ファイル共有における越境データ移転ルール

EU から第三国へのファイル転送には、GDPR 第 44〜50 条の第 V 章に基づく移転ツールのいずれかが必要です。十分性認定（第 45 条）、標準契約条項（SCC、第 46 条）、拘束的企業準則（BCR、第 47 条）、または免除（第 49 条）です。Schrems II が 2020 年 7 月に Privacy Shield を無効にして以来、SCC に基づくすべての移転には、送信先国の監視法が保護を損なうかどうかを文書化した移転影響評価（TIA）も必要になっています。これを誤ると、全世界売上高の 4% の制裁金に加え、データフローを停止する差止命令のリスクが生じます。

信頼できる十分性認定

2026 年時点で欧州委員会が十分性を認定した第三国は次のとおりです。アンドラ、アルゼンチン、カナダ（商業事業者のみ）、フェロー諸島、ガーンジー、イスラエル、マン島、日本、ジャージー、ニュージーランド、韓国、スイス、英国、米国（DPF 認定事業者のみ）、ウルグアイ。これらの目的地への転送には追加の第 46 条の保護措置は不要です。他のすべての国—インド、ブラジル、中国、特定のフレームワーク外のオーストラリア、アフリカとラテンアメリカの大部分—には SCC プラス TIA が必要です。十分性リストは更新されます。依拠する前に欧州委員会の公式登録簿を確認してください。

SCC の四つのモジュール

委員会実施決定 2021/914（2021 年 6 月）は四つのモジュールを持つ現行の SCC を導入しました。モジュール 1：管理者から管理者（エクスポートした .csv をブラジルのパートナーと共有する）。モジュール 2：管理者からプロセッサ（DPF 認定を受けていない米国ベースの転送サービスを使用する）。モジュール 3：プロセッサからプロセッサ（DPA プロセッサが EEA 外のサブプロセッサを使用する）。モジュール 4：プロセッサから管理者（プロセッサから第三国の管理者にデータをエクスポートする）。正しいモジュールを選んでください—誤ったモジュールは何もないのと同様に無効です。

Schrems II 後の移転影響評価

CJEU の Schrems II 判決（C-311/18、2020 年 7 月）は、輸出者に現地の監視法を考慮してインポーターが SCC のコミットメントを実際に遵守できるか検証することを要求しています。EDPB 勧告 01/2020（2021 年 6 月採択）は六つのステップを示しています。（1）転送のマッピング、（2）移転ツールの特定、（3）送信先国における有効性の評価、（4）追加的保護措置の特定、（5）手続きステップ、（6）定期的な再評価。米国への移転で懸念される法律は FISA 第 702 条と大統領令 12333 です。中国への移転では 2017 年の国家情報法と 2021 年のデータセキュリティ法が懸念されます。

実際に機能する追加的保護措置

EDPB は追加的保護措置を技術的・契約的・組織的のカテゴリに分類しています。最も積極的な監視にも耐えられるのは技術的な措置だけです。データ輸出者のみが鍵を保持するクライアントサイド E2EE による転送中の暗号化は、インポーターが外国当局には役に立たない暗号化されたデータのみを保有することを意味します。再識別鍵が EEA 内に留まる仮名化は、ほとんどのユースケースで同等です。契約的措置—アクセス通知条項、透明性レポート—は重要ですが、強制的な開示を阻止できません。組織的な措置（アクセス制御、トレーニング）は基本要件であり、解決策ではありません。

EU-US データプライバシーフレームワーク

EU-US DPF は欧州委員会の十分性認定（2023 年 7 月）後に発効し、認定事業者への米国移転の簡略化された経路を復元しました。企業は米国商務省を通じて年次自己認定を行い、DPF 原則にコミットし、FTC の執行に服します。2026 年初頭時点で主要な SaaS ベンダーのほとんどを含む 2,500 以上の米国企業が認定を受けていました。DPF 認定受信者への転送には SCC も TIA も不要です。各転送前に dataprivacyframework.gov で認定を確認してください。認定は失効することがあり、失効後の転送は SCC 要件に戻ります。

グループ内移転のための拘束的企業準則

第 47 条の BCR は企業グループ内のすべての企業を拘束する内部行動規範で、関係するすべての機関との協議を経て主任監督機関が承認します。承認には 18〜36 か月を要し、法的費用は 10〜30 万ユーロかかります。承認されると、BCR はすべてのグループ内移転をカバーします—ドイツの本社がシンガポール、メキシコ、ナイジェリアの子会社に人事ファイルを自由に送れるようになります。BCR はサードパーティプロセッサには役立ちません。そのためには SCC が引き続き必要です。2025 年時点で約 120 グループが承認済み BCR を保有していました。

エッジケースのための第 49 条の免除

第 49 条は特定の状況において第 46 条の保護措置なしの移転を認めています。リスク開示を伴う明示的な同意（49（1）（a））、契約履行に必要な移転（49（1）（b））、公共の利益の重要な理由（49（1）（d））、法的請求の設定または防御（49（1）（e））、生死に関わる利益（49（1）（f））、公開登録簿からの移転（49（1）（g））。第 49 条に関する EDPB ガイドライン 2/2018 はこれらが「偶発的かつ非反復的な」例外であることを強調しています。継続的な顧客ファイル転送に第 49 条（1）（a）の同意を使用することは非準拠です。訴訟のために案件ファイルを米国の相手方弁護士に送るために第 49 条（1）（e）を使用することは問題ありません。

GDPR を超える国別の規則

中国の個人情報保護法（PIPL、2021 年 11 月）は大量または機密データの輸出に CAC による安全評価を要求しています。ロシアのデータローカライゼーション法（242-FZ、2015 年 9 月）はロシア市民の個人データを最初にロシア国内に保存することを要求しています。ブラジルの LGPD（2020 年 8 月）は独自の十分性フレームワークを持っています。インドのデジタル個人データ保護法（2023 年 8 月、施行規則制定中）は中央政府がブラックリストに載せた国への移転を制限します。これらの管轄に関わるファイル転送には現地の法律顧問が必要です—GDPR への準拠だけでは十分ではありません。

越境コンプライアンスの実用的なアーキテクチャ

クリーンな越境ファイル転送アーキテクチャ：（1）プロバイダがアクセスできない鍵でクライアントサイド暗号化し、外国プロバイダが暗号文のみを保有するようにする。（2）ファイルストレージとメタデータを EU リージョンに固定する（OVH グラブリーヌ、明示的なレプリケーションなしの AWS フランクフルト、Scaleway パリ）。（3）送信先国と適法根拠を含むすべての転送をログに記録する。（4）所在地リスクを最小化するためにファイルを 7〜30 日後に自動失効させる。（5）管轄と目的を含むライブのサブプロセッサ台帳を維持する。 HexaTransfer のようなサービスはこれらのパターンを最初から実装しています—EU 専用ストレージ、クライアントサイド AES-256-GCM、7 日間の有効期限。

第 30 条（1）（e）に基づく記録の維持

第 30 条（1）（e）は管理者に対し、国際移転を伴う各処理活動について、第三国と頼りにしている保護措置を文書化することを要求しています。転送サービスの記録エントリはこのように記載すべきです。「クライアントパートナーへのファイル納品物、米国（DPF 認定）と英国（十分性認定）への移転、非認定サブプロセッサには SCC モジュール 2、TIA 日付 [日付] 年次見直し。」TIA はバージョン管理しておいてください。監督機関は調査中に現行バージョンだけでなく履歴も検査します。

最初のバイトが動く前に移転経路を設計してください。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。