GDPR 第 14 条によ​​れば、データ管理者は、データ主体以外の情報源から個人データを収集する際に、データ主体に特定の情報を提供しなければなりません1。ただし、この義務には、データ主体がすでに情報を保有している場合、またはそのような情報の提供が不可能または過度の労力を伴う場合など、いくつかの例外があります2。後者の例外は、たとえば、個人データが多数の情報源から収集される場合、または個人データが公共の利益のためのアーカイブ目的、科学的または歴史的研究目的、または統計目的で処理される場合に適用される場合があります3。データ管理者は、データ主体の権利と利益を保護するために適切な措置を講じ、情報を公開する必要があります2。参照: 1: GDPR 第 14 条 - データ主体から個人データを取得していない場合に提供される情報2: GDPR 第 14 条 (5) (b)3: GDPR 説明文 62

一般データ保護規則（GDPR）は、承認された認証に基づき、適切なデータ保護水準を確保していない第三国または国際機関への個人データ移転のためのメカニズムを導入しています。GDPR第46条によれば、適切なデータ保護措置を保証する契約条項は、EUから第三国へのデータ移転の根拠として使用することができます。これには、欧州委員会によって「事前承認」されたモデル契約条項、いわゆる標準契約条項（SCC）が含まれます。
2021年6月4日、欧州委員会は、EU/EEA域内（またはGDPRの適用対象となる）の管理者または処理者からEU/EEA域外（GDPRの適用対象外）に設立された管理者または処理者へのデータ移転について、GDPRに基づく最新の標準契約条項（SCC）を発行しました。これらの最新のSCCは、以前のデータ保護指令95/46に基づいて採択された3セットのSCCに代わるものです。欧州委員会は、SCCの活用に関する実用的なガイダンスを提供し、GDPRに基づくコンプライアンスへの取り組みにおいて関係者を支援するため、質疑応答（Q&A）を作成しました。
Q&A では、企業は以下のすべてを実行する必要があると述べられています。
SCC に新しい当事者を追加することを明示的に許可する、新しいオプションのドッキング条項を検討してください。
Q&Aによると、ドッキング条項は、当初の契約に含まれていなかった管理者および処理者が、後日、データの輸出者または輸入者としてSCCに加入することを可能にするものです。この条項は、複雑な処理チェーンにおけるSCCの利用を容易にし、複数の契約を締結する必要性を回避させることを目的としています。
2021 年 9 月 27 日より前に締結され、古い SCC を使用しているすべての契約を、2022 年 12 月 27 日までに新しい SCC に移行してください。Q&A によると、古い SCC は 2021 年 9 月 27 日に廃止される予定です。
ただし、その日付以前に古いSCCに基づいて締結された契約は12月まで有効です。
ただし、契約の対象となる処理業務に変更はなく、これらの条項に依拠することにより、個人データの移転がGDPR第46条第1項に定める適切な保護措置の対象となることが保証されるものとします。2022年12月27日以降、旧SCCは第三国へのデータ移転の有効な法的根拠とならなくなり、代わりに新SCCを使用する必要があります。
企業がデータ輸入者である場合は、2021年9月27日以降、新しいSCCを用いて、サプライチェーンの関連部署に新しいSCCを浸透させるための措置を講じてください。Q&Aによると、新しいSCCでは、データ輸入者は、SCCに基づいて移転された個人データを処理するすべてのサブプロセッサーと契約を締結し、その契約にSCCに基づいてデータ輸入者に課せられるものと同じデータ保護義務を含めることが求められています。つまり、データ輸入者は、2021年9月27日以降、新しいSCCがサブプロセッサーに浸透していること、およびサブプロセッサーの変更があれば、異議申し立て権を持つデータ輸出者に通知する必要があることを意味します。
Q&A では、企業が以下のことを行わなければならないとは述べられていません。
英国情報コミッショナー事務局には独自のSCCを発行する権限がないため、Brexit後、英国では新しいSCCを導入する必要がある。しかし、これは妥当な記述ではない。英国はEU離脱後も独自のデータ保護体制を有しており、英国情報コミッショナー事務局（ICO）には、英国から第三国へのデータ移転に関する独自のSCCを発行する権限があるからだ。ICOのウェブサイトによると、ICOは現在、英国独自のSCCを開発中であり、パブリックコメントの募集と欧州データ保護委員会（EDPB）の意見聴取を受ける予定だ。英国SCCが最終決定されるまで、ICOは企業に対し、新規契約ではEU SCCを引き続き使用するよう勧告している。これらの条項は、英国のデータ保護法において有効な移転メカニズムとして認められているからだ。ただし、ICOは企業に対し、英国がEU加盟国ではなくなったことを反映させるためにEU SCCを修正する必要がある場合があり、英国SCCが利用可能になり次第、契約を更新する必要があるとも警告している。
参考文献:
GDPR、第3条、第4条、第28条、第29条、第32条、第44条、第45条、第46条、第47条、第48条、第49条。
新しい標準契約条項 - 質問と回答の概要、段落 1、2、3、4、5、6、7、8、9、10、11。
標準契約条項（SCC）の第 1 項、第 2 項、第 3 項、第 4 項、第 5 項、第 6 項、第 7 項、および第 8 項。
[国際データ転送の使用]、第1項、第2項、第3項、第4項、第5項、第6項、第7項、第8項、第9項、および第10項。

あなたは香港に拠点を置く玩具メーカーに採用されました。同社は幅広い種類の人形、アクションフィギュア、ぬいぐるみを販売しており、世界中の様々な小売店で販売されています。同社は香港以外にオフィスを構えておらず、実際には香港以外で従業員を雇用していませんが、複数の現地販売契約を締結しています。同社が製造する玩具は、ヨーロッパ、アメリカ、アジアのあらゆる有名玩具店で販売されています。同社の収益の大部分は海外販売によるものです。
同社は現在、子供たちと会話したり交流したりできるコネクテッドトイの新シリーズを発売したいと考えています。同社のCEOは、これらのおもちゃがもたらす可能性の拡大を理由に、次なる大ヒット作になると宣伝しています。人形は、数学の計算や天気など、様々なテーマについて子供たちの質問に答えることができます。各人形にはマイクとスピーカーが搭載されており、Bluetooth経由でスマートフォンやタブレットに接続できます。半径10メートル以内にあるあらゆるモバイルデバイスも、Bluetooth経由でおもちゃに接続できます。また、人形は（同じメーカーの）他の人形と連携して相互に作用し、より充実した遊び体験を提供します。
お子様がおもちゃに質問をすると、そのリクエストはクラウドに送信され、分析されます。クラウドサーバー上で回答が生成され、人形に返されます。回答は人形に内蔵されたスピーカーから聞こえるため、まるでおもちゃが実際にお子様の質問に答えているかのように聞こえます。おもちゃのパッケージには、この機能の仕組みに関する技術的な詳細は記載されておらず、インターネット接続が必要であることも記載されていません。この機能に必要なデータ処理は、南アフリカにあるデータセンターに委託されています。しかしながら、貴社は消費者向けのプライバシーポリシーを改訂し、この点について明示していません。
同社は同時に、ゲームプレイ中に獲得したキャラクターを操作できる新たなゲームシステムの導入を計画している。このシステムには、近距離無線通信（NFC）リーダーを搭載したポータルが同梱される。このデバイスがアクションフィギュアのRFIDタグを読み取り、画面上でフィギュアが動き出す。各キャラクターにはそれぞれ固有の特徴や能力があり、ゲーム目標を達成することで追加の能力を獲得することもできる。タグに保存される情報は、フィギュアの能力に関する情報のみ。ゲーム中にキャラクターを簡単に切り替えることができ、フィギュアを自宅以外の場所に持ち出しても、キャラクターの能力はそのまま維持される。
この会社が GDPR に準拠する義務があるのはなぜですか?
A) 同社は EU 内にオフィスを構えている。B) 同社は EU 内で従業員を雇用している。C) 同社のデータセンターは EU 域外の国にある。D) 同社の製品は EU の顧客に直接販売されている。
答え
検証済みの回答: D. 同社の製品は EU の顧客に直接販売されています。
包括的説明: GDPR1の第6条(1)によれば、個人データは、商品やサービスを提供し、またはその他の方法で活動を行う組織によって処理され、それに関連して個人データの処理が正当な利益に関連すると見なされる場合があります。ここで言及されている正当な利益とは、その名前で、またはその代理で、または自身の目的で実行されるタスクの遂行から生じる利益です。ここで言及されている正当な利益とは、その名前で、またはその代理で、または自身の目的で実行されるタスクの遂行から生じる利益です。ここで言及されている正当な利益とは、その名前で、またはその代理で、または自身の目的で実行されるタスクの遂行から生じる利益です。ここで言及されている正当な利益とは、その名前で、またはその代理で、または自身の目的で実行されるタスクの遂行から生じる利益です。ここで言及されている正当な利益とは、その名前で、またはその代理で、または自身の目的で実行されるタスクの遂行から生じる利益です。ここでいう正当な利益とは、本人の名義で、本人に代わって、または本人自身の目的のために遂行される業務の遂行から生じる利益をいう。ここでいう正当な利益とは、本人の名義で、本人に代わって、または本人自身の目的のために遂行される業務の遂行から生じる利益をいう。