個人情報の保護に関する法律 第71条（外国にある第三者への提供の制限）
クイックジャンプ
- 行政機関の長等は、外国（本邦の域外にある国又は地域をいう。以下この条において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（第十六条第三項に規定する個人データの取扱いについて前章第二節の規定により同条第二項に規定する個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項において同じ。）に利用目的以外の目的のために保有個人情報を提供する場合には、法令に基づく場合及び第六十九条第二項第四号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
- 2.行政機関の長等は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
- 3.行政機関の長等は、保有個人情報を外国にある第三者（第一項に規定する体制を整備している者に限る。）に利用目的以外の目的のために提供した場合には、法令に基づく場合及び第六十九条第二項第四号に掲げる場合を除くほか、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
この条文の基本情報
外国にある第三者への提供の制限とは何ですか？
定義外国にある第三者への提供の制限とは、個人情報の保護に関する法律第71条に定められた規定で、「行政機関の長等は、外国（本邦の域外にある国又は地域をいう。」と規定しています。
出典：e-Gov法令検索（デジタル庁）
- 個人情報の保護に関する法律第71条（外国にある第三者への提供の制限）は、日本の個人情報の保護に関する法律に含まれる条文です。
- 個人情報の保護に関する法律第71条の条文原文は「行政機関の長等は、外国（本邦の域外にある国又は地域をいう。」で始まります。
- 個人情報の保護に関する法律第71条は第二節 行政機関等における個人情報等の取扱いに置かれています。
- 個人情報の保護に関する法律の公布日は平成15年5月30日です。
- 個人情報の保護に関する法律について、LawPlayer が e-Gov法令検索から取得した令和8年10月2日時点では廃止情報はありません。
- 個人情報の保護に関する法律第71条の前の条は個人情報の保護に関する法律第70条です。
- 個人情報の保護に関する法律第71条の次の条は個人情報の保護に関する法律第72条です。
- 個人情報の保護に関する法律第71条には、要件・効果とよくある質問をまとめた解説が本ページにあります。
この条文を引用する
下の三行はそのまま引用に使えます（法令番号・条番号・出典・取得日を含みます）。
- 正式書式
個人情報の保護に関する法律（平成十五年法律第五十七号）第71条 - 官報・e-Gov
e-Gov法令検索 https://laws.e-gov.go.jp/law/415AC0000000057 - 本サイト収録
個人情報の保護に関する法律（平成十五年法律第五十七号）第71条（LawPlayer 収録、取得日 令和8年10月2日）https://lawplayer.com/jp/article/415AC0000000057/71
わかりやすく解説 AI による整理。効力は条文原文が基準です
要点個人情報の保護に関する法律71条は、行政機関の長等が保有個人情報を外国の第三者へ目的外提供する際、原則として事前の本人同意を義務づける。同等水準国は EU と英国に限られる。
Q · 役所が私の情報を海外のサーバーで処理するとき、勝手に外国へ渡していいの？
原則として事前の本人同意が必要です
個人情報の保護に関する法律71条により、行政機関の長等が保有個人情報を外国にある第三者へ利用目的以外の目的で提供するには、原則としてあらかじめ本人の同意が必要です。同意を求める前には相手国の個人情報保護制度等を本人に説明する義務もあります（2項）。例外は、EU・英国のような同等水準国、相当措置の体制を整備した事業者、法令に基づく場合、緊急時（69条2項4号）に限られます。米国や中国は同等水準国に含まれていません。
解説
あなたが役所に提出した住民情報や申請書類。それが海を越えて外国の企業のサーバーに渡っているとしたら、どう感じるだろうか。2021年、多くの自治体が住民サービスに使っていた LINE で、日本人の個人情報が中国の委託先から閲覧可能な状態にあったことが発覚し、大問題になった。個人情報の保護に関する法律71条は、まさにこの越境をめぐる行政のブレーキだ。役所や独立行政法人、地方公共団体が、あなたの保有個人情報を外国にある第三者へ目的外で渡すには、原則としてあなたの事前同意が要る。しかも同意を求める前に、その国の個人情報保護制度がどうなっているかを本人に説明する義務まで負う（2項）。例外は、EU や英国のように日本と同等水準と認められた国、十分な保護体制を整えた相手、法令に基づく場合、緊急時（69条2項4号）だけ。役所が「クラウドだから海外にあります」の一言で済ませられない仕組みが、この条文に埋め込まれている。
法的な位置づけ
個人情報の保護に関する法律71条は、行政機関の長等による保有個人情報の外国にある第三者への越境提供を制限する規定である。利用目的以外の目的での提供には原則として事前の本人同意を要し、同意取得前には相手国の個人情報保護制度等の情報を本人に提供する義務を課す。同等水準国および相当措置の体制整備事業者への提供は例外とされる。
手順・フロー
AI による整理。効力は条文原文が基準です
手順
- 1.自分の情報がどこへ渡ったかを開示請求で確認 行政機関等に対して保有個人情報の開示請求を行い、自分の情報が外国のどの国・どの第三者へ提供されたか、その根拠は何かを確認する。越境提供に同意した記憶がない場合は、71条1項違反の可能性を疑う
- 2.越境提供の根拠を条文で特定させる 役所に対し、越境提供の根拠が本人同意（1項）か、同等水準国・相当措置体制・法令・緊急事由（69条2項4号）のいずれかを条文単位で明示させる。同意を根拠とするなら2項の相手国制度の事前説明が記録付きで行われていたかを確認する
- 3.相当措置体制ルートなら3項の情報提供を請求 相当措置の体制整備事業者への提供であれば、71条3項に基づき本人の求めとして、当該事業者による相当措置の継続的実施を確保する措置に関する情報の提供を請求する。ブラックボックスの中身を開かせる
- 4.不服なら委員会への申出・審査請求を検討 回答や措置に納得できない場合、個人情報保護委員会への申出、または開示請求への処分に対する審査請求（行政不服審査法上の期間制限あり）を検討する。必要に応じて弁護士へ相談する
よくある質問 AI による整理
Q1個人情報保護法71条とは何ですか？
行政機関の長等が保有個人情報を外国にある第三者へ目的外提供する場合、原則として事前の本人同意を求める規定です。2023年4月施行の行政機関等向けの越境提供制限です。
Q2同等水準国とはどこの国ですか？
個人情報保護委員会が指定する EU 加盟国と英国です。米国や中国は含まれていません。同等水準国への提供は本人同意なしの例外ルートになりますが、対象国は極めて限定的です。
Q3相当措置の体制整備事業者とは何ですか？
国内の個人情報取扱事業者に求められる措置に相当する措置を継続的に講じる体制を、委員会規則の基準に適合して整備した外国の事業者です。この事業者への提供は本人同意の例外になります。
Q4行政機関が越境提供に違反したらどうなりますか？
個人情報保護委員会による報告徴収・指導・勧告・命令の対象になりえます。違法な提供で損害が生じれば国家賠償法1条による賠償責任が問われる可能性もあります。
Q5保有個人情報の開示請求はどうやってしますか？
行政機関等に対し、法定の開示請求書で自分の保有個人情報の開示を請求します。越境提供の有無や根拠を確認する第一歩になります。
Q6個人情報保護委員会への申出はどこからできますか？
個人情報保護委員会の窓口へ申出ができます。行政機関の取扱いに疑義があれば、開示請求と併せて委員会への相談・申出を検討できます。
Q7マイナンバーを含む情報の海外提供も71条ですか？
特定個人情報にはマイナンバー法（番号法）19条の特則が優先します。71条は保有個人情報一般の越境提供を規律し、番号法がより厳格な提供制限を定めています。
Q871条3項の情報提供の求めとは何ができますか？
相当措置の体制整備事業者へ越境提供された場合、本人の求めに応じて行政機関はその継続的実施を確保する措置に関する情報を提供する義務があります。措置の中身を開示させる手段です。
この条文についての質問 AI による整理
Q1役所が使ってる海外のクラウドって、勝手に私の情報を海外に置いてていいんですか？
国内の業務委託なら本人同意なしに個人データを扱えますが、相手が外国にある第三者となると話が変わり、71条は越境の場合、委託であっても原則として同等国・相当措置体制でなければ本人同意を求めます。実務のポイント：『クラウドだから』で済むかは、データに実際にアクセスできる主体が国内にとどまるか、外国のサーバー・外国事業者が実質的に扱えるかで判断が分かれる。契約書上の保管場所より、誰が本当に触れるかを見るのが実務の勘所
Q2「日本と同等水準の国」ってどこですか？アメリカは入ってますか？
現在、個人情報保護委員会が同等水準国として指定しているのは EU 加盟国と英国です。米国は包括的な同等国指定には入っていません。71条の例外に頼れる国は極めて限定的です。実務のポイント：多くの人が『先進国なら大丈夫』と思い込むが、GAFA の本拠地である米国は同等国リストにない。米国クラウドを使う行政案件は、同等国ルートではなく『相当措置の体制整備』ルートで処理されているのが実情（最新の指定状況をご確認ください）
Q3同意しなかったら、行政サービスを受けられなくなるんですか？
71条1項の同意は越境提供のためのもので、サービス提供そのものの条件とは切り分けられるべきです。国内処理や同等国での処理が可能なら、越境しない選択肢を役所は検討する必要があります。実務のポイント：『同意しないなら手続きできません』と迫られたら、それが本当に越境提供が不可欠なのか、国内代替がないのかを問い返す。多くの場合、越境は役所側の効率・コスト都合で、本人同意を人質にした押しつけは筋が悪い
間違えやすい点 AI による整理
- 民間企業だけが個人情報保護法に縛られると思われがちだが、71条は役所・独立行政法人・地方公共団体を名指しで縛る。行政こそ大量の保有個人情報を握り、コストや効率を理由に越境させる誘惑も大きい。むしろ市民が逃げられない相手だ
- 『同等水準国なら自由に渡せる』とは知っていても、その『同等水準国』が EU と英国という極めて限られた範囲でしかないことを見落としている。米国も中国もここに入っていない。世界の主要なクラウドの多くは、この例外の外にある
- 『同意さえ取れば役所は自由に越境提供できる』という問いの立て方そのものがずれている。71条2項は、同意を取る前に相手国の保護制度を本人に説明する義務を課す。説明なき同意は、そもそも有効な同意といえるのかが問われる
| 比較の観点 | この条文 | ほかの条文 |
|---|---|---|
| 名宛人（誰を縛るか） | 71条：行政機関の長等（役所・独立行政法人・地方公共団体） | 28条：民間の個人情報取扱事業者 69条：行政機関の長等（提供全般の原則） |
| 規律の対象 | 保有個人情報の外国にある第三者への目的外提供 | 個人データの外国にある第三者への提供 保有個人情報の利用目的以外の利用・提供全般 |
| 越境の例外 | 同等水準国（EU・英国）／相当措置体制事業者／法令／緊急（69条2項4号） | 同等水準国／基準適合体制事業者／本人同意 越境固有の例外規定ではなく提供一般の許容事由 |
| 本人への情報提供義務 | 同意取得前の相手国制度説明（2項）＋提供後の求めに応じた情報提供（3項） | 同意取得時の参考情報提供・提供後の情報提供 本条固有の越境説明義務はなし |
他国ではどう定めているか 4 か国
台湾は非公務機関の国際伝輸を中央目的事業主管機関が制限できる構造。日本の71条が行政機関自身の越境提供を本人同意で縛るのに対し、台湾は主管機関の限制命令を軸とする点で仕組みが異なる
韓国 PIPA も国外移転に本人同意・十分性認定・保護水準の確保等を要件とする。EU 十分性枠組みの継受という点で日本と共通するが、公務・民間を通じた統一規定として整理されている
GDPR は第三国移転を十分性決定・適切な保護措置（標準契約条項等）・特定の例外で許容する。日本の同等水準国・相当措置体制の二本立ては、この adequacy と appropriate safeguards の構造に対応する
米国には行政機関の越境提供を包括的に禁じる連邦法はなく、連邦機関の個人記録管理を規律するプライバシー法が近い。日本の同等水準国リストに米国は含まれていない
AI による対応参考であり、公式の対照ではありません。各国の原文が基準です
想定される場面と対応 AI による整理
こんなときに使う
- あなたが生活保護や税の申請で役所に出した情報を、その役所が海外のクラウドで処理していたとしたら、あなたの同意はいつ取られたのか。71条があるおかげで、原則として役所は事前の本人同意と相手国の保護制度の説明なしに越境提供できない。同意した覚えがないなら、開示請求でその根拠を確認できる
- あなたが自治体の情報システム担当で、コスト削減のため住民データの処理を海外データセンターを持つ事業者に委託しようとしている。相手が『日本と同等水準国』でも『相当措置の体制整備事業者』でもなければ、住民一人ひとりの同意か法令上の根拠が要る。これを飛ばすと、個人情報保護委員会の報告徴収・指導・勧告の対象になりうる
- 独立行政法人が研究データを外国の共同研究機関へ送る。その中に氏名や連絡先が含まれていれば、それは保有個人情報の越境提供だ。目的外なら本人同意が原則要る
- 海外委託先で個人データの漏えいが起き、対応まであと数日。あなたが所属する行政機関は、そもそも71条3項の『相当措置の継続的実施を確保する措置』を講じていたか、本人の求めに応じる情報提供の準備があったかを、今すぐ点検しなければならない
取るべき行動
被害を受けた側：1. まず自分の情報がどこへ、どの国へ渡ったのかを保有個人情報の開示請求で確認する2. 越境提供に同意した記憶がなければ、71条1項違反の可能性を疑い、根拠（同等国・相当措置体制・法令・緊急事由69条2項4号のどれか）を役所に問う3. 3項の相当措置による提供なら、本人の求めとして措置内容の情報提供を請求する4. 不服なら個人情報保護委員会への申出、情報公開・個人情報保護審査会の活用を検討する
訴えられた側：1. 越境提供の根拠を条文で特定：本人同意（1項）か、同等国・相当措置体制・法令・緊急（69条2項4号）のいずれか2. 同意を根拠にするなら、2項の相手国制度の事前説明を記録付きで実施していたか点検3. 相当措置体制の相手なら、3項の継続的実施確保の措置と本人への情報提供体制を整備4. 委員会規則の基準適合を証跡化し、委員会の報告徴収・指導に備える
時効（請求できる期限）：本条自体に固有の期限はない。ただし違法な越境提供による損害は国家賠償法1条の対象となりうる（損害及び加害者を知った時から3年、行為時から20年、民法724条）。開示請求に対する処分への審査請求は行政不服審査法上の期間制限（処分を知った日の翌日から3か月等）がある（最新の改正状況をご確認ください）
改正沿革 AI による整理
- 令和3年（2021年）改正、令和5年（2023年）4月1日施行 三本の個人情報保護法制（個人情報保護法・行政機関個人情報保護法・独立行政法人等個人情報保護法）を一本化した際に第5章として行政機関等の義務を統合。旧行政機関個人情報保護法に明文がなかった外国第三者提供制限が、民間の28条と平仄を合わせる形で新設された
改正の年表
- 1.令和3年（2021年） 新設：デジタル社会形成整備法により、個人情報保護法・行政機関個人情報保護法・独立行政法人等個人情報保護法の三法を一本化。第5章として行政機関等の義務を統合し、旧行政機関個人情報保護法に明文がなかった外国第三者提供制限を、民間の28条と平仄を合わせる形で71条として新設した（令和5年4月1日施行）
- 個人情報の保護に関する法律 第28条民間事業者版の外国第三者提供制限、対をなす規定
- 個人情報の保護に関する法律 第69条保有個人情報の利用・提供制限、目的外提供の原則
- 個人情報の保護に関する法律 第70条提供を受ける者に対する措置要求、隣接する行政の義務
- 個人情報の保護に関する法律 第16条個人情報取扱事業者・個人データの定義（本条が参照）
- 行政手続における特定の個人を識別するための番号の利用等に関する法律 第19条特定個人情報の提供制限の特則（通称 マイナンバー法）
ログインすると、この条文にメモを残して他の利用者と共有できます。
ログインして共同ノートを始める出典：e-Gov法令検索（デジタル庁）。AI による解説は理解の補助であり、法的効力は条文原文が基準です。