EU-米国プライバシーシールド

EU・米国プライバシーシールドは、欧州連合（EU）と米国の間で商業目的で大西洋を越えた個人データのやり取りを規制するための法的枠組みであった。^[1]その目的の1つは、EU市民を保護することを目的としたEUのプライバシー法に基づいて、米国企業がEUの事業体から個人データをより簡単に受け取れるようにすることであった。 ^{[2] EU・米国プライバシーシールドは、}欧州委員会の承認を受けて2016年7月12日に発効した。これは、 2015年10月に欧州司法裁判所によって無効とされた国際セーフハーバープライバシー原則に代わるものとして導入された。 ^[3] ECJは、2020年7月16日、シュレムスIIとして知られる訴訟において、EU・米国プライバシーシールドを無効と宣言した。^{[4] 2022年、米国とEUの首脳は、プライバシーシールドに代わる、}大西洋横断データプライバシーフレームワークと呼ばれる新しいデータ転送フレームワークが原則合意されたことを発表しました。^[5]しかし、追加の法的課題に直面することなくこれを成功させるためには、どのような変更が必要または適切であるかは不明です。

2015年10月、欧州司法裁判所は、後に「シュレムスI」として知られる判決で、国際セーフハーバープライバシー原則と呼ばれる以前の枠組みを無効と宣言しました。 ^[3]この判決の直後、欧州委員会と米国政府は新しい枠組みについて協議を開始し、2016年2月2日に政治的合意に達しました。^[1]欧州委員会は「十分性決定」草案を発表し、原則はEU法が提供する保護と同等であると宣言しました。^[6]

第29条データ保護作業部会は2016年4月13日に意見を発表し、プライバシーシールドはセーフハーバーの決定に比べて大きな改善が見られるが、依然として3つの大きな懸念事項が残っていると述べた。それらは、データの削除、大量のデータの収集、新しいオンブズマンの仕組みの明確化に関連している。^[7]欧州データ保護監督官は2016年5月30日に意見を発表し、「現状のプライバシーシールドは、将来の[欧州]裁判所での法的審査に耐えられるほど強固ではない」と述べた。^[8]

2016年7月8日、EU加盟国の代表者（第31条委員会）はEU-米国プライバシーシールドの最終版を承認し、委員会による決定の採択への道を開いた。^[9]欧州委員会は2016年7月12日にこの枠組みを採択し、同日発効した。^{[10] [11]}

2017 年 1 月 25 日、ドナルド・トランプ米国大統領は、 「公共の安全の強化」と題する大統領令に署名しました。この大統領令では、米国のプライバシー保護は米国市民または居住者以外には適用されないと規定されています。

政府機関は、適用法に準じる範囲で、プライバシー・ポリシーにおいて、米国市民または合法的な永住者でない個人を、個人を特定できる情報に関するプライバシー法の保護の対象から除外することを確保しなければならない。^[12]

この大統領令は2021年1月20日にジョー・バイデン大統領によって廃止された。 ^[13]

欧州委員会は次のように述べています。

米国のプライバシー法は、ヨーロッパ人にデータ保護の権利を与えたことはありません。欧州委員会は、EU市民のデータが米国に転送される際に適切に保護されることを保証するために、2つの追加手段を交渉しました。

• EU-米国プライバシーシールドは、米国プライバシー法による保護に依存しません。
• EUと米国の包括協定は2017年2月1日に発効する。この協定を最終決定するために、米国議会は2017年に米国司法救済法^[14]という新しい法律を採択した。この法律は、米国プライバシー法の恩恵を欧州人にまで拡大し、欧州人が米国の裁判所を利用できるようにしている。^[15]

委員会は「両手段の実施状況を引き続き監視する」と述べた。^[15]

一般的に、この組織が開発した7つの主要な原則があります。それらは次の段落で述べられています。^[16]

1. 通知– 個人は、自分のデータが収集され、それがどのように使用されるかを知らされなければなりません。組織は、個人が質問や苦情がある場合に組織に連絡する方法について情報を提供する必要があります。
2. 選択– 個人は、データの収集と第三者への転送を拒否するオプションを持つ必要があります。
3. 転送に対する説明責任– 第三者へのデータの転送は、適切なデータ保護原則に従う他の組織に対してのみ行うことができます。
4. セキュリティ– 収集された情報の損失を防ぐために合理的な努力を払う必要があります。
5. データの完全性と目的の制限– データは、収集された目的に関連性があり、信頼できるものでなければなりません。
6. アクセス– 個人は自分に関して保持されている情報にアクセスでき、不正確な場合にはそれを修正または削除できる必要があります。
7. リソース、施行、責任– これらの規則を施行するための効果的な手段が必要です。

ドイツの欧州議会議員 ヤン・フィリップ・アルブレヒト氏とオーストリアの活動家マックス・シュレムス氏はこの新しい判決を批判し、後者は欧州委員会が「ルクセンブルク（欧州司法裁判所（CJEU）の所在地）への往復旅行」をするかもしれないと予測した。 ^{[17] [説明が必要]}多くのヨーロッパ人は、ヨーロッパ市民がデータの使用に関して苦情を申し立てるメカニズムと、ヨーロッパ市民のデータが米国の諜報機関の手に渡らないようにするための透明性スキームを要求した。^[18]

プライバシーシールドはプライバシー保護団体から法的に異議を唱えられてきた。^{[19] [20]}当初、これらの訴訟が受理可能かどうかは明らかではなかった。^{[21] [22]}しかし、2017年2月までにプライバシーシールドの将来は争点となった。コンサルタントのマット・アリソンは「EUの市民主導の規制モデルは、米国と英国の市場原理とすぐに衝突するだろう」と予測した。^[23]アリソンは、欧州委員会が適切性決定と世界戦略の計画を示した新しい文書を要約した。^[24]

2019年12月、欧州連合司法裁判所（CJEU）は、データ保護コミッショナー対フェイスブックアイルランド事件（シュレムスIIとしても知られる）の予備的意見を発表しました。この意見では、制度の衝突から生じる可能性のあるさまざまなシナリオが概説されています。ある弁護士は、この意見は「米国政府とデータ転送に依存する企業に同等の安心感と警戒感を与えるはずだ」と結論付けました。^[25]

欧州司法裁判所の最終判決は、2020年7月16日にSchrems IIで発表された。^{[26] [27] EUと米国のデータ共有に関するプライバシーシールドは、EU市民を政府の監視から適切に保護していないという理由で、欧州司法裁判所によって無効とされた。 [4]各国のプライバシー監督当局に拘束力のある決定を下すEUの組織で}ある欧州データ保護委員会（EDPB）は、「この法的枠組みに基づく移転は違法である」と宣言した。^[28]この判決は、裁判所が「標準契約条項」（SCC）の使用を支持したため、EUと他の外国間のデータ移転を完全に停止させたわけではない。しかし、SCCは、米国のように法律がEU基本権憲章や一般データ保護規則（GDPR）と根本的に互換性がない国では必ずしもデータを保護するわけではない。現在の行き詰まりは、進行中の学術的提案と研究の対象であった。^[29]

2022年3月25日、米国とEUは新たなデータ移転協定が締結されたと発表した。^[5]大西洋横断データプライバシーフレームワークと呼ばれるこの新たな枠組みにより、EU市民は新たな「データ保護審査裁判所」を通じてデータプライバシー侵害を追及できるようになる。^{[5] [30]} 2022年10月7日、バイデン大統領は、米国の新たな諜報収集プライバシー保護策を採用した欧州連合・米国データ移転枠組みを実施する大統領令に署名した。^{[31] [32]}

Brexitがプライバシーシールドに与える影響に関する決定は2020年12月31日までに下されると予想されていたが、CJEUの決定により議論の余地が残る可能性がある。^[33]

新しいバージョンは批判の対象となっている。^[34]

スイスはEU加盟国ではないが、条約の実施を通じてEUの政策の多くに従っている。したがって、スイスは独自のスイス・米国間のプライバシーシールドを通じて、独自のプライバシーシールドフレームワークを実施している。これはEU・米国間のプライバシーシールドフレームワークとほぼ同様だが、さまざまなEUのDPAではなく独自のDPAを実施している。また、猶予期間がなく、「機密データ」の定義、拘束力のある仲裁、プライバシーポリシーの変更など、いくつかの重要な違いがある。 [35] EU・米国間プログラムとスイス・米国間のプログラムは十分に類似していたため、米国によって共同で管理されていた。 [ ^{36 ]}

• 拘束力のある企業規則
• 電子通信プライバシー法
• FTC公正情報慣行（FIPP）、米国
• ITリスク
• プライバシー
• セーフハーバー（法律）
• 保存通信法

• 2016年7月12日のEU-米国プライバシーシールドによる保護の適切性に関する欧州委員会実施決定（EU）2016/1250は、Schrems IIにより現在は無効となっている。
• 欧州連合におけるEU-米国プライバシーシールドファクトシート
• 米国商務省のEU-USプライバシーシールドファクトシート 2016年3月26日アーカイブ、Wayback Machineより