米最高裁のFTC判決後のEU・米国間データ移転：会議データへの影響

判決が出た日の朝、私たちのGDPRコンサルタントがこの件を知らせてくれました。慌てて反応するよりも、きちんと理解しておく価値があります。要点は単純です。この判決はEU・米国間のデータ移転にとって重要ですが、まだ何も停止していません。

一目でわかる整理

最高裁は実際に何を判断したのか

2026年6月29日、最高裁は6対3の票決でTrump v. Slaughterの判断を下しました。最高裁は、大統領は連邦取引委員会の委員Rebecca Slaughter氏を理由なく解任できると判断し、その過程で、議会が一部の機関の長を自由な解任から守ることを認めていた1935年の先例Humphrey’s Executorを覆しました。

影響は直接的です。FTCの委員は今や大統領の意向に従って職にとどまります。議会が超党派かつ独立の機関として設計したFTCは、憲法上、行政府から独立した存在ではなくなりました。

米国の判決がなぜEUのデータに及ぶのか

表面的には、これはプライバシーではなく大統領権限をめぐる訴訟です。両者をつなぐのはEU法です。

EUは、EU域外の国が追加の保護措置なしで個人データを受け取れるほど十分にデータを保護していると判断すると、「十分性認定」を出します。その要件の一つが、データ保護を監督する独立した機関がその国にあることです。2023年7月に採択されたEU・米国データプライバシーフレームワークは、米国に対するその十分性認定であり、欧州委員会は判断を下す際、FTCの独立性を259回にわたって根拠にしました。同じ論理は、データ保護審査裁判所や、フレームワークが独立したチェック機関と位置づけるプライバシー・市民的自由監視委員会（PCLOB）といった米国の他の機関にも及びます。

独立性が失われれば、欧州委員会が築いた土台は不安定に見え始めます。noybが指摘したとおり、この枠組み全体を支えていた理屈はもはや成り立ちません。

企業が頼る仕組みへの影響

次の3点は分けて考える価値があります。

データプライバシーフレームワークがなくなったわけではありません。 欧州委員会が撤回するか、EU司法裁判所が無効にするまで、法的には有効です。Max Schrems氏が率いるnoybはすでに、欧州委員会に秩序ある撤回を求めており、この問題を裁判に持ち込むとしています。判断が出るまでに2〜3年かかる可能性があります。2015年にセーフハーバー、2020年にプライバシーシールドを終わらせたのと同じ道筋です。3度目の無効化は、脚注ではなく計画の中に入れておくべきです。

標準契約条項には落とし穴があります。 SCCは多くの企業が頼る予備の手段ですが、移転先の国が実際にデータを保護していることを示す移転影響評価も併せて実施した場合にのみ機能します。その評価は今や、独立性を失った監督機関を考慮に入れなければなりません。

GDPRとAIコンプライアンスのコンサルタントで、Hedyのデータ保護の取り組みについて助言を行っているCarsten Wittmann氏は、問題点を率直にこう述べています。

独立したFTCがなければ、必要な基準がすべて満たされているという結論には、もはや至れません。

この段階での助言は、慌てるのではなく、落ち着いたものです。移転影響評価を今すぐ更新し、データの行き先を把握し、最も機微な処理から着手してください。ただし、まだ有効なフレームワークを放棄してはいけません。Schrems II判決の後の失敗は、ぎりぎりまで待ってから場当たり的に対応したことでした。

Hedyの立ち位置を正直にお伝えします

Hedyがこの問題の外にいるかのように装うより、率直にお話しするほうがよいと考えています。HedyのUSリージョンは、業界の他社と同じEU標準契約条項（モジュール2）と移転影響評価を使っており、その経路は他と同じようにこの判決の影響を受けます。DPA、SCC、TIA、技術的措置を含む全体の枠組みは、GDPRコンプライアンスの記事とトラストセンターに記載しています。

Hedyが違うのは、巧みな契約ではありません。Hedyの仕組みのうち2つの部分が、米国への移転に関する判断にまったく左右されないことです。

移転の判断に左右されない2つのこと

デバイス上の音声認識。 Hedyは、お使いのスマートフォン、タブレット、コンピューター上で会話を文字起こしします。会議で最も機微な部分である音声は、お客様が管理するハードウェア上でテキストになり、文字起こしのためにサーバーへ送られることはありません。Hedyが対応するすべてのプラットフォームで同じように動作します。この工程では、米国であれほかの場所であれ、移転は発生しません。Carsten氏が言うように、「デバイス上でのローカル処理は常に可能」です。対応デバイスでは、Hedyはさらに一歩進められます。ローカルAI処理をオンにすると、AI分析もお使いのデバイス上で実行されるため、会話に関するものがどこにも送信されません。

EUデータ所在地とEU内での推論。 EUリージョンを選ぶと、会話データはヨーロッパのサーバーに保存され、AI分析のすべてがEU域内のインフラで実行されます。これは保証できます。EUデータ所在地のアカウントでは、推論がヨーロッパの外に出ることはありません。主要な推論プロバイダーであるInceptronは、スウェーデンのルンドに拠点を置くヨーロッパの企業で、契約でもEU域内でのみ処理することを約束しています。冗長性のため、同じくEU域内で推論を実行する他のいくつかのプロバイダーにもフェイルオーバー用の容量を確保していますが、これらの企業は米国に本社があります。いずれにしても、会話は大西洋を越えて送られるのではなく、ヨーロッパで分析されます。全体像はEUデータ所在地の記事でご覧いただけます。

これは、Carsten氏が提起する妥当な疑問への答えでもあります。データがどこで処理されるかが最初の問いで、EUデータ所在地のアカウントでは答えは常にヨーロッパです。その処理を誰が運営するかが2つ目の問いです。米国企業がすべてを運営するEUデータ所在地は、リスクを下げはしても完全には取り除けません。米国の親会社には、米国の法律が及ぶ可能性があるからです。主要プロバイダーをヨーロッパの企業にし、米国に本社を置くプロバイダーはEU内のフェイルオーバーにとどめることが、この問いへの最も強い答えです。

正直にお伝えしたい注意点が2つあります。アカウントのログイン、請求、エラー報告など、いくつかの運用サービスは、すべてのユーザーで米国のインフラを経由しますが、いずれも会話の内容は扱いません。例外はセッションの要約メールです。セッションの要約やメモが含まれ、米国のメール基盤を通じて送信されるため、気になる場合はオフにして、アプリ内で要約を読むことができます。また、USリージョンの既存ユーザーは、移行するまでそのままです。ヨーロッパの構成が適用されるのはEUリージョンです。

EU企業が今すべきこと

Carsten氏の助言は、データ保護の弁護士の間のコンセンサスと一致しており、フレームワークの崩壊を、起きないよう願うだけのリスクではなく、備えるべきシナリオとして扱うことです。

1. 移転の棚卸しをする。 どのプロバイダーが米国で個人データを保有し、何のためで、どの法的根拠に基づいているかを一覧にします。
2. 移転影響評価を更新する。 米国の監督がもはや独立していないという事実を反映し、判断の根拠を文書化します。
3. 機微なデータから始める。 健康、金融、従業員、未成年者のデータを最優先にします。
4. 更新のたびにEU拠点の代替を検討する。 今日すべてを入れ替える必要はありませんが、新しい契約のたびに、リスクを減らす機会になります。

会議ツールを評価する購入者向けの観点としては、AI会議ツールのGDPRチェックリストと、GDPR準拠のAI会議ツールの比較で、見るべきポイントを説明しています。

まだ不確かなこと

状況を変えうる結果が2つあります。欧州委員会が「独立した機関」の要件を緩く解釈する可能性がありますが、それは自らの基準をばつの悪い形で覆すことになります。あるいは、米国の立場が時間とともに変わる可能性もあります。どちらも近いうちには起こりそうになく、決着までには何年もかかります。それまでは、実情は解決ではなく不確実性であり、だからこそ、移転そのものを避ける設計のほうが、移転を契約で取り繕うものより今は価値があります。

まとめ

判決は何かを停止させたわけではありませんが、EU・米国間のデータ移転の足場を動かしました。向かう方向は明らかです。持続的な保護とは、そもそもデータを大西洋の向こうへ送らないものです。Hedyなら、音声認識はデバイス上にとどまり、EUリージョンのユーザーはストレージもAI処理もヨーロッパ域内で完結します。

最新バージョンに更新して、オンボーディングでEUリージョンを選ぶか、どこにいてもデバイス上の処理を活用してください。コンプライアンスの全資料は、trust.hedy.aiのトラストセンターにあります。

よくある質問

最高裁判決によって、EU・米国間のデータ移転は違法になりますか？

いいえ。EU・米国データプライバシーフレームワークは、欧州委員会が撤回するか、EU司法裁判所が無効と判断するまで法的に有効です。判決はフレームワークの土台となった法的根拠を弱めますが、状況が一夜にして変わるわけではありません。標準契約条項（SCC）に頼っている企業は、裁判所に迫られるのを待たず、今のうちに移転影響評価（TIA）を見直すべきです。

EU・米国データプライバシーフレームワークはもう終わりですか？

まだです。フレームワークは引き続き有効です。Max Schrems氏が率いるnoybは、欧州委員会に対して秩序ある形での撤回を求めており、裁判で争う方針です。これには2〜3年かかる可能性があります。2015年にセーフハーバー、2020年にプライバシーシールドを終わらせたのと同じ経路をたどるため、3度目の無効化は想定しておくべきシナリオです。

この判決の後でも、標準契約条項（SCC）は使えますか？

SCCは引き続き有効な移転手段ですが、移転先の国が実際にデータを保護していることを移転影響評価で示せる場合に限られます。FTCが独立性を失った今、米国への移転についてこの評価を誠実に完了するのは難しくなりました。TIAをこの変化に合わせて更新し、機微なデータを優先してください。

この判決はHedyのデータに影響しますか？

Hedyの中でも特に重要な部分は、米国への移転そのものを避けています。音声認識はお使いのデバイス上で動作するため、文字起こしのために音声がどこかへ送信されることはありません。EUリージョンを選べば、会話データはヨーロッパに保存され、AI分析もEU域内のインフラで実行されます。HedyのUSリージョンは、多くのツールと同様にSCCと移転影響評価を使っているため、業界の他社と同じく影響を受けます。

EU企業は今すぐ何をすべきですか？

段階的に進めましょう。データの送り先を洗い出し、移転影響評価を更新し、最も機微な処理から着手し、契約更新のたびにEU拠点の代替サービスを検討します。フレームワークの崩壊は、めったに起きないリスクではなく、備えるべきシナリオとして扱ってください。Schrems II判決の後に動かなかった企業は、結局、期限に追われて場当たり的に対応することになりました。