Silviase/jgov_v1.4_full_ann huggingface dataset:
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
意	る。このような事後的な委託先の追加・変更の度に改めて同意が必要とするのは、データ利用の利便性を阻害する一方、提供目的は変わらず、また、外国に提供されることについても変わらず、情報提供者の予測可能性を阻害することはない。【匿名】	に外国にある第三者に提供する場面を具体的に特定する方法などが含まれ得ます。
726	2-1	外国にある第三者への個人データの提供を認める旨の本人の同意	(該当簡所)ガイドライン(外国第三者提供編)2-1(意見③)上記②につき、第三者の名称や外国名を特定する必要があるとの回答であった場合でも、関連会社については、主要な関連会社及び当該関連会社の所在する外国を例示することで足りるか。【匿名】	外国にある第三者への提供を認める旨の本人の同意を取得する際には、事業の性質及び個人データの取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によるなければなりません。この方法には、提供先の国名を個別に示す方法、実質的に本人から見て提供先の国名を特定できる方法とともに、国名を特定する代わりに外国にある第三者に提供する場面を具体的に特定する方法などが含まれ得ます。
727	2-2	外国にある第三者	・外国にある第三者への提供編2-2の「本人の同意」の定義は、本人の個人データが、個人情報取扱事業者によって「第三者」に提供されることを承諾する旨の当該本人の意思表示をいうのではなく、本人の個人データが、個人情報取扱事業者によって「外国にある第三者」に提供されることを承諾する旨の当該本人の意思表示をいうとすべきではないか、確認されたい。もし、そうでなければ、そうする必要がない理由について説明されたい。【金融機関における個人情報保護の実務研究会】	御指摘の箇所について、ここでいう第三者とは「外国にある第三者」のことを指していることは明白であり、一般的に現状の案で御理解頂けるものと考えます。
728	2-2	外国にある第三者	・外国にある第三者への提供編2-2の「外国の法令に準拠して設立され外国に住所を有する外国法人であっても、当該外国法人が法第2条第5項に規定する「個人情報取扱事業者」(※)に該当する場合には、「外国にある第三者」には該当しない。」とい解釈がどこから導かれるか説明されたい。例えば、日系企業の東京本店が、東京支店を有する外資系企業の「アメリカの本社」に直接個人データを提供する場合、当該外資系企業は「個人情報取扱事業者」に該当するので、「外国にある第三者」には該当しないという理解でよいか、確認されたい。(もし、この事例で外国にある第三者に該当するという場合、「日系企業の東京本店が外資系企業の東京支店に個人データを提供する場合、当該外資系企業の東京支店は「個人情報取扱事業者」に該当し、「外国にある第三者」には該当しない。」という説明との間でどうして相違が生じるのかについても回答されたい。【金融機関における個人情報保護の実務研究会】	個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなります。
729	2-2	外国にある第三者	・外国にある第三者への提供編2-2について、日本のクラウド事業者が海外支店・営業所(同一法人)を置いて管理しているサーバーに個人情報取扱事業者が個人データをアップロードすることは「外国にある第三者」への提供か回答されたい。また、日本のクラウド事業者の海外子会社が管理しているサーバーに個人情報取扱事業者が個人データをアップロードすることは	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められる
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
「外国にある第三者」への提供か回答されたい。更に、外国のクラウド事業者が日本支店・営業所（同一法人）を置いて管理しているサーバーに個人データをアップロードすることは「外国にある第三者」への提供か回答されたい。【金融機関における個人情報保護の実務研究会】	ており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。また、個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなります。
730	2-2	外国にある第三者	(該当簡所)外国にある第三者への提供編（案） 2-2 外国にある第三者 5頁(意見・要望等)「例えば、外国法人であっても、日本国内に事務所を設置している場合、又は、日本国内で事業活動を行っている場合など、日本国内で「個人情報データベース等」を事業の用に供していると認められるときは、当該外国法人は、「個人情報取扱事業者」に該当するため、「外国にある第三者」には該当しないとある。この場合の、事業者該当性の判定は、日本国内の個人を相手として商品や役務の提供をしているか否か、に拠るとの理解でよいか。これ以外に、例えば、以下のような観点は判定基準と考えられていないとの理解でよいか。日本国内に事務所を設置しているか否か・日本国内で事業活動（例：営業・勧誘）を行っているのか、海外から事業活動を行っているのか・個人データの提供先や提供に係る契約などの相手先が、外国法人の外国事業所であるか、日本国内の事務所であるか・提供される個人データが格納されるサーバーが日本国内に有るか否か【一般社団法人国際銀行協会】	個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなりますが、一般論として、御指摘の観点も判断要素となり得るものと考えられます。
731	2-2	外国にある第三者	(該当簡所) 外国にある第三者への提供編（案） 2-2 外国にある第三者 5頁（意見・要望等）「外国にある第三者への提供編」（案）の5頁には、次の記載が有る。「事例」日系企業の東京本店が外資系企業の東京支店に個人データを提供する場合、当該外資系企業の東京支店は「個人情報取扱事業者」に該当し、「外国にある第三者」には該当しない。」東京支店と当該外資系企業（本国に所在する同一法人）との間には、例えば、以下のような個人データの取扱いが起こり得るが、こうした取扱いを行う場合も含めて、東京支店及びそれが所属する外資系企業は「個人情報取扱事業者」に該当し、「外国にある第三者には該当しない」との理解でよい	個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなります。御指摘の例におきましても個別判断となりますが、一般論として、日本国内で個人情報データベース等を事業の用に供しているとは認められない場合においては、国内に拠点が有るか
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
いか。提供されたデータを東京支店から外国事業所に提供する場合・個人データが東京支店に対してではなく、当該外資系企業（外国法人）の外国事業所に対して直接、提供される場合・外国事業所にデータを保管する場合【一般社団法人国際銀行協会】	否かを問わず、個人情報取扱事業者には該当せず、「外国にある第三者」に該当するものと考えられます。
732	2-2	外国にある第三者	(該当簡所)外国にある第三者への提供編（案） 2-2 外国にある第三者 5頁(意見・要望等)5頁では、同一企業グループに属するものの、法人格が異なる海外所在のグループ会社に対して、個人データを提供する場合には、“外国にある第三者への提供”に該当する、とされている。このため、法第24条が適用され、そのままでは、法第23条第5項第1号に規定されている、“委託”に該当することは無く、ましてや、同第2項に規定されているわゆる“オプトアウト制度”を用いることも許されていない。それらの方策を用いるためには、法第24条に係る規則第11条に規定する“基準”に適合する必要があり、具体的には、ガイドライン（案）の「3-1適切かつ合理的な方法」にあるとおり、グループの内規やプライバシーポリシーにおいて、法第4章第1節の規定の趣旨に沿った措置の実施が確保されればならない（あるいは、国際的な枠組みに基づく認定）。しかし、同時に5頁では、「外国法人であっても、・・・・日本国内で『個人情報データベース等』を事業の用に供していると認められるときは、・・・『個人情報取扱事業者』に該当するため、『外国にある第三者』には該当しない」とされている。したがって、法第23条が適用されるため、同第5項第1号の“委託”に該当する場合には、そもそも「第三者への提供」に該当せず、“委託”に該当しない場合でも、同第2項の“オプトアウト制度”を用いるという方策が開かれている。このような差異の結果、同一企業グループに属する外国法人に提供する場合の方が、グループ外の外国法人に提供する場合よりも、過重な規制となっているように窺える。本来、外国法人は、事業性が有れば、個人データの提供を受けた時点で、個人情報取扱事業者に該当し、所在地（国内、外国）や国内拠点の有無などにかかわらず、管理措置や体制整備の義務が生じるものと理解している（法第75条の「域外適用」など）。同一グループに属する外国法人にまで「外国にある第三者」に該当するとするのではなく、単に「個人情報取扱事業者」に該当する、とすれば足りるのではないか（したがって、法第23条が適用される）。法第24条（外国にある第三者への提供）の適用対象となるのは、同一グループに属する外国法人を除く、純然たる第三者である外国法人（いわば“狭義の外国法人”）に限定されるべきではないか。【一般社団法人国際銀行協会】	一般的に現状の案で御理解頂けるものと考えます。なお、個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなります。御指摘の例におきましても、同一の企業グループに属するか否かで一律に判断されるものではないと考えられます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
733	2-2	外国にある第三者	<意見2>■該当簡所ページ・5 行目■意見外国法人が日本国内のデータセンター運営事業者との契約等に基づき、日本国内のデータセンターを利用することがある。そのような外国法人に対し、もっぱら日本国内のデータセンター個人データを保存することを前提として個人データを提供する場合、すなわち本邦の域外に個人データが物理的に移転することを前提としていない場合には、単に個人情報取扱事業者の義務が適用され、法第24条（外国にある第三者への提供の制限）の適用はないということを明らかにしていただきたい。■理由「外国にある第三者」該当するか否かは、別の法人格を有するかどうかにより判断されるとのことであるが、上記意見のように、本邦の域外に個人データが物理的に移動することのない場合においても、別の法人格を有している場合には法24条の適用があるのかどうか明らかにするため。【一般社団法人 電子情報技術産業協会】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。また、個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなります。
734	2-2	外国にある第三者	<意見3>■該当簡所5ページ2-2外国にある第三者■意見海外にあるクラウドに個人情報を保管する場合でも、海外事業者は個人情報にアクセスできず、国内の個人情報取扱事業者しかアクセスできないよう適切に安全管理措置が実施されている場合は、「外国にある第三者への提供」に該当しないことを明確にしていただきたい。■理由現在、上記意見欄に記載したような海外(特に米国系IT企業が運営する)の安全なクラウド利用が一般化している。このような利用に過重な負担を課すと、IoT推進に大きなマイナスとなる事態が懸念される。ガイドライン本文への記載が困難であれば、Q&A等による明確化でも構わない。【一般社団法人 電子情報技術産業協会】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
735	2-2	外国にある第三者	3.個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（案）に対する意見等「2-2外国にある第三者」において、「外国の法令に準拠して設立され外国に住所を有する外国法人であっても、当該外国法人が法第2条第5項に規定する「個人情報取扱事業者」に該当する場合には、「外国にある第三者」には該当しない。例えば、外国法人であっても、日本国内に	御指摘の例におきまして、改めて改正後の法第24条に基づく同意を得る必要が無い点については、御理解のとおりです。なお、改正後の法第75条が適用されるのは、日本の居住者等国内にある者に対して物品やサービスの
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
事務所を設置している場合、又は、日本国内で事業活動を行っている場合など、日本国内で「個人情報データベース等」を事業の用に供していると認められるときは、当該外国法人は、「個人情報取扱事業者」に該当するため、「外国にある第三者」には該当しない（事例）日系企業の東京本店が外資系企業の東京支店に個人データを提供する場合、当該外資系企業の東京支店は「個人情報取扱事業者」に該当し、「外国にある第三者」には該当しない。）とされている。ここで、「事例」のとおり、外資系企業の東京支店に個人データを提供（本人同意を得たもののほか、委託・事業承継・共同利用も含む）した後、当該東京支店から、外国の本店に個人データが送られた場合であっても、当該外国の本店は、法75条により法の域外適用を受けること、および同一法人内での個人データ授受であることから、法第24条にもとづく本人同意を改めて取得する必要はないとの理解でよいか（外国の「本店」に提供されることについて改めて同意を取得する必要はないか）。【一般社団法人全国銀行協会】	提供を行い、これに関連してその者を本人とする個人情報を取得した場面となります。
736	2-2	外国にある第三者	3.個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（案）に対する意見等外国にある「第三者」のうち、規則第11条に該当するものについては、法第24条の対象から除外されると理解しているが、次に掲げる者がそもそも「外国にある第三者」に該当するのか確認したい。また、今後策定されるガイドライン等でどのような者が外国にある第三者に該当するか明示しただきたい。①ある日本企業が個人データの保管等を外国企業に委託する場合であって、保管場所（保管するサーバー等も含む）が日本にある場合の当該外国企業②ある日本企業が個人データの保管等を日本企業に委託する場合であって、保管場所（保管するサーバー等も含む）が外国にある場合の当該日本企業【一般社団法人全国銀行協会】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
737	2-2	外国にある第三者	（該当箇所）外国第三者提供編の5～6ページ・2-2 外国にある第三者（意見）外国にある親会社が、「日本にある法人人格を持たない事業所や支店」を介して日本在住の個人から個人データを取得したり、日本にある事業者から個人データの提供を受けた場合は、この外国にある親会社は「外国にある第三者」ではなく、「個人情報取扱事業者」としての扱いを受けるのだと思いますが、示されている事例だけでは判断しかねるため、様々な事例を示すことにより、外国にある第三者の定義を明確にしていただきたいと思います。（理由）2-2の第2パラグラフでは、「日本企業が、・・・現地の事業所、支店など同一法人格内での個人データの移動の場合には「外国にある第三者」への個人データの提供には該当しない」としています。また、事例）として、「外資系企業の日本法人が外国にある親会社に個人データを提供する場合、	本ガイドライン（外国にある第三者への提供編）記載のとおり、法人の場合、個人データを提供する個人情報取扱事業者と別の法人人格を有するかどうかで第三者に該当するかを判断することとなりますので、一般的に現状の案で御理解頂けるものと考えます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
当該親会社は「外国にある第三者」に該当する」、「日系企業の東京本店が外資系企業の東京支店に個人データを提供する場合、当該外資系企業の東京支店は「個人情報取扱事業者」に該当し、「外国にある第三者」には該当しない」としています。そこで、「日系企業の東京本店が外資系企業の東京支店に個人データを提供し、その外資系企業の東京支店が外国にある親会社に個人データを移動した場合」は、当該外資系企業の東京支店は「個人情報取扱事業者」なので、そこから個人データを移動する場合は、外国にある親会社は「外国にある第三者」に該当するのでしょうか、あるいは、当該外資系企業の東京支店は法人格を有していないので外国にある親会社への個人データの移動は同一法人格内での個人データの移動になり外国にある親会社は「外国にある第三者」ではなく東京支店と「同一の個人情報取扱事業者」と考えるのでしょうか。【一般財団法人日本情報経済社会推進協会】
738	2-2	外国にある第三者	(該当簡所)外国にある第三者への提供編 2-2 外国にある第三者(意見)第三者提供先が個人情報データベース等を事業の用に供している場合、同提供先は、「個人情報取扱事業者」(法第2条第5項)であるため、「外国にある第三者」に該当しないと理解している。ところで、いわゆるクラウドサービスを利用して、クラウド環境上に個人情報データベース等を保存した場合、同サービスを反覆・継続して運営する当該サービス運営事業者は個人情報データベース等を事業の用に供していると認められることから、「個人情報取扱事業者」(法第2条第5項)に該当し、当該記載に基づく「外国にある第三者」に該当しないと理解してよいか。なお、当該サービス運営事業者が内国法人か外国法人であるかを問わず、また、同サービスに関し利用されるサーバー等施設の設置場所が国内か海外かを問わない。(理由)意味の明確化のため。【日本貸金業協会】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。また、個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなります。
739	2-2	外国にある第三者	(該当簡所)外国にある第三者への提供編の 5ページ 2-2 の 2 段落目(御意見)5ページの第2段落の例にある通り、同一グループ企業内であっても別法人の場合は「外国にある第三者」に該当するため、海外展開をしている企業は6ページの最後に記載されている事例2のように、グループ共通の内規やプライバシーポリシーなどを適切に定めることで対応することとなる。しかし、9ページの最初の3行にあるように、その基準は必ずしも明確ではないことから、モデル条項例等を記載いただきたい。	御意見は、執務の参考とさせて頂きます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
(理由) 改正前の法第23条は、第三者が国内にあるのか、海外にあるのかの区別をしていなかったこともあり、具体例等の提示だけではなく、モデル条項例等も記載いただくことで体制の整備を効率的に進めることができる。【一般社団法人 情報サービス産業協会】
740	2-2	外国にある第三者	意見46 【外国第三者提供編2-2p.5】「個人情報取扱事業者」に該当する場合には「外国にある第三者」に該当しないとの趣旨如何13行目では、「外国の法令に準拠して設立され外国に住所を有する外国法人であっても、当該外国法人が法第2条第5項に規定する「個人情報取扱事業者」に該当する場合には、「外国にある第三者」には該当しない。」とし、「例えば、外国法人であっても、日本国内に事務所を設置している場合、又は、日本国内で事業活動を行っている場合など、日本国内で「個人情報データベース等」を事業の用に供していると認められるときは、当該外国法人は、「個人情報取扱事業者」に該当するため、「外国にある第三者」には該当しない。」とするが、趣旨が不明である。法2条5項（個人情報取扱事業者）の定義には「日本国内で」個人情報データベース等を事業の用に供していることは含まれておらず、法75条（適用範囲）においても当然にそれが前提であるはずである。そこで、上記の趣旨を明らかにすることなく、以下に回答されたい。①13行目の文章「個人情報取扱事業者」に関してのみ、「日本国内で」個人情報データベース等を事業の用に供していることを要件と考えているのか。②この場合の「日本国内で」とは、物理的に個人情報データベース等が日本国内に設置されていることを指すのか。③外国法人が日本で活動する場合、少なくとも一人以上の従業員が日本国内にいることが考えられるが、そのような従業員が所持する端末に個人情報データベース等が一つでも含まれていれば当該外国法人は13行目の文章でいう「個人情報取扱事業者」であって「外国にある第三者」には該当しないと解するのか。④①ないし③が全て肯定される場合、「外国にある第三者」に含まれるものはほとんどないのではないか。全く日本国内で個人情報データベース等が存在しない者のみについて「外国にある第三者」として規制を及ぼすとするのは、解釈によって法24条の適用範囲を限定し過ぎではないか。⑤①ないし③が全て肯定される場合、欧州の十分性認定との関係で、OnwardTransferの規制が実質的には全く存在しないものとされ、十分性認定について極めて重大な支障を生ずるのではないか。⑥①ないし③が全て肯定される場合、結論の不当性が明らかであるので、「主として日本国内で「個人情報データベース等を事業の用に供していると認められるときは」とするのはどうか。【一般財団法人 情報法制研究所 個人情報保護法タスクフォース】	個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなりますので、一般的に現状の案で御理解頂けるものと考えます。
741	2-2	外国にある第三者	(該当箇所) ガイドライン（外国第三者提供編）2-2 (意見④) 法75条は「個人情報取扱事業者が、外国において当該個人情報又は当該個人情報を用いて作成	改正後の法第24条と同法第75条は、適用範囲を異にするものと考えられます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
した匿名加工情報を取り扱う場合」につき、当該事業者が、個人情報保護法上の個人情報取扱事業者であることを前提に、個人情報保護法の一部の規定が域外適用される旨規定する。一方、ガイドライン案では、日本国内に事務所を設置する外国法人又は日本国内で事業活動を行っている外国法人で、「日本国内で『個人情報データベース等』を事業の用に供していると認められる」場合に限って、当該外国法人が「個人情報取扱事業者」に該当する旨例示し、一見したところ、「個人情報取扱事業者」の範囲につき、両者に矛盾があるように見受けられる。法75条が国内に事業拠点のない国外の外国法人も「個人情報取扱事業者」に含まれるとしているため、『当該外国法人が法第2条第5項に規定する「個人情報取扱事業者」(※)に該当する場合」としているのは、この例示に拘わらず、このような国内に事業拠点のない国外の外国法人で法75条により「個人情報取扱事業者」とされるものも含まれる趣旨か。【匿名】
742	2-2	外国にある第三者	(該当箇所)ガイドライン(外国第三者提供編)2-2(意見⑤)④と関連し、日本国内で「個人情報データベース等」を事業の用に供していると認められるか否かにかかわらず、個人情報取扱事業者に該当する外国法人(第三者提供とは異なる文脈で、法75条に該当して個人情報取扱事業者とされる外国法人を含む。)は、法第24条にいう「外国にある第三者」には該当しないとの理解でよいか。【匿名】	改正後の法第24条と同法第75条は、適用範囲を異にするものと考えられます。
743	2-2	外国にある第三者	外国にある第三者について質問したい。日本の会社A社にとって、外国に本社があって日本に支店があるB社は外国にある第三者か。また、B社からみてB社の本社であるC社は外国にある第三者か。a社からみて、c者は外国にある第三者か。a社がクラウド事業者D社を使っていた時に、D者が外国のE社のデータセンターにアウトソーシングしていた場合には、A社が外国にある第三者に移転したこととなるのか。匿名加工情報は個人情報ではないので、外国にある第三者E社に渡しても問題ないか。E社が外国において受け取った匿名加工情報を外国で全て再識別することは問題ないか。e社が再識別した情報を日本国内のF社に渡すと、F社はどの法律のどの条文を守る必要があるのか。F社が受け取った情報は匿名加工情報を加工したものであるから個人情報ではないはずなので、個人情報保護法は適用されないはずである。上記のようなことを名簿屋が脱法的に行なった場合には、どのように取り締まることができるのか。【匿名】	本意見募集はガイドライン案の内容に関するものですので、御指摘の個別の事例についてはお答えしかねます。
744	2-2	外国にあ	▼外国にある第三者への提供編 2-2	クラウドサービスの内容は契約により異なり得る
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
る第三者	「外国にある」の定義において法人の場合は外国の法人格を取得しているか否かが判断基準として挙げられているが、個人情報の第三者提供をするにあたり、システムを介する場合、サーバーの物理的場所に関しては考慮する必要が無く、あくまで法人格の所在のみを基準とする考えでよいか？国内にて法人格を持つ事業者に委託したデータが、同法人が海外に展開するシステムにミラーリングされている場合は考慮しなくてよいか？またミラーリング先が委託先の関連会社だが外国の法人格を持つ場合、これは海外への第三者提供にあたるのか？ガイドラインのfix版において例示に基づく見解を頂きたい。【匿名】	ところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
745	2-2	外国にある第三者	▼外国にある第三者への提供編 2-2 事業者が海外に住所を置くクラウド業者と利用契約を結んだが、当該クラウド業者は国内にもデータセンターを設置しており、その国内データセンターに限り、データを格納する旨が確実な場合はガイドラインの以下の文言に該当するため、外国の第三者提供に該当しないという解釈でよいか？クラウドが委託に該当するか否かも含めたうえで、ガイドラインのfix版において例示に基づく見解を頂きたい。【また、外国の法令に準拠して設立され外国に住所を有する外国法人であっても、当該外国法人が法第2条第5項に規定する「個人情報取扱事業者」(※)に該当する場合には、「外国にある第三者」には該当しない。例えば、外国法人であっても、日本国内に事務所を設置している場合、又は、日本国内で事業活動を行っている場合など、日本国内で「個人情報データベース等」を事業の用に供していると認められるときは、当該外国法人は、「個人情報取扱事業者」に該当するため、「外国にある第三者」には該当しない。【匿名】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
746	2-2	外国にある第三者	外国第三者提供ガイドライン案2-2「外国にある第三者」について日本企業が、外国に所在する外国法人との契約に基づき、当該外国法人が管理するクラウドサーバーに個人データを保存しようとする場合、契約条項によって当該外国法人が当該個人データを取り扱わない旨定めるなどして、当該外国法人が当該個人データにアクセスして利用することができない状態であれば、外国にある第三者に個人データを提供することにはならないと考えますが（番号法ガイドライン（事業者編）Q&A3-12、13）、このような理解でよろしいでしょうか。【匿名】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
747	2-2	外国にある第三者	(該当箇所)外国にある第三者への提供編2-2外国にある第三者(意見)「外国法人であっても、日本国内に事務所を設置している場合、・・・(中略)・・・など、日本	御指摘の個別の事例についてはお答えしかねますが、個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ご
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
国内で『個人情報データベース等』を事業の用に供していると認められるときは、当該外国法人は、『個人情報取扱事業者』に該当するため、『外国にある第三者』には該当しない。』とある。これについて、日本国内に事務所を設置して従業員の個人情報を個人情報データベース等として事業の用に供している（個人情報取り合付き事業者である）外国法人に個人データを提供する場合、日本国内の事務所でなく外国にある別の拠点に提供する場合でも「外国にある第三者」への提供に該当しないと解されるか。【個人】	とに判断することとなります。
748	3-1	適切かつ合理的な方法	・外国にある第三者への提供編3-1の「提供元及び提供先間の契約、確認書、覚書等」に双方の署名・押印等がある書面は必要か。例えば、電子メール上で申込みと承諾の意思が明確に交わされていれば、署名・押印等がある書面がなくとも「提供元及び提供先間の契約、確認書、覚書等」があるといってよいか、回答されたい。【金融機関における個人情報保護の実務研究会】	一律に署名・押印等を求めるものではありませんが、一般論として、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要があります。
749	3-1	適切かつ合理的な方法	・外国にある第三者への提供編3-1の「個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法」として、例えば、同一の企業グループ内で個人データを移転する場合において、法第4章第1節の規定の趣旨に沿った措置の一部が提供先の内規で既に規定されていれば、未規程の部分についてのみ提供の際の覚書等で措置を継続的に講ずることを担保すればよいか、確認されたい。また、内規に既に法第4章第1節の規定の趣旨に沿った措置がすべて規定されていれば、新たな措置を講じることなく法24条に基づき適法にデータ移転が可能であるということか、確認されたい。（既にグローバル企業グループでは、内規で概ね個人情報保護法の趣旨に従った個人情報の取扱いについて規定されていることが多く、情報の移転の際にすべてを改めて覚書等で確認するのではなく、足りない部分のみを覚書等で確認すれば足りるとすることが正常な事業活動を行っている事業者に対する過度な負担となることを避けるため、現実的な規制の在り方として望ましいと思われる。）【金融機関における個人情報保護の実務研究会】	御理解のとおりです。
750	3-1	適切かつ合理的な方法	・外国にある第三者への提供編3-1の「個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法」につき、EU諸国等の日本と同等以上の個人情報保護法制度を有する国にある第三者への提供の場合、契約で当該外国にある第三者が「自国（例えばドイツ）のプライバシーに関する法令を遵守していることを表明・保証し、今後も遵守し続けることを誓約する」と規定すれば、「個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法」を講じていると考えてよいか、回答されたい。（日本と同等以上の個人情	個別の事例ごとに判断することとなりますが、一般論として個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきことを担保する必要があり、当該国の法令を遵守することのみをもって当該措置が担保されていると一概に判断することはできないものと考えられます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
報保護法制度を有する国であれば, 同国のプライバシーに関する法令を遵守することがすなわち, 実質的に我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることとなるから, 同国の法令遵守を担保する措置を講じれば十分ではないかと考え, 質問している。)【金融機関における個人情報保護の実務研究会】
751	3-1	適切かつ合理的な方法	(対象資料)外国第三者提供編 3-1 適切かつ合理的な方法 3-2 法第4章第1節の規定の趣旨に沿った措置(意見)法第4章第1節の規定の趣旨に沿った措置の実施を確保するための「適切かつ合理的な方法」について、外国にある第三者が従来から作成している個人情報保護方針にてガイドライン 3-2-1から3-2-18までの内容を公表していれば、改めて保護方針等を別途策定、公表する必要はないとの理解でよいか。【日本証券業協会】	一般論として外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法が既に存在すれば、別途策定、公表する必要はありません。
752	3-1	適切かつ合理的な方法	(該当箇所)規則第11条 一3-1 事例1(意見)「個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第4章第1節の規定の趣旨に沿った措置の実施が確保されていること。」の、「適切かつ合理的な方法」とは契約において『日本の個人情報保護法に従い取り扱う』という程度の抽象的文言でも良いですか。あるいは, 相手国の個人情報保護法において適切に扱うことでも可能でしょうか。(理由)海外の会社との間で、副作用等の報告の際に要配慮個人情報等を交換する可能性があることから確認したく考えました。なお, 当該情報は医療機関にて氏名, 連絡先等は削除して提供を受けていますが, 提供元医療機関から追加情報を収集できるため, 本人(副作用等の報告された患者)と完全に連結が切れてはいない事から受け取った国内製薬企業において個人情報に該当すると考えます。しかし, 再提供先の外国にある事業者は自ら当該本人の追加情報を得ることはできない事から, 取得, 目的等の通知, 正確性の確保等は不可能です。【日本製薬工業協会】	御指摘の個別の事例についてはお答えしかねますが、一般論として個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置を継続的に講ずることを担保する必要があり、「日本の個人情報保護法に従い取り扱う」が契約に記載されていることのみをもって、「適切かつ合理的な方法」には該当しないものと考えられます。
753	3-1	適切かつ合理的な方法	(該当箇所)外国にある第三者への提供編 6 ページ・24 行目事例1)外国にある事業者に個人データの取扱いを委託する場合提供元及び提供先間の契約、確認書、覚書等(意見)事例1)の「契約、確認書、覚書等」には、個人データの提供先(SaaS提供事業者等)が提供元に対して示す「約款」や「利用規約」も含まれるという理解で宜しいでしょうか。	御理解のとおりです。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
(理由)例えば、SaaSを利用する場合において、SaaS提供事業者が公開している約款や利用規約に同意を示すことで、契約が成立することが一般的なため。【KDDI株式会社】
754	3-1	適切かつ合理的な方法	意見47【外国第三者提供編3-1p.6】規則11条1号「措置の実施が確保されている」については法的拘束力を求める趣旨か6頁の事例1）では「提供元及び提供先間の契約、確認書、覚書等」が挙げられているが、これは、契約としての法的拘束力を求める趣旨か。①法的拘束力を求める場合、「法的拘束力のある」「提供元及び提供先間の契約、確認書、覚書等」として明確にしてはどうか。②法的拘束力を求めない場合、執行可能であることを重視する欧州の傾向からすると、欧州の十分性認定との関係で、OnwardTransferの規制が適切ではないものとされ、十分性認定について重大な支障を生ずるのではないか。【一般財団法人情報法制研究所個人情報保護法タスクフォース】	一般論として、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要があり、一般的に現状の案で御理解頂けるものと考えます。
755	3-1	適切かつ合理的な方法	意見48【外国第三者提供編3-1p.6】事例1）「提供元及び提供先間の」は限定し過ぎではないか6頁の事例1）では「提供元及び提供先間の契約」が挙げられており、これは規則11条1号の「個人情報取扱事業者と個人データの提供を受ける者との間で」を受けたものと思われるが、限定し過ぎではないか。つまり、規則11条1号は「適切かつ合理的な方法により…措置の実施が確保されている」に係っているが、事例1）は「契約」に係っている。「適切かつ合理的な方法による」「措置の実施」には、例えば、提供元の親会社と提供先の間で、「当該個人データ」以外の個人データ全てについて、法第4章第1節の規定の趣旨に沿った措置を実施する旨の契約が締結されている場合も挙げられると考えられる。結論としては「提供元及び提供先間の」というのは限定し過ぎであって、事例1）の文言は「提供元及び提供先間等の」としてはどうか。【一般財団法人情報法制研究所個人情報保護法タスクフォース】	一般的に現状の案で御理解頂けるものと考えます。なお、措置を講じなければならない対象は、実際に提供を行った「当該個人データ」です。
756	3-1	適切かつ合理的な方法	(該当簡所)ガイドライン（外国第三者提供編）3-1，3-2(意見⑥)「法第4章第1節の規程の趣旨に沿った措置」につき、当該提供先は、別表2に掲げられる事項全てについて満たす必要はなく、当該提供に関連する事項についてのみ満たせばよいか。また、「適切かつ合理的な方法」によって確保すべき対象も、当該提供の範囲に関連する事項のみで足りるということでよいか。例えば、グローバル企業グループの日本法人が、日本国内で開催したイベントで取得した来場	改正後の法第4章第1節の規定の趣旨に沿った措置は、本ガイドライン（外国にある第三者への提供編）別表2に記載する事項を全て満たす必要があります。御指摘の例のように、更に第三者に提供することが予定されていない場合には、適切かつ合理的な方法により、その旨が確保されている必要があります。なお、同別表2は、国際的な枠組みの基準を勘案して整理しており、当該措置は国際的にも整合性が採れた措置で
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
者の個人情報を、将来グループで行うマーケティング活動に利用するために外国の関連会社と共有する場合で、当該外国の関連会社に共有された個人情報は当該外国の関連会社において利用されるだけで、さらに第三者に提供することが予定されていない場合において、同企業グループにおいて定めるグローバル・プライバシー・ポリシー（なお、当該グローバル・プライバシー・ポリシーは、米国の規制に沿った内容であり、当該日本法人は、別途、日本の個人情報保護法に従った取扱方針及び取扱規程を有する。）が、マーケティング目的における利用に関連する事項、すなわち、利用目的による制限、適正な取得、データ内容の正確性の確保等、安全管理措置、従業員の監督について、個人情報保護法又はOECDにおけるプライバシー・ガイドライン若しくはAPECにおけるプライバシー・フレームワークが定める基準に沿った措置が実施されていればよく、当該外国の関連会社における利用に関係しない第三者提供等の事項について個人情報保護法その他上述の基準を満たす必要はないとの理解でよいか。理由：グローバル企業において、データの効率的利用という観点から、国境をまたいで関連会社同士で個人情報をやりとりするニーズが特に高いが、個人情報保護のあり方は、各国において規制が様々であり、本拠地の規制に沿って個人情報保護の体制が構築されていたとしても、かかる体制のあらゆる側面について、日本の個人情報保護法やOECD・APECの国際的枠組みにおける基準と合致しない場合もあるし、あらゆる面でかかる基準を満たすかの判断をすることも、現実には容易ではない。一方で、上述の理解によるととも、当該提供に関連する事項の範囲内では日本の個人情報保護法等に沿った措置が確保されている。【匿名】	あると考えます。
757	3-1	適切かつ合理的な方法	個人情報の保護に関するガイドライン（外国にある第三者への提供編）（案）3-1の追加を下記のとおり提案いたします。具体的には、下記の追加規定のガイドラインへの導入につきまして、ご検討頂ければ幸いです（追加部分は赤字で記載しております）。3-1 適切かつ合理的な方法（規則第11条第1号関係）「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。個人情報取扱事業者がAPEC越境プライバシールール（CBPR）の認証を取得した場合もこれに相当する。上記の提案をした理由は、APECのCBPRプログラム要件46において、下記の内容が事業者に課されているからです。「個人情報処理者、委託者、契約締結の相手、又は事業者に代わって個人情報に関連するその他の役務提供者に対し、事業者が個人に対して負う義務に沿う措置を整備しているか。」当該要件によれば、事業者に課せられた「義務」は、個人情報の収集時において事業者が負う全ての法的義務にまで拡大されます。そのため、CBPR認証を受けた事業者は、「個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法」を具備していることになります。この要件	御意見を踏まえ、本ガイドライン案（外国にある第三者提供編）3-1に以下の文言を追加いたします。「アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システムの認証を取得している事業者は、その取得要件として、当該事業者に代わって第三者に個人情報を取り扱わせる場合においても、当該事業者が本人に対して負う義務が同様に履行されることを確保する措置を当該第三者との間で整備している必要があることとされている。したがって、提供元の個人情報取扱事業者がCBPRの認証を取得しており、提供先の「外国にある第三者」が当該個人情報取扱事業者に代わって個人情報を取り扱う者である場合には、当該個人情報取扱事業者がCBPRの認証の取得要件を充たすことも、「適切かつ合理的な方法」の一つであると解される。」
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
はCBPR認証の要件となっています。加えて、個人情報取扱事業者が「個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法」を具備していることがCBPR認証の条件となっていることが明確になれば、日本法の下における既存の義務と合致するため、日本の個人情報取扱事業者に対して、CBPR認証を受けることを促進させることも可能になります。何よりも、最も重要な点として、今回提案させて頂いた追加条文は、「適切かつ合理的な」方法の明確な例の一つとなり、ガイドライン案3－3の規定とも合致することになります。ガイドライン案3－1に追加規定をコメントとともに本メール添付にて提案いたしますので、ご査収のほど、よろしくお願いします。また、ガイドライン案3－3の既存の規定にも言及しておりますので、2つの規定がどのように合致するのか、ご確認ください。本提案は産業界にとっても日本以外の国にとっても有益かつ参考となる事例になるものと信じておりますので、是非ご検討いただければ幸甚に存じます。本提案を前向きにご検討いただければ幸いです。3－3個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第11条第2号関係）「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは、国際機関等において合意された規律に基づき権限のある認証機関等が認定するものをいい、当該枠組みは、個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることのできるものである必要がある。これには、提供先の外国にある第三者が、APECの越境プライバシールル（CBPR）システムの認証を得ていることが該当する。【個人】
758	3-1,3-2	適切かつ合理的な方法	(該当簡所)(外国にある第三者への提供編)p.6～9 3-1、3-2(意見等)外国の第三者に個人データの取扱いを委託する場合、および個人データの取扱いを委託した日本国内の委託先が外国の第三者に再委託する場合に、個人情報保護法施行規則第11条第1号を満たすためには、「法第4章第1節の規定の趣旨に沿った措置」を委託先との契約書等に盛り込む等して、委託先又は再委託先が上記措置を実施することを確保しなければならないと考えられる。他方、現行の金融分野における個人情報保護に関するガイドラインおよび同ガイドラインの安全管理措置等についての実務指針における、委託先および再委託先の監督に係る事項を満たす体制を整えていれば、新しいガイドラインを充足していると考えているが、その理解でよいか。(理由)現行の金融分野におけるガイドライン等に沿った体制が整っていれば、新しいガイドラインを充足していることを確認したい。	御指摘の個別の事例についてはお答えしかねますが、一般論として、個人情報取扱事業者と個人データの提供を受ける外国にある第三者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、改正後の法第4章第1節の規定の趣旨に沿った措置の実施が確保されている必要があります。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
【一般社団法人 日本損害保険協会】
759	3-2	法第4章第1節の規定の趣旨に沿った措置	(該当簡所)外国にある第三者への提供編の8ページ最終行「個人情報取扱事業者は,契約等に3-2-1から3-2-18までに記述する全ての事項を規定しなければならないものではなく,「法第4章第1節の規定の趣旨」に鑑みて,実質的に適切かつ合理的な方法により,措置の実施が確保されていれば足りる。」(御意見)「実質的に適切かつ合理的な方法」の内容を明確に示すべきである。(理由)ここでいう「実質的かつ合理的な方法」とは何か不明確である。個人情報取扱事業者は,ガイドラインを参考に「措置」の実施を確保するしかないにもかかわらず,その内容が不明確であり,混乱を招く可能性が高い。【弁護士21名共同提出】	一般的に現状の案で御理解頂けるものと考えます。
760	3-2	法第4章第1節の規定の趣旨に沿った措置	(対象資料)外国第三者提供編 3-2 法第4章第1節の規定の趣旨に沿った措置(規則第11条第1号関係)(意見)ガイドライン外国第三者提供編3-2の別表2によると、「APECにおける越境プライバシーフレームワークでは法21条の措置についての規定はないが、外国にある第三者においても措置を講じなければならない」旨記載されている。つまり、当該フレームワークに参加していることを確認しても、法21条に相当する措置の実施が実質的に適切かつ合理的な方法により確保されていることについて、上乗せで確認が必要なのか。なお、法35条の措置については、当該フレームワークに規定はないが、当該フレームワークへの適合性認証制度であるAPEC越境プライバシールル(CBPR)システムへの参加要件となっており、上乗せ確認は不要と理解している。また、現時点において当該2つの外国措置例以外には対応例はないと理解してよいか。【日本証券業協会】	本ガイドライン(外国の第三者への提供編)3-2の別表は、施行規則第11条第1号の要件を検討するものであり、同条第2号の要件に上乗せを課すものではありません。なお、当面は「国際的な枠組み」としてAPEC CBPRを対象としております。
761	3-2	法第4章第1節の規定の趣旨に沿った措置	<意見4＞■該当簡所7ページ～8ページ■意見外国事業者が「OECDプライバシーガイドライン」に準拠していることが、規則第11条1号「個人情報取扱事業者と個人データの提供を受ける者との間で、当該個人データの取扱いについて、適切かつ合理的な方法により、法第4章第1節の規定の趣旨に沿った措置の実施が確保されていること。」の条件を満たすとの判断であれば、その旨明記していただきたい。なお、これに該当する場合、契約等において「OECDプライバシーガイドライン」準拠であるとの記載があればよいのか、明らかにしていただきた	一般的に現状の案で御理解頂けるものと考えます。なお、契約等において「OECDプライバシーガイドライン」に準拠しているとの記載があることのみをもって、個人データの取扱いについて、適切かつ合理的な方法により、法第4章第1節の規定の趣旨に沿った措置の実施が確保されているとはいえないものと考え
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
い。■理由事業者による当ガイドライン記載内容の判断に差異が生じないようにするため。【一般社団法人 電子情報技術産業協会】	られます。
762	3-2	法第4章第1節の規定の趣旨に沿った措置	(該当簡所)3-2 法第4章第1節の規定の趣旨に沿った措置(規則第11条第1号関係(意見)事例として,国内の個人情報取扱事業者が顧客に提供するサービスに関する情報を,本人の氏名,メールアドレス,住所等を削除し,本人の開示していない顧客管理符号をハッシュ関数により変換した符号を付与したデータを外国にある事業者に提供(共同利用ではない)する場合等,個人特定性を低減したデータを提供する場合について例示いただきたい.(理由)例示は氏名等個人情報そのものを提供(委託,共同利用)行うものです.国内事業者間においても委託には管理責任があり,共同利用には法による規律並びに法に基づく内規があり,これを外国にある第三者に置き換える二場合に必要な措置を特定することは容易です.このような典型に対して,委託,共同利用以外の第三者提供において用いられることが多いと考えられる安全確保措置として仮名化したデータの提供する場合も典型例であると考えます.これら異なる場合について例示いただくとこと法令の理解がより深まると考えます.【日本製薬工業協会】	一般的に現状の案で御理解頂けるものと考えます。
763	3-2	法第4章第1節の規定の趣旨に沿った措置	(該当簡所)外国第三者提供編の7～8ページ・3-2 法第4章第1節の規定の趣旨に沿った措置(規則第11条第1号関係) 別表2(意見)別表2では、法第4章のうち、第25条第三者提供に係る記録の作成等及び第26条第三者提供を受ける際の確認等が抜けています。いずれも、個人情報の第三者提供においてトレーサビリティを確保するのに必要な措置と考えられます。第25条及び第26条を除いたのは、いずれも外国にある第三者であることからその実行が難しいと判断されたからでしょうか、あるいは、国際的な枠組みの基準との整合性を勘案して除いたのでしょうか。この結果、外国の第三者を経て国内に還流される個人情報に関しては、その経路を追跡することが困難になると思われますが、これらについては、外国の第三者への提供に係る記録及び外国の第三者から提供を受ける際の確認で補完すると考えて良いでしょうか。【一般財団法人日本情報経済社会推進協会】	御指摘の別表2は、改正後の法第4章第1節の各規定の趣旨及び国際的な整合性を勘案しており、一般的に現状の案で御理解頂けるものと考えます。
764	3-2	法第4章第1節の規定の趣旨に沿った措置	(対象条文)法第4章第1節の規定の趣旨に沿った措置(規則第11条第1号関係(意見)委託事例に個人データの取扱を伴わない例を加えて、各措置の対応についてガイドいただきた	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められ