M&P Legal Note 2019 No.3-1

GDPR（EU 一般データ保護規則）に関するアップデート②～十分性認定/ブレグジット～
2019 年 4 月 19 日
松田綜合法律事務所
弁護士 加藤奈緒
越境移転は特段の措置を講ずることなく可能とな

第１はじめにりました。これまで EU 域内から日本に個人データを移転させるために、データ移転元との間で標準前回のニュースレター（『GDPR（EU 一般データ保護規則）に関するアップデート①』2019 No.1-1）にて言及した、欧州委員会による GDPR の越境移転規制に関する日本の十分性認定が、2019 年 1 月 23日付で発効しました。また、同日付で、個人情報保護委員会が、個人情報保護法 24 条（外国にある第三者への提供）に基づく指定を EU（EU 加盟国に加えて、アイスランド、ノルウェー、リヒテンシ
ュタインを含みます。以下同じ）に対して行い、日欧間の相互認証に至りました。
本稿では、主に日本に所在する企業の観点から、契約条項（SCC）を締結する等して対応してきた企業が多いかと思いますが、十分性認定後はかかる措置が不要となります。
ただし、十分性認定に基づいて EU 域内から移転を受けた個人データについては、日本の個人情報保護法に加えて、個人情報保護委員会が策定した「個人情報の保護に関する法律に係る EU 域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」（補完的ルール）に従って取り扱う必要があります。補完的ルールについては、下記 2 で説明いたします。

十分性認定の意義及び留意点につき解説いたします。

ここでの留意点として、

また、本稿作成時点で未だ先行き不透明な英国①の EU 離脱（ブレグジット）に関し、現時点で想定人データの「移転」を許容する措置であって、される GDPR 等の個人情報保護法制関連での影響に個人データの「処理」について GDPR が直接適ついて概要をご説明します。

第２１

EU→日本への越境移転
十分性認定の意義と留意点

十分性認定はあくまで EU 域内から日本への個用される場合は、依然として GDPR 上の義務を遵守する必要がある②

十分性認定後も、十分性認定によらずに SCCや GDPR47 条に基づく拘束的企業準則（BCR）等の手法により EU から日本に対し個人データ欧州委員会による日本の十分性認定に伴い、を移転することは可能である。補完的ルール

GDPR45 条に基づき、EU から日本への個人データのはあくまで十分性認定に基づいて EU 域内から

1
M&P Legal Note 2019 No.3-1

日本に移転された個人データの取扱いについ

この結果、十分性認定に基づき移転された性生て規律するものであり、十分性認定に基づか活、性的指向、労働組合に関する情報については、ずに（例えば、SCC に基づいて）移転された個取得についての同意（法 17 条 2 項）や、オプトア

人データの取扱いには適用されない（補完的ウトによる第三者提供の禁止（法 23 条 2 項）といルールに関する意見募集結果 No.45～55）

った、要配慮個人情報に関する個人情報保護法の規制に服することになります。

ことが挙げられます。
②２

補完的ルールの概要

保有個人データの範囲
EU 域内から十分性認定に基づき移転を受けた個

人データについては、消去しようとする期間にか補完的ルールは、日本の十分性認定にあたり、日欧の個人情報保護制度の相違点を埋め、より高かわらず、法 2 条 7 項の「保有個人データ」に該当するとされています。

い水準の保護を確保するために策定されたルール

個人情報保護法上、個人データのうち 6 ヶ月以であり、通常のガイドラインと異なり法的拘束力内に消去することとなるものについては保有個人を有するとされています（名称についても、意見データから除かれるのに対し、GDPR 上は保存期間募集時の「ガイドライン（案）」から、「補完的に基づく除外規定がないことから、その差異を埋ルール」に変更されました）。個人情報取扱事業める目的の規定になります。

者が本ルールに定める義務を遵守しない場合、個人情報保護委員会は、個人情報保護法 42 条に基づ③く勧告・命令を行う権限を有するとされております。

利用目的の特定、利用目的による制限
EU 域内から十分性認定に基づき個人データの提供を受ける場合、法 26 条 1 項及び 3 項（第三者提もっとも、法改正を経ることなく、個人情報保供を受ける際の確認、記録）に基づき、提供を受護法よりも厳しい規制に法的拘束力を持たせるこ

ける際に特定された利用目的を含め、取得の経緯とについては、その根拠に疑問も呈されていますを確認し記録すること、また、特定された利用目（意見募集結果 No.26 等）。

的の範囲内でのみ個人データを利用すべきことが補完的ルールの概要は以下のとおりです。

規定されています。
GDPR 上、第三者から提供を受けた個人データの①

要配慮個人情報の範囲

利用目的は、取得時に特定された利用目的の範囲

EU 域内から移転を受けた個人データのうち、「性に制限されるのに対し、個人情報保護法上はこれ生活」「性的指向」「労働組合」に関する情報がを直接規定する条項がないことから、明確化した含まれる場合には、当該情報は個人情報保護法上規定になります。の「要配慮個人情報」(法 3 条 2 項）と同様に取り扱うとされています。

④

外国にある第三者への提供の制限

これは、上記に関する情報は GDPR 上、厳格な取個人情報取扱事業者が、EU 域内から十分性認定扱いが要求されるセンシティブデータとして位置に基づき提供を受けた個人データを、さらに外国づけられている一方で、個人情報保護法上の「要にある第三者に提供する場合の取扱いについて定配慮個人情報」には含まれていないため、その差めています。具体的には、外国にある第三者への異を埋める目的の規定になります。

提供は、法 24 条に従い、以下のいずれかの場合に制限されるとしています。

2
M&P Legal Note 2019 No.3-1

(i)

移転先の状況についての情報を提供した

他方、移転を受けた個人データの処理に関して上で、あらかじめ本人の同意を得る場合日本企業が GDPR の直接適用を受ける場合に、第三(ii) 第三者が日本において十分性認定を行っ国への再移転につき GDPR 上の越境移転規制の適用た国にある場合(iii) 個人データの提供を受ける第三者との間で、個人データの取扱いにつき適切かつ合があるかという点は明確には示されておりません
が、適用があるという前提で対応を行うことが安全と思われます。

理的な方法（契約、その他の形式の拘束力ある取決めまたは企業グループにおける第３ 日本→EU への越境移転拘束力のある取扱い）により、補完的ルールを含め法と同等の個人情報保護措置を連携して実施している場合(iv) 法 23 条 1 項各号に該当する場合

冒頭に述べたとおり、欧州委員会による日本の十分性認定と同日に、個人情報保護委員会も、EUを個人情報保護法 24 条の「我が国と同等の水準にあると認められる個人情報の保護に関する制度を⑤

匿名加工情報EU 域内から十分性認定に基づき提供を受けた個人情報については、個人情報取扱事業者が加工方法等情報を削除することにより、匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、法 2 条 9 項に定める匿名加工情報とするとされております。
個人情報保護法上は、匿名加工情報を作成したときは加工方法等情報の漏洩を防止するために必有している外国」に指定しました。これにより、日本から EU への個人データの越境移転については、法 24 条に基づく本人の同意その他の措置を取ることになく可能となりました。もっとも、法 23 条に基づく第三者提供に関する要件（本人の同意等）は依然として適用される点にご留意下さい。

第４ ブレグジットと個人情報保護法制
１

GDPR との関係要な措置を講じなければならないとされております。他方で、GDPR における匿名化データと認められるためには不可逆的に特定個人の識別を防止する処理が求められていることから、十分性認定に基づき移転された個人データを匿名加工情報とするには、加工方法等情報の削除により再識別不可能とすることを求める規定になります。

本稿作成時点において、英国の EU 離脱（ブレグジット）については 2019 年 10 月末までの離脱期限の再延長が決定され、離脱協定案の合意のない「合意なき離脱」はひとまずは回避されましたが、未だ先行き不透明な状況になっています。
ブレグジットと GDPR に基づく個人データ移転との関係について、欧州データ保護会議（EDPB）の３日本から第三国への再移転

2019 年 2 月 12 日付通知によると、合意なき離脱の場合、英国が十分性認定を得られるまで英国は EU

EU 域内から十分性認定に基づき日本に移転された個人データを第三国に再移転する場合、かかる外国への再移転については補完的ルール（上記 2④）に従って行う必要がある一方で、GDPR 上の越境移転規制に対応する必要はないとされています（意見募集結果 No.132 等）。

にとって「第三国」となり、EU から英国への個人データの移転には、標準契約条項(SCC)や拘束的企業準則(BCR)、本人の同意といった、GDPR 上の越境移転規制の例外措置を取る必要があるとされています。
したがって、仮に合意なき離脱となった場合、例えば日本企業の EU 子会社から英国にデータを移3
M&P Legal Note 2019 No.3-1

転するにあたり、これまで不要であった上記の措

これを受けて、個人情報保護委員会も、法 24 条

置が新たに必要となる可能性があるため、引き続に基づく指定を離脱後も英国に対して継続する旨

き動向については注視する必要があります。

を 2019 年 3 月 29 日付で告示しており（平成 31 年

他方、英国から EU へのデータ移転については、個人情報保護委員会告示第 5 号）、日本から英国離脱後も新たな措置を講ずることなく、これまでへのデータ移転は、離脱後も日本から EU へのデーどおり自由に行えるとされています。なお、英国

タ移転と同様の枠組みで行えることが想定されての離脱に際し、GDPR は即日英国の国内法に組み込います。

まれることが想定されています。
その他、離脱形態にかかわらず、GDPR の観点か合わせて同告示において、上記第 2 で述べた EUによる十分性認定に関する補完的ルールについてら日本企業に影響が及びうる点の一つとして、は、ブレグジット後、英国から日本に移転される

GDPR の域外適用があり、欧州代理人（GDPR27 条）個人データにも適用されることが規定されておりを既に英国内において選任している企業についてます。なお、同告示については、英国の EU 離脱日は、ブレグジットに伴い、他の EU 加盟国に代理人から施行される予定です。

を選任し直す必要がある可能性が高いことが挙げられます。

２

個人情報保護法との関係
この記事に関するお問い合わせ、ご照会は以下の

ブレグジット後の日英間のデータ移転について連絡先までご連絡ください

は、離脱後も、日本・EU 間の相互認証に基づくデータ移転と同様の効果が維持されることが想定されています。

弁護士

加藤奈緒

nao.kato@jmatsuda-law.com

英国議会は、日本を含む EU による十分性認定を離脱後も維持する法案を 2019 年 2 月 20 日付で可松田綜合法律事務所

決しております。したがって、英国から日本への〒100-0004

データ移転は、離脱後も EU から日本へのデータ移

東京都千代田区大手町二丁目６番１号

転と同様、特別な措置を講ずることなく可能とな朝日生命大手町ビル７階る予定です。

電話：03-3272-0101

FAX：03-3272-0102

この記事に記載されている情報は、依頼者及び関係当事者のための一般的な情報として作成されたものであり、教養及び参考情報の提供のみを目的とします。いかなる場合も当該情報について法律アドバイスとして依拠し又はそのように解釈されないよう、また、個別な事実関係に基づく日本法または現地法弁護士の具体的な法律アドバイスなしに行為されないようご留意下さい。

4M&P Legal Note 2019 No.3-1