個人関連情報は他社に渡してよい？｜同意の確認が要る場面

「広告の配信のために、サイトの閲覧の記録を渡してほしいと言われた」「氏名は入っていないのだから、そのまま渡して構わないはずだ」——BtoBのマーケティングでも、この2つは毎年どこかの部門から上がってきます。ですが、氏名が入っていないことは、渡してよいことの理由にはなりません。個人情報保護法には、自社では誰のものか分からない情報であっても、渡した先で個人と結び付くのなら、渡す側に確認の義務がかかるという規定があります。この記事では、個人関連情報という区分が何を指すのか、どの場面で当たるのか、渡す前に何を確かめて何を残すのかを整理します。

氏名が入っていないから渡してよい、が最初のつまずき

よくある相談はこの形です。広告の配信を任せている相手方から「自社のサイトを見た人の記録を渡してほしい」と言われた。手元にあるのは端末の識別子と、どのページをいつ見たかという記録だけで、氏名も会社名も連絡先も入っていない。だから個人情報ではない、よって本人の同意も要らない、と結論して渡してしまう。ここまでの筋道は一見きれいに通っています。

この結論が外れるのは、判断の基準が自社の手元だけを見ているからです。法律が見ているのは、その情報が渡った先で何になるかまで含みます。相手方が自社の会員基盤を持っていて、受け取った識別子をその会員と突き合わせられるなら、渡した瞬間にその情報は特定の個人のデータになります。渡す側の手元では最後まで誰か分からないままなので、渡す側の感覚だけでは危険に気づけません。

だから確かめる問いを入れ替える必要があります。「自社で個人を特定できるか」ではなく、相手の手元で個人を特定できるようになるか。この視点の切り替えができていない状態で提供の設計を始めると、契約書も社内の申請書も全部「氏名を含まないので対象外」という前提で書かれてしまい、後から直すのに手間がかかります。最初に問いの形を変えておくのが、いちばん安い対策です。

個人関連情報という区分は何を指すか

個人関連情報は、生存する個人に関する情報であって、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないものと定義されています（個人情報保護法の第2条第7項）。令和2年の改正で新しく置かれた区分で、2022年4月1日から施行されています。区分そのものは新しくても、対象になる情報は多くの会社が以前から扱ってきたものです。

実際に当たるものとして挙げられるのは、端末の識別子に結び付いた閲覧の記録、広告の配信に使う識別子、位置の記録、購買の傾向を推定した情報などです。共通しているのは、単体では誰か分からないが、人に関する情報であるという点です。逆に、気象の記録や設備の稼働の記録のように人に関する情報でないものは、この区分には入りません。

判定は順番に見ると迷いません。まず個人情報に当たるかを見て、当たらなければ仮名加工情報・匿名加工情報に当たるかを見る。そこまでで拾われなかった「人に関する情報」が個人関連情報です。台帳を作るときも、この順番で列に印を付けていくと、社内の誰が見ても同じ結論になります。

• まず個人情報か（氏名などで特定できるか、他の情報と容易に照合できるか）
• 次に仮名加工情報・匿名加工情報か（元の個人情報を規定に沿って加工したものか）
• そこまでで拾われなかった「人に関する情報」が個人関連情報
• 人に関する情報でないもの（設備・気象・法人だけの情報）はこの区分の外

個人データ・仮名加工情報との境目

実務でいちばん混ざるのが、個人データ・仮名加工情報・個人関連情報の3つです。どれも「他社に渡すときに気をつけるもの」として同じ引き出しに入れられがちですが、渡すときの原則と、渡す側が負う義務の中身が違います。ここを1枚の表にしておくと、申請書の設計が楽になります。

区分	自社で個人を特定できるか	他社に渡すときの原則	渡す側の主な義務
個人データ	できる	本人の同意が原則	同意の取得と、提供の記録
仮名加工情報	できない（元に戻す情報を分けて管理）	第三者への提供は原則できない	識別の禁止と、安全管理
個人関連情報	できない	提供先が個人データにする想定なら確認が必要	提供先の同意取得の確認と、その記録

仮名加工情報と個人関連情報は「誰か分からない」という見た目が似ていますが、出発点が逆です。仮名加工情報は元の個人情報を加工して作ったものなので、元に戻すための情報が自社の中に残っています。個人関連情報は最初から個人と結び付いていません。だから前者は第三者への提供そのものが原則できず、後者は提供の相手方の事情によって義務が立つ、という違いになります。

困るのは、この3つが同じ表の中で列として並んでいる場合です。ひとつの行に会員番号と閲覧の記録が並んでいれば、その閲覧の記録は個人データの一部として扱うことになります。区分は表ではなく列ごとに付ける。この作業を先にやっておかないと、提供のたびに「この表は結局どっちなのか」を議論し直すことになります。

場面1：広告の配信先を他社に渡すとき

最初の場面は広告です。ウェビナーの申込ページを見たが申し込まなかった人に、別の媒体で追いかけて広告を出したい。渡すのは端末の識別子と、そのページを見たという記録だけ。氏名も会社名も渡しません。担当者の頭の中では「匿名の行動データを渡すだけ」という整理になっています。

ここで見るのは、相手方がその識別子を自社の会員基盤に結び付けて配信する仕組みかどうかです。結び付ける仕組みを持っているなら、提供先が個人データとして取得することが想定される場合に当たり、渡す側に確認の義務が立ちます。相手方の仕組みを知らないまま渡すのが、いちばん危ない形です。相手が何と突き合わせるかを聞かずに渡した記録は、後から説明できません。

落とし穴がもうひとつあります。媒体の管理画面に自分でファイルをアップロードする形も提供です。担当者の感覚では「外部に送っていない、自社で操作しただけ」ですが、情報が自社の管理を離れて相手方の側に入るのなら、人が介在したかどうかは関係ありません。管理画面からの手作業の投入も、提供の申請の対象に入れておきます。

場面2：共同キャンペーンで行動の記録を持ち寄るとき

2社で共催するウェビナーや、業界の団体と組んだ調査企画では、両社のサイトでの行動を持ち寄って「どちらの経路から来た人がより検討に近いか」を見たくなります。持ち寄るのが氏名を含む名簿なら、それは個人データを他社と使う話で、提供か共同利用かの見分けが論点になります。ここで扱うのは、名簿ではなく識別子だけを持ち寄る形です。

識別子だけを持ち寄る場合も、相手方が自社の名簿と突き合わせて「誰が見たか」を出す設計になっていれば、確認の義務が立ちます。共催という言葉は、法律上の枠組みの名前ではありません。企画としては対等な共同作業でも、情報の流れとしてはどちらかからどちらかへの提供になっている場合がほとんどです。まず流れの向きを図に描いて、どちらが出す側かを決めます。

実務でつまずくのは、企画の合意が先に走ってしまう点です。開催日と集客の目標が決まった後で法務に相談が来ると、もう情報の受け渡しの形を変える余地がありません。企画の合意書に、持ち寄る情報の項目と流れの向きを1枚添える。これを型にしておけば、毎回の相談が「この項目でよいか」の確認だけで済みます。

場面3：計測の記録を外部の分析サービスに送るとき

サイトに入れた計測の仕組みから、閲覧の記録が外部の事業者に送られています。多くの場合これは委託として整理され、送っている記録に氏名を含めない設計が取られます。設計そのものは既存の話題なので、ここでは「送った先が誰の判断でその記録を使うか」に絞って見ます。

分かれ目は、相手方が受け取った記録を自社の指示の範囲で処理しているか、それとも自らの事業のために使っているかです。委託の範囲を超えて、相手方が自分の顧客基盤の強化のために使っているなら、それは提供の側に寄ります。契約書の文言と、実際に流れている項目を突き合わせる作業が要ります。契約書に「委託」と書いてあることは、実際の処理が委託である証明にはなりません。

この場面でよく起きるのは、計測の仕組みを入れ替えたときに送信先が増えたのに、法務にも情報システムにも伝わらないという事故です。担当者は計測の設定を直しただけだと思っています。防ぐには、送信先の一覧を棚卸しする周期を決めることです。四半期に1回、送信先とその根拠（委託か提供か）を並べて見直す、といった形が現実的です。

場面4：手元の名簿と相手の識別子を突き合わせるとき

4つ目は突合です。相手方が持つ識別子の一覧と、自社の会員番号や配信の宛先を照合して、重なっている人数や重なった層の傾向を見る。共同で調査をするとき、あるいは代理店から「そちらの名簿と当社の配信対象がどれだけ重なるか見ましょう」と提案されたときに出てきます。

ここで大事なのは、どちら向きの提供なのかで義務を負う人が変わることです。自社が識別子を出す側なら、相手方が本人の同意を得ていることを確認する側に立ちます。逆に自社が受け取って会員基盤と結び付ける側なら、自社が本人から同意を得ておく側です。同じ1回の突合でも、立場によって準備するものが違います。

そして両方向に渡し合う形では、2つの義務が同時に立ちます。この場合に必要なのは、契約書に「どちらがどの本人から同意を取るか」を明記することです。ここが空欄のまま突合を始めると、後から本人からの問い合わせが来たときに、どちらの会社が説明する立場なのかが決まりません。作業の順番としては、突合の手順書より先に、この1行を埋めます。

渡す側に課された確認義務の中身

では具体的に何を確認するのか。個人関連情報を第三者に提供する場合で、提供先が個人データとして取得することが想定されるときに確認するのは、提供先が本人から同意を得ていることです（個人情報保護法の第31条第1項第1号）。加えて、外国にある第三者に渡す場合は、その国の制度など本人への情報提供がなされていることも確認の対象になります。

確認の方法は、相手方からの申告を受けて、それを確かめる形が基本です。申告を受けるだけでは確認になりません。実務としては、同意を取得している画面の写し、同意の文面、同意を取得した時期、同意の範囲に今回の提供先や利用の目的が含まれているかまでを出させます。相手方が代理店を経由している場合は、最終的に本人から同意を得た主体がどこかまで辿ります。

次に挙げるのは、確認したつもりになりやすい形です。どれも社内の記録には「確認済み」と書けてしまうため、後から見返したときに何を確かめたのか分からなくなります。

• 同意の文面を見ずに、口頭や電子メールの「取得済みです」の一言で済ませる
• 同意の範囲に今回の提供先と利用の目的が含まれているかを見ていない
• 確認した資料の保管場所と、確認した日、確認した担当者を残していない
• 初回だけ確認し、その後に相手方の同意の文面が変わっても見直していない
• 相手方が「個人と結び付けない」と述べたことをそのまま確認の結論にしている

「個人データとして取得することが想定される」の読み方

義務が立つかどうかの分かれ目はこの一文です。相手方が現に個人データとして取得する場合だけでなく、取得することが想定される場合も含まれます。つまり、相手方が実際にどう扱ったかが判明する前の段階で、渡す側が見立てをしなければなりません。

見立ての材料は3つです。相手方の事業の内容（会員基盤を持っているか、識別子を人に結び付ける仕組みを売っているか）、契約や提案の目的（誰に何を届けるための提供なのか）、渡す情報の性質（結び付けやすい識別子か、集計された数字か）。相手が結び付けないと言っていることは、材料のひとつでしかありません。相手方の仕組みで結び付くのであれば、想定される側に寄せて考えます。

この見立ては必ず文書に残します。残すのは結論だけでなく、誰がどの材料を見てそう判断したかです。ここをAIに決めさせないことが重要です。想定されるかどうかは相手方の事業の実態に踏み込む判断であり、外から見える情報だけで答えを出させると、もっともらしい理由が付いた誤った結論が返ってきます。AIに使わせるなら、材料を並べさせるところまでです。

委託や共同利用なら要らない、は成り立たない

ここが設計でいちばん外しやすいところです。個人データの第三者提供には、委託・事業の承継・共同利用という3つの形について「第三者に当たらない」とする例外があります。名簿を他社と使う場面では、この例外に乗せる設計が定番です。ところが、個人関連情報の提供の制限には、この3つに相当する例外規定がありません。この点は個人情報保護委員会の質問と回答の中で明確に示されています。

意味するところは重いです。委託の形にしても、共同利用の記載を公表しても、提供先が個人データとして取得することが想定されるなら確認の義務は残ります。名簿については共同利用の枠組みを作ったから、同じ枠で識別子も渡してよい——という整理が、そのままでは通りません。区分ごとに枠組みを分けて書く必要があります。

実務への影響は、申請書と契約書の様式に出ます。個人データの提供の申請書に「委託・共同利用・提供」の3択の欄があると、個人関連情報の提供もその欄で処理されてしまいます。次の点を様式に足しておくと、取り違えを防げます。

• 申請の対象が個人データか個人関連情報かを、最初の欄で選ばせる
• 個人関連情報を選んだ場合は、委託・共同利用の3択の欄を出さない
• 代わりに「提供先が個人データとして取得することが想定されるか」の欄を出す
• 想定される場合は、同意の確認の資料の添付を必須の欄にする
• 既存の共同利用の公表文に、識別子の提供が含まれていないかを一度点検する

確認の記録に何を残すか

確認したら記録を作って保存します。記録するのは、提供先が本人の同意を得ていることを確認した旨、相手方の名称など相手方を特定できる事項、渡した情報の項目、提供した年月日といった内容です。保存の期間は原則として3年とされていますが、記録の作り方によって起算点の扱いが変わるため、様式を決めるときは個人情報保護委員会のガイドライン（第三者提供時の確認・記録義務編）の該当箇所を開いて確かめてください。

運用としては、提供のたびに1行増える台帳の形が扱いやすいです。列は、提供日／相手方／渡した項目／確認の方法／確認に使った資料の保管場所／確認した担当者／次に見直す期限。資料の保管場所と担当者の列があるかどうかで、監査のときの手間が大きく変わります。記録は「あること」より「辿れること」に価値があります。

継続的に提供する場合は、一括して記録を作る形が認められています。便利ですが、条件が変わったときに更新されないという落とし穴があります。更新の契機を先に決めておくのが対策です。契約の更新、送信先の追加、相手方の同意の文面の変更、渡す項目の追加——このいずれかが起きたら台帳の行を更新する、と決めて様式に書いておきます。

渡す前に踏む5つの手順

ここまでの内容を、提供の依頼が来たときの流れに並べ直します。順番に意味があります。区分の確定を先に済ませないと、後の判断が全部やり直しになるためです。1件あたり半日から1日で回せる分量に収めるのが、運用を続けるコツです。

この5つの中で省かれやすいのは2番目です。相手方に仕組みを聞くのは気が重い作業で、代理店が間に入っていると誰に聞けばよいかも分かりにくい。ですが、ここを飛ばすと3番目の判断が推測になり、記録に残せる根拠がなくなります。聞き取りの定型の質問を3問だけ作って、依頼のメールにそのまま貼る形にすると続きます。

受け取る側に立ったときに整えること

立場が逆になる場面も来ます。他社から識別子つきの記録を受け取って、自社の会員基盤と結び付けて使う。このとき自社は、個人関連情報を個人データとして取得する側です。渡す側の確認に応じる立場になるので、出せる資料を先にそろえておく必要があります。

そろえるのは3つです。本人から同意を得ていること、その同意の範囲に「他社から受け取った情報と結び付けて使うこと」が入っていること、そして取得の記録。同意の範囲が今の使い方に届いているかが、いちばん抜けやすい点です。同意を取った時期と、今やっている処理の内容を並べて見比べる作業を、年に1回は入れておきます。

実際に多いのは、同意の文面が数年前のもので、当時は想定していなかった使い方が今の運用に含まれているという状態です。文面を書き換えれば済む話ではなく、既に取得している分の同意がどこまで及ぶかという問題になります。防ぐには、同意の文面に版の番号を付け、どの版の同意で取得した人がどれだけいるかを数えられるようにしておくことです。

AIに渡す場合と、AIに判断させない範囲

閲覧の記録や識別子を、生成AIや分析のAIに渡して傾向を出させる場面が増えています。ここで最初に見るのは、その事業者が自社の委託先として処理しているのか、自らの判断でその情報を使う立場なのかです。入力した内容が学習に使われる設定かどうかも、同じ列で確認します。無料の枠で試すときは、この設定が既定で有効になっていることがあります。

そして、区分の判定そのものをAIにさせないことを決めておきます。「この列は個人関連情報か」と問えば、AIは必ず答えを返します。返ってくるのは定義の言い換えで、自社の相手方が何と突き合わせるかという肝心の材料が入っていません。AIに使わせるなら、候補と、その候補になる理由を条文や指針の文言で書かせるところまでにします。根拠を書かせておけば、人が読んで誤りに気づけます。

人が確認する範囲は、使い始める前に決めます。決めるのは3つだけです。どの列を外部に出してよいか、どの提供に確認の義務が立つと見るか、記録に何を残すか。この3つを決めないままAIを使い始めると、判断の履歴が残らず、後から「なぜ渡したのか」を説明できなくなります。次の一覧をそのまま社内の決めごとにできます。

• AIに渡してよい列と、渡さない列を一覧にして先に決める
• 入力が学習に使われない設定になっていることを、契約と管理画面の両方で確かめる
• 区分の判定と、提供の義務が立つかの判断は人が行う（AIには候補と根拠を書かせる）
• AIの出力をそのまま台帳に転記せず、確認した担当者の氏名を必ず添える
• AIを使った回について、入力した項目と使った目的を記録に残す

よくある質問

氏名を含まないデータなら、社内の別の部門に渡すのも確認が要るのですか

同じ法人の中の部門どうしのやり取りは、第三者への提供には当たりません。したがってこの確認の義務は立ちません。ただし、グループ会社は別の法人なので第三者です。親会社と子会社の間、あるいは同じグループの販売会社との間で識別子を渡す場合は、外部の相手方と同じ手順を踏みます。社内の共有と関係会社への共有を、申請の様式の上で分けておくと取り違えが減ります。

相手方が「個人と結び付けない」と言っていれば、確認は不要ですか

それだけでは足りません。見るのは相手方の言明ではなく、相手方の仕組みで結び付くかどうかです。会員基盤を持ち、識別子を人に結び付ける仕組みを事業として提供している相手であれば、想定される側に寄せて考えるのが安全です。相手方の言明を使うなら、結び付けないという取り決めを契約に書き、その履行を確かめる方法まで決めるところまで進めてください。

本人の同意は、渡す側と渡される側のどちらが取るのですか

原則は、個人データとして取得する側、つまり提供先が本人から取得します。渡す側はそれを確認する立場です。もっとも、ガイドラインでは提供元が提供先に代わって本人から同意を取得する形も想定されているとされています。実際にその形を採る場合は、最新のガイドラインの文言を確かめたうえで、誰の名義で誰に対する同意を取るのかを契約に書いてください。

集計して統計にしてから渡せば、この区分から外れますか

特定の個人に関する情報でなくなっていれば、個人関連情報にも当たりません。ただし、集計の単位が細かいと、他の情報と組み合わせて個人に戻る場合があります。集計したから安全、という一段飛ばしの結論は取らないでください。単位ごとの件数の下限を決めるなど、戻らないことを確かめる手順を添えます。

記録はいつまで残せばよいのですか

原則として3年とされていますが、記録の作り方によって起算点の扱いが変わります。継続的な提供について一括して作った記録と、1回ごとに作った記録では扱いが異なるため、様式を決める段階で個人情報保護委員会のガイドラインの該当箇所を開いて確かめてください。台帳を作るときは、保存の期限そのものを列として持たせておくと運用が楽になります。

まとめ

個人関連情報は、自社では誰のものか分からないのに、渡した先で個人と結び付く情報の区分です。2022年4月1日から施行されており、対象になるのは端末の識別子に結び付いた閲覧の記録、広告の配信に使う識別子、推定された傾向などです。判断の軸は自社の手元ではなく、提供先の手元にあります。

渡す側の義務は、提供先が本人の同意を得ていることの確認と、その記録です。そして委託や共同利用に相当する例外規定がないため、名簿の共同利用の枠組みに識別子の提供を相乗りさせる設計は成り立ちません。区分は表ではなく列ごとに付け、申請の様式を区分ごとに分ける。この2つで、取り違えのほとんどは防げます。

最後に運用の話です。想定されるかどうかの見立ても、区分の判定も、AIに決めさせないでください。AIには候補と、その根拠になる文言を書かせる。判断と記録は人が持つ。そして人が確認する範囲——どの列を出してよいか、どの提供に義務が立つと見るか、何を残すか——を使い始める前に決める。まずは自社が今どこに何を渡しているかを1枚の表に書き出すところから始めてください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。