【問115】個人情報保護実務検定 練習問題｜外国の判定基準

解説

正解

正解は選択肢3です。

各選択肢の解説

選択肢1 → ❌

サーバーの物理的所在地のみでは判定されず、運営主体(法人)の所在地が重要です。

選択肢2 → ❌

データ取扱場所が日本国内であっても、運営主体が外国にあれば外国提供に該当する可能性があります。

選択肢3 → ✅

ガイドライン(外国第三者提供編)は、提供先が外国法人であるか、外国に主たる事業所を有するかなど、当該第三者の主たる事業所等の所在地により判定するとしています。

選択肢4 → ❌

クラウドが「自社による取扱い」と評価される場合(個人データを外部に提供しない場合)は28条の問題にならない場合もあり、一律外国提供とはなりません。

背景知識

28条の「外国にある第三者」とは、外国に主たる事業所等を有する者などを指します。判定基準は提供先事業者(法人または事業者)の所在地が中心で、データ処理を行うサーバーの物理的所在地ではありません。例えば、米国法人が運営するクラウドサービスを日本子会社経由で利用しても、サービス提供主体が米国法人であれば外国提供と評価されます。一方、外資系企業の日本法人(日本に主たる事業所)への提供は、原則として国内提供として扱われます。クラウドの「提供」該当性については、別途、当該クラウド事業者が個人データを取り扱わない契約と運用が確保されている場合、提供にあたらないとする整理もあります(クラウド例外)。

学習アドバイス

判定は「提供先の所在地(法人主たる事業所)」が原則。サーバー所在地で誤誘導する選択肢に注意しましょう。

まとめ

• 外国判定は提供先の所在地が基準
• サーバー物理位置は決定要素でない
• クラウドの「提供」該当性は別問題