IBLES, No.38 (2020.8) 9C, 12C, 18C

シュレムス II 判決が日本企業に及ぼす影響
Judgment of the Court of Justice of the European Union of 16 July 2020 in Case
C‑311/18 Data Protection Commissioner v Facebook Ireland Limited and Maximillian
Schrems (EU:C:2020:559)

Ashley Winton（McDermott Will & Emery 法律事務所ロンドンオフィス）武 藤 ま い（McDermott Will & Emery 法律事務所ブリュッセルオフィス）

I

はじめに

2020 年 7 月 16 日、欧州司法裁判所は、いわゆるシュレムス II 先決裁定（以下、「本裁定」という。）において、EU と自己認証を行った米国組織との間での個人データの行き来を自由としたプライバシーシールド1を無効とする一方、EU 管理者から非 EU 処理者への移転に関する標準契約条項（以下、「SCC」という。
）2については有効とした。欧州司法裁判所は、この結論に至るにあたり、個人データ移転元は、各事案ごとに各移転につき評価し、移転される個人データには、移転先の国の法及び当該移転の状況に照らし、EU 基本権憲章3を踏まえた EU 一般デー
タ保護規則（以下、「GDPR」という。）4が保証するのと基本的に同等のレベルの保護が与えられなければならないと判示した。また、同裁判所は、評価の結果、保護が不十分であることが判明した場合には、即座に移転を中止する、又は追加的保護策を実施しなければならないとも判示した。こうした全面的な評価は、日々の業務や取引に必要なデータフローを危うくする可能性がある。
本裁定は、日・EU 十分性決定5を含めた、全てのタイプの国際的データ移転の再評価を迫るものであり、日本企業におかれてもその影響を十分考慮されたい。なお、本裁定は先決裁定であり、控訴されない。
II 背景
2015 年 10 月 6 日、欧州司法裁判所は、EU・米国セーフハーバー決定6を無効とした7（いわゆる、シュレムスＩ裁定。
）この裁定は、シュレムス氏が、アイルランドデータ保護委員会（以下、「DPC」という。
）に対し、エドワード・スノーデンが暴露した米国政権による大規模な通信の監視を考慮に入れた上で、セーフハーバースキーム下での自身の個人データの米国への移転について調査するよう要請したことに端を発した。
この裁定後、多くの企業が、個人データの国際的移転を合法化する他の手段、主に SCC、その後は米国政権と欧州委員会により取り決められたセーフハーバーの後任のプライバシーシー

IBLES, No.38 (2020.8) 9C, 12C, 18C

ルドを採用した。そして、シュレムス氏は、DPC に対する異議申し立てを SCC 下での移転を前提とする内容に修正した DPC は、同異議についての調査は欧州司法裁判所の SCC の有効性に関する裁定なしには終了できないと判断し、アイルランド高等裁判所を介して欧州司法裁判所に先決裁定を要請した。
２ 本裁定の要旨(1) GDPR の適用

本裁定の前提として、米国の国家安全保障法の下で行われる可能性のある大規模な傍受が問題となっていたが、GDPR は、公安、防衛、又は国家安全保障の範囲の処理について適用を除外している。そこで、欧州司法裁判所は、まず、非 EU 国への移転はこの適用除外の範囲には含まれないと明示した。非 EU 政府機関による個人データの傍受が当該非 EU 国で合法であっても、GDPR 下での個人データの安全な移転に関するルールは依然として適用されるのである。
(2) SCC 決定

続いて、欧州司法裁判所は、SCC は、受領者が自国の法又はその他の理由により SCC を遵守しない又はできない場合には、各当事者が SCC にきちんと従えば個人データの移転が中止される又は禁止されるという理由に基づき、SCC を有効と判断した。SCC には、非 EU 受領者がSCC を遵守することができない場合にその旨を EU データ管理者に対し通知する義務、及び EUデータ管理者が移転前に移転先の国の法の下で受領者が SCC を遵守できるか否かを評価する義務が含まれる。欧州司法裁判所は、そのような評価は契約ごと、事案ごとになされるべきであるとした。評価の結果、移転先の国における個人情報の保護が EU における保護と基本的に同等でないことが判明した場合、追加的保護策の導入が可能でなければ、移転を中止し、移転されたデータは全て返還又は破棄しなければならない。
(3) プライバシーシールド

欧州司法裁判所は、プライバシーシールドの有効性の判断にあたり、米国の公的機関による国家安全保障等を目的としたデータ主体の基本権への干渉が当該目的達成のために厳格に必要な程度に限定されているか、また、そのような干渉に対する効果的な法的保護が存在するかを検討した。
そして、欧州司法裁判所は、米国の外国諜報活動偵察法8の第 702 条に基づく監視プログ
ラムは、
EU 基本権憲章第 52 条第 1 項が要求する厳格に必要な程度に限定されておらず、かつ、同法は外国諜報活動の監視を実施する権限に制限を設けていない上、監視プログラ

IBLES, No.38 (2020.8) 9C, 12C, 18C

ムの対象となる可能性のある非米国人に対する保証の存在について規定していない、と認定した。
また、欧州司法裁判所は、米国大統領政策指令第 28 号9と行政命令第 12333 号10のいず
れもデータ主体に対し米国機関に対する米国裁判所での提訴権を与えておらず、その結果、データ主体は EU 基本権憲章第 47 条が保証する効果的な司法救済への権利を有しないとも認定した。この不備は、プライバシーシールド・オンブズパーソンが米国国務省の不可欠な一部を構成し独立・中立な裁判所ではない上、米国機関に対し拘束力のある決定を出す権限も有しない以上、その導入によっては治癒されなかった。
上記理由から、欧州司法裁判所は、プライバシーシールドを無効と結論付けた。
３ 本裁定の日本企業への影響(1) 日・EU 十分性決定

本判決は、日・EU 十分性決定の有効性に影響を与えない。そのため、日本企業は、従前と同じように日本と EU 間で個人データの移転を行うことができる。
ただし、欧州司法裁判が言及したように、欧州委員会の十分性決定は全 EU 加盟国に対し拘束力をもつが、十分性決定の有効性を疑う個人はデータ保護当局に対し意義を申し立てることができ、データ保護当局はその異議を調査し、必要であれば裁判所に事案を付さなければならない。
シュレムス氏の二回にわたる成功は他の異議申し立てを促進する可能性があるため、日本企業におかれては、全ての十分性決定の有効性が評価される可能性がある点に留意されたい。
(2) データの再移転

GDPR が保証する保護のレベルと基本的に同等のレベルの保護は、再移転の場合を含めた、データフローの初めから終わりまで継続しなければならない。すなわち、日・EU 十分性決定に基づき EU から日本に移転された個人データがさらに別の非 EU 国に移転される場合、当該個人データには当該非 EU 国においてもその高度のレベルの保護が与えられなければならないのである。
そこで、日・EU 十分性決定は、EU 個人データの非 EU 国への再移転については、日本の個人情報保護法第 23 条第 1 項下の除外事由のいずれにも該当しない場合、再移転元と再移転先との間に同決定付属書 I を踏まえた同法が保証するのと同等レベルの保護を与える拘束力のある取り決めがある場合を除き、データ主体の事前の同意を求める。
そのような取り決めは SCC 又は拘束的企業準則（Binding Corporate Rules）に相当すIBLES, No.38 (2020.8) 9C, 12C, 18C

るが、SCC 型の取り決めの場合、本裁定に従い GDPR を厳格に適用すると、再移転元と再移転先は、移転毎の評価義務等、上記第 2(2)章で記載した義務を遵守する必要がある。
が、これには法的執行性の問題が生じる。再移転元と再移転先が GDPR 第 3 条の規定する域外適用を受けない場合、こうした義務を法的に執行できないのである。その場合、EUのデータ輸出者が不履行につき責任を問われる可能性がある。
(3) EU から米国へのデータ移転

プライバシーシールドが無効となった以上、日本企業は、自社が使用する欧州のベンダー又はサプライヤーが、プライバシーシールド自己認証をしている米国の下請業者やサブプロセッサー（復処理者）、特にクラウドサービスプロバイダー、を使用している場合、そのようなベンダー等が、SCC もしくは拘束的企業準則に切り替えたか、又は GDPR 第 49条の除外事由のいずれかを使用しているかを確認するのが賢明であろう。クラウドサービ
スが欧州において提供されていようが、米国の国家安全保障に関するルールは米国資本の欧州に拠点を置く下請業者等に適用されるのである。
米国のクラウドやテレコムサービス等のプロバイダーへ個人データを SCC に基づき移転する場合、追加的保護策が要求される可能性が高い。しかし、欧州司法裁判所は、追加的保護策の具体的内容については触れておらず、いかなる追加的保護策が効果的かはいまだ不明確である。効果的な追加的保護策が見いだされない場合、個々のデータ保護当局が米国の一定のサービスプロバイダー等への特定の移転を禁止するということも考えられなくはない。
４ 最後に

本裁定により、EU から EU 外への個人データの移転を伴うデータ移転の仕組みの再検討が必要となっている。しかし、そのような再検討には、移転先の国の法制度の分析、及び場合によっては追加的保護策の特定と導入が必要となり、個々の企業が行うには明らかに困難が伴う。そのため、欧州データ保護会議（European Data Protection Board）が個人データの非 EU 国への移転のための仕組みの使用に関するガイダンスを早期に発表することが強く望まれる。

IBLES, No.38 (2020.8) 9C, 12C, 18C

Commission Implementing Decision (EU) 2016/1250 of 12 July 2016 pursuant to Directive 95/46/ECof the European Parliament and of the Council on the adequacy of the protection provided by the EUU.S. Privacy Shield (notified under document C(2016) 4176) C/2016/4176 (OJ L 207, 1.8.2016, p. 1)。
2 Commission Decision of 5 February 2010 on standard contractual clauses for the transfer of
personal data to processors established in third countries under Directive 95/46/EC of the EuropeanParliament and of the Council (notified under document C(2010) 593) (OJ L 39, 12.2.2010, p. 5)。
3 Charter of Fundamental Rights of the European Union (OJ C 326, 26.10.2012, p. 391)。
4 Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on theprotection of natural persons with regard to the processing of personal data and on the free movementof such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119,4.5.2016, p. 1)。
5 Commission Implementing Decision (EU) 2019/419 of 23 January 2019 pursuant to Regulation (EU)2016/679 of the European Parliament and of the Council on the adequate protection of personal data
by Japan under the Act on the Protection of Personal Information C/2019/304/ (OJ L 76, 19.3.2019, p.
1)。
6 Commission Decision 2000/520/EC of 26 July 2000 pursuant to Directive 95/46/EC of the European
Parliament and of the Council on the adequacy of the protection provided by the safe harbour privacy
principles and related frequently asked questions issued by the US Department of Commerce (OJ2000 L 215, p. 7)。
7 Judgment of the Court of Justice of the European Union of 6 October 2015 Maximillian Schrems v
Data Protection Commissioner (C‑362/14, EU:C:2015:650)。
8 The Foreign Intelligence Surveillance Act of 1978 (Pub.L. 95–511, 92 Stat. 1783, 50 U.S.C. ch. 36。
9 Presidential Policy Directive 28 (PPD‑28)。
10 Executive Order 12333 (E.O. 12333)。
1