欧州委員会新SCCを正式採択企業は契約再締結が必要 | BizRis

欧州委員会が新SCCを正式採択

EUの執行機関である欧州委員会は、6月4日、EU域外第三国に個人データを移転する場合の保護措置の一つとしてGDPR第46条に位置づけられている標準契約条項（standard contractual clauses）（以下「SCC」）の改訂版を正式採択した。新SCCは6月27日に有効となり、9月27日には旧SCC（Decision 2001/497/EC及びDecision 2010/87/EU）が廃止される。経過措置として、旧SCC廃止以前に旧SCCに基づいて締結されたデータ保護契約は、2022年12月27日まで有効とされる。つまり、来年12月27日までには、旧SCCに基づくデータ保護契約は新SCCに基づくデータ保護契約に締結し直す必要がある。

シュレムスII判決による義務を織込み

2020年７月に欧州司法裁判所（CJEU）が下したシュレムスII判決により、旧SCC準拠データ保護契約を保護措置としてEU域外第三国に個人データを移転する事業者等には、

移転先国の法制度及びその運用によりSCCに基づく義務の履行が妨げられないかどうかを継続的にすること
SCCに基づく義務の履行が妨げられる事態が生じる場合には、一定の補完的措置を講じること
補完的措置を講じてもなおSCCに基づく義務が履行できない場合には、移転を中心するなどの対応をとること

が求められている。新SCCはこれらの確認義務、確認結果の文書化義務および必要に応じた補完的措置義務を包含している。事業者等は、現在のデータ保護契約を新SCCに準拠したものに更改することにより、これらの義務を履行できることになる。したがって、事業者は、現時点で既に求められているシュレムスII判決への対応の選択肢として、18ヶ月の猶予期間を待たず、新SCC準拠契約への対応を考慮すべきである。