scc-implementation

標準契約条項の実施

概要

2021年6月4日の欧州委員会実施決定（EU）2021/914により、規則（EU）2016/679に基づく第三国への個人データ移転に関する、現代化された標準契約条項（SCC）が導入されました。これらのSCCは、指令95/46/ECに基づいて採択された従来の条項に取って代わり、2022年12月27日以降、必須の手段となりました。モジュール式の構成により、当事者は移転関係における各自の役割に応じて、適切な条項セットを選択できます。

モジュール選択の判断フレームワーク

モジュール1：管理者から管理者へ（C2C）

使用する場合：データ輸出者が管理者であり、データ輸入者が、別個の管理者として、受領したデータを処理する目的と手段を独自に決定する場合です。

Athena Global Logistics における典型的なシナリオ：

• 輸送ルートの最適化を目的として、海外の提携物流企業が独自に処理する輸送追跡データを共有する
• 現地の雇用法令遵守に関して独立した管理者として機能する外国のグループ企業に、従業員データを提供する
• 独自の管理者として貨物保険を引き受ける海外の保険提携先に、顧客データを移転する

モジュール1の主な条項：

• 第8.1条 — データ保護措置：データ輸入者は、附属書Iに記載された特定の目的に限ってデータを処理し、輸入者に適用される法令に基づく独立した法的根拠を確保しなければなりません
• 第8.2条 — 目的の制限：輸入者は、データが移転された目的と両立しない目的でデータを処理してはなりません
• 第8.3条 — 透明性：輸入者は、要求に応じてデータ主体に条項および附属書Iの情報の写しを提供しなければなりません
• 第8.4条 — 正確性：両当事者は、データの正確性と最新性を確保するために合理的な措置を講じなければなりません
• 第8.5条 — 保存期間と消去：データは附属書IIに定める期間に限り処理されます。契約終了時には、消去または返却しなければなりません

モジュール2：管理者から処理者へ（C2P）

使用する場合：データ輸出者が管理者であり、データ輸入者が処理者として輸出者のためにデータを処理する場合です。

Athena Global Logistics における典型的なシナリオ：

• 第三国に本社を置くクラウドインフラストラクチャプロバイダーに、輸送管理システムのホスティングを委託する
• 現地採用スタッフの給与計算を、海外の給与計算代行会社に依頼する
• 会社に代わって顧客サービスの問い合わせに対応するため、第三国のコールセンターと契約する

モジュール2の主な条項：

• 第8.1条 — 指示：処理者は、附属書IIに定めるとおり、管理者から文書化された指示を受けた場合に限りデータを処理しなければなりません
• 第8.2条 — 目的の制限：附属書Iに定める特定の目的のみに処理を限定します
• 第8.3条 — 透明性：管理者は、データ主体に移転および輸入者の身元を通知しなければなりません
• 第8.5条 — 再処理：再処理者の利用には、事前の個別または一般の書面による承認が必要です。契約により、同じデータ保護義務を課さなければなりません
• 第8.6条 — 国際的な再移転：再処理者による移転には、同じ水準の保護が必要です
• 第8.8条 — セキュリティ：附属書IIに記載された技術的および組織的措置を講じなければなりません
• 第8.9条 — 文書化と遵守：処理者は記録を保持し、監査を受け入れなければなりません

モジュール 3：プロセッサーからプロセッサーへ（P2P）

使用する場合：データ輸出者がプロセッサー（EU の管理者の代理として業務を行う）で、データ輸入者がサブプロセッサーである場合です。

Athena Global Logistics における典型的なシナリオ：

• 同社が欧州の海運コンソーシアムのデータプロセッサーとして業務を行い、倉庫データ管理を第三国のサブプロセッサーに委託する
• 同社と契約したマネージド IT サービスプロバイダーが、オフショア開発センターで個人データをさらにサブプロセッサー処理する

モジュール 3 の主な条項：

• 条項 8.1 — 指示：サブプロセッサーは、最終的に管理者に由来する指示の連鎖に基づいてのみ処理を行います
• 条項 8.5 — 再委託：さらなるサブプロセッサー処理は、管理者から事前に個別または一般的な書面による承認を得た場合に限ります（最初のプロセッサーを通じて取得）
• 条項 8.8 — セキュリティ対策：附属書 II のセキュリティ対策を同等に適用します
• 条項 8.9 — 文書化とコンプライアンス：管理者まで遡る完全な監査記録を維持します

モジュール 4：プロセッサーから管理者へ（P2C）

使用する場合：データ輸出者がプロセッサーで、データ輸入者が返却または移転されるデータの管理者である場合です。

Athena Global Logistics における典型的なシナリオ：

• 生の出荷データを当初提供した非 EU のクライアント管理者に、処理済みの分析結果を返却する
• 欧州のクラウドプロセッサーが、契約終了時に非 EU の管理者であるクライアントへ個人データを返却する

モジュール 4 の主な条項：

• 条項 8.1 — 輸入者は、GDPR（該当する場合）または同等の基準に基づく義務を遵守してデータを処理するものとします
• 条項 8.2 — 管理者としての輸入者に課される目的制限および透明性に関する義務

モジュール選択の判断ツリー

START: Identify the role of the data EXPORTER (EU-based party)
  |
  ├── Exporter is a CONTROLLER
  |     |
  |     ├── Importer determines its OWN purposes → MODULE 1 (C2C)
  |     |
  |     └── Importer processes ON BEHALF of exporter → MODULE 2 (C2P)
  |
  └── Exporter is a PROCESSOR
        |
        ├── Importer is a SUB-PROCESSOR → MODULE 3 (P2P)
        |
        └── Importer is the CONTROLLER (data return) → MODULE 4 (P2C)

附属書 I：当事者および移転の詳細一覧

セクション A — 当事者一覧

項目	データ輸出者	データ輸入者
名称	Athena Global Logistics GmbH	TransPacific Freight Solutions Ltd
住所	Friedrichstrasse 112, 10117 Berlin, Germany	88 Harbour Road, Wan Chai, Hong Kong SAR
担当者	Elisa Brandt、データ保護責任者	James Leung、最高プライバシー責任者
移転に関連する業務	国際貨物輸送、通関仲介、欧州事業向けの倉庫管理	アジア太平洋地域の事業向け地域貨物の集約、ラストマイル配送の調整、通関手続き
役割	管理者	プロセッサー（モジュール 2）

セクション B — 移転の説明

要素	詳細
データ主体のカテゴリ	出荷を利用する顧客（荷送人および荷受人）、顧客企業の従業員、通関業者、倉庫作業員
個人データのカテゴリ	氏名、業務用メールアドレス、業務用電話番号、会社名、配送先住所、通関識別番号、貨物参照番号、配送スケジュールの希望
センシティブデータ	本契約に基づく移転はありません
移転の頻度	API 統合による継続的なリアルタイム移転、および毎日 02:00 UTC のバッチファイル移転
処理の性質	貨物記録の保存、取得、照合、通関書類の生成、配送状況の追跡、例外の報告
移転の目的	アジア太平洋地域の管轄区域での通関手続きおよびラストマイル配送のため、出荷データを地域内で処理する必要がある貨物輸送契約の履行
保持期間	該当する貨物の配送完了から 36 か月。その後、附属書 III の手順に従ってデータを安全に削除します

セクション C — 管轄監督機関

管轄監督機関は Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) です。条項 13 に従い、データ輸出者が設立されている加盟国の監督機関として特定されています。

附属書 II：技術的および組織的措置

措置のカテゴリ	実施されている具体的な措置
転送中のデータの暗号化	すべての API 通信に TLS 1.3 を使用。バッチ転送には AES-256 暗号化を使用した SFTP を使用
保存データの暗号化	すべてのデータベースストレージボリュームで AES-256 暗号化を使用。鍵管理を分離した暗号化バックアップテープを使用
アクセス制御	最小権限の原則に基づくロールベースのアクセス制御（RBAC）。すべての管理アクセスに多要素認証を適用。アクセス権を四半期ごとに見直し
データの最小化	特定の処理目的に必要のないフィールドを API ペイロードから削除。開発環境およびテスト環境では、必須ではない個人識別子にデータマスキングを適用
ロギングとモニタリング	ログを12か月間保持する集中型 SIEM。異常なアクセスパターンをリアルタイムで通知。セキュリティオペレーションセンターが毎日ログを確認
インシデント対応	初期評価を24時間以内に行う SLA を定めたインシデント対応計画を文書化。侵害が確認されてから48時間以内にデータ輸出者へ通知。年次の机上演習を実施
物理的セキュリティ	ISO 27001 認証を取得したデータセンター。生体認証によるアクセス制御。24時間365日の CCTV 監視。処理区域でクリーンデスクポリシーを適用
事業継続性	RPO は4時間、RTO は8時間。地理的に離れた災害復旧サイトを設置。結果を文書化した年次の DR テストを実施
スタッフに関する措置	入社時およびその後毎年、データ保護研修の受講を義務付け。個人データにアクセスするすべてのスタッフの身元調査を実施。機密保持契約を締結
サブプロセッサーの管理	契約前にデューデリジェンス評価を実施。同等のセキュリティ義務を契約上、下流の当事者にも課す。サブプロセッサーのコンプライアンスを毎年監査

附属書 III：サブプロセッサーの一覧

サブプロセッサー	所在地	処理活動	保護措置
CloudVault Asia Pte Ltd	Singapore	地域の貨物管理プラットフォーム向けクラウドインフラストラクチャのホスティング	SCCs Module 3 (P2P) を2025年3月15日に締結
Pinnacle Data Services Co Ltd	Bangkok, Thailand	通関書類のデータ入力と検証	SCCs Module 3 (P2P) を2025年1月22日に締結

条項ごとの実施チェックリスト

セクション I — 一般条項（すべてのモジュール）

条項	主題	実施事項
条項 1	目的と適用範囲	選択したモジュールが前文に記載されていることを確認。両当事者が正しいモジュールにイニシャルを記入していることを確認
条項 2	効力と不変性	標準文言に変更がないことを確認。追加の保護措置がある場合、SCC 本文ではなく別個の補遺に記載されていることを確認
条項 3	第三者受益者	データ主体が第三者受益者として、条項 1～3、8、9、12、15～17を行使できることを確認
条項 4	解釈	GDPR に沿った解釈であることを確認。用語が規則における意味と同じであることを確認
条項 5	優先順位	矛盾がある場合、SCCs が他の契約上の取り決めに優先することを確認
条項 6	移転の説明	附属書 I.B に必要なすべての要素が記載されていることを確認
条項 7	参加条項	追加当事者が加入するかどうかを判断。加入する場合は、附属書 I.A の変更手続きを準備

第 II 節 — 当事者の義務

条項	主題	実施措置
条項 8	データ保護の保護措置	モジュール固有です。選択したモジュールに応じて、すべての下位条項が完了していることを確認します
条項 9	再委託先の利用	モジュール 2/3：事前承認の仕組み（個別または一般）を文書化し、再委託先リストを維持し、変更時の通知手順を確立します
条項 10	データ主体の権利	輸入者がデータ主体からの請求に対応する手順を確立し、回答期限（GDPR 第 12 条第 3 項に基づき 30 日以内）を定めます
条項 11	救済	独立した紛争解決機関が特定されていることを確認し、輸入者が管轄裁判所の裁判管轄権を受け入れることを確認します
条項 12	責任	当事者間の責任分担を確認し、潜在的な請求に対応できる保険または財務能力があることを確認します

第 III 節 — 現地法および政府によるアクセス

条項	主題	実施措置
条項 14	遵守に影響する現地法	移転影響評価の結果を文書化し、SCC の保護に影響を及ぼす可能性のある輸入者の管轄区域の具体的な法律を特定します
条項 15	政府によるアクセスに関する義務	輸入者は、法律で禁止されていない限り、政府によるアクセス要求を輸出者に通知する必要があります。輸入者は、不均衡な要求に異議を申し立て、透明性レポートを提供する必要があります

第 IV 節 — 最終規定

条項	主題	実施措置
条項 16	不遵守および終了	エスカレーション手順を確立します：通知 → 30 日間の是正期間 → 一時停止 → 終了。終了時にはデータを返却または削除します
条項 17	準拠法	輸出者が所在する EU 加盟国（Athena Global Logistics の場合はドイツ）の法律を選択します
条項 18	裁判地および管轄権の選択	輸出者が所在する EU 加盟国（ドイツ、ベルリン）の裁判所を選択します

SCC の締結および記録管理

1. バージョン管理：締結済みのすべての SCC について、バージョン番号、締結日、当事者、および選択したモジュールを記載した台帳を維持します。
2. 定期的なレビュー：締結済みのすべての SCC を少なくとも年に 1 回、または処理、輸入者の管轄区域の法律、もしくは再委託先の取り決めに重大な変更があった場合にレビューします。
3. 規制の更新：SCC 文書または補足ガイダンスに改訂がないか、EDPB のガイダンスおよび欧州委員会の更新情報を監視します。
4. TIA との統合：各 SCC は、条項 14 に基づく輸入者の管轄区域の評価を記録した、対応する移転影響評価を参照する必要があります。
5. 監督機関との協力：第 46 条第 2 項（c）および第 58 条第 1 項に基づき、要請があった場合にすべての SCC 関連文書を管轄監督機関に提出できるよう備えておきます。