欧米セーフハーバーに係る十分性認定無効判決に関する動向及び我が国プライバシー外交への影響
弁護士・ひかり総合法律事務所
板倉陽一郎

2015/12/5

情報法制研究会第3回シンポジウム

1

自己紹介
• ２００２年慶應義塾大学総合政策学部卒、２００４年京都大学大学院情報学研究科社会情報学専攻修士課程修了、２００７年慶應義塾大学法務研究科（法科大学院）修了。
弁護士（ひかり総合法律事務所）。
• ２０１０年４月より２０１２年１２月まで消費者庁に出向（消費者制度課個人情報保護推進室政策企画専門官）。
• 情報ネットワーク法学会理事、情報処理学会電子化知的財産・社会基盤研究会幹事、第二東京弁護士会国際委員
会副委員長、経済開発協力機構（ＯＥＣＤ）プライバシー専
門家会合構成員、経済産業省，総務省，観光庁等の有識者委員等を現任。
• 主な取扱分野はデータ保護法，IT関連法，知的財産権法等。

2015/12/5

情報法制研究会第3回シンポジウム2本日の内容• 1 十分性認定とデータ保護指令の基礎知識• 2 欧米セーフハーバーに係る十分性認定無効判決• 3 関係各所の反応• 4 我が国プライバシー外交への影響

2015/12/5

情報法制研究会第3回シンポジウム

3

1 十分性認定とデータ保護指令の基礎知識

2015/12/5

情報法制研究会第3回シンポジウム

4日欧米の個人情報保護制度及び移転規制の概要

欧州 Europe

米国 United States

EUデータ保護指令

要「十分な保護措置」 連邦取引委員会法（一般データ保護規則に改①標準契約約款（FTC Act）5条
正予定）②拘束的企業準則 COPPA（子ども・オンラ
フ仏
デ
デ
にァ・
情
ー
ー
関イ報
③欧米セーフハーバー
イン）
タ各
すル処
タ英
る及理
保国
保国
HIPAA（健康）協定（十分性認定）
法び
護
法

英
ICO

、
律自情
由報

仏
CNIL

要「十分な保護措置」①標準契約約款②拘束的企業準則
十分性認定なし

2015/12/5←欧州司法裁金融 etc..

プライバ
シー・コ
ミッショ
ナー

米国連邦取引委
員会（FTC）

日本 Japan
個
（
（
改人
正情
法報
成保
立護
）法

個
人行
情政
報機
保関
護
法

主務
大臣

マイナンバー法

個独
人立
情行
報政
保法
護人
法等

個各
人地
条情方
例報自
保治
護体

g

東京三会国際セミナー「個人情報・プライバシー及びその国際的局面」資料より

護法

特定個人情報保護委員会（個人情報保護委員会に
情報法制研究会第3回シンポジウム
改組予定）

州法
各州
司法
省等

新第24条による規制①同等の水準にあると認められる外国（規則による）②基準適合体制整備している者（規則による）③外国にある第三者への提供を認める旨の本人の同意いずれかへの該当
5

現行のEUデータ保護制度の概要
個人データの取扱いに係る個人の保護及び当該データの自由な移動に関する欧州議会及び理事会の指令（現行のEUデータ保護指令，1995年10月24日指令）

概要
・目的：個人データの取扱いに対する自然人の基本的権利及び自由，特にプライバシー権の保護。
・対象：EU構成国（27か国）。ただし，「十分なレベルの保護措置」を確保していない第三国への個人データの移転を規制する，いわゆる第三国条項を通じて，EU構成国以外の国にも大きな影響を与える。
・拘束の程度：EU構成国は，指令を国内法化する義務を負う（全EU構成国で国内法化済み）。
・最近の取組：EUから十分な保護水準を確保していると認められた国・地域は，11*である（2015年12月現在）。
*スイス，カナダ（PIPEDA），アルゼンチン，ガーンジー島，マン島，ジャージー島，フェロー諸島，アンドラ，イスラエル，ウルグアイ，ニュージーランド。
これ以外に第29条作業部会が十分であるとしたものとしてモナコ，カナダ・ケベック州※米国，オーストラリアのEUデータ保護指令への対応状況①米国：包括法がないため，特定の認証基準を設け，その認証を受けた企業ごとに十分性を付与するセーフ・ハーバーの枠組みを2000年にEUと設定（形式的にはEUが十分性を認定）したが，2015年10月6日の欧州司法裁判所判決（Maximillian Schrems v. Data Protection
Commissioner, Case C-362/14）によって十分性認定は無効とされた。
②オーストラリア：包括法である「プライバシー修正法」を2000年に施行したが，ｱ）小規模事業者が規制対象外，ｲ)一般に利用可能なデー
タが規制対象外，ｳ)データの第三国移転が規制対象外等の理由により，第29条作業部会の意見書においては，保護水準が不十分とされた（2001年3月。不十分との意見が出た唯一の例）。*その後，複数回の改正を経ているが，直近の調査によると，十分性認定には拘っていないようである。

・主な論点（第29条作業部会ワーキングドキュメントWP12より）：

・十分性審査の（事実上の）流れ：①内容の原則につき，
1）「アクセス・訂正・異議申立の権利」
2）「移転の制限」
3）「センシティブ・データ」②手続・執行の構造につき，
1）「（政府から）独立した機関の形態をなす外部監督」
2）「データの本人に対する支援と援助の提供」
3）「適切な救済の実施」
その他，
欧州評議会108条約①対象国から十分性審査の申出又は欧州委員会主導で十分性審査開始（申出無くば始めないとのコメントあり）②ナミュール大学法・情報・社会研究所等の下審査（”First

2015/12/5

Analysis”）⇒公表される場合がある③第29条作業部会（EU各国のプライバシーコミッショナーの集まり）の意見⇒公表される④第31条委員会（各国政府代表の集まり）の意見⑤欧州委員会による認定⇒公表される

情報法制研究会第3回シンポジウム

62 欧米セーフハーバーに係る十分性認定無効判決

2015/12/5

情報法制研究会第3回シンポジウム

7

Maximillian Schrems v. Data Protection
Commissioner, Case C-362/14• On those grounds, the Court (Grand Chamber) hereby rules:•

1. Article 25(6) of Directive 95/46/EC of the European Parliament and of the Council of
24 October 1995 on the protection of individuals with regard to the processing of personal
data and on the free movement of such data as amended by Regulation (EC) No 1882/2003of the European Parliament and of the Council of 29 September 2003（→EUデータ保護指令）,
read in the light of Articles 7, 8 and 47 of the Charter of Fundamental Rights of theEuropean Union（→欧州連合基本権憲章）, must be interpreted as meaning that a decision
adopted pursuant to that provision, such as Commission Decision 2000/520/EC of 26 July
2000 pursuant to Directive 95/46 on the adequacy of the protection provided by the safe
harbour privacy principles and related frequently asked questions issued by the US
Department of Commerce（→欧米セーフハーバーについての十分性認定）, by which the European
Commission finds that a third country ensures an adequate level of protection, does notprevent a supervisory authority of a Member State, within the meaning of Article 28 ofthat directive as amended, from examining the claim of a person concerning the protectionof his rights and freedoms in regard to the processing of personal data relating to him
which has been transferred from a Member State to that third country when that person
contends that the law and practices in force in the third country do not ensure an adequatelevel of protection.

•2.

2015/12/5

Decision 2000/520 is invalid.

情報法制研究会第3回シンポジウム

8Maximilian Schrems

http://www.krone.at/Digital/Aktivist_Max_Schrems_zwingt_Facebook_in_die_Knie-EuGH-Showdown-Story-475495 より引用

2015/12/5

情報法制研究会第3回シンポジウム

9なぜアイルランド？
• Facebook利用規約第18条（その他）• 第1項 米国またはカナダに居住しているか、事業の主たる拠点を持っている場合、本規約
は利用者とFacebook, Inc.の間で締結されます。それ以外の場合、本規約は利用者とFacebook Ireland Limitedの間で締結されます。「弊社」とはFacebook, Inc.またはFacebook
Ireland Limitedのうちいずれか該当するものを指します。
2015/12/5

情報法制研究会第3回シンポジウム

10欧州連合司法裁判所（１）
•
•
•
•
•

１．名称
The Court of Justice of the European Union
２．所在地
ルクセンブルク市（ルクセンブルク大公国）
３．沿革

•
•

４．機能
●欧州連合条約（以下、ＴＥＵ）及び欧州連合の機能に関する条約（以下、ＴＦＥＵ）の解釈と適用における法の尊重の確保（ＴＥＵ１９条１）●ＴＥＵ及びＴＦＥＵに従って(1)加盟国、ＥＵの機関、法人又は自然人の行為について裁定(2)加盟国の裁判所の要請に基づき、ＥＵ法の解釈又はＥＵの機関の行為の有効性についての先
決裁定(3)その他基本条約に規定する事件についての裁定（ＴＥＵ１９条３）
５．構成
司法裁判所(Court of Justice)、一般裁判所(General Court)、専門裁判所(specialised court)からなる（ＴＥＵ１９条１項）。

•
•
•
•
•
•
•

–
–
–
–
–

・1952年に欧州石炭鉄鋼共同体司法裁判所として創立。
・1958年に他の共同体の設立とともに、欧州共同体司法裁判所となった。
・1989年には、第一審裁判所（現一般裁判所）が創設の上、併設されている。
・2005年、欧州連合公務員裁判所が設置される。
・2009年、リスボン条約の発効により、欧州連合司法裁判所となる。

以下，在ルクセンブルク日本大使館の説明より
http://www.lu.emb-japan.go.jp/japanese/eu/justice.htm
2015/12/5

情報法制研究会第3回シンポジウム

11欧州連合司法裁判所（２）•７．訴訟対象事項（類型）等

•
•
•
•
•

（１）義務不履行訴訟（Actions for failure to fulfil obligations）（ＴＦＥＵ２５８～２６０条）（２）取消訴訟（Actions for Annulment）（ＴＦＥＵ２６３、２６４条）（３）不作為訴訟（Actions for failure to act）（ＴＦＥＵ２６５条）（４）補償（損害賠償請求）訴訟（Application for Compensation）（ＴＦＥＵ２６８条）（５）控訴（Appeals）•（６）先行判決（先決的判決）（References for preliminary rulings）（ＴＦＥＵ２６７条）– 欧州連合司法裁判所がEU法体系の最終的な番人としての役割を果たしており、先行判決
制度は、EUに固有なものとなっている。
– EU法、特に各種（設立）条約や下位法（理事会規則、（欧州）指令、決定等）については、加盟国の市民に直接に関わるものであり、右を管轄する個別の加盟各国裁判所もEU法の番人であると言える。しかしながら、EU法の効果的かつ統一的な適用の観点から、時として加盟国の国内裁判所はEU法の解釈の確認、明確化の観点から欧州連合司法裁判所に照会し、当該加盟国の国内法がEU法に適合しているかを確認することが必要となる。EU法上の行為の適法性審査を求める場合もある。
– 同観点から国内裁判所が欧州連合司法裁判所に対してEUとの関係で照会を行い、同意見を下すことを先行判決（先決的判決）と呼んでいる。
– なお、欧州連合司法裁判所によって、ある事項に対して判決（先行判決）がなされた場合には、照会を行った当該国裁判所が右に従うだけでなく、他の加盟国においても同様の事項については拘束されることとなる。

2015/12/5

情報法制研究会第3回シンポジウム

12欧州連合司法裁判所（３）• ＜裁量による付託と義務的付託＞• 【裁量】加盟国裁判所において判決を下すにあたり欧州連合司法裁判所の判断が必要と考える
場合には、これを付託することができる（court or
tribunal may～）。（ＴＦＥＵ２６７条２段）• 【義務】国内法的に担保されない場合＝決定が国内法上、上訴を許さない時には、これを欧州
連合司法裁判所に付託しなければならない。
(shall bring the matter)（ＴＦＥＵ２６７条３段）
2015/12/5

情報法制研究会第3回シンポジウム

13

事実の経緯• 2008年よりFB利用• 2013年6月25日 アイルランドプライバシーコ
ミッショナーへの転送禁止命令申立– 欧米セーフハーバー十分性認定により却下• SchremsのデータがNSAにアクセスされた証拠なし• アイルランド高等法院に異議申立て– 欧米セーフハーバー十分性認定の有効性は問
題にせず• アイルランド高等法院，EU法の判断付託
2015/12/5

情報法制研究会第3回シンポジウム

14

CHARTER OF FUNDAMENTAL RIGHTS OF THE EUROPEAN UNION
2012/C 326/02• Article 7• Respect for private and family life
• Everyone has the right to respect for his or her private and family life,
home and communications.
• Article 8• Protection of personal data
• 1. Everyone has the right to the protection of personal data concerning
him or her.
• 2. Such data must be processed fairly for specified purposes and on thebasis of the consent of the person concerned or some other legitimate
basis laid down by law. Everyone has the right of access to data which has
been collected concerning him or her, and the right to have it rectified.
• 3. Compliance with these rules shall be subject to control by anindependent authority.

2015/12/5

情報法制研究会第3回シンポジウム

15

The requirements stemming from
Article 25(6) of Directive 95/46• 73 The word ‘adequate’ in Article 25(6) of Directive 95/46
admittedly signifies that a third country cannot be required toensure a level of protection identical to that guaranteed in the EU
legal order. However, as the Advocate General has observed inpoint 141 of his Opinion, the term ‘adequate level of protection’must be understood as requiring the third country in fact to ensure,by reason of its domestic law or its international commitments, alevel of protection of fundamental rights and freedoms that isessentially equivalent to that guaranteed within the European
Union by virtue of Directive 95/46 read in the light of the Charter.
If there were no such requirement, the objective referred to in theprevious paragraph of the present judgment would be disregarded.
Furthermore, the high level of protection guaranteed by Directive
95/46 read in the light of the Charter could easily be circumvented
by transfers of personal data from the European Union to third
countries for the purpose of being processed in those countries.
2015/12/5

情報法制研究会第3回シンポジウム

16

The requirements stemming from
Article 25(6) of Directive 95/46(Cont.)• 74 It is clear from the express wording of Article 25(6) of
Directive 95/46 that it is the legal order of the third country
covered by the Commission decision that must ensure anadequate level of protection. Even though the means towhich that third country has recourse, in this connection,
for the purpose of ensuring such a level of protection may
differ from those employed within the European Union inorder to ensure that the requirements stemming from
Directive 95/46 read in the light of the Charter arecomplied with, those means must nevertheless prove, inpractice, effective in order to ensure protection essentiallyequivalent to that guaranteed within the European Union.

2015/12/5

情報法制研究会第3回シンポジウム

17Decision 2000/520 が無効になる論理• セーフハーバーの例外（公益，法執行，国防等）• 米国の国防や公共の利益のために一般的に制限される可能性→個人の基本的人権について米国政府が侵害することが可能• セーフハーバーにおける紛争解決は米国政府が行う行為に対する紛争には適用されない• 2013年欧州委員会意見書
評釈として岩村浩幸「欧州司法裁判所によるセーフハーバールール無効の判決とその日系企業への影響」NBL1061号4頁（2015年）
2015/12/5

情報法制研究会第3回シンポジウム18

3 関係各所の反応

2015/12/5

情報法制研究会第3回シンポジウム

19第29条作業部会（2015年10月16日声明）• First, the Working Party underlines that the question ofmassive and indiscriminate surveillance is a key elementof the Court’s analysis. It recalls that it has consistently
stated that such surveillance is incompatible with the EU
legal framework and that existing transfer tools are not thesolution to this issue. Furthermore, as already stated,transfers to third countries where the powers of stateauthorities to access information go beyond what isnecessary in a democratic society will not be considered assafe destinations for transfers. In this regard, the Court’s
judgment requires that any adequacy decision implies abroad analysis of the third country domestic laws andinternational commitments.

2015/12/5

情報法制研究会第3回シンポジウム

20• Therefore, the Working Party is urgently calling on theMember States and the European institutions to open
discussions with US authorities in order to find political,
legal and technical solutions enabling data transfers to theterritory of the United States that respect fundamental
rights. Such solutions could be found through thenegotiations of an intergovernmental agreement providing
stronger guarantees to EU data subjects. The current
negotiations around a new Safe Harbour could be a part ofthe solution. In any case, these solutions should always be
assisted by clear and binding mechanisms and include atleast obligations on the necessary oversight of access by
public authorities, on transparency, on proportionality, on
redress mechanisms and on data protection rights.
2015/12/5

情報法制研究会第3回シンポジウム

21• In the meantime, the Working Party will continue its
analysis on the impact of the CJEU judgment on othertransfer tools. During this period, data protection
authorities consider that Standard Contractual Clauses andBinding Corporate Rules can still be used. In any case, thiswill not prevent data protection authorities to investigate
particular cases, for instance on the basis of complaints,
and to exercise their powers in order to protect individuals.
• If by the end of January 2016, no appropriate solution isfound with the US authorities and depending on theassessment of the transfer tools by the Working Party, EUdata protection authorities are committed to take allnecessary and appropriate actions, which may include
coordinated enforcement actions.
2015/12/5

情報法制研究会第3回シンポジウム

22

•

•

•

Regarding the practical consequences of the CJEU judgment, the Working Party
considers that it is clear that transfers from the European Union to the UnitedStates can no longer be framed on the basis of the European Commission
adequacy decision 2000/520/EC (the so-called “Safe Harbour decision”). In any
case, transfers that are still taking place under the Safe Harbour decision after
the CJEU judgment are unlawful.
In order to ensure that all stakeholders are sufficiently informed, EU dataprotection authorities will put in place appropriate information campaigns at
national level. This may include direct information to all known companies thatused to rely on the Safe Harbour decision as well as general messages on theauthorities’ websites.
In conclusion, the Working Party insists on the shared responsibilities between
data protection authorities, EU institutions, Member States and businesses to findsustainable solutions to implement the Court’s judgment. In particular, in thecontext of the judgment, businesses should reflect on the eventual risks they takewhen transferring data and should consider putting in place any legal and technicalsolutions in a timely manner to mitigate those risks and respect the EU dataprotection acquis.

2015/12/5

情報法制研究会第3回シンポジウム

23欧州委員会• Brussels, 6.11.2015 COM(2015) 566 final
COMMUNICATION FROM THE COMMISSION
TO THE EUROPEAN PARLIAMENT AND THE
COUNCIL on the Transfer of Personal Data
from the EU to the United States of America
under Directive 95/46/EC following the
Judgment by the Court of Justice in Case C362/14 (Schrems)
2015/12/5

情報法制研究会第3回シンポジウム

24

COMMUNICATION• 1. INTRODUCTION: THE ANNULMENT OF THE SAFE HARBOUR DECISION• 2. ALTERNATIVE BASES FOR TRANSFERS OF PERSONAL DATA TO THE U.S.
– 2.1. Contractual solutions– 2.2. Intra-group transfers– 2.3. Derogations• 2.3.1. Transfers necessary for the performance of a contract or the implementation ofpre-contractual measures taken in response to the data subject's request (Article
26(1)(b))• 2.3.2. Transfers necessary for the conclusion or performance of a contract concluded in
the interest of the data subject between the controller or a third party (Article 26(1)(c))• 2.3.3. Transfers necessary or legally required for the establishment, exercise or defenceof legal claims (Article 26(1)(d))• 2.3.4. Unambiguous prior consent by the data subject to the proposed transfer (Article
26(1)(a))– 2.4. Summary on alternative bases for transfers of personal data

• 3. THE CONSEQUENCES OF THE SCHREMS RULING ON ADEQUACYDECISIONS• 4. CONCLUSION
2015/12/5

情報法制研究会第3回シンポジウム

25European Justice Commissioner Vera
Jourova• "We have to build a bridge between our dataprotection authorities and those of the USA
and put it into a legally binding text," Jourova
told Austrian newspaper Wirtschaftsblatt in aninterview published on Monday.
• "We should manage that by the next meetingon Dec. 17.“
REUTERS，Mon Nov 30, 2015 5:05am EST
2015/12/5

情報法制研究会第3回シンポジウム

26

Export.gov• On October 6, 2015, the European Court of Justice issued
a judgment declaring as “invalid” the European
Commission’s Decision 2000/520/EC of 26 July 2000 “onthe adequacy of the protection provided by the safe
harbour privacy principles and related frequently asked
questions issued by the US Department of Commerce.”• In the current rapidly changing environment, theDepartment of Commerce will continue to administer the
Safe Harbor program, including processing submissions for
self-certification to the Safe Harbor Framework. If you
have questions, please contact the European Commission,
the appropriate European national data protection
authority, or legal counsel.
2015/12/5

情報法制研究会第3回シンポジウム

27

Safe Harbor solution not coming any time soon, says Dutch minister
A solution to the Safe Harbor data framework will not hit its January 2016 deadline, raising the possibility of large fineslevied against companies like Facebook in the New Year.
That's according to Dutch justice minister Ard van der Steur, who has published a lengthy response to Parliamentaryquestions on the issue.
Van der Steur's response goes into some depth about the history of the framework, which covers data transfer acrossthe Atlantic, and the decision and resulting impact of the European Court of Justice's ruling to effectively strike it downin October.
His response also goes into the EU's efforts to come up with a new solution with the US government, at which point van
der Steur warns: "It is not expected that the negotiations with the US will be completed very shortly."

Critically, it appears that the EU has yet to even broach the issue that caused the framework to fall apart in the firstplace: mass surveillance of internet traffic by the NSA.
He notes: "Since the end of 2013, there have been ongoing negotiations ... However, the talks have yet to start on thetwo substantive issues concerning national security. The Commission sees the ruling of the ECJ as an important stimulus
to accelerate those conversations."
That "stimulus" was received nearly two months ago. But despite calls from European politicians, American
representatives, and businesses on both sides of the Atlantic to come up with a solution as fast as possible, it seems
that the core issue has yet to be addressed.
http://www.theregister.co.uk/2015/12/01/safe_harbor_solution_not_soon/ より。
オランダ司法大臣の答弁原文は，
http://www.tweedekamer.nl/kamerstukken/brieven_regering/detail?id=2015Z23094&did=2015D46706
2015/12/5

情報法制研究会第3回シンポジウム

28

十分性認定を得ている国々は…
• スイス• イスラエル• ニュージーランド

2015/12/5

情報法制研究会第3回シンポジウム

29

Opinion of the FDPIC on the European
Court of Justice Safe Harbor judgment• In its judgment issued on 6 October 2015, the European Court of Justicedeclared the Safe Harbor data protection agreement between Europe
and the USA to be invalid. The ECJ held that the transmission of personal
data to the USA under the Safe Harbor Agreement regime is problematic.
The agreement between Switzerland and the USA is also called into
question by this decision. As far as Switzerland is concerned, in the eventof renegotiation, only an internationally coordinated approach that
includes the EU is appropriate.
• In the meantime, the FDPIC would stress that when dealing with modernmeans of communication, the use of certain tools and the disclosure of
personal data should always be approached with caution. If data has to be
stored externally, it should wherever possible be stored by European
providers on servers in Europe. Swiss businesses and authorities that use
products and services provided by American companies should enter into
additional agreements to secure better protection for the persons
concerned and their data.

2015/12/5

情報法制研究会第3回シンポジウム

30

Pursuant to the European Decision It Is No Longer
Permissible to Rely on the Safe Harbor as a Basis forTransfers of Personal Data from Israel to the U.S• However, the recent decision of the Court ofJustice of the European Union (CJEU)
invalidates the authorization to transfer
personal data from Europe to companies
committed to the Safe Harbor. Consequently,
at this point, the position of ILITA is thatorganizations can no longer rely on thisderogation from the Regulations as a basis
for the transfer of personal data from Israel
to organizations in the United States.
2015/12/5

情報法制研究会第3回シンポジウム

31

2015/12/5

情報法制研究会第3回シンポジウム32

4 我が国プライバシー外交への影響

2015/12/5

情報法制研究会第3回シンポジウム

33

十分性認定への影響• “Adequate”といえるためには欧州連合基本権憲章に照らしてessentially equivalent（本質的に同等）である必要があるとされた• 国防等を理由とする例外により「本質的に同等」とはいえないとされた• 大きなネックは二つ– 個人情報保護法1条及び3条＋行政機関等の監督権
限– 個人情報保護法施行令3条3号4号＋行政機関個人情報保護法10条1号2号，11条2項1号，14条4号5号
2015/12/5

情報法制研究会第3回シンポジウム

34

同等性認定等，新24条の委員会規則事項への影響• スイスやイスラエルが米国への包括的な移転を停止している• 米国主導のCBPRで基準適合体制とすることのリスク

2015/12/5

情報法制研究会第3回シンポジウム

35

十分性認定とTPP• 十分性認定は「欧州基本権憲章に照らして本質的に同等」である必要性• TPPでは国内データ保持義務への牽制• 今後の展開– 附則12条1項– 附則12条3項– 附則12条5項
2015/12/5

情報法制研究会第3回シンポジウム

36