EU-米国データ・プライバシー枠組に対するEU委員会の妥当性決定後の実務的意味合い 🔒

2023 年 7 月 10 日、欧州委員会は EU-U.S. DPF に関する妥当性決定を採択したが、これは EU から米国内の組織への移転に運用上どのような意味を持つのか。

✉️ 個人データの移転は、標準契約条項（SCC）や拘束力のある企業規則（BCR）のような適切な保護措置を必要とすることなく、EU-米国DPF参加者として認定された米国の組織に対して行うことができるようになった。

🏢 DPFに参加するためには、米国の組織が参加資格を有し、DPFに準拠したプライバシーポリシーを採用するなど、DPFの基本的なプライバシー原則に準拠していることを証明する必要があります。自己認証はDPFのウェブサイトを通じて行うことができますが、認証は米国商務省（DoC）から付与されるまでは有効ではありません。

📠 DoCは、プライバシー・シールドの積極的な参加者が直ちにEU-米国DPFに依拠できることを確認した。そのような組織は、2023年10月10日までに、EU-米国DPFおよびその原則への依存を反映したプライバシー通知を更新する必要がある。EU-U.S. DPFの原則への準拠を希望しない組織は、脱退手続きを行う必要がある。

🛡️ EU-U.S. DPFの参加者でない米国を拠点とする組織への移転は、妥当性決定に基づくことはできない。そのような移転には、SCC（移転影響評価を含む）やBCRといった適切な保護措置が引き続き必要となる。

🇬🇧🇨🇭 EUの妥当性決定が英国やスイスに利益をもたらすことはない。英国は最近、英国と米国のデータブリッジへのコミットメントを改めて表明したが、妥当性決定が下されるまでは、英国／ジブラルタルから米国への移転には依然としてSCCに対するIDTAまたは英国の補遺が必要である。スイスも同様である。両国の妥当性決定は間もなく出される予定である。

🏛️ EUと米国のDPFは重要な一歩を踏み出したと言えるが、さらなる法的挑戦が行われるのはいつになるのだろうか。