海外法務ニューズレター（ヨーロッパ） Vol．45
Newsletter (Europe) Vol. 45
June 2021

2021 年 6 月
Data Protection
New SCCs Released

個人情報保護関連トピック
新 SCC の導入

On June 4, 2021, the European Commission adopted andreleased the publication of the decision to implement two
sets of new Standard Contractual Clauses (“SCCs”). One
relates to cross-border data transfers (1), and the otherrelates to data processing agreements between controllers
and processors (2). The new SCCs are attached to each
implementing decision in the Annexes thereof.

欧州委員会（EC）は、2021 年 6 月 4 日、2 種類の標準契約条項（SCC）に関する決定を公表しました。1 つはデータの域外移転のための SCC（※
1）、もう 1 つはデータ処理契約の SCC（※2）です。
各決定の別紙には、新たな SCC（以下「新 SCC」といいます。）が添付されています。

1. SCCs for cross-border data transfer(1) BackgroundAll the currently used SCCs were adopted by the European
Commission’s decision under the EU Directive for dataprotection. Since the General Data Protection Regulation(“GDPR”) becoming effective on May 25, 2018, new
SCCs that comply with the GDPR have been eagerly
anticipated.
In addition, as reported in our Newsletter (Europe) Vol.44,
on July 16, 2020, a judgment of the Court of Justice of theEuropean Union (“CJEU”) invalidated the previous
Privacy Shield Decision which ensured an adequate levelof protection for the cross-border transfer of personal datafrom the EEA to the US (“Schrems II decision”). In thisdecision, the CJEU raised some concerns and issues
regarding cross-border data transfers. Furthermore,
following the Schrems II decision, the European Data
Protection Board (“EDPB”) issued two sets ofRecommendations, 01/2020 and 02/2020. As described
below, Recommendations 01/2020 were open to the public
consultation process and have just been formally released

1. 域外移転のための SCC（1）背景
現行の SCC は、GDPR が発効する前の EU 指令時代のものでした。2018 年 5 月の GDPR 発
効後、GDPR に準拠した新 SCC の登場が待たれていました。
また、海外法務ニューズレター（ヨーロッパ）
Vol.44 にて既報のとおり、2020 年 7 月 16 日に
欧州司法裁判所が下したシュレムス II 判決では、EEA 域内から米国への個人情報の越境移転について、十分性を認めるプライバシーシー
ルド決定を無効とする判決を下しました。この決定理由において、EU 司法裁判所は、データの域外移転における数々の留意点を示しました。
さらにシュレムス II 判決を受けて、EU の個人情報監督官庁である EDPB は、別途、越境移転に関する 01/2020 号、02/2020 号勧告を発出しました（後述のとおり、01/2020 号勧告はパブリッ
クコメント手続が終了し、6 月 18 日に正式に公表されました。）。
新 SCC は、これらの最新事情をも踏まえ、内【執筆】ヨーロピアンプラクティスグループ、データプロテクションチーム＜メンバー＞
弁護士
生田 美弥子 （代表パートナー）
弁護士
中 亮介
本ニューズレターは法的助言を目的するものではなく、個別の案件については当該案件の個別の状況に応じ、弁護士の助言を求めて頂く必要があります。また、本稿に記載の見解は執筆担当者の個人的見解であり、当事務所又は当事務所のクライアントの見解ではありません。本ニューズレターの発送中止のご希
望、ご住所、ご連絡先の 変更のお届け、又は本ニューズレターに関する一般的
なお問合せは、下記までご連絡ください。
北浜法律事務所・外国法共同事業 ニュースレター係（ＴＥＬ： 06-6202-1088 E-mail: newsletter@kitahama.or.jp）〘大阪〙北浜法律事務所・外国法共同事業〒541-0041 大阪市中央区北浜 1-8-16 大阪証券取引所ビル
TEL 06-6202-1088（代）／FAX 06-6202-1080･9550〘東京〙弁護士法人北浜法律事務所東京事務所〒100-0005 東京都千代田区丸の内 1-7-12 サピアタワー14Ｆ
TEL 03-5219-5151（代）／FAX 03-5219-5155〘福岡〙弁護士法人北浜法律事務所福岡事務所〒812-0018 福岡市博多区住吉 1-2-25
キャナルシティ･ビジネスセンタービル４Ｆ
TEL 092-263-9990／FAX 092-263-9991

http://www.kitahama.or.jp/

on June 18, 2021.
The new SCCs were updated through public consultation
in a draft format by taking into account the latest
movements and considerations to be in line with the
Schrems II decision.
(2) Points to note regarding the new SCCs(a) Transition Period
The new SCCs entered into force on June 27, 2021, whichis twenty (20) days following the publication in the
Official Journal of the EU and will become usable inpractice.
If you start engaging in cross-border data transfers, under
the SCC framework, you may use the pre-existing SCCs
or the new SCCs, however, it is important to note that, youmust use the new SCCs on or after September 27, 2021, atthe latest.
On the other hand, there is an eighteen-month transition
period for parties who are relying on the pre-existing SCC
contracts. Such parties can continue to rely on such SCC
contracts until December 27, 2022, however, they will be
required to execute new contracts using the new SCCs by
the end of such transition period.
(b) Covered scenarios increased (Modular Approach)
Existing SCCs cover only two types of scenarios,
Controller to Controller (“C-to-C”) and Controller toProcessor (“C-to-P”).
However, the new SCCs cover two additional scenarios:
Processor to Processor (“P-to-P”) and Processor toController (“P-to-C”). Therefore, all four possible
scenarios are covered.
Module 1:
Module 2:
Module 3:
Module 4:transfer from C to C
transfer from C to P
transfer from P to P
transfer from P to C

容もパブリックコメントに付されていたドラフトからさらにブラッシュアップされ、シュレムス II 判決にも対応する内容を備えた標準契約条項となっています。
（2）新 SCC の特徴や留意点(a) 対応期限
新 SCC は、EU 官報への掲載日である 6 月
7 日から 20 日後、すなわち 6 月 27 日に発効
し、契約実務で利用できるようになりました。
また、新たに SCC を締結して SCC による域外移転を行う場合、当面の間は新 SCC の
みならず現行 SCC も利用可能ですが、9 月 27日以降は必ず新 SCC を利用する必要があります。
他方、締結済みの既存 SCC に基づく域外移転を行っている当事者については、移行期
間が 18 ヶ月間用意されており、2022 年 12 月
27 日までに既存 SCC を新 SCC に締結し直す必要があります。
(b) 対応する類型の増加（モジュール構造）
現行 SCC では、コントローラー（C）からコントローラー（CtoC）、及びコントローラーからプロセッサー（P）（CtoP）の 2 種類の移転類型のみに対応していました。
しかし今回採択された新 SCC では、従前の2 種類の移転類型に加えて、PtoP、PtoC の 2
種類の移転類型が新たに加わりました。これにより、以下のとおり合計 4 種類全ての類型をカバーできるようになりました。
モジュール 1： C to C の移転
モジュール 2： C to P の移転モジュール 3： P to P の移転モジュール 4： P to C の移転

All of these types of scenarios are incorporated as four
modules in one in the new set of SCCs. Companies are
required to select the applicable module(s) according to
the particular transfer(s).

新 SCC では、これら 4 類型に対応した条文がモジュール形式で 1 つのフォーマットに含まれています。当事者は、当該域外移転が該当する類型に合わせてモジュールを選択し、使用しなければなりません。

(c) Greater ease when executing among multiple parties
As the pre-existing SCCs contemplate a single exporterand a single importer as signatories only, particular care
was needed when executing existing SCC contracts among
multiple parties. In the new SCCs, however, multiple
parties may sign on to the same set of SCC contracts in a(c) 複数当事者間での SCC 締結が容易に
現行 SCC は二当事者間での契約締結を前提としたフォーマットだったため、関与する当事者が三者以上に及ぶ場合には契約締結のために工夫が必要でした。しかし新 SCC では、はじめから複数の当事者が契約を締結すsimple format (Annex IA) and optional docking clauses
allow parties to be added as new signatories after the
execution of a set of SCC contracts (Clause 7 of the new
SCCs).
(d) Data Transfer Impact Assessment(i) Background
Following the Schrems II decision, the Court of Justiceof the European Union (“CJEU”) has interpreted
certain articles of the GDPR in such a way that when aparty is transferring data, even through the SCC format,
consideration of the legal system in the third country ofdestination and additional measures to supplement theprotection level, which may be necessary, have to betaken into account. The new SCCs have been carefully
drafted and turn the Schrems II decision’s diligence andsupplemental measures requirements into a contractual
requirement, which is, in effect, a data transfer impact
assessment (“TIA”) (Clause 14 and 15 of the new
SCCs).
Based on the Schrems II decision, the EDPB made thedraft recommendations on the supplemental measures,
mentioned in the Schrems II decision, available forpublic consultation and formal recommendations havejust been released on June 18. Elements for theassessments required in the new SCCs look slightly
milder and preferable from a practical viewpoint thanthose required in the EDPB recommendations draftedfor public consultation. The formal recommendations
raise and give more detailed elements and explanations
than the draft recommendations and the new SCCs. As
such, one needs to prepare for transacting with the new
SCCs and simultaneously analyze the detailed EDPB
recommendations.
(ii) Overview of the Data Transfer Impact Assessment
The contractual parties using the new SCCs are
required to warrant that “they have no reason to believethat the laws and practices in the third country ofdestination applicable to the processing of the personal
data by the data importer, including any requirements
to disclose personal data or measures authorizing
access by public authorities, prevent the data importerfrom fulfilling its obligations under these Clauses”(Clause 14(a) of the new SCCs). When making thisguarantee, the parties must consider, among otherthings, “the laws and practices of the third country ofdestination – including those requiring the disclosureof data to public authorities or authorizing access by

る こ と が 簡 便 な フ ォ ー マ ッ ト で あ り （ Annex
IA）、当事者の追加を想定した条項も用意されています（新 SCC 第 7 条）。
(d) データ移転影響評価(i) 経緯シュレムス II 判決において欧州司法裁判所
は、GDPR 条文について、 SCC による場合でも移転先の第三国の法制度を確認すること、
個人情報の保護のレベルを強化するために追加的補充措置を取ることが必要な場合があると解釈しました。そのため、新 SCC では、
こうした第三国の法制度の確認や追加的補充措置についても契約条項に取り込む改良が加えられています。実質的にはデータ移転
影響評価というべきものです（新 SCC 第 14条、同第 15 条）。
同判決を踏まえて、欧州データ保護評議会（EDPB）も、シュレムス II 判決に基づいた追加的補充措置に関する勧告案を公表し、これがパブリックコメントに付されていましたが、6 月
18 日 に 正 式 な勧 告 が 公 表 され ました 。新
SCC で要求されるデータ移転影響評価の考
慮要素は、EDPB のパブリックコメント案のそれよりも若干要件が緩やかで実務的に好ましい点が見受けられます。そして EDPB の正式な勧告は、パブリックコメント案や新 SCC よりも詳細に考慮要素を挙げて説明しています。
今後、新 SCC 締結の準備と EPDB の詳細な勧告の分析を並行して進めることが望ましいでしょう。
(ii) データ移転影響評価の内容
新 SCC の契約当事者は「本件でデータ輸入者が個人情報の処理を行う際に適用のある第三国の法制度や実務（個人情報の開示の要件や公的機関による個人情報へのアクセスの手段を含む。）が、新 SCC 上の義務の履行を阻害する懸念がない」ことを表明保証
することが求められます（新 SCC 第 14 条(a)）。また、この保証をするに当たっては、当事者は、「データ移転の具体的な状況、及び適用される制限・追加的補充措置を踏まえた、移転先の第三国の法制度や実務（公的機関に対してデータを開示することを要求し、又は公的機関によるデータへのアクセスを認めることを含む。）」等を考慮せねばなりません（新 SCC 第 14 条(b)）。当該条文に付された長い脚注では、移転先の第三国の法文をsuch authorities – relevant in light of the specificcircumstances of the transfer, and the applicable
limitations and safeguards” (Clause 14(b) of the new
SCCs). An in-depth footnote for this Clause alerts tothe necessity to take into account the practicalexperiences in lieu of a superficial review of the legal
landscape of the third country of destination. In otherwords, depending on the country of destination, thetransfer of data could become more difficult than
before.
Also, any amendments or additions in a way that
contradicts, directly or indirectly, these Clauses or
prejudices the fundamental rights or freedoms of data
subjects are not allowed (Clause 2(a) of the new SCCs).
Therefore, obligations and liabilities of the parties
cannot be limited.
(iii) Obligations of the parties
The data importer must “notify the data exporter and,
where possible, the data subject promptly” if the data
importer receives a legally binding request from apublic authority.
Furthermore, if the data importer comes to theconclusion that there are reasonable grounds toconsider that the request is unlawful under the laws of
the country of destination, applicable obligations underinternational law and principles of internationalcomity, the data importer is required to challenge therequest (Clause 15.2(a) of the new SCCs).
The assessment document must be available to EU
supervisory authorities on request (Clause 14 (b) of the
new SCCs). However, the assessment does not need to
be attached to the SCCs.
(e) Other
A party is required to specify the governing law(Clause 17 of the new SCCs) and choice of forum andjurisdiction (Clause 18 of the new SCCs).
In addition, the competent supervisory authority(Clause 13 of the new SCCs) should be defined andstated, and if an EU representative needs to beestablished pursuant to Article 3.2 of the GDPR, theEU member state in which the EU agent has been
established should also be stated (Clause 13 (a) of new
SCCs).
In May 2021, there was a case in which a fine (525,000
Euros) was imposed for the first time by the Dutch Data
Protection Authority (“Dutch DPA”) on a business
operator who breached its obligation and did not set up

表面的に検討するだけでなく、実務的な経験をも考慮するよう求められています。移転先の国や地域によっては、従前以上にデータを移転することが困難になる可能性があります。
なお、新 SCC で用意された条項と直接間接に相反する内容やデータ主体の基本的権
利や自由を害する内容に改変することはできません（新 SCC 第 2 条(a)）。したがって、当事者の責任を限定することはできません。
(iii) 当事者の責任
仮に公的機関から法的拘束力ある要求により域外移転データの開示を要求された場
合、データ輸出者に、及び可能であればデー
タ主体に対して速やかに通知しなければなりません。
さらに、データ輸入者が、慎重な検討の結果、現地の法や、適用のある国際法及び国
際礼譲の原則に照らして、当該開示要求は違法であると考える合理的な根拠があると結論づける場合には、開示要求について異議申立てをする義務があります（新 SCC 第 15.2
条(a)）。
データ移転影響評価の結果については、
SCC に添付する必要はありませんが、監督当局からリクエストがあれば開示しなければなりません（新 SCC 第 14 条(d)）。
(e) その他
新 SCC では準拠法（新 SCC 第 17 条）や、紛争解決のための裁判所（新 SCC 第 18 条）
を定めて記載することが求められます。
さらに、管轄監督当局（新 SCC 第 13 条）を定めて記載することや、GDPR 第 3 条 2 項により EU 代理人の設置が必要な場合は EU 代理人が設立された EU 加盟国を記載することも求められます（新 SCC 第 13 条(a)）。
本年 5 月には EU 代理人設置が必要であるにもかかわらず設置していなかった事業者に対してオランダのデータ監督当局により初めて制裁金（525,000 ユーロ）が課された事例が発生しています。この事例は影響を受ける
データ主体の数が多数に上り悪質性も高い事案であるため一般化は難しいものの、EU代理人が設置義務違反を問う事例が現れた
以上、今後は EU 代理人を設置する義務を軽視することはできません。
EU 代理人を設置する必要があるにもかかan EU representative. Although this case should not be
generalized because of the large number of affected
data subjects and the extent of the maliciousness, wecannot underestimate the existence of the first casewhere the violation of the EU representative
establishment obligation led to a fine.
In the case where a party is required to have an EU
representative, but does not, such party may be facedwith difficult decisions when executing new SCC
contracts.
2. SCCs for Data Processing Agreements
When a controller subcontracts the processing of personal
data to a sub-processor, it is required to add the items
enumerated in Article 28 of the GDPR, but there have been
no standard contractual clauses for this purpose. For the
first time, new SCCs for data processing agreements havebeen prepared as standard contract clauses. The new SCCs
cover the requirements stipulated in Article 28 of the
GDPR.
In addition, unlike the new SCCs for cross-bordertransfers, the parties can continue to draft and conclude adata processing agreement that includes the mattersprescribed by the GDPR (Clause (5) and (6) of theimplementing decision of the new SCCs for dataprocessing agreement).
In addition, the new SCC for extraterritorial relocation
covers the requirements for data processing agreements.
Therefore, once you enter into a new SCC contract forcross-border transfers, you do not need to execute separate
SCC contracts for data processing agreements.
3. Final Words
Since the EU and Japan have mutually adopted theadequacy decision, the transfer of data from the EU to
Japan does not fall under the category of cross-bordertransfers and it is not required to execute a new SCC
contract. However, if a party is planning to transfer EUderived data from Japan to other countries or regions, suchparty would eventually need to execute a new SCC
contract.
As mentioned above, when considering the necessity of
executing a new SCC, it is a prerequisite that the data flow
and usage are properly understood (data mapping). To
offer a suggestion in preparedness, it would be beneficial
to try data mapping (again) keeping in mind the release of
the new SCCs.
In addition, Japan's Act on the Protection of Personal
Information, amended in 2020, also requires confirmation

わらず設置していない場合には、新 SCC 締結にあたって難しい判断を求められる可能性も
あります。
2.

データ処理契約の SCC
GDPR では、コントローラーがプロセッサーに
個人情報の処理を委託する場合には、委託契約に GDPR 第 28 条が想定する条項を入れる必要がありますが、従前は標準契約条項が用意されていませんでした。今回初めて第 28 条が想定する条項を入れる場合の標準契約条項としてデータ処理契約の新 SCC が用意されました。
なお、域外移転用の新 SCC の場合とは異なり、当事者は GDPR 所定の事項を含むデータ処
理契約を独自にドラフトし締結することも、引き続き可能です（新 SCC 採択決定の序文第 5 項及び同第 6 項）。
また、域外移転用の新 SCC ではデータ処理
契約に必要となる事項がカバーされています。
したがって、域外移転用の新 SCC を締結すれば、データ処理契約の新 SCC を別途締結する必要はありません。

3.

最後に日本は EU との間で相互に十分性認定を得ているため、EU から日本へのデータの移転は域外移転に該当しませんので、新 SCC の締結は不要です。しかし日本からさらに他の国や地域に EU 由来のデータを移転することが予定されている場合は、結局新 SCC の締結が必要となります。
以上のとおり、新 SCC 締結の要否を検討する
際には、データの流れや用途等をきちんと把握できていること（データマッピング）が前提となります。新 SCC の公表を契機に、今一度データマッピングを実行してみてはいかがでしょうか。
また、日本の個人情報保護法においても令和2 年改正によって、外国への個人データの移転に際して移転先の国の法制度と事業者が講じる措置について確認が必要となります。EU とアメリカの間ではプライバシーシールドに代わる新たなデータ移転の枠組みを模索しているとの情報もありますが、現時点ではまだ確たる情報は明らかになっていません。最新の動向にもご留意ください。
本件に関連して、弊所のヨーロッパ・プラクティス・グループ及びデータプロテクションチーム
の専門の弁護士から、追加で情報をご提供した

of the laws and practices of the destination country and themeasures taken by the business operator when transferring
personal data to a foreign country. It is said that the EU andthe US are looking for a new data transfer framework to
replace the privacy shield, but no definitive information
has yet been revealed at this time. Please also keep in mind
the latest trends.

With respect to this subject, experts in our firm’s European
Practice Group and Data Protection Team remain at yourdisposal to provide you with further information and to
give you further advice regarding data protection issues.
*1
COMMISSION IMPLEMENTING DECISION (EU)2021/914 of 4 June 2021on standard contractual clauses
for the transfer of personal data to third countries pursuant
to Regulation (EU) 2016/679 of the European Parliamentand of the Council (Text with EEA relevance)
https://eur-lex.europa.eu/legalcontent/EN/TXT/PDF/?uri=CELEX:32021D0914&from=EN*2
COMMISSION IMPLEMENTING DECISION on
standard contractual clauses between controllers andprocessors under Article 28 (7) of Regulation (EU)2016/679 and Article 29 (7) of Regulation (EU) 2018/1725
https://eur-lex.europa.eu/legalcontent/EN/TXT/PDF/?uri=CELEX:32021D0915&from=ENり、個人情報保護に関するアドバイスをさせていただくことも可能です。どうぞご相談ください。

※1
COMMISSION IMPLEMENTING DECISION(EU) 2021/914 of 4 June 2021on standard
contractual clauses for the transfer of personal
data to third countries pursuant to Regulation(EU) 2016/679 of the European Parliament and of
the Council (Text with EEA relevance)
https://eur-lex.europa.eu/legalcontent/EN/TXT/PDF/?uri=CELEX:32021D091
4&from=EN※2
COMMISSION IMPLEMENTING DECISION
on standard contractual clauses between
controllers and processors under Article 28 (7) ofRegulation (EU) 2016/679 and Article 29 (7) ofRegulation (EU) 2018/1725
https://eur-lex.europa.eu/legalcontent/EN/TXT/PDF/?uri=CELEX:32021D0915&from=EN