GDPRは、EU域内に所在する管理者または処理者の活動に関連する個人データの処理に適用されます。処理がEU域内で行われるか否かは関係ありません。また、GDPRは、EU域内に所在しない管理者または処理者による、EU域内に所在するデータ主体の個人データの処理にも適用されます。この場合、処理活動は、EU域内の当該データ主体への商品またはサービスの提供、またはEU域内で行われる当該データ主体の行動の監視に関連するものとなります1。したがって、Brexitの規定によりEUを離脱した後、英国はGDPRの目的において第三国となり、EUから英国への個人データの移転は、GDPR第5章に基づく国際データ移転に関する規則の対象となります2。EUと英国間のデータフローの継続性と安定性を確保するため、英国は欧州委員会に対し、第三国がEUと同等のデータ保護水準を提供していることを正式に認める十分性認定を申請しました3。 2021年6月28日、欧州委員会は英国に関する2つの十分性認定を採択しました。1つはGDPRに基づく移転に関するもので、もう1つは法執行指令（LED）に基づく移転に関するものです4。これらの認定により、EUから英国への個人データの自由な流通が認められ、追加の保護措置は必要なく、修正、停止、または早期に廃止されない限り、2025年6月27日まで有効となります5。参考：
GDPR第3条
GDPR、第5章
EU 域外諸国のデータ保護の適切性、「適切性決定」セクション 英国政府は、欧州委員会のデータ保護の適切性決定草案を歓迎 適切性、「EU GDPR の適切性決定には何が書かれているか」セクション

これはクラウドコンピューティングサービスに共通する特徴ではありません。なぜなら、サプライヤーは通常、ベンダーの事業リスクを負わないからです。実際、サプライヤーはデータ漏洩や損失に対する責任を制限することが多く、ベンダーはデータ保護に関する法令遵守の責任を負います。その他の選択肢は、クラウドコンピューティングが柔軟で拡張性が高く、費用対効果の高いデータ処理方法であるという性質を反映している一方で、データ保護とセキュリティの面で課題も抱えているため、クラウドコンピューティングサービスの一般的な特徴です。参考文献：
* 無料のCIPP/E学習ガイド、17ページ、セクション2.3.2
* CIPP/E認証、12ページ、セクション2.3.2
* Cipp-e 学習ガイド、授業ノートと要約、23 ページ、セクション 2.3.2
参考: https://www.softwaremajor.com/news-articles/64-gdpr-how-does-it-apply-to-the-cloud

EDP​​B 勧告 01/2020 (更新され、後に意見 22/2024 に組み込まれた) によれば、国際転送の最初のステップは「転送を把握すること」です。これは、プロセッサまたはサブプロセッサを介して行われたものも含め、個人データの第三国へのすべての転送をマッピングすることを意味します。
論理は次のとおりです。
* ステップ 1 - 転送のマッピング: 個人データが EEA から出ていくかどうか、またどのエンティティ (コントローラー、プロセッサー、またはサブプロセッサー) を経由して出ていくかを特定し、文書化します。
* ステップ 2 - 転送ツールの検証: 転送が適切性、SCC、BCR、または特例に依存しているかどうかを確認します。
* ステップ 3 - 第三国の法律を評価する (TIA): 移転マッピングの後にのみ、移転影響評価を実施します。
* ステップ 4 - 補足的措置:必要に応じて、技術的、契約的、または組織的な保護手段を採用します。
したがって、EDPB ガイダンスに沿って推奨される最初のステップは、転送マッピング (オプション C) です。
#参考：補足的移転措置に関するEDPB勧告01/2020、ステップ1「移転について知る」、CIPP/E教科書（第3版）、第12章「国際データ移転」。

GDPRは、EU域内に所在する管理者または処理者の活動に関連する個人データの処理に適用されます。処理がEU域内で行われるか否かは問いません。また、GDPRは、EU域内に所在しない管理者または処理者による、EU域内に所在するデータ主体の個人データの処理にも適用されます。この場合、処理活動は、EU域内のデータ主体への商品またはサービスの提供、またはEU域内で行われる限りにおけるその行動の監視に関連するものとなります1。したがって、Brexitの規定によりEUを離脱した後、英国はGDPRの目的において第三国となり、EUから英国への個人データの移転は、GDPR第5章に基づく国際データ移転に関する規則の対象となります2。EUと英国間のデータフローの継続性と安定性を確保するため、英国は欧州委員会に対し、第三国がEUと同等のデータ保護水準を提供していることを正式に認める十分性認定を求めました3。 2021年6月28日、欧州委員会は英国に関する2つの十分性認定を採択しました。1つはGDPRに基づく移転に関するもので、もう1つは法執行指令（LED）4に基づく移転に関するものです。これらの認定により、EUから英国への個人データの自由な流通が可能となり、追加の保護措置は不要となります。これらの認定は、早期に修正、停止、または廃止されない限り、2025年6月27日まで有効となる予定です5。参考文献：
* GDPR第3条
* GDPR、第5章
* EU域外諸国におけるデータ保護の適切性、「適切性決定」セクション
* 英国政府は欧州委員会のデータ妥当性に関する決定案を歓迎
* 適切性、「EU GDPR の適切性決定には何が述べられているか」セクション
参考：https://www.euractiv.com/section/digital/news/commission-must-refuse-uk-data-adequacy-rights- group-says/

欧州人権条約第 8 条は、私生活、家族生活、住居、通信の尊重の権利を保護しています。
しかし、この権利は絶対的なものではなく、法律に基づき、正当な目的のために公的機関によって制限される可能性があります。欧州人権裁判所（ECtHR）は、このような制限が正当かどうかを判断するための2段階のテストを開発しました。第1に、裁判所は、国家安全保障、公共の安全、犯罪防止など、公的機関が追求する正当な目的があるかどうかを審査する必要があります。第2に、裁判所は、比例性、必要性、より制限の少ない代替手段など、関連するすべての要素を考慮に入れ、公的機関が使用する手段がその目的を達成するために適切かつ必要であるかどうかを評価する必要があります12。したがって、プライバシーの権利は絶対的な権利ではなく、ECHRに基づく他の権利とのバランスをとる必要がある限定的な権利です。参考文献：
* 第8条 - 個人データの保護
* 私生活と家族生活を尊重される権利
* 私生活および家族生活を尊重される権利
* 欧州人権条約第8条に関するガイド
* 欧州人権条約 - 第8条
参考：https://www.echr.coe.int/Documents/Guide_Art_8_ENG.pdf (15)