GDPR・DPA対応の基本｜日本企業の適用範囲と越境移転の契約

こんにちは！Legal Agent代表弁護士の朝戸です。

EUの企業にSaaSを提供しようとしたところ、通常の利用契約に加えてDPAの締結を求められた。日本の個人情報保護法には対応しているものの、どの条項を受け入れ、どこを修正するべきか分からない。海外取引では、このように契約交渉を通じてGDPRへの対応が具体的な課題になることがあります。

検討の出発点は、自社にGDPRが直接適用されるか、相手のためにどのようなデータを扱うか、データがどの国へ移るかを分けて確かめることです。DPAとSCCは、それぞれ異なる問題を扱う契約です。日本に対する十分性認定がある場合でも、すべての契約上・法令上の対応が不要になるわけではありません。今回は、日本企業が確認したい適用範囲と、契約交渉で押さえたい点を説明します。

GDPRの適用範囲と国内法との相違

GDPR第3条により、GDPRは、EU域内の拠点の活動に関連して行われる個人データの処理に適用されます。処理を実際に行う場所がEUの外であっても、この点は変わりません。ただし、EUに子会社があるという事実だけで、日本本社のすべての処理に一律にGDPRが及ぶわけではありません。各社の役割と、対象となる処理がEU拠点の活動にどう関係するかを確認します。

EUに拠点がない企業についても、EUにいる個人に対する物品・サービスの提供、又はEU域内で行われる行動の監視に関連する処理は、適用対象になり得ます。ここで着目するのは、原則として対象者がEUにいることです。国籍や「EU居住者」という属性に加え、対象となる処理と本人の所在との関係を確認します。

例えば、EU向けに広告を出し、現地配送と現地通貨での決済を用意するEC事業は、サービス提供の対象を検討する必要があります。他方、日本語のウェブサイトへEUからアクセスできるという事情だけでは足りません。GDPR前文第23項が示す言語、通貨、EUの顧客への言及などを、サービスの実態と併せて判断します。閲覧履歴の追跡やプロファイリングも、EUで行われる行動を監視する処理かどうかを確認します。

日本の個人情報保護法とGDPRには、具体的な要件に違いがあります。GDPRでは、第6条に定める処理の法的根拠を選び、通知事項や本人の権利への対応を検討します。契約の履行や正当な利益など、同意以外の法的根拠も定められているため、根拠ごとの要件に沿った判断が必要です。

国内向けのプライバシーポリシーを英訳する際も、GDPR第13条・第14条の通知事項を点検します。法的根拠、保存期間、権利行使の方法、国外移転などの記載を確認します。営業部門が受け取ったDPAは、法務と運用担当者が協力し、実際のデータの使い方と照合することが大切だと考えています。

十分性認定と補完的ルール

2019年1月23日、日EU間の個人データ移転に関する枠組みが発効しました。欧州委員会による日本への十分性認定は、その認定の対象となる日本の受領者への移転について、GDPR第45条に基づく移転を可能にするものです。認定の対象に入る移転であれば、通常、移転のために別途SCCを締結する必要はありません。

十分性認定を利用する際は、受領者やデータの取扱いが認定の範囲に入るかを確認する必要があります。また、委託に関する第28条の契約や、日本企業に直接適用されるGDPR上の義務を免除するものでもありません。「日本は十分性認定を受けているため、DPAも不要」とは判断できません。

日本の事業者が十分性認定に基づいてEU又は英国から移転を受ける個人データには、個人情報保護法に加えて、個人情報保護委員会の補完的ルールが適用されます。2022年4月施行のルールは、要配慮個人情報、利用目的の特定と目的による制限、外国にある第三者への提供、匿名加工情報について規律を設けています。

例えば、性的指向や労働組合への加盟に関する情報など、補完的ルールによって要配慮個人情報として扱う情報があります。また、EU等から移転されたデータを国内の別の事業者から受領する場合も、当初の利用目的を記録から確かめ、その範囲で取り扱う必要があります。国内で受け渡しをしたことだけを理由に、元の利用目的との関係を切り離すことはできません。

そのため、海外由来のデータが混在する顧客管理システムでは、取得元、移転の根拠、利用目的、再提供先を追える状態にしておくことが、契約上の約束を守るためにも役立ちます。補完的ルールが適用されるデータの範囲を、社内の運用担当者が識別できるようにすることが重要です。

DPAで定める処理の範囲と委託条件

DPAは、個人データの処理に関する当事者間の合意です。GDPR第28条では、管理者が処理者に処理を委ねる場合について、電子形式を含む書面による契約等を求めています。相手からDPAという名称の書類を渡されたとしても、まず管理者・処理者という役割分担が実態に合っているかを確かめます。

管理者は、処理の目的と手段を決定する者です。処理者は、管理者のために個人データを処理する者です。日本の「委託元」「委託先」という呼び方と常に一対一で対応するとは限りません。例えば、受領したデータを自社の独立した目的で利用する場合、その処理についてまで相手の指示に従う処理者として扱ってよいか、検討が必要です。

第28条の契約では、処理の対象と期間、性質と目的、個人データの種類、本人の類型、管理者の権利・義務を特定します。その上で、記録された指示への従属、取扱担当者の秘密保持、安全管理措置、本人の権利行使への協力、漏えい対応等への支援、監査に必要な情報提供などを定めます。抽象的に「GDPRを遵守する」と記載するだけでは、必要な内容を満たしているか確認できません。

再委託先については、管理者による事前の個別又は一般の書面による承認が必要です。一般的な承認を用いる場合には、再委託先の追加・変更予定を知らせ、管理者に異議を述べる機会を与える仕組みを設けます。このように、クラウド事業者の再委託先の変更には、一般的な承認を用いて対応する余地があります。通知方法、通知から変更までの期間、異議が出た場合の対応を契約と運用で合わせます。

契約終了時には、原則として管理者の選択に従ってデータを削除又は返還し、既存の複製も削除することを定めます。ただし、EU法又は加盟国法が保存を求める場合の例外もあります。バックアップの削除時期、保持中の利用制限、削除の確認方法は、提供できるサービスと矛盾しないよう具体化しておきます。

自社がGDPRの直接適用を受けない場合でも、取引先の法令対応のためにDPA上の義務を負うことはあります。法令が自社に直接課す義務と、契約で引き受ける義務を分けて確認すると、監査範囲、事故通知の期限、費用負担や責任の上限について交渉する際の論点が明確になります。

SCCと第三国への移転

SCCは、欧州委員会が採択する標準契約条項です。2021年の国外移転用SCCは、十分性認定がない国への移転などにおいて、GDPR第46条の適切な保護措置を確保するための手段の一つです。企業グループ内の移転では拘束的企業準則が問題となることもあり、第49条の例外が適用される場面もあります。各移転について、どの手段の要件を満たすかを確認します。

DPAが主に管理者と処理者の間の取扱条件を定めるのに対し、国外移転用SCCは移転先での保護を扱います。両者には重なる条項もありますが、どちらか一方を締結すれば、他方の検討がすべて不要になるとは限りません。

2021年のSCCには、管理者から管理者、管理者から処理者、処理者から処理者、処理者から管理者という四つの組合せに対応するモジュールがあります。データの輸出者・輸入者の役割と、その処理についてGDPRが適用される範囲を確かめた上で、使用できる条項を選びます。受領者の処理自体にGDPRが適用されるかどうかも、既存のSCCを利用する際の確認事項です。

SCCを利用する際は、契約内容と移転先の状況を照合する作業も必要です。移転先国の法制度や実務、移転の状況を評価し、必要に応じた補完的措置を検討します。公的機関からの開示要請への対応、暗号化、アクセス権限、データを保有する場所など、契約で約束した保護を実際に提供できるかが問われます。

EUから日本へ移転されたデータを、さらに別の国のクラウド事業者へ渡す場合も注意が必要です。日本の個人情報保護法と補完的ルールに基づく外国第三者提供の条件を確認し、対象となる処理にGDPRが適用される場合には、その国外移転規制も検討します。最初のEU・日本間の移転に十分性認定を使えたことだけでは、その後の移転の条件まで満たしたことにはなりません。

データの流れに沿った対応手順

実務では、最初に対象サービスのデータの流れを書き出します。収集する情報、本人の所在、取得元、利用目的、保存先、アクセスできる拠点、委託先・再委託先、削除時期を確認します。クラウドの保存リージョンだけでなく、他国の保守担当者によるアクセスなども把握することが大切です。

次に、各処理について管理者・処理者の役割を定め、GDPRの適用、処理の法的根拠、通知、契約、国外移転の条件を対応させます。生成AIを組み込んだサービスであれば、入力データをサービスの提供だけに使うのか、モデルの学習や別の分析にも使うのかを確かめます。実際の二次利用と「指示された処理だけを行う」というDPAの約束が食い違わないようにします。

契約の確認では、顧客に約束する条件と、クラウド等の供給先から得られる条件を比較します。顧客へ24時間以内の事故通知を約束しても、供給先から情報を受け取るまでにそれ以上かかる運用では、契約を守ることが難しくなります。通知の起点、判明している情報だけで行う初報、追加報告の方法を含め、対応できる条件に調整します。

その上で、必要に応じてEU域内代理人、データ保護責任者、処理活動の記録などの要否を検討します。対象となる日本企業の範囲は義務によって異なるため、適用要件と例外を個別に確認します。新しい国への展開、再委託先の変更、AI機能の追加があったときには、最初に作成したデータの流れと契約条件を更新します。

GDPR対応を、海外企業から届いた契約書への署名だけで終わらせることはできません。自社がどのデータを、誰のために、どこで扱うかを明らかにし、その実態に合う通知、契約、安全管理措置をそろえることが、継続して対応できる体制につながると考えています。