【ITニュース解説】European court rules in favor of the latest US and EU data transfer framework

私たちが日常的に利用するSNSやクラウドサービス、検索エンジンなどの多くは、米国の巨大IT企業によって提供されています。これらのサービスを使う際、私たちの名前やメールアドレス、閲覧履歴といった個人データは、欧州連合（EU）の国々から米国内にあるサーバーへと転送されることが頻繁にあります。この国境を越えたデータのやり取りは「越境データ移転」と呼ばれ、ビジネスのグローバル化に不可欠なものとなっています。しかし、このデータ移転は無条件に許されるわけではありません。特にEUは、個人データの保護に関して世界で最も厳しい法律の一つである「GDPR（一般データ保護規則）」を施行しており、この法律が大きな壁となっています。

GDPRは、EU市民の個人データをEU域外の国に移転する場合、その国がEUと同等の「十分なレベルのデータ保護」を提供していることを要求します。この「十分性」が認められていない国へは、原則として個人データを移転することができません。米国は、これまでEUからこの「十分性」を公式には認められてきませんでした。そのため、EUと米国は、データ移転を円滑に行うための特別な取り決め（協定）を結んできました。しかし、過去に結ばれた「セーフハーバー協定」と「プライバシーシールド」という二つの協定は、いずれもEUの最高裁判所にあたる欧州司法裁判所によって無効と判断されてきました。その最大の理由は、米国の国家安全保障に関する法律にありました。この法律により、米国の情報機関が安全保障を目的として、EU市民の個人データに広範にアクセスできる可能性が指摘されたのです。さらに、EU市民が自身のデータが不当に扱われた際に、米国で有効な法的救済を受ける手段が不十分であることも問題視されました。これらの判決により、多くの企業はデータ移転の法的根拠を失い、ビジネスの継続性に大きな不確実性が生じていました。

この混乱を解消するため、EUと米国は2023年に三度目の正直となる新たな協定「大西洋横断データプライバシーフレームワーク」を締結しました。この新しい枠組みは、過去の協定の欠点を克服することを目指しています。具体的には、米国の情報機関によるデータアクセスを「必要かつ比例的」な範囲に限定する措置や、EU市民が苦情を申し立てるための新たな機関として「データ保護審査裁判所（DPRC）」を設立するなど、より強力な保護措置が盛り込まれました。しかし、この新しい枠組みに対しても、その有効性を問う声が上がりました。フランスの政治家フィリップ・ラトンブ氏は、このフレームワークを承認した欧州委員会を相手取り、訴訟を起こしたのです。彼の主張の核心は二つありました。一つは、米国の情報機関による個人データの一括収集のリスクは依然として存在し、EUが求めるプライバシー保護のレベルに達していないという点。もう一つは、新設されたDPRCは、EU法が要求する真に独立した裁判所とは言えず、EU市民に十分な救済を提供できないという点です。

今回のニュースは、この訴訟に対するEUの一般裁判所（欧州司法裁判所の第一審に相当）の判決を報じるものです。裁判所は、ラトンブ氏の訴えを退け、現在の「大西洋横断データプライバシーフレームワーク」を支持する判断を下しました。裁判所は、DPRCの裁判官の任命や職務遂行には独立性を確保するための複数の保護措置が講じられており、その機能はEU法の要件を満たしていると認定しました。また、このフレームワークが採択された時点で、米国はEUから転送される個人データに対して「十分なレベルの保護」を確保していたと結論付けました。さらに、もし将来、米国の法制度が変化し、保護レベルが低下するようなことがあれば、欧州委員会はこのフレームワークを停止、修正、あるいは廃止する義務を負っていることにも言及し、継続的な監視の重要性を指摘しました。

この判決は、米国に拠点を置く多くのIT企業や、それらのサービスを利用する企業にとって、当面の事業継続性を担保する朗報となりました。システムエンジニアを目指す人にとっても、この問題は決して他人事ではありません。国際的なサービスを開発・運用する上で、どの国のサーバーにデータを保存し、どの国の法律に基づいてデータを処理するかは、システム設計の根幹に関わる重要な問題です。特に個人データを扱うシステムでは、GDPRのような各国のデータ保護法制を理解し、遵守することが不可欠です。ただし、今回の判決で全てが決着したわけではありません。これは第一審の判断であり、ラトンブ氏はEUの最高裁判所である欧州司法裁判所に上告することができます。過去二度の協定を無効にしたのは、この最高裁判所であるため、最終的な判断が覆る可能性も残されています。国際的なデータの流れに関するルールは、テクノロジーの進化や国際情勢の変化に応じて常に変わり続けます。システムエンジニアとしては、こうした法的な枠組みの動向を常に注視し、自身が関わるシステムのコンプライアンスを確保していく姿勢が求められます。