Legal Wire
イギ リス・EU 間でのデータ移転につき、重要な「十分性」の決定に到達

Japan PracticeVol. 107 / March 2021

イギリス・EU 間でのデータ移転につき、重要な「十分性」の決定に到達
ラフィ・アジム・カーン•

欧州委員会は、イギリスが GDPR と実質的に同等のデータ保護レベルを確保していると結論付けた「十分性」の決定案を発表しました。

•

欧州委員会がこの十分性の決定を正式に採用するまでには、まだ承認プロセスが残っています。

•

イギリスの企業及びイギリスの事業体を介してビジネスを行う国際的な企業は、引き続き油断しないよう注意する必要があります。

欧州委員会は、2021 年 2 月 19 日に、EU からイギリスへの個人データの移転を認める 2 つの「十分性」決定案を発表しました。
一般データ保護規則（GDPR）では、「十分な」レベルのデータ保護が確保できない限り、EEA（すべての EU 加盟国にアイスランド、リヒテンシュタイン、ノルウェーを加えたもの）から第三国へのデータの移転には制限があります。そして、移転先の国が欧州委員会から「十分性」の認定を受けていない場合（例：米国）には、適切なセーフガード（例：データ輸出者とデータ輸入者の間で一定の承認された条項を含む契約の締結）が適用されない限り、そのような移転は禁止されます。もう 1 つの方策として、かつては、米国と EU の間には、プライバシー・シールドの枠組みがあり、米国企業はこの枠組みを利用することができました。ところが、最近になって、この枠組みは、懸念が生じたために廃止されました。
2020 年 12 月 31 日の Brexit 移行期間終了後、データ保護の観点では、イギリスは、EU 加盟国としての扱いから第三国としての扱いになりました。データフローの「崖っぷち」を避けるために、2021
年 1 月 1 日に発効した Brexit についての英 EU 通商・協力協定（The Trade and CooperationAgreement）では、EU とイギリスの間でデータフローが途切れることがないように、2021 年前半にさらに移行期間を設けられました。この移行期間は、イギリスが十分性認定を得るのに十分な時間であることが期待されていました。
企業は、その十分性認定が間に合うことを期待していますが、とりあえずその方向に向かう大きな進歩があったといえるでしょう。ただし、欧州データ保護会議（EDPB）や EU 加盟国の代表者による審査を含め、正式採用までにはまだプロセスが残っています。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 107 | 1

Legal Wire
イギ リス・EU 間でのデータ移転につき、重要な「十分性」の決定に到達

インターネットや電子商取引のプラットフォームは、その性質上、国境がないため、イギリス企業は、その形態や規模を問わず、EU からのデータを取扱いの禁止（または、データ移転を適法に行うための契約上の取決めをしなければならないコストや複雑さ）を避けたいと望んでいました。もし、十分性の認定が取得できないと、夏には、このような問題が実質的に発生することになります。
4 年後には EU が考え方を変える可能性もありますが、十分性認定がまもなく正式に採用されるのであれば、少なくとも当分の間は、企業は安心していられるでしょう。
実際、EU がイギリスの十分性認定を否定する根拠を見出すのは容易なことではありませんでした。とはいえ、最近のイギリスと EU の緊張関係は、この点にも疑問を投げかけていました。欧州委員会は、イギリスが「好調な滑り出し」を見せたと述べていますが、そういうわけではなく、もともと、法律の大部分がほぼ同一なのなのです。例えば、GDPR はイギリスの法律に組み込まれています。
もしイギリスが十分性認定を否定されたとすれば、それは、同じような認定を求める他の国に対しても、極めて高いハードルを課したことになります（日本は近年、十分性認定を獲得しましたが、韓国も同様のことを望んでいます。）。
さらに注目すべき点として、欧州委員会が、実際に十分性に関する決定案を 2 つ出していることが挙げられます。1 つは GDPR に基づくもので、もう 1 つは法執行指令（LED）に基づくもので、後者は法執行を目的としたデータフローを認めるものです。
もっとも、よいニュースの中にも、留意すべきことがあります。米国と EU 間のプライバシー・シールドが厳格な審査の対象になった理由の 1 つに、米国企業はプライバシー・シールドを利用し、必要な条件を満たしていることを自己認証するに際して、形式的な対応を行うだけで、実際には、多くの場合、十分な対応がなされていないと EU が認識していたことが挙げられます。したがって、イギリスの企業及びイギリスの事業体を介してビジネスを行う国際的な企業は、引き続き油断しないよう注意する必要があります。
欧州委員会は、イギリスの十分とされているデータ保護が形だけではないことを確認するために、状況を注視する予定です。また、EU のデータ規制当局は、そうした形だけの対応を行った者に対して、自らの裁量において、高額の罰金を科す法執行が可能です。そのため、企業は、GDPR の要件を満たしていることを確実にするために、定期的にビジネス慣行やポリシーを見直す措置を取る必要があります。
本稿の原文（英文）につきましては、Important UK-EU Data Transfer “Adequacy” Decision Reachedをご参照ください。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 107 | 2

Legal Wire
イギ リス・EU 間でのデータ移転につき、重要な「十分性」の決定に到達

本稿の内容に関する連絡先
奈良房永 （日本語版監修）
31 West 52nd Street
New York, NY 10019+1.212.858.1187
fusae.nara@pillsburylaw.com

Rafi Azim-Khan
Tower 42, Level 21, 25 Old Broad Street
London, EC2N 1HQ, England+44.20.7847.9519
rafi@pillsburylaw.com

嶋村直登 (日本語版作成協力)

Legal Wire 配信に関するお問い合わせ田中里美
satomi.tanaka@pillsburylaw.com

This publication is issued periodically to keep Pillsbury Winthrop Shaw Pittman LLP clients and other interested parties
informed of current legal developments that may affect or otherwise be of interest to them. The comments contained herein do
not constitute legal opinion and should not be regarded as a substitute for legal advice.
© 2021 Pillsbury Winthrop Shaw Pittman LLP. All Rights Reserved.

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 107 | 3