個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第 7 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 7 号（個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正後欄に掲げるその標記部分に二重傍線を付した規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（外国にある第三者への提供編）

目次

目次
1

改正後

[略]

[同左]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）

507 号）「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「通則ガイドライン」

個人情報の保護に関する法律についてのガイ「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保ドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

護委員会告示第 6 号）

「平成 27 年改正法」「令和 2 年改正法」

個人情報の保護に関する法律及び行政手続に「平成 27 年改正法」

おける特定の個人を識別するための番号の利おける特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）

成 27 年法律第 65 号）

個人情報の保護に関する法律等の一部を改正す「令和 2 年改正法」

る法律（令和 2 年法律第 44 号）「令和 3 年改正法」

個人情報の保護に関する法律及び行政手続に個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）

デジタル社会の形成を図るための関係法律の整「令和 3 年改正法」

備に関する法律（令和 3 年法律第 37 号）

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）（第 50 条の規定に限る。）

本ガイドラインの位置付け

1

本ガイドラインの位置付け
2

1

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関し個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適て行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、法第 4 条、第 9 条及び第 131

切かつ有効に実施されることを目的として、個人情報の保護に関する法律条に基づき具体的な指針として通則ガイドラインを定めているが、法が定（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 9 条及び第める事業者の義務のうち外国にある第三者への個人データの提供に関する128 条に基づき具体的な指針として「個人情報の保護に関する法律につい部分に特化して分かりやすく一体的に示す観点から、通則ガイドラインとてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第 6は別に、本ガイドラインを定めるものである。

号。以下「通則ガイドライン」という。）を定めているが、法が定める事業者の義務のうち外国にある第三者への個人データの提供に関する部分に特化して分かりやすく一体的に示す観点から、通則ガイドラインとは別に、本ガイドラインを定めるものである。

平成 27 年改正法による改正前の法第 23 条は、第三者に対する個人デー個人情報の保護に関する法律及び行政手続における特定の個人を識別すタの提供に関するルールを定めてはいたが、第三者が国内にあるのか、外るための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律

国にあるのかの区別をしていなかった。しかし、経済・社会活動のグロー第 65 号）（以下「平成 27 年改正法」という。）による改正前の法第 23 条

バル化及び情報通信技術の進展に伴い、個人情報を含むデータの国境を越は、第三者に対する個人データの提供に関するルールを定めてはいたが、えた流通が増加しており、外国への個人データの移転について一定の規律第三者が国内にあるのか、外国にあるのかの区別をしていなかった。しかを設ける必要性が増大してきたこと、また個人情報の保護に関する国際的し、経済・社会活動のグローバル化及び情報通信技術の進展に伴い、個人な枠組み等との整合を図ることを理由に、平成 27 年改正法による改正後の 情報を含むデータの国境を越えた流通が増加しており、外国への個人デー
法第 24 条に新たに外国にある第三者に対する個人データの提供に関する規 タの移転について一定の規律を設ける必要性が増大してきたこと、また個定が設けられた。
当該規定は、平成 27 年改正法の国会における審議を踏まえ、事業者に対して新たな規制を課するものではなく、事業者において適切に行われてい人情報の保護に関する国際的な枠組み等との整合を図ることを理由に、平成 27 年改正法による改正後の法第 24 条に新たに外国にある第三者に対する個人データの提供に関する規定が設けられた。
当該規定は、平成 27 年改正法の国会における審議を踏まえ、事業者に対議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）及び参議院内閣して新たな規制を課するものではなく、事業者において適切に行われてい委員会における附帯決議（平成 27 年 8 月 27 日）を踏まえ、海外におけるる個人情報の取扱いを追認するものである必要があるとされた。また、衆個人情報の保護を図りつつ、国境を越えた個人情報の移転を不当に阻害し議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）及び参議院内閣ないよう現実的な規制を構築する必要があるとされた。

委員会における附帯決議（平成 27 年 8 月 27 日）を踏まえ、海外における3る個人情報の取扱いを追認するものである必要があるとされた。また、衆さらに、海外への業務委託の一般化やビジネスモデルの複雑化が進み、個人情報の越境移転の機会が広がる中、個人データの越境移転に伴うリス個人情報の保護を図りつつ、国境を越えた個人情報の移転を不当に阻害しないよう現実的な規制を構築する必要があるとされた。

クも変化しつつある。このようなリスクの変化に対応する観点から、令和

さらに、海外への業務委託の一般化やビジネスモデルの複雑化が進み、2 年改正法により、個人データの越境移転に関する本人への情報提供の充個人情報の越境移転の機会が広がる中、個人データの越境移転に伴うリス実等が求められることとなった。

クも変化しつつある。このようなリスクの変化に対応する観点から、個人本ガイドラインにおいては、外国にある第三者に対する個人データの提供についての考え方、具体例等を示すこととする。

情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）（以下「令和 2 年改正法」という。）により、個人データの越境移転に関する本人への情報提供の充実等が求められることとなった。
本ガイドラインにおいては、外国にある第三者に対する個人データの提供についての考え方、具体例等を示すこととする。

[略]

2

[同左]

総論

2

[（関係条文） 略][（関係条文） 同左]

[同左]
4

[略]

総論

(1) 当該第三者が、我が国と同等の水準にあると認められる個人情(1) 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合（※

報保護制度を有している国として個人情報の保護に関する法律施1）

行規則（平成 28 年個人情報保護委員会規則第 3 号。以下「規則」という。）で定める国にある場合（※1）[（2）・（3） 略][（※1）～(※4) 略][（2）・（3） 同左][（※1）～(※4) 同左]

[略]

[同左]

2-1 外国にある第三者への個人データの提供を認める旨の本人の同意

2-1 外国にある第三者への個人データの提供を認める旨の本人の同意

[略]

[同左]

なお、平成 27 年改正法の施行日前になされた本人の個人情報の取扱いに

なお、平成 27 年改正法の施行日前になされた本人の個人情報の取扱いに関する同意がある場合において、その同意が平成 27 年改正法による改正後 関する同意がある場合において、その同意が平成 27 年改正法による改正後の法第 24 条（現行法第 28 条）の規定による個人データの外国にある第三 の法第 24 条（現行法第 28 条）の規定による個人データの外国にある第三者への提供を認める旨の同意に相当するものであるときは、同条の同意が者への提供を認める旨の同意に相当するものであるときは、同条の同意があったものとみなす（平成 27 年改正法附則第 3 条）。

あったものとみなす（平成 27 年改正法附則第 3 条）。

また、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）前にまた、令和 3 年改正法の施行日前に別表第二法人等（法別表第 2 に掲げ別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により る法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等働者健康安全機構又は学術研究機関等である同個人情報取扱事業者をいである同個人情報取扱事業者をいう。以下同じ。）に対しされた本人の個う。以下同じ。）に対しされた本人の個人情報の取扱いに関する同意があ5

個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱

人情報の取扱いに関する同意がある場合において、その同意が法第 28 条第 る場合において、その同意が法第 28 条第 1 項の規定による個人データの外
1 項の規定による個人データの外国にある第三者への提供を認める旨の同国にある第三者への提供を認める旨の同意に相当するものであるときは、意に相当するものであるときは、同項の同意があったものとみなす（令和同項の同意があったものとみなす（令和 3 年改正法附則第 7 条第 5 項）。

3 年改正法附則第 7 条第 5 項）。
同様に、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に特定地方独立行政法人等（法第 58 条第 1 項第 2 号に掲げる者又は同条第2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる法第 58 条第 2 項第 1 号に掲げる者をいう。以下同じ。）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 28 条第 1 項の規定による個人データの外国にある第三者への提供を認める旨の同意に相当するものであるときは、同項の同意があったものとみなす（令和 3 年改正法附則第 9 条第 5項）。

2-2 外国にある第三者

2-2 外国にある第三者

[略]

[同左]

（※1）[同左]（※2）「個人情報取扱事業者」（法第 16 条第 2 項）とは、個人情（※2）「個人情報取扱事業者」（法第 16 条第 2 項）とは、個人情報データベース等を事業の用に供している者のうち、国の機報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等

関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人（地方独立行政法人法（平成 15 年法定する地方独立行政法人を除いた者をいう。

6（※1）[略]律第 118 号）第 21 条第 1 号に掲げる業務を主たる目的とする

なお、個人情報データベース等を事業の用に供している者でもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）あれば、当該個人情報データベース等を構成する個人情報によに掲げる業務を目的とするものを除く。）を除いた者をいう。って識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。

なお、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。

3

個人の権利利益を保護する上で我が国と同等の水準にあると認められ

3

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国規則第 15 条

規則第 15 条

1

1

法第 28 条第 1 項の規定による個人情報の保護に関する制度を有し

法第 28 条第 1 項の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号ている外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとのいずれにも該当する外国として個人情報保護委員会が定めるものとする。

する。

(1)

(1)

法における個人情報取扱事業者に関する規定に相当する法令そ法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されているの他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること。と認めるに足りる状況にあること(2)

個人情報保護委員会に相当する独立した外国執行当局が存在し(2)

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行ており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること。

うための体制が確保されていること(3)

我が国との間において、個人情報の適正かつ効果的な活用と個(3)

我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能

人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること。

であると認められるものであること(4)

個人情報の保護のために必要な範囲を超えて国際的な個人デー(4)

個人情報の保護のために必要な範囲を超えて国際的な個人デー

タの移転を制限することなく、かつ、我が国との間において、個人タの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ること

情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること。

が可能であると認められるものであること(5) 前四号に定めるもののほか、当該外国を法第 28 条第 1 項の規定

(5) 前四号に定めるもののほか、当該外国を法第 28 条第 1 項の規定による外国として定めることが、我が国における新たな産業の創出による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認め並びに活力ある経済社会及び豊かな国民生活の実現に資すると認め

7

る個人情報の保護に関する制度を有している外国

られるものであること。

4

られるものであること[2～4 略][2～4 同左]

[略]

[同左]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準

4

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準[同左]

4-1 [略]

4-1 [同左]

4-2 法第 4 章第 2 節の規定の趣旨に沿った措置（規則第 16 条第 1 号関4-2 法第 4 章第 2 節の規定の趣旨に沿った措置（規則第 16 条第 1 号関8[略]係）

係）

[略]

[同左]

[（※1）・（※2） 略][（※1）・（※2） 同左]（※3）日本にある個人情報取扱事業者から個人データの提供を受（※3）日本にある個人情報取扱事業者から個人データの提供を受けた外国にある第三者が法第 171 条の要件を満たし、域外適用けた外国にある第三者が法第 166 条の要件を満たし、域外適用の対象となる場合であっても、これにより直ちに規則第 16 条の対象となる場合であっても、これにより直ちに規則第 16 条の基準を満たすこととなるわけではなく、同条の基準を満たすの基準を満たすこととなるわけではなく、同条の基準を満たす

ためには、別途、当該個人データの取扱いについて我が国の個ためには、別途、当該個人データの取扱いについて我が国の個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備することが必要である。

ずるために必要な体制を整備することが必要である。

なお、この場合、当該外国にある第三者は、法第 171 条に基なお、この場合、当該外国にある第三者は、法第 166 条に基づき、「法第 4 章第 2 節の規定の趣旨に沿った措置」として講づき、「法第 4 章第 2 節の規定の趣旨に沿った措置」として講ずべき措置に含まれない規律（上記（※2）参照）も含め、法ずべき措置に含まれない規律（上記（※2）参照）も含め、法の規定に従って当該個人データを取り扱う義務を負うことになの規定に従って当該個人データを取り扱う義務を負うことになる。域外適用の詳細については、通則ガイドライン「8（域外る。域外適用の詳細については、通則ガイドライン「8（域外適用）」を参照のこと。

適用）」を参照のこと。

4-2-1 [同左]

4-2-2 利用目的による制限（法第 18 条の趣旨に沿った措置）

4-2-2 利用目的による制限（法第 18 条の趣旨に沿った措置）

法第 18 条

法第 18 条[1・2 略][1・2 同左]

33

9

4-2-1 [略]前二項の規定は、次に掲げる場合については、適用しない。
(1)

法令（条例を含む。以下この章において同じ。）に基づく場合[(2)～ (6)略]

前二項の規定は、次に掲げる場合については、適用しない。
(1)

法令に基づく場合[(2)～ (6)同左]

[略]

[同左]

[4-2-3～4-2-20 略][4-2-3～4-2-20 同左]

5[略]同意取得時の情報提供[（関係条文） 略]

[略]

4-3

5[同左]

同意取得時の情報提供[（関係条文） 同左][同左]（※1）同意取得時の情報提供に関する法第 24 条第 2 項（現行法第（※1）同意取得時の情報提供に関する法第 24 条第 2 項（現行法第28 条第 2 項）の規定は、個人情報取扱事業者が令和 2 年改正法28 条第 2 項）の規定は、個人情報取扱事業者が令和 2 年改正法の施行日（令和 4 年 4 月 1 日）以後に法第 24 条第 1 項（現行の施行日以後に法第 24 条第 1 項（現行法第 28 条第 1 項）の規法第 28 条第 1 項）の規定により本人の同意を得る場合につい定により本人の同意を得る場合について適用される（令和 2 年て適用される（令和 2 年改正法附則第 4 条第 1 項）。

改正法附則第 4 条第 1 項）。

（※2）同意取得時の情報提供に関する法第 28 条第 2 項の規定は、（※2）同意取得時の情報提供に関する法第 28 条第 2 項の規定は、別表第二法人等（2-1（外国にある第三者への個人データの提別表第二法人等（2-1（外国にある第三者への個人データの提供を認める旨の本人の同意）参照）が令和 3 年改正法第 50 条

供を認める旨の本人の同意）参照）が令和 3 年改正法の施行日の規定の施行日（令和 4 年 4 月 1 日）以後に法第 28 条第 1 項

以後に法第 28 条第 1 項の規定により本人の同意を得る場合にの規定により本人の同意を得る場合について適用される（令和ついて適用される（令和 3 年改正法附則第 7 条第 6 項）。

3 年改正法附則第 7 条第 6 項）。
（※3）同意取得時の情報提供に関する法第 28 条第 2 項の規定は、
特定地方独立行政法人等（2-1（外国にある第三者への個人データの提供を認める旨の本人の同意）参照）が令和 3 年改正法

[新設]

104-3

第 51 条の規定の施行日（令和 5 年 4 月 1 日）以後に法第 28 条第 1 項の規定により本人の同意を得る場合について適用される（令和 3 年改正法附則第 9 条第 5 項）。

[5-1～5-3 [略]6

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずる[5-1～5-3 同左]

6

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ずべき措置等

ずべき措置等[（関係条文） 略][（関係条文） 同左]
11

ために必要な体制を整備している者に個人データを提供した場合に講

[略]

[同左]

（※1）法第 24 条第 3 項（現行法第 28 条第 3 項）の規定は、個人（※1）法第 24 条第 3 項（現行法第 28 条第 3 項）の規定は、個人情報取扱事業者が令和 2 年改正法の施行日（令和 4 年 4 月 1

情報取扱事業者が令和 2 年改正法の施行日以後に同項に規定す日）以後に同項に規定する外国にある第三者に個人データを提る外国にある第三者に個人データを提供した場合について適用供した場合について適用される（令和 2 年改正法附則第 4 条第される（令和 2 年改正法附則第 4 条第 2 項）。

2 項）。
（※2）法第 28 条第 3 項の規定は、別表第二法人等（2-1（外国にあ（※2）法第 28 条第 3 項の規定は、別表第二法人等（2-1（外国にる第三者への個人データの提供を認める旨の本人の同意）参ある第三者への個人データの提供を認める旨の本人の同意）参照）が令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1照）が令和 3 年改正法の施行日以後に同項に規定する外国にあ日）以後に同項に規定する外国にある第三者に個人データを提る第三者に個人データを提供した場合について適用される（令供した場合について適用される（令和 3 年改正法附則第 7 条第

和 3 年改正法附則第 7 条第 7 項）。

7 項）。
（※3）法第 28 条第 3 項の規定は、特定地方独立行政法人等（2-1[新設]（外国にある第三者への個人データの提供を認める旨の本人の同意）参照）が令和 3 年改正法第 51 条の規定の施行日（令和 5年 4 月 1 日）以後に同項に規定する外国にある第三者に個人データを提供した場合について適用される（令和 3 年改正法附則[6-1・6-2 略][6-1・6-2 同左]【付録】 [略]【付録】 [同左]

備考 表中の[ ]の記載は注記である。

12第 9 条第 6 項）。