一般データ保護規則（GDPR）とデータ保護フレームワーク
一般データ保護規則（GDPR）は欧州連合の法律であり、所在地を問わず、欧州経済領域（EEA：EU加盟27か国にアイスランド、ノルウェー、リヒテンシュタインを加えた地域）に居住する人々に商品やサービスを提供する、またはその行動を監視する目的で、当該人々の個人データを処理するすべての組織に適用されます。GDPRに基づき、組織には、個人データを処理する法的根拠の特定、収集するデータとその利用方法に関する本人への通知、本人による自身の情報へのアクセス、訂正、削除の要求への対応、不正アクセスから個人データを保護するための適切なセキュリティ管理策の導入、データ侵害が発生した場合の本人および当局への通知、データ保護責任者の任命、ならびに事後対応ではなく活動の開始時点からプライバシーを考慮することが求められます。またGDPRでは、移転先の法域において実質的に同等の保護を確保するための安全措置が講じられていない限り、EEA域外への個人データの移転も制限しています。
F5は、プライバシー通知に詳述されているとおり、GDPRを遵守しています。F5は、管理者であるDistributed Cloud Platformのお客さまに対して処理者として（または、処理者であるお客さまに対して復処理者として）サービスを提供しています。したがって、F5はDistributed Cloudの各サービスについて第28条を遵守しています。F5はEU-US Data Privacy Frameworkに参加しています。同フレームワークについて、欧州委員会は、参加企業への米国向け移転に十分な保護を提供すると認定しています。また、F5は、サポートを目的として世界各地のSOC拠点に移転される個人データを保護するため、標準契約条項を利用しています。さらにF5は、お客さまがGDPRに基づく義務を履行できるよう、堅牢なプライバシーおよびセキュリティプログラムを整備しています。F5が毎年発行するSOC 2 Type IIレポートの写しをご希望の場合は、営業担当者にお問い合わせください。このレポートはNDAに基づいて提供され、F5の統制とGDPRの要件との対応関係を示す表が含まれています。
よくあるご質問
多くのサービスにおいて、F5は、サービスの提供に必要な個人データの「管理者」ではなく「処理者」として行動します。F5が処理する個人データの詳細は、各サービスのプライバシーステートメントに記載されています。サービス別のプライバシーステートメントへのリンクは、F5のプライバシー通知の冒頭（https://www.f5.com/company/policies/privacy-notice）にまとめられています。
F5とそのサービスは、個人データの保護を最優先し、最高水準のデータプライバシーを維持しています。[TJ1] [AC2] F5が収集する個人データを保護するための技術的および組織的な管理策は、各サービス契約（たとえば、エンドユーザーサービス契約に基づいて提供されるサービスに適用されるサービス固有の条件）およびF5のSOC 2 Type IIレポートに記載されています。F5 Global SupportはISO 27001認証を取得しており、F5 Distributed Cloud ServicesはISO 27017およびISO 27018の拡張認証を含むISO 27001認証を取得しています。また、F5はF5 Distributed Cloud Servicesについて、レベル1サービスプロバイダーとしてPCI DSSに準拠しています。特定のF5サービスおよびF5ハードウェアには、その他のセキュリティ認証も適用されます。データセキュリティ対策の詳細については、https://www.f5.com/company/policies/privacy-noticeをご覧ください。
主たる事業所が欧州、中東、またはアフリカ（総称してEMEA）に所在するお客さまには、F5 Networks, Ltd.との契約に基づいてサービスを提供します。英国に本社を置き、英国法に基づいて設立されたF5 Networksは、F5のEMEA事業の中核を担っています。EUおよびスイスの当局は、英国法による個人データの保護がGDPR第5章およびこれに相当するスイス法の要件を完全に満たしていると認定しています。
アジア太平洋（APAC）地域に本社を置くお客さまは、シンガポールのF5 Networks Singapore Pte Ltd.と契約します。その他すべてのお客さま（北米に本社を置くお客さまを含む）は、米国のF5, Inc.と契約します。F5のすべてのサービスについて、データ保護に関する追加条項（DPA）には、サービス固有の条件による補足と併せて、法的に適用されるF5へのすべての移転に適用される標準契約条項および規定が含まれます。これらの標準契約条項には、英国への移転について英国政府が公表した国際データ移転に関する追加条項、およびスイスへの移転についてスイス連邦データ保護・情報コミッショナーが公表した追加文言が付随します。該当するサービスについては、F5はEU-U.S. Data Privacy Framework、UK Extension to the EU-U.S. Data Privacy Framework、およびSwiss-U.S. Data Privacy Frameworkに基づく認証も維持しています。
はい。該当するサービスについて、F5はEU-U.S. Data Privacy Framework、UK Extension to the EU-U.S. Data Privacy Framework、およびSwiss-U.S. Data Privacy Frameworkに基づく認証を維持しています。
いいえ。Schrems II判決で焦点となった米国のこれら2つの法規定は、F5には影響しません。いずれにしても、Schrems II判決後に米国法が改善されたことを受け、欧州委員会は、EU・米国データプライバシーフレームワークに基づく個人データの十分な保護水準に関する欧州議会および理事会規則（EU）2016/679に基づく2023年7月10日付実施決定において、これらの規定に関する従来の懸念は解消されたと判断しました。欧州データ保護会議（EDPB）は欧州委員会の決定を分析し、2023年7月10日の十分性認定採択後における、GDPRに基づく米国へのデータ移転に関する情報ノートにおいて、「国家安全保障の分野で米国政府が導入したすべての保護措置（救済メカニズムを含む）は、使用する移転手段にかかわらず、米国に移転されるすべてのデータに適用される」と指摘しています（つまり、データプライバシーフレームワーク、標準契約条項、その他の移転手段のいずれを介して米国にデータを移転する場合でも適用されます）。
F5は、FISA第702条に基づくデータアクセス要求その他いかなる種類の指令も受けたことがありません。F5のサービスの多くは、FISA第702条に基づく指令の対象となり得る種類のサービスではありません。また、F5サービスを利用するほぼすべてのお客さまについて、F5は、FISA第702条に基づく指令の対象となり得る種類のデータを処理していません。同条が適用されるのは、大量破壊兵器の拡散、外国勢力による米国への攻撃計画、外国のスパイによる秘密活動に関する情報、またはFISAに定めるその他の「外国諜報情報」に関するデータです。
また、EO 12333に基づく顧客データの提出命令というものは存在しないため、F5がそのような命令を受けることもありません。EO 12333は、米国インテリジェンス・コミュニティ内の一定の責任を割り当てるものですが、民間部門に義務を課すものではありません。F5は転送中のデータを暗号化し、上記の2023年の欧州委員会による十分性認定以前にSchrems II判決を下した裁判所が懸念していた理論上の傍受活動から保護するため、追加のセキュリティ対策を講じています。
CLOUD Actは、米国で事業を行う企業にデータの提出を要求する新たな権限を米国政府に付与するものではありません。米国政府が「CLOUD Act命令」を発行することはなく、F5もそのような命令を受けたことはありません。CLOUD Actにより明確化されたのは、米国政府が適切な既存の法的手続き（連邦地方裁判所の裁判官から命令を取得するなど）に従い、企業が所有、保管、または管理する特定のデータを提出するよう命じた場合、データの所在地を根拠として企業がその命令に異議を申し立てることはできないという点です（ただし、その所在地で施行されている法律との抵触は、引き続き異議申し立ての根拠となる可能性があります）。CLOUD Actは、2020年のSchrems II判決以前から施行されています。Schrems II判決後、米国は、政府によるデータへのアクセスに関する規則と慣行にさまざまな改善を加えました。その後、欧州委員会はこれらの改善を評価し、米国政府によるデータ提出要求に適用される米国法は、現在、GDPRの定める十分な保護水準を確保していると判断しました。欧州議会および理事会規則（EU）2016/679に基づく2023年7月10日付け施行決定EU-U.S. Data Privacy Frameworkに基づく個人データの十分な保護水準について（https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj）をご参照ください。欧州データ保護会議（EDPB）はこの決定を分析し、2023年7月10日の十分性認定採択後における、GDPRに基づく米国へのデータ移転に関する情報ノートにおいて、「国家安全保障の分野で米国政府が導入したすべての保護措置（救済メカニズムを含む）は、使用する移転手段にかかわらず、米国に移転されるすべてのデータに適用される」と指摘しています（つまり、Data Privacy Framework、標準契約条項、その他の移転手段のいずれを介して米国にデータを移転する場合でも適用されます）。
F5とお客さまとの関係の性質、およびF5がお客さまのために取り扱うデータが限定的であり、通常は暗号化されていることから、このような要求が行われることは極めてまれです。顧客データに関する要求を受けた場合、F5は、（i）法的に許される場合は速やかにお客さまへ通知し、その解決に向けてお客さまに協力する、または（ii）お客さまへの通知が違法となる場合は、要求元の当局に対し、お客さまへ直接要求するよう求めることを方針としています。これらの対応で問題が解決しない場合、F5は要求の適法性を評価し、要求への対応がGDPRまたはその他の関連法令に違反するかどうかも含め、異議申立てなど、合理的に可能なあらゆる方法で要求に異議を申し立てます。この手続きの間、F5は、上訴手続きを含め、管轄権を有する司法当局が要求の当否について判断するまで、その効力を停止するよう求めます。このような状況では、適用される手続規則に基づいて開示を義務付けられない限り、F5がデータを開示することはありません。最終的に開示が必要となった場合も、F5が開示するのは、当初の要求のうち有効に残った部分に従うために必要な最小限のデータに限られます。
F5のサービスに関するすべてのお客さまとの契約（「End User Services Agreement（EUSA）」）には、F5の「Service-Specific Terms」が含まれています。この規約は、F5の「Data Protection Addendum（DPA）」を組み込み、補足するものです。DPAには標準契約条項が含まれ、英国法またはスイス法の適用対象となる移転については、関連する追加文言も含まれています。特定のF5サポートサービスに関する契約など、場合によっては、お客さまとF5との間で、これらと同等の保護措置を組み込んだ別の契約を締結することがあります。また、https://www.dataprivacyframework.gov/listでは、F5がEU-U.S. Data Privacy Framework、EU-U.S. Data Privacy FrameworkのUK Extension、およびSwiss-U.S. Data Privacy Frameworkに基づく認証を取得していることを確認できます。
英国を含む「第三国」のF5法人への移転について、F5とそのお客さまは、欧州委員会の標準契約条項に対する国際データ移転補遺に依拠しています。この補遺は英国情報コミッショナーのウェブサイトで公開されており、英国法が適用される該当の移転については、F5のDPAに参照により組み込まれています。また、一部のサービスについて、F5はEU-U.S. Data Privacy Frameworkの英国拡張に基づく認証を取得しています。
