日EU間のデータ越境移転について

日EU間の越境データ移転

我が国においては、個人情報保護法が外国にある第三者への個人データの提供について規定しています。個人データを越境移転するためには、

  • 我が国と同等の水準にあると認められる個人情報保護制度を有している外国として委員会規則で定めるもの
  • 必要な措置を継続的に講ずるため、委員会規則に定める基準に適合する体制を整備している個人情報取扱事業者
  • あらかじめ外国にある第三者への提供を認める旨の本人の同意がある場合

等、一定の条件を満たさなくてはなりません。

日EU間においては、2016年4月以降、欧州委員会との間で、相互の円滑な個人データ移転を図る枠組み構築を視野に対話を進めてきました。

こうした中、2018年7月17日、個人情報保護委員会熊澤委員と欧州委員会ヨウロバー委員が電話会談を行い、同対話の最終合意を確認しました。加えて、今後、2018年の秋までに当該個人データ移転の枠組みを運用可能とするために、双方において必要な国内手続(注)を完了させることを約束しました。


(注)個人情報保護委員会の手続としては、個人情報保護法第24条に基づくEU指定に係る手続として告示の制定等があります。 当該EU指定については、同日に開催した第70回個人情報保護委員会において、欧州委員会による日本への十分性認定の発効に併せて手続を進めることとする旨決定しています。


上記の会談について、熊澤委員とヨウロバー委員は「共同プレスステートメント」 (PDF:113KB) を発出しました。


「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」 (PDF:151KB) を定め、欧州委員会が一般データ保護規則(GDPR)第45条に基づき行う、日本が個人データについて十分な保護水準を確保しているとの決定が効力を生ずる日から施行することとなりました。


なお、欧州における日本への十分性認定に向けた手続の時期については、こちら (PDF:69KB) をご参照ください。