多くの企業が大西洋を越えた個人データの移転に頼っているセーフハーバー協定は無効であると、欧州司法裁判所が判決を下した。
データサイエンスコンサルタント会社プロフュージョンのCEO、マイク・ウェストン氏は、この決定はフェイスブックやグーグルなどの企業に影響を与えるが、EUから米国にデータを移転している中小企業にとっては悪いニュースだと指摘した。
「米国企業は欧州におけるデータの管理、保管、使用方法を再構築する必要があるが、これには多大な時間と費用がかかるだろう」と彼は述べた。
欧州司法裁判所は判決の要約を示しており、全文は後日公表される予定だ。
裁判所は、フェイスブックによるEU市民の個人データの米国への移転に関する訴訟の法的問題について判決を下すよう求められた。
EU法では、市民の個人データを輸出する企業は、当該データに対して同等の法的保護水準を提供する国にのみ輸出を行うことが義務付けられています。米国の場合、個人データの交換はセーフハーバー・プライバシー原則の対象であり、欧州委員会は2000年7月にこの原則が十分な保護を提供すると判断しました。EUから米国への個人データの移転にセーフハーバー協定を依拠している企業は、現在、違法行為に該当する可能性があります。
裁判所に尋ねられた質問は、国の個人情報保護当局は、セーフ ハーバー協定が米国に輸出される個人情報に適切なプライバシー保護を提供するという 2000 年 7 月 26 日の欧州委員会の決定に拘束されるのか、それとも、その決定以降の出来事を考慮して、提供された保護レベルに関する苦情を調査できるのか、というものでした。
ここで問題となっている出来事は、米国の諜報機関、特に国家安全保障局（NSA）がフェイスブックなどの企業のデータベースにある外国人の個人情報にアクセスできたことをエドワード・スノーデンが2013年に暴露したことだ。
ヨーロッパ対Facebook.org マックス・シュレムス氏はアイルランドのデータ保護コミッショナーのオフィスの前に立ち、フェイスブックに対して苦情を申し立てた。
アイルランド高等法院は、オーストリア国籍のマクシミリアン・シュレムス氏が2013年10月に提訴した複雑な訴訟において、2014年6月にこの問題をCJEUに付託した。
同年6月、シュレムズ氏はアイルランドのデータ保護委員会（DPC）に対し、Facebookが米国で保有する自身の個人データに対するプライバシー保護の水準に異議を唱え、苦情を申し立てた。彼がアイルランドで苦情を申し立てたのは、Facebookの欧州本社がアイルランドにあるため、EU加盟国の市民とのやり取りはアイルランドのデータ保護法の対象となるためである。
DPCは翌月、Facebookが遵守しているセーフハーバー原則は適切であるとする2000年の委員会の決定を指摘し、申立てを即座に却下した。シュレムズ氏は高等裁判所に対し、DPCの決定に対する司法審査を求めた。これを受け、高等裁判所はセーフハーバーに関する問題をCJEUに付託した。
シュレムズ氏は自身が代表を務めるキャンペーン団体「Europe-v-Facebook.org」のウェブサイトに火曜日、欧州司法裁判所の判決を歓迎する投稿をした。
「この判決は明確な線引きを示している。大規模監視が私たちの基本的人権を侵害していることを明確に示している」と彼は記した。また、この判決は、政府や企業がプライバシーという私たちの基本的人権を単に無視することはできず、法を遵守し、執行しなければならないことを強調している。
先月出された拘束力のない予備的意見の中で、同裁判所の法務長官イヴ・ボット氏は、裁判所に問われた質問をはるかに超えて、データ保護当局は苦情を調査すべきであるだけでなく、セーフハーバー協定は不十分な保護しか提供していないため無効であると述べた。
最高裁判所の大法廷はボット氏の意見に忠実に従ったようだ。
