提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供しました。法第28条第３項に基づいて当該第三者による相当措置の実施状況等を確認する等の義務は、いつまで履行する必要がありますか。当該第三者との契約が解除された場合はどうですか。
提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、提供元の個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、提供元の個人情報取扱事業者と当該第三者との間の契約等が解除された場合でも、免除されるものではありません。（令和３年９月追加）
法第 29 条により、第三者提供に係る記録が義務付けられており、「本人同意、第三者氏名等、本人氏名等」のデータ項目を原則３年間保存することとなります。ただし、以下の場合においては同義務を適用されないことに留意が必要です。
健保組合が、レセプトに記載された被保険者の医療情報について、事業所の職員に対し照会を行う場合は、個人データの第三者提供に該当するため、原則として、本人の同意が必要となります（法第 27 条第１項）。
提供元の個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定される場合、「本人」各自から、法第31条第１項第１号の同意を得ていること（同意の取得方法を含む。）を、提供前にあらかじめ確認する必要がありますが、必ずしも「本人」ごとに個別に確認する必要はなく、複数の「本人」につき一括して確認することも可能です。
個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。
（１）取引先との契約で定めがある場合


契約上、著作者が自分のホームページやＳＮＳで実績紹介として利用してよいという内容の取り決めがある場合は、問題ありません。



（２）取引先との契約で定めがない場合


作品（成果物）の著作権が著作者に留保されている場合には、著作権法上は実績として紹介することに問題はありません。もっとも、取引先との契約上、契約の存在自体を秘密保持の対象としていることもありますので、秘密保持義務に違反しないよう注意することは必要です。
著作権が取引先に譲渡されている場合に、実績として掲載することは、著作権のうち複製権や公衆送信権の範囲の行為となりますので、原則として取引先の同意が必要になります。
取引先との契約で明確な定めがない場合でも、取引先が個別に実績として紹介することに同意しているのであれば、問題ありません。そのため、まずは実績として紹介することに問題がないか取引先に問い合わせて確認することが考えられます。
著作権法上の「引用」（著作権法３２条）に該当するときは、作品（成果物）の全部又は一部をホームページやＳＮＳに掲載して実績として紹介し得る可能性があります。詳細は、文化庁「著作物が自由に使える場合」もご参照ください。
https://www.bunka.go.jp/seisaku/chosakuken/seidokaisetsu/gaiyo/chosakubutsu_jiyu.html
「引用」に該当するには、出典明記のほか（同４８条）、公表された著作物であること、及び公正な慣行に合致し、目的上正当な範囲内で利用することが必要とされています。どのような場合に公正な慣行に合致し、目的上正当な範囲内と言えるかは諸説ありますが、主に「明瞭な区別性」（引用する著作物とそれ以外とが明確に区分されていること）と「主従関係」（引用する側とされる側の双方が、質的量的に主従の関係であること）の有無が検討されています。もっとも、その後の裁判例では、「利用の目的のほか、その方法や態様、利用される著作物の種類や性質、著作権者に及ぼす影響の有無・程度などが総合考慮」という見解を示すものも存在します。
「自らの営業地域の地理的特性」については、当該地域の地理的な要素の特性を意味しています。例えば、自らの営業地域が、貿易が盛んな地域に所在するといった場合や、反社会的勢力による活発な活動が認められる場合、反社会的勢力の本拠が所在している場合に、当該地域のリスクに関する独自の特性を考慮する必要があると考えます。実際に地理的特性を考慮してリスクを検証する際には、例えば、貿易が盛んな地域に自らの営業地域が存在している場合、貿易や水産物等を取り扱うなどの取引先が多いと考えられますので、顧客の取扱商品や輸出・輸入先の把握を通じた経済制裁等への対応等、地域的特性から精緻に検証し、リスク項目を洗い出すことが必要になるものと考えます。「事業環境」については、マネロン・テロ資金供与に関する規制の状況、競合他社のマネロン・テロ資金供与対策の動向等、自らの事業に関する要素を考慮した上で、リスクを検証する必要があると考えます。例えば、競合他社が参入する場合（基本的には、自らの競合他社が参入する場合）には、新たな競合他社の参入により、競争の激化やサービスの変化、取引量の増減等によるマネロン・テロ資金供与の固有リスクが変化する可能性があります。したがって、例えば、新たな競合他社の参入により市場全体のマネロン・テロ資金供与に関するリスクが影響を受ける場合には、新たに検証すべきリスク項目がないかについて、年に１回程度予定されている定期的なリスク評価書の改訂を待つのではなく、可能な限り早い段階で洗い出す必要があると考えます。なお、顧客が海外との取引を行っている場合、その相手先の国・地域のマネロン・テロ資金供与リスクも踏まえた顧客リスク評価を行うことが求められています。「経営戦略」については、収益の倍増、新規顧客の獲得強化、海外の金融機関の買収等様々なものが考えられますが、自らが経営戦略上の重点分野として設定した事項について、当該経営戦略を推し進めた場合に、どのような形で自らの提供する商品・サービス等がマネロン・テロ資金供与に利用され得るかといったことを検証する必要があると考えます。
外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となり、法第23条（安全管理措置）や法第26条（漏えい等の報告等）も適用されます（法第171条）。
照会事項に係る事実関係を前提とする限り、貴見のとおり解して差し支えありません。
【関係法令通達】 法人税法第22条第3項消費税法第2条第1項第8号、4条第1項、6条第1項、30条第2項第1号、消費税法別表第二第3号特定住宅瑕疵担保責任の履行の確保等に関する法律