(20)共同利用者の範囲について(第8項)
①本人から見て、当該個人データを提供する協会員と一体のものとして取り扱われること
に合理性がある範囲で、当該個人データを共同して利用することが求められる。したがっ
て、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程
度に明確にする必要がある。
②共同利用者を個別列挙することが望ましいが、個別に列挙しない場合は、本人から見て、
共同して利用する者の範囲の外延を明確にするため、例えば、「当社及び有価証券報告書等
に記載されている連結対象会社及び持分法適用会社」というように記載する。
③上記②の場合においては、ホームページに共同利用者名を記載する等により、共同利用
者の範囲を分かりやすく示すことが考えられる。
(21)「通知」及び「本人が容易に知り得る状態」の方法の具体例(第9項)
上記(6)及び(8)と同様の方法
(参照条文:保護法27条、通則ガイドライン3-1-5、3-6-1、3-6-2-1、3-
6-3、金融分野ガイドライン4条、12条、貸金業者向けの総合的な監督指針-2-2)
(外国にある第三者への提供の制限)
第17条協会員は、個人データを外国にある第三者に提供するに当たっては、次の各号のいずれかに
該当する場合を除き、あらかじめ「外国にある第三者への個人データの提供を認める旨の本人の同
意」を得なければならない。
(1)当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国とし
て施行規則で定める国にある場合
(2)当該第三者が、次のいずれかの基準に適合する体制を整備している場合
イ協会員と当該第三者との間で、当該第三者における当該個人データの取扱いについて、適切
かつ合理的な方法により,保護法第4章第2節の規定の趣旨に沿った措置の実施が確保されて
いること
ロ当該第三者が個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること
(3)保護法第27条第1項各号に該当する場合
2協会員は、前項の規定により本人の同意を得ようとする場合には、あらかじめ、次に掲げる事項
を当該本人に提供しなければならない。なお、情報を提供する方法は、電磁的記録の提供による方
法、書面の交付による方法その他の適切な方法とする。
(1)当該外国の名称
(2)適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する
報情
(3)当該第三者が講ずる個人情報の保護のための措置に関する情報
3前項の規定にかかわらず、第1項の規定により本人の同意を得ようとする時点において、前項第
(1)号に定める事項が特定できない場合には、同号及び同項第(2)号に定める事項に代えて、次に掲げ
る事項について情報提供しなければならない。
(1)前項第(1)号に定める事項が特定できない旨及びその具体的な理由(提供先が定まる前に本人同
意を得る必要性を含む。)
(2)前項第(1)号に定める事項に代わる本人に参考となるべき情報がある場合には,当該情報
4第2項の規定にかかわらず、第1項の規定により本人の同意を得ようとする時点において、第2
項第(3)号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及
びその理由について情報提供しなければならない。
5協会員は、個人データを外国にある第三者(第1項第(2)号に規定する体制を整備している者に限
る。)に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために次に掲げる
必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供
しなければならない。なお,情報を提供する方法は、電磁的記録の提供による方法、書面の交付に
よる方法その他の適切な方法とする。
(1)当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある
当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるととも
に、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提
供を停止すること。
6協会員は、前項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項につ
いて情報提供しなければならない。ただし、情報提供することにより当該協会員の業務の適正な実
施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
(1)当該第三者による第1項第(2)号に規定する体制の整備の方法
(2)当該第三者が実施する相当措置の概要
(3)前項第(1)号の規定による確認の頻度及び方法
(4)当該外国の名称
(5)当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその
要概
(6)当該第三者による相当措置の実施に関する支障の有無及びその概要
(7)前号の支障に関して前項第(2)号の規定により当該協会員が講ずる措置の概要
7協会員は、第5項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をし
たときは、本人に対し、遅滞なく、その旨を通知しなければならない。
8協会員は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を
通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
(特則-第17条関係)
外国にある第三者提供の制限についての特則
EU又は英国域内から十分性認定に基づき提供を受けた個人データを外国にある第三者へ提
供するに当たっては、保護法第28条に従い、次の①から③のいずれかに該当する場合を除き、
あらかじめ外国にある第三者への個人データの提供を認める旨の本人の同意を得ることとす
る。
①当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められ
る個人情報保護制度を有している国として施行規則で定める国にある場合
② 当該第三者による個人データの取
扱いについて、適切かつ合理的な方法(契約、その他の形式の拘束力のある取決め又は企
業グループにおける拘束力のある取扱い)により、EU等補完的ルールを含め保護法と同
等水準の個人情報の保護に関する措置を連携して実施している場合
③保護法第27条第1項各号に該当する場合
(解説)
(1)本人の同意について
「本人の同意」とは、本人の個人データが、協会員によって外国にある第三者に提供され
ることを承諾する旨の当該本人の意思表示をいう。外国にある第三者への提供を認める旨の
本人の同意を取得する際には、事業の性質及び個人情報の取扱状況に応じ、当該本人が当該
同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によらなければならな
い。
なお、個人データの第三者提供についての本人の同意を得る際には、原則として、書面に
よることとし,当該書面における記載を通じて、第2項から第4項までの規定により情報提
供が求められる事項に加えて、
①個人データの提供先の第三者