改正越境移転ルールの施行に向けて

令和4年2月
個人情報保護委員会事務局

令和２年改正個人情報保護法の概要
１．個人の権利の在り方• 利用停止・消去等の個人の請求権について、一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合にも拡充する。

３．事業者による自主的な取組を促す仕組みの在り方• 認定団体制度について、現⾏制度（※）に加え、企業の特定分野(部門)を対象とする団体を認定できるようにする。
（※）現行の認定団体は、対象事業者の全ての分野（部門）を対象とする。

• 保有個人データの開示方法（現行、原則、書面の交付）について、電磁的記録の提供を含め、本人が指示できるようにする。

４．データ利活用の在り方• 個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする。

• 氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和する。

• ６ヶ月以内に消去する短期保存データについて、保有個人データに含めることとし、開示、利用停止等の対象とする。

• 提供元では個人データに該当しないものの、提供先において個人データとなることが想定される情報の第三者提供について、本人同意が得られていること等の確認を義務付ける。

• オプトアウト規定（※）により第三者に提供できる個人データの範囲を限定し、①不正取得された個人データ、②オプトアウト規定により提供された個人データについても対象外とする。
（※）本人の求めがあれば事後的に停止することを前提に、提供する個人データの項目等を公表等した上で、本人の同意なく第三者に個人データを提供できる制度。

２．事業者の守るべき責務の在り方• 漏えい等が発生し、個人の権利利益を害するおそれが大きい場合（※）に、委員会への報告及び本人への通知を義務化する。
（※）一定の類型（要配慮個人情報、不正アクセス、財産的被害）、一定数以上の個人データの漏えい等• 違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはならない旨を明確化する。

５．ペナルティの在り方• 委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げる。
• 命令違反等の罰金について、法人と個人の資力格差等を勘案して、法人に対しては行為者よりも罰金刑の最高額を引き上げる(法人重科)。

６．法の域外適用・越境移転の在り方• 日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された報告徴収・命令の対象とする。
• 外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等を求める。

1

１．外国にある第三者に個人データを提供する場合の規制の概要※条文番号は令和４年４月１日時点のものです。 2１．外国にある第三者に個人データを提供する場合の規制の概要（１）概要

 令和２年個人情報保護法改正において、外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等を求める改正が行われました。
現 行

令和４年４月以降

外国各要件に基づく移転時、それぞれ以下を義務付け

外国にある第三者に個人データを提供できる要件※

本人の同意基準に適合する体制を整備した
事業者
我が国と同等の水準の個人情報保護制度を有している外国※この他、「法令に基づく場合」等の例外要件があります。

本人からの同意取得時に、以下の情報を提供（第28条第2項）
・ 移転先の所在国の名称
・ 当該外国における個人情報の保護に関する制度
・ 移転先が講ずる個人情報の保護のための措置

１）移転元に対し以下の必要な措置を求める
・ 移転先における適正取扱いの実施状況等の定期的な確認
・ 移転先における適正取扱いに問題が生じた場合の対応＋
２）本人の求めに応じて必要な措置等に関する情報を提供（第28条第3項）

3

１．外国にある第三者に個人データを提供する場合の規制の概要（２）あらかじめ本人の同意を得て提供する場合
あらかじめ本人の同意を得て個人データを提供をする場合には、以下の対応が必要になります。
本人の同意を得ようとする場合において、あらかじめ、以下の事項について、本人が確実に認識できると考えられる適切な方法により、情報提供を行う。
 第三者が所在する外国の名称
 適切かつ合理的な方法により得られた上記外国における個人情報保護制度に関する情報
 第三者が講じる個人情報保護のための措置に関する情報4１．外国にある第三者に個人データを提供する場合の規制の概要（３）基準に適合する体制を整備している者に対して提供する場合
個人情報保護委員会が定める基準に適合する体制を整備している者に対して個人データを提供する場合には、以下の対応が必要になります。
個人情報取扱事業者が講ずべき措置に相当する措置（相当措置）を継続的に講ずるために必要な体制として、次のいずれかを整備する。
 個人情報取扱事業者との間で、第三者における個人データの取扱いについて、適切かつ合理的な方法により、相当措置の実施を確保（提供元がAPECのCBPRシステムの認証を取得しており、提供先が提供元に代わって個人情報を取り扱う者である場合には、提供元がCBPRの認証の取得要件を充たすことも、「適切かつ合理的な方法」の一つと解されます。）
 第三者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を取得（提供先がAPECのCBPRシステムの認証を取得していることが相当します。）

本人の求めに応じ、必要な措置等について、本人が確実に認識できると考えられる適切な方法により、情報提供を行う。

第三者による相当措置の継続的な実施を確保するために必要な措置として、次の全てを実施する。
 相当措置の実施状況、当該措置の実施に影響を及ぼすおそれのある外国の制度の有無及び内容を、適切かつ合理的な方法により、定期的に確認
 相当措置の実施に支障が生じたときは、必要かつ適切な措置等を実施する
 相当措置の継続的な実施の確保が困難となったときは第三者提供を停止

5

１．外国にある第三者に個人データを提供する場合の規制の概要（４）我が国と同等水準の個人情報保護制度を有している外国にある事業者に提供する場合「我が国と同等の水準の個人情報保護制度を有している外国」とは、現時点においては以下の国をいいます。
アイスランドアイルランド

イタリア

英国

エストニア

オーストリア

オランダ

キプロス

ギリシャ

クロアチア

スウェーデン

スペイン

スロバキア

スロベニア

チェコ

デンマーク

ドイツ

ノルウェー

ハンガリー

フィンランド

フランス

ブルガリア

ベルギー

ポーランド

ポルトガル

マルタ

ラトビア

リトアニア

リヒテンシュタイン

ルーマニア

ルクセンブルク

50音順※ 平成３１年個人情報保護委員会告示第１号

6１．外国にある第三者に個人データを提供する場合の規制の概要（５）「提供」について

 個人データの「提供」とは、自己以外の者が個人データを利用可能な状態に置くことをいいます。そのため、個人データが物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たります。
 したがって、外国にある第三者がネットワーク等を利用することにより、個人データを利用できる状態にあれば（利用する権限が与えられていれば）、個人データの「提供」に当たります。

7２．外国において個人データを取り扱う場合の規制の概要

２．外国において個人データを取り扱う場合の規制の概要（１）安全管理措置

 「個人情報の保護に関する法律についてのガイドライン（通則編）」では、「講ずべき安全管理措置の内容」について、「個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない」と規定しています。
 外国における個人データの取扱いによるリスクの高まりを踏まえ、上記において、「外的環境の把握」として、「外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない」旨を追加で規定しています。

?

「外的環境の把握」について、「外国において個人データを取り扱う場合」とは、どのような場合ですか？

例えば、以下に掲げるような場合は、「外国において個人データを取り扱う場合」に該当するため、個人情報取扱事業者は、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
〇個人情報取扱事業者が、外国にある支店・営業所に個人データを取り扱わせる場合〇個人情報取扱事業者が、外国にある第三者に個人データの取扱いを委託する場合〇外国にある個人情報取扱事業者が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人データを取り扱う場合
9

２．外国において個人データを取り扱う場合の規制の概要（２）公表等事項

 どのような安全管理措置が講じられているかについて、本人が把握できるようにする観点から、保有個人データに関する公表等事項として、「外的環境の把握」など安全管理措置が追加されました。
※?

当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、公表等の必要はありません。

「外的環境の把握」については、どのような内容の公表が求められますか？
この「外的環境の把握」に係る公表事項としては、例えば、「個人データを保管しているA国における個人情報の保護に関する制度を把握した上で安全管理措置を実施」といった内容が考えられます。
なお、本人の適切な理解と関与を促す観点から、当該外国の制度についても公表等を行うといった対応は望ましいものと考えられます。

10

３．クラウドサービスについて

３．クラウドサービスについて（１）第三者提供該当性

 個人情報取扱事業者が取扱う個人データについて、クラウドサービス提供事業者が提供するクラウドサービスを利用する場合、当該提供事業者に対する当該個人データの第三者提供に該当するかどうかについては、当該提供事業者において当該「個人データを取り扱わないこととなっている場合」かどうかによって判断されます。

?

「個人データを取り扱わないこととなっている場合」とは、どのような場合が考えられますか。
クラウドサービス提供事業者が「個人データを取り扱わないこととなっている場合」とは、個人情報取扱事業者との契約条項によって当該提供事業者がそのサーバに保存された当該個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。

12

３．クラウドサービスについて（２）個人情報取扱事業者に求められる対応
クラウドサービス提供事業者が「個人データを取り扱わない」こととなっている場合
 クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合には、当該個人データを当該クラウドサービス提供事業者に第三者提供したことにはなりませんが、個人情報取扱事業者において、自ら果たすべき安全管理措置の一環として適切な安全管理措置（外的環境の把握等）を講じる必要があります（日本国内に所在するサーバに個人データが保存される場合においても同様です。）。
 この場合には、「保有個人データの安全管理のために講じた措置」として、クラウドサービス提供事業者が所在する外国の名称及び個人データが保存されるサーバが所在する外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要があります。
 個人データが保存されるサーバが所在する国を特定できない場合には、 サーバが所在する外国の名称に代えて、①サーバが所在する国を特定できない旨及びその理由、及び、②本人に参考となるべき情報（例えば、サーバが所在する外国の候補が具体的に定まっている場合における当該候補となる外国の名称等）を本人の知り得る状態に置く必要があります。

クラウドサービス提供事業者が「個人データを取り扱う」こととなっている場合
 クラウドサービス提供事業者が個人データを取り扱うこととなっている場合には、個人情報取扱事業者が当該個人データを当該クラウドサービス提供事業者に提供することになるため、クラウドサービス提供事業者が外国にある第三者である場合については、本資料１.で説明した「外国にある第三者に個人データを提供する場合の規制」を遵守する必要があります。
 外国にあるクラウドサービス提供事業者に個人データの取扱いを委託する場合は、個人データを自ら取り扱っている場合にも該当するため、本資料１．で説明した「外国にある第三者に個人データを提供する場合の規制」の遵守に加えて、本資料２．で説明した安全管理措置（外的環境の把握等）及び公表等も必要になります。
13

４．個人情報保護委員会からの情報提供

４．個人情報保護委員会からの情報提供
個人情報保護委員会では、一定の国又は地域の個人情報の保護に関する制度と我が国の個人情報保護法との間の本質的な差異の把握に資する情報について調査の上、HP上で情報提供しています。
（五十音順）

 対象国又は地域は右記のとおりです。
加えてイスラエル、カタール、コスタリカ、チュニジア、パナマ、ペルー、南アフリカ、モロッコ及びモンゴルについて、追加で調査を行います。
 情報提供項目①個人情報の保護に関する法制度の有無②個人情報の保護に関する制度についての指標となり得る情報の有無③OECDプライバシーガイドライン８原則（※）に対応する個人情報の取扱いに係る義務又は本人の権利に関する規定の有無④その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無及びその概要※収集制限の原則、データ内容の原則、目的明確化の原則、利用制限の原則、安全保護の原則、公開の原則、個人参加の原則、責任の原則の８つの原則を指します。

１

アラブ首長国連邦２

アラブ首長国連邦３

アラブ首長国連邦

４（連邦）
アラブ首長国連邦

５（ADGM）（※１）
インド

６（DHC）（※２）
インドネシア７（DIFC）
（※３）
ウクライナ

８

オーストラリア

９

カナダ

10

韓国

11

カンボジア

12

シンガポール

13

スイス

14

タイ

15

台湾

16

中国

17

トルコ

18

ニュージーランド

19

フィリピン

20

ブラジル

21

米国（連邦）

22

米国（イリノイ州） 23

米国（カリフォルニ 24ア州）

25

ベトナム

26

香港

27ク州）
マレーシア

28

ミャンマー

29

メキシコ

30

ラオス

31

ロシア

米国（ニューヨー（※１）Abu Dhabi Global Market（※２）Dubai Healthcare City（※３）Dubai International Financial Centre
個人情報保護委員会事務局作成資料：https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku
上記情報提供の基となる委託調査報告書： https://www.ppc.go.jp/news/surveillance/

15

５．詳しく知りたい方へ 制度について詳しく知りたい方は、個人情報保護法ガイドライン通則編及び外国にある第三者への提供編や、Q&Aをご確認ください。
 以下の窓口においても、ご質問・ご相談に応じます。

 個人情報保護法相談ダイヤル
個人情報保護法の解釈や個人情報保護制度についての一般的な質問にお答えしたり、個人情報の取扱いに関する苦情の申出についてのあっせんを行うための相談ダイヤル
https://www.ppc.go.jp/personalinfo/pipldial/
電話番号：03-6457-9849

受付時間 9:30～17:30（土日祝日及び年末年始を除く）

 PPCビジネスサポートデスク（要予約）
事業者における個人情報の保護及び適正かつ効果的な活用についての啓発の一環として、新技術を用いた新たなビジネスモデル等における個人情報保護法上の留意事項等に関する相談を受付け
https://www.ppc.go.jp/personalinfo/business_support/
電話番号：03-6457-9771

受付時間 9:30～17:30（土日祝日及び年末年始を除く）

16

ご清聴ありがとうございました。

17