個人データの外部とのやり取りをAIで棚卸しする：委託・第三者提供・記録の要否を整理する手順

「うちの会社は、個人データをどこに渡していますか」と聞かれて、すぐに答えられる総務担当者は多くありません。給与計算の委託、健康診断の実施機関、提携先への顧客名簿の提供、展示会で受け取ったリストなど、やり取りは部署ごとに散らばっています。

この記事では、各部署への聞き取り結果を生成AIで一覧表に整理し、第三者提供の確認・記録が必要な取引を洗い出す手順を解説します。記録義務の内容そのものは個人データの第三者提供の確認・記録義務で詳しく扱っています。

AIに任せること・任せないこと

AIに渡すのは「営業部が、提携先A社に、セミナー申込者の氏名・会社名・メールアドレスを、月1回CSVで送っている」といった業務の説明だけです。取引先の社名も、必要がなければ「提携先A社」のように置き換えます。個人情報保護委員会も、生成AIサービスに個人情報を含むプロンプトを入力する場合は、利用目的の範囲内か十分に確認するよう注意を呼びかけています。

前提：記録が要る提供・要らない提供

個人情報保護法は、個人データを第三者に提供したときは提供者に記録の作成・保存を（第29条）、提供を受けるときは受領者に相手方と取得の経緯の確認と記録を（第30条）求めています。ただし、次のような場合は対象外です。

この区分は、条文と個人情報保護委員会のガイドライン・Q&Aに照らして判断します。AIは区分の名称を知っていても、個別の事情に当てはめると誤ることがあります。

手順1：部署ごとの聞き取り項目を決める

まず、各部署に聞く項目をそろえます。AIに聞き取りシートの下書きを作らせると早く済みます。

総務担当者が各部署に「個人データの社外とのやり取り」を聞き取ります。
聞き取りシートの質問を10問以内で作ってください。
・渡す場合と受け取る場合の両方を聞く
・相手、データの項目、頻度、手段（メール・クラウド・紙など）、契約書の有無を必ず聞く
・個人の氏名や実データは書かないよう注意書きを入れる

人事・総務・営業・マーケティング・経理など、外部とのやり取りが多い部署から先に聞きます。

手順2：聞き取りメモを一覧表にする

集まったメモを貼り付けて、表にさせます。

次の聞き取りメモを、個人データの社外とのやり取りの一覧表にしてください。
列：No.／部署／業務名／方向（提供・受領）／相手（置き換え名）／本人の種類（顧客・従業員・応募者など）／データの項目／頻度／手段／契約書・同意書の有無
・メモに書かれていないことは推測せず「不明」と書いてください
・同じやり取りが重複している場合はまとめ、その旨を備考に書いてください
（ここに聞き取りメモを貼り付け）

「不明」が多い行は、もう一度部署に確認します。

手順3：区分の案と不足している情報を出させる

手順2の表の各行について、個人情報保護法上の区分の「案」を付けてください。
区分：委託／法令に基づく提供／本人に代わる提供／本人の同意に基づく第三者提供／第三者からの受領／判断できない
・それぞれ、区分の案とした理由を1行で書いてください
・判断に追加で必要な情報（契約の内容、本人への説明の有無など）を別の列に書いてください
・断定せず、最終判断は担当者が行う前提で書いてください

AIの案は出発点です。たとえば「委託」とされていても、委託先がそのデータを自社の目的にも使っている場合は委託に当たらない可能性があります。逆に「第三者提供」とされた行が、本人の求めに応じた連絡にすぎないこともあります。判断に迷う行は、ガイドラインとQ&Aで確認し、必要に応じて専門家に相談します。

手順4：記録が必要な行の扱いを決める

区分が「同意に基づく第三者提供」「第三者からの受領」になった行について、記録の作り方を決めます。

個人情報保護委員会のQ&Aは、既存の契約書などで記録事項を満たしていれば、別に台帳を作る必要はないとしています。ただし、どの書類が記録に当たるかは明確にしておきます。記録を別に作る場合は、第三者提供の記録簿のような様式を用意すると漏れを防げます。

棚卸しで見落としやすいやり取り

聞き取りでは、担当者が「個人データを渡している」と意識していないやり取りが漏れがちです。AIに一覧表を作らせた後、次のような観点で抜けがないかを質問させると効果的です。

手順2の表を見て、一般的な中小企業で見落とされやすい個人データの社外とのやり取りのうち、表に出ていないものを質問の形で挙げてください。各部署に追加で確認するための質問にしてください。

手順5：一覧を次回の点検に使える形で残す

作った一覧は、個人情報の管理台帳とあわせて保管し、年に1回、または新しい取引が始まるたびに更新します。次回はAIに「前回の一覧と今回の聞き取りメモの差分」を出させれば、追加・終了したやり取りだけを確認すれば済みます。委託に当たる行は、委託先の監督（契約、安全管理の確認）の対象として別に管理します（委託先の監督）。

まとめ

• AIには、部署ごとの聞き取りメモから個人データの社外とのやり取りの一覧表を作らせる。実データや個人名は入力しない
• 委託・法令に基づく提供・本人に代わる提供・同意に基づく第三者提供などの区分は、AIに案を出させ、条文とQ&Aで人が判断する
• 記録が必要な取引は、契約書などで記録を兼ねるか、記録簿を作るかを決め、保存期間を文書管理のルールに入れる

個人情報の管理業務にAIをどう組み込むか相談したいときは、Otsumu株式会社のAIツール診断をご利用ください。