第1回：個人データの第三国移転パターンに応じたSCCモデル条項の使い分け

ケース1：域内管理者－第三国管理者のケース

最もシンプルな第三国移転の例です。タイプ1又はタイプ2のSCCモデル条項が利用できます。いずれも域内管理者から第三国管理者への移転を想定したものですが、タイプ2は、実務の観点から使いやすいSCCモデル条項を作成しようとInternational Chamber of Commerce（国際商工会議所）の主導で世界の主要な経済団体が共同作成（日本からはJapan Business Council in Europeが参加）したドラフト案をもとに2004年に欧州委員会が正式採択したものです。
両者のもっとも顕著な違いは、データ侵害時の賠償責任の取扱です。タイプ1では、移転元及び移転先の両管理者がデータ主体に対して負う損害賠償責任を連帯債務(joint and several liability)と位置づけ、データ主体はどちらの管理者に対してもデータ侵害に伴う損害賠償の全額を請求することができました。

これに対して、タイプ2では、移転先管理者がこの契約条項に基づく法的義務を果たす能力があると判断するために合理的な努力を果たすべき責任（due diligence責任・デューディリジェンス責任）を移転元管理者に課し、due diligence責任を怠った程度に限って、データ主体は移転先管理者の責任範囲についても移転元管理者に賠償を求めることができるものとし、移転元管理者が移転先管理者の資質確認について十分な注意を払っていた場合にはその責任を若干軽減する内容となりました。なお、due diligence責任を果たしたことの挙証責任は移転元管理者にあります。

ケース2：域内管理者－第三国処理者のケース

例2のケースでは、データを転送するのは飽くまで管理者であり、域内管理者Aと第三国処理者Cの関係として捉えれば十分です。欧州域内データセンターBがサービスとしてバックアップマネジメントを提供し、Bが転送を行っている場合には、次に説明する「域内管理者－域内処理者－第三国復処理者」の関係となります。

これらの場合には、タイプ3のモデル条項が利用できます。第三国処理者が処理の一部を第三国において再委託する場合にもデータ保護措置を保証するため、タイプ3のモデル条項では、このような再委託の場合には、第三国処理者は事前に域内処理者から書面による同意を得ること、第三国処理者と（第三国又は以遠の）復処理者との間の委託契約は書面で行い、復処理者は第三国処理者が負う義務と同様の義務を負うこと、これらの義務に関して、復処理者との関係においてもデータ主体が第三受益者権の地位にあることなどが定められています。

ケース3：域内管理者－域内処理者－第三国復処理者のケース

域内処理者が処理の一部を第三国に所在する復処理者に再委託するケースです。域内処理者Bと第三国復処理者Cとの間に適用できる正式採択されたSCCモデル条項は、現在のところありません。このようなクロスボーダー移転を契約的枠組を利用して行おうとする場合、選択肢は2つ考えられます。

(1)管理者Aから域内処理者Bに対して、Aの名において、Aに代理して、第三国処理者Cと2010/87/EUモデル条項による契約を締結する権限を与える。

(2)まだ欧州委員会が正式採択していない域内処理者－第三国処理者のモデル条項ドラフトである上記タイプ4（WP214)を利用し、GDPR第46条第3項に基づくアドホックな保護措置として関係加盟国監督機関の承認を受ける。

(1)は責任の所在について議論の余地があり、(2)はデータ主体が欧州域内複数国に散在する場合、データ主体所在国の監督機関すべての承認を受ける必要があるので非常に時間がかかる解決です。このパターンのクロスボーダー移転はそれなりに需要があるはずなので、移転パターンをカバーするモデル条項を欧州委員会が正式決定することが待たれます。

ケース4：域内管理者－第三国処理者－第三国復処理者のケース

域内管理者Aと第三国処理者Bとの間は、タイプ3モデル条項（2010/87/EU）を締結すればよいでしょう。同モデル条項11条により、処理者が処理の一部をさらに別の処理者（復処理者）に再委託する場合には、以下の2条件を満たすことが必要です。

・再委託について管理者から書面による事前の同意を得ること。
・処理者と復処理者との間で書面による契約を締結すること。

この復処理契約には、復処理者が処理者と同等の義務を負うこと、データ主体が第三受益者として復処理契約に基づく義務履行を強制できることなどを明定する必要があり（第11条2項）、復処理契約中のデータ保護に関する取極めについては、データ輸出国であるEU加盟国の法律を準拠法とするとされています（第11条3項）。
復処理に関する管理者の書面による事前同意は、包括的に与えることも、個別に与えることもできます。上の例について言えば、管理者である欧州旅行会社Aは（一次）処理者である日本の旅行会社Bに対して、一定の信頼できる復処理再委託先（長く取引関係にある交通機関やホテルなど）を限って、処理者と再委託先との間の交通、宿泊などの手配に関する基本契約内容を事前にチェックした上で、個人データ移転を許す範囲を事前に包括的に同意する一方、取引実績が少ない業者への現地手配に伴う個人データ移転についてはその都度個別に事前同意を求めるというような取極めをすることもできます。

まとめ

クロスボーダーなデータ移転のトポロジーは多岐にわたります。上に挙げたいくつかの例を考えただけでも、現時点で欧州委員会が正式採択しているSCCモデル条項だけではカバーしきれないものがあります。実際の事業活動においては、もっと複雑なデータ移転トポロジーもあるでしょう。そのような場合、SCCの枠組を利用して管理者から業務プロセスの辺縁部に位置する復処理者まで、SCCの枠組が意図する十分な保護措置、拘束力、法的強制性、データ主体に対する第三受益者効などの法的効果を遺漏なく及ぼすことは極めて難しくなりますし、その中に1つでも監督機関の個別承認が必要なアドホック契約があると、時間的にも現実的とはいえなくなります。

インターネット上で様々な国際ビジネス展開が加速し、クロスボーダーな個人データ移転の必要性がますます高まるであろう状況において、欧州委員会の迅速な対応が求められます。

GDPR特集・コンテンツ一覧

• 【コラム】ここから始めるGDPR対策の実装
• 【海外識者シリーズ】杉本武重氏（全6回）第1回 EUで始まる新しい一般データ保護規則「GDPR」とは？