第19回：「EU域内から十分性認定により移転を受けた個人データの取扱いに関するガイドライン案」の解説 - 若手弁護士が解説する 個人情報・プライバシー法律実務の最新動向

2018年5月25日、EU域内の個人に関するデータの保護を目的とするGeneral Data Protection Regulation（以下「GDPR」という）が施行された。GDPRでは、一定の例外にあたる場合を除き、EU域内の個人データをEU域外に移転することを禁止しているところ（GDPR44条）、この「一定の例外」の一つとして、「十分なデータ保護の水準を確保している」と欧州委員会が決定した国・地域に移転する場合が認められている。この欧州委員会の決定が、今回のタイトルにも出てくる「十分性認定」である。 今回解説するガイドライン案は、次に述べるとおり、日本がEUから十分性認定を得るために作成されたものであり、この点を念頭に置くと、理解しやすいと思われる。以下、詳しく解説する。 １ 本ガイドラインの背景 日本と欧州連合（EU）は、EU域内から日本に移す個人情報の保護について、新たな指針を設