課題Ⅰ 第４編② 第三者提供の制限 ― 同意・オプトアウト・非該当類型
第三者提供の制限（法27条）
法27条1項：原則 — 本人の同意
個人データを第三者に提供する場合、原則として、あらかじめ本人の同意を得なければならない（法27条1項）。これは個人情報保護法における最も基本的なルールの一つである。個人情報取扱事業者が保有する個人データを社外の第三者に渡すためには、本人がその提供を認識し承諾していることが前提となる。この同意は、本人の権利利益を保護するための中核的な仕組みであり、違反した場合には個人情報保護委員会による勧告・命令の対象となる。
When providing personal data to a third party, prior consent of the individual must be obtained as a general rule (Article 27, Paragraph 1). This is one of the most fundamental rules under the Act on the Protection of Personal Information. For a personal information handling business operator to pass personal data it holds to an external third party, the premise is that the individual recognizes and approves of that provision. This consent is a core mechanism for protecting the rights and interests of the individual, and violations may result in recommendations or orders from the Personal Information Protection Commission.
「同意」の取得方法には特に制限はない。書面（同意書への署名・押印）、口頭、メール、ウェブ上のフォーム送信、チェックボックスへの入力など、いずれも有効である。さらに、黙示の同意も合理的な範囲で認められる。例えば、利用規約に第三者提供の旨が明確に記載されており、利用者がサービスを利用開始した場合などは、黙示の同意と解釈できる。ただし、後日の紛争を避けるため、記録を残すことが望ましい。
There are no particular restrictions on how consent may be obtained. Written documents (signing and sealing a consent form), verbal consent, email, web form submission, and checkbox input are all valid. Furthermore, implied (tacit) consent is also recognized within a reasonable scope. For example, if the terms of service clearly state that data will be provided to third parties and the user begins using the service, this can be interpreted as implied consent. However, it is desirable to keep records in order to avoid disputes at a later date.
同意不要の例外事由（法27条1項各号）
ただし、法27条1項各号に定める例外事由に該当する場合は、本人の同意なく第三者提供が可能である。第1号は、法令に基づく場合である。具体的には、所得税法に基づく支払調書の提出、弁護士会照会（弁護士法23条の2）、裁判所の嘱託による調査回答などがこれに該当する。
However, when the exception grounds stipulated in each item of Article 27, Paragraph 1 apply, third-party provision is possible without the individual's consent. Item 1 covers cases based on laws and regulations. Specifically, this includes submission of payment records under the Income Tax Act, inquiries from bar associations (Article 23-2 of the Attorneys Act), and responses to court-commissioned investigations.
第2号は、人の生命、身体又は財産の保護に必要がある場合であって、本人の同意を得ることが困難なときである。例えば、大規模災害の発生時に、被災者の安否情報を自治体や医療機関に提供する場合がこれに当たる。本人が意識不明の状態で同意を取得できない場合も含まれる。
Item 2 covers cases where it is necessary for the protection of a person's life, body, or property, and obtaining the individual's consent is difficult. For example, providing safety and well-being information about disaster victims to local governments or medical institutions during a large-scale disaster falls under this category. This also includes cases where the individual is unconscious and consent cannot be obtained.
第3号は、公衆衛生の向上又は児童の健全な育成の推進に特に必要がある場合であって、本人の同意を得ることが困難なときである。例えば、感染症の発生を保健所に報告する場合や、児童虐待の疑いがある場合に児童相談所に通告する場合が典型例である。
Item 3 covers cases where it is especially necessary for the improvement of public health or the promotion of the sound upbringing of children, and obtaining the individual's consent is difficult. Typical examples include reporting the occurrence of an infectious disease to a public health center, or notifying a child consultation center when there is suspicion of child abuse.
第4号は、国の機関もしくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときである。例えば、税務調査への回答や、警察の捜査関係事項照会（刑事訴訟法197条2項）への対応が該当する。本人に同意を求めると捜査対象者が証拠を隠滅するおそれがあるからである。
Item 4 covers cases where cooperation is necessary for a national agency, local government, or a party entrusted by them to carry out duties prescribed by law, and obtaining the individual's consent would impede the performance of those duties. For example, this includes responding to tax investigations and cooperating with police inquiry requests (Article 197, Paragraph 2 of the Code of Criminal Procedure). This is because requesting consent from the individual might cause the investigation target to destroy evidence.
さらに、2020年（令和2年）改正により、学術研究目的の場合も例外事由として整理された。大学その他の学術研究を目的とする機関もしくはそれに属する者が学術研究の用に供する目的で個人データを取り扱う必要がある場合がこれに該当する。
Furthermore, through the 2020 (Reiwa 2) amendment, cases for academic research purposes were also organized as exception grounds. This applies when universities or other institutions whose purpose is academic research, or individuals belonging to them, need to handle personal data for the purpose of serving academic research.
オプトアウトによる第三者提供（法27条2～4項）
法27条2～4項は、オプトアウト方式による第三者提供を定めている。オプトアウトとは、本人の事前の同意を得ずに個人データを第三者に提供できる仕組みであるが、本人が求めた場合にはその提供を停止しなければならないという条件が付く。つまり、「嫌なら断れる」という形で本人の自己決定権を担保している。
Article 27, Paragraphs 2 through 4 establish third-party provision through the opt-out mechanism. Opt-out is a mechanism that allows personal data to be provided to third parties without the individual's prior consent, but with the condition that provision must be stopped if the individual requests it. In other words, it guarantees the individual's right of self-determination in the form of "you can refuse if you don't want it."
オプトアウト方式を利用するためには、2つの手続が必要である。第一に、あらかじめ個人情報保護委員会に届け出ること。第二に、所定の事項を公表すること、または本人に通知し、もしくは本人が容易に知り得る状態に置くことである。この2つの要件を満たさなければ、オプトアウトによる提供は認められない。
To use the opt-out mechanism, two procedures are required. First, a notification must be filed with the Personal Information Protection Commission in advance. Second, prescribed matters must be publicly announced, or the individual must be notified, or the information must be placed in a state where the individual can easily learn of it. If these two requirements are not met, provision through opt-out is not permitted.
公表すべき事項は以下のとおりである。（1）個人情報取扱事業者の氏名又は名称および住所ならびに法人にあってはその代表者の氏名。（2）第三者提供を利用目的とすること。（3）提供される個人データの項目。（4）提供の方法。（5）本人の求めに応じて提供を停止すること。（6）本人の求めを受け付ける方法。
The matters that must be publicly announced are as follows: (1) the name and address of the personal information handling business operator, and in the case of a corporation, the name of its representative; (2) that the purpose of use includes third-party provision; (3) the categories of personal data to be provided; (4) the method of provision; (5) that provision will be stopped at the individual's request; and (6) the method for accepting the individual's requests.
2020年改正（令和2年改正）により、オプトアウト方式の利用に重要な制限が加えられた。以下の3つの類型の個人データについては、オプトアウトによる第三者提供が禁止されている。第一に、要配慮個人情報。人種、信条、病歴、犯罪歴など、不当な差別を生じさせるおそれのある情報はオプトアウトで提供できない。第二に、不正に取得された個人データ。第三に、オプトアウトにより他の事業者から取得した個人データである。この第三の制限は「二重オプトアウトの禁止」と呼ばれ、個人データがオプトアウトの連鎖で際限なく拡散することを防ぐ趣旨である。
The 2020 amendment (Reiwa 2 amendment) added important restrictions on the use of the opt-out mechanism. The following three types of personal data are prohibited from being provided to third parties via opt-out. First, sensitive personal information — information such as race, creed, medical history, and criminal record that may give rise to unjust discrimination cannot be provided via opt-out. Second, personal data obtained through illicit means. Third, personal data obtained from other business operators via opt-out. This third restriction is called the "prohibition of double opt-out" and is intended to prevent personal data from spreading endlessly through a chain of opt-outs.
個人情報保護委員会は、オプトアウトの届出を受けた事業者の一覧を公表する義務がある（法27条4項）。これにより、消費者は、どの事業者がオプトアウトを利用しているかを確認できる。
The Personal Information Protection Commission is obligated to publicly announce a list of business operators that have filed opt-out notifications (Article 27, Paragraph 4). This allows consumers to check which business operators are using the opt-out mechanism.
「第三者」に該当しない場合（法27条5項）
法27条5項は、形式的には個人データが外部に移転するものの、「第三者」には該当しないとされる3つの類型を規定している。これらの場合は、本人の同意も、オプトアウトの手続も不要である。ただし、それぞれに固有の義務や条件が課されている。
Article 27, Paragraph 5 provides for three types of cases where personal data formally moves externally but the recipient is not deemed a "third party." In these cases, neither consent from the individual nor the opt-out procedure is required. However, each type has its own inherent obligations and conditions.
第1号：委託。個人データの取扱いの全部又は一部を委託する場合、委託先は第三者に該当しない。例えば、給与計算を外部の社会保険労務士に委託する場合、クラウドサービス事業者にデータ処理を委託する場合、ダイレクトメールの発送を外部業者に委託する場合などが典型例である。
Item 1: Outsourcing (entrustment). When the handling of personal data is outsourced in whole or in part, the contractor does not constitute a third party. For example, outsourcing salary calculation to an external labor and social security attorney, outsourcing data processing to a cloud service provider, or outsourcing the dispatch of direct mail to an external vendor are typical examples.
ただし、委託の場合、委託元は法25条に基づき、委託先に対する必要かつ適切な監督を行う義務を負う。具体的には、委託契約において安全管理措置の内容を明確にし、委託先における取扱い状況を把握することが求められる。委託先が漏えい事故を起こした場合、監督義務を怠っていた委託元も責任を問われうる。
However, in the case of outsourcing, the outsourcing party bears an obligation under Article 25 to exercise necessary and appropriate supervision over the contractor. Specifically, the content of safety management measures must be made clear in the outsourcing contract, and the outsourcing party must understand the handling situation at the contractor. If the contractor causes a data breach, the outsourcing party that neglected its supervision obligation may also be held responsible.
第2号：事業承継。合併、会社分割、事業譲渡などにより事業が承継される場合、個人データは事業とともに移転する。承継先は第三者に該当しない。これは事業の継続性を確保し、M&Aなどの円滑な実施を可能にするための規定である。
Item 2: Business succession. When a business is succeeded through a merger, company split, business transfer, or similar event, personal data transfers together with the business. The successor does not constitute a third party. This is a provision to ensure business continuity and enable the smooth implementation of M&A and similar transactions.
ただし、承継先は、承継前の利用目的の範囲内で個人データを取り扱わなければならない。合併によって取得した個人データを、元の利用目的と全く異なる目的で利用する場合は、改めて本人の同意を取得するか、利用目的の変更手続を経る必要がある。
However, the successor must handle personal data within the scope of the purpose of use prior to the succession. If personal data acquired through a merger is used for a purpose completely different from the original purpose of use, it is necessary to either obtain the individual's consent anew or go through the procedure for changing the purpose of use.
第3号：共同利用。特定の者との間で共同して個人データを利用する場合、共同利用する者は第三者に該当しない。グループ企業間での顧客データの共有や、同業者間での情報共有が典型例である。
Item 3: Joint use. When personal data is used jointly with specified parties, those joint-use parties do not constitute a third party. Sharing customer data among group companies or sharing information among industry peers are typical examples.
共同利用を行うためには、以下の5つの事項をあらかじめ本人に通知するか、本人が容易に知り得る状態に置かなければならない。（1）共同利用をする旨。（2）共同して利用される個人データの項目。（3）共同して利用する者の範囲。（4）利用する者の利用目的。（5）当該個人データの管理について責任を有する者の氏名又は名称および住所ならびに法人にあってはその代表者の氏名。
To carry out joint use, the following five matters must be notified to the individual in advance, or placed in a state where the individual can easily learn of them: (1) that joint use will take place; (2) the categories of personal data to be jointly used; (3) the scope of the parties who will jointly use the data; (4) the purpose of use by those parties; and (5) the name and address of the party responsible for managing the personal data, and in the case of a corporation, the name of its representative.
試験のポイント
第三者提供の制限に関する試験対策として、以下の点を確実に押さえておきたい。法27条1項の例外事由は全号を暗記し、具体例と紐づけること。オプトアウトの届出事項6つ、共同利用の公表事項5つはそれぞれ正確に列挙できるようにすること。2020年改正で追加された制限（要配慮個人情報・不正取得・二重オプトアウト）は出題頻度が高い。「第三者に該当しない場合」の3類型と、それぞれの責任構造の違いを理解すること。
For exam preparation regarding restrictions on third-party provision, the following points should be firmly mastered. Memorize all exception grounds under Article 27, Paragraph 1, and link them with concrete examples. Be able to accurately enumerate the six notification items for opt-out and the five announcement items for joint use. The restrictions added by the 2020 amendment (sensitive personal information, illicit acquisition, and double opt-out) are tested frequently. Understand the three types of cases that do not constitute a "third party" and the differences in the responsibility structure for each.