個人データをEUから米国に越境移転するための枠組みである「EU－US プライバシー・シールド」。なぜ誕生し、どのような仕組みになっているのか。本プレゼンテーションは、「EU－USプライバシー・シールド」を概観したものである。

1. ＥＵ－ＵＳ プライバシー・シールド
2016年12月
ニューヨーク州弁護士
望月 健太
ー個人データをＥＵから米国に越境移転するための枠組みー
Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

2. なぜ二国間の枠組みが必要なのか？ー 米国の事情（１）
2Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.
 米国の個人情報保護制度
（１）連邦レベルでは、約20のセクターや媒体毎のプライバシー・デー
タ保護法が存在
（２）州レベルでは、50州および地域の間で数百のプライバシー・デー
タ保護法があり、それぞれが特定の問題や産業における個人デー
タの取扱いを規定
（３）連邦取引委員会（FTC）の規制企業は、 「重大な不公正又は欺瞞
的な取引慣行（materially unfair or deceptive trade practices）」を
行った場合、FTCによる執行に服する
※EUのように「フリーサイズの（one-size-fits-all）」データ保護法がな
く、「パッチワーク」と揶揄されていることからも、データプライバシー
や保護の枠組みについてEUとは異なるアプローチを有しているため、セー
フハーバー協定、そしてプライバシーシールドのような形を採ったとされ
ている。

3. なぜ二国間の枠組みが必要なのか？ー 米国の事情（２）
 米国では、政府関連情報の保存に関するものを除き、地理的な移転
制限はない
※米国合衆国憲法上の「州際通商条項（Commerce Clause）」が各州
に対しデータ移転制限を課すことを妨げているとみられ、米国国内法
のレベルでその他そのような制限を課すものはない。
3
 米国合衆国憲法の「州際通商条項（Commerce Clause）」に基づき、連邦議会
は広範な州際的・全国的活動を規制する立法権を与えられている。
 連邦議会が、ある問題について立法を行った場合、その事項は連邦の専占事
項（preemption）とされ、これに反する州又は地方自治体の法規は無効とな
る。
 連邦議会による立法がなされていない場合であっても、州又は自治体の法規
が州際的・全国的な通商の流れを阻害するなど、州際的・全国的に統一な規
制を要するような性質の問題に関する場合は、合衆国憲法の「州際通商条
項」違反になるとされる。
Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

4. 「プライバシー・シールド」成立までの経緯（１）
 EU-USプライバシー・シールドとは、従前の「セーフハーバー協
定」を見直すもの
（１）2000年7月、欧州委員会は、米国商務省が示した「セーフ
ハーバー・プライバシー原則 （U.S.-EU Safe Harbor
Privacy Principles）」と「セーフハーバー・プライバシー原
則に関するよくあるQ&A（Frequently Asked Questions
(FAQs)」に基づくデータ移転について、十分な保護水準に該
当すると決定し（セーフハーバー協定）、同決定は同年11月
に発効。
（２）2013年7月19日、欧州委員会のレディング副委員長は、ス
ノーデン事案を受け、セーフハーバー協定の見直しに着手
（同年11月27日のコミュニケーションで協定の弱点を指摘
し、13の勧告）。
（３）見直しが本格化したのは、2015年10月6日、セーフハーバー
協定を無効としたShrems事件欧州司法裁判所（ECJ）判決以
降。
4Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

5.  その後の経緯
・2015年10月26日：欧州委員会は、既存のセーフハーバー協定の見直
しを行うことについて原則合意したと発表
・2015年11月 6日：米国への個人データの移転に関して、今後3か月
以内に妥結を目指す新たな枠組みが施行されるま
で、合法的に越境データ移転を行うためのガイド
ラインを公表
・2016年2月2日：”EU-U.S. Privacy Shield”政治合意
・2016年2月29日：”EU-U.S. Privacy Shield”パッケージの公表
・2016年7月12日：”EU-U.S. Privacy Shield”に対する欧州委員会
の十分性認定
・2016年8月 1日：米国商務省国際貿易局がこの枠組みへの参加を希望
する企業からの申請受け付けを開始
5
「プライバシー・シールド」成立までの経緯（２）
Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

6. 「プライバシー・シールド」の構成文書
 Annex1：米国商務省商務長官からの書簡、商務省国際貿易局（ITA）からの
書簡
 Annex2：米国商務省発出のプライバシー・シールドの枠組み原則（仲裁モデ
ルに関する付属有）
 Annex3：オンブズマン制度に関する米国務長官の書簡（付属有）
 Annex4：プライバシー・シールドの執行に関する米国連邦取引委員会の書簡
 Annex5：プライバシー・シールドの執行に関する米国運輸長官の書簡
 Annex6：米国の国家安全保障当局に適用されるセーフガードと制限に関する
国家情報長官の書簡
 Annex7：法執行や公益を目的とした米国政府によるアクセスに関するセーフ
ガード及び制限に関する司法省の所管
6
☆こうしたEU-US間の政治合意に基づく文書のパッケージに対し、欧州委員会が
「十分性認定」を実施。
☆この十分性認定に関する文書（C/2016/4176）の第1条には、「For the purposes of
Article 25(2) of Directive 95/46/EC, the United States ensures an adequate level of
protection for personal data transferred from the Union to organisations in the United
States under the EU-U.S. Privacy Shield. 」と規定。
Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

7. プライバシー・シールド」の仕組み
 EU-US プライバシー・シールドでは、米国商務省によって
発出された「Framework Principles」及び「Supplemental
Principles」（以下、合わせて「Privacy Principles」）にコ
ミットすることを米国の団体（以下、便宜的に企業）が
自己認証するシステムを採用
 このシステムは「Privacy Principles」の発出元である商務
省が管理
 「Privacy Principles」の執行面については、①連邦取引委
員会（FTC）及び②運輸省が主に担当
7Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

8. 米国企業がEU域内から個人データを持ち出すには？（１）
 EU-US プライバシー・シールドの枠組みを利用するか否か
は企業次第
 EU-US プライバシー・シールドの枠組みを利用したい企業
は、商務省に対し、毎年、自己認証（self-certify）を行い、
認定されなければならない
 商務省に認定されれば、「Privacy Shield List」に加えられ
る
 商務省が「Privacy Shield List」の管理を行う
8Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

9. 米国企業がEU域内から個人データを持ち出すには？（２）
 商務省に自己認証企業であると認定され、「Privacy Shield List」に入
るためには、以下の情報を含む「自己認証書面（self-certification
submission）」を提出する必要：
（１）企業の情報（住所や連絡先）
（２）企業の活動（EUから受け取る個人情報との関連で）
（３）プライバシー・ポリシー
①ウェブサイトにあればそのアドレス、なければどこで閲覧可能か
②発効日
③プライバシー・シールドの下で生じた申立やアクセス要請等を取
り扱う窓口
④企業による不履行に関する申立を受理する管轄権
⑤参加しているプライバシー・プログラム
⑥認定方法（企業内又は第三者）
⑦独立の救済メカニズム（recourse mechanism）
9Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

10. 民間セクターの義務の強化
 透明性の強化
 企業による履行の確保のための監視メカニズム
 企業による義務の不履行の場合の制裁や排除
 EUからの個人データの持ち出しに関する条件の厳格化
10Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

11. 欧州市民のための法的救済
 自己認証を行った米国企業がプライバシー原則（Privacy Principles）
に違反した場合、欧州のデータ主体はその企業に対して申立を行う
ことができ、その企業は45日以内に回答しなければならない
 欧州のデータ主体は、裁判外紛争解決手続（ADR）を無料で利用でき
る
 EUのデータ保護当局（DPA）は、欧州市民の申立が未解決の場合、そ
れがしっかりと調査され迅速に解決されるよう、米国商務省及び連
邦取引委員会（FTC）と協力する
 最後の手段として仲裁手続があり、執行可能な決定を出すことがで
きる
11Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

12. 米国政府による個人情報のアクセス
 米国当局による、欧州のデータ主体の個人データへのア
クセスについては、①明確な制限、②保護措置、③監視
メカニズムに服することを書面で確約
 無差別かつ大規模な監視を行わないことを確約
 企業は政府によるアクセス要請の大凡の数を報告できる
 欧州市民からの申立を処理解決する独立のオンブズマン
制度
12Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

13. モニタリング・メカニズム
 年次の共同レビューメカニズム
（１）①欧州委員会・②米国商務省・③米国の国家情報当
局・④欧州のデータ保護当局で、プライバシー・
シールドが適切に運用されているかを監視
（２）NGOsや利害関係者とともに、年次の「プライバ
シー・サミット」を開催し、米国プライバシー法の
状況やその欧州への影響について議論
（３）欧州委員会は、年次レビューに基づき、欧州議会と
欧州理事会に報告書（public report）を提出
13Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

14. 参考：EU-US プライバシー・シールドの十分性認定
14
 プライバシー・シールドの実施のためには、このプライバシー・
シールドそれ自体に対する欧州委員会の十分性認定が必要
 十分性が認定されれば、28のEU加盟国から米国に、追加の制約なく
個人データを越境移転可能
欧州委員会の
提案（Draft
Adequacy
Decision）
第29条作業部会
意見
加盟国の多数決
による第31条専
門委員会の意見
欧州議会による
30日間の調査
欧州委員会委員
合議体（College
of
Commissioners）
による採決
Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.
十分性認定の流れ

15. 参考文献
 DLA PIPER, Data Protection Laws of the World, https://www.
dlapiperdataprotection.com/system/modules/za.co.heliosdesig
n.dla.lotw.data_protection/functions/handbook.pdf?country=al
l (as of December 2016）
※その他、EUや米国商務省のウェブページに掲載されている公式情
報・文書を適宜参照。
15Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.

16. 16Copyright (c) 2016 Kenta Mochizuki. All Rights Reserved.
Kenta Mochizuki (Mr.)
Attorney at Law (New York)
Profile:
https://www.intgovforum.org/multilingual/conten
t/mochizuki-kenta
Thank you for your kind attention.