art49-derogations

第49条の例外の評価

概要

GDPR第49条は、十分性認定（第45条）または適切な保護措置（第46条）がない場合に、国際データ移転を認める限定的な例外を定めています。欧州データ保護会議（EDPB）は、「第49条に基づく例外に関するガイドライン2/2018」（2018年5月25日採択、2018年2月6日最終更新）において、これらの例外は厳格に解釈する必要があり、原則ではなく例外として意図されていることを一貫して強調しています。これらを、体系的、大規模、または定期的な移転の根拠とすることはできません。

例外の条件

第49条第1項(a) — 明示的な同意

条件：データ主体は、十分性認定および適切な保護措置がないことによって生じる、データ主体にとっての移転の潜在的なリスクについて説明を受けたうえで、提案された移転に明示的に同意している必要があります。

要件：

1. 特定されていること：同意は、処理活動そのものだけでなく、特定された第三国への移転を具体的に対象とする必要があります。
2. 十分な説明を受けていること：データ主体には、以下を伝える必要があります。
   • データの移転先となる具体的な第三国
   • 当該国について十分性認定がないこと
   • 適切な保護措置（SCC、BCR）がないこと
   • これによって生じる具体的なリスク（例：EUと同等の保護措置なしに政府がアクセスすること）
3. 明示的であること：曖昧さのない肯定的な意思表示が必要です。黙示の同意や、あらかじめチェックされたボックスでは不十分です。
4. 自由意思に基づくこと：同意しないことを理由にデータ主体が不利益を受けてはならず、真に選択できる必要があります。
5. 撤回可能であること：データ主体はいつでも同意を撤回できます。撤回しても、過去の移転の適法性には影響しません。

Athena Global Logisticsでの使用例：欧州の顧客が、自身の貨物追跡データを十分性認定のない国にいる自身のブローカーと共有するよう求めています。顧客にリスクを説明し、署名済みの移転同意書によって明示的な同意を得ます。

制限（EDPBガイドライン2/2018）：

• 体系的、反復的、または大規模な移転には使用できません
• 力関係に不均衡があるため、雇用主と従業員の関係には適していません（同意が自由意思に基づく可能性が低いため）
• 体系的な移転の仕組みを確立する代わりにはなりません

第49条第1項(b) — 契約の履行に必要な場合

条件：データ主体と管理者との間の契約の履行、またはデータ主体の要請に基づく契約締結前の措置の実施に、移転が必要であること。

要件：

1. 直接の契約関係：データ主体と管理者との間に契約が存在する必要があります（2者の管理者間、または管理者と第三者との間の契約ではありません）。
2. 必要性：移転は契約の履行に客観的に必要でなければならず、単に有用または商業上便利というだけでは不十分です。
3. 密接かつ実質的な関連性：移転と、具体的な契約上の義務の履行との間に密接なつながりが必要です。
4. 偶発的であること：この例外は偶発的な移転に適しています。体系的にこの例外に依拠することは認められません。

Athena Global Logisticsでの使用例：欧州の個人顧客が、個人所有物を十分性認定のない国へ輸送するようAthenaと契約します。配送先の国にいる配送パートナーに顧客の住所と連絡先情報を移転することは、輸送契約の履行に必要です。

EDPBによる限定的な解釈：

• 契約はデータ主体自身との契約でなければならず、従業員データを移転する法人顧客との契約ではありません
• 移転が商業上必要であるという事実だけでは不十分です。契約上必要でなければなりません
• 移転を必要としない代替手段で契約を履行できる場合、この例外は適用されないことがあります

第49条第1項(c) — データ主体の利益のために契約上必要な場合

条件：管理者と他の自然人または法人との間で締結された、データ主体の利益のための契約の締結または履行に、移転が必要であること。

要件：

1. 管理者と第三者との間の契約：第49条第1項(b)とは異なり、データ主体が当事者ではない契約も対象となります。
2. データ主体の利益のためであること：契約はデータ主体の利益にかなうものでなければなりません（例：データ主体に代わって加入する保険、データ主体のために手配する旅行）。
3. 必要性：移転は契約にとって客観的に必要でなければならず、単に利便性があるだけでは不十分です。
4. 臨時であること：体系的な移転の根拠としては使用できません。

Athena Global Logistics の使用例：Athena が顧客に代わって EU 域外の保険会社と貨物保険を手配します。顧客の補償を確保するために、顧客の詳細情報を保険会社に移転することは、顧客の利益になります。

第49条第1項(d) — 重要な公共の利益上の理由

条件：重要な公共の利益上の理由により、移転が必要であること。

要件：

1. EU 法または加盟国の法律で認められていること：公共の利益は、連合法または管理者が従う加盟国の法律で認められていなければなりません。
2. 重要であること：あらゆる公共の利益が該当するわけではなく、相当な重要性が必要です（例：税務執行、マネーロンダリング対策、国境を越えた犯罪捜査に関する国際協力）。
3. 必要性：移転は、当該公共の利益に資するために必要でなければなりません。
4. 民間事業者が商業目的で使用することはできません：民間企業は、商業上のデータ移転を正当化するために公共の利益を根拠とすることはできません。

Athena Global Logistics の使用例：EU 規則952/2013（連合関税法典）の定めに従い、ドイツと第三国との二国間関税協力協定に基づいて、顧客の身元情報および貨物情報を第三国の税関当局に移転します。

第49条第1項(e) — 法的請求

条件：法的請求の確立、行使または防御のために、移転が必要であること。

要件：

1. 実際の、または見込まれる手続き：実際の法的手続き、または具体的かつ明確に特定できる手続きの見込みがなければなりません（単なる理論上の可能性では不十分です）。
2. 必要性：法的請求に必要なデータのみを移転できます。
3. 広範な適用範囲：司法手続き、行政手続き、および規制当局による調査を含む裁判外手続きを対象とします。
4. 臨時であること：移転は特定の手続きに関連していなければならず、日常的な移転の根拠として使用してはなりません。

Athena Global Logistics の使用例：元従業員が労働紛争に関する請求を申し立てた EU 域外の法域に、雇用記録を移転します。当該記録は、会社が防御するために必要です。

第49条第1項(f) — 重大な利益

条件：データ主体が物理的または法的に同意を与えることができない場合に、データ主体または他の者の重大な利益を保護するため、移転が必要であること。

要件：

1. 生死に関わること：重大な利益は通常、生命を脅かす状況（医療上の緊急事態、自然災害など）に関係します。
2. 同意能力がないこと：データ主体が同意できない状態でなければなりません（意識不明、能力喪失、または法的に同意能力がない場合）。
3. 厳格な必要性：重大な利益を保護するために厳密に必要なデータのみを対象とします。
4. 適用はまれ：この例外は非常に限定的であり、真の緊急事態に適用されます。

Athena Global Logistics の使用例：国際輸送業務中に医療上の緊急事態が発生した後、乗組員の医療記録を第三国の病院に移転します。

第49条第1項(g) — 公開登録簿

条件：移転元が、EU法または加盟国法に基づき、公衆に情報を提供することを目的としており、一般公衆または正当な利益を証明できる者が閲覧できる登録簿であること。

要件：

1. 法律に基づいて設立された公開登録簿：登録簿は、一般公開を明確な目的として、法律に基づいて設立されている必要があります。
2. 登録簿全体を対象としないこと：移転できるのは特定の登録事項のみであり、登録簿全体の一括コピーは移転できません。
3. 閲覧条件を満たすこと：登録簿を設立する法律で定められたアクセス条件を満たす必要があります。

Athena Global Logistics の使用例：デューデリジェンスを目的として、ドイツ法に基づく公開登録簿であるドイツのHandelsregisterから、企業登録データをEU域外のビジネスパートナーに移転するケース。

第49条第1項第2段落 — やむを得ない正当な利益

条件：他のいずれの例外規定も適用されない場合、次の条件を満たせば移転を行うことができます。（a）移転が反復的でないこと、（b）対象となるデータ主体が限定された人数であること、（c）管理者が追求するやむを得ない正当な利益のために必要であること、（d）その利益がデータ主体の利益、権利および自由に優先しないこと、（e）管理者が移転を取り巻くすべての状況を評価し、適切な保護措置を講じていること。

要件：

1. 最後の手段：これは最後の手段としての例外規定であり、第49条の他の条件がいずれも満たされず、第45条または第46条の仕組みも利用できない場合にのみ適用されます。
2. 反復的でないこと：一度限り、またはごくまれな移転に限られます。
3. データ主体が限定されていること：影響を受ける個人の数が少ないこと。
4. やむを得ない正当な利益：通常の第6条第1項(f)の正当な利益よりも高い基準が適用され、やむを得ない利益でなければなりません。
5. 比較衡量テスト：管理者は、自らの利益とデータ主体の権利および自由との比較衡量を記録しなければなりません。
6. 適切な保護措置：管理者は、個人データの保護に関する適切な保護措置を講じなければなりません。
7. 監督機関への通知：管理者は、移転について監督機関に通知しなければなりません。
8. データ主体への情報提供：管理者は、移転について、また追求するやむを得ない正当な利益について、データ主体に通知しなければなりません。

Athena Global Logistics の使用例：他の例外規定が適用されず、対象が1人の個人に限られる場合に、過去のコンプライアンス問題を調査するEU域外の規制当局へ、元従業員の連絡先情報を一度限りで移転するケース。

第49条の例外規定を選択するための決定木

Is there an adequacy decision for the destination country? (Art. 45)
  ├── YES → Transfer under adequacy; Art. 49 not needed
  └── NO → Can appropriate safeguards be established? (Art. 46)
        ├── YES → Use SCCs/BCRs/etc.; Art. 49 not needed
        └── NO → Is the transfer systematic, repetitive, or large-scale?
              ├── YES → Art. 49 derogations generally NOT available
              │         (establish Art. 46 safeguards instead)
              └── NO → Apply Art. 49 derogation assessment:
                    ├── Has the data subject explicitly consented? → Art. 49(1)(a)
                    ├── Is transfer necessary for DS contract? → Art. 49(1)(b)
                    ├── Is transfer for a contract in DS interest? → Art. 49(1)(c)
                    ├── Is transfer for important public interest? → Art. 49(1)(d)
                    ├── Is transfer for legal claims? → Art. 49(1)(e)
                    ├── Is transfer for vital interests? → Art. 49(1)(f)
                    ├── Is transfer from a public register? → Art. 49(1)(g)
                    └── None of the above? → Art. 49(1) compelling legitimate interests
                          (last resort, with SA notification)

文書化の要件

第49条の例外規定に依拠するすべての移転について、以下を文書化する必要があります。

1. 依拠する例外規定：該当する第49条の項
2. 根拠：当該例外規定がこの特定の移転に適用される理由
3. 第45条／第46条の仕組みを利用できない理由：十分性認定または適切な保護措置を利用できない理由の説明
4. 必要性の分析：移転が必要である理由（単に有用または便利なだけではないこと）
5. データの最小化：必要最小限のデータのみが移転されることの確認
6. 例外的な性質：移転が体系的または反復的でないことの確認
7. データ主体に対するリスク：移転に伴うリスクの評価
8. 適用した保護措置：リスクを軽減するために講じた保護措置
9. 第49条第1項(a)の場合：同意書のコピーおよび情報提供の証拠
10. 第49条第1項のやむを得ない正当な利益の場合：監督機関への通知記録、比較衡量テストの文書、および適切な保護措置の説明