コメント英国政府が提案したデータ保護法改革は、よりビジネスに優しい体制の構築を目指しているが、その実施により英国と欧州間の国際的なデータの流れがさらに複雑化し、ビジネスへのメリットを上回る可能性がある。
現在、英国とEUの企業は国境を越えて個人データを自由に共有できます。しかし、英国が欧州の保護水準から逸脱した場合、国際的なデータ移転が制限される可能性があり、EUと英国の企業は官僚的な課題に直面することになります。
データ保護およびデジタル情報（第2号）法案は2023年3月8日に公布され、政府はこれを「Brexitの配当」と称賛し、個人の権利を守りながら成長と革新を促進する、よりビジネスに優しいデータ保護体制を構築するとしています。
政府は、この法案が「ブレグジット後の好機を捉え、今後10年間で47億ポンドの経済効果をもたらす」と主張している。こうした大胆な主張（ありがたいことにバスの側面に書かれたものではない）にもかかわらず、この法案は議会で容易に可決されたわけではない。これは、政府による英国のデータ保護体制改革の2度目の試みであり、最初のデータ保護およびデジタル情報法案は2022年に停滞している。
（第2号）法案は下院を通過し、貴族院で第一読会と第二読会が行われました（経過はこちら）。次に委員会審議が行われ、そこで法案は逐条審査されます。
この法案が採択されれば、新たな法律を導入するのではなく、英国GDPR、2018年データ保護法、そして2003年プライバシー及び電子通信（EC）規則にいくつかの変更を加えることになります。変更の多くは主に表面的なものであり、例えば、英国GDPRの様々な定義が修正されますが、個人データの定義の変更は個人の保護範囲を狭める可能性があります。
ブレグジットの恩恵？デジタル大臣は「新たに独立した」英国は世界の「データハブ」になると主張
続きを読む
クッキーとコミッショナー事務所の刷新
英国におけるデータ保護法の執行機関である情報コミッショナー事務局は、新たな情報委員会に置き換えられ、いくつかの新たな権限が付与されます。また、この法案は、ウェブサイトのクッキーバナーに関する規則を簡素化します。これは、多くの国民にとってデータ保護法との関わりが最も多いと考えられます。この変更は広く歓迎されるでしょう。
おそらく最も重大な変更点は、この法案がデータ移転に関する規則を簡素化することです。この規則は、欧州域外へのデータ移転を禁じています。現在、GDPRは「適切なレベルの保護」を保証していない第三国への個人データの移転を欧州から禁止しています。一部の「第三国」は、十分に強固なデータ保護法を有しており、「適切性の認定」を受けることができ、個人データの自由な流通が継続されます。
EU離脱以来、英国は欧州委員会による十分性認定の恩恵を受けています。この認定は、英国のデータ保護制度が欧州のものと緊密に連携しているという事実に基づいています。しかし、欧州委員会は、英国が欧州のデータ保護基準から逸脱した場合、この認定を撤回する権利を有し、実際に撤回するだろうと示唆しています。
十分性認定がない場合、EUから「第三国」への個人データの移転において、データ共有事業者は、移転データがGDPRの基準に従って保護されることを保証するための複数の安全対策のいずれかを実施することが求められます。これらの安全対策は、企業が顧客、サプライヤー、従業員に関する情報を国境を越えて共有するために必須です（移転先が同一企業グループのメンバーである場合も同様です）。
これらの安全策の中で最も広く利用されているのは、標準契約条項です。これは、受領者がGDPR基準に従ってデータを保護することを契約で義務付けるものです。しかし、多国籍企業の多様なデータフローに対応するための標準条項の実装は、多くのリソースを消費する可能性があります。EU-米国データ保護フレームワーク（および英国への拡張）は、このスキームに認証された米国企業へのデータフローを許可する代替メカニズムです。しかし、このスキームは、EU-米国プライバシーシールドとその前身である米国セーフハーバーの後継であり、プライバシー活動家マクシミリアン・シュレムズ氏の訴訟を受けて、CJEUによって無効と宣言されました。そのため、データ保護フレームワークも同様の道を辿る可能性が十分にあります。
データ転送は国際ビジネスにとって複雑な課題を提示し、解決には多大なリソースが必要になる場合があります。
- 退任する英国情報コミッショナーが、自身の事務所の独立性について警告を発した。
- 英国のGDPR代替案はライブ顔認識の監視を一掃する可能性がある
- メタの大量のデータを扱うスレッドはEUを飛び越えてイギリスに上陸
- 技術調査で、スタッフを監視する前に同意を得るように警告
- 英国はビッグデータ法の改革を約束…もちろんEUの意向も尊重しつつ。一体何が問題になるというのだろうか？
データ保護およびデジタル情報法案で提案されているデータ転送規則の修正により、欧州外に転送される個人の個人データの保護が弱まる可能性があります。
欧州委員会が英国の適切性に関する判定を撤回した場合、英国企業にとって、法案のメリットをはるかに上回る官僚的なハードルが課されることになり、「問題がないのに、なぜ直すのか？」という疑問が生じます。
しかし、議会が2024年12月12日までの延長を発表したことで、こうした懸念は無意味なものになるかもしれない。それまでに総選挙が行われ、新政府が誕生した場合、この法案は採択されない可能性もある。®
