データ転送に関する法的枠組み
発効日: 2023年9月1日
Google のサーバーは世界各地に設置されており、お客様の情報は、お客様がお住まいの国以外の場所にあるサーバーで処理されることもあります。 データ保護法令は国によって異なり、保護の厳格な国もあればそうでない国もあります。Google では、ユーザーの情報が処理される場所にかかわらず、プライバシー ポリシーに定める共通の保護対策を適用しています。また、下記の枠組みをはじめとしたデータ移転に関する特定の法的枠組みも遵守しています。
十分性認定
欧州委員会は、欧州経済領域（EEA）以外でも特定の国においては個人情報が適切に保護されているという判断を下しました。つまり、欧州連合（EU）加盟国、ノルウェー、リヒテンシュタイン、アイスランドから当該国にデータを転送できます。英国およびスイスも、同様の十分性メカニズムを採用しています。 Google は以下の十分性メカニズムを適用しています。
EU-U.S. データ プライバシー フレームワークおよび Swiss-U.S. データ プライバシー フレームワーク
Google のデータ プライバシー フレームワーク認定の記述にもあるとおり、Google は、EEA 加盟国、スイス、英国それぞれにおける個人情報の収集、使用、保持に関して、米国商務省が規定する EU-U.S. データ プライバシー フレームワーク（DPF）、Swiss-U.S. DPF および EU-U.S. DPF の UK 拡張を遵守しています。Google LLC（および Google LLC の米国内における完全子会社（明示的に除外されている場合を除く））は、DPF 原則の遵守について認定を取得しています。プライバシー ポリシーの「ユーザー情報の共有」にも記載されているように、Google は、処理業務を委託する第三者との間で外部の第三者への転送に関する原則に基づきユーザーの個人情報を共有した場合でも、以後も当該個人情報すべてに責任を負います。DPF の詳細と Google が受けている認定については、DPF ウェブサイトをご覧ください。
DPF 認定に関連する Google のプライバシー保護の取り組みについてご不明な点がある場合は、Google にお問い合わせください。Google は、米国連邦取引委員会の調査権および執行権の対象となります。また、お住まいの地域のデータ保護当局に申し立てを委任することもできます。その場合 Google は、当該機関と協力して解決にあたります。DPF 原則の付録 I で規定されているとおり、特定の状況において、DPF では、他の手段では解決されない申し立てを解決するために、拘束力のある仲裁を行う権利を認めています。
Google は現在、米国への個人情報の転送については、Swiss-U.S. DPF および EU-U.S. DPF の UK 拡張を適用していません。
標準契約条項
標準契約条項（SCC）は当事者間の書面による約定であり、適切なデータ保護措置を提供することによって、EEA 加盟国から他国へのデータ移転の原則として使用できます。SCC は欧州委員会により承認されており、SCC を使用する当事者側で変更することはできません（欧州委員会により採択された SCC については、こちら、こちら、およびこちらをご覧ください）。当該条項は、英国とスイス以外の国へのデータ移転についても承認されています。Google は、必要な場合や十分性認定の対象となっていない場合には、データ移転に関して SCC を適用しています。SCC のコピーをご希望の場合は、ご連絡ください。
Google は、Google Workspace、Google Cloud Platform や、Google 広告をはじめとする広告サービス、測定サービスなど、ビジネス サービスのお客様との契約にも SCC を導入する場合があります。詳しくは、privacy.google.com/businesses をご覧ください。