個人情報取扱事業者が、国内にある委託先に個人データの取扱いを委託した後、委託先が外国にある再委託先に対して、当該再委託先が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、法第28条第３項の義務が課される主体は誰ですか。
個別の事案ごとに判断されますが、委託元の個人情報取扱事業者が国内にある事業者である委託先に対して法第27条第５項第１号に基づき個人データの取扱いを委託し、当該委託先が委託に伴って取得した当該個人データを、外国にある事業者に対して再委託に伴って再提供した場合において、委託先である国内にある事業者と再委託先である外国にある事業者との間の契約等により、施行規則第16条第１号の基準を満たすための「法第４章第２節の規定の趣旨に沿った措置」の実施が確保されている場合には、法第28条第３項の義務は、委託先に課されると考えられます。
個人関連情報の第三者提供について、法第27条第５項各号に相当する例外規定はありません。法第31条第１項の適用の有無については、提供先の第三者が個人関連情報を個人データとして取得することが想定されるかどうかによって判断することとなります。
個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。
法行政機関の長等は、法第 70 条に規定する場合において必要があると認めるときは、保有個人情報の提供先に対して、個人情報の適切な管理のために必要な措置を講ずることを求めることができるところ、当該措置の一環として、提供先に対して訂正に応ずべき旨を求めることも考えられます。もっとも、地方公共団体の内部管理に関する事項として提供先に対して必要な措置を講じる旨を法施行条例で規定することは妨げられませんが、提供先に対して訂正義務を課すなど、当該団体の内部管理にとどまらない事項については、法施行条例で規定することはできません。（令和 4 年 4 月更新）
個人情報取扱事業者は、第三者提供記録の開示請求を受けたときは、「遅滞なく」これを開示する必要があります（法第33条第５項において準用する同条第１項・第２項）。
個別の事例ごとに判断することになりますが、外部事業者のみがアンケート調査に係る個人データを取り扱っており、調査を依頼した事業者が一切個人データの取扱いに関与しない場は、通常、当該個人データに関しては取扱いの委託をしていないと解されます。この場合、当該外部事業者は委託を受けることなく自ら個人データを取り
扱う主体となり、例えば、本人から保有個人データの開示等の請求があった場合には、これに対応する必要があります。
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人情報を当初の利用目的の達成に必要な範囲を超えて取り扱うことが許容されています（法第 16 条第３項第３号）。
個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（個人情報保護法第４０条第１項）、指導及び助言（同法第４１条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（同法第４２条第１ 項）、命令（同法第４２条第２項又は第３項）、を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（同法第４２条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（同法第４ ０条第１項）に対して報告をせず、又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して罰則が科せられることになっています（同法第８４条・第８５条）。
外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合には、個人データの第三者への「提供」には該当しませんが、個人情報取扱事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ７－53、Ｑ７－54、Ｑ12－３参照）。