要約

  • EDPBは、Michelinグループの管理者拘束的企業準則に関する仏CNILの決定案について、GDPR第47条上、解消すべき懸念はないと判断し、提出案のまま採択できるとの見解を示した。
  • これはCNILの最終承認ではなく、特定のデータ移転を許可するものでもない。各移転の状況に応じた評価はデータ輸出者に残る。

分析

意見24/2026が進めたのは規制手続きであり、データ移転への包括許可ではない。仏CNILは主務監督機関として、GDPRの整合性メカニズムに基づき決定案を欧州データ保護会議に付託した。EDPBは、Michelinグループの管理者拘束的企業準則（BCR-C）が第47条と関係する勧告で求められる要素を備えているかを検討した。解決が必要な懸念はないとし、CNILは提示された案をそのまま採択できると結論づけた。

ただし、EDPBの見解と国内当局の決定は別の段階にある。フランスで承認を行うのはCNILだ。CNILは意見を受領してから2週間以内に会議へ回答し、最終決定を整合性メカニズムの登録簿に伝えることになっている。ここで確認した公開資料には10月13日付の意見が含まれるが、その後に最終決定が出たかまでは確定できない。

案が対象とするのは、EEA内で管理者として活動するMichelinグループ会社から、EEA外で管理者または処理者として活動する同グループ会社への移転と、EEA外の他のグループ会社への再移転である。意見は、現職・元従業員、請負業者、顧客、エンドユーザー、利害関係者、供給業者などを対象者として挙げる。一方、実際の移転先国、件数、データセット、運用上の経路は示していない。BCRの決定案全文も公開意見には添付されていない。

ここにガバナンス上の境界がある。拘束的企業準則はグループ全体に適用する執行可能な保護策を定め、繰り返し行われるグループ内移転を支える。しかし、個別移転の評価を置き換えるものではない。EDPBは、輸出者が必要に応じて輸入者の協力を得ながら、移転先国の法制度の下で約束した保護を実際に守れるかを検討すべきだと再確認した。難しい場合には追加措置を検討する必要がある。実質的に同等の保護が確保できない移転を、グループ規則の承認だけで有効にすることはできない。

つまり、監督当局は共通の枠組みを審査し、輸出者は各経路の実情に責任を負う。意見が示したのはその分担であり、Michelinの個別移転が適格かどうかではない。

出典