人材紹介会社のF社は、求職者の職務経歴書のデータ（個人データ）をAIで解析して求人とのマッチング精度を高めるため、その解析業務を外国のAI開発企業G社に委託することを検討している。F社は、この解析を含む利用目的を公表している。G社の所在国は、日本と同等の水準の個人情報保護制度をもつ国として個人情報保護委員会が定めた国には当たらない。この場面の説明として、最も適切なものを1つ選べ。
正解と解説を見る
解説
正解 A
この問題の論点：外国にある第三者への提供
ポイント
外国にある第三者への提供では、委託であっても原則として本人の同意が必要です。同等国や基準適合体制の場合などが例外です。
選択肢ごとの解説
- A
適切 正解
基準に適合する体制を整備した者は、28条の「外国にある第三者」から除かれます（法28条1項、規則16条）。この場合は27条のルールに戻り、委託に伴う提供として本人の同意なく提供できます。
- B
不適切
28条が適用される場面では27条は適用されません（法28条1項後段）。委託であっても、同等国や基準適合体制などの例外に当たらなければ、外国にある第三者への提供を認める旨の本人の同意が必要です（Q&A Q12-1）。
- C
不適切
同意を得ようとするときは、あらかじめ、移転先の国の名称、その国の個人情報保護制度、提供先が講じる保護措置に関する情報を本人に提供する必要があります（法28条2項、規則17条）。
- D
不適切
基準に適合する体制をもつ外国の第三者に提供した事業者は、相当措置の実施状況などを定期的に確認し、支障があれば対処するなどの措置を講じる必要があります（法28条3項、規則18条）。
補足
同等の水準にあると認められる国として個人情報保護委員会が定めているのは、EUと英国です。これらの国にある第三者への提供には28条の同意は要らず、国内の場合と同じく27条のルールが適用されます。なお、外国の事業者が運営するクラウドサービスに保存するだけで、その事業者が個人データを取り扱わない契約やアクセス制御になっている場合は、そもそも「提供」に当たらないと整理されることがあります。
試験での狙われ方
国内なら本人の同意が不要な委託が、委託先が外国にあると扱いが変わる点を事例で問う形が典型です。
参考
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目1 個人情報保護法）
- 個人情報の保護に関する法律（e-Gov法令検索） （27条5項、28条）
- 個人情報の保護に関する法律施行規則（e-Gov法令検索） （15条〜18条）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Q12-1