EDP​​B 勧告 01/2020 (更新され、後に意見 22/2024 に組み込まれた) によれば、国際転送の最初のステップは「転送を把握すること」です。これは、プロセッサまたはサブプロセッサを介して行われたものも含め、個人データの第三国へのすべての転送をマッピングすることを意味します。
論理は次のとおりです。
* ステップ 1 - 転送のマッピング: 個人データが EEA から出ていくかどうか、またどのエンティティ (コントローラー、プロセッサー、またはサブプロセッサー) を経由して出ていくかを特定し、文書化します。
* ステップ 2 - 転送ツールの検証: 転送が適切性、SCC、BCR、または特例に依存しているかどうかを確認します。
* ステップ 3 - 第三国の法律を評価する (TIA): 移転マッピングの後にのみ、移転影響評価を実施します。
* ステップ 4 - 補足的措置:必要に応じて、技術的、契約的、または組織的な保護手段を採用します。
したがって、EDPB ガイダンスに沿って推奨される最初のステップは、転送マッピング (オプション C) です。
#参考：補足的移転措置に関するEDPB勧告01/2020、ステップ1「移転について知る」、CIPP/E教科書（第3版）、第12章「国際データ移転」。

一般データ保護規則（GDPR）は、承認された認証に基づき、適切なデータ保護水準を確保していない第三国または国際機関への個人データ移転のためのメカニズムを導入しています。GDPR第46条によれば、適切なデータ保護措置を保証する契約条項は、EUから第三国へのデータ移転の根拠として使用することができます。これには、欧州委員会によって「事前承認」されたモデル契約条項、いわゆる標準契約条項（SCC）が含まれます。
2021年6月4日、欧州委員会は、EU/EEA域内（またはGDPRの適用対象となる）の管理者または処理者からEU/EEA域外（GDPRの適用対象外）に設立された管理者または処理者へのデータ移転について、GDPRに基づく最新の標準契約条項（SCC）を発行しました。これらの最新のSCCは、以前のデータ保護指令95/46に基づいて採択された3セットのSCCに代わるものです。欧州委員会は、SCCの活用に関する実用的なガイダンスを提供し、GDPRに基づくコンプライアンスへの取り組みにおいて関係者を支援するため、質疑応答（Q&A）を作成しました。
Q&A では、企業は以下のすべてを実行する必要があると述べられています。
SCC に新しい当事者を追加することを明示的に許可する、新しいオプションのドッキング条項を検討してください。
Q&Aによると、ドッキング条項は、当初の契約に含まれていなかった管理者および処理者が、後日、データの輸出者または輸入者としてSCCに加入することを可能にするものです。この条項は、複雑な処理チェーンにおけるSCCの利用を容易にし、複数の契約を締結する必要性を回避させることを目的としています。
2021 年 9 月 27 日より前に締結され、古い SCC を使用しているすべての契約を、2022 年 12 月 27 日までに新しい SCC に移行してください。Q&A によると、古い SCC は 2021 年 9 月 27 日に廃止される予定です。
ただし、その日付以前に古いSCCに基づいて締結された契約は12月まで有効です。
27, 2022, provided that the processing operations that are the subject matter of the contract remain unchanged and that reliance on those clauses ensures that the transfer of personal data is subject to appropriate safeguards within the meaning of Article 46(1) of the GDPR. After December 27, 2022, the old SCCs will no longer provide a valid legal basis for data transfers to third countries, and the new SCCs will have to be used instead.
Take steps to flow down the new SCCs to relevant parts of their supply chain using the new SCCs as of September 27, 2021, if the business is a data importer. According to the Q&As, the new SCCs require data importers to enter into contracts with any subprocessors that process the personal data transferred under the SCCs, and to include in those contracts the same data protection obligations as those imposed on the data importer under the SCCs. This means that data importers must ensure that the new SCCs are flowed down to their subprocessors as of September 27, 2021, and that any changes in the subprocessors are notified to the data exporter, who has the right to object.
The Q&As do not state that businesses must do the following:
Implement the new SCCs in the U.K. following Brexit, as the U.K. Information Commissioner's Office does not have the authority to publish its own set of SCCs. This is not a valid statement, as the U.K. has its own data protection regime after leaving the EU, and the U.K. Information Commissioner's Office (ICO) has the power to issue its own SCCs for data transfers from the U.K. to third countries. According to the ICO website, the ICO is currently developing bespoke U.K. SCCs, which will be subject to a public consultation and an opinion from the European Data Protection Board (EDPB). Until the U.K. SCCs are finalised, the ICO advises businesses to continue to use the EU SCCs for new contracts, as these clauses have been recognised as a valid transfer mechanism under the U.K. data protection law. However, the ICO also warns businesses that they may need to amend the EU SCCs to reflect that the U.K. is no longer an EU member state, and that they will need to update their contracts to the U.K. SCCs once they are available.
References:
GDPR, Articles 3, 4, 28, 29, 32, 44, 45, 46, 47, 48 and 49.
New Standard Contractual Clauses - Questions and Answers overview, paragraphs 1, 2, 3, 4, 5, 6, 7, 8, 9, 10 and 11.
Standard Contractual Clauses (SCC), paragraphs 1, 2, 3, 4, 5, 6, 7 and 8.
[Using international data transfers], paragraphs 1, 2, 3, 4, 5, 6, 7, 8, 9 and 10.

GDPR の第 15 条によれば、データ主体はデータ管理者から個人データのコピーやその他の補足情報にアクセスし、受け取る権利を有します1。ただし、この権利は絶対的なものではなく、制限や制約が課される場合があります。データ主体によるアクセス要求 (DSAR) を拒否または制限する根拠の 1 つは、要求が明らかに根拠がない、または過剰である場合、特にその反復的な性質のためにそうである場合です1。このような場合、管理者は、情報提供の管理コストを考慮して合理的な料金を請求するか、要求に応じることを拒否できます1。管理者は、データ主体に対して、対応しない理由と、監督機関に苦情を申し立てるか司法上の救済を求める可能性があることを通知する必要があります1。
このシナリオでは、ジャックの DSAR は過剰であると見なされる可能性があります。なぜなら、彼は、彼が送受信した、または内容から直接的もしくは間接的に彼を特定できる、社内メールを含むすべての個人データのコピーを要求しているからです。これは非常に広範で漠然とした要求であり、会社は大量の情報を検索して確認する必要があり、他の従業員または第三者に関する機密データや機微なデータを開示する可能性があります。会社はすでにジャックに連絡し、必要な情報をより具体的に求めるよう求めましたが、ジャックは要求の範囲を絞り込むことを拒否しました。したがって、要求された情報量は、GDPR1 に基づく DSAR への回答の一般的な期限である 1 か月以内に提供するには多すぎるため、会社には情報提供を拒否する正当な理由があります。よって、選択肢 B が正解です。
選択肢Aは誤りです。GDPRは、EU域内で処理が行われるかどうかに関わらず、EU域内の管理者または処理者の事業所の活動に関連する個人データの処理すべてに適用されるため、DSARの目的において会社の本社所在地は無関係です。2 会社はアイルランドに事業所を有しており、ジャックはそこで勤務していたため、GDPRの対象となります。
オプション C は不正解です。なぜなら、会社はジャックの元の DSAR で要求された情報を 3 か月以内に提供することに同意できないためです。これは、GDPR におけるデータ主体のアクセス権と説明責任の原則に違反することになります。会社が DSAR への回答期限を 2 か月延長できるのは、要求が複雑な場合、または管理者が同一のデータ主体から複数の要求を受け取った場合のみです1。ただし、会社は要求を受領してから 1 か月以内に、そのような延長について、遅延の理由とともにデータ主体に通知する必要があります1。この場合、会社はそうせず、代わりにジャックに要求をより具体的にするよう求めています。
選択肢Dは誤りです。企業は、データ主体のアクセス権およびGDPRに基づく透明性の原則に違反するため、電子メール以外の要求されたすべての情報を提供することはできません。企業は、他者の権利および自由に悪影響を与えない限り、処理中の個人データのコピーをデータ主体に提供する必要があります1。電子メールは処理中の個人データの一部であり、企業は正当な理由なくそれらをDSARから除外することはできません。また、データ主体が既に保有している場合を除き、企業は以下の補足情報をデータ主体に提供する必要があります1。
* 処理の目的
* 関係する個人データのカテゴリー
* 個人データが開示された、または開示される予定の受信者、特に第三国または国際機関の受信者。
* 可能な場合は、個人データが保存される予定期間、またはそれが不可能な場合は、その期間を決定するために使用される基準。
* 管理者に対して、データ主体に関する個人データの訂正または消去、個人データの処理の制限を要求する権利、またはそのような処理に異議を申し立てる権利の存在。
* 監督当局に苦情を申し立てる権利
* 個人データがデータ主体から収集されていない場合、その情報源に関する入手可能な情報。
* 第22条(1)および(4)に規定するプロファイリングを含む自動化された意思決定の存在、および少なくともその場合には、関連するロジックに関する有意義な情報、ならびにデータ主体にとってのそのような処理の重要性と予想される結果。
参考文献:
* アクセス権
* 領土範囲