国際セーフハーバープライバシー原則

国際セーフハーバープライバシー原則またはセーフハーバープライバシー原則は、顧客データを保管する欧州連合または米国内の民間組織が個人情報を誤って開示または紛失するのを防ぐために、1998年から2000年の間に開発された原則です。この原則は2015年10月6日に欧州司法裁判所（ECJ）によって覆され、一部の米国企業は欧州連合およびスイス国民を保護するプライバシー法に準拠できるようになりました。^{[1]顧客データを保管する米国企業は、EU}データ保護指令およびスイスの要件に準拠するために、7つの原則を遵守していることを自己証明できます。米国商務省は、欧州連合およびスイス連邦データ保護および情報コミッショナーと共同でプライバシーフレームワークを策定しました。^[2]

他国に移転された個人データの保護の適切性に関する一連の決定の文脈において、 ^[3]欧州委員会は2000年に米国の原則がEU指令^[4]に準拠しているとの決定を下しました。これはいわゆるセーフハーバー決定です。^[5]しかし、顧客がFacebookのデータが十分に保護されていないと苦情を申し立てた後、ECJは2015年10月にセーフハーバー決定は無効であると宣言し、欧州委員会と米国当局は「大西洋横断データフローの新たな健全な枠組み」に向けてさらに協議することになりました。^[6]

欧州委員会と米国は、2016年2月2日に「EU-米国プライバシーシールド」として知られる大西洋横断データフローの新しい枠組みを確立することに合意し、^{[7]これに続いて}スイス-米国プライバシーシールドフレームワークが策定されました。

1980年にOECDは8つの原則という形で個人データの保護に関する勧告を発表しました。これらは拘束力のないものでしたが、1995年に欧州連合（EU）は個人データのプライバシーを保護するために、より拘束力のあるガバナンス、つまり法律を制定し、データ保護指令という形で制定しました。^[8]

データ保護指令によれば、欧州連合で事業を展開する企業は、十分なレベルの保護を保証するか、「データ主体自身が転送に同意する」か、「拘束的企業準則または標準契約条項が承認されている」場合を除き、欧州経済領域外の「第三国」に個人データを送信することは許可されていません。 ^{[8] [9]}後者は、プライバシー保護が組織レベル（多国籍企業が個人データに関する内部統制を作成して文書化している場合）であるか、またはその国の法律がEUと同等の保護を提供していると見なされる場合は国レベルである可能性があることを意味します。

セーフ ハーバー プライバシー原則は 1998 年から 2000 年にかけて策定されました。主要な役割を担ったのは、当時イタリア データ保護機関 www.garanteprivacy.it が議長を務めていた第 29 条作業部会でした。欧州のプライバシー フレームワークの父の 1 人であるステファノ ロドタ教授が議長を務め、最近欧州データ保護監督官 (EDPS) に任命されたイタリア データ保護機関のジョバンニ ブッタレッリ事務局長が支援しました。セーフ ハーバー原則は、顧客データを保管する欧州連合または米国内の民間組織が個人情報を誤って開示または紛失するのを防ぐように設計されています。米国企業は、指令に従って 7 つの原則と 15 のよくある質問と回答に従う場合、プログラムに参加して認定を受けることができます。^[10] 2000 年 7 月、欧州委員会(EC) は、原則を遵守し、EU の要件を満たしているという認定を登録する米国企業、いわゆる「セーフ ハーバー スキーム」は、EU から米国にデータを転送することを許可されると決定しました。これはセーフハーバー判決と呼ばれています。^[11]

2015年10月6日、欧州司法裁判所はECのセーフハーバー決定を無効とした。その理由は、「公的機関が電子通信の内容に一般的にアクセスすることを許可する法律は、私生活の尊重という基本的権利の本質を損なうものとみなされる必要がある」ためである[強調は原文のまま]。^{[1] ：2–3}

欧州委員会によると、 2016年2月2日に合意されたEU-米国プライバシーシールドは、「2015年10月6日の欧州司法裁判所の判決で定められた要件を反映しており、同判決では旧セーフハーバー枠組みは無効であると宣言された。新協定は、米国企業に欧州人の個人データを保護するためのより強力な義務を課し、米国商務省と連邦取引委員会による監視と執行を強化し、欧州データ保護当局との協力を強化することを含む。新協定には、米国法の下で公的機関が新協定に基づいて移転された個人データにアクセスする可能性は、明確な条件、制限、監視の対象となり、一般アクセスを防止するという米国の約束が含まれている。欧州人は、この文脈で、専任の新オンブズマンに質問や苦情を申し立てることができる」。^[12]

2000年の7つの原則は以下のとおりです。^[11]

• 通知– 個人は、自分のデータが収集され、それがどのように使用されるかを知らされなければなりません。組織は、個人が質問や苦情がある場合に組織に連絡する方法について情報を提供する必要があります。
• 選択– 個人は、データの収集と第三者への転送を拒否するオプションを持つ必要があります。
• 転送– 第三者へのデータの転送は、適切なデータ保護原則に従う他の組織に対してのみ行われます。
• セキュリティ– 収集された情報の損失を防ぐために合理的な努力を払う必要があります。
• データの整合性– データは、収集された目的に関連性があり、信頼できるものでなければなりません。
• アクセス– 個人は自分に関して保持されている情報にアクセスでき、不正確な場合にはそれを修正または削除できる必要があります。
• 施行– これらの規則を施行するための効果的な手段が必要です。

この自主プログラムに参加できるのは、連邦取引委員会または運輸省の規制を受ける米国の組織のみである。これには、多くの金融機関（銀行、投資会社、信用組合、貯蓄貸付機関など）、通信事業者（インターネットサービスプロバイダーを含む）、労働組合、非営利団体、農業協同組合、食肉加工業者、ジャーナリスト、ほとんどの保険会社^[13]は含まれないが、投資銀行は含まれる可能性がある。^[14]

オプトイン後、組織は適切な従業員研修と効果的な紛争解決メカニズムを導入し、通知、選択、アクセス、執行を含むEU-米国セーフハーバーフレームワークの原則を遵守することに同意することを12か月ごとに書面で自己再認証する必要があります。^[15]原則に準拠していることを確認するために自己評価を行うか、第三者に評価を依頼することができます。企業は初回登録（200ドル）を除き、年間100ドルの登録料を支払います。^[16]

米国政府はセーフハーバーを規制しておらず、セーフハーバーは民間部門のメンバーと彼らが選んだ紛争解決機関を通じて自主規制されている。連邦取引委員会は米国商務省の監督下でこのシステムを「管理」している。^[17]義務を遵守するために、違反者は連邦取引委員会法に基づき、行政命令と1日あたり最大16,000ドルの民事罰で罰せられる可能性がある。組織がフレームワークを遵守しない場合は、商務省に速やかに通知する必要があり、さもなければ虚偽陳述法に基づいて訴追される可能性がある。^[15]

2011年の事例では、連邦取引委員会は、英国の顧客のみに商品を販売していたカリフォルニアを拠点とするオンライン小売業者から同意判決を獲得した。この業者の疑惑の多くの欺瞞行為の中には、セーフハーバーの下で自己認証したかのように見せかけたが実際にはそうしていなかったことなどがあった。この業者は今後このような欺瞞行為を行うことを禁じられた。^[18]

EU-米国セーフハーバー原則の「自己認証制度」は、EUの外部評価3件において、その遵守と施行に関して批判されている。

• 2002年の欧州連合による調査では、「セーフハーバーを遵守していると自己認証している組織の多くが、全体的な取り組みやプライバシーポリシーの内容に関して期待される透明性を遵守していないようだ」とされ、「紛争解決メカニズムのすべてがセーフハーバー規則を施行する意向を公に示しているわけではなく、また、すべてのメカニズムが自社に適用可能なプライバシー慣行を実施しているわけではない」と結論づけられた。^[19]
• 2004年の欧州連合によるレビュー: ^[20]
• 2008 年、オーストラリアのコンサルティング会社 Galexia が厳しいレビューを発表し、「規制当局の監視を背景に、自主規制を通じてプライバシーを保護する米国の能力は疑わしい」と結論付けました。同社は、基本的な主張が誤りであると文書化し、2008 年 10 月 17 日付けで米国商務省(DOC) がリストした 1,597 の組織のうち、重複、3 重、および「現在ではない」組織を削除した後、データベースに残っているのは 1,109 のみでした。コンプライアンスの最も基本的な要件さえ満たしていたのは 348 の組織だけでした。これらのうち、セーフ ハーバー メンバーシップをすべてのデータ カテゴリ (手動、オフライン、オンライン、人事) に拡張したのは 54 の組織だけでした。206 の組織は何年もの間メンバーであると虚偽の主張をしていましたが、米国の強制執行の対象になったという兆候はありませんでした。審査員は、DOC が企業に「組織が準拠することを自己証明する際の視覚的表現」として使用するよう提案している「セーフ ハーバー認証マーク」は、「自己証明」という言葉がないため誤解を招くと批判した。プライバシーポリシーへのリンクを提供していたのは 900 組織のみで、421 組織については文書が入手できなかった。多数のポリシーは 1 ～ 3 文のみで、「実質的に情報なし」だった。多くの項目でプライバシー コンプライアンスとセキュリティ コンプライアンスが混同されているようで、「セーフ ハーバー プログラムに対する理解不足」が見られた。企業の紛争解決プロバイダーのリストはわかりにくく、独立性と費用対効果に関する問題が指摘された。多くの組織は、EU データ保護当局が設立した紛争解決パネルと協力すると明言しておらず、顧客がパネルを選択できることも説明していなかった。

ガレクシアは、EUに対し、セーフハーバー協定を再交渉し、EUの消費者に警告を発し、リストの記載事項をすべて包括的に見直すことを検討するよう勧告した。また、米国に対しては、虚偽の主張をしている数百の組織を調査し、参加者数に関する声明を改訂し、セーフハーバー認証マークの使用を中止し、省庁のロゴの無許可かつ誤解を招く使用を調査し、セーフハーバー認証を更新しなかった組織の会員資格を自動的に停止するよう勧告した。^[21]

2011年6月、マイクロソフトUKのマネージングディレクターであるゴードン・フレイザーは、 「クラウドデータは、それが世界のどこにあろうとも、愛国者法から保護されない」と述べた。^[22]

オランダは直ちに米国のクラウドサプライヤーをオランダ政府との契約から排除し、マイクロソフトやグーグルが提供するクラウド契約の禁止も検討した。米国に拠点を置くコンピュータサイエンスコーポレーション（CSC）のオランダ子会社は、オランダの国民保健サービスシステムの電子健康記録を運営しており、CSCが愛国者法の対象にならないことを保証できない限り、契約を終了すると警告した。^[23]

1年後の2012年、ある法的な研究論文は、愛国者法により米国の法執行機関が欧州のプライバシー法を回避することが可能になったという考えを支持した。^[23]

2015年10月、ECJは、オーストリア国籍のマクシミリアン・シュレムス氏による、フェイスブックがアイルランド子会社から米国のサーバーに彼の個人データを処理していることに関する苦情に関連して、アイルランド高等法院からの紹介に応じた。シュレムス氏は、「2013年にエドワード・スノーデン氏が米国諜報機関（特に国家安全保障局）の活動に関して明らかにした暴露を考慮すると、米国の法律と慣行は公的機関による監視に対する十分な保護を提供していない」と訴えた。ECJは、セーフハーバー原則はEUのプライバシー関連データを扱う権利を持つすべての組織に遵守を義務付けておらず、十分な保証を提供していないため無効であると判断した。米国連邦政府機関は米国法の下で個人データを使用できるが、オプトインは義務付けられていなかった。裁判所は、オプトインする企業は「国家安全保障、公共の利益、法執行要件に反する場合、その制度によって定められた保護規則を無制限に無視する義務がある」と判断した。^[1]

欧州司法裁判所に予備裁定を付託するEUの規則に従い、アイルランドのデータ保護コミッショナーはそれ以来、「シュレムス氏のケースを『十分な注意を払って』審査し、フェイスブックの欧州加入者の個人データの米国への移転を停止すべきかどうか決定しなければならなかった」。^[1] EU規制当局は、欧州司法裁判所と米国が3か月以内に新しいシステムを交渉しない場合、企業は欧州のプライバシー規制当局から措置を取られる可能性があると述べた。2015年10月29日、新しい「セーフハーバー2.0」協定がほぼ完成しているように見えた。^[24]しかし、ジョウロバ委員は米国が次に行動すると予想した。^[25]アメリカのNGOはすぐにこの決定の重要性について詳しく説明しました。^[26]

ドイツの欧州議会議員 ヤン・フィリップ・アルブレヒト氏と活動家マックス・シュレムス氏は、この新しい判決を批判しており、後者は欧州委員会が「ルクセンブルク（欧州司法裁判所がある）への往復旅行」をするかもしれないと予測している。 ^[27]欧州委員会の消費者担当委員ヴェラ・ヨウロバ氏は、2月末までに合意に達するだろうと自信を示した。^[28]多くの欧州人は、欧州市民がデータの使用について苦情を申し立てるメカニズムと、欧州市民のデータが米国の諜報機関の手に渡らないようにするための透明性スキームを要求していた。^[29]第29条作業部会はこの要求を取り上げ、ヨウロバ委員の新しい提案の結果を決定するために2016年3月までさらに1か月待つと述べた。^[30]欧州委員会の基本権担当局長ポール・ネミッツ氏は、1月にブリュッセルで行われた会議で、データ保護の「適切性」について委員会がどのように決定するかを述べた。^[31] エコノミスト紙は、「欧州委員会が強化された『適切性決定』を出せば、欧州司法裁判所がそれを破棄するのは難しくなるだろう」と予測している。^[32]プライバシー活動家のジョー・マクナミーは、欧州委員会が時期尚早に合意を発表し、交渉権を失ったと指摘して状況を総括した。^[33]同時に、ドイツで最初の訴訟が始まった。ハンブルクのデータ保護当局は、2016年2月、大西洋横断データ転送の法的根拠としてセーフハーバーに依拠した3社に罰金を科す準備をしており、他の2社は調査中だった。^[34]反対側からは、すぐに反応が起こりそうだった。^[35]

2021年3月25日、欧州委員会と米国商務長官は「激化した交渉」が行われていると報告した。^[36]議論は2021年6月にブリュッセルで開催されたEU・米国首脳会談でも継続された。^[37]

• 拘束力のある企業規則
• 電子通信プライバシー法
• 公正情報慣行原則（FIPP）、米国
• 一般データ保護規則
• ITリスク
• プライバシー
• 安全な港
• 保存通信法
• プライバシー影響評価
• 大西洋横断データプライバシーフレームワーク

• ファレル、ヘンリー（2003年春）。「電子商取引の国際的基盤の構築 - EU-米国セーフハーバー協定」。国際機関。57（2）：277-306。doi ： 10.1017 /S0020818303572022。S2CID 154976969  。

• セーフハーバー協定 公式米国サイト
• 「米国-EUセーフハーバー枠組み文書」。米国政府。2015年4月5日時点のオリジナルよりアーカイブ。
• 米国・EUセーフハーバーリスト、米国連邦取引委員会、nd、2015年10月30日取得
• FTC サイトから収集されたセーフ ハーバー企業を一覧表示するオープン データ プロジェクト。FTC サイト上で上書きされる古い企業も含め、提出内容が時間の経過とともにどのように変化するかを追跡できます。