個人情報の保護に関する法律第28条に基づくEU及び英国の指定の見直しに関する報告書

令和５年３月22日
個人情報保護委員会事務局

1

１．背景・目的（１）相互認証
個人情報の保護に関する法律（以下「法」という。）第28条は、個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国を指定（以下「外国指定」という。）する
ことにより、個人情報取扱事業者が当該外国に所在する第三者への個人データの提供について、それを認める旨の本人の同意は必要ない旨を定めている。現在、この外国指定を受けているのは、欧州連合（EU: EuropeanUnion）及び英国のみである。
個人情報保護委員会は、平成31年１月23日に、EUを法第28条に基づき外国指定した（平成31年個人情報保護委員会告示第１号）1。また、同日、欧州委
員会においてもEUの一般データ保護規則（GDPR: General Data ProtectionRegulation）第45条に基づき、我が国への十分性認定を行っている2。EUによる十分性認定とは、EU域外の国や地域が、十分なデータ保護の水準を確保していると欧州委員会が認め、EU域内から当該国との間の個人データの移転について個別の対応（移転当事者間におけるデータ保護のための契約や、グループ企業内の準則等）を不要とするものであり、法第28条に基づく外国指定と同様の効果を持つものである。このように個人情報保護委員会がEUを外国指定し、欧州委員会が我が国を十分性認定していることは、日EU間の相互認証と呼ばれ、日EU間の円滑な個人データの越境移転に大きく貢献する枠組みである。
英国については、英国が令和２年１月31日にEUを離脱したが、EU離脱後も英国に対しては、個人情報保護委員会は、法第28条に基づく外国指定を継続することとした（平成２年個人情報保護委員会告示第５号）。英国においてもEU離脱後においてGDPRの規律を引き続き適用するため、令和２年12月31日の移行期間終了時に英国GDPRを制定し、英国GDPRに基づき、我が国への十分性認定を継続した。これにより、日英間においても相互認証は継続されており、日英間の円滑な個人データの越境移転の維持に大きく貢献する枠組みとなっている。

1

EU を外国指定した際の報告書については、第 85 回個人情報保護委員会（平成 31 年１月 18日）の配布資料「個人情報の保護に関する法律第 24 条に基づくＥＵの指定に関する報告書」を参照。
2
欧州委員会は、我が国への十分性認定文書（Commission Implementation Decision (EU)2019/419 of 23 January 2019）において、個人情報保護法のデータ保護の水準を GDPR と実質的に同等とみなすとし（前文パラ 171）、他の点も勘案した上、日本は十分なデータ保護水準を確保しているとみなす（前文パラ 174）としている。

2

（２）共同レビュー
平成31年個人情報保護委員会告示第１号は、EUの外国指定について、当該指定の日から２年以内、その後少なくとも４年ごと及び当委員会が必要と認めるときに見直しを行うとしている（同告示に基づく見直しの検討の対象には、平成２年個人情報保護委員会告示第５号により、引き続き英国も含まれている）。欧州委員会も、我が国に対する十分性認定について、十分性認定の発効後から２年以内及びその後少なくとも４年ごとに、レビュー（見直し）を行うとしている。
この日EUの相互認証の枠組みにおける共同レビューは、日本とEUの双方の相互認証の枠組みが機能しているかについて、その適用から法制度の改正まで、幅広く対象にして実施された。共同レビューは、令和３年１月から開始され、同年10月に開催された共同レビュー会合において、個人情報保護委員会大島委員及び欧州委員会司法担当レンデルス委員により、高い個人情報保護の水準について日本と EU の共同コミットメントが強調されたところである。

（３）本報告書の目的
本報告書は、上述の相互認証の枠組み及び共同レビューの実施状況を踏まえ、法第28条に基づくEU及び英国の外国指定について、平成31年個人情報保護委員会告示第１号に基づき、その見直し作業を行い、外国指定の継続が必要か否かを検討することを目的とする。

3

２．判断基準
個人情報の保護に関する法律施行規則（以下「規則」という。）第15条は、法第28条による外国指定について、以下の５項目のいずれにも該当することが必要である旨を定めている。なお、本５項目は、平成31年にEUを外国指定した際に用いたものと同じである。
①

法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること②

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること③

我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること④ 個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること⑤ ①～④に定めるもののほか、当該外国を法第28条第１項の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること
本報告書では、上記の５項目を基準として、EU及び英国への外国指定の見直し作業を行い、外国指定の継続の必要性を検討する。なお、当初指定時の報告書における認定事実との変化に特に注目して検討を進める。

4

３．EUについての検討（１）法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること
当該要件については、以下①及び②に分けて検討する。
① 個人情報取扱事業者の規定に相当する法令その他の定めがあること② 法令の履行が確保されていること①個人情報取扱事業者の規定に相当する法令その他の定めがあること
EUの個人情報保護に関する法体系は、EUを外国指定した時から変化はない。すなわち、欧州連合基本権憲章及び欧州連合の機能に関する条約の下にGDPRが位置付けられ、その下にEU各国の法が存在している。
個人情報取扱事業者に関する規定に相当するGDPRにおける規定については、EUを外国指定した際には、法第４章第２節に定める個人情報取扱事業者の義務に関する規定に相当する規定がGDPRにおいて確認されている。本
報告書策定時点において、当該規定に対する改正等は確認されてない。
上記のとおり、EU各国においては、我が国における個人情報保護に関する法体系に相当する制度であるGDPRの下、個人情報取扱事業者に関する規定に相当する規定が引き続き存在すること、EU各国に適用される体制が整備されていることを確認した。
②法令の履行が確保されていること
GDPRは、EU各国に直接適用されるのが原則であり、これによりEU域内で統一的なルールの制定・履行が図られている（ただし、一部の規定について、EU各国の国内法における個別のルールの策定を認められている）。EU各国はGDPRの運用を円滑に行うための国内法を整備しており、唯一、国内法未整備であったスロベニアについても、令和４年12月15日に国内法が成立したところである。
GDPRは、各国のデータ保護機関により履行されるが、欧州データ保護会
議（EDPB: European Data Protection Board）によって、GDPRの一貫性のある履行の確保が図られている。EDPBは、EU各国のデータ保護機関の代表から成る会議であり、GDPRを含むEUのデータ保護関連法規についての一般的なガイダンスの示すことや、各国機関への意見や拘束力ある決定を通じ5

て、GDPRの一貫性のある履行の確保のための重要な役割を果たしている3。
他方で、当委員会が実施したGDPR適用開始後における事業者の法令の履行状況を確認するため、コンプライアンス支援を行う法律事務所及び業界団体等への聞き取り調査によれば、EU各国の多くの事業者が、依然として①安全管理措置への対応、②データの最小化、③GDPRに対する理解（主にデータ保護影響評価、アカウンタビリティの確保やデータ侵害報告の判断等）において課題を有しているとの指摘が得られた。また、業界によって履行の程度が異なることも、多くのヒアリング先から指摘があった。これらの課題については、法律事務所等による分析を通じて、各事業者の理解がより深まる可能性がある。
以上より、EU各国において、個人情報保護に関する法令の履行が概ね確保されていると認めるに足りる状況があることが確認された。ただし、GDPRの履行状況について指摘された課題については、継続して調査をしていく必要がある。

（２）個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること
当該要件に関し、以下①及び②に分けて検討する。
① 独立した外国執行当局が存在していること② 必要かつ適切な監督を行うための体制が確保されていること①独立した外国執行当局が存在していること
EU各国の外国執行当局の存在については、EUを外国指定した時から特段の変化はなく、EU各国においては、運営方法等に多少の差異はあるものの、GDPRの規定に即した形で、個人情報保護委員会に相当する執行当局が存在している。
（ア）職権行使の独立性（GDPR第52条第１項及び第２項）
職権行使の独立性については、GDPR及びEU各国のデータ保護法において明記されている。
（イ）任命方法（GDPR第53条第１項）
議会、政府、元首など、各データ保護機関において任命権者は異な
3

EDPB が公表しているガイドライン等については、EDPB のウェブページを参照
https://edpb.europa.eu/our-work-tools/general-guidance/guidelinesrecommendations-best-practices_en6るものの、法令に基づき、透明性のある手続により任命されている。
（ウ）任期（GDPR第54条第１項(d)）
EU各国によって差異はあるが、GDPR上は、基本的に４年以上の任期が保障されている。
（エ）身分保障（GDPR第53条第４項）
罷免の条件は、重大な不法行為又は職務遂行に求められる条件を満たさない場合に限定されており、委員長等の身分が保障されている。
（オ）職員の人事（GDPR第52条第５項）
EU各国のデータ保護機関において独自に採用を行っており、職員は、終身雇用の公務員、任期付公務員、非常勤職員、専門職員（法曹資格を有する職員等）等、国によって様々な形態で採用を行っている。
（カ）予算（GDPR第52条第６項）
GDPR は、EU 各国のデータ保護機関において、その独立性に与えない財政上の管理に服することを求めている。なお、EDPB の報告によると、2022 年の EU 各国の GDPR 関連の予算額のうち、最大はドイツの 1 億1400 万ユーロ（約 158 億円）であり、ドイツを含めた 14 か国が 500 万ユーロ（約７億円）を超える予算を確保している。
以上のとおり、EU 各国においては、個人情報保護委員会に相当する執行当局が存在しており、上記（ア）～（カ）のとおり、その独立性が確保されていることが確認された。
②必要かつ適切な監督を行うための体制が確保されていること
EU 各国のデータ保護機関においては、国の実情に応じて必要な人員が概ね確保されている。EDPB の報告によると、近年、EU 各国のデータ保護機関の職員数及び予算は殆どの国で増加していることから、EU 各国のデータ保護機関は必要かつ適切な体制の確保に努めていると考えられる。
GDPR 下では、苦情の受付及び処理が義務となっている。EU 各国間で苦情の定義、受付件数や処理実績にばらつきはあるものの国の実情に応じた実績がある。また、GDPR で、情報収集、立入検査、指導、勧告、是正命令及び制裁金納付命令の権限が認められており、EU 各国のデータ保護機関においては、国によりばらつきはあるものの国の実情に応じた活動を行っている。
以上のとおり、GDPR の適用開始後も、EU 各国の執行当局においては、必要かつ適切な監督を行うための体制が概ね確保されていることが確認された。

7

（３）我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること
当該要件に関し、以下①及び②に分けて検討する。
① 個人情報の適正・効果的な活用と個人の権利利益の保護に関する相互理解が可能であること② 相互理解に基づく連携及び協力が可能であること①個人情報の適正・効果的な活用と個人の権利利益の保護に関する相互理解が可能であること
日 EU 間においては、欧州委員会との累次にわたる対話並びに EU 各国への訪問及び調査を通じて、相互の個人情報保護制度に関し十分に理解を深めた結果、当委員会が法第 28 条に基づく指定を EU に対して行い、欧州委員会が GDPR 第 45 条に基づく十分性認定を我が国に対して行う方針について合意するに至った。この合意を踏まえ、日 EU 間の相互の円滑な個人データ移転を図る枠組みが発効した。
日 EU 間の相互の円滑な個人データ移転を図る枠組みの発効後も、当委員会は、EU 各国への訪問及び国際会議開催の機会を活用して、データ保護機関等と面談等を行ってきた。また、共同レビューを通じて、実務的な意見交換を重ねてきたところである。
以上のとおり、我が国と EU の間で、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解が可能であることを確認した。
②相互理解に基づく連携及び協力が可能であること
我が国と EU は、日 EU 定期首脳協議等の機会を通じて協力関係を強化している。例えば、令和４年５月の定期首脳協議では、宣言文書に日 EU の十分性相互認定の取決めに基づく、個人データの高水準の保護に対する共同のコミットメントを強調する旨が盛り込まれている。また、当該首脳協議では、日 EU デジタルパートナーシップの実施についても合意され、個人情報保護に関する更なる協力を追求することが確認されている。この他にも、OECD や WTO 等のマルチの協議や日 EU・EPA 等での協議を通じて、欧州委員会の実務担当者とは、綿密に連携をはかっている。
以上のとおり、我が国と EU の間で、連携及び協力が可能であることを確認した。

8

（４）個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること
当該要件に関し、以下①及び②に分けて検討する。
① 必要な範囲を超えた国際的な個人データの移転の制限がないこと② 我が国と相互に円滑な個人データの移転が可能であること①必要な範囲を超えた国際的な個人データの移転の制限がないこと
GDPRでは、EU域内から域外への個人データの移転について、一定の場合にのみ認めることしている。域外移転には、十分性認定に基づく移転（GDPR第45条）、適切な保護措置に従った移転（GDPR第46条）、特定の状況における例外（GDPR第49条）があり、適切な保護措置には、拘束的企業準則、標準データ保護条項等が含まれている。
我が国においても法第28条（外国にある第三者への提供の制限）において同種の規定を設けていることを鑑みれば、GDPRの規定が個人データの保護の観点から必要な範囲を超えた移転制限であるとは評価できない。
②我が国と相互に円滑な個人データの移転が可能であること
GDPR では、法第 28 条に基づく外国指定と同様の仕組みとして、GDPR 第 45条に基づく十分性認定の仕組みが存在しており、これまで論述してきたとおり、相互認証の枠組みを構築し、円滑な個人データの移転を進めている。この枠組みにおいて、EU から十分性認定に基づく個人データの移転について、何らか障壁によって損なわれているとの報告はないことから、相互認証によるデータ移転は機能していると評価できる。当委員会と産業界による意見交換によっても、EU から我が国への十分性認定よる個人データ移転について、一定の評価を受けているところである。
以上のとおり、個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図るための措置を講じることが可能であることが確認された。

（５）当該外国を法第28条の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現

9に資すると認められるものであること
日本とEUは、自由、民主主義、人権、法の支配、市場経済といった基本的価値及び原則に基づき、世界の平和、安全及び安定を構築するために共に行動する戦略的パートナーである4。この基本的考え方に基づき、日本とEUの間では、年１回開催する日EU定期首脳協議をはじめ重層的対話を実施しており、また、
日EU経済連携協定（EPA）及び戦略的パートナーシップ協定（SPA）により、日EU関係は緊密である。EUは、我が国にとって、主要な貿易相手であり、2021年における我が国からEUへの輸出額は7兆6,684億円であり、EUから我が国への輸入額は9兆4,218億円となっている。
日EU間における個人情報を含むデータの越境移転について、その円滑化を進めることは、日本とEUの双方の経済社会にとってメリットがあるものと認められる。令和４年５月に立ち上げられた日EUデジタルパートナーシップにおいても、「信頼性のある自由なデータ流通（DFFT）」に関する日EU間の協力が盛り込まれており、この協力を通じて、デジタル経済の恩恵を生かすことができるとされている。
このような状況を考慮すれば、法第28条に基づく外国指定により、日EU間の相互の円滑な個人データ移転を実現するさらなる意義を期待できるといえる。
例えば、当該指定により、ビジネスを展開する際に、個人データの取扱いに関して事業者が抱き得る不安の軽減や、日EU・EPAによる経済的効果に裏打ちされる、日EU間の経済・貿易・投資交流のさらなる活発化等が期待される。また、当該指定による日EU間の相互の自由なデータ流通の維持は、企業活動の国際化により一層強調されたデジタル技術の利活用のためにも重要なものである。
以上より、法第28条の規定に基づいて個人の権利利益を保護する上で我が国と同等の水準にある外国として、引き続きEUを指定することは、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることが確認された。

4日 EU 関係概要（令和４年 12 月外務省欧州局政策課作成）
https://www.mofa.go.jp/mofaj/files/100440027.pdf

10４．英国についての検討（１）法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること
当該要件については、以下①及び②に分けて検討する。
① 個人情報取扱事業者の規定に相当する法令その他の定めがあること② 法令の履行が確保されていること① 個人情報取扱事業者の規定に相当する法令その他の定めがあること
英国が EU を離脱する前から、英国には、GDPR を英国内で実施するため「2018 年データ保護法」が存在し、適用されている。英国は、令和２年１月 31 日に EU を離脱したが、同年 12 月 31 日までの移行期間中は、GDPR が適用されていた。
移行期間終了に備え、英国は、「2018 年 EU 離脱法」（European Union(Withdrawal) Act 2018）を通じて GDPR を国内法化する法整備（英国GDPR）を進め、移行期間終了後、英国 GDPR を 2018 年データ保護法とともに適用している。英国 GDPR は、GDPR に修正を加えているが、英国は、移行期間終了後も引き続き GDPR と同等と評価できるデータ保護レベルを維持する法令を適用していると評価できる。
また、個人情報取扱事業者に関する規定に相当する英国 GDPR における規定については、GDPR において確認された個人情報取扱事業者の義務に関する規定に相当する規定が、英国 GDPR にも引き継がれていると評価できる。
本報告書策定時点において、当初指定時に適用されていた GDPR と同じ規定が引き続き適用されており、その実質的な改正等は確認されていない。
上記のとおり、英国においては、我が国における個人情報保護に関する法体系に相当する制度である英国 GDPR の下、個人情報保護取扱事業者に関する規定に相当する規定が引き続き存在すること、英国に適用される体制が整備されていることを確認した。
② 法令の履行が確保されていること
英国 GDPR は、ICO（Information Commissioner’s Office）によって、その履行が確保されている。特に ICO は、事業者に対するガイドライン作成等を通じて、事業者の法令遵守を確保するための取組みを積極的に行っている。例えば、ICO は、英国 GDPR や 2018 年データ保護法など、データ保護法令に関するガイドを ICO のウェブページにおいて示しており、さま11ざまなガイダンスや二つの行動規範（Codes of Practice）を用意している。
また、当委員会が英国の事業者に対して行った聞き取り調査の結果、職員及び予算を増加させるなど、英国の事業者は英国 GDPR の履行を確保するための対応を行っている傾向があることを確認できた。他方で、安全管理措置への対応、英国 GDPR に対する理解等の点においては課題を有しているとの指摘もあった。
以上より、英国においても、法令その他の定めの履行が確保されていると認めるに足りる状況があることを確認できた。ただし、英国 GDPR の履行状況について指摘された課題については、継続して調査をしていく必要がある。

（２）個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること
当該要件に関し、以下①及び②に分けて検討する。
① 独立した外国執行当局が存在していること②

必要かつ適切な監督を行うための体制が確保されていること① 独立した外国執行当局が存在していること
英国には、独立した執行当局として、ICO が存在しており、以下のとおり高い独立性を維持している。
（ア）職権行使の独立性
ICO のコミッショナーは、英国 GDPR 第 51 条に基づき、移行期間終了後も引き続き、この監視権限に対する責任を有するとされており、また、英国 GDPR 第 52 条に基づき、その独立性も引き続き保証されることが規定されている 。
（イ）任命方法
ICO のコミッショナーは、政府からの推薦により、国王陛下の公開書簡（Letters Patent）に基づいて任命される。コミッショナーの選出は、公正かつ開かれた競争に基づいて行われる 。
（ウ）任期
コミッショナーの任期は７年を上限とし、再任は認められない。
（エ）身分保障12

コミッショナーの罷免は、コミッショナーが行う重大な不正により有罪となること、又は、コミッショナーとしての職務を遂行するために要求される条件を満たさなくなることを告げる大臣の報告に基づ
き、両院議会から提出された奉答文を受けた国王陛下により罷免される場合に限定される 。首相、国務大臣らによって、コミッショナーが罷免されることはない。ICO のコミッショナー及びその職員は、王制における臣下（Servants）や代理人（Agents）としてみなされるものではないことが保証されており、コミッショナーの報酬等は、下院（庶民院）の決議に従って支払われる 。
（オ）職員の人事
コミッショナーが、一又は複数の副コミッショナー及び他の職員を任命する。なお、職員の報酬等の条件は、コミッショナーによって決定される 。
（カ）予算
GDPR 第 52 条第６項の予算に関する規定は、英国 GDPR に継受されていない。ICO の今年度(2021/2022)の予算は、約 7,870 万ポンドであり、来年度（2022/2023）の予算として、約 8,260 万ポンドを見込んでいる。予算は、主として、データ管理者から支払われる費用（Charge）及び英国政府からの助成金（Grant-in-aid）、から構成される。また、令和４年６月より、ICO が課した制裁金について、直接、ICO の予算に組み込むこととしている。
以上（ア）～（カ）のとおり、ICO は、主に 2018 年データ保護法及び英国 GDPR に基づき、その独立性及び地位が保証されており、データ保護法令の適用に対する監督権限も付与されており、この活動を裏付けるための予算額も支給されていることが確認された。
②必要かつ適切な監督を行うための体制が確保されていること
ICO が毎年公表しているアニュアルレポートの最新版（令和４年７月発行）によると、ICO が監督を行うための体制として、以下の事実を確認できる。
（ア）職員数・予算
ICO の職員数は、合計 883 人である。 前年の職員数が 787 名であり、100 名程度増加している。前述のとおり、今年度の予算は、約 7,870 万ポンドであり、来年度の予算として、約 8,260 万ポンドを見込んでいる。

13

（イ）苦情受付・処理新規に受け付けた苦情件数が 36,343 件であったのに対し、苦情処理件数は、その数を上回る 41,088 件である。特に処理件数は過去最高を記録している。これは、データ保護法令を適切に執行するために十分な職員数が確保できていることを示すものといえる。
（ウ）執行
執行活動に関しては、制裁金を科した件数が 37 件ある他、戒告（reprimand）を 24 件出している。
以上（ア）～（ウ）より、ICO は、職員数及び予算を増加させるなどして、データ保護法令の適用に関して必要かつ適切な監督を行うための体制を積極的に強化し、確保できていることが確認された。

（３）我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること
当該要件に関し、以下①及び②に分けて検討する。
①

個人情報の適正・効果的な活用と個人の権利利益の保護に関する相互理解が可能であること② 相互理解に基づく連携及び協力が可能であること①個人情報の適正・効果的な活用と個人の権利利益の保護に関する相互理解が可能であること
ICO とは、二国間協力強化の枠組みに基づき、令和３年より、定期的な協議を実施してきたところ。定期的な協議では、顔認識カメラの活用、個人情報の越境移転、規制サンドボックス等の幅広い課題について、意見交換を進めている。また、令和４年５月には、当委員会事務局職員が ICO 本部を訪問し、各種課題について意見交換を行った。また、ICO に加えて、データ保護法を所管するかつての英国政府デジタル・文化・メディア・スポーツ省（DCMS: Department of Digital, Culture, Media & Sport）とも、実務レベルで相互理解を深めている。
以上のとおり、我が国と英国の間で、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解が可能であることを確認した。
②相互理解に基づく連携及び協力が可能であること

14当委員会においては、英国の EU 離脱前から ICO と密接な協力関係を構築してきたところであり、同国の EU 離脱後も、円滑な個人データの移転が確保されるよう、引き続き、日英間で緊密に連携することで一致している。また、上記のとおり、ICO とは定期的な協議を開催しており、特に今後の執行面での協力を念頭に置いた文書の作成に向けて、更に協議を進めることとしている。また、DCMS とも、外国指定にかかるレビューの状況や DFFT 関係の協力について意見交換を進めている。以上のとおり、我が国と英国との間で、引き続き、連携及び協力が可能であると評価できる。

（４）個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること
当該要件に関し、以下①及び②に分けて検討する。
① 必要な範囲を超えた国際的な個人データの移転の制限がないこと② 我が国と相互に円滑な個人データの移転が可能であること①必要な範囲を超えた国際的な個人データの移転の制限がないこと
国際的な個人データの移転の制限について、英国GDPRは、基本的にGDPRと同様の規制を引き継いでおり、十分性認定に基づく移転（英国GDPR第45条）、適切な保護措置に従った移転（英国GDPR第46条）、特定の状況における例外（英国GDPR第49条）の規定が存在する。
GDPRの評価と同様に、我が国においても法第28条（外国にある第三者への提供の制限）において同種の規定を設けていることを鑑みれば、英国GDPRの各規定が個人データの保護の観点から必要な範囲を超えた移転制限であるとは評価できない。
② 我が国と相互に円滑な個人データの移転が可能であること
英国GDPRにおいても、十分性認定の仕組みが存在している（英国GDPR第45条）。英国は、EU離脱後も、我が国に対する十分性認定を維持しており、我が国も英国を法28条に基づき外国指定していることから、EUと同様に相互認証の枠組みが成立している。
以上のとおり、英国は移行期間終了後も、個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との15間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図るための措置を講じることが可能であることを確認できる。

（５）当該外国を法第28条の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること
日英両国は、自由、民主主義、人権、法の支配といった基本的価値を共有するグローバルな戦略的パートナーであり、政治、安全保障・防衛、経済、文化、科学技術、教育等、様々なレベル・分野において緊密な協力関係を有している5。令和４年５月には、岸田総理が英国を訪問し、ジョンソン首相（当時）と会談及びワーキングランチを実施。同年９月、トラス政権（当時）が発足すると、同月、岸田総理は、国連総会に出席するため訪問中のニューヨークにおいて、トラス首相（当時）とワーキングランチを実施。両首脳は、日英関係はかつてなく緊密であり、一層協力を深化させていくことで一致している。
貿易関係において、日英包括的経済連携協定（日英 EPA）がそれまでの日EU・EPA に代わり、EU 離脱後の英国との貿易・投資関係を新たに定めるものとして、令和３年１月１日に発効している。両国は緊密な貿易関係にあり、日本にとって、英国は、欧州地域では、ドイツ、オランダに次ぐ輸出先であり、英国にとって、日本は EU 域外では米国、中国、スイス等に次ぐ第５位の輸出先である。また、英国に進出している日本企業数は 957 社で、ドイツに次いで欧州内第２位（海外在留邦人数調査統計、令和２年 10 月１日現在）。
データの越境移転についても、日英間の協力は進んでおり、令和４年 12 月に立ち上げられた日英デジタルパートナーシップにおいては、データの越境移転等の世界的なデジタルの主要課題に対する実用的な解決策を共同で仲介することが、中核的な目的として盛り込まれている。
以上により、法第28条の規定に基づいて個人の権利利益を保護する上で我が国と同等の水準にある外国として、英国を指定することは、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものである。

5

平成 29 年８月「日英共同ビジョン声明」
https://www.mofa.go.jp/mofaj/files/000285774.pdf

16

５．結論
上記３．及び４．において検討したとおり、EU 及び英国は規則第 15 条第１項各号の判断基準を引き続き満たしていると評価できるため、個人情報保護委員会は、法第 28 条の規定に基づく EU 及び英国の外国指定の見直し作業の結果、これを維持することが妥当であると思料する。
規則第 15 条第３項は、同条第１項の定める条件が満たされていることを確認するため必要がある時には、必要な調査を行う旨を定めているところ、日 EU及び日英の相互認証の枠組みの活用状況等を見ながら、原則として、本見直し報告から少なくとも４年ごとに、及び個人情報保護委員会が必要と認めるときに、再度、外国指定に関する見直し作業を行うことが適当と思料する。
（以17上）