ＧＤＰＲ
2023.03.09
ヨーロッパは伝統的に人権やプライバシーに対する配慮が強く、データに関してもそれは同様です。
ＥＵは、ＥＵを含む欧州経済領域（ＥＥＡ EU非加盟国のうちＥＦＴＡ加盟国のアイスランド、リヒテンシュタイン、ノルウェーとＥＵに加盟する２７か国）における個人情報の保護及びＥＵ域外におけるＥＵ市民の個人情報の保護を規定したＧＤＰＲというＥＵ規則を制定しました。
ＧＤＰＲは、ヨーロッパの極めて強い人権保護の思想に立脚しており、ＥＵ域内から域外への個人データ移転を原則禁止しています。
しかし、移転先にＥＵ法と同等の高いレベルのデータ保護措置がある場合には、例外的に個人情報の越境移転を認めます。
ＥＵ市民の個人情報及びＥＥＡ域内で収集された個人情報を域外に越境移転するためには、移転先の個人情報保護に関する規制がＥＵと同等であると認められる「十分性認定」の基準をクリアしなければなりません。
日本は、この十分性をクリアしていると認定されました。
日本の他に、アンドラ、アルゼンチン、カナダ、フェロー諸島、ガーンジー諸島、ジャージー諸島、イスラエル、マン島、ニュージーランド、韓国、スイス、英国、ウルグアイがＧＤＰＲの十分性認定を受けています。
ＥＵは、各国のデータ保護ルールをＧＤＰＲへ収斂していくことが安全なデータ流通の確保につながるとの考えに役立つという観点からＤＦＦＴを支持しています。
プライバシーを基本的権利とするＥＵと、データの自由な流通を志向する米国との間では、プライバシー保護やデータアクセスの考え方に隔たりがあります。
しかし、欧米間でのデータの移転ができなければ、経済活動や人の往来などに大きな影響を及ぼすために、２０１６年にプライバシーシールドという特別な枠組みをつくり、移転を認めてきました。
米国には包括的なプライバシー保護法がないため、個人情報の移転を行う米企業に対し、米国商務省及び連邦取引委員会が監視を行うこととしたほか、独立した監視機関（オンブズマン制度）を導入するというのがこのプライバシーシールドの内容です。
しかし、２０２０年７月に、このプライバシーシールドを無効とするＥＵ裁判所の判決が出されました。
これにより、米欧間でのデータ移転に支障が生じビジネスへの多大な影響が出ることになるので、米ＥＵ間におけるデータ移転についての新たな枠組みが必要になりました。
その結果、２０２２年３月に、米ＥＵ間で、新たな大西洋横断データ・プライバシー・フレームワーク（The Trans-Atlantic Data Privacy Framework）というデータ移転に関する新たな枠組について基本合意しました。
この新たな枠組みには、米国情報当局による移転データへのアクセスを国家安全保障に必要かつ適切なものに限定する新しいルールと同時にそれを担保するための拘束力のある保護措置を設けること、米国情報当局によるデータアクセスに関するＥＵ市民の苦情を調査し、解決するためのデータ保護審査（Data Protection Review Court）を含む多層的な救済制度を確立すること、ＥＵから移転されたデータを処理する企業に対する米国商務省を通じた原則の遵守を自己証明する要件を含めた強力な義務を課すことなどが含まれます。
２０２２年１０月に、米国はこの基本合意を履行するための大統領令を発表し、それを受けて１２月に、欧州委員会は、米国のＧＤＰＲに関する十分性認定に向けた手続きを開始しました。
この正式決定には約６ヶ月かかります。
これが認められれば、この枠組みに基づき、ＥＵおよびこの枠組みに参加する米国企業間において、データの自由かつ安全な移転が可能となります。
