欧州司法裁判所、EU標準契約条項の有効性を確認するも、EU米国間のプライバシーシールドは無効と判断

欧州司法裁判所は、EUのデータ保護法であるGDPRのもとで、EU標準契約条項に基づいた国際的なデータ移転に関し、適切に運用されるのであれば、有効に行うことができると判断した一方で、EU米国間のプライバシーシールドは無効であるとの判断を示しました。

この判決によって、EUデータ保護機関は、企業によるEU及びEEA域外への個人データの輸出についてより監視を強めることが予想されます。執行までの猶予期間が設けられるかは現在不確実であるため、米国へのデータ移転をEU米国間プライバシーシールドに基づき行っていた企業は、代わりの適切な安全策（SCC、グループ間移転についての拘束的企業準則など）を迅速に導入すべきです。

他方、標準契約条項の有効性は維持されましたが、データを移転する欧州企業は、標準契約条項に基づいてデータを移転する前に、データ移転先である第三国におけるデータ保護の程度について検討し、データの輸入者において、その国で適用される法律により、標準契約条項の義務を遵守できないことが認められる場合には、データ移転自体を中止することが求められます。

このコメンタリーは、欧州に拠点を有する日本企業の米国への個人データの移転実務に影響を与える重要な問題となりますので、紹介する次第です。詳細はJones Day Commentary “Schrems II Confirms Validity of EU Standard Contractual Clauses, Invalidates EU–U.S. Privacy Shield”（オリジナル英語版）をご参照ください。