委託・共同利用・第三者提供の違いとは？同意の要否と判断基準を個人情報保護士が解説

ビジネスを加速させる上で、自社で保有する個人データを外部企業と連携させる場面は避けて通れません。「発送作業を外注する」「グループ会社で顧客データを共有する」「他社とデータ連携を行う」など、その形は様々です。

ここで実務担当者を悩ませるのが、「本人の同意が必要なケースと、不要なケースの境界線」です。

今回は、個人情報保護法における「第三者提供」の考え方と、その例外となる「委託」「共同利用」の区別について、公式ガイドラインの根拠をもとにスッキリ整理していきます。

原則は「第三者提供＝本人の同意」が必要

個人情報保護法（第27条第1項）では、あらかじめ本人の同意を得ることなく、個人データを第三者に提供してはならないのが大原則です。しかし、現代の複雑なビジネスにおいて、あらゆる外部連携に個別の同意を得ることは現実的ではありません。

そこで法律は、「実質的に、提供元と提供先が一体とみなせる、あるいは提供元の管理下にある」と判断できるケースについて、同意を不要とする例外を設けています。

実務で迷う「3つの形態」を、公式の定義を引用しながら整理しましょう。

自社の業務を遂行するために、その範囲内で個人データを扱わせる形態です。

【引用：個人情報の保護に関する法律についてのガイドライン（通則編）】
個人情報取扱事業者が、利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
出典：個人情報保護委員会「ガイドライン（通則編）」

特定の者（グループ会社等）との間で、共同でデータを利用する形態です。

【引用：個人情報保護法第27条第5項第3号】

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに……事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき

出典：e-Gov法令検索（個人情報の保護に関する法律）

提供先が、「自らの目的」でデータを利用する形態です。

「魔法の質問」をさらに公式の見解に近づけると、以下のようになります。

「提供先は、提供元の指示通りに動くだけか、それとも自ら利用目的を決めているか？」

個人情報保護委員会のQ&A（Q12-5）でも、委託と第三者提供の区別について触れられています。

例えば、MA（マーケティングオートメーション）ツールに情報を入れるのは「委託」ですが、ツール提供会社がそのデータを「自社のAIの学習や他社へのレコメンド」に使うのであれば、それは「第三者提供」の同意が必要になる、というわけです。

形態が決まったら、実務家（個人情報保護士）として以下の「落とし込み」を行います。

外部とのデータ連携は、正しく整理すればビジネスの大きな武器になります。

この3つの区別を明確にすることで、「この案件は規約修正だけで進められます」と、スピード感を持って法的に正しいアドバイスができるようになります。

【免責事項】
本記事の内容は、公開時点の法令およびガイドラインに基づいた一般的な情報提供を目的としています。個別の契約内容や実態によって法的判断は異なります。実務への適用にあたっては、必ず弁護士等の専門家へご相談ください。