データ移転規制への対応2017.11.28前回のコラムでは、企業においてGDPRの影響を把握するための影響調査についてご紹介しました。今回は企業からの問い合わせの多い、影響調査によって「データ移転」に該当する取扱いが確認された場合の対応についてご紹介します。データ移転規制は、GDPRから新たに導入されるものではなく、現行法であるEUデータ保護指令においても規定されており、EU所在者の個人データを第三国へ移転する場合、定められた対策を講じることが求められます。「データ移転」とは、EU域内の企業から電子メール等で個人データを受け取る、といった物理的な移転だけではなく、EU域外からEU域内の個人データへアクセス可能な状態の場合も含まれるため、注意が必要です。Rule(拘束的企業準則))が主流です。countries影響調査を実施した結果、想定より多くのEU所在者の個人データが日本を含むEEA域外で取り扱われている事実に気づいたとの企業担当者の声もよく聞かれます。データ移転について整理し、法律家の助言も受けつつ雛形に則ってSCCの作成を進めています。(個人データ移転の例)個人データを格納する情報システムをEU域外のデータセンタで運用している。日本の本社から、EU域内のグループ会社の情報システムにアクセスし、グループ会社の従業員データを閲覧している。EU域内の各グループ会社の採用に関する情報が日本本社へ提出されている。SCCと比べて適用がある企業は多くないようですが、「直接適用」と呼ばれる、EU企業を介さず、EU域外企業が直接EU居住者の個人データを取扱う場合、EU域外企業であってもEU域内企業と同等の責務が科されることになります。商品やサービスの提供EUを含む海外市場向けのオンラインショッピングサイトを日本本社が運営しているマーケティング調査の一環で、製品・サービスを提供したEUの居住者からの顧客データを日本本社が直接収集しているモニタリングEU所在者の位置情報を、日本本社が収集して分析する上記のようなケースに該当する場合、GDPRが規定する収集時の同意、同意の撤回等も含め対応を進める必要があり、データ移転と比べ影響が大きいと言えます。以上、データ移転規制への対応を中心に紹介しました。次回のコラムでは、「GDPR対応のための規程類の整備」に関してご紹介します。お問い合わせは、「お問い合わせフォーム」よりお願いします。Japanは、EYの日本におけるメンバーファームの総称です。EY税理士法人、EYトランザクション・アドバイザリー・サービス株式会社、EYアドバイザリー・アンド・コンサルティング株式会社などから構成されており、各メンバーファームは法的に独立した法人です。