筆者は、11月5日付け福田平治ブログ「EU-米国の個人情報移送に関する協定(「アンブレラ協定」)に見るプライ バシー保護の抜本見直し(その1)」、 「同(その２完)」および11月6日 星野英二ブログ「EU・米国のセーフ・ハーバーは無効化され たが、おそらく破壊されない！」において10月6日の欧州司法裁判所(CJEU)のシュレムス判決を受けたセーフ・ハーバー協定のEU機関や人権擁護団体さらには英国の情報保護機関等の問題指摘や企業として考えなければならない点をまとめた。
しかし、実際そこで紹介した論点は必ずしも明確でなく、読者の中にはどのように受けためたらよいか、迷うものが多かろう。
筆者も、その点特に「拘束力のある企業グループ内準則(Binding Corporate Rules：BCR)」や「標準契約条項(Standard Contractual Clauses )」の効力は今後どのように解されるのか、またEU指令第29条専門家会議(以下「第29条会議」という)の検討スケジュール等はどのようになっているのかなどが極めて気になっていた点である。そのなかでEU側の協定交渉の当事者である欧州委員会は11月6日、 「プレスリリース」、 「委員会事務連絡(Communication)」および「Q&A」を公表した。
今回のブログは、欧州委員会のリリース文を詳しく解説した米国ローファーム(注1)の中からInside Privacy(Covington & Burling LLP)サイトの解説と欧州委員会サイトの原文を適宜抜粋のうえ仮訳する。
1.欧州委員会の欧州司法裁判所の判決を受けた事務連絡やQ&Aを発布
欧州委員会は、シュレムス事件（事件番号C-362/14）に係る（本ローファームの以前のブログ投稿を参照)の10月6日の欧州司法裁判所の判決を受けて、EUから米国に向けた個人データの移送に関するガイダンスとなる「委員会事務連絡(Commission Communication)」と「Q&As」を発布した旨プレス・リリースした。
概していうと、同ガイダンスは現状を確かめ、第29条会議、加盟国のデータ保護当局（「DPAs」）の代表から成るプライバシーに関するEU諮問機関、EU加盟国のデータ保護当局(DPAs)、EDPS(注2)、EUおよび欧州委員会の既存のガイダンスを要約する。そして、第29条会議10月16日（我々の前のブログ投稿をここで見ます）についての記述である。最も特に、データフローを認可している代わりのツールがまだ第三国（それから更なる委員会が更に詳細にこれらの代替ツールの各々説明する米国を含む）に合法のデータ転送のために会社によって使われることができるという見解の下で、本委員会は第29条会議に参加した。
２．SSCsやBCRsの扱いに関する委員会の考え方
(1)「標準契約条項（Standard Contractual Clauses ：SSCs）：現在、本委員会決定が承認した3セットのSCC(注3)がある。委員会決定が加盟国で完全に拘束しているので、SCCを契約に取り入れることは国家保護当局が原則としてそれらの条項を受け入れなければならないことを意味する。言い換えると、認可が国内法令のもとに必要とされる所で、国家保護当局は、原則として自動的にそのような認可を授けなければならない。これは、全国データ保護当局（以下「DPAs」という）の既得権を侵害しない。SCCを除いて、会社は特別契約の約定にも頼るかもしれない。そして、それはケース・バイ・ケースでDPAsによる承認を必要とする。
(2)拘束力のある企業グループ内準則(Binding Corporate Rules ：BCRs）(注4 )：BCRsは、EUデータ保護指令（EU指令95/46/EC）の第26条(2) (注5)の下で移動条件の迎合性を確実にするための代わりのツールである。大部分のEU加盟国の法律のもとでは、BCRsを基礎としたデータ移送は、多国籍企業がデータ（この承認プロセスは『相互認承』と『協力』手順によって用意になった）を転送予定である各々の加盟国のDPAsによって認可されなければならない。
(3)規範の逸脱：個人データも指令95/46/ECの第26条(1)で述べられる明白な同意、契約の履行の必要性、その他を含む規範の逸脱の1つを使って移送されるかもしれない。本委員会ガイダンスは本質的に第29条会議の既存のガイダンスと最高の実務慣行と同じことを言う。
(4)本委員会ガイダンスに従うと、代替の合意ツールに対する依存度は、2つの条件の影響を受ける。
当初のデータ収集と処理は、第一的に合法的でなければならない。
また、データ・コントローラは、代替のツールを使用するとき、個人データが効果的に保護されていることを確かめる役割を果さなければならない。10月16日の第29条会議の声明と同様に委員会はコントローラがSCCまたはBCRsによって与えられるそれらを補うためにさらなる安全装置をとる必要があると考える。そして、「データ移送を停止するか、契約を解除するという可能性への技術的、組織化されたビジネスの典型的な関連した法的方法」に言及する。
３．適性ありとされる第三国に関する適切な決定
本委員会は、シュレムス判決が委員会のセーフ・ハーバー決定に限られていることを思い起こす。しかし、欧州委員会がEU指令95/46/EC（リスト(2010年2月5 日欧州委員会決定「Decision updating the standard contractual clauses for the transfer of personal data to processors established in non-EU countries」)参照）の第25条(6)に従って第三国問題に関し発したすべての他の適切性決定がそれをCJEUが無効と判断したセーフ・ハーバー決定の第3条でそれと同一のDPAsの効力に対する制限を含む点に注目する。したがって、CJEUが要求したので、委員会はすべての既存の適切性決定においてその供給に代わっている決定を準備し、また、さらに既存および将来の適切性決定についての定期的な評価に取り組む。
４．セーフ・ハーバーに関するEUと米国の交渉の行方
本委員会の見解において、米国への個人データの移送に対する更新されかつ堅牢なフレームワークは、重要なプライオリティーのままである。本委員会は3ヵ月以内に大西洋を横断する個人データ移送のために新しい取り決めに関する交渉を米国政府で終わることを希望している。そして、第29条会議が2016年1月末まで暗黙のうちに与えた『猶予期間』の終わりと時期が同じである。もし、2016年1月末までには米国当局で適切な解決案が見つからないならば、EU加盟国のDPAsが法執行行動を開始するかもしれないというリスクが依然残る。
***********************************************************************************::**
(注1) 欧州委員会のリリース内容の米国のローファーム解説として代表的なものは次のとおりである。
・2015.11.6 Technology Legal Edge 「Safe Harbor: European Commission issues guidance to clarify the EU-US data transfer conundrum 」
・2015.11.6 Privacy Law Blog「The European Commission Issues Guidance on Alternative Cross-Border Data Transfer Tools 」
・2015.10.16 Proskauer Rose LLP「Article 29 Working Party Issues Statement Following Landmark CJEU Safe Harbor Ruling」
・2015.11.6 McDermott Will & EmeryのOf Digital 「Interest「Safe Harbor Update: European Commission Reaffirms Commitment to a Safe Harbor Sequel 」
(注2) EDPSについては、2012年9月24 日の星野英二ブログ「EUの個人情報保護監視機関(EDPS)が欧州委員会の諮問に応えプライバシー規則案の改善 に向けた意見書を提出」等を参照されたい。
(注3) 3セットとは具他的には次のとおりである。なお、より詳しくは欧州委員会司法担当委員サイト「Model Contracts for the transfer of personal data to third countries」を参照されたい。
1.（EU-controller to (Non-EU/EEA)controller
2.(EU-)controller to (Non-EU/EEA)processor
③Decision 2010/87/EU(and repealing Decision 2001/16/EC
(注4)「拘束力のある企業グループ内準則(Binding Corporate Rules：BCR)」とは、データ保護の十分なレベルを提供しない国にある事業体に同じ同一企業グループ内での個人データの国際的な移動に関して、その世界的戦略ポリシーを定める多国籍グループによって採用される内部準則（例えば、行動規範等）をいう。(欧州委員会の司法担当サイトの解説を筆者が仮訳)
2013年9月16日 星野英二ブログ「欧州委員会がクラウド・コンピューティングの 信頼性強化と安全・公平な契約条件等の策定 専門家グループ募集」の(注6)参照。
なお、BCRに関し多くの解説を加えている慶応義塾大学の新保教授の訳語「拘束力を有する企業の内部規程（Binding Corporate Rules（略称：BCR））」は、首相官邸サイトの資料だけに、その意味がやや分かりにくい点が気になる。
(注5) EU指令(95/45/EC)第26条2項の原文を引用する。
Without prejudice to paragraph 1,a Member State may authorize a transfer a
Set of transfers of personal data to a third country which does not ensure an
Adequate level of protection within the meaning of article 25(2), where the
Controller adduces adequate safeguards with respect to the protection of the
Privacy and fundamental rights and freedoms of individuals and as regards the
Exercise of the corresponding rights ;such safeguards may particular result
from appropriate contractual clauses.
*****************************************************************.
Copyright © 2006-2015 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution．
