個人データの委託と第三者提供の違い｜SGで迷う独自利用・突合・クラウドを図解

個人情報保護法のケースでは、外部企業へ名簿を渡したという事実だけで結論を選びたくなります。しかし「誰の目的で、どの処理をするか」が変われば、同じファイルの受渡しでも整理が変わります。本記事は用語の総まとめではなく、委託・独自利用・クラウドの境界を見分けるための説明です。

個人情報と個人データの定義、法令全体の流れは個人情報保護法の基本に譲ります。ここでは個人データに当たる一覧を扱うことを前提に、架空の受付代行業務を考えます。実際の個人情報を演習に使わず、架空の名称と条件で処理の目的を整理してください。

PPCの通則編3-6-3では、利用目的の達成に必要な範囲で個人データの取扱いを委託することに伴う提供について、提供先を第三者に当たらないとしています。委託した処理の範囲があるので、「委託契約」と書かれた書面があれば、受け手のあらゆる利用が認められるという意味ではありません。

下図は論点を三つに分けた当サイトの整理です。第三者に当たらない委託と、そもそも個人データの提供に該当しないクラウドの利用は、同じ根拠ではありません。また、図の第三者提供は原則を示したもので、法令上の例外や共同利用の全要件を省略しています。個別案件は組織の情報管理・法務担当へ確認してください。

架空の講座運営会社Aが、申込者の受付と開催連絡を会社Bへ委託するとします。Aの利用目的は当該講座の申込管理と連絡で、Bはそのために必要な氏名・連絡先を処理します。この条件を、単に「他社へ渡したから、常に本人同意が必要」と読み替えるのは適切ではありません。

その後Bが、「受け取った申込者へ、当社独自の別講座も案内したい」と提案しました。Aの受付連絡と、B自身の販売促進は目的が違います。委託された名簿を、委託の名称だけを根拠に別の営業活動へ流用してよいとはいえません。第三者提供としての本人同意の原則など、別の条件を確認する必要があります。

これは当サイトの架空例で、公式問題や実在の事案の再現ではありません。本人への説明、同意の内容、取得経緯、適用される例外などを全て仮定した適法性判断ではなく、二つの処理を分ける学習です。「渡す相手が同じ」でも、何に使うかが変わったことに注目します。

さらにBが、委託された申込者の連絡先を、自社で独自に集めた会員情報と本人ごとに照合する計画を考えたとします。「新しい項目を足すだけ」「名簿を整えるだけ」という説明でも、二つのデータを結び付ける処理が増えた点を見落とさないでください。

PPCのQ7-41は、委託に伴って受け取った個人データを、独自取得した個人データ・個人関連情報と本人ごとに突合することは、そのままの委託の整理ではできないとしています。第三者提供として原則本人同意を得る方法や、委託先で本人同意を取得する等の対応も示されています。単純に「突合はどんな条件でも永久に禁止」と覚えるのでもなく、必要な整理と対応を確認します。

学習ノートには、元の委託処理と追加の突合処理を別の行に書き、データの出所、誰の利用目的か、本人への対応が確認できているかを残します。同意の有無が本文に書かれていないなら、都合よく取得済みと補わないことが、ケースの読み違いを防ぎます。

PPCのQ7-53は、クラウドに個人データが入っているかだけでなく、サービス提供事業者がそのデータを取り扱うこととなっているかで判断すると説明しています。事業者が取り扱わないこととなっている場合は、個人データの提供に当たらず、その提供についての本人同意や法第25条の委託先監督は必要とされません。

その条件の例として、取り扱わない旨の契約条項と適切なアクセス制御が挙げられています。「普段は担当者が見ていない」「有名なクラウドだから」という印象だけで、この条件を満たすと決めないでください。契約とサービスの機能・運用を確認し、事業者に任せる処理が変わった場合も再確認します。

一方、Q7-54は、この場合でも利用する事業者自身の安全管理措置は必要だとしています。「提供ではないから何も点検しない」は誤りです。利用者のアカウントや共有設定など、自社で担う管理を確認します。外国にある事業者や海外での取扱いは追加の論点があるため、本記事の国内例だけで判断しないでください。

委託に当たる場合、PPC通則編3-4-4は選定、契約、取扱状況の把握を整理しています。契約を結んで終わりではありませんが、全ての委託先へ同じ頻度・方法の現地検査を課すという説明でもありません。扱うデータの内容や規模に応じた適切な確認方法を考えます。

例えば学習用の管理メモなら、どの処理を頼んだか、確認した根拠、未確認の項目、追加利用の提案、相談先を残します。監視・通知・実作業の契約範囲や終了時の引継ぎなど、運用面の詳細は外部委託チェックリストへ分けています。

IPAの科目Bの出題内容には委託先管理等のケースが含まれます。本記事の事例が出るという予告ではありません。練習では、主体をA・Bと区別するだけでなく、それぞれの利用目的と実際の処理を書き出し、選択肢がどの条件を無視しているかを説明してみましょう。

科目Bの読み方は本文の条件整理、SGの仕事への活かし方は職場の相談先と判断シートを扱います。当サイトの無料6問は操作や解説の相性を確かめる入口で、この法令論点を全部診断するものではありません。SG教材・料金で学習範囲を確認できます。

この記事は2026年10月17日に確認した掲載ガイドラインとQ&Aの説明をもとにしています。PPCは令和8年改正について、政令・規則等の整備に向けた検討状況も公表しています。改正法が公布されたことと、その規律が既に施行されていること、現在の設問が前提とする時点を分けて確認してください。

具体的な業務では、データの種類、取得・利用目的、本人への対応、契約、外国での取扱いなどにより検討事項が増えます。本記事は個別案件の法的助言や適合証明ではありません。判断できない条件を推測で埋めず、末尾のPPC資料と組織の専門窓口で確認するための学習材料として使ってください。