個人情報を本人以外に渡す『第三者提供』のルールと、オプトアウト、そして国境を越えるデータ移転の規制を学びます。SGでは同意の要否がよく問われます。
紺野 アキ
集めた個人情報を、他の会社に渡すのって自由にできないよね?
銀城 ナディア 先生
できないわ。
個人データを本人以外に渡すことを第三者提供といって、原則として事前に本人の同意を得る必要があるのよ。
灰原 さや
つまり『同意なくデータを他社に売る』のはルール違反ということですね。
銀城 ナディア 先生
そう。
ただし例外的に、本人の同意なしで提供できる方法としてオプトアウトという仕組みがあるの。
薔薇崎 ねむ
オプトアウトって、どういう意味なんですかぁ?
銀城 ナディア 先生
あらかじめ『提供する項目』『提供方法』などを本人が分かるようにしておき、本人が『やめて』と求めたら提供を停止する方式よ。
事前に個人情報保護委員会への届出も必要なの。
紺野 アキ
じゃあ本人が何も言わなければ提供されちゃうんだ。
ちょっと注意が必要だね。
灰原 さや
先生、要配慮個人情報はオプトアウトで提供できないんでしたよね。
銀城 ナディア 先生
よく覚えていたわね。
要配慮個人情報はオプトアウトによる提供は認められないの。
同じく、不正取得された個人データや、他社からオプトアウトで受け取ったデータの再オプトアウト提供も禁止されているわ。
薔薇崎 ねむ
そもそも『第三者提供にあたらない』ケースもあるんですかぁ?
銀城 ナディア 先生
あるわ。
業務を委託する場合や、事業の承継、共同利用として本人に通知した場合は、第三者提供にはあたらないの。
委託先には監督義務があるわね。
灰原 さや
海外の会社にデータを渡す場合は、さらに厳しいルールがあると聞きました。
銀城 ナディア 先生
そのとおり。
外国にある第三者へ個人データを渡す越境移転では、原則として『外国への提供を認める』旨の本人同意が必要よ。
同意に基づく場合は、移転先での取扱いに関する情報を本人に提供する義務もあるの。
紺野 アキ
どこの国でもダメってわけじゃないんだよね?
銀城 ナディア 先生
ええ。
日本と同等の保護水準があると認められた国や、移転先が基準適合体制(適切な体制を整備した事業者)であれば、本人同意なしでの移転も可能よ。
EUなどはこの同等国に指定されているわ。
確認クイズ
個人情報保護法において、本人の同意を得なくても個人データを提供できる場合として適切でないものはどれか。
- 利用目的の達成に必要な範囲内で業務を委託する場合
- 合併など事業の承継に伴って提供する場合
- 要配慮個人情報をオプトアウト方式で提供する場合
- あらかじめ本人に通知した共同利用として提供する場合
こたえを見る
正解: 3. 要配慮個人情報をオプトアウト方式で提供する場合
要配慮個人情報はオプトアウト方式による第三者提供が禁止されているため、この方法で同意なく提供することはできない。一方、委託・事業承継・共同利用は第三者提供に該当せず、本人同意なしで提供が可能。オプトアウトは通常の個人データには使えるが、要配慮個人情報・不正取得データ・オプトアウト受領データには使えない点が頻出。