外国にある第三者に対して、提供元において氏名を削除するなどして個人を特定できないようにして当該提供先にとっては個人情報に該当しないデータの取扱いを委託し、当該提供先が個人情報に復元することがないような場合においても、法第28条第１項により、あらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。
提供先の外国にある第三者にとって個人情報に該当しないデータの取扱いを委託する場合において、委託契約において当該提供先が元となった個人情報を復元しないことが定められている等、当該提供先が元となった個人情報に係る本人を識別しないこととなっているときは、結果として、施行規則第16条で定める基準に適合する体制を整備しているものと解されます。
法第 36 条第４項及び第 37 条における第三者提供時の公表に関しては、提供先名及び利用目的の公表は求められていません。
本件のような場合は、「合併その他の事由による事業の承継に伴って個人データが提供される場合」（個人情報保護法第２３条第５項第２号） であり、承継先の医療機関は第三者に該当しないので、患者の同意がなくても提供可能です。
紹介元医療機関に対する患者への医療の提供のために必要な情報提供は、「他の医療機関等との連携を図ること」に該当し、本ガイダンス３４ページに示す院内掲示を行っている場合には、本人の黙示による同意が得られているものと考えます（当該内容の利用目的を院内掲示していない場合には本人の同意を得ることが必要です）。
「必要な期間」は、個人情報取扱事業者が法第 27 条第２項に基づき、本人に通知し、又は本人が容易に知り得る状態に置いた時点から起算します。また、この「必要な期間」の満了点は、オプトアウトによる第三者提供を行う前である必要があります。
本人が第三者に特定個人情報を詐取されており、個人番号利用事務等実施者から第三者に特定個人情報が漏えいしていないことから、当該個人番号利用事務等実施者による報告対象にならないと考えられます。
個人情報保護法第 27 条第２項において、個人データを構成する要配慮個人情報については、オプトアウト手続によって第三者提供することができないとされています。
個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（個人情報保護法第４０条第１項）、指導及び助言（同法第４１条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（同法第４２条第１ 項）、命令（同法第４２条第２項又は第３項）、を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（同法第４２条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（同法第４ ０条第１項）に対して報告をせず、又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して罰則が科せられることになっています（同法第８４条・第８５条）。
外国政府により、本人を被疑者又は被告人として刑事手続が行われた事実は、施行令第２条第４号に該当し、要配慮個人情報に該当します。