第三者提供・委託・共同利用の違い｜外部提供で迷う基本だけ整理

第4話〜第6話で、利用目的・取得・目的外利用を学びました。第7話では、個人データを外部に渡す場合の基本に進みます。なお、これは社内の別目的利用（目的外利用）とは別の論点です（目的外利用は第6話を参照）。

まず結論｜外部に渡す場合の3分類で考える

先に結論をお伝えします。個人データを外部に渡す場合は、まず「第三者提供」「委託」「共同利用」のどれに近いかを整理することが出発点です。迷ったときは、次の視点で考えます。

注意したいのは、「外部に渡す＝すべて第三者提供」ではないこと、そして「委託や共同利用に分類すれば何でも自由」でもないことです。分類ごとに、別の確認事項が発生します。

なお、クラウドサービスやSaaSの利用は、委託に近い場合もありますが、サービス提供者が個人データを取り扱うか、契約上どう定められているか、アクセス制御がどうなっているかによって、委託・第三者提供・「提供」に当たらない整理が分かれます。詳しくは第14話：SaaS・クラウドサービス利用時のチェックで扱います。

第三者提供とは｜原則は本人同意

個人情報保護法では、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないのが原則です（法第27条第1項）。ここでいう「第三者」とは、おおまかには自社（提供する事業者）と本人以外の外部の者というイメージです。

第三者提供にあたる代表的な場面は、次のようなものです。

• 提携先企業に顧客リストを渡す
• グループ会社が「自社の営業目的」で利用するために顧客情報を受け取る
• 共同キャンペーンの相手に参加者情報を渡す（共同利用の枠組みでない場合）
• 広告配信事業者に個人データを提供する

ただし、本人同意がなくても提供できる例外も法令で定められています。たとえば、法令に基づく場合、人の生命・身体・財産の保護に必要で本人同意の取得が困難な場合、公衆衛生の向上や児童の健全育成に特に必要な場合、国の機関等への協力が必要な場合などです。また、一定の要件を満たす「オプトアウト」による提供の仕組みもあります（法第27条第2項）。

こうした例外の該当性や、提供時の確認・記録義務の詳細は、個人情報保護委員会のガイドラインや既存記事個人情報はどこまで共有できるかで整理しています。

委託とは｜「自社のために処理してもらう」場面

委託は、自社の利用目的の達成に必要な範囲内で、個人データの取扱いの全部または一部を外部業者に任せる場面です。この場合、委託先は「第三者」に該当しないと整理され、委託先への提供自体に本人同意は不要とされています（法第27条第5項第1号）。

委託にあたる代表的な場面は、次のようなものです。

• 給与計算会社に従業員情報を渡す
• 配送業者に配送先の氏名・住所を渡す
• メール配信業者に配信先リストを預ける
• クラウドサービスやSaaSに顧客データを保存する場合（分類は契約内容・取扱実態により個別に確認）
• コールセンターに問い合わせ対応を委託する
• 採用管理システムに応募者情報を保存する

共同利用とは｜「グループ会社なら自由」ではない

共同利用は、特定の者との間で個人データを共同して利用する枠組みです。一定の事項を本人に通知し、または本人が容易に知り得る状態に置いている場合、共同利用者は「第三者」に該当しないと整理されます（法第27条第5項第3号）。

共同利用するために、あらかじめ本人に通知または本人が容易に知り得る状態に置くべき事項は、次のとおりです。

• 共同利用をする旨
• 共同して利用される個人データの項目
• 共同して利用する者の範囲
• 利用する者の利用目的
• 個人データの管理について責任を有する者の氏名または名称・住所（法人はその代表者の氏名）

共同利用にあたり得る代表的な場面は、グループ会社間での顧客情報の共同利用、共同サービス運営者間での会員情報の共同利用、共同キャンペーンでの申込者情報の共同利用、親会社・子会社間での問い合わせ情報の共同利用などです。

第三者提供・委託・共同利用の違いを比較表で整理

3分類の違いを、ひとつの表で見比べてみましょう。同じ「個人データを外部に渡す」場面でも、提供先の利用目的によって分類が変わる点がポイントです。

外部提供で迷ったときの判断フロー

事業部門から相談を受けたとき、次の順番で確認すると、分類と必要な対応を整理しやすくなります。

1. 渡す情報は「個人データ」か
2. 外部に渡す相手は誰か（提供先の特定）
3. 相手は自社のために処理するだけか（→ 委託の方向）
4. 相手が相手自身の目的で利用するか（→ 第三者提供の方向）
5. 複数者で共同の目的・責任関係を設計しているか（→ 共同利用の方向）
6. 本人同意・通知・公表・共同利用事項の表示はあるか
7. 契約・再委託・安全管理措置は整っているか
8. 海外提供や外国クラウドの論点はあるか
9. 判断記録を残したか

場面別｜どれに当たりやすいか

実務で迷いやすい場面を、分類の方向性とともに整理します。あくまで一般的な方向性であり、実際の判断は契約内容や利用実態により変わるため、個別確認が必要です。

生成AIサービスへの入力は、委託・提供の該当性や入力可否の整理など固有の論点があります。詳しくは生成AI時代の委託・再委託チェックリスト、法務でChatGPTはどこまで使える？をご覧ください。

委託先管理で最低限見るべきこと

委託は第三者提供に当たらない場合でも、委託先管理が不要になるわけではありません。委託元には委託先の必要かつ適切な監督が求められます（法第25条）。最低限、次の事項を確認しましょう。

詳細な契約条項のチェック観点は個人情報と契約条項｜委託・共同利用・第三者提供で必ず見るべき実務基準で整理しています。本記事では「最低限ここを見る」という入口にとどめます。

共同利用で最低限見るべきこと

共同利用は、本人が容易に知り得る状態に置くべき事項を整理する必要があります。「共同利用」と書けば自動的に何でも共有できる、というものではありません。

第三者提供で最低限見るべきこと

第三者提供では、本人同意の有無や例外該当性に加え、提供時の確認・記録義務（法第29条・第30条）も問題になり得ます。最低限、次の事項を確認しましょう。

確認・記録義務の詳細は、個人情報保護委員会「ガイドライン（第三者提供時の確認・記録義務編）」や、既存記事個人情報はどこまで共有できるかをご確認ください。

法務担当者が事業部門に確認すべき質問

外部提供の相談を受けたら、次の質問で分類と必要な手続を見極めます。

よくある誤解と正しい理解

外部提供をめぐる代表的な誤解を整理します。

判断記録を残す重要性

第三者提供・委託・共同利用の分類は、後から「なぜその分類で対応したのか」を説明する必要が生じることがあります。だからこそ、判断のプロセスを記録に残しておくことが実務上重要です。法務相談メモ、個人情報取扱台帳、委託先管理台帳、共同利用整理表、第三者提供記録、契約審査メモなどが、後から自社を守る材料になります。

このシリーズでの次の学び方

外部提供の分類を押さえたら、次は取得後の守り方に進みます。第8話では安全管理措置を、第9話では社内管理ルールを、第10話では漏えい等が起きたときの初動対応を扱います。第14話では、SaaS・クラウド利用時の個人情報チェックを詳しく扱います。

まとめ｜まず3分類を見極め、名称ではなく実態で判断する

個人データを外部に渡す場合は、まず第三者提供・委託・共同利用のどれに近いかを整理することが出発点です。そして、その分類は名称ではなく、提供先の利用目的・責任関係・契約関係・本人への説明内容から判断します。分類を誤ると、本人同意、通知・公表、契約条項、委託先管理、共同利用事項、確認・記録義務などの対応がずれてしまいます。