⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

第三者提供に関する同意書

第1部: 書式本文

【事業者名】(以下「甲」という)は、【本人氏名】(以下「乙」という)から取得した個人データを第三者に提供するにあたり、次のとおり乙の同意を得る。

第1条(目的) 本書は、甲が乙の個人データを第三者に提供するにあたり、個人情報保護法第27条第1項に基づき乙の同意を得ることを目的とする。

第2条(提供する情報) 提供する個人データの項目は【提供項目】とする。

第3条(提供先) 提供先は【提供先名称(グループ会社・提携先等)】とする。

第4条(提供の方法) 提供の方法は【提供方法(書面・電磁的方法・システム連携等)】とする。

第5条(提供の目的) 提供先における利用目的は【利用目的】とする。

第6条(外国にある第三者への提供) 提供先が外国にある場合、当該外国の名称及び個人情報の保護に関する制度の概要は【外国の名称・制度概要】のとおりであり、乙は当該情報を踏まえて同意する。

第7条(提供先における安全管理) 甲は、提供先が個人データについて適切な安全管理措置を講じていることを確認した上で提供する。

第8条(同意の任意性) 乙が本同意を行わないこと、又は同意を撤回することにより、乙が甲から受ける本来のサービス提供において不利益な取扱いを受けることはない。ただし、提供先のサービスを利用できなくなる場合がある。

第9条(同意の撤回) 乙は、いつでも本同意を撤回することができる。撤回の効果は撤回時点以降の提供について生じ、既に行われた提供には遡及しない。

第10条(問合せ窓口) 本同意に関する問合せ窓口は【窓口名称・連絡先】とする。

以上、上記の内容を確認し、同意する。

【同意日】 乙: 【氏名】 印又は電子的同意の記録

第2部: 立場別・場面別の書き換えパターン

A. 個人情報保護管理者の立場から

個人情報保護管理者としては、提供先が複数にわたる場合、提供先ごとに提供項目及び利用目的を一覧化し、乙が個別に同意の可否を選択できるようにすることが望ましい。

修正例:「乙は、別紙提供先一覧に記載する提供先ごとに、提供に同意するか否かを選択することができる。一部の提供先について不同意とした場合、他の提供先への提供には影響しない。」

一言解説:包括的な同意取得は本人の自己決定権を実質的に制約するおそれがあるため、提供先ごとの個別選択を可能にすることが望ましい取扱いとされる。

B. 法務担当の立場から

法務担当としては、提供先が外国にある場合、個人情報保護法第28条に基づく情報提供事項(制度概要、講じている措置等)を具体的に記載し、同意取得の要件を満たすことを確認する必要がある。

修正例:「甲は、提供先が所在する外国の名称、当該外国における個人情報の保護に関する制度、及び提供先が講じる個人情報の保護のための措置に関する情報を、乙の同意取得に先立って提供する。」

一言解説:外国にある第三者への提供については、通常の第三者提供の同意とは別に、法令上求められる追加的な情報提供事項があるため、条項を区別して整理する必要がある。

C. 事業部門担当の立場から

事業部門担当としては、グループ会社間でのデータ共有が共同利用に該当し第三者提供の同意が不要となる場合との違いを整理し、共同利用の枠組みで足りる場合は別の手続によることを明記することが実務上重要である。

修正例:「甲とグループ会社との間で行う個人データの共有が、個人情報保護法上の共同利用の要件を満たす場合、甲は本同意によらず、共同利用に関する公表事項の明示により当該共有を行うことがある。」

一言解説:第三者提供と共同利用は個人情報保護法上の適用条文が異なり、共同利用の要件を満たす場合は本人同意ではなく一定事項の公表等で足りるため、両者を混同しないよう整理しておく必要がある。

事業部門担当としてはさらに、提供後に提供先で個人データの漏えい等が発生した場合の連絡体制について、提供先との間であらかじめ取り決めておくことが望ましい。

修正例:「甲は、提供先において本人データの漏えい等が発生したことを把握した場合に備え、提供先との間で速やかな相互連絡に関する取決めを行う。」

一言解説:提供元と提供先の連絡体制が整っていないと、漏えい発生時の個人情報保護委員会への報告や本人通知が遅延するおそれがあるため、あらかじめ連絡フローを定めておくことが望ましい。

第3部: 書き方と法的ポイント解説

本書式は、企業が取得した個人データを、グループ会社、業務提携先その他の第三者へ提供する際に、本人から個別の同意を得る場面で使用する。委託に伴う提供や、共同利用の要件を満たす提供、法令に基づく提供など、個人情報保護法上本人同意を要しないとされる場合には、本書式によらず別の手続で足りることがある。

根拠法令としては、個人情報保護法第27条第1項が、個人情報取扱事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないと定めており、法令に基づく場合や人の生命・身体・財産の保護に必要な場合等の除外事由に該当しない限り、本人の同意取得が必要となる。同法第28条は、外国にある第三者に個人データを提供する場合、原則として通常の第三者提供の同意とは別に、移転先の国における個人情報の保護に関する制度等について本人に情報提供した上で同意を得ることを求めている。

実務でよくある失敗として、第一に、利用規約の一条項として包括的に第三者提供への同意を組み込み、本人が提供の事実や提供先を具体的に認識しないまま同意したとみなされる形式になっているケースがある。提供先、提供項目、利用目的を具体的に明示した独立の同意取得画面又は書面とすることが対策となる。第二に、提供先が外国のクラウドサービス事業者であるにもかかわらず、国内の第三者提供と同様の同意文言のみで済ませ、外国にある第三者への提供に関する追加的な情報提供義務を履行していないケースがあり、外国の名称や制度概要の記載を追加する必要がある。第三に、共同利用の要件(利用範囲、管理責任者等の公表)を満たしているにもかかわらず、あえて第三者提供の同意取得の手続を重複して行い、かえって手続が煩雑になったり、共同利用と第三者提供の法的性質を混同した説明になったりするケースがあり、事案に応じた適切な手続の選択が必要である。

第四に、提供先で漏えい事故が発生した際、提供元への連絡が遅れ、個人情報保護委員会への報告や本人への通知が期限内に行えなかったケースがあり、提供先との連絡体制をあらかじめ取り決めておくことが対策となる。

第三者提供の該当性や共同利用との区別は個別の事案により判断が異なるため、実際の運用にあたっては弁護士等の専門家に個別に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 提供する個人データの項目を具体的に明記したか
• [ ] 提供先の名称を具体的に特定したか
• [ ] 提供先における利用目的を明記したか
• [ ] 提供先が外国にある場合の追加的な情報提供事項を満たしたか
• [ ] 提供先における安全管理措置を確認したか
• [ ] 同意しないこと・撤回による不利益がない旨を明記したか
• [ ] 同意の撤回方法及び撤回の効果を明記したか
• [ ] 提供先が複数ある場合の個別選択を可能にしたか
• [ ] 共同利用との区別を整理したか
• [ ] 問合せ窓口を明記したか
• [ ] 提供先での漏えい発生時の連絡体制を取り決めたか
• [ ] 提供先が要配慮個人情報を取り扱う場合の追加確認を行ったか