第三者提供・委託・共同利用の
書き分け

次の比較一覧は、第三者提供・委託・共同利用の最初の見分け方を整理したものです。読者にとって重要なのは、外部者が誰の目的で使うかにより、本人同意、契約、記録、監督が変わる点です。三つの項目を横に見比べ、どの分類に近いかを読み取ってください。

「第三者提供・委託・共同利用の書き分け」は、単なるプライバシーポリシーの表現問題ではありません。個人情報保護法上、本人同意の要否、通知・公表事項、委託先監督、共同利用に係る責任主体、第三者提供記録、外国移転規制、委託契約・共同利用契約・データ提供契約の設計が連鎖的に変わります。したがって、法務担当者、企業内弁護士、外部弁護士、個人情報保護・プライバシー担当、コンプライアンス担当、内部監査担当、IT・AI・データ法務担当、M&A・組織再編法務担当、情報セキュリティ担当は、用語の定義だけでなく、実態に即して「誰の目的で、誰の管理責任において、誰がどの範囲で個人データを取り扱うのか」を文書化しなければなりません。

このページの結論は明快です。外部者が自社の目的で個人データを利用するなら、原則として第三者提供です。外部者が委託元の利用目的達成のため、委託された範囲でのみ処理するなら委託です。複数の事業者が、あらかじめ本人に分かる形で、一定の目的・範囲・項目・責任者を示して一体的に利用するなら共同利用です。ただし、実務では、グループ会社、広告配信、CRM・CDP、クラウド、AI学習、データ分析、アンケート調査、業務提携、共同キャンペーン、フランチャイズ、M&Aデューデリジェンス、越境委託が混在するため、名称ではなく実態で分類する必要があります。

2.1 「個人情報」と「個人データ」は同じではない

個人情報保護法は、「個人情報」「個人データ」「保有個人データ」「個人関連情報」「仮名加工情報」「匿名加工情報」などを使い分けています。第三者提供・委託・共同利用の議論で中心となるのは、原則として個人データです。通則ガイドラインも、法が複数の概念を使い分け、それぞれ義務が異なることに注意を要するとしています。

• 個人情報 ― 生存する個人に関する情報で、氏名、生年月日その他の記述等により特定の個人を識別できるもの、または個人識別符号が含まれるものをいいます。
• 個人データ ― 個人情報データベース等を構成する個人情報をいいます。
• 個人関連情報 ― 生存する個人に関する情報で、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないものをいいます。

実務上は、「社外に渡す情報が個人データなのか」「相手方で個人データとして取得されるのか」「個人関連情報として法31条の問題になるのか」を最初に判定します。ここを飛ばして第三者提供・委託・共同利用のラベルだけを貼ると、後続の義務が崩れます。

2.2 個人関連情報には、法27条5項型の例外が当然には用意されていない

個人関連情報については、個人データの第三者提供における委託、事業承継、共同利用に相当する例外規定はないとされています。個人情報保護委員会Q&Aは、個人関連情報の第三者提供について、法27条5項各号に相当する例外規定はなく、法31条1項の適用の有無は、提供先が個人関連情報を個人データとして取得することが想定されるかどうかで判断すると説明しています。

したがって、Cookie、広告ID、閲覧履歴、端末識別子、購買傾向、位置情報のような情報については、提供元では個人データでなくても、提供先で会員ID等と紐付いて個人データ化される可能性があります。これを「委託」や「共同利用」と安易に書くのではなく、個人関連情報の提供規制も含めて整理する必要があります。

次の判断の流れは、外部提供・利用形態を実態から分類する順番を示しています。読者にとって重要なのは、最初に対象情報を確認し、その後で別主体性、相手方の目的、共同利用の予測可能性、外国移転を順に見る点です。上から順に、どの確認で分類が分かれるかを読み取ってください。

4.1 第1問 ― 渡す情報は何か

まず、渡す情報が個人データか、個人関連情報か、匿名加工情報か、統計情報かを確認します。統計情報で、特定個人との対応関係が排斥されている限り、個人関連情報にも該当しないとされています。しかし、単に氏名を削除しただけのデータ、IDが残るデータ、提供先で容易に照合できるデータは、依然として個人データまたは個人関連情報として扱う必要があります。

4.2 第2問 ― 相手方は別法人・別主体か

会社内部の従業者へのアクセス付与は、通常、第三者提供ではありません。ただし、親会社、子会社、兄弟会社、フランチャイズ加盟店、代理店、共同研究先、業務提携先、広告プラットフォーム、クラウド事業者は、別法人・別主体です。グループ会社だから同一主体という扱いにはなりません。別主体に提供する以上、第三者提供、委託、共同利用、事業承継、外国移転、個人関連情報規制のいずれかを検討します。

4.3 第3問 ― 相手方は誰の目的で利用するか

最も重要なのは「誰の目的か」です。

• 相手方が、委託元の業務処理のためだけに利用するなら、委託に近い整理になります。
• 相手方が、自社営業、広告最適化、サービス改善、データベース構築、他社案件との混合分析、AIモデル学習など、自社目的で利用するなら、第三者提供または別個の本人同意取得が必要となりやすいです。
• 複数事業者が、本人にあらかじめ示した共同利用目的の範囲で利用するなら、共同利用が候補となります。

個人情報保護委員会Q&Aは、委託先が委託元から提供された個人データを、委託内容と関係のない自社営業活動等のために利用する場合や、複数の委託元から提供された個人データを区別せず混ぜて取り扱う場合を、委託に該当しない例として示しています。

4.4 第4問 ― 本人から見て予測可能か

共同利用は、本人から見て、当初提供した事業者と一体のものとして取り扱われることに合理性がある場合に認められます。通則ガイドラインは、既に取得している個人データを他の事業者と共同利用する場合、共同利用者の範囲や利用目的等が、本人が通常予期し得ると客観的に認められる範囲内である必要があるとしています。

したがって、共同利用は「本人同意を取らずに広く共有できる便利な逃げ道」ではありません。共同利用者の範囲、利用目的、データ項目、責任者を明確化し、本人が容易に知り得る状態に置く必要があります。

6.1 委託の本質

委託とは、個人情報取扱事業者が、利用目的の達成に必要な範囲内で、個人データの取扱いの全部または一部を外部者に行わせることです。通則ガイドラインは、委託に伴う提供の場合、提供先は第三者に該当せず、委託先は委託された業務の範囲内でのみ取り扱うことができ、委託業務以外に当該個人データを取り扱うことはできないと説明しています。

委託の典型例は、発送代行、データ入力、給与計算、コールセンター、システム保守、クラウド運用、決済処理、請求書発行、メール配信、キャンペーン事務局、アンケート集計、本人確認業務、カスタマーサポートです。

6.2 委託のプライバシーポリシー記載例

委託は、法27条5項1号に該当すれば第三者提供ではありません。そのため、第三者提供欄に「委託先に第三者提供します」と書くのは避ける。通常は、第三者提供とは別の見出しで記載します。

委託先名をすべて列挙する義務が常にあるわけではないが、透明性、消費者理解、委託先の重要性、データの性質、業界慣行、外国移転の有無に応じて、主要委託先または委託業務類型を公表することが望ましい場面があります。

6.3 委託契約に入れるべき事項

個人情報保護法25条は、個人データの取扱いを委託する場合、委託先に対する必要かつ適切な監督を求める。通則ガイドラインは、委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握を挙げ、再委託についても事前報告・承認や監査等を通じて確認することが望ましいとしています。

委託契約には、少なくとも次の事項を入れる。

1. 委託業務の内容。
2. 取り扱う個人データの項目、対象者、件数、媒体、保管場所。
3. 委託先の利用範囲は委託業務遂行に必要な範囲に限ること。
4. 委託先による目的外利用、第三者提供、複製、持出し、本人ごとの突合、他データとの混合を禁止または制限すること。
5. 再委託の可否、事前承認、再委託先管理、再々委託以降の管理。
6. 安全管理措置。アクセス制御、ログ、暗号化、脆弱性管理、教育、秘密保持、端末管理、物理的管理。
7. 委託元による監査、報告徴収、証跡提出、是正要求。
8. 漏えい等発生時の即時通知、調査協力、本人通知・当局報告の分担。
9. 契約終了時の返還、削除、消去証明、バックアップ削除。
10. 外国で取り扱う場合の所在国、アクセス国、サーバ所在地、外的環境把握、法28条対応。
11. 損害賠償、補償、責任制限の例外、情報セキュリティ保険。

6.4 委託先の自社利用はどこまで許されるか

委託先が提供を受けた個人データを自社のために利用する場合、委託の範囲を逸脱しやすいです。個人情報保護委員会Q&Aは、委託先が委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければならず、委託業務の範囲外で統計情報に加工して自社のために用いることはできないと説明しています。

また、広告配信の委託に伴って取得した本人の反応等の別の個人データについても、委託先が自社のために利用することはできないとされています。委託先が独自に取得した個人データまたは個人関連情報と、委託元から提供された個人データを本人ごとに突合することもできないとされています。

このため、次のような条項は、委託契約上、明確に規定すべきです。

6.5 委託か第三者提供か迷う典型例

6.5.1 アンケート調査

外部事業者のみがアンケート調査に係る個人データを取り扱い、調査依頼者が一切個人データの取扱いに関与しない場合、通常は委託ではなく、外部事業者が自ら個人データを取り扱う主体と解されます。他方、依頼者がデータ内容を確認できる、契約上データ取扱権限がある、外部事業者の取扱いに制限が設けられる場合には、委託と解され得ます。

この違いは、プライバシーポリシーと契約書の書き分けに直結します。依頼者が個人データを受け取らない統計調査なら、依頼者側で「委託先に個人データを提供する」と書くのは誤りとなる場合があります。

6.5.2 配送・通信

個人情報データベース等に含まれる相手の氏名・住所等宛てに荷物等を送付する行為は一般に委託に該当するとされています。一方、配送事業者が配送を依頼された中身の詳細に関知しない通常の場合、中身の個人データについてまで取扱いの委託をしているものではないと解されます。

6.5.3 クラウド

クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合、第三者への「提供」には該当しませんが、利用者である個人情報取扱事業者は安全管理措置を講じる必要があります。外国クラウドの場合には、外国の制度等の把握や保有個人データの安全管理措置に関する本人の知り得る状態への対応が問題となります。

8.1 グループ会社間共有

グループ会社間の共有は、自動的に共同利用になるわけではありません。

• 子会社が親会社に給与計算・人事システム運用を委託するなら、委託の可能性があります。
• 親会社と子会社がグループ人事、コンプライアンス、内部通報、グループ会員管理のために一定範囲で一体的に利用するなら、共同利用の可能性があります。
• 子会社顧客に親会社が自社サービスを営業するためにデータを受け取るなら、第三者提供の可能性が高いです。

グループ内であっても、本人から見れば別法人です。共同利用にするなら、共同利用者の範囲、目的、項目、責任者を明確にします。第三者提供にするなら、同意や記録を整備します。委託にするなら、親会社・子会社のどちらが委託元で、どの業務を処理しているのかを契約で定めます。

8.2 広告配信・マーケティング

広告配信では、「委託」と「第三者提供」の境界が特に問題となります。

委託といえるのは、広告配信事業者が委託元の指示に従い、委託元の広告配信業務の範囲内でのみ個人データを取り扱う場合です。これに対し、広告配信事業者が自社データベースと突合し、自社ネットワークで独自にターゲティング、プロファイリング、広告効果測定、モデル改善、他広告主向け最適化を行う場合、委託と整理するのは困難になり得ます。

個人情報保護委員会Q&Aは、委託先が委託元から提供された個人データを独自取得データまたは個人関連情報と本人ごとに突合することはできないとし、SNS運営事業者やポイントサービス運営事業者との突合事例を示しています。

8.3 AI学習・分析技術改善

委託先が、委託業務の処理の一環として分析技術を改善する場合について、Q&Aは個別判断としつつ、委託元の利用目的達成に必要な範囲内である限り、自社の分析技術の改善のために利用できる場合があると説明しています。しかし、これは無限定なAI学習許諾ではありません。

実務上は、次の点を明確にします。

1. 改善対象が委託業務の品質向上に限られるか。
2. 委託元データが他社データと混合されるか。
3. 個人データがモデルに残存・抽出されるリスクがあるか。
4. 委託終了後も成果物やモデルを委託先が利用するか。
5. 本人ごとの突合・プロファイリングが行われるか。
6. 外国で学習・保守・アクセスされるか。

委託先が自社サービス全般のモデル改善に利用する場合は、委託の範囲を超えるおそれが高いです。第三者提供、共同利用、本人同意、匿名加工情報、統計情報、秘密計算、合成データなどの別整理を検討します。

8.4 共同キャンペーン

共同キャンペーンでは、応募フォームをどちらが運営し、どちらが個人データを取得し、どちらが何に使うかで結論が変わります。

• A社が事務局をB社に委託し、B社は抽選・発送だけを行う ― 委託。
• A社とB社が共同主催し、応募者情報を両社がキャンペーン運営に使う ― 共同利用または共同取得の設計。
• B社が応募者に自社商品の案内を行う ― 第三者提供またはB社による直接取得・同意取得。

応募画面では、「主催者」「個人データの取得主体」「共同利用の有無」「第三者提供の有無」「委託先の有無」を一体として表示します。

8.5 フランチャイズ・代理店・販売店

フランチャイズ本部と加盟店、メーカーと販売店、保険会社と代理店、旅行業者と手配先、学校と提携事業者なども、ラベルだけでは決まりません。

• 代理店が本人から直接取得し、自社の顧客管理も行うなら、代理店自身が個人情報取扱事業者となります。
• 本部が加盟店にシステム処理を委託するなら委託。
• 本部・加盟店が統一会員制度として顧客情報を共同利用するなら共同利用。
• 本部が加盟店から顧客リストを受け取り、自社商品の営業に使うなら第三者提供。

8.6 M&A・事業承継

合併、分社化、事業譲渡等に伴い事業が承継される場合、法27条5項2号により第三者に該当しない場合があります。通則ガイドラインは、事業承継後も、提供前の利用目的の範囲内で利用しなければなりませんとし、交渉段階の提供についても、利用目的、取扱方法、漏えい時措置、交渉不調時の措置等、安全管理措置を遵守させる契約を締結する必要があると説明しています。

M&A実務では、デューデリジェンス資料室に顧客・従業員データを置く場合、匿名化、マスキング、閲覧制限、NDA、利用目的制限、アクセスログ、交渉不成立時の削除を設計します。

8.7 外国にある委託先・共同利用者・第三者提供先

国内法上は委託や共同利用で第三者に該当しない場合でも、外国にある第三者に個人データを提供する場合は法28条が別途問題となります。個人情報保護委員会FAQは、外国にある第三者に個人データの取扱いを委託する場合も、一定の場合を除き、法28条1項に基づき、あらかじめ外国にある第三者への提供を認める旨の本人同意を得る必要がありますと説明しています。

外国委託や外国クラウドでは、次の論点を確認します。

1. 提供先・委託先・再委託先はどの国に所在するか。
2. サーバ所在地、アクセス国、サポート担当者所在地はどこか。
3. 当該国が同等水準国に該当するか。
4. 相当措置を継続的に講ずる体制が整備されているか。
5. 法28条同意を取得する場合、本人への情報提供は十分か。
6. 外的環境の把握と安全管理措置の公表は行っているか。
7. 再移転・再委託の制限は契約に入っているか。

以下の順で判断します。

12.1 第三者提供チェックリスト

• 提供先は別主体か。
• 提供先の利用目的は提供先自身の目的か。
• 本人同意が必要か。法定例外に該当するか。
• 同意文は、提供先、目的、項目、方法を本人が判断できる程度に明確か。
• 要配慮個人情報が含まれるか。
• オプトアウトを使う場合、届出・公表・対象外データの確認をしたか。
• 第三者提供記録・受領時確認記録が必要か。
• 外国にある第三者か。法28条対応は必要か。
• 再提供を認めるか。認める場合の条件はあるか。
• 本人からの利用停止・第三者提供停止請求への対応分担はあるか。

12.2 委託チェックリスト

• 委託元の利用目的達成に必要な範囲か。
• 委託先の独自利用が禁止されているか。
• 委託業務の内容、データ項目、処理範囲が契約で特定されているか。
• 委託先選定時に安全管理措置を確認したか。
• 委託契約に安全管理、目的外利用禁止、再委託、監査、削除、漏えい報告があるか。
• 再委託・再々委託の承認と監督があるか。
• 委託先が他社データと混ぜない設計か。
• AI学習、分析技術改善、広告最適化、本人ごとの突合を許すか。許す場合の法的根拠は何か。
• 外国委託・外国アクセス・外国サーバがあるか。
• 委託先管理台帳と定期監査があるか。

12.3 共同利用チェックリスト

• 本人から見て一体利用として合理性があるか。
• 共同利用をする旨を表示しているか。
• 共同利用される個人データの項目を具体的に記載しているか。
• 共同利用者の範囲を本人が判断できる程度に明確化しているか。
• 共同利用者の利用目的を全て表示しているか。
• 管理責任者の名称、住所、代表者氏名を表示しているか。
• 共同利用契約を締結しているか。
• 目的外利用、再提供、漏えい対応、本人対応、終了時処理を決めているか。
• 項目や共同利用者範囲の変更が必要になった場合、本人同意等の手続を検討しているか。
• 外国共同利用者がいる場合、法28条を検討したか。

第三者提供・委託・共同利用の書き分けは、法務部だけで完結しません。営業、マーケティング、プロダクト、情報システム、セキュリティ、経理、人事、内部監査、経営企画、M&A担当、海外拠点が同じ基準で判断できる仕組みが必要です。

14.1 社内ルール

社内規程には、次を定めます。

1. 個人データ外部提供の事前承認制。
2. 第三者提供・委託・共同利用・事業承継・個人関連情報提供の定義。
3. 法務・プライバシー・セキュリティ審査の要否。
4. 標準契約書、DPA、共同利用契約、第三者提供契約の使い分け。
5. 外国移転審査。
6. ベンダー審査、再委託審査。
7. 記録義務・台帳管理。
8. 変更時レビュー。
9. 漏えい等発生時の報告ルート。

14.2 RACI

次の表は、この章の主要項目を比較して整理したものです。読者にとって重要なのは、列ごとの差が実務上の判断や対応時期に直結する点です。各列を横に見比べ、どの項目で義務、リスク、準備事項が変わるかを読み取ってください。

14.3 監査項目

内部監査では、次を確認します。

• プライバシーポリシーの記載と実態が一致しているか。
• 委託先が委託業務外利用をしていないか。
• 共同利用者の範囲が公表内容を超えていないか。
• 第三者提供記録が保存されているか。
• 外国委託・外国クラウドの外的環境把握が更新されているか。
• 再委託先が台帳に登録されているか。
• 契約終了後の削除証跡があるか。
• 新規サービス開始時に法務レビューが行われているか。

第三者提供・委託・共同利用の書き分けは、次の一文に集約できます。

相手方が自社目的で使うなら第三者提供、委託元の目的達成のためだけに処理するなら委託、本人に示した範囲・目的・項目・責任者のもとで複数事業者が一体利用するなら共同利用です。

ただし、現実の企業法務では、広告、AI、SaaS、グループ経営、共同事業、M&A、海外委託が重なり、単純な三分類だけでは足りません。実務上は、データマッピング、プライバシーポリシー、契約書、同意文、共同利用公表事項、委託先管理、記録義務、外国移転、内部監査を一体で設計する必要があります。

最終的な書き分けの基準は、文言ではなく実態です。社内で「これは委託と呼ぶ」「これは共同利用と書く」と決める前に、本人から見た予測可能性、提供先の利用目的、管理責任、契約上の制御、技術的制御、外国移転、記録義務を確認します。その積み重ねこそが、企業法務における個人情報ガバナンスの核心です。