第三者提供

定義

第三者提供とは、個人情報取扱事業者が、保有する個人データを自社以外の第三者に渡すことです。個人データとは、おおまかにいえば、個人情報データベース等を構成する個人情報を指します。

個人情報保護法第27条第1項は、第三者提供を次のように制限しています。

> 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

この条文から、第三者提供には次の要件があると読めます。

• 誰の行為か: 個人情報取扱事業者の行為である
• 何を渡すか: 対象は個人データである
• 誰に渡すか: 受け手は第三者である
• 原則として何が要るか: あらかじめ本人の同意を得る
• 例外: 条文に掲げる場合は、本人の同意がなくても提供できる

つまり、原則は本人の事前の同意です。同意なしに提供できるのは、法律が定めた例外に当たる場合に限られます。

制度の要点

1. オプトアウトによる提供(第27条第2項)

本人の同意を得る代わりに、次の条件を満たせば、本人の同意なく第三者に提供できます。

• 本人から求められたら第三者への提供を停止することにしている
• 一定の事項をあらかじめ本人に通知するなどしている
• 個人情報保護委員会に届け出ている

本人が先に同意する仕組み(オプトイン)に対し、本人が後から停止を求める仕組みなので、オプトアウトと呼ばれます。事前の通知などと委員会への届出の両方が要る点を押さえておきます。

2. 外国にある第三者への提供(第28条)

外国にある第三者に個人データを提供する場合には、第27条とは別の制限もかかります。第28条第1項により、第27条第1項各号に掲げる場合を除き、あらかじめ本人から、外国にある第三者への提供を認める旨の同意を得なければなりません。ただし、個人情報保護委員会規則で定める、日本と同等の水準にある外国などは、この制限の対象から除かれます。

国内の第三者提供への同意とは別に、外国への提供を認める同意が求められる点が特徴です。

3. 提供記録の作成義務(第29条)

個人情報取扱事業者は、第三者に個人データを提供したら、次の事項の記録を作成しなければなりません。

• 提供した年月日
• 受け手の氏名または名称
• その他、個人情報保護委員会規則で定める事項

本人の同意を得たかどうかにかかわらず、提供したという事実を後から確かめられるようにしておくための決まりです。

委託に伴う提供は第三者提供に当たらない(第27条第5項第1号)

第27条第5項第1号は、次の場合の受け手を第三者に当たらないものとしています。

> 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

この場合、受け手は第三者ではないので、第27条第1項が求める本人の同意は要りません。第三者提供の制限を理解するときは、この例外に当たるかどうかを要件と並べて確かめることが大切です。この例外の条件は、利用目的の達成に必要な範囲内であることと、個人データの取扱いを委託することです。

AIとの関わり

AIの開発や運用では、個人データを社外に渡す場面がよくあります。たとえば次のような場面です。

• 外部のAIベンダーに、モデルの学習や分析のためのデータを渡す
• 他社と学習データを共有する、または共同で利用する
• 海外に拠点があるクラウドやAIサービスにデータを送る

こうした提供が第三者提供に当たるかどうかは、個別の事情で結論が変わりうるため、一律には決められません。一般的には、次の点を確かめておくことが勧められます。

• 受け手が第三者に当たるか: 第27条第5項第1号の委託に当たるかどうかを確かめる。条文は利用目的の達成に必要な範囲内の委託としているため、受け手がそのデータを自社の目的にも使う予定があるなら、この例外に当たるかを特に慎重に確かめる
• 本人の同意やオプトアウトの手続を踏んでいるか: 第三者提供に当たる場合、同意を得たか、第27条第2項の手続を済ませたか
• 受け手が外国にあるか: 外国にある第三者への提供なら、第28条の同意が別に要るかどうか
• 記録を作成しているか: 第三者提供に当たる場合、第29条の記録を作成したか

実際にどう扱うかは、個人情報保護委員会が示す資料で確かめ、必要に応じて専門家に相談して判断します。