バイデン米大統領、「EU米データ・プライバシー枠組み」の実施に関する大統領令に署名

米国のジョー・バイデン大統領は10月7日、米国とEUが2022年3月に原則合意した「EU米国データ・プライバシー枠組み（DPF）」の実施に関する大統領令に署名した。

EUは一般データ保護規則（GDPR）に基づき、EUを含む欧州経済領域（EEA）から第三国への個人データの移転を原則違法としているが、EU・米国間では、「プライバシー・シールド」と呼ばれる枠組みの下、米国商務省にプライバシー要件の順守を自己申告した企業について、個人データの移転を可能としていた。しかし、EU司法裁判所（CJEU）が2020年7月にプライバシー・シールドを無効と判断したことを受け、EUと米国は交渉の末に2022年3月、代替枠組みとしてEU米国DPFを設けることで合意していた（2022年3月28日記事参照）。

今回の大統領令は、CJEUが判決で示した、米国政府による市民の監視への懸念に対処する内容となっている。ホワイトハウスが発表したファクトシートによると、大統領令は通信を利用した諜報活動について、規定された国家安全保障上の目的を追求する場合、および法的に有効な優先事項に対応するのに必要な場合に限り、それに見合った程度と方法で実施すると定めている。また米国は、個人情報が今回の大統領令を含む米国法に違反して収集または取り扱われたと主張する個人のために、独立した拘束力のある審査と救済を受けられる制度を導入する（注）。具体的には、国家情報長官室の自由権保護官（CLPO）が個人の主張について調査を行い、法令違反が認められた場合に適切な救済措置を決定する。CLPOの決定に対して、当該個人またはインテリジェンス機関から申し立てがあった場合、司法長官によって設立される「データ保護審査裁判所（DPRC）」が独立した審査を行い、拘束力を伴う最終決定を行う。

欧州委員会は、大統領令に盛り込まれた保護措置が十分か、今後判断する。米国のジーナ・レモンド商務長官は声明で、EU米DPFの運用と執行に関する文書を欧州委側に送付する予定と発表した。米国政治専門紙「ポリティコ」（電子版10月7日）によると、今後の手続きを経て最終的な枠組みが発表されるのは2023年3月ごろになる見込みだ。

米国議会調査局（CRS）によると、プライバシー・シールドが無効となった時点で、同枠組みには米国企業やその欧州子会社など5,380の団体が参加していた。産業界は代替枠組みの早期実施を求めており、米欧などの企業が加盟する情報技術産業協議会（ITI）やコンピュータ通信産業協会（CCIA）は、今回の大統領令を歓迎する声明を出している。

（注）救済制度の対象は、司法長官が別途指定する国・地域から米国に移転された個人データに関する主張に限られる。

（甲斐野裕之）