EU法とGDPR

国境を越えたデータ転送：GDPR、PIPA、及び地域の制限を乗り越える

2026年7月7日 · 17 分で読める

クイックアンサー： 国境を越えたデータ転送は、個人データを国境を越えて移動させることであり、EUのGDPR、韓国のPIPA、中国のPIPL、及びさまざまな業界特有の制度を含む重複した法律のパッチワークによって規制されています。組織は、自らのデータフローに適用される枠組みを特定し、転送が行われる前に標準契約条項や適合性決定などの承認された転送メカニズムを実施する必要があります。遵守しない場合、数千万ユーロに達する罰金、規制当局の調査、及び評判の損失を引き起こす可能性があります。

主なポイント

GDPRは、適合性決定、SCC、または拘束的企業ルールが存在しない限り、EEAから個人データが出ることを制限します。
韓国のPIPAは、国境を越えた転送に対して明示的な同意または合法的な根拠を要求し、いくつかの手続き的な点でGDPRとは異なります。
中国のPIPL及びサイバーセキュリティ法は、特定の国外転送に対する必須のセキュリティ評価を含む、世界で最も厳しいデータローカリゼーション要件を課しています。
2021年6月に更新された標準契約条項（SCC）は、EEAの外にデータを送信する組織にとって最も広く使用されている転送メカニズムです。
2021年の調査では、10,080のモバイルアプリのうち56%がGDPRの国境を越えた転送要件に対して潜在的に非遵守であることがわかりました。[7]
EU-USデータプライバシーフレームワークは無効化されたプライバシーシールドに取って代わりましたが、組織はその法的地位を引き続き監視する必要があります。
データローカリゼーションとデータ転送制限は関連していますが、異なる概念です：ローカリゼーションはデータが保存される場所を義務付け、転送制限はデータがいつ、どのように移動できるかを規制します。
従業員データは国境を越えた転送ルールから免除されません。別個のデータ転送契約や例外が必要な場合が多いです。
コンプライアンスコストは、企業の規模、データ量、関与する法域の数によって大きく異なります。
Biscotti CMP（www.biscotti-cmp.com）などの同意管理プラットフォームは、国境を越えたデータフローに関連する合法的な根拠と同意記録を文書化するのに役立ちます。

国境を越えたデータ転送とは何か、そしてなぜ重要なのか

国境を越えたデータ転送は、個人データが一国から別の国に移動する際に発生します。これは、クラウドストレージ、SaaSプラットフォーム、電子メール、またはAPI統合を通じて行われます。これは重要です。なぜなら、国家のプライバシー法はデータそのものに付随し、組織が設立されている国だけに依存しないからです。

グローバルな業務を運営する企業にとって、米国にホストされた単一のHRプラットフォームがEUオフィスからの従業員記録を処理する場合、それはすでにGDPRの対象となる国境を越えた転送を構成します。同様に、顧客のメールリストを米国の自動化ツールに送信するマーケティング代理店や、非EEA諸国のサーバーを経由してサードパーティの分析サービスを使用する開発者にも当てはまります。

リスクは高いです。2021年以降、複数の法域での規制執行が強化されており、データ保護法の国際的な調和の欠如がルールの重複や競合基準を生み出し、国境を越えて運営する組織のコンプライアンスを複雑にしています。[8]

GDPRはEUの外にデータを送信することにどのように影響するか

GDPRは、いくつかの承認されたメカニズムが存在しない限り、欧州経済地域（EEA）から第三国に個人データを転送することを禁止しています。主なメカニズムは、適合性決定、標準契約条項、及び拘束的企業ルールの3つです。[1]

適合性決定は、欧州委員会が第三国がEEAと本質的に同等のデータ保護レベルを提供していると判断した場合に発行されます。2026年現在、適合性決定は、イギリス、日本、韓国、及びいくつかの他の法域をカバーしています。[1] これらの国へのデータは追加の保護措置なしで自由に流れることができます。

**標準契約条項（SCC）**は、欧州委員会によって発行される事前承認された契約テンプレートです。2021年6月4日に公開された現代化されたSCCは、4つの転送シナリオをカバーしています：コントローラーからコントローラー、コントローラーからプロセッサー、プロセッサーからコントローラー、及びプロセッサーからプロセッサー。[2]

**拘束的企業ルール（BCR）**は、多国籍企業グループが内部の転送を管理するために採用する内部ポリシーです。BCRは、主監督当局の承認を必要とし、法的根拠、データ主体の権利、及び苦情手続きに関する規定を含む必要があります。[1]

「組織は、すべてのデータフローをマッピングして、すべての転送を特定し、個人データがEEAを離れる前に適切な保護措置を適用しなければなりません。」[1]

PIPAとは何か、どの国に適用されるのか

韓国の個人情報保護法（PIPA）は、公共及び民間部門の両方による個人情報の収集、使用、及び国境を越えた転送を規制する国の主要なデータプライバシー法です。PIPAは、組織がどこに基づいているかにかかわらず、韓国の居住者の個人データを処理するすべての組織に適用されます。

PIPAは、データ主体が自らの個人データを国外に転送されることを通知され、一般的に同意することを要求します。具体的な開示には、受取人の身元、転送の目的、転送されるデータ項目、保持期間、及びデータ主体が同意を撤回する方法が含まれなければなりません。

データ転送に関するGDPRとPIPAの違いは何か

GDPRとPIPAは国境を越えたデータ転送を規制していますが、いくつかの手続き的及び実質的な点で異なります。[6]

次元	GDPR (EU/EEA)	PIPA (韓国)
転送メカニズム	適合性決定、SCC、BCR、例外	同意、契約上の必要性、適合性に相当する取り決め
司法協力転送	国際協定に基づき許可	明示的に指定されていない
データ主体通知	SCC及びBCRに対して必要	収集または転送時に必要
監督当局	国家DPA / EDPB	個人情報保護委員会（PIPC）
罰金	世界年間売上の最大4%	違反ごとに最大3億ウォン（約22万米ドル）

実務上の重要な違い：GDPRは複数の転送メカニズムを通じてより柔軟性を提供しますが、PIPAのデフォルト要件は明示的な同意に重く依存しており、韓国で運営する組織にとって同意管理インフラが特に重要になります。[6]

標準契約条項とは何か、必要か

標準契約条項は、国境を越えた転送中に個人データを保護するために、データの輸出者と輸入者を法的に拘束する欧州委員会によって発行された事前承認された契約条項です。適合性決定のない国にEEAから個人データを送信する組織は、ほぼ確実にSCCが必要です。[2]

2021年のSCCは、古い2001年及び2010年のバージョンを置き換え、すべてのデータ転送関係をカバーするモジュラー構造を導入しました。レガシーSCCを使用していた組織は、新しいバージョンに移行するための期限が2022年12月27日でした。

SCCが必要な場合：

米国のCRMまたはマーケティングプラットフォームに顧客データを送信する
EEAの外にサーバーを持つクラウドプロバイダーを使用する
非EEAの親会社と従業員データを共有する
分析、サポート、または開発のために非EEAのプロセッサーを利用する

SCCが必要ない場合：

適合性決定のある国にデータを転送する
グループ内の転送にBCRを依存する
特定の例外（例：偶発的な転送のための明示的な同意）を適用する

最も厳しいデータ転送制限を持つ国はどこか

中国とロシアは、世界で最も制限の厳しい国境を越えたデータ転送制度を課しています。中国のPIPL（2021年11月1日施行）は、特定の転送に対して明示的な同意、サイバー空間管理局（CAC）によるセキュリティ評価、及び他の標準契約を要求します。[3] 中国のサイバーセキュリティ法は、個人情報及び「重要データ」の国境を越えた転送をさらに制限します。[5]

ロシアは、ロシア市民の個人データが国境を越えた転送が行われる前にロシア国内のサーバーに保存されることを義務付けています。

他に注目すべき制限を持つ法域には以下が含まれます：

インド：デジタル個人データ保護法（DPDPA）は、特定の「ブラックリスト」に載った国への転送を制限します。
インドネシア：政府規則71は、特定の電子システムオペレーターに対してデータローカリゼーションを要求します。
ベトナム：サイバーセキュリティ法は、特定のデータカテゴリに対してローカルストレージを義務付けています。

GDPRの下で米国に個人データを転送できますか

はい、ただし承認されたメカニズムを通じてのみ可能です。2023年7月に採用されたEU-USデータプライバシーフレームワーク（DPF）は、認証を受けた米国の組織に対してSCCなしでデータを転送することを許可します。[9] ただし、DPFは法的な課題に直面しており、組織は2020年にプライバシーシールドが無効化された歴史を考慮して、バックアップの保護措置としてSCCを維持する必要があります。

DPFの下で認証を受けていない米国の組織にとって、SCCは依然として主要なメカニズムです。HIPAAなどの米国の業界特有の法律も、米国の被保護者のために保護された健康情報を処理する外国の企業に義務を課しています。[4]

データローカリゼーションとデータ転送制限の違いは何か

データローカリゼーション法は、特定のデータが物理的に国の境界内に位置するサーバーに保存されることを要求します。データ転送制限は、データが国外に送信される条件を規制します。データがどこに保存されているかに関係なく、データ転送制限に準拠する企業は、データを国境の外に保存しながらも、転送メカニズムが有効であれば遵守することができます。逆に、データローカリゼーション要件を持つ国は、ローカルコピーが保持されている限り、国境を越えた転送を許可する場合があります。中国の制度は両方を組み合わせており、特定のデータカテゴリに対してローカルストレージを義務付け、別途国外転送を制限しています。[5]

コンプライアントな国境を越えたデータ転送を設定するのにかかる費用はどのくらいか

コンプライアンスコストは、組織の規模、データの複雑さ、及び関与する法域の数によって異なります。単一のベンチマークはありませんが、以下のコストカテゴリはほとんどの組織に適用されます：

法的レビュー及びSCCの実行：小規模な組織では数千ドルから、数百のベンダー関係を持つ企業では6桁に達することがあります。
データマッピング及びフロー監査：内部スタッフの時間または外部コンサルタントの料金；中堅企業は通常、包括的な監査に対して2万ドルから10万ドルを費やします。
BCR承認：規制当局との関与を含む数年にわたるプロセス；リソース投資が必要なため、大規模な多国籍企業に通常限定されます。
継続的なコンプライアンス監視：適合性決定、SCCの更新、新しい法域の要件の年次レビュー。

Biscotti CMP（www.biscotti-cmp.com）などの同意管理プラットフォームに投資することで、同意記録を中央集約し、合法的な転送根拠の文書化を支援することで、継続的なコンプライアンスコストを削減できます。

企業が国境を越えたデータ転送ルールに違反した場合はどうなるか

国境を越えた転送に関連するGDPR違反は、より高い罰金の階層に該当します：最大2000万ユーロまたは世界年間売上の4%、いずれか高い方です。監督当局は、適切な保護措置なしに米国に送信されたデータを含む違法な転送に対して、重大な罰金を科しています。

罰金以外の結果には以下が含まれます：

監督当局によるデータ転送業務の停止
強制的な監査及び是正措置計画
データ主体からの民事請求
評判の損失及び顧客の信頼の喪失

中国のPIPLの下では、違反に対して最大5000万元または前年の年間収益の5%の罰金が科される可能性があり、ビジネス運営の停止も考えられます。[3]

従業員データに対してデータ転送契約が必要か

はい。従業員の個人データは、GDPR及びほとんどの他のプライバシーフレームワークの下で顧客データと同じ国境を越えた転送ルールの対象です。多くの組織は、雇用契約や内部のHRポリシーが十分であると誤解していますが、これは有効な転送メカニズムの必要性を置き換えるものではありません。

多国籍グループにとって、BCRは従業員データに対する最も実用的な解決策であることが多く、単一の承認された枠組みの下でグループ内のすべての転送をカバーします。あるいは、雇用する組織とグループ内の受取組織との間でSCCを実行することもできます。

企業が国際データ転送で犯す一般的な間違いは何か

国境を越えたデータ転送における最も一般的なコンプライアンスの失敗には以下が含まれます：

データフローをマッピングしない：組織はデータがどこに行くかを知らなければ、正しいメカニズムを適用できません。2021年の調査では、分析されたモバイルアプリの56%がGDPRの転送要件に対して潜在的に非遵守であることがわかりました。主に第三者のデータフローが開示されていなかったためです。[7]
古いSCCを使用する：2022年12月の移行期限までにレガシーSCCから2021年版に移行しなかった組織は、無効な契約の下で運営しています。
クラウドプロバイダーがコンプライアンスを処理すると仮定する：クラウドプロバイダーはデータ処理契約を提供しますが、データコントローラーは有効な転送メカニズムが存在することを確認する責任があります。
サブプロセッサーチェーンを無視する：プロセッサーが第三国のサブプロセッサーを利用する場合、元のコントローラーはSCCまたは同等の保護措置がチェーン全体に適用されることを確認しなければなりません。
従業員データを見落とす：HRシステム、給与プラットフォーム、及びコラボレーションツールは、適切な契約なしに頻繁に従業員データを国境を越えて転送します。

自社が国境を越えた制限について心配する必要があるかどうかはどうやってわかるか

規制された法域の居住者から個人データを収集し、その法域の外にあるツール、ベンダー、またはインフラを使用するすべての組織は、国境を越えた転送要件に対処する必要があります。これは、米国にホストされたメールマーケティングプラットフォームや分析ツールを使用する小規模企業にも当てはまります。

この判断ルールを使用してください：

EU/EEAの居住者からデータを収集し、非EEAのベンダーを使用する場合、GDPRの転送ルールが適用されます。
韓国の居住者のデータを処理し、海外の組織と共有する場合、PIPAが適用されます。
中国で運営し、個人情報または「重要データ」を中国の外に転送する場合、PIPL及びサイバーセキュリティ法が適用されます。
EUの個人データを受け取る米国の組織は、DPFの認証またはEUのパートナーからのSCCが必要です。

APEC国境を越えたプライバシールール（CBPR）システムは、アジア太平洋の加盟経済圏で運営する組織に対して認証の道筋を提供し、APEC内の転送に対する認識されたコンプライアンスフレームワークを提供します。[9]

FAQ

国間でデータを転送する最も簡単な法的手段は何ですか？ EUの適合性決定のある国にデータを転送することがGDPRの下で最も簡単なルートです。追加の契約や保護措置は必要ありません。他の目的地の場合、データ受取人との間で標準契約条項を実行することが最も簡単な選択肢です。

すべての国際転送にSCCが必要ですか？ いいえ。SCCは、適合性決定のない国にEEAからデータを転送する場合、及び他の有効なメカニズム（BCR、拘束的例外）が適用されない場合に必要です。適合性が承認された国への転送にはSCCは必要ありません。

GDPRは非EU企業に適用されますか？ はい。GDPRは、EEAの居住者の個人データを処理するすべての組織に適用されます。これは、組織がどこに設立されているかに関係なく、EEAの居住者に商品やサービスを提供する場合や、その行動を監視する場合に該当します。

EU-USデータプライバシーフレームワークとは何ですか？ EU-USデータプライバシーフレームワークは、2023年7月に採用された適合性メカニズムで、認証を受けた米国の組織がSCCなしでEEAから個人データを受け取ることを許可します。組織は米国商務省に自己認証し、特定のデータ保護原則に従うことを約束する必要があります。

GDPRの下で同意だけで国境を越えた転送を正当化できますか？ 明示的な同意は偶発的な転送のための例外として機能しますが、体系的または大規模な転送のための持続可能なメカニズムではありません。監督当局は、日常的なビジネス運営のための主要な転送メカニズムとして同意に依存することに対して警告しています。

転送影響評価（TIA）とは何ですか？ TIAは、組織がSCCに依存する前に実施しなければならない分析で、目的地国の法的枠組みがSCCの保護を損なうかどうかを評価します。これは、2020年のシュレムスII判決以降、必須のステップとなりました。

PIPAはB2Bデータをカバーしますか？ PIPAは自然人の個人情報をカバーします。ビジネス連絡先情報（名前、業務用メール、業務用電話）は、処理方法によってはPIPAの範囲内に入る可能性があるため、組織はB2Bデータが自動的に免除されると仮定すべきではありません。

BCRの承認にはどのくらいの時間がかかりますか？ BCRの承認には通常2〜3年かかります。これは、企業グループの複雑さや主監督当局の応答性によります。リソースを多く消費するプロセスであり、大規模な多国籍企業に最も適しています。

同意管理プラットフォームは国境を越えたコンプライアンスにどのように役立ちますか？ Biscotti CMP（www.biscotti-cmp.com）のような同意管理プラットフォームは、組織が合法的な同意記録を取得、保存、及び示すのを助けます。これは、同意が処理または転送の法的根拠として使用される場合に関連します。また、第三者のデータ受取人をユーザーに開示することによって透明性の義務をサポートします。

古いSCCを使用することに対する罰則はありますか？ はい。2022年12月27日の移行期限後に2021年以前のSCCを使用することは、転送メカニズムを無効にし、組織はメカニズムが全くない場合と同じ罰則にさらされます。

結論

国境を越えたデータ転送は、ビジネス運営と規制義務の交差点に位置しており、2021年以降、コンプライアンスの状況はかなり複雑になりました。GDPR、PIPA、中国のPIPL、及び増加する国家フレームワークはそれぞれ異なる要件を課しており、コンプライアンスを一度きりの作業として扱うのではなく、継続的なプログラムとして扱う組織は、実際の執行リスクに直面します。

2026年に向けた実行可能な次のステップ：

データフロー監査を実施し、組織が行うすべての国境を越えた転送を特定します。これには、サードパーティのベンダーやサブプロセッサーを通じたものも含まれます。
転送メカニズムが最新であることを確認します：SCCが2021年版であることを確認し、適合性決定が目的地国をカバーしているかをチェックし、期限切れまたは欠落している契約を更新します。
中国及びAPACのリスクを別々に評価します。PIPL及び地域のデータローカリゼーション法は、GDPRに準拠した措置を超えた独自のコンプライアンスステップを要求します。
すべてのSCCベースの転送に対して転送影響評価を文書化します。特に米国への転送に関しては重要です。
Biscotti CMP（www.biscotti-cmp.com）のような同意管理ソリューションを実装し、監査可能な同意記録を維持し、データ主体への透明性の開示をサポートします。
EU-USデータプライバシーフレームワークの法的地位や欧州委員会が発行する新しい適合性決定を含む規制の動向を監視します。

国境を越えたデータ転送のコンプライアンスを業務プロセスに組み込む組織は、法的な形式的手続きとして扱うのではなく、規制の混乱なしにグローバルにスケールするためのより良い位置にあります。