GDPR：欧州委員会、日本への「十分性認定」を採択

2019年1月23日、欧州委員会は、日本が個人データの保護に関して十分なレベルを保障していることを決定（以下「十分性認定」といいます。）しました。

2018年5月25日より、EU及び欧州経済領域（EU加盟国とノルウェー、リヒテンシュタイン、アイスランド、以下「EEA」といいます。）における個人のデータ及びプライバシーを保護する、一般データ保護規則（GDPR）が施行されています。GDPRによりますと、EU/EEAから第三国への個人データの移転は、①当該第三国に関して十分性認定を欧州委員会が決定した場合、又は②GDPRが求める特別な要件を満たした場合（たとえば、処理される個人データの対象であるデータ主体が明確な同意を与えた場合など）のみ、これを実施することが可能です。

2019年1月23日の欧州委員会による十分性認定の決定を受けるまで、日本はEUに比べて十分なレベルの個人データの保護を保障していないとされていました。したがって、EU/EEAから日本に個人データを移転するためには、GDPR第46条に規定される一定の適切な保護処置を取ることが求められてきました。具体的には、拘束的企業準則（BCR）の採択、又は欧州委員会が認めた標準契約条項（SCC）の締結などの措置がとられてきました。

今回日本が十分性認定を受けたことにより、EU/EEAから日本への個人データの移転を行うにあたり、原則として拘束的企業準則の採択、又は標準契約条項の締結は不要となりました。これにより、個人データのEU及び日本への移転が、よりシンプルかつスムーズに行えることになります。ただし、十分性認定は個人データの域外移転のみに関わるものであり、その他のGDPRに定める要件の遵守が必要であることには変わりはございませんのでご留意ください。

日本においても、日本の個人情報保護法に基づいて、同様の決定が2019年1月23日に行われました。これに伴い、相互の個人データ保護システムは同等であるということを認定する、日本の個人情報保護委員会とEUによる共同宣言が発表されました。

なお、日本の個人データ保護のレベルは監視され、2年後に査定が行われる予定です。その後の査定は４年ごとに行われることになっています。