◇SH1854◇個人情報保護法第24条に係る個人情報保護法施行規則第11条の改正　池田美奈子（2018/05/23）

個人情報保護法第24条に係る個人情報保護法施行規則第11条の改正

岩田合同法律事務所

弁護士　池　田　美奈子

　2018年5月9日、「個人情報の保護に関する法律施行規則の一部を改正する規則」（個人情報保護委員会規則第1号）（以下「本委員会規則」という。）が公布・施行された。

　本委員会規則は、外国にある第三者へ個人データを提供する場合の規制について定める個人情報保護法（以下「法」ともいう。）第24条に係る個人情報保護法施行規則（以下「施行規則」という。）を新設するものである。外国への第三者提供のためには、原則として、予め外国にある第三者への提供を認める旨の本人の同意を得る必要があり、その例外の一つが「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるもの」に提供する場合であるところ、本委員会規則により、個人情報保護法の平成27年改正以来、検討課題とされていたこの国内同水準の制度を有する外国の判断基準が整備された[1]。個人データの国際流通が増大する中、この「外国」指定は経済界はじめ各方面から強い関心が寄せられてきた。今次改正により、漸く委員会による指定が現実味を帯びたといえる。

　本委員会規則で新たに新設された施行規則第11条の概要は下表のとおりである。①～⑤の判断基準は具体的に定められており、委員会による判断の透明性が確保されていると評価できよう。

　委員会が、施行規則第11条1項各号に該当すると認めた具体的な外国の名称は、告示で定め、委員会HPへ掲載することが予定されている。今次改正が日EU間の相互の円滑な個人データ移転の実現を主目的としていることから、指定第1号はEU加盟国と見込まれる。昨年夏の時点では、委員会は、欧州委員会の日本に対する十分性認定に併せて本年前半を目標にEU加盟国の指定を行う可能性を視野に置いており、近い将来、指定がなされるものと思われる。

　EU加盟国が法第24条の「外国」に指定された暁には、日本企業がEUの子会社やEU企業に対して個人データの提供をするに当たり、予め外国にある第三者への提供を認める旨の本人同意を得る必要がなくなることになる。

　ところで、EU一般データ保護規則が本年5月25日に施行されることなどから、昨今は委員会による「外国」指定が注目されがちであるが、法第24条の「外国」に指定されない国にある第三者への提供については、引き続き、従来どおりの対応を要することになる。そこで、以下では、本人の同意取得に代わってしばしば用いられる基準適合体制整備者への第三者提供について、今一度、概説したい。

　外国にある第三者へ個人データを提供するには以下のいずれかの方法によらなければならない。

　基準適合体制整備者への第三者提供にあたっては、例えば、日本企業（委託元）が外国企業（委託先）に委託により個人データを提供する場合、契約書で、委託元が委託先による再委託の実施状況を把握することを規定するのみでは必ずしも十分ではなく、実際に、外国企業に対して監査を実施したり、報告書の提出を求めるなど、委託先及び再委託先における個人データの取扱い状況を確認する措置まで行っておくことが望ましい（法第22条の趣旨に沿った措置の実施の確保）。仮にこのような措置が行われないままに、外国企業から更に外国にある第三者に再委託がなされ、再委託先が個人データを漏えいした場合には、元の委託元である日本企業による法違反と判断され得る。

　なお、本稿で紹介した外国にある第三者への個人データの提供に係る規律は、あくまで法第24条の本人同意取得に代わるものであって、別途通常の第三者提供に関する法第23条は適用される。そのため、本人の同意（法第23条1項柱書及び法第24条）を取得せずに、（外国にある）第三者へ情報提供するためには、オプトアウト（法第23条2項）、又は委託・事業承継・共同利用（同条5項各号）等の法第23条所定の要件を満たす必要があることを最後に付言しておく。

以上