越境移転の本人同意取得の実務
個人情報保護法28条の設計

越境移転の本人同意は、通常の国内第三者提供の同意より実務上の難度が高くなります。単に海外の委託先に提供すると書くだけでは、本人が外国制度や提供先措置を理解できず、同意判断に必要な情報を得たとは評価しにくい場合があります。

次の一覧は、越境移転の本人同意取得でつまずきやすい3つの理由を表します。問題の所在を先に分けることで、読者は同意文言を作る前に、国・提供先・代替設計のどこを確認すべきかを読み取ることが重要です。

基本用語の整理

次の表は、個人情報、個人データ、越境移転、第三者、本人同意の違いを表します。法28条の対象は典型的に個人データの外国第三者提供であるため、読者は名刺1枚のやり取りと、CRMやHRシステムのデータ提供では検討の深さが変わる点を読み取る必要があります。

越境移転の本人同意取得の実務では、同意フォームの作成から始めるべきではありません。まず移転の実態を把握し、同意ルートを採るべきか、基準適合体制や他の法的根拠を採るべきかを判断します。

次の表は、対象データの性質を確認するための項目を表します。どの情報を、どの頻度で、どのシステムに載せるかによってリスクと説明内容が変わるため、読者は個人データ該当性、要配慮性、個人関連情報、データ量を同時に見ることが重要です。

次の比較表は、提供先が第三者に該当するかを典型例で整理したものです。同じ海外関連でも、同一法人内部か別法人か、委託か共同利用かによって判断が変わるため、読者は法人単位と契約関係を切り分けて読み取る必要があります。

次の表は、同意ではなく基準適合体制などを優先して検討しやすい場面を表します。同意拒否者だけ別運用にすることが難しい場面や、従業員同意の任意性が問題になる場面では、読者は契約・内規・アクセス制御を組み合わせる設計を読み取ることが重要です。

国・地域は、契約相手方の所在地だけでなく、個人データの主たる保管国、バックアップ国、運用・保守・サポートでアクセスする国、再委託先の国まで四層で把握します。日本リージョンに保存されると説明されていても、海外サポート担当者が管理画面から閲覧できる場合には、越境移転の検討が必要となる可能性があります。

クラウドやグローバルサポートでは、提供先国を契約時に完全には特定できないことがあります。ただし、事業者が調査を尽くさずに特定できないと記載することは適切ではありません。契約書、DPA、管理画面、サブプロセッサ一覧、サポート拠点、変更通知条項を確認する必要があります。

次の重要ポイントは、提供先国を特定できない場合に最低限説明すべき内容を表します。本人の判断材料をなくさないことが重要なため、読者は不明という結論だけでなく、特定できない理由、候補国、変更通知、保護措置をセットで示すことを読み取る必要があります。

次の表は、国名を特定できない場面で本人に示す代替情報の例を表します。状況によって提供できる情報が異なるため、読者は現在分かっている範囲、変更時の通知方法、アクセス制御などを組み合わせて説明することを読み取る必要があります。

実務上は、契約書、DPA、注文書、管理画面、リージョン設定、サブプロセッサ一覧、サポート・保守アクセス国を確認します。提供先に問い合わせた記録や、国の追加・変更時に通知される契約になっているかも、台帳と証跡に残します。

越境移転の本人同意は、取得時点の情報提供内容とセットで証明できなければなりません。本人、監督当局、取引先、監査役、内部監査、外部専門家、裁判所に説明する可能性を考えると、同意ログと版管理を分けて設計する必要があります。

次の表は、同意ログとして保存すべき項目を表します。誰が、いつ、どの方法で、どの国・提供先・文面に同意したかを結び付けるため、読者はログと文面・国リスト・提供先措置説明を一体で保存することを読み取る必要があります。

次の一覧は、版管理で残すべき情報を表します。プライバシーポリシーや同意文面を更新すると過去の同意時点の表示内容が分からなくなるため、読者は契約書と同じようにプライバシー同意にも版管理を適用することを読み取る必要があります。

内部監査では、実際の同意画面と承認済み文面が一致しているか、未チェック初期値が維持されているか、同意ログが改ざん不能または追跡可能な形で保存されているか、国リスト変更時に再通知・再同意判定が行われているかを確認します。

越境移転は、海外クラウド・SaaS、海外親会社との人事データ連携、海外委託先へのサポート委託、グローバルCRM、M&A、不祥事調査・国際訴訟で日常的に発生します。場面ごとに同意取得の現実性、契約の重要性、データ最小化の必要性が異なります。

次の一覧は、主要場面ごとの確認ポイントを表します。各項目は、提供先、データ項目、法的根拠、契約、安全管理のどこに重点を置くかが異なるため、読者は自社の取引やシステムに近い場面から確認することが重要です。

M&Aや不祥事調査では、スピードが重視される一方で、データ保護の初動設計を誤ると、取引後のPMI、表明保証違反、補償、当局対応、信用リスクに波及します。データの最小化、閲覧制限、NDA、DPA、アクセスログ、法的例外の確認を早い段階で組み込みます。

越境移転の本人同意取得の実務は、法務部だけでは完結しません。データフロー、システム設定、契約、本人対応、内部監査、海外法、事業上の必要性を横断して確認するため、役割分担を事前に明確化します。

次の一覧は、よくある不備と是正策を表します。実務上の事故は、海外という一語、委託だから不要という誤解、ログだけ保存、グループ会社の第三者性の見落とし、契約未整備から起きやすいため、読者は自社の弱点を読み取ることが重要です。

次の表は、社内外の役割分担を表します。役割が曖昧だと台帳更新、契約審査、同意画面管理、監査が止まりやすいため、読者は誰がどの情報を持ち、誰が最終承認するかを読み取ることが重要です。

次の表は、越境移転台帳に持たせる項目を表します。台帳は単なる棚卸しではなく、新規ツール導入、委託先変更、海外グループ連携、データ分析、M&A、インシデント対応の入口になるため、読者は法的根拠、契約、同意、リスク評価、承認者を一つの行で追うことを読み取る必要があります。

海外提供先・海外SaaSを審査する質問票では、契約主体、グループ会社、保管国、バックアップ国、サポート・保守アクセス国、サブプロセッサ一覧、変更通知方法、利用目的の限定、アクセス権限、暗号化、ログ保存期間、従業員教育、インシデント通知期限、データ返還・削除方法、監査レポート、認証範囲、違反時の是正・解除、削除証明を確認します。

金融、医療、ヘルスケア、信用、保険、未成年者、位置情報、要配慮個人情報、大量プロファイリングを扱う分野では、外国第三者提供同意を他の同意から分離し、要配慮個人情報の同意を別途取得し、平易な説明資料、質問対応FAQ、同意拒否時の代替手段、PIA、専門家確認を検討します。

2026年の個人情報保護法改正動向では、本人関与、漏えい等対応、課徴金・罰則、統計作成等のための第三者提供に関する見直しなどが企業実務に影響し得ます。成立・施行時期、政令、規則、ガイドラインの内容を確認し、同意を形式化せず、情報提供、契約、安全管理、監査、証跡を継続的に見直します。

Q1. 海外クラウドを使うだけで本人同意が必要ですか。

一般的には、海外クラウド事業者が外国にある第三者に該当し、個人データが提供される場合には、個人情報保護法28条の検討が必要とされています。ただし、同等水準国、基準適合体制、法27条1項例外などに該当するかによって結論が変わる可能性があります。具体的な対応は、契約、リージョン、アクセス国、再委託先を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. 委託なら外国提供規制は不要ですか。

一般的には、国内第三者提供規制では委託が第三者提供から除かれる場面がありますが、外国にある委託先への提供については法28条の検討が必要とされています。ただし、同等水準国や基準適合体制などの例外に該当する可能性があります。具体的には、委託契約、提供先の所在国、保護措置、再委託を確認する必要があります。

Q3. プライバシーポリシーに書けば同意を取ったことになりますか。

一般的には、プライバシーポリシーに記載するだけでは、外国第三者提供への本人同意を取得したことになるとは限らないと考えられます。本人が必要情報を確認し、外国第三者提供に同意した意思表示を示す手続が必要になる可能性があります。具体的な同意設計は、同意画面、文面、ログ、詳細情報の提示方法を確認して検討する必要があります。

Q4. EUや英国への提供でも本人同意が必要ですか。

一般的には、EUおよび英国は同等水準の枠組みとして扱われるため、法28条の本人同意が不要となる場合があります。ただし、国内第三者提供と同様に、法27条上の根拠は別途必要です。具体的な提供可否は、提供形態、利用目的、共同利用、委託、契約内容によって変わります。

Q5. 国名が特定できない場合はどうすればよいですか。

一般的には、特定できない旨とその理由を本人に示し、本人の参考となる情報を提供する必要があるとされています。候補国、主要拠点、サブプロセッサ一覧、変更通知方法、提供先措置を可能な限り示します。具体的には、契約書、DPA、管理画面、提供先回答を確認する必要があります。

Q6. 提供先の保護措置が分からない場合でも同意を取れますか。

一般的には、提供先の措置について情報提供できない場合には、その旨および理由を本人に示す必要があるとされています。ただし、措置が分からないまま個人データを移転することは、委託先管理、安全管理、説明責任の観点から高リスクになる可能性があります。契約、質問票、監査資料で確認する必要があります。

Q7. 従業員から同意を取れば海外親会社に自由に人事データを提供できますか。

一般的には、従業員同意を取得しても、海外親会社に人事データを自由に提供できるわけではありません。雇用関係では、同意の任意性や同意拒否時の不利益が問題となる可能性があります。具体的には、グループ内データ移転規程、契約、安全管理、アクセス制限、従業員向け通知、必要最小限化を検討する必要があります。

Q8. 同意取得後に提供先国が追加された場合、再同意が必要ですか。

一般的には、追加される国や制度変更が本人の権利利益に重要な影響を与える場合、追加情報提供や再同意を検討する必要があります。少なくとも、同意取得時に示した範囲を超える提供先国、提供目的、データ項目の変更がある場合には、法務・プライバシー審査を行う必要があります。

Q9. 同意撤回を受けたら、過去に提供したデータも削除しなければなりませんか。

一般的には、撤回の効果は同意文言、契約、提供目的、保存義務、提供先の処理状況によって変わります。将来の提供停止、提供先への削除・利用停止依頼、サービス提供への影響説明、記録保存を検討する必要があります。具体的な対応は、契約とデータ処理実態を確認して判断する必要があります。

Q10. 外国制度の調査はどこまで必要ですか。

一般的には、全条文の網羅的調査が常に必要というわけではありませんが、本人が同意判断を行うために必要な情報を、適切かつ合理的な方法で確認する必要があります。個人情報保護委員会の外国制度調査、外国当局の公式情報、専門家資料、提供先資料を組み合わせ、更新日と根拠を管理することが望ましいとされています。