⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

個人データの越境移転に関する同意書・確認書

第1部: 書式本文(情報提供事項及び同意取得書式)

第1条(目的) 移転元事業者(甲)は、本人が甲に提供した個人データを、外国にある移転先事業者(丙)に提供するにあたり、個人情報保護法第28条に基づき、本人の同意を取得する。

第2条(移転先の特定) 甲は、丙の名称、所在国及び移転する個人データの項目を、本人に対し次のとおり情報提供する。 一 移転先事業者名: 【丙の名称】 二 所在国: 【所在国名】 三 移転する個人データの項目: 【項目一覧】 四 移転の目的: 【移転目的】

第3条(移転先国の個人情報保護制度に関する情報提供) 甲は、個人情報保護法施行規則の定めに従い、本人に対し次の情報を提供する。 一 移転先の国における個人情報の保護に関する制度の有無及びその概要 二 丙が講じる個人情報の保護のための措置に関する情報 三 その他本人が同意の判断を行うために参考となるべき情報

第4条(本人の同意) 本人は、前2条の情報提供を受けたうえで、甲が本人の個人データを丙に提供することに同意する。

第5条(同意の任意性) 本人は、本同意書への署名(又はチェック)が任意であり、同意しない場合であっても【不利益取扱いの有無】であることを確認する。

第6条(移転先における取扱い) 丙は、移転を受けた個人データを、甲から示された利用目的の範囲内でのみ取り扱う。

第7条(基準適合体制による代替) 甲及び丙との間で、個人情報保護委員会規則で定める基準に適合する体制(標準的な契約条項の締結等)を整備している場合、当該体制整備をもって本人同意に代える〔場合は本条を適用する/場合は適用しない〕。

第8条(同意の撤回) 本人は、いつでも甲に対し本同意を撤回することができる。ただし、撤回の効果は撤回以後の移転についてのみ及び、既に行われた移転には遡及しない。

第9条(記録の保存) 甲は、本同意書及び情報提供の記録を、個人情報保護法及び関連ガイドラインが求める期間保存する。

第2部: 立場別・場面別の書き換えパターン

A. 移転元向け

A-1. 基準適合体制の整備による同意取得の簡素化

修正条文例:「甲は、丙との間で個人情報保護委員会規則に定める基準に適合する体制(標準契約条項の締結、又は丙が認定を受けた国際的な枠組みへの参加)を整備しており、本人の同意取得に代えて、本人の求めに応じ相当の措置に関する情報を提供する。」 一言解説: 都度の個別同意取得が困難な大量データ移転の場面で、基準適合体制による代替スキームを採用する修正である。

A-2. 情報提供内容の更新義務

修正条文例:「甲は、移転先国の個人情報保護制度又は丙が講じる保護措置の内容に重要な変更があった場合、本人が容易に知り得る状態に置く方法により情報を更新する。」 一言解説: 情報提供時点から状況が変化した場合に、情報の陳腐化を防ぐための更新義務を追加する修正である。

B. 本人向け

B-1. 移転先国の制度に関する情報の充実

修正条文例:「甲は、移転先の国における個人情報保護制度がOECDプライバシーガイドライン8原則に対応する制度と個人情報保護委員会が認めるものか否かを含めて情報提供する。」 一言解説: 本人が同意の可否を適切に判断できるよう、移転先国の制度水準に関する情報をより具体的に提供する修正である。

C. 移転先向け

C-1. 移転先の安全管理措置の表明

修正条文例:「丙は、移転を受けた個人データについて、甲が定める安全管理措置と同等の水準の措置を講じることを表明する。」 一言解説: 移転先事業者に対し、移転元と同水準の安全管理措置の実施を契約上約束させる修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、日本国内の事業者が保有する個人データを、外国にある第三者(グループ会社、業務委託先等)に提供する際に、個人情報保護法第28条に基づく本人同意を取得する場面、又は基準適合体制の整備によって同意取得に代える場合の説明資料として用いる。国内の事業者間での提供や、外国にある事業者であっても日本の個人情報保護法と同等の水準にあると認定された国(いわゆる指定国)への提供の場合は規律の内容が異なるため、移転先の状況に応じた適用条文の確認が前提となる。

根拠法令 個人情報保護法第28条第1項は、外国にある第三者へ個人データを提供する場合、原則としてあらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない旨を定める。同条第2項及び個人情報保護法施行規則は、当該同意を得ようとする場合、移転先の国における個人情報の保護に関する制度、当該第三者が講じる個人情報の保護のための措置その他本人に参考となるべき情報を、あらかじめ本人に提供しなければならない旨を定める。ただし、個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供(いわゆる基準適合体制、標準的な契約条項の締結等)については、本人同意を要しない特例が設けられている(同法第28条第1項ただし書)。また、個人情報保護委員会が指定する、日本と同等の水準にあると認める国(EU及び英国)への提供は、同意及び情報提供義務の対象外となる。

実務でよくある失敗と対策 第一に、外国にある第三者への提供について、単に「外国のグループ会社に提供することに同意します」とだけ同意を取得し、移転先国の制度概要や保護措置に関する情報提供を行わなかったため、同意が個人情報保護法第28条第2項の要件を満たさない失敗がある。第3条及びB-1のように移転先国の制度概要を具体的に情報提供することが対策となる。第二に、大量の個人データを継続的に海外グループ会社と共有する場面で、都度の個別同意取得が実務上困難であるにもかかわらず、基準適合体制の整備を検討せず、同意取得の運用に無理が生じる失敗がある。第7条及びA-1のように標準契約条項の締結等による基準適合体制の整備を検討することが有効である。第三に、移転先国が個人情報保護委員会の指定する同等水準国(EU・英国)に該当する場合でも、念のため通常どおりの同意取得手続を行い、不要な事務負担が生じる失敗もある。移転先国の該当性を事前に確認し、適用除外の要件を満たすかを見極める必要がある。

移転先国の制度評価や基準適合体制の整備方法は個人情報保護委員会の最新のガイドラインに従う必要があるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 移転先事業者の名称及び所在国を特定したか
• [ ] 移転する個人データの項目を具体的に列挙したか
• [ ] 移転先国の個人情報保護制度の概要について情報提供したか
• [ ] 移転先事業者が講じる保護措置について情報提供したか
• [ ] 移転先国が個人情報保護委員会の指定する同等水準国に該当するかを確認したか
• [ ] 基準適合体制(標準契約条項等)の整備により同意取得を代替するか検討したか
• [ ] 本人同意の任意性及び不同意の場合の取扱いを説明したか
• [ ] 同意の撤回方法及び撤回の効果(遡及の有無)を明記したか
• [ ] 同意書及び情報提供の記録の保存期間を確認したか
• [ ] 移転先における個人データの利用目的が移転元の説明内容と一致しているか確認したか