【オンデマンドブック】日欧 個人情報・個人データの国際移転の実務 [第3版] － 十分性認定後の選択肢と対応 －

【2019年8月末までのKindle版購入・無料購読者でご希望の方には本書掲載の各契約書の書式・訳を無償提供（末尾メールアドレスまで）】

本書は最初に2017年9月出版されたが、その後2019年1月に日EU相互十分性認定が成立した。
従って、今後、EU域内から日本への個人データの移転は、十分性認定に基づき補完的ルールを遵守すれば必ずしも所定の標準契約条項 (SCC)によらなくてもよいことになった。
しかし、このことは、全ての移転に契約書が不要になったことを意味しない。

本書において解説する通り、EU域内の移転元が日本に対する十分性認定に基づき日本国内の移転先に個人データを移転する場合、その移転先が個人データの処理委託先（「処理者」）であるときはGDPR第28条により両者間で処理委託契約書を締結する必要がある。

同様に移転先がGDPR第26条の個人データの「共同管理者」に該当する場合は、同条において義務付けられている共同管理者間の取決めを行うため契約書の締結が必要である。

移転先が単独の管理者である場合も、その移転についてGDPR第6条に定めるいずれかの処理の適法性の根拠を要するところ、その根拠がデータ主体の同意であれば、移転元としては、移転先による利用目的をその同意の範囲内に制限しかつそのことを証明できなければならない（第24条）から事実上契約書が必要となる。その他の根拠の場合も、移転した個人データについて、移転先に対し、秘密保持、再移転禁止、移転元がデータ主体の権利行使を受けた場合の協力、移転先でのデータ漏えいの報告等を義務付けるためには契約書が必要である。

上記は、日本の提供元がEUに対する十分性認定に基づきEU域内の提供先に個人データを提供する場合も同様であり、その提供先が個人データの取扱委託先であるときは法第22条（委託先の監督）により取扱委託契約が、第23条5項三号の共同利用の関係にあるときは共同利用契約が、移転先が単独の利用者であるときも、上記と同様、提供した個人データについて、提供先に対し、秘密保持等を義務付けるためには契約書が必要である。

そこで、第3版では、相互十分性認定の内容自体の他、これら契約書の必要性も踏まえ、十分性認定後の選択肢や対応についても解説した。

その他、第3版では以下の追加や見直しも行った。

- 補完的ルールに基づく社内規程（著者案）
- SCCの多数当事者間一括契約用の委任状と一部修正(著者案)
- フランスの監督機関CNILが公表したGDPR第28条に基づく処理委託契約案の訳とSCC（対処理者）との比較
- GDPR第26条に基づく共同管理契約（著者案）
- 個人情報保護法に基づく外国提供契約（全面改訂）
- 英国のEU離脱の影響の解説
- クラウドサービスによる処理委託と域外移転に関するAmazonとGoogleの規約の解説
- GDPRの域外適用のガイドライン案の概要
- その他第2版の記述の見直し

review「AT」theunilaw.com(「AT」の部分をアットマークに置き換えてください)【本の内容】