以下この条において同じ。定める基準に適合する体制を整備している者を除く。以下この条において同じ。)に個人データを提供する場合には、前条第1項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。」*2:たとえば、外国にある第三者への提供の該当性の判断について「同一の企業グループに属するか否かで一律に判断されるものではないと考えられます」とする、外国にある第三者への提供編パブコメ732番も参照。*3:たとえば日本のA社が、外国企業B社東京支店に個人データを提供した場合、当該AからBへの提供だけではなく、その後B社東京支店からB社本店に個人データが移転する場合もまた法24条に基づく同意は不要である(外国にある第三者への提供編パブコメ735番)。該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断される(外国にある第三者への提供編パブコメ728番)。・日本国内に事務所を設置しているか否か・日本国内で事業活動(例:営業・勧誘)を行っているのか、海外から事業活動を行っているのか・個人データの提供先や提供にかかる契約などの相手先が、外国法人の外国事業所であるか、日本国内の事務所であるか・提供される個人データが格納されるサーバーが日本国内にあるか否かといった観点も判断要素となりうる(外国にある第三者への提供編パブコメ730番)。該当せず、『外国にある第三者』に該当するものと考えられます。」(外国にある第三者への提供編パブコメ731番)*6:「この場合においては前条〔注:法23条〕の規定は、適用しない。」(法24条)*7:なお、規則11条の基準を満たす体制を整備する者に対して、個人データの取扱いを委託する場合、法25条・26条の確認・記録義務の適用もない(外国にある第三者への提供編パブコメ820番)。当面はCBPRのみを国際的な枠組みとして考える方針のようであり(外国にある第三者への提供編パブコメ801番)、それ以外の認証を取得していても、規則11条2項には該当しないという趣旨と理解される。*9:とはいえ、一番レベルの高いところに合わせて一律の扱いをしないと実務上「このデータにはどの扱いが求められるのか」といった個別判断が必要になり、かえって混乱を招く等の理由で、結果として全データについてそのような取扱いがなされることになる可能性は否定できない。講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要があるとされている(外国にある第三者への提供編パブコメ748番)*11:改正法施行時点で、法第4章第1節の規定の趣旨に沿った措置が提供先の内規で既に規定されていれば,未規定の部分についてのみ提供の際の覚書等で措置を継続的に講ずることを担保すればよい(外国にある第三者への提供編パブコメ749番)。CBPRの認証を取得している場合には、「適切かつ合理的な方法」(規則11条1号)との関係で別の影響があり得る。代わって個人情報を取り扱う者」である場合、CBPR認証の要件として、Aが本人に対して負う義務がBにおいて同様に履行されることを確保する措置をBとの間で整備しなければならない。そのような措置が整備されていてCBPRの認証の取得要件を充たすことも、「適切かつ合理的な方法」の1つであるとされている(外国にある第三者への提供編3−1、外国にある第三者への提供編パブコメ757番)。*13:なお、要配慮個人情報の外国にある第三者への提供については外国にある第三者への提供編パブコメ779番が参考になる。ありうることを示唆するというだけかもしれない。