デジタル市場法（DMA）

主たる事業所が欧州、中東、またはアフリカ（総称してEMEA）に所在するお客さまには、F5 Networks, Ltd.との契約に基づきサービスが提供されます。英国に本社を置き、英国法に基づいて設立されたF5 Networks, Ltd.は、F5のEMEA事業の中核を担っています。EUおよびスイスの当局は、英国法が個人データを保護し、GDPR第5章およびこれに相当するスイス法の要件を完全に満たしていると認定しています。

アジア太平洋（APAC）地域に本社を置くお客さまは、シンガポールのF5 Networks Singapore Pte Ltd.と契約します。その他すべてのお客さま（北米に本社を置くお客さまを含む）は、米国のF5, Inc.と契約します。F5のすべてのサービスについて、サービス固有の条件によって補足されるデータ保護付属契約（DPA）には、F5への法的に適用されるすべての移転に適用される標準契約条項および規定が含まれています。これらの標準契約条項には、英国への移転について英国政府が公表した国際データ移転補遺、およびスイスへの移転についてスイス連邦データ保護・情報コミッショナーが公表した追加文言が付随します。また、該当するサービスについて、F5はEU-U.S. Data Privacy Framework、UK Extension to the EU-U.S. Data Privacy Framework、およびSwiss-U.S. Data Privacy Frameworkに基づく認証も維持しています。

はい。該当するサービスについて、F5はEU・米国間データプライバシーフレームワーク、EU・米国間データプライバシーフレームワークの英国拡張、およびスイス・米国間データプライバシーフレームワークに基づく認証を維持しています。

いいえ。Schrems II判決で焦点となった米国のこれら2つの法規定は、F5には影響しません。いずれにしても、Schrems II判決後に米国法が改善されたことを受け、欧州委員会は、EU-U.S. Data Privacy Frameworkに基づく個人データの十分な保護水準について、欧州議会および理事会規則（EU）2016/679に従って2023年7月10日に採択した実施決定において、これらの規定に関する従来の懸念は解消されたと判断しました。欧州データ保護会議（EDPB）は欧州委員会の決定を分析し、「2023年7月10日の十分性認定の採択後における、GDPRに基づく米国へのデータ移転に関する情報ノート」において、「国家安全保障の分野で米国政府が導入したすべての保護措置（救済メカニズムを含む）は、使用する移転手段にかかわらず、米国に移転されるすべてのデータに適用される」と指摘しています（つまり、Data Privacy Framework、標準契約条項、その他の移転手段のいずれを介して米国にデータを移転する場合でも適用されます）。

F5は、FISA第702条に基づくデータアクセス要求やその他の指令を受けたことは一度もありません。F5のサービスの多くは、FISA第702条に基づく指令の対象となり得る種類のサービスではありません。また、F5サービスを利用するほぼすべてのお客さまについて、F5は、FISA第702条に基づく指令の対象となり得る種類のデータを処理していません。同条が適用されるのは、大量破壊兵器の拡散、外国勢力による米国攻撃計画、外国のスパイによる秘密活動に関する情報、またはFISAにいうその他の「外国諜報情報」に関するデータです。

また、EO 12333に基づく命令というものは存在しないため、F5がEO 12333に基づいて顧客データの提出命令を受けることもありません。EO 12333は、米国インテリジェンス・コミュニティ内の一定の責任を割り当てるものですが、民間部門に義務を課すものではありません。F5は転送中のデータを暗号化し、追加のセキュリティ対策を講じることで、上記の2023年の欧州委員会による十分性認定以前にSchrems II判決を下した裁判所が懸念していた、理論上想定される傍受活動からデータを保護しています。

CLOUD Actは、米国で事業を行う企業に対してデータの提出を要求する新たな権限を米国政府に付与するものではありません。米国政府が「CLOUD Act命令」を発することはなく、F5もそのような命令を受けたことはありません。CLOUD Actは、米国政府が適切な既存の法的手続き（連邦地方裁判所の裁判官から命令を取得するなど）に従い、企業に対して、その企業が保有、管理、または支配する特定のデータの提出を命じる場合、データの所在地を根拠として企業がその命令に異議を申し立てることはできないことを明確にしました（ただし、その所在地で施行されている法律との抵触は、引き続き異議申し立ての根拠となる場合があります）。CLOUD Actは、2020年のSchrems II判決以前から施行されています。Schrems II判決後、米国は、政府によるデータへのアクセスに関する規則および慣行をさまざまな面で改善しました。その後、欧州委員会はこれらの改善を評価し、米国政府によるデータ提出要求に適用される米国法が、現在ではGDPRの定める十分な保護水準を確保していると判断しました。EU-U.S. Data Privacy Frameworkに基づく個人データの十分な保護水準について定めた、欧州議会および理事会規則（EU）2016/679に基づく2023年7月10日付実施決定をご参照ください。欧州データ保護会議（EDPB）はこの決定を分析し、「2023年7月10日の十分性認定採択後における、GDPRに基づく米国へのデータ移転に関する情報文書」において、「国家安全保障の分野で米国政府が導入したすべての保護措置（救済メカニズムを含む）は、使用される移転手段にかかわらず、米国に移転されるすべてのデータに適用される」と指摘しています（つまり、Data Privacy Framework、Standard Contractual Clauses、またはその他の移転手段のいずれを介してデータが米国に移転されるかを問いません）。

F5とお客さまとの関係の性質、およびF5がお客さまのために取り扱うデータが限定的であり（通常は暗号化されていること）を踏まえると、このような要求が行われることは極めてまれです。お客さまのデータに関する要求を受けた場合、F5は、（i）法的に許される場合は速やかにお客さまへ通知し、その解決に向けてお客さまに協力する、または（ii）お客さまへの通知が違法となる場合は、要求元の当局に対し、お客さまへ直接要求するよう働きかけることを方針としています。これらの対応で問題が解決しない場合、F5は要求の適法性を評価し、要求への対応がGDPRまたはその他の関連法令に違反するかどうかも含め、異議申立てなど、合理的に可能なあらゆる異議を申し立てます。この手続きの間、F5は、上訴手続きを含め、管轄権を有する司法当局が要求の実体について判断を下すまで、要求の効力を停止するよう求めます。このような状況において、F5は、適用される手続規則に基づいて開示を義務付けられない限り、また義務付けられるまでは、いかなるデータも開示しません。開示が必要となった場合でも、F5が開示するのは、当初の要求のうち最終的に残った部分に従うために必要な最小限のデータのみです。

F5のサービスに関するすべてのお客さまとの契約（エンドユーザーサービス契約（EUSA））には、F5のデータ保護付属契約（DPA）を組み込み、補足するサービス固有の条件が含まれています。このDPAには、英国法またはスイス法の適用対象となる移転に関連する追加文言を付した標準契約条項が含まれています。場合によっては、特定のF5サポートサービスに関する契約など、お客さまとF5との間で、これらと同等の保護措置を組み込んだ別の契約を締結することがあります。また、https://www.dataprivacyframework.gov/list では、F5がEU-U.S. Data Privacy Framework、UK Extension to the EU-U.S. Data Privacy Framework、およびSwiss-U.S. Data Privacy Frameworkに基づく認証を取得していることを確認できます。

英国を含む「第三国」のF5法人への移転について、F5およびそのお客さまは、EU委員会の標準契約条項に対する国際データ移転補遺に依拠しています。この補遺は英国情報コミッショナーのウェブサイトで公開されており、英国法が適用される関連移転については、参照によりF5のDPAに組み込まれています。さらに、一部のサービスについて、F5はEU-U.S. Data Privacy Frameworkの英国拡張に基づく認証を取得しています。