【問135】個人情報保護士 練習問題｜外国にある第三者への提供

解説

正解

正解は選択肢2です。

各選択肢の解説

選択肢1 → ❌誤り

法第28条第1項は末尾で「この場合においては、同条の規定は、適用しない」と定めており、外国にある第三者への提供には法第27条そのものが適用されません。したがって、国内であれば「委託に伴う提供」として第三者提供に当たらない場合（法第27条第5項第1号）でも、提供先が外国にある事業者であれば法第28条の規律を受けます。国内の委託の感覚のまま海外のベンダーやクラウドを使うと違反になりやすい、実務で最も間違えられる論点です。

選択肢2 → ✅正解

法第28条では、外国にある第三者への個人データの提供は、本人の同意を得る方法、基準適合体制を整備した第三者への提供、個人情報保護委員会が認定した国にある第三者への提供の3つの方法が定められています。

選択肢3 → ❌誤り

クラウドサービスの利用において、サーバーが外国にあっても、クラウド事業者が個人データを取り扱わない場合（保存のみで内容にアクセスしない場合等）は、外国にある第三者への提供に該当しないとされています。

選択肢4 → ❌誤り

法第28条は「個人データ」の提供について規定しており、個人情報全般ではありません。

背景知識

外国にある第三者への個人データの提供は、本人同意、基準適合体制、委員会認定国の3つのルートがあります。実務上特に重要なのがクラウドサービスの利用です。クラウド事業者が個人データの内容にアクセスせず、単にデータの保管場所を提供するだけの場合は「提供」に該当しないとされています。一方、クラウド事業者がデータの分析や加工を行う場合は「提供」に該当する可能性があり、法第28条の規律が適用されます。

学習アドバイス

外国第三者提供の3つのルートを確実に理解しましょう。特にクラウドサービスの利用が「提供」に該当するか否かの判断基準は実務でも頻出です。

まとめ

• 外国第三者提供は本人同意・基準適合体制・認定国の3ルート
• クラウドサービスは内容へのアクセスの有無で判断
• 外国への提供では法27条が適用されず、委託でも28条の規律を受ける