定義
Standard Contractual Clauses（以下、SCC）とは、欧州委員会（European Commission）が採択した個人データ移転用のひな形契約条項です。EU域外の第三国へ個人データを移転する際、移転先の国がEUから「十分性認定（Adequacy Decision）」を受けていない場合に、GDPR第46条2項(c)を根拠として適法に移転するための法的ツールとなります。
DTC・越境EC事業者にとってSCCは、「EUの顧客データを日本や米国の倉庫・CRM・広告配信サーバーに送るためのパスポート」と理解すると実務に落とし込みやすくなります。2021年6月4日に新SCC（2021/914）が公布され、旧SCC（2001/497/EC、2004/915/EC、2010/87/EU）は2022年12月27日をもって完全に失効しました。
类比（たとえ話）
SCCは「国際運転免許証」に近い存在です。
- 自国（EU）のルールをそのまま相手国（第三国）に押し付けるのではなく、
- 「この条項を署名した事業者同士なら、データを安全にやり取りしてOK」という共通フォーマットを提供します。
- ただし免許証と同様、使う本人（データ輸出入者）が正しく運用しているかは別途問われます。条項に署名しただけで終わりではありません。
ECサイト運営でいえば、「海外倉庫と結ぶ物流基本契約書のテンプレ」に近く、法務が毎回ゼロから契約書を作らずに済む点が最大のメリットです。
公式（計算式・構造）
SCC準拠の適法移転は、次の条件式で表せます。
適法な第三国移転 = (十分性認定 = FALSE)
AND (SCC署名 = TRUE)
AND (TIA実施 = TRUE)
AND (補完的措置 ≥ リスク)
- TIA = Transfer Impact Assessment（移転影響評価）
- 補完的措置 = 暗号化、仮名化、EU域内での鍵管理など
- 2020年7月16日の Schrems II 判決（C-311/18） により、SCC単独では不十分で、TIAと補完的措置が必須となりました。
具体データで見ると：
1. 2021/914：新SCCの規則番号。4つのモジュール（C2C / C2P / P2C / P2P）で構成。
2. 2022年12月27日：旧SCCの経過措置終了日。以降は新SCCのみ有効。
3. 最大2%：GDPR違反時の世界的売上高に対する制裁金上限（第83条5項）。SCC不備も対象。
对比表：旧SCC vs 新SCC
| 項目 | 旧SCC（2010/87/EUなど） | 新SCC（2021/914） |
|---|---|---|
| 公布日 | 2001〜2010年 | 2021年6月4日 |
| モジュール構造 | なし（C2P中心） | 4モジュール（C2C/C2P/P2C/P2P） |
| 多国間利用 | 想定外 | 複数当事者で利用可 |
| Schrems II対応 | 不明確 | TIA・補完措置を明文で要求 |
| 有効期限 | 2022年12月27日で失効 | 現行有効 |
| DTC実務での使い方 | 越境ECの決済データ移転など | DDP・越境CRM・広告配信全般 |
| ドッキング条項 | あり | あり（第7条） |
| 準拠法 | 加盟国法 | EU加盟国法（第9条） |
応用シーン（DTC/越境ECでの具体例）
1. EU顧客データを日本の物流センターへ
- 注文・住所・電話番号を日本拠点のWMSに取り込む場合、C2P（管理者→処理者）モジュールを締結。
2. Shopify / Salesforce など米国SaaSの利用
- 米国は十分性認定なし（2023年7月のEU-US Data Privacy Frameworkで一部緩和）。DPF未加入ベンダーにはSCC＋TIAが必須。
3. 越境広告配信（Meta、Google Ads）
- EU顧客のメールハッシュを米国サーバーへ送信する行為は「移転」に該当。SCC第2モジュール＋補完的措置を確認。
4. 越境ECのカスタマーサポート
- フィリピン・インドのBPO拠点へ問い合わせ履歴を共有する場合もSCC対象。
よくある誤解（アンチパターン）
- 誤解1：「SCCに署名すればOK」
→ 正しくはTIAと補完的措置が別途必要。Schrems II以降、署名はスタートライン。
- 誤解2：「日本は十分性認定済みだからSCC不要」
→ 日本は2019年1月23日に十分性認定を取得済み。ただし認定範囲外の移転（例：日本経由でさらに米国へ）にはSCCが必要。
- 誤解3：「プライバシーポリシーに書けば足りる」
→ 契約条項とポリシー記載は別物。SCCは契約であり、ポリシーは告知。
- 誤解4：「旧SCCをそのまま使い続けられる」
→ 2022年12月27日以降は無効。新SCCへ移行必須。
- 誤解5：「DTCはB2Cだから関係ない」
→ B2CでもEU居住者のデータを扱う時点でGDPR適用。SCCはB2B/B2Cを問わない。
関連用語
- GDPR（General Data Protection Regulation / EU一般データ保護規則）
- 十分性認定（Adequacy Decision）
- TIA（Transfer Impact Assessment / 移転影響評価）
- BCR（Binding Corporate Rules / 拘束的企業準則）
- DPF（EU-US Data Privacy Framework）
- DPA（Data Processing Agreement / データ処理契約）
- 越境EC（Cross-border EC）
- DDP（Delivered Duty Paid）
SCCは「署名して終わりの書類」ではなく、運用・評価・更新を含む継続的コンプライアンスです。DTC・越境ECの実務では、ベンダー選定時に「SCCモジュールの有無」「TIA実施状況」「補完的措置の内容」を必ず確認しましょう。