Silviase/jgov_v1.4_full_ann huggingface dataset:
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
た措置	い【事例3】日本にある個人情報取扱事業者が、外国にある事業者に顧客情報データベースシステムの管理業務のみを委託する場合【株式会社セールスフォーストットコム】	ており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
765	3-2	法第4章第1節の規定の趣旨に沿った措置	(該当簡所)7ページ 法第4章第1節の規定の趣旨に沿った措置(規則第11条第1号関係)について(意見・理由)具体的な方法として、3-1に定める方法(委託先との契約、企業グループ内の内規等)により、以下のいずれかが満たされていれば足りると考えてよいでしょうか。①外国にある第三者が法第4章第1節上の個人情報取扱事業者の各規定を遵守する旨定める(具体的には、本ガイドライン3-2-1～3-2-18中の各事例記載の内容をベンダーとの契約や、企業部ループ内の内規に定める)。②外国にある第三者がOECDプライバシーガイドライン又はAPECプライバシーフレームワークに準拠する旨定める。【在日米国商工会議所】	①については、御理解のとおりです。②については、契約等において「OECDプライバシーガイドライン又はAPECプライバシーフレームワークに準拠」しているとの記載があることのみをもって、個人データの取扱いについて、適切かつ合理的な方法により、法第4章第1節の規定の趣旨に沿った措置の実施が確保されているとはいえないものと考えられます。
766	3-2	法第4章第1節の規定の趣旨に沿った措置	(該当簡所)外国にある第三者への提供編の8ページ3-2(※3)、31頁3-3下から7行目(御意見)・8頁3-2(※3)の「APEC越境プライバシール（CBPR）システム」は「APEC越境プライバシール（CBPR）に定める認証制度群」とする。・31頁3-3したから7行目、「APECの越境プライバシール（CBPR）システム（※）」についても「APECの越境プライバシール（CBPR）に定める認証制度群（※）等」とする。(理由)8月に実施された「「個人情報の保護に関する法律施行令の一部を改正する政令（案）」及び「個人情報の保護に関する法律施行規則（案）」に関する意見募集」においても指摘した通り、EUやAPECにおいても個人情報を取扱事業者はコントローラー（管理者）とプロセッサ（処理者）に分けて考えられ、認証制度も別（例としてAPECの場合、CBPR（Cross Border Privacy Rules）とPRP（Privacy Recognition for Processors））であり、広義のCBPRと狭義（コントローラー向け）のCBPRを明確に記述しておかないとのちに混乱を生じる可能性がある。日本においても個人情報の処理者については管理者である顧客企業の基準とは独立した要件が存在しうることを念頭において、処理者が主体となり積極的に自主ルールを定めて、管理者による保護と両立するような構成を念頭におく必要がある。	当面は国際的な枠組みとしてAPEC CBPRを対象としております。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
【一般社団法人 情報サービス産業協会】
767	3-2	法第4章第1節の規定の趣旨に沿った措置	(該当簡所) 外国にある第三者への提供編 7 ページ・8 行目 国際的な整合性の判断は、経済協力開発機構 (OECD) におけるプライバシーガイドラインやアジア太平洋経済協力 (APEC) におけるプライバシーフレームワークといった国際的な枠組みの基準に準拠している。(意見) 規則第11条第1号に規定された、「法第4章第1節の規定の趣旨に沿った措置」について、例示されているOECDガイドラインやAPECプライバシーフレームワーク以外に、準拠する国際的な枠組みの基準として、同等の他の国際機関の規格も追加して頂けないでしょうか。【KDDI株式会社】	御指摘の箇所は、施行規則第11条第1号の「法第4章第1節の規定の趣旨に沿った措置」の内容について国際的な整合性を勘案して整理しているものであり、一般的に現状の案で御理解頂けるものと考えます。
768	3-2-1	利用目的の特定	·外国にある第三者への提供編3-2-1につき,通則編3-1-1では「あらかじめ,個人情報を第三者に提供することを想定している場合には,利用目的の特定に当たっては,その旨が明確に分かるよう特定しなければならない」とあるところ,「あらかじめ個人情報を海外の第三者に提供することを想定している場合」には,単に「第三者提供」を利用目的とするだけではなく「海外にある第三者提供」を利用目的とすることも明示・特定しなければならないのか,回答されたい。【金融機関における個人情報保護の実務研究会】	個別の事例ごとに判断することとなりますが、一般論として、個人情報の利用目的が本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましいと解されます。
769	3-2-1	利用目的の特定	(該当簡所) 外国にある第三者への提供編の10ページ5行目「また,単に「事業活動」、「お客様のサービスの向上」等のように抽象的,一般的な内容を利用目的とすることは,できる限り具体的に特定したことにはならないと解される。」(御意見) どのようにすれば「できる限り具体的に特定した」ことになるのか,具体的に示すべきである。(理由) どのような内容の利用目的であれば特定したことになるのか明らかではないため,ガイドラインとしての具体性に欠け,個人情報取扱事業者に混乱を招く可能性が高い。【弁護士21名共同提出】	一般的に現状の案で御理解いただけるものと考えます。
770	3-2-1	利用目的の特定	(該当簡所) 外国にある第三者への提供編の10ページ(※)3行目「当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。」(御意見) 判断権者が誰であり,どのタイミングで判断するのか明確にすべきである。(理由) 誰が,どのタイミングで判断するのか不明である。 外国にある第三者への提供編の6ページ3の1段落目にあるように,「必要な体制が整備されていることについて,個人情報保護委員会に対する事前の届出等は要しない」のであるから,何ら	現行法においても個人情報取扱事業者が果たすべき義務は当該個人情報取扱事業者が自ら判断して履行しているものであり、これは改正後の法においても変わるものではないことから、一般的に現状の案で御理解いただけるものと考えます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
かの問題が発生した後に「総合的に勘案して判断」された結果,利用目的の変更に該当するとされてしまうことが想定できる。いわば,判断権者の後出しジャンケンを許すものであり,ガイドラインとしての具体性に欠け,個人情報取扱事業者に混乱を招く可能性が高い。【弁護士21名共同提出】
771	3-2-1	利用目的の特定	(該当簡所)3-2-1 利用目的の特定(法第15条の趣旨に沿った措置)(意見)「外国にある第三者等は、個人情報を取り扱うに当たっては、」の「個人情報」は「個人データ」ではないでしょうか.(11頁等も同様)(理由)外国にある第三者提供編であり,総じて法第24条についての記述である.法第24条は「個人データを提供する場合」としていることから,個人情報ではなく,個人データと表記されるべきと考えます。【日本製薬工業協会】	外国にある第三者が講ずべき改正後の法第4章第1節の規定の趣旨に沿った措置を記載した部分であり、一般的に現状の案で御理解いただけるものと考えます。
772	3-2-2	利用目的による制限の例外	(該当簡所)外国にある第三者への提供編の11ページ(※)2段落目・3段落目(御意見)外国にある第三者への提供編の4ページ2-1の2段落目・3段落目で指摘した事項と同じことが妥当する。(理由)外国にある第三者への提供編の4ページ2-1の2段落目・3段落目で指摘した事項と同じ。【弁護士21名共同提出】	個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有しているか否かは、対象となる個人情報の項目や事業の性質等によって、個別具体的に判断されるべきと考えられますので、一般的に現状の案で御理解頂けるものと考えます。
773	3-2-2	利用目的による制限の例外	(該当簡所)外国にある第三者への提供編の11ページ【本人の同意を得ている事例】(御意見)外国にある第三者への提供編の11ページ(※)の2段落目との関係で,事例1)～事例6)をどのように判断すればよいのか不明である。(理由)外国にある第三者への提供編の11ページ(※)2段落目の「本人が同意に係る判断を行うために必要と考えられる」という記述のうち「同意に係る判断を行うために必要」という部分は,事例1)～事例6)の内,どの部分を指しているのか不明である。事例1)～事例6)は,同意をする場合の意思表示の方法が示されているだけであり,同意に係る判断(この「判断」には,同意のみならず不同意も含まれるのであろう)に必要と考えられる	御指摘の箇所に記載しているとおり、「本人の同意を得(る)」際には、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならないものであることから、一般的に現状の案で御理解頂けるものと考えます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
事項は示されていないと思われる。【弁護士21名共同提出】
774	3-2-2	利用目的による制限	(対象資料) 外国第三者提供編 3-2-2 利用目的による制限(法第16条の趣旨に沿った措置)(意見) 外国にある第三者への情報提供に係る「本人の同意」の方法には、例えば外国証券取引口座約款等の約款による包括同意も含まれるとの理解でよいか。そのような約款による同意という方法は外国当局等からの当該外国の法令等に基づく情報提供要請(又は命令)に迅速に対応するために設けられているものであるが、仮にそれが「本人の同意」の方法に含まれない場合、例えば海外当局から情報提供を要請された際に適切に対応できず、その結果当該特定事業者やその顧客に不利益が生じることが懸念される。【日本証券業協会】	御指摘の個別の事例についてはお答えしかねますが、一般論として、外国にある第三者への提供を認める旨の本人の同意を取得する際には、事業の性質及び個人データの取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法による必要があるところ、御指摘の方法もこれに含まれ得ると考えられます。
775	3-2-2	利用目的による制限	(該当簡所) 3-2-2 利用目的による制限(法第16条の趣旨に沿った措置)(意見) 「外国にある第三者等は、特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合」は、後に続く記述、求められる措置から、「個人情報」ではなく、「保有個人データ」とすべきであると考えます。(理由) 法第16条の規律は、国内事業者からの第三者提供による場合を含むものであり、提供される個人情報には、仮名化等、非特定化した個人情報も含まれることから、一律に本人同意を得ることを求めるのは実態に即していないと考えます。【日本製薬工業協会】	外国にある第三者が講ずべき法第4章第1節の規定の趣旨に沿った措置を記載した部分であり、一般的に現状の案で御理解いただけるものと考えます。
776	3-2-3	適正な取得	·外国にある第三者への提供編3-2-3の「要配慮個人情報に係る規制については、国によっていわゆるセンシティブ情報の対象は異なり得ることから(OECD プライバシーガイドラインの説明覚書(1980年))、国際的な整合性にも鑑みて、「措置」を講ずることは要しない。」とあるところ、個人情報を提供する日本の企業側としては、要配慮個人情報の提供については、法23条2項のオプトアウトが使えない以外の規制はなく、また、このように、受領する外国にある第三者側とも要配慮個人情報の受領制限について「措置」を講じる必要はないということは、結局、法24条及び規則11条1号に基づいて要配慮個人情報を適法に海外に流出させることができると理解されるが、そのような理解でよいか確認されたい。このような結論は、日本国内であれば、法17条2項に基づき原則として要配慮個人情報をあらかじめ本人の同意を得ることなく取得することが禁止され、それによって流出に歯止めがかかり得ることと比較して、個人情報の保護に欠けるのではないか、回答されたい。【金融機関における個人情報保護の実務研究会】	個人データを外国にある第三者に提供する場合は、当該個人データが要配慮個人情報である場合も含めて、改正後の法第24条により、原則として本人の同意を得る必要があります。
777	3-2-3	適正な取得	(該当簡所) 外国にある第三者への提供編の12ページ3-2-3の【事例1】「自明であれば」	現行法においても個人情報取扱事業者が果たすべき義務は当該個人情報取扱事業者が自ら判断して履
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
(御意見)何を以て「自明」とするのか、明確にするべきである。(理由)誰にとって自明であるのか不明である。委託契約の内容を、日本にある個人情報取扱事業者、あるいは外国にある事業者がウェブ上で公表していれば、自明であるのか(外国にある事業者の場合、当該外国において使用されている言語で公表されているものか)等の疑問が生じてしまうため。【弁護士21名共同提出】	行しているものであり、これは改正後の法においても変わるものではないことから、一般的に現状の案で御理解いただけるものと考えます。
778	3-2-3	適正な取得	(該当箇所)外国にある第三者への提供編の12ページ3-2-3の【事例2】「外国にある親会社が内規等に基づいて適切に個人データを取得していることが自明であれば」(御意見)何を以て「自明」とするのか、明確にするべきである。(理由)この記述では、外国にある親会社の内規等で良いと理解できてしまう。外国にある第三者への提供編の6ページ最終行のように、提供元及び提供先に共通して適用される内規、プライバシーポリシー等であることが必要ではないか。また、この場合の「自明」については、12ページ3-2-3の【事例1】で指摘したのと同じことが妥当する。【弁護士21名共同提出】	現行法においても個人情報取扱事業者が果たすべき義務は当該個人情報取扱事業者が自ら判断して履行しているものであり、これは改正後の法においても変わるものではないことから、一般的に現状の案で御理解いただけるものと考えます。
779	3-2-3	適正な取得	(該当箇所)外国にある第三者への提供編の12ページ下から2行目以降「なお、要配慮個人情報に係る規制については、国によっていわゆるセンシティブ情報の対象は異なり得ることから(OECDプライバシーガイドラインの説明覚書(1980年))、国際的な整合性にも鑑みて、「措置」を講ずることは要しない。」(御意見)法との整合性の観点から疑問がある。(理由)外国にある第三者が要配慮個人情報を取得するに際して、法17条2項の適用は無いという意味にとれる。これは、法が個人情報の取得に関する17条1項とは別に、あえて同条2項を置き、要配慮個人情報の取得について前者よりも高いふードルを設けた法の趣旨に反すると考えられる。【弁護士21名共同提出】	国によっていわゆるセンシティブ情報の対象は異なり得ることから(OECDプライバシーガイドラインの説明覚書(1980年))、「要配慮個人情報」に係る規制を外国の事業者に課すことは適切ではないと考えられます。したがって、改正後の法第17条第2項は「措置」が求められる「規定」から外れるものと整理しております。なお、仮に同法第17条第2項が当該「規定」に含まれるとしても、外国にある第三者が同項の同意を得て要配慮個人情報を取得する際に、当該同意を第24条の「同意」と実質的に評価することができれば、そもそも「法第4章第1節の規定の趣旨に沿った措置」を講じる必要はありません。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
780	3-2-3	適正な取得	(該当簡所) 3-2-3 適正な取得 (法第 17 条の趣旨に沿った措置) (意見) 国内製薬企業が保有する治験の症例データを外国における臨床開発 (治験), 新薬承認申請のために外国にある製薬企業, 規制当局に提出する場合においても 3-2-3 並びに 3-2-4 は求められるのでしょうか. 提供先である外国にある第三者並びに提供元である国内事業者の双方において本人への通知, 連絡の術を有しない事から免除されますでしょうか. あるいは, 法 23 条第 1 項第 3 号の公衆衛生の向上のために特に必要な場合として免責され得るものでしょうか. (理由) 治験においては, 治験実施医療機関において GCP に定められたインフォームドコンセントにより, 治験 (目的) の説明, 依頼者である製薬企業にデータが提供されることの説明と同意がなされ, 医療機関からは仮名化 (氏名, 生年月日, 患者 ID 等の施設内管理符号を削除し, 代わりの符号を付与) した症例情報が提出され, 当該符号と個人情報の対応表は施設内にて治験資料保存期間終了後は破棄等され, 仮名化は連結不可能匿名化となります. 医薬品の臨床開発並びに承認申請は各国・地域で行われ, 10 年以上の期間に及びます. このため, 既に国内において終了し, 経年している症例データについても, 今後新たに外国にある第三者に提供する必要が生じますが, 3-2-3 並びに 3-2-4 は到底対応できません. 仮に提供できない場合, 新たに治験を行う必要が生じ, 本来付必要な治験, 被験者が増え, 単に治験期間, 開発コストの問題ではなく、倫理的にも問題を生じます. なを, 仮名化による個人特定性の低減の実態から非個人情報として扱う事も考えられると存じますが, 主な提供先の EU 圈内等の個人情報の定義, 取扱い並びに法第 6 条に鑑み, 個人データとしてご質問させていただきます. 【日本製薬工業協会】	御指摘の個別のサービスについてはお答えしかねますが、一般論として、改正後の法第 23 条第 1 項第 3 号に該当する場合には、本人の同意を得ることなく外国の第三者に個人データを提供することが可能です。
781	3-2-4	取得に際しての利用目的の通知	(該当簡所) 外国にある第三者への提供編 3-2-4 取得に際しての利用目的の通知 (意見) 「外国にある第三者等は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか、又は公表しない状況ならない。」とあるが、特に後段について、利用目的の通知又は公表は、第三者等が所在する国の公用語でなされれば足りるか。具体的には、例えば、英語に関する語学能力が平均的な成人の日本人が本人である場合に、利用目的の通知又は公表を日本の高等学校で学習するレベルの英語で行うことは要件を満たしていると解されるか。 【個人】	公表に用いる言語については、取り扱う個人データの性質、取扱いの実態等の事情を勘案して個別の事例ごとに判断することとなります。
782	3-2-5	データ内容の正確性の確保等	・外国にある第三者への提供編 3-2-5 の「法令の定めにより保存期間等が定められている場合は、この限りではない」の「法令」は「外国の法令は含まれない」(外国にある第三者への提供編 2*3 参照) ということでよいか, 回答されたい。その場合, 外国にある第三者としては, 外国法令により保存期間があるのでその間は保存しなければならない一方, 「個人データの提供先である外国にある第三者が, 我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法」としては, 情報の遅	一般論として、個人情報取扱事業者が施行規則第 11 条第 1 号に基づき外国にある第三者に個人データを提供したときは、当該第三者は、当該個人データを利用する必要がなくなったときは遅滞なく消去するよう努めなければならないところ、「利用する必要がなくなったとき」に該当するか否かは、事業の実態、個人
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
滞在き削除に努めなければならず, 二律背反状況に陥るが, それでもしようがないということか, 回答されたい。具体的に, 外国法令により保存期間が定められている場合には, 実務上どうすればよいか, 回答されたい。(「法令」に外国法令を含むとすれば問題は全て解決すると思われるので, その方向による解決も検討されたい。)【金融機関における個人情報保護の実務研究会】	データの内容等の要素を考慮して、個別の事例ごとに判断することとなります。
783	3-2-5	データ内容の正確性の確保等	(該当箇所)外国にある第三者への提供編の15ページ(※)2行目「当該データから特定の個人を識別できないようにすること等を含む」(御意見)外国にある第三者が, どのような形で「特定の個人を識別できないように」すべきであるのか, 不明確である。(理由)この記述は, 外国にある第三者において匿名加工情報を作成することを許容していることになるが, 「個人情報の保護に関する法律についてのガイドライン(匿名加工情報編)」は, 外国にある第三者にも適用があると解することが可能であるか疑問である(法75条は, 同36条の域外適用を認めているから, 同条が委任している個人情報保護委員会規則のみならず, 同ガイドラインについても適用があるという解釈は困難であると思われる)。【弁護士21名共同提出】	一般的に現状の案で御理解いただけるものと考えます。なお、御指摘の部分は、個人データの消去の代替方策として特定の個人を識別できないように処理することを記載したものであり、匿名加工情報の作成を意図した記述ではありません。
784	3-2-6	安全管理措置	• 外国にある第三者への提供編3-2-6の安全管理措置につき, 通則編8の「中小規模事業者」に関する規律が準用される場合はあるのか, 回答されたい。具体的には, 日本の個人情報取扱事業者Aが中小規模事業者であって外国の第三者Bが中小規模事業者である場合, Aが中小規模事業者でBが非中小規模事業者である場合, Aが非中小規模事業者でBが中小規模事業者のそれぞれにつき「中小規模事業者」に関する規律が準用されるか回答されたい。【金融機関における個人情報保護の実務研究会】	安全管理措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならないものであり、外国にある第三者についても同様です。また、中小規模事業者の考え方についても基本的に異なるものではありません。
785	3-2-8	委託先の監督	【政令・委員会規則のパブコメ回答】において、「クラウドサービスにおいて、契約条項により個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては当該個人データの提供を受けて取り扱っているとはいえない場合もあること」を繰り返し説明されておりました。多くの誤解が生じているところでもありますので、このことは「【政令・委員会規則のパブコメ回答」だけではなく、本ガイドラインにおいて改めて示していただけたら、本ガイドラインにおいても同様です。	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
方を示すことを検討してまいります。
786	3-2-8	委託先の監督	(対象条文)(※1)「個人データの取扱の委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力(本人からの取得を含む。)、編集、分析、出力等の処理を行うことを委託すること等が想定される。(意見)以下の文面を追加いただきたい個人情報データベースの保管や管理だけを委託する場合であり、委託内容に個人データの取扱いが含まれない場合は、「個人データの取扱の委託」ではない。具体的にはクラウドサービス事業者が用意したデータベースシステムの維持管理のみを委託する等が想定される。【株式会社セールスフォースドットコム】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
787	3-2-8	委託先の監督	(該当簡所)外国第三者提供編の17ページ～19ページ委託先の監督(1)適切な委託先の選定(御意見)外国にある第三者が個人情報保護委員会規則で定める基準に適合する体制を整備している"ことを事業者が確認するための「選定基準の雛形」を提示いただきたい。(理由)委託先が基準に適合しているか否かを確認するために、事業者が何を、どこまで調査すべきかが不明なため。当該の外国の第三者が複数の国内企業から受託しているケースも想定され、この場合、選定基準がバラバラとなっていると混乱の原因になりかねないことから、ある程度は個人情報保護委員会から選定基準の雛形を示すべきと考える。【一般社団法人 情報サービス産業協会】	一般的に現状の案で御理解頂けるものと考えますが、御意見は執務の参考とさせて頂きます。
788	3-2-9	第三者提供の制限	(該当簡所)21ページ 第三者提供の制限について(意見・理由)「なお、オプトアウトによる個人データの第三者提供(法第23条第2項から第3項まで)は、個人情報保護委員会への届出等を定める規定であるため、その性質上、外国にある第三者等が講ずべき措置からは除外される。」について、法第23条第2項及びガイドライン案第8条(外国にある個人情法第23条第2項及びガイドライン案第8条(外国にある個人情報取扱事業者がオプトアウトによる第三者提供を行う場合の日本国内の代理人選定)との関係が明確ではないので、ご教示ください。【在日米国商工会議所】	一般的に現状の案で御理解頂けるものと考えます。なお、本ガイドライン21項は、個人データの第三者提供先の外国にある第三者が講ずべき措置について記載しています。一方、施行規則第8条については、外国にある個人情報取扱事業者がオプトアウトによる第三者提供を行う場合について記載しています。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
789	3-2-10	外国にある第三者への提供の制限	(対象資料)
外国第三者提供編 3-2-10 外国にある第三者への提供の制限(法 24 条の趣旨に沿った措置)
(意見)
近年、欧米の金融規制法令の域外適用により、日本の金融機関も欧米の金融規制当局に顧客の個人データを開示しなければならない状況が増えている。このような開示要求に関しては、本人からの同意を必要とする法第24条からの例外を認めていただきたい。【日本証券業協会】	御意見は、本意見募集の対象外と考えますが、御指摘の内容については、今後の執務の参考とさせて頂きます。
790	3-2-11	保有個人データに関する事項の公表等	·外国にある第三者への提供編3-2-11の事例2では「日本にある個人情報取扱事業者が保有個人データに関する事項の公表等に係る義務を履行することについて明確にする」ことが例示されているが、一般論として、個人情報取扱事業者に代わって第三者が当該個人情報取扱事業者の保有個人データについて公表等に係る義務を履行することが可能か回答されたい。また、事例2の場合の実務的な公表方法としては、「日本にある個人情報取扱事業者」の保有個人データであるとして公表等をすることになるのか、それとも「外国にある親会社の保有個人データであるが、当該親会社に代わって日本にある個人情報取扱事業者が公表等をする」という形で公表等をすることになるのか回答されたい。【金融機関における個人情報保護の実務研究会】	「実務的な公表方法」としては、個人データの性質、取扱いの実態等に応じて、御指摘のいずれの方法も認められ得ると考えられます。
791	3-2-11	保有個人データに関する事項の公表等	·外国にある第三者への提供編3-2-11において、外国にある事業者が公表をする場合、英語等、当該外国にある事業者の事業で通常用いる言語を用いてよいのか、それとも日本語を用いなければならないのか回答されたい。【金融機関における個人情報保護の実務研究会】	公表に用いる言語については、取扱扱個人データの性質、取扱いの実態等の事情を勘案して個別の事例ごとに判断することとなります。
792	3-2-11	保有個人データに関する事項の公表等	·外国にある第三者への提供編3-2-11*(2)の「違法」はどの国の法令を基準として判断するのか回答されたい。(日本の法令と当該外国の法令では何が「違法」か異なる場合があり得ることから確認を求めている。【金融機関における個人情報保護の実務研究会】	日本の法令を基準に判断されるものと解されます。
793	3-2-11	保有個人データに関する事項の公表等	·外国にある第三者への提供編3-2-11の「事例」と「」振り込め許欺に利用された口座に関する情報に含まれる個人データ」が赤字となっているのはどのような意味か回答されたい。【金融機関における個人情報保護の実務研究会】	御意見を踏まえ、黒字に修正します。
794	3-2-11	保有個人データに関する事項の公表等	(該当箇所) 外国にある第三者への提供編 23 ページ・21 行目、25 ページ・23 行目、26 ページ・19 行目、27 ページ・30 行目、28 ページ・16 行目、29 ページ・20 行目、30 ページ	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
関する事項の公表等	ジ・12 行目、31 ページ・3 行目 なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。(意見) クラウド等を利用する場合、データスライス等の技術により、個人データが断片的に複数のシステムやデータセンター等に置かれる場合があり、このようなデータそれぞれについては、個人情報に該当しないと考えます。(理由) データスライス等の技術により、個人データが断片的に複数のシステムやデータセンター等に置かれる場合、1のシステムやデータセンターだけの情報では、個人データの復元は不可能であり、断片化されたデータは、当該データの所有者だけでなく、クラウド等提供事業者においても、どこにどのような情報がおかれているかを、把握できないため。(意見) クラウド等の利用方法として、個人データのマスターデータは自社で国内に保持するものの、分析処理等高い負荷のかかるデータ処理のみをクラウドを利用して実施するケースがあります。その際分析処理のために、一時的にキャッシュデータが海外のクラウド上に存在するケースがありますが、これは、外国にある第三者への提供にはあたらないと考えます。(理由) クラウド等の利用において非常によくある例であり、キャッシュデータを一時的に分析処理のために利用することは、データの移転や提供とは言い難いため。【KDDI株式会社】	「開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する」か否かについては、個別の事例ごとに、契約等の実態によって判断することとなりますので、一般的に現状の案で御理解頂けるものと考えます。
795	3-2-11～18	保有個人データに関する事項の公表等	ガイドライン案 P23～31 では「【事例1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合」が示されておりますが、「顧客データの入力業務を委託する場合」において「提供する個人データが外国にある事業者にとって本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全てに応じることができる権限を有する個人データとなる場合」が想像できません。【改正個人情報保護法 消費者志向で考える事業者ガイドライン研究会】	「開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する」か否かについては、個別の事例ごとに、契約等の実態によって判断することとなりますので、一般的に現状の案で御理解頂けるものと考えます。
796	3-2-12	開示	・外国にある第三者への提供編3－2－12事例2について、一般論として、個人情報取扱事業者に代わって第三者が当該個人情報取扱事業者の保有個人データについて開示等に係る義務を履行することが可能か回答されたい。日本にある個人情報取扱事業者と外国にある事業者の間でそのような合意がされている場合、本人が請求権を裁判上行使する場合、被告となるべきは日本にある個人情報取扱事業者なのか、外国にある事業者なのか。【金融機関における個人情報保護の実務研究会】	一般論として、個人情報取扱事業者に代わって外国にある第三者が当該個人情報取扱事業者の保有個人データについて開示等に係る義務を履行することについても可能であると考えられます。なお、個人情報保護法に基づく裁判上の請求権行使については、個別の事例ごとに判断されるべきものと考えますが、一般論として、個人情報取扱事業者が相手となるものと考えられます。
797	3-2-12	開示	・外国にある第三者への提供編3－2－12について、本人は被告を外国にある第三者とし、日本の裁判所に訴えて開示等を請求することができるということか、回答されたい。逆にいうと、個人情報取扱事業者と外国にある事業者の間の契約上、本人が外国にある第三者を訴えるのであれば、やはり当該外国の裁判所で訴えなければならないとなっていれば、法第28条の	個人情報保護法に基づく裁判上の請求権行使については、個別の事例ごとに判断されるべきものと考えますが、一般論として、個人情報取扱事業者が相手となるものと考えられます。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
趣旨に沿った措置が講じられたことにならないということか，回答されたい。【金融機関における個人情報保護の実務研究会】
798	3-2-15	理由の説明	·外国にある第三者への提供編3-2-15において，外国にある事業者が理由を説明する場合，英語等，当該外国にある事業者の事業で通常用いる言語を用いてよいのか，それとも日本語を用いなければならないのか回答されたい。【金融機関における個人情報保護の実務研究会】	理由の説明に用いる言語については、取り扱う個人データの性質、取扱いの実態等の事情を勘案して個別の事例ごとに判断することとなります。
799	3-2-16	開示等の請求等に応じる手続	·外国にある第三者への提供編3-2-16において，外国にある事業者が説明を受け付ける場合，その請求を受け付ける方法として英語（その他当該外国にある事業者の事業で通常用いる言語）で請求書を作成することという条件を設けることは可能か回答されたい。（そのような条件が，本人に過重な負担を課するもの（法3-2条4項参照）と解されないか確認したい。）【金融機関における個人情報保護の実務研究会】	御指摘の例が、過重な負担に該当するか否かについては、取り扱う個人データの性質、取扱いの実態等の事情を勘案して個別の事例ごとに判断することとなります。
800	3-2-17	手数料	·外国にある第三者への提供編3-2-17において「手数料」は，外国にある事業者が対応する場合で，日本語により公表，開示等請求への対応，理由の説明等が必要であれば，日本語への翻訳費用を勘案して合理的であると認められる範囲の手数料を設定してよいということか，確認されたい。（外国にある第三者への提供編3-2-11～3-2-15において英語等当該外国にある事業者の事業で通常用いる言語を用いることが禁止され，日本語を用いなければならない場合には翻訳が必要となることが多く「実費を勘案して合理的であると認められる範囲」には翻訳費用の実費を勘案することが合理的であるため。）【金融機関における個人情報保護の実務研究会】	翻訳費用を含んだ手数料が、「実費を勘案して合理的であると認められる範囲内」か否かについては、取り扱う個人データの性質、取扱いの実態等の事情を勘案して個別の事例ごとに判断することとなります。
801	3-3	国際的な枠組み	●該当箇所外国にある第三者への提供編の31ページ・12行目●意見内容「個人情報の取扱いに係る国際的な枠組みに基づく認定」に、APECの越境プライバシールル（CBPR）システムが選択された理由を教えていただきたい。また、CBPRシステム以外の認証（ISO27001やプライバシーマークの相互認証資格等）も対象としていただくようお願いしたい。●理由当社が業務を委託している企業が、個人情報保護制度において、規則で定めるべき基準に適合する体制を整備しているか否かで、当社が対応すべき事項が変わる他、CBPRはまだ普及していないため、あらたにCBPRを取得するのは事業者に著しい負荷を招くため。【一般社団法人日本クレジット協会】	当面は国際的な枠組みとしてAPEC CBPRを対象としております。なお、CBPRについては、国会の議論を踏まえつつ、CBPRの制度内容を吟味した結果、CBPRの認証を得ている事業者は、「個人データの取扱いについてこの節（改正後の法第4章第1節）の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な基準に適合する体制を整備している」ものと考えられることから、「個人情報の取扱いに係る国際的な枠組みに基づく認定」に該当するものとしたところです。
802	3-3	国際的な枠組み	·外国にある第三者への提供編3-3において，APECのCBPR以外の認証を得ている外国の第三者が規則第11条第2号の要件を満たすことはないのか，回答されたい。例えば，EUのBCR（Binding Corporate Rules 拘束的企業準則）等は該当しないのか。	当面は国際的な枠組みとしてAPEC CBPRを対象としております。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
【金融機関における個人情報保護の実務研究会】
803	3-3	国際的な枠組み	<意見5＞■該当簡所31 ページ3-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第11条第2号関係）■意見「国際的な枠組みに基づく認定」に関し、例示を一つにとどめず、複数ご提示いただきたい。グローバルにビジネスを展開しているIT企業にとっては、ISO/IEC27000 シリーズのような国際標準も有効と考える。■理由現状、APECのCBPR認証を受けている企業は極めて限定されている。それに対し、ISO/IEC27000 シリーズは情報セキュリティ管理の国際規格として広く受け入れられており認証を取得している企業も多い。最近ではISO/IEC27018 のように、個人情報を保管するクラウドに適合した規格も誕生している。是非、国際的に広く認められている認証制度を取り入れていただきたい。【一般社団法人 電子情報技術産業協会】	当面は国際的な枠組みとして APEC CBPR を対象としております。
804	3-3	国際的な枠組み	(該当簡所)外国第三者提供編の31ページ・3-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第11条第2号関係）(意見)3-3では、「国際的な枠組みに基づく認定を受けていること」に該当するものとして「APECの越境プライバシールルシステムの認証を得ていること」を上げており、「認定」と「認証」が同じ意味の言葉として使用されています。全体の記述から同じことと理解することはできますが、国際的に特に基準認証の分野では、「認定機関が認証機関を認定し、認証機関が事業者を認証する」というように、認定（accreditation）と認証（certification）を厳密に使い分けており、この場合は、事業者を認証するという言い方が適切です。したがって、このガイドラインを英語訳して海外に周知する場合には、要らぬ誤解や議論を招かないように certification（認証）に統一した方が良いと思います。【一般財団法人日本情報経済社会推進協会】	国際的な枠組みには、様々な用語が使用され得ることから、一般的に現状の案で御理解頂けるものと考えます。
805	3-3	国際的な枠組み	(該当簡所)外国にある第三者への提供編 3-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること(意見)「個人情報の取扱いに係る国際的な枠組みに基づく認定」に、APECの越境プライバシールル（CBPR）システムが選択された理由をご教示願いたい。また、CBPRシステム以外の認証（ISO27001 やプライバシーマークの相互認証資格等）を対象にする予定はあるか。予定があるならいつ頃に表示する予定か教えていただきたい。(理由)当社が業務を委託している企業が、個人情報保護制度において、規則で定めるべき基準に適合	当面は国際的な枠組みとして APEC CBPR を対象としております。なお、CBPRについては、国会の議論を踏まえつつ、CBPRの制度内容を吟味した結果、CBPRの認証を得ている事業者は、「個人データの取扱いについてこの節（改正後の法第4章第1節）の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な基準に適合する体制を整備している」ものと考えられることから、「個人情報の取扱いに係る国際的な枠組みに基づく認定」に該当するものとしたところです。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
する体制を整備しているか否かで、当社が対応すべき事項が変わる他、CBPRはまだ普及していないため、あらたにCBPRを取得するのは事業者に著しい負荷を招くため。【日本貸金業協会】
806	3-3	国際的な枠組み	(対象条文)提供先の外国にある第三者が、APECの越境プライバシールル(CBPR)システムの認証を得ていることが該当する。(意見)APECのCBPRシステムの認証を得ていることのみが例として挙げられていますが、APECのPrivacy Recognition for Processors("PRP")もqualified and accountable processorsとして認められるためのものですので、例として同様に列举されるべきと考えます。同様に、ISO、TRUSTeによる認証や、Privacy Shieldなど広く具体例を示し、クラウド事業に対する過度な規制とならないように配慮いただきますようお願いいたします。【株式会社セールスフォースドットコム】	当面は国際的な枠組みとしてAPEC CBPRを対象としております。
807	3-3	国際的な枠組み	2.「個人情報の保護に関する法律についてのガイドライン案(外国にある第三者への提供編)」に対する意見(2)ガイドライン案3-3「国際的な枠組みに基づく認定」についてガイドライン案3-3には、アジア太平洋経済協力(APEC)の越境プライバシールル(CBPR)が「国際的な枠組みに基づく認定」に含まれることが個人情報保護委員会資料で明らかにされており、このことは歓迎したいと考えております。加えて、CBPRに限らず、ISMS(情報セキュリティマネジメント評価制度)等関連するISO規格など広く普及している国際規格についても含むべきでと考えます。過度の事前規制ではなく、自主的な取り組みを尊重した柔軟な枠組みこそが、民間の自主努力を促し、個人情報保護に資するものであり、なおかつ企業活動、とりわけ我が国で大多数を占める中小企業の日々の活動を阻害しない方法として望ましいものと考えております。また、CBPRなど個人情報保護に向けた柔軟な執行枠組みは、個人情報保護委員会が今後も推進していくべきものであり、同委員会をはじめとする今後の取組みに期待いたします。【アジアインターネット日本連盟】	当面は国際的な枠組みとしてAPEC CBPRを対象としております。
808	3-3	国際的な枠組み	(該当簡所)6ページについて個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制について(意見·理由)外国にある第三者がCBPRの認証を取得している場合、当該事実のみをもって規則第11条第2号の要件を充たすとの理解でよいのかご教示ください。【在日米国商工会議所】	御理解のとおりです。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
809	-	クラウドサービスの取扱い	2.「個人情報の保護に関する法律についてのガイドライン案(外国にある第三者への提供編)」に対する意見(1)クラウドサービスの取扱いについてガイドライン案外国にある第三者への提供編には、外国にある第三者への提供について具体的な内容が記載されているものの、クラウドサービスに関する場合についての言及がありません。現状ではクラウドサービスの運営事業者が、保存されている情報の中に個人データが含まれていることを認識していない場合や、認識していたとしても個人データをクラウドサービス利用者が暗号化できる機能が提供されており、同運営事業者が個人データにアクセスできない場合が存在しています。現に広く事業者に利用されているクラウドサービスを海外事業者が提供しているという理由だけで制限を課すのはあまりに不当であり、低コストでクラウドサービスを利用している大多数の中小企業の企業活動を著しく阻害することになります。そもそも上記のような場合には、クラウドサービス運営事業者は、利用者の個人データにアクセスすることを目的とはしています。また、データの安全性は安全管理措置によって図られるものであり、海外移転を規制することはデータを分散管理することによる安全性の確保や災害時などのデータ復旧に支障をきたしかねません。このような点に何ら考慮せず、一律に改正個人情報保護法第24条に規定する「外国にある第三者への提供」に同サービスの利用が該当してしまうことになれば、前記の通り、国境を越えたクラウドサービスの利用を不当に阻害することになります。また、衆議院及び参議院の附帯決議にも反することになります。そのため、上記のような場合には、改正個人情報保護法第24条に規定する「外国にある第三者への提供」に当たらないこととすべきであり、その旨をガイドライン等において明記すべきであると考えます。【アジアインターネット日本連盟】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
810	-	クラウドサービスの取扱い	1.「外国にある第三者への提供編」-越境データ移転の観点からクラウドコンピューティング及びインターネット関連サービスについて本ガイドラインでは、特にクラウドコンピューティング及びインターネット関連サービス(以下、総称して「クラウドサービス」といいます。)に関して言及していませんが、私どもは、貴委員会がクラウドサービスの取扱いについて引き続き検討されているところであり、別途ガイダンスを示されるものと理解しています。顧客が巨大なストレージ及びコンピューティング能力の恩恵を受けることができる、様々な種類のインターネット関連サービスをもたらすクラウドサービスは、その性質上グローバルなものであり、円滑な越境データ移転に大きく依存しています。クラウドサービスは、非常に多くのユーザーが、当該サービスを使って自己のデータを管理している点に特徴があります。これらのユーザーは、(もし個人情報を取り扱っていれば)自身が個人情報取扱事業者となり、ユーザーが保存、バックアップ、分析、コミュニケーション等の目的のため、かかる情報をクラウドサービスプロバイダーに提供する、という関係にあります。これらの特徴から、BSAは、クラウドサービスプロバイダーが以下のいずれかの要件を満たす場合には、クラウドサービスの利用は、ユーザーによる個人データの「提供」にも、ユーザーからの個人情報の「委託」にも	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受ける点に特徴があります。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
別紙2－2（外国にある第三者への提供編）

No	該当簡所	寄せられた御意見等	御意見等に対する考え方
該当せず、従って、法24条及び他の関連する条項の適用の範囲外であることを明示していただくことを求めます。(1)提供するサービスにおいて自己のユーザーが個人情報を取り扱っていることを知らない場合(2)サービスプロバイダーでさえも当該情報にアクセスすることができないよう、暗号化などのセキュリティ機能を提供していること、又は、(3)個人情報の取扱いに係る国際的な枠組みに準拠し又はこれに基づく認定を受けていること【BSA| ザ・ソフトウェア・アライアンス】
811	-	クラウドサービスの取扱い	1.個人情報の保護に関する法律についてのガイドライン案(外国にある第三者への提供編)についてクラウド・コンピューティング・サービスの中には、その運営事業者が、利用者が個人データを同サービスの利用対象としているかどうかを全く認識していないものがあります。また、仮に利用者から個人データを利用対象とする旨を運営事業者が知らされていたとしても、セキュリティの観点から利用者側で暗号化(暗号鍵も利用者側で保管)できる機能を運営事業者が提供しており、その場合には、運営事業者は利用者の個人データにアクセスすることは不可能です。現在、その利用が日常的になっているクラウド・コンピューティング・サービスについて何ら考慮せず、一律に法24条に規定する「外国にある第三者への提供」に同サービスの利用が該当してしまうことになれば、国境を越えたクラウド・コンピューティング・サービスの利用を不当に阻害することになり、衆議院及び参議院の附帯決議にも反することになります。クラウド・コンピューティング・サービスの運営事業者が、個人データがその利用対象になっていることを認識していない場合、又は認識していたとしても、個人データを暗号化できる機能が提供されており、同運営事業者が個人データにアクセスできない場合には、法24条に規定する「外国にある第三者への提供」にあたらない旨、ガイドラインを補足する文書において明記して下さいますようお願い申し上げます。【事業者(匿名)】	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
812	-	クラウドサービスの取扱い	(2)意見:外国にある第三者への「提供」には、例えば、データを蓄積するサーバーのみが外国にあり、情報自体は日本にある法人が使用している場合や、外国法人と当該情報を共同で利用する場合等は含まれないことを確認したい。理由:グローバルに事業を展開している企業において、データを海外のグループ会社にあるサーバーに蓄積した上で、自社で当該情報を利用したり、グループ会社間での情報の共有を行う例は多いと思われるが、このような場合に逐一情報提供者から事前の同意をとったり、同等性の確認等を行うことは実務上極めて困難であると考えられるため、このような行為については、提供には該当しないことを確認したい。	クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられますが、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定されます。御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。