越境プライバシールール（CBPR）の展開と展望
弁護士・ひかり総合法律事務所
理化学研究所革新知能統合研究センター客員主管研究員
国立情報学研究所客員教授
大阪大学社会技術共創研究センター招へい教授

板倉陽一郎

2021/6/11

第17回DBSC春のセミナー

1

自己紹介
•

2002年慶應義塾大学総合政策学部卒，2004年京都大学大学院情報学研究科社会情報学専攻修士課程修了，2007年慶應義塾大学法務研究科（法科大学院）修了。2008年
弁護士（ひかり総合法律事務所）。2016年4月よりパートナー弁護士。

•

2010年4月より2012年12月まで消費者庁に出向（消費者制度課個人情報保護推進室（現・個人情報保護委員会事務局）政策企画専門官）。2017年4月より理化学研究所
革新知能統合研究センター社会における人工知能研究グループ客員主管研究員，2018年5月より国立情報学研究所客員教授。2020年5月より大阪大学社会技術共創研究センター招へい教授。2021年4月より国立がん研究センター研究所医療AI研究開発
分野客員研究員。

•

消費者庁・デジタル・プラットフォーム企業が介在する消費者取引における環境整備等に関する検討会委員、総務省・情報通信法学研究会構成員、IoT推進コンソーシ
アム・データ流通促進ＷＧ委員等。

•

⽇弁連消費者問題対策委員会副委員⻑（電⼦商取引・通信ネットワーク部会⻑），法とコンピュータ学会理事、⽇本メディカルＡＩ学会監事、一般社団法人データ社
会推進協議会監事等。

2021/6/11

第17回DBSC春のセミナー

2近著

2021/6/11

第17回DBSC春のセミナー

3

序APEC-CBPRとの因縁• アジア太平洋経済協力（APEC）電⼦商取引推進グループ（ECSG，
現・デジタル経済推進グループ・Digital Economy Steering Group(DESG)）及びデータプライバシーサブグループ（DPS）⽇本代表団（2010年9月〜2012年5月）• 消費者庁 アジア太平洋地域等における個人情報保護制度の実態調査検討委員会 オブザーバ（2013年1月〜3月）• 経済産業省 平成25年度我が国経済社会の情報化・サービス化に係る基盤整備（経済産業分野を対象とする個人情報保護に係る制度整
備等調査研究）平成25年度認定個人情報保護団体の在り方に関する検討委員会 委員（2014年1月〜2月）• 石井夏生利・曽我部真裕・森亮二編著『個人情報保護法コンメン
タール』（勁草書房，2021年）47条担当
2021/6/11

第17回DBSC春のセミナー

4

APECにおける個人情報保護の枠組み①• 2004年

APECプライバシーフレームワーク• ①損害の回避，②通知，③収集制限，④個人情報の利用等，⑤選択，⑥個人情報の完全性，⑦安全保護措置，⑧アクセス及び訂正，⑨責任• 2009年 越境プライバシー執行協定（CPEA：Cross Border
Privacy Enforcement Arrangement)，2010年開始• プライバシー執行機関（データ保護機関）単位で加入する。
• オーストラリア連邦情報コミッショナー事務局，オーストラリアビクトリア州情報コミッショナー事務局，米国連邦取引委員会，香港プライバシー・コミッショ
ナー事務局，カナダ連邦プライバシー・コミッショナー事務局，韓国個人情報保護委員会，メキシコ連邦情報公開データ保護機関，シンガポール個人データ保護委員会，⽇本・個人情報保護委員会，フィリピン国家プライバシー委員会，台湾・公正取引委員会等15省庁（合計26機関）
2021/6/11

第17回DBSC春のセミナー

5

APECにおける個人情報保護の枠組み②• 2011年 APEC越境プライバシールール（CBPR：Cross
Border Privacy Rules），2013年認証開始• エコノミー（国・地域）単位で加入する。
• 米国，メキシコ，⽇本，カナダ，シンガポール，韓国，オーストラリア，台湾，
フィリピン（9エコノミー）• アカウンタビリティ・エージェント（AA）が認証する。
• ⽇本：JIPDEC• 韓国：韓国インターネット振興院（KISA）• シンガポール：情報メディア振興庁• 米国：Schellman，Truste ，NCC Group，HITRUST，BBB• 2015年

PRP（Ther Privacy Recognition for Processors）• ⽇本は未加盟
2021/6/11

第17回DBSC春のセミナー

62021/6/11

第17回DBSC春のセミナー

7経済産業省資料を
筆者改変

個人情報保護委員会
JIPDEC

2021/6/11

第17回DBSC春のセミナー

82021/6/11

第17回DBSC春のセミナー

9データ通信協会 情報
法制研究会 第4回シンポジウム（2016年6月12日）坂下哲也「APEC／CBPRシス
テムの概要」

2021/6/11

第17回DBSC春のセミナー

10データ通信協会 情報
法制研究会 第4回シンポジウム（2016年6月12日）坂下哲也「APEC／CBPRシス
テムの概要」

2021/6/11

第17回DBSC春のセミナー

11データ通信協会 情報
法制研究会 第4回シンポジウム（2016年6月12日）坂下哲也「APEC／CBPRシス
テムの概要」

2021/6/11

第17回DBSC春のセミナー

12データ通信協会 情報
法制研究会 第4回シンポジウム（2016年6月12日）坂下哲也「APEC／CBPRシス
テムの概要」

2021/6/11

第17回DBSC春のセミナー

13データ通信協会 情報
法制研究会 第4回シンポジウム（2016年6月12日）坂下哲也「APEC／CBPRシス
テムの概要」

2021/6/11

第17回DBSC春のセミナー

14

認証ロゴ

2021/6/11

第17回DBSC春のセミナー

15

CBPR認証企業• ⽇本• JIPDEC：インタセクト・コミュニケーションズ，Paidy• アメリカ• TRUSTe：[24]7.ai, Inc.，Apple Inc.，Assurant, Inc.，BitSight Technologies, Inc.，Box,
Inc.，Cisco Systems, Inc.，Crowley Webb & Associates, Inc.，Electronic Arts，
General Electric Company，Hewlett Packard Enterprise Company，HP Inc.，IBM，Infor，Kobre & Kim LLP，LogMeIn, Inc.，Mastercard International, Inc.，Merck & Co.,
Inc., Kenilworth, NJ. USA，Organon & Co.，PGA Tour，Rackspace，Reltio Inc.，
Rimini Street, Inc.，The Ultimate Software Group，Virgin Pulse, Inc.，Workday, Inc.，
World Wrestling Entertainment, Inc.，Yodlee, Inc.，Ziff Davis, LLC• Schellman & Company, LLC：ServiceNow, Inc.，Slack Technologies, Inc.，• NCC Group Security Services, Inc.：Talkdesk, Inc.

• シンガポール• 情報メディア振興庁：Alibaba Cloud (Singapore) Private Limited，CrimsonLogic Pte
Ltd，The Great Eastern Life Assurance Company Limited，TRS Forensics Pte Ltd

2021/6/11

第17回DBSC春のセミナー

162021/6/11

第17回DBSC春のセミナー

17個人情報保護委員会「APEC CBPRシステムへの参加をご検討下さい」（広報⽤資料）

2021/6/11

第17回DBSC春のセミナー

18

個人情報保護委員会「APEC CBPRシステムへの参加をご検討下さい」（広報⽤資料）

2021/6/11

第17回DBSC春のセミナー

19個人情報保護委員会「APEC CBPRシステムへの参加をご検討下さい」（広報⽤資料）

2021/6/11

第17回DBSC春のセミナー

20令和2年改正法概要資料

1-1

4-1

1-2

4-2

1-3
1-4
5-1
1-5

5-2

2-1

2-2

6-1
6-2

2021/6/11

3-1

7-1

第17回DBSC春のセミナー

21

6. 法の域外適用・越境移転の在り方
6-2外国にある第三者への個人データの提供制限の強化

旧第24条
個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。
以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

2021/6/11

新第24条（令和3年改正後28条）
個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び第26条の2第1項第2号において同じ。）にある第三者（個人デー
タの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第1項各号に掲げる場合を除くほか、あらかじめ外国にある
第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
２ 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置
その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３ 個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

第17回DBSC春のセミナー

2224条の行為規制
個人情報
取扱事業者

本人

外国にある
第三者
「同等の水準」EU/EEA・UK

当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考とな
るべき情報

本人

24条の同意

個人情報取扱事業者「必要な措置」に関する情報
本人

2021/6/11

求め

外国にある
第三者
個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置

個人情報
取扱事業者
第17回DBSC春のセミナー

外国にある
第三者
相当措置
23
①契約等or➁APEC-CBPR

6. 法の域外適用・越境移転の在り方
6-2外国にある第三者への個人データの提供制限の強化（外国にある第三者への提供に係る同意取得時の情報提供）
新規則第11条の3
法第二十四条第二項又は法第二十六条の二第一項第二号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
２
法第二十四条第二項又は法第二十六条の二第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。
一
当該外国の名称
二 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
三当該第三者が講ずる個人情報の保護のための措置に関する情報
３
前項の規定にかかわらず、個人情報取扱事業者は、法第二十四条第一項の規定により本人の同意を得ようとする時点において、前項第一号に定める事項が特定できない場合には、同号及び同項第二号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
一
前項第一号に定める事項が特定できない旨及びその理由二
前項第一号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
４第二項の規定にかかわらず、個人情報取扱事業者は、法第二十四条第一項の規定により本人の同意を得ようとする時点において、第二項第三号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
（外国にある第三者による相当措置の継続的な実施を確保するために必要な措置等）
新規則第11条の4
法第二十四条第三項（法第二十六条の二第二項において読み替えて準用する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
一 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
二 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（第二十六条の二第二項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
２
法第二十四条第三項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
３
個人情報取扱事業者は、法第二十四条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
一
当該第三者による法第二十四条第一項に規定する体制の整備の方法
二
当該第三者が実施する相当措置の概要
三第一項第一号の規定による確認の頻度及び方法
四
当該外国の名称五
当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
六
当該第三者による相当措置の実施に関する支障の有無及びその概要
七
前号の支障に関して第一項第二号の規定により当該個人情報取扱事業者が講ずる措置の概要
４
個人情報取扱事業者は、法第二十四条第三項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
５
個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

2021/6/11

第17回DBSC春のセミナー

24外国にある第三者への個人データの提供

国会

第201回国会参・内閣委員会第13号（令和2年6月4日）○山田太郎君 ありがとうございました。
（前略） 今回、外国にある第三者への制限ということで、改正法の二十四条に当たる部分でありますが、新設されまして、外国にある第三者に個人データを提供する場合に本人からの同意を得る際、本人への参考となるべき情報の提供義務が課されたということなんですが、これも具体的にどのような参考情報の提供義務が発生するか、非常に不明だと思うんですね。
本人に提供しなければならない参考情報の基準とか具体例ですとか提供の方法、それから外国の個人情報保護法の条文を伝えるだけで足りるのかどうかとか、
一律に日本語での情報提供でなければならないのか。例えば、被害を受けた人は⺟国語が英語とかフランス語だった場合に、その人たちに対しては、相⼿が分かるようにというふうなことがありますので、英語やフランス語で伝えなければならないのか。
企業実務としては非常に問題は大きいと思いますが、この辺り教えていただければと思います。
○政府参考人（其田真理君） 外国にある第三者への個人データの提供を認める旨の本人の同意を得ようとするときには、個人情報取扱事業者が当該本人に提供しなければならない情報や提供の方法については委員会規則で定めることとしておりますけれども、現時点では、例えば提供すべき情報としては、第三者の所在する外国の国名、それから個人情報保護制度などを想定しております。
また、提供の方法につきましては、電磁的な記録の提供や書面の交付による方法、基本的には日本語又は本人が内容を理解できる言語というふうに考えておりますけれども、こういった方法を想定をしてございます。
○山田太郎君 もう一つ、外国における個人情報保護制度を情報提供する件については、その事業者が独自に外国における個人情報の保護に関する制度等の情報を調査して提供しなきゃいけないとなっているんですけど、これもまた企業にとっては大変重たい状況だと思います。
これらの情報については、多分、できれば個人情報保護委員会さんが外国の制度を調査してウエブで例えば公表すると、その公表されたものを各事業者として、委員会が公表したからということでその情報を提供するというような、少し便宜というか図ってあげないと、個社が個々の外国法制に対して全て調べていくということはほぼ難しいし、同じようなことを社会でもってみんながそれぞれ調べ合うというのもどうかと思いますので、その辺りの便宜ということは図っていただけないでしょうか。
○政府参考人（其田真理君） 今回の改正は、越境移転を行う事業者において移転先の環境を認識していただくという趣旨もございまして、企業が自らの取組をお願いしたいというのが基本でございますけれども、委員会といたしましても、外国の個人情報保護制度につきまして、参考となる情報を提供してまいりた
いと考えております
2021/6/11

第17回DBSC春のセミナー

25

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

26

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

27

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

28

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

29

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

30

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

31

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

32

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

33

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

34

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

35

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

36

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

37

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

38

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

39

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

40

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

41

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

42

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

43

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

44

第157回個人情報保護委員会（令和２年11月4日）
改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

2021/6/11

第17回DBSC春のセミナー

452021/6/11

第17回DBSC春のセミナー

46

個人情報保護委員会「APEC CBPRシステムへの参加をご検討下さい」（広報⽤資料）

2021/6/11

第17回DBSC春のセミナー

47

個人情報保護委員会「APEC CBPRシステムへの参加をご検討下さい」（広報⽤資料）

2021/6/11

第17回DBSC春のセミナー

48

第8回 産業構造審議会 通商・貿易分科会（2021年5月24日）【資料2】通商政策局・貿易経済協⼒局「対外経済政策を巡る最近の動向」（2021年5月）

2021/6/11

第17回DBSC春のセミナー

49第8回 産業構造審議会 通商・貿易分科会（2021年5月24日）【資料2】通商政策局・貿易経済協⼒局「対外経済政策を巡る最近の動向」（2021年5月）

2021/6/11

第17回DBSC春のセミナー

50

GDPRにおける越境移転制限• 欧州一般データ保護規則（GDPR）上，欧州（EU/EEA）域外への移転は原則禁止されており，GDPR44条以下の要件を満たした場合にのみ許される．
• GDPR45条（十分性認定）は，最も原則的な移転手段であり，国又は地域が，個人データの保護について十分なレベルの保護措置を確保している場合に十分性について，欧州委員会が決定を下すのが基本である• 例えば，⽇本について”Commission Implementing Decision (EU)2019/419 of 23 January 2019 pursuant to Regulation (EU) 2016/679
of the European Parliament and of the Council on the adequate
protection of personal data by Japan under the Act on the Protectionof Personal Information (Text with EEA relevance) C/2019/304/”
2021/6/11

第17回DBSC春のセミナー

51

GDPRにおける十分性認定• 十分性認定とは，欧州一般データ保護規則（GDPR）において，個人データの欧州（EU加盟国及びEEA3カ国）からの移転が原則禁止されているところ，十分なデータ保護の制度を備えている国又は地域として認定されることで，移転が可能となる制度である（ただし，GDPRは個人データの処理も原則禁止しており，処理の適法化事由が不要となるわけではないことに注意が必要である）。具体的には，
GDPR第44条及び45条がこれを定める）。
• 十分性判定がなされたのは，• アンドラ，アルゼンチン，カナダ（⺠間部門），フェロー諸島，ガーンジー
島，イスラエル，マン島，ジャージー島，ニュージーランド，スイス，ウルグアイ（7カ国4地域），日本• EU-USプライバシーシールドスキーム

2021/6/11

第17回DBSC春のセミナー

52

例外事由
• 適切な安全性確保措置• 監督機関の個別承認不要• 従来からの方法• 標準データ保護約款（GDPR46条2項(c)(d)）• 拘束的企業準則（BCR）（GDPR46条(b)）• GDPRでの新規導入• 行動準則（GDPR40条ないし41条）• 認証（GDPR42条ないし43条）• 監督機関の個別承認• 詳細はまだ不明• 特別の状況における特例• 同意が含まれるが，「大量，構造的，反復的な移転には適用されない」との指摘2021/6/11

第17回DBSC春のセミナー

53

⽇本の十分性認定
Commission Implementing Decision (EU) 2019/419 of 23 January 2019 pursuant toRegulation (EU) 2016/679 of the European Parliament and of the Council on theadequate protection of personal data by Japan under the Act on the Protection of
Personal Information (Text with EEA relevance) C/2019/304/

⽇本

管理者・処理者

管理者・処理者（個人情報保護法の範囲内）

欧州

⽇本法＋補完的ルールを遵守

2021/6/11

第17回DBSC春のセミナー

54

日EU間の相互の円滑な個人データ移転を図る枠組み発効（2019年1月23日）• ⽇EU間の相互の円滑な個人データ移転を図る枠組みが、平成
31年１月23⽇に発効しました。
• 本枠組みの構築に関しては、⽇EU双方の経済界の要望等も受け個人情報保護委員会と欧州委員会との間で交渉を重ね、平成30
年７月、個人情報保護委員会が個人情報保護法第24条に基づく指定をEUに対して行い、欧州委員会がGDPR第45条に基づく十分性認定を我が国に対して行う方針について合意に至りました。
この合意を踏まえて、我が国においては、第85回個人情報保護委員会において、上記のEU指定を１月23⽇付けにて行うことを決定しました（※）。また、欧州委員会においても、上記の我が国の十分性認定を同23⽇付けにて行うことを決定しました。
2021/6/11

第17回DBSC春のセミナー55

熊澤春陽個人情報保護委員会委員、ベラ・ヨウロバー欧州委員会委員（司法・消費者・男女平等担当）による共同プレス・ステートメント（2019 年
1 月 23 日 ）• 熊澤春陽委員とベラ・ヨウロバー委員は、本⽇、個人情報保護委員会と欧州委員会による、お互いの個人データの保護レベルが同等だとする決定の採択を歓迎する。
• 相互に十分性を見出すことを通じて、データが安全に流通する世界最大の地域が創出される。これは、特に包括的なプライバシーの法律、中核となる一連の個人の権利の核心、及び独立したデータ保護機関による執行に支えられる、両国の制度の高いレベルの類似性に基づくものである。データ・プライバシー及びセキュリティが消費者の信頼の中心的要素となった今、このような強い法律と確固たる執行に基づく類似性こそが、ますます増大するデータ駆動型経済の持続可能性を確保し、通商の流れを促進することができる。
• ⽇ EU の市⺠は、個人データの移転における強固な保護を享受する一方、⽇ EU の全ての企業は、お互いの経済圏への自由なデータ移転による便益を享受する。このように、本⽇の決定は、⽇ EU 経済連携協定から得られる利益を補完し拡大することとなり、⽇EU 間の戦略的なパートナーシップにも寄与する。
• 相互に十分性を見出すことによって、⽇ EU は、プライバシーに関する価値観の共有及び高いレベルの個人データの保護に基づく世界標準の形成に向けた協力の強化へのコ
ミットメントを再確認する。

2021/6/11

第17回DBSC春のセミナー

56

「個人情報の保護に関する法律に係るＥＵ及び英国域内
から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」• 個人情報保護委員会は、⽇ＥＵ間で相互の円滑な個人データ移転を図るため、法第 24 条に基づき、個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国としてＥＵを指定し、これにあわせて、欧州委員会は、ＧＤＰＲ第 45 条に基づき、⽇本が個人データについて十分な保護水準を確保していると決定した。
• これにより、⽇ＥＵ間で、個人の権利利益を高い水準で保護した上で相互の円滑な個人データ移転が図られることとなる。⽇ＥＵ双方の制度は極めて類似しているものの、いくつかの関連する相違点が存在するという事実に照らして、個人情報の保護に関する基本方針を踏まえ、ＥＵ域内から十分性認定により移転を受けた個人情報について高い水準の保護を確保する
ために、個人情報取扱事業者によるＥＵ域内から十分性認定により移転を受けた個人情報の適切な取扱い及び適切かつ有効な義務の履行を確保する観点から、各国政府との協力の実施等に関する法の規定（※１）に基づき個人情報保護委員会は補完的ルール（以下「本ルール」という。）を策定した。
2021/6/11

第17回DBSC春のセミナー

57• 特に法第６条は、個人情報に関する一層の保護を図り国際的に整合のとれた個人情報に係る制度を構築する観点から、法令で定める内容を補完し上回る、より厳格な規律を設けられるよう必要な法制上の措置その他の措置を講ずる権限を規定している。したがって、個人情報保護委員会は、個人情報保護法を所管する機関として、法第６条に従い、法第２条第３項に定める要配慮個人情報及び法第２条第７項に定める保有個人データ（保有期間に関する定めを含む）に関する定義を含め、ＥＵ域内から十分性認定により移転を受けた個人データの取扱いについて、個人の権利利益のより高い水準の保護を規定した補完的ルールを策定することにより、より厳しい規律を策定する権限を有している。
• これに基づき、本ルールは、ＥＵ域内から十分性認定により移転される個人デー
タを受領する個人情報取扱事業者を拘束し、個人情報取扱事業者はこれを遵守す
る必要がある。本ルールは法的拘束力を有する規律であり、本ルールに基づく権
利及び義務は、本ルールがより厳格でより詳細な規律により補完する法の規定と同様に個人情報保護委員会の執行対象となる。本ルールに定める権利及び義務に対する侵害があった場合は、本ルールがより厳格でより詳細な規律により補完する法の規定と同様に、本人は裁判所からも救済を得ることができる。
2021/6/11

第17回DBSC春のセミナー

58• 個人情報保護委員会による執行に関しては、個人情報取扱事業者が本ルールに定める一つ以上の義務を遵守しない場合、個人情報保護委員会は法第 42 条に基づく措置を講ずる
権限を有する。一般的に、ＥＵ域内から十分性認定により移転を受けた個人情報について、法第 42 条第１項の規定による勧告を受けた個人情報取扱事業者が正当な理由（※
２）がなくその勧告に係る措置をとらなかった場合は、法第 42 条第２項に定める「個人の権利利益の重大な侵害が切迫している」と認められる。
• なお、本ルールは、ＥＵから英国が離脱した後、英国域内から十分性認定により移転を受けた個人データの取扱いについても同様に対象とする。
• （※１）法第４条、第６条、第８条、第 24 条、第 60 条及び第 78 条、並びに規則第 11条• （※２）正当な理由とは、個人情報取扱事業者にとって合理的に予測できない不可抗力のできごと（たとえば自然災害）による場合や、個人情報取扱事業者が違反を完全に是正する代替的措置をとったことにより法第 42 条第１項に基づく個人情報保護委員会による勧告に係る措置を講じる必要性が失われた場合が考えられる。

2021/6/11

第17回DBSC春のセミナー

59(4) 外国にある第三者への提供の制限（法第 24 条・規則第 11 条の 2 関係）• 個人情報取扱事業者は、ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人データを外国にある第三者へ提供するに当たっては、法第 24条に従い、次の①から③までのいずれかに該当する場合を除き、本人が同意に係る判断を行うために必要な移転先の状況についての情報を提供した
上で、あらかじめ外国にある第三者への個人データの提供を認める旨の本
人の同意を得ることとする。
• ① 当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合• ② 個人情報取扱事業者と個人データの提供を受ける第三者との間で、当該第三者による個人データの取扱いについて、適切かつ合理的な方法（契約、その他の形式の拘束力のある取決め又は企業グループにおける拘束力のある取扱い）により、本ルールを含め法と同等水準の個人情報の保護に関する措置を連携して実施している場合• ③ 法第 23 条第 1 項各号に該当する場合
2021/6/11

第17回DBSC春のセミナー

60

APEC-CBPRだけ名指しで省かれているのでは？①
外国第三者提供GL（パブコメ中）

補完的ルール

同意「法第 24 条第 1 項において求められる本人の同意を得ようとする場合には、本人に対し、法第 24 条第 2 項に基づく情報提供を行わなければならない。同意取得時に本人に提供すべき情報については、5（同意取得時の情報提供）を参照のこと。」（2-1）

本人が同意に係る判断を行うために必要な移転先の状況についての情報を提供した上で、あらかじめ外国にある第三者への個人データの提供を認める旨の本人の同意を得る

同等性「外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）」（法24条1項）① 当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合

適切か
つ合理
的な方
法

「個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第4章第1節の規定の趣旨に沿った措置の実施が確保されていること。」（規則11条の2
第1号）「前条第1項各号に掲げる場合を除くほか」（法24条1項）「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事例が該当する。
事例1）外国にある事業者に個人データの取扱いを委託する場合
提供元及び提供先間の契約、確認書、覚書等
事例2）同一の企業グループ内で個人データを移転する場合
提供元及び提供先に共通して適用される内規、プライバシーポリシー等② 個人情報取扱事業者と個人データの提供を受ける第三者との間で、当該第三者による個人データの取扱いについて、適切かつ合理的な方法（契約、その他の形式の拘束力のある取決め又は企業グループにおける拘束力のある取扱い）により、本ルールを含め法と同等水準の個人情報の保護に関する措置を連携して実施している場合

提供元
が
CBPR

また、アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システム（※）の認証を取得している事業者は、その取得要件として、当該事業者に代わって第三者に個人情報を取り扱わせる場合においても、当該事業者が本人に対して負う義務が同様に履行されることを確保する措置を当該第三者との間で整備している必要があることとされている。

対応なし

したがって、提供元の個人情報取扱事業者がCBPRの認証を取得しており、提供先の「外国にある第三者」が当該個人情報取扱事業者に代わって個人情報を取り扱う者である場合には、当該個人情報取扱事業者がCBPRの認証の取得要件を充たすことも、「適切かつ合理的な方法」の一つであると解される。なお、提供先の「外国にある第三者」がCBPRの認証を取得している場合については、本ガイドライン4-3（個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第11条の2第2号関係）)を参照のこと。

2021/6/11

第17回DBSC春のセミナー

61

APEC-CBPRだけ名指しで省かれているのでは？②
外国第三者提供GL（パブコメ中）

補完的ルール

適用除外「前条第1項各号に掲げる場合を除く」（法24条1項）③ 法第 23 条第 1 項各号に該当する場合

国際的
な枠組
みに基
づく認
定

「個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。」（規則11条の2第2号）「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは、国際機関等において合意された規律に基づき権限のある認証機関等が認定するものをいい、当該枠組みは、個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることのできるものである必要がある。これには、提供先の外国にある第三者が、APECのCBPRシステムの認証を取得していることが該当する。なお、個人データを提供する者がCBPRの認証を取得している場合については、本ガイドライン
4-1（適切かつ合理的な方法（規則第11条の2第1号関係））を参照のこと。」（4-3）

対応なし

2021/6/11

第17回DBSC春のセミナー

62

欧米プライバシーシールドの十分性認定
Commission Implementing Decision (EU) 2016/1250 of 12 July 2016 pursuant to
Directive 95/46/EC of the European Parliament and of the Council on theadequacy of the protection provided by the EU-U.S. Privacy Shield (notified underdocument C(2016) 4176) (Text with EEA relevance) C/2016/4176

米国

管理者・処理者

米国商務省に登録した管理者・処理者

欧州2021/6/11

登録（有料）

監視・監督

米国商務省
（DOC）

米国
連邦取引委員会（FTC）

第17回DBSC春のセミナー

63個人データへの公的機関のアクセス

NSA
CIA
米国

管理者・処理者

アクセス

米国商務省に登録した管理者・処理者

欧州2021/6/11

登録（有料）

監視・監督

米国商務省
（DOC）

米国
連邦取引委員会（FTC）

第17回DBSC春のセミナー

64

Maximillian Schrems v Data Protection
Commissioner(C-362/14)（SchremsI決定）(interpretation of Directive Art.25-26)• …in the light of Articles 7, 8 and 47 of the Charter ofFundamental Rights of the European Union• …the term ‘adequate level of protection’ must be
understood as requiring the third country in fact to ensure, by
reason of its domestic law or its international commitments,
a level of protection of fundamental rights and freedoms
that is essentially equivalent to that guaranteed within
the European Union by virtue of Directive 95/46 read in
the light of the Charter.
2021/6/11

第17回DBSC春のセミナー

65

The Charter of Fundamental Rightsof the European Union• Article 7• Respect for private and family life
• Everyone has the right to respect for his or her private and family life,
home and communications.

• Article 8• Protection of personal data
• 1. Everyone has the right to the protection of personal data concerning
him or her.
• 2. Such data must be processed fairly for specified purposes and on thebasis of the consent of theperson concerned or some other legitimate basis
laid down by law. Everyone has the right of access to data which has
been collected concerning him or her, and the right to have it rectified.
• 3. Compliance with these rules shall be subject to control by anindependent authori
2021/6/11

第17回DBSC春のセミナー

66

SchremsII決定• SchremsII決定では，”Commission Implementing Decision (EU)2016/1250 of 12 July 2016 pursuant to Directive 95/46/EC of theEuropean Parliament and of the Council on the adequacy of theprotection provided by the EU-US Privacy Shield is invalid.”，つまり，
欧米プライバシーシールドについての十分性決定が無効とされた．
• その主たる理由は，移転先である米国におけるパブリック・アクセス，就中，米国が安全保障のために執行している諜報法分野における措置が，欧州連合基本権憲章が求める権利の保障のレベルに達していないということにある．
• 特に問題である点として，• ①米国の諜報法体系の下で，非米国人である（欧州市⺠を含む）データ主体が，米国当局に対して訴訟可能な権利を与えられていないこと，• ②米国の諜報機関を拘束するための権限を有するはずのオンブズパーソンの独立性が確保されていないこと

2021/6/11

第17回DBSC春のセミナー67• 133 It follows that the standard data protection clauses adopted by theCommission on the basis of Article 46(2)(c) of the GDPR are solely
intended to provide contractual guarantees that apply uniformly in all
third countries to controllers and processors established in theEuropean Union and, consequently, independently of the level ofprotection guaranteed in each third country. In so far as those standard
data protection clauses cannot, having regard to their very nature,provide guarantees beyond a contractual obligation to ensurecompliance with the level of protection required under EU law, they
may require, depending on the prevailing position in a particular third
country, the adoption of supplementary measures by the controller inorder to ensure compliance with that level of protection.
• 133 GDPR46 条(2)(c)に基づいて欧州委員会が採択した標準的なデータ保
護約款は，EU に設立された管理者及び処理者に対して，すべての第三国で一律に適用される契約上の保証を提供することのみを目的としており，
その結果，各第三国で保証されている保護レベルとは無関係である．これ
らの標準的なデータ保護条項は，その性質上，EU 法の下で要求される保護レベルへの準拠を保証するための契約上の義務を超える保証を提供することができない限りにおいて，特定の第三国の実勢に応じて，その保護レ
ベルへの準拠を保証するために，管理者が追加的な措置を採用することを要求する場合がある．
2021/6/11

第17回DBSC春のセミナー

68• Schrems II決定は，プライバシーシールドについての十分性認定を無効であるとし，その主たる理由は，米国の諜報法分野におけるデータ主体の保護の薄弱さであった．ここで問題となっているのは移転先国たる米国における個人データの保護のレベルなのであるから，標準データ保護条項ない
し標準契約約款（Standard Contractual Clauses）に基づく移転もできなくなるのではないかというのが，産業界の当然の懸念．
• 欧州連合司法裁判所は，「追加的な措置」が必要な場合があるとし，他方で，当該措置が必要な場合があることを前提に，標準データ保護約款による移転すべてを無効とはしなかった．
• この「追加的な措置」は，SchremsII決定が初出ではなく，一般データ保
護規則（GDPR）前文109においても「追加的な保護措置」（additionalsafeguards）という語は現れていた．しかしながら，文脈的には，SDPC
ないしSCCを契約や約款の一部とすることは許され，より強い保護は奨励される，というものであり，追加的な措置が必要的な場合があるということを読み取ることは困難であった．
2021/6/11

第17回DBSC春のセミナー

69

• GDPR前文(109) The possibility for the controller or processor to use
standard data-protection clauses adopted by the Commission or by asupervisory authority should prevent controllers or processors neither
from including the standard data-protection clauses in a wider contract,such as a contract between the processor and another processor, norfrom adding other clauses or additional safeguards provided that they
do not contradict, directly or indirectly, the standard contractual
clauses adopted by the Commission or by a supervisory authority or
prejudice the fundamental rights or freedoms of the data subjects.
Controllers and processors should be encouraged to provide
additional safeguards via contractual commitments that
supplement standard protection clauses.
• (109) 欧州委員会又は監督機関によって採択された標準データ保護約款を管理者又は処理者が利用することができるということは，欧州委員会又は監督機関によって採択された標準契約条項と直接又は間接に矛盾せず，かつ，データ主体の基本的な権利及び自由を妨げるものではない限り，管理者又は処理者が，処理者と別の処理者との間の契約のような，より広範囲の契約の中に標準データ保護条項を含めることを妨げるものではなく，また，その約款の中に別の条項や保護措置を追加することを妨げるものでもない．管理者及び処理者は，標準データ保護条項を補完する契約上の約定を介して，追加的な保護措置を提供することが奨励されなければならない．
2021/6/11

第17回DBSC春のセミナー

70追加的措置についての動き• EDPB（欧州データ保護ボード）• 2020年11月11⽇には，"Recommendations 01/2020 on measures that supplement transfer tools
to ensure compliance with the EU level of protection of personal data"（EUの個人データ保護のレベルの遵守を確実にするための移転ツールに追加する措置に関する勧告，「追加的措置勧告」）を公表し，2020年12月21⽇までパブリックコメントに付した• 締切までには178件の意見が提出されている．

• 欧州委員会• 2020年11月12⽇に第三国への個人データの移転に関する標準契約約款である"IMPLEMENTINGDECISION (EU) …/… of XXX on standard contractual clauses for the transfer of personal data to
third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and of theCouncil"のドラフトを公表し，2020年12月10⽇までパブリックコメントに付した．
• 締め切りまでには149件の意見が提出されている．

• EDPB及びEDPS（欧州データ保護観察官）• 新SCC案に2021年1月14⽇に合同で意見を述べている• EDPB - EDPS Joint Opinion 1/2021 on the European Commission’s Implementing Decision on standard
contractual clauses between controllers and processors for the matters referred to in Article 28 (7) ofRegulation (EU) 2016/679 and Article 29 (7) of Regulation (EU) 2018/1725．

2021/6/11

第17回DBSC春のセミナー

712021/6/11

第17回DBSC春のセミナー

722021/6/11

第17回DBSC春のセミナー

73

2. "Recommendations 01/2020 on measures that supplement transfer tools to ensurecompliance with the EU level of protection of personal data“（EUの個人データ保護のレベルの遵守を確実にするための移転ツールに追加する措置に関する勧告，「追加的措置勧告」）
•

ステップ1
•

•

ステップ2
•

•

•
•

•

有効な追加的な措置を確認した場合の⼿続

データ保護機関の確認は不要（56項）．SCCと矛盾する場合は，（SCCではなくなるため）個別の移転の承認が必要になる（57項）．GDPR46条2.の適法化根拠は，第三国の公的機関を拘束しない（58項）．BCRについてはEDPBも検討中である（59項）．アドホックな契約（GDPR46条3.）もEDPBは検討中である（61項）．

ステップ6
•

追加的な措置の採用

追加的な措置には，契約的，技術的，組織的なものが含まれ，それらの組み合わせも推奨される（47項，48項）．技術的な措置はパブリックアクセスを阻害できるということが前提になっている．具体的なリストは別紙2．

ステップ5
•

移転ツールの有効性

輸入者と協力して，第三国の法律や慣行が移転ツールの有効性に影響を及ぼすかを評価しなければならない（30項）．複雑なスキームの場合は評価も複雑となる（31項）．移転の文脈が影響する．処理目的，処理に関与する機関の種類（公的，私的，管理者，処理者），分野（金融，通信，広告等），第三国に保存されるものか，アクセスするだけか，移転されるデータがプレーンテキストか，暗号化されているか，再移転があるか等（33項）．アクセス
権等が移転先国の法令等により妨げられないか（34項），パブリックアクセス及び，その際のデータ主体の救済の権利は特記されている（35項）．これは，SchremsIIにおいてプライバシーシールドの十分性認定が無効となった一因である．刑事法の執行，国家安全保障目的の規制にも特別に注意せよとされている（36項）．この際，EDPBのEEG勧告（Recommendations 02/2020 on the European Essential Guarantees for surveillance measures）の諸要
素が参考になるとされている（39項）．評価は公開されている法例を中心とし，文書化される必要がある（42項）．SchremsII決定で問題となったのは，
米国FISAの702条であり，比例原則を満たさないとした．この場合，追加的な措置により，米国の諜報機関からのアクセスが不可能又は非効率となる必要
がある．

ステップ4
•

移転ツール（越境移転に関する適法化事由）の特定十分性認定，SCC，BCR，行動規範，認証メカニズム，GDPR49条の例外事由のいずれを根拠として移転しているかを確認する（14項以下）．

ステップ3
•

移転の認知

すべての移転を認知し，マッピングすることを求めており，GDPR30条も根拠となる（8項，9項）．越境のリモートアクセスや海外のクラウドの利用も含まれる（13項）．

再評価

継続的な再評価の必要性を述べる（62〜63項）．

2021/6/11

第17回DBSC春のセミナー

74

追加的措置• 技術的な追加的な措置• 有効なユースケースと無効なユースケースを列挙している．有効なユースケースとしては，• ①強力な暗号化がなされている場合の第三国におけるバックアップ，• ②適切な仮名化がなされている場合の移転，• ③エンドツーエンド暗号化がなされている場合の，第三国の通過，• ④暗号化がなされている場合の，特に保護された輸入者への移転，• ⑤秘密計算の利用が挙げられている．

• 他方，無効なユースケースとして，• ⑥クラウドサービスを利用した場合，当該サービスにパブリックアクセスが行われる
場合，• ⑦ビジネス目的でリモートアクセスを行うが，パブリックアクセスが行われる場合，が挙げられている．

• いずれも詳細には要件が挙げられており，あくまで例示ではあるが，クラウドサービスを利用した場合のパブリックアクセスについては（米国を意識してか）特に厳しい見解ではないかと思われる．
2021/6/11

第17回DBSC春のセミナー

75Use Case 1: Data storage for backup and other purposes that do not require
access to data inthe clear

KEY
管理者・処理者

欧州

公的機関
十分性認定のない外国

アクセス

管理者・処理者

1. the personal data is processed using strong encryption before transmission,
2. the encryption algorithm and its parameterization (e.g., key length, operating mode, if applicable) conform to the state-of-theart and can be considered robust against cryptanalysis performed by the public authorities in the recipient country taking
into account the resources and technical capabilities (e.g., computing power for brute-force attacks) available to them,
3. the strength of the encryption takes into account the specific time period during which the confidentiality of the encrypted
personal data must be preserved
4. the encryption algorithm is flawlessly implemented by properly maintained software the conformity of which to thespecification of the algorithm chosen has been verified, e.g., by certification,
5. the keys are reliably managed (generated, administered, stored, if relevant, linked to the identity of an intended recipient, andrevoked), and6. the keys are retained solely under the control of the data exporter, or other entities entrusted with this task which
reside in the EEA or a third country, territory or one or more specified sectors within a third country, or at aninternational organisation for which the Commission has established in accordance with Article 45 GDPR that an
2021/6/11
第17回DBSC春のセミナー
adequate level of protection is ensured,76

Use Case 2: Transfer of pseudonymised Data

追加情報
管理者・処理者

公的機関
十分性認定のない外国

アクセス

管理者・処理者

欧州

1. a data exporter transfers personal data processed in such a manner that the personal data can no longer be attributed to a
specific data subject, nor be used to single out the data subject in a larger group, without the use of additional
information,
2. that additional information is held exclusively by the data exporter and kept separately in a Member State or in a third
country, territory or one or more specified sectors within a third country, or at an international organisation for which theCommission has established in accordance with Article 45 GDPR that an adequate level of protection is ensured,
3. disclosure or unauthorised use of that additional information is prevented by appropriate technical and organisationalsafeguards, it is ensured that the data exporter retains sole control of the algorithm or repository that enables reidentification using the additional information, and4. the controller has established by means of a thorough analysis of the data in question taking into account any information thatthe public authorities of the recipient country may possess that the pseudonymised personal data cannot be attributed toan identified or identifiable natural person even if cross-referenced with such information,

2021/6/11

第17回DBSC春のセミナー

77Use Case 3: Encrypted data merely transiting third countries

公的機関

Key

アクセス

公的認証局

管理者・処理者

十分性認定のない外国

十分性認定のある外国管理者・処理者

欧州
1.

a data exporter transfers personal data to a data importer in a jurisdiction ensuring adequate protection, the data is transported over the internet, and the data may be geographically routed through a third country not providing anessentially equivalent level of protection,
2. transport encryption is used for which it is ensured that the encryption protocols employed are state-of-the-art and provide effective protection against active and passive attacks with resources known to be available to the publicauthorities of the third country,
3. decryption is only possible outside the third country in question,
4. the parties involved in the communication agree on a trustworthy public-key certification authority or infrastructure,
5. specific protective and state-of-the-art measures are used against active and passive attacks on transport-encrypted,
6. in case the transport encryption does not provide appropriate security by itself due to experience with vulnerabilities of the infrastructure or the software used, personal data is also encrypted end-to-end on the application layer usingstate-of-the-art encryption methods,
7. the encryption algorithm and its parameterization (e.g., key length, operating mode, if applicable) conform to the state-of-the-art and can be considered robust against cryptanalysis performed by the public authorities in the transiting
country taking into account the resources and technical capabilities (e.g., computing power for brute-force attacks) available to them,
8. the strength of the encryption takes into account the specific time period during which the confidentiality of the encrypted personal data must be preserved,
9. the encryption algorithm is flawlessly implemented by properly maintained software the conformity of which to the specification of the algorithm chosen has been verified, e.g., by certification,
10. the existence of backdoors (in hardware or software) has been ruled out,
11. the keys are reliably managed (generated, administered, stored, if relevant, linked to the identity of the intended recipient, and revoked), by the exporter or by an entity trusted by the exporter
12. under a jurisdiction offering an essentially equivalent level of protection

2021/6/11

第17回DBSC春のセミナー

78Use Case 4: Protected recipient

KEY
管理者・処理者

欧州

公的機関
十分性認定のない外国 法令

アクセス

管理者・処理者

1. the law of a third country exempts a resident data importer from potentially infringing access to data held by thatrecipient for the given purpose, e.g. by virtue of a duty to professional secrecy applying to the data importer,
2. that exemption extends to all information in the possession of the data importer that may be used to circumvent theprotection of privileged information (cryptographic keys, passwords, other credentials, etc.),
3. the data importer does not employ the services of a processor in a way that allows the public authorities to access the data
while held by the processor, nor does the data importer forward the data to another entity that is not protected, on the basisof Article 46 GDPR transfer tools,
4. the personal data is encrypted before it is transmitted with a method conforming to the state of the art guaranteeing thatdecryption will not be possible without knowledge of the decryption key (end-to-end encryption) for the whole length of timethe data needs to be protected,
5. the decryption key is in the sole custody of the protected data importer, and appropriately secured against unauthorised use
or disclosure by technical and organisational measures conforming to the state of the art, and6. the data exporter has reliably established that the encryption key it intends to use corresponds to the decryption key held by
2021/6/11
第17回DBSC春のセミナー
the recipient,79

Use Case 5: Split or multi-party processing

KEY

S1

管理者・処理者

S2
S3

欧州

十分性認定のない外国②

処理者②十分性認定のない外国③

処理者③十分性認定のない外国①

計算結果

処理者①

1. a data exporter processes personal data in such a manner that it is split into two or more parts each of which can nolonger be interpreted or attributed to a specific data subject without the use of additional information,
2. each of the pieces is transferred to a separate processor located in a different jurisdiction,
3. the processors optionally process the data jointly, e.g. using secure multi-party computation, in a way that no information isrevealed to any of them that they do not possess prior to the computation,
4. the algorithm used for the shared computation is secure against active adversaries,
5. there is no evidence of collaboration between the public authorities located in the respective jurisdictions where eachof the processors are located, which would allow them access to all sets of personal data held by the processors and enable
them to reconstitute and exploit the content of the personal data in a clear form in circumstances where such exploitation
would not respect the essence of the fundamental rights and freedoms of the data subjects. Similarly, public authorities of
either country should not have the authority to access personal data held by processors in all jurisdictions concerned.
6. the controller has established by means of a thorough analysis of the data in question, taking into account any informationthat the public authorities of the recipient countries may possess, that the pieces of personal data it transmits to the2021/6/11
第17回DBSC春のセミナー
processors cannot be attributed to an identified or identifiable
natural person even if cross-referenced with such information,

80

Use Case 6: Transfer to cloud services providers or other processors which require
access to data in the clear

KEY
管理者・処理者

公的機関
十分性認定のない外国

アクセス

処理者

欧州

1. a controller transfers data to a cloud service provider or other processor,
2. the cloud service provider or other processor needs access to the data in the clear in order to execute the task assigned,and
3. the power granted to public authorities of the recipient country to access the transferred data goes beyond what isnecessary and proportionate in a democratic society
then the EDPB is, considering the current state of the art, incapable of envisioning an effective technical measure to prevent thataccess from infringing on data subject rights. The EDPB does not rule out that further technological development may offer
measures that achieve the intended business purposes, without requiring access in the clear.
89. In the given scenarios, where unencrypted personal data is technically necessary for the provision of the service by theprocessor, transport encryption and data-at-rest encryption even taken together, do not constitute a supplementary measure that
ensures an essentially equivalent level of protection if the data importer is in possession of the cryptographic keys.

2021/6/11

第17回DBSC春のセミナー

81Use Case 7: Remote access to data for business purposes

公的機関
管理者・処理者

十分性認定のない外国

アクセス

管理者・処理者

欧州

KEY

1. a data exporter transfers personal data to a data importer in a third country by making it available in a commonly used
information system in a way that allows the importer direct access of data of its own choice, or by transferring it directly,
individually or in bulk, through use of a communication service,
2. the importer uses the data in the clear for its own purposes,
3. the power granted to public authorities of the recipient country to access the transferred data goes beyond what isnecessary and proportionate in a democratic society,2021/6/11

then the EDPB is incapable of envisioning an effective technical measure to prevent that access from infringing on data subject
rights.
91. In the given scenarios, where unencrypted personal data is technically necessary for the provision of the service by theprocessor, transport encryption and data-at-rest encryption even taken together, do not constitute a supplementarymeasure that ensures an essentially equivalent level of protection if the data importer is in possession of the cryptographic
keys.

第17回DBSC春のセミナー

82契約的な追加的な措置• 契約的な追加的な措置はナンバリングされていない．第三国の当局は拘束できないことが前提とされ（93項），他の技術的又は組織的な措置を組み合わせることが推奨される（同）．例として，以下が挙げられている．

• 特定の技術的手段を使用する義務• 透明性義務（パブリックアクセスについての根拠法令の列挙等）• 具体的な行動を取る義務（開示命令への異議申し立て等）• データ主体への権利付与（データ主体の同意を前提としたアクセス等）• 特にグループ企業間の移転に関する内部統制• 透明性およびアカウンタビリティの義務（パブリックアクセスについての文書の記録とデータ輸出者への開示等）• 組織的手法及びデータ最小化措置（アクセス権限等についての限定）• 標準やベストプラクティスの受容（ISO等）• その他（内部監査，再移転禁止）

2021/6/11

第17回DBSC春のセミナー

83英国の十分性認定手続• GDPR全面適用後に認定されたのは⽇本（個人情報保護法の適用範囲）のみ．
• 2021年2月19⽇に，いわゆるブレグジットにより欧州連合を離脱した英国のデータ保護制度について，欧州委員会が一般デー
タ保護規則（GDPR)及び法執行指令（LED）上の十分性認定のドラフトを公開した（以下，それぞれ「GDPRドラフト」，「LEDドラフト」という．）• GDPR上の十分性認定手続が開始した国として，英国は⽇本に注いで二例目ということになる．

2021/6/11

第17回DBSC春のセミナー

84英国のデータ保護制度• 英国では，GDPRを国内法化したUK GDPRと，Data Protection Act 2018（2018年データ保護法，
DPA2018）がデータ保護制度の中心を構成しているが，その構造はやや複雑• 英国は欧州連合から離脱したので，GDPRは直接適用されないが，European Union (Withdrawal)
Act 2018（2018年欧州連合（離脱）法）の二次法であるData Protection, Privacy andElectronic Communications (Amendments etc) (EU Exit) Regulations 2019 (DPPEC
Regulations)（2019年データ保護，プライバシー及び電気通信（改正等）（欧州連合離脱）規則，
DPPEC規則）により，GDPRをほぼそのまま，法律の二次法としての規則として採用することにした（UK GDPR）• 本家GDPRは各国の国内法化を待たずして執行され得る欧州法上の「規則」であったが，UK
GDPRは，形式的には英国の法律の二次法である「規則」であり，法律レベルでの根拠は2018年欧州連合（離脱）法である。
• 同じ「規則」であるが，このようにGDPRとUK GDPRの位置付けは異なるので注意• DPA2018はブレグジットまではGDPR及びLEDの国内実施法の役割を有していたが，ブレグジッ
ト後は，UK GDPRの例外規定部分及び，LEDの適用範囲である法執行機関（警察，検察等）及び情報機関（いわゆる諜報機関）についてのデータ保護を定める法律としての役割を担うことになった．
• DPA2018の3章が法執行機関のデータ保護を，4章が情報機関のデータ保護をそれぞれ定めている．

2021/6/11

第17回DBSC春のセミナー

85英国のデータ保護制度
BREXIT前

欧州法

国内法

GDPR

BREXIT後LED

DPA2018（GDPRの国内法特則とLEDの国内実施法を兼ねる）

国内法

DPA2018（GDPRの国内法特則相当部分とLEDの国内実施法相当部分を兼ねる）

国内規則

2021/6/11

第17回DBSC春のセミナー

European Union(Withdrawal) Act2018（2018年欧州連合（離脱）法）Data Protection, Privacy andElectronic Communications(Amendments etc) (EU Exit)
Regulations 2019 (DPPEC
Regulations)（2019年データ
保護，プライバシー及び電気通信（改正等）（欧州連合離脱）規則，DPPEC規則）86英国へのデータ移転（GDPR）

英国

管理者・処理者

管理者・処理者

欧州

監視・監督
英国情報コミッショナー・事務局（ICO）
2021/6/11

第17回DBSC春のセミナー

87

GDPRドラフト2章
データ保護に適用されるルール• 通常のデータ保護についての検討部分（UK GDPRの適用範囲）• UK GDPRはGDPRをほぼ引き写しているため，欧州委員会としてはその部分はそのまま受け入れている（当然であるが）．
• 例えば，GDPRの中心的な条項である6条（処理の適法化事由）や7条（同意の要件）
等はほぼ同じであることがあっさり書かれている（GDPRドラフト24〜25項）．

• DPA2018による例外規定の具体化部分• 機微情報の処理が許される「実質的な公益」についてのDPA2018附則1第2章（GDPRドラフト30項以下）• 個人の権利の制限についてのDPA2018附則2ないし4（特定性と機密性原理，GDPR
ドラフト55項以下）• 報道，芸術，学術及び文学並びにアーカイブ及び研究についての例外（DPA2018附
則2第5章）（GDPRドラフト70項以下）• 監督機関• 英国情報コミッショナー：同事務局（ICO）は2020年3月段階で768人の常勤職員を擁する．英国は，データ管理者の登録料を継続している極めて稀な国であり，予算の85〜90％は登録料からなる．7年任期，再選不可（GDPRドラフト85〜91項）．

2021/6/11

第17回DBSC春のセミナー

88

GDPRドラフト3章
欧州連合から移転された個人データの，英国の公的機関によるアクセスと利用• DPA2018の3章が法執行機関の，4章が情報機関のデータ保護を定めている• 4章には「国家安全保障」のための制限規定が存在するが，この制限規定を利用するためには，閣僚か，検事総⻑の署名を付した承認が必要である．期間は5年を超えず，対象も制限される（GDPRドラフト126
及び127項）．
• 承認について，上級審判所への異議申立ても可能である（同128項）．

2021/6/11

第17回DBSC春のセミナー

892021/6/11

https://www.westyorkshire.police.uk/about-us/ourdepartments/mounted-section/mounted-section 90

第17回DBSC春のセミナー

法執行機関のアクセス• 法執行機関のアクセス• 根拠は，捜索令状と提出命令であり，いずれも裁判所の審査を経由す
る（GDPRドラフト134項）．
• 重大犯罪の防止等のためには，標的型傍受（2016年捜査権限法（IPA2016）第2章），通信データの取得（IPA2016第3章），通信
データの保持（IPA2016第4章），標的型機器干渉（IPA2016第5章）
等が可能であるが，「一括捜査」は不可能である（情報機関は可能）．
• これらの情報収集手段は，主務官庁が請求し，独立した司法委員が許諾した令状による必要がある（「二重鍵」手続と呼ばれている）（GDPRドラフト139項）．

2021/6/11

第17回DBSC春のセミナー

91

「再共有」• 一般の管理者等に「再移転」の問題があるように，法執行機関には，「再共有」の問題がある．
• 法執行機関が，非・法執行機関と個人データを共有する場合や，法執行機関が情報機関と共有する場合などが想定され，根拠法が定められている（GDPRドラフト140項以下）．
• 米国クラウド法の下で締結された英米協定については，欧米アンブ
レラ協定で提供されている保護と同等の保護が提供されていると評価されている（GDPRドラフト151項以下）．
• 法執行機関への監督は，英国情報コミッショナーが行う他，
IPA2016で設置された捜査権限コミッショナー事務局（IPCO），生
体情報コミッショナー，監視カメラコミッショナーが複合的に行っているとされる（GDPRドラフト155項以下，162項以下は議会による監視も記述）．
2021/6/11

第17回DBSC春のセミナー

92個人データへの公的機関のアクセス（通常令状）
捜索令状，提出命令
法執行機関
英国

管理者・処理者

アクセス

令状請求
裁判所

管理者・処理者

欧州

監視・監督
英国情報コミッショナー・事務局（ICO）
2021/6/11

第17回DBSC春のセミナー

932021/6/11

第17回DBSC春のセミナー

94個人データへの公的機関のアクセス（傍受令状等）
標的型傍受（IPA2016第2章）
通信データの取得（IPA2016第3章）
通信データの保持（IPA2016第4章）
標的型機器干渉（IPA2016第5章）

法執行機関

許諾

司法委員

管理者・処理者
アクセス

令状請求
裁判所

管理者・処理者

欧州
英国

監視・監督
英国情報コミッショナー・事務局（ICO）
2021/6/11

第17回DBSC春のセミナー

95個人データへの公的機関のアクセス（監視・監督）

生体情報コミッショナー

標的型傍受（IPA2016第2章）
通信データの取得（IPA2016第3章）
通信データの保持（IPA2016第4章）
標的型機器干渉（IPA2016第5章）

捜査権限コミッ
ショナー

監視・監督

監視カメラコ
ミッショナー

法執行機関

許諾

アクセス
捜査権限裁判所（IPT）
IPA2016違反を審査

2021/6/11

司法委員

令状請求
裁判所

管理者・処理者
英国
政治的監視

監視・監督

議会

英国情報コミッショナー・事務局（ICO）

第17回DBSC春のセミナー

96個人データの再共有

他の法執行機関
情報機関

非法執行機関法執行機関
英国

管理者・処理者

アクセス

令状請求
裁判所

管理者・処理者

欧州

米国クラウド法の下で締結された英米協定

法執行機関

監視・監督
英国情報コミッショナー・事務局（ICO）

米国
2021/6/11

第17回DBSC春のセミナー

972021/6/11

第17回DBSC春のセミナー
98
BCRとCBPRの基準の対照表（両方取得している例はある）

2021/6/11

第17回DBSC春のセミナー

992021/6/11

第17回DBSC春のセミナー

1002021/6/11

第17回DBSC春のセミナー

101

まとめ
• ①CBPRが一定の保護レベルを示す認証であることは間違いなく，
これを推進していくこと自体は正しい。企業の取引コストも下がる。
• ②APEC域内で，⽇本においてCBPR認証を得ている企業への移転がスムースになるように積極的に働きかけていくことも正しい（DFFTにも資する）。
• ③他方で，APEC域内を超えてDFFTの前面に出していくには欧州に嫌われすぎている。BCRとの相互運用についても数年間動きがない。
EDPBの「追加的措置」勧告や行動規範の認定の動向の調査が欠かせない。
• ④CBPRに「追加的措置」に相当するものを加えたうえで，欧州のどこかの国の行動規範との相互互換が得られる，というあたりが最大成果ではないか？
2021/6/11

第17回DBSC春のセミナー

102