日EU間・日英間のデータ越境移転について

日EU間の越境データ移転

我が国においては、個人情報保護法が外国にある第三者への個人データの提供について規定しています。個人データを越境移転するためには、

  • 我が国と同等の水準にあると認められる個人情報保護制度を有している外国として委員会規則で定めるもの
  • 必要な措置を継続的に講ずるため、委員会規則に定める基準に適合する体制を整備している個人情報取扱事業者
  • あらかじめ外国にある第三者への提供を認める旨の本人の同意がある場合

等、一定の条件を満たさなくてはなりません。

日EU間においては、2016年4月以降、欧州委員会との間で、相互の円滑な個人データ移転を図る枠組み構築を視野に対話を進めてきました。

こうした中、2018年7月17日、個人情報保護委員会熊澤委員と欧州委員会ヨウロバー委員が電話会談を行い、同対話の最終合意を確認しました。

なお、欧州委員会の求めに応じ、EUから日本の民間事業者へ移転された個人データについて、日本の行政機関が収集・使用する場合における、当該個人データの取扱いに係る日本の法制度を説明する文書を発出しました。

Collection and use of personal information by Japanese public authorities for criminal law enforcement and national security purposes (September 14, 2018) (PDF : 712KB)リンク先PDFファイルを別ウィンドウで開きます

ご参考までに、個人情報保護委員会が作成した日本語仮訳を併せて掲載しました。

法執行及び国家安全保障目的の日本の公的機関による個人情報の収集及び使用(2018年9月14日)(参考仮訳) (PDF : 307KB)リンク先PDFファイルを別ウィンドウで開きます

合意を踏まえて、我が国においては、第85回個人情報保護委員会において、個人情報保護法第24条(注)に基づくEU指定を1月23日付けにて行い(※)、また、欧州委員会においても、GDPR第45条に基づく我が国の十分性認定を同23日付けにて決定し、同枠組みが発効しました。

  • (注)本ページ掲載の個人情報保護法の条文番号「第24条」は、 令和4年4月1日施行のデジタル社会形成整備法第50条による改正前のものであり、現在は「第28条」となっています(以下同様)。

(※)個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等(平成31年個人情報保護委員会告示第1号) (PDF : 158KB)リンク先PDFファイルを別ウィンドウで開きます

同日、個人情報保護委員会熊澤委員と欧州委員会ヨウロバー委員が、「共同プレスステートメント」 (PDF : 112KB)リンク先PDFファイルを別ウィンドウで開きます を発出しました。

令和3年10月26日、個人情報保護委員会大島委員と欧州委員会レンデルス委員は、日EU相互認証に係る共同レビュー会合(オンライン開催)を実施し、同枠組みに係るレビュー(注)について、これまでの作業の進捗に加えて、本会合後、双方が報告書を発表し、これらの報告書をもってレビュープロセスが完了することを確認しました。

(注)欧州委員会は、我が国に対する十分性認定について、十分性認定の通知日(平成31年1月23日)から2年以内及びその後少なくとも4年ごとに、レビューを行うとしています。また、当委員会においても、EU指定に関する見直しを、指定の日(同1月23日)から2年以内、その後少なくとも4年ごと及び当委員会が必要と認めるときに行うこととしています。

同日、大島委員とレンデルス委員は、「共同プレスステートメント」 (PDF : 69KB)リンク先PDFファイルを別ウィンドウで開きます を発出しました。

※「共同プレスステートメント仮訳(日本語)」はこちら (PDF : 63KB)リンク先PDFファイルを別ウィンドウで開きます

EU域内から十分性認定により移転を受けた個人データについては、「個人情報の保護に関する法律に係るEU域内及び英国から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」 (PDF : 266KB)リンク先PDFファイルを別ウィンドウで開きます が2019年1月23日から施行されています。

日英間の越境データ移転

2020年2月1日(英国時間1月31日)に英国はEUを離脱しました。

英国について、日本側においては、平成31年個人情報保護委員会告示第5号 (PDF : 115KB)リンク先PDFファイルを別ウィンドウで開きます により、EUに対して行った個人情報保護法第24条に基づく指定を、EU離脱後においても英国に対して継続しています。 (※)同告示は令和2年2月1日に施行されました。 (PDF : 55KB)リンク先PDFファイルを別ウィンドウで開きます

また、英国側においては、移行期間中(令和2年12月31日まで)は、EUが日本に対して行った十分性認定の効果が英国離脱後においても維持されています。また、移行期間終了後についても、英国は、日本に対する十分性認定の効果を維持するための関連法令の手続きを完了しています。

これらにより、英国の離脱後においても、引き続き、日EU間と同様に、日英間の円滑な個人データ移転が確保されます。