課題Ⅰ 第４編③ 外国にある第三者への提供の制限・記録義務・確認義務（法28条〜30条）
外国にある第三者への提供の制限（法第28条）
個人情報保護法第28条は、外国にある第三者に個人データを提供する場合の制限を定めている。国内の第三者提供（法27条）とは別に、外国への移転には追加の要件が課される。その趣旨は、外国の法制度が日本と同等の保護水準を確保しているとは限らないため、本人の権利利益を守ることにある。
Article 28 of the Act on the Protection of Personal Information establishes restrictions on providing personal data to third parties located in foreign countries. In addition to the domestic third-party provision rules (Article 27), extra requirements are imposed on cross-border transfers. The purpose is to protect the rights and interests of the individual, because foreign legal systems do not necessarily ensure a level of protection equivalent to Japan’s.
適法な越境移転の3つのルート
外国にある第三者への提供が適法に行えるルートは、大きく分けて3つある。ルート1は本人の同意を得る方法、ルート2は個人情報保護委員会が認めた国への提供、ルート3は適切な体制を整備した外国の事業者への提供である。以下、各ルートを詳しく見ていく。
There are broadly three lawful routes for providing personal data to a third party in a foreign country. Route 1 is obtaining the individual’s consent. Route 2 is providing data to a country recognized by the Personal Information Protection Commission. Route 3 is providing data to a foreign business operator that has established an appropriate system of safeguards. Each route is examined in detail below.
ルート1：本人の同意（情報提供義務付き）
ルート1：本人の同意。原則として、外国にある第三者に個人データを提供するには、あらかじめ本人の同意を得なければならない。ただし、2022年改正により、単に「外国の第三者に提供してよいか」と尋ねるだけでは不十分となった。同意を取得する前に、移転先の外国における個人情報保護制度に関する情報を本人に提供する義務が追加された（情報提供義務）。
Route 1: Consent of the individual. As a general rule, providing personal data to a third party in a foreign country requires the prior consent of the individual. However, under the 2022 amendment, simply asking "may we provide your data to a third party abroad?" is no longer sufficient. Before obtaining consent, the operator must now provide the individual with information about the personal information protection regime in the destination country (the information provision obligation).
具体的に提供すべき情報は次のとおりである。（a）移転先の外国の名称。（b）当該外国における個人データの保護に関する制度の概要（例：独立した監督機関の有無、本人の権利に関する制度など）。（c）提供先の第三者が講ずる個人情報の保護のための措置に関する情報。これらの情報は本人が合理的に判断できる程度に具体的でなければならない。
Specifically, the information that must be provided is as follows. (a) The name of the destination foreign country. (b) An outline of the personal data protection regime in that country (e.g., whether an independent supervisory authority exists, the system of individual rights, etc.). (c) Information about the measures the destination third party takes for the protection of personal information. This information must be specific enough for the individual to make a reasonable judgment.
ルート2：同等水準の国（EU・英国）
ルート2：個人情報保護委員会が認めた国。日本と同等の水準にあると認められた外国への提供は、国内の第三者提供と同様に取り扱うことができる。現在、個人情報保護委員会が認定しているのは、EU（欧州連合）および英国のみである。つまり、ルート2で提供できる国は非常に限定的であり、それ以外の国への提供はルート1またはルート3によらなければならない。
Route 2: Countries recognized by the Personal Information Protection Commission. Provision to a foreign country recognized as having a level of protection equivalent to Japan’s can be handled in the same manner as domestic third-party provision. Currently, the only countries recognized by the Commission are the EU (European Union) and the United Kingdom. This means the countries available under Route 2 are extremely limited, and provision to other countries must follow Route 1 or Route 3.
ルート3：体制を整備した外国事業者
ルート3：体制を整備した外国の事業者。提供先の外国事業者が、日本の個人情報保護法と同等の措置を継続的に講じている場合は、本人の同意なく提供できる。具体的には、APEC・CBPRシステムの認証を取得している場合や、提供元との間で個人データの取扱いに関する契約を締結している場合、グループ企業内の規程（BCR: Binding Corporate Rules）を策定している場合などが該当する。
Route 3: Foreign business operators with an established system. If the destination foreign operator continuously implements measures equivalent to Japan’s Act on the Protection of Personal Information, data may be provided without the individual’s consent. Specifically, this includes cases where the foreign party has obtained APEC CBPR system certification, has concluded a contract with the provider concerning the handling of personal data, or has formulated intra-group regulations (BCR: Binding Corporate Rules).
ルート3を利用する場合、提供元の事業者には2つの継続的義務が課される。第一に、提供先の外国事業者が引き続き適切な措置を講じているかどうかを定期的に確認しなければならない。第二に、本人の求めに応じて、提供先の措置の実施状況に関する情報を本人に提供しなければならない。問題が判明した場合は、提供の停止を含む必要な措置を講じる義務がある。
When using Route 3, two ongoing obligations are imposed on the providing operator. First, it must periodically verify whether the destination foreign operator continues to implement appropriate measures. Second, it must provide the individual, upon request, with information about the implementation status of the destination’s measures. If problems are discovered, the provider has an obligation to take necessary measures, including suspending the provision.
法28条の試験ポイントを整理する。第一に、3つのルートの区別。第二に、2022年改正で追加された情報提供義務の内容（a・b・c）。第三に、ルート3の場合の継続的確認義務。第四に、日EU相互認証はルート2に該当するという点。これらは択一式の問題で頻出する。
Let us organize the exam points for Article 28. First, the distinction among the three routes. Second, the content of the information provision obligation added by the 2022 amendment (items a, b, c). Third, the ongoing verification obligation under Route 3. Fourth, the point that the Japan-EU mutual recognition falls under Route 2. These are frequently tested in multiple-choice questions.
記録の作成義務（法第29条）
法第29条は、個人データを第三者に提供した場合に、提供側の事業者に記録の作成を義務付けている。この記録義務は、個人データが誰から誰に渡ったのかを追跡できるようにするトレーサビリティ確保の一環である。
Article 29 obligates the providing business operator to create records when personal data is provided to a third party. This record-keeping obligation is part of ensuring traceability — the ability to track who personal data was transferred from and to.
記録すべき事項は以下のとおりである。（a）個人データを提供した年月日。（b）提供先の第三者の氏名または名称（法人の場合は代表者の氏名も含む）。（c）提供した個人データの項目。オプトアウト（法27条2項）に基づく提供の場合は、上記に加えて「法27条の規定による旨」および本人の氏名も記録しなければならない。
The matters to be recorded are as follows. (a) The date on which the personal data was provided. (b) The name or title of the destination third party (for corporations, including the name of the representative). (c) The categories of personal data provided. In the case of provision based on the opt-out mechanism (Article 27, Paragraph 2), in addition to the above, "to the effect that it is pursuant to Article 27" and the individual’s name must also be recorded.
記録の保存期間は提供の根拠や方法によって異なる。本人の同意に基づく提供：3年。オプトアウトに基づく提供：3年。契約書等の代替記録（既存書類を記録に代える場合）：最後の提供から3年。一括記録（同一の第三者に反復して提供する場合）：最後の提供から3年。試験では保存期間の数字がよく問われるので、正確に覚えておくこと。
The retention period for records varies depending on the basis and method of provision. Provision based on the individual’s consent: 3 years. Provision based on opt-out: 3 years. Substitute records using contracts, etc. (when existing documents serve as the record): 3 years from the last provision. Batch records (when repeatedly providing to the same third party): 3 years from the last provision. The exam frequently tests these retention period figures, so they should be memorized precisely.
記録の作成方法は3つ認められている。第一に、文書（紙の記録）。第二に、電磁的記録（データベースやファイルなど）。第三に、マイクロフィルム。また、同一の第三者に継続的に提供する場合は、提供のたびに個別の記録を作成する必要はなく、一括して記録を作成できる。さらに、契約書などの既存書類に必要な事項がすでに記載されていれば、それを記録に代えることも認められる。
Three methods of creating records are permitted. First, documents (paper records). Second, electronic records (databases, files, etc.). Third, microfilm. Additionally, when continuously providing data to the same third party, there is no need to create individual records for each provision — batch record-keeping is permitted. Furthermore, if existing documents such as contracts already contain the required matters, they may serve as a substitute for the record.
重要な例外として、委託、事業承継、共同利用（法27条5項）による提供の場合は、記録の作成義務は適用されない。これは、これらの場合が法律上「第三者提供」に該当しないためである。したがって、法29条の記録義務が発生するのは、本人の同意またはオプトアウトに基づいて第三者に提供した場合に限られる。
As an important exception, the record-keeping obligation does not apply when provision is based on outsourcing, business succession, or joint use (Article 27, Paragraph 5). This is because these cases do not legally constitute "third-party provision." Therefore, the record-keeping obligation under Article 29 arises only when data is provided to a third party based on the individual’s consent or through the opt-out mechanism.
法29条の試験ポイント：記録事項の3つ（年月日・氏名・項目）、オプトアウト時の追加事項、保存期間の区分、記録方法の3種類、そして委託・事業承継・共同利用は記録不要であるという例外を正確に押さえること。
Exam points for Article 29: the three record items (date, name, categories), the additional items required for opt-out, the classification of retention periods, the three methods of record-keeping, and the exception that outsourcing, business succession, and joint use do not require records. These must be grasped precisely.
第三者提供を受ける際の確認等（法第30条）
法第30条は、第三者から個人データの提供を受ける側の義務を規定している。法29条が提供側の義務であるのに対し、法30条は受領側の義務であり、両者は対の関係にある。この二つの条文により、個人データの流通のトレーサビリティ（追跡可能性）が確保される。
Article 30 stipulates the obligations of the party receiving personal data from a third party. While Article 29 governs the provider’s obligations, Article 30 governs the recipient’s obligations — the two form a paired relationship. Together, these two provisions ensure the traceability (trackability) of personal data circulation.
受領者がまず行うべきなのは確認である。確認すべき事項は2つある。（a）提供者の氏名または名称および住所（法人の場合は代表者の氏名も含む）。（b）提供者による当該個人データの取得の経緯。特に（b）の取得経緯の確認は、不正に取得されたデータが流通するのを防ぐための核心的な仕組みである。
The first thing the recipient must do is carry out a confirmation. There are two matters to confirm. (a) The name or title and address of the provider (for corporations, including the name of the representative). (b) The circumstances under which the provider acquired the relevant personal data. Especially, the confirmation of (b) — the acquisition circumstances — is a core mechanism for preventing illicitly acquired data from entering circulation.
確認に加えて、受領者は記録の作成・保存義務も負う。記録すべき事項は以下のとおりである。（a）提供を受けた年月日。（b）確認した事項（提供者の情報と取得経緯）。（c）提供を受けた個人データの項目。保存期間は法29条と同様の基準が適用される。
In addition to the confirmation, the recipient also bears the obligation to create and retain records. The matters to be recorded are as follows. (a) The date on which the data was received. (b) The confirmed matters (provider information and acquisition circumstances). (c) The categories of personal data received. The same retention period standards as Article 29 apply.
法30条の立法趣旨には歴史的背景がある。2015年改正で導入された本条は、いわゆる「名簿屋」問題への対策である。名簿屋とは、個人データを収集・販売する業者のことであり、不正に取得された個人データが大量に売買されていた実態があった。受領側にも確認義務を課すことで、不正データの流通を抑止する狙いがある。
The legislative purpose of Article 30 has a historical background. Introduced by the 2015 amendment, this article was a countermeasure against the so-called "list broker" (meiboya) problem. List brokers are operators who collect and sell personal data, and the reality was that large quantities of illicitly acquired personal data were being bought and sold. By imposing a confirmation obligation on the receiving side as well, the aim is to deter the circulation of illicit data.
法30条の試験ポイントを整理する。第一に、確認すべき2つの事項（提供者の氏名・住所と取得経緯）。第二に、記録すべき3つの事項（年月日・確認事項・データの項目）。第三に、2015年改正で導入された背景（名簿屋対策）。第四に、法29条との対比（提供側＝記録のみ、受領側＝確認＋記録）。
Let us organize the exam points for Article 30. First, the two matters to confirm (provider’s name/address and acquisition circumstances). Second, the three matters to record (date, confirmed matters, and data categories). Third, the background of its introduction in the 2015 amendment (list broker countermeasure). Fourth, the comparison with Article 29 (provider side = record only, recipient side = confirm + record).