弁護士著者
GDPR: EU・日本との間の「十分性認定」- 実務問題は依然山積み
November 14, 2018
By Paul Hastings Professional
2018年7月17日に、欧州委員会は日本とEUとの間でお互いの個人情報保護制度が「同等」レベルであると確認したうえ、日本とEUとの間の情報流通網を世界最大規模のものとしたいということを提案した。しかしながら、実際に日本が十分性を有することを欧州委員会が認めるにあたっては、依然問題点があると分かってきた。
現段階では、欧州委員会により十分性認定の提案書のドラフトがなされておらず、メディアに公開した提案がどれだけ実現するかは未だ確かではない。 実現するまでは個人データの移転は、十分性認定がない前提でしか許されない。
とりわけドラフトがされたとしてもすぐに十分性認定がなされるわけではないことには注意が必要である。具体的には、ドラフトが完成したとしても、その後に、欧州データ保護会議（EDPB）の意見を具申するという非常に重要な手続が存在する。この意見では、EDPBが独自にドラフトが十分なものであるかを検討し、修正案を提示することもある。さらに、EDPBから意見を得た後も、コミトロジー手続（EU加盟国が欧州委員会がEU法をどのように適用しているかを監督する手続）を行ったり、LIBE委員会による修正が入ったり等の数多くのステップをクリアして初めて、十分性の決定が実現する。このそれぞれの過程が一筋縄ではいかないということは、EU－米国間のプライバシーシールドをめぐる経緯を見れば明らかであろう。
そのため、具体的にどのような形で日本とEUとの間の情報流通網が発展するかが確定するは今後のこれらの手続がどのように進行するかにかかっている。
また、日本は十分性認定をするようEUデータ保護指令が適用されていた段階から要請はしていたが、現時点ではすでにGDPRが施行された以上、十分性認定がなされるかはGDPRを適用のうえ、決定される。もっとも、GDPRが適用される以前の段階からも、適用範囲が不明確であること、一定のEU個人情報に対して適用が免除されていること、施行のメカニズムが弱いこと、APECで利用されているCBPRシステムを用いたデータ移転（onward transfer）との関係等、様 々な問題点が指摘されている。他にも、センシティブデータ、データ保護の継続性、データの承継使用、違反があった場合の救済制度等についても議論の余地があり、これらの点に関しても日本が十分性の認定を得るためには、一つ一つ解決していく必要がある。
日本としては、欧州委員会が指摘する問題点は日本の法体系の中でも十分解決できるとし、日本国内のデータ保護機関である個人情報保護委員会（PIPC）がこれらの問題点への対応を行っている。もっとも、データ侵害が生じたときの対応であったり、実際に欧州委員会が求めている水準を実現できるかという点だけに限定してみても、意見が分かれている。
日本が提案している補完的ルールにおいては、公的機関への適用可能性についての具体的検討がなされており、要配慮個人情報の範囲、データの利用制限、匿名加工情報（API）の再検討などを通じてデータ保護の強化を図っているのが特徴的である。他にも、APECで利用されているCBPRシステムの欠点を補強するという観点から「同意」の要件についても詳しく検討がなされている。何をもって同意とするかの要件が曖昧なのではないか、データ侵害があった場合のGDPRによる保護が十分なのか、同意という要件を満たすだけでデータ移転が可能になるのか、といった問題点も指摘されている。特に、「同意」の要件を曖昧なままにしてしまうと、アメリカへのデータ移転との関係で保護に欠ける可能性も指摘されており、より一層具体的な検討が必要となることが議論されている。
これら の上述の問題にとどまらず、補完的ルールに関連して、施行を行うPIPCの権限が限定的であること、EUでの個人データ該当性と日本における個人データ該当性との間に差があること、日本が提案した補完的ルールが英語で入手可能となるまでに時間がかかったこと、EU国民のデータ保護を主眼にする以前に日本国民のデータ保護をもっと検討すべきこと等、多くの問題点が指摘されている。
結論として、これらの多くの問題点を解決し、日本が「十分性決定」を充足するには、そもそもなぜ「十分性」が要件として挙げられているかという根本的検討をしたうえで、欧州委員会が提示するドラフトや補足資料を十全に検討することが求められている。たしかに、これらの問題点を乗り越えようとすでにかなりの努力がなされてはいるが、まだ解決すべき深刻な問題点も存在する。GDPR下での初めての「十分性認定」の提案ということもあり、今後の「十分性認定」にあたって先例となることも踏まえて慎重な検討がなされている面もあるかは事実ではある。また、日本とEUが連携し、これが実現すれば両者にとって大きなメリットになる。まだ実際に決定がなされるまでには、時間がかかると思われるが、今後の具体的作業が注視されるゆえんである。
以上