consent-for-transfers

移転に関する同意の管理

概要

GDPR 第 49 条第 1 項（a）では、十分性認定（第 45 条）または適切な保護措置（第 46 条）がない場合でも、「データ主体が、十分性認定および適切な保護措置がないことに起因する、データ主体にとっての移転の潜在的なリスクについて知らされたうえで、予定されている移転に明示的に同意した」場合には、第三国への個人データの移転が認められると定めています。

これは例外措置であり、最後の手段です。主要な移転手段ではありません。EDPB の「第 49 条に基づく例外に関するガイドライン 2/2018」では、例外措置は限定的に解釈されなければならず、原則になってはならないと強調されています。

移転に関する明示的な同意の要件

移転に関する同意が「明示的」となる条件

第 49 条第 1 項（a）に基づく明示的な同意には、第 6 条第 1 項（a）に基づく通常の同意よりも高い基準が求められます。

1. 明示的な意思表示：データ主体は、移転について個別に明示的な同意を意思表示する必要があります。チェックが入っていないチェックボックスは通常の同意には十分ですが、明示的な同意には十分でない場合があります。書面または入力による宣言が望ましいです。
2. 移転に特化した同意：同意では国際移転について具体的に言及する必要があり、一般条項に埋もれていてはなりません。
3. リスクの説明：データ主体には一般的な警告だけでなく、移転に伴う具体的なリスクを伝える必要があります。
4. 移転先の特定：第三国を具体的に明示する必要があります。
5. 認定・保護措置がないことの開示：移転先について、十分性認定も適切な保護措置もないことをデータ主体に伝える必要があります。

同意を得る前に提供すべき情報

第 49 条第 1 項（a）および EDPB の「ガイドライン 2/2018」に基づきます。

情報項目	説明	CloudVault SaaS Inc. の例
移転先の国	具体的な国名	インド
受領者の身元	データの受領者	CloudVault India Pvt. Ltd.（子会社）
移転の目的	データを移転する理由	EU の夜間時間帯におけるカスタマーサポート
データのカテゴリー	移転される個人データ	氏名、メールアドレス、アカウントのメタデータ、サポートチケットの内容
十分性認定がないこと	インドには EU の十分性認定がありません	「欧州委員会は、インドが十分な水準のデータ保護を提供していると認めていません」
保護措置がないこと	この移転には SCC または BCR が適用されていません	「この移転には標準契約条項または拘束的企業準則は適用されません」
具体的なリスク	起こりうる問題	「インドのデータ保護法（DPDP 法 2023）では、同等の保護が提供されない場合があります。政府によるアクセス要求には、EU 法と同じ制限が適用されない場合があります。」
同意の撤回権	同意を撤回する方法	「設定 > プライバシーから、この移転に対する同意をいつでも撤回できます」

CloudVault SaaS Inc. における移転同意の実装

シナリオ：インドへのカスタマーサポートデータの移転

CloudVault SaaS Inc. は、インドのベンガルールにカスタマーサポートセンター（CloudVault India Pvt. Ltd.）を運営しています。EU のユーザーが EU の営業時間外にサポートチケットを送信した場合、インドからチケットデータにアクセスされる可能性があります。

同意文（ユーザーに表示）：

「24 時間 365 日のカスタマーサポートを提供するため、CloudVault SaaS Inc. は、お客様のサポートチケットデータ（お客様の氏名、メールアドレス、アカウント情報、およびサポートリクエストの内容）を、インドのベンガルールにある CloudVault India Pvt. Ltd. に移転する場合があります。

インドは欧州委員会による十分性認定を受けておらず、この特定の移転は標準契約条項または拘束的企業準則の対象ではありません。

これは、お客様のデータが EU 法の下と同等の保護を受けられない可能性があることを意味します。特に：

• インドの 2023 年デジタル個人データ保護法は実施の初期段階にあり、その執行メカニズムはまだ十分に確立されていません
• インド政府当局は、EU 当局が有するものとは異なる法的権限により、個人データにアクセスする場合があります
• インドでお客様が利用できる司法救済は、EU 法の下で利用できるものとは異なる場合があります

この移転に同意する必要はありません。同意しない場合、お客様のサポートリクエストは EU の営業時間内（CET で月曜日～金曜日、08:00～18:00）に限り、ダブリンを拠点とする当社のサポートチームが対応します。

この同意は、設定 > プライバシー > データ移転からいつでも撤回できます。撤回は 24 時間以内に有効になります。」

同意の仕組み

• 2 段階のプロセス：（1）ユーザーがリスクの説明全文を読む、（2）ユーザーがテキストフィールドに「I consent to the transfer」と入力する
• この入力による宣言は、「明示的」な同意の要件を満たします
• 同意は、標準的な同意記録のすべての項目に加え、移転固有の項目とともに記録されます

移転の根拠として同意を用いる場合の制限

EDPB ガイドライン 2/2018 によると：

1. 体系的／反復的な移転には使用できません：第 49 条第 1 項 a 号に基づく同意は、体系的、大規模、または反復的な移転の根拠として使用すべきではありません。そのような移転には、SCC（第 46 条第 2 項 c 号）または BCR（第 47 条）を使用してください。
2. 白紙委任ではありません：移転のたびに個別の同意を得るか、明確に定義された限定的な移転の範囲を同意の対象とする必要があります。
3. 力関係の不均衡が適用されます：自由意思による同意の要件は同様に適用されます。雇用関係における移転への同意は、一般に有効ではありません。
4. 撤回が可能でなければなりません：管理者が撤回後に運用上移転を停止できない場合、同意は適切な根拠ではない可能性があります。

主要な規制上の参照先

• GDPR 第 44 条 — 移転に関する一般原則
• GDPR 第 45 条 — 十分性認定に基づく移転
• GDPR 第 46 条 — 適切な保護措置を条件とする移転
• GDPR 第 49 条第 1 項 a 号 — 適用除外：移転に対する明示的な同意
• EDPB ガイドライン 2/2018：第 49 条に基づく適用除外（2018 年 5 月 25 日採択）
• CJEU C-311/18（Schrems II、2020 年 7 月 16 日）— プライバシーシールドを無効とし、移転に対する審査を厳格化
• EDPB 勧告 01/2020 — 移転のための補完的措置