eu-us-dpf-assessment

EU-US データプライバシーフレームワークの評価

概要

欧州委員会は、欧州委員会実施決定（EU）2023/1795に基づき、2023年7月10日にEU-US データプライバシーフレームワーク（DPF）の十分性認定を採択しました。この十分性認定により、SCCやBCRなどの追加的な移転メカニズムを必要とせず、米国商務省（DoC）にDPFの自己認証を行った米国の組織へ、EU/EEAから個人データを移転できます。DPFは、無効とされたプライバシーシールドの枠組みに代わるものであり、米国のシグナルインテリジェンス活動を制限する大統領令14086の導入を通じて、Schrems II（事件番号C-311/18）で欧州司法裁判所が提起した懸念に対処することを目的としています。

DPF十分性認定 — 主な要素

法的根拠

• 欧州委員会実施決定（EU）2023/1795（2023年7月10日）、GDPR第45条第3項に基づく
• 米国大統領令14086（2022年10月7日）— 米国のシグナルインテリジェンス活動に対する保護措置の強化
• 司法長官規則（2023年6月29日）、データ保護審査裁判所（DPRC）を設置
• 英国への拡張：UK-US データブリッジ（2023年10月12日発効）により、英国から米国への移転にもDPFの保護が拡張されます

十分性認定の適用範囲

DPFの十分性認定は、次の条件を満たす米国の組織への移転にのみ適用されます。

1. 商務省に対してDPFの自己認証を積極的に行っている
2. 連邦取引委員会（FTC）または運輸省（DoT）の調査権限および執行権限に服している
3. DoCがdataprivacyframework.govで管理するDPFリストに掲載されている

十分性認定は、次の移転を対象としていません。

• 米国政府機関への移転
• 自己認証を行っていない米国の組織への移転
• FTCまたはDoT以外の規制当局の管轄下にある米国の組織への移転（例：OCCの規制を受ける銀行、FCCの規制を受ける電気通信事業者）

自己認証プロセス

適格要件

1. 組織は、FTC法第5条に基づくFTC、または合衆国法典第49編に基づくDoTの管轄下になければなりません。
2. 組織は、すべてのDPF原則を遵守することを約束しなければなりません。
3. 組織は、DPFに準拠したプライバシーポリシーを公開しなければなりません。
4. 組織は、苦情を処理するための独立した救済メカニズムを指定しなければなりません。
5. 組織は、DoCに年次認証料を支払わなければなりません。

認証手順

手順	対応	期間
1	DPF原則を確認し、組織の準備状況を評価する	2-4週間
2	DPF原則に準拠するようプライバシーポリシーを作成または更新する	2-3週間
3	独立した救済メカニズム（IRM）を選定して契約する	1-2週間
4	DPF遵守の責任者を任命する	1週間
5	dataprivacyframework.govで自己認証申請を完了する	1週間
6	必要書類とプライバシーポリシーのURLを提出する	1週間
7	年次認証料を支払う（収益に応じて変動）	提出時
8	DoCによる審査とDPFリストへの掲載	提出後2-4週間
9	有効期限前に年次再認証を行う	初回認証から12か月後

年次認証料の料金表（2025年）

組織の年間収益	料金
500万米ドル以下	0米ドル（小規模組織は免除）
500万米ドル — 2,500万米ドル	575米ドル
2,500万米ドル — 5億米ドル	1,150米ドル
5億米ドル — 50億米ドル	2,300米ドル
50億米ドル超	3,450米ドル

DPF原則

1. 通知の原則

自己認証を受けた組織は、個人に以下の事項を通知する必要があります。

• 収集する個人データの種類
• 処理の目的
• データにアクセスし、訂正する権利
• データが開示される可能性のある第三者の種類または身元
• 利用および開示を制限するために提供される選択肢と手段
• 利用可能な独立した救済手段
• 第三者への再移転が行われた場合の組織の責任

2. 選択の原則

個人データが以下に該当する場合、組織は個人にオプトアウトの機会を提供する必要があります。

• 第三者（組織を代理するエージェントを除く）に開示される
• 当初収集された目的、またはその後に承認された目的と実質的に異なる目的で使用される

センシティブデータ（健康、人種・民族的出自、政治的見解、宗教的信条、労働組合への加入、性生活、犯罪歴）については、開示または新たな目的での使用に先立ち、積極的かつ明示的な同意（オプトイン）が必要です。

3. 再移転に関する説明責任の原則

第三者の管理者への移転には、以下が必要です。

• 第三者が DPF 原則と同等の保護水準を提供することを定めた契約
• この義務を果たせなくなった場合に第三者が組織へ通知すること

エージェント（処理者）への移転には、以下が必要です。

• 処理を指定された目的に制限する契約
• エージェントが同等の保護水準を提供すること
• エージェントが組織に通知し、許可されていない処理を停止して是正するための合理的な措置を講じること

4. セキュリティの原則

組織は、処理に伴うリスクとデータの性質を考慮し、個人データを紛失、誤用、不正アクセス、開示、改変、破壊から保護するため、合理的かつ適切な措置を講じる必要があります。

5. データの完全性と目的の制限に関する原則

個人データは、以下の条件を満たす必要があります。

• 処理の目的に関連している
• 意図された用途に対して信頼できる
• 正確で、完全かつ最新である
• 収集された目的、またはその後に承認された目的と両立しない方法で処理されない

6. アクセスの原則

個人には、以下の権利があります。

• 組織が自分のデータを処理しているかどうかの確認を得る
• 合理的な期間内にデータの提供を受ける
• データの正確性に異議を申し立て、訂正、修正、または削除を求める

アクセスが制限されるのは、限られた状況に限られます（例：アクセスを提供すると他者の権利を侵害する場合、アクセス提供にかかる負担や費用が過大である場合、または開示が法的義務に違反する場合）。

7. 救済、執行、責任に関する原則

組織は、以下を提供する必要があります。

• 利用しやすく、独立しており、費用が手頃な紛争解決手段
• DPF に関する確約の遵守を検証する手順
• 不遵守によって生じた問題の是正
• 組織が遵守しなかった場合の結果（FTC／DoT による制裁）

データ保護審査裁判所（DPRC）

構造

• DPRC は、大統領令 14086 に基づき、2023 年 6 月 29 日の司法長官規則によって設置されました。
• DPRC は、二段階の審査制度です。
  • 第一段階：国家情報長官室（ODNI）の市民的自由保護官（CLPO）が苦情を審査し、拘束力のある決定を下します。
  • 第二段階：苦情申立人または情報コミュニティの構成機関の申請に基づき、データ保護審査裁判所が CLPO の決定を審査します。

EU データ主体向けの手続き

1. データ主体は、各国のデータ保護当局（SA）に苦情を申し立てます。
2. SA は苦情を EDPB 事務局に送付します。
3. EDPB 事務局は、指定された経路を通じて苦情を米国に転送します。
4. CLPO が調査を行い、対象となる違反があったかどうかを判断します。
5. 違反が認められた場合、CLPO は適切な是正措置を指示します。
6. 申立人または情報機関の構成組織は、DPRC に審査を申し立てることができます。
7. DPRC は、申立人の利益を代表する特別擁護人を任命します。
8. DPRC は最終的かつ拘束力のある決定を下します。
9. 結果は、同じ経路を通じて SA とデータ主体に通知されます。

大統領令 14086 における主な保護措置

保護措置	説明
必要性の基準	米国の信号情報収集は、妥当性が確認された情報優先事項の推進に必要でなければなりません
比例性の基準	情報上の必要性とプライバシーへの影響を比較衡量し、収集は比例的でなければなりません
禁止される目的	異議の抑圧、民族・人種・宗教を理由とする個人への不利益、報道の自由の制限、または商業上の競争優位の獲得を目的とした収集は禁止されています
大量収集の制限	大量収集は、特定の列挙された目的（例：防諜、テロ対策）に限り認められ、実行可能な限り対象を絞らなければなりません
データ保持の制限	信号情報を通じて収集した個人データは、妥当性が確認された情報上の目的に不要になった時点で削除しなければなりません
拘束力	EO 14086 は、DPRC を通じて執行可能な拘束力のある義務を定めています

欧州委員会による年次審査

十分性認定では、EDPB および欧州議会と連携して、欧州委員会が定期的に審査を行うことが求められています。

• 初回審査：2024 年に実施、2024 年 10 月に公表 — 欧州委員会は、DPF が引き続き十分なレベルの保護を確保していると結論付けました
• 以降の審査：少なくとも 4 年ごと
• 審査項目：FTC／DoT による遵守状況の執行、DPRC の機能、大統領令 14086 の実施状況、米国の監視法制の動向、FISA 第 702 条の再承認状況
• 停止または撤回する権限：保護のレベルが十分でなくなった場合、欧州委員会は十分性認定を停止または撤回できます

EU データ輸出者向け確認チェックリスト

移転に DPF を利用する前に、EU データ輸出者は次の事項を確認する必要があります。

確認事項	方法
輸入者が DPF リストに掲載されている	dataprivacyframework.gov で検索する
認証が有効である（期限切れまたは取り消しではない）	DPF リストでステータスと有効期限を確認する
認証が該当するデータカテゴリーを対象としている	リストで組織の DPF 対象範囲（人事データ、非人事データ、またはその両方）を確認する
輸入者が FTC または DoT の管轄下にある	DPF 掲載情報で規制上の管轄を確認する
輸入者のプライバシーポリシーに DPF 遵守について記載されている	掲載されている URL で公開済みのプライバシーポリシーを確認する
IRM が特定されている	DPF の登録情報に記載された独立した救済手段を確認する
データ移転が十分性認定の対象範囲内である	移転先が自己認証済みの組織であり、未認証の事業体ではないことを確認する

リスクに関する考慮事項と継続的なモニタリング

法的安定性に関するリスク

• FISA 第 702 条：2026 年 4 月まで再承認済みです。今後の法改正により、DPF の十分性評価に影響が及ぶ可能性があります
• 司法上の異議申し立て：プライバシー擁護団体（特に noyb）は、Schrems I および Schrems II の訴訟と同様に、CJEU で DPF に異議を申し立てる可能性を示しています
• 政治的リスク：米国の政権交代により、大統領令 14086 の継続的な実施に影響が及ぶ可能性があります

緩和策

1. 二重の仕組みの採用：DPFへの依拠と並行して、米国へのデータ移転に備えるバックアップの仕組みとして、締結済みのSCCを維持します。十分性認定が停止または無効になった場合に、迅速に切り替えられます。
2. 監視プログラム：欧州委員会の審査結果、CJEUへの訴訟提起、米国の法整備の動向を追跡します。
3. 契約上の保護措置：十分性認定が無効になった場合に発動する、DPF固有の契約解除条項およびデータ返却条項を、米国のデータ輸入者との契約に含めます。
4. 移転記録の文書化：移転の仕組みとしてDPFを記録し、データ輸入者のDPF Listへの登録日と再認証のスケジュールを記載します。