Privacy Shield

定義

Privacy Shield（プライバシー・シールド） とは、2016年7月に欧州委員会が承認した、EUから米国への個人データ移転を適法化するための枠組みです。正式名称は「EU-US Privacy Shield Framework」。前身の Safe Harbor（セーフ・ハーバー）が2015年10月に無効とされたことを受けて制定されました。

しかし 2020年7月16日、EU司法裁判所（CJEU）が「Schrems II」判決において Privacy Shield を無効と宣告。これにより、この枠組みに依存していた越境EC・DTC事業者は、わずか4年で適法性の根拠を失いました。現在は EU-US Data Privacy Framework（DPF、2023年7月発効） が後継として機能しています。

DTC/越境ECの文脈では、Shopify・Meta・Google・Klaviyo・Stripe など米国本社のSaaSに顧客データを流す際の「法的な橋」として理解しておくべき用語です。

类比：例えるなら「期限切れになった国際運転免許」

Privacy Shield は、EUという国から米国という国へ「データという荷物」を運ぶための国際運転免許のようなものです。

- 免許を持つ米国企業（認定事業者）は、EU側の税関（データ保護当局）をスムーズに通過できた

- ところが2020年、EUの最高裁判所が「この免許、審査が甘すぎる」と判決 → 一斉失効

- 現在は「DPF」という新しい免許に切り替え済み。ただし旧免許で走っていた記録は無効化され、再申請が必要

つまり「昔は有効だったが、今は使えない古い制度」として覚えるのが正解です。

公式：適法性判定の基本ロジック

EU一般データ保護規則（GDPR）第45〜46条に基づく移転適法性は、以下の式で整理できます。

移転適法性 = 十分性認定（Adequacy Decision）
           OR 適切な保護措置（SCCs / BCRs）
           + 補完的措置（Supplementary Measures）

Privacy Shield が有効だった2016〜2020年は、「十分性認定」の代替として機能していました。無効化後は：

2020年7月以降 = SCCs + Transfer Impact Assessment（TIA）+ 補完的措置
2023年7月以降 = EU-US DPF 認定企業であれば十分性認定ルートが復活

比較表：Privacy Shield vs Safe Harbor vs DPF

項目	Safe Harbor	Privacy Shield	EU-US DPF
発効	2000年	2016年7月	2023年7月
無効判決	2015年10月（Schrems I）	2020年7月（Schrems II）	係争中（Latombe訴訟）
監督機関	米商務省＋FTC	米商務省＋FTC＋米国務省オンブズマン	米商務省＋FTC＋Data Protection Review Court
救済措置	不十分と判断	オンブズマン制度（不十分と判断）	独立裁判所型（より強化）
有効期間	15年	約4年	現行
日本企業への影響	間接的	間接的	間接的（EU拠点がある場合に直撃）

具体的なデータで見る影響

1. 無効判決日：2020年7月16日 ― Schrems II 判決。約5,000社以上の認定企業が法的根拠を即日喪失。

2. 制裁金リスク：GDPR最大で全世界売上の4%または2,000万ユーロの高い方 ― Privacy Shield 依存のまま移転を続けた場合、この上限が適用され得る。

3. DPF認定企業数：2023年7月発効時点で約2,700社、2024年には3,000社超 ― 主要SaaSの多くが移行済み。

応用场景（DTC/越境ECでの実務）

シーン1：ShopifyストアでEU顧客のデータを米国本社サーバーへ

- Shopify は DPF 認定済み。ただし 旧 Privacy Shield 認定は無効なので、DPA（データ処理契約）の条項が DPF 準拠に更新されているか確認必須。

シーン2：Klaviyo / Mailchimp でEU向けメルマガ配信

- メールアドレス・購買履歴は個人データ。SCCs（標準契約条項）＋TIA が現実的な代替ルート。

シーン3：Meta広告のコンバージョンAPI

- Meta は DPF 認定企業だが、EU→米国移転にはDPF＋補完措置の二重チェックが推奨される。

シーン4：Stripe決済でEU顧客のカード情報処理

- PCI DSS 準拠だけでは GDPR 移転要件は満たさない。DPF認定の有無＋SCCs を契約書で確認。

常見誤区（よくある誤解）

誤解	正しい理解
「Privacy Shield は今も有効」	2020年7月に無効。使用するとGDPR違反リスク。
「DPF は Privacy Shield の改名版」	別制度。Data Protection Review Court など救済機構が根本的に異なる。
「米国企業なら自動的に適法」	認定は企業ごと。未認定企業への移転はSCCs等が必要。
「日本企業には無関係」	EU顧客データを米国SaaSに流す時点で間接的に該当。
「SCCsを結べば万事OK」	Schrems II以降はTIA（移転影響評価）＋補完的措置が必須。

定義