2021年6月4日、欧州委員会（The European Commission）は、個人データのEU圏内から第三国に移転するための新たな標準契約条項（Standard Contractual Clauses）の最終決定を行い、2021年6月27日に発効した。これに伴い、従来のSCCsは、2021年9月27日（発行日から3か月後）に廃止されることになった。ただし、2021年9月27日までの間に締結された従来のSCCsについては、2022年12月27日までの期間は有効であるが、2022年12月27日までに、従来のSCCsに基づくすべての契約は、新SCCsに移行されなければならない。

　今回のSCCｓの改定は、いわゆるSchremsⅡ事件において、欧州裁判所が2020月7年16日に下した判決の提起した問題（これについては記事2参照）に対処するためのものである。EUから域外への個人データの持ち出しが原則として禁止されているが、この事件では、例外としてアメリカ合衆国との関係で認められていた個人データを移転するための枠組み「Privacy Shield」を無効とする一方で、SCCsについての有効性の維持を条件付きで認める、という判決を下した。これにより、SCCsに依拠した形でのデータ移転について注目されていた。欧州委員会は、この度、上記判決を基に、国際的に移転されるデータの保護措置として改訂版のSCCs（現行の新SCCs）を起案し、決定した（SCCsの施行決定〔Implementing Decision〕）。新SCCsは、欧州委員会の決定に付録（Annex）として付加されている。
なお、EUからわが国への個人情報の移転は、わが国については保護水準がEUと同等だとの認定を受けており（2019年1月19日認定）、個別的な同意は不要であるが、これをさらに第三国に移転させる場合などにはSCCｓ等による個別的な同意が必要である。

・改正のポイント

　新SCCsは、個人データの第三国への移転に関し、個人データの処理に関する自然人の保護及び当該データの自由な移転に関するGDPRの求める要件を確実に遵守することを目的としている（Clause 1（a）)。新SCCsでは、移転元・移転先がそれぞれ複数設定することが可能となり、新SCCs締結後、当事者ではない者でもいつでも参加することも可能となった（Clause 7）。また、複数の標準契約（モジュール）を設定するなどして、SCCsの利用上の柔軟性が向上している（Clause 8）。

・モジュールアプローチ

　新SCCsには、データを取り扱う当事者の責任として、以下のモジュールから具体的なデータ移転の状況に該当するものを選択し、データ移転を行うことが求められていることにも注目したい。

モジュール１：管理者から管理者への移転（Transfer Controller to Controller）　
モジュール２：管理者から処理者への移転（Transfer Controller to Processor）　
モジュール３：処理者から処理者への移転（Transfer Processor to Processor）　
モジュール４：処理者から管理者への移転（Transfer Processor to Controller）　

share