問題 No.6235
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、外国にある第三者へ個人データを提供する際等における「外国における法的環境の把握」に関する記述として、最も妥当なものはどれか。
【正解の解説】
外国にある第三者に個人データを提供する場合や、外国において個人データを取り扱う場合には、当該外国における個人情報の保護に関する制度等を定期的に把握した上で、適切な安全管理措置を講じなければならないこと。
これは海外旅行に行く際に現地の治安や法律、危険情報を事前に調べて対策を講じるのと同じです。例えば、治安の悪い国に行くなら夜間の一人歩きを避けるように、データを取り扱う国でどのようなプライバシー法があるかを定期的に確認し、それに合わせたセキュリティ対策を講じることが求められます。
スポンサーリンク
【その他の選択肢の解説】
外国にある第三者に個人データを提供する場合や、外国において個人データを取り扱う場合には、移転先の外国法人の内部規程を確認した上で、文書による事前の同意を取得しなければならないこと。
初学者が誤解しやすいポイントとして、契約や事前の同意さえ取れば安心だという思い込みがあります。しかし、個人情報保護法が求めているのは、そもそもその国全体の法制度がどうなっているかの把握であり、特定の会社の中ルールだけでなく国家レベルの法的環境を知ることが最優先となります。
外国にある第三者に個人データを提供する場合や、外国において個人データを取り扱う場合には、我が国と同等水準の保護制度を有する国であることを確認した上でなければ移転してはならないこと。
日本と全く同じレベルの国しかダメだと思い込むのは間違いです。個人情報保護法では、日本と同等水準の制度がない国であっても、適切な代替措置（基準に適合する体制の整備など）を講じることで、外国の第三者へ個人データを提供することは法的に認められています。
外国にある第三者に個人データを提供する場合や、外国において個人データを取り扱う場合には、当該外国の個人情報保護当局へ直接照会を行い、公式な見解を得た上で適切な措置を講じなければならないこと。
外国の政府機関にわざわざ個別にお墨付きをもらわなければならないと勘違いしがちですが、それは実務上過大な負担となります。公的機関への直接照会ではなく、信頼できる調査機関のレポートや専門家の助言などを用いて、客観的に現行の制度を定期的に把握できれば十分とされています。