ブリュッセル効果とは？ ＧＤＰＲは日本にも影響［後篇］ アニュ・ブラッドフォードさん（コロンビア大学教授）
記事：白水社
グローバルな市場に及ぼすＥＵの規制能力は、とくにデジタル経済の分野において過去２０年以上にわたり非常に大きなものとなってきた。ＥＵの２０１６年一般データ保護規則（ＧＤＰＲ）以上にグローバルなデジタル企業または利用者に影響を及ぼした規制はほぼ存在しない。ＧＤＰＲの適用開始に促され、消費者は多くの企業から個人データの利用に関する同意を求めるための電子メールを大量に受け取った。世界中の企業が、ＥＵの規制に対応するためデータ収集、保存および利用慣行について速やかに調整を迫られた。ＧＤＰＲに加え、これらの企業および利用者にとって別の影響力ある規制が、オンライン上のヘイト・スピーチを規制するためのＥＵの継続的な取り組みから生じている。アメリカのＩＴ４社——フェイスブック、ツイッター、ユーチューブおよびマイクロソフト──とコミッションとの間で違法なオンライン・ヘイト・スピーチに対抗するための自主的行動規範が締結された結果として、これら四社と他のデジタル企業はプラットフォームに見られる言論を管理するための広範な措置を講じてきた。これらの規制のいずれも諸外国の管轄にまたがって多大な影響を及ぼし、ブリュッセル効果のグローバルな射程の証左となっている。
［中略］
ＥＵにおける厳格なデータ保護の基礎は、第二次世界大戦およびナチス体制による残虐行為に遡ることができる。ナチスはユダヤ人やナチスに抵抗する他の少数派を見つけるため計画的に私人のデータを濫用した。国家監視と個人の権利の侵害は、シュタージとして知られていた国家安全省が市民を監視し続けた時代の戦後の東ドイツにおける社会主義独裁の下でも続いた。これらの経験がドイツ人、より広くは欧州の人々に個人の権利への侵害を可能とする国家監視および政府のデータ収集行為への懐疑をもたらすこととなった。これらの懐疑が、企業がこの点に関して公益のために振る舞わないのではないかという不信感と結び付いて、ドイツで、そして後にはより広く欧州で強固なプライバシー権の体制への道を開いた。
［中略］
ＥＵデータ保護の体制は顕著な規範上のブリュッセル効果ももたらしてきた。ポール・シュワルツとカール・ニコラウス・パイファーによれば、「ＥＵデータ保護は驚くほどの影響力を有してきた。世界のほとんどの国がそれに従ってきた」。別のプライバシー専門家であるグラハム・グリーンリーフは、「データ・プライバシー法の「欧州基準」として合理的に説明されているものは、世界のほとんどのところでデータ・プライバシー法の規範になりつつある」と述べている。今日までに、およそ１２０カ国がプライバシー法を採択してきており、その多くがＥＵデータ保護の体制と類似している。これらの国々は、ブラジル、日本、南アフリカ、韓国などの経済規模の大きい国や地域の主導国から、コロンビアやタイといった中規模の経済国、そして経済規模の小さな国やバーミューダのような小さな島国にまで至る。
これらの国々がＥＵデータ保護法を模倣することは驚くには当たらない。第一に、最高基準で最も広く受容されている基準を示しているため、多くの国がＧＤＰＲを「黄金の基準」と見なしている。第二に、ＥＵ市民のデータを扱うすべての大企業が実務においてＥＵプライバシーの基準に対応してきていることからすれば、政府はこれらの法を国内法制の中に確立する抵抗に直面することはほぼない。ＥＵ法による影響を受けている外国企業は、ＥＵ基準へのロビー活動を行うインセンティブを自国の市場においても持つことになるため、規範上のブリュッセル効果から追加のコンプライアンス・コストが発生することにはならない。そうすることで、これらの外国企業は、現在のところＧＤＰＲの遵守を必要としていない国内のみに専念する企業と対等な条件で競争することができるのである。
アメリカの市場はこの原動力を例証している。２０１８年１０月、アップル社ＣＥＯのティム・クックは、ＥＵの主導に「それ以外の国が」続き、利用者の個人データを保護するための厳格な法制度を選択する時が来たと述べ、アメリカ政府がＥＵ型の包括的な連邦プライバシー法を採択するよう求めた。クックは企業が収集するデータの量が個人を「不安にさせる」ものとなり、収集されたデータの濫用をもたらす「監視」に言及した。さらに驚くことに、フェイスブックのプライバシー担当であるエリン・イーガンは、クックに続いて、アメリカにおけるＧＤＰＲに相当する連邦プライバシー法をフェイスブックが支持することを表明した。六カ月後、企業の創始者であり代表であるマーク・ザッカーバーグはワシントン・ポスト紙の記事で、次のような言葉で世界中におけるＧＤＰＲ型の法の採択を求めた。
効果的なプライバシーとデータ保護はグローバルに調和された枠組みを必要としている。世界中の人々が欧州連合の一般データ保護規則と整合するような包括的なプライバシー規制を求めてきた。私はこれに同意する。もしもより多くの国がＧＤＰＲのような規制を共通の枠組みとして選択すれば、それはインターネットにとって良いことであろうと私は信じている。アメリカと世界中の新たなプライバシー規制はＧＤＰＲが提供する保護を基礎にするべきである。
フェイスブックのビジネス・モデルは、アップル以上にデータ収集に依拠しているため、フェイスブックとザッカーバーグの声明がこれらの企業が直面している新たな現実をよりいっそう明らかにしていることから、いちかばちかの決断をいっそう大きなものにさせており、ＧＤＰＲの非難ではなく擁護を主導している。連邦法がないことから、潜在的に矛盾する州のプライバシー法の複雑な継ぎ合わせの発生を企業は恐れている。このことはこれらの企業がカリフォルニア州消費者プライバシー法に抵抗する主要な理由である。連邦法へのロビー活動を行う時、ＧＤＰＲはアップルやフェイスブックといったアメリカに拠点を置くグローバル企業による企業行為の多くをすでに規律していることから、魅力的な雛形を提示している。
ＥＵ型のプライバシー体制が世界中に拡散する別の強力な理由は、ＥＵからの「十分性決定」を得たいという国の欲求である。十分性決定とは、ＥＵから当該国へのデータ移転を安全に行うために、当該国のデータ保護の基準が十分な保護を満たしているという、ＥＵによる公式の決定をいう。十分性認定はＥＵと、十分な法を有するとされた国との間のデータ移転に道を開くこととなる。欧州の企業も、当該国の法が十分な法を有すると見なされた国で、新たな子会社、支店、またはコール・センターもしくはデータ・センターをもっと展開しようとするだろう。今日までに、ＥＵは次の非ＥＵ諸国を十分なデータ保護法を有する国として認定してきた。すなわち、アンドラ、アルゼンチン、カナダ（商業組織のみ）、ファラオ諸島、ガンジー島、イスラエル、マン島、日本、ジャージー諸島、ニュージーランド、スイス、そしてウルグアイである。
ＥＵ司法裁判所は、第三国のデータ保護体制の「十分性」に関する司法審査の行使において厳格な基準を適用している。シュレムス判決において、ＥＵ司法裁判所は「十分性」を「本質的に同等」と定義し、第三国が司法審査に耐えうる十分性決定を求めるようＥＵのルールに相当近い複製が行われることを見込んでいる。これによって、ＥＵ司法裁判所は、データ移転を十分性決定に依拠している国にとっては少なくとも、「世界のデータ保護立法の停止を事実上指示してきたのである」。本質的同等性は、第三国とＥＵとの間のデータ移転においてのみ要求されるが、欧州のデータが関わるかどうかによって異なるデータ保護の基準を要求する国内プライバシー法を採用する国を想定することは困難である。この意味において、十分性の要件はデータ保護法を法的に不可分なものとしており、その結果ＥＵデータ保護の基準がおそらくいかなる国内プライバシー規制にとってもその基礎となる可能性がある。
もしも企業が業務を行う国がデータ保護の十分な基準を有していないとされると、その国へのデータ移転を行いたい企業は拘束的企業準則（ＢＣＲ）を得るために監督機関から承認を受けなければならない。これらの準則は、企業グループにおけるすべての主体にデータ保護の義務を課している。もしもこれらのＢＣＲが承認された場合、ＢＣＲは当該企業にとってＥＵから承認を受けたデータ保護法として機能する。もしそうでなければ、これらの企業はＥＵによって承認された「標準契約条項」を用いることができる。これらの条項により企業はＥＵの組織と契約を締結し、 ＥＵのプライバシー・ルールを満たすことを確約することが可能となり、当該国が十分なデータ保護法を有していない場合に企業に「次善策」を提供している。しかし、プライバシー活動家であるマックス・シュレムスがアイルランドＤＰＣにこれらの標準契約条項について申立をしてからは、データ移転の根拠としてのこれらの標準契約条項の未来は危うくなっている。ＤＰＣの予備決定は、標準契約条項は不十分なプライバシーの保障となっているという懸念を示している。本件は、アイルランド裁判所を経由してＥＵ司法裁判所に係争されている。もしもＥＵ司法裁判所がこれらの条項を無効とすれば、自国とＥＵとの間の開かれたデータ移転を維持するために、外国政府はＥＵ型のプライバシー法を採択するため、いっそう大きな努力を払おうとする可能性がある〔２０２０年７月１６日、ＥＵ司法裁判所は、標準契約条項が追加的措置を講じることで本質的に同等な保護水準を維持できるため有効であると判断した〕。
十分性認定がない状態での越境データ移転に伴う困難により、いくつかの国は自国法をＧＤＰＲに一致させるための強いインセンティブが与えられている。たとえば、アルゼンチンとウルグアイは、ＥＵの十分性決定を得た二つのラテンアメリカの国である。アルゼンチンは２０００年にデータ保護法を採択したが、スペインの１９９２年データ・プライバシー法とＥＵデータ保護基準に非常に近いものとなっている。３年後に、アルゼンチンはＥＵの十分性認定を受けた。２０１６年、アルゼンチンはＧＤＰＲ後の法的環境における十分性の地位の維持に必要となる可能性のある法改正の研究作業部会を設置し、この国がＥＵとの整合性を維持するために法改正を進んで行うことを示している。ウルグアイは、２００８年と２００９年にデータ保護法改正について同様にＥＵデータ保護の体制をモデルにした。ウルグアイはＥＵの十分性認定を２０１２年に取得したが、十分性認定の可能性が、法の背後にある重要な動機であった。ウルグアイはＥＵの十分性決定を技術分野における開発誘致にとって重要であると見なしていた。たとえば、ウルグアイ投資輸出促進機構は「ＥＵの認定は欧州の主要な投資の可能性を開くことになり、とくにウルグアイのアウトソーシング産業を後押しするであろう。［……］そしてラテンアメリカにおける行政、金融また他のデータ処理サービスの提供者を求めるＥＵ拠点の企業を引き付けることになるであろう」。
日本は近年ＥＵとの相互十分性の対話の決着に至り、両者が２０１８年にそれぞれのデータ保護制度を同等であると認定することに合意することになった〔２０１９年１月２３日、コミッションは、日本の民間部門の個人情報保護法制について十分性決定を下した〕。日本はＧＤＰＲと整合性を保つことができるようにすることを目的の一つとして個人情報の保護に関する法律（ＡＰＰＩ）を２０１５年に改正した。日本の産業界は、欧州企業との国際取引業務によりすでに際立ったデータ保護の規制に服していたことから、同様の国内ルールを遵守することでコストを非常に小さなものにするために、新たな法を支持する上で大きな影響力を及ぼした。ＥＵの十分性決定を得ることは、その決定がＥＵからの個人データの移転を認めることになるため、トヨタ自動車や三井住友銀行を含む日本企業にとっての恵みであるとも見なされた。
【『ブリュッセル効果 EUの覇権戦略──いかに世界を支配しているのか』第５章「デジタル経済」より】
