外国にある第三者への提供

日本の個人情報保護法は、外国にある第三者へ個人データを渡すとき、原則として本人の同意を求めます。同意の前に示すことと、記録に残すことをまとめます。

この局面

自社のサービスが、利用者の個人データを国外の事業者に渡す場面です。国外のクラウドに置く、国外の委託先に処理させる、国外の提携先に渡す、などがあります。

日本の個人情報保護法は、外国にある第三者への提供について、国内の第三者への提供とは別の条文を置いています¹。どの国の、どんな相手に渡すかで、同意が要るかどうかが分かれます。

個人データを外国にある第三者に渡すときは、原則として、あらかじめ「外国にある第三者への提供を認める」旨の本人の同意を得ます¹。次の場合は、この同意の規定の外になります。

国内であれば委託として本人の同意が要らない渡し方でも、外国にある第三者に渡すときは、この条文がかかります¹。国外のクラウドや委託先を使うときは、まずこの点を確かめます。

体制を整えた相手に渡すときは、相手がその措置を続けて講じていることを定期的に確かめ、続けられなくなったら提供を止めます。本人から求めがあれば、そのための措置について情報を渡します¹^,2。

同意を得ようとするときは、同意の前に、次の情報を本人に示します¹^,2。

同意を得る時点で国が決まっていないときは、決まっていない旨とその理由などを示します²。具体的な示し方は、個人情報保護委員会のガイドラインにあります³。

法域	同意の記録	中心になる仕組み
JP	記録を取る候補	本人の同意と、同意の前に示す情報¹^,2
EEA	取らない候補	十分性の認定や標準契約条項などの保護措置⁴。同意は、危険を知らせたうえでの明示の同意として、例外の一つにとどまります⁴
UK	取らない候補	英国の移転の仕組み（IDTA、EU の標準契約条項への英国の追加条項など）⁵
US	取らない候補	国外への移転そのものに本人の同意を求める連邦の一般法は、調べた範囲では見当たりません

同意を記録として残すときは、次をそろえます。あとで「何を見せて、何に同意してもらったか」を示せるようにするためです。

Clavis の署名で記録するときは、見せた情報の版のハッシュと、渡す相手と範囲を、署名の対象（ハッシュ）に含めます。利用者が読んだ版と、署名した版が一致していることを、あとから確かめられます。

国内の第三者への提供と同じく、提供した記録は別に作り、保存します。扱いは第三者提供にまとめています。

署名が示すのは、この版に責任を持つ人と、署名のあとに原稿が改められていないことです。内容が正しいことは示しません。

法的助言ではありません。適用は、事実と管轄によって変わります。