adequacy-assessment

第三国の十分性を評価する

概要

GDPR 第 45 条では、欧州委員会が、第三国、地域、第三国内の 1 つ以上の特定の部門、または国際機関について、個人データに対する十分な保護水準を確保していると判断できると定めています。このような十分性認定がある場合、対象となる国、地域、または部門への個人データの移転は、個別の承認や追加の保護措置を必要とせずに行うことができます。このスキルでは、既存の十分性認定の評価と、部分的な十分性の適用範囲への対応について案内します。

現在の欧州委員会による十分性認定

2026 年 3 月時点で、欧州委員会は以下の国および地域について十分性認定を採択しています。

国／地域	決定の参照番号	採択日	適用範囲	定期的な見直し
アンドラ	Decision 2010/625/EU	2010 年 10 月 19 日	国全体	継続的な監視
アルゼンチン	Decision 2003/490/EC	2003 年 6 月 30 日	国全体	継続的な監視
カナダ	Decision 2002/2/EC	2001 年 12 月 20 日	PIPEDA の適用対象となる商業組織のみ	継続的な監視
フェロー諸島	Decision 2010/146/EU	2010 年 3 月 5 日	領域全体	継続的な監視
ガーンジー	Decision 2003/821/EC	2003 年 11 月 21 日	領域全体	継続的な監視
イスラエル	Decision 2011/61/EU	2011 年 1 月 31 日	国全体	継続的な監視
マン島	Decision 2004/411/EC	2004 年 4 月 28 日	領域全体	継続的な監視
日本	Decision (EU) 2019/419	2019 年 1 月 23 日	APPI の補完的ルールが適用される商業部門	2 年ごとの見直し。初回見直しは 2021 年 1 月に完了。2 回目の見直しは 2023 年
ジャージー	Decision 2008/393/EC	2008 年 5 月 8 日	領域全体	継続的な監視
ニュージーランド	Decision 2013/65/EU	2012 年 12 月 19 日	国全体	継続的な監視
韓国	Decision (EU) 2022/254	2021 年 12 月 17 日（2022 年発効）	PIPA の適用対象となる商業部門および公共部門	2 年ごとの見直し
スイス	Decision 2000/518/EC	2000 年 7 月 26 日	国全体	継続的な監視。2023 年 9 月 1 日に発効した改正 FADP に基づき評価
英国	Decision (EU) 2021/1772	2021 年 6 月 28 日	国全体	サンセット条項：更新されない限り 2025 年 6 月 27 日に失効。更新に向けた評価を実施中
ウルグアイ	Decision 2012/484/EU	2012 年 8 月 21 日	国全体	継続的な監視
米国（DPF）	Decision (EU) 2023/1795	2023 年 7 月 10 日	EU-US DPF に基づき自己認証した組織のみ	年次見直し。初回見直しは 2024 年 10 月

十分性評価基準（第 45 条第 2 項）

欧州委員会は、第三国の保護水準の十分性を評価する際に、以下を考慮します。

(a) 法の支配と人権

• 人権および基本的自由の尊重
• 公共の安全、防衛、国家安全保障、刑法を含む、一般法および分野別の法令
• 公的機関による個人データへのアクセス
• 実効性があり、法的強制力を持つデータ主体の権利

(b) 独立した監督機関

• データ保護ルールの遵守を確保し、その履行を強制する責任を持つ、1 つ以上の独立した監督機関の存在と実効的な機能
• 調査、介入、是正措置の実施を行う権限を含む、適切な執行権限
• 政府の干渉からの独立性

(c) 国際的な約束

• 個人データの保護に関する多国間および二国間協定を含め、第三国が締結した国際的な約束
• こうした約束から生じる、拘束力と法的強制力のある義務

部分的な十分性への対応

いくつかの十分性認定は、国内の特定の部門または組織類型のみを対象としています。部分的な十分性に適切に対応することが不可欠です。

カナダ — PIPEDA に基づく部分的な十分性認定

適用範囲：十分性認定の対象となるのは、個人情報保護および電子文書法（PIPEDA）の適用を受けるカナダの組織への移転のみです。また、総督評議会により PIPEDA と実質的に同等と宣言された州の民間部門のプライバシー法（例：アルバータ州 PIPA、ブリティッシュコロンビア州 PIPA、ケベック州の民間部門における個人情報保護に関する法律）も適用範囲に含まれます。

対象外：

• カナダの公共部門の組織（連邦および州の政府機関）
• 州の医療情報関連法令に基づいて事業を行う組織
• PIPEDA または実質的に同等の法令の適用を受けない組織

確認：カナダの十分性認定に依拠する前に、移転先となるカナダの組織が PIPEDA または実質的に同等の州法の適用を受けていることを確認してください。

日本 — APPI に関する補完的ルール

適用範囲：十分性認定は、日本の個人情報保護法（APPI）および EU の十分性認定を目的として日本の個人情報保護委員会（PPC）が採択した補完的ルールの適用を受ける商業部門の事業者を対象とします。

補完的ルール：

1. 要配慮データの取り扱い：EU からデータを受領する日本の事業者は、APPI 上の区分にかかわらず、受領したすべてのデータを「特に慎重な取り扱いを要する」ものとして扱う必要があります
2. 保持期間の制限：利用目的の達成に必要でなくなったデータは削除する必要があります
3. 再移転：日本国外への移転には、データ主体の同意、または移転先の国が同等の保護を提供することの保証が必要です
4. 匿名加工情報：匿名化データの利用には、GDPR の基準と同等の制限が適用されます

確認：日本の移転先が APPI の適用を受け、補完的ルールを実施していることを確認してください。

米国 — DPF の自主認証

適用範囲：商務省に対して DPF の自主認証を実際に行っており、FTC または DoT の管轄下にある米国の組織への移転のみが対象です。

対象外：

• 米国政府機関
• 認証を受けていない米国の組織
• FTC／DoT 以外の規制当局の管轄下にある組織（例：国法銀行、電気通信事業者、州の保険監督官が規制する保険会社）

確認：移転のたびに、dataprivacyframework.gov で認証が有効であることを確認してください。

韓国 — PIPA の適用範囲

適用範囲：2023 年改正の個人情報保護法（PIPA）の適用を受ける商業部門および公共部門の組織が対象です。

対象外：PIPA の適用除外となる情報機関および国家安全保障機関による処理。

十分性認定のモニタリング

定期的な見直し義務

第 45 条第 3 項に基づき、欧州委員会は少なくとも 4 年ごとに十分性認定を定期的に見直す必要があります。一部の認定では、より頻繁な見直しが定められています。

認定	見直し頻度	前回の見直し	次回の見直し期限
日本	2 年ごと	2023	2025
韓国	2 年ごと	2024	2026
米国（DPF）	毎年	2024 年 10 月	2025 年 10 月
英国	サンセット（2025 年 6 月）前	継続中	2025 年 6 月
従来の認定（アンドラ、アルゼンチンなど）	少なくとも 4 年ごと	さまざま	さまざま

組織向けの監視アクション

1. 欧州委員会の通知を購読する：適正性審査に関する発表を確認するため、ECのデータ保護ページとEDPBのニュースセクションを監視します。
2. 法改正を追跡する：組織が適正性認定に依拠している国のデータ保護関連の法改正を監視します。
3. 英国の適正性認定の失効日：英国の適正性認定には、2025年6月27日に失効するサンセット条項が含まれています。更新されない場合、組織は英国への移転を直ちにSCCまたはその他の仕組みに切り替える必要があります。
4. DPFへの法的異議申し立て：DPFの適正性認定に対する異議申し立てがないか、CJEUの手続きを監視します。
5. 代替手段を維持する：今後審査が予定されている、または既知のリスクがある適正性認定に依拠する移転については、緊急時に備えて締結済みのSCCを維持します。

実践的な確認ワークフロー

適正性認定に依拠する移転ごとに、次の手順を実施します。

1. 適正性認定を特定する：移転先の国または分野を対象とする認定を確認します。
2. 対象範囲を確認する：特定の受領者が適正性認定の対象範囲に含まれていることを確認します（部分的な適正性の対象外ではないこと）。
3. 認定が引き続き有効であることを確認する：ECの適正性認定一覧と、最近の改正、一時停止、撤回の有無を確認します。
4. 移転台帳に記録する：適正性認定の参照情報、対象範囲の確認結果、次回の審査日を記録します。
5. 監視のリマインダーを設定する：次回の定期審査日と、サンセット条項の期限をカレンダーに登録します。
6. 緊急時対応を計画する：既知のリスク（英国の失効日、DPFへの法的異議申し立て）がある認定については、代替となるSCCを準備します。