個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第34問: 外国にある事業者のサービスを利用する場合や外国で個人データを取り扱う場合の安全管理措置「外的環境の把握」について、個人情報保護委員会のガイドラインQ&Aの考え方

正解: 4. 外国の事業者のクラウドサービスを、事業者が個人データを扱わない形で使う場合も、当該外国の制度等を把握して安全管理措置を講じる必要がある

Q&A 10-25は、外国にある第三者のクラウドサービスを、提供事業者が個人データを取り扱わないこととなっている形で利用する場合、第三者への提供には当たらないものの、外国において個人データを取り扱うこととなるため、当該外国の制度等を把握したうえで安全管理措置を講じる必要があるとし、サーバが日本国内にある場合も同様としています（4が正しい）。Q&A 10-23は、外国に出張中の従業者に一時的にのみ取り扱わせる場合は必ずしも外国の制度等を把握する必要まではないとしています（1は誤り）。Q&A 10-24は、委託先が日本国内のサーバの個人データにアクセスして取り扱う場合も、委託先が所在する外国の制度等の把握が必要としています（2は誤り）。Q&A 10-23は、外国に居住してテレワークをする従業者に担当させる場合は、その外国の制度等も把握して安全管理措置を講じる必要があるとしています（3は誤り）。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添「外的環境の把握」、同ガイドラインに関するＱ＆Ａ 10-23〜10-25）

関連キーワード: 外的環境の把握・クラウドサービス・委託先・テレワーク