香港からの個人データ越境移転モデル契約条項(改訂版)の概要・全文訳
2022/06/06   情報セキュリティ, 個人情報保護法, 外国法

GBL研究所理事 浅井敏雄^[1]

本年（2022年）5月12日、（香港）個人データプラバシーコミッショナー事務局（Office of the Privacy Commissioner for Personal Data）（以下「事務局」）は、香港からの個人データの越境移転に関する推奨モデル契約条項（Recommended Model Contractual Clauses）（「RMC」）に関するガイダンス(原文はこちら)(以下「本ガイダンス」)を公表しました。これは、実質的に、2014年12月に事務局が公表した同様の契約条項とそのガイダンスの改訂版といえるものです。本稿では、本ガイドとRMCの経緯・概要とそれらの全文訳（筆者訳）を紹介します。

I 経緯・概要

香港では、個人情報保護に関する包括的な法令として、1996年の施行以来、「個人データ（プライバシー）条例」(Personal Data (Privacy) Ordinance（Cap. 486）)(PDPO)（以下「条例」）[2]が適用されています。

香港からの個人データの越境移転に関しては、2012年の条例改正により、データ主体（本人）の書面同意がある場合、香港のデータ利用者（EUのGDPR上の「管理者」に相当）が移転先で条例に反する利用等がされないよう必要な措置（＊）を講じた場合等の越境移転の根拠を要求する規定（第33条）が追加されましたが同条は未施行であり、現時点では、越境移転を直接制限する規定はありません。従って、香港にある移転元の企業（以下「移転元」）と香港外の国・地域の移転先企業（以下「移転先」という）の間で移転に関する契約締結を義務付ける規定もありません。

しかし、越境移転に関し、条例上の他の規定（条例別紙１「データ保護原則」を含む）を遵守する上では、移転元・移転先間でその遵守確保のため契約を締結することが実務上必要となるか望ましい場合が多く（本ガイダンス訳 p.2の「法的要件」参照）、2014年12月には事務局がそのモデル条項（以下「旧契約条項」)とそのガイダンスを公表しています。

しかしながら、旧契約条項は、①条例の規定を引用している箇所が多くその内容は条例をみないと分からないこと、②データ利用者からデータ利用者への越境移転用の契約条項と、データ利用者からデータ処理者（処理の委託先。GDPR上の「処理者」に相当）への越境移転用の契約条項とに分かれていないこと等、企業にとり必ずしも使い易いものではないとの指摘もありました。[3]

今回公表されたRMCでは、上記①の問題については条例の内容をRMCに直接規定することにより解決されており、上記②の問題については、データ利用者からデータ利用者への越境移転用のRMCと、データ利用者からデータ処理者への越境移転用のRMCの2種類が用意されています。

EUのGDPRにおける越境移転用のStandard Contractual Clauses (SCC)と同様、RMCも、移転元・移転先間の取引契約の一部として組み込むことも可能とされています。

本ガイダンス自体にも記載されている通り、企業は、RMCを採用せず、条例に実質的に適合する限り、他の表現による契約条項を作成・利用することもできますが、一般的に言えば、確実な条例遵守とその証明のためには、RMCを採用することが賢明でしょう。

また、仮に将来条例第33条が施行された場合でも、本ガイダンスに記載されているように、RMCの締結が、同条に定める越境移転の根拠（上記（＊））となるでしょう。

II 本ガイダンスおよびRMCの全文訳

本ガイダンスとRMCの全訳（筆者訳）はここからダウンロードできます。

なお、以下は本ガイダンス（訳）の目次です。

【本ガイダンス目次】　括弧内は訳のページ番号

個人データの越境移転に関する推奨モデル契約条項に関するガイダンス

PART 1: はじめに　(1)

・法的要件　(2)

PART 2: 推奨モデル契約条項の利用　(2)

・はじめに　(3)

・RMCの利用方法　(4)

・(A)データ利用者からデータ利用者への移転用RMC　(5)

・(B)データ利用者からデータ処理者への移転用RMC　(7)

・「データ移転内容」　(8)

・追加契約条項　(8)

・データ倫理、透明性および説明責任　(10)

別紙：推奨モデル契約条項（RMC）　(11)

(A)データ利用者からデータ利用者へのデータ移転に関する推奨モデル契約条項　(11)

(B)データ利用者からデータ処理者へのデータ移転用推奨モデル契約条項　(16)

 

以　上

【注】

 

[1] 【本稿の筆者】 一般社団法人GBL研究所理事／UniLaw企業法務研究所代表 浅井敏雄(Facebook)

[2] 【条例の概要】 (参考)西村あさひ法律事務所「外国における個人情報の保護に関する制度等の調査報告書（2021年11月）」個人情報保護委員会—「第27章　香港」（p 281-296参照）

[3]  (参考) Gabriela Kennedy Joshua T. K. Woo "Hong Kong’s 2022 Guidance on Cross-border Data Transfers - Implications for Data Users and Processors" June 02, 2022, Mayer Brown