個人データの第三者提供の確認・記録義務｜記録が必要な場面・不要な場面、記録事項と保存期間
個人データを第三者に提供したときや、第三者から提供を受けたときは、個人情報保護法第29条・第30条により記録の作成と保存が必要です。記録が必要な場面と不要な場面（委託、法令に基づく提供、本人に代わる提供など）、受け取る側の確認事項、記録すべき項目、契約書で代用する方法、1年・3年の保存期間を施行規則と個人情報保護委員会のQ&Aで整理します。
- 対象読者
- 取引先との顧客情報・名簿のやり取りがあり、個人情報保護法の運用を任されている総務担当者
- 難易度
- 応用
- 所要時間
- 読了8分
- 最終確認日
この記事のポイント
- 個人データを第三者に提供したときは提供者が記録を作成し、第三者から受け取るときは受領者が相手の名称・住所・代表者と取得の経緯を確認して記録する。法令に基づく場合や委託・事業承継・共同利用は対象外
- 本人に代わって提供する場合（顧客の求めでグループ会社を紹介するなど）、給与振込のように最終的に本人へ渡すための提供、機関としての代表者名の授受などは、Q&A上、記録義務が適用されないとされる
- 記録は契約書などで代用できる。保存期間は、本人への物品・役務の提供に関連して契約書等で記録した場合は最後の提供から1年、一括して記録した場合は最後の提供から3年、それ以外は3年
個人情報保護法は、個人データを第三者に渡すときは原則として本人の同意を求めています。あまり知られていないのが、その提供の記録を残す義務です。名簿の売買や不正な流通を後から追跡できるようにするための仕組みで、提供した側にも受け取った側にも義務があります。
ふだんの業務で「記録が必要な提供」がどれだけあるかは会社によって違います。この記事では、施行規則と個人情報保護委員会のQ&Aをもとに、記録が必要な場面と不要な場面、記録の作り方を整理します。第三者提供のルールそのものは個人情報・マイナンバー管理の基本を参照してください。
2つの義務の全体像
| 義務 | 誰に | 内容 | 根拠 |
|---|---|---|---|
| 提供時の記録 | 個人データを第三者に提供した事業者 | 提供の記録を作成し、保存する（確認・記録義務編ガイドライン） | 第29条 |
| 受領時の確認 | 第三者から個人データの提供を受ける事業者 | 相手の氏名・名称・住所・代表者の氏名と、相手がその個人データを取得した経緯を確認する | 第30条第1項 |
| 受領時の記録 | 同上 | 確認した事項などの記録を作成し、保存する | 第30条第3項・第4項 |
確認を受ける側の第三者は、確認事項を偽ってはなりません（第30条第2項）。
対象は個人データ（個人情報データベース等を構成する個人情報）の提供です。電話や口頭で個別に聞いた情報など、受領者にとって個人データに当たらない情報を受け取る場合は、受領者の確認・記録義務は適用されません（Q&A Q13-16）。
記録が不要な場面
まず、記録義務がかからない場面を押さえると、実際に記録が必要な場面は限られてきます。
法律で除かれているもの
| 場面 | 内容 |
|---|---|
| 法令に基づく提供など | 第27条第1項各号に当たる提供（法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難な場合など） |
| 委託・事業承継・共同利用 | 第27条第5項各号に当たる場合。そもそも「第三者」への提供ではない |
| 国の機関・地方公共団体など | 第16条第2項各号に掲げる者への提供 |
たとえば、税務署への法定調書の提出、年金事務所への届出、裁判所の命令に基づく提出などは「法令に基づく場合」に当たり、記録は不要です。給与計算や健康診断を外部に委託して従業員のデータを渡すのは「委託」で、記録は不要ですが、委託先の監督が必要です（委託先の監督）。
警察・弁護士会などからの照会に回答する場合の考え方は照会への対応で解説しています。
Q&Aで記録不要とされる例
個人情報保護委員会のQ&Aは、条文の解釈として次のような場合に記録義務が適用されないとしています。
| 場面 | Q&Aの考え方 |
|---|---|
| 顧客の求めに応じて、顧客の連絡先をグループ会社に伝える（Q13-4） | 本人に代わって提供しているため、記録義務は適用されない |
| 取引先A社の依頼で、取引先B社の担当者の連絡先を本人の同意を得てA社に伝える（Q13-5） | 同上 |
| 小売店が、注文した顧客の氏名・住所をメーカーに伝えて直送してもらう（Q13-7） | 同上 |
| 会社間の契約書の授受で、代表取締役の氏名が書かれた書面をやり取りする（Q13-9） | 機関としての代表者の氏名の提供は、確認・記録義務が適用される第三者提供に当たらない |
| 従業員の口座に給与を振り込む（Q13-12） | 最終的に本人に提供することを意図した提供で、記録義務は適用されない |
| 訴訟のために弁護士・裁判所に相手方の個人データを含む証拠を出す（Q13-3） | 財産の保護のために必要で同意取得が困難な場合に当たりうるため、記録義務は適用されない |
| 市販の電話帳を購入する（Q13-1） | 一般に個人情報データベース等に当たらず、確認・記録義務は適用されない |
記録が必要になりやすい場面
総務の実務で記録が必要になるのは、たとえば次のような場合です。
- 本人の同意を得て、顧客名簿や会員データを提携先企業に提供する
- 本人の同意を得て、従業員の情報をグループ外の会社（出向先の候補、福利厚生の提携先など）に提供する
- 名簿業者や他社から顧客リスト・見込み客リストを購入・受領する（受領側の確認・記録）
- オプトアウト手続による提供（個人情報保護委員会への届出が必要。確認・記録義務が適用されない場面はない〔Q13-21〕）
名簿を購入するときは、相手が個人データを取得した経緯を確認・記録する必要があります。相手が不正の手段で取得したことを知り、または容易に知ることができたのに取得すると、適正取得（第20条第1項）に違反するおそれがあります。
記録する項目
提供した側の記録事項（施行規則第20条）
| 項目 | 本人の同意を得て提供した場合 | オプトアウトで提供した場合 |
|---|---|---|
| 提供した年月日 | 不要 | 必要 |
| 本人の同意を得ている旨 | 必要 | ― |
| 提供先の氏名・名称、住所、法人の場合は代表者の氏名 | 必要 | 必要 |
| 本人の氏名など本人を特定するに足りる事項 | 必要 | 必要 |
| 個人データの項目（氏名・住所・電話番号など） | 必要 | 必要 |
受け取った側の確認と記録事項（施行規則第22条・第24条）
確認は、提供者からの申告を受ける方法などで行い、取得の経緯は、提供者が取得した経緯を示す契約書その他の書面の提示を受けるなどの方法で行います。口頭で申告を受ける方法も否定されていませんが、正確に確認し、記録を作成する必要があります（Q13-23）。
| 項目 | 個人情報取扱事業者から本人の同意に基づく提供を受けた場合 |
|---|---|
| 本人の同意を得ている旨 | 必要 |
| 提供者の氏名・名称、住所、法人の場合は代表者の氏名 | 必要 |
| 提供者による取得の経緯 | 必要 |
| 本人を特定するに足りる事項 | 必要 |
| 個人データの項目 | 必要 |
オプトアウトによる提供を受けた場合は、提供を受けた年月日や、個人情報保護委員会により公表されている旨なども記録します。
記録の作り方と保存期間
作り方
記録は、文書・電磁的記録・マイクロフィルムで作成します（施行規則第19条第1項）。原則は提供の都度、速やかに作成しますが、同じ相手に継続的・反復して提供する場合（またはそれが確実に見込まれる場合）は、一括して作成できます（同第2項ただし書）。
Q&Aは、既存の契約書などで記録事項を満たしていれば、それらが記録として認められ、台帳のようなものを別に用意する必要はないとしています（Q13-25）。ただし、保存義務を果たすため、どの書類が記録に当たるかを明確にしておきます。データ伝送のログを記録とすることも考えられます。
保存期間（施行規則第21条・第25条）
| 記録の作り方 | 保存期間 |
|---|---|
| 本人に対する物品・役務の提供に関連して提供し、その契約書等に記録事項が書かれていて、それを記録とした場合 | 最後にその記録に係る提供を行った（受けた）日から1年を経過する日まで |
| 継続的・反復的な提供について一括して記録した場合 | 最後にその記録に係る提供を行った（受けた）日から3年を経過する日まで |
| それ以外 | 3年 |
社内の運用
- 個人データの外部提供・外部からの受領が発生する業務を洗い出す（営業、マーケティング、人事、総務）
- それぞれが「委託」「法令に基づく」「本人に代わる提供」「同意に基づく第三者提供」のどれに当たるかを整理する
- 記録が必要なものについて、記録を兼ねる書類（契約書・同意書・送付記録）を決める
- 記録の保管場所と保存期間を文書管理規程に入れる（文書管理と保存期間の一覧）
- 名簿・リストを受け取るときの確認手順（相手の名称・代表者・取得経緯の確認書）を用意する
個人データの取扱いの記録は、個人情報の管理台帳とあわせて管理すると、漏えい時の調査や本人からの開示請求（第三者提供記録の開示を含む）への対応もしやすくなります。開示請求への対応は個人情報の開示請求を受けたらを参照してください。
まとめ
- 個人データを第三者に提供したら提供者が記録し、受け取るときは受領者が相手と取得の経緯を確認して記録する
- 法令に基づく提供、委託・事業承継・共同利用、国の機関等への提供は対象外
- 本人に代わる提供、給与振込、代表者名の授受などはQ&A上、記録義務が適用されない
- 記録は契約書などで代用でき、継続的な提供は一括して作れる
- 保存期間は、契約書等で記録した場合1年、一括記録は最後の提供から3年、それ以外は3年
この記事で使えるテンプレート
総務 個人情報 管理台帳 社内で扱う個人データ（従業員名簿、給与データ、応募者情報、顧客名簿など）を一覧にする台帳です。個人情報保護委員会のガイドラインが例示する項目に、保管場所・保存期間・委託先・廃棄方法などを加えています。 総務 個人情報取扱規程（マイナンバー取扱いを含む） 個人情報保護委員会のガイドラインに沿って、利用目的の特定、取得・利用・保管・提供・廃棄の各段階のルール、安全管理措置、委託先の監督、漏えい等の報告、開示等の請求への対応を定め、マイナンバー（特定個人情報）の利用範囲、事務取扱担当者、取扱区域、本人確認、廃棄の章を加えた個人情報取扱規程のひな形です。 総務 契約書管理台帳 取引先との契約書を一覧で管理する台帳です。契約期間・自動更新の有無・解約予告期限・保管場所（紙／電子）・印紙の有無・担当部署を記録し、更新や解約の判断漏れを防ぎます。この記事に出てくる用語
- 委託先の監督
- 給与計算や名刺管理、書類の廃棄などで個人データの取扱いを外部に委託するとき、委託元の会社が委託先の安全管理を確認・監督する義務です。
- 個人データ
- 検索できるように体系的に整理された個人情報の集まり（個人情報データベース等）を構成する個人情報のことです。社員名簿や顧客台帳、名刺管理ソフトの中の情報などが該当します。
- 在籍型出向
- 元の会社（出向元）との雇用関係を残したまま、別の会社（出向先）でも雇用関係を結び、出向先の指揮命令を受けて働く形です。
- 第三者提供
- 会社が持つ個人データを、本人と自社以外の者に渡すことです。原則として本人の同意が必要で、提供したときや受け取ったときは記録を作成します。
- 年金事務所
- 日本年金機構の地域の窓口で、健康保険（協会けんぽ）・厚生年金保険の加入や保険料に関する会社の届出を受け付けます。
- 文書管理規程
- 社内の文書・記録について、種類ごとの保存期間、保管場所、責任者、廃棄の方法などを定めた社内規程です。法令で決まった保存期間を守り、不要な書類を計画的に廃棄するための土台になります。
- 法定調書
- 給与・退職金・報酬・家賃などを支払った会社が、支払先や金額を税務署に報告するために提出する書類です。源泉徴収票や支払調書などがあり、原則として翌年1月31日までに合計表と一緒に提出します。