transfer-impact-assessment

移転影響評価の実施

概要

欧州連合司法裁判所による Schrems II 判決（事件番号 C-311/18、2020年7月16日）を受け、標準契約条項（SCC）またはその他の GDPR 第46条の移転メカニズムに依拠する組織は、移転先の国の法的枠組みが、個人データに対して実質的に同等の保護水準を提供しているかを評価するため、移転影響評価（TIA）を実施する必要があります。EDPB は、個人データの EU の保護水準への準拠を確保するために移転ツールを補完する措置に関する勧告 01/2020（バージョン 2.0、2021年6月18日採択）を採択し、この評価のための6段階の方法論を定めました。

EDPB の6段階の方法論

ステップ1：移転を把握する

第三国へのすべての個人データ移転をマッピングし、以下を特定します。

要素	必要な情報
移転の識別	各移転または移転の一連のまとまりを識別する固有の参照情報
データ輸出者	法人名、設立地、役割（管理者／処理者）
データ輸入者	法人名、設立地、役割（管理者／処理者）
移転メカニズム	SCC（モジュールを明記）、BCR、第49条の例外
データのカテゴリー	移転する個人データの種類。特別なカテゴリーを含む
データ主体	データを移転する個人のカテゴリー
目的	移転後にデータを処理する具体的な目的
移転先の国	輸入者がデータを処理する国
その後の移転	輸入者から他の法域への追加の移転
形式とチャネル	データの送信方法（API、SFTP、メール、物理媒体）
保存期間	移転先の国でデータを保持する期間

Athena Global Logistics における移転マッピングの例：

移転参照	輸出者	輸入者	移転先	メカニズム	データのカテゴリー
TIA-2025-HK-001	Athena Global Logistics GmbH	TransPacific Freight Solutions Ltd	Hong Kong SAR	SCCs Module 2	顧客の氏名、住所、通関 ID、貨物データ
TIA-2025-IN-001	Athena Global Logistics GmbH	Athena Freight Services India Pvt Ltd	India	SCCs Module 1	従業員の氏名、連絡先情報、業績記録
TIA-2025-US-001	Athena Global Logistics GmbH	Meridian Cloud Services Inc	United States	EU-US DPF + SCCs backup	顧客データ、業務分析データ

ステップ2：依拠する移転ツールを特定する

移転ごとに、第46条の移転メカニズムを確認します。

1. SCC（第46条第2項(c)）：該当するモジュール（1～4）とバージョン（2021/914）を特定します。
2. BCR（第47条）：承認状況と適用範囲を確認します。
3. 個別の契約条項（第46条第3項(a)）：監督機関の承認を確認します。
4. 行動規範（第46条第2項(e)）：承認済みの規範と拘束力のある確約を確認します。
5. 認証メカニズム（第46条第2項(f)）：認証状況と適用範囲を確認します。

移転先の国の法的枠組みによって影響を受ける可能性のある具体的な条項を記録します。特に、以下の条項が対象です。

• 条項14（SCC）— 公的機関によるアクセスに関する現地法および義務
• 条項15（SCC）— 政府によるアクセスがあった場合のデータ輸入者の義務

ステップ3：あらゆる状況を踏まえて移転ツールが有効かを評価する

これは TIA の中核です。移転先の国の法的枠組みを、欧州の4つの基本的な保護措置（EDPB 勧告 02/2020）に照らして評価します。

必須要件 1：処理は明確かつ正確で、アクセス可能な規則に基づいて行う必要があります

評価項目	分析
政府による個人データへのアクセスは、法律に基づいていますか？	政府によるアクセスを認める具体的な法令を特定します（例：米国の FISA 第 702 条および EO 12333、香港の国家安全法、インドの IT 法第 69 条）
規則は一般に公開されていますか？	法令およびその施行規則が公表され、アクセス可能かどうかを評価します
政府によるアクセスの範囲は明確に定義されていますか？	法令が、アクセスの対象となるデータ、人物、または状況のカテゴリーを指定しているかどうかを評価します
アクセスに例外や条件はありますか？	アクセスに関する制限、基準、または事前承認要件を特定します

必須要件 2：必要性と比例性

評価項目	分析
政府によるアクセスは、厳密に必要な範囲に限定されていますか？	アクセス要求ごとに必要性の立証を法令が求めているかどうかを評価します
範囲は、明示された目的に比例していますか？	大量監視が認められているか、アクセスが対象を限定したものに限られるかを評価します
不正利用を防ぐための保護措置はありますか？	アクセスされたデータに関する最小化要件、目的の制限、および保存期間の制限を評価します

必須要件 3：独立した監督メカニズム

評価項目	分析
司法機関または独立機関による事前承認がありますか？	アクセス要求の実行前に、裁判所または独立機関の承認が必要かどうかを判断します
継続的な監督はありますか？	独立機関が政府によるアクセス活動を監視しているかどうかを評価します
監督機関は真に独立していますか？	監督機関の構成員の任命、任期、および解任に関する条件を評価します

必須要件 4：個人が利用できる効果的な救済措置

評価項目	分析
個人は政府によるアクセスに対して裁判所で異議を申し立てられますか？	監視措置について司法審査を受ける権利があるかどうかを評価します
効果的な通知メカニズムはありますか？	個人が監視について通知されるかどうかを判断します（通知が遅れる場合も含みます）
個人は救済措置を受けられますか？	利用可能な救済措置（補償、データの削除、差止救済）を評価します

ステップ 4：補完的措置を採用する

ステップ 3 で、移転ツールだけでは有効でないことが明らかになった場合は、保護の不足を補うための補完的措置を特定し、実施します。

技術的措置

措置	有効性	適用シナリオ
EU が鍵を保持するエンドツーエンド暗号化（転送中および保存中のデータ）	高 — インポーターおよび政府による平文データへのアクセスを防ぎます	インポーターが平文データを処理する必要のないデータの保存または転送
EU が対応表を保持する仮名化	高 — 転送されたデータを特定済みの個人に結び付けられません	インポーター側で個人の識別が不要な分析、研究、または集計
分割処理	高 — 第三国の単一の事業体がデータセット全体を保有することはありません	マルチパーティ計算、または複数の法域にまたがる分割処理
トランスポート層暗号化（TLS 1.3）	中 — 転送中のデータは保護しますが、保存中のデータの強制開示は防げません	すべての移転における基本的な措置。リスクの高い法域では、これだけでは不十分です

契約上の措置

措置	有効性	適用されるシナリオ
不均衡な政府アクセス要請に異議を申し立てる義務	中 — 仕向国における法的地位および司法の独立性によって異なります	すべてのSCCに基づく移転（第15条によりすでに義務付けられています）
受領した政府アクセス要請に関する透明性義務	中 — 可視性は確保しますが、アクセスを防止するものではありません	すべての移転
移転元または独立監査人が行使できる監査権	中 — コンプライアンスを検証しますが、事後的なものです	すべての移転
ワラント・カナリア（定期的な透明性レポートを公開するという約束）	低〜中 — 間接的なシグナルを提供しますが、アクセスを防止するものではありません	口外禁止命令が適用される可能性のある米国への移転

組織的措置

措置	有効性	適用されるシナリオ
移転されたデータにアクセスできる者を制限する厳格な内部アクセス方針	中 — 政府がアクセスできる可能性のある範囲を縮小します	すべての移転
政府アクセス要請に関する定期的な透明性レポート	中 — 説明責任を確保します	すべての移転
政府アクセスのシナリオに関するデータ保護影響評価	中 — リスクを事前に特定します	高リスクの法域への移転
輸入者によるISO 27001/27701認証の取得	中 — セキュリティおよびプライバシー管理策を独立して検証します	すべての移転

ステップ5：補完的措置を採用する場合の手続き

1. 補完的措置をSCCの附属書または別途の追加条項に記録します。
2. 移転を開始または継続する前に、技術的措置を実施します。
3. 補完的措置を反映した契約上の修正を締結します。
4. 輸入者が措置を実施するための技術的能力および法的能力を有することを確認します。
5. 必要な場合、所管SAに通知します（第46条第3項(a)に基づくアドホックな契約条項の場合）。

ステップ6：適切な間隔で再評価する

1. TIAの定期的な見直しを予定します。最低でも年1回、または以下のいずれかが発生した場合に実施します。
   • 政府アクセスに影響する新たな法律が仕向国で制定された
   • プライバシー保護に影響する裁判所の判決が仕向国で下された
   • ECの十分性認定をめぐる状況に変化があった
   • EDPBまたは各国SAのガイダンスが更新された
   • 移転されるデータの性質、量、または機微性に重大な変化があった
   • 輸入者が政府アクセス要請を受領した
2. 各再評価について、日付、契機、所見、および補完的措置への変更を記録します。
3. 再評価の結果、実効的な保護を確保できないと結論づけられた場合、移転を停止し、所管SAに通知します。

国別評価の概要

米国

要素	評価
主な監視関連法令	FISA第702条、EO 12333、CLOUD Act、国家安全保障関連書簡（18 USC 2709）
必要性／比例性	EO 14086（2022年10月）により、必要性および比例性の要件が導入されました。すべての信号情報活動に適用されます
独立した監督	FISC（第702条に関する事前承認）、PCLOB（監督）、DPRC（EUデータ主体への救済）
救済措置	EO 14086に基づきDPRCの仕組みが設けられ、拘束力のある決定が行われます
総合評価	輸入者がDPF認証を取得している場合：十分性認定が適用されます。DPF認証を取得していない場合：補完的措置（暗号化、契約上の透明性）を伴うSCC

中華人民共和国

要素	評価
主な監視関連法	サイバーセキュリティ法（第28条、第37条）、国家情報法（第7条、第14条）、データセキュリティ法（第35～36条）、PIPL（第38～43条）
必要性／比例性	国家情報法第7条は広範な協力義務を課しています。明示的な比例性要件はありません
独立した監督	情報機関によるアクセスに対する独立した司法監督はありません。検察機関の監督は国家から独立していません
救済措置	外国のデータ主体が国家監視に対して利用できる司法上の救済措置は限られています
総合評価	リスクは高く、補完的措置には、鍵をEUが保持する強力な暗号化を含める必要があります。移転前のデータ最小化と仮名化を検討してください。一部のデータカテゴリーでは、実効的な保護を確保した移転が不可能な場合があります

インド

要素	評価
主な監視関連法	2000年IT法第69条（傍受）、1885年電信法第5条、2023年DPDP法第36条（政府の適用除外）
必要性／比例性	第69条は大臣の承認を求めていますが、比例性審査は限定的です。CMS（中央監視システム）を通じた大規模監視の能力があります
独立した監督	傍受に事前の司法承認は必要ありません。審査委員会は行政機関が任命します
救済措置	IT法に基づく救済措置は限られています。高等裁判所の令状管轄権は利用できますが、実際の利用には制約があります
総合評価	リスクは中～高で、補完的措置には暗号化、契約上の透明性、監査権を含める必要があります。TIAでは、データカテゴリーと輸入者のプロファイルに基づき、具体的なリスクを評価する必要があります

香港特別行政区

要素	評価
主な監視関連法	通信傍受および監視条例（第589章）、国家安全維持法（2020年）、国家安全維持条例（2024年）
必要性／比例性	第589章は傍受に司法承認を求めています。ただし、国家安全維持法は、比例性審査が限定的な広範な権限を定めています
独立した監督	通信傍受・監視委員会が第589章に基づく監督を行います。国家安全維持法に関する事案は指定裁判官が扱います
救済措置	第589章に基づく司法審査を利用できます。国家安全維持法に基づく実効的な救済措置は限られています
総合評価	リスクは中程度です（国家安全維持法の制定以降、高まっています）。補完的措置には暗号化と契約上の義務を含める必要があります。データの機微性と政府の関心を引く可能性を評価してください

TIAの文書化要件

各TIAは文書化し、以下を含める必要があります。

1. 移転の特定（ステップ1：データのマッピング）
2. 移転メカニズムの詳細（ステップ2：分析）
3. 移転先国の法的評価（具体的な法令の引用を含む）（ステップ3）
4. 特定した各法令についての欧州必須保証の分析（ステップ3）
5. 特定した補完的措置とその根拠（ステップ4）
6. 補完的措置の実施状況（ステップ5）
7. 再評価のスケジュールと実施条件（ステップ6）
8. 総合的な結論：移転可能／補完的措置を講じれば移転可能／移転を一時停止する必要がある
9. DPOまたはデータ保護責任者による承認
10. すべての更新と再評価を追跡するバージョン履歴