連載第４回は、「個人情報保護法における第三者提供と委託」について解説します。

---

個人情報保護法（以下「法」といいます。）における「第三者提供」と「委託」は、いずれも個人データ
を社外に出す場面で問題となる概念です。

しかし、その法的な位置づけと求められる対応は異なります。

両者は混同されがちであるため、あらためて整理しておきます。

１．「第三者提供」と「委託」

まず、「第三者提供」とは、個人情報取扱事業者が取り扱う個人データを、自己以外の者が利用可能な状態に置くことをいいます。

これに該当する場合、原則として本人の同意が必要であり（法27条1項）、提供元には提供記録の作成義務（法29条）、提供先には提供元の氏名等や取得の経緯の確認、およびその記録の作成・保存義務（法30条）が課されます。

これに対し、「委託」は、個人データの提供には当たるものの、利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託することに伴う提供であれば、委託先は「第三者」に該当しないとされるものです（法27条5項1号）。

例えば、個人データの入力、編集、分析、出力等の処理を外部業者に任せる場面です。

なお、「委託」であっても、委託先が外国にある場合は、その委託先が同等水準国にある者や基準適合体制を整備している者に当たらない限り、法27条5項1号は適用されず、外国にある第三者への提供として原則として本人の同意が必要となります（法28条1項）。

両者を分ける実務上のポイントは、「提供先が自ら利用目的を決定できるか」にあります。

提供先が独自の目的でデータを利用できるのであれば第三者提供に当たり得ます。

他方、契約により目的と範囲が明確に限定され、委託元の指揮監督の下でのみ取り扱われるのであれば、委託と整理できます。

２．委託に関する主な論点

委託の場合でも、委託先の管理が不十分で漏えい事故等が発生すれば、委託元が責任を問われ得ます。

そのため、次の点が重要となります。

① 監督義務（法25条）

委託元は、委託先に対し必要かつ適切な監督を行わなければなりません。

ガイドラインでは、（1）適切な委託先の選定、（2）委託契約による安全管理措置等の明確化、（3）取扱状況の把握が求められます。

取り扱う個人データの性質や量、漏えい時の影響の大きさ等に応じた対応が必要です。

再委託が行われる場合には、委託元は、委託先を通じて再委託先の取扱状況も把握すべきと解されており、再委託の可否や条件も契約上整理しておくべきでしょう。

② 漏えい等の対応（法26条）

漏えい、滅失、毀損など一定の重大な事態が生じた場合、個人情報取扱事業者は個人情報保護委員会への報告および本人通知義務を負います。

委託先が、当該事態の発生を委託元に速やかに通知したときは、委託先自身の報告・本人通知義務は免除されます。

委託先による協力は、委託元が個人情報保護法上の各義務を履践するために欠かせません。事故発生時の報告体制や協力義務を契約上明記しておくことが重要です。

３．まとめ

第三者提供と委託は、いずれも個人データを外部に出す点では共通しますが、本人同意の要否や事業者に課される義務は異なります。

提供先の権限や利用目的を明確にした上で、その内容を契約上明記しておくことが、適法なデータ利活用の前提となります。

＜初出：顧問先向け情報紙「コモンズ通心」2026年4月5日号(vol.314)＞

※掲載時の法令に基づいており、現在の法律やその後の裁判例などで解釈が異なる可能性があります。

◆連載◆「個人情報保護法」について
1.個人情報保護法のあらまし
2.個人情報に該当するものとは
3.個人情報保護法の基本ルールと実務のポイント
4.個人情報保護法における第三者提供と委託
5.本人からの請求に対する対応
6.個人情報漏えいが発生したら～対応の流れと報告義務の概要～

個人情報保護法 / 弁護士：後藤　晋太郎