改正法に関連する政令・規則等の整備に向けた論点について（越境移転に係る情報提供の充実等）

令和２年11月４日

１．改正法における個人データの越境移転に係る制限の概要
 本人同意を根拠とする個人データの越境移転移転元の事業者に対し、本人同意の取得時に、移転先の第三者における個人データの取扱い等についての本人への情報提供の充実を求める（改正法第24条第２項）。
 移転先の第三者の基準適合体制を根拠とする個人データの越境移転移転元の事業者に対して、移転先の第三者による相当措置（法に基づき個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置と同等の措置）の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報の提供を求める（改正法第24条第３項）。
 同意取得時に本人に提供すべき情報、移転元の事業者が講ずべき「必要な措置」、及び本人の求めがあった場合に提供すべき「必要な措置に関する情報」等については、委員会規則で定めることとしている。

1

１．改正法における個人データの越境移転に係る制限の概要改正後の個人情報の保護に関する法律（平成15年法律第57号）（外国にある第三者への提供の制限）
第24条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委
員会規則で定めるものを除く。以下この条及び第26条の２第１項第２号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第３項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
この場合においては、同条の規定は、適用しない。
２ 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３ 個人情報取扱事業者は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

2２．検討すべき主な論点
 改正法第24条第２項の趣旨は、移転先の外国における個人情報の保護に関する制度や移転先の第三者による個人情報の取扱いを含む移転先の状況の多様性等に起因する、個人データの越境移転に伴うリスクについて、本人の予測可能性を高めることにある。
 改正法第24条第3項の趣旨は、個人データの越境移転後において、移転先の第三者による相当措置の継続的な実施を確保するとともに、本人が自己の個人データの移転先の第三者における相当措置の実施状況について把握できるようにすることにある。
▶ こうした制度趣旨を踏まえ、以下の事項の内容を検討する。
① 同意取得時に本人に提供すべき情報② 移転元の事業者が講ずべき「必要な措置」③ 本人の求めに応じて提供すべき「必要な措置に関する情報」
3２．検討すべき主な論点（イメージ）
現 行

改正後

外国
外国にある第三者に個人データを提供できる要件

本人の同意基準に適合する体制を整備した
事業者

我が国と同等の水準国（ＥＵ、英国）※この他、「法令に基づく場合」等の例外要件あり。

各要件に基づく移転について、移転元の事業者に対して、それぞれ以下を義務付ける①同意取得時に本人に提供すべき情報の内容

同意取得時に、移転先の外国における個人情報の保護に関する制度等の情報提供（第24条第２項）② 移転元の事業者が講ずべき「必要な措置」の内容
相当措置の継続的な実施を確保するために「必要な措置」の実施＋本人の求めに応じて「必要な措置に関する情報」を提供（第24条第３項）③本人の求めに応じて提供すべき「必要な措置に関する情報」の内容
4

３．①同意取得時に本人に提供すべき情報（１）基本的考え方
 改正法においては、「当該外国における個人情報の保護に関する制度」、「当該第三者が講ずる個人情報の保護のための措置」、「その他当該本人に参考となるべき情報」を個人デー
タの越境移転に係る同意取得時に本人に提供すべき情報としている。
 本人の予測可能性の向上という制度趣旨を踏まえると、提供すべき情報は、自己の個人デー
タの越境移転に伴うリスクについて本人が適切に認識できるものである必要がある。
 他方、情報提供義務がその制度趣旨を超えて事業者の過度の負担とならないよう配意する必要がある。制度改正大綱の意見募集においても、事業者の負担を懸念する意見や、同意取得時において移転先が未確定であること等により事前の情報提供が実務上困難な場合があることへの配慮を求める意見があった。
▶ 以上を踏まえ、同意取得時に本人への提供を義務付ける情報の内容・粒度は、本人が自己の個人データの越境移転に伴うリスクを認識できる範囲のものとしてはどうか。

5

３．①同意取得時に本人に提供すべき情報（参考）「個人情報保護法 いわゆる３年ごと見直し 制度改正大綱」に関する意見募集結果（抜粋）「移転元となる個人情報取扱事業者に対して本人の同意を根拠に移転する場合は、移転先国の名称や個人情報の保護に関する制度の有無を含む移転先事業者における個人情報の取扱いに関する本人への情報提供の充実を求める。」との点については、ベンチャー企業、中小企業において、国外での事業活動や国外事業者との連携が著しく困難になる可能性がある。
そもそも、個別企業において、どこまで海外の制度を把握できているか（国によっては州によって個なる（原文ママ）法制を採る場合もある）という問題があり、そもそも情報提供の範囲を極めて限定するか、もしくは個人情報保護委員会において各国の必要な法制の情報を開示する等の対応がされなければ、事業活動に対して非常に悪影響を及ぼす可能性があると考える。【一般社団法人 Fintech協会】
改正大綱第3章第6節 3．「外国にある第三者への個人データの提供制限の強化」において、データ・ローカリゼーションやガバメント・アクセスといった立法例がみられる中で、（外国に所在する）「移転先となる個人情報取扱事業者に対して本人の同意を根拠に移転する場合は、移転先国の名称や個人情報の保護に関する制度の有無を含む移転先事業者における個人情報の取扱いに関する本人への情報提供の充実を求める」との記述があるが、たとえ国際的にネットワークを有する法律事務所であっても、随時政治情勢によっても変わり得る各国の個人情報保護制度を正確に把握することには相当の時間と労力と費用を要し、ましてや法律の専門家ではない一民間事業者にとって、かかる要求に応えることには経済的にも技術的にも相当な負担となることは明白であるから、他方で「今後、事業者の負担や実務に十分配慮した上で、過重な負担とならないように、提供する情報の内容や提供の方法等について具体的に検討する」との記述があるところ、この点に関する個人情報保護委員会からの積極的な情報提供、並びに、事業者の義務が社会的・経済的にも合理的な範囲内に留まるよう是非適正かつ公平なご検討をお願いしたい。【日本医療機器産業連合会】（意見）P30-31に記載のある通り、事業者の負担や実務に十分配慮いただき、過度な負担とならないようにして頂きたい。
（理由）
医薬品等の研究開発においては、日本で取得したデータを海外の審査当局等に移転するケースが一般的に存在する。しかしながら、被験者への同意説明および同意取得を行う時点では、どの国に承認申請するかは未確定であり、詳細な説明は不可能である。また、氏名、住所、電話番号など、本人に直接連絡可能な情報を企業は保有していないため、追加の同意取得も不可能である。【日本製薬工業協会 産業政策委員会】

6

３．①同意取得時に本人に提供すべき情報（２）方向性ア 当該外国における個人情報の保護に関する制度
 本人の適切なリスク認識の観点からは、本人にとって分かりやすい情報が提供されることが重要であり、移転先の外国における個人情報の保護に関する制度全体についての網羅的な情報まで求める必要はないと考えられる。
▶ そこで、提供すべき情報は、我が国の個人情報保護法との間の本質的な差異を認識できる程度の内容・粒度で足りるという方向とし、委員会規則において「当該外国における個人情報の保護に関する制度」について情報提供を求める旨を定めた上で、ガイドラインにおいて、適切な内容・粒度を示してはどうか。
上記の本質的な差異の判断における考慮要素としては、例えば、以下のようなものが考えられる。
a. 個人情報の保護に関する制度の有無
b. 当該外国の個人情報の保護に関する制度についての一定の指標の存在（例：APEC越境移転プライバシールール（CBPR）の加盟国である、GDPR第45条に基づく十分性認定の取得国である 等）

c. OECDプライバシー・ガイドライン８原則に対応する事業者の義務又は本人の権利の不存在（例：目的外利用の制限がない、第三者提供の制限がない 等）

d. その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在（例：本人の権利利益に重大な影響を及ぼす可能性のあるデータ・ローカライゼーションに係る規制やガバメントアクセスに関する制度の存在 等）

7

３．①同意取得時に本人に提供すべき情報（２）方向性ア 当該外国における個人情報の保護に関する制度
 なお、随時更新され得る外国の制度について常に正確かつ完全な情報を提供することを求めた場合、実務上の対応が困難と想定され、事業者にとって過度の負担を負わせるものとなる。
▶ そこで、委員会規則は、事業者が「適切かつ合理的な方法」により一般的な注意力をもって調査・確認を行って得た情報を提供すれば足りるという方向で検討してはどうか。
「適切かつ合理的な方法」の例：
移転先の第三者に照会することや、我が国又は外国の行政機関等が公表している情報を参照すること 等 なお、委員会においても、外国の個人情報の保護に関する制度を調査した上で、事業者の参考になる一定の情報を取りまとめて公表することを予定している。

8

３．①同意取得時に本人に提供すべき情報（２）方向性イ 当該第三者が講ずる個人情報の保護のための措置
 本人の適切なリスク認識の観点からは、本人にとって分かりやすい情報が提供されることが重要であり、移転先の第三者における個人情報の保護のための措置全体についての網羅的な情報まで求める必要はないと考えられる。
 一方で、個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置との間に差異が存在する場合には、本人に対し、当該差異が明確に示されている必要がある。
 また、移転先の第三者が講ずる個人情報の保護のための措置は、移転先ごとに様々であると考えられる。
▶ そこで、提供すべき情報は、個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置との間の本質的な差異を認識できるようにする方向で、委員会規則においては、「当該第三者が講ずる個人情報の保護のための措置」について情報提供を求める旨を定めた上で、提供すべき情報の内容については、ガイドラインにおいて、適切な内容・粒度を示してはどうか。

9

３．①同意取得時に本人に提供すべき情報（２）方向性イ 当該第三者が講ずる個人情報の保護のための措置「当該第三者が講ずる個人情報の保護のための措置」に関する情報提供の例
 移転先の第三者において、個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置の一部（例：利用目的の通知・公表）を講じていない場合「提供先は、利用目的の通知・公表を行っていないものの、それ以外の点については、個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置と同水準の措置を講じています。」

10

３．①同意取得時に本人に提供すべき情報（２）方向性ウ その他当該本人に参考となるべき情報
 移転先の第三者が所在する外国の名称は、個人データの越境移転に関する基本的な事項である一方、かかる情報の提供を求めたとしても、事業者に過度の追加的な負担が発生するものではないと考えられる。
 また、外国の名称について情報提供がなされることで、本人が、必要に応じて、事業者から提供を受けた当該外国における個人情報の保護に関する制度についての情報の検証を行うことができるようになること等により、本人のリスク認識が促進されることが期待される。
▶ したがって、委員会規則において、「その他当該本人に参考となるべき情報」として、移転先の第三者が所在する外国の名称の提供を求めることとしてはどうか。

11

３．①同意取得時に本人に提供すべき情報（３）同意取得時に移転先が特定できない場合等の取扱い
 同意取得時に移転先の外国が特定できない場合や、同意取得時に第三者が講ずる個人情報の保護のための措置についての情報提供が困難な場合でも、その旨及びその理由についての情報提供がなされることで、本人は、自己の個人データの越境移転について一定のリスクが存在することを認識できると考えられる。
▶ そこで、同意取得時に移転先の外国が特定できない場合や、同意取得時に第三者が講ずる個人情報の保護のための措置についての情報提供が困難な場合は、その旨及びその理由について情報提供を求めることとしてはどうか。
 また、同意取得時に移転先の外国が特定できないものの、移転先の外国の範囲は定まっている場合、当該範囲についての情報提供がなされれば、本人のリスク認識に資する。
▶ そこで、移転先の外国が特定できないとしても、移転先の外国の名称に代わる本人に参考となるべき情報（例：移転先の外国の範囲）の情報提供ができる場合には、当該情報の提供を求めることとしてはどうか。
 なお、本人のリスク認識の観点からは、事後的に移転先の外国が特定できた場合や、第三者が講ずる個人情報の保護のための措置についての情報提供が可能となった場合には、本人の求めに応じて情報提供を行うことが望ましい。

12

４．②移転元の事業者が講ずべき「必要な措置」（１）基本的考え方
 現行法上、外国にある第三者が基準適合体制（法に基づき個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置と同等の措置を継続的に講ずるために必要なものとして委員会規則で定める基準に適合する体制）を整備している場合、越境移転に関する本人同意を得ることなく、当該第三者に対して個人データを提供することが許容されている。

 改正法では、移転先の第三者が基準適合体制を整備していることを根拠に、個人データの越境移転を行った場合、移転元の事業者は、移転先の第三者による相当措置の継続的な実施を確保するために必要な措置を講じなければならないとしている。
 これは、本人の権利利益の保護の観点から、個人データの越境移転後においても、移転元の事業者に、移転先の第三者による個人データの適正な取扱いを継続的に確保する責務があることを明確化するものである。

13

４．②移転元の事業者が講ずべき「必要な措置」（２）方向性ア 定期的な確認の実施
 移転先の第三者による個人データの適正な取扱いを継続的に確保するためには、移転元の事業者において、移転先の第三者による相当措置の実施状況を適切に把握することが重要である。
 また、移転先の第三者による個人データの取扱いは、移転先の第三者が所在する外国の制度の影響を受ける可能性がある。
▶ そこで、移転元の事業者が講ずべき「必要な措置」として、・ 移転先の第三者による相当措置の実施状況
・ 移転先の第三者の所在する外国における相当措置の実施に影響を及ぼすおそれのある制度の有無を定期的に確認することを求めてはどうか。
 なお、定期的な確認の頻度については、移転元と移転先との関係が様々であることや事業者の負担等を踏まえ、ガイドラインにおいて、例えば、年1回程度といった目安を示してはどうか。
14

４．②移転元の事業者が講ずべき「必要な措置」（２）方向性イ 支障時の対応
 移転元の事業者が、移転先の第三者による個人データの取扱いに問題があることを認識した
場合、本人の権利利益の保護の観点から、当該支障の改善・解消のため、必要かつ適切な措置を講ずるべきである。
必要かつ適切な措置としては、例えば、移転先の第三者との間で委託契約を締結している場合で、移転先の第三者が契約上の義務に違反して個人データを取り扱っている場合に、これを是正するよう要請すること等が考えられる。

 また、移転先の第三者による相当措置の継続的な実施の確保が困難となった場合、当該第三者は、実質的に、基準適合体制を整備しているとはいえないと考えられることから、それ以降、当該第三者への個人データの提供を停止する必要がある。
▶ したがって、移転先の第三者による相当措置の実施に支障が生じた場合には、当該支障の解消のために必要かつ適切な措置を講ずることとともに、当該第三者による相当措置の継続的な実施の確保が困難になった場合は、当該第三者に対する個人データの提供を停止することを求めるべきではないか。
15

５．③本人の求めに応じて提供すべき「必要な措置に関する情報」（１）基本的考え方
 改正法では、移転元の事業者に対して、本人の求めに応じて、「必要な措置に関する情報」の提供を求めることとしている。
 この趣旨は、本人が移転先の第三者における自己の個人データの取扱状況について把握できるようにすることで、必要な場合に、本人が自己の権利利益を保護するための措置を講じられるようにすることにある。
▶ したがって、「必要な措置」の内容のうち、移転先の第三者における自己の個人データの取扱状況について把握できるようにする観点から、以下の情報の提供を求めてはどうか。
・ 定期的に実施する確認の対象、頻度及び方法
・ 移転先の第三者による相当措置の実施に関する支障及び当該支障への対応等

16

５．③本人の求めに応じて提供すべき「必要な措置に関する情報」（２）方向性ア 定期的に実施する確認の対象、頻度及び方法
 確認の対象に関する情報として、以下の情報の提供を求めてはどうか。
• 移転先の第三者による相当措置の実施状況を確認する観点
 基準適合体制の整備の方法（例：移転先との間の契約、移転元と移転先に共通して適用される内規・プライバシーポリシー 等）

 基準適合体制に基づいて第三者が講ずる相当措置の概要• 移転先の第三者の所在する外国における相当措置の実施に影響を及ぼすおそれのある制度の有無を確認する観点
 移転先の第三者が所在する外国の名称
 当該外国における相当措置の実施に影響を及ぼすおそれのある制度の有無及び概要
 確認の頻度及び方法に関する情報として、以下の情報の提供を求めてはどうか。
 移転元の事業者が上記の確認を行う頻度及び方法

17

５．③本人の求めに応じて提供すべき「必要な措置に関する情報」（２）方向性イ 移転先の第三者による相当措置の実施に支障が生じた場合の対応等
 移転先の第三者による相当措置の実施に支障が生じた場合の対応等に関する情報として、以下の情報の提供を求めてはどうか。
 移転先の第三者による相当措置の実施に関する支障の有無及びその概要
 当該支障に対して移転元の事業者が講じた措置の概要

18

５．③本人の求めに応じて提供すべき「必要な措置に関する情報」（３）具体例○ 「必要な措置に関する情報」の例（A国に所在する第三者に対する委託に伴う個人データの提供の場合）•

基準適合体制の整備の方法：
移転先との間の委託契約•

移転先が講ずる相当措置の概要：
委託契約において、特定した利用目的の範囲内で個人データを取り扱う旨、必要かつ適切な安全管理措置を講ずる旨、従業者に対する必要かつ適切な監督を行う旨、再委託の禁止、個人データの第三者提供の禁止等を定めている•

移転先が所在する外国の名称：
A国•

移転先による相当措置の実施に影響を及ぼすおそれのある当該外国の制度：
特段の制限なく、政府による民間事業者が保有する個人情報へのアクセスが認められている•確認の頻度及び方法：
毎年、移転先から書面による報告を受ける形で確認している•移転先による相当措置の実施に支障が生じた場合の対応等：
移転先が、契約上の義務を遵守せず、相当措置の継続的な実施の確保が困難であるため、個人データの提供を停止した

19