顧客リストを外注先に渡すとき何が必要？委託と第三者提供の違い

DM発送を代行会社に頼みたい。顧客管理をクラウドの業者に任せたい。そのたびに顧客の住所や氏名を相手に渡すことになりますが、「これはお客様の同意を取らないとまずいのでは」と手が止まる場面です。

結論から言うと、利用目的の達成に必要な範囲内での「委託」であれば、本人の同意は不要です。個人情報保護法第27条第5項第1号が、委託に伴って提供を受ける者は「第三者に該当しない」と定めているためです。ただし同意が要らなくなる代わりに、同法第25条の委託先の監督義務がかかります。この記事では、ことのりで実際に検索した結果と条文をもとに、その線引きと実務対応を整理します。

原則は「本人の同意なしに第三者へ渡してはいけない」

出発点は法第27条第1項です。

（第三者提供の制限）
第二十七条　個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一　法令に基づく場合
二　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

各号には、このほかに国の機関等への協力が必要な場合や、学術研究目的での提供などの例外が並びます。いずれも公共性の高い限定的な場面であり、通常の外注のやりとりが当てはまるものではありません。

では外注はどうなるのか。ここで効いてくるのが第27条第5項です。

委託先は「第三者」ではない（第27条5項1号）

今回の調査では、第27条第5項の条文本体を確認できました。「次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする」として、次の3つが挙げられています。

1. 委託（第1号）…「個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」
2. 事業承継（第2号）…「合併その他の事由による事業の承継に伴って個人データが提供される場合」
3. 共同利用（第3号）…特定の者との間で共同して利用される個人データが提供される場合であって、その旨、共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、当該個人データの管理について責任を有する者の氏名または名称・住所（法人にあっては代表者の氏名）を、あらかじめ本人に通知し、または本人が容易に知り得る状態に置いているとき

発送代行、クラウドでの顧客管理、経理業務のアウトソースなどは、通常この第1号にあたります。相手は自社の指示の範囲でデータを扱うので、実質的には自社の一部とみなすという考え方です。だから第三者ではなく、同意も要らない、という構造になっています。

分かれ目は「利用目的の達成に必要な範囲内」かどうか

条文をよく読むと、第1号は無条件ではありません。「利用目的の達成に必要な範囲内において」という限定が付いています。ここが委託と第三者提供の分かれ目です。

たとえば発送代行に住所録を渡し、相手が発送作業だけを行うのであれば委託です。一方、渡した先が自社の営業活動のためにその名簿を使うのであれば、それはこちらの利用目的の達成のための取扱いとは言えず、第三者提供として本人同意が必要になる可能性があります。相手が「自分の目的で使い始めた時点」で性質が変わる、と考えると整理しやすいと思います。

なお、第3号の共同利用は、グループ会社間などで名簿を融通する場面で使われますが、条文が求める5項目をあらかじめ本人に通知するか、容易に知り得る状態に置いておくことが条件です。ここを満たさないまま共同利用のつもりで運用すると、実態としては同意のない第三者提供になってしまいます。

同意が要らない代わりに監督義務がかかる（第25条）

委託であれば同意は不要ですが、そこで終わりではありません。法第25条は次のように定めています。

（委託先の監督）
第二十五条　個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

条文はこの一文だけで、具体的に何をすればよいかまでは書かれていません。今回の調査結果では、「必要かつ適切な監督」に含まれると考えられる措置として、次の5つが整理されています。

• 委託先の選定…委託先の個人データ保護体制が十分かを確認して選ぶ。情報セキュリティ対策、従業員の教育体制、過去の事故歴などを評価する
• 委託契約の締結…委託先が講ずべき安全管理措置の内容、個人データの取扱いの範囲、再委託に関する条件、事故発生時の報告義務、損害賠償責任などを契約で明確にする
• 取扱状況の把握…定期的に報告を求める、監査を行うなどして、適切に管理されているかを確認する
• 指示・改善要求…安全管理措置が適切に講じられていないと判断される場合は改善を指示し、必要に応じて契約の見直しや解除を検討する
• 再委託先の監督…委託先がさらに再委託する場合、委託元は再委託先に対しても監督義務を負うため、委託先を通じて監督が行われるよう管理する

今回の調査結果では、これらの措置は個人情報取扱事業者が個人データの安全管理について最終的な責任を負うという考え方に基づくものであり、委託先で漏えい等が起きた場合でも委託元が監督責任を問われうると整理されています。「外注したから自社の責任ではない」とはならない、という点が要点です。

委託なら提供の記録は要らない（第29条・第30条のただし書）

個人データを第三者に渡すときには、法第29条（第三者提供に係る記録の作成等）と法第30条（第三者提供を受ける際の確認等）による記録・確認の義務があります。委託でもこれが必要なのか、という点は実務でよく迷うところです。

今回の調査で条文を確認したところ、第29条第1項と第30条第1項には、いずれも「当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない」というただし書が置かれていました。委託は第27条第5項第1号に該当しますから、これらの記録・確認義務は適用されないという整理になります。

ただし、記録が法的に不要であることと、記録を残さないほうがよいことは別です。第25条の監督義務のもとで委託先の取扱状況を把握しておく必要があるため、いつ・どの範囲のデータを・どの委託先に渡したかを自社で控えておくことは、実務上そのまま監督の証跡になります。

外注前に決めておきたい4つのこと

1. 相手がデータを何に使うのかを確認する。こちらの指示の範囲内で使うのか、相手の目的でも使うのか。ここが委託と第三者提供の分岐点なので、口頭ではなく契約書の文言で確認します
2. 渡す範囲を必要最小限にする。第27条第5項第1号は「利用目的の達成に必要な範囲内において」と限定しています。発送だけを頼むのに購買履歴まで渡す必要はありません。渡す項目を絞ること自体が、条文の要件に沿った運用になります
3. 契約に再委託の条件と事故時の連絡を入れる。再委託先にも監督が及ぶこと、漏えい等が起きたときにいつまでに連絡をもらうかを決めておきます。事故のときの報告期限は自社の対応期限に直結します
4. 渡した記録を自社に残す。法律上の記録義務はありませんが、監督義務を果たしていることを示す材料になります

なお、自社のケースが委託にあたるか第三者提供にあたるか、共同利用の通知が条文の要件を満たしているかといった具体的な当てはめは、取引の実態によって変わります。判断に迷う場合は、個人情報保護委員会または弁護士などの専門家にご確認ください。

よくある質問

Q. 顧客名簿を外注先に渡すとき、お客様一人ひとりの同意は必要ですか？

利用目的の達成に必要な範囲内での委託にあたる場合は、本人の同意は不要です。個人情報保護法第27条第1項は本人の同意なく個人データを第三者に提供してはならないと定めていますが、同条第5項第1号が「個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」について、提供を受ける者は第三者に該当しないものとすると定めているためです。ただし同意が不要になるだけで、法第25条の委託先の監督義務は別途かかります。

Q. 「委託」と「第三者提供」はどこで分かれますか？

渡した先が自社の指示の範囲内でデータを扱うか、自分の目的で使うかが分かれ目です。第27条第5項第1号の条文は「利用目的の達成に必要な範囲内において」委託することに伴う提供を対象としています。発送代行に住所録を渡して発送だけしてもらうのは委託にあたりますが、渡した先が自社の営業活動のためにその名簿を使うのであれば、利用目的の達成に必要な範囲内とは言えず、第三者提供として本人同意が必要になる可能性があります。個別の判断は個人情報保護委員会または専門家にご確認ください。

Q. 委託の場合、提供の記録は残さなければなりませんか？

個人情報保護法第29条（第三者提供に係る記録の作成等）と第30条（第三者提供を受ける際の確認等）は、いずれもただし書で「第二十七条第一項各号又は第五項各号のいずれかに該当する場合」を適用除外としています。委託は第27条第5項第1号に該当するため、これらの記録・確認義務は適用されないという整理になります。ただし法第25条の監督義務は別にあり、委託先での取扱状況を把握しておく必要があるため、記録を残すこと自体は実務上有用です。

Q. 委託先がさらに別の会社に再委託した場合はどうなりますか？

今回の調査結果では、委託先がさらに個人データの取扱いを再委託する場合、委託元は再委託先に対しても監督義務を負うため、委託先を通じて再委託先の監督が適切に行われるよう管理することが重要であると整理されています。法第25条は「委託を受けた者に対する必要かつ適切な監督」と定めており、委託元が個人データの安全管理について最終的な責任を負うという考え方に基づくものです。契約段階で再委託の可否と条件を定めておくことが実務上の対応になります。

本記事はAIによる調査支援を活用して作成した参考情報です。最終的な判断は一次情報および専門家にご確認ください。