DUAA改正により英国の十分性認定が2031年まで更新：日EU・日英の個人データ移転への影響を解説

欧州委員会は、2025年12月19日、英国に対する十分性認定（adequacy decision）の更新を発表しました。十分性認定とは、EU域外の国や地域がEUと同等の保護水準を確保していると欧州委員会が判断する仕組みで、認定国へは追加的な保護措置なしに個人データを移転できます。英国では、個人データ保護法制を改正するDUAA（Data (Use and Access) Act）が2025年に成立しており、この改正が十分性認定の維持に影響するかどうかが注目されていましたが、欧州委員会は、DUAAによる改正を織り込んだうえでも、英国の保護水準がEU基準と本質的に同等であるとの評価を維持しました。

今回の更新により、EEA（欧州経済領域）と英国の間では、これまでと同じ条件で個人データの移転を続けられる状態が2031年12月27日まで維持されます。日本と英国・EUとの間のデータ移転の枠組みにも、今回の更新による直接の変更はありません。もっとも、更新された認定には6年間の期限と4年後の共同レビューが組み込まれており、恒久的な認定ではないという点は変わりません。本記事では、更新の内容と日EU・日英間の枠組みを、日本企業の実務の観点から整理します。

なぜ今、英国とのデータ移転の枠組みが注目されたのか

英国はEUを離脱した後、EU一般データ保護規則（General Data Protection Regulation、以下「EU GDPR」）を国内法化したUK GDPRと、データ保護法（Data Protection Act）を組み合わせた形で個人データ保護法制を運用してきました。EUから英国への個人データの移転は、EUの十分性認定に基づいて、追加の手続なしに行える状態が続いてきました。

この状態を揺るがす可能性があったのが、UK GDPRを改正するDUAAです。DUAAは、2025年6月19日に国王裁可（Royal Assent）を受けて成立しました。十分性認定は「EUと本質的に同等の保護水準」を前提とする制度であるため、英国が独自の緩和を進めれば、認定が更新されない、あるいは認定が失われるという事態も理論上はあり得ました。仮に認定が失われれば、EEAから英国へ個人データを移転する際に、標準契約条項などの移転手段を個別に整備し直す必要が生じ、英国子会社や英国拠点を通じて欧州の個人データを扱う企業の実務にも波及します。

こうした事情があるため、英国政府はUK GDPRとEU GDPRとの整合性を維持することを意識し、DUAAによる改正の範囲を抑制的にとどめたと評価されています。欧州委員会の側も、新法の影響を見極めるまでは認定の更新判断を行わないという姿勢を取っていました。つまり今回の更新は、単なる期限延長の事務手続ではなく、DUAA成立を受けた英国法制の再評価という実質的な審査を経たものです。

DUAAによる改正内容そのものについては、別稿で詳しく解説しています。

EUの英国に対する十分性認定、2031年までの更新が確定

欧州委員会は、2021年6月28日、EU GDPRに基づくものと、法執行指令（Law Enforcement Directive、以下「LED」）に基づくものの2つの十分性認定を英国に対して採択しました。LEDは、警察・刑事司法の分野で取り扱われる個人データを対象とする指令であり、企業活動に直接関わるのは主にEU GDPRに基づく認定です。2021年の当初決定には、期限が到来しても自動的には更新されないという条項が付され、有効期限は4年間、2025年6月27日までとされていました。

2025年12月19日に発表された更新は、この2つの認定をいずれも維持するものです。更新された認定には6年間の期限（サンセット条項）が付され、2031年12月27日まで有効とされています。また、期限到来を待つのではなく、4年後に欧州委員会とEDPBによる共同レビューが行われる予定です。手続面では、EDPBの肯定的な意見とEU加盟国の承認（コミトロジー手続き）を経て、更新が完了しました。

実務上の意味はシンプルです。更新された認定により、EEAと英国の間では、追加的な保護措置なしに個人データが自由に移動できる状態が維持されます。EEAから英国への移転について新たな契約を締結し直したり、移転影響評価をやり直したりする必要は生じていません。

参考：ICO｜Receiving personal information from the EEA

今回の更新は、一度の判断で決まったものではなく、期限を暫定的に延ばして審査時間を確保した上で、正式な更新に至るという2段階の経過をたどりました。時系列で整理すると次のとおりです。

2025年の延長は、DUAA法案の立法プロセスの完了と、欧州委員会が新法を再評価するための時間を確保することを目的とした技術的な延長であり、英国の保護水準について新たな判断を下したものではありません。実質的な評価を伴う判断は、2025年12月19日の正式な更新です。この2つを混同すると、認定の有効期限の理解を誤るおそれがあるため、区別して押さえておく必要があります。

英国の十分性認定はなぜ「新規」ではなく「更新」なのか

今回の措置は、2021年の認定を白紙に戻して新たな認定を与えたものではなく、既存の枠組みを維持する「更新」として行われました。この違いは、実務上の負担に直結します。新規認定であれば、認定の範囲や条件が変わる可能性があり、企業側も移転の根拠を改めて確認する作業が必要になりますが、更新であれば、これまで依拠してきた前提がそのまま続くことになります。

更新の対象は、EU GDPRに基づく認定とLEDに基づく認定の両方です。すなわち、通常の企業活動に伴う個人データの移転と、法執行分野のデータの移転の双方について、従前の枠組みが維持されました。

その判断の根拠となったのは、DUAA施行後も英国の保護水準がEUと本質的に同等であるという欧州委員会の評価です。DUAAは、UK GDPRの一部を見直す改正法であり、企業の利用目的の柔軟化に関する規定や、自動化された意思決定に関する規律の見直しなどを含んでいます。これらの改正点について、欧州委員会は、十分性認定を失わせるほどEU法から乖離するものとは評価しませんでした。言い換えれば、DUAAの改正は、英国の法制度がEUと同等であるという評価の枠内にとどまると判断されたことになります。

なお、個々の改正項目の内容と、日本企業に必要な対応については別稿で扱っています。

日本と英国・EUの間のデータ移転の枠組み

ここまではEUと英国の間の関係ですが、日本企業にとって重要なのは、日本を含めた三者の関係です。日本とEUの間では、2019年1月23日、個人情報保護委員会が個人情報保護法に基づくEU指定を行い、同日付けで欧州委員会が日本に対する十分性認定を決定したことにより、相互に円滑なデータ移転を可能とする枠組み（日EU相互認証）が発効しました。EU指定とは、日本の事業者が外国の第三者に個人データを提供する際に本人の同意等を要しない国として、個人情報保護委員会が指定する制度です。

英国については、英国のEU離脱に際し、個人情報保護委員会が、EUに対して行っていた個人情報保護法第24条（現28条）に基づく指定を、離脱後も英国に対して継続することとしました。これにより、日英間でも相互の円滑なデータ移転が維持される形が確保されています。2021年に欧州委員会が英国に対する十分性認定を採択したことと合わせ、英EU間・日英間の双方でデータ流通が確保される状態が整いました。

整理すると、方向ごとに次の関係になります。EUから英国への移転はEUの十分性認定に基づいて行われ、これが今回更新されました。日本からEUへの移転は個人情報保護委員会のEU指定に基づき、日本から英国への移転は英国に対する指定の継続に基づいて行われます。逆方向、すなわちEUや英国から日本への移転は、日本に対する十分性認定に基づいて行われます。今回更新されたのは、このうち「EUから英国へ」の部分であり、日本が関わる部分に直接の変更は生じていません。

参考：個人情報保護委員会｜日EU間・日英間のデータ越境移転について

英国の認定に期限とレビューが設けられているのと同様に、日EU間の枠組みにも定期的な見直しの仕組みがあります。

欧州委員会は、日本に対する十分性認定について、通知日（2019年1月23日）から2年以内、その後少なくとも4年ごとにレビューを行うこととしていました。個人情報保護委員会は2023年3月22日にEU及び英国への外国指定を継続する決定を行い、欧州委員会も同年4月3日に日本への十分性認定を継続する決定を行いました。以後は、双方とも『今回のレビュー終了後少なくとも4年ごと』（個人情報保護委員会については、これに加えて同委員会が必要と認めるとき）に見直しを行うこととされています。

つまり、日EU間の枠組みも「一度決まれば終わり」ではなく、双方が相手の制度を継続的に確認し合う構造になっています。国際的なデータ移転を前提とする事業では、自社の対応が固まった後も、制度側の動きを定期的に確認する運用が求められます。

日本企業が確認すべき「補完的ルール」の位置づけ

日EU・日英間の枠組みで、日本企業が特に注意すべきなのが「補完的ルール」です。これは、EUや英国の域内から十分性認定に基づいて移転を受けた個人データについて、個人情報保護法よりも一段厳格な取扱いを求めるものとして、個人情報保護委員会が定めているルールです。EUと日本の制度の違いを埋めるために設けられており、法的拘束力を有します。

対象となるデータを取り扱う事業者は、個人情報保護法の遵守に加えて、このルールに沿った取扱いを行う必要があります。要配慮個人情報に相当する情報の範囲、利用目的の特定と利用目的による制限、外国にある第三者への再提供の制限、仮名加工情報・匿名加工情報の取扱いなどについて、通常より慎重な運用が求められます。

英国のEU離脱に伴い、このルールの名称は「個人情報の保護に関する法律に係るEU及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」に改められ、適用対象が英国域内から移転を受けた個人データにも拡張されました。したがって、英国拠点から日本本社にデータを送っている企業も、このルールの適用を受ける可能性があります。

今回の十分性認定の更新により、この補完的ルールの適用状況に変更が生じるという情報は、現時点では確認されていません。もっとも、自社が補完的ルールの適用対象となるデータを実際にどこまで受け取っているのかを正確に把握できていない企業は少なくありません。認定が更新され、移転の前提が維持されたこの機会に、適用範囲を確認しておくことには意味があります。

参考：個人情報保護委員会｜個人情報の保護に関する法律に係るEU及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール

今後の留意点、英国の十分性認定はいつでも見直される

今回の更新は英国とのデータ移転の継続を確保するものですが、認定が恒久的なものになったわけではありません。更新された認定には6年間の期限が付され、4年後には欧州委員会とEDPBによる共同レビューが予定されています。2021年の当初認定の時点から自動更新されない条項が導入されており、英国の法制度の運用を継続的に注視するという姿勢は、今回の更新でも維持されています。

この点に関連して、EDPBは、2025年10月に採択した意見の中で、いくつかの指摘を行っています。EDPBは、英国とEUの間で整合性が継続していること自体は歓迎する一方、DUAAが導入した新たな国際移転テストに注意を向けました。これは、英国から第三国へ個人データを移転する際に、その国の保護水準が英国の水準より「実質的に低くない」ことを求めるものです。EDPBは、このテストについて、政府によるデータへのアクセスに伴うリスク、本人が救済を求める手段の有無、監督機関の独立性の必要性に直接言及していない点を指摘し、欧州委員会に対して評価の精緻化と、英国から第三国への移転ルールの継続的な監視を促しました。

こうした指摘は、今回の更新の妨げにはなりませんでした。ただし、英国から第三国への移転ルールの運用が今後の監視対象として明示された点は、実務上意識しておく価値があります。英国を経由して第三国へデータが流れる構成を採っている企業では、将来の制度変更が自社のデータフローに影響する可能性を念頭に置いておくべきでしょう。

参考：EDPB（European Data Protection Board、欧州データ保護会議）
（欧州委員会による英国の十分性認定の6年間の延長案について採択した意見を公表している）

十分性認定の更新を踏まえて日本企業が実務上取るべき対応

以上を踏まえ、日本企業として確認すべき事項を整理します。今回の更新は既存の枠組みの維持を意味するため、直ちに大きな対応を求められる企業は限られますが、確認作業自体は行っておくべきです。

• 十分性認定のみに依拠した移転の再確認：EEAから英国へ、または英国・EUから日本へ、十分性認定のみを根拠として個人データをやりとりしている場合、今回の更新によって移転の根拠は維持されました。標準契約条項などの代替手段への切替えを含め、対応の見直しは基本的に不要です。まずは、自社の移転がどの認定・指定を根拠としているかを社内で明確にしておくことが出発点になります。
• 補完的ルールの適用範囲の再確認：英国子会社や英国の取引先を経由してEU域内の個人データを取り扱っているグループ企業では、どのデータが十分性認定に基づく移転を受けたものに当たるのかを整理し、補完的ルールの適用範囲を確認しておく必要があります。適用対象であることを認識していないまま日本国内で通常の個人データと同様に扱っていると、ルール違反となるおそれがあります。
• 英国データ保護法制の動向の継続的なフォロー：4年後の共同レビューを見据え、英国の法制度とその運用の動向を継続的に把握しておくことが望まれます。特に、DUAAが導入した国際移転テストの運用や、英国から第三国への移転に関する規律の変化は、注視すべき対象です。
• プライバシーポリシー・契約書の記載の点検：十分性認定の有効期限や移転の根拠に言及している社内文書や対外的な公表文書がある場合、記載内容が現状と整合しているかを確認しておくとよいでしょう。

なお、GDPRは日本国内の事業者にも一定の要件の下で適用され得るため、移転の適法性だけでなく、そもそも自社がGDPRの適用を受けるかどうかの確認も重要です。

まとめ：日EU・日英間での個人データ移転は今後も注視が必要

欧州委員会は2025年12月19日、英国に対する2つの十分性認定を更新し、EEAと英国の間で追加的な保護措置なしに個人データを移転できる状態が2031年12月27日まで維持されることになりました。DUAAによるUK GDPRの改正を経ても、英国の保護水準はEU基準と本質的に同等であるとの評価が維持された結果です。日本と英国・EUとの間のデータ移転の枠組み、およびEU・英国から移転を受けた個人データに適用される補完的ルールについても、今回の更新による直接の変更は確認されていません。

一方で、更新された認定には6年間の期限と4年後の共同レビューが組み込まれており、EDPBは英国から第三国への移転ルールについて継続的な監視を促しています。認定は将来にわたって保証されたものではないという前提で、自社の移転の根拠と補完的ルールの適用範囲を整理し、制度の動向を追える体制を整えておくことが、国際的にデータを扱う企業にとって現実的な備えとなります。

当事務所による対策のご案内

モノリス法律事務所は、IT・インターネット分野の法務と国際法務の双方に強みを持つ法律事務所です。個人データの越境移転は、日本の個人情報保護法、EU GDPR、UK GDPRといった複数の法制度が同時に関わる領域であり、いずれか一方の知見だけでは適切な判断が難しい分野です。当事務所では、法制度の解釈と実務運用の両面から、企業の状況に即した助言を提供しています。欧州現地の専門家と連携する体制も整えており、現地法の観点を踏まえた対応が必要な案件にも対応可能です。当事務所のGDPR対応については下記のページをご参照ください。