Loading article…
EU–米国データプライバシーフレームワークは、2022年に合意された一般データ保護規則（GDPR）に基づいて設立された欧州連合と米国のデータ転送フレームワークであり、 [ 1 ] [ 2 ] 2023年に欧州委員会によって十分であると宣言され、[ 3 ] 2024年に欧州経済領域（EEA）に拡大されました。 [ 4 ] [ 5 ]
以前の同様の制度であるEU-米国プライバシーシールド（2016～2020年）と国際セーフハーバープライバシー原則（2000～2015年）は、 EU国境を越える個人データが米国政府による広範な監視の対象となるという懸念から、欧州司法裁判所によって無効とされました。2020年7月にEU-米国プライバシーシールドが無効になった後、EUと米国間でデータを転送しようとする企業は、「混乱、コンプライアンスコストの増加、EU-米国間のビジネス関係における課題」に直面しました。[ 6 ] EU-米国データプライバシーフレームワーク（DPF）は、これらの懸念に対処することを目的としています。[ 7 ] [ 8 ] [ 6 ]
欧州議会は、ウルズラ・フォン・デア・ライエンが合意した新たな協定が実際にEU法に合致しているかどうかについて重大な疑問を呈した。なぜなら、この協定は依然としてEU市民を米国の大量監視から十分に保護しておらず、 EUにおける基本的人権の執行にも失敗しているからである。 [ 9 ]トランプ政権下では、この枠組みの将来について疑問が生じている。[ 10 ]
米国データ保護審査裁判所（DPRC）は、EU-米国プライバシーフレームワークで規定されているように、国家情報長官室の市民的自由保護担当官の決定に対する控訴を扱う3人の裁判官からなるパネルである。 [ 11 ]これは、第3条に基づく裁判所ではなく、司法外の行政機関の裁判所である。[ 12 ]
DPRCの委員は、プライバシーおよび市民的自由監視委員会（PCLOB）によって4年の任期で任命される。
DPRCの決定は裁定に対して拘束力を持つ。[ 13 ] [ 14 ]その秘密主義と有効性の可能性について批判がある。[ 15 ]
EEAと同様に、EFTA加盟国であるスイスと米国も、 2024年9月から連邦データ保護法（DSG）に基づきスイス・米国データプライバシーフレームワークを有している。 [ 16 ]
2022年3月25日、欧州委員会と米国は、EU-米国プライバシーシールドの失敗を受けて、「大西洋横断データプライバシーフレームワーク」にコミットしたと発表された。[ 1 ] [ 17 ]
2022年10月7日、ジョー・バイデン米大統領は、米国データ保護審査裁判所の設立を承認および指示するなど、枠組みを実施するための大統領令14086に署名した。 [ 11 ] [ 7 ] 2022年10月7日の米国司法長官命令5517-2022により、同裁判所が設立された。[ 18 ]
2023年5月、欧州データ保護委員会は、 2022年12月13日に公表された欧州委員会の十分性決定草案を承認した。[ 19 ]
欧州委員会を拘束するものではありませんが、2023年5月11日、欧州議会は、EU-米国データプライバシー枠組みがEUのプライバシーとデータ保護に関する基本的権利に沿った米国の大規模監視からの保護レベルにおいて本質的な同等性を確立できていないことを理由に、委員会に枠組みの再交渉[ 20 ]と十分性認定の採択を行わないことを求める決議案に賛成票を投じました。[ 9 ]この決議案は、賛成306票、反対27票で議会を通過しました。[ 21 ]
2023年7月10日、欧州委員会はEU-米国データプライバシーフレームワークの十分性決定を採択し、GDPR第45条に基づいてEUから米国への個人データの移転を許可した。[ 3 ]
2023年7月、NGO NOYB（欧州デジタル権利センター）は、欧州司法裁判所に再びこの枠組みに異議を唱える訴訟を起こす準備ができたと発表した。[ 12 ]
2024年7月6日発効で、EEA合同委員会は欧州委員会の実施決定をEEA協定に組み込み、欧州経済領域（EEA）に拡大した。[ 4 ] [ 5 ]
2024年8月14日、スイス連邦評議会は、連邦データ保護法（DSG）に基づき、スイス・米国データプライバシーフレームワークの十分性決定を発令した。[ 16 ]
2025年1月、トランプはデータ保護審査裁判所の民主党員を解任し、5人からなる委員会は共和党員が1人だけとなり、決定を下すのに必要な3人に満たなくなった。この解任はDPRCの独立性に対する懸念を引き起こした。[ 10 ]
2026年6月、米国最高裁判所はトランプ対スローター事件で、連邦取引委員会（FTC）の法定解任保護は違憲であるとの判決を下した。FTCはEU・米国データプライバシー枠組みにおける主要な監督機関の一つであり、EU法はデータ保護当局の独立性を要求している。判決後、NOYBは欧州委員会に対し、枠組みを無効として撤回するよう求め、今後数週間以内にNGOとして訴訟を起こしてこれを無効にしようと表明した。[ 22 ] [ 23 ]