⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

個人データの越境移転に関する標準契約条項の和文補足合意

第1部: 書式本文

【移転元名称】(以下「甲」という)と【移転先名称】(以下「乙」という)は、甲乙間で別途締結した欧州委員会の標準契約条項(Standard Contractual Clauses。以下「SCC」という)を前提として、日本の個人情報保護法上の要請を満たすことを目的に、以下のとおり補足合意(以下「本合意」という)を締結する。

第1条(目的) 本合意は、甲がSCCに基づき乙に対して個人データを移転するにあたり、個人情報保護法第28条に定める外国にある第三者への提供に関する規律を満たすための甲乙間の運用を補足することを目的とする。SCCと本合意の内容が抵触する場合、データ保護に関する保護水準がより高い定めを優先する。

第2条(定義) 本合意において「対象個人データ」とは、甲が乙に対して移転する個人データのうち別紙【1】に特定するものをいう。「本人」とは対象個人データによって識別される個人をいう。

第3条(適用モジュールの確認) 甲および乙は、締結済みのSCCについて、甲乙間の移転類型(管理者間移転、管理者から処理者への移転等)に対応するモジュールが選択されていることを相互に確認する。

第4条(個人情報保護法28条上の体制整備の確認) 1. 甲は、個人情報保護法第28条第1項に基づき、本人の同意を得るか、または同条第3項に基づく体制整備を行った第三者への提供として本人への情報提供を行ったうえで対象個人データを乙に移転する。 2. 乙は、対象個人データの取扱いにつき、個人情報保護法が求める水準に相当する措置(利用目的の特定、安全管理措置、本人からの開示等請求への対応体制を含む)を継続的に維持していることを甲に対して表明する。 3. 乙は、甲の求めに応じ、乙における体制整備の状況を示す資料(社内規程、認証取得状況等)を提出する。

第5条(記録の作成・保存義務) 1. 甲は、個人情報保護法上の第三者提供記録に関する規律に従い、対象個人データの移転日、移転先、移転する個人データの項目等を記録し、法令が定める期間保存する。 2. 乙は、甲の求めに応じ、対象個人データの取扱状況(取扱いを終了した日、廃棄・消去の記録等)に関する情報を甲に提供する。

第6条(確認義務・監査協力) 1. 甲は、乙における対象個人データの取扱状況について、合理的な範囲で確認を行うことができる。 2. 乙は、甲またはその指定する第三者による監査に合理的な範囲で協力するものとし、当該監査に要する合理的な費用の負担については別途甲乙協議のうえ定める。

第7条(サブプロセッサへの再移転) 乙が対象個人データの取扱いの全部または一部を第三者(サブプロセッサ)に再委託する場合、乙は事前に甲の書面(電磁的方法を含む)による承諾を得るものとし、当該第三者との間でSCCおよび本合意と同等の義務を課す契約を締結する。

第8条(移転の停止) 乙が本合意またはSCCに定める義務に重大な違反をした場合、または乙の所在国の法令変更により対象個人データの保護水準がSCCの定める水準を満たさなくなったと合理的に判断される場合、甲は対象個人データの移転を停止し、既に移転した対象個人データの返還または消去を求めることができる。

第9条(データ主体・本人からの請求への対応) 甲および乙は、対象個人データに関し本人から開示、訂正、利用停止等の請求を受けた場合、遅滞なく相手方に通知し、法令上必要な範囲で協力する。

第10条(有効期間) 本合意の有効期間は、SCCの効力が存続する限り継続するものとし、SCCが終了した場合、本合意も同時に終了する。ただし、記録保存義務その他性質上存続すべき条項はこの限りでない。

第11条(準拠法) 本合意の成立、効力、解釈および履行に関する事項は日本法に準拠する。SCC自体の準拠法(通常はEU加盟国法)とは別個に定めるものとし、両者の適用関係に疑義が生じた場合は甲乙協議のうえ解決する。

第2部: 立場別・場面別の書き換えパターン

A. データ移転元向け

甲(移転元)の立場からは、乙の体制整備状況を継続的に把握できるよう、第4条3項の資料提出義務に加えて「乙は年【1】回、取扱状況に関する自己点検結果を甲に報告する」といった定期報告条項を追加する修正が有効である。また第8条の移転停止条項について、乙の法域における法令変更のモニタリング責任を甲乙いずれが負うかを明確化する追記も検討に値する。

B. データ移転先向け

乙(移転先)の立場からは、監査協力義務(第6条2項)が無制限に拡大することを避けるため、「監査の頻度は年【1】回を上限とし、乙の通常業務に支障を来さない方法により実施する」旨の上限を設ける修正が考えられる。また第7条のサブプロセッサ再委託についても、既存の主要な委託先をあらかじめ別紙で特定し、当該委託先については個別の事前承諾を不要とする簡素化を図る例がある。

第3部: 書き方と法的ポイント解説

本書式は、日本企業とEU域内の事業者(またはその逆)との間で既にSCCを締結している場合に、日本の個人情報保護法固有の要請を満たすための補足文書として用いる場面を想定する。SCCそのものを新規に作成する場面や、SCC自体の条項内容(責任分担、損害賠償条項等)を修正する目的には適合しないため、SCC本体の起案は別途対応する必要がある。

根拠法令としては、個人情報保護法第28条(外国にある第三者への提供)を中心とし、同条が定める本人同意の取得または移転先における体制整備の確認義務、および同法における第三者提供記録の作成・保存義務(いわゆるトレーサビリティ確保の規律)を反映した。また、SCCは欧州委員会が2021年に採択した実施決定に基づく標準契約条項であり、GDPR第5章の第三国移転規律を満たす手段の一つとして位置付けられる。本合意はSCCを代替するものではなく、これに加えて日本法上の要請(本人への情報提供、記録保存)を充足させる位置付けである点に注意を要する。

実務でよくある失敗として、第一に、SCCを締結すれば個人情報保護法上の義務も自動的に充足されると誤解し、日本法固有の記録保存義務や本人への情報提供義務への対応が漏れる例が挙げられる。第4条・第5条のように、両者が別個の要請であることを明示し、それぞれの対応を条文化することで防止する。第二に、移転先の体制整備状況を契約締結時点でのみ確認し、その後の継続的な確認を怠る例がある。第6条のように、確認・監査に関する継続的な仕組みを設けることが望ましい。第三に、サブプロセッサへの再移転について何ら定めを置かず、移転先がさらに第三国へ個人データを移転してしまう例があるが、第7条のように再委託に事前承諾を要する構成とすることが有効である。SCCの選択モジュールや条項の解釈は事案ごとに異なるため、個別事案については専門家に確認することが望ましい。

第4部: 使用前チェックリスト・確認事項

• [ ] SCCの締結の有無および選択モジュールを確認したか
• [ ] 対象個人データの範囲を別紙で特定したか
• [ ] 個人情報保護法第28条上、本人同意によるか体制整備確認によるかを選択したか
• [ ] 移転先の体制整備状況を示す資料の提出を求める条項を置いたか
• [ ] 第三者提供記録の作成・保存義務の分担を定めたか
• [ ] 監査協力義務の範囲・頻度・費用負担を明確にしたか
• [ ] サブプロセッサへの再委託における事前承諾手続を定めたか
• [ ] 移転先の法令変更等による移転停止条項を置いたか
• [ ] 本人からの開示等請求への協力体制を定めたか
• [ ] 本合意とSCC本体の準拠法・優先関係を整理したか