日本の十分性認定を正式決定

2019年1月23日、欧州委員会は日本が十分な水準の情報保護制度を確立していると決定した旨公表しました。本決定を受け、特別な措置を取ることなく欧州経済領域から日本に対して個人情報を自由に移転することが可能になりました。

欧州の情報保護規制の下、欧州経済領域で取得した個人情報を第三国に移転することは長い間厳格に禁じられてきました。同規制の下で、欧州の一般データ保護規制（GDPR）と同水準の情報保護制度を確立していると認定された国は数えるほどでした。

十分性認定を受けると、認定を受けた国への個人情報の移転については欧州連合加盟国への移転と同様に扱われます。つまり、十分性認定を受けた国への個人情報の移転については、GDPR46条以下の要件（例えば拘束的企業準則（BCR）の導入や、欧州委員会が採用している標準契約条項（SCC）の締結など）を満たす必要がなくなります。
1月23日に欧州委員会は日本の十分性認定を決定したと公表し、即時に発効しました。欧州経済領域（すべての欧州連合加盟国並びにアイスランド、リヒテンシュタイン及びノルウェー）から日本へのすべての個人情報の移転に適用されます。

欧州データ保護会議（EDPB）からの助言

十分性認定の決定は、2017年に始まり2018年9月の欧州委員会による草案決定に至るまでの手続き（詳細はこちら）の最後の手続きとなりました。長期に及ぶ日欧間の交渉の結果です。欧州データ保護会議（EDPB）（各欧州連合加盟国の監督官庁で構成される独立した欧州連合の組織）は、2018年12月5日、十分性認定の草案決定に対して助言を行いました。欧州委員会はこの欧州データ保護会議の助言を受け入れ、最終決定に反映させています。

日本の独自性

十分性認定を受けて、日本は、カナダやスイスなどと同様に、欧州委員会により個人情報に対する適切な保護を確立していると認定された国のリストに加わりました。

今回の十分性認定は、GDPR下における初めての認定であり、また、同日付で日本においても同様に欧州経済領域への情報移転が認められたという、双方向の認定でもあります。

今回の十分性認定は、日欧間で署名され2019年2月1日に発効する日EU経済連携協定（EPA）が、6億人超の人口と世界GDPの約3分の1を含む自由貿易圏を生み出そうとするのをさらに後押しするものです。