日本が個人情報保護法を改正した目的の一つに、欧州連合（EU）から一方的に課せられている「パーソナルデータ移転の制限」を取り除くことがある＊1。このため、個人情報保護委員会の設置をはじめ、要配慮個人情報の導入や、小規模の事業者への適用除外の廃止など、改正法に盛り込まれた規制強化となる規定の多くは、EUの法制度を意識した内容となっている。はたして、日本はEUから円滑にパーソナルデータの移転ができるようになるのか。今回は、EUとの交渉で先行する米国の状況を見ながら、日本のとるべき対応について考える。
米国の誤算は、スノーデン事件とセーフハーバー違憲判決
本連載の第5回において、EUは独自の基準に照らしてパーソナルデータの保護が十分でないと判断される国へのデータ移転を原則的に認めない「データの越境移転規制」を設けていることを紹介した。日本は保護が十分であるとはEUから認められておらず、この結果、EUからパーソナルデータを日本に移転するためには、企業は特別の契約＊2を、EU構成国の個人情報保護の監督機関と交わさなければならない状況にあり、大きな負担となっている。
一方、米国にだけは、これまで「セーフハーバー協定」という特別なEUとの取り決めがあり、米国に所在する企業であれば、米国商務省の提供する認証プログラムに参加することによって、比較的小さな負担で、EUからパーソナルデータを持ち出すことが認められてきた。セーフハーバー認証プログラムへの参加は、セーフハーバー協定で定められた原則を遵守すると自社のプライバシーポリシーで宣言し、米国商務省のウェブサイトに掲載される手続をとることで実現できた。
セーフハーバー協定は1995年に発行されたEUデータ保護指令を受け、米国が欧州との通商を確保するために、2000年までの間に、米国商務省が欧州委員会との長い交渉を経て実現したものである＊3。妥協の産物と呼ばれたものの、自主規制を基調とする米国の個人情報保護制度に適合しており、近年はプログラムに参加する企業が4000社を超えるなど、米国にとって、核心的利益と言えるほどの重要な意義を持っていた。
しかし、2013年に生じたスノーデン事件によって、米国政府機関による大量の無差別アクセスの実態が明らかとなり、この状況が一変する。もともと欧州委員会は、米国企業の透明性や苦情対応、米国政府による企業の監督が不十分であるという理由でセーフハーバー認証プログラムに不満を持っていたところ、この事件によって、プログラムの見直し作業が本格化する。そして、2015年10月の欧州司法裁判所が下したセーフハーバー違憲判決が決定打となり、セーフハーバー認証プログラムは打ち切られ、新たな認証の仕組みを模索することとなった。
この記事は参考になりましたか？
- この記事の著者
-
小林 慎太郎（コバヤシ シンタロウ）
株式会社野村総合研究所 ICT・メディア産業コンサルティング部 兼 未来創発センター 上級コンサルタント専門はICT公共政策・経営。官公庁や情報・通信業界における調査・コンサル ティングに従事。情報流通が活発でありながら、みんなが安心して暮らせる社会にするための仕組みを探求している。著書に『パーソナルデータの教科書～個人情報保護からプライバシー保護へとルールが変わる～』（日経BP）がある。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
