海外法務ニューズレター（ヨーロッパ） Vol．44
Newsletter (Europe) Vol. 44
February 2021

2021 年 2 月

DATA PROTECTION TOPICSCHREMS II AND NEW SCCS

個人情報保護関連トピック
Schrems II のインパクトと新 SCC の導入

The recent judgment of the Court of Justice of theEuropean Union in the Schrems II case has brought
renewed attention to the international transfer ofpersonal data. With respect to the transfer or personal
data from EEA to Japan, because of the EU’s adequacy
decision in January 2019 with respect to Japan, many
Japanese companies should have ceased using the SCC;
nonetheless, the European Commission issued newSCCs in 2020.

シュレムス II 判決が出されたことにより、 個人情報の越境移転に注目が集まっています。
GDPR 上の個人情報の EEA から日本への越境移転に関しては、日本が十分性認定を受けた 2019 年 1 月
以降、SCC を使わなくなった企業様も多いかとは思いますが、2020 年暮れに、欧州委員会が GDPR に基づ
く SCC 案を二種類公表しています。

１． シュレムス II 判決とは
1. Schrems II Judgment(１)手続概要(1) Summary of the Process
On July 16, 2020, a judgment of the Court of Justice of theEuropean Union (CJEU) invalidated the previous Privacy
Shield Decision which ensured an adequate level ofprotection for the international transfer of personal datafrom the EEA to the US (“Schrems II”).
This case started with Mr. Schrems, an Austrian lawyer,
who in June 2013 filed a complaint with the Irish Data
Protection Authority whereby he requested, in essence, that
Facebook Ireland be prohibited from transferring his
personal data to the United States on the ground that thelaw and practice in force in the US did not ensure adequate
protection of his personal data against surveillance
activities in which the US public authorities were engaged.
In fact, some of his personal data in the EU had been

【監修者】ヨーロピアンプラクティスグループ、データプロテクションチーム
＜メンバー＞
弁護士
生田 美弥子 （代表パートナー）
弁護士
中 亮介本ニューズレターは法的助言を目的するものではなく、個別の案件については当該案件の個別の状況に応じ、弁護士の助言を求めて頂く必要があります。また、本稿に記載の見解は執筆担当者の個人的見解であり、当事務所又は当事務所のクライアントの見解ではありません。本ニューズレターの発送中止のご希望、ご住所、ご連絡先の 変更のお届け、又は本ニューズレターに関する一般的なお問合せは、下記までご連絡ください。
北浜法律事務所・外国法共同事業 ニュースレター係（ＴＥＬ： 06-6202-1088 E-mail: newsletter@kitahama.or.jp）

EU 司法裁判所は、2020 年 7 月 16 日、EEA 域内から米国への個人情報の越境移転について、十分性を認めるプライバシーシールド決定を無効とする判決を下しました。これがシュレムス II 判決です。
事件は、2013 年 6 月にオーストリアの弁護士であるシュレムス氏が、フェイスブックによる個人情報の米国への移転について、アイルランドの個人情報当局に対し、苦情を申し立てたことから始まりました。苦情は、フェイスブックアイルランドに対し、米国へ個人情報を移転するのを禁ずるよう求めるものでした。その理由は、米国では、米国で有効な法や実務に基づいた米国当局の監視活動が、個人情報の適切な保護を保障していない、というものでした。事実、EU 内の個人情報の一部は、米国のフェイスブックにあるサ〘大阪〙北浜法律事務所・外国法共同事業〒541-0041 大阪市中央区北浜 1-8-16 大阪証券取引所ビル
TEL 06-6202-1088（代）／FAX 06-6202-1080･9550〘東京〙弁護士法人北浜法律事務所東京事務所〒100-0005 東京都千代田区丸の内 1-7-12 サピアタワー14Ｆ
TEL 03-5219-5151（代）／FAX 03-5219-5155〘福岡〙弁護士法人北浜法律事務所福岡事務所〒812-0018 福岡市博多区住吉 1-2-25
キャナルシティ･ビジネスセンタービル４Ｆ
TEL 092-263-9990／FAX 092-263-9991

http://www.kitahama.or.jp/-1-transferred to servers belonging to Facebook Inc. in theUnited States where it underwent processing. However,the Irish DPA rejected his complaint on the ground, interalia, that the US is recognized as ensuring an adequatelevel of protection.
The High Court (Ireland), before which Mr. Schrems hadbrought judicial review against the rejection of hiscomplaint, made a request to the CJEU for a preliminary
ruling on the interpretation and validity of the decision on
the adequacy of the protection provided by the safe harbor
privacy principles (the “Decision”). The CJEU declaredthat Decision invalid (“Schrems I”).
In the Irish DPA’s investigation after the judgment,
Facebook Ireland explained that a large amount of personal
data was transferred to Facebook Inc. pursuant to the SCC.
Upon the Irish DPA’s request, Mr. Schrems reformulated
his complaint and claimed, inter alia, that US law requires
Facebook Inc. to make the personal data transferred to it
available to the NSA and the FBI in a manner incompatible
with certain articles of the EU Charter of Fundamental
Rights (the “Charter”), and therefore, the transfer of thatdata to the US is illegal.
Based on the reformulated complaint of Mr. Schrems, onMay 31, 2016, the Irish DPA brought an action before theIrish High Court in order to refer a question on the issue tothe CJEU. By its order of May 4, 2018, again the High
Court made reference for a preliminary ruling to the CJEU.
The Irish High Court attached a copy of a judgment handed
down on October 3, 2017, in which it had set out the resultsof an examination of the evidence produced before it in thenational proceedings, in which the US Government hadparticipated. Based upon the relevant findings therein,the CJEU became aware of the fact that the US carries out
mass processing of personal data through its intelligence
activities on the basis, inter alia, of Section 702 of the FISA
and on E.O. 12333, without ensuring a level of protection
essentially equivalent to that guaranteed by Articles 7 and
8 of the Charter.
As regards judicial remedies, the CJEU affirmed thefindings by the Irish Court that EU citizens do not have thesame remedies as US citizens in respect of the processingof personal data by the US authorities, since the Fourth
Amendment to the US Constitution, which constitutes the-2-ーバーに送られ、処理されていました。しかし、アイルランドの個人情報当局は、米国の保護レベルについて十分性が認められていることを理由に、この苦情を棄却しました。
シュレムス氏は、この棄却決定の取消しを求めてアイルランドの裁判所に提訴しました。アイルランドの裁判所であるハイ・コートは、EU 司法裁判所に対し、セーフハーバー原則による保護の十分性を認めた
EU 委員会の決定（「本決定」）の有効性に関する解釈を求めて先決裁定手続をとりました。先決裁定手続の結果、EU 司法裁判所は本決定を無効と判断しました（シュレムス I）。
EU 司法裁判所の判決を受けて、アイルランドの個人情報当局が調査を進めていると、Facebook Irelandが大半の個人情報の越境移転を、SCC を通じて行っていたと説明してきたので、アイルランド当局の要請により、シュレムス氏は苦情の内容を変更し、米国法が、EU 基本権憲章の複数の条項に反する違法な方法で、米国フェイスブックに対し NSA や FBI に対し個人情報を提供させているなどと主張しました。
シュレムス氏の変更後の苦情に基づき、2016 年 5月 31 日、アイルランドの個人情報当局は、アイルランドのハイ・コートに対し、EU 司法裁判所の先決裁定手続を求めるよう求めて訴えを提起しました。ハイ・コー
トは、2018 年 5 月 4 日付の決定により、EU 司法裁判所への先決裁定手続を取りました。
ハイ・コートは、米国政府が参加した国内裁判において提出された証拠の取調べ結果を別紙として 2017年 10 月 3 日付判決を付していました。 EU 司法裁判所は、この取調べ結果から、米国が、FISA 第 702 条や EO12333 を根拠とする諜報活動により、大量に個人情報を処理しており、EU 基本権憲章の第 7 条や第8 条が保障すべきレベルで個人情報を保護していない事実を知るに至りました。
さらに、EU 司法裁判所は、司法上の救済に関して、アイルランドの裁判所が下した以下の認定を採用しました。すなわち、「EU 市民には、米国市民と異なり、違法な監視に対して不服を申立てて訴える権利という米国憲法修正第 4 条に基づく非常に重要な権利が付与されていない。したがって同等の救済手段が付与されているとは言えない」というものです。これに加え、アイルランドの裁判所は、プライバシーシール
ド用のオンブズパーソン制度は、EU 人権憲章第 47

most important cause of action available to challenge
unlawful surveillance, is not applicable to them. Inaddition, the Irish Court pointed out that the Privacy Shield
Ombudsperson is not a tribunal within the meaning ofArticle 47 of the Charter.
(2) Schrems II Holdings
The most important holdings contained within theSchrems II judgment are the following:a) Invalidation of the Privacy Shield Decision on accountof invasive US surveillance programs, thereby making
transfers of personal data on the basis of the Privacy
Shield Decision illegal.
b) Stricter requirements for the transfer of personal data
based on SCCs. Data controllers or processors that
intend to transfer data based on SCCs must ensure thatthe data subject is granted a level of protection
essentially equivalent to that guaranteed by the GDPR
and the EU Charter, and if necessary, with additional
measures to compensate for lacunae in protection of
third country legal systems. Failing that, operators
must suspend the transfer of personal data outside theEU.
(3) Comments
Based upon Schrems II, even if the Japanese private sector
diligently complies with applicable data protection
regulations, the Adequacy Decision might be invalidated
due to national legislation and/or intelligence activities ofthe public bodies of Japan. Once the Adequacy Decision
is denied, the data transfer outside the EU would not bevalid through the SCC unless additional measures areappropriately taken in order to reinforce the level of dataprotection.
2. EDPB’s Two Sets of Recommendations in 2020 on
the Transfer of Personal Data from the EU
Following the Schrems II judgment, on November 11,2020, the EDPB issued two sets of Recommendations
01/2020 and 02/2020. The Recommendations 01/2020
on Supplementary Measures provide a road map of goodpractices for data exporters about the appropriate
mechanism for data transfer including the SCCs. Inaddition, the Recommendations 02/2020 on the EU
Essential Guarantees outline certain features to assess-3-条で要求される裁判所とはいえず同条の要件を満たさないとも指摘していました。
（２）決定内容
EU 司法裁判所のシュレムス II 判決の要点は以下の通りです。
a) 米国の侵襲的な監視プログラムを理由としてプライバシーシールド決定は無効となること。これにより個人情報をプライバシーシールドに基づいて域外移転することは違法となること。
b) SCC に基づく個人情報の移転へのより厳しい要請。SCC で個人情報を移転したいコントロー
ラー・プロセッサーは、必要に応じて第三国の法律制度が、大要 GDPR 及び EU 人権憲章と同等の保護レベルにあることを確保しなければならず、必要があればその国の法制度の不備を補充する措置を取らなければならない。もし補充できない場合には、EU 外への個人情報の移転は停止しなければならない。
（３）コメント
シュレムス II 判決を読むと、民間企業がいかに熱心に個人情報保護にいそしんでいても、 十分性決定は、その第三国の法令や公的機関の諜報活動のせいで無効化される可能性があることになります。いったん十分性が否定されてしまうと、SCC だけに頼ることはできず、個人情報の保護のレベルを強化するため、追加的補充措置を取らなければならなくなるでしょう。
２． 2020 年の EU 域外への個人情報移転に関する 2
つの EDPB 勧告について
シュレムス II 判決を受けて、2020 年 11 月 10 日、EU の個人情報監督官庁である EDPB は、越境移転に関する 01/2020 号、02/2020 号勧告を発出しました。補充措置に関する 01/2020 は、SCC を含む適切なデータ移転措置に関して、個人情報の輸出者のグッドプラクティスへの道のりを示す勧告です。EU の主
要な保障に関する 02/2020 は、第三国の法律が公的当局に個人情報へのアクセスを認めている場合、これが正当化しうる抵触と言えるかどうか評価する際に必要となるいくつかの観点についての勧告です。

whether the legislation of the third country giving publicauthorities access to personal data is to be regarded as ajustifiable interference or not.
Many published articles mainly about the first
Recommendations 01/2020 emphasize that SCC may be an
insufficient mechanism for the transfer of personal datafrom the EU in certain cases. If the third country has
legislation allowing governmental authorities to gain wideaccess to personal data for surveillance purposes like theUS, then the SCC will not be enough to validly transfer
personal data because the third country cannot be bound by
the contract including the SCC. In order to understandwhen a third country is regarded insufficient for the EU
level of protection, the Recommendations 02/2020 are alsoof great importance.
3．New SCCs
All currently used SCCs are adopted by the EU
Commission’s decision under the EU Directive for dataprotection, the GDPR. The GDPR became effective on
May 25, 2018 and since then new SCCs have been awaited.
(1) SCCs for Data Transfer From the EU
Until now, there have been only two kinds of SCCs;
specifically, that from controller to controller, and that fromcontroller to processor. New SCCs cover all four possible
patterns: (i) from controller to controller; (ii) from controller
to processor; (iii) from processor to controller; and (iv) fromprocessor to processor.
(2) New SCC under Subsection 7, Article 28 of the GDPR
When a controller subcontracts the processing of personal
data to a processor, it is required to add items enumerated inArticle 28 of the GDPR but there have been no standard
contractual clauses for this purpose.
(3) One-Year Transition Period
If the new SCCs are adopted by the EU Commission, parties
must replace their current SCCs with the applicable new ones
within one year from the decision.
*****
With respect to this subject, experts in our firm’s European
Practice Group and Data Protection Team remain at yourdisposal to provide you with further information and to give
you further advice regarding data protection issues.
-4-

前者の 01/2020 についてはたくさん記事が出ていて、SCC を遵守していてもそれだけでは不十分な場合があることが強調されています。米国のように、安全保障目的に個人情報を大量に吸い上げる法律を有する第三国に対しては、SCC だけでは有効に情報を越境移転できなくなります。なぜなら、その第三国は SCC を含む契約の当事者ではなく、契約に拘束されないからです。第三国が EU レベルの保護に不十分かどうかを判断するためには、02/2020 号勧告が重要になってきます。
３． 新 SCC
現行の SCC は、GDPR が発効する前の、EU 指令時代のものです。GDPR が発効されたのは 2018 年 5月 25 日ですが、その後長らく新しい SCC の登場が待たれていました。
（１）越境移転についての SCC
これまでは、コントローラーからコントローラー（CtoC）、コントローラーからプロセッサー（CtoP）に対する二種類の SCC しかありませんでした。新案では、
CtoC, CtoP, PtoC, PtoP の四種類の越境についてすべてカバーしています。
（２）28 条 7 項に基づく全く新しい SCC
コントローラーがプロセッサーに個人情報の処理を委託する場合には、委託契約に第 28 条が想定する条項を入れる必要がありますが、定型条文は用意されていませんでした。今回初めて第 28 条が想定する条項を入れる場合のスタンダードとなる 定型 条文（SCC）が作成されました。
（３）1 年後までに書き換え
EU 委員会によって、新 SCC が採択されれば、導入から 1 年以内にこれまでの SCC を新 SCC で締結し直す必要があります。
*****
本件に関連して、弊所のヨーロッパ・プラクティス・グループ及びデータプロテクションチームの専門の弁護士から、追加で情報をご提供したり、個人情報保護に関するアドバイスをさせていただくことも可能です。どうぞご相談ください。