第三者提供と同意を
企業法務で整理する

第三者提供と同意では、まず用語をそろえる必要があります。同じ顧客情報でも、個人情報か個人データか、要配慮個人情報を含むか、個人関連情報として外部IDと連携するかによって、同意や記録の設計が変わるためです。

次の比較表は、主要な用語と実務上の注意点を整理したものです。読者にとって重要なのは、列ごとに「何を意味するか」と「第三者提供でどこに影響するか」を分けて読むことです。特に個人データ、要配慮個人情報、個人関連情報の行は、同意・オプトアウト・記録義務へ直結します。

次の割合の比較は、実務で確認負荷が高くなりやすい情報類型の相対的な注意度を示しています。棒の長さが長いほど、同意、記録、アクセス管理、本人対応を厚く検討する必要があります。読者は、要配慮個人情報と個人関連情報が、通常の連絡先情報より慎重な確認を要する点を読み取ってください。

本人同意が不要となる場面は、便利な抜け道ではなく、要件が合うときだけ使える整理です。例外の根拠を残せないまま提供すると、後日の本人対応、当局対応、契約交渉で説明が難しくなります。

次の比較表は、本人同意を要しない主な例外を並べたものです。左列で例外類型を確認し、中央列で典型場面を把握し、右列で記録すべき判断材料を読み取ってください。例外を使うほど、提供範囲を最小化し、理由を記録することが重要です。

次の比較一覧は、第三者提供として扱われない可能性がある三つの仕組みを整理したものです。名称だけでは足りず、実態が要件に合っているかが重要です。読者は、委託は監督義務、共同利用は公表事項、事業承継は承継後の利用目的が焦点になる点を読み取ってください。

第三者提供と同意では、提供する側と受ける側の双方で、確認・記録義務が生じる場合があります。これは名簿流通や出所不明データを追跡できるようにするためであり、単なる書類作成ではありません。

次の比較表は、提供者側と受領者側で残すべき記録の違いを示しています。読者にとって重要なのは、誰に渡したかだけでなく、誰から受け取ったか、どの根拠で受け取ったかも後から説明できる状態にする点です。列ごとに、主体、記録内容、保存上の注意を確認してください。

次の時系列は、記録管理をどのタイミングで整えるかを表しています。上から下へ進むほど、企画段階から提供後の本人対応へ移ります。読者は、提供後に慌てて記録を探すのではなく、提供前から保存先と責任者を決める必要がある点を読み取ってください。

実務では、同じ第三者提供と同意でも、営業、配送、決済、広告、採用、労務、内部通報、研究、取引先データベースで確認すべき点が変わります。類型ごとに、委託で整理できるか、同意が必要か、共同利用や外国提供が問題になるかを切り分けます。

次の比較表は、よくある実務類型ごとの着眼点を整理したものです。左列で場面を特定し、中央列で主な整理を確認し、右列で追加確認を読み取ってください。広告、海外親会社、医療・研究、内部通報の行は、複数の規律が重なりやすい点に注意します。

社内統制では、第三者提供と同意を法務だけの作業にしないことが重要です。事業部門、法務、プライバシー担当、情報セキュリティ、購買、人事、M&A、内部監査、経営陣がそれぞれの役割を持ちます。

次の責任分担表は、第三者提供と同意を運用する際の主な役割を示しています。読者にとって重要なのは、左列の担当が固定ではなく、案件のリスクに応じて関与度が変わる点です。右列を読むと、どの部署に何を確認すべきかが分かります。

次の一覧は、提供前、提供後、プライバシーポリシー更新時に確認すべき事項をまとめています。順番に意味があり、提供前は根拠、提供後は記録と撤回、更新時は表示と同意再取得を確認します。読者は、自社の申請手順にこの順序を組み込むことを読み取ってください。

第三者提供と同意で最初に確認すべきことは何ですか。

一般的には、対象情報が個人データか、提供先が第三者か、委託・事業承継・共同利用や法令例外で整理できるかを順に確認するとされています。ただし、データの性質、提供先、契約、外国関係、本人への影響で結論が変わる可能性があります。具体的な対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。

親会社に顧客情報を渡す場合、同意は必要ですか。

一般的には、親会社と子会社は法人格が異なるため、第三者提供として同意や共同利用などの検討が必要になる可能性があります。ただし、委託、共同利用、事業承継、外国提供の有無などで整理は変わります。具体的な対応は、資料を整理したうえで専門家へ相談する必要があります。

業務委託先に顧客情報を渡す場合、同意は必要ですか。

一般的には、利用目的の達成に必要な範囲で業務を委託する場合、第三者提供としては扱われない方向で整理されることがあります。ただし、委託範囲、受託者の利用目的、再委託、安全管理、外国関係によって判断が変わります。具体的には契約と運用を確認する必要があります。

プライバシーポリシーに書けば同意になりますか。

一般的には、プライバシーポリシーへの記載だけで、常に第三者提供の同意になるわけではないとされています。本人が何に同意するかを理解し、承諾したと説明できる取得方法とログが重要です。個別の画面設計や文言は専門家へ相談する必要があります。

返信がなければ同意とできますか。

一般的には、単なる沈黙や未回答だけを同意と扱うことはリスクが高いとされています。ただし、取引経緯や本人への説明状況などで評価が変わる可能性があります。具体的な同意取得方法は、資料を整理したうえで専門家へ相談する必要があります。

名刺情報は個人情報ですか。

一般的には、名刺情報でも特定の個人を識別できるため個人情報に該当し得ます。さらに名刺管理システムや営業DBに登録されると個人データとして問題になりやすいです。利用目的や第三者提供の有無によって対応が変わります。

共同利用なら同意は不要ですか。

一般的には、共同利用の要件を満たす場合、本人同意なしで整理できることがあります。ただし、共同利用するデータ項目、共同利用者の範囲、利用目的、管理責任者などを本人に通知または容易に知り得る状態に置く必要があります。要件不備がある場合は結論が変わります。

オプトアウトを使えば同意なしで自由に提供できますか。

一般的には、オプトアウトは例外的な制度であり、要配慮個人情報や不正取得データなどには使えません。本人が容易に知り得る状態や個人情報保護委員会への届出などの要件もあります。具体的な可否は専門家へ確認する必要があります。

海外クラウドに保存する場合、外国第三者提供になりますか。

一般的には、クラウド事業者が個人データを取り扱う実態があるか、外国にある第三者への提供に当たるかを確認します。単なる保管場所だけでは結論が決まりません。サービス仕様、アクセス権限、サポート体制、契約内容によって判断が変わります。

Cookieを広告会社に送る場合も同意が必要ですか。

一般的には、Cookie IDや広告IDなどの個人関連情報が提供先で個人データとして取得されることが想定される場合、同意確認等が問題になります。広告配信、効果測定、外部ID連携の仕組みによって結論が変わるため、実装と契約を確認する必要があります。

従業員情報を士業専門家に渡す場合は第三者提供ですか。

一般的には、給与計算、社会保険、税務、労務相談などの委託や専門家対応として整理される場合があります。ただし、利用目的、委託範囲、守秘義務、外国関係、本人への説明で判断が変わります。具体的な取扱いは専門家へ相談する必要があります。

警察や裁判所から照会があれば同意なく提供できますか。

一般的には、法令に基づく場合など本人同意が不要となる場面があります。ただし、任意の依頼、照会の根拠、提出範囲、本人への影響で判断が変わります。提供前に根拠資料と範囲を確認し、必要に応じて専門家へ相談する必要があります。

同意を撤回されたら過去の提供も違法になりますか。

一般的には、同意撤回は将来の提供停止として問題になることが多いです。ただし、同意取得方法、撤回時の説明、既に完了した契約履行、法令上の保存義務などで対応が変わります。個別の取扱いは専門家へ確認する必要があります。

外部専門家に資料を渡す場合はどう考えますか。

一般的には、訴訟、監査、税務、労務、M&Aなどの目的や専門家の役割に応じて、委託、法令例外、秘密保持、契約上の必要性を確認します。ただし、資料の内容や本人への影響によって結論が変わるため、必要最小限の提供と記録が重要です。

第三者提供の記録はどの程度残す必要がありますか。

一般的には、提供日、提供先、データ項目、本人を識別する事項、同意または例外根拠、確認資料、承認者、保存期限を後から追えるように残すことが重要です。ただし、保存期間や記録項目は提供態様で変わるため、具体的には専門家へ相談する必要があります。