個人情報保護法では、外国にある第三者へ個人データを提供する場合、原則としてあらかじめ「外国にある第三者への提供を認める旨の本人の同意」を得る必要があります。
同意を得る際には、あらかじめ、当該外国における個人情報の保護に関する制度、提供先が講ずる個人情報の保護のための措置等の情報を本人に提供しなければなりません。
例外として、以下の場合は本人の同意を得ずに提供できます。
- 提供先がEU・英国等、我が国と同等の水準にあると認められる個人情報保護制度を有する国にある場合
- 提供先が我が国の事業者が講ずべき措置に相当する措置を継続的に講ずるための体制(契約、覚書、グループ共通の内規等)を整備している場合
- 法令に基づく場合等の例外事由に該当する場合
なお、(2)の体制整備により提供した場合は、相当措置の継続的な実施を確保するために必要な措置を講じ、本人の求めに応じて当該措置に関する情報を提供する必要があります。