通信販売会社が、注文された商品を届けるために、顧客の氏名と住所を配送会社へ渡している。 この取扱いについて、個人情報保護法の考え方として最も適切なものはどれか。
正解：ウ
ア提供先が自社以外の会社である以上は第三者提供にあたるので、あらかじめ本人の同意を得る必要がある。
誤り。別法人へ渡せばすべて第三者提供になる、という典型的な誤解です。法律は、 利用目的の達成に必要な範囲での委託に伴う提供を、第三者提供から明文で外しています。 判断の軸は「相手が別法人か」ではなく「委託にあたるか」です。
イ本人の同意に代えて、オプトアウトによる第三者提供として個人情報保護委員会へ届け出る必要がある。
誤り。オプトアウトは、第三者提供にあたる場面で本人の同意を省くための例外的な手続です。 本問はそもそも第三者提供に該当しないので、届出も通知も要りません。例外の手続を 使う前に、原則が当てはまる場面かどうかを確かめます。
ウ利用目的の達成に必要な範囲の委託なので第三者提供にあたらず、本人の同意は得なくてよい。
正解。配送は「商品を届ける」という利用目的の達成に必要な範囲の業務委託です。 委託に伴って個人データを渡す場合、受け取る側は第三者に該当しないと法律が定めており、 本人の同意は不要です。
エ共同利用として、利用する者の範囲や責任者をあらかじめ本人が知り得る状態に置く必要がある。
誤り。共同利用は、複数の事業者が同じ個人データをそれぞれの目的で使う形態で、 項目や責任者を本人に知り得る状態に置くことが条件です。本問は配送会社が委託元の 指示に従って作業するだけなので、共同利用ではなく委託にあたります。
「渡す」がすべて第三者提供とは限らない
個人データを他社へ渡すときは、原則としてあらかじめ本人の同意が要ります。ただし 個人情報保護法は、次の3つの場合について「受け取る側は第三者に該当しない」と 定めています。同意なしで渡してよい、というより、そもそも第三者提供の話ではない、 という整理です。
- 委託 … 利用目的の達成に必要な範囲で取扱いの全部又は一部を任せる場合（配送、 印刷、データ入力、クラウドでの保管など）
- 事業の承継 … 合併や事業譲渡に伴って個人データが引き継がれる場合
- 共同利用 … 特定の者との間で共同して使う場合。ただし共同利用する旨、データの項目、 利用する者の範囲、利用目的、管理責任者をあらかじめ本人に通知するか、本人が容易に 知り得る状態に置くことが条件
委託と共同利用はどこが違うか
委託は、受け取った側が委託元の指示の範囲でしか使えない関係です。配送会社は届ける ためだけに住所を使い、自社の宣伝には使えません。共同利用は、参加する各社が それぞれ自分の目的で使う関係なので、本人に事前に知らせておくことが求められます。
混同しやすいものとの違い
| 場面 | 本人の同意 |
|---|---|
| 委託（配送・入力代行など） | 不要。第三者提供にあたらない |
| 共同利用 | 不要。ただし項目や責任者の事前の通知等が必要 |
| オプトアウト | 不要。ただし通知等と委員会への届出が必要 |
| 上記以外の第三者提供 | あらかじめ本人の同意が必要 |
試験では「相手が別会社かどうか」ではなく、渡した先がそのデータを自分の目的で使えるか で見分けます。委託先は使えないので、第三者にはあたりません。