省は詳細規則の策定のため、規則策提案事前広告（ANPRM）を同 2 月 28 日に発表している。主な内容は以下の通り。
(1) 禁止対象取引•

一般条項：許可される場合を除き、いかなる米国人も懸念国または対象者5 と故意に対象データ取引を行ってはならない。

•

データ仲介 (data brokage)•

対象者により所有または運営される研究所による、米国人の生体認証識別データやヒトゲノムデータへアクセスすること•

回避、違反、未遂、共謀すること•故意に違反行為を指示すること(2) 制約対象取引リスク軽減措置6を講じることを条件としてデータへのアクセスが認められる。
•ベンダー契約 (クラウドサービス利用契約等)•出資契約 (少額出資契約等)•雇用契約 (従業員、取締役)

3①米国人の対象となる個人識別データ、②個人の金融データ、③個人の健康データ、④正確な位置情報データ、⑤生体認証識別データ、⑥ヒトゲノムデータ
4
https://www.federalregister.gov/documents/2024/03/05/2024-04594/national-security-divisionprovisions-regarding-access-to-americans-bulk-sensitive-personal-data-and#print
5
懸念国の管轄下にある個人および企業。なお、司法省は、懸念国への機密情報の再輸出リスクに対処するため、対象者ではない外国人に対し、禁止または制限されたデータを懸念国に転売したり、アクセス権を付与しない旨を同意することを義務付けること等を検討中。
6①CISA（Cybersecurity and Infrastructure Security Agency）等が発表するガイドラインの遵守 (例：CISA Cybersecurity Performance Goals (CPG)、NIST SP800-171)、②データセキュリティ対策の措置を講じること（例：データアクセス権の設定等の措置)、及び③独立監査人による定期的な監査を実施すること2

(3) 例外•国際緊急経済権限法（IEEPA）による例外指定（personal communications、information
or informational materials）•

公務 (official business)

•

金融取引

(financial services, payment processing, regulatory compliance relatedtransactions)•

企業運営上必須となる、グループ会社間取引 (例：人事・給与データ等を懸念国にある米国人の子会社等へ送付)•

連邦法や国際法に基づく取引(4) 大量(「bulk」)の基準
米国人の対象となる個人識
別データ
More thanLow

10,000 US
personsMore thanHigh

1,000,000 US
persons

個人の金融

個人の健康

正確な位置

生体認証識

ヒトゲ ノム

データ

データ

情報データ

別データ

データ

More thanMore thanMore than

100 US

100 US

100 USdevices

persons

personsMore thanMore thanMore than

10,000 US

10,000 US

1,000 USdevices

persons

personsMore than 1,000 USpersons

More than 10,000 USpersons

4. 政府、有識者等のコメント(1) バイデン政権高官•

懸念国に影響された事業者が米国で位置情報、生体情報、金融情報等の取得するのを制限するものである。

•

例えば、中国製電気自動車（EV）のソフトウェアによるデータ収集。 米国政府は、特定中国ベンダーの機器の撤去や代替製品の購入あたって通信事業者に補助金を付与している (rip and replace fund) が、完全な排除には至っていない。

•

市場に中国製 EV があふれた後に一般消費者で同じこと（Replace）をするのは実質不可能であることから、規制の導入を進める。

(2) 元米国大統領国際経済担当補佐官•

従来の「事実に基づく事案ごとの判断」と異なるアプローチである。

•

大統領令に基づく規制は、米国からの情報流出を規制するもの。懸念国製品の米国への流入や使用を実質的に禁止する既存の ICTS サプライチェーン関連規制 (EO13873)
や CFIUS (対内投資審査) 等と補完関係にある。
3

•

政府は、今回の規制は国家安全保障上容認できないデータ流出を規制するものであって、DFFT の支持と矛盾するものではない、と説明している。しかし、WTO や IPEFでの交渉において、米国が主要なデジタル貿易の提案を撤回したことや、バイデン政権のハイテク関連政策が左傾化していることを考慮すると、今回の規則案は、必然的に、データ流通を制限するバイデン政権の取り組みの一環とみなされる。

•

他の国々も今後、自国のデータ規則の在り方を検証する可能性がある。

(3) 米国弁護士7•

USMCA （アメリカ合衆国、メキシコ合衆国及びカナダとの協定）や日米 DTA (DataTransfer Agreement) は、越境データ流通に対する公共政策の例外は規定されていない。

•米国政府は規制対象を限定するアプローチを進めているものの、本大統領令は、特にUSTR の最近の動向と併せて読むと、デジタルサービスに依存する業界に懸念とリスクをもたらす可能性がある。

(4) 米国シンクタンク8•オープンで自由な商品やデータの流通と、国家安全保障上の責務とのバランスの在り方についての見解を示そうとしている。

•AI の時代において、データ保護の重要性はプライバシーを超えて国家安全保障の領域にまで高まっている。

•米中が機密データへの相互アクセス制限を強化すると、デジタルインフラのさらなるデカップリングをもたらす可能性がある。
以上

7

https://www.whitecase.com/insight-alert/new-executive-order-seeks-protect-americans-sensitivepersonal-data （2024 年 4 月 5 日閲覧）8https://www.cnas.org/press/press-note/cnas-responds-executive-order-to-protect-americanssensitive-personal-data（2024 年 4 月 5 日閲覧）

4