第三者提供記録の作成義務と保存
企業法務の実務ポイント

第三者提供記録の作成義務と保存は、個人データがどこから来て、どこへ渡ったのかを後からたどるための制度です。営業、マーケティング、人事、M&A、SaaS連携、グループ会社間の共有などで個人データが動く企業では、同意の有無だけでなく、第三者提供該当性、例外、記録事項、保存期間、証跡の検索性まで一体で設計する必要があります。

次の比較表は、このページで扱う主要論点を一覧にしたものです。各行は判断すべき対象と実務上の要点を示しており、どの場面で記録義務や確認義務が問題になるかを最初に読み取ることが重要です。

次の3つの項目は、制度の目的を実務上の言葉に置き換えたものです。なぜ記録を残すのかを理解しておくと、台帳やログを形式的に作るだけでなく、監査や本人請求に耐える証跡設計へつなげられます。

第三者提供記録は、単なる法定帳簿ではなく、企業の個人情報ガバナンスを支える証跡です。個人情報保護対応をプライバシーポリシーの整備だけで終わらせず、日々の取引、契約、システム連携、監査に組み込む視点が求められます。

第三者提供記録の作成義務と保存では、第三者提供規制だけでなく、提供側の記録、受領側の確認・記録、個人関連情報、本人開示請求がつながります。次の表は関連条文の役割を示しており、どの主体に何が求められるかを読み取るために重要です。

第三者提供記録の検討で誤りやすいのは、本人同意を取得した時点で検討を止めてしまうことです。本人同意により第三者提供が可能になる場合でも、記録作成・保存義務が別に残ることがあります。

次の重要ポイントは、法務レビューで見落としやすい視点を強調しています。第三者提供の根拠と記録義務は別の問いであることを読み取り、契約や同意画面の確認だけで完結させないことが大切です。

受領側の義務も独立しています。取引先が自社で記録していると説明しても、自社が第三者から個人データを受け取る側であれば、自社として確認・記録・保存できる体制が必要です。

受領側の義務は、確認義務と記録義務の二段構造です。受け取った事実だけでなく、そのデータが適法・適正に取得され、適法に提供されているかを確認する必要があります。

次の判断の流れは、第三者から個人データを受け取る前後に確認する順番を示しています。上から順に見ることで、提供元任せにせず、自社の確認結果をどの段階で記録すべきかを読み取れます。

次の表は、受領側が確認すべき事項を整理しています。単に取引先名を確認するだけではなく、取得経緯や本人同意等の根拠まで見ることが、不適正なデータ流通を防ぐために重要です。

次の表は、取得経緯を確認する方法を具体化したものです。確認方法の列を見ることで、契約書だけに依存せず、同意画面、届出状況、ヒアリング、サンプル監査を組み合わせる重要性を読み取れます。

次の表は、受領側で残すべき記録事項を示しています。確認しただけで終わらせず、担当者・承認者・確認方法まで残すことで、営業利用、広告配信、AI分析、採用、人事労務での後日説明に備えられます。

提供元の説明が不自然な場合、本人同意の範囲が曖昧な場合、名簿の出所が多段階で不明な場合、価格が不自然に安い場合は、高リスク案件として扱います。受領停止、追加確認、利用範囲の限定、専門家への相談などを検討します。

第三者提供記録は、必ず紙の専用台帳で作成するものではありません。次の表は、利用できる記録方法と注意点を比較したものです。どの媒体を使うかではなく、必要事項が保存期間中に検索・提示できるかを読み取ることが重要です。

次の重要ポイントは、別途台帳が常に必要かという問いへの実務的な答えを示しています。既存文書があるかではなく、必要事項が含まれ、保存期間中に検索できるかを読み取ります。

次の比較表は、一件ごとの記録、一括記録、契約書等による代替記録の考え方を並べたものです。提供頻度、対象範囲、保存起算日をどう管理するかを読み取ることで、運用に合った方式を選びやすくなります。

次の表は、システムログを記録として活用する場合の設計項目を整理しています。API連携やSaaS連携では、実際に送受信された項目と保存期間を技術的に確認できることが重要です。

API連携では、提供したつもりがなくてもレスポンスに個人データが含まれる場合があります。法務・プライバシー担当だけでなく、エンジニア、プロダクト、セキュリティ担当がデータの流れとログ仕様を一緒に確認します。

第三者提供記録の作成義務と保存は、プライバシーポリシーを整えるだけでは足りません。次の表は社内の関係者ごとの役割を整理しています。誰が何を担うかを明確にすることで、営業、IT、人事、M&Aなどの現場で記録漏れを防ぎやすくなります。

次の一覧は、社内規程に定めるべき事項をまとめています。定義、申請、審査、記録、保存、削除、本人請求、事故対応、監査まで含めることで、規程が現場の行動に接続しているかを読み取れます。

次の表は、第三者提供・受領の事前申請フォームで確認すべき項目例です。事業部門が独自に名簿購入、共同キャンペーン、SaaS導入、海外移転を進める前に、法務・プライバシー担当が何を見ればよいかを読み取れます。

次の比較表は、契約条項に入れるべき事項を整理しています。表明保証だけで安心せず、証跡提出、監査権、削除・返却、漏えい等報告まで含めて、受領側と提供側の責任分担を読み取ることが重要です。

データマッピングでは、顧客データの外部提供、見込み客リストの購入、グループ会社間共有、共同キャンペーン、広告配信、EC・決済・配送、人事労務、M&A、AI学習、海外クラウド移転を重点的に棚卸しします。

管理テンプレートは、法定事項と実務上の証跡を同じ場所で追えるようにするために重要です。次の表は提供側記録の項目例であり、提供先、本人、データ項目、同意、契約、承認、保存期間満了日を一つの記録として読み取れる状態にします。

次の表は受領側記録の項目例です。提供元の適法取得や取得経緯を確認した結果を残すため、単なる受領日時やデータ項目だけでなく、確認方法、利用目的との整合性、承認者を読み取れるようにします。

次の表は、法定の第三者提供記録義務が発生しないと判断する場合の例外判断記録です。不要という結論だけでなく、判断類型、根拠資料、代替管理、見直し時期を読み取れるようにすることで、監査時の説明力が上がります。

内部監査チェック

次の一覧は、内部監査で確認すべき項目を3つの観点に分けたものです。全社棚卸し、記録内容、運用のどこに弱点があるかを読み取り、年1回以上は台帳と実際のデータ授受を照合します。

監査では、台帳が存在するかだけでなく、実際のAPI、SaaS、メール、ファイル共有、契約、同意画面と一致しているかを確認します。部門独自運用がある場合は、教育と申請手順の再設計が必要です。

Q1. 第三者提供記録は、必ず専用台帳で作成しますか。

一般的には、必ずしも専用台帳で作成する必要はないとされています。契約書、申込書、同意書、システムログ、送信記録等に必要事項が含まれ、保存期間中に確認できる状態であれば、記録として扱える場合があります。ただし、必要事項の不足や検索不能の有無で結論は変わります。具体的な対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. 本人同意を取得していれば、第三者提供記録は不要ですか。

一般的には、本人同意を取得していても記録作成・保存義務が不要になるとは限らないとされています。同意は第三者提供の根拠になり得ますが、記録義務の要否は別に検討します。提供先、提供項目、本人識別事項、同意文言、同意ログの状況によって結論が変わる可能性があります。具体的な対応は、弁護士等の専門家へ相談する必要があります。

Q3. 委託先に個人データを渡す場合も記録が必要ですか。

一般的には、委託が個人情報保護法上の要件を満たす場合、提供先は第三者に該当しないため、法定の第三者提供記録義務が発生しない場合があります。ただし、委託先監督、委託契約、再委託管理、安全管理措置、委託先台帳は別途重要です。委託先の利用目的や契約内容によって判断が変わる可能性があります。

Q4. グループ会社への提供は第三者提供ですか。

一般的には、別法人であるグループ会社は第三者に当たり得るとされています。共同利用、委託、事業承継等に該当する場合は整理が変わりますが、グループ会社というだけで自由に共有できるわけではありません。利用目的、公表事項、管理責任者、アクセス権限、契約関係によって結論が変わる可能性があります。

Q5. 保存期間は一律3年ですか。

一般的には、一律3年ではないとされています。通常の記録は作成日から3年間が基本ですが、契約書等による代替記録では最後の提供・受領から1年、継続的・反復的な一括記録では最後の提供・受領から3年など、記録方法により異なります。個別の保存設計は、契約、業法、訴訟対応、監査対応も含めて確認する必要があります。

Q6. システムログだけで記録義務を満たせますか。

一般的には、システムログに必要な記録事項が含まれ、保存期間中に検索・提示でき、改ざん防止やアクセス制御が整っていれば、記録の一部または全部として活用できる場合があります。ただし、提供先、本人識別事項、データ項目、同意根拠等が不足する場合は、契約書や台帳と組み合わせる必要があります。

Q7. 名簿を購入する場合、受領側は何を確認しますか。

一般的には、提供元の氏名・名称、住所、代表者等に加え、提供元が当該個人データをどのように取得したか、本人同意またはオプトアウト等の提供根拠があるかを確認するとされています。オプトアウト提供の場合は、届出・公表状況も確認します。取得経緯やデータ項目によってリスクが変わるため、具体的には専門家へ相談する必要があります。

Q8. 誤送信で個人データを受け取った場合も記録義務がありますか。

一般的には、受領者が積極的に提供を受けたわけではない一方的な誤送信では、直ちに受領側の確認・記録義務が発生しない場合があるとされています。ただし、誤送信データを利用・保存・共有してよいわけではありません。送信元への連絡、削除・返却、社内共有の制限、事故対応などを検討する必要があります。

Q9. 共同利用であれば第三者提供記録は不要ですか。

一般的には、共同利用の要件を満たす場合、共同利用者は第三者に該当しないため、法定の第三者提供記録義務が発生しない場合があります。ただし、共同利用者の範囲、利用目的、個人データの項目、管理責任者等を本人が知り得る状態に置く必要があります。共同利用管理台帳やアクセス制御も重要です。

Q10. 第三者提供記録は本人に開示しますか。

一般的には、一定の第三者提供記録は本人による開示請求の対象となるとされています。もっとも、すべての社内管理記録が当然に開示対象となるわけではなく、法定の第三者提供記録に該当するか、開示除外事由があるかを確認する必要があります。具体的な対応は、対象記録と請求内容を整理したうえで専門家へ相談する必要があります。