日本貿易振興機構（JETRO）は11月17日付の短信で、欧州委員会が12日にEU一般データ保護規則（GDPR）で利用される標準契約条項（SCC）の改定案を発表したことを報じました。

SCCとは、個人データの欧州経済領域（EEA）外への移転をGDPR上適法化するための手段の一つであり、欧州委員会が決定したデータ移転契約のひな型です。

今回の改定の背景には、今年7月にEU司法裁判所が出した「プライバシー・シールド」の無効判決があります。「プライバシー・シールド」は、米国企業が強力な個人情報保護ルールと保護条項に則っている場合、EUから当該企業への個人情報移転を認めるというもの。7月の判決では、米国内法上の個人データの保護がEU法上の保護と同水準とは認められないとして、「プライバシー・シールド」は無効とされました。

一方、判決ではSCCを利用したデータ移転は引き続き有効であるとされました。ただし、その場合にも、データ管理者は移転先の法律に基づく保護がEU法上の保護と同水準であることを確かめる必要があるとされました。

さらに、SCCに含まれる保護措置がEU法上の保護水準を満たすかどうかを検証し、十分でない場合には実効的な措置を追加する必要があるとされました。今回の欧州委員会の改正案は、これを受けたものです。

今回公表された改正案は、欧州データ保護会議（EDPB）などの意見を踏まえ、加盟国の承認を得た後、正式決定されることになります。