G検定（ジェネラリスト検定） AIに関する法律と契約 練習問題 第29問: 日本の事業者が、AIの開発のために顧客の個人データを外国にある事業者へ提供しようとしている。個人情報の保護に関する法律第28条の規律の説明として、最も不適切なも

肢1が不適切です。個人情報の保護に関する法律第28条第1項は、外国にある第三者に個人データを提供する場合、法令に基づく場合等を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならないと定めています（肢2）。

同条第2項は、同意を得ようとするときに、その外国の個人情報の保護に関する制度や提供先が講ずる措置など、本人に参考となるべき情報を提供することを求めています（肢3）。一方、我が国と同等の水準にあるとして規則で定める外国と、規則の基準に適合する体制を整備した提供先は第1項の対象から除かれ、体制を整備した提供先に提供したときは、第3項により相当措置の継続的な実施を確保する措置が必要です（肢4）。

個人情報保護委員会は第28条に基づいてEUと英国をこの外国に指定しているので、肢1は前提が誤りです。ただし、指定国への提供でも第27条（原則として本人の同意）は適用されます。