LLMのAPIに個人データを渡すと越境提供になるのか｜個人情報保護法28条を条文から確認する

こんにちは、株式会社TIMEWELLの濱本です。

「海外のLLMに個人データを投げたら、それは越境提供ですよね」。この確認を、社内の法務からも、お客様の情報システム部門からも、何度も受けてきました。私の答えは、たいてい「そう単純ではありません」になります。歯切れが悪くて申し訳ないのですが、条文と委員会の文書を実際に開くと、そう言うしかない場所に行き着きます。

意外に思われるかもしれません。個人情報保護委員会が令和5年6月2日に公表した「生成AIサービスの利用に関する注意喚起等について」には、「第28条」も「外国にある第三者」も「越境」も出てきません¹。生成AIについて委員会が何も言っていないわけではありませんが、越境提供という論点に限れば、当てはめを示した公式文書は2026年9月の時点で見当たらないのです。

だとすると、一般則から自分で組み立てるしかありません。この記事では、法28条の条文、施行規則16条・17条・18条、ガイドライン、そしてQ&Aを、それぞれ原文にあたりながら、どこに線が引かれているのかを確認していきます。自社の体制が今どのあたりにあるのかを先に把握したい方は、AI活用レディネスの無料診断から始めてみてください。

「AIに投げたら即28条」と言い切れない理由

まず、よくある誤解をほどいておきます。28条は「AIに関する条文」ではありません。個人データを外国にある第三者へ提供するときの手続を定めた、汎用の規定です。生成AIという言葉はどこにも出てきません。

委員会も、そこを埋めてはくれません。令和5年6月2日の注意喚起に28条にまつわる語が出てこないことは、先ほど書いたとおりです¹。ではガイドラインはどうか。現行版は令和7年12月に一部改正されたものですが²、生成AIを28条に当てはめた記述はここにも置かれていません。Q&Aの最新版である令和7年7月1日更新のものも同様でした³。委員会が生成AIについて28条の見解を示した文書は、いまのところ見当たりません。

この事実は、実務上けっこう重い意味を持ちます。「委員会がこう言っているので」という言い方が使えないからです。使えるのは、クラウド利用一般について書かれた既存の判断基準だけで、それをLLMのAPIに当てはめる部分は、あくまで各社の解釈になります。私がこの記事で書く当てはめも、条文と公式文書を読んだ上での私の解釈です。断定として受け取らないでください。

もうひとつ、問いの立て方を整理しておきます。「LLMのAPIは28条の対象か」という問いは、実は二段構えになっています。第一に、そもそも個人データを第三者に「提供」したことになるのか。第二に、提供に当たるとして、どの根拠で通すのか。多くの現場では第一段を飛ばして第二段の同意文言づくりに入ってしまいますが、順番が逆です。第一段の答え次第で、必要な作業が丸ごと消えることもあれば、逆に消えたつもりで消えていないこともあります。

28条1項が実際に書いていること

条文を読みます。少し長いですが、括弧書きこそが本体なので省略せずに引きます⁴。

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

読みにくさの原因はすぐわかります。除外のための括弧書きが二つ、条文の中に埋め込まれています。 ひとつめは「外国」から日本と同等水準の制度を持つ国を除くもの、ふたつめは「第三者」から基準適合体制を整備している者を除くものです。前者に当たれば相手国はそもそも「外国」ではなくなり、後者に当たれば相手はそもそも「第三者」ではなくなります。どちらも28条1項の適用自体が外れるという構造で、ガイドラインもその整理を明示しています⁵。

ただし、外れるのは28条だけです。ガイドラインは、これらの場合でも27条の規定により、本人の同意、27条1項各号に掲げる場合、オプトアウト、委託・事業承継・共同利用のいずれかの方法による必要があると書いています⁵。28条を外したから何もしなくてよい、ではありません。ここを取り違えると、越境の同意は不要という結論だけが独り歩きします。

条文を引くときにもう一点、断っておくべきことがあります。個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）が2026年7月17日に公布されており、その新旧対照表を見ると、28条1項の内部参照の文言が改められています⁶。「以下この条及び第三十一条第一項第二号において同じ。」が「以下同じ。」になる、といった類の整理です。2項と3項は「２・３ （略）」とされ、改正されません。規律の中身が変わるわけではありませんが、この改正は附則第一条により公布の日から起算して2年を超えない範囲内で政令が定める日から施行されることになっており、2026年9月時点でまだ施行されていません。社内資料に条文を貼るなら、この一言は添えておいたほうがよいと思います。

同等水準の国はEUと英国だけです

ひとつめの括弧書きで除かれる国は、ガイドラインがはっきり書いています。EUおよび英国です⁷。ここでいうEUとは平成31年個人情報保護委員会告示第1号に定める国を指し、英国はそこには含まれず、別に指定されています。日本とEUの相互の円滑な個人データ移転を図るため、欧州委員会による日本への十分性認定に併せて行われた指定である、という経緯もガイドラインに書かれています。

実務的に言えば、この道はほとんど使えません。主要なLLMの提供事業者はEUにも英国にも本社を置いていないからです。リストは2か国・地域分しかない、と覚えておくくらいでちょうどよいと思います。

基準適合体制は2つに1つで、届出は要りません

ふたつめの括弧書き、基準適合体制のほうは選択肢が広く見えますが、施行規則16条は2つしか用意していません⁸。1号は、提供元と提供先の間で、提供先における当該個人データの取扱いについて、適切かつ合理的な方法により法第4章第2節の規定の趣旨に沿った措置の実施が確保されていること。2号は、提供先が個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていることです。

1号の「適切かつ合理的な方法」について、ガイドラインは委託の場合の契約・確認書・覚書等と、同一の企業グループ内で移転する場合の内規・プライバシーポリシー等を事例として挙げています⁹。2号のほうは、APEC CBPRシステムまたはグローバルCBPRシステムの認証を取得していることが該当する、と書かれています⁹。

見落とされがちな一文も、同じガイドラインの第4章冒頭にあります。必要な体制が整備されていることについて、個人情報保護委員会に対する事前の届出等は要しない、というものです⁹。これは施行規則16条の条文には書かれていないので、出典としてはガイドラインを引くのが正確です。届出制ではないぶん、体制の当否は自社の説明責任として残ります。

分かれ目は「取り扱うこととなっているか」

では、そもそも提供に当たるのかという第一段の問いに戻ります。ここを扱うのがQ&AのQ7-53です¹⁰。クラウドサービスの利用が第三者提供や委託に該当するかどうかについて、委員会はこう書いています。

保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。

判断の基準は、データの中身ではありません。 提供先が取り扱うことになっているかどうかです。取り扱わないこととなっている場合には個人データを提供したことにならず、本人の同意は不要で、委託にも該当しないため法25条に基づく監督義務も生じないと明記されています。そして「取り扱わないこととなっている場合」とは、契約条項によってその外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられる、とされています。

28条との関係はQ12-3が受けます¹¹。外国にある事業者が外国に設置し管理・運営するサーバに個人データを保存する場合であっても、そのサーバを運営する事業者が保存された個人データを取り扱わないこととなっている場合には、外国にある第三者への提供に該当しません。自ら外国に設置し自ら管理・運営するサーバへの保存も、同様に該当しないとされています。クラウド例外は、28条の側にもきちんと接続されているわけです。

ここからは私の解釈です。LLMのAPI利用にこの基準を当てはめると、争点は「入力したプロンプトを提供事業者が取り扱うこととなっているか」に集約されます。学習に使わない、保存しない、従業員が閲覧しない、といった条件が契約条項として定められ、実際にアクセス制御が伴っているのなら、Q7-53が示す構造にかなり近いと言えます。逆に、人手によるレビューが留保されていたり、不正利用検知のために一定期間保持して従業員が閲覧しうる設計になっていたりすれば、取り扱わないとは言いにくくなります。生成AI固有の理屈ではなく、契約とアクセス制御を読む作業だという点が肝心です。

サーバが国内にあるかどうかで決まるわけではありません

「東京リージョンを選んだから大丈夫」という説明を、私は何度も聞いてきました。Q12-4は、そこにまっすぐ答えています¹²。当該サーバを運営する外国にある事業者がそのサーバに保存された個人データを取り扱っている場合には、サーバが国内にある場合であっても外国にある第三者への提供に該当する、というのが原則です。

ただし、この答えにはただし書きがあり、こちらを落とすと不正確になります。当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを日本国内で取り扱っており、日本国内で個人情報データベース等を事業の用に供していると認められる場合には、該当しないとされています。参照先はガイドラインの2-2です。

その2-2は、そもそも「外国にある第三者」を法人格で判断すると書いています¹³。日本企業が外国の法人格を取得している現地子会社に提供すれば該当し、現地の事業所や支店など同一法人格内での移動なら該当しません。外国法人であっても、日本国内に事務所を設置している場合や日本国内で事業活動を行っている場合など、日本国内で個人情報データベース等を事業の用に供していると認められるときは該当しない、とも書かれています。関連するQ12-5は、日本国内で事業の用に供していると認められるかは日本国内における事業の実態を勘案して個別に判断されるため、国内に出張所を有することのみをもって直ちに該当しないことにはならない、と補足しています¹⁴。

整理すると、決め手は3つです。相手の法人格、日本国内での取扱いの実態、そして取り扱うこととなっているかどうか。サーバの緯度経度はそのどれでもありません。データを預けた先の政府が手を伸ばしうるかという別の論点については、外国政府によるデータアクセスで条文にあたって整理しています。

同意で進む道は、規則17条の3点を埋めることから

提供に当たると整理した場合、まず思い浮かぶのは本人の同意でしょう。ただ28条は、同意を取れば終わりとはしていません。2項が、同意を得ようとする場合には、あらかじめ当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他本人に参考となるべき情報を提供しなければならないと定めており、その中身を委員会規則に委ねています⁴。

受け皿の施行規則17条2項は、提供すべき事項を3つに限定列挙しています¹⁵。当該外国の名称、適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報、そして当該第三者が講ずる個人情報の保護のための措置に関する情報です。

このうち2号がいちばん重いところです。ガイドラインは、この制度情報について、提供先の第三者が所在する外国の制度と我が国の法との間の本質的な差異を本人が合理的に認識できる情報でなければならないとした上で、4つの観点を挙げています¹⁶。制度の有無、制度についての指標となり得る情報の存在、OECDプライバシーガイドライン8原則に対応する事業者の義務または本人の権利の不存在、そしてその他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在です。4つめの事例として、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度と、本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度が挙げられています。対象はあくまで提供先の第三者に適用される制度に限られ、適用されない制度は含まれない、という限定も付いています。

米国向けで気になる州法の扱いは、同じガイドラインの5-2(1)にあります。ただしこれは本文ではなく脚注（※2）の記述で、外国の名称が示されていれば足り、州等の名称を示すことまでは求められないとした上で、州法が主要な規律となっている等、州法に関する情報提供が本人の予測可能性の向上に資する場合には、州を示した上で州単位の制度についても情報提供を行うことが望ましい、と書かれています¹⁶。義務ではなく望ましい、という位置づけを正確に押さえておくべきところです。

書けないときの逃げ道は、規則の側にあらかじめ用意されています。 国名が特定できない場合は規則17条3項が働き、国名と制度情報に代えて、特定できない旨とその理由、および代わりに本人に参考となるべき情報がある場合はその情報を提供します。提供先が講ずる措置の情報を提供できない場合は規則17条4項が別建てで働き、その旨と理由の提供に代えられます¹⁵。ガイドラインが挙げる事例は、治験で最終的にどの国の審査当局に承認申請するかが未確定の場合と、再保険で最終的にどの再保険会社に再保険を行うかが未確定の場合の2つです¹⁷。

なお、AI基盤の設計側でこの負担を減らすなら、そもそも個人データを外に出さない構成を先に検討するほうが早いことが多いと私は感じています。私たちがZEROCKで国内リージョンでの構成にこだわっているのも、同意文言を磨く前にやれることが残っているという実感からです。

基準適合体制で進む道には、渡したあとの宿題が付いてきます

同意を取りに行くのが現実的でない場面もあります。そこで基準適合体制が選ばれるわけですが、この道は入口が軽いぶん、出口が長くなります。28条3項が、基準適合体制を根拠に提供した場合には、相当措置の継続的な実施を確保するために必要な措置を講じ、本人の求めに応じてその措置に関する情報を提供しなければならないと定めているからです⁴。

必要な措置の中身は施行規則18条1項が2つ書いています¹⁸。ひとつは、提供先による相当措置の実施状況と、その実施に影響を及ぼすおそれのある当該外国の制度の有無および内容を、適切かつ合理的な方法により定期的に確認すること。もうひとつは、相当措置の実施に支障が生じたときは必要かつ適切な措置を講じ、継続的な実施の確保が困難となったときは当該第三者への提供を停止することです。相手国の制度を定期的に見ておけ、というのが法令上の要求だという点は、意外と知られていないように思います。

本人から求めがあったときに出す情報は、規則18条3項が7項目を列挙しています¹⁸。体制の整備の方法、相当措置の概要、確認の頻度および方法、当該外国の名称、相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無および概要、支障の有無および概要、その支障に関して講ずる措置の概要です。遅滞なく提供するのが原則で、情報提供により業務の適正な実施に著しい支障を及ぼすおそれがある場合は全部または一部を提供しないことができますが、その場合は遅滞なくその旨を通知し（4項）、理由を説明するよう努める（5項）ことになります。

ここで、ガイドラインが置いている但し書きが効いてきます。28条3項は、基準適合体制を根拠として提供した場合に提供元が継続的に適正な取扱いを確保する責務を明確化したものだと説明した上で、こう書かれています。制度趣旨に鑑み、本人の同意を根拠として外国にある第三者に個人データを提供した場合には、当該第三者が基準適合体制を整備していると認められる場合であっても、28条3項に基づく措置等は求められない¹⁹。

つまり2つの道は、負担の置き場所が違うだけなのです。同意で通したなら、28条3項の宿題は付いてきません。 入口で本人に説明しきる代わりに、あとの定期確認と7項目の開示準備からは解放されます。逆に基準適合体制なら入口は契約で済みますが、そのかわり相手国の制度を見続ける運用が始まります。どちらが軽いかを決めるのは、提供の頻度と本人との接点の有無でしょう。年に一度の同意取得で足りる事業なら前者、本人と直接の接点がないB2Bの裏側なら後者、というのが私の感覚です。

28条を外れても、外れないものがあります

最後に、いちばん見落とされている論点を書きます。Q7-53とQ12-3のクラウド例外に乗れたとして、それで終わりではありません。Q10-25が、そこを正面から押さえています²⁰。

外国にある第三者の提供するクラウドサービスを利用し、提供事業者が個人データを取り扱わないこととなっている場合、第三者への提供には該当しません。ここまでは同じです。しかしその先に、こう続きます。この場合、個人情報取扱事業者は外国において個人データを取り扱うこととなるため、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。そして、次の一文が付いています。日本国内に所在するサーバに個人データが保存される場合においても同様です。

Q10-25はもう一歩踏み込みます。法32条1項4号および施行令10条1号の「保有個人データの安全管理のために講じた措置」として、クラウドサービス提供事業者が所在する外国の名称と、個人データが保存されるサーバが所在する外国の名称を明らかにし、その外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要がある、としています。サーバの所在国を特定できない場合の代替も用意されていて、国名に代えて、特定できない旨とその理由、および本人に参考となるべき情報を置くことになります。Q12-3も同じ文脈で、法23条の安全管理措置と法32条1項4号の公表が残る点に留意が必要だと書き添えていました¹¹。

これが実務でいちばん効きます。28条の同意を回避できたとしても、外的環境の把握と公表は残ります。国内サーバなら免れる、という話でもありません。プライバシーポリシーを一度も更新しないままクラウド例外を主張している会社は、実は別のところで穴が開いている可能性があります。どのモデルがどのリージョンで動くのかという前提条件については、国内リージョンでLLMを動かすにまとめました。

手をつける順番は、私はこう考えています。まず契約書を開いて、提供先が個人データを取り扱うこととなっているかを確認します。次が、相手の法人格と日本国内での取扱いの実態です。ここで提供に当たらないと整理できたなら、直しにいく先は同意文言ではなく、プライバシーポリシーの外的環境の把握の記載でしょう。提供に当たるなら、同意と基準適合体制のどちらが自社の運用に合うかを、入口の負担と出口の負担で比べてみてください。順番を逆にすると、いちばん重い同意設計から着手して、いちばん漏れやすい公表を最後まで放置することになります。

なお、この記事は法令とガイドライン、Q&Aの原文を読んだ整理であって、法律相談ではありません。当てはめの部分には私の解釈が含まれています。個別の事案についての最終的な判断は、自社の法務部門や顧問弁護士とともに行ってください。

エンタープライズ向けのAI基盤で、どこまでを国内で閉じ、どこから先を外に出すのかという設計はZEROCKで取り組んでいます。自社の構成を条文に照らして棚卸ししたい方は、個別相談からお声がけください。

Footnotes

1. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について（令和5年6月2日）」。本文中に記した「第28条」「外国にある第三者」「越境」という語が同文書に出現しないことは、2026年9月6日時点の公表資料を確認した結果による。 https://www.ppc.go.jp/news/press/2023/230602kouhou/ ↩ ↩²

2. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」平成28年11月（令和7年12月一部改正）。本記事が参照するのはこの現行版であり、旧版ではない。 https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/ ／ PDF https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩

3. 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」平成29年2月16日（令和7年7月1日更新）。2026年9月6日時点でこの版が最新である。 https://www.ppc.go.jp/files/pdf/250701_APPI_QA.pdf ↩

4. 個人情報の保護に関する法律（平成15年法律第57号）第28条第1項から第3項。条文はe-Gov法令検索の法令データによる。 https://laws.e-gov.go.jp/law/415AC0000000057 ↩ ↩² ↩³

5. 前掲ガイドライン（外国にある第三者への提供編）2（総論）。同等水準国は法28条1項の「外国」に該当せず、基準適合体制整備者は同項の「第三者」に該当しないこと、およびこれらの場合でも法27条の規定による（ア）本人の同意、（イ）法27条1項各号に掲げる場合、（ウ）オプトアウト、（エ）委託・事業承継・共同利用のいずれかの方法による必要があることは、同章の記載による。 https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩ ↩²

6. 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）新旧対照表」（2026年7月17日公布）。第28条第1項の内部参照文言が改められること、第2項および第3項は「２・３ （略）」とされ改正されないこと、附則第一条により公布の日から起算して2年を超えない範囲内で政令が定める日から施行されることは、同対照表による。2026年9月6日時点で施行日を定める政令は確認できない。 https://www.ppc.go.jp/files/pdf/260717_sinkyutaisyohyo.pdf ↩

7. 前掲ガイドライン（外国にある第三者への提供編）3。同等水準の制度を有している外国としてEUおよび英国が該当すること、ここでいうEUは「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」（平成31年個人情報保護委員会告示第1号）に定める国を指し英国を含まないこと、指定の経緯は同章の記載による。 https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩

8. 個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号）第16条。 https://laws.e-gov.go.jp/law/428M60020000003 ↩

9. 前掲ガイドライン（外国にある第三者への提供編）4（柱書）、4-1および4-3。事前の届出等を要しない旨は同章柱書の記載であり、施行規則16条の条文には定めがない。 https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩ ↩² ↩³

10. 前掲Q&A Ｑ7-53・Ａ7-53。判断の基準、取り扱わないこととなっている場合に本人の同意および法25条に基づく監督が不要であること、契約条項とアクセス制御に関する記述は同答による。法28条との関係についてはＱ12-3を参照すべき旨も同答に明記されている。 https://www.ppc.go.jp/all_faq_index/faq1-q7-53/ ／ PDF https://www.ppc.go.jp/files/pdf/250701_APPI_QA.pdf ↩

11. 前掲Q&A Ｑ12-3・Ａ12-3（令和3年9月更新）。自ら外国に設置し管理・運営するサーバへの保存が非該当であること、外国事業者が取り扱わないこととなっている場合が非該当であること、法23条の安全管理措置と法32条1項4号・施行令10条1号の公表に留意が必要であることは同答による。 https://www.ppc.go.jp/files/pdf/250701_APPI_QA.pdf ↩ ↩²

12. 前掲Q&A Ｑ12-4・Ａ12-4（令和3年9月更新）。原則とただし書きの双方が同答に記載されている。 https://www.ppc.go.jp/files/pdf/250701_APPI_QA.pdf ↩

13. 前掲ガイドライン（外国にある第三者への提供編）2-2。法人格による判断、現地子会社と同一法人格内の事業所・支店の区別、日本国内で個人情報データベース等を事業の用に供していると認められる外国法人の非該当は、同節の記載による。 https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩

14. 前掲Q&A Ｑ12-5・Ａ12-5（令和3年9月更新）。 https://www.ppc.go.jp/files/pdf/250701_APPI_QA.pdf ↩

15. 前掲施行規則第17条第1項から第4項。提供方法、提供すべき3事項、外国が特定できない場合の代替、提供先の措置に関する情報を提供できない場合の代替は、それぞれ同条各項による。 https://laws.e-gov.go.jp/law/428M60020000003 ↩ ↩²

16. 前掲ガイドライン（外国にある第三者への提供編）5-2。本質的な差異を本人が合理的に認識できる情報である必要があること、（ア）から（エ）の4観点、（エ）の2事例、提供先に適用されない制度は含まれない旨は同節本文の記載による。州等の名称に関する記述は同節(1)の脚注（※2）であり、本文ではない。 https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩ ↩²

17. 前掲ガイドライン（外国にある第三者への提供編）5-3-1および5-3-2。治験における承認申請先未確定の事例と、再保険における再保険会社未確定の事例は、同各節の【事例】による。 https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩

18. 前掲施行規則第18条第1項、第3項から第5項。定期的な確認と提供停止の2措置、本人の求めに応じて提供する7事項、著しい支障がある場合の不提供と通知・理由説明は、それぞれ同条各項による。 https://laws.e-gov.go.jp/law/428M60020000003 ↩ ↩²

19. 前掲ガイドライン（外国にある第三者への提供編）6。法28条3項の制度趣旨と、本人の同意を根拠として提供した場合には同項に基づく措置等が求められない旨は、同章の記載による。 https://www.ppc.go.jp/files/pdf/251212_guidelines02.pdf ↩

20. 前掲Q&A Ｑ10-25・Ａ10-25（令和3年9月追加）。外国の制度等を把握した上で安全管理措置を講じる必要があること、日本国内に所在するサーバの場合も同様であること、提供事業者所在国名およびサーバ所在国名を明らかにして本人の知り得る状態に置く必要があること、サーバ所在国を特定できない場合の代替は、同答による。 https://www.ppc.go.jp/files/pdf/250701_APPI_QA.pdf ↩