一般財団法人日本情報経済社会推進協会
認定個人情報保護団体事務局　事務局長　奥原　早苗

これまで、個人データの越境移転ツール（認証制度）として運用されている仕組みとしては、APECのCBPRs一択と言っても良い状況でした。そのAPEC CBPRsも本格的に稼働したのは2013年のため、比較的歴史の浅い制度と言えます。そうしたことも要因の一つとして考えられますが、国際的な会合の場等で課題として挙げられてきたのは、制度自体の認知度が低いこと、認証を取得している企業が思うように伸びていないこと等です。

APEC域内においても、全エコノミー（以下、「国や地域」）が21ある中で、全てがこの制度に参加しているのかと言えばCBPRsに参加する国や地域は9と全体の半数に及ばず、さらに認証制度を適正に運用するために必要となるアカウンタビリティ・エージェント（AA）と呼ばれる認証審査機関を設置できている国や地域は5に留まります。そこで、APECに複数設置される委員会の中で「デジタルエコノミー運営グループ（DESG）」およびDESG内でCBPRsの活動を推進する「データプライバシーサブグループ（DPS）」では、参加する国や地域の拡大、認知度の向上、制度の改善他、さまざまな取り組みを行ってきました。

近年、わが国のみならず個人データの越境移転は世界的に拡大しており、「企業IT利活用動向調査2024」の結果でも「データの越境移転を行っている」と回答した企業は66.4％となっており、「今後さらに増えていく」と答えた企業はそのうちの1/4を占めています。ただし、自社が取り扱う個人データが越境しているかどうかを正しく把握できている企業はどれ位でしょうか。当協会は、2016年にAPEC CBPR認証制度における日本の審査機関として認定を受けてから、さまざまな情報流を審査する中で、クラウド等外部サービスの利用増大も相まって、複雑化するビジネススキームに紐づく業務フローを読み解き情報の棚卸しとマッピングすることの難しさを実感するところです。

国際的な動きとしては、2023年6月にわが国で開催された「G7データ保護・プライバシー機関（DPA）ラウンドテーブル」において、G7 DPA行動計画¹が公表され、データ移転ツールがDFFTの重要な手段であると認識された2022年の前回会合における結論に基づき、移転ツールに対する取り組みがコミットされました。

ここで注目すべきは、安全かつ信頼性のある移転ツールに関する知識を共有するため、グローバル越境プライバシールール（グローバルCBPR）およびEU認証の要件の比較や、既存のモデル契約条項の比較を行うことが取り決められた点です。このグローバルCBPRは、CBPRsをAPECから独立させ、グローバル化するための新たな運営組織として、2022年4月21日に設立が宣言されたグローバルCBPRフォーラムが運営する制度であり、本格的な運用開始が待ち望まれています。この組織には、APEC CBPRに参加する九つの国と地域（米国、日本、カナダ、韓国、シンガポール、チャイニーズタイペイ、フィリピン、メキシコおよびオーストラリア）が参加しており、2023年6月にはAPEC域外で初めて英国が準会員として参加することが承認され、正にグローバルな展開を見せています。2024年4月30日には、全てのシステム文書がグローバルCBPRフォーラムのWebサイトに公開され、当協会もこの新しいCBPR認証制度の審査機関として認定を受けたばかりです。

APECと並び移転ツールの選択肢として新たな国際水準の認証制度が動き始めることは、事業者や規制当局だけでなく、データの提供主体である利用者にとっても安全かつ信頼性のあるデータの取り扱いが行われていることを示す指標の一つとなり得るため、今後さまざまなステークホルダーに注目していただきたいと思います。

• 1　G7 DPA行動計画（仮訳）（個人情報保護委員会）別ウインドウで開く

• 「IT-Report2024 Spring」全文はこちらから
• 「企業IT利活用動向調査2024」集計結果