LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EUに拠点や顧客を持つ企業がシステムを設計するとき、避けて通れない論点があります。「このデータをEUの外に出してよいのか」という問いです。GDPRは個人データの域外移転をただ禁じているわけではなく、根拠となる仕組みをいくつか用意しています。逆にいえば、根拠なしに移すことは認められません。

本記事では、EUと接点のあるシステムを扱う情報システム部門・開発部門の担当者に向けて、越境移転の根拠となる三つの道筋、日本企業が置かれている位置づけ、米国への移転をめぐる動き、そして設計と契約で押さえておきたい実務のポイントを整理します。制度の一般的な整理であり個別の法的な助言ではありませんので、実際の判断は公式文書と専門家への確認を組み合わせて進めてください。

GDPRの越境移転ルール——「根拠がなければ移せない」

GDPRは、EU・EEA域内で扱う個人データを域外へ移すことに条件を付けています。考え方はシンプルで、域内と同じ水準の保護が続くと言える状態でなければ移せない、というものです。したがって実務では「移してよいか」ではなく「どの根拠で移すか」を決める作業になります*1。

ここでいう「移転」は、データを送信することだけを指しません。域外から域内のシステムを参照できる状態も、移転として扱われることがあります。日本の開発者がEUのサーバーにある個人データを画面越しに見て障害対応をする、という運用も検討の対象になるわけです。物理的にファイルを送っていないから対象外、とは考えないほうがよいでしょう。

もう一点、混同されやすいのが「データの保存場所」と「移転の可否」の関係です。域内にデータを置いたままでも、域外から管理者権限で参照できるなら移転の論点は残ります。逆に、域外へ複製していても適切な根拠と措置があれば認められます。場所の話と根拠の話は、分けて整理するのが理解の近道です。

三つの根拠——十分性認定・標準契約条項・その他の仕組み

越境移転の根拠は、大きく三つの系統に分けて考えると見通しがよくなります。

実務でよく使われるのは標準契約条項です。ただ、契約を結べばそれで終わり、というものではありません。移転先の国の法制度が、契約で約束した保護を妨げないかを確かめる作業が求められます。ここで足りないと判断されるなら、暗号化などの補完措置を組み合わせて実効性を持たせていきます。

同意を根拠にする方法も条文上は用意されていますが、日常的な業務のデータ移転を同意で支えるのは現実的ではありません。同意はいつでも撤回できるため、撤回された場合に処理を止められる仕組みが要ります。従業員のデータのように立場に差がある関係では、そもそも自由な同意といえるのかという論点も生じます。継続的な移転には契約や認定を根拠に据え、同意は例外的な場面に限る——この使い分けが実務では落ち着きます。

グループ内の移転が多い企業では、拘束的企業準則を整える選択肢もあります。承認に時間と手間はかかりますが、拠点が増えるたびに契約を結び直す運用から抜けられます。拠点数と移転の頻度を見て、どちらが軽いかを判断するとよいでしょう。

日本企業の位置づけ——日EU相互認証と補完的ルール

日本は、EUから十分性認定を受けている国のひとつです。これは日本とEUが相互に認め合う形で整えられたもので、日本の企業がEUから個人データを受け取る際に、標準契約条項などの追加手続きを踏まなくてよいという意味を持ちます*2。EUに拠点を持つ日本企業にとっては、実務の負担がかなり軽くなる仕組みです。

ただし、無条件ではありません。EUから移転を受けたデータについては、「補完的ルール」と呼ばれる上乗せの取り扱いが求められます。具体的には、要配慮個人情報の範囲、利用目的の特定と制限、保有し続ける必要がなくなったデータの消去、第三国へさらに移す場合の扱いなどです。受け取ったあとも、通常の国内データと同じ扱いにしてよいわけではないのです。

ここが実装で見落とされがちなポイントになります。EU由来のデータと国内のデータが同じテーブルに混在していると、補完的ルールの対象がどれなのか分からなくなります。取得元を示す区分をデータ側に持たせておけば、消去や第三国移転の判断を機械的に行えます。設計段階で一列足すだけの話なので、あとから棚卸しに苦労するより先に入れておきたいところです。

国内側の制度対応と合わせて整理するなら、個人情報保護法対応で押さえる要点や2026年改正の要点も参照しながら、共通の土台と上乗せ部分を分けておくと運用が楽になります。

米国への移転をめぐる動き——枠組みと司法判断

米国への移転は、長らく議論の的でした。過去の枠組みが司法判断で無効とされた経緯があり、その後2023年に新しい枠組みとして「EU・米国データプライバシーフレームワーク」が採択されています*1。参加を表明した米国企業への移転については、この枠組みを根拠にできる形です。

この枠組みに対しても取消しを求める訴えが起こされましたが、2025年9月にEUの一般裁判所が請求を棄却し、枠組みは維持されました。もっとも、上級審への上訴の可能性は残っており、将来にわたって固定された前提として扱うのは避けたほうが賢明でしょう。

実務としては、米国のクラウドやSaaSを使う構成であっても、根拠と措置の両方を用意しておく構えが安定します。枠組みだけに依存せず、標準契約条項も結び、暗号化と鍵の管理で技術的な担保を置く。二段構えにしておけば、制度が動いたときの影響を小さくできます。クラウドをまたぐ構成のセキュリティ設計はクラウド移行のセキュリティ設計・対策で整理しています。

移転影響評価とシステム設計——実効性をどう担保するか

標準契約条項を根拠にする場合、移転先の法制度を確かめる作業（移転影響評価）が要ります。確認するのは、移転先の政府がデータへアクセスできる仕組みの有無や範囲、その際に本人が救済を求められるかといった点です。この評価の結果、契約だけでは足りないと判断されるなら、技術と運用で補います。

• 保存時と通信時の暗号化：どちらも施す。とくに鍵をどこに置くかが実質的な分かれ目になります
• 鍵の管理を自社側に置く：事業者が鍵を持つ構成と、自社が持つ構成では意味合いが変わります
• 権限の最小化：域外から参照できる範囲を業務上必要な最小限に絞り、恒久的な管理者権限を置かない
• ログと監査：誰がいつ何を参照したのかを残し、後から示せる状態にしておく
• 仮名化・分離：識別に使える項目を分けて持ち、分析側には識別子だけを渡す構成にする

評価の粒度についても触れておきます。すべての経路を同じ深さで調べようとすると手が回らないため、扱うデータの機微さと件数で優先順位を付けるのが実務的です。人事情報や健康に関わる情報を含む経路、件数の多い顧客データの経路から先に評価し、社内の連絡先程度の情報は簡略な確認にとどめる。この重み付けを最初に決めておくと、評価が形式的な作業に流れずに済みます。

暗号化の実効性をさらに高める技術も出てきています。処理中のデータを保護する仕組みについてはコンフィデンシャルコンピューティングで、統計的な扱いに寄せる考え方は差分プライバシーで扱っています。要件の重い領域では、こうした選択肢も検討に入れておくと説明がしやすくなります。

受託・委託開発で押さえる実務ポイント

委託を含む体制では、契約と設計の両面で決めておくことがあります。順序としては、次のように進めるのが素直です。

第一に、データの流れを図にすることです。EU域内で取得した個人データが、どのシステムを経て、どこへ複製され、誰が参照するのか。域外からの参照経路も含めて描きます。この図がないまま契約文言を整えても、実態とずれた合意になりがちです。

第二に、根拠と措置を経路ごとに決めることです。同じ会社でも、経路によって根拠が変わることがあります。EU拠点から日本本社への移転は十分性認定を根拠にでき、米国のSaaSへの移転は別の根拠が要る、という具合です。経路ごとに一覧化しておけば、制度が動いたときも差分だけを直せます。

第三に、委託契約に処理の範囲を書き込むことです。目的、期間、扱える項目、再委託の条件、終了時の削除と返却、そして監査への協力。処理者としての義務が明確でないと、送る側の説明責任が果たせません。オフショアを含む体制なら、インドのDPDP法や中国PIPLの越境移転のように、受け手側の国の制度も併せて確認しておきます。

第四に、記録を残す運用を作ることです。移転影響評価の内容、選んだ根拠、施した措置。これらを文書として残しておけば、照会があったときに説明できます。逆に、口頭やメールの断片でしか残っていない状態は避けたいところです。

まとめ：GDPRの越境移転で押さえる3つの視点

GDPRのもとで個人データをEU域外へ移すには、根拠となる仕組みを選ぶ必要があります。押さえたい視点は三つです。第一に、根拠は十分性認定・標準契約条項・拘束的企業準則などの系統に分かれ、経路ごとにどれを使うかを決める作業になること。第二に、日本は日EUの相互認証によって十分性認定を受けているため追加手続きは不要ですが、受け取ったデータには補完的ルールという上乗せの取り扱いが求められ、取得元を区別できる設計が実装の要になること。第三に、標準契約条項を使う場合は移転先の法制度を確かめ、暗号化と鍵の管理・権限の最小化・ログで実効性を担保する必要があることです。まずはデータの流れと域外からの参照経路を一枚の図に落とし、経路ごとの根拠を一覧にするところから始めてみてください。

よくある質問

出典

1. *1　参考：European Commission「Adequacy decisions」（https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en）。十分性認定の一覧と、EU・米国データプライバシーフレームワークの位置づけの参考として（2026年8月確認）
2. *2　参考：個人情報保護委員会「日EU間の相互の円滑な個人データ移転」（https://www.ppc.go.jp/enforcement/infoprovision/EU/）。日EU相互認証の枠組みと、EUから移転を受けた個人データに適用される補完的ルールの参考として（2026年8月確認）

Tweet