外国にある第三者への個人データの提供に関する本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合、具体的にどのような点に留意する必要があるか。
個人情報取扱事業者は、外国にある第三者への個人データの提供に関する本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合、本人に以下の情報を提供した上で、本人から当該第三者への個人データの提供を認める旨の同意を得る必要があります（個人情報保護法第28条第１項及び第２項並びに個人情報保護法施行規則第17条第３項）。
これまで取扱いがなかった商品・サービス等の提供を開始する場合のほか、例えば、国内外の事業を買収することや業務提携等により、新たな商品・サービスの取扱いが発生する場合、直面するリスクが変化することから、営業部門と管理部門とが連携して、事前にマネロン・テロ資金供与リスクを分析・検証することが求められます。これまで取扱いがなかった商品・サービス等の提供を開始する場合として、例えば、金融機関等が顧客に対して法人口座に紐づく入金専用の仮想口座（バーチャル口座）等を提供することを検討している場合に、仮想口座を利用する事業者等の利用目的等を踏まえ、マネロン・テロ資金供与リスクを検証することが考えられます。なお、顧客が仮想口座を介して実質的に第三者の資金を移転させるような場合には、当該利用状況を踏まえたリスク低減措置を講ずることが必要となるものと考えます。また、他業態の事業者と提携して新たな商品・サービスを提供する場合に、例えば、当該他業態の事業者の取引時確認の結果に依拠する場合には、当該他の事業者のマネロン・テロ資金供与リスク管理態勢の有効性を確認することが必要となるものと考えます。さらに、提携先等これらの実質的支配者を含む必要な関係者を確認し、反社会的勢力でないか、あるいは制裁対象者でないかといったことを検証することが必要となるものと考えます。このほか、提携先等がどのようなマネロン・テロ資金供与リスクに直面し、その提携等している業務のリスクに対して、どのようなマネロン・テロ資金供与リスク管理を行っているかを把握し、リスクに応じて継続的にモニタリングすることが考えられます。また、新たな商品・サービス等の提供後に、当該商品・サービス等の内容の変更等により、事前に分析・検証したものと異なるリスクを検知した場合には、リスクの見直しを行った上で、見直し後のリスクを低減させるための措置を講ずる必要があります。当然ながら、提携先等と連携して提供する業務が特定業務（犯収法別表及び同法施行令第６条）に該当する場合には、特定業務に係る取引を行った場合の取引記録等の作成・保存、疑わしい取引の届出を行う義務があり、加えて、取引記録等の保存、疑わしい取引の届出の措置を的確に実施するための態勢整備を行う必要があります（犯収法第 11 条、同法施行規則第 32 条第１項各号参照。）。
本件のような場合は、「合併その他の事由による事業の承継に伴って個人データが提供される場合」（個人情報保護法第２３条第５項第２号） であり、承継先の医療機関は第三者に該当しないので、患者の同意がなくても提供可能です。
私立学校、自治会・町内会、同窓会、PTA 等は本人に対し利用目的を明示した上で、個人情報を取得し、名簿を作成することが可能です。名簿を配布するなど、本人以外の者に個人データを提供する場合には、原則として、本人の同意を得る必要があります。
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人情報を当初の利用目的の達成に必要な範囲を超えて取り扱うことが許容されています（法第18 条第３項第３号）。
健保組合は、指導員（第三者）に個人データを提供する場合には、原則として、あらかじめ本人の同意を得る必要があります。
輸出入取引等に係る資金の融通及び信用の供与等に係るリスクの特定・評価については、取引に関係する国・地域に対するリスクだけでなく、取引全体に対するリスクを勘案するように求めています。「商品」については、軍事転用可能なものでないかなどについて確認することになると考えます。「輸送経路」については、例えば、制裁対象国の瀬取りに利用されることがないかといった観点等から、必要な事項を考慮していただく必要があると考えますが、少なくとも、出港地、寄港地、中継地は確認していただく必要があるものと考えます。また、輸送経路を確認する中で、制裁対象国の付近を通過する場合には、制裁対象国が関与する取引でないかという観点から、制裁内容を確認し、制裁対象国・地域を通過していないかなどについても確認する必要がある場合もあり得るものと考えます。なお、取引先が貿易仲介業者等を利用している場合には、当該業者等を通じて、真の輸出者を確認するなど、必要な対応を実施することが考えられます。「利用する船舶等」については、船舶が制裁対象に該当しないか、船舶の所有者、オペレーターが制裁対象者に該当しないかといった観点から必要な事項を考慮する必要があるものと考えます。「取引関係者」については、輸出入取引に係る資金の融通及び信用の供与等のリスクの特定及び評価に必要な関係者について考慮していただく必要があるものと考えます。その関係者に実質的支配者が存在する場合には、当該実質的支配者についても考慮する必要があるものと考えます。もっとも、いわゆる KYCC という、顧客の顧客に対してまで金融機関等が本人確認手続や顧客リスク評価等を行うことを求めるものではありません。
健保組合は、業者（第三者）に個人データを提供する場合には、原則としてあらかじめ本人の同意を得る必要があります。
同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第 32 条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定した場合には、本人が特定した範囲で開示をすれば足ります。