十分性認定国への提供と
簡易手続の実務

十分性認定国への提供では、まず対象情報が個人データか、相手方が第三者か、相手方が外国にあるかを分けます。用語を曖昧にしたまま「海外移転」と呼ぶと、実際には委託なのか、第三者提供なのか、共同利用なのかが見えなくなります。

次の一覧は、越境移転の検討で最初に使う基本概念を並べています。どの概念に当たるかで、27条の根拠、28条の上乗せ、本人請求対応の範囲が変わるため、社内の相談票や台帳でも同じ粒度で分類しておくことが重要です。

第三者と提供

第三者とは、個人データを提供する事業者および本人以外の者です。親会社、子会社、関連会社、海外現地法人、業務委託先、販売代理店、共同研究先、M&A候補会社、外部専門家、クラウド事業者等は、場面によって第三者となり得ます。

提供とは、相手方が個人データを利用できる状態に置くことです。メール送信、ファイル共有、API連携、管理画面へのアクセス権限付与、クラウド上の閲覧権限、海外拠点からのリモートアクセスなども、実質的に相手方が利用可能であれば提供として検討します。

次の比較表は、個人情報保護法28条で通常の外国第三者提供と異なる扱いになり得る三つの入口を示しています。十分性認定国への提供はこのうち一つのルートであり、基準適合体制や27条例外とは別に検討します。

簡易手続という言葉の使い方

簡易手続は、個人情報保護法上の独立した正式制度名ではありません。このページでは、提供先が日本法上の同等水準国にある場合、28条の本人同意取得、外国制度情報・提供先措置情報の事前提供、基準適合体制の構築・定期確認といった上乗せ手続を、非十分性国向け移転ほど要求されない形で整理できることを指します。

十分性認定国への提供では、当該国・地域が日本と同等水準の個人情報保護制度を有すると評価されているため、外国移転という理由による28条同意、外国制度情報・提供先措置情報の事前提供、基準適合体制の構築・定期確認の負担が軽くなります。

次の一覧は、簡易化される主な効果を三つに分けています。どの効果も28条対応に関するものであり、通常の第三者提供、委託先監督、契約管理まで不要にするものではない点を読み取ります。

簡易化されるのは28条対応です

同意画面では、28条2項に基づく外国制度情報の詳細表示が不要となりやすくなります。契約審査では、非十分性国向けの基準適合体制条項を一律に要求する必要性が下がります。移転判断では、EU・英国向けの標準的な委託、グループ共有、SaaS利用について、通常の第三者提供・委託・共同利用の整理に集中しやすくなります。

次の手段一覧は、十分性認定国への提供でも残る義務を示しています。項目が多く見えますが、利用目的、提供根拠、委託先監督、安全管理、本人対応、補完的ルールのどこに関係するかを分けて読むと、実務の担当部署へ割り振りやすくなります。

EU・英国由来データの補完的ルール

日本がEU・英国から十分性認定を受けるに当たり、EU・英国から十分性認定に基づいて移転された個人データについて補完的ルールが設けられています。日本企業がEU・英国から個人データを受け取った後、日本国内で利用し、さらに第三国へ移転する場合には、日本法、補完的ルール、EU・英国側の移転規制、契約上の制限、グループ内規程を確認します。

十分性認定国への提供は、相手方の国だけでなく、相手方の役割とデータ利用目的によって整理が変わります。委託先なのか、独自目的で利用する第三者なのか、グループ内の共同利用なのかをケースごとに確認します。

次の比較表は、代表的な五つの場面で、28条の簡易化と残る確認事項を整理しています。結論欄だけでなく、注意点欄にあるサブプロセッサ、労務情報、再提供、再移転を読み落とさないことが重要です。

次の注意要素は、ケース検討で結論を左右しやすいポイントを集めています。提供先の国名だけでは足りず、データの種類、相手方の利用目的、再移転、雇用関係、契約上の制限を併せて読む必要があります。

十分性認定国への提供では、28条2項の外国制度情報等の詳細な事前提供は原則不要になりやすいです。ただし、透明性確保、顧客信頼、本人請求対応の観点から、プライバシーポリシーには海外グループ会社、委託先、クラウド事業者への提供可能性、国・地域の例、提供目的、データ項目、安全管理措置、本人請求窓口を記載しておくことが有益です。

次の一覧は、十分性認定国への提供がある場合にプライバシーポリシーへ反映しやすい項目を示しています。各項目は、本人がどの国・地域、どの目的、どの相手方類型に関する提供なのかを理解するために重要です。

記載例の考え方

たとえば、個人データを海外のグループ会社、業務委託先またはクラウドサービス提供事業者に提供することがあり、提供先には日本の個人情報保護法上、個人の権利利益を保護する上で日本と同等の水準にあると認められる国・地域に所在する事業者が含まれる場合がある、といった説明が考えられます。そのうえで、提供先の選定、契約、アクセス管理、再委託管理、漏えい等発生時の対応等を通じて、個人データの適切な取扱いを確保する旨を示します。

同意画面の設計

第三者提供同意が必要な場合、本人が何に同意しているのかを明確にする必要があります。十分性認定国への提供であれば、非十分性国向けの外国制度情報を詳細に表示する必要性は低くなりますが、提供先、提供目的、提供データ項目、同意撤回の可否・方法、サービス利用との関係は明確にします。

金融分野、医療・ヘルスケア、人事労務、未成年者、要配慮個人情報、プロファイリング、信用評価、広告配信など、本人の権利利益への影響が大きい場面では、十分性認定国であっても、同意の明確性、任意性、粒度を高める必要があります。

Q1. 十分性認定国への提供なら本人同意は不要ですか。

一般的には、28条上の外国第三者提供同意は原則として不要になりやすいとされています。ただし、27条上の第三者提供同意が必要な場合があります。委託、共同利用、事業承継、法令上の例外などに該当するかで結論が変わる可能性があります。具体的な対応は、提供目的、提供先の役割、データ項目を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. EUの十分性認定国なら、日本からの提供も簡易手続になりますか。

一般的には、EUがGDPR上十分性認定している国と、日本の個人情報保護法28条上の同等水準国は別制度とされています。日本から提供する場合は、日本の個人情報保護委員会が指定しているかを確認します。具体的には、移転方向と適用法域により判断が変わる可能性があります。

Q3. 英国はEUではありませんが、十分性認定国として扱えますか。

一般的には、日本法上、英国はEUとは別に指定対象として扱われるとされています。そのため、日本から英国への提供では28条上の上乗せが問題になりにくい場合があります。ただし、27条、契約、安全管理措置、英国側の制度確認は別に必要です。

Q4. 委託先が十分性認定国にある場合、契約は不要ですか。

一般的には、契約が不要になるわけではないとされています。委託先監督義務、安全管理措置、責任分担、本人請求対応、漏えい時報告、再委託管理のため、委託契約またはDPAを確認します。具体的な条項は、処理内容とリスクにより調整する必要があります。

Q5. 海外クラウドを使うだけで外国第三者提供になりますか。

一般的には、一律には判断できないとされています。クラウド事業者が個人データを取り扱う実態、契約上の権限、アクセス可能性、サポート体制、サブプロセッサ、保管場所によって判断が変わります。実務上は、委託または第三者提供として整理し、所在国と28条対応を確認します。

Q6. 十分性認定国にあるグループ会社への提供は自由ですか。

一般的には、自由に提供できるわけではないとされています。グループ会社は原則として別法人であり、第三者提供、共同利用、委託、事業承継のいずれかとして整理します。共同利用なら公表事項、委託なら委託先監督、第三者提供なら本人同意等が問題になります。

Q7. サブプロセッサが非十分性国にある場合はどうなりますか。

一般的には、提供先本体が十分性認定国にあっても、サブプロセッサやサポート拠点が非十分性国にある場合は再移転リスクを確認するとされています。契約上の義務の引継ぎ、再委託承認、サブプロセッサ一覧、非十分性国移転時の措置を確認します。

Q8. SCCやBCRがあれば日本法上も十分ですか。

一般的には、SCCやBCRはGDPR上の移転措置として重要ですが、日本の個人情報保護法27条・28条の提供根拠、本人対応、記録義務を自動的に満たすものではないとされています。日本法上の整理は別に確認します。

Q9. プライバシーポリシーに海外に提供すると書けば足りますか。

一般的には、それだけでは足りないことが多いとされています。提供先、提供目的、データ項目、共同利用の要件、同意の有無、委託先監督、本人請求窓口、安全管理措置等を個別に整理します。

Q10. M&Aのデータルームに海外買主候補を入れる場合はどう考えますか。

一般的には、買主候補やアドバイザーがEU・英国に所在する場合、28条上の上乗せは簡略化される可能性があります。ただし、第三者提供、秘密保持、目的限定、閲覧権限、マスキング、要配慮情報、従業員情報、競争法、インサイダー情報、契約上の守秘義務を別途検討します。

Q11. 従業員データを海外本社へ提供する場合、同意を取れば十分ですか。

一般的には、同意だけに依存すると慎重な検討が必要になる場合があります。雇用関係では同意の任意性が問題となり得るため、利用目的、就業規則、社内通知、共同利用、職務上必要な範囲、アクセス制限、労務法務を総合的に確認します。

Q12. 十分性認定国への提供では記録義務も不要ですか。

一般的には、不要とは限らないとされています。第三者提供に該当する場合、提供者・受領者の確認・記録義務が問題になります。委託、共同利用、法令上の例外など、記録義務が不要または軽減される場合もあるため、個別に確認します。

Q13. 個人関連情報の提供も同じですか。

一般的には、個人関連情報は、受領者が個人データとして取得することが想定される場合などに特別な規制があるとされています。Cookie、広告ID、端末ID、閲覧履歴等の提供では、個人データの第三者提供と似た検討が必要になることがあります。

Q14. 匿名加工情報なら自由ですか。

一般的には、匿名加工情報にも作成、提供、公表、識別行為禁止などのルールがあるとされています。実質的に個人が再識別可能なデータを匿名と扱うことは問題になり得ます。具体的には加工方法、提供方法、再識別リスクにより判断が変わります。

Q15. 十分性認定国の指定が取り消されたらどうなりますか。

一般的には、指定が取り消されると、以後の提供について28条の外国第三者提供規制が問題になるとされています。既存契約、移転台帳、プライバシーポリシー、同意、基準適合体制への切替えを確認する必要があります。年次レビューや法改正モニタリングが重要です。

日本法上の同等水準国指定は、個別事業者の安全性を保証するものではありません。国・地域の制度水準について一般的に日本と同等水準と評価するものであり、当該国のすべての事業者が常に適切な取扱いを行うことを意味しません。そのため、提供先の選定、契約、セキュリティ、再委託、監査、インシデント対応が必要です。

次の判断表は、十分性認定国への提供と簡易手続で、どの問いにYesまたはNoと答えたときに次へ進むかを整理しています。Yesの場合でも、右側の対応がすべて不要になるわけではなく、次の確認へ進むための分岐として読みます。

次の失敗例は、実務で起きやすい思い込みを集めています。どれも28条の簡易化を個人情報保護対応全体の簡易化と取り違える点に共通しており、社内研修やチェックシートで先に潰しておくことが有効です。

次の重要ポイントは、十分性認定国への提供の結論を短くまとめたものです。実務では、この一文を前提に、データ移転台帳、標準DPA、サブプロセッサ管理、共同利用公表、プライバシーポリシー、本人請求対応、年次レビューを整備します。