制度案内

TOP > 制度案内 > PMS構築・運用 > 十分性認定に関する補完的ルールへの対応について

十分性認定に関する補完的ルールへの対応について

「EU及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」への対応について

平成30年9月、個人情報保護委員会より、日EU^（注）間での相互の個人データ移転を図るため、「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」が公表されました。その後、令和2年2月1日英国がEUを離脱しましたが、日EU間と同様に、日英間の円滑な個人データ移転が確保されることを、個人情報保護委員会が公表するとともに、同日より、「個人情報の保護に関する法律に係るEU及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」（以下、「補完的ルール」という。）と名称が改められました。

この「十分性認定」とは、欧州委員会が、特定の国や地域が個人データについて十分な保護水準を確保していると決定することをいい、この度、日本も“十分性認定”を受けることになり、EU域内の法制度に基づいた、企業間の契約条項等で適切な保護措置を確保することなどの他の条件を満たさなくても、日本国内法と「補完的ルール」を遵守すれば、EU域内の事業者から個人データの移転を受けることが可能となります。

「補完的ルール」については、EU及び英国域内から日本国内への個人データの移転に際して、個人情報保護制度の相違点を埋めるための法的拘束力を有するものであるため、EU及び英国域内から十分性認定により移転を受けた個人データを取り扱う事業者は、補完的ルールの施行後、個人情報保護法に加え、「補完的ルール」の遵守が必要となります。

プライバシーマーク付与事業者、新規に付与を受けようとする事業者（以下、合わせて「プライバシーマークの付与を受けようとする事業者」という。）において、「補完的ルール」への対応が必要となる事業者におかれましては、本資料に示す事項をご参照の上、ご対応をお願いします。

なお、「補完的ルール」の対象となるかご判断が難しい場合等、本件に関してご不明な点がありましたら、申請先審査機関又はJIPDECまでご相談ください。

※注：ここでの「EU」とは、欧州連合加盟国及び欧州経済領域（EEA：European Economic Area）協定に基づきアイスランド、リヒテンシュタイン及びノルウェーを含む、欧州連合（European Union）を指す。