TMI総合法律事務所では、「令和8年改正個人情報保護法研究」と題し、改正法に関するブログ記事を連載しています。本連載の記事一覧については、下記のページをご覧ください。

令和8年改正個人情報保護法研究
https://www.tmi.gr.jp/eyes/blog/2026/18287.html

《第2回》統計作成等の特例

今回は、改正の四つの柱のうち、「適正なデータ利活用の推進」に含まれる統計作成等の特例を解説します。改正法案全体の概要については、「《第1回》改正法案の概要と実務上の着眼点 」をご覧ください。

第1．改正の背景と意義

現行法においては、既に保有している個人情報をもとに統計情報を作成したり、学習済みパラメータを生成の上、AI開発に利用したりすることには、必ずしも本人の同意を要しません（「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（以下「個情委Q&A」といいます。）1-7 、1-8 、2-5 ）。

しかし、統計情報の作成やAI開発のために、要配慮個人情報を取得したり、第三者から個人データの提供を受けたりする場合には、原則として本人同意が必要です（現行法20条2項、27条1項）。また、第三者から個人情報の提供を受ける場合に、そのような提供行為が当該第三者における個人情報の利用目的の範囲外であれば、原則として本人同意が必要です（現行法18条1項）。さらに、第三者から個人関連情報の提供を受けようとする場合において、当該個人関連情報を個人データとして取得することが想定される場合にも、原則として本人同意が必要です（現行法31条1項）。

このように、統計情報の作成やAI開発のための個人情報や個人関連情報の収集には一定のハードルが存在します。

そこで、改正法案では、「統計作成等」を目的とした、①現に公開されている要配慮個人情報の取得について、一定の条件のもと、本人の同意を不要とする特例及び②個人情報・個人関連情報の提供について、一定の条件のもと、本人の同意を不要とする特例（以下、①の特例を「本取得特例」、②の特例を「本提供特例」といい、総称して「本特例」といいます。）を設けることとしています。

本特例が活用されることにより、事業者による統計情報の作成やAI開発のための情報収集が容易になるほか、大量の個人情報を保有する事業者がAI開発ベンダにデータを販売するなどの新たなビジネスの拡大につながる可能性があります。

第2．法律案の概要・検討

1. 「統計作成等」の定義 

(1)　概要

改正法案は、「統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く。）を作成する行為」（要件A）のうち、「個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの」（要件B）を「統計作成等」と定義しています（改正案2条13項）。

(2)　検討

ア　要件Aについて
「統計の作成」に関して、個人情報保護委員会は、統計情報は「複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するもの」であり、「特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではない」と説明しています（「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編） 」3-1-1）。このような統計情報を作成する行為は、要件Aを満たすこととなります。

もっとも、「統計の作成」は例示に過ぎず、統計作成以外の行為であっても、①大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、②当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く。）を作成する行為であれば、要件Aを満たすこととなります。

例えば、AI開発に際して行われるAIモデルの学習は、膨大なデータを用いてモデル内部のパラメータ（重み）を調整することによって行われますので、要件Aを満たす場合が多いと思われます。個人情報保護委員会事務局が公表した「個人情報保護法等の一部を改正する法律案について（令和8年4月） 」においても、本特例の対象にAI開発等が含まれ得ることが示されています。

解析の結果として「当該大量の情報の傾向又は性質に係る情報」を作成する行為である必要があるため、例えば、大量の情報の一部を抽出して新たなデータベースを作成する行為は対象になりません。また、「（個人に関する情報であるものを除く。）」とされていますので、解析の結果が個人に関する情報となる場合には、本特例の対象となりません。

「大量の情報」という要件については、情報の「量」がどのような基準で判断され、どの程度の量の情報が必要なのかといった点について、ガイドライン等による解釈の明確化が望まれます。なお、要件としては、「大量の情報」であることが要求されているのみであり、「大量の個人」の情報であることは要求されていません。このため、大量の情報の中に少人数の個人情報が含まれるデータベースを対象に解析を行う行為も、本特例の対象に含まれます。また、特定の個人に関する「大量の情報」（例えば、当該個人の長期間にわたる行動履歴など）だけを解析することも、条文上は、上記①の要件を満たすものと解されます。もっとも、特定の個人に関する「大量の情報」の解析を行った結果が当該個人に関する情報となる場合には、上記②の要件を満たさないため、本特例を利用できません。

イ　要件Bについて
要件Bについては、本特例の対象行為を定める個人情報保護委員会規則が、対象行為を限定的かつ個別的に列挙する規定となるのか、あるいは、「個人の権利利益を害するおそれ」がある行為を例外的にカーブアウトするような規定となるのかによって、本特例の対象範囲が大きく異なる可能性があります。解析結果が、「個人に関する情報」には該当せずとも、少人数の個人の傾向に関する情報となる場合などは、要件Bにおいて本特例の対象から除外される可能性があります。

2. 要配慮個人情報の取得規制に係る統計作成等の特例 （本取得特例）

(1)　概要

①統計作成等を行う目的又は本提供特例に基づく提供を行う目的で現に公開されている要配慮個人情報を取り扱う必要がある場合（当該要配慮個人情報を取り扱う目的の全部が統計作成等目的又は本提供特例に基づく提供を行う目的である場合に限ります。）であって、②インターネットの利用等により当該個人情報取扱事業者の氏名又は名称、取得した要配慮個人情報を用いて行おうとする統計作成等の内容又は本提供特例による提供を行う目的で当該要配慮個人情報を取り扱う旨その他個人情報保護委員会規則で定める事項を公表しているときには、本人の同意を得ないで現に公開されている要配慮個人情報を取得することが可能とされました（改正案30条の2第1項）。たとえば、病歴や犯罪歴を含み得るデータを、インターネット上で大規模にスクレイピング及びクローリングする場合が適用場面として考えられます。

本取得特例に基づいて要配慮個人情報を取得した個人情報取扱事業者は、上記②の公表事項を、当該要配慮個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報を取り扱っている期間、継続して公表する必要があります（同条2項）。公表事項を変更するためには、個人情報保護委員会規則で定める方法によりその旨及び変更内容を公表する必要があります（同条3項）。この変更に係る公表は、原則として、変更前にあらかじめ行う必要がありますが、取得者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するときは、事後速やかに公表することで足ります。

本取得特例により取得された要配慮個人情報又はそれを加工若しくは複製した生存する個人に関する情報は、公表内容に従って統計作成等又は本提供特例に基づく提供を行うために必要な範囲で取り扱わなければならず、当該範囲を超えて取り扱うことは禁止されています（同条4項）。但し、例外として、法令に基づく場合及び人命の救助、災害の救援その他非常の事態への対応のため当該各情報を取り扱う緊急の必要がある場合には、当該規制の対象とはなりません。当該規制への違反は、新設された課徴金制度の対象となっています（改正案148条の3第1項4号）。

(2)　検討

ア　「現に公開されている」
本取得特例の対象となる要配慮個人情報は、「現に公開されている」ものに限られます。どの時点で「現に公開されている」必要があるかについては、本取得特例が要配慮個人情報の取得規制に係る特例であることからすると、取得時点で公開されていることを要し、かつ、それで足りるものと解されます。すなわち、過去に公開されていたが、取得時点で既に公開が終了している情報について本取得特例を利用することはできないと考えられます。他方、取得時点では公開されていた情報を本取得特例によって適法に取得した後、統計作成等を行う時点では公開が終了していたとしても、それは取得規制に抵触するわけではなく、適法と解されます。なお、本取得特例の対象は、「当該現に公開されている要配慮個人情報を・・・取得」する行為に限られるため、現に公開されている情報と同内容の要配慮個人情報であったとしても、それを他の非公開の情報源から取得する行為は、本取得特例の対象にはならないと解されます。

イ　「取り扱う必要がある場合」
要配慮個人情報を「取り扱う必要がある場合」という要件については、どの程度の必要性が要求されるのかについて解釈の余地があります。もっとも、学術研究例外においても、「学術研究目的で取り扱う必要があるとき」という同様の文言が使用されていますが（現行法20条2項5号など）、ガイドライン等において「取り扱う必要がある」という要件に着目した議論が行われているわけではないため、本取得特例においても「取り扱う必要がある」という要件は厳格に解されない可能性があります。

ウ　公表
本取得特例の適用を受けるためには、要配慮個人情報の取得時点において、所定の事項を「公表している」必要があります。また、取得後においては、一定の期間、公表を継続する義務が課されています。

取得時の公表については、取得と同時に公表を行うことでも足りるのか、あるいは、「公表している」という用語から、一定の期間、取得に先立って公表を開始していることが求められるのかは明らかではなく、ガイドライン等での明確化が望まれます。

また、公表が必要な事項のうち、「行おうとする統計作成等の内容」については、どの程度の粒度での記載が求められるのか、ガイドライン等での明確化が望まれます。

公表の継続義務については、継続期間が、「・・・生存する個人に関する情報を取り扱っている期間」とされているため、統計情報やAIモデル等の作成後、元データである要配慮個人情報やそれを複製又は加工した生存する個人に関する情報を完全に削除した場合には、公表を継続する必要はありません。なお、保管しているだけでも「取り扱」いに該当するため（個情委Q&A2-3 等）、統計情報等の作成後も元データや複製・加工データを保持し続ける場合には、「取り扱」いが継続しているものとして、公表義務も継続するものと解されます。

3. 第三者提供規制等に係る統計作成等の特例 （本提供特例）

(1)　概要

個人情報取扱事業者及び個人関連情報取扱事業者は、以下の①～③の要件を満たす場合には、現行法の個人情報・個人関連情報の提供に係る規制にかかわらず、本人の同意がなくても、第三者（個人情報取扱事業者又は行政機関の長等である者に限ります。）に対して、個人情報・個人関連情報を提供することができます（改正案30条の2第5項、31条の3第1項）。

①受領者が個人情報・個人関連情報を統計作成等目的で取り扱う必要があること（当該個人情報・個人関連情報を取り扱う目的の全部が統計作成等目的である場合に限ります。）
②提供者・受領者の双方が、インターネットの利用等により提供者・受領者の氏名又は名称、行おうとする統計作成等の内容その他個人情報保護委員会規則で定める事項を公表していること
③提供者・受領者間の書面（電磁的記録を含みます。）による合意により、提供が本提供特例によるものであることが明確に定められていること

但し、外国にある者への提供については、受領者が基準適合体制を整備している場合に限り、本提供特例の対象となります（改正案30条の2第5項柱書）。また、本提供特例により提供された情報を、本提供特例により再提供することはできません（改正案30条の2第5項、31条の3第1項柱書但書）。

受領者は、上記②の公表事項を、提供を受けた個人情報・個人関連情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報を取り扱っている期間、継続して公表する必要があります（改正案30条の2第6項、31条の3第2項）。公表事項を変更するためには、個人情報保護委員会規則で定める方法によりその旨及び変更内容を公表する必要があります。この変更に係る公表は、原則として、変更前にあらかじめ行う必要がありますが、受領者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するときは、事後速やかに公表することで足ります（改正案30条の2第7項、8項、31条の3第3項、4項）。

受領者が、提供を受けた個人情報・個人関連情報又はそれを加工若しくは複製した生存する個人に関する情報を、公表した内容の統計作成等を行うために必要な範囲を超えて取り扱うことは禁止されています（改正案30条の2第9項、31条の3第5項）。但し、例外として、法令に基づく場合及び人命の救助、災害の救援その他非常の事態への対応のため当該各情報を取り扱う緊急の必要がある場合には、当該規制の対象とはなりません。当該規制への違反は、新設された課徴金制度の対象となっています（改正案148条の3第1項4号）。

なお、本提供特例に基づく提供によって受領者が要配慮個人情報を取得することとなる場合に関しては、要配慮個人情報の取得規制の対象から除かれているため、受領者において本人同意を取得する必要もありません（改正法20条2項8号）。

(2)　検討

ア　受領者の属性
上記①の要件において、受領者である「第三者」は「個人情報取扱事業者又は行政機関の長等」に限定されています（改正法30条の2第5項柱書）。そのため、データセット自体の不特定多数への一般公開は、受領者に「個人情報取扱事業者又は行政機関の長等」ではないものが存在し得る以上は、本提供特例の対象にならないと解されます。なお、一般公開については、氏名・名称を特定して公表できないことから、上記②の要件も満たしません。

イ　「取り扱う必要がある場合」
個人情報・個人関連情報を統計作成等目的で「取り扱う必要がある」という必要性の要件については、上記2.で本取得特例に関して述べたとおりです。

ウ　公表
本提供特例の適用を受けるためには、提供時点において、提供者・受領者の双方において、所定の事項を「公表している」必要があります。また、受領者には、提供後も一定の期間公表を継続する義務が課されています。

公表の開始時期や、「行おうとする統計作成等の内容」の記載粒度については、上記2.(2)ウで本取得特例に関して述べた内容が、ここでも妥当します。

それに加えて、本提供特例に係る公表義務は、提供者と受領者の双方での公表となる点について、実務上どのような対応が求められるのかが問題となります。たとえば、公表する「行おうとする統計作成等の内容」は、提供者と受領者とで実質的に同一とする必要がありますが、その記載の粒度や表現等まで揃える必要があるのかといった点は実務上問題になり得ます。また、公表の方法として、受領者において公表事項をウェブサイト上で公表し、提供者は当該ウェブサイトへのリンクを自社のプライバシーポリシーに記載することをもって公表とする対応が可能であれば、実務上の負担軽減につながると思われますが、そのような方法が認められるのか、ガイドライン等での明確化が望まれます。

提供者については、受領者と異なり、条文上、提供後に公表を継続する義務は課されていません。したがって、本提供特例に基づく提供の時点で公表を行っていれば、その後に公表を継続することは求められていないと解されます。

エ　書面合意の内容
「当該第三者との間の書面（電磁的記録を含む。）による合意により、当該提供がこの項本文の規定によるものである旨が明確に定められていること」については、書面にどの程度の内容を記載すれば足りるのかが問題となります。たとえば、「統計作成のために本人同意を得ずに提供する」などと書かれていればいいのか、条文番号を挙げる必要があるのか、さらには提供者と受領者の間で公表事項の内容について一定の合意まで求められるのかといった点について、ガイドライン等での明確化が望まれます。

4. 収集情報の第三者提供禁止

(1)　概要

個人情報取扱事業者は、原則として、本特例により収集した情報（すなわち、本取得特例により取得した要配慮個人情報、又は本提供特例により提供を受けた個人情報若しくは個人関連情報）又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報（以下「本特例収集情報」と総称します。なお、改正案では、それぞれの特例の対象となる情報は、「統計作成等用要配慮個人情報等」、「提供統計作成等用個人情報等」及び「提供統計作成等用個人データ等」と個別に定義されていますが、この記事では、わかりやすさの観点から、本特例収集情報という独自の総称を用いて説明します。）を第三者に提供することができません（改正案30条の2第10項、11項、31条の3第6項、7項）。

但し、法令に基づく場合及び人命の救助、災害の救援その他非常の事態への対応のため当該各情報を取り扱う緊急の必要がある場合に本特例収集情報を第三者に提供することや、本取得特例により取得した要配慮個人情報又はこれを複製若しくは加工した生存する個人に関する情報を、本提供特例により第三者に提供することは例外的に認められています。

また、委託、事業承継、共同利用による場合は、例外として提供することができます（改正案30条の2第12項、31条の3第6項、8項）。但し、提供先が外国にある場合には、基準適合体制を整備していることが条件となります。共同利用に関して、周知が必要となる事項は個人データの第三者提供規制の例外としての共同利用と同様です。他方で、周知方法については、個人データの第三者提供規制の例外としての共同利用については本人通知の方法と本人が容易に知り得る状態に置く方法のいずれかによるものとされていますが、本特例収集情報の共同利用の周知方法は公表とされています。

なお、本規制に違反して本特例収取情報を提供する行為は、新設された課徴金制度の対象となっています（改正案148条の3第1項4号）。

(2)　検討

本特例収集情報は、それが個人データであるか否かにかかわらず、生存する個人に関する情報である限り、原則として第三者への提供が禁止されます。条文上、本人同意を得た場合を除く旨の規定が存在しないため、仮名加工情報に係る第三者提供禁止（現行法42条1項）と同様に、本人の同意の有無にかかわらず提供が禁止されるものと解されます。

上記のとおり共同利用に基づく提供は可能ではあるものの、共同して利用される本特例収集情報の項目を公表する必要があるところ、統計作成等は大量の情報について行われるため、たとえば、スクレイピングされた大量の情報の中に生存する個人に関する情報が紛れているという場合、情報の項目を具体的に特定することが困難な場合もあり得ると思われます。そのため、どの程度、個別具体的な情報項目の記載が求められるかによって、共同利用への依拠のしやすさが大きく異なり得ますので、ガイドライン等での明確化が望まれます。

5. 外国にある第三者に提供した場合の追加的措置

個人情報取扱事業者は、基準適合体制を整備している外国にある第三者に対して、本提供特例により個人情報・個人関連情報を提供し、又は本特例収集情報を上記の提供禁止規制の例外に基づいて提供した場合は、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、当該必要な措置に関する情報を公表しなければならないとされています（改正案30条の2第13項、31条の3第9項）。

6. 収集情報の安全管理措置

本特例収集情報については、それが個人データでないとしても、個人データに関する安全管理措置（現行法23条）、従業者の監督（現行法24条）、委託先の監督（現行法25条）の規定を準用することとされています（改正案30条の2第14項、31条の3第10項）。

第3.　実務への影響と残された課題

1. AI開発のための要配慮個人情報の収集と本取得特例の関係

個人情報保護委員会は、2023年6月2日付で公表した「OpenAIに対する注意喚起の概要」 において、AI事業者が行う機械学習のための情報収集に関して、「要配慮個人情報を取得しないこと」とし、特に以下の事項を遵守すべきとしています。

①収集する情報に要配慮個人情報が含まれないよう必要な取組を行うこと。
②情報の収集後できる限り即時に、収集した情報に含まれ得る要配慮個人情報をできる限り減少させるための措置を講ずること。
③上記①及び②の措置を講じてもなお収集した情報に要配慮個人情報が含まれていることが発覚した場合には、できる限り即時に、かつ、学習用データセットに加工する前に、当該要配慮個人情報を削除する又は特定の個人を識別できないようにするための措置を講ずること。
④本人又は個人情報保護委員会等が、特定のサイト又は第三者から要配慮個人情報を収集しないよう要請又は指示した場合には、拒否する正当な理由がない限り、当該要請又は指示に従うこと。

これらの遵守事項は現行法においても位置づけが明確ではないものの、加えて、改正後は、本取得特例との関係性がどのように整理されるのか次第で、実務に影響が生じると思われます。

たとえば、上記の遵守事項を満たすようにしたとしても、大規模なクローリング及びスクレイピングを行う場合、意図せず不可避的に要配慮個人情報も収集されてしまうことがあると思われるところ、そのような大規模なクローリング及びスクレイピングを行う場合、上記4つの事項を遵守していれば適法であると解されるのか、それとも、改正後は、本取得特例に基づくことが必須になるのかは明確ではありません。

2. 委託の場面における本提供特例の活用可能性

現行法においても、個人データの取り扱いを委託することに伴って個人データを提供する場合には、例外的に本人同意は不要とされています（委託提供、現行法27条5項1号）。

委託先は、委託提供を受けた個人データを委託された業務以外に取り扱うことができません。このため、委託先が、委託提供を受けた個人データを利用して統計情報を作成したり、自社の分析技術やAIの精度を改善したりすることを望む場合であっても、そのような利用が委託業務の範囲外であれば、認められませんでした。例えば、委託先が、委託提供を受けた個人データを、自社の分析技術の改善等に利用することは、それが「委託業務を処理するための一環として」「委託元の利用目的の達成に必要な範囲内で」行われる場合に限って可能です（個情委Q&A7-39 ）。他方で、委託先が委託提供を受けた個人データを委託業務の範囲外で統計情報に加工し、自社のために利用することは認められません（個情委Q&A7-38 ）。

また、委託先は、委託元（A社）から委託提供を受けた個人データを、委託先が独自に取得した個人データ・個人関連情報や、他の委託元（B社）から委託提供を受けた個人データと、本人ごとに突合することができません（個情委Q&A7-41 、7-43 ）。このため、例えば、委託先がA社・B社から統計情報の作成の委託を受けて、A社・B社から提供を受けた個人データを本人ごとに突合することなく、サンプルとなるデータ数を増やす目的で統合し、一つの統計情報を作成することは認められますが、両社のデータを本人ごとに突合して統計情報を作成することは認められていませんでした。

このように、委託先が委託提供を受けた個人データを利用することは、実務上の要請は強いものの、認められる場合が限定的でした。改正後は、委託元から委託先に対して、（委託提供と併存的に）本提供特例に基づく提供を行うことにより、受領者（委託先）において、委託提供の場合に適用される上記のような制約を受けずに、個人データを利用することが可能となる可能性があります。

本提供特例を利用することにより新たに可能になるケースとして、例えば、企業向けのAIサービスを提供しているベンダが、サービス利用企業から受領した個人データを、当該サービス利用者が利用していない他のAIサービスの開発のために用いるケースが考えられます。もっとも、このようなケースにおいては、サービス利用企業が直接便益を受けるわけではない中で、公表の実施等について、どこまでサービス利用企業の協力を得られるのかが、実務上の課題になると思われます。

また、本提供特例の活用が期待される他のケースとしては、たとえば、ある患者について複数の医療機関の診療歴を突合して分析するような場合が考えられます。この点、ベンダが医療機関の協力を得て、匿名加工情報の作成を医療機関から受託し、医療機関に対して匿名加工情報を成果物として納品した上で、さらに、医療機関から当該匿名加工情報の提供を受けるスキームのもと、医療機関が匿名加工情報の作成及び提供に関する公表を行う事例はこれまでも存在しました。このような実務に照らせば、本提供特例に関する公表等についても、同様に医療機関に協力を求めることが考えられます。

3. 基準適合体制の内容

本提供特例において求められる「基準適合体制」のために必要となる相当措置は、「個人情報、仮名加工情報、匿名加工情報及び個人関連情報・・・の取扱いについて・・・個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者及び個人関連情報取扱事業者・・・が講ずべきこととされている措置に相当する措置」です（改正案30条の2第5項）。他方で、現行法28条1項において、外国にある第三者への個人データの提供の際の基準適合体制のために必要とされる相当措置は、「個人データの取扱いについて・・・個人情報取扱事業者が講ずべきこととされている措置に相当する措置」であり、差異が生じています。

この差異に伴い、これまで現行法28条1項に基づく基準適合体制整備のために行ってきた対応に加えて、具体的にどのような追加対応が生じるのかについては、問題になり得ると思われます。たとえば、現行法28条1項に関しては、提供されるデータが提供元の事業者にとっては個人情報であっても、提供先の外国にある第三者にとっては個人情報に該当しない場合においては、契約において当該提供先が元となった個人情報を復元しないことが定められている等、当該提供先が元となった個人情報に係る本人を識別しないこととなっているときは、基準適合体制を整備しているものと解されていました（個情委Q&A12-8 ）。一方で、仮名加工情報取扱事業者及び匿名加工情報取扱事業者に関する規律を対象とする基準適合体制については、同様の説明は困難であるように思われます。

また、相当措置に関する情報提供について、現行法28条3項では、「本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。」とされていたに留まりますが、改正案30条の2第13項では、「当該必要な措置に関する情報を公表しなければならない」とされており、「公表」が義務化されています。基準適合体制について、「公表」を行っている事業者は多くないと思われますので、従来の外国にある第三者に対する提供よりも、対応事項が増えることになる点に留意が必要です。