「米国政府はあなたのデータを見ていない」と言い切れない理由（1/2 ページ）

欧州司法裁判所は、米国企業がEU域内の個人データを米国へ移転するのを認める「セーフハーバー協定」が無効であるとの判断を下した。それでも、米国政府に向けられた「ある懸念」は消えない。

公開 2015年12月15日 12時02分

著者

Clive Longbottom

[TechTarget]

印刷する

欧州司法裁判所の公式サイト《クリックで拡大》

　大西洋を渡るデータの移転方法に関するプロセスの簡素化を目的とした、欧州連合（EU）と米国の「セーフハーバー協定」（EU諸国から米国に転送される個人データの保護に関する協定）は、欧州司法裁判所によって無効だという判決が下された。これは、米国とEU諸国の両方でビジネスを展開している国際データセンター事業者にとって興味深い判決だ。

併せて読みたいお薦め記事

脅威の米国“官製”ハッキング技術

“スノーデン事件”の爪痕

「セーフハーバー協定無効化」のインパクト

　セーフハーバー協定により、企業はデータの移転を含む包括的な保護を選択することができた。ただし実際には、データの格納、移転、処理の方法に関して、企業間および企業と個人間で契約書類一式を交わす必要があった。

　このような包括的かつ詳細な計画は、そもそも実現不可能だった。欧州司法裁判所が無効にしたルールに代わる、新しいセーフハーバー協定に各国政府が注力することを期待するのは当然のことだろう。それが合理的かと言われれば、合理的である。だが、可能性があるかと言われれば、可能性は非常に低い。

　「セーフハーバー協定は目的に合っていない」と一般に認識されるようになり、米国とEUは3年以上にわたって代替協定について議論してきた。だが新しい取り決めに近づいているとは思えない。以前の協定は基本的に破棄されており、両者が多国籍企業のための国際的なデータ保護という包括的なテーマに注力してきたとは到底思えない。

　セーフハーバー協定の失敗は、大きな意味での影響は最小限になるだろう。データのセキュリティと管理手順を順守しない企業のグループは、新しいセーフハーバー協定の合意に達することができないグループと同じである。

　個人情報の保護に関する「EUデータ保護指令」（95／46／EC指令）を策定した国々は、セーフハーバー協定が指令に適合していることに合意している。そのため、以前のセーフハーバー協定の要件に準拠している企業が訴訟を起こされる可能性は低いだろう。国際データ保護についての訴訟が発生した場合、企業が現在施行されている法律に準拠していることを示すことができれば、それが決定的な証拠になるはずだ。

　もっと大きな問題は、誰が、どこで、どのような手段で、どのようなデータを取得できるかということだ。企業のIT部門は、企業データを保護する義務がある。そして国際データセンターやグローバルな顧客基盤を持つ場合、データの移転や格納には法的な問題が絡んでくる。

法規制

　米国愛国者法により、米国政府が適切だと考える全ての情報にアクセスできるようになった。このことは米国以外の国に、ある種の懸念をもたらした。同法にはある程度の監視機能が備わっており、商業用データの開示を要請する際の一般的な訴訟の材料にはなりそうもない。だが米国には、政府の意志でより広範に使用できる「連邦情報セキュリティマネジメント法」（FISMA）もある。

　これらの潜在的なデータセキュリティの脅威は、国境を越えてアイルランドのデータセンターに格納されている米Microsoftのデータを巻き込んだ、米連邦裁判所の管轄事件の切り札となった。Microsoftは、アイルランドのデータプライバシー法がデータを令状から保護すると主張している。対して連邦判事は、紙の場合と同様、情報が存在する場所は重要ではないと主張している。データが会社の所有物である場合に、開示の令状が発行されると、企業はデータを引き渡さなければならない。Microsoftは控訴し、ドイツでクラウドサービスをホストすることで、未来のデータを保護している。

　Microsoftが引き渡しを求められているデータは、実際にはMicrosoftの所有物ではない。それは、Microsoftのサーバに格納されている他の人たちが送信した一連のメールメッセージである。だが法律的には、サーバ内のデータはサーバを所有する企業の資産になる。

　問題があることがお分かりいただけるだろうか。あなたは、自分の勤務先が国際データセンターを使用していないと考えるかもしれない。だがクラウドで実行しているアプリケーションやストレージはどうだろうか。パブリッククラウドサービスを使用している場合、そのサービスの所有者の本社が米国にあれば、あなたが作成して、そのサービスのインフラに保存した全てのデータは、法的手段によって、あなたが知らない間に米国政府がアクセスできるのだ。クラウドサービス事業者は、簡単な開示の令状の下で簡単にデータを引き渡し、そのことを誰にも知らせないかもしれない。

次ページへ来るかもしれない「最悪の未来」