今日は、GDPR に基づく「移転」の定義、EDPB ガイドライン、および欧州司法裁判所の判決の影響について検討します。この記事は、処理登録のトピックに特化したコレクションの一部です。この章では、個人データの転送に焦点を当て、データを海外に転送するために必要な要件に特に注意を払います。
GDPR におけるデータの「転送」の定義
転送に関連するセクションにどの情報を含めることができるかを特定する前に、GDPR には「データ転送」の定義が含まれていないため、この問題に関するいくつかの決定やガイドラインを踏まえて定義する必要があることに注意してください。 。
に照らして疑いの余地はありません 委員会決定 2001/497/EC、リサイタル 7 で、転送活動があらゆる点で個人データの処理を構成するという概念について述べています。この場合、EDPB が 2021 年 11 月 18 日に採択したガイドライン 05/2021 を思い出し、「データ転送個人データとして処理する場合に適格であると示された 3 つの累積基準」に照らして「データ転送」の定義を特定することが有益です。 「第三国または国際機関へ」とは、次のとおりです。
- データ管理者または処理者は、与えられた処理に関して GDPR の対象となります。
- この管理者または処理者（「輸出者」）は、そのような処理の対象である個人データを送信によって開示するか、別の管理者、共同管理者または処理者（「輸入者」）が利用できるようにします。
- 輸入者が第 3 条に従って規定された処理に関して GDPR の対象となるかどうかに関係なく、輸入者は第三国に所在するか国際機関です。
GDPR における「設立」の概念と国境を越えたデータの流れ
「主な設立」の概念は第 4 条 (16) で定義されていますが、GDPR は第 3 条の目的での「設立」の概念の定義を提供していません。ただし、説明第 22 条では、「設立とは、有効かつ有効な機関の設立を意味する」と明確にしています。安定した組織の枠組みの中で活動を実際に実行すること。この点に関して、想定される法的形態は、支店であるか法人格を有する子会社であるかにかかわらず、決定的なものではありません。」
要約すると、国境を越えたデータ フローは、外国の管轄区域の対象となる受信者への個人データの転送として定義できます。 EDPB によれば、第三国で設立された輸入業者がすでに GDPR の対象となっている場合でも、「移転」の概念を認定するための決定要因は組織の地理的位置であるため、「移転」について言及しています。これらは EU の領域外にあります (したがって EU の規則は適用されなくなります)。ただし、EU 内のデータ主体から自らの主導でデータを直接収集することは、転送とはなりません (オンライン フォームにデータを入力するなど)。
GDPR に従ってデータ転送を識別するための重要な要素
したがって、データ転送の目的では、輸出者と輸入者という 2 つの主体の存在が関係します。ただし、前者は GDPR の規制の対象であり、後者は GDPR の規制の対象であるかどうかに関係ありません。 GDPR は関係ありませんが、非 EU 第三国への配置は確かに必須です。受取人への伝達活動と第三国への移転活動の両方が最小限の要素として列挙されているため、ここでは内容を明確にするために主観的かつ領土的な相違点を特定することが適切である。
現在のデジタル化の状況において、司法裁判所（ボディル・リンドクヴィスト判決）は、個人データをインターネットサイト上で単純に公開することは、海外への転送とはみなされないことを証明しました。そのような転送は必然的にすべての外国に行われるため、特別な国境を越えた流動のために確立された体制は、最終的には一般的な体制になるだろう。
したがって、単一の外国が適切なレベルの保護を保証しない場合、加盟国はオンラインでのすべてのデータの入力をブロックする必要があります。結論として、「国境を越えたデータ フロー」の概念には、特定の受信者への直接通信のみが含まれます。
また、司法裁判所が「芸術」がどのように行われたかを明らかにしたメモの文章を思い出すことも重要です。指令 95/46 の第 25 条は、リンドクヴィスト女史によって実行されたような操作自体は「第三国へのデータ転送」には当たらないことを意味すると解釈されなければなりません。
したがって、第三国の人が問題のインターネット ページにアクセスしたかどうか、またはそのプロバイダーのサーバーが物理的に第三国にあるかどうかを確認する必要はなく、「したがって、5 番目の質問は、それは、芸術に基づく「第三国へのデータの移転」には当たらないという意味です。指令 95/46 の 25 は、加盟国に居住する個人が、その加盟国または別の加盟国に設立されたホスティング サービスのプロバイダー (「ウェブ ホスティング プロバイダー」) にアップロードされたインターネット ページに個人データを挿入し、その結果、第三国にいる人も含め、インターネットに接続している人は誰でもアクセスできます。」
したがって、司法裁判所は転送の概念とオンライン アクセシビリティの概念を区別しました。
データを海外に転送するための要件: GDPR への準拠と EU の規則
海外へのデータ転送を行うには、次のものが必要です。
- GDPR のすべての規定に準拠した法的根拠。
- GDPR 第 5 章の規定 (第 44 条以降)、GDPR 自体、およびこの問題に関して施行されているその他のすべての規定を遵守します。
その後、司法裁判所はSCHREMS II判決に介入し、詳細については参照してください。「プライバシーシールド」と呼ばれる協定は無効であると宣言しました。
データ転送に関する EDPB の推奨事項とガイドライン
この問題に関して、EDPB は次の推奨事項とガイドラインを発行しました。
- 勧告 1/2020、EU レベルの個人データ保護への準拠を確保するための転送ツールを補完する措置に関するもの。
- 勧告 2/2020、監視措置に対する欧州の必須保証に関連する。
- ガイドライン 5/2021、第 3 条の適用と、注 28 で言及されている GDPR 第 V 章で言及されている国際送金に関する規定との相互関係について。
民間および公共部門のデータ転送の規制
データ転送の規制は分野によって異なります。
- GDPR 規制: 私人および公的機関の移転を扱います。
- 警察指令: 警察当局に関連する移送を扱います。
欧州司法裁判所シュレムスIおよびシュレムスIIの判決を受けて、米国と欧州連合間の個人情報の転送および交換を規制するシステムであるセーフハーバー、およびプライバシーシールドの適切性に関する判決に続いて注目されるべきである。この意味での新しい適切性の決定は、芸術に従って採用されました。 45、パー。これは、データ保護のさらなる保証を提供することなく、データ プライバシー フレームワークに参加している米国と欧州連合の間で個人データを転送するための一定の法的根拠を確立するためです。
この記事では、GDPR に関連した個人データ転送の概念を詳しく掘り下げ、その定義、海外転送の要件、および欧州司法裁判所の最近の判決の影響を分析しました。次の章では、GDPR の十分性に関する決定に基づく個人データの転送に焦点を当てます。これらのトピックのより詳細な分析については、包括的なホワイト ペーパーをダウンロードすることをお勧めします。このホワイト ペーパーには、GDPR における個人データ転送のあらゆる側面に関する詳細かつ最新の情報が記載されています。
CNRのUAIGの技術者。
弁護士資格を持っている。
#GDPR #個人データの転送に関するガイド