【問200】個人情報保護実務検定 練習問題｜越境データ移転トラブル

解説

正解

正解は選択肢2です。

各選択肢の解説

選択肢1 → ❌ 誤り

個人データを海外に保管する判断はK社が行っており、外国にある第三者提供の規律はK社が負うべき義務です。

選択肢2 → ✅ 正しい

法第28条の外国にある第三者への提供にあたるため、（1）本人同意の取得、（2）当該外国の制度・第三者の体制等の情報提供、が原則として必要です。表示と実態の不一致は別途、適正取得や苦情・信頼の問題を引き起こします。

選択肢3 → ❌ 誤り

クラウド事業者が個人データを「取り扱う」場合は提供に該当します。サーバーが外国所在で、事業者が個人データを取り扱える状態であれば外国にある第三者への提供の規律対象となります（クラウド例外の要件を満たす場合は別）。

選択肢4 → ❌ 誤り

経済連携協定だけでは法第28条の同意不要例外の要件を満たさず、十分性認定や基準適合体制等の要件が必要です。

背景知識

法第28条は外国にある第三者への個人データ提供について、（1）本人の同意取得、（2）十分性認定を受けた国への提供、（3）基準適合体制を整備した第三者への提供、の3類型を定めています。同意取得の場合、提供先の所在国名・当該国の個人情報保護制度・第三者が講ずる措置等の情報を本人に提供する必要があります（参考情報の提供義務）。クラウドサービスについては、サービス事業者が個人データを取り扱わない場合は「提供」に該当しないとの整理（クラウド例外）がなされていますが、契約条項やアクセス制御の実態が問われます。プライバシーポリシーの記載と運用実態の整合性も実務上の重要論点です。

学習アドバイス

法第28条の3類型（同意・十分性認定・基準適合体制）と、クラウドサービスの「提供該当性」の判断基準を整理しましょう。プライバシーポリシーの整備は実務上の必須対応です。

まとめ

• 外国にある第三者提供は法第28条
• 同意取得の際は参考情報の提供義務
• クラウド利用は契約・運用実態で判断