個人データの越境移転：条項でどこまで確保するか

【専門】最終確認：2026年10月25日

一　問題の所在：契約書の一文で済ませられるか

海外の事業者に個人データの取扱いを委託します。先方は、契約書に細かい義務を書き込むことを嫌がり、「個人情報保護法および関係法令に従い適切に対応する」という一文でどうか、と言ってきました。

これで足りるのか。足りません。そして、足りない理由を説明できないと、交渉が進みません。

外国にある第三者に個人データを提供するには、原則としてあらかじめ本人の同意が要ります（個人情報保護法28条1項）（注1）。同意なしに提供する道の一つが、提供先が基準適合体制を整備していることですが、その体制は、例えば委託元と委託先との間の契約により整備することができます（注2）。つまり、契約書の中身がそのまま体制の中身になります。

この記事は、その契約書に何をどう書くかを扱います。制度そのものの説明（どの国が十分性認定を受けているか、本人同意の要件は何かなど）は、29章（隣接法領域）の別稿「個人データの越境移転」に譲り、ここでは条項の書き方に絞ります。

---

二　制度の枠組み（要点だけ）

1　3つのルート

外国にある第三者への提供には、3つの道があります（注1）。

ルート	根拠	契約でやること
①　十分性認定を受けた国	28条1項かっこ書	28条の手当ては不要（そもそも「外国」から除かれる）。ただし27条の第三者提供の規律や、委託なら25条の監督は別に確認する
②　基準適合体制の整備	28条1項かっこ書・規則16条	契約が体制そのものになる
③　本人の同意	28条1項	同意取得の手順と情報提供を契約に落とす

②の基準適合体制は、規則16条が2つに分けています。個人情報取扱事業者と提供を受ける者との間で、提供先における個人データの取扱いについて、適切かつ合理的な方法により、法4章2節の規定の趣旨に沿った措置の実施が確保されていること（1号）。または、提供を受ける者が個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（2号）（注3）。

「適切かつ合理的な方法」の事例として、外国にある事業者に個人データの取扱いを委託する場合は「提供元及び提供先間の契約、確認書、覚書等」、同一の企業グループ内で移転する場合は「提供元及び提供先に共通して適用される内規、プライバシーポリシー等」が挙げられています（注4）。

なお、必要な体制が整備されていることについて、個人情報保護委員会に対する事前の届出等は要しません（注3）。

①について補足します。EEA諸国および英国は、個人情報保護委員会により日本と同等の水準の個人情報保護制度を有している国として指定されているため、28条に基づく外国第三者提供の同意を得る必要がありません（注5）。27条に基づく同意が要るかどうかは、国内の第三者に提供する場合と同じく別に判断します。それ以外の国または地域に本人同意を得て提供する場合は、本人に提供する外国の制度の情報を、事業者が調査して用意する必要があります（注5）。契約の相手方がどの国にいるかで、この記事が必要かどうかが決まります。

②の2号（国際的な枠組みに基づく認定）は、提供先がAPEC越境プライバシールール（CBPR）システムまたはグローバルCBPRシステムの認証を取得していることを指します（注4）。提供元がこの認証を取得しており、提供先が提供元に代わって個人情報を取り扱う者である場合には、提供元が認証の取得要件を充たすことも「適切かつ合理的な方法」の一つであると解されています（注4）。自社が認証を持っているなら、契約の作り込みを軽くできる余地があります。

2　本記事の射程

どの国が十分性認定を受けているか、本人同意をどう取るか、個人関連情報の越境はどうなるかといった制度の説明は、29章（隣接法領域）の別稿「個人データの越境移転」が扱います。以下は、②と③を契約条項に落とす作業に絞ります。

---

三　契約実務への還元

1　「法令を守る」と書くだけでは足りない

冒頭の場面です。この点について、次の指摘があります。

契約等に同GLに記載されたすべての事項を規定する必要はなく、「個情法第4章第1節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、本人の権利利益の保護に必要な範囲で、「措置」の実施が確保されていれば足りる。他方で、事例1のように「個人情報保護法および関係法令に従い適切に対応する」や「個人情報保護法第4章第1節の趣旨に沿った措置を実施する」旨の契約条項があるだけでは不十分とされている（注6）

両側から線が引かれています。ガイドラインが挙げる事項（現行の外国第三者提供編では4-2-1から4-2-20まで）を逐一書く必要はない。しかし、法令を守るという一般的な約束だけでは足りない。

実務がどこに落ち着いているかについても、同じ指摘があります。提供先との間での契約において形式的に個人情報保護法の各規定（同論文の表記では「第4章第1節」。令和3年改正後の現行法では第4章第2節）にそのまま対応する条項を逐一網羅的に規定することは珍しく、むしろ各条項の実質的な内容をみれば規定の内容の多くはカバーできていると整理するケースも多いと思われ、そのような取扱いも原則として許容されると考えられます（注6）。

そのうえで、契約に定めることが考えられる事項は、次のとおりです（注7）。

• 特定の利用目的の範囲内で個人データを取り扱う旨
• 不適正利用の禁止
• 必要かつ適切な安全管理措置を講ずる旨
• 従業者に対する必要かつ適切な監督を行う旨
• 再委託の禁止
• 漏えい等が発生した場合には提供元が必要に応じて報告、通知等の措置を採る旨
• 個人データの第三者提供の禁止

国内の委託契約に置く個人データ条項と、並びはほとんど同じです。違うのは、これが「体制」として評価される点にあります。国内なら条項の不備は監督義務の問題にとどまりますが、越境では条項が不十分だとそもそも本人同意なしに提供できる根拠が崩れます。

なお、この措置を講じなければならない対象は、実際に提供を行った当該個人データであることから、提供先で取り扱っている他の個人情報の取扱いについてまで当該措置を講ずることが求められているものではありません（注4）。交渉で相手方が「当社の全業務に及ぶ義務は飲めない」と言ってきたときに、範囲を切る根拠になります。

2　移転先をどう特定するか

③の本人同意ルートを使う場合、同意を得ようとするときに本人へ提供すべき情報が定められています。当該外国の名称、適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報、当該第三者が講ずる個人情報の保護のための措置に関する情報の3つです（規則17条2項）（注8）。

問題は、同意を得る時点で移転先が決まっていない場合です。規則は代替手段を用意しています。外国の名称が特定できない場合には、特定できない旨およびその理由と、代わりに参考となるべき情報があるときはその情報を提供します（同条3項）（注8）。措置に関する情報を提供できない場合も、その旨およびその理由を提供します（同条4項）（注8）。

この「理由」について、次の指摘があります。

外国にある第三者に個人データの取扱いを委託する際に、本人の同意を得ようとしたが、その時点において、委託先が具体的に定まっていない等により、提供先の第三者が所在する外国が特定できない場合は、特定できない旨およびその具体的な理由を情報提供する必要があるが、当該理由には「委託先が定まる前に本人同意を得る必要性」も含まれる点に留意する必要がある（注9）

「まだ決まっていないから」では理由になりません。なぜ決まる前に同意を取る必要があるのかまで説明することになります。

さらに、包括的な同意には限界があります。提供先の外国が特定できないことを前提とする同意においても、本人があらゆる外国にある事業者への移転に伴うリスクを引き受けているとはいえず、また提供先の事業者における問題ある取扱いが事後的に発覚する場合もある。そのため、個別の事案によっては、保有個人データの第三者提供の停止請求（法35条5項）が可能であるとの議論もあり得るでしょう（注10）。

契約実務としては、移転先が確定した段階で本人に情報提供する手順を、社内側に用意しておくことになります。本人の求めに応じて事後的に情報提供を行うことが望ましいといえますが、法的義務ではありません（注11）。

3　外国の制度を調べるのは、誰の責任か

同意ルートで提供すべき情報のうち、外国の個人情報保護制度に関する情報は、個人情報保護委員会が公表している調査結果を使えます。委員会は複数の国または地域について個人情報の保護に関する制度を調査し、情報提供文書として公表しています（注12）。

ただし、この文書には限界が明示されています。

事業者が個情法24条（28条）2項に基づいて本人に対して提供すべき情報の具体的内容は、個別の事案に応じて異なり得ることから、個人情報保護委員会が提供する情報は補助的な参考情報として参照する必要があり、各国の個人情報の保護に関する制度の確認は、各事業者の責任において行われるべきと記載されている（注13）

同文書は代表的な法令を対象としたものであり、セクター別に適用される法令については対象としていないことから、適用法令に差が生じる事業者は留意が必要です（注13）。

契約条項の側でこれを補うなら、提供先に「自国の個人情報保護制度に関する情報を提供する義務」と「制度に変更があったときの通知義務」を負わせることになります。次の4で述べる継続確認義務とも接続します。

4　提供した後に、確認し続ける義務がある

②の基準適合体制ルートを選んだ場合、契約を結んで提供したら終わりではありません。

個人情報取扱事業者は、個人データを外国にある第三者（基準適合体制を整備している者に限る）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を本人に提供しなければなりません（法28条3項）（注14）。

必要な措置は2つです（規則18条1項）（注14）。

1. 当該第三者による相当措置の実施状況、および当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその内容を、適切かつ合理的な方法により、定期的に確認すること
2. 相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、継続的な実施の確保が困難となったときは、当該第三者への提供を停止すること

「定期的に確認」の頻度も示されています。年に1回程度またはそれ以上の頻度で確認することをいう、とされています（注15）。確認の方法は、個人データを取り扱う場所に赴く方法、書面により報告を受ける方法、またはこれらに代わる合理的な方法（口頭による確認を含む）が挙げられています（注15）。

契約に落とすと、次の3つになります。

条項	内容
定期報告義務	年1回以上、契約の履行状況を書面で報告する
制度変更の通知義務	提供先の国の制度に、相当措置の実施に影響を及ぼすおそれのある変更があったときは通知する
提供停止の条項	相当措置の継続的な実施の確保が困難となったときは、提供を停止できる（または停止する）

3つ目を忘れがちです。規則18条1項2号は提供の停止を求めていますが、契約に停止の根拠がないと、契約違反を起こさずに止めることができません。

なお、本人から求めがあったときに提供すべき情報は7項目あり、その中には確認の頻度および方法（規則18条3項3号）や、当該外国の名称（同項4号）が含まれます（注14）。年1回の報告を受けているという事実自体が、本人への回答材料になります。

5　レビューの順序

越境が絡む契約では、次の順に確認します。

1. そもそも「外国にある第三者」への提供か　十分性認定を受けた国であれば、この節の問題は生じません
2. どのルートで正当化するか　基準適合体制か、本人同意か
3. 基準適合体制なら、三の1の7項目が実質的にカバーされているか　条文の逐一対応は不要ですが、「法令に従う」だけでは足りません
4. 提供後の確認と停止の条項があるか　三の4の3点
5. 本人同意なら、移転先の特定と情報提供の手順が社内にあるか　三の2

契約書だけを見ていると、4と5が抜けます。どちらも、締結後に回し続ける義務だからです。契約審査の段階で、運用の受け皿があるかまで確かめておくことになります。

---

参考文献等

註

（注1）個人情報保護法28条1項
（注2）阿部・井窪・片山法律事務所編『契約書作成の実務と書式──企業実務家視点の雛形とその解説〔第3版〕』（有斐閣、2025）626頁
（注3）個人情報保護法施行規則16条。個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（2016年11月〔2025年12月一部改正〕）4
（注4）前掲注3のガイドライン4-1、4-3
（注5）岡田淳＝北山昇＝小川智史「個人情報保護をめぐる実務対応の最前線（第5回）越境移転規制(1)」NBL1214号（2022年）79頁
（注6）前掲注5・78頁
（注7）前掲注5・79頁注8
（注8）個人情報保護法施行規則17条2項〜4項。前掲注3のガイドライン5
（注9）岡田淳＝北山昇＝小川智史「個人情報保護をめぐる実務対応の最前線（第6回）越境移転規制(2)」NBL1216号（2022年）60頁。同頁の脚注11（61頁）はQ&A12-14を引きます
（注10）前掲注9・60頁
（注11）前掲注9・60頁
（注12）前掲注5・78頁。個人情報保護委員会「外国における個人情報の保護に関する制度等の調査」による
（注13）前掲注5・78〜79頁
（注14）個人情報保護法28条3項、同法施行規則18条。前掲注3のガイドライン6
（注15）前掲注3のガイドライン6-1(1)

---