【問140】情報・サイバーセキュリティ管理士 練習問題｜データレジデンシーと越境移転

解説

正解は4。個人情報保護法28条は、外国にある第三者へ個人データを提供する場合、原則として本人の同意を得ることを求め、その際に移転先の国の名称、その国の個人情報保護制度、移転先が講じる措置に関する情報を本人へ提供しなければならないと定めている。国外のクラウドへ保存する行為は、事業者が個人データを取り扱う場合には外国にある第三者への提供に当たり得るため、保存場所（データレジデンシー）の把握が不可欠である。1は誤り。契約相手が国内でも、実際の保存先が国外であれば越境移転の規律が及ぶ。2は誤り。暗号化は安全管理措置であって、同意や情報提供の義務を免除しない。3は誤り。提供に当たる場合は本人への情報提供が必要である。委託先の所在国を把握できる契約とすることが実務上重要である。