この法律は、個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者又は個人関連情報取扱事業者が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合についても、適用する。
要点個人情報保護法 171 条は、国内の者への物品・役務の提供に関連して取得した個人情報を外国で取り扱う場合にも本法を適用すると定める域外適用の規定である。
Q · サーバーが海外にあれば、日本の個人情報保護法は関係ないって本当ですか？
違う。日本の利用者に提供した時点で適用される
個人情報保護法 171 条により、国内にある者への物品・役務の提供に関連して取得した個人情報等を外国で取り扱う場合にも本法が適用されます。会社の所在地は要件ではなく、日本の居住者に提供したという事実が引き金です。海外法人でも漏えい時の委員会報告義務（26 条）や本人の開示請求への対応義務（33 条）が直接生じ、令和 2 年改正により勧告・命令・公表・罰則まで及ぶ構造になっています。
サーバーはシンガポール、開発チームはベトナム、顧客は日本。この構成で「うちは海外法人だから日本の個人情報保護法は関係ない」と考えているなら、その前提は本条によって崩される。個人情報の保護に関する法律 171 条は、国内にある者に対する物品または役務の提供に関連して取得した個人情報を、外国において取り扱う場合にも本法を適用すると宣言している。適用の引き金は「会社がどこにあるか」ではなく「誰に売ったか」である。日本のユーザーに日本語のアプリを配信し、その利用履歴を海外のクラウドで解析している。それだけで、あなたの海外法人は個人情報取扱事業者であり、漏えい時の委員会報告義務も、本人からの開示請求への対応義務も、そのまま降ってくる。逆に、あなたがユーザーの立場なら、相手が海外企業だからと開示請求を諦める理由はない。国境は、この条文の前では防壁として機能しない。
個人情報の保護に関する法律 171 条は、同法の域外適用を定める規定である。個人情報取扱事業者等が、国内にある者への物品又は役務の提供に関連して取得した個人情報等を外国において取り扱う場合にも本法を適用する。適用の基準は事業者の所在地ではなく、日本の居住者への提供という結び付きに置かれている。
AI 輔助整理，以條文原文為準
海外の事業者でも、日本の居住者への物品・役務の提供に関連して取得した個人情報を外国で扱う場合に本法が適用される仕組みです。個人情報保護法 171 条が根拠で、事業者の所在地は要件になりません。
適用されます。171 条は事業者の所在地ではなく、日本の居住者への提供という結び付きを基準にします。日本に子会社や事務所がなくても、日本市場向けにサービスを提供していれば対象です。
相手が海外法人でも本人の請求権は生きています。171 条と 35 条（利用停止・消去請求）を明記した書面で直接事業者に請求し、無回答なら個人情報保護委員会に申告できます。
どちらも提供先を基準に域外へ適用する点は共通します。GDPR は第 3 条、日本は本法 171 条が根拠で、日本の居住者向けサービスなら両方が同時に及ぶことがあります。
域外適用は平成 27 年改正で新設され、令和 2 年改正で報告徴収・命令・罰則まで及ぶよう強化、令和 3 年の官民一元化で条番号が 171 条になりました。
一定の漏えい等が生じた場合に個人情報保護委員会へ報告し本人に通知する義務です。域外の事業者にも 171 条を通じて及び、放置は命令・公表の引き金になります。
沈黙は命令・公表という次の段階の扉を開きます。命令違反には罰則（178 条：1 年以下の拘禁刑又は 100 万円以下の罰金）が科されうるため、期日内の回答が重要です。
規模により対象になります。かつての取扱人数 5,000 人以下の適用除外は平成 27 年改正で廃止され、日本人客の住所・決済情報を扱えば取扱事業者に該当しえます。
違う。本条は、国内にある者への物品または役務の提供に関連して取得した個人情報を外国で取り扱う場合にも本法を適用すると明記している。会社の所在地は要件になっていない。業界裏話ヒント：海外事業者の日本語ヘルプページに「準拠法は当社所在地法」と書かれていても、それは契約上の準拠法の話であり、行政規制である個人情報保護法の適用は当事者の合意では排除できない。この二つを混同したまま諦める人が非常に多い
自社が日本の居住者に何かを提供しているかを事実として確認し、していれば個人情報取扱事業者として体制を作る。具体的にはプライバシーポリシーの日本語版、開示等請求の窓口、漏えい時の委員会報告手順（第 26 条）である。業界裏話ヒント：日本の大企業がベンダー選定で最初に見るのは技術仕様ではなく、日本語のプライバシーポリシーと開示請求窓口の有無。コンプライアンスコストではなく、商談の入場券として設計するほうが早い
第 28 条は、日本の事業者が外国の第三者にデータを提供する場面の入口規制で、本人の同意や基準適合体制が必要になる。171 条は、外国にいる事業者自身に本法全体が適用されるかという適用範囲の問題である。方向が逆と理解すればよい。業界裏話ヒント：実務では両方が同時に走る。日本の親会社が海外子会社にデータを渡す場合、親会社側は第 28 条、子会社側は 171 条で、それぞれ別の義務を負う。片方だけ手当てして安心している企業が最も多い
令和 2 年（2020 年）改正で、かつて外国事業者に対して除外されていた報告徴収や命令等の制限が撤廃され、現在は勧告、命令、公表、罰則まで及ぶ構造になっている。物理的な検査の実施可能性と、法的な適用の有無は別問題である（最新の改正状況をご確認ください）。業界裏話ヒント：委員会は外国執行当局への情報提供の枠組みを持っており、現地当局との連携で動くことがある。日本から手が届かないという想定は、国際的な執行協力の実態を見ていない
| dimension | thisArticle | alternatives |
|---|---|---|
| 規律の局面 | 171 条：外国にいる事業者自身への本法全体の適用（適用範囲） | — |
| 引き金 | 日本の居住者への物品・役務の提供に関連する取得 | — |
| 主な効果 | 海外法人にも義務・報告徴収・勧告・命令・公表・罰則が及ぶ | — |
ログインすると、他の読者と一緒にこの条文へメモを残せます。
ログインして共同ノートを始める以下は各文が単独で意味の通る客観的事実です。引用は e-Gov法令検索を基準としてください。