域外適用の対象となる外国にある個人情報取扱事業者とは、例えば、以下のようなケースです。

• ・外国のインターネット通販会社が、日本の消費者に対する商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う場合
• ・外国のメールサービス提供事業者が、日本の消費者に対する メールサービス の提供に関連して、日本の消費者の個人情報を取り扱う場合
• ・外国のホテル会社が、日本の消費者に対する現地の観光地やイベント等に関する情報の配信等のサービスの提供に関連して、日本の旅行会社等から提供を受けた日本の消費者の個人情報を取り扱う場合

今後は、このような外国の個人情報取扱事業者に対し、個人情報保護委員会は罰則による強制力を伴う報告徴収や立入検査、命令ができるようになります。もちろん、命令違反があった場合は、公表も可能となります。

個人情報取扱事業者は、個人データを外国にある第三者に提供する場合、以下のいずれかに該当する場合を除き、あらかじめ外国の第三者への個人データの提供を認める旨の本人の同意を得る必要がありました。

• ・当該第三者が、わが国と同等の水準にあると認められる個人情報保護制度を有している国として個人情報保護法施行規則で定める国にある場合
• ・当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置（相当措置）を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合
• ・法23条1項各号に該当する場合

改正前の内容に加え、以下の要件が追加されることになりました。

• ・本人の同意を根拠に外国にある第三者に提供する場合、事前に以下の情報を本人に提供すること。
  • - 移転先国における個人情報の保護に関する制度
  • - 移転先事業者が講ずる個人情報保護のための措置
  • - その他当該本人に参考となるべき情報
• ・第三者が相当措置を講じたことを根拠に外国にある第三者に提供する場合、以下の対応を行うこと。
  • - 移転先事業者による相当措置の継続的な実施を確保するために必要な措置を講じる
  • - 本人の求めに応じて、当該必要な措置に関する情報を本人に提供すること

解説

例えば、G7（カナダ、フランス、ドイツ、イタリア、英国、米国および日本）を例にとりましょう。
2021年8月現在においては、フランス、ドイツ、イタリア、英国の4か国は、日本と同等水準の個人情報保護制度の国とされています。
カナダ、米国の場合は、例えば、事前に本人同意を得ると共に、提供先の国の個人情報保護制度や提供先の事業者が講じる個人情報保護のための措置等の情報を提供しなくて はなりません（なお、カナダについてはEUの欧州委員会が十分なレベルの個人データ保護を保障している旨を決定しているとしています）。
第三者提供先の国における個人情報保護制度の情報を本人に対して提供しなければならないため、その前提として少なくとも国または地域名を明確にする必要があります。