プライバシーポリシーの「第三者提供」とは？

プライバシーポリシーの「第三者提供」とは、簡単にいえば、サービス運営者が保有する個人データを別の第三者へ提供することです。ただし、外部の会社がデータを扱うすべての場面が、個人情報保護法上の第三者提供に当たるわけではありません。

第三者提供＝個人情報の販売ではない

第三者提供には、本人が希望したサービスとの連携、同意を得た情報提供、法令に基づく対応など様々な場合があります。「第三者提供」という記載だけで、個人情報を販売しているとは判断できません。

1. 誰に
   提供先の事業者や種類。
2. 何を
   提供する個人データの項目。
3. 何のために
   提供の目的と根拠。

本人の同意が原則

日本の個人情報保護法では、個人情報取扱事業者が個人データを第三者へ提供する場合、原則として事前に本人の同意を得る必要があります。一方、法令に基づく場合や、人の生命・身体・財産の保護に必要で同意取得が困難な場合など、法律上の例外があります。

「法令に基づく場合」は、あらゆる照会に無条件で応じるという意味ではありません。提供が義務ではない法的根拠の場合、必要性と合理性を確認して対応することが法の趣旨に沿うと個人情報保護委員会は説明しています。

第三者提供・委託・共同利用の違い

利用目的に必要な範囲の委託、事業承継、所定事項を事前に知らせた共同利用では、提供先が法律上の「第三者」に該当しないものとして扱われる場合があります。

委託

メール配信、決済、配送、サポート、サーバー運用などを外部事業者へ任せ、必要な範囲でデータを扱ってもらうことがあります。委託先は委託業務の範囲内で扱う必要があり、委託元には必要かつ適切な監督が求められます。

共同利用

共同利用では、共同利用する旨、データ項目、利用者の範囲、利用目的、管理責任者の氏名・名称と住所、法人代表者の氏名などを、開始前に本人へ通知するか、容易に知り得る状態に置く必要があります。

外部送信と第三者提供も同じではない

アプリは、障害調査、アクセス解析、認証、広告などのため外部サービスへ情報を送信する場合があります。送信情報が個人データか、送信先が委託先か独自目的で利用する第三者かなどにより、法律上の扱いは変わります。

外国にある第三者への提供

外国にある第三者への個人データ提供には別の規律があります。本人同意を根拠とする場合、原則として外国名、現地の個人情報保護制度、提供先の保護措置に関する情報提供が必要です。

一定の国や基準に適合する提供先、法律上の例外では扱いが異なります。海外サーバーを利用しているだけで直ちに外国の第三者提供になるとは限らず、クラウド事業者が個人データを取り扱う契約・運用かなど、個別の判断が必要です。

広告会社への送信は第三者提供？

一律には決まりません。送信情報、個人データへの該当性、広告会社の立場、独自目的での利用、契約内容などで変わります。「広告」「外部送信」「第三者提供」「委託」「情報収集モジュール」を横断して確認してください。

クラウドサービスで確認したい7項目

1. 原本の利用
   保存したファイルを何に利用するか。
2. 提供条件
   アカウント情報とファイル情報をいつ提供するか。
3. 委託先
   インフラ、認証、決済、メール配信など。
4. 第三者提供
   対象・目的・同意方法。
5. 国外移転
   外国での処理に関する説明。
6. 正式な照会
   法令や捜査機関等への対応方針。
7. 削除
   アカウント削除後の保持期間と方法。

まとめ

第三者提供は個人データを別の第三者へ提供することですが、個人情報の販売と同義ではありません。委託、共同利用、事業承継では、条件を満たす場合に提供先が法律上の第三者に該当しない扱いもあります。

誰が、何を、何のために扱うか、委託・共同利用・外部送信・国外移転・削除まで確認することが大切です。