デジタルサービス法（DSA）

主たる事業所が欧州、中東、またはアフリカ（総称してEMEA）に所在するお客さまには、F5 Networks, Ltd.との契約に基づいてサービスを提供します。英国に本社を置き、英国法に基づいて設立されたF5 Networksは、F5のEMEA事業の中核を担っています。EUおよびスイスの当局は、英国法が個人データを保護し、GDPR第V章およびこれに相当するスイス法の要件を完全に満たしていると認定しています。

アジア太平洋（APAC）地域に本社を置くお客さまは、シンガポールのF5 Networks Singapore Pte Ltd.と契約します。その他すべてのお客さま（北米に本社を置くお客さまを含む）は、米国のF5, Inc.と契約します。F5のすべてのサービスについて、データ保護に関する追加条項（DPA）には、サービス固有の条件による補足と併せて、法的に適用されるF5へのすべての移転に適用される標準契約条項および規定が含まれます。これらの標準契約条項には、英国への移転について英国政府が公表した国際データ移転に関する追加条項、およびスイスへの移転についてスイス連邦データ保護・情報コミッショナーが公表した追加文言が付随します。該当するサービスについて、F5はEU-U.S. Data Privacy Framework、UK Extension to the EU-U.S. Data Privacy Framework、およびSwiss-U.S. Data Privacy Frameworkに基づく認証も維持しています。

はい。該当するサービスについて、F5はEU-U.S. Data Privacy Framework、UK Extension to the EU-U.S. Data Privacy Framework、およびSwiss-U.S. Data Privacy Frameworkに基づく認証を維持しています。

いいえ。Schrems II判決で焦点となった米国のこれら2つの法規定は、F5には影響しません。いずれにしても、Schrems II判決後に米国法が改善されたことを受け、欧州委員会は、EU・米国データプライバシー・フレームワークに基づく個人データの十分な保護水準に関する欧州議会および理事会規則（EU）2016/679に基づく2023年7月10日付実施決定において、これらの規定に関する従来の懸念は解消されたと判断しました。欧州データ保護会議（EDPB）は欧州委員会の決定を分析し、2023年7月10日の十分性認定採択後における、GDPRに基づく米国へのデータ移転に関する情報ノートにおいて、「国家安全保障の分野で米国政府が導入したすべての保護措置（救済メカニズムを含む）は、使用する移転手段にかかわらず、米国に移転されるすべてのデータに適用される」と指摘しました（つまり、データプライバシー・フレームワーク、標準契約条項、その他の移転手段のいずれを通じて米国にデータを移転する場合でも適用されます）。

F5は、FISA第702条に基づくデータアクセス要求その他いかなる種類の指令も受けたことがありません。F5のサービスの多くは、FISA第702条に基づく指令の対象となり得る種類のサービスではありません。また、F5サービスを利用するほぼすべてのお客さまについて、F5は、FISA第702条に基づく指令の対象となり得る種類のデータを処理していません。同条が適用されるのは、大量破壊兵器の拡散、外国勢力による米国への攻撃計画、外国のスパイによる秘密活動に関する情報、またはFISAに定めるその他の「外国諜報情報」に関するデータです。

また、EO 12333に基づく顧客データの提出命令というものは存在しないため、F5がそのような命令を受けることもありません。EO 12333は、米国インテリジェンス・コミュニティ内の一定の責任を割り当てるものですが、民間部門に義務を課すものではありません。F5は、転送中のデータを暗号化するとともに、上記の2023年の欧州委員会による十分性認定以前にSchrems II裁判所が懸念していた理論上の傍受活動から保護するため、追加のセキュリティ対策を講じています。

CLOUD Actは、米国で事業を行う企業にデータの提出を要求する新たな権限を米国政府に付与するものではありません。米国政府が「CLOUD Act命令」を発行することはなく、F5もそのような命令を受けたことはありません。CLOUD Actは、米国政府が適切な既存の法的手続き（連邦地方裁判所の裁判官から命令を取得するなど）に従い、企業に対して、その企業が保有、管理、または支配する特定のデータを提出するよう指示した場合、データの所在地を根拠として企業がその命令に異議を申し立てることはできないことを明確にしました（ただし、その所在地で施行されている法律との抵触は、引き続き異議申立ての根拠となる可能性があります）。CLOUD Actは、2020年のSchrems II判決以前から施行されています。Schrems II判決後、米国は、政府によるデータへのアクセスに関する規則と慣行をさまざまな面で改善しました。その後、欧州委員会はこれらの改善を評価し、米国政府によるデータ提出要求に適用される米国法が、現在ではGDPRの定める十分な保護水準を確保していると判断しました。以下を参照してください。欧州議会および理事会規則（EU）2016/679に基づく2023年7月10日付実施決定（EU-U.S. Data Privacy Frameworkに基づく個人データの十分な保護水準について）。欧州データ保護会議（EDPB）はこの決定を分析し、2023年7月10日の十分性認定採択後における、GDPRに基づく米国へのデータ移転に関する情報文書において、「国家安全保障の分野で米国政府が導入したすべての保護措置（救済メカニズムを含む）は、使用する移転手段にかかわらず、米国に移転されるすべてのデータに適用される」と指摘しています（つまり、Data Privacy Framework、Standard Contractual Clauses、その他の移転手段のいずれを通じて米国にデータを移転する場合でも適用されます）。

F5とお客さまとの関係の性質、およびF5がお客さまのために取り扱うデータが限定的であり、通常は暗号化されていることから、このような要求が行われることは極めてまれです。お客さまのデータに関する要求を受けた場合、F5は、（i）法的に許される場合は速やかにお客さまへ通知し、その解決に向けてお客さまに協力する、または（ii）お客さまへの通知が違法となる場合は、要求元の当局に対し、お客さまへ直接要求するよう働きかけることを方針としています。これらの対応で問題が解決しない場合、F5は要求の適法性を評価し、要求への対応がGDPRまたはその他の関連法令に違反するかどうかも含め、上訴など、合理的に可能なあらゆる異議申立てを行います。この手続きの間、F5は、上訴手続きを含め、管轄権を有する司法当局が要求の当否について判断するまで、その要求の効力を停止するよう求めます。このような状況では、適用される手続規則に基づいて開示を義務付けられない限り、また義務付けられるまでは、F5がデータを開示することはありません。最終的に開示が必要となった場合でも、F5が開示するのは、当初の要求のうち最終的に有効とされた部分に従うために必要な最小限のデータのみです。

F5のサービスに関するすべてのお客さまとの契約（エンドユーザーサービス契約（EUSA））には、F5のサービス固有の条件を組み込み、補足するデータ保護付属文書（DPA）が含まれています。このDPAには、英国法またはスイス法の適用対象となる移転に関する追加文言を含む標準契約条項が盛り込まれています。特定のF5サポートサービスに関する契約など、場合によっては、これらと同等の保護措置を組み込んだ別の契約をお客さまとF5の間で締結することがあります。また、https://www.dataprivacyframework.gov/listでは、F5がEU-U.S. Data Privacy Framework、EU-U.S. Data Privacy Frameworkの英国拡張、およびSwiss-U.S. Data Privacy Frameworkに基づく認証を取得していることを確認できます。

英国を含む「第三国」のF5法人への移転について、F5とそのお客さまは、欧州委員会の標準契約条項に対する国際データ移転補遺に依拠しています。この補遺は英国情報コミッショナーのウェブサイトで公開されており、英国法が適用される該当の移転については、F5の「DPA 」に参照により組み込まれています。また、一部のサービスについて、F5はEU-U.S. Data Privacy Frameworkの英国拡張に基づく認証を取得しています。