外国で活動する事業者ですが、日本国内の事業者から、日本国内のユーザー向けのアプリの開発・運営のため、日本国内のユーザーを本人とする個人データの取扱いの委託を受けました。この場合、外国の事業者が委託に伴って取得した個人データの取扱いについて個人情報保護法は適用されますか。

外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となります（法第171条）。

外国にある個人情報取扱事業者が、日本国内のユーザー向けのアプリの開発・運営のために、日本国内の事業者から日本国内のユーザーを本人とする個人データの取扱いの委託を受けて外国で取り扱う場合、当該外国にある個人情報取扱事業者による当該個人データの取扱いは、日本国内にある者に対する物品又はサービスの提供に関連するものであると考えられることから、個人情報保護法の域外適用の対象となります。

なお、外国にある個人情報取扱事業者に対して個人データを提供する日本国内の個人情報取扱事業者は、法第28条第１項により、原則として、あらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がある点に注意が必要です。
（令和３年９月追加）