会社が集めた個人情報を、別の会社へ渡してよい？

提供のルールでは「個人データ」を区別する

個人情報は、生きている個人について、氏名などから本人を識別できる情報等を指します。そのうち個人情報データベース等を構成する情報が「個人データ」です。個人データの第三者提供には、原則としてあらかじめ本人の同意が必要です。ここでは民間の事業者の間でデータを渡す場合を考えます。

同意原則には条件付きの例外もあります。法律に基づく場合や、生命・身体・財産を守るために必要で、本人の同意を得ることが困難な場合などです。名前を外しただけで、どの情報も自由に提供できると決まるわけでもありません。

本人の求めに応じて第三者提供を止める「オプトアウト」という別の経路もあります。ただし、必要事項の事前通知等や個人情報保護委員会への届出などが必要で、この経路を使えない情報もあります。知らせておけば、あらゆるデータを同意なく渡せる仕組みではありません。

処理を委託する場合は、利用目的の範囲を確認する

会社が利用目的を達成するために必要な範囲で個人データの取扱いを他社へ委託し、その委託に伴って提供する場合があります。受託者は、個人情報保護法27条の第三者提供の制限では、第三者に当たらない扱いになります。

大切なのは、何のために、どの処理を任せるかです。契約書で相手を「委託先」と呼ぶだけで、利用目的と関係のない使い方まで認められるわけではありません。別会社に渡したという外形だけでも、通常の第三者提供と同じとは決まりません。

委託元は、安全管理の監督をする

第三者に当たらない扱いでも、個人データに関する義務が全部なくなるわけではありません。委託元は、委託したデータの安全管理が図られるよう、委託先に必要かつ適切な監督をしなければなりません。自身にも、漏えいなどを防ぐ安全管理措置の義務があります。

仕事を外へ任せることと、安全管理について相手を監督することは両立します。どのデータを誰が扱うのかを整理して考えます。ただし、法律のこの規定だけで、あらゆる委託に同じ監査回数や同じ契約条項が必要だとは決められません。

共同利用するなら、項目・範囲・責任者を先に知らせる

特定の会社などとデータを共同利用する場合も、27条の第三者に当たらない扱いとなる条件があります。共同利用する旨、データの項目、利用者の範囲、利用目的、管理責任者の氏名又は名称と住所、法人なら代表者氏名を、あらかじめ本人に通知するか、本人が容易に知れる状態に置きます。

グループ企業であるだけで、自動的にこの条件を満たすわけではありません。利用目的や管理責任者を変更する場合は事前の通知等が必要です。責任者の名称や住所、代表者氏名の変更は、遅滞なく知らせるなどのルールがあります。誰が何のために共有するのかを明らかにする仕組みです。

外国へ渡す場合は、国内の区別だけで終えない

外国にある第三者へ提供する場合には、28条の規定もあります。原則として、その外国提供を認める本人の同意と、外国の制度や提供先の保護措置などの事前情報提供が必要です。国内の委託や共同利用という説明だけで、外国提供の条件まで消えるわけではありません。

日本と同等水準と認められた国等や、日本の法律上の措置に相当する措置を継続して講じる体制がある提供先には、別の扱いがあります。後者へ渡す事業者には、その措置の継続を確保し、本人の求めに応じて必要な情報を提供する義務もあります。

発送の委託と、グループ会社との共同利用

架空の例

通販会社A社が、注文処理の利用目的に必要な範囲で、発送先データの処理をB社へ委託するとします。この委託に伴う提供なら、通常の第三者提供とは異なる扱いになります。A社には、B社で安全管理が図られるよう監督する義務が残ります。

一方、A社とC社がデータを共同利用する設定では、共同利用する項目、会社の範囲、目的、管理責任者等を先に知らせているかを見ます。発送を任せる話と、複数社でデータを使う話では、確認する条件が違います。

持ち帰る見方

• 別会社への提供でも、通常の第三者提供・委託・共同利用で条件が異なる。
• 委託先の監督、共同利用の事前通知等、外国提供の条件は残る。

次に広がる疑問

• 会社の利用目的と、本人が開示等を求める権利を読む
• 他者へ任せる仕事と監督の問題を比べる
• 民間企業のデータ提供と、行政文書の公開を分ける

出典

• 個人情報の保護に関する法律（e-Gov法令検索（日本））https://laws.e-gov.go.jp/api/2/law_data/415AC0000000057_20261001_507AC0000000070

  確認日：2026-10-05