米連邦最高裁がFTCの独立性を排除―EU・米国間データプライバシーフレームワーク存続に黄信号

EUと米国間のデータ移転を支える法的な枠組みに、重大な構造的打撃が加えられました。2026年6月29日、米国連邦最高裁判所はTrump v. Slaughter事件で6対3の判決を下し、FTC（連邦取引委員会）委員の罷免が大統領の自由裁量で可能となると判断しました。これにより、1935年から続いてきた同庁の法的独立性が失われました。EU-USデータプライバシーフレームワーク（DPF）を利用して米国クラウドプロバイダーへ個人データを合法的に移転している欧州企業にとって、これは仮説上のコンプライアンスリスクではありません。まさに適格性判断の根幹に関わる構造的な欠陥です。

欧州委員会は、2020年のSchrems II判決でプライバシーシールドが無効化された後、数年にわたる交渉を経て2023年7月にEU-USデータプライバシーフレームワークを採択しました。この適格性判断は、FTCがGDPRと同等のデータ保護義務を米国企業に課す独立した執行機関として機能しているという重要な法的前提に基づいています。NOYBによる適格性判断の分析によれば、委員会はその文書内でFTCの独立性に259回も言及しています。最高裁はその独立性を違憲と判断しました。

Safe Harborとプライバシーシールドを崩壊させたオーストリアのプライバシー擁護活動家マックス・シュレムスは、即座に動きました。6月30日、彼が率いるNOYBは委員会に対しDPF適格性判断からの秩序ある撤回を求める正式な書簡を送り、この枠組みを「法的な砂上の楼閣」と呼びました。CJEU（欧州司法裁判所）への提訴、通称Schrems IIIも数週間以内に行われる見込みです。過去2件の判例から見ても、適格性判断がこのまま維持される可能性は低いでしょう。

標準契約条項（SCCs）や拘束的企業準則（BCRs）といった、多くのEU組織が実際に頼っているバックアップ移転メカニズムも影響を受けます。これらの仕組みの移転影響評価（TIA）は、独立した米国監督機関の存在を前提としていましたが、その多くが今や大統領による罷免の対象となりました。EU-US間のデータ移転の法的枠組み全体が揺らいでいます。EU-US間のデータフローについて、各移転の法的根拠や米国執行独立性への依存度を正式にリスク評価していない組織は、この判決を受けてまずその棚卸しを優先的なコンプライアンス対応として実施すべきです。

主なポイント

最高裁がFTCの独立性を排除

Trump v. Slaughter（2026年6月29日）で、最高裁はFTC委員の法定罷免保護は違憲とし、「統一的執行権理論」を適用して、Humphrey’s Executor v. United Statesで確立された90年の判例を覆しました。

EU-USデータプライバシーフレームワークの構造的欠陥

欧州委員会は2023年のDPF適格性判断でFTCの独立性に259回言及しており、これはEU組織が米国クラウドプロバイダーへ個人データを自由に移転できる法的根拠となっていました。

Schrems IIIが迫る

プライバシー擁護団体NOYBは6月30日、DPF適格性判断からの秩序ある撤回を求める正式書簡を欧州委員会に送り、数週間以内にCJEUへの提訴を表明しました。

標準契約条項とBCRsも波及被害

SCCsや拘束的企業準則の移転影響評価は、今や大統領の罷免権にさらされる独立した米国執行機関の存在を前提としていました。

データ主権はもはや特別な選択肢ではない

DPF適格性を前提にEU個人データを米国ハイパースケーラーに保存してきた組織は、オンプレミスやプライベートクラウド、主権的EUクラウドへの移行でのみ法的移転リスクを完全に排除できます。すべてのEU個人データフローを移転根拠ごとにマッピングするデータガバナンスフレームワークが、リスク全体像の把握に不可欠です。

DPF適格性判断が示したFTC独立性と、その重要性

委員会による2023年7月の適格性判断は、米国がEU法で保証される「本質的に同等」のデータ保護水準を提供しているという中心的な事実認定に基づく100ページの法的論証でした。その同等性の柱の一つがFTCの独立性でした。

GDPRは、データ保護の執行が政治的指示や行政権から独立した監督機関によって行われることを求めています。FTCは1935年のHumphrey’s Executor判例により、委員が大統領の干渉から守られる法定罷免保護を持っていました。委員会はこの独立性を正当化の根拠として259回も引用しています。

しかし、その基盤は今や崩壊しました。Trump v. Slaughter判決は「統一的執行権理論」を適用し、議会が独立機関の長を大統領の罷免から守ることはできないと判断。これにより、FTCによるDPF商業プライバシー義務の執行は、今後大統領の意向で指示・制約・実質的な覆しが可能となります。EU法が求める真に独立したデータ保護監督は、実質的に満たされなくなりました。

欧州データ保護委員会（EDPB）は、以前の意見書でもDPFの構造的独立性要件が十分満たされていないと指摘しており、その懸念が現実となりました。2025年9月の一般裁判所によるDPF支持判決（事件番号C-703/25 P）へのCJEU控訴もすでに係属中です。Schrems IIIでは、さらに強化された事実記録がこの争点に加わります。CJEUの審理は通常2〜3年かかりますが、コンプライアンスリスクは最終判決を待ってはくれません。GDPRやNIS2コンプライアンス義務を負う組織は、DPFの不確実性がサプライチェーンやデータガバナンス義務に直接影響する状況に直面しています。

誰も語らないSCCとBCRのリスク

Trump v. Slaughter判決の論点は、DPFに正式参加している組織にばかり注目が集まりがちですが、実際の影響ははるかに広範です。標準契約条項（SCCs）は、ほとんどのEU組織が米国へのデータ移転に利用している仕組みですが、この判決の影響を免れません。

SCCsは自動的な保護を提供しません。Schrems II判決以降、SCCsを利用する組織は、米国の移転先が実質的に十分なデータ保護を提供しているかどうかを評価する移転影響評価（TIA）が義務付けられています。これらのTIAは一貫して、「FTCなど独立した米国機関が、行政権の干渉なしにプライバシー義務を実効的に執行している」という事実認定に依拠してきました。しかし、その前提はもはや成立しません。

欧州データ保護委員会が策定したTIAフレームワークは、移転先国の監督メカニズムの独立性評価を組織に求めています。Trump v. Slaughter判決後にこの問いに正直に答えれば、2023年当時の記載内容とは大きく異なるはずです。

監督当局は、拘束的企業準則（BCRs）も、米国親会社が独立して執行される法的義務の下で運用されていることを前提に承認してきましたが、最高裁がその前提を覆しました。これらの変化は、EU-US間のデータ移転が直ちに停止されることを意味しません。DPF適格性判断は委員会が撤回するかCJEUが無効とするまで正式には有効であり、SCCsも技術的には利用可能です。しかし、データコンプライアンスチームが今すぐTIAを見直していない場合、このリスクを管理できていません。2023年時点で正当化できたTIAも、今後の精査には耐えられない可能性があります。Trump v. Slaughter判決後に法的に不十分なTIAがデータ侵害や規制調査で明るみに出れば、弁明は困難です。判決は公的記録となり、監督当局は組織がTIA分析を最新化したかどうかを確認します。

Schrems IIIの争点と今後の展開

NOYBは6月30日の書簡で、DPF適格性判断からの秩序ある撤回と、その法的根拠が崩壊したことの公的認知を求めました。委員会の回答は「内部分析中につきコメントを控える」と、過去2件の対応と同様の姿勢です。

委員会は可能な限り現状維持を図るでしょう。大西洋をまたぐデータフローは8,770億ユーロ超の価値があり、委員会に一方的な打ち切りの政治的意思はありません。CJEUの強制判断を待つ構えです。NOYBは数週間以内に、FTC独立性を争点とする適格性判断への直接的な提訴を行う予定です。

Schrems I（2015年）は、米国法が独立かつ比例的な執行を満たさないとしてSafe Harborを無効化。Schrems II（2020年）は、FISA第702条による監視が過剰で独立した司法監督がないとしてプライバシーシールドを無効化しました。Schrems IIIでは、Trump v. Slaughter判決を受けてDPFの執行メカニズムがEU独立性要件を満たさなくなった点が争点となります。過去2件の論理が今回の事実状況にそのまま当てはまるため、主張の組み立ては容易です。

CJEUの審理が2〜3年かかるため、法的な不確実性が長期化します。直ちに移転禁止となるわけではありませんが、訴訟進行とともにコンプライアンスリスクは高まります。EU-US間のデータフローが多い組織は、適格性判断が無効化され、後継枠組みが即座に用意されない事態を想定して今から準備すべきです。データレジデンシーやデータ主権アーキテクチャによって国境を越える移転依存を排除することが、唯一の構造的な解決策です。また、EU個人データが米国クラウドプロバイダーからアクセスできない鍵で暗号化されているかなど、暗号鍵管理の運用が不確実期間中のTIA補完策として有効かも評価すべきです。

データ主権はリスクアーキテクチャ—単なるコンプライアンス選好ではない

これまでデータ主権コンプライアンスは、機密性の高い業種や防衛分野の組織が追求する「プレミアム」な機能でしたが、多くの企業は適格性判断やSCCsに依存してきました。Trump v. Slaughter判決でこの前提が大きく変わります。

AWS、Azure、GCPなど米国ハイパースケーラーにEU個人データの保存・処理を依存している組織は、契約条件やプライバシーポリシーの見直しだけでは回避できない構造的リスクを抱えています。移転を正当化する法的仕組みが、予測不能なタイミングで裁判所の判断により無効化される可能性があるためです。その場合、データフローの運用停止か、EU内インフラへの緊急移行が迫られます。どちらも事前準備なしでは対応できません。

最善策は、適格性判断への依存を完全にやめることです。データローカライゼーション—EU域内での個人データの保存・処理—により、国境を越える移転問題自体を排除できます。EU域外にデータが出なければ、GDPR上の移転根拠は不要です。ローカライゼーションと併せてデータ最小化を徹底し、各処理目的に必要最小限のEU個人データのみを定められた保存期間で保持すれば、ローカル保存が必要なデータ量とそれに伴う規制リスクも抑えられます。

Kiteworksのセキュアデータ交換は、EU域内のオンプレミス、プライベートクラウド、主権的EUクラウドインフラ上に導入可能で、機密コンテンツの保存・処理場所を完全にコントロールできます。GDPR下で個人データを処理する欧州組織にとって、DPF適格性判断の有効性はコンプライアンス上もはや無関係となり、依存関係を排除できます。

Kiteworksのゼロトラスト・アーキテクチャは、機密コンテンツが組織や地理的境界を越えて流通する場合でも、きめ細かなポリシー強制型アクセス制御でGDPRコンプライアンス要件を満たします。すべてのファイル転送、メール添付、API連携は改ざん検知可能な監査証跡で記録され、適格性枠組みが法的に争われる際に規制当局が求める説明責任を実証できます。

欧州組織が今すぐ取るべき対応

CJEUの最終判断までの期間は猶予期間ではなく、リスク管理のためのウィンドウです。今この期間に米国拠点のデータ処理依存を減らした組織は、無効化判決を待ってから動く組織よりも本質的に強い立場を築けます。

まずデータプライバシー監査を実施し、EU個人データが米国拠点プロセッサへ流れる全ルートを棚卸しし、それぞれの法的移転メカニズムを分析しましょう。DPF適格性に依存している組織は、今すぐSCCへの切替やTIAのアップデートを検討し、Trump v. Slaughter判決後の事実を反映させる必要があります。SCCs利用組織も、米国執行独立性の再評価とTIAの更新記録を残しましょう。

長期的には、対応はアーキテクチャの問題です。米国ハイパースケーラーにEU個人データを保存している場合、法的不確実性を受け入れて混乱に備えるか、EU内データインフラへ移行して問題自体を排除するかの選択となります。移行には時間がかかるため、今から着手する方が、判決後に慌てて対応するよりもはるかに有効です。

GDPRコンプライアンスは、常に各個人データ処理カテゴリごとに合法的根拠を求めてきました。米国への越境移転は3年間DPF適格性をその根拠としてきました。今回の事態への賢明な対応は、リスクを文書化し、DPOに通知し、影響を受ける処理活動についてDPIAを更新し、移行作業を開始することです。DORA義務を負う組織は、米国民事執行をリスク低減策としていたICTサードパーティリスク評価の重大な変更点として、FTC独立性の喪失も追加で記録しましょう。

もう一つの観点として、NIS2指令の義務があります。重要事業者や主要事業者は厳格なサプライチェーンリスク要件を負います。データ保護執行が行政権から独立していない米国クラウドプロバイダーは、NIS2リスク評価で対応すべきサプライチェーンリスクとなりました。サプライチェーンリスク管理も、EU規制組織にとって一段と複雑になっています。

EU-US適格性枠組みの有効性に依存しないデータアーキテクチャの構築について詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 データを巡る綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
• ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを守る方法
• ブリーフ よくあるFERPA違反トップ3とその回避策
• ブログ記事 大統領令14117号：米国民の大量機微個人データ保護
• ブログ記事 NIS2コンプライアンスが必要？まずはISO 27001から