寄稿

GDPR: Schrems II 判決が与えた衝撃と今後の展望
森・濱田松本法律事務所

岡田弁護士

淳

欧州において、包括的な個人データ保護規制である

く、米国の商務省に対して申請し、承認を受けた企業GDPR（EU一般データ保護規則）が2018年５月に施に対 する移 転のみを対 象とする点が 特 徴 である。

行されてから２年以上が経過した。その後も、米国でPrivacy Shieldは、従前用いられていたSafe Harbor

はCCPA（カリフォルニア州消費者プライバシー法）という枠組が2015年10月に欧州司法裁判所で無効と判が2020年 １ 月 に 施 行 さ れ、 ア ジ ア・BRICsで も、断されたことに伴い、整備された枠組である。

GDPRなどの最新の外国法を踏まえた個人データ保護法の制定・改正が相次ぐなど、ここ数年のグローバルなデータ保護法制の動きはめまぐるしいが、多くの日本企業がグローバル・データコンプライアンスの必要性を最初に痛感し、最も影響を受けたのがGDPRであることは間違いない。

２. Privacy Shieldを無効とした
Schrems II判決
欧州から米国や日本への個人データ移転については、上記のとおり一定の枠組を整備することで円滑な

本稿では、GDPRに基づく越境データ移転の枠組と、運用が図られていたが、2020年７月16日に欧州司法それに大きな影響を及ぼす欧州司法裁判所の最近の判裁判所がそのような実務に激震を与える判決を下し

決（2020年７月16日のいわゆるSchrems II事件判決）、た。これがいわゆるSchrems II判決であり、SNSサーそして今後の日米欧３極間の個人データ流通に向けたビスにおけるアイルランドから米国へのデータ移転の展望について概観する。

適法性が争われたものである。

１. GDPRに基づく越境データ移転の枠組

同判決は、米国の公的機関による監視プログラムを通じた個人データ取得等を特に問題視し、これに対する十分な水準の保護が確保されていないことを理由とGDPRは、個人データのEEA（欧州経済領域）域して、Privacy Shieldを無効であると宣言した。これ

外への移転を原則禁止としつつ（44条）、45条以下ににより、もはや企業としては、欧州から米国への個人定める例外に該当した場合に限って域外移転を有効とデータについてはPrivacy Shieldに依拠することがでする枠組をとっている。そのような例外事由の代表的きなくなった。

な例をあげると、表１のとおりである。

上記の点もそれ自体で大きな影響を有するが、注意

欧州から日本への個人データ移転については、2019

しなければならないのは、同判決の影響が単なる年１月23日に日本が欧州委員会から受けた十分性認定

Privacy Shieldの問題だけにとどまらない点である。に依拠することが可能となっている。実務上、日本企

この事案では、SCCによる移転の有効性も争点となり、業としてはこの十分性認定を活用することもあれば、同判決は、結論としてSCC自体は有効と判断したもの

引き続きSCC（標準的契約条項）などの手法に依拠すの、移転先国の法令・運用がSCCの遵守に支障をきたることもある。

さないかどうかを個別事案ごとに予め検証し、かつ、欧州から米国への個人データ移転については、2016継続的に確認する義務があるとし、SCCにより十分な年８月１日から発効したPrivacy Shieldという特別な保護を確保できない場合には補完的措置を講じる必要枠組がある。これは、十分性認定とは異なり、欧州かがあるとした。さらに、SCCの遵守が不可能となったら米国へのすべての域外移転を対象とするものではな

場合には、当事者は個人データ移転を中止すべきであ

222020.9

特集：新時代の日 -EU 関係
表１

GDPR における EEA 域外移転

十分性認定

例外事由

十分なデータ保護水準を確保していると欧州委員会が認定した国に対する移転（例：日本、スイス、カナダなど）
欧州委員会により採択された契約条項を用いた移転

SCC / SDPC・SCC（標準契約条項）：旧指令に基づき採択され、現在も有効・SDPC（標準データ保護条項）：GDPR に基づき採択予定だが、現時点では未採択

BCR

データ主体の同意

拘束的企業準則（企業グループ内での域外データ移転を自由にするための内規であり、監督機関からの承認が必要）を用いた移転
明示的な同意が必要。ただし、同意の有効性は厳格な要件に基づき判断され、また同意はいつでも自由に撤回可能であるため、同意に依拠することにはリスクを伴うケースが多い。

り、当事者がデータ移転を中止しない場合には監督当with Trust）を提唱して、自由で開かれたデータ流通局が中止を命じるべきことを判示した。とデータの安全・安心の確保に向けた政策を積極的にしたがって、企業としては、米国への域外移転につ推進してきた。その一環として、日米欧３極間におけいては単にPrivacy ShieldからSCCに形式的に置き換る安全・安心で円滑なデータ流通の枠組を確保するこえればよいということではなく、（米国のみならず）移とは、引き続ききわめて重要といえる。欧州と米国の転先国の公的機関による個人データへのアクセスなど

当 局も、2020年 ８ 月10日 付 で 共 同 声 明 を 発 表 し、につき、個別事案ごとに検討の上、必要に応じて補完Schrems II判決を遵守すべく、より向上したPrivacy的措置を検討する必要が生じることになった。もっとShieldの枠組の可能性を評価するための議論を開始しも、具体的にSCCにどのような補完的条項を規定すべた旨を明らかにした。

きかなど、現状では不透明な部分も多く、欧州データ

Schrems II判決の内容自体への評価はさまざまで保護会議（EDPB）による今後の検討・公表や実務のあろうが、ガバメントアクセスをめぐっては国家主導集積が待たれる。の色彩が強い中国のデータ規制などへの懸念も国際的

３. Schrems II判決をふまえた
今後の展望
Privacy Shieldの有効性をめぐっては従来から懐疑的な見方もあったところではあるが、欧州司法裁判所が今回のような判断を明確に下したことの影響は大きに強まるなかで、同判決がプライバシー保護や法の支配の観点から大きな一石を投じたことの意義を積極的に評価しつつ、日本や欧州のようにデータ流通に関する価値観を共有する国々が、安全で予見可能性のあるデータ流通の枠組を構築することが、これまで以上に強く求められているといえよう。
く、多方面に及ぶ可能性もある。たとえば、欧州から日本への個人データ移転は現在では十分性認定に基づき適法化されているが、この十分性認定という枠組が今後も盤石とは限らないことは、従来から指摘されてきた。日本に対する十分性認定も、もともと数年ごと

JOIでは、専門的な知見を有する弁護士と連携して GDPRに関連した企業研修やセミナー開催を企画しております。
照会などは JOI 総務部（TEL：03-5210-3311、メール：pca@joi.or.jp）までお願いします。の欧州委員会による定期的な見直しの対象とされているし、十分性認定に先立ち、欧州議会からは日本の法制度との相違についていくつか具体的な懸念も指摘されていたところである。また、英国へのデータ移転については、Brexit完了後の域外移転に関して英国に対する十分性認定の検討が行われているが、この認定プロセスへの影響も避けられないだろう。
日本 政 府は、いわゆるDFFT（Data Free Flow
2020.923