GDPRに基づく米国へのデータ移転

多くの一般的なサービス（Google、Meta、Microsoft、Cloudflareなど）は米国でデータを処理しています。このような移転にはすべて、GDPR第5章に基づく根拠が必要です。

これはリスクですか？

EU–US Data Privacy Frameworkに関する十分性認定（2023年7月）以降、そこで認証された米国企業への移転は許可されています。受領者が未認証の場合、受領者の国の法的状況の評価（transfer impact assessment）を伴う標準契約条項が必要です。両方とも欠けている場合、移転は許可されません。

対応方法

• 該当する米国プロバイダーがData Privacy Frameworkの下で認証されているか確認してください。
• そうでなければ標準契約条項を締結し、transfer impact assessmentを文書化してください。
• プライバシーポリシーに、各サービスについて受領者の国と移転の根拠を記載してください。
• 可能な場合は、EUの代替サービスまたはEU域内のデータセンターを選択してください。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。