その他令和6年7月22日
個人情報の共同利用及び外国への提供に関するガイドライン等
掲載日
令和6年7月22日
号種
号外
原文ページ
p.33 - p.34
号外p.33-p.34
出典：官報発行サイト（内閣府）の掲載情報をもとに整理しています。重要な確認は公式原文を基準にしてください。
出典・注意
官報発行サイト（内閣府）の掲載情報をもとに整理しています。重要な確認は公式原文を基準にしてください。
抽出要点
共同利用の取扱い、外国にある第三者への提供の制限（第17条）
抽出された基本情報
発行機関個人情報保護委員会
抽出された基本情報
- 発行機関
- 個人情報保護委員会
本文と原文の対照
まず左側の本文を読み、必要な箇所だけ原文ページで確認できる構成です。
← 同日の官報に戻る
原文対照の表示オプション
(外国にある第三者への提供の制限)
第17条 協会員は、個人データを外国にある第三者に提供するに当たっては、次の各号のいずれかに該当する場合を除き、あらかじめ「外国にある第三者への個人データの提供を認める旨の本人の同意」を得なければならない。
(1) 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合
(2) 当該第三者が、次のいずれかの基準に適合する体制を整備している場合
イ 協会員と当該第三者との間で、当該第三者における当該個人データの取扱いについて、適切かつ合理的な方法により、保護法第4章第2節の規定の趣旨に沿った措置の実施が確保されていること
ロ 当該第三者が個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること
(3) 保護法第27条第1項各号に該当する場合
2 協会員は、前項の規定により本人の同意を得ようとする場合には、あらかじめ、次に掲げる事項を当該本人に提供しなければならない。なお、情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
(1) 当該外国の名称
(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報
3 前項の規定にかかわらず、第1項の規定により本人の同意を得ようとする時点において、前項第(1)号に定める事項が特定できない場合には、同号及び同項第(2)号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第(1)号に定める事項が特定できない旨及びその具体的な理由（提供先が決まる前に本人同意を得る必要性を含む。）
(2) 前項第(1)号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
4 第2項の規定にかかわらず、第1項の規定により本人の同意を得ようとする時点において、第2項第(3)号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
5 協会員は、個人データを外国にある第三者（第1項第(2)号に規定する体制を整備している者に限る。）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために次に掲げる必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。なお、情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
(1) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること。
6 協会員は、前項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
(1) 当該第三者による第1項第(2)号に規定する体制の整備の方法
(2) 当該第三者が実施する相当措置の概要
(3) 前項第(1)号の規定による確認の頻度及び方法
(4) 当該外国の名称
(5) 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
(6) 当該第三者による相当措置の実施に関する支障の有無及びその概要
(7) 前号の支障に関して前項第(2)号の規定により当該協会員が講ずる措置の概要
7 協会員は、第5項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
8 協会員は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
(特則一第17条関係)
外国にある第三者提供の制限についての特則
EU又は英国域内から十分性認定に基づき提供を受けた個人データを外国にある第三者へ提供するに当たっては、保護法第28条に従い、次の①から③のいずれかに該当する場合を除き、あらかじめ外国にある第三者への個人データの提供を認める旨の本人の同意を得ることとする。
① 当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合
② 協会員と個人データの提供を受ける第三者との間で、当該第三者による個人データの取扱いについて、適切かつ合理的な方法（契約、その他の形式的拘束力のある取決め又は企業グループにおける拘束力のある取扱い）により、EU等補完的ルールを含め保護法と同等水準の個人情報の保護に関する措置を連携して実施している場合
③ 保護法第27条第1項各号に該当する場合
(解説)
(1) 本人の同意について
「本人の同意」とは、本人の個人データが、協会員によって外国にある第三者に提供されることを承諾する旨の当該本人の意思表示をいう。外国にある第三者への提供を認める旨の本人の同意を取得する際には、事業の性質及び個人情報の取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によらなければならない。
なお、個人データの第三者提供についての本人の同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、第2項から第4項までの規定により情報提供が求められる事項に加えて、
① 個人データの提供先の第三者
② 提供先の第三者における利用目的
③ 第三者に提供される個人データの項目
を本人に認識させた上で同意を得ることとする。
本人の同意を得ようとする時点において、①に掲げる事項が特定できない場合には、①に掲げる事項に代わる本人に参考となるべき情報を本人に認識させた上で、同意を得ることとする。当該情報の例としては、「提供先の第三者の範囲や属性に関する情報」が考えられる。
また、協会員があらかじめ作成された同意書面を用いる場合には、文字の大きさ及び文章の表現を変えること等により、外国にある第三者への提供に関する条項が他の個人情報の取扱いに関する条項等と明確に区別され、本人に理解されることが望ましい。
(2) クラウドサービス等の取扱い
クラウドサービスの内容は契約により異なり得るため、一律に規定することはできないものと考えられるところ、一般論として、契約条項により「外国にある第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定される。
(3) 「我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国」について（第1項第1号）
以下のいずれにも該当する国として個人情報保護委員会が定めた国がこれに該当する。
① 保護法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国国内において確保されていると認めるに足りる状況にあること
② 個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること
③ 我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること
④ 個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること
⑤ から④までに定めるもののほか、当該外国を本条の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること
注 「我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国」は、EU及び英国が該当する（ここでいうEUとは、「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」（平成31年個人情報保護委員会告示第1号）に定める国を指す（ただし、英国は含まない。））。
(4) 「適切かつ合理的な方法」について（第1項第2号）
個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事例が該当する。
事例1）外国にある事業者に個人データの取扱いを委託する場合
提供元及び提供先間の契約、確認書、覚書等
事例2）同一の企業グループ内で個人データを移転する場合
提供元及び提供先に共通して適用される内規、プライバシーポリシー等
上記の方法を採用する場合、「保護法第4章第2節の規定の趣旨に沿った措置」として外国提供ガイドライン等に記述する事項について、適切かつ合理的な方法に記述する方法によって担保されていなければならない。なお、協会員は、契約等に外国提供ガイドライン等に記述する全ての事項を規定しなければならないものではなく、「保護法第4章第2節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。
提供元の協会員が越境プライバシールール（以下「CBPR」という。）の認証を取得しており、提供先の「外国にある第三者」が当該協会員に代わって個人情報を取り扱う者である場合には、当該協会員がCBPRの認証の取得要件を満たすことも、「適切かつ合理的な方法」の一つであると解される。
(参照条文：保護法28条、施行規則15条から18条、通則ガイドライン1-1、3-6-4、外国提供ガイドライン2-1、3、4-1、4-2、EU等補完的ルール(4))
p.33 / 2
読み込み中...
テキスト領域
選択中
非公開 (PII)
個人情報保護委員会の新着公告を見逃さないために
Pro プランでは会社名・機関名・キーワードを監視条件として保存し、新着掲載を継続確認できます。14日間無料で試せます。
監視機能の詳細を見る →