外国にある第三者に個人データを提供する際、基準適合体制を整備していること根拠として当該第三者に個人データを提供する場合、具体的にどのような点に留意する必要があるのか。
金融分野における個人情報取扱事業者は、基準適合体制を整備していることを根拠として外国にある第三者に個人データを提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容、当該外国の制度が存在する場合においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認する必要があります。
従業員から電子データによる提供を受ける場合には、「電磁的方法により提供する者の氏名を明らかにするために必要な措置」を講ずる必要があります（〔問２－９〕参照）。具体的には、作成した年末調整申告書データに、作成者（従業員）の電子署名を付す又はパスワードを設定して提出することとなります。
統計データ（例えば血糖値が基準値を超える人の○％が 60 歳到達時に生活習慣病に罹患する等の情報）について、特定の個人との対応関係が排斥されている限りにおいては、個人情報に該当しないため、当該統計データを事業者に提供するに当たって、本人の同意を得る必要はありません。ただし、統計データについて、特定の個人との対応関係が排斥されていない場合には、原則として、当該統計データを事業者に提供するに当たっては、本人の同意を得る必要があります。
オプトアウト届出を行っている個人情報取扱事業者が内部で独自に生成した個人データについては、「第三者に提供される個人データの取得の方法」として記載する必要はありませんが、当該個人データを第三者に提供している場合には、「第三者に提供される個人データの項目」（法第27条第２項第３号）等に記載する必要があります。（令和３年９月追加）
金融機関が本人同意を得て「個人データ」を第三者に提供した後、提供先の第三者において当該「個人データ」が漏えい等したとしても、提供元の金融機関は漏えい等報告の義務を負いません。
健保組合は専門業者に特定保健指導を委託するところ、健保組合が、その利用目的の達成に必要な範囲内において個人データの取扱いを専門業者に委託することに伴って当該個人データを提供する場合には、当該提供先である専門業者は「第三者」に当たらないため、健診結果の提供に当たり、本人の同意を得る必要はありません（法第 27 条第５項第１号）。
「要配慮個人情報」とは、不当な差別や偏見その他不利益が生じないようにその取扱いに特に配慮を要するものとして法律、政令及び規則で定める記述が含まれる個人情報をいいます。要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第２３条第２項の規定による第三者提供（オプトアウトによる第三者提供）は認められておりません。
個別の事例ごとに判断することになりますが、外部事業者のみがアンケート調査に係る個人データを取り扱っており、調査を依頼した事業者が一切個人データの取扱いに関与しない場は、通常、当該個人データに関しては取扱いの委託をしていないと解されます。この場合、当該外部事業者は委託を受けることなく自ら個人データを取り
扱う主体となり、例えば、本人から保有個人データの開示等の請求があった場合には、これに対応する必要があります。
他の医療機関等への情報の提供のうち、患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として院内掲示等により明示されている場合は、原則として黙示による同意が得られているものと考えられます。なお、傷病の内容によっては、患者の傷病の回復等を目的とした場合であっても、個人データを第三者提供する場合は、あらかじめ本人の明確な同意を得るよう求められる場合も考えられ、その場合、医療機関等は、本人の意思に応じた対応を行う必要があります。（参照：ガイダンスｐ３ ４）