個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第 7 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 7 号（個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編））
・改正前欄に掲げる規定の傍線を付した部分をこれに順次対応する改正後欄に掲げる規定の傍線を付した部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正後欄に掲げる対象規定で改正前欄

改正後

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（外国にある第三者への提供編）

目次

目次

[略]

[同左]

[1～3 略][1～3 同左]

44

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準[略]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準[同左]

1にこれに対応するものを掲げていないものは、これを加える。

4-1 [略]4-1

4-2 法第 4 章第 2 節の規定の趣旨に沿った措置（規則第 16 条第 1 号関4-2 法第 4 章第 2 節の規定の趣旨に沿った措置（規則第 16 条第 1 号関係）

[略][同左]係）[同左][4-2-1～4-2-6 同左]

4-2-7 安全管理措置（法第 23 条の趣旨に沿った措置）

4-2-7 安全管理措置（法第 23 条の趣旨に沿った措置）
2[4-2-1～4-2-6 略][略]

外国にある第三者等は、その取り扱う個人データの漏えい、滅失又は毀[同左]

外国にある第三者等は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理の 損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人 ため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮 データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ 性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じ スクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等について なければならない措置や当該措置を実践するための手法の例等について
は、通則ガイドラインの「10（別添）講ずべき安全管理措置の内容」を参は、通則ガイドラインの「7（別添）講ずべき安全管理措置の内容」を参照

照のこと。のこと。

[4-2-8～4-2-20 同左]

4-3 [略]4-3

5[4-2-8～4-2-20 略]

同意取得時の情報提供

5[同左]

同意取得時の情報提供

[略]

[同左]

5-1 [略]5-1

5-2 提供すべき情報（規則第 17 条第 2 項関係）

5-2 提供すべき情報（規則第 17 条第 2 項関係）

[略]

[同左]

（1） [略]（1） [同左]（2）「適切かつ合理的な方法により得られた当該外国における個人情報の（2）「適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報」（規則第 17 条第 2 項第 2 号関係）保護に関する制度に関する情報」（規則第 17 条第 2 項第 2 号関係）

① [略]

① [同左]

3[同左]②「当該外国における個人情報の保護に関する制度に関する情報」②「当該外国における個人情報の保護に関する制度に関する情報」

個人データの越境移転に伴うリスクについて、本人の予測可能性を個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨に鑑み、「当該外国における個人情報の保護に高めるという制度趣旨に鑑み、「当該外国における個人情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国におけ関する制度に関する情報」は、提供先の第三者が所在する外国における個人情報の保護に関する制度と我が国の法（個人情報の保護に関する個人情報の保護に関する制度と我が国の法（個人情報の保護に関する法律）との間の本質的な差異を本人が合理的に認識できる情報でなる法律）との間の本質的な差異を本人が合理的に認識できる情報でなければならず、具体的には、次の（ア）から（エ）までの観点を踏まければならず、具体的には、次の（ア）から（エ）までの観点を踏まえる必要がある。

える必要がある。
なお、ここでいう「当該外国における個人情報の保護に関する制度」は、当該外国における制度のうち、提供先の外国にある第三者に度」は、当該外国における制度のうち、提供先の外国にある第三者に適用される制度に限られ、当該第三者に適用されない制度は含まれな適用される制度に限られ、当該第三者に適用されない制度は含まれな

い。

い。
4

なお、ここでいう「当該外国における個人情報の保護に関する制[（ア）～（ウ） 略][（ア）～（ウ） 同左]（エ）その他本人の権利利益に重大な影響を及ぼす可能性のある制（エ）その他本人の権利利益に重大な影響を及ぼす可能性のある制

度の存在

度の存在

提供先の第三者が所在する外国において、我が国の制度と比較提供先の第三者が所在する外国において、我が国の制度と比較して、当該外国への個人データの越境移転に伴い当該個人データして、当該外国への個人データの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度がに係る本人の権利利益に重大な影響を及ぼす可能性のある制度が存在する場合には、当該制度の存在について本人に情報提供しな存在する場合には、当該制度の存在について本人に情報提供しなければならない。

ければならない。

【本人の権利利益に重大な影響を及ぼす可能性のある制度に該当す【本人の権利利益に重大な影響を及ぼす可能性のある制度に該当する事例】

る事例】

事例 1）事業者に対し政府の情報収集活動への広範な協力義務を課

事例 1）事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府によすことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度（※3）

る広範な情報収集が可能となる制度

事例 2） [略]事例 2） [同左][（※1）・（※2） 略][（※1）・（※2） 同左]（※3）事業者が保有する個人情報について政府による情報収集が可[新設]

能となる制度に関して、本人の権利利益に重大な影響を及ぼす可能性のある制度に該当するか否かを判断するに当たっては、
5

例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。

（3） [略]（3） [同左]

5-3 [略]5-3

6

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるた

6

[同左]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ずべめに必要な体制を整備している者に個人データを提供した場合に講ずべ

き措置等

き措置等

[略]

[同左]

6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 18 条

6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 18 条

第 1 項関係）

第 1 項関係）[同左]（1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に影（1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（規則第 18 条第 1 項

かつ合理的な方法により、定期的に確認すること（規則第 18 条第 1 項

第 1 号関係）

第 1 号関係）
6[略]個人情報取扱事業者は、個人データの提供先である外国にある第三者に個人情報取扱事業者は、個人データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれ よる相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容を、適切かつ合理的な方法により、 のある当該外国の制度の有無及び内容を、適切かつ合理的な方法により、定期的に確認しなければならない。
ここでいう「定期的に確認」とは、年に 1 回程度又はそれ以上の頻度で確認することをいう。

相当措置の実施状況は、外国にある第三者に提供する個人データの内容定期的に確認しなければならない。
ここでいう「定期的に確認」とは、年に 1 回程度又はそれ以上の頻度で確認することをいう。

相当措置の実施状況は、外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により確認する必要があるが、例 や規模に応じて、適切かつ合理的な方法により確認する必要があるが、例
えば、個人データを取り扱う場所に赴く方法、書面により報告を受ける方 えば、個人データを取り扱う場所に赴く方法、書面により報告を受ける方
法又はこれらに代わる合理的な方法（口頭による確認を含む。）により確 法又はこれらに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる（※1）。

【相当措置の実施状況の確認に該当する事例】

認することが考えられる（※）。

【相当措置の実施状況の確認に該当する事例】

事例 1）外国にある事業者に個人データの取扱いを委託する場合におい事例 1）外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供て、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合は、当該契約の履行状況を先の基準適合体制を整備している場合は、当該契約の履行状況を確認すること確認すること
事例 2）同一の企業グループ内で個人データを移転する場合において、提供元及び提供先に共通して適用されるプライバシーポリシーに提供元及び提供先に共通して適用されるプライバシーポリシーにより、当該提供先の基準適合体制を整備している場合は、当該プより、当該提供先の基準適合体制を整備している場合は、当該プライバシーポリシーの履行状況を確認することライバシーポリシーの履行状況を確認すること
7

事例 2）同一の企業グループ内で個人データを移転する場合において、また、外国にある第三者による相当措置の実施に影響を及ぼすおそれのまた、外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容は、一般的な注意力をもって適切かつ ある当該外国の制度の有無及び内容は、一般的な注意力をもって適切かつ合理的な方法により確認する必要があるが、例えば、当該第三者に対して 合理的な方法により確認する必要があるが、例えば、当該第三者に対して照会する方法や、我が国又は外国の行政機関等が公表している情報を確認 照会する方法や、我が国又は外国の行政機関等が公表している情報を確認する方法が考えられる。

する方法が考えられる。

【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事

例】

例】

事例 1）事業者に対し政府の情報収集活動への広範な協力義務を課すこ

事例 1）事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範なとにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度（※2）

情報収集が可能となる制度

事例 2） [略]事例 2） [同左]（※1）提供先である外国にある第三者において相当措置を実施すべ（※）提供先である外国にある第三者において相当措置を実施すべ

き対象は、個人情報取扱事業者が実際に提供を行った「個人デき対象は、個人情報取扱事業者が実際に提供を行った「個人データ」であることから、相当措置の実施状況の確認においてータ」であることから、相当措置の実施状況の確認においても、提供先で取り扱っている他の個人情報の取扱いについてまも、提供先で取り扱っている他の個人情報の取扱いについてまで確認することが求められているものではない。

で確認することが求められているものではない。

（※2）事業者が保有する個人情報について政府による情報収集が可[新設]

能となる制度に関して、相当措置の実施に影響を及ぼすおそれのある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対するガバメント
8

アクセスに関する宣言」（2022 年）を参照することが考えられる。

（2） [略]（2） [同左]

6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報

6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 18 条第 2 項・第 3 項関係）

提供（規則第 18 条第 2 項・第 3 項関係）

6-2-1 [略]6-2-1 [同左]

6-2-2 提供すべき情報（規則第 18 条第 3 項関係）

6-2-2 提供すべき情報（規則第 18 条第 3 項関係）

[略]

[同左]

[（1）～（4） 略][（1）～（4） 同左]（5）「当該第三者による相当措置の実施に影響を及ぼすおそれのある当該（5）「当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要」（規則第 18 条第 3 項第 5 号関係）

外国の制度の有無及びその概要」（規則第 18 条第 3 項第 5 号関係）

個人データの提供先である外国にある第三者による相当措置の実施に影個人データの提供先である外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要について情報 響を及ぼすおそれのある当該外国の制度の有無及びその概要について情報提供しなければならない。

【相当措置の実施に影響を及ぼすおそれのある外国の制度の概要について【相当措置の実施に影響を及ぼすおそれのある外国の制度の概要について
9提供しなければならない。の情報提供に該当する事例】の情報提供に該当する事例】

事例 1）「事業者に対し政府の情報収集活動への広範な協力義務を課すこ

事例 1）「事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情とにより、事業者が保有する個人情報について政府による広範な情報収集が可能 となる制度が存在する 」旨の情報提供を行う こと

報収集が可能となる制度が存在する」旨の情報提供を行うこと（※）
事例 2） [略]（※）事業者が保有する個人情報について政府による情報収集が可能となる制度に関して、相当措置の実施に影響を及ぼすおそれのある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに

事例 2） [同左][新設]

関する宣言」（2022 年）を参照することが考えられる。

[（6）・（7） 略][（6）・（7） 同左]

6-2-3 [略]6-2-3 [同左]

【付録】 [略]【付録】 [同左]10

備考 表中の[ ]の記載は注記である。