民間企業における個人データの越境移転、
海外法規制対応に関する実態調査
調査結果報告書
2023年12月６日
個人情報保護委員会事務局

目次
1. アンケート調査の目的と概要
2. 回答企業情報
3. 選択式設問の回答結果

3-1. 各企業におけるデータの越境移転・利活用状況（Q1-Q10）
3-2. EU圏からのデータの越境移転状況（Q11-Q15）
3-3. DFFTの実現に向けた取組状況及び期待感（Q16-Q17）
3-4. 国際的な標準認証への期待感（Q18-Q19）
3-5. Global CBPRへの期待感（Q20）
3-6. ガバメントアクセスへの対応（Q21）
3-7. 企業のガバナンス体制の整備状況（Q22-Q23）

4. 記述式設問の回答結果

4-1. 各企業におけるデータの越境移転・利活用状況（Q1-Q7）
4-2. EU圏からのデータの越境移転状況（Q8-Q13）
4-3. 海外居住者のデータ取扱いに関する対応（Q14）4-4. DFFTの実現に向けた取組状況及び期待感（Q15-Q16）
4-5. 国際的な標準認証への期待感（Q17-Q18）
4-6. Global CBPRへの期待感（Q19）
4-7. ガバメントアクセス/データローカライゼーションへの対応（Q20）
4-8. 企業のガバナンス体制の整備状況（Q21-Q22）
4-9. 関心の高い海外法規制（Q23）

5. 業種別回答状況
6. 調査結果を踏まえた当委員会の施策への示唆

1

1. アンケート調査の目的と概要

2

アンケート調査の背景と目的•

当委員会は、個人情報が安全・円滑に越境移転できる国際環境の構築において、事業者側のニーズを把握した上で、ビジネスの様
態や規模に応じて、複数の選択肢から利用しやすい越境移転のスキームを選ぶことができる国際環境の構築を目指している。

•

この観点より、様々な業種・規模の民間企業から、個人情報の越境移転の状況、越境移転規制を含む海外個人情報保護法制への対応における課題等の情報を収集し、今後の当委員会での政策検討の材料とすることを目的にアンケート調査を実施した。
■アンケート調査の背景• 当委員会では個人情報が安全・円滑に越境移転できる国際環境の構築を目指す観点から、事業者側のニーズを把握した上で、ビジネスの様態や規模に応じて、複数の選択肢から利用しやすい越境移転のスキームを選ぶことができるような環境構築を図ることとしている。
• 「個人情報保護委員会の国際戦略」（令和5年3月29日個人情報保護委員会決定）においても、国際動向の把握と情報発信に取り組むに当たり、企業ニーズを把握することの重要性について言及している。
• 企業活動のグローバル化に伴い、各企業が海外法規制への対応やデータの越境移転規制への対応が求められる機会が増えていると想定されることから、企業ニーズの一環として、企業が抱える課題や当委員会への意見についても把握することが求められている。
■アンケート調査の目的• 上記の背景を踏まえ、様々な業種・規模の民間企業から、どのような個人情報の越境移転が実施されているか、越境移転規制を含む海外個人情報保護法制への対応にあたりどのような課題があるのか等の情報を収集し、今後の当委員会での政策検討の材料とすることを目的にアンケート調査を実施した。

3

アンケート調査の概要•

2022年11月から12月にかけて、経済団体連合会（以下「経団連」という。）及び新経済連盟（以下「新経連」という。）の加盟企業を対象に、企業におけるデータの越境移転等の実態を把握すべく、アンケート形式の調査を実施した。

•

本アンケートは各種選択肢より回答を選択する選択式設問と、企業の意見や課題感等を自由に記述する記述式設問で構成され、それぞれの形式において回答結果を取りまとめている。
■調査方法
Excel形式の回答票に回答する形の企業向けアンケート調査※1
アンケート調査結果を踏まえたインタビュー調査（集計対象外）■アンケート調査期間
2022年11月-2022年12月■調査対象企業
経団連加盟企業※2
新経連加盟企業■業種分類
業種分類を次のとおり10業種とした。
•
製造業（製薬・医療機器製造業、自動車製造業を除く）、製薬・医療機器製造業、自動車製造業、情報通信・メディア・広告業、金融・保険業、卸売・小売業、建設・不動産・物品賃貸業、航空・物流・運輸業、ゲーム・エンターテインメント業、サービス業（いずれにも該当しない業種）■有効回答数
経団連加盟企業：58社
新経連加盟企業：8社※1:アンケートは回答企業及び回答内容の匿名性の確保を条件に回答を求めたため、匿名性の確保や回答企業側の事情によって回答が困難な設問については無回答で問題ない旨通知の上実施した。
※2:経団連加盟企業への調査は全加盟企業を対象とはせず、経団連のデジタルエコノミー推進委員会及び関連部会・WG構成員の所属企業を対象に実施した。

4

調査結果の取りまとめに当たっての前提事項•

調査結果は大きく「選択式設問の回答結果」と「記述式設問の回答結果」に分類の上取りまとめており、各回答結果のうち、業種別の回答動向の整理が有効と考えられた一部設問に限り、「業種別回答状況」として整理している。

•「選択式設問の回答結果」では、各企業におけるデータの越境移転対応等の状況について、最も該当する選択肢を選択する形式の設問への回答内容を取りまとめている。なお、各企業の回答内容のうち、いずれの選択肢とも判断できない回答が一部含まれていたため、当該回答は無回答（判別不可）として整理した。

•「記述式設問の回答結果」では、各企業におけるデータの越境移転対応等の状況について、具体的に取り組んでいる施策の内容や課題感等に関する自由記述を取りまとめている。また、各企業から得られた回答には、共通の回答
内容も多く含まれていたため、回答結果を事務局にて分類の上、取りまとめている。なお、選択式設問と同様に、回答内容の判別が困難である回答は無回答（判別不可）として整理した。

•「記述式設問の回答結果」では、取りまとめた結果としての回答分類に加え、企業から得られた意見についても一部掲載している。意見の掲載に当たっては、極力得られた意見を加工せずに掲載しているが、企業の特定につながり得る回答内容については加工をし又は掲載を控えている。

•

なお、一部の設問においては、有効回答数が非常に限られていたり、記述式回答内容が各企業の実情や事業性質が反映された多様な内容であるため、これらの設問の回答結果を分類し、取りまとめることは困難であった。そのため、事務局側において、当該設問を取りまとめの対象の設問から除いている。よって、アンケートにおける全ての設問に対する回答結果を網羅しているわけではない。

5アンケート設問分類及び内容（1/2）
No.

項目（設問分類）

項目内容・設問の目的

1

各企業におけるデータの越境移転・利活用
状況

各企業における個人データの越境移転状況や、個人データの利活用状況等について確認する。調査結果を踏まえ、具体的にどのような個人データの越境移転が活発に行われているか、どのような国・地域間で越境移転が行われており、政策として重点を置いて検討すべきであるかを判断する際の指標とする。

2

EU圏からのデータの越境移転状況

十分性認定、企業間契約の締結、標準契約条項等、EUから他国へのデータの越境
移転に関するクリアランス要件は複数存在するが、いずれの方法を用いているか等を確認する。調査結果を踏まえ、企業にいずれの方法が受け入れられているか、対応に苦労しているかについて把握し、EU関係当局との意見交換等に活用する。

3

DFFTの実現に向けた取組状況及び期待感

DFFT※の概念の下、民間企業がDFFTの実現に関しどのような期待を持っているか、他国を含めたビジネスの展開において、自由なデータ流通をどのように捉えているかについて確認する。調査結果を踏まえ、今後のDFFT普及に向けた方策を検討する材料とする。
※DFFT（Data Free Flow with Trust）とは、信頼性のある自由なデータ流通を意味し、プライバシーやセキュリティ・知的財産権に関する信頼を確保しながら、ビジネスや社会課題の解決を目的として有益なデータが国境を意識することなく自由に行き来する、国際的かつ自由なデータ流通の促進を目指すこと。

4

国際的な標準認証への期待感

企業における国際的な標準認証への関心の有無、標準認証の在り方に関する意見を確認する。調査結果を踏まえ、どのような標準認証が企業の取得意欲を高めるか等を
検討する。

5

Global CBPRへの期待感

Global CBPRに対する企業の認知状況及び期待感を確認する。調査結果を踏まえ、今後どのようにGlobal CBPRに関する議論を進めていくか、どのような枠組みとすべきであるかを検討する際の材料とする。

6

アンケート設問分類及び内容（2/2）
No.

項目（設問分類）

項目内容・設問の目的

6

ガバメントアクセス/データローカライゼーション
への対応

一部の国において、ガバメントアクセスやデータローカライゼーションといった各国政府当局からの要請への対応が必要な規制が存在する。これら規制に対する企業の対応状況や、規制対応における課題点等を確認する。調査結果を踏まえ、ガバメントアクセス等を受けている状況を把握し、個人情報保護委員会としてどのような情報提供、支援等が可能であるかを検討する際の材料とする。

7

企業のガバナンス体制の整備状況

グローバル規模で事業を展開する企業においては、各国のデータ保護法制が整備されつつあることを踏まえ、海外法令対応を念頭に置いた、ガバナンス体制の整備が求められている。本状況に対する各企業のガバナンスの体制整備状況を確認する。調査結果を踏
まえ、ガバナンス体制を整備する企業に対しどういった情報の提供が有効であるか等を検討する際の材料とする。

8

海外居住者のデータ取扱いに関する対応

企業活動がグローバルに行われるようになるにつれ、海外居住者の情報取得や、データの越境移転の増加が想定されることを踏まえ、企業における海外居住者のデータの取扱
い現況やデータの越境移転状況の確認、対応に当たり課題であると感じている点を確認する。調査結果を踏まえ、企業における海外居住者データの適切な管理に繋がる情報提供の形を検討する際の材料とする。

9

関心の高い海外法規制

諸外国においてプライバシー、データ保護関連の規制が施行、改定されており、企業が対応を求められている状況を受け、特に企業の関心の高い法規制を確認する。

10

その他個人情報保護委員会への要望等

民間企業から個人情報保護委員会に対する要望（主に国際・海外対応観点で）があれば確認する。

7

（参考）各設問分類に関する図解

データの
越境移転

【①企業の取組状況、要望等に関する設問】
・各企業におけるデータの越境移転・利活用状況
・企業のガバナンス体制の整備状況
・海外居住者のデータ取扱いに関する対応・関心の高い海外法規制・その他個人情報保護委員会への要望等

日本【②国際的なデータの越境移転の枠組み等に関する設問】
・DFFTの実現に向けた取組状況及び期待感
・国際的な標準認証への期待感
・Global CBPRへの期待感

A国

B国（EU圏内国）（日本を除くEU圏外国）【③EU圏からのデータの越境移転状況に関する設問】
・EU圏からのデータの越境移転状況【④EU地域を除く第三国における規制への対応状況に関する設問】
・ガバメントアクセス/データローカライゼーションへの対応

8

2. 回答企業情報

9

回答企業の業種•

回答企業66社のうち製造業（製薬・医療機器製造業、自動車製造業を除く）が19社（29%）と最も大きなウェイトを占めた。

Q. 貴社の業種をお選びください。
サービス業
ゲーム・エンタメ業
建設・不動産・12%2%

製造業（製薬・医療機器製造
業、自動車製造業を除く）
29%

物品賃貸業
3%

業種

有効回答数(n=66)

製造業（製薬・医療機器製造業、自動車製造業を除く）

19社（29%）

情報通信・メディア・広告業

11社（17%）

金融・保険業10社（15%）

卸売・小売業5社（8%）

自動車製造業4社（6%）

製薬・医療機器製造業

3社（4%）

航空・物流・運輸業

3社（4%）

建設・不動産・物品賃貸業

2社（3%）

ゲーム・エンターテインメント業

1社（2%）

サービス業（いずれにも該当しない業種）

8社（12%）

航空・物流・運輸業
4%
製薬・医療機器製造業
4%
自動車製造業
6%

卸売・小売業
8%

情報通信・メディア・
金融・保険業
15%

広告業
17%

10

回答者の所属部署•

回答者の所属は法務、コンプライアンス、プライバシー関連部署及び情報システム・セキュリティ関連部署がいずれも26社（31%）、
総務、人事、リスク管理関連部署が17社（20%）、国際・海外事業関連部署が12社（14%）であった。

Q. 回答者の所属部署をご教示ください。
IT・経営企画、
マーケティング、DX
国際・海外事業関連
部署 14%

関連部署 4%

法務、コンプライアンス、プラ
イバシー対応関連部署
31%

回答者の所属部署

有効回答数(n=66)
複数回答可

法務、コンプライアンス、プライバシー対応
関連部署

26社（31%）

情報システム・セキュリティ関連部署

26社（31%）

総務、人事、リスク管理関連部署

17社（20%）

国際・海外事業関連部署

12社（14%）

IT・経営企画、マーケティング、DX関連部署

3社（4%）

総務、人事、リスク管理関連部署20%

情報システム、セキュリティ関連
部署 31%

11

3. 選択式設問の回答結果

12

3-1. 各企業におけるデータの越境移転・利活用状況13Q1. 海外居住者のデータ取得状況•

回答企業66社のうち、54社（82%）が海外居住者のデータを取得していた。

Q1. 海外居住者※のデータを取得していますか。
※ここでいう海外居住者とは、国籍にかかわらず、日本国外の他国に居住する者を示します。

選択肢

有効回答数（n=66）

取得している

54社（82%）

取得していない

12社（18%）

取得していない 18%

取得している 82%

14

Q2. データの越境移転状況•

回答企業66社のうち、57社（86%）の企業がデータの越境移転を行っていた。

Q2. 貴社においてデータの越境移転※を行っていますか。
※本調査におけるデータの越境移転とは、個人情報保護法に定義される外国にある第三者へのデータの提供に加え、外国に所在するクラウドサーバーにデータを移転、保管することや国内の本店から外国の支店にデータを提供する等、外国において個人データを取り扱う場合も含むものとしています。
選択肢

行っていない 14%

有効回答数(n=66)

行っている

57社（86%）

行っていない

9社（14%）

行っている 86%15

Q3. データの越境移転元及び移転先•データの越境移転を行っていると回答した企業57社のうち、データ越境移転元及び移転先は、それぞれ日本から他国への移転が56
社（98%）、他国から日本への移転が48社（84%）、他国から他国への移転が31社（64%）であった。

Q3. データの越境移転を行っている場合、日本から他国へのデータの移転、他国から日本への移転、他国から別の他国への移転のいずれを行っていますか。該当するものを全て選択してください。（複数回答可）

選択肢

日本から他国98%

他国から日本

有効回答数（n=57）
複数回答可

日本から他国への移転を行っている

56社（98%）

他国から日本への移転を行っている

48社（84%）

他国から別の他国（日本以外）への移転を行っている31社（64%）84%

他国から他国（日本以外）

64%

0%

20%

40%

60%

80%

100%

16

Q4. 要配慮個人情報の越境移転•

回答企業66社のうち、要配慮個人情報を日本から他国へ移転している企業は17社（26%）であった。

Q4. 日本から他国への越境移転の対象データに、日本の個人情報保護法に定義される要配慮個人情報が含まれていますか。
選択肢含まれている 26%

有効回答数（n=66）

含まれている17社（26%）

含まれていない（移転していない）

49社（74%）

含まれていない 74%

17Q5. 匿名加工情報の越境移転•

回答企業66社のうち、匿名加工情報を日本から他国へ移転している企業は3社（5%）であった。

Q5. 日本から他国への越境移転の対象データに、日本の個人情報保護法に定義される匿名加工情報が含まれていますか。
選択肢含まれている 5%

有効回答数（n=66）

含まれている3社（5%）

含まれていない（移転していない）

63社（95%）

含まれていない 95%

18

Q6. 個人関連情報の越境移転•

回答企業66社のうち、個人関連情報を日本から他国へ移転している企業は18社（27%）であった。

Q6. 日本から他国への越境移転の対象データに、日本の個人情報保護法に定義される個人関連情報が含まれていますか。
選択肢含まれている 27%

有効回答数（n=66）

含まれている18社（27%）

含まれていない（移転していない）

48社（73%）

含まれていない 73%

19

Q7. 採用されている越境移転根拠•

回答企業66社のうち、同一法人格ではない企業の越境移転根拠の採用状況は、いずれの移転根拠もほぼ同程
度の採用状況であった。

Q7. 貴社がグループ企業である場合、データの越境移転先における法人格は、移転元と同じでしょうか。異なる場合、日本から日本国外への個人データの提供における根拠をご教示ください。（複数回答可）

基準適合体制

選択肢

48%

有効回答数
（n=66）
複数回答可

同一法人格ではなく、法第28条1項に規定される基準
32社（48%）適合体制を整備している者に対し移転している

本人同意

47%

同等水準の制度国

45%

同一法人格

23%

移転なし、無回答等

23%
0%

20%

40%

60%

同一法人格ではなく、法第28条1項に規定される本人の同意取得及び同2項に規定される情報提供を根拠と 31社（47%）
して移転している
同一法人格ではなく、法第28条1項に規定される我が国と同等の水準にあると認められる個人情報の保護に 30社（45%）
関する制度を有している外国に対して移転している

80%

同一法人格である

15社（23%）

グループ企業でない/移転なし/無回答

15社（23%）100%

20

Q8. 同意取得時における本人向け提供情報の収集方法•

回答企業66社のうち、45社（68%）が個人情報保護委員会の公表資料を基に、本人の参考となるべき情報を収集していた。

Q8. 個人情報保護法第28条1項においては、外国にある第三者へ個人データを提供する場合には、一部の場合を除き、あらかじめ外国にある第三者への提供を認める本人の同意を得なければならず、同2項において、本人の同意を得ようとする際、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人の参考となるべき情報を当該本人に提供しなければならないとされています。日本から日本国外へのデータの移転を行っている場合、どのように本人の参考となるべき情報を収集しているかについてご教示ください。
選択肢

無回答 17%

委員会以外の他
組織調査結果3%

有効回答数（n=66）

個人情報保護委員会の公表資料を参照

45社（68%）

自社で独自に収集

8社（12%）

個人情報保護委員会以外の組織等が調査した情報を参照

2社（3%）

無回答

11社（17%）

独自収集 12%

委員会公表資料 68%

21

Q9. 収集した本人向け提供情報の提供方式•

回答企業66社のうち、28社（42%）が個人情報保護委員会の公表資料ページ等の出典元リンクを自社のホームページ等に掲載する形で情報提供を行っていた。

Q9. 前設問と関連し、どのように本人に対し情報提供しているかについてご教示ください。

委員会リンクをHP等に掲載
無回答 18%

自社HP等に直接42%

選択肢

有効回答数（n=66）

個人情報保護委員会の公表資料ペー
ジ等出典の元リンクを自社ホームページ
等に掲載している28社（42%）

紙媒体で提示できるよう用意している

15社（23%）

情報自体をホームページ等の電子媒体に掲載している11社（17%）

無回答

12社（18%）

掲載 17%

紙媒体で準備 23%22

Q10. 移転影響評価（TIA）の実施状況•

回答企業66社のうち、TIAを実施している企業は23社（35%）であった。

Q10. 日本から他国へのデータの越境移転に際し、移転先国における個人情報の取扱いが適切であるか否かについて、移転先国におけるガバメントアクセスの制度・実務も踏まえた移転影響評価（Transfer Impact Assessment）を実施していますか。
選択肢
無回答 17%

実施している 35%

有効回答数（n=66）

実施している23社（35%）

実施していない

32社（48%）

無回答

11社（17%）

実施していない
48%

23

3-2. EU圏からのデータの越境移転状況

24

Q11. EU圏からのデータ越境移転状況•

回答企業66社のうち、過半数の38社（57%）がEU圏から他国に対しデータの越境移転を行っていた。

Q11. EU圏内国からEU圏外の他国へのデータの移転が行われていますか。
選択肢
無回答 11%

EU圏内から他国へ移転していない 32%

有効回答数（n=66）

EU圏内から他国へ移転している

38社（57%）

EU圏内から他国へ移転していない

21社（32%）

無回答

7社（11%）

EU圏内から他国へ移転している 57%

25

Q12. 移転根拠としての十分性認定•

回答企業66社のうち、31社（47%）がEU圏からの移転について十分性認定を移転根拠としていた。

Q12. EU圏内国からEU圏外の他国へのデータの移転根拠について、十分性認定に基づいていますか。

十分性認定に基づいている47%

無回答 41%

選択肢

有効回答数（n=66）

十分性認定に基づいている

31社（47%）

十分性認定に基づいていない

8社（12%）

無回答（移転なしを含む）

27社（41%）

十分性認定に基づいていない12%

26

Q13. 移転根拠としての拘束的企業準則（BCR）承認•

回答企業66社のうち、1社（2%）がBCR承認を移転根拠としていた。

Q13. 貴社においてグループ企業が存在する場合、EU/GDPR対応として、拘束的企業準則（BCR）承認を取得していますか。
BCR承認を取得している2%

選択肢

無回答 24%

有効回答数（n=66）

移転根拠とするため
BCR承認を取得している1社（2%）

移転根拠とするため
BCR承認を取得していない

49社（74%）

無回答（移転なしを含む）

16社（24%）

BCR承認を取得していない 74%

27

Q14. EU圏からの移転根拠の採用状況•

回答企業66社のうち、27社（41%）が十分性認定と標準契約条項（SCC）を併用する形で移転根拠としていた。

Q14. EU圏内国からEU圏外の他国へのデータの移転根拠について、自社における適用状況をご教示ください。

十分性認定及びSCCを併用
41%

無回答 38%

選択肢

有効回答数（n=66）

十分性認定に加えSCCを併用する形で移転根拠としている27社（41%）

十分性認定のみを移転根拠としている

8社（12%）

十分性認定を根拠とする移転が可能だ
がSCCを根拠としている

6社（9%）

無回答（移転なしを含む）

25社（38%）

十分性認定を移転根拠とすることができないためSCCを根拠としている

0社（0%）SCC（十分性認定を根拠とすることは可能） 9%

十分性認定のみ 12%28

Q15. 企業間契約の締結•

回答企業66社のうち、過半数の35社（53%）がSCCをはじめとする企業間契約を締結していた。

Q15. データの越境移転において、企業間契約を締結していますか。（例：標準契約条項（GDPR_SCC））
選択肢
企業間契約を締結している53%

無回答 30%

有効回答数（n=66）

企業間契約を締結している35社（53%）

企業間契約を締結していない

11社（17%）

無回答

20社（30%）

企業間契約を締結していない 17%

29

3-3. DFFTの実現に向けた取組状況及び期待感

30

Q16. DFFT概念に係る認知状況•

回答企業66社のうち、半数を大きく上回る51社（77%）がDFFTの概念を認識していた。

Q16. DFFT※の概念をご存じですか。
※DFFTとは、信頼性のある自由なデータ流通_プライバシーやセキュリティ・知的財産権に関する信頼を確保しながら、ビジネスや社会課題の解決に有益なデータが国境を意識することなく自由に行き来する、国際的に自由なデータ流通の促進を目指すことを意味します。
選択肢
知らない 23%

有効回答数（n=66）

DFFTの概念を知っている

51社（77%）DFFTの概念を知らない15社（23%）

知っている 77%31

Q17. DFFTの考え方に合致する取組状況•

回答企業66社のうち、DFFTの概念を認識していた企業は半数を大きく超えていたが、DFFTの考え方に合致する概念が自社のデータ利活用方針に含まれている企業は22社（33%）であった。

Q17. 貴社におけるデータ利活用の方針にDFFTの考え方に合致するような概念が（一部でも）含まれていますか。

選択肢

無回答 5%
含まれている 33%

有効回答数（n=66）

含まれている22社（33%）

含まれていない

41社（62%）

無回答

3社（5%）

含まれていない
62%32

3-4. 国際的な標準認証への期待感

33

Q18. 国際的な標準認証の取得状況•

回答企業66社のうち、ISO27001のような国際的な標準認証を取得している企業は24社（36%）であった。

Q18. 貴社又は貴社グループにおいて、データの保護、移転に関する国際的な標準認証を取得していますか。（国際的な標準認証の例：ISO27001,
CBPR 等）

無回答 2%

選択肢
取得している 36%

有効回答数（n=66）

取得している24社（36%）

取得していない

41社（62%）

無回答

1社（2%）

取得していない62%34

Q19. 標準認証の取得に対する興味関心•

回答企業66社のうち、過半数の41社（62%）が、国際的な標準認証の取得に現状関心がなかった。

Q19. 国際的な標準認証の取得に対し興味、関心はありますか。既に標準認証を取得されている場合は、新たな標準認証の取得に関しご回答をお願いします。

選択肢

興味がある（将来的に取得してみたい）

有効回答数（n=66）

興味がある（将来的に取得してみたい）

25社（38%）

現状関心はない

41社（62%）38%

現状興味はない 62%35

3-5. Global CBPRへの期待感

36

Q20. Global CBPR立ち上げに係る認知状況•

回答企業66社のうち、過半数の43社（65%）がGlobal CBPRの立ち上げについて認識していた。

Q20. 2022年4月21日に、経済産業省と個人情報保護委員会は、我が国を含むAPEC CBPR参加エコノミーと連名で、より広範囲での個人データの円滑な越境移転や各国における規律の相互運用性の促進等の目的で、APECの枠にとらわれない、独立した新フォーラム（仮称：Global CBPR）の立ち上げを宣言することに合意しました。Global CBPRの立ち上げについてご存じですか。
選択肢
知らない 35%

有効回答数（n=66）

知っている

43社（65%）知らない23社（35%）

知っている 65%37

3-6.ガバメントアクセスへの対応

38

Q21. ガバメントアクセスへの対応状況•

回答企業66社のうち、10社（15%）がこれまでにガバメントアクセスを受けたことがあった。

Q21. 日本を含む諸外国政府当局より、ガバメントアクセス（政府機関等の公的機関による、民間部門が保有する情報へのアクセス）を受けたことがありますか。なお、ここでいうガバメントアクセスとは、諸外国政府当局からの強制力を持った要求に限らず、任意での情報提供や情報開示依頼への対応についても含むものとしてご回答ください。
無回答 3%

受けたことがある
15%

選択肢

有効回答数（n=66）

ガバメントアクセスを受けたことがある10社（15%）受けたことがない

54社（82%）無回答

2社（3%）

受けたことがない 82%39

3-7.企業のガバナンス体制の整備状況

40Q22. 企業のガバナンス体制の整備状況•

回答企業66社のうち、半数を大きく上回る49社（74%）が海外法令対応を念頭に置いたガバナンス体制の整備を行っていた。

Q22. 貴社におけるプライバシー保護の取組について、海外法令対応を念頭に置いたガバナンス体制が整備されていますでしょうか。あるいは、国内法のみを念頭において整備されていますでしょうか。
選択肢

有効回答数（n=66）

海外法令対応を念頭に置いている

49社（74%）

国内法対応のみを念頭に置いている17社（26%）

国内法対応のみを念頭に置いている 26%

海外法令対応を念頭に置いている 74%41

Q23. 海外法令対応を想定したガバナンス体制への切り替え•

回答企業66社のうち、今後切り替えを想定している企業を含め、半数を大きく上回る54社（82%）が、海外法令対応を念頭に置いたプライバシー保護体制への切り替えを推進していた。

Q23. 今後、貴社事業の展開に応じて、海外法令対応を念頭に置いたプライバシー保護体制への切り替えを想定していますか。

切り替えを想定していない

選択肢

18%

有効回答数
（n=66）

今後切り替えを想定している/切り替え済み

54社（82%）切り替えを想定していない12社（18%）

今後の切り替えを想定している/切り替え済み 82%42

4. 記述式設問の回答結果

43

4-1. 各企業におけるデータの越境移転・利活用状況

44Q1. 日本からの越境移転先•

越境移転を行っていると回答した57社のうち、APAC、NORAM及びEMEA地域の各国を含んだ移転を行っている
企業はそれぞれ40社（約70%）を超えていた。

Q1. いずれの国・地域間での越境移転を行っていますか。複数の越境移転事例が存在する場合には、それぞれ回答をお願いいたします。（複数回答可）（例：日本から中国、日本からEU圏内国、EU圏内国から米国、米国から日本等）※
地域区分※

APAC

74%

NORAM

72%

EMEA

有効回答数（n=57）
複数回答可

APAC（アジア全域、オセアニア）

42社（74%）NORAM（北アメリカ、メキシコ）

41社（72%）

EMEA（ヨーロッパ、中東、アフリカ）40社（70%）LATUM（ラテンアメリカ、カリブ海地域）

7社（12%）

70%

LATUM

12%

0%

20%

40%

60%

80%

100%

※回答いただいた国名が多岐にわたるため、本スライド上の地域区分に基づき、移転が発生している国の地域数を集計した結果を示している。また、回答企業の移転先国が「自社の事業展開先国全て」のような判別が困難な回答については明確に国名を記載いただいた国のみをカウントしている。

45

Q2. 越境移転の主目的（要配慮個人情報）•

要配慮個人情報の越境移転を行っていると回答した16社のうち、EMEA、APAC及びNORAM地域への移転を行っている企業がそれぞれ半数以上であった。

•

顧客から取得した要配慮個人情報は治験の実施や海外旅行保険サービスの運営、航空サービスの提供等の目的に利用されていた。

Q2. 要配慮個人情報を日本から日本以外の他国へと移転している場合、いずれの国に、どういったデータを、どういった目的で移転しているかをご教示ください。
（複数回答可）なお、要配慮個人情報を日本以外の他国へ移転していない場合は回答不要です。
移転先国移転対象データ

有効回答数（n=16）
複数回答可

対象データ

有効回答数（n=16）

EMEA（ヨーロッパ、中東、アフリカ）

11社（69%）

自社従業員及びその関係者から取得した
健康・病歴等のデータ

9社（56%）APAC（アジア全域、オセアニア）

10社（63%）

NORAM（北アメリカ、メキシコ）

8社（50%）

7社（44%）LATUM（ラテンアメリカ、カリブ海地域）

3社（19%）

事業推進上、顧客から取得した健康・病歴等のデータ

地域区分

移転目的例（一部回答を掲載）

対象データ

業種

移転目的

情報通信・メディア・広告業 他

自社従業員及び家族の健康・病歴等のデータ

従業員情報の管理、健康管理等のため。

製薬・医療機器製造業

被験者データ

治験の実施、医薬品等の申請のため。

金融・保険業
航空・物流・運輸業

お客様データ（病歴、診断書等）

海外旅行保険サービスの運営のため。
航空機搭乗の支障有無、到着時の受け入れ態勢の確認
のため。

46

Q3. 越境移転の主目的（匿名加工情報）•

匿名加工情報の越境移転を行っていると回答した3社全てについて、米国への移転を行っていた。

•

移転していたのはいずれも製造業（製薬・医薬機器製造業、自動車製造業を除く）であり、需要分析やAI診断機器の開発等の目的で移転されていた。

Q3. 匿名加工情報を日本から日本以外の他国へと移転している場合、いずれの国に、どういったデータ（加工元のデータ）を、どういった目的で移転しているかをご教示ください。（複数回答可）なお、匿名加工情報を日本以外の他国へ移転していない場合は回答不要です。
移転先国移転対象データ

有効回答数（n=3）
複数回答可

地域区分
EMEA（ヨーロッパ、中東、アフリカ）

1社（33%）APAC（アジア全域、オセアニア）

1社（33%）NORAM（北アメリカ、メキシコ）

3社（いずれも米国を含む）

有効回答数（n=3）

対象データ
医療関係データ

2社（67%）

自社製品の稼働情報

1社（33%）

移転目的例（一部回答を掲載）

対象データ

業種
自社製品の稼働情報

製造業（製薬・医療機器製
造業、自動車製造業を除く）

移転目的
海外販売会社での採算管理・消耗品需要分析等のため。

AI診断機器の開発等のため。
医療関係データ
業務委託のため。

47

Q4. 越境移転の主目的（個人関連情報）•

個人関連情報の越境移転を行っていると回答した15社のうち、NORAM地域への移転が9社と最も多かった。

•

移転目的はHPのアクセス状況の分析やアクセスログ等を活用したセキュリティインシデント検出目的と多岐にわたっていた。

Q4. 個人関連情報を日本から日本以外の他国へ移転している場合、いずれの国に、どういったデータを、どういった目的で移転しているかご教示ください。（複数回答可）なお、個人関連情報を日本以外の他国へ移転していない場合は回答不要です。
移転先国移転対象データ

地域区分

有効回答数（n=15）
複数回答可

NORAM（北アメリカ、メキシコ）

9社（60%）EMEA（ヨーロッパ、中東、アフリカ）

5社（33%）APAC（アジア全域、オセアニア）

2社（13%）LATUM（ラテンアメリカ、カリブ海地域）

1社（7%）

正確な区分が困難

2社（13%）

対象データ

有効回答数（n=15）

オンライン識別子/IDデータ/IPアドレス/
アクセスログ6社（40%）

Cookie情報5社（33%）

その他

4社（27%）

移転目的例（一部回答を掲載）

対象データ

業種
卸売・小売業
製造業（製薬・医療機器製造業、自動車製造業を除く）

移転目的

会員ID

会員ID（個人関連情報）の管理（ハッシュ化して第三者の海外クラウドサーバーに保存）のため。

Cookie情報等

HPのアクセス状況の分析のため。

端末識別子に結びついたアクセスログ等

セキュリティインシデント検出のため。

48

Q5. 移転影響評価（TIA）実施に当たっての課題•

TIAを実施していないと回答した企業のうち、設問への回答が得られた21社について、その理由は「リスクの高いデータ移転を行っていないため」 、 「代替手段を用いて評価しているため」 、「実施のための知見やリソース不足のため」に大別された。

Q5. 移転先国におけるガバメントアクセスの制度・実務も踏まえた移転影響評価（Transfer Impact Assessment）を実施していない場合は、その理由をご記載ください。実施している場合は回答不要です。

知見・リソースが不足している

TIAが必要となるリスクの24%

高い移転を行っていない

回答区分

有効回答数（n=21）

TIAが必要となるリスクの高いデータ移転を行っていない8社（38%）

自社ルール等のTIAの代わりとなる手段を用いて評価・移転している8社（38%）

TIAを実施するための知見やリソースが不足している5社（24%）

38%

代替手段を活用している
38%

回答例（一部回答を掲載）

業種

TIAを実施していない理由

個人情報保護委員会の公表資料により、移転先国を評価している。
製造業（製薬・医療機器製造業、自動車製造業を除く）
移転先の会社が所在する国の法令に基づき、どのような取扱いをしているかについては委託先の調査票で確認をしているため。
GDPRに基づくTIAについては社内規程の整備等を進めているが、日本から外国への移転に関する影響評価につい
情報通信・メディア・広告業ては案件ごとのレビューは行っているものの、仕組みとしては整えていない。（評価の基準が定めづらいため）49

Q6. 越境移転根拠の採用比率•

回答を得られた38社のうち、3つ以上の移転根拠を採用していると回答した企業が過半数の21社（55%）であった。

•

いずれかの移転根拠の採用が90%以上であると回答した8社のうち、本人同意を根拠とした移転が半数の4社（50%）であった。

Q6. 貴社における個人情報保護法の要件に沿ったデータの越境移転における移転根拠について、適用状況を大まかな比率でご教示ください。
回答区分

有効回答数（n=38）

3つ以上の移転根拠を採用している。

21社（55%）

本人同意の取得による移転が90%

4社（50%）

いずれかの移転根拠の適用が90%以上となっている。

8社（21%）

同一法人格への移転が90％以上

3社（38%）

その他（上記いずれにも該当しない）

9社（24%）

基準適合体制での移転が90%以上

1社（12%）

3つ以上の移転根拠を採用

本人同意

55%

している
いずれかの移転根拠の適用が90％
その他（上記いずれにも該
当しない）
0%

21%

同一法人

24%

基準適合体制50%

有効回答数（n=8）

回答区分

100%

50%

38%

12%
0%

20% 40% 60% 80% 100%50

Q7. 越境移転規制対応に当たっての課題と期待感•回答を得られた44社のうち、「自社における運用上の課題が存在すること」又は「法令対応に必要な公開情報が限られていること」を課題に挙げる企業が合計で36社を占めた。

Q7. 日本の個人情報保護法におけるデータの越境移転に関する規制について、遵守に当たり課題と感じている点や、対応に苦慮している点があればご教示く
ださい。
有効回答数
回答区分
（n=44）
特定の国の法令内容への対応に苦慮して

その他 7%いる 5%

自社における運用上の課題が存在する 45%

他企業以上に対応負荷がかかる

自社における運用上の課題が存在する（海外拠点による協力が得られにくい、対応リソースが不足している、実行体制が未整備、実務に落とし込むのが困難 等）

20社（45%）

法令対応に必要な公開情報が限られている（法規制や制度の内容が明確でない）

16社（36%）

企業の規模や事業の性質により他企業以上に対応負荷がかかる3社（7%）

特定の国の法令内容が特殊であるため対応に苦慮している2社（5%）

その他（目立った課題なしを含む）

3社（7%）

7%

対応に必要な公開情報が限られている/内容が明確でない 36%
回答例（一部回答を掲載）

業種
自動車製造業
卸売・小売業

課題感
海外法人に対する安全管理措置実施徹底の確認等が難しい。また、実施を移転先に企業としてどこまで要求できるか、また、各取扱い実務者への理解周知をどこまで要求できるか、担保できるのかが課題。
海外拠点や子会社等が多くある事業会社において、全世界の国の制度調査及び定期アップデートは非常にコスト等がかかり、対応に苦慮している。

51

4-2. EU圏からのデータの越境移転状況

52

Q8. 十分性認定以外の移転根拠の採用理由•

移転先国が十分性認定取得国であるにもかかわらず、十分性認定以外の移転根拠を採用する理由として、回答を得られた12社のうち8社（67%）が複数国間での移転における利便性を挙げ、企業間契約を採用していた。

Q8. 移転先国が十分性認定取得国であるにもかかわらず、十分性認定に基づいてEU圏内国からのデータ移転を行っていない場合、当該理由をご教示ください。

十分性認定が取り消されるリスクに備えている
33%

回答区分

有効回答数
（n=12）

移転先の事情や複数国間での移転における利便性等を考慮し企業間契約を採用しているため8社（67%）

十分性認定が取り消されるリスク等に備える
ため

4社（33%）

複数国間での移転等の利便性を考慮し企業間契約を採用 67%
回答例（一部回答を掲載）

業種

課題感

航空・物流・運輸業

相手先企業が十分性認定に依拠することを許容せず、相手先企業とSCC標準契約条項に基づき移転を行う場合もあるため。

卸売・小売業関係国が多数あり、特定の国に所在する拠点・子会社等のみ対応を分けるのは負担がかかるため。

53

Q9. 十分性認定の仕組みに対する期待感•

十分性認定の仕組みに対する期待感としては、十分性認定が安定的かつ見直し時においても越境移転が問題なく継続できることや、適用国の拡大、より世界的な標準となるような仕組みへの発展等が挙げられた。

Q9. 十分性認定の仕組みについて、学術研究分野への適用拡大等、ご要望や期待等があればご教示ください。
回答例（一部回答を掲載）

業種

情報通信・メディア・広告業

十分性認定の仕組みに対する要望・課題感
現時点で日本は、個人情報保護法と同等水準国としてEEA及び英国のみを認定しているが、昨今GDPRに類似する法令を制定する国が増加している状況がある。
そのため、EEA及び英国と同等のデータ保護法制が整備・運用され、かつ、ビジネス上の関係が強く、データの越境移転についてのニーズの高い国については、「十分性認定国」として相互に認定し合うことをご検討いただきたい。
上記の取組が実現することで、一定の個人データの保護レベルを確保しつつ円滑な越境移転が実現できると考えている。
十分性認定が安定的に運用され、万一に見直しがあった場合にも、継続的に越境移転が担保される仕組みとなることを期待する。

サービス業（いずれにも該当しな
DFFTの政策の一環として、政府間交渉により、十分性認定のような相互認定を進めていただきたい。
い業種）

製造業（製薬・医療機器製造
業、自動車製造業を除く）

当社はBtoBビジネスであり不特定な個人を扱う事はなくその量も多くないが、規制が一律であるため管理負荷が高くなっている。
個人情報は知らず知らずに（他国へ）渡ってしまうことも多く、実態の把握も難しい。
十分性認定の相手国を広めていただき、国内の管理が世界標準となるよう施策を打っていただきたい。

日-EU、英国間だけでなく、適用国を増やしてほしい。

54

Q10. 越境移転根拠の採用比率••

回答を得られた36社のうち、いずれか（１つ）の移転根拠の適用が90%以上であると回答した企業は過半数の19社（53%）であった。
いずれかの移転根拠の適用が90%以上と回答した19社のうち、十分性認定を根拠とした移転が半数を大きく上回る16社（84%）であった。

Q10. 貴社におけるEUからの個人データ移転に関する移転根拠の適用状況を比率でご教示ください。
回答区分

有効回答数（n=36）

回答区分

有効回答数
（n=19）

いずれかの移転根拠の適用が90%以上となっている。

19社（53%）

十分性認定を根拠とした移転が90%以上

16社（84%）

3つ以上の移転根拠を採用している。

9社（25%）

SCCを根拠とした移転が90％以上

2社（11%）

その他（判別不可を含む）

8社（22%）

本人同意の取得による移転が90%

1社（5%）

いずれかの移転根拠の適用

十分性認定

53%

が90％以上3つ以上の移転根拠を採用している

その他（判別不可を含む）
0%

25%

SCC

22%

本人同意
50%

100%

84%

11%

5%
0%

20%

40%

60%

80%

100%

55

Q11. 締結している企業間契約の種類と締結目的•

企業間契約を締結していると回答した36社のうち、GDPRのSCCを締結していると回答した企業が半数を大きく上回る30社（83%）であった。

Q11. 企業間契約を締結している場合は、企業間契約の種類と、対象としているデータ移転の目的をご教示ください。（例：標準契約条項（GDPR_SCC））

選択肢

自社で定めるデータ移転契約、覚書等
17%

有効回答数（n=36）

GDPR SCC

30社（83%）

自社で定めるデータ移転契約、覚書等

6社（17%）

GDPR SCC
83%
回答例（一部回答を掲載）

業種

企業間契約締結の目的

移転先国に所在する処理者への業務委託のため、特定の事業推進に必要なデータ移転先国でのデータ分析のため。
製造業（製薬・医療機器製造業、自動車製造業を除く）
移転先国のクラウドサーバーに情報を保管するため。

56

Q12. 企業間契約の締結に当たっての課題と期待感•

企業間契約の締結に当たり課題を感じていた26社のうち、「契約締結及び管理に必要な知見・対応リソースの不足」を課題に挙げる企業が12社（46%）を占めた。

Q12. データの移転に関する企業間契約の締結に関し、貴社において課題と感じている点があればご教示ください。
その他 12%

契約締結・管理に必要

回答区分

有効回答数
（n=26）

契約締結及び管理に必要な知見・対応リ
ソースの不足12社（46%）

契約内容の精査・更新及び関係者への内容説明が困難6社（23%）

複数国間での契約締結・管理対応が困難

5社（19%）

その他

3社（12%）

な知見・リソース不足
46%

複数国間での契約締結・管理が困難 19%

契約内容の精査・更新
及び関係者への内容説
明が困難 23%
回答例（一部回答を掲載）

業種

課題感
契約締結前の準備(データマッピング)があり、締結までに時間や工数を要することが課題である。また、データ移転は1on1ではなく、複数の会社となることが実態として多く、書面の署名対応が大変である。効率化できる方法を弁護士等を交え検討しているが、中々良い方法がなく対応に苦慮している。

製造業（製薬・医療機器製造業、自動車製造業を除く）
現在は欧州のデータを処理する場合に契約を締結しているが、今後、中国や他国の法令も契約を要求する場合、すべての国の法令に準ずることになり、契約管理コストが増大する。
情報通信・メディア・広告業

個人情報の取扱いに係る契約（Data Processing Agreement）の締結に同意してもらえないケースや、両社の役割（Controller/Processor）について合意するのに長期間を要する場合がある。

57

Q13. 企業間契約の新設に当たっての期待感•

企業間契約の新設に当たっての期待感としては、国別の標準契約の乱立を避けること、業者において柔軟な対応が可能となるような仕組みとすること、契約ひな形を作成すること等が挙げられた。

Q13. 日本の個人情報保護法では、GDPRのように、法令において契約の締結を移転の根拠とはしておらず、企業間契約の締結は個人情報保護法上の越境移転規制をクリアするための手段として設けられていません。
仮に企業間契約を新設する場合、GDPRのように契約の締結を移転の根拠として設定すべき等のご意見があればご教示ください。
回答例（一部回答を掲載）

業種

企業間契約の新設に対する期待感

自動車製造業

国ごとに標準契約が乱立する状況は避けてほしい。十分性認定国間でいずれかの標準契約に対応すれば良いという様な実務としていただきたい。

情報通信・メディア・広告業

何らかの関連する規律を新設する場合は、移転の根拠として追加してもらいたいと考えているが、企業間契約の様式については一
切変更不可といった様式ではなく、指定の項目と規定趣旨が反映されていれば良し、とする等、規律の趣旨を損ねない範囲で事業者において柔軟な対応が可能となるような規律としていただきたい。

金融・保険業

データ移転の法的根拠となる手段において、企業間契約の締結のみ認める、ということではなく1つの選択肢として増えることは望ましいと感じる。

製造業（製薬・医療機器製
造業、自動車製造業を除く）

相手先との交渉に時間がかかり過ぎないよう可能な限りひな形契約は簡素化してほしい。また、個人情報保護に関する認証の相互認証を進めて、契約なしでも相手方が相互認証された認証を取得していれば自由に越境移転できるようにしてほしい。

GDPRのように契約の締結を移転の根拠とし、ひな形を作成してほしい。

58

4-3. 海外居住者のデータ取扱いに関する対応

59

Q14. 海外居住者のデータ取扱いに当たっての取組状況•

海外居住者のデータを取り扱うに当たっての取組として、海外法令に対応した規程や社内ルールの整備、リスクアセス
メントの実施等が挙げられた。

Q14. 海外居住者※のデータを取り扱うに当たり、国内居住者のデータの取扱いと比較し、自社として留意している点や、取扱いに関して定めているルール等あればご教示ください。
※ここでいう海外居住者とは、国籍を問わず、日本を除く他国に居住する者を示します。
回答例（一部回答を掲載）

業種

取組例
個人情報取扱規程とは別にEU一般データ保護規則（GDPR）に係る個人情報取扱要領を定めている。その他
各国の個人情報保護法制について地域統括会社と連携し情報を収集、対応要否を検討している。

本人の居住国(在する国)や法的根拠を明確にして、台帳管理するよう規定している。
製造業（製薬・医療機器製造業、自動車製造業を除く）
海外居住者のデータ移転状況を把握し、日本及び関係する国の法規制に則ってデータを取扱うことをルール化している。
欧州と中国の個人情報は、リスクアセスメントを通じて法令順守を確認している。

情報通信・メディア・広告業

海外居住者のデータの取扱いについても、国内居住者のデータと同様に取扱いの必要性を十分に検討し、真に必要のないデータは取扱わないように留意している。

航空・物流・運輸業

GDPRに関しては、EU在住者のデータを取り扱う可能性があるシステムを開発する際には、実装しておくべき項目と機能をルール化して定めている。

60

4-4. DFFTの実現に向けた取組状況及び期待感

61

Q15. DFFTの考え方に合致している取組の内容•

DFFTの考え方に合致している各企業での取組としては、グループ企業間における包括的なデータ移転契約の締結、各国法規制に対し包括的に対応するための体制整備等が挙げられた。

Q15. 貴社におけるデータ利活用の方針にDFFTの考え方に合致するような概念が含まれている場合は、どのような内容で、これに基づいて具体的にどのようなの取組を実施されていますでしょうか。特に取り組んでいない場合は回答不要です。

回答例（一部回答を掲載）

業種

DFFTの考え方に合致するような取組

自動車製造業グループ企業間において包括的なデータ移転契約を締結し、グループ間でデータを国境を意識することなく自由に移転できる体制を整備している。

航空・物流・運輸業

データ利活用に際しては、個人を特定できないよう統計データ化したデータの利活用を原則としている。

情報通信・メディア・広告業

内規で越境移転に関するルールを定めている。当該ルールを定めて運用することは、プライバシーやセキュリティ・知的財産権に関する信頼を確保しながら、ビジネスや社会課題の解決に有益なデータが国境を意識することなく自由に行き来する、国際的に自由なデータ流通の促進を目指すものと評価できる取組であると考えている。

製造業（製薬・医療機器製
GDPR、その他の国々の個人情報保護関連のルールに包括的に対応する体制を整備しようとしている。
造業、自動車製造業を除く）

62

Q16. DFFTの推進に向けた期待感•

DFFTの推進に向けた期待感としては、より自由に個人情報を移転できるようになること、域外移転に関する国際的なルール構築、枠組み自体の明確化等が挙げられた。

Q16. DFFTの推進に向け、貴社として個人情報保護委員会に対し期待している点、懸念している点等があればご教示ください。

回答例（一部回答を掲載）

業種

期待感

自動車製造業

企業グループ内での人材活用を促進させるために、海外関係会社の社員情報も含めて、グループ内で人材情報を共有したいと考えており、より自由に個人情報を移転できるようにしてほしい。

航空・物流・運輸業

DFFTの推進により、システム投資の必要性が生じることでのコストの増大、円滑な利活用ができなくなる等グローバルな事業展開に支障をきたすことが無いよう期待している。

情報通信・メディア・広告業

データを越境移転する際のガバメントアクセスの懸念やリスクレベルについてDFFTの検討の中で考え方が示されると参考になる。
各国の規制への対応を個別に行うのではなく、域外移転に関する国際的に統一されたルールを構築し、各国及び各国事業者がそれを遵守する仕組み作りを進めてほしい。

製造業（製薬・医療機器製
個人情報保護に関する相互認証を進めて契約なしでも相手方が認証を取得していれば自由に越境移転できるようにしてほしい。
造業、自動車製造業を除く）
DFFTの枠組み自体の明瞭化やどういった場合に枠組みを活用できるのか判断基準をまずは明確にしていただきたい。

63

4-5. 国際的な標準認証への期待感

64

Q17. 標準認証の取得に当たっての課題•回答を得られた26社のうち、標準認証の取得に当たり、「取得対応に必要な知見及びリソースの確保」を課題に挙げる企業が16社（61%）を占めた。

Q17. 国際的な標準認証の取得に向け、ハードルであると感じている点があればご教示ください。既に標準認証を取得されている場合は、新たな標準認証の取得に関しご回答をお願いいたします。

事業性質、会社規

回答区分

模の都合で取得対知見及びリソースの確保が応が困難 8%

困難 61%

必要性及びメリットを見いだせない 31%

有効回答数
（n=26）

取得対応に必要な知見及びリソースの確保

16社（61%）

認証の取得の必要性及びメリットを見いだせない

8社（31%）

事業の性質や会社規模の都合により認証の取得に向けたアクションが困難

2社（8%）

回答例（一部回答を掲載）

業種

課題感

日本の認証制度との間に相互認証の仕組みがないため、認証の取得コストが高くなってしまうところ。認証間のデー
製造業
タ共有がないことで、それぞれでゼロから対応しなければならないところ。
（製薬・医療機器製造業、自動車製造業を除く）
国際的な標準認証の取得に要するコストが高額であること、取得に時間を要すること、そういったハードルを超えて認証を取得したとしてもそれぞれの国際的な標準認証を利用して越境移転できる国の数が少ないこと。
サービス業（いずれにも該当しない業種）

社内でも限られたリソースの中で業務に当たっているため、大きなリソースを要する標準認証の取得は、中々ハードルが高く、マストな状況でない限り先延ばしになってしまうという印象がある。

65

Q18. 取得している/取得を検討している認証名と理由•回答を得られた27社のうち、ほぼ全企業である26社（96%）がISO27001を取得していたが、それ以外の認証を取得していたのはそれぞれ1社のみであった。

Q18. 取得している認証名及び取得理由をご教示ください。（複数回答可）（国際的な標準認証例：ISO27001, CBPR等）

ISO27001（ISMS）

回答区分

96%

ISO27017, ISO27018

4%

BCR承認

4%
0%

20%

40%

60%

80%

有効回答数（n=27）
複数回答可ISO27001（ISMS）

26社（96%）

ISO27017, ISO27018

1社（4%）

BCR承認

1社（4%）

100%

ISO27001の取得理由（一部回答を掲載）

業種

ISO27001の取得理由

日本国内でシステム開発等を受注する際に、官公庁の入札条件となっている場合があるため。
製造業（製薬・医療機器製造業、自動車製造業を除く）
グローバルな入札時に、当社の取組としてアピールできるため。
航空・物流・運輸業

国際標準の認証を取得することで当社の利害関係者に対する信用の強化につながるため。

66

4-6. Global CBPRへの期待感

67

Q19. Global CBPRの推進に向けた期待感•

Global CBPRの推進に向けた期待感としては、CBPR取得によるメリットや効果の創出、米国やEU諸国、中国等の枠組みへの参画、域外移転に関する国際的なルール構築等が挙げられた。

Q19. 今後のGlobal CBPRに関する議論について、どのような期待感や懸念をお持ちですか。思い当たるものがあればご回答ください。
回答例（一部回答を掲載）

業種

期待感

航空・物流・運輸業

特に中国、アジア圏の法制化を踏まえた、データ移転の円滑化、手続・基準の明確化、CBPR取得によるメリットや効果の創出等。

製薬・医療機器製造業

米国、EU諸国、中国等主要な国・地域も参画する、真にグローバル規模で有効に機能する枠組みにしていただきたい。

情報通信・メディア・広告業

CBPR認証の更なる普及には、一定の範囲の政府調達の要件に組み入れることや、税制上の優遇措置を講じる等企業にとってイ
ンセンティブになる措置を講じることが考えられる。また、欧州を含めた幅広い国や地域に合わせ過ぎることによって対応コスト面等のハードルが高まり過ぎることに対する懸念が起こり得る。
認証の取得・維持コスト等に鑑みると、当該認証を取得するメリットを事業者が実務において実感できる仕組みを提供することが必要であると考える。

製造業（製薬・医療機器製造
Global CBPRの立ち上げにより、日本法、海外法いずれも準拠する包括的な法令（又はルール）の策定を期待する。
業、自動車製造業を除く）
サービス業（いずれにも該当しGlobal CBPRを取得することで、企業にとって内容が明確で具体的なメリットが有る制度としていただけることを期待する。
ない業種）

68

4-7. ガバメントアクセス/データローカライゼーションへの対応

69

Q20. ガバメントアクセス及びデータローカライゼーション対応に当たっての課題•

ガバメントアクセスやデータローカライゼーションへの対応に関し課題を感じていた26社のうち、「対応すべき事項の内容
や規制動向が不透明」であることを課題に挙げる企業が16社（62%）を占めた。

Q20. 政府からのガバメントアクセスや、データローカライゼーション（該当国内へのデータ保存が要請される規定）への対応について課題に感じている点や対応に苦慮している事項等があればご教示ください。

対応に伴うITリソース確保や維持に必要なコスト

不透明な規制動向と対応事項
62%

回答区分

有効回答数
（n=26）

対応すべき事項の内容や規制動向が不透明であり対応が困難16社（62%）対応に伴うITリソース確保や維持に係るコストの増大が予想され対応が困難

10社（38%）38%

回答例（一部回答を掲載）

業種
自動車製造業
航空・物流・運輸業
情報通信・メディア・広告業

課題感
どの国にはガバメントアクセスの懸念がある/ないのか、その懸念がどの程度あってどのような対策をとる必要があるのか、一企業では調査・判断が非常に困難であるため、結局そのような国への個人情報移転を行わないという判断をせざ
るを得ない。
クラウド等の利用でデータ移転はますますグローバル規模で行われるようになっているところ、そういった流れに逆行する規制であり企業の事業活動を阻害する要因となる。サーバーの設置等コスト負担も相当なものになるほか、当該国にデータを保存すること自体がリスクであると考える。
各国データ保護法、州法、個別分野法、事業法及びそれらの下位法令を個別にリサーチし、データローカライゼー
ションやガバメントアクセスに関する規制の存在や内容を把握することは容易でなく、そもそも、法制度の有無の把握自体のハードルの高さに苦慮している。

70

4-8. 企業のガバナンス体制の整備状況

71Q21. ガバナンス整備の具体的な取組内容•

回答を得られた41社のうち、特に「社内規程類の整備」、「プライバシーポリシーの策定」、「外部有識者（法律事務所、コンサルティン
グ会社等）の活用」に取り組む企業が多く確認された。また、グローバルでの単一ポリシーや規程整備に時間がかかること、各国の法令情報が入手できず、リスクアセスメント等が実施できないことを課題に挙げる企業も確認された。

Q21. 海外法令を念頭に置き、どういった対応を行っていますか。また、どういった対応が実施できていないと認識されていますでしょうか。なお、実施できていない
対応に関しては、その理由や、課題感をご教示ください。（対応例：プライバシーポリシーの策定、社内規程類の整備、プライバシー担当者の任命、内部監査体制の整備、研修プログラムの整理、プライバシー対応組織の構築、DPIAの実施、DPOの設置、外部有識者（法律事務所、コンサルティング会社等）の活用 等）
有効回答数
回答区分
企業が取り組んでいる施策（n=41）（企業が取り組んでいる施策）
複数回答可
社内規程類の整備
73%
プライバシーポリシーの策定

66%

外部有識者の活用

49%

研修プログラムの整備

34%

内部監査体制の整備

32%

DPIAの実施

32%

プライバシー対応組織の構築

32%

プライバシー担当者の任命

27%
0%

20%

40%

60%

80%

100%

社内規程類の整備

30社（73%）

プライバシーポリシーの策定

27社（66%）

外部有識者（法律事務所、コンサルティ
ング会社等）の活用

20社（49%）

研修プログラムの整備14社（34%）

内部監査体制の整備

13社（32%）

DPIAの実施

13社（32%）

プライバシー対応組織の構築

13社（32%）

プライバシー担当者の任命

11社（27%）

回答例（一部回答を掲載）

業種
自動車製造業

課題を感じている対応
グローバルでの単一ポリシーや規程の策定

理由

進出国の中で、文化、言語、法令が異なる状況でグループ内で同一の規程等を制定するのは整合に時間がかかる。
プライバシー対応組織のやデータガバナンス組織の構築が足元の課題であり、独立したDPOの設置については社内検討がまだ足りていない状況。

サービス業
DPOの設置（いずれにも該当しない業種）
各国の個人情報保護法令のリスクアセスメン
情報通信・メディア・広告業
各国の法令情報を入手できていない。リソース不足。
ト、日本の法令との差分の確認

72

Q22. ガバナンス整備に当たっての課題•回答を得られた21社のうち、海外法令を念頭に置いたプライバシー対応への切り替えに当たり、「各国法令に対しタ
イムリーに情報を収集し対応すること」を課題に挙げる企業が11社（52%）を占めた。

Q22. 今後、貴社事業の展開に準じて、海外法令対応を念頭に置いたプライバシー対応への切り替えを想定している場合、どういった点が切り替えに当たっての課題と認識されていますか。既に海外法令対応を念頭に置いたプライバシー対応を行っている場合には、新たな海外諸国への法令対応の拡大を想定してご回答をお願いします。
回答区分

有効回答数
（n=21）

各国法令に対しタイムリーに情報を収集し対応すること

11社（52%）

業務負荷の増大及び対応に必要なリソースの確保

5社（24%）

グローバル規模での法令対応を実施するための規程類、体制等の整備

5社（24%）

対応するための規程
類、体制等の整備
24%

各国法規制のタイムリーな情報収集 52%

業務負荷の増大及び必要なリソースの確保24%

回答例（一部回答を掲載）

業種

課題感

個人情報保護法または関連法のレベルが国によって異なるため、グループ本社がグローバル統一的かつ網羅的なルー製造業
ルを整備することが困難。
（製薬・医療機器製造業、自動車製造業
を除く）
海外各国の法令の要請事項及び施行時期がばらばらであり、すべてに計画的に対応することが困難。
そもそも海外法令対応の場合、日本法に+αで対応することが増えるため、その点が大きな課題。Fit＆Gapの整理や、サービス業（いずれにも該当しない業種） やるべきことの整理、外部有識者の利用等、かなりのリソースとコストが必要。同一サービスで海外法令対応と日本法対応が混在する場合に、データのフラグ分けや利活用方法の差異等の区別がかなり難しそうな印象もある。

73

4-9. 関心の高い海外法規制

74

Q23. 関心の高い海外法規制と理由・課題点•

回答を得られた53社のうち、過半数の37社（70%）が関心の高い国として中国を挙げた。

Q23. 現状、貴社として関心の高い海外法規制、対象国をご教示ください。複数国を記載いただいても問題ございません。（複数回答可）また、その理由についても記載をお願いいたします。
中国

回答区分

70%

米国（連邦）

45%

EU・EEA

40%

インド

15%

米国（カリフォルニア等の各州）

9%
0%

20%

40%

60%

有効回答数（n=53）
複数回答可

中国

37社（70%）米国（連邦）

24社（45%）

EU・EEA

21社（40%）

インド

8社（15%）

米国（カリフォルニア等の各州）

5社（9%）

80% 100%

回答例（一部回答を掲載）

関心の高い国業種
建設・不動産・物品賃貸業

情報通信・メディア・広告業

理由中国

サイバーセキュリティを国家安全保障の重要な分野と位置付け、サイバーセキュリティ
法、データセキュリティ法、個人情報保護法を施行しており、サイバー三法の実務的な対応に注目しているため。

米国（連邦）

連邦レベルでの規律制定動向（州レベルでの規律との差分動向含む）、特定の分野や属性に関するデータに関する規制強化の動向等の把握のため。

EU・EEA

最新法規制動向（eプライバシー関連の規律制定動向等）の把握のため。

75

5. 業種別回答状況

76Q1. データの越境移転元及び移転先•各業種のうち、製造業、製薬・医療機器製造業、自動車製造業は、各業種における半数以上の企業が日本から他国、他国から日本、他国から別の他国への移転の全てのケースを実施していた。

•

情報通信・メディア・広告業及び金融・保険業においては、日本から他国への移転はほぼ全ての企業が実施していた一方で、他国から別の他国への移転を実施する企業は限られていた。

Q1. データの越境移転を行っている場合、日本から他国へのデータの移転、他国から日本への移転及び他国から別の他国への移転のいずれを行っていますか。
該当するものを全て選択してください。（複数回答可）
業種及び企業数

日本から他国への移転

他国から日本への移転

他国から別の他国への移転

製造業（製薬・医療機器製造業、自動車製造業を除く）（全19社）

18社（95%）

16社（84%）

16社（84%）

製薬・医療機器製造業（全3社）

3社（100%）

3社（100%）

3社（100%）

自動車製造業（全4社）

4社（100%）

4社（100%）

2社（50%）

情報通信・メディア・広告業（全11社）

10社（91%）

8社（73%）

1社（9%）

金融・保険業（全10社）

10社（100%）

5社（50%）

2社（20%）

卸売・小売業（全5社）

3社（60%）

2社（40%）

2社（40%）

建設・不動産・物品賃貸業（全2社）

1社（50%）

1社（50%）

1社（50%）

航空・物流・運輸業（全3社）

3社（100%）

3社（100%）

2社（67%）

ゲーム・エンターテインメント業（全1社）

1社（100%）

1社（100%）

1社（100%）

サービス業（いずれにも該当しない業種）（全8社）

3社（38%）

4社（50%）

1社（13%）

77

Q2. 要配慮個人情報の越境移転•

各業種のうち、製薬・医療機器製造業及び航空・物流・運輸業のみが、「日本から他国への移転対象データに要配慮個人情報が含まれている」と回答した企業数が過半数であった。

Q2. 日本から他国への越境移転を行っているデータに、日本法でいう要配慮個人情報が含まれていますか。
業種及び企業数

含まれている

含まれていない（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

3社（16%）

16社（84%）

製薬・医療機器製造業（全3社）

2社（67%）

1社（33%）

自動車製造業（全4社）

2社（50%）

2社（50%）

情報通信・メディア・広告業（全11社）

1社（9%）

10社（91%）

金融・保険業（全10社）

4社（40%）

6社（60%）

卸売・小売業（全5社）

1社（20%）

4社（80%）

建設・不動産・物品賃貸業（全2社）

1社（50%）

1社（50%）

航空・物流・運輸業（全3社）

2社（67%）

1社（33%）

ゲーム・エンターテインメント業（全1社）

0社（0%）

1社（100%）

サービス業（いずれにも該当しない業種）（全8社）

1社（12%）

7社（88%）

78

Q3. 個人関連情報の越境移転•

各業種のうち、製造業（製薬・医療機器製造業、自動車製造業を除く）及び情報通信・メディア・広告業を除き、個人関連情報の越境移転の発生件数は限定的であった。

Q3. 日本から他国への越境移転を行っているデータに、日本法でいう個人関連情報が含まれていますか。
業種及び企業数

含まれている

含まれていない（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

6社（32%）

13社（68%）

製薬・医療機器製造業（全3社）

1社（33%）

2社（67%）

自動車製造業（全4社）

1社（25%）

3社（75%）

情報通信・メディア・広告業（全11社）

5社（45%）

6社（55%）

金融・保険業（全10社）

1社（10%）

9社（90%）

卸売・小売業（全5社）

1社（20%）

4社（80%）

建設・不動産・物品賃貸業（全2社）

0社（0%）

2社（100%）

航空・物流・運輸業（全3社）

1社（33%）

2社（67%）

ゲーム・エンターテインメント業（全1社）

1社（100%）0社（0%）

サービス業（いずれにも該当しない業種）（全8社）

1社（12%）

7社（88%）

79

Q4. 移転影響評価（TIA）の実施状況•

ゲーム・エンターテインメント業を除き、各業種ともTIAを実施する企業は回答企業の半数以下であった。

Q4. 日本から他国へのデータの越境移転に際し、移転先による個人情報の取扱いが適切かどうかについて、移転先国におけるガバメントアクセスの制度・実務も踏まえた移転影響評価（Transfer Impact Assessment）を実施していますか。
業種及び企業数

実施している

実施していない（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

6社（32%）

13社（68%）

製薬・医療機器製造業（全3社）

1社（33%）

2社（67%）

自動車製造業（全4社）

1社（25%）

3社（75%）

情報通信・メディア・広告業（全11社）

5社（45%）

6社（55%）

金融・保険業（全10社）

5社（50%）

5社（50%）

卸売・小売業（全5社）

1社（20%）

4社（80%）

建設・不動産・物品賃貸業（全2社）

1社（50%）

1社（50%）

航空・物流・運輸業（全3社）

1社（33%）

2社（67%）

ゲーム・エンターテインメント業（全1社）

1社（100%）0社（0%）

サービス業（いずれにも該当しない業種）（全8社）

1社（12%）

7社（88%）

80

Q5. EU圏からのデータ越境移転状況•

各業種のうち、製薬・医療機器製造業、自動社製造業を含む各製造業、情報通信・メディア・広告業及び航空・物流・運輸業については、過半数の企業がEU圏内からEU圏外へのデータの越境移転を実施していた。

Q5. EU圏内国からEU圏外の他国へのデータの移転が行われていますか。
業種及び企業数

実施している

実施していない（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

16社（84%）

3社（16%）

製薬・医療機器製造業（全3社）

3社（100%）0社（0%）

自動車製造業（全4社）

3社（75%）

1社（25%）

情報通信・メディア・広告業（全11社）

7社（64%）

4社（36%）

金融・保険業（全10社）

4社（40%）

6社（60%）

卸売・小売業（全5社）

2社（40%）

3社（60%）

建設・不動産・物品賃貸業（全2社）

0社（0%）

2社（100%）

航空・物流・運輸業（全3社）

2社（67%）

1社（33%）

ゲーム・エンターテインメント業（全1社）

0社（0%）

1社（100%）

サービス業（いずれにも該当しない業種）（全8社）

1社（12%）

7社（88%）

81

Q6. 移転根拠としての十分性認定•

業種別の回答企業のうち、製造業（製薬・医療機器製造業、自動社製造業を除く）については、回答を得られた
約90%の企業がEU圏内からEU圏外へのデータの越境移転の根拠を十分性認定としていた。

Q6. EU圏内国からEU圏外の他国へのデータの移転根拠について、十分性認定に基づいていますか。
業種及び企業数（有効回答数̲n=38※）※Q5で実施していると回答した企業
製造業（製薬・医療機器製造業、自動車製造業を除く）（全16社）

十分性認定に基づいている14社（88%）

製薬・医療機器製造業（全3社）

3社（100%）

自動車製造業（全3社）

2社（67%）

情報通信・メディア・広告業（全7社）

4社（57%）

金融・保険業（全4社）

3社（75%）

卸売・小売業（全2社）

1社（50%）

建設・不動産・物品賃貸業（全0社）

0社（0%）

航空・物流・運輸業（全2社）

2社（100%）

ゲーム・エンターテインメント業（全0社）

0社（0%）

サービス業（いずれにも該当しない業種）（全1社）

1社（100%）82

Q7. 企業間契約の締結•

各業種のうち、製薬・医療機器製造業、自動社製造業を含む各製造業及び航空・物流・運輸業については、過半数の企業がデータの越境移転において企業間契約を締結していた。

Q7. データの越境移転において、企業間契約を締結していますか。（例：標準契約条項（GDPR_SCC））
業種及び企業数（有効回答数̲n=66）

企業間契約を締結している

締結していない（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

16社（84%）

3社（16%）

製薬・医療機器製造業（全3社）

2社（67%）

1社（33%）

自動車製造業（全4社）

3社（75%）

1社（25%）

情報通信・メディア・広告業（全11社）

4社（36%）

7社（64%）

金融・保険業（全10社）

2社（20%）

8社（80%）

卸売・小売業（全5社）

2社（40%）

3社（60%）

建設・不動産・物品賃貸業（全2社）

0社（0%）

2社（100%）

航空・物流・運輸業（全3社）

3社（100%）0社（0%）

ゲーム・エンターテインメント業（全1社）

1社（100%）0社（0%）

サービス業（いずれにも該当しない業種）（全8社）

2社（25%）

6社（75%）

83

Q8. DFFT概念に係る認知状況•

いずれの業種においても、過半数の企業がDFFTの概念について認知していた。

Q8. DFFTの概念をご存じですか。
業種及び企業数（有効回答数̲n=66）

DFFTの概念を知っている

知らない（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

15社（79%）

4社（21%）

製薬・医療機器製造業（全3社）

2社（67%）

1社（33%）

自動車製造業（全4社）

3社（75%）

1社（25%）

情報通信・メディア・広告業（全11社）

8社（73%）

3社（27%）

金融・保険業（全10社）

8社（80%）

2社（20%）

卸売・小売業（全5社）

4社（80%）

1社（20%）

建設・不動産・物品賃貸業（全2社）

2社（100%）0社（0%）

航空・物流・運輸業（全3社）

2社（67%）

1社（33%）

ゲーム・エンターテインメント業（全1社）

1社（100%）0社（0%）

サービス業（いずれにも該当しない業種）（全8社）

6社（75%）

2社（25%）

84

Q9. 国際的な標準認証の取得状況•

各業種のうち、情報通信・メディア・広告業及び航空・物流・運輸業については、過半数の企業がISO27001等の標準認証を取得していた。

Q9. 貴社又は貴社グループにおいて、データの保護、移転に関する国際的な標準認証を取得していますか。（国際的な標準認証の例：ISO27001、
CBPR 等）
業種及び企業数（有効回答数̲n=66）

国際的な標準認証を取得している取得していない（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

8社（42%）

11社（58%）

製薬・医療機器製造業（全3社）

0社（0%）

3社（100%）

自動車製造業（全4社）

2社（50%）

2社（50%）

情報通信・メディア・広告業（全11社）

6社（55%）

5社（45%）

金融・保険業（全10社）

3社（30%）

7社（70%）

卸売・小売業（全5社）

1社（20%）

4社（80%）

建設・不動産・物品賃貸業（全2社）

0社（0%）

2社（100%）

航空・物流・運輸業（全3社）

2社（67%）

1社（33%）

ゲーム・エンターテインメント業（全1社）

0社（0%）

1社（100%）

サービス業（いずれにも該当しない業種）（全8社）

4社（50%）

4社（50%）

85

Q10. Global CBPR立ち上げに係る認知状況•

各業種のうち、製薬・医療機器製造業、自動社製造業を含む各製造業、情報通信・メディア・広告業、金融・保険業、航空・物流・運輸業については過半数の企業がGlobal CBPRの立ち上げについて認識していた。

Q10. 2022年4月21日に、経済産業省と個人情報保護委員会は、我が国を含むAPEC CBPR参加エコノミーと連名で、より広範囲での個人データの円滑な越境移転や各国における規律の相互運用性を促進させる等の目的で、APECの枠にとらわれない、独立した新フォーラム（仮称：Global CBPR）の立ち上げを宣言することに合意しました。貴社としてGlobal CBPRの立ち上げについてご存じですか。
業種及び企業数（有効回答数̲n=66）

Global CBPRの立ち上げについて知っていた

知らなかった（無回答を含む）

製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

13社（68%）

6社（32%）

製薬・医療機器製造業（全3社）

2社（67%）

1社（33%）

自動車製造業（全4社）

4社（100%）0社（0%）

情報通信・メディア・広告業（全11社）

8社（73%）

3社（27%）

金融・保険業（全10社）

8社（80%）

2社（20%）

卸売・小売業（全5社）

2社（40%）

3社（60%）

建設・不動産・物品賃貸業（全2社）

1社（50%）

1社（50%）

航空・物流・運輸業（全3社）

2社（67%）

1社（33%）

ゲーム・エンターテインメント業（全1社）

0社（0%）

1社（100%）

サービス業（いずれにも該当しない業種）（全8社）

3社（38%）

5社（62%）

86

Q11. 企業のガバナンス体制の整備状況•

各業種のうち、製薬・医療機器製造業、自動社製造業を含む各製造業、情報通信・メディア・広告業、金融・保険業、航空・物流・運輸業については、過半数の企業が海外法令を念頭に置いたガバナンス体制の整備を実施していた。

Q11. 貴社におけるプライバシー保護の取組について、海外法令対応を念頭に置いたガバナンス体制が整備されていますでしょうか。あるいは、国内法のみを念頭におかれていますでしょうか。
業種及び企業数（有効回答数̲n=66）

海外法令を念頭に置いている

国内法令のみ念頭に置いている製造業（製薬・医療機器製造業、自動車製造業
を除く）（全19社）

17社（89%）

2社（11%）

製薬・医療機器製造業（全3社）

3社（100%）0社（0%）

自動車製造業（全4社）

3社（75%）

1社（25%）

情報通信・メディア・広告業（全11社）

9社（82%）

2社（18%）

金融・保険業（全10社）

9社（90%）

1社（10%）

卸売・小売業（全5社）

2社（40%）

3社（60%）

建設・不動産・物品賃貸業（全2社）

1社（50%）

1社（50%）

航空・物流・運輸業（全3社）

3社（100%）0社（0%）

ゲーム・エンターテインメント業（全1社）

0社（0%）

1社（100%）

サービス業（いずれにも該当しない業種）（全8社）

4社（50%）

4社（50%）

87

6. 調査結果を踏まえた当委員会の施策への示唆

88

調査結果全体サマリ•

今回実施した調査の結果は、主に国際戦略をはじめとした当委員会の施策に係る今後の議論に活用する。

•

本章では上述の議論の参考となり得る調査結果を設問項目単位で分析し、それぞれ調査結果サマリとして取りまとめている。また、当委員会への要望及び意見についても掲載している。

【調査結果全体サマリ】
1.

多くの企業が個人データを日本から海外、海外から日本に移転していたが、とりわけAPAC地域、NORAM地域、EMEA地域との相互移転が多く確認された。また、EMEA地域のうち、EU圏との間の移転については多くの企業が十分性認定を根拠として採用している一方で、相手先企業からの求め等に応じて、又は当該認定が取り消される等のリスクに備えて、SCCについても移転根拠として併用する企業が多く見られた。

2.

個人データの越境移転において、要配慮個人情報、個人関連情報や匿名加工情報を越境移転の対象とする企業も、限定的だが存在した。

3.

個人データの越境移転に関する概念として、DFFT及びGlobal CBPRともに過半数の企業が認知していた。また、DFFTに対しては越境移転をより円滑に実施できるようになるような仕組みの整備、CBPRに対してはEUを含めたより多くの国や地域の枠組みへの参画等が期待感として挙げられた。

4.

ガバメントアクセスに対しては、対応すべき事項の内容や規制動向が不明確であるため、一企業のみでは対応が困難であること等が課題として挙げられた。
また、データローカライゼーションに対しては、規制対応のために当該国内にデータ保管用のサーバを確保することに伴うITコストの上昇を懸念していること、規制国での対応リソースが不十分であるため実現できないこと等が課題として挙げられた。

5.

ガバナンス体制の整備に当たり、プライバシーポリシーや社内規程の整備、弁護士やコンサルティング会社といった外部有識者の活用は行われているが、DPIA（データ保護影響評価）の実施やプライバシー担当者の任命等、積極的な対応を行っている企業は限られていた。また、海外法令に関する情報の取得や対応リソースの確保が困難である点等が課題として挙げられた。

89

調査結果サマリと示唆：各企業における個人データの越境移転・利活用状況
No.

項目（設問分類）

項目概要・設問の目的

1

各企業における個人データの越境移転・利活
用状況

各企業における個人データの越境移転状況や、個人データの利活用状況等について確認する。調査結果を踏まえ、具体的にどのような個人データの越境移転が活発に行われているか、
どのような国・地域間で越境移転が行われており、政策として重点を置いて検討すべきであるかを判断する際の指標とする。

【調査結果サマリ】
1. 回答企業66社のうち、57社がデータの越境移転を行っていた。
2. 越境移転元及び移転先の地域としては、APAC地域（アジア地域。オセアニア含む。）が関係する移転を行っているのが42社、NORAM地域（北米地域。メキシコを含む。）が関係する移転を行っているのが41社、EMEA地域（ヨーロッパ地域。中東アフリカを含む。）が関係する移転を行っているのが40社であった。一方でLATUM地域（中南米地域）が関係する移転を行っているのは7社であった。
3. 企業によっては越境移転の対象データに要配慮個人情報や個人関連情報も含まれていた。
4. 要配慮個人情報は自社の従業員情報の管理、健康管理等の管理目的に加え、治験の実施や医薬品等の申請といった事業推進上の目的でも移転されていた。
5. 個人関連情報は会員IDの管理、セキュリティインシデントの検出、HPのアクセス状況の分析等の幅広い目的で移転されていた。
6. 日本の個人情報保護法におけるデータの越境移転に関する対応上の課題について、自社における運用上の課題（海外拠点による協力が得られにくい、対応リソースが不足している等）が存在する、法令対応に必要な公開情報が限られている（法規制や制度の内容が明確でない）という声が、それぞれ15社以上の企業から挙げられた。
【調査結果を踏まえた今後の国際戦略など当委員会の施策への示唆】
企業によるデータの越境移転はAPAC地域、NORAM地域、 EMEA地域については積極的に行われている一方で、法令対応において運用上の課題が存在する、法令対応に必要な情報が得られていない等の課題が確認された。
国境を越えて活動する企業が、円滑な法令対応を進めることができるような情報のより一層の提供が求められている。

90

調査結果サマリと示唆：EU圏からの個人データの越境移転状況
No.

項目（設問分類）

項目概要・設問の目的

2

EU圏からの個人データの越境移転状況

十分性認定、企業間契約の締結、標準契約条項等、EUから他国へのデータの越境移転に関するクリアランス要件は複数存在するが、いずれの方法を用いているか等を確認する。調査
結果を踏まえ、企業にいずれの方法が受け入れられているか、対応に苦労しているかについて把握し、EU諸国当局との意見交換等に活用する。

【調査結果サマリ】
1. 回答企業66社のうち、38社がEU圏から他国に対し個人データの越境移転を行っており、31社が十分性認定を移転根拠として採用していた。
2. 十分性認定の仕組みに対する期待感として、EUによる認定国のさらなる拡大や、政府間交渉により日本がEU・英国以外の国とも相互認証を進めることを期待する等が多く挙げられた。
3. 回答企業66社のうち、27社が十分性認定とSCCを併用する形で移転根拠としていた。また、36社がSCCをはじめとする企業間契約を締結していた。
4. 企業間契約の締結に対する課題として、複数国及び複数の会社とデータ移転していることが多いため、契約管理コストが大きくなっていること、日本には企業間契約においてSCCのような定型がないため、個別に作成した契約書案を相手に理解させるのが困難であったこと等が挙げられた。
【調査結果を踏まえた今後の国際戦略など当委員会の施策への示唆】
日EU間・日英間における既存の相互認証については、円滑な個人データの越境移転において広く活用されており、企業に利益があるものと考えられる。
他方、個人データの越境移転が頻繁に行われているEU・英国以外の国との相互認証推進、また、日EU間・日英間においても相互認証の対象となっていない分野への拡大を期待するとの回答がある。
上記のとおり相互認証のメリットの更なる拡大が求められており、具体的には、適用範囲の学術研究分野への拡大及び我が国による認定対象国の拡大等が挙げられている。
多くの企業でSCCについても移転根拠として採用されていた。企業間契約の締結の課題への対応の一つとして、定型化の推進が挙げられている。
相互認証の対象分野の拡大や、企業間契約における定型化の推進等、企業にとってどのようなメリットとなるかについても考慮した上での議論や各国当局との意見交換が求められる。

91

調査結果サマリと示唆：DFFTの実現に向けた取組状況及び期待感
No.

項目（設問分類）

項目概要・設問の目的

3

DFFTの実現に向けた取組状況及び期待感

DFFTの概念の下、民間企業がDFFTの実現に関しどのような期待を持っているか、他国を含めたビジネスの展開において、自由なデータ流通をどのように捉えているかについて確認する。
調査結果を踏まえ、今後のDFFT普及に向けた方策を検討する材料とする。

【調査結果サマリ】
1. 回答企業66社のうち、51社がDFFTの概念を知っていた。また、22社は自社のデータ利活用方針にDFFTの考え方が部分的に含まれていた。
2. 今後のDFFTの推進に向けた期待感として、企業グループ内での海外の人材活用を進めるためにも自由な個人データ移転ができるようにしてほしい、域外移転に関する国際的に統一されたルールを構築し、各国及び各国事業者がそれを遵守する仕組み作りを進めてほしい等、越境移転をより円滑に実施できるようになるような仕組みの整備が挙げられた。
3. 一方でDFFTの推進により、システム投資の必要性が生じることでのコストの増大、円滑な利活用ができなくなる等グローバルな事業展開に支障をきたす
ことが無いようにしてほしい等の懸念の声も挙げられた。

【調査結果を踏まえた今後の国際戦略など当委員会の施策への示唆】
企業側からはDFFTの推進に伴い、より円滑に越境移転が可能となるようなルールの整備が期待されている一方で、整備に伴う企業側でのコストの増大や事業展開への支障に対する懸念も挙げられた。
DFFT推進の観点から、越境データ移転ツールについては、企業グループ内での移転の円滑化のほか、国際的に統一されたルール形成の要望等グロー
バル規模の移転に向けた取組が期待される。

92

調査結果サマリと示唆：国際的な標準認証への期待感
No.

項目（設問分類）

項目概要・設問の目的

4

国際的な標準認証への期待感

企業における国際的な標準認証への関心の有無、標準認証の在り方に関する意見を確認する。調査結果を踏まえ、どのような標準認証が企業の取得意欲を高めるか等を検討する。

【調査結果サマリ】
1. 回答企業66社のうち、国際的な標準認証を取得していたのは24社であった。また、今後標準認証に関心があると回答したのは25社であった。
2. 国際的な標準認証の取得に当たり、取得に必要なコストが大きいことや時間がかかること、認証の取得により越境移転が可能となる国が少ない等の理由で積極的に認証が取得されていない状況であった。
3. 認証を取得したとしても、各国の法令における差異をカバーして対応を進めることは困難であるという声も挙げられた。

【調査結果を踏まえた今後の国際戦略など当委員会の施策への示唆】
国際的な標準認証を取得することによるメリットが、現状では限られていると認識している企業が多いことを踏まえると、認証制度への理解の促進や、取得に必要となるコストや時間に見合ったメリットを提供する制度の構築が求められる。

93

調査結果サマリと示唆：Global CBPRへの期待感
No.

項目（設問分類）

項目概要・設問の目的

5

Global CBPRへの期待感

Global CBPRに対する企業の認知状況及び期待感を確認する。調査結果を踏まえ、今後どのようにGlobal CBPRに関する議論を進めていくか、どのような枠組みとすべきであるかを検討する際の材料とする。

【調査結果サマリ】
1. 回答企業66社のうち、43社がGlobal CBPRの立ち上げを認識していた。
2. CBPRへの期待感としては、EUを含めたより多くの国及び地域の枠組みへの参画や、データ移転の円滑化、手続・基準の明確化等が挙げられた。
3. CBPR認証への意見としては、認証のさらなる普及のために、企業にとって内容が明確で具体的なメリットが有る制度として整備してほしい等が挙げられた。

【調査結果を踏まえた今後の国際戦略など当委員会の施策への示唆】
Global CBPRシステムの参加国・地域の拡大、ひいては参加企業の拡大といった、企業認証のネットワーク拡大によるメリット増大への期待感が確認されている。
企業の参加意欲が高まるよう、Global CBPR認証において各国が提供するメリットの創出（例：一定の範囲の政府調達の要件に組み入れることや、税制上の優遇措置等）への期待感が確認されている。

94

調査結果サマリと示唆：ガバメントアクセス/データローカライゼーションへの対応
No.

項目（設問分類）

項目概要・設問の目的

6

ガバメントアクセス/データローカライゼーションへの対応

一部の国において、ガバメントアクセスやデータローカライゼーションといった各国政府当局からの要請への対応が必要な規制が存在する。これら規制に対する企業の対応状況や、規制対応における課題点等を確認する。調査結果を踏まえ、ガバメントアクセス等を受けている状況を把握し、個人情報保護委員会としてどのような情報提供、支援等が可能であるかを検討す
る際の材料とする。

【調査結果サマリ】
1. 回答企業66社うち、各国政府からのガバメントアクセスを受けたことがあるのは10社であった。
2. ガバメントアクセスに対する課題としては、対応すべき事項の内容や規制動向が不明確であるため、一企業での対応は困難であること等が挙げられた。
3. データローカライゼーションに対する課題としては、規制が厳しくなるとその国ごとの対応が必要となり、内部統制の観点から対応が難しくなること、規制対応のため当該国内にデータ保管用のサーバを確保する必要がある等に伴うITコストの上昇を懸念していること、規制国での対応リソースが不十分である
ため実現できないこと等が挙げられた。

【調査結果を踏まえた今後の国際戦略など当委員会の施策への示唆】
海外でのガバメントアクセスについては、各国の法的枠組みに関し、透明性の向上が図られる必要がある。
海外でのデータローカライゼーションについては、規制の強化が国際ビジネスの阻害に繋がることとならないように、バランスのとれた内容となる国際ルールの形成が求められる。

95

調査結果サマリと示唆：企業のガバナンス体制の整備状況
No.

項目（設問分類）

項目概要・設問の目的

7

企業のガバナンス体制の整備状況

グローバル規模で事業を展開する企業においては、各国のデータ保護法制が整備されつつあることを踏まえ、海外法令対応を念頭に置いた、ガバナンス体制の整備が求められている。本状況に対する各企業のプライバシーに係るガバナンス体制の整備状況を確認する。調査結果を踏まえ、ガバナンス体制を整備する企業に対しどういった情報の提供が有効であるか等を検討する際の材料とする。

【調査結果サマリ】
1. 回答企業66社うち、49社が海外法令対応を念頭に置いていた。
2. 海外法令を念頭に置いた対応のうち、特に社内規程の整備（30社）、プライバシーポリシーの策定（27社）、外部有識者（法律事務所、コンサル
ティング会社等）の活用（20社）を行う企業が多く見られた。一方でDPIAの実施（13社）、プライバシー担当者の任命（11社）を行う企業は限られていた。
3. 上記のほか、海外法令に準拠したデータの取り扱いにおいて、企業が取り組んでいる内容としては、従業員教育の実施、データマッピングやリスクアセスメ
ントの実施、日本法令と海外法令との差分調査等が挙げられた。
4. 海外法令を念頭に置いた対応が困難な理由としては、諸外国におけるプライバシー規制動向の調査やグループ内での方針検討のためのリソース確保が困難であること、対応に当たってのノウハウが社内にないこと等が挙げられた。

【調査結果を踏まえた今後の国際戦略など当委員会の施策への示唆】
企業において海外法令対応を念頭に置いたガバナンス体制の更なる構築が必要であり、そのための支援が求められている。
当委員会としては、ホームページで公開している「データマッピング・ツールキット」や「PIAの取組の促進について－PIAの意義と実施手順に沿った留意点－」のより一層の周知・啓発を通じ、データガバナンス体制の整備、DPIAの実施、プライバシー担当者の任命等のプラクティス普及を図る必要がある。

96

当委員会に対する要望及び意見•

アンケートでは当委員会への要望及び意見を自由記述で募集。

•

主要な海外法令、契約ひな形の日本語訳の公開や、ホームページからの情報発信方法の改善等の要望を受領。

•

なお、当委員会への要望は、前述のとおり、本設問以外においても、多数寄せられている。

【当委員会への要望及び意見例】• 海外法令やSCC等の契約ひな形の日本語訳を充実させてほしい。
• 現在公表されている諸外国の法令調査報告の定期的・継続的な調査と更新をお願いしたい。
• 日本の個人情報保護法における越境移転時の対応事項について、外国事業者にもわかりやすいように、英語での解説資料を提供してほしい。
• 個人情報保護委員会で検討されているテーマごとに、リンク集などがあると助かる。
• 頻繁にホームページを閲覧していても目的の情報を探すのに時間がかかってしまうことがあるため、どこに何があるかがもう少し分かりやすくなっていると助かる。
• 漏えい等の事故報告の際にフォームへの入力を行うところ、字数制限によってエラーが生じたことがあったため、可能であれば、フォーム入力における字数制
限を見直していただきたい。 等
主に当委員会からの情報提供や、ホームページからのコンテンツの発信方法等について、いただいた御意見を踏まえ、必要に応じて改善対応を検討してまいりたい。
※上記のほか、以下のように海外法令の条文解釈まで踏み込んだ情報発信や、より頻繁な調査の実施、各企業の実務において対応する必要がある事項についての情報提供等の御要望を多く頂戴いたしました。当委員会は、外国法制の一次資料の調査・発信を主として行う機関ではなく、また、海外当局に解釈権限のある海外法令・条文の解釈や、外国法制への実務対応についてのガイダンスを提供する立場ではありません。他方、これらの御要望に対応する調査・発信は、他の機関等で行われており、インターネットでアクセス可能なことから、そちらを御参照・御活用いただくようお願いいたします。
• 海外法令の各条文の解釈、詳細説明等を強化してほしい。
• 海外の規制に関してわかりやすいガイドラインを作成してほしい。
• 頻繁かつタイムリーな海外法令の調査を行ってほしい。

97