欧州委員会が米国と締結しているセーフハーバー協定は無効であるとの判決を下した。本判決は、欧州内で事業を展開している米国企業のビジネスにも大きな影響を及ぼすと見られている。本稿では、本判決と概要とその影響について考察する。Ltdを設置し、欧州内での事業を展開している。Incにデータを転送し処理をしていた。現在、EU加盟国の国民の個人データを第3国へデータ移転するにあたっては、EUデータ保護指令(95/46/EC)を遵守する必要があり、具体的には第3国が「十分な保護措置」がなされている国と認められるか(十分性認定)、あるいはデータ保護指令に規定される他の条件を満たす必要がある。十分な保護措置がなされていない米国に対して自身の個人データが転送されたとして、アイルランドのデータ保護機関に対して申立を行ったという事案である。Schrems氏は最初にアイルランドのデータ保護機関であるアイルランドのデータ保護コミッショナーに対し申立を行ったが、アイルランドデータ保護コミッショナーはセーフハーバー協定に基づくデータ移転については十分な保護がなされたものであるとして本件を調査することを拒否した。Ireland)は欧州司法裁判所に対して、欧州委員会が決定したセーフハーバー協定の有効性に対する申立に対し、アイルランドのデータ保護機関が欧州委員会決定の内容について調査することができるのかどうかの判断を求めた。(※2)上述の通り、EU外へのデータ移転にあたっては、EUデータ保護指令に基づき、当該国が「十分な保護措置」がなされていると認定されている場合にのみ認められる。米国のプライバシー保護法制はEUデータ保護指令や日本の個人情報保護法のような分野横断的な保護法制(オムニバス方式)ではなく、個別事業分野ごとの法制(セクトラル方式)が採られており、EUのような体系的な法制度がないことから、米国はEUの十分性認定を得ることが難しいと考えられてきた。米欧間のデータ移転ができなくなった場合、米国のIT企業をはじめとする大多数の企業に影響を及ぼし、経済活動にも多大な影響を及ぼすことから、米欧間のデータ移転に関しては、米国商務省が認証した企業の米欧間のデータ移転を認める「セーフハーバー協定」に2000年に合意し、これまで本協定に基づき、欧州内の個人データが米国に移転されていたという経緯がある。今回本事案で提起された問題は、このセーフハーバー協定に基づき米国にデータ移転された場合に、当該行為が十分な保護措置が採られたものであるのかどうかを、EU加盟国の監督機関が調査、判断することができるのかという点であり、また、そもそもセーフハーバー協定は十分な保護措置が採られているといえるのかという点についても欧州司法裁判所が判断した。本判決では、EU司法裁判所はまずEU各国は国外へのデータ移転に対して、それが十分な保護措置がなされたものであるかについて判断する権利を有すると示している。合わせて、セーフハーバー協定という欧州委員会の決定の有効性については、欧州司法裁判所が判断する必要があるとし、この有効性の有無についても合わせて判断し、最終的には、セーフハーバー協定は無効という判決を下した。上記について、本判決のプレスリリースにおいて以下のとおり指摘されている(※3)。指令に基づき、EU各国の監督機関の権限を排除、または低減することはできないという立場を維持する。基本権憲章によって保証された権利に基づき、国の監督機関による個人データの保護は委任されているという点を強調する。司法裁判所は最初に、委員会決定に基づく第3国への個人データ移転に対する国の監督機関の権限は、指令のいかなる条項によっても阻止されていないと述べる。したがって、もし委員会が決定したものであっても、国家の監督機関は申立があった場合には、当該申立を、完全に独立して、第3国への個人データ移転が指令に遵守したものであるかどうかを調査できるようにしておく必要がある。司法裁判所は、委員会決定といったEU法についても無効であると宣言する権限を有する。事案を提起した監督機関や人物が委員会決定は無効であると考えている場合、当該機関や人物はそれを当該国の裁判所に提起できるようにすべきであるし、もし委員会決定の有効性についての判断を提起する場合には、欧州司法裁判所に意見照会することになる。したがって、最終的には司法裁判所が、委員会決定の有効性について判断する必要がある。(中略)これらの理由により、司法裁判所は欧州委員会によるセーフハーバーに関する決定は無効であると判決する。本判決に基づき、アイルランドの監督機関はSchrems氏の申立を調査する必要があり、その調査結果により、FacebookのEU市民の個人データを米国に移転することが、個人データの十分な保護措置がとられていないとして停止すべきかどうかを、指令に基づいて判断する必要がある。Pritzker長官は、「本日の欧州司法裁判所による判決には深く失望した。この声明からも明らかな通り、米国に対する影響は甚大で、本判決により、現在米欧間のデータ保護移転の根拠となっていたセーフハーバー協定が無効と示されたことで、セーフハーバー協定に基づいてデータを移転しているGoogleやFacebook、Amazon等を含めたセーフハーバー協定において認証されている約4,500の米国企業は、今後の対応について見直しを求められる。具体的には、セーフハーバー協定以外の方法でEUからのデータ移転についての承認を受ける必要がでてくる。clauses)、あるいはデータ移転に対する個人の同意の取得といった対応を遵守することで、第3国へのデータ移転は認められている。これらは事業者の対応コスト等の負担も大きく、簡単に切り替えることは難しい。米国政府としても、現在欧州委員会とセーフハーバー協定の見直しについての交渉を進めていたが、本判決により、その協定の内容の見直し以前に、協定そのものが無効だという地点から交渉を開始する必要がでてくる。これは米国政府としてもより一層交渉が困難になることが明らかだろう。本事案はFacebookの国際データ移転に関する事案であるが、本事案において欧州司法裁判所が個人データの保護が不十分であると認定した根拠には、NSA等による国家監視がなされているという点である。したがって、再びセーフハーバー協定は十分な保護措置を有するとEUに認定してもらうためには、米国の国家監視政策の見直しが余儀なくされる。これについては、米国の国家安全保障政策も含めた法制度の見直しを始めとする対応が求められるし、また、米企業も本判決をもとに米政府に対する国家監視施策に対する批判をより一層強めるようになると見られる。本判決はもちろんEUにおいても大きな影響を及ぼす。ティメルマンス第1副委員長は、「取り決めは無効でも、当面は現行規則の範囲内で情報移転の継続は可能だ(※5)」とコメントしているとおり、米欧間のデータ流通を停止してしまうと経済的にも大きな影響を及ぼすことから、欧州委員会としては、現状のセーフハーバー協定を維持する形で調整を進めていくだろう。一方で、欧州議会は本判決を根拠に、更に欧州委員会に対してセーフハーバー協定の即刻停止の主張を強めることだろう。Albrecht議員は、本判決後すぐに「欧州委員会は今すぐセーフハーバーを停止すべきだ」とTwitter上でつぶやいている(※6)。3者対話で最終的な調整がなされているEUデータ保護規則案の交渉にも当然影響を及ぼすだろう。本判決をよって再度本規定の見直しが必要になる可能性も高まった。現在EUデータ保護規則案については年内の合意を目標に交渉が進められているが、本判決の影響により、全体のスケジュールにも何らかの影響が出てくることも予想される。現状セーフハーバー協定は米欧間のデータ移転において適用されているものであるが、本判決が即座に日本および日本企業に与える影響は小さいと思われるが、例えば、米国に関連グループ会社や小会社を有し当該企業がセーフハーバーに基づきデータ移転をしているようなケースは影響を受けると考えられる。本判決を受け、欧州では基本権に基づく厳格なデータ保護の声がより一層強まる可能性があり、制定予定のEUデータ保護規則においても国際データ移転に関する何からの修正がなされる可能性もある。本判決結果がEUデータ保護規則にどの程度の影響を及ぼすのかは今後の3者対話における交渉次第と思われるが、最終的に国際データ移転に関する規定がどのような規定になるかについては、引き続き議論動向を注視しておく必要があるだろう。p.97-102を参照。Report会員限定レポートの閲覧や、InfoComニューズレターの最新のレポート等を受け取れます。研究員ブログはじめました。Reserved.当サイトに掲載されている記事・写真・図表などの無断転載を禁じます。その情報提供者に帰属します。ニューズレターに関連する各種お申込みの際、ご提供いただくお客様の個人情報について以下の通りお取り扱いいたします。ご同意のうえ送信フォームにお進みください。個人情報の利用目的について弊社は、ご提供いただく個人情報を、以下の目的で利用いたします。個人情報の委託に関して弊社は、業務の一部を委託する業務委託先に対して、利用目的の達成に必要な範囲で個人情報を預託することがあります。この場合、業務委託先との間で取扱いに関する契約の締結をはじめ、適切な監督を行います。個人情報の第三者への提供について弊社は、ご提供いただいた個人情報について、法令等にもとづく場合を除き、お客様ご本人の同意を得ずに個人情報を第三者へ開示または提供を行うことはありません。個人情報の取扱いに関する不同意お客様が、ご注文に必要な事項へのご記入を希望されない場合、サービスの提供ができないことがございますのでご了承ください。