個人情報・プライバシー法律実務の最新動向2016-12-22第4回:個人情報保護法ガイドラインの解説(3)1.はじめに本連載では、5回にわたって個人情報保護法ガイドライン案を解説していく予定であった。ところが、第2回でも説明したとおり、2016年11月30日にガイドラインが公表された。パブリックコメントにおける意見を踏まえ、外国にある第三者への提供編4頁の図が大幅に修正される(外国にある第三者への提供編〔各ガイドライン案の名称については第1回を参照〕パブリックコメント699番参照)など、ガイドライン案とガイドラインの間には相違があることから、今後はタイトルを「ガイドラインの解説」とし、ガイドライン案ではなく、ガイドラインそのものを、同日に公表されたパブリックコメント結果(それぞれ「外国にある第三者への提供編パブコメ」等、「○○編〔ガイドライン名〕パブコメ」として表記する)に基づき解説していく。その第3回目となる今回は、外国にある第三者への提供の問題を扱う。済ませなければならない。項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない*1」として、特別な規制を定めている。個人データの第三者への提供には原則として本人の同意が必要であり、法令で定められた例外事由に該当する場合には本人の同意が不要となる(法23条)が、外国にある第三者への個人データ提供については、国内にある第三者への提供の場合に比べ、その例外事由の内容が異なっており、厳格な要件のもとでのみ本人同意が不要となるということである。(2)外国にある第三者への提供そもそも、どのような場合が「外国にある第三者への提供」なのだろうか。当該個人データによって識別される本人以外の者(外国にある第三者への提供編2−2)であり、外国政府を含む。「第三者」か否かについては、法人であれば法人格の同一性が基準となる。具体的にいえば、日本企業が、外国の法人格を取得している現地子会社に個人データを提供する場合には、当該日本企業にとって「外国にある第三者」への個人データの提供に該当する*2。これに対し、外国にある自社の事業所、支店など同一法人格内での個人データの移動の場合には「外国にある第三者」への個人データの提供には該当しない(外国にある第三者への提供編2−2)。日本国内にある企業が、外資系企業の東京支店(日本法人が存在しない場合)に対して個人データを提供する場合はどうだろうか。該当する場合には、「外国にある第三者」には該当しない*3と解されており(外国にある第三者への提供編2−2)、法23条に基づく一般の第三者提供に関する規律のみが適用される*4。該当しなければ、法24条の規制への対応が必要である(なお、外資系であっても、日本法人であれば、当該日本法人への個人データの提供は通常の第三者提供の問題となり、外国にある第三者への提供の問題ではない)*5。法24条には、上記で省略した括弧書きにおいても例外(下記3と4)が定められていることから(注1参照)、外国にある第三者に適法に個人データを提供するためには、以下の4つの方法がある。定める基準に適合する体制を整備している者」に提供するそして、外国にある第三者への提供の場合には、法23条の定める委託、事業承継または共同利用の場合等の事情があるとしても、なお原則として本人の同意が必要であり、法24条の定める特別な例外事由に該当しなければ、本人の同意なき外国にある第三者への提供を行うことはできない*6。法24条を踏まえ、どのような対応をすべきだろうか。本人の同意に基づく場合(法23条1項柱書・外国にある第三者への提供編2(1))本人の同意は法24条の規定する外国にある第三者に対する提供のための原則的な要件である。「何について本人が同意しているか」には十分に留意が必要である。本人の同意については、「本人の同意を取得する場合、本人の権利利益保護の観点から、外国にある第三者に個人データを提供することを明確にしなければなら」ず、「事業の性質及び個人情報の取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によらなければならない」とされている(外国にある第三者への提供編2−1)。具体的な同意のとり方としては、(a)提供先の国名を個別に示す方法、(b)実質的に本人からみて提供先の国名を特定できる方法、(c)国名を特定する代わりに外国にある第三者に提供する場面を具体的に特定する方法などがある(外国にある第三者への提供編パブコメ716番)。「アメリカの企業に私の個人情報/個人データを提供することに同意します」といった同意が必要である。一般論として、「日本国内の第三者に限定する」旨や「外国にある第三者に提供してはならない」旨の明示がないことのみをもって、法24条の同意があるものとはみなされないとされている点も留意が必要である(外国にある第三者への提供編パブコメ723番)。仮に、取得した同意が単なる法23条の同意であって法24条の同意でないとみなされる場合には、上記の3または4にあてはまる必要がある。オプトアウトの場合(法23条2項・外国にある第三者への提供編2(2))法23条2項の定めるオプトアウト、すなわち、本人に事後的に第三者提供停止の機会を与えるための一定の要件を満たした上で本人の同意なく個人データを第三者に提供する場合には、本人同意の不存在を前提とする(外国にある第三者への提供編2末尾の(注)参照)ことから、上記の3または4にあてはまる必要がある。委託、事業承継または共同利用の場合(法23条5項・外国にある第三者への提供編2(3))法23条によれば、委託、事業承継または共同利用の場合には、本人同意なしに(国内の)第三者に個人データを提供することができる。法24条は、委託、事業承継または共同利用があっても必ずしも本人同意を不要とはしない。そこで、法24条の「外国にある第三者への提供を認める旨の本人の同意」を得るか、上記の3か4にあてはまる必要がある。法23条1項各号に該当する場合(外国にある第三者への提供編2(5))法23条1項各号に該当する場合、具体的には以下の各場合に、本人の同意等なくこれを外国にある第三者に提供することができる(法24条)。・法令に基づく場合(法23条1項1号)・人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(法23条1項2号)・公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(法23条1項3号)・国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(法23条1項4号)なお、いかなる場合に、法23条1項各号に該当するかは、基本的には法23条1項各号に関する解釈による(通則編3−4−1参照)が、法23条1項1号および4号の「法令」につき、「この『法令』には外国の法令は含まれない」(外国にある第三者への提供編2*3)とされている点には留意が必要である。要するに、単に外国法令により要求されているというだけでは必ずしもこの法23条1項各号に該当する場合の例外にはあてはまらず、その他の例外を検討する必要があるということである。(4)「規則」の概要このように、適法に外国にある第三者に対する提供を行う上では、いくつかの方法があるものの、実務上、特に本人の同意を得ることが困難な場合において重要となってくるのは上記3と4であり、これらの要件はいずれも「規則」で定めるとされている。このうち、3規則で定める外国にある者については、現時点では規則による「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」の指定はない。2016年5月30日の本格施行段階においても、規則による指定はなされない予定であるが、その後のプライバシー外交の進展状況をふまえ、今後指定に向けて検討を続けるものと思われる(たとえば、外国にある第三者への提供編パブコメ694番)。定める基準を、次の各号のいずれかに該当することと定めている*7。個人データの提供を受ける者が、個人情報の取扱いにかかる国際的な枠組みに基づく認定を受けていることこのうち、国際的枠組み(規則11条2号)については、提供先の外国にある第三者が、APECの越境プライバシールール(CBPR)システムの認証を得ていることとされている(外国にある第三者への提供編3−3)*8。個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第4章第1節の規定の趣旨に沿った措置の実施が確保されていること」の要件が重要となることから、以下その概要について説明したい。節の規定の趣旨に沿った措置の実施が確保されていること」の要件を満たすことになるのだろうか。義務と同趣旨の措置を講じることが担保されていれば、AはBに個人データを提供できるということである。認証や届出等は不要であるため(外国にある第三者への提供編3参照)、実務的には、弁護士等の専門家に確認しながら対応をすることが想定される。)法第4章第1節の規定の趣旨に沿った措置の実施を担保する措置を講じなければならない」と考える人がいるようであるが、それは誤解である。)「当該個人データ」について措置を講じればよいのであって、その他のデータについては何ら問題とされていない(外国にある第三者への提供編パブコメ755番)*9。(3)「適切かつ合理的な方法」まず、これらの措置の実施の確保のためには「適切かつ合理的な方法」が必要である。サービス約款や利用規約も含まれる(外国にある第三者への提供編パブコメ754番)*10。資本関係のある当事者であればグループ内で「共通して適用される内規、プライバシーポリシー等」でもよいとされている(外国にある第三者への提供編3−1)*11。「日本の個人情報保護法に従い取り扱う」との文言を契約に盛り込むだけでは足りず(外国にある第三者への提供編パブコメ752番)、また、EU等の比較的データ保護に厚いとされている国であっても「当該国の法令を遵守すること」のみを約するだけでは一概に十分とはいえないとされ(外国にある第三者への提供編パブコメ754番)、「OECDプライバシーガイドライン」や「APECプライバシーフレームワーク」に準拠すると約した場合でも同様にそれのみをもって十分とはいえないとされている(外国にある第三者への提供編パブコメ761番、765番)ことにも留意が必要である*12。節の規定の趣旨に沿った措置」なのかについては、ガイドライン中に比較的わかりやすい表が掲載され(外国にある第三者への提供編3−2)、ガイドラインの中で解説が付されているので詳述しない(3-2-1以下)。必要に応じてガイドラインを参照されたい*13。ここで、要求されている内容については、「全ての事項を想定しなければならないものではなく、「法第4章第1節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる」とされている(外国にある第三者への提供編3−2)。その意味では、多少合意内容等に漏れがあっても、全体としてみた場合には適法とされる余地がある。現段階においてはどのような場合に省略が許されるか不明であり、少なくとも本格施行当初は、上記のガイドラインに規定されている各事項に関する措置がすべて規定された契約雛形等を弁護士が作成し、これを利用することになるのではないかと思われる*14。外国(本邦の域外にある国又は地域をいう。