個人情報の収集：日本国外での収集行為に適用されるか

当社は米国法人ですが、米国で運営しているサーバーで日本人向けのホームページを作成し、日本人から個人情報を収集しています。当社は関連会社に日本法人があるのですが、米国法人から日本法人に、収集した個人情報を提供する場合があります。このような行為は個人情報保護法に抵触しますか。

現在は、法人やサーバーが国外にあるというだけで日本の個人情報保護法の対象外にはなりません。171条は、国内にある者への物品・役務の提供に関連して、その者の個人情報等を外国で扱う場合にも法律を適用します。本人の国籍ではなく、国内にある者への提供に関連する取扱いかが重要です。

この適用範囲に入る米国法人では、利用目的、取得、安全管理、第三者提供等の関連する義務を確認します。米国法人と日本法人は別法人ですので、同じ企業グループというだけで両社間の提供が社内共有になるものではありません。個人データを提供する場合は27条の同意・例外等の根拠を確認します。

受領する日本法人も、個人データの第三者受領について取得経緯等の確認・記録の義務（30条）、適正取得（20条）、利用目的等の義務を確認します。日本法人から米国法人へ提供する場合は、外国にある第三者への提供に関する28条も別途検討します。国外法人を介すれば日本法を回避できるという構成は採れません。