安全管理措置
ある個人情報取扱事業者が、外国に所在する子会社に個人データの取扱いを一部委託し、当該外国において個人データを取り扱わせることとした。この場合に事業者が講ずべき対応として最も適切なものはどれか。
- A十分性認定を受けた国であるかどうかにかかわらず、外国への委託は一切認められない
- B外国にある委託先については、契約書を締結しさえすれば、それ以上の安全管理措置は不要である
- ✓当該外国の個人情報の保護に関する制度等を把握した上で、必要かつ適切な安全管理措置を検討し講じる必要がある
- D日本国内の事業者への委託ではないため、安全管理措置を講ずる義務はそもそも生じない
解説
ガイドライン（通則編）は、事業者が外国において個人データを取り扱う場合、当該外国の制度等を把握した上で安全管理措置を検討する「外的環境の把握」を求めている。委託先が外国にあることのみを理由に義務を免れることはない。
根拠個人情報の保護に関する法律についてのガイドライン（通則編）安全管理措置「外的環境の把握」