個人データの越境移転

個人データを国外の第三者に提供すること。個人情報保護法やGDPRでは、十分な保護水準を確保できる場合に限り認められる。監査ではデータの移転先の保護水準と適法性を検証する。

個人データを国外にいる第三者へ提供すること。日本の個人情報保護法では、外国にある第三者への提供には原則として本人の同意が必要で、同意を得る際には移転先の国の名称や個人情報保護の制度などを本人に情報提供しなければならない。日本と同等の水準と認められた国（EU・英国）への移転や、基準に適合する体制を整備した相手への移転は例外となる。

個人情報保護法で定める、個人情報を含む情報の集合物で、特定の個人情報をコンピュータで検索できるように体系的に構成したもの。紙の名簿やカルテでも、五十音順に並べて索引を付けるなど、容易に検索できるように整理したものは含まれる。個人情報データベース等を事業に使う者が個人情報取扱事業者となり、それを構成する個人情報を個人データと呼ぶ。

個人情報保護委員会が、個人情報保護法の解釈や事業者が講ずべき措置を具体的に示した指針。通則編のほか、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編などに分かれる。安全管理措置の具体例や、漏えい等が起きた場合に報告が必要となる要件なども示しており、事業者の実務の拠り所となる。

個人情報取扱事業者が、取り扱う個人データの漏えい、滅失、毀損を防ぐために講じなければならない措置。個人情報保護委員会のガイドラインは、基本方針の策定や規律の整備に加え、組織的・人的・物理的・技術的の4つの観点の安全管理措置と、外国で個人データを取り扱う場合の外的環境の把握を示している。従業者や委託先の監督も求められる。

EUの個人データ保護に関する規則で、2018年5月に適用が始まった。EU域内の個人のデータを扱う事業者は、EU域外の事業者であっても対象となる（域外適用）。忘れられる権利（消去権）やデータポータビリティの権利などの本人の権利、72時間以内の監督機関への漏えいの通知、十分な保護の水準が確保されていない国への個人データの移転の制限などを定め、違反には高額な制裁金が科される。

自分に関する個人データの消去を、その管理者に求めることができる権利。GDPR第17条に消去権として定められ、データが収集の目的に照らして不要になった場合や、本人が同意を撤回した場合などに請求できる。2014年のEU司法裁判所の判決で、検索エンジンに自分に関する検索結果の削除を求める権利として注目されたが、表現の自由や公共の利益との調整が必要となる。

GDPRに基づき、欧州委員会が、EU域外の国や地域の個人データ保護の水準がEUと同等に十分であると認める決定。十分性認定を受けた国へは、標準契約条項（SCC）などの追加の手続なしにEUから個人データを移転できる。日本は2019年1月に、EUとの間で互いに十分性を認め合った。