連載第４回のテーマは、「個人情報保護法における第三者提供と委託」について解説します。

---

個人情報保護法（以下「法」といいます。）における「第三者提供」と「委託」は、いずれも個人データ
を社外に出す場面で問題となる概念です。

しかし、その法的な位置づけと求められる対応は異なります。

両者は混同されがちであるため、あらためて整理しておきます。

１．「 第三者提供」と「委託」

まず、「第三者提供」とは、個人情報取扱事業者が保有する個人データを、自らの管理を離れて他の事業者等に提供することをいいます。

これに該当する場合、原則として本人の同意が必要であり（法27条1項）、提供元には提供記録の作成義務（法29条）、提供先にはその記録の確認・作成義務（法30条）が課されます。

これに対し、「委託」は、利用目的の達成に必要な範囲内で、業務の全部または一部を外部に委ねることに伴って個人データを取り扱わせる行為を指します（法27条5項1号）。

例えば、個人データの入力、編集、分析、出力等の処理を外部業者に任せる場面です。

両者を分ける実務上のポイントは、「提供先が自ら利用目的を決定できるか」にあります。

提供先が独自の目的でデータを利用できるのであれば第三者提供に当たり得ます。

他方、契約により目的と範囲が明確に限定され、委託元の指揮監督の下でのみ取り扱われるのであれば、委託と整理できます。

２．委託に関する主な論点

委託の場合でも、委託先の管理が不十分で漏えい事故等が発生すれば、委託元が責任を問われ得ます。

そのため、次の点が重要となります。

① 監督義務

委託元は、委託先に対し必要かつ適切な監督を行わなければなりません。

具体的には、①適切な委託先の選定、②委託契約による安全管理措置等の明確化、③取扱状況の把握が求められます。

取り扱う個人データの性質や量、漏えい時の影響の大きさ等に応じた対応が必要です。

再委託が行われる場合でも、委託元は実質的な監督責任を負うと解されており、再委託の可否や条件も契約上整理しておくべきでしょう。

② 漏えい等の対応

漏えい、滅失、毀損など一定の事態が生じた場合、事業者は個人情報保護委員会への報告および本人通知義務を負います。

委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は上記各報告・通知義務を免除されます。

委託先による協力は委託元が個人情報保護法上の各義務を履践するために重要です。事故発生時の報告体制や協力義務を契約上明記しておくことが重要です。

３．まとめ

第三者提供と委託は、いずれも個人データを外部に出す点では共通しますが、本人同意の要否や事業者に課される義務は異なります。

提供先の権限や利用目的を明確にした上で、その内容を契約上明記しておくことが、適法なデータ利活用の前提となります。

＜初出：顧問先向け情報紙「コモンズ通心」2026年4月5日号(vol.314)＞

※掲載時の法令に基づいており、現在の法律やその後の裁判例などで解釈が異なる可能性があります。

◆連載◆「個人情報保護法」について
1.個人情報保護法のあらまし
2.個人情報に該当するものとは
3.個人情報保護法の基本ルールと実務のポイント
4.個人情報保護法における第三者提供と委託
5.本人からの請求に対する対応　※準備中
6.※準備中※

個人情報保護法 / 弁護士：後藤　晋太郎