EUのデータ保護指令は十分なレベルの保護措置が確保されていない第3国への個人情報の移転を禁じており、日本も原則として認められていない。米国にはEU指令に相当する包括的な個人情報保護ルールが存在しないため、欧州委員会は2000年に米商務省との間でセーフハーバー協定を結び、商務省が十分な保護水準にあると認定した企業に対してEU内から米国へのデータ移転を認めている。
今回の判決は、米国家安全保障局（NSA）が大手IT企業を通じて大規模な情報収集活動を行っていることが暴露されたいわゆる「スノーデン事件」を受け、フェイスブックを利用しているオーストリアの法学生が起こした訴えに対するもの。フェイスブックは欧州のユーザーの個人情報を米国内のサーバーに移転してNSAの情報収集活動を手助けしているとの主張に対し、同社が国際本部を置くアイルランドのデータ保護当局は「セーフハーバー協定に基づく行為」として訴えを退けた。その後、アイルランド高等法院が同協定の合法性について欧州裁に判断を求め、同裁判所の法務官は先月、取り決めは無効との見解を示していた。
欧州裁は判決で、実際にはセーフハーバーの枠組みより米国の安全保障や公共の利益、法執行機関の要請が優先されるため、EU市民の個人情報は十分に保護されていないと指摘。「セーフハーバー協定は無効」と結論づけたうえで、アイルランド当局に対し、本事案について改めて調査を行い、米国へのデータ移転を停止すべきか判断するよう求めた。
セーフハーバー協定をめぐっては、スノーデン事件をきっかけにEU市民の個人情報が適切に保護されていないとの懸念が強まり、欧州委と商務省の間で2年前から枠組みの見直しが進められている。欧州委のティメルマンス第１副委員長は判決を受け、「より安全に情報移転が行われるよう、新たな枠組みの構築に向けて米側との協議を継続する」と表明。一方、プリツカー米商務長官は「判決は米国と欧州の企業および消費者に重大な不確実性をもたらし、米欧間のデジタル経済の成長を危険にさらすもので深く失望した」とコメントしている。
photo by purpleslog on flickr