近年、企業が国境を越えて事業活動を行うことはますます一般的になっています。例えば、従業員情報が海外に所在する親会社と共有されたり、サービスプロバイダーが複数の海外拠点からサービスを提供したりすることがあります。個人データの越境移転は日常業務の一部となっています。
英国のデータ保護法では、個人データが英国外へ移転される場合でも、十分な保護が維持されることを組織に求めています。適切な保護措置が講じられていない場合、個人データの越境移転は法令上の義務違反につながるおそれがあり、企業は高額な規制当局の制裁金やレピュテーションの毀損のリスクにさらされる可能性があります。
本記事では、個人データの越境移転の概要と、組織が法令遵守のために講じるべき実務上の対応について解説します。
制限対象となる越境移転（restricted international transfer）とは何か
制限対象となる越境移転とは、英国GDPRの保護対象となる個人データが、英国外に所在する別の法人に送付される、またはアクセス可能な状態にされる場合を指します。
制限対象となる越境移転に該当する可能性のある一般的な例として、以下が挙げられます。
- 従業員データを海外の親会社や関連会社と共有すること
- 海外の給与計算、人事またはITサービスプロバイダーを利用すること
- 英国外でホスティングされるクラウドシステム上に個人データを保存すること
多くの組織は、データが物理的に他国へ送信された場合のみ移転に該当すると考えがちです。しかし、英国外からのリモートアクセスも越境移転に該当する可能性があり、同様の観点から検討する必要があります。
十分性認定（adequacy）の新しいアプローチとは
個人データを国外に移転する最も簡単かつ適法な方法は、英国政府によって十分な水準のデータ保護基準を有すると認められた国へ移転することです。
これまで、十分性の評価は移転先の国の法制度が英国および欧州のデータ保護基準と実質的に同等であるかどうかに着目していました。この考え方は、欧州諸国から欧州域外の国への移転については現在も維持されていますが、英国では2025年データ（利用及びアクセス）法（Data (Use and Access) Act 2025：DUAA）の施行によりアプローチが変更されました。現在では、移転先の国におけるデータ保護基準が英国と比較して「実質的に低くない（not materially lower）」場合にも十分性認定を行うことが可能となっています。この変更は、個人データ保護を維持しつつ、国際的なデータ流通を促進するために、より柔軟で結果重視の評価を可能にすることを目的としています。
適切な保護措置（Appropriate Safeguards）
移転先の国が英国の十分性認定の対象でない場合、個人データを移転する前に適切な保護措置を講じる必要があります。適切な保護措置とは、英国外への個人データ移転を適法に行うための仕組みです。
一般的に利用される主な保護措置として、以下があります。
１．越境データ移転契約（International Data Transfer Agreement：IDTA）
越境データ移転契約は、十分性認定を受けていない国への英国からのデータ移転に使用される標準契約の仕組みです。越境データ移転契約では当事者双方に契約上の義務を課し、移転される個人データが適切な保護を受けることを確保するよう設計されています。
２．EU標準契約条項（SCCs）に対する英国補遺（UK Addendum）
多国籍企業の多くは、欧州域内から域外への個人データ移転に際して、欧州委員会の標準契約条項を利用しています。英国補遺は、Brexitによる英国のEU離脱後も、英国外への個人データ移転において標準契約条項を継続利用できるようにするために設計されています。これは、英国GDPRとEU GDPRの双方の要件を1つの契約上の枠組みの中で対応したい場合に特に有用です。
３．拘束的企業準則（Binding Corporate Rules：BCRs）
大規模な多国籍企業グループでは、異なる国に所在するグループ会社間で、適切な水準のデータ保護を確保しつつ個人データを移転するために、拘束的企業準則を採用することがあります。承認取得には多くのリソースが必要となるものの、大規模な国際事業を展開する組織にとっては、長期的かつ効果的なソリューションとなる可能性があります。
移転リスク評価（Transfer Risk Assessment：TRA）
組織は、個人データについて移転後の保護基準が英国における保護基準と比較して実質的に低いものにならないことを確認するために、移転リスク評価も実施する必要があります。
従来、移転リスク評価では移転先の国のデータ保護基準が英国と「実質的に同等（essentially equivalent）」であることを確認する必要がありました。しかし、DUAA施行後は、移転先の国の保護基準が英国と比較して「実質的に低くない（not materially lower）」ことを確認すればよいとされています。この変更により、制限対象となる越境移転に対してより柔軟なアプローチを採ることが可能になると期待されています。ただし、移転リスク評価の結果として保護基準が英国と比較して実質的に低いと判断された場合には、その移転を行うことはできません。
企業における実務上の留意点
十分性認定および移転リスク評価に関する変更を踏まえ、企業はプライバシーガバナンスに関する文書や各種テンプレートを見直し、必要な改訂がないかを確認する必要があります。
また、英国とEUの双方で事業を行う企業は、英国GDPRとEU GDPRの越境移転要件が類似している一方で、完全に同一ではないことに留意する必要があります。
一方の法域で適切な移転スキームが、もう一方の法域の要件を自動的に満たすとは限りません。
3CSにできること
越境データ移転に関するコンプライアンス対応は、特に複数の法域で事業を展開している組織や、複数の第三者サービスプロバイダーを利用している組織にとって複雑な課題です。3CSでは、以下の支援を提供しています。
- 英国GDPRおよびEU GDPRに基づく移転リスク評価の実施および文書化
- データフローのマッピング
- 越境データ移転契約の作成およびレビュー
- 標準契約条項の導入支援
- 越境データ移転に関するコンプライアンス戦略についての助言
また、以下のサービスも提供しています。
- プライバシーコンプライアンス監査
- 従業員向け研修
- ガバナンス体制のレビュー
- プライバシーに関する通知の作成支援
- データ処理契約の作成支援
- 処理活動記録の作成支援
- その他の主要なデータ保護関連文書の作成支援
企業グループ内での従業員情報共有、新たな海外サービスプロバイダーの利用、またはグローバルコンプライアンス体制の見直しを検討している場合でも、実務的かつバランスの取れた解決策の策定を支援いたします。
ご相談やアドバイスをご希望の方は、ぜひお問い合わせください。
