会社で個人情報を扱っていると、次のような相談が繰り返し発生します。

• この顧客情報を取引先に渡してよいのか
• 業務委託先に渡す場合も本人同意が必要なのか
• グループ会社であれば自由に共有できるのか
• クラウドサービスの利用は「委託」なのか
• 海外サーバに保存すると外国第三者提供になるのか
• 海外の再委託先まで確認する必要があるのか

この問題で重要なのは、 外部に個人データを渡す行為をすべて「第三者提供」と考えないこと です。

個人情報保護法上は、少なくとも 委託、事業承継、共同利用、第三者提供 を区別する必要があります。 さらに、相手方が外国にある場合には、 法28条の外国第三者提供規律 を別途検討しなければならない場合があります。

1．最初に結論｜「誰に渡すか」より「何のために、どの立場で扱わせるか」

個人データを他者に共有できるかを判断するとき、 相手の会社名や「グループ会社かどうか」だけを見ても結論は出ません。

実務では、次の順序で検討すると整理しやすくなります。

2．「個人情報」と「個人データ」は同じではない

共有規制を検討するときは、まず個人情報保護法上の情報区分を確認します。

例えば、名刺そのものも個人情報になり得ますが、 第三者提供規制の中心となる「個人データ」に当たるかは、 検索可能な形で個人情報データベース等を構成しているかなどを別途確認します。

3．利用目的を最初に確認する

個人情報を取得した後は、原則として、 あらかじめ特定した利用目的の達成に必要な範囲を超えて取り扱うことはできません。 現行法18条1項が基本です。

もっとも、 「利用目的を超えたら必ず違法」 とまで単純化するのも正確ではありません。 現行法18条3項には、例えば次のような例外があります。

• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要な場合
• 公衆衛生の向上または児童の健全な育成の推進のため特に必要な場合
• 国の機関等の法令上の事務への協力が必要な場合

4．委託｜法27条5項1号

4-1．委託とは何か

現行法27条5項1号は、 利用目的の達成に必要な範囲内で 個人データの取扱いの全部または一部を委託することに伴って個人データが提供される場合、 その提供先を同条の「第三者」に該当しないものとして扱っています。

契約書の表題が「業務委託契約」であるかどうかだけでは決まりません。

個人情報保護委員会のガイドライン上も、 データ入力、編集、分析、出力等を他者に行わせることなど、 実質的に個人データの取扱いを他者に委ねているか が問題になります。

一方、委託先が提供されたデータを、 自社の商品開発、独自マーケティング、独自営業等に利用できる場合、 その利用部分まで当然に法27条5項1号の「委託」に含まれるわけではありません。

委託業務に必要な範囲を超えた独自利用については、 第三者提供その他の法的根拠を別途検討する必要があります。

根拠：個人情報保護法27条5項1号、PPC通則編3-6-3等

4-2．委託なら第三者提供同意は原則不要。ただし委託先監督が必要

法27条5項1号の要件を満たす委託であれば、 その提供について法27条1項の第三者提供同意を取得する必要はありません。

その代わり、委託元には 法25条による委託先監督義務 があります。

個人情報保護委員会ガイドラインは、 委託元に対し、委託先において法23条に基づき自らが講ずべき安全管理措置と 同等の安全管理措置が講じられるよう、 必要かつ適切な監督を行うことを求めています。

4-3．クラウド利用は「当然に委託」ではない

クラウドサービスを利用しているという事実だけで、 クラウド事業者への個人データの「提供」や「委託」が当然に成立するわけではありません。

PPC Q&A Q7-53は、 クラウドサービス事業者が個人データを「取り扱うこととなっているか」 を基準に判断する考え方を示しています。

このような場合、 単にクラウド上のサーバにデータが保存されるという理由だけで、 クラウド事業者への個人データの「提供」や法27条5項1号の「委託」に当たるとは限りません。

逆に、クラウド事業者が、 保守、サポート、分析、バックアップ復旧、データ処理等のために個人データへアクセスし、 これを取り扱うこととなっている場合には、 実態に応じて委託その他の法的整理を行う必要があります。

根拠：PPC Q&A Q7-53

5．共同利用｜法27条5項3号

5-1．共同利用は一定の要件の下で「第三者に該当しない」仕組み

複数の会社が同じ目的のために個人データを共同して利用する場合、 法27条5項3号の要件を満たせば、 共同利用者は同条の「第三者」に該当しないものとして扱われます。

典型例は、企業グループ内で顧客情報や従業員情報を 一定の共通目的で利用する場合です。

5-2．共同利用で通知・容易に知り得る状態に置く事項

現行法上、共同利用を行うためには、次の事項を 本人に通知し、または本人が容易に知り得る状態に置く必要があります。

1. 共同利用する旨
2. 共同利用される個人データの項目
3. 共同利用する者の範囲
4. 共同利用する者の利用目的
5. 共同利用する個人データの管理について責任を有する者に関する所定事項

また、既に取得済みの個人データについて後から共同利用を開始する場合には、 当初の利用目的との関係も別途検討する必要があります。

5-3．共同利用の要件を欠いた場合

共同利用の必要事項を欠いている場合、 法27条5項3号によって 「第三者に該当しない」 と整理することはできません。

もっとも、それだけで直ちに 「本人同意がなければ違法」 と結論付けるのも正確ではありません。

根拠：個人情報保護法27条5項3号、PPC通則編3-6-3等

6．第三者提供｜法27条

6-1．現行ルール

委託、事業承継、共同利用等に該当せず、 別の法人等へ個人データを提供する場合は、 原則として法27条1項の第三者提供規制を検討します。

ただし、法27条1項各号には、 法令に基づく場合、人の生命・身体・財産の保護、 公衆衛生・児童の健全育成、 国等への協力、 一定の学術研究等について例外が定められています。

また、法27条2項以下には、所定の要件を満たす オプトアウト制度 があります。

6-2．提供記録・受領記録

第三者提供を行う場合には法29条、 第三者から個人データの提供を受ける場合には法30条により、 一定の場合に記録・確認義務が生じます。

また、 本人同意を取得した第三者提供だからという理由だけで、 当然に提供記録・受領記録が不要になるわけでもありません。

利用している提供根拠、提供態様、記録の作成方法を確認する必要があります。

一方、法27条5項によって第三者に該当しない 委託、事業承継、共同利用については、 通常の第三者提供としての法29条・30条とは別に整理されます。

根拠：個人情報保護法29条・30条、施行規則、PPC「第三者提供時の確認・記録義務編」

6-3．令和8年改正法によって第三者提供はどう変わるか

7．外国にある第三者への提供｜法28条

7-1．外国委託でも法28条を別途確認する

国内の委託先への個人データ提供であれば、 法27条5項1号の要件を満たす限り、 法27条上の第三者提供には当たりません。

しかし、委託先が 「外国にある第三者」 に該当する場合には事情が異なります。

根拠：個人情報保護法28条、PPC「外国にある第三者への提供編」、PPC Q&A Q12-1

7-2．本人同意ルートでは事前情報提供が必要

法28条1項の本人同意を根拠として外国にある第三者へ個人データを提供する場合、 同意取得に先立ち、 法28条2項および施行規則に基づく所定の情報提供が必要です。

7-3．基準適合体制ルートでは継続的な相当措置確保が必要

外国の第三者との間で、 個人データの取扱いについて 日本の個人情報取扱事業者が講ずべき措置に相当する措置が 継続的に実施されることを確保できる体制が整備されている場合、 法28条1項の本人同意によらず提供できる場合があります。

この体制は、例えば、

• 契約
• 確認書
• 覚書
• グループ内規程
• 一定の認証制度

などによって相当措置の実施が確保されているかが問題になります。

7-4．海外クラウドはサーバ所在地だけで判断しない

まず、 クラウド事業者が個人データを取り扱うこととなっているか を確認します。

ただし、法28条上の「提供」に当たらない場合でも、 外国において個人データを取り扱う場合には、 法23条の安全管理措置との関係で、 当該外国の個人情報保護制度等を把握したうえで安全管理措置を講ずる必要がある場合 があります。

また、保有個人データに関する公表事項等についても、 外国で個人データを取り扱う場合の安全管理措置に関する情報提供が問題となる場合があります。

根拠：PPC Q&A Q7-53、Q10-24、Q10-25、Q12-3等

8．再委託｜国内再委託と外国再委託を分けて考える

8-1．国内再委託

委託先がさらに別の事業者へ個人データの取扱いを委託する場合、 委託元は再委託の状況を含め、 法25条上の必要かつ適切な監督を行う必要があります。

PPCガイドラインでは、 再委託先の選定や取扱状況を把握するため、 事前の報告または承認を求めることや、 監査等を行うことが望ましいとされています。

8-2．外国への再委託

国内の直接委託先が、 さらに外国にある事業者へ個人データの取扱いを再委託する場合、 直接委託先において 法28条の外国第三者提供規律 が問題となることがあります。

例えば、基準適合体制を根拠として外国再委託を行う場合には、 法28条3項の相当措置の継続的確保等について、 直接委託先が義務主体となる場面があります。

また、外国の再委託先が個人データを取り扱う場合、 委託元の安全管理措置の観点からも、 当該外国の個人情報保護制度等の把握が問題になります。

8-3．事故時の責任は「すべて委託元だけ」とは限らない

再委託先で漏えい等が発生した場合、 委託元は自らの法25条上の監督が適切であったかについて 責任を問われる可能性があります。

しかし、 「事故が再委託先で起きても法律上の責任はすべて最初の委託元だけが負う」 と一般化するのは正確ではありません。

委託先・再委託先自身が個人情報取扱事業者として 個人情報保護法上の義務を負う場合には、 それぞれについて、

• 安全管理措置
• 漏えい等報告
• 本人通知
• その他の個人情報保護法上の義務

が問題となります。 契約上の補償・責任分担も、法令上の義務とは分けて検討します。

8-4．令和8年改正法による委託先規律の変更

9．場面別の実務判断

10．契約・社内規程では何を定めるべきか

10-1．委託契約

10-2．共同利用

10-3．第三者提供

10-4．外国第三者への提供

本人同意ルート

基準適合体制ルート

10-5．再委託

10-6．漏えい等

11．よくある危険な運用

12．個人データ共有チェックリスト

12-1．基本確認

• 対象情報は「個人情報」に該当するか
• 「個人データ」に該当するか
• 要配慮個人情報等の特別な規律がないか
• 利用目的の範囲内か
• 利用目的を超える場合、法18条上の根拠を確認したか

12-2．国内共有

• 相手方は同一法人か、別法人か
• 法27条5項1号の委託に当たるか
• 法27条5項2号の事業承継に当たるか
• 法27条5項3号の共同利用に当たるか
• 共同利用の必要事項を通知・容易に知り得る状態に置いているか
• 上記に当たらない場合、法27条1項・2項の第三者提供根拠を確認したか
• 法29条・30条の記録・確認義務を確認したか
• 記録の保存期間を作成方法に応じて確認したか

12-3．委託

• 利用目的達成に必要な範囲の委託か
• 委託先による独自利用を認めていないか
• 委託先を適切に選定しているか
• 安全管理措置を確認しているか
• 委託契約に必要な管理事項を定めているか
• 委託先の取扱状況を把握できるか
• 再委託先を把握できる仕組みがあるか

12-4．海外・クラウド

• 相手方が実際に個人データを取り扱うこととなっているか
• 単なるサーバ所在地と外国第三者提供を混同していないか
• 契約上のアクセス権限・サポート権限を確認したか
• 外国にある第三者への「提供」に当たるか
• EUまたは英国に所在する第三者か
• 基準適合体制が確保されているか
• 本人同意ルートの場合、法28条2項の事前情報提供を行ったか
• 基準適合体制ルートの場合、法28条3項の継続的確保措置を行っているか
• 外国の個人情報保護制度等を把握したか
• 外国再委託先を把握しているか
• 保有個人データに関する必要な公表・情報提供事項を確認したか

13．よくある質問

14．現行ルールと令和8年改正法施行後の違い

15．まとめ｜「共有してよいか」は法的ルートを一つずつ確認する

個人情報・個人データの共有では、

• 社外だから第三者提供
• グループ会社だから共同利用
• クラウドだから委託
• 海外サーバだから外国第三者提供

といった ラベル先行の判断をしないこと が重要です。