【問185】個人情報保護実務検定 練習問題｜GDPRの十分性認定
実務・関連法 問25/40難易度B（標準）
問題文
EU・日本間の個人データ移転と十分性認定に関する次の記述のうち、最も適切なものはどれか。
- 1.日本はEUから十分性認定を受けていないため、EUから日本への個人データ移転は原則として禁止されている
- 2.日本はEUから十分性認定を受けており、EUと日本の間で個人データの自由な移転が可能となっている
- 3.十分性認定はEU加盟国間でのみ適用される制度である
- 4.十分性認定を受けても、個別契約（標準契約条項）の締結が必須である
解説
正解
正解は選択肢2です。
各選択肢の解説
選択肢1 → ❌ 誤り
日本は2019年1月にEUから十分性認定を受けており、移転は原則として可能です。
選択肢2 → ✅ 正しい
日EU間は2019年1月に相互の十分性認定が発効し、追加的な手続きなく個人データを移転できる枠組みが整いました。
選択肢3 → ❌ 誤り
十分性認定は第三国（EU域外国）に対して、EUと同等の個人データ保護水準があると認める制度です。
選択肢4 → ❌ 誤り
十分性認定を受けた国へのデータ移転には、標準契約条項（SCC）等の追加手続きは原則として不要です。
背景知識
GDPRはEU域外への個人データ移転を原則制限していますが、（1）十分性認定を受けた国への移転、（2）標準契約条項（SCC）等の適切な保護措置、（3）データ主体の同意等の例外、のいずれかに該当する場合に移転が認められます。日本は2019年1月23日にEUから十分性認定を受け、同時に日本もEUを十分性認定したため、相互の自由な移転が可能となりました。ただし日本企業がEUの個人データを取り扱う場合、個人情報保護委員会の「補完的ルール」（要配慮個人情報の範囲等）の遵守が求められます。
学習アドバイス
「2019年1月」「相互認定」「補完的ルール」がキーワードです。日本独自の補完的ルールが存在することは見落とされやすい論点です。
まとめ
- 日EUは相互に十分性認定済み
- EU個人データの移転に追加手続不要
- 補完的ルールの遵守は必要