個⼈情報保護法改正のデータ
越境利⽤・移転への影響
弁護⼠・ひかり総合法律事務所
理化学研究所⾰新知能統合研究センター客員主管研究員
国⽴情報学研究所客員教授
⼤阪⼤学社会技術共創研究センター招へい教授

板倉陽⼀郎

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

1

アジェンダ• １個⼈情報保護法改正の概要• ２データ越境利⽤・移転への影響
• 2.1
• 2.2
• 2.3

2022/3/2

越境移転規制の厳格化
安全管理措置の公表義務の中での越境利⽤⼗分性認定への影響

個⼈情報保護法改正のデータ越境利⽤・移転への影響

2

⾃⼰紹介
•

2002年慶應義塾⼤学総合政策学部卒，2004年京都⼤学⼤学院情報学研究科社会情報学専攻修⼠課程修了，2007年慶應義塾⼤学法務研究科（法科⼤学院）修了。2008年
弁護⼠（ひかり総合法律事務所）。2016年4⽉よりパートナー弁護⼠。

•

2010年4⽉より2012年12⽉まで消費者庁に出向（消費者制度課個⼈情報保護推進室（現・個⼈情報保護委員会事務局）政策企画専⾨官）。2017年4⽉より理化学研究所
⾰新知能統合研究センター社会における⼈⼯知能研究グループ客員主管研究員，2018年5⽉より国⽴情報学研究所客員教授。2020年5⽉より⼤阪⼤学社会技術共創研究センター招へい教授。2021年4⽉より国⽴がん研究センター研究所医療AI研究開発
分野客員研究員。

2022/3/2•

消費者庁・デジタル・プラットフォーム企業が介在する消費者取引における環境整備等に関する検討会委員、総務省・情報通信法学研究会構成員、IoT推進コンソーシ
アム・データ流通促進ＷＧ委員等。

•

法とコンピュータ学会理事、⽇本メディカルＡＩ学会監事、⼀般社団法⼈データ社
会推進協議会監事等。

個⼈情報保護法改正のデータ越境利⽤・移転への影響

3

近著

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

4

※筆者時点修正

1 個人情報保護法改正の概要

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

5

※筆者時点修正

2020年改正の施⾏⽇：2022年4⽉1⽇
2021年改正（50条）の施⾏⽇：2022年4⽉1⽇
2021年改正（51条）の施⾏⽇：2023年4⽉1⽇？
⇒事業者は2020年改正と2021年改正（50条）に同時に対応

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

6

法律概要資料

1-1

4-1

1-2

4-2

1-3
1-4

5-1

1-5

5-2

2-1
6-1
2-2

2022/3/2

3-1

6-2

7-1
（略）

個⼈情報保護法改正のデータ越境利⽤・移転への影響

7

政令規則
概要資料

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

8

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

9

24条の⾏為規制
個⼈情報
取扱事業者

本⼈

外国にある
第三者
「同等の⽔準」EU/EEA・UK

当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考とな
るべき情報

本⼈

24条の同意

個⼈情報
取扱事業者「必要な措置」に関する情報
本⼈

2022/3/2

求め

外国にある
第三者
個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置

個⼈情報
取扱事業者

個⼈情報保護法改正のデータ越境利⽤・移転への影響

外国にある
第三者
相当措置
10
①契約等or➁APEC-CBPR

https://getnews.jp/archives/2905021/hirai_dg_01
より引⽤

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

112022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

12

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

13

第174回個⼈情報保護委員会[資料1]「個⼈情報の保護に関する法律の改正等を伴うデジタル社会の形成を図るための関係法律の整備に関する法律の成⽴を受けた個⼈情報保護委員会の今後の取組（案）について 」

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

142022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

15

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

162022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

172022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

18２データ越境利⽤・移転への影響
2.1 越境移転規制の厳格化

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

19

6. 法の域外適⽤・越境移転の在り⽅
6-2外国にある第三者への個⼈データの提供制限の強化

旧第24条
個⼈情報取扱事業者は、外国（本邦の域外にある国⼜は地域をいう。
以下同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個⼈データの取扱いについてこの節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個⼈データを提供する場合には、前条第⼀項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本⼈の同意を得なければならない。この場合においては、同条の規定は、適⽤しない。

2022/3/2

新第24条（令和3年改正後28条）
個⼈情報取扱事業者は、外国（本邦の域外にある国⼜は地域をいう。以下同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条及び第26条の2第1項第2号において同じ。）にある第三者（個⼈デー
タの取扱いについてこの節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個⼈データを提供する場合には、前条第1項各号に掲げる場合を除くほか、あらかじめ外国にある
第三者への提供を認める旨の本⼈の同意を得なければならない。この場合においては、同条の規定は、適⽤しない。
２ 個⼈情報取扱事業者は、前項の規定により本⼈の同意を得ようとする場合には、
個⼈情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置
その他当該本⼈に参考となるべき情報を当該本⼈に提供しなければならない。
３ 個⼈情報取扱事業者は、個⼈データを外国にある第三者（第⼀項に規定する体制を整備している者に限る。）に提供した場合には、個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。

個⼈情報保護法改正のデータ越境利⽤・移転への影響

20

24条の⾏為規制
個⼈情報
取扱事業者

本⼈

外国にある
第三者
「同等の⽔準」EU/EEA・UK

当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考とな
るべき情報

本⼈

24条の同意

個⼈情報
取扱事業者「必要な措置」に関する情報
本⼈

2022/3/2

求め

外国にある
第三者
個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置

個⼈情報
取扱事業者

個⼈情報保護法改正のデータ越境利⽤・移転への影響

外国にある
第三者
相当措置
21
①契約等or➁APEC-CBPR

当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考とな
るべき情報

本⼈

24条の同意

個⼈情報
取扱事業者

第三者提供
「必要な措置」に関する情報
本⼈

求め

外国にある
第三者
個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置

個⼈情報
取扱事業者

外国にある
第三者
相当措置
①契約等or➁APEC-CBPR「必要な措置」に関する情報
委託に伴う提供

本⼈

求め

個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置

個⼈情報
取扱事業者

外国にある
第三者
相当措置
①契約等or➁APEC-CBPR

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

22

外国にある第三者への個⼈データの提供

国会

第201回国会参・内閣委員会第13号（令和2年6⽉4⽇）○⼭⽥太郎君 ありがとうございました。
（前略） 今回、外国にある第三者への制限ということで、改正法の⼆⼗四条に当たる部分でありますが、新設されまして、外国にある第三者に個⼈データを提供する場合に本⼈からの同意を得る際、本⼈への参考となるべき情報の提供義務が課されたということなんですが、これも具体的にどのような参考情報の提供義務が発⽣するか、⾮常に不明だと思うんですね。
本⼈に提供しなければならない参考情報の基準とか具体例ですとか提供の⽅法、それから外国の個⼈情報保護法の条⽂を伝えるだけで⾜りるのかどうかとか、
⼀律に⽇本語での情報提供でなければならないのか。例えば、被害を受けた⼈は⺟国語が英語とかフランス語だった場合に、その⼈たちに対しては、相⼿が分かるようにというふうなことがありますので、英語やフランス語で伝えなければならないのか。
企業実務としては⾮常に問題は⼤きいと思いますが、この辺り教えていただければと思います。
○政府参考⼈（其⽥真理君） 外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を得ようとするときには、個⼈情報取扱事業者が当該本⼈に提供しなければならない情報や提供の⽅法については委員会規則で定めることとしておりますけれども、現時点では、例えば提供すべき情報としては、第三者の所在する外国の国名、それから個⼈情報保護制度などを想定しております。
また、提供の⽅法につきましては、電磁的な記録の提供や書⾯の交付による⽅法、基本的には⽇本語⼜は本⼈が内容を理解できる⾔語というふうに考えておりますけれども、こういった⽅法を想定をしてございます。
○⼭⽥太郎君 もう⼀つ、外国における個⼈情報保護制度を情報提供する件については、その事業者が独⾃に外国における個⼈情報の保護に関する制度等の情報を調査して提供しなきゃいけないとなっているんですけど、これもまた企業にとっては⼤変重たい状況だと思います。
これらの情報については、多分、できれば個⼈情報保護委員会さんが外国の制度を調査してウエブで例えば公表すると、その公表されたものを各事業者として、委員会が公表したからということでその情報を提供するというような、少し便宜というか図ってあげないと、個社が個々の外国法制に対して全て調べていくということはほぼ難しいし、同じようなことを社会でもってみんながそれぞれ調べ合うというのもどうかと思いますので、その辺りの便宜ということは図っていただけないでしょうか。
○政府参考⼈（其⽥真理君） 今回の改正は、越境移転を⾏う事業者において移転先の環境を認識していただくという趣旨もございまして、企業が⾃らの取組をお願いしたいというのが基本でございますけれども、委員会といたしましても、外国の個⼈情報保護制度につきまして、参考となる情報を提供してまいりた
いと考えております
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

23

5 外国にある第三者への提供の制限の強化（法第24条関係）

法制局
説明資料

個⼈情報保護委員会事務局・内閣府⼤⾂官房番号制度担当室・内閣府⽇本医療開発機構・医療情報基盤担当室「個⼈情報の保護に関する法律等の⼀部を改正する法律案 説明資料」（令和2年3⽉）（情報公開請求で取得）52-53⾴
I 改正の背景
2 現⾏制度の課題
近年、⼀部の外国において、⺠間事業者が取り扱う個⼈情報にっいて、例えば、国内における保存を義務付け、また、当局への提出を義務付けるといった、国家的な管理を及ぼすための規制が導⼊されている。
具体例）. 中国で平成2 9 年に施⾏されたサイバーセキュリティ法第2 8 条では、「ネットワーク運営者は、公安機関、国のセキュリティ機関が⾏う、国の安全保障•犯罪捜査活動のために技術的な⽀援、協⼒を⾏わなければならない。」と規定されている。また、同法第3 7 条では、「重要インフラの運営者は、中国国内で収集した個⼈情報及び重要データを中国国内で保存しなければならない』と規定されている。
•ベトナムにおいても平成3 1 年に施⾏されたサイバーセキュリティ法において、インタ⼀ネット.サービス事業者等に対して、ユーザー情報等の国内保存、必要に応じた公安省等へのユーザー情報の提供を義務付ける規定がみられる。
こうした外国にある第三者に提供された個⼈データについては、当該外国の法令を理由に訂正等や利⽤停⽌等の請求が拒絶される場合や、当該外国の当局の取得•利⽤により本⼈の権利利益が侵害される場合が想定される。
上記1 ①⼜は②（筆者注：法24条及び規則11条の2の例外）以外の外国にある第三者への提供については、個⼈情報取扱事業者が事前の本⼈同意を得ようとする場合には、提供先やその利⽤⽅法等の⼀般的な関⼼事項について、本⼈に説明して理解を得ることが想定されるものの、通常は本⼈が当該外国の法令についてまで関⼼を有しているとは限らないため、本⼈の意思に反した取扱いにより本⼈の権利利益が侵害されるおそれを理解しないまま、同意を⾏う可能性があるものと考えられる。
また、上記1 ②の外国にある第三者への提供については、当該提供を⾏った時点では基準に適合していた者であっても、当該外国の法令の制定改廃その他の事
情変更により、相当措置の継続的な実施が困難となる可能性があるにもかかわらず、個⼈情報取扱事業者が、当該事情変更を関知しないまま、当該第三者への個⼈データの提供を継続するおそれがあるものと考えられる。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

24

5 外国にある第三者への提供の制限の強化（法第24条関係）

法制局
説明資料

個⼈情報保護委員会事務局・内閣府⼤⾂官房番号制度担当室・内閣府⽇本医療開発機構・医療情報基盤担当室「個⼈情報の保護に関する法律等の⼀部を改正する法律案 説明資料」（令和2年3⽉）（情報公開請求で取得）53⾴
II

外国にある第三者への提供に伴う本⼈に対する情報提供義務の新設（新法第24条第2 項関係
上記1 ①⼜は②以外の外国にある第三者への個⼈データの提供については、本⼈の意思に反した当該個⼈データの取扱いにより本⼈の権利利益が侵害されるおそれを理解しないまま同意を⾏うことを防⽌するため、当該提供について本⼈の同意を得ようとする場合には、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考となるべき情報を事前に提供するよう、個⼈情報取扱事業者に義務付けることとするものである。
情報提供の⽅法や提供の対象となる情報については、個⼈情報保護委員会規則に委任することとし、具体的には、電磁的記録の提供や書⾯による交付といった具体的な情報提供の⽅法や、「当該外国における個⼈情報の保護に関する制度」及び「当該第三者が講ずる個⼈情報の保護のための措置」のそれぞれについて、本⼈に提供すべき具体的な情報の内容（当該外国における個⼈情報の保護に関する制度の有無や、当該制度が存在する場合にはその概要、当該第三者のプ
ライパシー•ポリシーの内容等）、「その他本⼈に参考となるべき情報J の具体的な内容（当該外国の国名等）について規定することを予定している。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

25

第６節
法の域外適⽤の在り⽅及び国際的制度調和への取組と越境移転の在り⽅
３．外国にある第三者への個⼈データの提供制限の強化

⼤綱〇
海外への業務委託の⼀般化やビジネスモデルの複雑化が進む中、個⼈デー タの越境移転に伴うリスクも変化しつつある。これまで、データ保護関連法 制については、多くの国々で、ＯＥＣＤプライバシー・ガイドラインに準拠 する形で⾏われてきたが、近年、データ保護関連法制が途上国を含め世界に 広がる中で、⼀部の国において国家管理的規制がみられるようになっている。データの国内での保存等を義務付けるデータ・ローカライゼーションや、⺠ 間のデータに対する制限のないガバメント・アクセスに係る海外の⽴法例は その⼀例と考えられる。
〇
個⼈情報の越境移転の機会が広がる中で、こうした国や地域における制度 の相違は、個⼈やデータを取り扱う事業者の予⾒可能性を不安定なものとし、個⼈の権利利益の保護の観点からの懸念も⽣じる。例えば、データ・ローカライゼーション政策との関係から、本⼈による個⼈データの消去の請求に越境移転先の事業者が対応することができないおそれや、外国政府による無制限なガバメント・アクセスによって、我が国で取得され越境移転された個⼈データが不適切に利⽤されるおそれがある。こうした国家管理的規制は、個⼈の権利利益の保護の観点から看過しがたいリスクをもたらすおそれがある。
〇 また、Ｇ２０茨城つくば貿易・デジタル経済⼤⾂会合（令和元年６⽉８⽇及び９⽇）において、「データ・フリー・フロー・ウィズ・トラスト（ＤＦＦＴ）」（信頼性のある⾃由なデータ流通）のコンセプトがＧ２０全体で合意され、信頼につながる各国の法的枠組みは相互に接続可能なものであるべきことが確認された。このような国際的潮流の中にあって、「プライバシーやセキュリティ・知的財産権に関する信頼を確保しながら、ビジネスや社会課題の解決に有益なデータが国境を意識することなく⾃由に⾏き来する、国際的に⾃由なデータ流通の促進」9を実現するためには、国家間では相互に信頼性を確保した⾃由なデータ流通を促進する必要があることに加え、上記のような、個⼈データのフリー・フローを⽀える信頼を、事業者と本⼈の間においても確保することが重要である。
〇
平成27年改正法で導⼊された法第24条は、個⼈情報取扱事業者が外国に個⼈データを移転できる場合を⼀定の場合に制限するものであり、その規制の対象は個⼈データの移転元である国内事業者であることから、当該規制によって、移転先における状況の多様性に起因するリスクに対応するためには、移転先の事業者やその事業者がおかれている外国の状況について必要最低限の留意を求めることとする。
〇 具体的には、移転元となる個⼈情報取扱事業者に対して本⼈の同意を根拠に移転する場合は、移転先国の名称や個⼈情報の保護に関する制度の有無を含む移転先事業者における個⼈情報の取扱いに関する本⼈への情報提供の充実を求める。また、移転先事業者において継続的な適正取扱いを担保するための体制が整備されていることを条件に、本⼈の同意を得る
ことなく個⼈データを移転する場合にあっては、本⼈の求めに応じて、移転先事業者における個⼈情報の取扱いに関する情報提供を⾏うこととする。
〇 なお、移転先国の個⼈情報の保護に関する制度等についての本⼈に対する情報提供は、当該個⼈情報の取扱いについて本⼈の予⾒可能性を⾼めることが趣旨であることから、その範囲で必要最低限のものとし、網羅的なものである必要はない。今後、事業者の負担や実務に⼗分配意した上で、過重な負担とならないように、提供する情報の内容や提供の⽅法等について具体的に検討することとする。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

26

6. 法の域外適⽤・越境移転の在り⽅
6-2外国にある第三者への個⼈データの提供制限の強化（外国にある第三者への提供に係る同意取得時の情報提供）
新規則第11条の3
法第⼆⼗四条第⼆項⼜は法第⼆⼗六条の⼆第⼀項第⼆号の規定により情報を提供する⽅法は、電磁的記録の提供による⽅法、書⾯の交付による⽅法その他の適切な⽅法とする。
２
法第⼆⼗四条第⼆項⼜は法第⼆⼗六条の⼆第⼀項第⼆号の規定による情報の提供は、次に掲げる事項について⾏うものとする。
⼀
当該外国の名称
⼆ 適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報
三当該第三者が講ずる個⼈情報の保護のための措置に関する情報
３
前項の規定にかかわらず、個⼈情報取扱事業者は、法第⼆⼗四条第⼀項の規定により本⼈の同意を得ようとする時点において、前項第⼀号に定める事項が特定できない場合には、同号及び同項第⼆号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
⼀
前項第⼀号に定める事項が特定できない旨及びその理由⼆
前項第⼀号に定める事項に代わる本⼈に参考となるべき情報がある場合には、当該情報
４第⼆項の規定にかかわらず、個⼈情報取扱事業者は、法第⼆⼗四条第⼀項の規定により本⼈の同意を得ようとする時点において、第⼆項第三号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
（外国にある第三者による相当措置の継続的な実施を確保するために必要な措置等）
新規則第11条の4
法第⼆⼗四条第三項（法第⼆⼗六条の⼆第⼆項において読み替えて準⽤する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
⼀ 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な⽅法により、定期的に確認すること。
⼆ 当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個⼈データ（第⼆⼗六条の⼆第⼆項において読み替えて準⽤する場合にあっては、個⼈関連情報）の当該第三者への提供を停⽌すること。
２
法第⼆⼗四条第三項の規定により情報を提供する⽅法は、電磁的記録の提供による⽅法、書⾯の交付による⽅法その他の適切な⽅法とする。
３
個⼈情報取扱事業者は、法第⼆⼗四条第三項の規定による求めを受けたときは、本⼈に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個⼈情報取扱事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合は、その全部⼜は⼀部を提供しないことができる。
⼀
当該第三者による法第⼆⼗四条第⼀項に規定する体制の整備の⽅法
⼆
当該第三者が実施する相当措置の概要
三第⼀項第⼀号の規定による確認の頻度及び⽅法
四
当該外国の名称五
当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
六
当該第三者による相当措置の実施に関する⽀障の有無及びその概要
七
前号の⽀障に関して第⼀項第⼆号の規定により当該個⼈情報取扱事業者が講ずる措置の概要
４
個⼈情報取扱事業者は、法第⼆⼗四条第三項の規定による求めに係る情報の全部⼜は⼀部について提供しない旨の決定をしたときは、本⼈に対し、遅滞なく、その旨を通知しなければならない。
５
個⼈情報取扱事業者は、前項の規定により、本⼈から求められた情報の全部⼜は⼀部について提供しない旨を通知する場合には、本⼈に対し、その理由を説明するよう努めなければならない。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

27

第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編4個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準
4-2法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1 号関係）
法第 24 条第 1 項の「この節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置」に該当するものとして規則第 11条の 2 第 1 号に「法第 4 章第 1 節の規定の趣旨に沿った措置」と規定されている。「法第 4 章第 1 節の規定の趣旨に沿った措置」については、外国にある第三者により個⼈データが取り扱われる場合においても、我が国の個⼈情報取扱事業者により個⼈データが取り扱われる場合に相当する程度の本⼈の権利利益の保護を図るという観点に加え、経済協⼒開発機構（OECD）におけるプライバシーガイドラインや
APEC におけるプライバシーフレームワークといった国際的な枠組みの基準も踏まえた国際的な整合性も勘案する。
具体的には、「法第 4 章第 1 節の規定の趣旨に沿った措置」として 4-2- 1 から 4-2-20 までに記述する事項について、適切かつ合理的な⽅法（4-1参照）に記述する⽅法によって担保されていなければならない（※1）。
（※2）要配慮個⼈情報の取得に関する規律（法第 17 条第 2 項）、 オプトアウトによる個⼈データの第三者提供（法第 23 条第 2項及び第 3 項）、第三者提供時の確認・記録義務（法第 25 条
及び第 26 条）、個⼈関連情報の第三者提供に関する規律（法第 26 条の 2）、並びに第三者提供記録の開⽰（法第 28 条第 5項）及びそれに関連するその他の⼿続等（法第 27 条及び第 31条から第 33 条までのうち、第三者提供記録の開⽰に関連する⼿続等）については、ここでいう「法第 4 章第 1 節の規定の趣旨に沿った措置」として外国にある第三者等が講ずべき措置には含まれない。
（※3）⽇本にある個⼈情報取扱事業者から個⼈データの提供を受けた外国にある第三者が法第 75 条の要件を満たし、域外適⽤の対象となる場合であっても、これにより直ちに規則第 11 条の 2 の基準を満たすこととなるわけではなく、同条の基準を満たすためには、別途、当該個⼈データの取扱いについて我が国の個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備することが必要である。
なお、この場合、当該外国にある第三者は、法第 75 条に基づき、「法第 4 章第 1 節の規定の趣旨に沿った措置」として講ずべき措置に含まれない規律（上記（※2）参照）も含め、法の規定に従って当該個⼈データを取り扱う義務を負うことになる。域外適⽤の詳細については、通則ガイドライン「5−1（域外適⽤）」を参照のこと。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

28第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供
個⼈情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする場合には、規則第 11 条の 3 第 2 項から第 4 項までの規定により求められる情報を本⼈に提供しなければならない（法第 24 条第 2 項）（※）。
個⼈データの越境移転に当たっては、提供元の個⼈情報取扱事業者において、提供先の第三者が所在する外国に個⼈データを移転することについてのリスクを評価し、個⼈データの移転の必要性について吟味した上で、本⼈に対しても、分かりやすい情報提供を⾏うことが重要である。
（※）同意取得時の情報提供に関する法第 24 条第 2 項の規定は、個⼈情報取扱事業者が令和 2 年改正法の施⾏⽇以後に法第 24条第 1 項の規定により本⼈の同意を得る場合について適⽤される（令和 2 年改正法附則第 4 条第 1 項）。
5-1 情報提供の⽅法（規則第 11 条の 3 第 1 項関係）
本⼈に対する情報提供は、規則第 11 条の 3 第 2 項から第 4 項までの規定により求められる情報を本⼈が確実に認識できると考えられる適切な⽅法で⾏わなければならない。なお、提供する情報は本⼈にとって分かりやすいものであることが重要である。
【適切な⽅法に該当する事例】
事例 1）必要な情報を電⼦メールにより本⼈に送付する⽅法
事例 2）必要な情報を記載した書⾯を本⼈に直接交付する⽅法
事例 3）必要な情報を本⼈に⼝頭で説明する⽅法
事例 4）必要な情報をホームページに掲載し、本⼈に閲覧させる⽅法⇒「・同意取得時の情報提供により、個⼈データの越境移転に係るリスクについての本⼈の予測可能性を向上させ、本⼈が同意の可否を適切に判断できるようにするという改正後の法第 24 条第２項の趣旨を踏まえると、本⼈に対する情報提供は、改正後の施⾏規則第 11 条の３第２項から第４項までの規定により求められる情報を本⼈が確実に認識できると考えられる適切な⽅法で⾏う必要があります。
・個別の事案ごとに判断されますが、改正後の施⾏規則第 11 条の３第２項から第４項までの規定により求められる情報が掲載されたＷｅｂページが存在する場合に、当該Ｗｅｂ ページのＵＲＬを⾃社のホームページに掲載し、当該ＵＲ Ｌに掲載された情報を本⼈に閲覧させる⽅法も、改正後の施⾏規則第 11 条の３第１項における「適切な⽅法」に該当すると考えられます。
・なお、この場合であっても、例えば、当該ＵＲＬを本⼈にとって分かりやすい場所に掲載した上で、同意の可否の判断の前提として、本⼈に対して当該情報の確認を明⽰的に求めるなど、本⼈が当該ＵＲＬに掲載された情報を閲覧すると合理的に考えられる形で、情報提供を⾏う必要があると考えられます。」（パブコメ回答概要46）5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）
法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする場合には、本⼈に対し、次の（1）から（3）までの情報を提供しなければならない。
（1）「当該外国の名称」（規則第 11 条の 3 第 2 項第 1 号関係）
提供先の第三者が所在する外国（※1）の名称をいう（※2）。必ずしも正式名称を求めるものではないが、本⼈が⾃⼰の個⼈データの移転先を合理的に認識できると考えられる名称でなければならない。
外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得する際に、提供先の第三者が所在する外国を特定できない場合の取扱いについては、5-3-1（提供先の第三者が所在する
外国が特定できない場合） を参照のこと。
（※1）「外国」とは、本邦の域外にある国⼜は地域をいい、我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24
条第 1 項）。
（※2）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する外国の名称が⽰されていれば⾜り、それに加えて、当該第三者が所在する州等の名称を⽰すことまでは求められない。もっとも、個⼈データの越境移転に伴うリスクについて、本⼈の予測可能性を⾼めるという制度趣旨を踏まえると、例えば、州法が主要な規律となっている等、州法に関する情報
提供が本⼈の予測可能性の向上に資する場合には、本⼈に対して、提供先の外国にある第三者が所在する州を⽰した上 で、州単位での制度についても情報提供を⾏うことが望まし い。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

29第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）
（2）「適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報」（規則第 11 条の 3 第 2 項第 2 号関係）①「適切かつ合理的な⽅法」「当該外国における個⼈情報の保護に関する制度に関する情報」は、⼀般的な注意⼒をもって適切かつ合理的な⽅法により確認したものでなければならない。
【適切かつ合理的な⽅法に該当する事例】
事例 1）提供先の外国にある第三者に対して照会する⽅法
事例 2）我が国⼜は外国の⾏政機関等が公表している情報を確認する⽅法②「当該外国における個⼈情報の保護に関する制度に関する情報」
個⼈データの越境移転に伴うリスクについて、本⼈の予測可能性を⾼めるという制度趣旨に鑑み、「当該外国における個⼈情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個⼈情報の保護に関する制度と我が国の法（個⼈情報の保護に関する法律）との間の本質的な差異を本⼈が合理的に認識できる情報でなければならず、具体的には、次の（ア）から（エ）までの観点を踏まえる必要がある。
なお、ここでいう「当該外国における個⼈情報の保護に関する制 度」は、当該外国における制度のうち、提供先の外国にある第三者に適⽤される制度に限られ、当該第三者に適⽤されない制度は含まれない。
（ア）当該外国における個⼈情報の保護に関する制度の有無
提供先の第三者が所在する外国における制度に、当該第三者に適⽤される個⼈情報の保護に関する制度が存在しない場合、そのこと⾃体が個⼈データの越境移転に伴うリスクの存在を⽰すものであることから、個⼈情報の保護に関する制度が存在しない旨を本⼈に対して情報提供しなければならない（※1）。
（イ）当該外国の個⼈情報の保護に関する制度についての指標となり得る情報の存在
提供先の第三者が所在する外国の個⼈情報の保護に関する制度について、個⼈情報の保護の⽔準等に関する客観的な指標となり得る情報が存在する場合、当該指標となり得る情報が提供されることにより、個⼈データの越境移転に伴うリスクについての本⼈の予測可能性は⼀定程度担保されると考えられる。したがって、この場合には、当該指標となり得る情報を提供すれば⾜り、次の（ウ）に係る情報の提供は求められない。
なお、当該指標となり得る情報の提供を⾏う場合、当該指標となり得る情報が個⼈データの越境移転に伴うリスクとの関係でどのような意味を持つかについても、本⼈に対して情報提供を⾏う
ことが望ましい。
【当該外国の個⼈情報の保護に関する制度についての指標となり得る情報に該当する事例】
事例 1）当該第三者が所在する外国が GDPR 第 45 条に基づく⼗分性認定の取得国であること
事例 2）当該第三者が所在する外国が APEC の CBPR システムの加盟国であること（ウ）OECD プライバシーガイドライン 8 原則に対応する事業者の義務⼜は本⼈の権利の不存在
提供先の第三者が所在する外国の個⼈情報の保護に関する制度 に、OECD プライバシーガイドライン 8 原則（※2）に対応する事業者の義務⼜は本⼈の権利が存在しない場合には、当該事業者の義務⼜は本⼈の権利の不存在は、我が国の法（個⼈情報の保護に関する法律）との本質的な差異を⽰すものであることから、その内容について本⼈に情報提供しなければならない。
なお、提供先の第三者が所在する外国の個⼈情報の保護に関する制度に、OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本⼈の権利が全て含まれる場合には、その旨を本⼈に情報提供すれば⾜りる。
【OECD プライバシーガイドライン 8 原則に対応する事業者の義務⼜は本⼈の権利の不存在に該当する事例】
事例 1）個⼈情報について原則としてあらかじめ特定した利⽤⽬的の範囲内で利⽤しなければならない旨の制限の不存在
事例 2）事業者が保有する個⼈情報の開⽰の請求に関する本⼈の権利の不存在

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

30第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）
（2）「適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報」（規則第 11 条の 3 第 2 項第 2 号関係）②「当該外国における個⼈情報の保護に関する制度に関する情報」（エ）その他本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度の存在
提供先の第三者が所在する外国において、我が国の制度と⽐較して、当該外国への個⼈データの越境移転に伴い当該個⼈データに係る本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度が存在する場合には、当該制度の存在について本⼈に情報提供しなければならない。
【本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度に該当する事例】
事例 1）事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度
事例 2）事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈情報の国内保存義務に係る制度（※1）提供先の第三者が所在する外国において、個⼈情報の保護に関する制度が存在する場合には、当該制度に係る法令の個別の名称を本⼈に情報提供することは求められないが、本⼈の求めがあった場合に情報提供できるようにしておくことが望ましい。
（※2）OECD プライバシーガイドラインは、①収集制限の原則（Collection Limitation Principle）、②データ内容の原則（Data Quality Principle）、③⽬的明確化の原則（Purpose Specification Principle）、④
利⽤制限の原則（Use Limitation Principle）、⑤安全保護措置の原則（Security Safeguards Principle） 、 ⑥ 公 開 の 原 則 （Openness Principle）、⑦個⼈参加の原則（Individual Participation Principle）、⑧責任の原則（Accountability Principle）の 8 原則を、基本原則として定めている。

（3）「当該第三者が講ずる個⼈情報の保護のための措置に関する情報」（規則第 11 条の 3 第 2 項第 3 号関係）
個⼈データの越境移転に伴うリスクについて、本⼈の予測可能性を⾼めるという制度趣旨に鑑み、「当該第三者が講ずる個⼈情報の保護のための措置に関する情報」は、当該外国にある第三者が講ずる個⼈情報の保護のための措置と我が国の法（個⼈情報の保護に関する法律）により個⼈データの取扱いについて個⼈情報取扱事業者に求められる措置との間の本質的な差異を本⼈が合理的に認識できる情報でなければならない。
具体的には、当該外国にある第三者において、OECD プライバシーガイドライン 8 原則に対応する措置（本⼈の権利に基づく請求への対応に関する措置を含む。）を講じていない場合には、
当該講じていない措置の内容について、本⼈が合理的に認識できる情報が提供されなければならない。
なお、提供先の外国にある第三者が、OECD プライバシーガイドライン 8 原則に対応する措置を全て講じている場合には、その旨を本⼈に情報提供すれば⾜りる。
外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得する際に、提供先の外国にある第三者が講ずる個⼈情報の保護のための措置に関する情報が提供できない場合の取扱いについては、5-3-2（提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報が提供できない場合）を参照のこと。
【提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報の提供に該当する事例（提供先の第三者が利⽤⽬的の通知・公表を⾏っていない場合）】事例）「提供先が、概ね個⼈データの取扱いについて我が国の個⼈情報取扱事業者に求められる措置と同⽔準の措置を講じているもの の、取得した個⼈情報についての利⽤⽬的の通知・公表を⾏っていない」旨の情報提供を⾏うこと「⇒・改正後の法第 24 条第２項の趣旨には、個⼈データの越境移転を⾏う事業者においても、従前以上に、提供先の外国にある第三者における事業環境等を認識することを促すという点もありますので、当該外国における個⼈情報の保護に関する制度についての確認は、提供元の事業者の責任において⾏っていただくべきものであると考えております。
・また、改正後の法第 24 条第３項は、本⼈の権利利益の保護の観点から、個⼈データの越境移転後においても、提供元の事業者に、提供先の外国にある第三者による個⼈データの適正な取扱いを継続的に確保する責務があることを明確化するものです。そのため、かかる責務を果たす観点か ら、提供先の第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度についての確認も、提供元の事業者の責任において⾏っていただくべきものであると考えております。
・もっとも、当委員会においても、外国の個⼈情報の保護に関する制度について、事業者の参考となる⼀定の情報をとりまとめて公表する予定です。対象予定国や公表に向けたスケジュール等については、本年の秋頃を⽬途にお⽰しすることを検討してまいります。」（パブコメ回答概要44）2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

31

個⼈情報保護委員会の情報提供（PPC報告書）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

32第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-3
同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条の 3 第 3 項・第 4 項関係）
5-3-1
提供先の第三者が所在する外国が特定できない場合（規則第 11条の 3 第 3 項関係）
個⼈情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする時点において、提供先の第三者が所在する外国を特定できない場合には、当該外国の名称及び当該外国の個⼈情報の保護に関する制度に関する情報に代えて、次の（1）及び（2）の情報を本⼈に提供しなければならない。
なお、事後的に提供先の第三者が所在する外国が特定できた場合には、本⼈の求めに応じて情報提供を⾏うことが望ましい。
【提供先の第三者が所在する外国を特定できない場合に該当する事例】
事例 1）⽇本にある製薬会社が医薬品等の研究開発を⾏う場合において、治験責任医師等が被験者への説明及び同意取得を⾏う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個⼈データを移転する外国を特定できない場合
事例 2）⽇本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を⾏う場合において、⽇本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を⾏うかが未確定であり、当該顧客の個⼈データを移転する外国を特定できない場合⇒「・改正後の法第 24 条第２項の趣旨は、外国にある第三者への個⼈データの提供がなされる場合に、当該外国における制度や、当該第三者による個⼈データの取扱いに関する相違に起因するリスクについて、本⼈の予測可能性を⾼める
点にありますので、提供先の第三者が所在する外国を特定した上で、本⼈に対する情報提供を⾏うことが原則であると考えます。
・その上で、「提供先の第三者が所在する外国を特定できない場合」の該当性は、上記の情報提供義務の趣旨を踏まえつつ、個別の事案ごとに判断する必要がありますが、例え ば、⼀定の⽬的で個⼈データの取扱いを外国にある第三者に委託する予定であるものの、本⼈の同意を得ようとする時点において、委託先の候補が具体的に定まっていない等により、提供先の第三者が所在する外国が特定できない場合は、ここでいう「提供先の第三者が所在する外国を特定できない場合」に該当し得ると考えられます。
・ただし、この場合であっても、特定できない旨及びその理由を情報提供するとともに、提供先の第三者が所在する外国の範囲を特定できる場合の当該範囲に関する情報など、外国の名称に代わる本⼈に参考となるべき情報の提供が可能である場合には、当該情報を提供する必要があります。
・「提供先の第三者が所在する外国を特定できない場合」の具体例等については、Ｑ＆Ａでお⽰しすることを検討してまいります。」（パブコメ回答概要48）（1）特定できない旨及びその理由（規則第 11 条の 3 第 3 項第 1 号関係）
個⼈情報取扱事業者は、提供先の第三者が所在する外国を特定できない場合であっても、個⼈データの越境移転に伴うリスクに関する本⼈の予測可能性の向上という趣旨を踏まえ、提供先の第三者が所在する外国を特定できない旨及びその理由を情報提供しなければならない。
なお、情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかについて、具体的に説明することが望ましい。
（2）提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報（規則第 11 条の 3 第 3 項第 2 号関係）
提供先の第三者が所在する外国が特定できないとしても、提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報の提供が可能である場合には、当該情報についても本⼈に提供しなければならない。
「提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報」の該当性は、本⼈への情報提供が求められる制度趣旨を踏まえつ つ、個別に判断する必要があるが、例えば、移転先の外国の範囲が具体的に定まっている場合における当該範囲に関する情報は、ここでいう「提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報」に該当する。
【提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報に該当する事例】
事例）本⼈の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっている場合における当該候補となる外国の名称

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

33

第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-3
同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条の 3 第 3 項・第 4 項関係）
5-3-2
提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報が提供できない場合（規則第 11 条の 3 第 4 項関係）
個⼈情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする時点において、提供先の外国にある第三者が講ずる個⼈情報の保護のための措置に関する情報の提供ができない場合には、当該情報に代えて、当該情報を提供できない旨及びその理由について情報提供しなければならない。
なお、情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかについて、具体的に説明することが望ましい。
また、事後的に当該第三者が講ずる個⼈情報の保護のための措置についての情報提供が可能となった場合には、本⼈の求めに応じて情報提供を⾏うことが望ましい。
【提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報の提供ができない場合に該当する事例】
事例 1）⽇本にある製薬会社が医薬品等の研究開発を⾏う場合において、治験責任医師等が被験者への説明及び同意取得を⾏う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個⼈データの提供先を特定できない場合
事例 2）⽇本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を⾏う場合において、⽇本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を⾏うかが未確定であり、当該顧客の個⼈データの提供先を特定できない場合

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

34第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等
個⼈情報取扱事業者は、規則第 11 条の 2 に定める基準に適合する体制（以下「基準適合体制」という。）を整備している外国にある第三者に対して個⼈データを提供した場合には、当該第三者による相当措置（個⼈データの取扱いについて法第 4 章第 1 節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置をいう。以下同じ。）の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない（法第 24 条第 3 項）（※）。
法第 24 条第 3 項は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個⼈データを提供した場合、個⼈情報取扱事業者には、その後も当該第三者による当該個⼈
データの適正な取扱いを継続的に確保する責務があることを明確化するものである。そのため、個⼈情報取扱事業者は、当該第三者において当該個⼈データの取扱いが継続する限り、法第 24
条第 3 項に基づく措置等を講ずる必要がある。
ただし、上記の制度趣旨に鑑み、例えば、個⼈情報取扱事業者が、本⼈の同意を根拠として外国にある第三者に個⼈データを提供した場合には、当該第三者が基準適合体制を整備していると認められる場合であっても、法第 24 条第 3 項に基づく措置等は求められない。
（※）法第 24 条第 3 項の規定は、個⼈情報取扱事業者が令和 2 年改正法の施⾏⽇以後に同項に規定する外国にある第三者に個⼈データを提供した場合について適⽤される（令和 2 年改正法附則第 4 条第 2 項）。
6-1
相当措置の継続的な実施を確保するために必要な措置（規則第 11条の 4 第 1 項関係）
個⼈情報取扱事業者は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個⼈データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置として、次の（1）及び（2）の措置を講じなければならない。
（1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に 影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な⽅法により、定期的に確認すること（規則第 11 条の 4第 1 項第 1 号関係）
個⼈情報取扱事業者は、個⼈データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容を、適切かつ合理的な⽅法により、定期的に確認しなければならない。ここでいう「定期的に確認」とは、年に 1 回程度⼜はそれ以上の頻度で確認することをいう。
相当措置の実施状況は、外国にある第三者に提供する個⼈データの内容や規模に応じて、適切かつ合理的な⽅法により確認する必要があるが、例えば、個⼈データを取り扱う場所に赴く⽅法、書⾯により報告を受ける⽅法⼜はこれらに代わる合理的な⽅法（⼝頭による確認を含む。）により確認することが考えられる（※）。
【相当措置の実施状況の確認に該当する事例】
事例 1）外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合は、当該契約の履⾏状況を確認すること
事例 2）同⼀の企業グループ内で個⼈データを移転する場合において、提供元及び提供先に共通して適⽤されるプライバシーポリシーにより、当該提供先の基準適合体制を整備している場合は、当該プライバシー
ポリシーの履⾏状況を確認すること

また、外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容は、⼀般的な注意⼒をもって適切かつ合理的な⽅法により確認する必要があるが、例
えば、当該第三者に対して照会する⽅法や、我が国⼜は外国の⾏政機関等が公表している情報を確認する⽅法が考えられる。
【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事例】
事例 1）事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度
事例 2）事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈情報の国内保存義務に係る制度（※）提供先である外国にある第三者において相当措置を実施すべき対象は、個⼈情報取扱事業者が実際に提供を⾏った「個⼈データ」であることから、相当措置の実施状況の確認においても、提供先で取り扱っている他の個⼈情報の取扱いについてまで確認することが求められているものではない。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

35第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-1
相当措置の継続的な実施を確保するために必要な措置（規則第 11条の 4 第 1 項関係）
（2）当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個⼈データの当該第三者への提供を停⽌すること（規則第 11 条の 4 第 1 項第 2 号関係）
個⼈情報取扱事業者は、個⼈データの提供先である外国にある第三者による相当措置の実施に⽀障が⽣じたときは、当該⽀障の解消⼜は改善のために必要かつ適切な措置を講じなければならない。
【⽀障発⽣時の必要かつ適切な措置に該当する事例】
事例）⽇本にある個⼈情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の⼀部に違反して個⼈データを取り扱っている場合に、これを是正するよう要請すること
また、外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該第三者は、実質的に、基準適合体制を整備しているとはいえないと考えられることから、それ以降、当該第三者への個⼈データの提供を停⽌しなければならない。
【相当措置の継続的な実施の確保が困難となった場合に該当する事例】
事例 1）⽇本にある個⼈情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の⼀部に違反して個⼈データを取り扱っている場合に、これを是正するよう要請したにもかかわらず、当該提供先が合理的な期間内にこれを是正しない場合
事例 2）外国にある事業者において⽇本にある個⼈情報取扱事業者から提供を受けた個⼈データに係る重⼤な漏えい等が発⽣した後、同様の漏えい等の発⽣を防⽌するための必要かつ適切な再発防⽌策が講じられていない場合⇒・「外国にある第三者への個⼈データの提供を認める」旨の本⼈の同意を得て、個⼈データの提供を⾏う場合には、本⼈が事前に個⼈データの越境移転に伴うリスクを認識できるよう、当該外国の個⼈情報の保護に関する制度について、我が国の法との本質的な差異を合理的に認識できる情報の提供が求められます（改正後の法第 24 条第２項、改正後の施⾏規則第 11 条の３参照）。そのため、かかる情報提供が適切に⾏われていない場合には情報提供義務違反となる可能性があります。もっとも、適切な情報提供を⾏った上で改正後の法第 24 条第１項に基づく本⼈の同意を取得して外国にある第三者に個⼈データを提供した後については、当該提供先による個⼈データの取扱いを確認する義務はありません。
そのため、当該提供先が、当該外国の政府による個⼈データの提供の要請に対応したことのみをもって提供元の事業者の法違反となるものではありません。
・また、提供先の外国にある第三者が基準適合体制（法第４ 章第１節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制）を整備していることを根拠として、本⼈の同意を得ずに当該提供先に対して個⼈データを提供した場合、その後も当該提供先による個⼈データの適正な取扱いが確保されるよう、当該提供先による相当措置の実施状況等の定期的な確認等が求められます（改正後の法第 24 条第３項、改正後の施⾏規則第 11 条の４）。この場合、当該提供先において、当該外国の政府による要請に対応した個⼈データの提供が認められるか否かは、個⼈データの性質や提供の必要性（外国政府からの要請が外国の法令の要件を満たす適法なものかの確認を含む。）等を踏まえた個別の事案ごとの判断が必要であり、例えば、提供の必要性が認められないにもかかわらず、当該提供先が漫然と個⼈データの提供を⾏っている場合には、当該提供先による相当措置の実施に⽀障が⽣じていると評価される可能性があります。なお、提供元の事業者が、当該提供先に対して法第 23 条第５項第１号に基づいて個⼈データの提供を⾏っている場合、当該提供先に対する監督義務を負いますので（法第22 条）、上記のように、当該提供先が提供の必要性が認められないにもかかわらず、漫然と個⼈データの提供を⾏っている等の場合には、提供元の事業者の監督義務違反となる可能性があります。」（パブコメ回答概要45）6-2
相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-1
情報提供の⽅法（規則第 11 条の 4 第 2 項関係）
本⼈に対する情報提供は、規則第 11 条の 4 第 3 項の規定により本⼈への提供が求められる情報を本⼈が確実に認識できると考えられる適切な⽅法で⾏う必要がある。なお、提供する情報は本⼈にとって分かりやすいものであることが重要である。
【適切な⽅法に該当する事例】
事例 1）必要な情報を電⼦メールにより本⼈に送付する⽅法
事例 2）必要な情報を記載した書⾯を本⼈に直接交付する⽅法
事例 3）必要な情報を本⼈に⼝頭で説明する⽅法
事例 4）必要な情報をホームページに掲載し、本⼈に閲覧させる⽅法

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

36第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-2相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-2
提供すべき情報（規則第 11 条の 4 第 3 項関係）
個⼈情報取扱事業者は、法第 24 条第 3 項の規定による本⼈の求めを受けた場合には、遅滞なく、次の（1）から（7）までの情報を本⼈に提供しなければならない。
ただし、情報提供することにより当該個⼈情報取扱事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合は、その全部⼜は⼀部を提供しないことができる。
【情報提供することにより当該個⼈情報取扱事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合に該当する事例】
事例）同⼀の本⼈から複雑な対応を要する同⼀内容について繰り返し情報提供の求めがあり、事実上問合せ窓⼝が占有されることによって他の問合せ対応業務が⽴ち⾏かなくなる等、業務上著しい⽀障を及ぼすおそれがある場合（1）「当該第三者による法第 24 条第 1 項に規定する体制の整備の⽅法」（規則第 11 条の 4 第 3 項第 1 号関係）
個⼈データの提供先である外国にある第三者が基準適合体制を整備する⽅法について情報提供しなければならない。【基準適合体制を整備する⽅法についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「提供先との契約」である旨の情報提供を⾏うこと（2）「当該第三者が実施する相当措置の概要」（規則第 11 条の 4 第 3 項第 2 号関係）
個⼈データの提供先である外国にある第三者が実施する相当措置の概要について情報提供しなければならない。
提供すべき情報は、個々の事例ごとに判断されるべきであるが、当該外国にある第三者において、法第 4 章第 1 節の規定の趣旨に沿った措置がどのように確保されているかが分かるような情報を提供する必要がある。
なお、個⼈情報取扱事業者が当該外国にある第三者との間で締結している契約等の全ての規定の概要についての情報提供を求めるものではない。
【相当措置の概要についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「契約において、特定した利⽤⽬的の範囲内で個⼈データを取り扱う旨、不適正利⽤の禁⽌、必要かつ適切な安全管理措置を講ずる旨、従業者に対する必要かつ適切な監督を⾏う旨、再委託の禁⽌、漏えい等が発⽣した場合には提供元が個⼈情報保護委員会への報告及び本⼈通知を⾏う旨、個⼈データの第三者提供の禁⽌等を定めている」旨の情報提供を⾏うこと（3）「第 1 項第 1 号の規定による確認の頻度及び⽅法」（規則第 11 条の4 第 3 項第 3 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認に関して、その⽅法及び頻度について情報提供しなければならない。
なお、外国にある第三者による相当措置の実施状況の確認の⽅法及び頻度と、当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の⽅法及び頻度が異なる場合には、それぞれについて情報提供する必要がある。
【確認の⽅法及び頻度についての情報提供に該当する事例】
事例）①外国にある第三者による相当措置の実施状況についての確認の⽅法及び頻度「毎年、書⾯による報告を受ける形で確認している」旨の情報提供を⾏うこと②当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の⽅法及び頻度「毎年、我が国の⾏政機関等が公表している情報を確認している」旨の情報提供を⾏うこと

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

37

第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-2相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-2
提供すべき情報（規則第 11 条の 4 第 3 項関係）
（4）「当該外国の名称」（規則第 11 条の 4 第 3 項第 4 号関係）
個⼈データの提供先の第三者が所在する外国（※1）の名称について情報提供しなければならない（※2）。必ずしも正式名称を求めるものではないが、本⼈が⾃⼰の個⼈データの移転先を合理的に認識できると考えられる形で情報提供を⾏う必要がある。
（※1）「外国」とは、本邦の域外にある国⼜は地域をいい、我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24
条第 1 項）。
（※2）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する外国の名称が⽰されていれば⾜り、それに加えて、当該第三者が所在する州等の名称を⽰すことまでは求められない。もっとも、本⼈が外国にある第三者における⾃⼰の個⼈データの取扱状況等について把握できるようにするという制度趣旨を踏まえると、例えば、州法において外国にある第三者による相当措置の実施に影響を及ぼすおそれのある制度が存在する等、州法に関する情報提供が本⼈による当該第三者における個⼈データの取扱状況等の把握に資する場合には、当該第三者が所在する州を⽰した上で、当該制度についても情報提供を⾏うことが望ましい。
（5）「当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要」（規則第 11 条の 4 第 3 項第 5 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要について情報提供しなければならない。
【相当措置の実施に影響を及ぼすおそれのある外国の制度の概要についての情報提供に該当する事例】
事例 1）「事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度が存在する」旨の情報提供
を⾏うこと
事例 2）「事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈情報の国内保存義務に係る制度が存在する」旨の情報提供を⾏うこと（6）「当該第三者による相当措置の実施に関する⽀障の有無及びその概要」（規則第 11 条の 4 第 3 項第 6 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施に関する⽀障の有無及びその概要について情報提供しなければならない。
【相当措置の実施に関する⽀障の概要についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された利⽤⽬的の範囲を超えて、当該個⼈データを取り扱っていた場合事例）「提供先が契約において特定された利⽤⽬的の範囲を超えて個⼈データの取扱いを⾏っていた」旨の情報提供を⾏うこと

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

38

第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-2相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-2
提供すべき情報（規則第 11 条の 4 第 3 項関係）
（7）「前号の⽀障に関して第 1 項第 2 号の規定により当該個⼈情報取扱事業者が講ずる措置の概要」（規則第 11 条の 4 第 3 項第 7 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施に⽀障が⽣じた場合において、当該⽀障の解消・改善のために提供元の個⼈情報取扱事業者が講ずる措置の概要について情報提供しなければならない。
【相当措置の実施に関する⽀障に関して個⼈情報取扱事業者が講ずる措置の概要についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された利⽤⽬的の範囲を超えて、当該個⼈データを取り扱っていた場合
事例 1）「提供先が契約において特定された利⽤⽬的の範囲を超えて個⼈データの取扱いを⾏っていたため、速やかに当該取扱いを是正するように要請した」旨の情報提供を⾏うこと
事例 2）「提供先が契約において特定された利⽤⽬的の範囲を超えて個⼈データの取扱いを⾏っていたため、速やかに当該取扱いを是正するように要請したものの、これが合理的期間内に是正されず、相当措置の継続的な実施の確保が困難であるため、〇年〇⽉〇⽇以降、個⼈データの提供を停⽌した上で、既に提供した個⼈データについて削除を求めている」旨の情報提供を⾏うこと
6-2-3
情報提供しない旨の決定を⾏った際の通知等（規則第 11 条の 4第 4 項・第 5 項関係）
個⼈情報取扱事業者は、法第 24 条第 3 項の規定による本⼈の求めに係る情報の全部⼜は⼀部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本⼈に通知（※）しなければならない。
この場合、個⼈情報取扱事業者は、本⼈に対し、情報提供をしない理由を説明するよう努めなければならない。
（※）「本⼈に通知」については、通則ガイドライン「2-14（本⼈に通知）」を参照のこと。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

39

外国にある第三者への提供制限（公的部⾨）

参考：新第24条（令和3年改正後28条）
個⼈情報取扱事業者は、外国（本邦の域外にある国⼜は地域をいう。以下同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条及び第26条の2第1項第2号において同じ。）にある第三者（個⼈デー
タの取扱いについてこの節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個⼈データを提供する場合には、前条第1項各号に掲げる場合を除くほか、あらかじめ外国にある
第三者への提供を認める旨の本⼈の同意を得なければならない。この場合においては、同条の規定は、適⽤しない。
２ 個⼈情報取扱事業者は、前項の規定により本⼈の同意を得ようとする場合には、
個⼈情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置
その他当該本⼈に参考となるべき情報を当該本⼈に提供しなければならない。
３ 個⼈情報取扱事業者は、個⼈データを外国にある第三者（第⼀項に規定する体制を整備している者に限る。）に提供した場合には、個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。

2022/3/2

新第71条
⾏政機関の⻑等は、外国（本邦の域外にある国⼜は地域をいう。以下この条において同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる
個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（第16条第3項に規定する個⼈データの取扱いについて前章第⼆節の規定により同条第2項に規定する個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項において同じ。）に利⽤⽬的以外の⽬的のために保有個⼈情報を提供する場合には、法令に基づく場合及び第69条第2項第4号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本⼈の同意を得なければならない。
２ ⾏政機関の⻑等は、前項の規定により本⼈の同意を得ようとする場合には、個⼈
情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本
⼈に参考となるべき情報を当該本⼈に提供しなければならない。
３ ⾏政機関の⻑等は、保有個⼈情報を外国にある第三者（第⼀項に規定する体制を整備している者に限る。）に利⽤⽬的以外の⽬的のために提供した場合には、法令に基づく場合及び第69条第2項第4号に掲げる場合を除くほか、個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。
新第69条2項4号
前三号に掲げる場合のほか、専ら統計の作成⼜は学術研究の⽬的のために保有個⼈情報を提供するとき、本⼈以外の者に提供することが明らかに本⼈の利益になるとき、その他保有個⼈情報を提供することについて特別の理由があるとき。

個⼈情報保護法改正のデータ越境利⽤・移転への影響

40

71条の⾏為規制
本⼈

外国にある
第三者

⾏政機関の⻑等

「同等の⽔準」EU/EEA・UK

当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考とな
るべき情報

本⼈

「必要な措置」に関する情報
本⼈

2022/3/2

外国にある
第三者

71条1項の同意 ⾏政機関の⻑等求め

個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置

⾏政機関の⻑等

個⼈情報保護法改正のデータ越境利⽤・移転への影響

外国にある
第三者
相当措置
事務対応ガイド外国第三者
41
編では①契約等or➁APECCBPR

外国にある第三者への提供制限（個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な体制の基準）
新規則案第46条
法第71条第1項の個⼈情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
⼀ ⾏政機関の⻑等と保有個⼈情報の提供を受ける者との間で、当該提供を受ける者における当該保有個⼈情報の取扱いについて、適切かつ合理的な⽅法により、法第四章第⼆節の規定の趣旨に沿った措置の実施が確保されていること。
⼆ 保有個⼈情報の提供を受ける者が、個⼈情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（外国にある第三者への提供に係る同意取得時の情報提供）
新規則案第47条
第71条第2項の規定により情報を提供する⽅法は、電磁的記録の提供による⽅法、書⾯の交付による⽅法その他の適切な⽅法とする。
２
法第71条第2項の規定による情報の提供は、次に掲げる事項について⾏うものとする。
⼀
当該外国の名称
⼆ 適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報
三当該第三者が講ずる個⼈情報の保護のための措置に関する情報
３
前項の規定にかかわらず、⾏政機関の⻑等は、法第71条第1項の規定により本⼈の同意を得ようとする時点において、前項第1号に定める事項が特定できない場合には、同号及び同項第2号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
⼀
前項第⼀号に定める事項が特定できない旨及びその理由⼆
前項第⼀号に定める事項に代わる本⼈に参考となるべき情報がある場合には、当該情報
４第2項の規定にかかわらず、個⼈情報取扱事業者は、法第71条第1項の規定により本⼈の同意を得ようとする時点において、第2項第3号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
（外国にある第三者による相当措置の継続的な実施を確保するために必要な措置等）
新規則案第48条
法第71条第3項の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
⼀ 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な⽅法により、定期的に確認すること。
⼆ 当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個⼈データ（第⼆⼗六条の⼆第⼆項において読み替えて準⽤する場合にあっては、個⼈関連情報）の当該第三者への提供を停⽌すること。
２
法第71条第3項の規定により情報を提供する⽅法は、電磁的記録の提供による⽅法、書⾯の交付による⽅法その他の適切な⽅法とする。
３
⾏政機関の⻑等は、法第71条第3項の規定による求めを受けたときは、本⼈に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該該⾏
政機関の⻑等の属する⾏政機関等が⾏う事務⼜は事業の適正な遂⾏に⽀障を及ぼすおそれがある場合は、その全部⼜は⼀部を提供しないことができる。
⼀
当該第三者による法第71条第1項に規定する体制の整備の⽅法
⼆
当該第三者が実施する相当措置の概要
三第1項第1号の規定による確認の頻度及び⽅法
四
当該外国の名称五
当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
六
当該第三者による相当措置の実施に関する⽀障の有無及びその概要
七
前号の⽀障に関して第1項第2号の規定により当該個⼈情報取扱事業者が講ずる措置の概要
４
⾏政機関の⻑等は、法第71条第3項の規定による求めに係る情報の全部⼜は⼀部について提供しない旨の決定をしたときは、本⼈に対し、遅滞なく、その旨を通知しなければならない。
５
⾏政貴下の⻑等は、前項の規定により、本⼈から求められた情報の全部⼜は⼀部について提供しない旨を通知する場合には、本⼈に対し、その理由を説明するよう努めなければならない。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

42

2.2

安全管理措置の公表義務の中での越境利⽤

⼤綱第３節 事業者における⾃主的な取組を促す仕組みの在り⽅
１．認定個⼈情報保護団体制度（４）保有個⼈データに関する公表事項の充実

第27条
個⼈情報取扱事業者は、保有個⼈データに関し、次に掲げる事項について、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場
合を含む。）に置かなければならない。
⼀ 当該個⼈情報取扱事業者の⽒名⼜は名称
⼆〜三 （略）
四 前三号に掲げるもののほか、保有個⼈データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２〜３（略）
施⾏令8条（現⾏）法第27条第1項第4号の政令で定めるものは、次に掲げるものとする。
⼀ 当該個⼈情報取扱事業者が⾏う保有個⼈データの取扱いに関する苦情の申出先⼆ 当該個⼈情報取扱事業者が認定個⼈情報保護団体の対象事業者である場合にあっては、当該認定個⼈情報保護団体の名称及び苦情の解決の申出先

新第27条（令和3年改正後32条）
個⼈情報取扱事業者は、保有個⼈データに関し、次に掲げる事項について、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
⼀ 当該個⼈情報取扱事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表
者の⽒名
⼆（略）
三 次項の規定による求め⼜は次条第⼀項（同条第五項において準⽤する場合を含
む。）、第⼆⼗九条第⼀項若しくは第三⼗条第⼀項、第三項若しくは第五項の規定による請求に応じる⼿続（第三⼗三条第⼆項の規定により⼿数料の額を定めたときは、その⼿数料の額を含む。）
四 前三号に掲げるもののほか、保有個⼈データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２〜３（略）

新施⾏令第８条
法第27条第1項第4号の政令で定めるものは、次に掲げる ものとする。
⼀ 法第20条の規定により保有個⼈データの安全管理のために講じた措置（（本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個⼈データの安全管理に⽀障を及ぼすおそれがあるものを除く。）
⼆ 〜 三（略）○ 個⼈情報を保護するための体制整備や適正に取り扱うための取組の内容 については、事業者の取り扱う情報の性質等に応じて、⾃主的に⾏われることが求められるが、こうした取組を促進する観点から、何らかの枠組みが設 けられていることが、事業者及びその経営者の意識を⾼める上で重要である。
○ したがって、個⼈情報取扱事業者による保有個⼈データの本⼈に対する説明の充実を通じて、本⼈の適切な理解と関与を可能としつつ、個⼈情報取
扱事業者の適正な取扱いを促す観点から、個⼈情報の取扱体制や講じている措置の内容、保有個⼈データの処理の⽅法等の本⼈に説明すべき事項を、法に基づく公表事項（政令事項）として追加することとする。
佐脇講演
苦情相談窓⼝等が義務付けられているが，事業者における取扱で，関⼼を持っている事項を，公表させようと，政令で対応可能なので政令で。どんなふうに処理をしているかなど。本来，利⽤⽬的みたいなものは丁寧に書いてあるが，取扱の全体像がわかれば納得ある形で開⽰請求等をしていくのだろう
が，利⽤⽬的がふわっとしている，松⽵梅⾊々あるが，利⽤⽬的では語り尽くせない処理のあり⽅などを情報提供しないと情報提供したことにならないのでは，ということで，法律事項ではなさそうだが，アカウンタビリティの充実を制度化したい。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

⼤綱

43

第155回個⼈情報保護委員会（令和２年10⽉14⽇）
改正法に関連する政令・規則等の整備に向けた論点について（公表事項の充実）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

44

第155回個⼈情報保護委員会（令和２年10⽉14⽇）
改正法に関連する政令・規則等の整備に向けた論点について（公表事項の充実）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

45

第155回個⼈情報保護委員会（令和２年10⽉14⽇）
改正法に関連する政令・規則等の整備に向けた論点について（公表事項の充実）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

46

第155回個⼈情報保護委員会（令和２年10⽉14⽇）
改正法に関連する政令・規則等の整備に向けた論点について（公表事項の充実）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

47

第155回個⼈情報保護委員会（令和２年10⽉14⽇）
改正法に関連する政令・規則等の整備に向けた論点について（公表事項の充実）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

48

第27条（令和3年改正後32条）関係

GL通則編

GL通則編3-8 保有個⼈データに関する事項の公表等、保有個⼈データの開⽰・訂正等・利⽤停⽌等（法第 27 条〜第 34 条関係）
3-8-1 保有個⼈データに関する事項の公表等（法第 27 条関係）
（1）保有個⼈データに関する事項の本⼈への周知（法第27 条第1 項関係）
個⼈情報取扱事業者は、保有個⼈データについて、次の①から⑤までの情報を本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。以下同じ。）（※1）に置かなければならない。
①個⼈情報取扱事業者の⽒名⼜は名称及び住所（※2）並びに法⼈にあっては、その代表者の⽒名②〜③（略）④保有個⼈データの安全管理のために講じた措置（ただし、本⼈の知り得る状態に置くことにより当該保有個⼈データの安全管理に⽀障を及ぼすおそれがあるものを除く。）
個⼈情報取扱事業者は、法第 20 条の規定により保有個⼈データの安全管理のために講じた措置の内容を本⼈の知り得る状態に置かなければならない。
ただし、当該保有個⼈データの安全管理に⽀障を及ぼすおそれがあるものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個⼈データの取扱状況（取り扱う保有個⼈データの性質及び量を含む。）、保有個⼈データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個⼈情報取扱事業者によって異なり、本⼈の知り得る状態に置く安全管理のために講じた措置の内容についても個⼈情報取扱事業者によって異なる。
なお、本⼈の知り得る状態については、本⼈の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や⼀部をホームページに掲載し、残りを本⼈の求めに応じて遅滞なく回答を⾏うといった対応も可能であるが、例えば、「個⼈情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
⇒「・個⼈情報取扱事業者は、法第 27 条第１項各号に掲げる事項について、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）に置く必要があります。「本⼈の知り得る状態」とは、本⼈が知ろうとすれば知ることができる状態に置くことをいい、事業の性質及び個⼈情報の取扱状況に応じ、内容が本⼈に認識される合理的かつ適切な⽅法によらなければなりません。
・したがって、⼀般的に、本⼈が認識できる形であれば、必ずしも⼀つのウェブページにて法第 27 条第１項各号所定の事項を全て掲載する必要はなく、複数のウェブページに分けてこれを掲載するといった対応も可能と考えられます。」（パブコメ回答概要34）⇒「・法第 21 条は、安全管理措置として、特に従業者の監督について規定したもの、法第 22 条は、安全管理措置として、特に委託先の監督について規定したものです。
・したがって、法第 21 条及び法第 22 条の規定により講じた措置についても、法第 20 条の規定により保有個⼈データの安全管理のために講じた措置として、本⼈の知り得る状態に置かなければなりません。」（パブコメ回答概要35）⇒「・個別の事案ごとに判断することとなりますが、⼀般に、外国にある⽀店や委託先に個⼈データを取り扱わせる場合には、外国において個⼈データを取り扱うこととなるため、当該外国の名称とともに保有個
⼈データの安全管理のために講じた措置について、本⼈の知り得る状態に置く必要があります。
・また、⼀般に、外国にある⽀店や委託先に個⼈データを取り扱わせる場合、その取扱いの対象となるデータが⽇本にあるサーバに保存されていたとしても、外国において個⼈データを取り扱うことに変わりはな
いため、当該外国の名称とともに保有個⼈データの安全管理のために講じた措置について、本⼈の知り得る状態に置く必要があります。」（パブコメ回答概要36）⇒「・⼀般に、事業者は、外部事業者の運営するサーバに個⼈データを保存する場合において、これが法第 23 条の「提供」に該当しない場合には、⾃ら果たすべき安全管理の⼀環として、適切な安全管理措置を講じる必要があります。
・この場合に、Ａ国にある第三者が運営する、Ｂ国にあるサーバに個⼈データを保存する場合、Ａ国（サーバの運営事業者が所在する国）における制度等及びＢ国（サーバが所在する国）における制度等のそれぞれが個⼈データの取扱いに影響を及ぼし得るため、事業者は、これらを把握した上で安全管理措置を講じる必要があり、また、法第 27 条第１項第４号・改正後の施⾏令第８条第１項により、Ａ国及びＢ国の名称を明らかにした上で、保有個⼈データの安全管理のために講じた措置を本⼈の知り得る状態に置く必要があります。
・ガイドラインやＱ＆Ａにおける解説や事例の追加等については、今後とも引き続き検討してまいります。」（パブコメ回答概要37）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

49

第27条（令和3年改正後32条）関係

GL通則編

GL通則編3-8 保有個⼈データに関する事項の公表等、保有個⼈データの開⽰・訂正等・利⽤停⽌等（法第 27 条〜第 34 条関係）（続）3-8-1 保有個⼈データに関する事項の公表等（法第 27 条関係）
（1）保有個⼈データに関する事項の本⼈への周知（法第27 条第1 項関係）
【安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】（※7）（基本⽅針の策定）
事例）個⼈データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓⼝」等についての基本⽅針を策定（個⼈データの取扱いに係る規律の整備）事例）取得、利⽤、保存、提供、削除・廃棄等の段階ごとに、取扱⽅法、責任者・担当者及びその任務等について個⼈データの取扱規程を策定（組織的安全管理措置）
事例1）個⼈データの取扱いに関する責任者を設置するとともに、個⼈データを取り扱う従業者及び当該従業者が取り扱う個⼈データの範囲を明確化し、法や取扱規程に違反している事実⼜は兆候を把握した場合の責任者への報告連絡体制を整備
事例2）個⼈データの取扱状況について、定期的に⾃⼰点検を実施するとともに、他部署や外部の者による監査を実施（⼈的安全管理措置）
事例1）個⼈データの取扱いに関する留意事項について、従業者に定期的な研修を実施
事例2）個⼈データについての秘密保持に関する事項を就業規則に記載（物理的安全管理措置）
事例1）個⼈データを取り扱う区域において、従業者の⼊退室管理及び持ち込む機器等の制限を⾏うとともに、権限を有しない者による個⼈データの閲覧を防⽌する措置を実施
事例2）個⼈データを取り扱う機器、電⼦媒体及び書類等の盗難⼜は紛失等を防⽌するための措置を講じるとともに、事業所内の移動を含め、当該機器、電⼦媒体等を持ち運ぶ場合、容易に個
⼈データが判明しないよう措置を実施（技術的安全管理措置）
事例1）アクセス制御を実施して、担当者及び取り扱う個⼈情報データベース等の範囲を限定
事例2）個⼈データを取り扱う情報システムを外部からの不正アクセス⼜は不正ソフトウェアから保護する仕組みを導⼊（外的環境の把握）
事例）個⼈データを保管している A 国における個⼈情報の保護に関する制度を把握した上で安全管理措置を実施（※8）
【本⼈の知り得る状態に置くことにより⽀障を及ぼすおそれがあるものの事例】（※9）
事例1）個⼈データが記録された機器等の廃棄⽅法、盗難防⽌のための管理⽅法
事例 2）個⼈データ管理区域の⼊退室管理⽅法
事例 3）アクセス制御の範囲、アクセス者の認証⼿法等事例 4）不正アクセス防⽌措置の内容等

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

50

第27条（令和3年改正後32条）関係

GL通則編

GL通則編3-8 保有個⼈データに関する事項の公表等、保有個⼈データの開⽰・訂正等・利⽤停⽌等（法第 27 条〜第 34 条関係）（続）3-8-1 保有個⼈データに関する事項の公表等（法第 27 条関係）
（1）保有個⼈データに関する事項の本⼈への周知（法第27 条第1 項関係）
【中⼩規模事業者（※10）における安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】（※11）（基本⽅針の策定）
事例）個⼈データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓⼝」等についての基本⽅針を策定（【安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】と同様）（個⼈データの取扱いに係る規律の整備）
事例）個⼈データの取得、利⽤、保存等を⾏う場合の基本的な取扱⽅法を整備（組織的安全管理措置）
事例1）整備した取扱⽅法に従って個⼈データが取り扱われていることを責任者が確認
事例 2）従業者から責任者に対する報告連絡体制を整備（⼈的安全管理措置）
事例1）個⼈データの取扱いに関する留意事項について、従業者に定期的な研修を実施（【安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】と同様）
事例 2）個⼈データについての秘密保持に関する事項を就業規則に記載（【安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】と同様）（物理的安全管理措置）
事例1）個⼈データを取り扱うことのできる従業者及び本⼈以外が容易に個⼈データを閲覧できないような措置を実施
事例2）個⼈データを取り扱う機器、電⼦媒体及び書類等の盗難⼜は紛失等を防⽌するための措置を講じるとともに、事業所内の移動を含め、当該機器、電⼦媒体等を持ち運ぶ場合、容易に個
⼈データが判明しないよう措置を実施（【安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】と同様）（技術的安全管理措置）
事例1）個⼈データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個⼈データへの不要なアクセスを防⽌
事例2）個⼈データを取り扱う機器を外部からの不正アクセス⼜は不正ソフトウェアから保護する仕組みを導⼊（外的環境の把握）
事例）個⼈データを保管している A 国における個⼈情報の保護に関する制度を把握した上で安全管理措置を実施（【安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】と同様）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

51

第27条（令和3年改正後32条）関係

GL通則編

GL通則編3-8 保有個⼈データに関する事項の公表等、保有個⼈データの開⽰・訂正等・利⽤停⽌等（法第 27 条〜第 34 条関係）（続）3-8-1 保有個⼈データに関する事項の公表等（法第 27 条関係）
（1）保有個⼈データに関する事項の本⼈への周知（法第27 条第1 項関係）（※2）個⼈情報取扱事業者が外国に所在する場合は、当該外国（本邦の域外にある国⼜は地域）の名称を含む。
（※7）法第 27 条第 1 項第 4 号及び政令第 8 条第 1 号の規定により本⼈の知り得る状態に置く必要があるのは保有個⼈データの安全管理のために講じた措置であるが、これに代えて、個⼈
データの安全管理のために講じた措置について本⼈の知り得る状態に置くことは妨げられない。なお、本ガイドラインでは、個⼈データの安全管理のために講じた措置についての事例を記載している。
安全管理措置の事例について、詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本⼈の知り得る状態に置かなければならないわけではなく、また、本⼈の知り得る状態に置かなければならないものは事例の内容に限られない。本⼈の適切な理解と関与を促す観点から、事業の規模及び性質、保有個⼈デー
タの取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。
（※8）外国（本邦の域外にある国⼜は地域）の名称については、必ずしも正式名称を求めるものではないが、本⼈が合理的に認識できると考えられる形で情報提供を⾏う必要がある。また、本⼈の適切な理解と関与を促す観点から、保有個⼈データを取り扱っている外国の制度についても、本⼈の知り得る状態に置くといった対応が望ましい。
（※9）例えば、【安全管理のために講じた措置として本⼈の知り得る状態に置く内容の事例】にあるような、「盗難⼜は紛失等を防⽌するための措置を講じる」、「外部からの不正アクセス
⼜は不正ソフトウェアから保護する仕組みを導⼊」といった内容のみでは、本⼈の知り得る状態に置くことにより保有個⼈データの安全管理に⽀障を及ぼすおそれがあるとはいえないが、その具体的な⽅法や内容については、本⼈の知り得る状態に置くことにより保有個⼈データの安全管理に⽀障を及ぼすおそれがあると考えられる。しかしながら、何をもって安全管理に⽀障を及ぼすおそれがあるかについては、取り扱われる個⼈情報の内容、個⼈情報の取扱いの態様等によって様々であり、事業の規模
及び性質、保有個⼈データの取扱状況等に応じて判断される。
（※10）「中⼩規模事業者」については、「7（別添）講ずべき安全管理措置の内容」を参照のこと。
（※11）中⼩規模事業者における安全管理措置の事例についても、詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。その他の個⼈情報取扱事業者と同様に、上記事例も含め、掲げられている事例の内容の全てを本⼈の知り得る状態に置かなければならないわけではなく、また、本⼈の知り得る状態に置かなければならないものは事例の内容に限られない。また、中⼩規模事業者が、その他の個⼈情報取扱事業者と同様に「7（別添）講ずべき安全管理措置の内容」に掲げる「⼿法の例⽰」に記述した⼿法を採⽤し、当該⼿法の内容を本⼈の知り得る状態に置くことは、より望ましい対応である。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

52

第15条（令和3年改正後17条）関係

GL通則編3-1 個⼈情報の利⽤⽬的（法第 15 条・第 16 条、第 18 条第 3 項関係）
3-1-1 利⽤⽬的の特定（法第 15 条第 1 項関係）[【具体的に利⽤⽬的を特定している事例】・【具体的に利⽤⽬的を特定していない事例】

GL通則編

略]

（※1）「利⽤⽬的の特定」の趣旨は、個⼈情報を取り扱う者が、個⼈情報がどのような事業の⽤に供され、どのような⽬的で利⽤されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個⼈情報が取り扱われる範囲を確定するとともに、本⼈の予測を可能とすることである。
本⼈が、⾃らの個⼈情報がどのように取り扱われることとなるか、利⽤⽬的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利⽤⽬的を特定したことにはならない。
例えば、本⼈から得た情報から、本⼈に関する⾏動・関⼼等の情報を分析する場合、個⼈情報取扱事業者は、どのような取扱いが⾏われているかを本⼈が予測・想定できる程度に利⽤⽬的を特定しなければならない。
【本⼈から得た情報から、⾏動・関⼼等の情報を分析する場合に具体的に利⽤⽬的を特定している事例】
事例1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利⽤いたします。」
事例2）「取得した⾏動履歴等の情報を分析し、信⽤スコアを算出した上で、当該スコアを第三者へ提供いたします。」⇒「・個別の事案ごとに判断することとなりますが、⼀般に、個⼈情報の取扱内容等に変更がない中で、本⼈が⼀般的かつ合理的に予測・想定できる程度に利⽤⽬的を特定し直した場合、利⽤⽬的の変更には該当しません。
・なお、特定し直した利⽤⽬的については、法第 27 条第１項の規定に基づいて、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）に置かなければなりません。」（パブコメ回答概要32）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

53外的環境の公表義務

本⼈

個⼈情報
取扱事業者

委託 or
PaaS等

本⼈

個⼈情報
取扱事業者

個⼈情報取扱事業者（外国にある
第三者でない）

委託

本⼈

個⼈情報
取扱事業者

外国にある
第三者

委託

本⼈

個⼈情報
取扱事業者

外国にある
第三者

本⼈

個⼈情報
取扱事業者

外国にある第三者
Or 個⼈情報取扱事業者

個⼈情報保護法改正のデータ越境利⽤・移転への影響
2022/3/2①サーバが所在する国を特定できない旨及びその理由②本⼈に参考となるべき情報
Or
候補の国

54

2.3

⼗分性認定への影響• ①原則としての，⼗分性の判定に基づく移転（GDPR45条）• ②⼗分性の判定がなされていない場合の，適切な安全性確保措置を施した移転（GDPR46条）• ③⼗分性の判定がなされておらず，適切な安全性確保措置も認められない場合の，特別の状況における特則（GDPR49条）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

55

越境移転規制
⽇本
管理者

管理者

欧州

⽇本

⽇本

処理者

管理者

欧州

管理者

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

欧州

処理者

56

⼗分性認定• ⼗分性認定とは，欧州⼀般データ保護規則（GDPR）において，個⼈データの欧州（EU加盟国及びEEA3カ国）からの移転が原則禁⽌されているところ，⼗分なデータ保護の制度を備えている国⼜は地域として認定されることで，移転が可能となる制度である（ただし，GDPRは個⼈データの処理も原則禁⽌しており，処理の適法化事由が不要となるわけではないことに注意が必要である）。具体的には，
GDPR第44条及び45条がこれを定める）。
• ⼗分性判定がなされたのは，• アンドラ，アルゼンチン，カナダ（⺠間部⾨），フェロー諸島，ガーンジー
島，イスラエル，マン島，ジャージー島，ニュージーランド，スイス，ウルグアイ（7カ国4地域），⽇本，英国（LED⼗分性も），韓国• EU-USプライバシーシールドスキーム

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

57

⽇本の⼗分性認定
Commission Implementing Decision (EU) 2019/419 of 23 January 2019 pursuant toRegulation (EU) 2016/679 of the European Parliament and of the Council on theadequate protection of personal data by Japan under the Act on the Protection of
Personal Information (Text with EEA relevance) C/2019/304/

管理者・処理者

欧州

⽇本

管理者・処理者（個⼈情報保護法の範囲内）
⽇本法＋補完的ルールを遵守

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

58

⽇EU間の相互の円滑な個⼈データ移転を図る枠組み発効（2019年1⽉23⽇）• ⽇EU間の相互の円滑な個⼈データ移転を図る枠組みが、平成
31年１⽉23⽇に発効しました。
• 本枠組みの構築に関しては、⽇EU双⽅の経済界の要望等も受け
個⼈情報保護委員会と欧州委員会との間で交渉を重ね、平成30
年７⽉、個⼈情報保護委員会が個⼈情報保護法第24条に基づく指定をEUに対して⾏い、欧州委員会がGDPR第45条に基づく⼗分性認定を我が国に対して⾏う⽅針について合意に⾄りました。
この合意を踏まえて、我が国においては、第85回個⼈情報保護委員会において、上記のEU指定を１⽉23⽇付けにて⾏うことを決定しました（※）。また、欧州委員会においても、上記の我が国の⼗分性認定を同23⽇付けにて⾏うことを決定しました。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

59熊澤春陽個⼈情報保護委員会委員、ベラ・ヨウロバー欧州委員会委員（司法・消費者・男⼥平等担当）による共同プレス・ステートメント（2019 年
1 ⽉ 23 ⽇ ）• 熊澤春陽委員とベラ・ヨウロバー委員は、本⽇、個⼈情報保護委員会と欧州委員会による、お互いの個⼈データの保護レベルが同等だとする決定の採択を歓迎する。
• 相互に⼗分性を⾒出すことを通じて、データが安全に流通する世界最⼤の地域が創出される。これは、特に包括的なプライバシーの法律、中核となる⼀連の個⼈の権利の核⼼、及び独⽴したデータ保護機関による執⾏に⽀えられる、両国の制度の⾼いレベルの類似性に基づくものである。データ・プライバシー及びセキュリティが消費者の信頼の中⼼的要素となった今、このような強い法律と確固たる執⾏に基づく類似性こそが、ますます増⼤するデータ駆動型経済の持続可能性を確保し、通商の流れを促進することができる。
• ⽇ EU の市⺠は、個⼈データの移転における強固な保護を享受する⼀⽅、⽇ EU の全ての企業は、お互いの経済圏への⾃由なデータ移転による便益を享受する。このように、本⽇の決定は、⽇ EU 経済連携協定から得られる利益を補完し拡⼤することとなり、⽇EU 間の戦略的なパートナーシップにも寄与する。
• 相互に⼗分性を⾒出すことによって、⽇ EU は、プライバシーに関する価値観の共有及び⾼いレベルの個⼈データの保護に基づく世界標準の形成に向けた協⼒の強化へのコ
ミットメントを再確認する。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

60

⼗分性認定のポイント• あくまで個⼈情報保護法の対象範囲に限ったものである。
• ①個⼈情報保護法部分の評価，②刑事的なアクセスについての評価，③安全保障⽬的でのアクセスについての評価，からなる。単に個⼈情報保護法だけで維持できるものではない（例えば，②には捜査事項照会制度についての評価も含まれる）• EDPB，欧州議会がそれぞれコメントを発している。EDPBは2
年毎のレビューを主張。その他重⼤な指摘が多々。
• セーフハーバー（SchremsI），プライバシーシールド（SchremsII）が無効となったように，欧州司法裁判所における司法審査の対象となり得る。不適切な運⽤が続けば無効となる可能性も否定できない。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

61

⼗分性認定リサイタル10項• ”The two latter acts (amended in 2016) contain provisions
applicable to the protection of personal information by public
sector entities. Data processing falling within the scope of
application of those acts is not the object of the adequacy
finding contained in this Decision, which is limited to theprotection of personal information by "Personal Information
Handling Business Operators" (PIHBOs) within the meaningof the APPI.
• ⾏政機関個⼈情報保護法，独⽴⾏政法⼈等個⼈情報保護法は⼗分性認定の適⽤範囲ではなく，個⼈情報保護法上の個⼈情報取
扱事業者における個⼈情報の保護に限定される
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

62

EDPB意⾒46項• ”The adequacy finding of this draft adequacy decision is limited tothe protection of personal information by PIHBOs within themeaning of the APPL This means that the adequacy is sectorial
as it only applies to the private sector, excluding from its scopetransfers of personal data between public authorities and bodies.
Currently, the European Commission briefly mentions thisspecificity of the scope of the adequacy in recital 10 of the draft
adequacy decision.”• 本⼗分性認定案の⼗分である，という結論は個⼈情報保護法における個⼈情報取扱事業者による個⼈情報の保護に限られている．これは，公的機関及び組織間の個⼈データの移転は適⽤範囲から除かれ，
⼗分性が⺠間分野にのみ適⽤される，分野的なものであることを意味している．現在のところ，欧州委員会は⼗分性の適⽤範囲のこの特異性について⼗分性認定案のリサイタル10で簡単に触れている
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

63

同47項
• ”The EDPB invites the European Commission to explicitly
mention the sectorial nature of this adequacy finding in thetitle of the implementing decision as well as in its Article 1 inaccordance with Article 45 (3) GDPR.”• EDPBは欧州委員会に対し，GDPR45条3項に従って，その第1条と同様，実施決定のタイトルで，この⼗分性認定の分野別の性質について明⽰的に述べるよう求める。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

64

⼗分性認定の題名には”under the Act on the Protection of Personal Information”（個⼈情報保護法の適⽤範囲）が明記され，⽇本の⼗分性認定は分野別の認定である（「特定の部⾨」，
GDPR45条1項及び3項）ことが明らかとなった• ⽇本語の⽂書ではあまり触れられていないので，注意が必要• 理論的帰結• ⼗分性認定やEDPB意⾒から明らかなように，公的機関の保有する個⼈情報については⼗分性認定が得られていない• 個⼈情報保護法上の適⽤除外に該当する場合にはやはり⼗分性認定の埒外であるということ• 具体例• 個⼈情報保護法76条1項柱書• 「個⼈情報取扱事業者等のうち次の各号に掲げる者については，その個⼈情報等を取り扱う⽬的の全部⼜は⼀部がそれぞれ当該各号に規定する⽬的であるときは，第四章の規定は，適⽤しない．」• 3号• 「⼤学その他の学術研究を⽬的とする機関若しくは団体⼜はそれらに属する者」• 「学術研究の⽤に供する⽬的」• 学術研究機関（私⽴⼤学等）が個⼈情報を学術研究の⽤に供する場合，個⼈情報保護法上の，個⼈
情報取扱事業者の義務規定が適⽤されないことと表裏⼀体として，⼗分性認定の対象にならない• これらの事実から，⼤学（国⽴⼤学法⼈であるにせよ，私⽴⼤学であるにせよ，公⽴⼤学であるにせよ）が欧州の研究機関と共同研究する場合，欧州からの移転に際して，⼗分性認定に頼ることはできないということ

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

65

第1回 地⽅公共団体の個⼈情報保護制度に関する懇談会（令和元年12⽉2⽇）
資料3 個⼈情報保護法を巡る動向について

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

66

第1回 地⽅公共団体の個⼈情報保護制度に関する懇談会（令和元年12⽉2⽇）
資料3 個⼈情報保護法を巡る動向について

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

672022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

68

欧⽶間の⼗分性認定• データが最も⾏き来しているであろう⽶国との間はどうなっているのか．⽶国には，包括的な連邦レベルでのデータ保護法も，公的機関を含む監視監督を⾏うデータ保護機関も存在していないため，欧⽶で合意したデータ保護の枠組みに従うこととした個別の企業が，⽶国商務省に登録し，これに違反した場合には，不公正・欺瞞的な⾏為⼜は慣⾏に該当するとして，⽶国連邦取引委員会が連邦取引委
員会法5条を⽤いて執⾏を⾏う．
• この，「欧⽶で合意したデータ保護の枠組み」が，欧⽶プライバ
シーシールドであり，欧州側の⼿続としては，⼗分性について決定が下されている。

• Commission Implementing Decision (EU) 2016/1250 of 12 July 2016
pursuant to Directive 95/46/EC of the European Parliament and of theCouncil on the adequacy of the protection provided by the EU-U.S. Privacy
Shield (notified under document C(2016) 4176) (Text with EEA relevance)
C/2016/4176．

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

69

欧⽶プライバシーシールドの⼗分性認定
Commission Implementing Decision (EU) 2016/1250 of 12 July 2016 pursuant to
Directive 95/46/EC of the European Parliament and of the Council on theadequacy of the protection provided by the EU-U.S. Privacy Shield (notified underdocument C(2016) 4176) (Text with EEA relevance) C/2016/4176

管理者・処理者

欧州2022/3/2

⽶国

⽶国商務省に登録した管理者・処理者
登録（有料）

監視・監督

⽶国商務省
（DOC）

⽶国
連邦取引委員会（FTC）

個⼈情報保護法改正のデータ越境利⽤・移転への影響

702022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

712022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

72

第45 条 ⼗分性決定に基づく移転
Article 45 Transfers on the basisof an adequacy decision• 1. 第三国⼜は国際機関への個⼈データの移転は、当該第三国、第三国域内の領域若しくは⼀つ若しくは複数の特定された部⾨、⼜は国際機関が保護に関して⼗分なレベルを保証していると欧州委員会が決定した場合に⾏うことができる。この移転は、いかなる個別的許可も要しない。
• 1. A transfer of personal data to a third country or aninternational organisation may take place where theCommission has decided that the third country, a territory or
one or more specified sectors within that third country, or theinternational organisation in question ensures an adequatelevel of protection. Such a transfer shall not require any
specific authorisation.
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響73• 2. 保護レベルの⼗分性を評価するとき、欧州委員会は、次に掲げる要素を特に考慮しなくてはならない。
• 2. When assessing the adequacy of the level of protection, the Commission shall, inparticular, take account of the following elements:• (a) 法の⽀配、⼈権及び基本的⾃由の尊重、公安、国防、国家の安全及び刑事法並びに個⼈データへの公的機関のアクセスに関するものを含む⼀般的な⼜は分野別の関連法令及びその履⾏。第三国⼜は国際機関への個⼈データの再移転に関連し、当該第三国⼜は国際組織によって遵守される規定及び判例法並びに効果的かつ執⾏⼒のあるデータ主体の権利を含むデータ保護規定、専⾨的規定及び安全対策。個⼈データが移転されるデータ主体のための効果的な⾏政上及び司法上の是正措置。
• (a) the rule of law, respect for human rights and fundamental freedoms, relevant
legislation, both general and sectoral, including concerning public security, defence,national security and criminal law and the access of public authorities to personaldata, as well as the implementation of such legislation, data protection rules,
professional rules and security measures, including rules for the onward transfer of
personal data to another third country or international organisation which arecomplied with in that country or international organisation, case-law, as well as
effective and enforceable data subject rights and effective administrative andjudicial redress for the data subjects whose personal data are being transferred;

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響74• (b) データ保護規定遵守の保障及び執⾏並びに適切な執⾏権限に対する責任、データ主体
が権利を⾏使する際にこれを⽀援する⼜はこれに対し助⾔する責任、及び、加盟国の監督機関と協働する責任を有する第三国における⼀つ⼜は複数の独⽴した監督機関、⼜は国際機関が従うべき監督機関の存在及び実効的権限⾏使。
• (b) the existence and effective functioning of one or more independent supervisory
authorities in the third country or to which an international organisation is subject,with responsibility for ensuring and enforcing compliance with the data protection
rules, including adequate enforcement powers, for assisting and advising the data
subjects in exercising their rights and for cooperation with the supervisory authoritiesof the Member States; and• (c) 当該第三国若しくは国際組織が加⼊している国際的取決め。特に個⼈データ保護に関する法的拘束⼒のある慣⾏若しくは法律⽂書から⼜は、多国間⼜は地域における制度への参加から⽣じるその他義務。
• (c) the international commitments the third country or international organisation
concerned has entered into, or other obligations arising from legally binding
conventions or instruments as well as from its participation in multilateral or regional
systems, in particular in relation to the protection of personal data.
• 3.-9.（略）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

75

個⼈データへの公的機関のアクセス

NSA
CIA
管理者・処理者

欧州2022/3/2

⽶国
アクセス

⽶国商務省に登録した管理者・処理者
登録（有料）

監視・監督

⽶国商務省
（DOC）

⽶国
連邦取引委員会（FTC）

個⼈情報保護法改正のデータ越境利⽤・移転への影響

76Maximillian Schrems v Data Protection
Commissioner(C-362/14)(interpretation of Directive Art.25-26)• …in the light of Articles 7, 8 and 47 of the Charter ofFundamental Rights of the European Union• …the term ʻadequate level of protectionʼ must be
understood as requiring the third country in fact to ensure, by
reason of its domestic law or its international commitments,
a level of protection of fundamental rights and freedoms
that is essentially equivalent to that guaranteed within
the European Union by virtue of Directive 95/46 read in
the light of the Charter.
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

77

The Charter of Fundamental Rightsof the European Union• Article 7• Respect for private and family life
• Everyone has the right to respect for his or her private and family life,
home and communications.

• Article 8• Protection of personal data
• 1. Everyone has the right to the protection of personal data concerning
him or her.
• 2. Such data must be processed fairly for specified purposes and on thebasis of the consent of theperson concerned or some other legitimate basis
laid down by law. Everyone has the right of access to data which has
been collected concerning him or her, and the right to have it rectified.
• 3. Compliance with these rules shall be subject to control by anindependent authori
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

78Data Protection Commissioner v Facebook Ireland Ltd, Maximillian
Schrems(Case C-311/18), SchremsII決定• SchremsII決定では，”Commission Implementing Decision (EU)2016/1250 of 12 July 2016 pursuant to Directive 95/46/EC of theEuropean Parliament and of the Council on the adequacy of theprotection provided by the EU-US Privacy Shield is invalid.”，つまり，欧⽶プライバシーシールドについての⼗分性決定が無効とされた．
• その主たる理由は，移転先である⽶国におけるパブリック・アクセス，就中，⽶国が安全保障のために執⾏している諜報法分野における措置が，欧州連合基本権憲章が求める権利の保障のレベルに達していないということにある．
• 特に問題である点として，• ①⽶国の諜報法体系の下で，⾮⽶国⼈である（欧州市⺠を含む）データ主体が，⽶国当局に対して訴訟可能な権利を与えられていないこと，• ②⽶国の諜報機関を拘束するための権限を有するはずのオンブズパーソンの独⽴性が確保されていないこと

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

79⽇本側の対応（「追加的ルール」の制定
及びその内容）2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

80

「補完的ルール」の制定と基本⽅針の⼀部変更• 「個⼈情報の保護に関する法律に係るＥＵ域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」（現・「個⼈情報の保護に関する法律に係るＥＵ及び英国域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」）•「個⼈情報保護委員会は、⽇ＥＵ間で相互の円滑な個⼈データ移転を図るため、法第 24 条に基づき、個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国としてＥＵを指定し、これにあわせて、
欧州委員会は、ＧＤＰＲ第 45 条に基づき、⽇本が個⼈データについて⼗分な保護⽔準を確保していると決定した」• 個⼈情報の保護に関する基本⽅針（平成30年6⽉12⽇⼀部変更）• 2(2)② 個⼈データの円滑な国際的流通の確保のための取組•

個⼈情報保護委員会は、個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している国との間で、相互に円滑な個⼈データの移転を図るために、国際的に整合のとれた個⼈情報に係る制度を促進する⽅法としての枠組みを構築するための措置を講ずることとする。

•

個⼈情報保護委員会は、個⼈情報保護法を所管する機関として、外国から移転される個⼈情報の適正な取扱いを確保する観点から、
法第６条に基づき、⽇本と当該外国との間の制度及び運⽤の差異を埋めるために必要な措置を講ずる権限を有している。個⼈情報保護委員会は、必要に応じ、法及び政令で規定された規律（例えば、要配慮個⼈情報や保有個⼈データの定義に係る規律等）を補完し上回る、拘束⼒のある規律、すなわち、国内の個⼈情報取扱事業者に対して執⾏可能な、より厳格な規律を設けることを含め、⼀層の個⼈情報の保護を⾏う権限を有している。
また、個⼈情報保護委員会は、当該外国当局との執⾏協⼒及び法制度の理解に関する対話を⾏うこととする。

•

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

81

「個⼈情報の保護に関する法律に係るＥＵ域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」• 個⼈情報保護委員会は、⽇ＥＵ間の個⼈データの移転について、相互の円滑な移転を図る枠組みの構築を視野に、欧州委員会との間で累次の対話を重ねてきている。
• 昨年（2017年） 12 ⽉ 14 ⽇には、当委員会委員と欧州委員会委員との間で会談を⾏い、双⽅の制度間の関連する相違点に対処するための、法令改正を⾏わない形での解決策について確認するとともに、今後、その詳細について作業すること、また、本年前半に、最終合意することを想定し、委員レベルで会談をもつことで⼀致した。
• この解決策として、本年（2018年）２⽉ 14 ⽇に、「個⼈情報の保護に関する法律についてのルール（ＥＵ域内から⼗分性認定により移転を受けた個⼈データの取扱い編）（案）」について、当委員会で審議を⾏った。
• 当該ルールは、各国政府との協⼒の実施等に関する個⼈情報保護法上の規定等（個⼈情報保護法第４条、第６条、第８条、第 24 条、第 60 条及び第 78 条、並びに本年５⽉９⽇に公布・施⾏予定の改正後の個⼈情報保護法施⾏規則第 11 条）に基づき、欧州委員会から⽇本への⼗分性が認められた際、ＥＵ域内から⼗分性認定により移転を受ける個⼈
データの取扱いに関して最低限遵守すべき規律を⽰すものである。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

82

ルールの位置付け• 個⼈情報保護委員会は、⽇ＥＵ間で相互の円滑な個⼈データ移転を図るため、法第 24 条に基づき、個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国としてＥＵを指定し、これにあわせて、欧州委員会は、ＧＤＰＲ第 45 条に基づき、⽇本が個⼈データについて⼗分な保護⽔準を確保していると決定した。
• これにより、⽇ＥＵ間で、個⼈の権利利益を⾼い⽔準で保護した上で相互の円滑な個⼈データ移転が図られることとなる。⽇ＥＵ双⽅の制度は極めて類似しているものの、いくつかの関連する相違点が存在するという事実に照らして、個⼈情報の保護に関する基本⽅針を踏まえ、ＥＵ域内から⼗分性認定により移転を受けた個⼈情報について⾼い⽔準の保護を確保する
ために、個⼈情報取扱事業者によるＥＵ域内から⼗分性認定により移転を受けた個⼈情報の適切な取扱い及び適切かつ有効な義務の履⾏を確保する観点から、各国政府との協⼒の実施等に関する法の規定（※１）に基づき
個⼈情報保護委員会は補完的ルール（以下「本ルール」という。）を策定した。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

83• 特に法第６条は、個⼈情報に関する⼀層の保護を図り国際的に整合のとれた個⼈情報に係る制度を構築する観点から、法令で定める内容を補完し上回る、より厳格な規律を設けられるよう必要な法制上の措置その他の措置を講ずる権限を規定している。したがって、個⼈情報保護委員会は、個⼈情報保護法を所管する機関として、法第６条に従い、法第２条第３項に定める要配慮個⼈情報及び法第２条第７項に定める保有個⼈データ（保有期間に関する定めを含む）に関する定義を含め、ＥＵ域内から⼗分性認定により移転を受けた個⼈デー
タの取扱いについて、個⼈の権利利益のより⾼い⽔準の保護を規定した補完的ルールを策定することにより、より厳しい規律を策定する権限を有している。
• これに基づき、本ルールは、ＥＵ域内から⼗分性認定により移転される個⼈データを受領する個⼈情報取扱事業者を拘束し、個⼈情報取扱事業者はこれを遵守する必要がある。本
ルールは法的拘束⼒を有する規律であり、本ルールに基づく権利及び義務は、本ルールがより厳格でより詳細な規律により補完する法の規定と同様に個⼈情報保護委員会の執⾏対象となる。本ルールに定める権利及び義務に対する侵害があった場合は、本ルールがより厳格でより詳細な規律により補完する法の規定と同様に、本⼈は裁判所からも救済を得ることができる。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

84• 個⼈情報保護委員会による執⾏に関しては、個⼈情報取扱事業者が本ルールに定める⼀つ以上の義務を遵守しない場合、
個⼈情報保護委員会は法第 42 条に基づく措置を講ずる権限を有する。⼀般的に、ＥＵ域内から⼗分性認定により移転を受けた個⼈情報について、法第 42 条第１項の規定による勧告を受けた個⼈情報取扱事業者が正当な理由（※２）がなくその勧告に係る措置をとらなかった場合は、法第 42 条第２項に定める「個⼈の権利利益の重⼤な侵害が切迫している」と認められる。
• （※１）法第４条、第６条、第８条、第 24 条、第 60 条及び第 78 条、並びに規則第 11 条
• （※２）正当な理由とは、個⼈情報取扱事業者にとって合理的に予測できない不可抗⼒のできごと（たとえば⾃然災害）による場合や、個⼈情報取扱事業者が違反を完全に是正する
代替的措置をとったことにより法第 42 条第１項に基づく個⼈情報保護委員会による勧告に係る措置を講じる必要性が失われた場合が考えられる。
• ※「ＥＵ」 欧州連合加盟国及び欧州経済領域（EEA:
European Economic Area）協定に基づきアイスランド、リヒテンシュタイン及びノルウェーを含む、欧州連合（European Union）
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

85

個⼈情報保護法6条• 政府は、個⼈情報の性質及び利⽤⽅法に鑑み、個⼈の権利利益の⼀層の保護を図るため特にその適正な取扱いの厳格な実施を確保する必要がある個⼈情報について、保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置を講ずるとともに、国際機関その他の国際的な枠組みへの協⼒を通じて、各国政府と共同して国際的に整合のとれた個⼈情報に係る制度を構築するために必要な措置を講ずるものとする。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

86

ルールの内容• (1) 要配慮個⼈情報（法第２条第３項関係）• (2) 保有個⼈データ（法第 2 条第 7 項関係）
• (3) 利⽤⽬的の特定、利⽤⽬的による制限（法第 15 条第 1項・法第 16 条第 1 項・法第 26条第 1 項・第 3 項関係）
• (4) 外国にある第三者への提供の制限（法第 24 条・規則第 11条の 2 関係）• (5) 匿名加⼯情報（法第 2 条第 9 項・法第 36 条第 1 項第 2 項
関係）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響87

(1) 要配慮個⼈情報（法第２条第３項関係）• ＥＵ域内から⼗分性認定に基づき提供を受けた個⼈データに、ＧＤＰＲにおいて特別な種類の個⼈データと定義されている性
⽣活、性的指向⼜は労働組合に関する情報が含まれる場合には、
個⼈情報取扱事業者は、当該情報について法第 2 条第 3 項における要配慮個⼈情報と同様に取り扱うこととする。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

88

「性⽣活、性的指向⼜は労働組合に関する情報」の執⾏は？
• 取得規制• （適正な取得）• 第17条 個⼈情報取扱事業者は、偽りその他不正の⼿段により個⼈情報を取得してはならない。
• ２ 個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、要配慮個⼈情報を取得してはならない。
• （各号略）• 提供規制（取得側の規制で執⾏することが考えられる？）• 23条2項 個⼈情報取扱事業者は、第三者に提供される個⼈データ（要配慮個⼈情報を除く。以下この項において同じ。）について、本⼈の求めに応じて当該本⼈が識別される個⼈データの第三者への提供を停⽌することとしている場合であって、次に掲げる事項について、個⼈情報保護委員会規則で定めるところにより、あらかじめ、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個⼈データを第三者に提供することができる。
• ⼀ 第三者への提供を利⽤⽬的とすること。
• ⼆ 第三者に提供される個⼈データの項⽬• 三 第三者への提供の⽅法• 四 本⼈の求めに応じて当該本⼈が識別される個⼈データの第三者への提供を停⽌すること。
• 五 本⼈の求めを受け付ける⽅法
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響89

(2) 保有個⼈データ（法第 2 条第 7 項関係）
• 個⼈情報取扱事業者が、ＥＵ域内から⼗分性認定に基づき提供を受けた個⼈データについては、消去することとしている期間にかかわらず、法第 2 条第 7 項における保有個⼈データとして取り扱うこととする。なお、ＥＵ域内から⼗分性認定に基づき提供を受けた個⼈データであっても、「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」は、「保有個⼈データ」から除かれる（政令第 4 条、通則ガイドライン「2-7 保有個⼈データ」参照）。

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

90

6ヶ⽉要件を満たさない個⼈データについての開⽰等の請求等？
• （個⼈情報取扱事業者による苦情の処理）• 第35条 個⼈情報取扱事業者は、個⼈情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
• ２ 個⼈情報取扱事業者は、前項の⽬的を達成するために必要な体制の整備に努めなければならない。
• →2020年改正で解消される

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

91

(3) 利⽤⽬的の特定、利⽤⽬的による制限（法第 15 条第 1 項・
法第 16 条第 1 項・法第 26条第 1 項・第 3 項関係）
• 個⼈情報取扱事業者は、法第 15 条第 1 項により特定した利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱う場合は、あらかじめ本⼈の同意を得なければならず（法第 16条第 1 項）、また、第三者から個⼈データの提供を受ける際は、規則で定めるところにより、当該第三者による当該個⼈データの取得の経緯等を確認し、記録しなければならないこととなっている（法第 26 条第 1 項・第 3 項）。
• 個⼈情報取扱事業者が、ＥＵ域内から⼗分性認定に基づき個⼈データの提供を受ける場
合、法第 26 条第 1 項及び第 3 項の規定に基づき、ＥＵ域内から当該個⼈データの提供を受ける際に特定された利⽤⽬的を含め、その取得の経緯を確認し、記録することとする。
• 同様に、個⼈情報取扱事業者が、ＥＵ域内から⼗分性認定に基づき個⼈データの提供を受けた他の個⼈情報取扱事業者から、当該個⼈データの提供を受ける場合、法第 26 条第1 項及び第 3 項の規定に基づき、当該個⼈データの提供を受ける際に特定された利⽤⽬的を含め、その取得の経緯を確認し、記録することとする。
• 上記のいずれの場合においても、個⼈情報取扱事業者は、法第 26 条第 1 項及び第 3 項の規定に基づき確認し、記録した当該個⼈データを当初⼜はその後提供を受ける際に特定された利⽤⽬的の範囲内で利⽤⽬的を特定し、その範囲内で当該個⼈データを利⽤す
ることとする（法第 15 条第 1 項、法第 16 条第 1 項）。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

92

(4) 外国にある第三者への提供の制限（法第 24 条・規則第 11 条の 2 関係）• 個⼈情報取扱事業者は、ＥＵ域内から⼗分性認定に基づき提供を受けた個
⼈データを外国にある第三者へ提供するに当たっては、法第 24 条に従い、次の①から③までのいずれかに該当する場合を除き、[本⼈が同意に係る判断を⾏うために必要な移転先の状況についての情報を提供した上で]、あらかじめ外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を得ることとする。
• ① 当該第三者が、個⼈の権利利益の保護に関して、我が国と同等の⽔準にあると認められる個⼈情報保護制度を有している国として規則で定める国にある場合• ② 個⼈情報取扱事業者と個⼈データの提供を受ける第三者との間で、当該第三者による個⼈データの取扱いについて、適切かつ合理的な⽅法（契約、その他の形式の拘束⼒のある取決め⼜は企業グループにおける拘束⼒のある取扱い）により、本ガイドラインを含め法と同等⽔準の個⼈情報の保護に関する措置を連携して実施している場合• ③ 法第 23 条第 1 項各号に該当する場合
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

93

(5) 匿名加⼯情報（法第 2 条第 9 項・法第 36 条第 1 項第 2 項関係）
• ＥＵ域内から⼗分性認定に基づき提供を受けた個⼈情報については、個⼈情報取扱事業者が、加⼯⽅法等情報（匿名加⼯情報の作成に⽤いた個⼈情報から削除した記述等及び個⼈識別符号並びに法第 36 条第 1 項の規定により⾏った加⼯の⽅法に関する情報（その情報を⽤いて当該個⼈情報を復元することができるものに限る。）をいう。）を削除することにより、匿名化された個⼈を再識別することを何⼈にとっても不可能とした場
合に限り、法第 2 条第 9 項に定める匿名加⼯情報とみなすこととする。
• →2020年改正に伴う解釈変更で解消される• 「（※）「その情報を⽤いて当該個⼈情報を復元することができるもの」には、「年齢のデータを10歳刻みのデータに置き換えた」というような復元につながらない情報は該当しない。なお、⽒名等を仮IDに置き換えた場合における⽒名と仮IDの対応表は、匿名加⼯情報と容易に照合することができ、それにより匿名加⼯情報の作成の元となった個⼈情報の本⼈を識別することができるものであることから、匿名加⼯情報の作成後は破棄しなければならない。また、匿名加⼯情報を作成した
個⼈情報取扱事業者が、⽒名等の仮IDへの置き換えに⽤いた置き換えアルゴリズムと乱数等のパラメータの組み合わせを保有している場合には、当該置き換えアルゴリズム及び当該乱数等のパラメータを⽤いて再度同じ置き換えを⾏うことによって、匿名加⼯情報とその作成の元となった個⼈
情報とを容易に照合でき、それにより匿名加⼯情報の作成の元となった個⼈情報の本⼈を識別することができることから、匿名加⼯情報の作成後は、⽒名等の仮IDへの置き換えに⽤いた乱数等のパラメータを破棄しなければならない。」（GL仮名加⼯情報・匿名加⼯情報編3-2-3-1）

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

94

裁判例におけるガイドラインの取扱い• 福岡地久留⽶⽀部判平成２６年８⽉８⽇判時２２３９号８８⾴• …上記「第三者」に当たるか否かは外形的に判断されるべきであって，ある情報を保有する個⼈情報取扱事業者（法２条３項）及び当該情報の主体である本⼈（同条６項）以外の者を意味するというべきである（なお，個⼈情報ガイドラインにおいても，同⼀事業者内で情報提供する場合は当該個⼈データを第三者に提供したことにはならないこととされている（⼄ロ１・２６⾴））…

• 東京地判平成２６年１⽉２３⽇判時２２２１号７１⾴• 証拠（甲２４の１・２，甲２５）によれば，厚⽣労働省及び経済産業省が平成１９年３⽉３０⽇に改正した「個⼈情報の保護に関する法律についての経済産業分野を対象とするガイドライン」（同⽇厚⽣労働省・経済産業省告⽰第１号）では，クレジットカード情報等（クレジットカード情報を含む個⼈情報）について特に講じることが望ましい安全管理措置として，利⽤⽬的の達成に必要最⼩限の範囲の保存期間を設定し，保存場所を限定し，保存期間経過後適切かつ速やかに破棄することを例⽰し，ＩＰＡは，同年４⽉，前記「⼤企業・中堅企業の情報システムのセキュリティ対策〜
脅威と対策」と題する⽂書において，データベース内に格納されている重要なデータや個⼈情報については暗号化することが望ましいと明⽰していたことが認められる。しかし，上記告⽰等は，いずれも上記対策を講じることが「望ましい」と指摘するものにすぎないし，上記ＩＰＡの⽂書においては，データベース内のデータ全てに対して暗号化の処理を⾏うとサーバー⾃体の負荷になることがあるので，特定のカラムだけを暗号化するなどの考慮が必要であるとも指摘されている（甲２５）ように，暗号化の設定内容等は暗号化の程度によって異なり，それによって被告の作業量や代⾦も増減すると考えられることに照らすと，契約で特別に合意していなくとも，当然に，被告がクレジットカード情報を本件サーバー及びログに保存せず，若しくは保存しても削除する設定とし，
⼜はクレジットカード情報を暗号化して保存すべき債務を負っていたとは認められない。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

95

委員会は影響をどう考えているか？

IT戦略本部第14回新戦略推進専⾨調査会・第10回官⺠データ活⽤推進基本計画実⾏委員会合同会議【資料2-2】個⼈情報保護委員会「国際的な個⼈データの移転について」（2018年5⽉11⽇）より

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

96

3.2.2

例外事由• 適切な安全性確保措置• 監督機関の個別承認不要• 従来からの⽅法• 標準データ保護約款（GDPR46条2項(c)(d)）• 拘束的企業準則（BCR）（GDPR46条(b)）• GDPRでの新規導⼊• ⾏動準則（GDPR40条ないし41条）• 認証（GDPR42条ないし43条）• 監督機関の個別承認• 詳細はまだ不明• 特別の状況における特例• 同意が含まれるが，「⼤量，構造的，反復的な移転には適⽤されない」との指摘2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

97

第46 条 適切な保護措置に従った移転
Article 46 Transfers subject to appropriate safeguards• 1. 第45 条第3 項による決定がない場合は、管理者⼜は取扱者が適切な保護措置を提供しており、執⾏⼒あるデータ主体の権利及びデータ主体に関する効果的な法的救済が利⽤可能な状態である場合に限り、管理者⼜は取扱者は第三国⼜は国際機関に個⼈データを移転することができる。
• 1. In the absence of a decision pursuant to Article 45(3), a controller orprocessor may transfer personal data to a third country or aninternational organisation only if the controller or processor has
provided appropriate safeguards, and on condition that enforceable
data subject rights and effective legal remedies for data subjects areavailable.
• 2. 第1 項で定める適切な保護措置は、監督機関からの特定の認可を必要とせず、次に掲げるものによって講じられてもよい。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響98• 2. The appropriate safeguards referred to in paragraph 1 may be provided for,without requiring any specific authorisation from a supervisory authority, by:• (a) 公的機関⼜は団体間の法的拘束⼒⼜は執⾏⼒のある法律⽂書。
• (a) a legally binding and enforceable instrument between public authorities orbodies;• (b) 第47 条に従った拘束的企業準則。
• (b) binding corporate rules in accordance with Article 47;• (c) 第93 条第2 項で定める審査⼿続に従って欧州委員会によって採択された標準
データ保護条項。
• (c) standard data protection clauses adopted by the Commission inaccordance with the examination procedure referred to in Article 93(2);• (d) 監督機関によって採択され、第93 条第2 項で定める審査⼿続により欧州委員会によって承認された標準データ保護条項。
• (d) standard data protection clauses adopted by a supervisory authority andapproved by the• Commission pursuant to the examination procedure referred to in Article
93(2);
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響99• (e) 適切な保護措置（データ主体の権利に関することを含む）を適⽤するための第三国の管理者⼜は取扱者の拘束⼒及び執⾏⼒のある公約を伴った、
第40 条による承認された⾏動規範。⼜は、• (e) an approved code of conduct pursuant to Article 40 together withbinding and enforceablecommitments of the controller or processor in
the third country to apply the appropriate safeguards,including as
regards data subjects' rights; or• (f) 適切な保護措置（データ主体の権利に関することを含む）を適⽤するための第三国の管理者⼜は取扱者の拘束⼒及び執⾏⼒のある公約を伴った、
第42 条による承認された認証メカニズム。
• (f) an approved certification mechanism pursuant to Article 42 together
with binding and enforceablecommitments of the controller orprocessor in the third country to apply the appropriate
safeguards,including as regards data subjects' rights.
• 従来のSCCは経過措置によってGDPRにおいても有効。
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

100旧標準データ保護約款
欧州委員会決定2001/497/EC（Commission Decision 2001/497/EC ） (SET I)
欧州委員会決定C（2004）5271 （Commission Decision C(2004)5271) (SET II)

⽇本
管理者

管理者

欧州

欧州委員会決定C(2010)593（Commission Decision C(2010)593）
参考：DK SA Standard Contractual Clauses for the purposes of compliance with art. 28 GDPR
(January 2020)[Opinion 17/2020 on the draft Standard Contractual Clauses submitted by the SI SA (Article 28(8)GDPR)]

対応する標準データ保護約款は存在しなかった

⽇本

⽇本

処理者

管理者

欧州

管理者

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

欧州

処理者

101

"Commission Implementing Decision (EU) 2021/914 of 4 June 2021 on standard contractual clauses for the transfer of personal
data to third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council
新標準データ保護約款

欧州委員会決定2001/497/EC（Commission Decision 2001/497/EC ） (SET I)（廃⽌）欧州委員会決定C（2004）5271 （Commission Decision C(2004)5271) (SET II)（廃⽌）欧州委員会決定C(2010)593（Commission Decision C(2010)593）（廃⽌）
参考：DK SA Standard Contractual Clauses for the purposes of compliance with art. 28 GDPR (January 2020)[Opinion 17/2020 on the draft Standard Contractual Clauses submitted by the SI SA (Article 28(8) GDPR)]

⽇本

⽇本

管理者

管理者

管理者

欧州

処理者

欧州

参考：DK SA Standard Contractual Clauses for the purposes of compliance with art. 28 GDPR (January 2020)[Opinion 17/2020 on the draft Standard Contractual Clauses submitted by the SI SA (Article 28(8) GDPR)]

⽇本

⽇本

処理者

処理者

管理者

欧州

2022/3/2

NEW!

処理者

欧州

個⼈情報保護法改正のデータ越境利⽤・移転への影響

NEW!

102

SCCの法遵守義務及び準拠法• Clause 17• Governing law• MODULE ONE: Transfer controller to controller• MODULE TWO: Transfer controller to processor• MODULE THREE: Transfer processor to processor• [OPTION 1: These Clauses shall be governed by the law of one of the EU Member States, provided suchlaw allows for third-party beneficiary rights. The Parties agree that this shall be the law of _______(specify Member State).]• [OPTION 2 (for Modules Two and Three): These Clauses shall be governed by the law of the EU Member
State in which the data exporter is established. Where such law does not allow for third-party beneficiaryrights, they shall be governed by the law of another EU Member State that does allow for third-party
beneficiary rights. The Parties agree that this shall be the law of _______ (specify Member State).]• MODULE FOUR: Transfer processor to controller• These Clauses shall be governed by the law of a country allowing for third-party beneficiary rights. The
Parties agree that this shall be the law of _______ (specify country).

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

103

"Recommendations 01/2020 on measures that supplement transfer tools to ensure compliancewith the EU level of protection of personal data“（EUの個⼈データ保護のレベルの遵守を確実にするための移転ツールに追加する措置に関する勧告，「追加的措置勧告」）
•

ステップ1
•

•

ステップ2
•

•

•
•

•

2022/3/2

有効な追加的な措置を確認した場合の⼿続

データ保護機関の確認は不要（56項）．SCCと⽭盾する場合は，（SCCではなくなるため）個別の移転の承認が必要になる（57項）．GDPR46条2.の適法化根拠は，第三国の公的機関を拘束しない（58項）．BCRについてはEDPBも検討中である（59項）．アドホックな契約（GDPR46条3.）もEDPBは検討中である（61項）．

ステップ6
•

追加的な措置の採⽤

追加的な措置には，契約的，技術的，組織的なものが含まれ，それらの組み合わせも推奨される（47項，48項）．技術的な措置はパブリックアクセスを阻害できるということが前提になっている．具体的なリストは別紙2．

ステップ5
•

移転ツールの有効性

輸⼊者と協⼒して，第三国の法律や慣⾏が移転ツールの有効性に影響を及ぼすかを評価しなければならない（30項）．複雑なスキームの場合は評価も複雑となる（31項）．移転の⽂脈が影響する．処理⽬的，処理に関与する機関の種類（公的，私的，管理者，処理者），分野（⾦融，通信，広告等），第三国に保存されるものか，アクセスするだけか，移転されるデータがプレーンテキストか，暗号化されているか，再移転があるか等（33項）．アクセス
権等が移転先国の法令等により妨げられないか（34項），パブリックアクセス及び，その際のデータ主体の救済の権利は特記されている（35項）．これは，SchremsIIにおいてプライバシーシールドの⼗分性認定が無効となった⼀因である．刑事法の執⾏，国家安全保障⽬的の規制にも特別に注意せよとされている（36項）．この際，EDPBのEEG勧告（Recommendations 02/2020 on the European Essential Guarantees for surveillance measures）の諸要
素が参考になるとされている（39項）．評価は公開されている法例を中⼼とし，⽂書化される必要がある（42項）．SchremsII決定で問題となったのは，
⽶国FISAの702条であり，⽐例原則を満たさないとした．この場合，追加的な措置により，⽶国の諜報機関からのアクセスが不可能⼜は⾮効率となる必要
がある．

ステップ4
•

移転ツール（越境移転に関する適法化事由）の特定⼗分性認定，SCC，BCR，⾏動規範，認証メカニズム，GDPR49条の例外事由のいずれを根拠として移転しているかを確認する（14項以下）．

ステップ3
•

移転の認知

すべての移転を認知し，マッピングすることを求めており，GDPR30条も根拠となる（8項，9項）．越境のリモートアクセスや海外のクラウドの利⽤も含まれる（13項）．

再評価

継続的な再評価の必要性を述べる（62〜63項）．

個⼈情報保護法改正のデータ越境利⽤・移転への影響

104

追加的措置• 技術的な追加的な措置• 有効なユースケースと無効なユースケースを列挙している．有効なユースケースとしては，• ①強⼒な暗号化がなされている場合の第三国におけるバックアップ，• ②適切な仮名化がなされている場合の移転，• ③エンドツーエンド暗号化がなされている場合の，第三国の通過，• ④暗号化がなされている場合の，特に保護された輸⼊者への移転，• ⑤秘密計算の利⽤が挙げられている．

• 他⽅，無効なユースケースとして，• ⑥クラウドサービスを利⽤した場合，当該サービスにパブリックアクセスが⾏われる
場合，• ⑦ビジネス⽬的でリモートアクセスを⾏うが，パブリックアクセスが⾏われる場合，が挙げられている．

• いずれも詳細には要件が挙げられており，あくまで例⽰ではあるが，クラウドサービスを利⽤した場合のパブリックアクセスについては（⽶国を意識してか）特に厳しい⾒解ではないかと思われる．
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

105契約的な追加的な措置• 契約的な追加的な措置はナンバリングされていない．第三国の当局は拘束できないことが前提とされ（93項），他の技術的⼜は組織的な措置を組み合わせることが推奨される（同）．例として，以下が挙げられている．

• 特定の技術的⼿段を使⽤する義務• 透明性義務（パブリックアクセスについての根拠法令の列挙等）• 具体的な⾏動を取る義務（開⽰命令への異議申し⽴て等）• データ主体への権利付与（データ主体の同意を前提としたアクセス等）• 特にグループ企業間の移転に関する内部統制• 透明性およびアカウンタビリティの義務（パブリックアクセスについての⽂書の記録とデータ輸出者への開⽰等）• 組織的⼿法及びデータ最⼩化措置（アクセス権限等についての限定）• 標準やベストプラクティスの受容（ISO等）• その他（内部監査，再移転禁⽌）2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

106

拘束的企業準則

⽇本
管理者

管理者

欧州

・楽天（ルクセンブルク）・IIJ（英国，申請中，Brexit影響）
・富⼠通（オランダ，申請中）
・フジクラ（スペイン，申請中）

2022/3/2

管理者

第三国

個⼈情報保護法改正のデータ越境利⽤・移転への影響

107Article 49 Derogations for specific situations
第49 条 特定の状況における例外•

1. In the absence of an adequacy decision pursuant to Article 45(3), or of appropriate safeguards pursuant to Article 46, including
binding corporate rules, a transfer or a set of transfers of personal data to a third country or an international organisation shall takeplace only on one of the following conditions:•1. 第 45 条第 3 項による⼗分性認定がない場合、⼜は拘束的企業準則を含め、第 46 条による適切な保護措置がない場合、以下の条件中のいずれかを満たしている場合においてのみ、第三国⼜は国際機関への個⼈データの移転⼜は個⼈データ移転の集合を⾏うことができる：•(a) the data subject has explicitly consented to the proposed transfer, after having been informed of the possible risks of suchtransfers for the data subject due to the absence of an adequacy decision and appropriate safeguards;•(a) ⼗分性認定及び適切な保護措置が存在しないために、そのような移転がそのデータ主体に対して発⽣させる可能性のあるリスクの情報提供を受けた後に、そのデータ主体が、提案された移転に明⽰的に同意した場合；•(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation ofpre-contractual measures taken at the data subject's request;•(b) データ主体と管理者との間の契約の履⾏のためにその移転が必要となる場合、⼜は、データ主体の要求により、契約締結前の措置を実施するためにその移転が必要となる場合；•(c) the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between
the controller and another natural or legal person;•(c) 管理者及びそれ以外の⾃然⼈若しくは法⼈との間でデータ主体の利益のために帰する契約の締結、⼜は、その契約の履⾏のために移転が必要となる場合；

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

108

•

(d)the transfer is necessary for important reasons of public interest;•(d) 公共の利益の重⼤な事由の移転が必要となる場合；•(e)the transfer is necessary for the establishment, exercise or defence of legal claims;•(e) 法的主張時の⽴証、⾏使⼜は抗弁に移転が必要となる場合；•(f) the transfer is necessary in order to protect the vital interests of the data subject or of other persons, where the data subject is physically or legally
incapable of giving consent;•(f) データ主体が物理的⼜は法的に同意を与えることができない場合において、データ主体⼜はそれ以外の者の⽣命に関する利益を保護するために移転が必要と
なる場合；

•

(g)the transfer is made from a register which according to Union or Member State law is intended to provide information to the public and which is open to
consultation either by the public in general or by any person who can demonstrate a legitimate interest, but only to the extent that the conditions laid downby Union or Member State law for consultation are fulfilled in the particular case.

•(g) EU 法⼜は加盟国の国内法に従い、公衆に対して情報を提供することを予定しており、かつ、公衆⼀般及び正当な利益をもつことを説明することのできる者の両者に対して開かれているが、個々の案件において、照会に関してEU 法⼜は加盟国の国内法により定められた条件が充⾜する限度内のみに制限されている登録機関に限り、登録機関からの移転が必要となる場合。

•

Where a transfer could not be based on a provision in Article 45 or 46, including the provisions on binding corporate rules, 62 and none of the derogations fora specific situation referred to in the first subparagraph of this paragraph is applicable, atransfer to a third country or an international organisation may takeplace only if the transfer is not repetitive, concerns only a limited number of data subjects, is necessary for the purposes of compelling legitimate interests
pursued by the controller which are not overridden by the interests or rights and freedoms of the data subject, and the controller has assessed all thecircumstances surrounding the data transfer and has on the basis of that assessment provided suitable safeguards with regard to the protection of personal
data. The controller shall inform the supervisory authority of the transfer. The controller shall, in addition to providing the information referred to in Articles
13 and 14, inform the data subject of the transfer and on the compelling legitimate interests pursued.

•

拘束的企業準則の条項を含め、第 45 条⼜は 46 条に基づいて移転を⾏うことができず、かつ、本項（a）から（g）による特定の状況における例外がいずれも適⽤可能ではない場合、その移転が、反復的なものではなく、限定された⼈数のデータ主体に関係するものであり、データ主体の権利及び⾃由によって優先される
ものではない管理者が求める義務的な正当な利益の⽬的のために必要であり、かつ、管理者がデータ移転と関連する全ての事情を評価しており、かつ、その評価に基づき、その管理者が個⼈データの保護に関連して適合する保護措置を提供した場合に限り、第三国⼜は国際機関に対する移転を⾏うことができる。その管理者は、監督機関に対して、その移転を通知しなければならない。その管理者は、そのデータ主体に対し、第 13 条及び第14 条に規定する情報に加え、その移転及び求められる義務的な正当な利益に関し、情報提供しなければならない。

•

2-6 （略）2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

109

49条の例外についてのガイドライン• Guidelines 2/2018 on derogations of Article 49 under
Regulation 2016/679

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

110GDPRの越境移転規制対応のまとめ• ⽇本は⼗分性判定されており，越境移転の例外となるはずであるが，⽇本側の上乗せ告⽰（「個⼈情報の保護に関する法律に係るEU及び英国域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」）の対象となる。
• 例外事由による移転のうち，SCCやBCRは契約等による遵守事項を発⽣させる。特にSCC（現⾏）の場合，移転元国法に基づいた契約遵守が求められるため，GDPRが適⽤されるわけではないが，契約の根拠法としてのGDPR，同実施法のチェックが必要になる。
• パブリックアクセスの程度によっては「追加的措置」が必要になる。
• GDPR49条による移転は反復的な移転には適切でないとされており，
ビジネススキームへの適⽤にはリスクが有ることを理解しておくことが必要
2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

111

①⼗分性決定の範囲が⺠間法に限られること• PNR（航空機搭乗者情報）の税関や⼊管への提供については別
途の⼗分性決定（⼜は協定）が必要になる．これは，⽶国やカナダ，オーストラリアと同様の状況になるということ

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

1122022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

1132022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

114

②欧州司法裁判所の判断との関係• 欧⽶セーフハーバーへの⼗分性決定が無効となった欧州司法裁判所のMaximillian Schrems v Data Protection Commissioner(Case C-362/14)（2015年10 ⽉5 ⽇）• 欧州委員会と⽶国商務省は同判例を前提に「プライバシー・シールド」を構築する
ための再交渉を強いられた．
• 指令及び欧州基本権憲章の観点から欧州のデータ保護制度と”essentially equivalent”（実質的に同等）であることを求めている• Data Protection Commissioner v Facebook Ireland Ltd, Maximillian
Schrems(Case C-311/18), SchremsII（2020年7⽉16⽇）• 133 GDPR46 条(2)(c)に基づいて欧州委員会が採択した標準的なデータ保護約款は，EU に設⽴された管理者及び処理者に対して，すべての第三国で⼀律に適⽤される契約上の保証を提供することのみを⽬的としており，その結果，各第三国で保証されている保護レベルとは無関係である．これらの標準的なデータ保護条項は，その性
質上，EU 法の下で要求される保護レベルへの準拠を保証するための契約上の義務を超える保証を提供することができない限りにおいて，特定の第三国の実勢に応じて，その保護レベルへの準拠を保証するために，管理者が追加的な措置を採⽤することを要求する場合がある．

2022/3/2

個⼈情報保護法改正のデータ越境利⽤・移転への影響

115