個人情報の第三者提供｜本人同意の原則と例外を解説

個人情報保護法の改正で議論されている「本人同意なしでの個人データ提供」の特例規定に対し、懸念の声から署名活動が広がっていると報じられています。同意ルールは中小企業・士業を含むあらゆる事業者が顧客データを扱う際の基本にあたるため、現行法の第三者提供ルールを一次情報で確認しておきます。

この記事では、個人情報保護法における第三者提供の原則（本人同意）と、同意が不要となる例外、「第三者」に該当しないケース(委託・事業承継・共同利用)、オプトアウト方式、外国にある第三者への提供時の追加要件までを、条文の該当箇所とあわせて整理します。

原則:第三者提供にはあらかじめ本人の同意が必要

個人情報取扱事業者は、個人データを第三者に提供するにあたり、原則としてあらかじめ本人の同意を得なければなりません。これは個人情報保護法第27条第1項に定められた基本ルールで、本人が「提供される個人データの項目」「提供先」「利用目的」などを認識したうえで承諾する意思表示が求められます。

同意は原則として明示的なものが必要で、黙示の同意や包括的な同意では不十分と評価されるケースがあります。提供の目的や提供先の範囲を具体的に示し、本人の明確な同意を取得することが実務上のポイントです。

同意が不要となる例外(第27条第1項ただし書き)

個人情報保護法第27条第1項は、次のいずれかに該当する場合には、本人の同意なく個人データを第三者に提供できるとしています。

1. 法令に基づく場合

法律・政令・省令・条例など、法令に根拠があるときは同意なしで提供できます。

2. 生命・身体・財産の保護に必要な場合

人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときに限られます。

3. 公衆衛生・児童の健全育成のため特に必要な場合

公衆衛生の向上または児童の健全な育成の推進のために特に必要があり、かつ本人の同意を得ることが困難であるときに認められます。

4. 国の機関等への協力の場合

国の機関・地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに協力する必要があり、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときが対象です。

5. 学術研究機関等による提供の場合

提供元または提供先が学術研究機関等であり、学術研究目的で取り扱う必要がある場合などに、一定の要件のもとで認められます(いずれも個人の権利利益を不当に侵害するおそれがある場合を除きます)。

そもそも「第三者」に該当しない3つのケース

個人情報保護法第27条では、次のいずれかに該当する場合は「第三者」に該当しないと整理されており、第1項の同意義務の対象外となります。

• 委託: 利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託することに伴って提供される場合。
• 事業承継: 合併その他の事由による事業の承継に伴って提供される場合。
• 共同利用: 特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、共同利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、管理責任者の氏名等をあらかじめ本人に通知し、または本人が容易に知り得る状態に置いているとき。

これらは実質的に個人情報取扱事業者の管理下にあるとみなされるため、別途の同意は不要とされています。

本人同意に代わる「オプトアウト方式」

個人情報取扱事業者が、本人の求めに応じて当該本人が識別される個人データの第三者提供を停止することとしている場合には、一定の事項を本人に通知(または本人が容易に知り得る状態に置き)、かつ個人情報保護委員会に届け出ることで、本人同意に代えて第三者提供ができます(個人情報保護法第27条)。

通知等が必要な事項の例は次のとおりです。

• 第三者への提供を行う個人情報取扱事業者の氏名または名称および住所、代表者の氏名
• 第三者への提供を利用目的とすること
• 第三者に提供される個人データの項目
• 第三者に提供される個人データの取得の方法
• 第三者への提供の方法
• 本人の求めに応じて第三者提供を停止すること
• 本人の求めを受け付ける方法
• その他個人情報保護委員会規則で定める事項(個人データの更新方法、提供開始予定日など)

通知の方法や本人が提供停止を求めるのに必要な期間の確保など、手続の具体は個人情報の保護に関する法律施行規則第11条に定められています。

ただし、要配慮個人情報や、違法に取得された個人データ、他の事業者からオプトアウト方式で提供された個人データには、オプトアウト方式は適用できません。

外国にある第三者へ提供する場合の追加要件

個人データを外国にある第三者に提供する場合は、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければなりません(個人情報保護法第28条)。同意の取得にあたっては、提供先の外国における個人情報保護に関する制度や、当該第三者が講じる保護のための措置など、本人に参考となる情報を事前に提供する必要があります。

ただし、提供先の外国が我が国と同等の水準にあると認められる個人情報保護制度を有している場合や、提供先の第三者が個人情報保護委員会規則で定める基準に適合する体制を整備している場合は、この限りではありません(個人情報保護法第28条)。

実務でおさえておきたい判断のポイント

• 同意取得の仕組みを明確にする: 対象データの範囲・提供先・利用目的を具体的に示し、本人が理解しやすい形で同意を取ります。
• 例外規定は限定的に解釈する: 生命・身体・財産保護や公衆衛生等の例外は、緊急性や同意取得の困難性が要件となるため、慎重に判断します。
• オプトアウトは届出と通知の適正運用が前提: 個人情報保護委員会への届出と、本人への通知または容易に知り得る状態に置く措置を怠らないようにします。
• 外国への提供は追加措置が必要: 提供先の国の制度や保護措置に関する情報提供義務があるため、事前の調査と準備が重要です。
• 定期的な見直し: 取扱状況や第三者提供の方針は定期的に見直し、必要に応じて本人への通知や公表内容を更新します。

よくある質問

Q1. 業務委託先に顧客リストを渡す場合も、本人同意は必要ですか?

利用目的の達成に必要な範囲内での委託に伴って個人データが提供される場合、その委託先は個人情報保護法第27条にいう「第三者」に該当しないため、第三者提供の同意義務の対象外です。ただし、これは委託元の管理下にあることが前提であり、委託の範囲を超えた利用は別途整理が必要です。

Q2. 「共同利用」として扱えば、常に本人同意なしで提供できますか?

共同利用として整理するには、共同して利用する個人データの項目、共同して利用する者の範囲、利用する者の利用目的、管理責任者の氏名等をあらかじめ本人に通知するか、本人が容易に知り得る状態に置いておく必要があります(個人情報保護法第27条)。これらの手当てがないまま「共同利用」と称して提供することはできません。

Q3. オプトアウト方式はどの個人データにも使えますか?

いいえ。個人情報保護法第27条により、要配慮個人情報、違法に取得された個人データ、他の事業者からオプトアウト方式で提供を受けた個人データについては、オプトアウト方式による第三者提供は認められていません。これらは本人同意等、別の適法な根拠が必要です。

※本記事はAIによる調査支援を活用して作成した参考情報です。制度の詳細や最新の取扱いは、必ず一次情報および専門家にご確認ください。