要点個人情報保護法 28 条は、外国にある第三者へ個人データを提供する際、原則として事前に本人同意を求める規定。同等水準国や基準適合体制を整えた相手なら、同意なしで提供できる。
Q · 海外のクラウドや海外拠点に顧客データを渡すとき、本人の同意っているんですか？
原則として事前の本人同意が必要。ただし例外が三類型ある
個人情報保護法 28 条により、外国にある第三者へ個人データを提供する場合は、原則としてあらかじめ本人の同意を得る必要があります。しかも 2020 年改正で、同意取得時に相手国の制度や相手方の保護措置を本人へ情報提供する義務（2 項）が加わりました。同意が不要になる例外は三つ。委員会規則が同等水準と認めた国（EU・英国など）、相当措置を継続できる基準適合体制を整えた相手、そして生命保護など 27 条 1 項の例外です。基準適合体制ルートを選ぶと、3 項で相手の措置を継続確認する義務が残り続けます。
あなたの会社が Slack でやり取りし、顧客名簿を海外データセンターの CRM に置き、経理データを海外の関連会社に流している。その一つ一つが、個人情報保護法 28 条の言う「外国にある第三者への個人データの提供」にあたる可能性がある。28 条は、外国の第三者に個人データを渡すとき、原則としてあらかじめ本人の同意を得ることを要求する。しかも 2020 年改正で義務が重くなり、同意を取る前に、その外国の制度や相手方の保護措置まで本人に説明しなければならなくなった。同意が要らない例外は三つ。EU や英国のように国が「同等水準」と認めた国、相手が委員会規則の基準を満たす体制を整えている場合、そして緊急時など 27 条の例外。あなたが本当に知るべきは、クラウドを使うだけで越境移転が起こり得るという現実と、逆に条件次第で「提供」に当たらない抜け道もあるという、この二面性だ。
個人情報保護法 28 条は、越境データ移転を規律する規定であり、個人情報取扱事業者が外国にある第三者へ個人データを提供する際の要件を定める。原則として事前の本人同意を要し、委員会規則が同等水準と認めた国・基準適合体制の相手・27 条 1 項の例外の三つの場合に限り、同意を不要とする例外を置く。
AI 輔助整理，以條文原文為準
外国にある第三者へ個人データを提供することです。個人情報保護法 28 条が規律し、原則として事前の本人同意が必要になります。
個人情報保護委員会規則で我が国と同等の保護水準と認められた国で、EU 各国と英国が指定されています。指定国へは 28 条の本人同意なしで提供できます。
相手が相当措置を継続できる委員会規則の基準を満たす体制を整えている場合に、本人同意なしで提供できるルートです。ただし 3 項の継続確認義務が残ります。
提供に先立ち、あらかじめ取得する必要があります。あわせて 2 項の情報提供（外国の制度・相手の措置）も同意取得前に済ませる必要があります。
必要になり得ます。委託先が外国にある第三者に当たる場合、27 条の委託の例外ではなく 28 条の越境移転ルールが正面から適用されます。
AI が海外事業者のクラウドで動き、入力データを取り扱う設計なら越境移転になり得ます。同意や体制整備がなければ 28 条違反となる可能性があります。
個人情報保護委員会の指導・勧告・命令に進み、命令違反は刑事罰の対象になります。令和 2 年改正で罰則が強化されています。
同意取得の状況や体制整備の確認記録を文書化しておくべきです。報告徴収の際、記録がなければ取得していなかったのと同じ扱いになります。
原則としては不要な場合があります。クラウド事業者が契約上あなたの個人データを取り扱わないこととされ、実際にもアクセスしない設計であれば、そもそも「第三者提供」に当たらず、28 条も 27 条も適用されません（個人情報保護委員会の QA で整理）。業界裏話ヒント：分かれ目はサーバーが海外かではなく、事業者が中身を閲覧できるかです。サポートが復号して閲覧できる仕様や、入力データを AI 学習に使う規約になっていると、越境移転として同意が必要になる。契約書のデータ利用条項まで読む担当者は驚くほど少ない
EU 各国と英国は、個人情報保護委員会規則で「我が国と同等の水準」の国として指定されているため、28 条 1 項の本人同意なしで提供できます（同項の括弧書き）。業界裏話ヒント：ただし油断は禁物です。EU の相手がさらにインドや米国の下請けへ再委託すると、その先まで同等水準の保証は及びません。指定国だからと丸投げせず、契約で再移転先を縛っておくのが実務の勘所。指定国は移転の「入口」を楽にするだけで、その先の連鎖までは保証しない
あります。相手が個人情報保護委員会規則の基準を満たす「体制整備」をしている場合（28 条 1 項の括弧書き）、または人の生命保護など 27 条 1 項の例外に当たる場合は、同意なしで提供できます。業界裏話ヒント：ただし体制整備ルートを選ぶと、28 条 3 項で相手の相当措置が継続しているかを確認し続け、本人から求められたら情報提供する義務がずっと残る。同意より楽に見えて、実は運用負担が重い。安易に体制整備ルートに逃げると、後で自分の首を絞める
| dimension | thisArticle | alternatives |
|---|---|---|
| 規律する場面 | 28 条：外国にある第三者への個人データ提供（越境移転） | — |
| 原則要件 | 事前の本人同意＋2 項の情報提供（外国制度・相手措置） | — |
| 同意不要の主なルート | 同等水準国／基準適合体制／27 条 1 項の例外 | — |
| 提供後の継続義務 | 体制整備ルートは 3 項で相当措置の継続確認・情報提供義務 | — |
ログインすると、他の読者と一緒にこの条文へメモを残せます。
ログインして共同ノートを始める以下は各文が単独で意味の通る客観的事実です。引用は e-Gov法令検索を基準としてください。