欧州連合司法裁判所(CJEU)は、2015年10月６日付の判決において、欧州委員会の第200/520/CE号の決定を無効とした。当該決定は、米国がEU市民に関する個人情報の譲渡について適切なレベルの保護を保証しているとみなすものだった。当該判決により、米国企業に蓄積されたEU市民の個人情報について、欧州連合が採用している「セーフハーバー協定」と同様レベルの情報保護が行われていないことが確認された。
1995年10月24日付個人情報保護及び情報流通の自由化に関するEU指令第95/46/CEによると、適切なレベルの情報保護が保証されない限り、第三国に個人情報を譲渡することはできない。欧州委員会は、第三国が自国の規範及び国際的取り決めについて、適切なレベルでの情報保護を行っている点につき独自に宣言を行うことができるとされており、実際に上述の決定第2000/520/CE号では、米国の情報保護について、適切なレベルである旨宣言をしている。
欧州連合司法裁判所は、欧州委員会第200/520/CE号の決定は、個人情報保護のための国家機関に与えられた権限を無効とすることも、制限することもできないとした。さらに、当該テーマに関するEU指令の規定のいずれも、欧州委員会の決定の対象となった第三国への個人情報の譲渡を国家機関がコントロールすることを妨げていない旨を示した。また、米国がヨーロッパと同様の個人情報保護システムを持ち合わせていることを欧州委員会が証明していないため、当該決定は無効であると宣した。
当該判決が直接企業にもたらす影響は、今後、ヨーロッパ・米国間で情報の譲渡を行う場合には、各国の情報保護の管轄機関によって当該情報の譲渡にかかる承認がされなければならないという点である。スペインにおいては、情報保護局局長（Director de la Agencia Española de Protección de Datos）の承認が必要となる。
最後に、EU市民の個人情報を取り扱う企業に対してEUの法規範に各社の規則を適合させるためのツールの提供を目的とする、情報保護に関するEU規則が2016年初頭に承認される見通しである。当該規則は、EU加盟国間の異なる情報保護に関する法令を統一し、個人情報保護に関する法的義務を限定し、企業がより簡易なプロセスで事業を行なうことができるようにすることを目指している。
ヴィラ法律事務所
より詳細な情報については下記までご連絡ください。
2015年11月13日
