行政書士 一般知識 問47｜個人データの国外の第三者への提供制限

正答はイです。個人情報保護委員会が「日本と同等の水準にある個人情報保護制度を有する国・地域」と認定した場合（現時点ではEUおよび英国が対象）、その国・地域にある第三者への提供は国内の第三者提供と同様の扱いとなり、原則として27条（第三者提供の制限・本人同意原則）が適用されます（通常の同意原則で処理できる）。ア（誤）：国外の第三者への提供には、原則として本人の同意（または特定の例外措置）が必要です（28条1項）。相手国の法制のレベルを問わず同意不要というのは誤りです。ウ（誤）：28条2項により、本人の同意を得ようとする場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他本人に参考となるべき情報を本人に提供しなければなりません（外国の名称も個人情報保護委員会規則で提供すべき情報とされています）。包括的な説明では不十分です。エ（誤）：基準適合体制を整備している第三者は28条1項の「外国にある第三者」から除かれるため、28条の同意は不要になりますが、その場合は27条が適用されます。法令に基づく場合などの例外や委託等に当たらない限り本人の同意が必要であり、契約の締結だけで同意なく提供できるとする点が誤りです。オ（誤）：越境移転規制は以前から存在しており、その後の改正で本人への情報提供（28条2項）や提供後の措置（28条3項）が整備されました。

イが正答です。28条1項は、外国にある第三者に個人データを提供する場合には、27条1項各号の場合を除き、あらかじめ「外国にある第三者への提供を認める旨の本人の同意」を得なければならないと定めます。ただし同項の括弧書は、①「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるもの」を「外国」から除き、②相当措置を継続的に講ずるために必要なものとして規則で定める基準に適合する体制を整備している者を「第三者」から除いています。①に当たる国・地域（現在EU・英国）にある第三者への提供には28条が適用されず、通常の27条の第三者提供規律が適用されます（国内移転と同等扱い）。ア（誤）：相手国の法制のレベルを問わず同意不要とする点が28条1項に反します。ウ（誤）：28条2項は、同意を得ようとする場合に、あらかじめ当該外国における個人情報の保護に関する制度、当該第三者が講ずる措置その他本人に参考となるべき情報の提供を義務付けており、包括的説明では足りません。エ（誤）：②の基準適合体制の第三者も28条から外れるだけで、27条は適用されます。委託等に当たらない限り本人同意が必要です。また提供後は、相当措置の継続的な実施を確保するために必要な措置を講じ、本人の求めに応じて情報を提供する義務があります（28条3項）。オ（誤）：越境移転規制は以前から存在しています。

【越境移転規制の制度構造（28条の全体像）】

28条は3つの項からなります。1項（原則）：外国にある第三者に個人データを提供する場合には、27条1項各号（法令に基づく場合・生命身体財産の保護等）に当たる場合を除き、あらかじめ「外国にある第三者への提供を認める旨の本人の同意」が必要で、この場合27条は適用されません。ただし1項の括弧書により、①我が国と同等の水準の制度を有する外国として委員会規則で定めるもの（現在EUおよび英国）は「外国」から、②相当措置を継続的に講ずるために必要な基準適合体制を整備している者は「第三者」から除かれ、これらへの提供には28条ではなく27条が適用されます（イの根拠。エの誤りの根拠も同じで、27条の同意原則は残ります）。2項：1項の同意を得ようとする場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる措置その他本人に参考となるべき情報を提供しなければなりません（ウの誤りの根拠）。3項：基準適合体制を整備している外国の第三者に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を本人に提供しなければなりません。

【十分性認定と日EU相互認証】

EUおよび英国が委員会規則で指定された背景には、日本とEUの相互承認（2019年1月発効）があります。EUはGDPRに基づき「十分性認定」（第三国が適切な保護水準を確保していると判断した場合に移転を許可）を日本に対して行い、日本も個人情報保護委員会規則でEU・英国を指定しています。この相互承認は、日EU間のデータ移転を円滑にするための国際的枠組みです。EU→日本方向のデータ移転については、GDPRに基づく十分性認定により、日本の個人情報保護法の規律がGDPR水準と同等と認められています。日本→EU方向については、EUが28条1項括弧書の「外国」から除かれるため、通常の27条の規律で提供できます。

【基準適合体制の実務的対応】

十分性認定国以外（米国・中国・東南アジア諸国等）にある第三者への提供について28条1項の同意を不要とするには、受領者が委員会規則で定める基準に適合する体制を整備していることが必要です。規則の基準としては、①提供元と受領者との間で、個人情報保護法の趣旨に沿った措置の実施が適切かつ合理的な方法により確保されていること、②受領者が個人情報の取扱いに係る国際的な枠組みに基づく認定（APECの越境プライバシールール〔CBPRs〕等）を受けていること、が定められています。実務的には、外国の受領者との間に適切なデータ処理契約（DPA：Data Processing Agreement）を締結し、日本の個人情報保護法の基準に相当する内容を約定することが主要な対応方法です。ただし、これで外れるのは28条の同意だけであり、27条の規律（第三者提供の本人同意、または委託・共同利用等の整理）は別途満たす必要があります（エの誤りの根拠）。さらに提供後も、相当措置の継続的な実施を確保するために必要な措置を講じ、本人の求めに応じて当該措置に関する情報を提供する義務があり（28条3項）、「締結して終わり」ではなく継続管理が求められます。

【上位資格・実務への接続】

越境移転規制はグローバルビジネスを行う企業にとって最も実務的インパクトが大きい規律の一つです。米国・中国・インド等の主要拠点との間でのデータ移転（従業員情報・顧客情報・マーケティングデータ等）を適法に行うためには、28条の規律の正確な理解と対応が不可欠です。中国では「データセキュリティ法」「個人情報保護法」（PIPL：2021年施行）により中国国内で収集したデータの国外移転に厳格な規制が設けられており、日本→中国のデータ移転は日本法に加えて中国PIPLへの対応も必要です。行政書士として企業の国際取引支援・外国人在留資格申請等を行う際、個人情報の越境移転が発生するケースを適切に把握・対応するための基礎知識として本論点は重要です。

【根拠条文】

個人情報の保護に関する法律 第27条（第三者提供の制限）・第28条第1項（外国にある第三者への提供の原則：本人同意。括弧書で同等水準の外国・基準適合体制の第三者を除外）・第28条第2項（本人同意時の情報提供義務：外国の制度・第三者の措置等）・第28条第3項（基準適合体制の第三者に提供した場合の継続確保措置と本人への情報提供）

※条番号は現行条文に基づく。28条は1項〜3項で構成される。

【補足】

越境移転は原則本人同意（28条1項）。①十分性認定国（現在EU・英国）にある第三者と②基準適合体制の第三者は28条の対象から外れ、27条が適用される（契約だけで同意不要になるわけではない）。同意取得時は外国の制度等の情報提供が必要（28条2項）。