2020年7月16日のCJEU（EU司法裁判所）によるSchrems II判決は、EU-USプライバシーシールドを無効とし、標準契約条項（SCC）は原則として依然有効であるものの、移転先国の法がその提供する保護を損なう場合には依拠できないことを明確にしました。管理者および処理者は、各移転について移転影響評価（TIA）を実施しなければなりません。

EDPBの勧告01/2020は6ステップの手法を定めています。適切に実施されたTIAは、移転、移転先国の法制、適用した補完的措置、および結論を文書化し、監査において防御可能なものとなります。不十分に実施されたTIAは、執行の前に崩れ去る形式的なチェック作業にすぎません。

2023年のEU-USデータプライバシーフレームワーク（DPF）は、認証された米国の輸入者への移転について十分性を回復しました。しかし、それはすべての移転をカバーするわけではなく、再び異議を申し立てられる可能性があり（Schrems IIIが提起されています）、米国以外への移転の大半は依然としてTIAを要するSCCに依拠しています。

この事件（C-311/18）はプライバシーシールドを無効とし、SCCの利用者に警鐘を鳴らしました。CJEUは次のように判断しました。

• SCCは移転の手段として依然有効である。
• ただし、管理者は移転前に、移転先国の法が本質的に同等の保護を提供することを確認しなければならない。
• 第三国の法（特にFISA第702条およびEO 12333に基づく米国の監視を含む）がその同等性を損なう場合、それを回復するために補完的措置を適用しなければならない。
• いかなる措置によっても同等性を回復できない場合、移転は停止しなければならない。

実務的には、SCCだけでは十分ではありません。TIAは、貴社がその作業を行ったことを示す文書による証拠です。

1. 移転を把握する。EEA域外への個人データのすべての移転を対応付けます。EEA域外からのリモートアクセスを含みます。
2. 移転の仕組みを特定する。SCC、BCR、適用除外、十分性認定。
3. 第三国の法および実務を評価する — 本質的に同等の保護を提供しているか。
4. 補完的措置を特定する — 技術的、契約的、組織的措置。
5. 選択した措置に必要な手続き上のステップを実施する。
6. 適切な間隔で、または状況が変化したときに再評価する。

把握していないものをTIAの対象にすることはできません。次のものをインベントリ化してください。

• EEA域外のすべての処理者および再処理者。
• EEA域外のサポートエンジニアによるリモートアクセス（これは移転に該当します）。
• データをホストするクラウドリージョン。レプリケーションおよびバックアップの所在地を含みます。
• 処理者が行う以降の移転。

第30条のROPAを出発点として利用しつつ、実際のインフラと照合して検証してください。クラウドプロバイダーは、既定でEEA域外のリージョンにレプリケーションまたはフェイルオーバーすることがよくあります。これは移転に該当します。

• 十分性認定（第45条） — TIAは不要です。現在の十分性認定国・地域。アンドラ、アルゼンチン、カナダ（商業組織）、フェロー諸島、ガーンジー、イスラエル、マン島、日本、ジャージー、ニュージーランド、大韓民国、スイス、英国、ウルグアイ、米国（DPFの下）。依拠する十分性認定を文書化しておくことは依然有用です。
• SCC（第46条(2)(c)） — モジュール1（管理者から管理者へ）、モジュール2（管理者から処理者へ）、モジュール3（処理者から処理者へ）、モジュール4（処理者から管理者へ）。最も一般的なのはモジュール2です。TIAが必要です。
• BCR（第47条） — 承認された拘束的企業準則に基づくグループ内移転。EEA域外への移転については依然としてTIAが推奨されます。
• 適用除外（第49条） — 明示的な同意、契約の履行、重大な利益、重要な公共の利益。狭く、例外的な利用に限られます。
• UK IDTA / UK Addendum — 英国の移転にはIDTAまたはEU SCCに対するUK Addendumを使用します。

TIAの中核です。各移転先国について、次の点を評価します。

• 監視法令および実務。民間企業が保有するデータへの政府アクセス — その範囲、監督、比例性、司法的救済。
• 移転先国におけるEEA居住者のデータ主体の権利 — 意味があり、執行可能か。
• 監督機関の独立性。
• 法の支配の指標 — 司法の独立性、透明性。
• 移転されるデータの種類および輸入者の業種を対象とする個別の公的機関によるアクセス権限。

EDPB勧告02/2020は「本質的保証」のフレームワークを定めています。米国への移転については、FISA第702条および大統領令12333が主要な懸念事項です。米国以外については、その国の法を個別に評価してください。多くのTIAは、低リスク国について検討を行わずに一律に「十分」と既定で扱っていますが、これこそ規制当局が指摘する点です。

3つのカテゴリーがあります。それぞれを組み合わせて適用してください。

4.1 技術的措置

• 暗号化 — 鍵をEEA内（または十分性認定国）でのみ保持する強力な暗号方式。輸入者は復号化されたデータにアクセスできてはなりません。
• 仮名化 — 輸入者が、EEA内に保持される情報なしには再識別できない場合。
• 分割処理 — 輸入者がデータセット全体を決して見られないようにシャーディングします。
• マルチパーティ計算、セキュアエンクレーブ、コンフィデンシャルコンピューティング — 該当する場合の新興技術。

4.2 契約的措置

• 監査権、政府アクセス要求に関する透明性義務、アクセス要求に異議を申し立てる義務、データ主体に通知する義務、違法な開示に対する補償。
• SCCモジュール2の附属書IIにはこれらの多くがすでに含まれています。不十分な場合は補強してください。

4.3 組織的措置

• 当局への任意の開示を禁止する社内方針。
• 担当者向けの政府アクセスに関するトレーニング。
• アクセス要求への対応について文書化された手順。
• 透明性レポート。
• 移転先国の誰が何を見られるかを制限する厳格なアクセス制御。

• SCC（および該当する場合はUK Addendum）を正式に締結します。
• TIAを文書化します — 書面、日付付き、関係者の承認を得たもの。
• 移転についてデータ主体に通知するため、プライバシー通知を更新します。
• 第30条のROPAのエントリを更新します。
• 第49条の適用除外を用いる場合は、明示的な根拠を文書化し、移転が反復的でないことを確保します。
• 本質的な同等性を回復する補完的措置が存在しないと評価が結論づけた場合は、移転を停止するか、監督機関に通知します。

再評価のきっかけ。

• 移転先国の法または実務における重要な変更。
• 評価に影響する新たな監督機関のガイダンスまたは裁判所の判決。
• 輸入者、再処理者、または処理範囲の変更。
• 移転に追加された新たなデータカテゴリー。
• 既定の頻度としての年次レビュー。

2023年7月10日、欧州委員会はEU-USデータプライバシーフレームワーク（DPF）について十分性認定を採択しました。DPFに認証した米国拠点の企業への移転については、その法的効果は完全な十分性認定と同等であり、DPF認証済みの移転についてはSCCもTIAも不要です。

• 誰が利用できるか。米国商務省のDPFプログラムの下で認証された米国企業。
• 何をカバーするか。その特定の認証済み輸入者への移転。
• 何をカバーしないか。同じく認証されていない再処理者、下流への移転、認証されていない企業への移転。
• リスク。Schrems III（事件C-446/23）が2023年に提起され、DPFの十分性に異議を唱えています。多くの実務家は、十分性が無効とされる場合に備え、念のためSCCを並行して維持しています。

実務的なアドバイス。米国の輸入者がDPF認証済みである場合は、その移転についてはDPFの十分性に依拠しつつ、背後でSCCを締結したままにし、将来への備えとしてTIAも実施しておきましょう。

• Google Analyticsに関する決定（オーストリアDPA 2021年、フランスCNIL 2022年、イタリアGarante 2022年） — 米国への移転を伴うGoogle Analyticsの利用は、補完的措置がなければ違法であると認定されました。
• Meta / Facebook（アイルランドDPC 2023年） — 十分な保護措置なしにSCCの下でEUユーザーデータを米国へ移転したことに対する12億ユーロの制裁金。
• ノルウェーDPA — TikTok（2023年） — 違法な移転であるとの暫定的な認定。
• NOYB主導の各種申立て — クッキー由来の分析データの移転をめぐる継続的な圧力。