apac-transfers

APAC 域内の越境移転の管理

概要

アジア太平洋地域には、越境移転の仕組みがそれぞれ異なる多様なデータ保護制度があります。統一された枠組みを持つ GDPR とは異なり、APAC 域内の移転では、APEC 越境プライバシー・ルール（CBPR）、ASEAN モデル契約条項（MCC）、および日本の APPI、韓国の PIPA、タイの PDPA、シンガポールの PDPA に基づく各国固有の仕組みなど、複数の重なり合う制度に対応する必要があります。このスキルでは、APAC 地域全体の越境データフローを管理するための、管轄区域ごとのガイドを提供します。

APEC 越境プライバシー・ルール（CBPR）システム

枠組み

APEC CBPR システムは、APEC 地域内の越境データフローについて、国際的に認められたプライバシー保護への準拠を参加組織が証明できる、任意参加型の説明責任に基づく仕組みです。

参加エコノミー（2026 年 3 月時点）：オーストラリア、カナダ、日本、韓国、メキシコ、フィリピン、シンガポール、チャイニーズ・タイペイ、米国。

主な特徴：

• 組織は APEC プライバシー・フレームワークの原則への準拠を自己認証します
• 認証は APEC が認定したアカウンタビリティ・エージェント（例：米国の TRUSTe／TrustArc、日本の JIPDEC）が実施します
• CBPR 認証の対象は、認証を受けた特定の組織のデータフローに限られ、エコノミー全体には及びません
• 2022 年 4 月に設立されたグローバル CBPR フォーラムは、APEC 加盟国・地域を超えてシステムを拡大することを目指しています

CBPR の原則

原則	説明
害の防止	情報の保護に関する個人の利益を認識すること
通知	データの取り扱いについて、明確で容易にアクセスできる説明を提供すること
収集の制限	関連性のある個人情報のみを収集すること
個人情報の利用	個人の期待に沿う目的、または法律で認められた目的に限り、個人情報を利用すること
選択	収集、利用、開示について個人に選択肢を提供すること
個人情報の完全性	個人情報の正確性、完全性、最新性を維持すること
セキュリティ対策	適切なセキュリティ対策によって個人情報を保護すること
アクセスと訂正	個人に自身の情報へのアクセスと、不正確なデータを訂正する手段を提供すること
説明責任	原則を実効化する措置への準拠について説明責任を負うこと

CBPR と EU の相互運用性

• CBPR 認証は、GDPR 第 V 章に基づく適切な保護措置として認められていません。
• EU から APAC への移転では、APAC の受領者が CBPR 認証を受けていても、EU SCC が引き続き必要です。
• ただし、TIA 評価において、CBPR 認証を受領者のデータ保護体制の成熟度を示す証拠として利用できます。

ASEAN モデル契約条項（MCC）

枠組み

ASEAN モデル契約条項は、データ保護基準を維持しながら ASEAN 経済共同体内の越境データフローを促進するため、2021 年に ASEAN 通信・IT 担当大臣によって採択されました。

ASEAN 加盟国：ブルネイ、カンボジア、インドネシア、ラオス、マレーシア、ミャンマー、フィリピン、シンガポール、タイ、ベトナム。

主な特徴：

• 管理者間および管理者から処理者への移転に関するモデル条項
• 拘束力のないガイダンスであり、加盟国は MCC を採用または適合させることができます
• 他の国際的な移転メカニズム（EU SCC、APEC CBPR）との互換性を考慮して設計されています
• 実施状況は加盟国によって異なり、シンガポールとフィリピンは早期に導入しています

MCC の構成

セクション	内容
第 1 条	ASEAN 個人データ保護枠組みに準拠した定義
第 2 条	データ輸出者の義務
第 3 条	データ輸入者の義務
第 4 条	データ主体の権利
第 5 条	責任および補償
第 6 条	準拠法および紛争解決
第 7 条	契約終了およびデータの返却／削除
別紙 1	移転の説明（当事者、データ、目的）
別紙 2	技術的および組織的措置

日本 — APPI の越境移転規定

個人情報の保護に関する法律（APPI）— 2022 年改正

第 28 条（越境移転）：

• 外国にある第三者への個人データの移転には、次のいずれかが必要です。
  1. 同意：外国のデータ保護制度、受領者側のプライバシー保護措置、およびその他の関連情報について、PPC 規則第 17 条に基づく情報提供を受けた後の本人の同意
  2. 十分性認定国：外国が同等のデータ保護基準を提供していると PPC に認定されていること（現在：EU／EEA 諸国および英国）
  3. 同等の措置：受領者が、内部規則や独立した監督体制を含め、APPI の基準に適合する個人情報の取扱いに関する同等の措置の仕組みを確立していること

EU の十分性認定に関する PPC 補足規則：

• EU と日本の十分性相互認定に基づき、相互に適用されます
• EU 由来のデータを受領する日本の事業者は、当該データすべてを「特に慎重な取扱いを要する」ものとして取り扱う必要があります
• 追加の保存制限および再移転制限が適用されます

Athena Global Logistics による実施（日本の事業）：

• 日本からドイツへの移転：EU に対する PPC の十分性認定に依拠します
• 日本から香港への移転：外国に関する情報を提供した後、第 28 条に基づき本人の同意を取得します
• EU から日本への移転：補足規則を伴う EU の十分性認定（決定 2019/419）に依拠します

韓国 — PIPA の越境移転規定

個人情報保護法（PIPA）— 2023 年改正

第 28-2 条（越境移転）：

• 次の場合に移転が認められます。
  1. 同意：受領者、目的、データの種類、保存期間、および拒否する権利について通知を受けた後のデータ主体の同意
  2. 十分性認定：個人情報保護委員会（PIPC）が同等の保護水準を有すると認定した国への移転
  3. 契約上の保護措置：受領者が PIPA の基準と同等の契約上の保護措置を提供していること
  4. PIPC 承認の認証：受領者が PIPC に認められた認証を取得していること

EU と韓国の相互運用性：

• EU は韓国に対する十分性認定を採択しています（決定 2022/254）
• 韓国は EU が同等の保護を提供していると認定しています
• これにより、EU と日本の取決めと同様の二国間相互認定の枠組みが構築されています

Athena Global Logistics による実施（韓国の事業）：

• 韓国からドイツへの移転：EU に対する PIPC の十分性認定に依拠します
• EU から韓国への移転：韓国に対する EU の十分性認定に依拠します
• 韓国から十分性認定を受けていない国への移転：情報をすべて開示したうえで、第 28-2 条に基づき同意を取得します

タイ — PDPA の越境移転規定

個人情報保護法 B.E. 2562（2019年）— 2022年6月1日施行

第28条（国外移転）：

• 以下の場合、外国への移転が認められます。
  1. 移転先の国が、PDPC（個人情報保護委員会）の定める十分なデータ保護基準を満たしている
  2. PDPC事務局の承認を受けた拘束的企業準則を遵守している
  3. PDPC事務局の審査および認証を受けた、同一企業グループのデータ保護方針に基づく移転である
  4. 移転元と移転先の間でデータ保護に関する契約上の保護措置が講じられている
  5. 契約の履行、重大な利益、重要な公共の利益、法的請求に必要な場合、またはデータ主体の明示的な同意がある場合（GDPR第49条と同様の適用除外条件）

十分性に関するPDPC通知（保留中）：

• 2026年3月現在、PDPCは十分な保護水準を有する国の一覧をまだ公表していません。
• それまでの間、組織は国外移転に際して、契約上の保護措置または同意に依拠しています。

Athena Global Logistics の実施状況（タイでの業務）：

• タイからドイツへの移転：契約上の保護措置（PDPAに準拠した条項を含むデータ処理契約）
• EUからタイへの移転：EU SCCのモジュール2（タイに対するEUの十分性認定がないため）
• 国内処理：Pinnacle Data Services Co Ltd（バンコク）は、TransPacific Freight Solutions による契約上の保護措置の下で、タイのPDPAに準拠して業務を行っています

シンガポール — PDPAの国外移転に関する規定

個人情報保護法2012（PDPA）— 2021年改正

第26条（移転制限義務）：

• 組織は、受領者に対し、PDPAと少なくとも同等の保護水準を提供する法的強制力のある義務を負わせるための適切な措置を講じない限り、シンガポール国外に個人データを移転してはなりません。

遵守のための仕組み：

1. 契約上の取り決め：受領者にPDPA相当の基準を満たすことを義務付ける契約
2. 拘束的企業準則：同等の保護を提供する企業グループ内の方針
3. PDPC承認の枠組み：APEC CBPRまたはPDPCが認めるその他の認証への準拠
4. 同意：比較可能でない保護水準について説明を受けた後、個人が移転に同意する
5. 規定された例外：契約の履行、公共の利益、重大な利益、または法的手続きに必要な場合

PDPCによる執行：

• PDPCは移転制限義務を積極的に執行しています。
• 違反1件につき最大100万SGDの罰金（2021年改正により、年間売上高が1,000万SGDを超える組織は年間売上高の最大10％まで引き上げ）。

Athena Global Logistics の実施状況（シンガポールでの業務）：

• CloudVault Asia Pte Ltd（シンガポールの再委託先）：PDPAに準拠しており、EUへの移転はPDPAに基づく契約上の取り決めに従います
• シンガポールからドイツへの移転：データ処理契約における契約上の保護措置
• EUからシンガポールへの移転：EU SCCのモジュール3（P2P。CloudVaultはTransPacificの再委託先であるため）

複数法域間の移転マトリックス

移転元 → 移転先	日本	韓国	タイ	シンガポール	香港	EU/EEA	米国
日本	該当なし	同意／同等の措置	同意／同等の措置	同意／同等の措置	同意／同等の措置	PPCの十分性認定国	同意／同等の措置
韓国	PIPCの十分性認定	該当なし	同意／契約	同意／契約	同意／契約	PIPCの十分性認定	同意／契約
タイ	契約／同意	契約／同意	該当なし	契約／同意	契約／同意	契約／同意	契約／同意
シンガポール	PDPAに準拠した契約	PDPAに準拠した契約	PDPAに準拠した契約	該当なし	PDPAに準拠した契約	PDPAに準拠した契約	PDPAに準拠した契約
EU/EEA	EUの十分性認定	EUの十分性認定	SCC＋TIA	SCC＋TIA	SCC＋TIA	該当なし	DPF／SCC＋TIA

実務上の実装に関する考慮事項

1. 複数の仕組みによるコンプライアンス対応：EUから日本を経由してシンガポールに至る単一のデータフローでは、EUの十分性認定への依拠（EU→JP）、日本の第28条に基づく十分性認定国への移転（JP→SG、同等の措置）、およびシンガポールPDPAに基づく契約上の保護措置が必要となる場合があります。1つのフローに対して3つの仕組みが必要です。
2. 契約上の調和：GDPR、APPI、PIPA、PDPA（タイ）、PDPA（シンガポール）の要件を同時に満たすため、管轄区域ごとの追加条項を設けた単一のデータ処理契約を使用します。
3. 同意疲れ：複数の管轄区域で越境移転に同意が必要な場合、同じ移転経路について同意を何度も求めないよう、同意の取得を調整します。
4. 監視の負担：各APAC管轄区域の移転ルールはそれぞれ独自に変化します。適用されるすべての法律を対象とする監視プログラムを維持します。