国際データ移転とは、欧州経済領域外の受領者に個人データを提供することを指します。これは許可されていますが、GDPRに基づく保護レベルが実際に損なわれない場合に限ります。
法的根拠
GDPR第5章はデータ移転を規定しています。第45条は、欧州委員会の十分性認定を受けた国へのデータ移転を許可しています。米国については、EU-米国データプライバシーフレームワークが2023年7月10日から適用されており、認定を受けた組織のみが対象となります。第46条は適切な保護措置を列挙しており、その中でも2021年標準契約条項が最もよく使われており、拘束力のある企業規則も併せて使用されています。第49条は、例外的なケースに対する例外規定を定めています。2020年7月16日のシュレムスII判決以降、文書だけでは不十分であり、受領国の法律の評価、データ移転影響評価、および必要に応じて欧州で保管される鍵による暗号化などの補足措置が必要となります。
それが実際にどのように機能するか
最初のステップは、データが実際にどこに保存されているか、そして誰がアクセスできるかを明確にすることです。これには、ヨーロッパ以外の地域からのサポートも含まれます。最後の点はしばしば見落とされがちですが、サポートチームによるリモートアクセスもデータ転送の一種です。次に、ツールの選択と評価を行い、書面で記録する必要があります。契約書には、サプライヤーがデータの保存場所やサブプロセッサーの変更を通知する義務を規定すべきです。
どこで問題が発生するのか
組織は、サプライヤーの認証が実際に当該サービスを網羅しているかどうかを確認せずに、その認証を鵜呑みにしている。2つ目の誤りは、標準契約条項に署名する際に付属書類を記入せず、処理内容の説明が欠落していることだ。3つ目は、説明責任の原則がまさにそれを求めているにもかかわらず、評価が文書化されていないことである。
関連用語
データ転送は、データ処理契約、データ保護影響評価、およびSaaS契約に関連しています。
ご自身のデータがどこに保存されているかご存知ですか？当社のIT法務専門家が、データの移転経路と保護対策を詳細に分析します。
