※本記事は2022年4月に施行された改正個人情報保護法に関する記事です。
皆さんこんにちは。
プライバシーザムライ中康二です。
（オプティマ・ソリューションズ株式会社・代表取締役）
４月から施行された改正個人情報保護法について、最も混乱していると思われるのが「個人情報の海外移転」に関する事項です。
いろんな情報が交錯していて、なかなかうまくまとまった情報がありませんので、この記事でまとめておきたいと思います。
まず、改正個人情報保護法の下で、外国にある第三者への提供が認められるのは、上記の図の４つの場合のみとなります。これを順番に説明していきます。
なお、国内法人に対する場合と異なり、「委託」がこの例外とはならないことによく注意してください。委託の場合も下記の条件を満たす必要があります。
また、提供とは、個人データを自己以外の者が利用可能な状態に置くことを指し、個人データが物理的に提供されていない場合であっても、ネットワーク等を利用することにより個人データを利用できる状態にあれば（利用する権限が与えられていれば）、提供にあたるとされています。つまり、実際に海外に移転していなくても、海外の第三者からアクセス権が設定されている場合には、外国にある第三者への提供となります（2021年のLINE問題では中国の委託先から日本のデータベースにアクセス権を設定していたことが問題になりました）。こちらもご注意ください。
（個人情報保護法ガイドライン 2-17「提供」）
（１）日本と同水準の個人情報保護制度のある外国の場合
日本と同水準の個人情報保護制度のある外国にある事業者に対する提供（委託）は、認められます。具体的にはEU加盟国と英国となります。（第28条第1項）
（個人情報保護委員会資料より）
（２）基準に適合する体制を整備した事業者の場合
次に提供先（委託先）が、個人情報保護委員会が定める基準に適合する体制を整備している場合には、認められます。
ただし、下記の3つの条件を満たす必要があります。
�� 国内の個人情報取扱事業者が講ずべき措置に相当する措置（相当措置）を継続的に講ずるため、下記のA)B)のいずれかを整備すること。（第28条第1項）
A) 契約を交わすなどの方法により、相当措置の実施を確保すること。相当措置には、下記の20の項目が含まれます。
（個人情報保護法ガイドライン・外国にある第三者への提供編より）
B) 提供先が、個人情報の取扱いに係る国際的な枠組みに基づく認定を取得していること（APEC CBPRシステムの認証など）
�� 提供先（委託先）における相当措置の継続的な実施を確保するために必要な措置として、下記のA)B)C)全てを実施すること。（第28条第3項）
A) 相当措置の実施状況、相当措置の実施に影響を及ぼすおそれのある外国の制度の有無及び内容を定期的に確認すること
B) 相当措置の実施に支障が生じたときは、必要かつ適切な措置等を実施すること
C) 相当措置の継続的な実施の確保が困難となったときは提供（委託）を停止すること
�Ｋ椰佑�らの求めを受けた場合には、本人に対して下記の情報を遅滞なく提供すること。（第28条第3項）
A) 提供先（委託先）が相当措置を実施するための体制の整備の方法
B) 提供先（委託先）が実施する相当措置の概要
C) 提供先（委託先）による相当措置の実施に影響を及ぼすおそれのある外国の制度の有無と内容に関する確認の頻度と方法
D) 当該外国の名称
E) 提供先（委託先）による相当措置の実施に影響を及ぼすおそれのある外国の制度の有無とその概要
F) 提供先（委託先）による相当措置の実施に関する支障の有無とその概要
G) 前号の支障に関して当該個人情報取扱事業者が講ずる措置の概要
（３）一定の事項を開示した上で、本人同意を取る場合
本人同意があれば、外国にある第三者への提供は認められますが、今回の法改正で、同意の前に以下の情報を提供することが義務付けられました。（第28条第2項）
�� 当該外国の名称
�� 当該外国における個人情報の保護の制度に関する情報
�� 提供先（委託先）が講ずる個人情報の保護のための措置
（４）クラウドサービスで個人データを取り扱わないこととなっている場合
クラウドサービスの場合、海外の事業者であったり、海外のデータセンターを利用している場合がありますが、この場合であっても、そのクラウド事業者が自社の個人データを取り扱わないこととなっている場合には、そもそも提供にも委託にもならないとされます。（個人情報保護委員会Q&A Q12-3）
このことについては、別に記事を書いていますので、参考にしてください。
https://www.pmarknews.info/kojin_joho_hogo_ho/52155459.html
（追加）外的環境の把握の義務があります
上記（１）から（４）の条件に加えて、外国において個人データを取り扱う場合には、安全管理措置の一環として「外的環境の把握」が求められます。これは、どの国で個人データを取り扱っているのかを明確にし、その国における個人情報の保護に関する法制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じることを指しています。（第23条）
（個人情報保護法ガイドライン通則編 10（別添）講ずべき安全管理措置の内容より）
さらに、保有個人データに関する公表事項に安全管理措置が含まれたことから、上記で把握した「外的環境の把握」の内容についても、公表に含めることとされました。（第32条第4項）
（個人情報保護法ガイドライン 3-8-1 保有個人データに関する事項の公表等）
とはいっても、各社が独自に諸外国の個人情報保護法制を調査することには困難もあることから、個人情報保護委員会が一定の国について調査を行い、その結果をWebサイト上で公表しています。
https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku
特に中国における個人情報保護法制については、厳しい内容が報告されています。
（中華人民共和国に関する調査結果）
参考URL
改正個人情報保護法（2022年4月施行）
https://elaws.e-gov.go.jp/document?lawid=415AC0000000057
個人情報保護法ガイドライン（通則編）
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
個人情報保護法ガイドライン（外国にある第三者への提供編）
https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/
個人情報保護委員会資料
https://www.meti.go.jp/policy/it_policy/privacy/ppc_privacy_governance_seminar3.pdf
（私のコメント）
以上、個人データの海外移転に関する情報をまとめてみました。正直申し上げて、この内容は法律とガイドラインだけ見ていては、とても理解しづらいと感じました。今回の記事で骨組みは表現できたと思いますが、いかがでしょうか？また、最後の「外的環境の把握」については、もう少し詳細を調査して別の記事でご紹介したいと思います。
この内容が皆さんにとって何かの参考になればと思います。
また、新しい情報が入りましたら、皆様にシェアいたしますね。
メンバー募集
オプティマ・ソリューションズは、個人情報保護のためにPマーク・ISMSの取得を通して、様々な企業様をサポートするコンサルティング＆サービス会社です。未経験者でも大歓迎です！明るく、真剣に打ち込める環境で一緒に働きましょう！✅ Pマーク／ISMSコンサルタント
✅ 営業
✅ 広報
興味がある方、ぜひこちらからご連絡ください！
