当面は、標準契約条項、拘束力を有する企業の内部規定で十分

欧州司法裁判所が2000年の欧州委員会と米政府との合意によるセーフ・ハーバーを無効と判断して以降、セーフ・ハーバーに代えて、標準契約条項（Standard Contractual Clauses）の採用、拘束力を有する企業の内部規定（Binding Corporate Rules、以下「ＢＣＲ」といいます。）の制定といったデータ保護手段を利用することで、EUから米国への個人データの移転を合法とすることができるかどうか、明確ではありませんでした。この点、ドイツのある州のデータ保護当局が、標準契約条項に基づくデータ移転を認めないとの声明を発表したことで、いっそう不明瞭となっていました。

これに対し、各国のデータ保護当局、欧州データ保護監督官および欧州委員会の代表からなる、データ保護問題に関する独立の諮問機関である、29条作業部会（以下「作業部会」といいます。）は、セーフ・ハーバー無効の実務上の取扱いについての企業向けガイドラインを含む共同声明を発表し、この中で、標準契約条項、ＢＣＲといった代替保護手段を用いることができるとしました。これは、特に、セーフ・ハーバーに基づいて個人データを欧州連合から米国に移転していた、4400社以上の企業にとって、重要です。

作業部会は、米国へのデータ移転の適切なフレームワークは、2016年1月末に確定するとみています。それまで、作業部会は、欧州司法裁判所の先の判決の標準契約条項、ＢＣＲに対する影響を継続的に調査するとしました。したがって、先の判決が、これらの代替的保護手段にも影響する可能性があります。

作業部会は、2016年1月末までの間、標準契約条項やＢＣＲを、各国のデータ保護当局がデータ移転を許容する基礎として取り扱うことを確認しました。但し、申立てがあったような場合に、当局が個々のケースについて調査することは、妨げられないと述べています。