第三者提供の制限の問題（20問）

正解：1（アー正、イー正）

ア．正しい

提供の同意原則

個人情報保護法第27条第1項「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」e-Gov原文

イ．正しい

例外事由あり

個人情報保護法第27条第1項「次に掲げる場合を除くほか」e-Gov原文

個人情報保護法第27条第1項第1号「法令に基づく場合」e-Gov原文

ひっかけ第三者提供は同意が原則、ただし条文が列挙する場面では同意なしで足りる。アが原則、イがその例外の一つを述べています。

解説個人データを第三者に渡すと本人の知らないところで情報が広がりうるため、法令に基づく場合等を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない（個人情報保護法27条1項）。同意原則を述べるアはこのとおり正しい。そして同項各号は、(1)法令に基づく場合、(2)人の生命・身体・財産の保護に必要で同意が困難な場合、(3)公衆衛生・児童の健全育成に特に必要で同意が困難な場合、(4)国等への協力が必要な場合などを例外として定めており、法令に基づく場合を例外とするイも正しい。したがって答えは『アー正、イー正』。

補足ここでの例外（27条1項各号）はいずれも本人の同意「そのもの」を不要にする事由であり、同意を得る代わりに通知と届出で対応するオプトアウト（27条2項）とは別系統の話である。

正解：2（アー正、イー誤）

ア．正しい

本人の求めで停止

個人情報保護法第27条第2項「あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる」e-Gov原文

イ．誤り

要配慮は除外

個人情報保護法第27条第2項「第三者に提供される個人データが要配慮個人情報」e-Gov原文

ひっかけオプトアウトなら何でも同意なしで流せる、と思い込むとイで転びます。要配慮個人情報はこの仕組みから外されています。

解説オプトアウトとは、本人の求めがあれば第三者提供を停止することを前提に、一定事項をあらかじめ本人に通知し又は本人が容易に知り得る状態に置き、かつ個人情報保護委員会に届け出ることで、本人の個別同意なしに個人データを第三者提供できる仕組みである（個人情報保護法27条2項）。アはこの要件どおりで正しい。もっとも、要配慮個人情報、不正の手段で取得された個人データ、オプトアウトで取得した個人データは対象から除外され、提供には本人の同意が必要となる（同項ただし書）。要配慮個人情報でもオプトアウトできるとするイは誤りで、答えは『アー正、イー誤』。

補足ただし書で除外されるのは要配慮個人情報だけでなく、不正取得された個人データと、別の事業者がオプトアウトで取得した個人データも含まれ、適正に取得していないデータがオプトアウトで転々流通するのを止める趣旨である。

正解：3（アー誤、イー正）

ア．誤り

委託は第三者提供でない

個人情報保護法第27条第5項「前各項の規定の適用については、第三者に該当しないものとする」e-Gov原文

個人情報保護法第27条第5項第1号「個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」e-Gov原文

イ．正しい

承継は第三者提供でない

個人情報保護法第27条第5項第2号「合併その他の事由による事業の承継に伴って個人データが提供される場合」e-Gov原文

ひっかけ外部に渡せば必ず第三者提供、という発想だとアで誤ります。委託・事業承継・共同利用の三つは『第三者』の枠の外に置かれています。

解説第三者提供の制限は『第三者』への提供を前提とするが、一定の場合には提供先が『第三者』に該当しないものとされる（個人情報保護法27条5項）。具体的には、(1)利用目的の達成に必要な範囲内での委託に伴う提供（1号）、(2)合併その他の事由による事業承継に伴う提供（2号）、(3)一定の手続を満たした共同利用（3号）である。委託先は常に第三者で同意が必要とするアは1号に反して誤り、事業承継に伴う提供先を第三者でないとするイは2号どおりで正しく、答えは『アー誤、イー正』。第三者に当たらず同意は不要でも、委託先には監督義務（25条）が、共同利用には通知等の要件が課される。

補足第三者に当たらないのは同意の要否の話にとどまり、委託先には委託元の監督義務（25条）、共同利用には共同利用する旨・項目・範囲・管理責任者等の事前通知（27条5項3号）という別の縛りがそれぞれ用意されている。

正解：2（アー正、イー誤）

ア．正しい

国内提供の同意では足りない

個人情報保護法第28条第1項「あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」e-Gov原文

イ．誤り

外国提供は特別の同意が必要

個人情報保護法第28条第1項「あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」e-Gov原文

ひっかけ「第三者提供に同意していれば外国でも同じ」と読むと、イで取りこぼす。

解説外国にある第三者に個人データを提供するときは、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない（個人情報保護法28条1項）。国内の第三者提供についての同意があるだけでは、外国への提供は基礎づけられない。外国は日本と個人情報の保護水準が異なる可能性があるためであり、だからアは正しく、国内同意で足りるとするイは誤り。なお、日本と同等の水準にあると認められる国への提供や、基準に適合する体制を整備した提供先への提供は別枠の扱いになるが、それ以外では『外国提供を認める旨の同意』が要る。

補足28条2項では、本人同意に基づいて提供する場合、あらかじめ当該外国の個人情報保護制度や提供先が講じる措置等の情報を本人に提供しておく必要がある（同意の前提情報）。

正解：4（アー誤、イー誤）

ア．誤り

国内でも同意原則

個人情報保護法第27条第1項「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」e-Gov原文

イ．誤り

本人の関与手段あり

個人情報保護法第35条第3項「第二十七条第一項又は第二十八条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる」e-Gov原文

ひっかけアは「国内なら自由」、イは「本人は止められない」。どちらの思い込みも条文に反する。

解説第三者提供の制限は提供先が国内か外国かを問わず働く。国内の第三者提供であっても、例外に当たらない限り、原則あらかじめ本人の同意が必要である（個人情報保護法27条1項）。よって「国内なら同意不要」とするアは誤り。さらに、27条1項や外国提供制限（28条）に違反して個人データが提供されているときは、本人は当該保有個人データの第三者への提供の停止を請求できる（同35条3項）から、「本人は手出しできない」とするイも誤り。事業者側の提供制限と、本人側の提供停止請求は表裏をなす。

補足35条3項の提供停止請求は、利用目的違反・不正取得（同条1項）や、本人が請求しうる事由のない取扱い（同条5項）による利用停止・消去請求とは別建ての権利として並んでいる。

正解：3（アー誤、イー正）

ア．誤り

受領側の確認義務

個人情報保護法第30条第1項「第三者から個人データの提供を受けるに際しては」e-Gov原文

個人情報保護法第30条第1項「次に掲げる事項の確認を行わなければならない」e-Gov原文

イ．正しい

提供側の禁止

個人情報保護法第30条第2項「当該確認に係る事項を偽ってはならない」e-Gov原文

ひっかけ義務を負うのは提供する側だけ、と決めてかかるとアを取り違える。

解説第三者から個人データの提供を受けるに際しては、提供元の氏名・名称・住所等や、その第三者による当該個人データの取得の経緯を確認しなければならない（個人情報保護法30条1項）。だから「確認は一切不要」とするアは誤り。一方、確認を受ける提供元の第三者は、その確認に係る事項を偽ってはならない（同30条2項）から、イは正しい。不正に取得されたデータの流通を断つため、受け取る側に確認義務を、提供する側に虚偽申告の禁止を、それぞれ課している。

補足30条1項で確認した内容は、同条3項により記録を作成し、同条4項により一定期間保存しなければならない。確認義務と記録義務がひとつながりになっている。

正解：3（アー誤、イー正）

ア．誤り

提供制限

個人情報保護法第31条第1項「当該個人関連情報を当該第三者に提供してはならない」e-Gov原文

イ．正しい

同意の確認

個人情報保護法第31条第1項「本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること」e-Gov原文

ひっかけ「単体では個人情報でないから規律も及ばない」とみなすと、アに引っかかる。

解説個人関連情報（生存する個人に関する情報で、個人情報・仮名加工情報・匿名加工情報のいずれにも該当しないもの。Cookieに紐づく閲覧履歴など）は単体では個人情報でないが、提供先で他の情報と照合され個人データとして取得されることがある。そこで、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、本人がそれを認める旨の同意が得られていること等を確認しないで提供してはならない（個人情報保護法31条1項）。確認なしに自由提供できるとするアは誤り、同意の確認が要るとするイは正しい。

補足ここで確認すべき同意は、提供元ではなく提供先（個人データとして取得する側）が取得するのが原則で、提供元はその取得状況を確認する立場に立つ。

正解：2（アー正、イー誤）

ア．正しい

トレーサビリティ

個人情報保護法第29条第1項「当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない」e-Gov原文

イ．誤り

保存義務

個人情報保護法第29条第2項「前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない」e-Gov原文

ひっかけ記録は作った時点で完結する、と読むとイを落とす。

解説個人情報取扱事業者は、個人データを第三者に提供したときは、一定の例外（法令に基づく場合等）を除き、提供した年月日や当該第三者の氏名・名称その他規則で定める事項に関する記録を作成しなければならない（個人情報保護法29条1項）。だから記録作成を要するとするアは正しい。そして作成した記録は、作成した日から規則で定める期間保存しなければならない（同29条2項）から、「作成すれば足り保存不要」とするイは誤り。不正に流通したデータを事後に追跡できるようにする仕組みである。

補足この29条（提供側の記録）は、受領側に確認・記録を課す30条と対をなし、提供のたびに両端で記録が残ることで流通経路をたどれるようにしている。

正解：2（アー正、イー誤）

ア．正しい

提供制限

個人情報保護法第42条第1項「仮名加工情報取扱事業者は、法令に基づく場合を除くほか」e-Gov原文

個人情報保護法第42条第1項「を第三者に提供してはならない」e-Gov原文

イ．誤り

原則提供禁止

個人情報保護法第42条第1項「を第三者に提供してはならない」e-Gov原文

ひっかけ本人の同意さえあれば外に出せる、という発想がイで外れる。

解説仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く）を第三者に提供してはならない（個人情報保護法42条1項）。仮名加工情報は他の情報と照合しない限り個人を識別できないように加工した情報で、主に事業者内部での分析・利活用を想定しているためである。よって、法令に基づく場合を除き提供できないとするアは正しく、「本人の同意を得れば自由に提供できる」とするイは誤り。通常の個人データのように本人同意やオプトアウトで第三者提供する仕組みは予定されていない。

補足42条2項が27条5項を準用するため、委託・事業承継・共同利用に伴う提供先は「第三者」に当たらず、この3類型に限っては仮名加工情報を渡せる。

正解：1（アー正、イー正）

ア．正しい

公表義務

個人情報保護法第44条「あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する」e-Gov原文

イ．正しい

明示義務

個人情報保護法第44条「当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない」e-Gov原文

ひっかけ本人同意が要らない＝何の手続もいらない、と短絡するとアやイを誤る。

解説匿名加工情報を第三者に提供するときは、あらかじめ、提供される匿名加工情報に含まれる個人に関する情報の項目とその提供の方法について公表しなければならない（個人情報保護法44条）。よってアは正しい。あわせて、提供先の第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない（同条）から、イも正しい。匿名加工情報は本人の同意なく第三者提供できるが、この公表と明示の手続が前提になる。

補足提供先に匿名加工情報である旨を明示するのは、受け取った側にも45条の識別行為の禁止（本人識別目的での照合・加工方法等の取得の禁止）が及ぶため、その立場を知らせる意味がある。

正解：4（アー誤、イー誤）

ア．誤り

提供制限

個人情報保護法第42条第1項「を第三者に提供してはならない」e-Gov原文

イ．誤り

明示義務

個人情報保護法第44条「当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない」e-Gov原文

ひっかけ仮名と匿名をひとくくりに「加工してあるから出せる」と扱うと、両方で滑る。

解説仮名加工情報と匿名加工情報では第三者提供の扱いが違う。仮名加工情報（個人情報であるものを除く）は、法令に基づく場合を除き第三者に提供できない（個人情報保護法42条1項）から、「同意を得れば自由に提供できる」とするアは誤り。匿名加工情報は本人同意なく提供できるが、提供する情報の項目・方法の公表と、提供先への『匿名加工情報である旨』の明示が必要である（同44条）から、「明示は不要」とするイも誤り。仮名は原則提供不可、匿名は手続を踏めば提供可、という違いがそのまま正誤を分ける。

補足仮名加工情報も、委託・事業承継・共同利用なら42条2項が準用する27条5項により提供先は第三者に当たらない。「絶対に出せない」のではなく、本人同意やオプトアウトの経路が閉じている点が匿名加工情報との分かれ目になる。

正解：3（アー誤、イー正）

ア．誤り

例外事由

個人情報保護法第27条第1項「次に掲げる場合を除くほか」e-Gov原文

個人情報保護法第27条第1項第1号「法令に基づく場合」e-Gov原文

イ．正しい

例外事由

個人情報保護法第27条第1項第2号「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」e-Gov原文

ひっかけ「同意が大原則」だけを覚えていると、法令に基づく場合まで同意必須と読み違える。

解説個人データの第三者提供は原則として本人の同意を要するが、27条1項各号に例外がある。法令に基づく場合（1号）は同意なく提供できるので、「法令に基づく場合でも常に同意が必要」とするアは誤り。人の生命・身体・財産の保護のために必要で、かつ本人の同意を得ることが困難であるとき（2号）も同意なく提供できるので、イは正しい。各号にはこのほか、公衆衛生の向上・児童の健全育成に特に必要で同意困難な場合、国等への協力が必要な場合などがあり、いずれも公益性の高い場面に限られる。

補足災害時の安否確認のように本人同意を得る暇がない場面が2号の典型で、利用目的による制限の例外（18条3項各号）とほぼ同じ並びの事由が、提供制限の側にも置かれている。

正解：2（アー正、イー誤）

ア．正しい

共同利用

個人情報保護法第27条第5項「前各項の規定の適用については、第三者に該当しないものとする」e-Gov原文

個人情報保護法第27条第5項第3号「特定の者との間で共同して利用される個人データが当該特定の者に提供される場合」e-Gov原文

イ．誤り

通知等が要件

個人情報保護法第27条第5項第3号「特定の者との間で共同して利用される個人データが当該特定の者に提供される場合」e-Gov原文

ひっかけ共同利用なら手続抜きで当然に第三者でなくなる、と考えるとイで外れる。

解説委託・事業承継と並び、共同利用に伴う提供先も『第三者』に該当しない（個人情報保護法27条5項3号）。ただし共同利用には要件があり、共同して利用する旨、共同利用される個人データの項目、共同利用する者の範囲、利用目的、管理について責任を有する者の氏名・名称等を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置いていることが必要である。アはこの要件を満たした場合の効果を述べており正しい。イのように通知等を欠けば第三者非該当とはならず、原則どおり本人の同意が要るため、イは誤り。

補足共同利用の場合、利用目的や管理責任者の氏名等は後から変更でき、変更する旨をあらかじめ本人に通知等すればよい（27条6項）。最初の通知等で固定されるわけではない。

正解：3（アー誤、イー正）

ア．誤り

同等水準国

個人情報保護法第28条第1項「我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」e-Gov原文

イ．正しい

越境移転

個人情報保護法第28条第1項「あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」e-Gov原文

ひっかけ同等水準国にある相手は、そもそも28条の『外国にある第三者』に当たらない。

解説外国にある第三者へ個人データを提供する場合、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない（個人情報保護法28条1項）。同意の対象は通常の第三者提供への同意ではなく、相手が外国にあることを前提とした『外国提供を認める旨』の同意である点が特徴で、イはこの原則どおりなので正しい。これに対し、我が国と同等の水準にあると認められる個人情報保護制度を有する国（規則で定めるもの）にある者や、基準に適合する体制を整備している者は、28条1項のかっこ書により『外国にある第三者』から除かれる。除かれる以上、外国提供についての特別の同意は要らない。よってアの『必ず外国提供を認める旨の本人の同意が必要』は誤り。

補足同等水準国への提供で外国提供の特別の同意が不要でも、通常の第三者提供（27条）の規律は別途かかる。

正解：1（アー正、イー正）

ア．正しい

委員会の公表

個人情報保護法第27条第4項「当該届出に係る事項を公表しなければならない」e-Gov原文

イ．正しい

届出

個人情報保護法第27条第2項「個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる」e-Gov原文

ひっかけ事業者が届け出て、委員会が公表する。公表するのは事業者ではない。

解説オプトアウトによる第三者提供をする事業者は、提供する個人データの項目や提供の方法などの所定事項を、あらかじめ本人に通知し又は本人が容易に知り得る状態に置き、かつ個人情報保護委員会に届け出なければならない（個人情報保護法27条2項）。本人への通知等だけでなく委員会への届出も要件である点で、イは正しい。そして委員会は、その届出があったときは、届出に係る事項を公表しなければならない（同条4項）。届出を受けた委員会の側に公表義務がある構造で、アはこの27条4項どおりだから正しい。どの事業者がどのオプトアウトを行っているかを外部から確認できる経路が、届出と公表で確保される。

補足要配慮個人情報や、不正取得された個人データ等は、そもそもオプトアウトによる第三者提供の対象から除かれている（27条2項ただし書）。

正解：2（アー正、イー誤）

ア．正しい

受領側の記録

個人情報保護法第30条第3項「当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない」e-Gov原文

イ．誤り

記録義務

個人情報保護法第30条第3項「当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない」e-Gov原文

ひっかけ記録を残すのは渡す側だけではない。受け取った側にも30条3項で作成義務がある。

解説第三者から個人データの提供を受ける際に確認（個人情報保護法30条1項）を行った個人情報取扱事業者は、提供を受けた年月日、確認に係る事項その他の規則で定める事項に関する記録を作成しなければならない（同条3項）。確認を行った以上は記録作成が義務となるので、アは正しく、『記録を作成する義務はない』とするイは誤り。作成した記録は一定期間保存する（同条4項）。受領側に課されるこの記録義務は、提供する側の記録作成・保存義務（29条）と対になり、個人データがどこから来てどこへ渡ったかをたどれる状態を作る。

補足提供側（29条）と受領側（30条）の両方で記録を作るため、1回の授受につき双方に記録が残る。

正解：2（アー正、イー誤）

ア．正しい

変更届出

個人情報保護法第27条第3項「前項第一号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく」e-Gov原文

イ．誤り

事前変更手続

個人情報保護法第27条第3項「同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ」e-Gov原文

ひっかけオプトアウトの変更は、遅滞なく対応する事項と、あらかじめ対応する事項を分ける。

解説オプトアウト届出事項の変更は、すべて同じタイミングで処理するわけではない。事業者名等の変更や提供停止は遅滞なく、提供される個人データの項目・取得方法・提供方法等を変更しようとする場合はあらかじめ、本人への通知等と委員会への届出が必要になる。

補足第三者提供は、同意の有無だけでなく、届出、公表、記録、本人への情報提供まで問われる。

正解：2（アー正、イー誤）

ア．正しい

同意取得時の情報提供

個人情報保護法第28条第2項「当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報」e-Gov原文

イ．誤り

提供後の情報提供

個人情報保護法第28条第3項「本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない」e-Gov原文

ひっかけ外国提供は、同意取得前の情報提供と、提供後の相当措置確保・情報提供を区別する。

解説外国第三者提供では、同意を取る前の情報提供と、相当措置体制先へ提供した後の継続的措置・本人への情報提供が別に定められている。外国提供の同意は単なる同意ではなく、判断材料を与えたうえでの同意である。

補足第三者提供は、同意の有無だけでなく、届出、公表、記録、本人への情報提供まで問われる。

正解：2（アー正、イー誤）

ア．正しい

提供記録の保存

個人情報保護法第29条第2項「当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない」e-Gov原文

イ．誤り

確認記録の保存

個人情報保護法第30条第4項「前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない」e-Gov原文

ひっかけ提供側の記録も、受領側の確認記録も、保存義務がある。

解説第三者提供では、提供した側の記録作成・保存だけでなく、提供を受けた側の確認・記録作成・保存も問題になる。29条2項と30条4項を対応させて、どちらの記録も作成日から規則所定期間保存するものとして整理する。

補足第三者提供は、同意の有無だけでなく、届出、公表、記録、本人への情報提供まで問われる。

正解：2（アー正、イー誤）

ア．正しい

個人関連情報の確認義務

個人情報保護法第31条第1項「確認することをしないで、当該個人関連情報を当該第三者に提供してはならない」e-Gov原文

イ．誤り

確認手続の準用

個人情報保護法第31条第3項「前条第二項から第四項までの規定は、第一項の規定により個人関連情報取扱事業者が確認する場合について準用する」e-Gov原文

ひっかけ個人関連情報は、提供先で個人データ化される場面では確認義務と記録系の準用がかかる。

解説個人関連情報はそれ自体では個人データでなくても、提供先で個人データとして取得されることが想定される場合には、本人同意等の確認なしに提供できない。さらに確認に関しては、第三者提供を受ける際の虚偽禁止・記録作成・保存の規定が準用される。

補足第三者提供は、同意の有無だけでなく、届出、公表、記録、本人への情報提供まで問われる。