EU一般データ保護規則
十分性認定の後もGDPRと日本国内法の個人データ保護水準が異なるため、日欧間の個人データの移転についてさまざまな課題が残る。
個人情報保護委員会は十分性認定を得るために「個人情報の保護に関する法律についてのガイドライン(EU域内から十分性認定により移転を受けた個人データの取扱い編)」をパブリックコメントを経て 定めるが、既存の個人情報保護法に対して追加の取扱いが必要な個人情報を「EU域内から十分性認定に基づき提供を受けた個人データ」に限定している。
他方、GDPRが対象とする個人データは国籍を問わないため、結果として同じ日本国民でも欧州にいる方がより高い水準の保護を受けることになる。例えば同ガイドラインではEU域内からの移転個人データについてのみ「性生活、性的指向又は労働組合に関する情報が含まれる場合」は要配慮個人情報と同様の取扱いとするとあるが、日本国内にいる日本人にこの追加の取扱いは適用されない。
最終合意された十分性認定は「相互的」であるが、日本の個人情報保護法および追加ガイドラインにはGDPRの最も重要な規定の一つである「データ主体はいつでも同意を撤回できる」「同意の撤回は同意を与えるのと同程度に容易でなければならない」(第7条第3項)という定めがない。
そのため日本在住の日本国民は個人データが欧州にいったん移転されると、同意の撤回という方法で管理、処理を停止させることができない。
1995年10月にルクセンブルクで採択されたデータ保護指令(EU指令95/46/EC)に準拠し、加盟各国は国別の法制化並びに監督機関の設立等を行っていた。この旧データ保護指令をベースとして、EU加盟国に対して一律に直接効力を持つEU一般データ保護規則(GDPR)が提案された。GDPRの提案 は2012年1月25日に公開され、EU理事会は2016年初めに正式な採択を目指した。
新規則の提議は数多くの議論と論争を起こし、数千項目の修正が提案された。単一の規則群と事務的要求の除外は費用削減を意図していた。しかし研究者は以下の課題を指摘している。
データ保護最高責任者 (DPO) の任命要求は、多くのEU加盟国によって新規のもので、一部からは事務的な負担が批判されている。
GDPRがソーシャル・ネットワークおよびクラウド事業者に焦点を当てて作成されているが、被雇用者のデータの処理に対する要求については十分に考慮していない。
データ可搬性 はデータ保護の重要な側面とはみなせず、むしろソーシャル・ネットワークおよびクラウド事業者の機能要件である。
データ保護当局 (DPA) の言語およびスタッフ採用上の課題: 非欧州企業は英語を理由に、英国/アイルランドのDPAを選ぶ。それによって両国は非常に大きな人的資源を要求される。 欧州連合 (EU) 市民は問い合わせ窓口として、もはや単一のDPAではなく、関係する企業が選んだ複数のDPAと関わる必要が出てくる。