COVID-19によって世界が混乱する中、国際的なデータ取引を支える政策はこれまで以上に重要である。
データ所在地規制は、個人のプライバシー、国家安全保障、さらには商取引を含む幅広い課題に広範な影響を及ぼし得る。
現在のCOVID-19危機は、情報に基づいた意思決定の重要性を示しているが、時代遅れのデータ保護規制や追加のデータ所在地規制は、企業の事業運営能力を妨げ、ひいては新たな世界における経済安全保障と成長の促進を脅かしている。データ所在地規制は、個人のプライバシー、国家安全保障、さらには商取引を含む幅広い課題に広範な影響を及ぼし得る。こうした規制に代わる手段を推進することは、貿易やイノベーションへの不利益を回避するうえで鍵となり得る。
データ所在地規制の理解
データ所在地規制のもとでは、政府は企業に対し、自国の領域内でデータを保管することを義務付ける。最も一般的には、データ所在地規制は個人データを対象とするが、一部の法域では位置情報やその他のデータも対象としている。換言すれば、同規制は事業上の中核となる可能性の高いデータを対象とする。
データ所在地規制のもとでは、企業は主として当該領域内でデータを処理しなければならない。また、現地政府が検査のために利用できる現地コピーを保持している限り、データの写しを海外に移転することも認められる。データ所在地規制は、政府の利益を保護するために設計されている。
データ保護およびプライバシー法は、データ移転を制限するものの、通常、いかなる場所においてもデータの保持を義務付けるものではない。データ保護法によれば、企業は写しを保持する必要はないが、移転されるデータについて海外で適切な保護措置を確保できる場合を除き、データを他国へ移転してはならない。例外の要件を満たす場合には、データを移転することができ、現地コピーを保持する必要もない。（実際のところ、データ保護法は、いかなる場所にも写しを残さないことを望ましいとしている。）
データ所在地規制は比較的新しい現象であり、「データ主権」や「データローカライゼーション法」と呼ばれることもある。従来、限定的なデータ所在地要件は、紙の記録の時代に作られた法律に由来するものであり、企業は税務当局などがアクセスできるよう、記録を原産国の外に出さないことを求められていた。しかし、データへのアクセスが地域のデータ経済の発展に不可欠となり、データ侵害やサイバーセキュリティへの懸念が生じている今日の世界において、各国は地域内でのデータへのアクセスを確保し、データの国際移転を制限する意向を一段と強めている。
プライバシー、セキュリティ、商取引への影響
データ所在地規制は、個人のプライバシー、国家安全保障、商取引を含む幅広い課題に広範な影響を及ぼし得る。
プライバシー
個人のプライバシー保護は、政策目標として各国により頻繁に挙げられるが、実際には、データ所在地要件によってプライバシー保護が意図されたり促進されたりすることはない。むしろ逆に、国レベルでデータへのアクセスが容易になると、プライバシーの利益が損なわれる。例えば、データを含む書類や記憶媒体が現地の領域内にあり、家宅捜索で押収され得る場合、警察、秘密情報機関、その他の政府当局は、データへのアクセスをより容易に強制できる。換言すれば、データ所在地規制はプライバシーに反する法律である。
国家安全保障
一部の国は、国家安全保障上の考慮から、位置情報を現地で保管することを確保しようとしている。紛争時には、重要な情報に現地でアクセスできることが決定的な違いをもたらし得るためである。しかし、データ所在地およびアクセス要件が厳格な国の企業は、海外の取引先や政府から信頼されないため、緊急時にはより重要性の低い情報しか入手できなくなる。
重要事業に対する規制上の統制
緊急事態において（他国や外国企業との紛争の可能性を含む）政府が銀行、エネルギー企業、または重要インフラ事業者を接収する必要がある場合、関連するすべてのデータが現地に保管され、外国の協力なしに利用可能であることは重要となり得る。しかし、そのような接収が必要となるまでの間、あらゆる重要事業は、データ所在地要件によって制約を受けることになる。海外で開発・ホストされている最先端のクラウドコンピューティング、機械学習、その他の技術にアクセスできなくなるためである。データ所在地規制に縛られた事業は、コストの増大、効率の低い技術、そして危機において接収されるリスクの増大に直面することになる。
データセキュリティ
一部の国は、重要な情報は自国内にあるほうが安全だと考えているようである。しかし、技術が孤立しているか時代遅れの国は、外国の軍事的および犯罪的脅威から現地保管のデータを保護する能力が低い。さらに、サイバーセキュリティに関する孤立主義的な考え方は、世界最高水準の国際的なベストソリューションへのアクセスを損なう恐れがある。
商取引
データ所在地規制は、外国の競合企業よりも現地企業を優遇することにより、商取引に根本的な影響を及ぼす。現地企業は、本社にデータを自然に保持しているため、外国の競合企業よりも容易にデータ所在地要件を遵守できる。短期的には、こうした措置は国内企業にとって有利に見えるかもしれないが、長期的には、このような保護主義は、必要とされるグローバルな競争から保護された企業を遮断することにより、むしろ保護された企業を損なう傾向がある。また、外国もやがては報復措置を取るようになり、外国企業は追加コストや課税を避けるため、データ所在地規制が適用される市場への参入を控えるようになる可能性がある。その結果、国内企業は国際的に事業を拡大し成功することが難しくなる可能性がある。最終的には、国内企業は現地での負債となる。現地施設が世界的に競争力を持たず、地域の進歩を遅らせる結果となる場合、現地データセンターや現地製の技術の利用を義務付けることは、あまり有益ではないと思われる。
データ所在地規制により、多国籍企業は現地のインフラやデータセンターへの投資を迫られる可能性がある。しかし、逆の悪影響の方がより生じやすい。多くの多国籍企業は、現地政府によるデータへのアクセスや、現地拠点の設立に伴う汚職およびコンプライアンス上の欠陥のリスクがない状態で事業を行うことを好む可能性がある。
代替策
ほとんどの国は、経済的自由を伴う開かれたシステムを既定の選択肢として好む。各国は、国家安全保障上の利益を保護するのに十分な、範囲を限定した記録保持、秘密保持、反逆罪に関する法律を施行している。しかし、これまでにデータ所在地規制を広範に制定した国はごくわずかであり、環太平洋パートナーシップ協定（TPPA）などの国際条約では、加盟国がデータ所在地規制や現地データセンター要件を制定しないことが明示的に約束されている。また、多国間支援条約、米国クラウド法に基づく行政協定、インターポール、地域協力の取り決めなどを通じた、情報機関および警察間の国際協力により、データ所在地規制の重要性も低下している。
「現地の消費者、産業、技術開発、雇用市場にとって、データ所在地規制の不利益が明らかに大きいことから、各国はデータ所在地規制の制定を控えるべきである。」
ロタール・デターマン、パートナー、ベイカー・マッケンジー法律事務所
企業が収集する個人データの大半は、国家安全保障上の目的にとって重要ではなく、個人のプライバシーと自由を尊重する観点から政府によってアクセスされることもない。したがって、企業に対し、個人データのすべてを現地で保管することを義務付けることは、必要でも比例的でもない。さらに、政府によるデータへのアクセスを確保する目的であれば、企業に対し、データがどこに保管されていても遠隔アクセスを保証させるか、現地のバックアップコピーを保持させることで十分である。これらは、主要システムを現地で複製する場合と比べて大幅に低いコストで、日次または週次で作成することができる。すべて 個人データを現地で保管すること。さらに、データ所在地規制がもたらす影響を踏まえると、代替策を推進することが鍵となり得る。地域の情報技術産業を支援し、海外からの直接投資を促進するため、各国は次のような取り組みを行うことができる。個人のプライバシーに対する具体的な害を防ぐために適切に絞り込まれた、強固なデータ保護法を整備すること（データ処理に関する包括的な規制とは対照的に）、サイバーセキュリティを優先すること、他国との説明責任と信頼を構築すること、民間が保有するデータへの政府によるアクセスを制限すること、高速通信への投資を行うこと、技術標準を促進すること、官僚主義を排除すること、そして政策立案の最前線にイノベーションを据えること。
データ所在地規制が及ぼし得る影響を踏まえると、代替策を推進することが鍵となり得る。地域の情報技術産業を支援し、海外からの直接投資を促進するため、各国は次のような取り組みを行うことができる。個人のプライバシーに対する具体的な害を防ぐために適切に絞り込まれた、強固なデータ保護法を整備すること（データ処理に関する包括的な規制とは対照的に）、サイバーセキュリティを優先すること、他国との説明責任と信頼を構築すること、民間が保有するデータへの政府によるアクセスを制限すること、高速通信への投資を行うこと、技術標準を促進すること、官僚主義を排除すること、そして政策立案の最前線にイノベーションを据えること。
現地の消費者、産業、技術開発、雇用市場にとって、データ所在地規制の不利益が明らかに大きいことから、各国はデータ所在地規制の制定を控えるべきである。国際条約は、組織に対して特定の領域内でのデータの保管または処理を広範に義務付ける国内法を禁止すべきである。国家安全保障上の差し迫った利益がある場合には、限定的な例外を認めることができるが、それは特定の種類の記録または情報のバックアップコピーの要件に限るべきであり、すべての個人データに及ぶものや、主要な情報技術システムを現地で保持することを求めるものであってはならない。
国境を越えるデータフローのためのロードマップホワイトペーパーは、政府が、政府にとって最も差し迫った懸念である安全保障、公正性、主権的利益に対処しつつ、企業がグローバルに開かれたデータ経済に参加することを認める政策を採用できるよう、段階的な解決策を提示している。信頼を構築する仕組みを導入することで、データ所在地規制の必要性は大幅に低減され、データ経済の利益をより十分に実現できるようになる。
結局のところ、各国は、自国の懸念に対処するためのより進歩的な解決策を提供し得る、開かれた国際システムに参加するか、あるいは後退して自国のデータ経済の進歩を阻害するかを選択できる。
