最新の海外法制、プライバシー保護、セキュリティ強化のガイダンス

   　筆者は、 2020年7月25日､欧州司法裁判所がSchremsⅡ判決でEU市民の第三国へのデータ移送に関しプライバシー・シールド決定の無効判断および標準的契約条項(SCCs)に関する決定の有効性判断(その1) 、 8月9日、同(その2完) で､欧州司法裁判所のSchremsⅡ判決を取りあげた。 　しかし、その後のGoogle やEU内のウェブサイト運営者は依然Google Analyticsを活用することを止めず、他方、米国諜報機関への個人データの流失リスク問題は未可決のままであった。 　このため、オーストリアに本部を置くEU全体のプラーバシー保護・訴訟団体 「None of your business (以下、NOYBという)」    (注1) はオーストリアのデータ保護当局（「Datenschutzbehörde：以下、DSBという）に対し告訴し、そこ決定が2021年12月22日に行われた。 　NOYB　は、2022年1月13日に、2021年12月22日に発行されたオーストリアのDSBの決定を公表した。 その決定において必要に応じて適切なレベルの保護を確保せずにGoogle Analyticsを継続的に使用することにより、米国の諜報機関や関係法は米国の輸入業者であるGoogle LLCに個人データをウェブサイト運営者がエクスポートすることとしており、これは「EU一般データ保護規則（規則（EU）2016/679）（以下、GDPRという）」の規定 GDPRの第V章に基づき、2020年8月にNOYBがDSBに代表する申立人の苦情を受けた「データ保護委員会 v. Facebook Ireland Limited、Maximillian Schrems（C-311 / 18）（「SchremsII事件」）」における 欧州司法裁判所（「CJEU」）の判決 の要件に違反するという告訴内容である。 　DSBの決定は本文で述べるとおりであるが、より詳しく解説すると「DSBは、データ受取人としてのGoogle LLCに対する告訴請求を拒否し、データ移転に関する規則はEUのウェブ運営法人にのみ適用され、米国のデータ受領者には適用されないと判断した。しかし、同時にDSBは、EUのデータ輸出業者による明示的な命令なしにGoogleが米国政府(...

  筆者は2020年9月5日blog 「トランプ政権の下でのCDCの全米の何百万人もの住宅テナントの立ち退きを2020年末まで禁止・猶予する新規則・命令の発出につき大いなる疑問」 ､同月12日blog ｢NCLAはCDC立退き猶予命令に挑戦：CDC命令は、裁判所にアクセスする権利を放棄させ、連邦優位条項の制限逸脱、重大な委任禁止教義の懸念、連邦の指揮禁止原則や判例違反を主張｣ の2回にわたり、トランプ政権下でのCOVID-19コロナ禍における人権擁護団体(NCLA)、法律学者、連邦保健福祉省・CDC(疾病予防管理センター)等が弁護士等を雇うことのできない社会的弱者救済たる賃借人の支援に取り組んでいる実態を取り上げた。 　最近、筆者の手元に2022.2.3 SLS Report 「スタンフォード･ロースクールはCOVID-19による住宅賃借人の立ち退き要求の津波危機に対処する司法長官の呼びかけに応える」 が届いた。さらに、これと関連し、SLS Report 「スタンフォード・ロー･スクールの院生、学生、教員は、低所得の賃貸人が実践的な法的援助クリニックでの立ち退きを回避するのを支援」 を読んだ。 　これら一連のロースクールの活動内容を読むと米国におけるロースクールの社会的機能、役割を垣間見た感がある。 　果たして、わが国の法科大学院は司法試験受験生の予備校となっていないか、あらためて考えるヒントを理解する意味で今回のブログは、SLSレポートを時系列にまとめた。 １．2021.12.2 　SLSレポート「スタンフォード・ロー･スクールの院生、学生、教員は、低所得の賃貸人が実践的な法的援助クリニックでの立ち退きを回避するのを支援」 　トランプ前大統領時代から続くCOVID-19に基づく先行きが不透明な賃貸の立ち退きモラトリアムが終了した後、迫り来る住宅の立ち退きラッシの危機を見越して、スタンフォードの法曹界は、地元とカリフォルニア州の低所得者を支援するためにいくつかのプロジェクトに着手した。 　2021年8月、米国司法長官の メリック・B.ガーランド(Merrick B. Garland) が、COVID-19に基づく賃貸住宅の立ち退きのモラトリアム期限が切れる結果としての賃貸住宅の危機を見越して、法曹界からの支援を求めたとき、スタンフォード・ロースクール教授・C...

  Last Updated ：February 26,2022 2月10日、筆者の手元に SECの緊急リリース がﾞ届いた｡2月9日、証券取引委員会は、登録投資アドバイザー(registered investment advisers)、登録投資会社(registered investment companies)、事業開発会社(ファンド )  (注1) のサイバーセキュリティ・リスク管理に関する規則(CFR)と、投資アドバイザーとファンド開示事業者　(fund disclosures)  (注2) (注3) を管理する特定のルールの改正案を広く 公募提案することを決議したという内容である。 　この問題はわが国の関係者にとって見逃せない重要な問題であり、その内容を詳しく解説を試みようと考えたが、 規則改正案本文 は全243 頁であり、とりあえず、(1)リリース文、(2)概要、(3)詳細目次を仮訳することとした。  　なお、筆者は2月11 日付けのLexBlog,Inc.の 解説記事「SEC Proposes Cybersecurity Regulations for Advisers and Funds」 を読んだ。主要論点がよくまとめられおり、併読されたい。また、2月26日筆者の手元に Harvard Law School Forum on Corporate Governance「SEC’s Role in Cybersecurity」 が届いた。併せて読まれたい。   １．SEC 緊急リリース文 　SEC委員長のゲイリー・ゲンスラー(Gary Gensler)は、「サイバー・リスクは、SECの3部構成の重要任務の一部分、特に投資家を保護し、秩序ある市場を維持するという目標に関連している。今回提案された規則と規則改正は、サイバーセキュリティの準備を強化することを目的としており、サイバーセキュリティの脅威や攻撃に対するアドバイザーや資金の回復力に対する投資家の信頼を高める可能性がある」と冒頭述べた。 。 Gary Gensler委員長 　今回提案された規則改正案は、アドバイザーとファンドが、アドバイザリー・クライアントやファンド投資家に損害を与える可能性のあるサイバーセキュリティ・リスクに対処するために設計された書...

  3. 控訴院 判決の主な論点・争点 　冒頭の述べた通り、本裁判は逆転が続いた裁判である。最終的には最高裁の判断が優先されることは言うまでもないが、本ブログでこれまで述べた通り、DPA2018やUK GDPR等の解釈や運用をめぐり更なる類似のクラス・アクションが予想される。 　その意味で､本ブログではあえてBird & Bird LLP　と UK Human Rights blogの控訴院判決の解説内容を引用する。 3.1  Bird & Bird LLP 　の控訴院判決解説 　2019.12 「CPR 19.6の下での集団訴訟データ保護侵害訴訟は、ロイド対グーグルの控訴院によって緑色の光を与えられている」 を抜粋、仮訳する。 　Loyd vs. Google LLC[2019]EWCA Civ 1599、大規模なデータ侵害の主張の英国控訴院による最近の判決は、CPR 19.6の運用に役立つ洞察を提供した。CPR 19.6は、「同じ利益」を持つ個人が代表的な能力で集団での裁判請求を行うことを可能にする。英国「2018年データ保護法(以下、DPA 2018という)」の制定に続いて、これらのタイプの大規模なデータ侵害の申し立ては劇的に増加すると予想されるが、特に「同じ利益」を持つクラスがどのように特定されるかに関しては、CPR 19.6の解釈、運営が懸念されている。 　ロイド対グーグル裁判は、DPA 2018ではなく「1998年のデータ保護法(DPA1998)」 (注3) に基づいて決定されたが、(1)大規模なデータ侵害行為の代表クラスが「同じ利益」を持っているかどうか、および(2)そのクラスがCPR 19.6に定められた基準に従って容易に識別できるかどうかを判断するのかに関し、非常に役立つものといえる。 (1)控訴の背景 　法定義務違反の損害賠償を求めるこの主張は、400万人以上の英国のiPhoneユーザー(「代表クラス」)に代わって、消費者権利団体の元ディレクターであるリチャード・ロイド氏によってもたらされた。いわゆる「Safari回避策」により、GoogleはSafariのデフォルト設定を回避するユーザーのデバイスにクッキーを設定し、サードパーティのクッキーをブロックし、Googleが特定のウェブサイトでのユーザーの活動のタイミ...

  　 Last Updated: April 30,2024 　筆者の手元に2022.2.1 のConsumer Privacy World記事 「Google LLC v Lloyd – Major Representative Action Denied」 が届いた。2021年11月10日の英国最高裁判所(UK Supreme Court)の判決内容の解説記事である。 　2021年11月10日、英国最高裁判所 (注1)  は、リチャード・ロイド(Richard Lloyd：以下、ロイドという)氏 (注2) がGoogle LLCに対する代表的な手続きを持ち込もうとした試みを全会一致で却下したという内容である。 Richard Lloyd氏 　消費者保護の代表として控訴院によって明言されたロイド氏は、原告のデータの違法な処理の後、「1998年データ保護法(以下、「DPA 1998」 (注3 )という)第13条に基づいて、約400万人のApple iPhoneユーザーの損害賠償を求めた。彼は、30億ポンド(約4650億円)の請求額の根拠につきGoogleを上陸させたであろうユーザー1人あたり£750(約41000円)として統一的な損害賠償を提案したのである。 　実は、筆者が調べたところ、この最高裁判判決は最高裁判所自身が詳しく 解説 していることが判明した。しかし、その内容をあらためて読み直したところ判決要旨のみかと思いきや実は判決日の同裁判所の 公式動画8分間 も見ることができる。 　また、さらに調べたところ、同裁判に関するCleary Gottlieb Steen & Hamilton LLPの詳しい 解説 があった。グローバルな 大手国際法葎事務所クリアリー・ゴットリーブ・スティーン&ハミルトンLLP(Cleary Gottlieb Steen & Hamilton LLP) は、ニューヨーク市のワン・リバティ・プラザに本社を置く国際的な法律事務所である。同社は現在、ワシントン、D.C、香港、北京、ロンドン、ローマ、ミラノ、ブリュッセル、モスクワ、フランクフルト、ケルン、パリ、ブエノスアイレス、サンパウロ、アブダビ、ソウルに追加のオフィスを持っており、世界中で1,200人以上の弁護士を雇用している。 　さらに、控訴院...