バイデン米政権、「EU米データ・プライバシー枠組み」実施に必要な米国側の手続きを完了

米国のジーナ・レモンド商務長官は7月3日、米国・EU間の新たなデータ移転枠組みとなる「EU米国データ・プライバシー枠組み（DPF）」に関して、実施に必要な米国側の手続きが完了したと発表した。これにより、EU側でDPFの最終的な採択が可能になる見込みだ。

EUは、一般データ保護規則（GDPR）に基づき、EUを含む欧州経済領域（EEA、注1）から域外の第三国への個人データの移転を原則違法としている。例外的に適法と認められるのは、欧州委員会が移転国に対して「十分性（注2）」を認定するなど、適切な保護措置が認められた場合に限る。EUと米国の間では「プライバシー・シールド」と呼ばれる措置を導入して個人データの移転を可能としていたが、EU司法裁判所（CJEU）が2020年7月に同措置を無効と判断した。これを受け、EUと米国は2022年3月に新たな枠組みとなるDPFに原則合意した（2022年3月28日記事参照）。

DPFの実施に向け、米国のジョー・バイデン大統領は2022年10月、通信を利用した諜報（ちょうほう）活動の制限や、個人情報が不当に取り扱われたと主張する個人のための救済制度の導入を定めた大統領令に署名した（2022年10月11日記事参照）。これを受け、欧州委は審査を行い、同年12月にDPFの十分性を認定する決定案を発表していた（2022年12月15日記事参照）。

レモンド長官の声明によると、メリック・ガーランド司法長官と国家情報長官室（ODNI）が、大統領令に基づいてDPFの実施に必要な措置をそれぞれ講じた。ガーランド長官は2023年6月30日、EEA参加国を救済制度の対象国に指定した（注3）。この指定は、EUがDPFの十分性認定の決定を採択した時点で有効となる。また、ODNIは7月3日、米国の情報機関が大統領令で定められた政策や手続きを採用したことを確認した。ODNIの発表によると、中央情報局（CIA）や連邦捜査局（FBI）などの情報機関が、それぞれの権限や任務に応じた手続きを個別に策定した。

レモンド長官は声明で、これらの措置は「個人の権利とデータを保護しつつ、米国・EU間のデータ流通を促進するという、両者の共通のコミットメントを反映している」と指摘した。

（注1）EU加盟国とノルウェー、アイスランド、リヒテンシュタイン。

（注2）法整備などに基づき、十分に個人データ保護のための措置を講じていることを意味する。

（注3）救済制度の対象は、司法長官が指定する国・地域から米国に移転された個人データに関する主張に限られる。

（甲斐野裕之）