米国最高裁判所、EU-米国間のデータ転送を破綻させる

データ転送 / 2026年6月29日 月曜日、米国最高裁判所はTrump対Slaughterの判決で、米国連邦取引委員会（FTC）はもはや独立した存在ではない可能性があると決定しました。2000年以来、EUは個人データに関するEU-米国の協定の執行者として「独立した」FTCに依存してきました。EUの条約法によれば、そのような監視は独立していなければなりません。現在のEU-米国協定において、欧州委員会は独立したFTCに259回も（！）依存しています。マックス・シュレムスは次のように述べています。「米国にもはや独立した当局がないことを踏まえ、我々は欧州委員会に対し、米国に関する十分性決定を秩序だって撤回するよう求めます。」 欧州委員会実施決定EU 2023/1795（EU-米国データプライバシーフレームワークに関するもの）（EUR-Lex） Trump対Slaughterにおける米国最高裁判所判決 noybから欧州委員会への書簡 EU-米国データプライバシーフレームワーク。1995年以来、EUは一般的に、個人データの第三国への輸出を禁止しており、EUのプライバシー規則が単にデータを海外に送ることで回避されるのを防いでいます。ホテル予約から複雑な取引まで、必要な転送には例外がありますが、多くのEU企業は個人データの処理を米国のクラウドプロバイダーにアウトソーシングしてきました。2000年以来、欧州委員会は、個人データ保護に関して米国が「適切な」国であることを繰り返し受け入れており、EUと米国の間の自由なデータフローを許可しています。欧州司法裁判所（CJEU）は、米国の監視法と米国における司法的救済の欠如を理由に、いわゆる「シュレムスI」決定（「セーフハーバー」を無効化）と「シュレムスII」決定（「プライバシーシールド」を無効化）で、委員会の以前の2つの決定を無効にしました。それにもかかわらず、欧州委員会は2023年に、以前無効化された協定をほとんどコピー＆ペーストした「EU-米国データプライバシーフレームワーク」と呼ばれる第三のEU-米国協定を発行しました。 EUの独立したDPA要件。EUの条約法（すなわちEUの「憲法」フレームワーク）、具体的にはTFEU第16条(2)および基本権憲章第8条(3)は、データ保護に関する監視が「独立した」機関によって行われることを要求しています。第三国は「本質的に同等」の保護を備えている必要があるため、EUからの個人データの自由なフローを享受したい第三国もそのような保護を提供することが必要です。これまで、米国はEUの独立した監視の必要性を満たすために、「独立した」FTCを米国のプライバシー規制当局に任命してきました。EUは、EU-米国データフロー決定において、FTCの「独立性」に259回も（！）依拠してきました。 マックス・シュレムス：「重要なのは、EUの憲法フレームワークが独立した監視を要求していることです。これを変更する唯一の方法は、すべてのEU加盟国が全会一致でEU条約の変更を可決することです。」 独立した裁判所の要件。さらに、CJEUは、米国が政府監視の問題において独立した法的救済メカニズムを提供する必要があることも強調しました。米国が関連法案を可決できなかったため、バイデン政権は「データ保護審査裁判所」を創設しました。これは「裁判所」と呼ばれていますが、実際には米国司法省内の行政機関です。これは、前大統領バイデンによる大統領令（EO）によってのみ「独立」しており、トランプによっていつでも変更可能であり、大統領を拘束するものではありません。 「Slaughter」決定：統一された（トランプ）行政府。判例から180度転換し、米国最高裁判所の保守派多数派は、FTCの独立性が違憲であると決定しました。これは、「統一された」理論に基づいています。この理論では、米国大統領はすべての米国行政機関に対して権限を持たなければならず、様々な機関を独立させるすべての米国法は違憲であると宣言されました。EUがほとんどすべての場合において、プライバシー監視機関としてのFTCの「独立性」に依存していたことを考えると、EU-米国データプライバシーフレームワークの全体構造は崩壊したばかりです。 マックス・シュレムス：「欧州委員会の論理でさえ、あらゆるEU-米国データ転送協定の根拠は死んだのです。我々は委員会に対し、米国クラウドからの秩序ある撤退を開始するよう求めます。これは容易ではありませんが、残念ながら避けられません。委員会は業界の圧力の下で砂上の楼閣を築きましたが、それが明らかに崩壊した今、責任を取らなければなりません。」 影響は無制限ではない。EU決定の基盤がすべて失われたとしても、欧州委員会の決定は、欧州委員会がそれを撤回するか、欧州司法裁判所がそれを無効にするまで、正式には効力を持っています。したがって、差し迫った影響はありません。GDPRは個人データの転送のみを規制しています。非個人データは自由に流れることができます。さらに、GDPR第49条は、必要なデータ転送を任意の第三国に許可しています。しかし、厳密に必要でない限り、EUから構造的にデータをオフショアすることを許可するものではありません。 SCCおよびBCRも影響を受ける。一部の企業はEU-米国フレームワークに直接依存せず、代わりに正式にSCCおよびBCRを使用しているかもしれませんが、通常、PCLOBやデータ保護審査裁判所のような以前は独立していた米国の行政機関に依存する「影響評価」にも依存しています。したがって、最高裁判所の決定は、FTCに依存していない場合でも通常それらにも影響を与えます。正式な委員会決定に依存する管理者とは異なり、彼らは直ちに評価を更新し、論理的にデータ転送がもはや合法ではないという結論に達する必要があります。 次のステップ：委員会はEU-米国協定を撤回しなければならない。noybは本日、欧州委員会に正式な書簡を送り、EU-米国データ協定を秩序だって撤回するための適切な措置を講じるよう求めました。政治的には、多くのEU加盟国はすでに「デジタル主権」アプローチに移行し、米国のサービスプロバイダーからの分離を表明しています。一部の米国のサービスプロバイダーも、EU内で別個のデータ処理に移行しています。しかし、米国が依然として個人データのフローを維持するためにEUに多大な圧力をかけていることを考えると、noybは今後数週間のうちに訴訟も提起し、CJEUが現在の協定を無効にすることを目指します。しかし、そのような訴訟は、最終決定まで通常2〜3年かかります。 2025年10月12日 データ転送 EU-米国データ転送：さらなる問題に備える時 米国の法制度の不安定性が明白になり、米国がEUに対する敵意の明確な兆候を示している今、データの流れを見直す時が来ています 詳細を読む 2025年9月3日 データ転送 EU-米国データ転送：「Latombe」事件への最初の反応 EU-米国データ転送協定（TADPF）に対する「Latombe」の異議申し立てに関する一般裁判所判決への最初の反応 詳細を読む 2025年1月23日 データ転送 米国クラウドがまもなく違法に？トランプがEU-米国データ協定に最初の穴を開ける トランプは、EU-米国間のデータフローを可能にするEU-米国データ転送協定の主要要素である「プライバシーおよび市民的自由監督委員会」（PCLOB）を麻痺させました 詳細を読む