個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成28年個人情報保護委員会告示第７号）の一部改正案の新旧対照表○平成28年個人情報保護委員会告示第７号（個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編））（赤字傍線部分は改正部分）
改正案

現行

個人情報の保護に関する法律についてのガイドライン（外国にある第三個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）

者への提供編）

目次

目次

（略）

（略）

１

（略）

１

（略）

２

総論

２

総論

（略）

（略）

（※１）規則で定める国とは、平成 31 年個人情報保護委員会告（※１）現時点で規則で定めている国はない。

示第１号に定める国を指す。詳細については、３（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国）を参照のこと。
（略）

３

個人の権利利益を保護する上で我が国と同等の水準にあると認めら（略）［３を加える。］

れる個人情報の保護に関する制度を有している外国
1

規則第 11 条
１

法第 24 条の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとする。
⑴

法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること⑵

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること⑶

我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること⑷

個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること⑸

前４号に定めるもののほか、当該外国を法第 24 条の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること

２

個人情報保護委員会は、前項の規定による外国を定める場合

2

において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。
３

個人情報保護委員会は、第１項の規定による外国を定めた場
合において、当該外国が第１項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

４

個人情報保護委員会は、第１項の規定による外国を定めた場
合において、前項の調査の結果その他の状況を踏まえ、当該外国が第１項各号に該当しなくなったと認めるとき又は当該外国について第２項の規定により付された条件が満たされなくなったと認めるときは、第１項の規定による定めを取り消すものとする。

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国は、EU が該当する。ここでいう EU とは、「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」（平成 31 年個人情報保護委員会告示第１号）に定める国を指す。
なお、EU の指定は、日 EU 間で相互の円滑な個人データ移転を図るために、欧州委員会による日本への十分性認定（GDPR（※）第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護3

水準を確保していると認める決定をいう。）に併せて行ったものである。
（※）個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに指令 95/46/EC の廃止に関する欧州議会及び欧州理事会規則（一般データ保護規則）（REGULATION OF THE EUROPEANPARLIAMENT AND OF THE COUNCIL on the protection of natural
persons with regard to the processing of personal data andon the free movement of such data, and repealing Directive
95/46/EC（General Data Protection Regulation））

４

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ず

３

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準るために必要な体制の基準

規則第11条の２

規則第11条

（略）

（略）

（略）

（略）

４－１

適切かつ合理的な方法（規則第 11 条の２第１号関係）

３－１

適切かつ合理的な方法（規則第 11 条第１号関係）

（略）

（略）

したがって、提供元の個人情報取扱事業者が CBPR の認証を取得ししたがって、提供元の個人情報取扱事業者が CBPR の認証を取得しており、提供先の「外国にある第三者」が当該個人情報取扱事業者ており、提供先の「外国にある第三者」が当該個人情報取扱事業者に代わって個人情報を取り扱う者である場合には、当該個人情報取に代わって個人情報を取り扱う者である場合には、当該個人情報取扱事業者が CBPR の認証の取得要件を充たすことも、「適切かつ合理扱事業者が CBPR の認証の取得要件を充たすことも、「適切かつ合理的な方法」の一つであると解される。なお、提供先の「外国にある的な方法」の一つであると解される。なお、提供先の「外国にある第三者」が CBPR の認証を取得している場合については、本ガイドラ

第三者」が CBPR の認証を取得している場合については、本ガイドラ

イン４－３（個人データの提供を受ける者が、個人情報の取扱いにイン３－３（個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第 11 条の4２第２号関係）)を参照のこと。

係る国際的な枠組みに基づく認定を受けていること（規則第 11 条第２号関係）)を参照のこと。

（略）

４－２

（略）

法第４章第１節の規定の趣旨に沿った措置（規則第 11 条の２３－２第１号関係）

法第４第１節の規定の趣旨に沿った措置（規則第 11 条第１号関係）法第 24 条の「この節の規定により個人情報取扱事業者が講ずべき法第 24 条の「この節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置」に該当するものとして規則こととされている措置に相当する措置」に該当するものとして規則

第 11 条の２第１号に「法第 4 章第 1 節の規定の趣旨に沿った措置」

第 11 条第１号に「法第４章第１節の規定の趣旨に沿った措置」と規と規定されている。

定されている。

（略）（略）

上記を踏まえ、「法第４章第１節の規定の趣旨に沿った措置」と上記を踏まえ、「法第４章第１節の規定の趣旨に沿った措置」として４－２－１から４－２－18 までに記述する事項について、適切して３－２－１から３－２－18 までに記述する事項について、適切かつ合理的な方法（４－１参照）に記述する方法によって担保されかつ合理的な方法（３－１参照）に記述する方法によって担保されていなければならない。

ていなければならない。

個人情報取扱事業者は、契約等に４－２－１から４－２－18 まで

個人情報取扱事業者は、契約等に３－２－１から３－２－18 までに記述する全ての事項を規定しなければならないものではなく、に記述する全ての事項を規定しなければならないものではなく、「法第４章第１節の規定の趣旨」に鑑みて、実質的に適切かつ合理「法第４章第１節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。

的な方法により、措置の実施が確保されていれば足りる。

次の４－２－１から４－２－18 までにおいては、外国にある第三次の３－２－１から３－２－18 までにおいては、外国にある第三者への個人データの提供に関する典型的な事例として、【事例１】者への個人データの提供に関する典型的な事例として、【事例１】

日本にある個人情報取扱事業者が、外国にある事業者に顧客データ日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合及び【事例２】日本にある個人情報取扱の入力業務を委託する場合及び【事例２】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合を挙げ、事業者が、外国にある親会社に従業員情報を提供する場合を挙げ、外国にある第三者又は提供元である日本にある個人情報取扱事業者

外国にある第三者又は提供元である日本にある個人情報取扱事業者
5

（以下「外国にある第三者等」という。）が講ずべき措置の具体例（以下「外国にある第三者等」という。）が講ずべき措置の具体例を示すこととする。

を示すこととする。

４－２－１～４－２－７

４－２－８

（略）

３－２－１～３－２－７

委託先の監督（法第 22 条の趣旨に沿った措置）

３－２－８

（略）

（略）

委託先の監督（法第 22 条の趣旨に沿った措置）（略）

なお、再委託については、「４－２－10 外国にある第三者へのなお、再委託については、「３－２－10 外国にある第三者への提供の制限」も参照のこと。

提供の制限」も参照のこと。

（略）

（略）

４－２－９

第三者提供の制限（法第 23 条の趣旨に沿った措置）

３－２－９

（略）

第三者提供の制限（法第 23 条の趣旨に沿った措置）（略）「外国にある第三者」から、別の「第三者」に提供する際に「外国にある第三者」から、別の「第三者」に提供する際には、法第 23 条第１項、第５項、第６項の趣旨に沿った措置を講じは、法第 23 条第１項、第５項、第６項の趣旨に沿った措置を講じなければならない。なお、提供先の第三者が「外国にある第三なければならない。なお、提供先の第三者が「外国にある第三者」（提供元である外国にある第三者と同一の国内にある第三者者」（提供元である外国にある第三者と同一の国内にある第三者を含む。）の場合は、「４－２－10 外国にある第三者への提供のを含む。）の場合は、「３－２－10 外国にある第三者への提供の制限」を参照のこと。

制限」を参照のこと。

外国にある第三者等は、個人データの第三者への提供に当た外国にある第三者等は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならない。同意り、あらかじめ本人の同意を得ないで提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人データの取扱の取得に当たっては、事業の規模及び性質、個人データの取扱状状況（取り扱う個人データの性質及び量を含む。）等に応じ、本況（取り扱う個人データの性質及び量を含む。）等に応じ、本人人が同意に係る判断を行うために必要と考えられる合理的かつ適が同意に係る判断を行うために必要と考えられる合理的かつ適切切な範囲の内容を明確に示さなければならない。なお、あらかじな範囲の内容を明確に示さなければならない。なお、あらかじ
6め、個人情報を第三者に提供することを想定している場合には、め、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない（４－２－

利用目的において、その旨を特定しなければならない（３－１－１（利用目的の特定）参照）。

１（利用目的の特定）参照）。

（略）

（略）

４－２－10 外国にある第三者への提供の制限（法第 24 条の趣旨に３－２－10 外国にある第三者への提供の制限（法第 24 条の趣旨に沿った措置）

沿った措置）（略）（略）【事例１】（略）【事例１】（略）

外国にある事業者から更に外国にある第三者に個人デ外国にある事業者から更に外国にある第三者に個人データの取扱いを再委託する場合には、法第 22 条の委託先ータの取扱いを再委託する場合には、法第 22 条の委託先の監督義務（４－２－８）のほか、法第４章第１節の規の監督義務（３－２－８）のほか、法第４章第１節の規定の趣旨に沿った措置の実施を確保する。

定の趣旨に沿った措置の実施を確保する。

（略）

（略）

４－２－11～４－２－18 （略）３－２－11～３－２－18 （略）

４－３

３－３

個人データの提供を受ける者が、個人情報の取扱いに係る個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第 11 条の２第国際的な枠組みに基づく認定を受けていること（規則第 11 条第２２号関係）

号関係）

（略）

（略）

なお、個人データを提供する者が CBPR の認証を取得している場合

なお、個人データを提供する者が CBPR の認証を取得している場合については、本ガイドライン４－１（適切かつ合理的な方法（規則については、本ガイドライン３－１（適切かつ合理的な方法（規則第 11 条の２第１号関係））を参照のこと。

第 11 条第１号関係））を参照のこと。

（略）（略）
7