📅 2026年10月4日 ⏱️ 11分で読めます

個人データの第三者提供記録｜提供・受領で残す確認事項と保存管理

執筆ファネルAi編集部編集ファネルAi編集部監修ファネルAi監修チーム最終更新2026年10月3日

個人データを取引先へ渡すときは、送信履歴だけで必要な記録が揃うとは限りません。第三者から受け取るときも、ファイル名と担当者名だけでは、提供者がどのようにデータを取得したかを確認できません。授受の前に適用条件を判断し、提供側と受領側それぞれの確認事項を記録へ結び付ける必要があります。

第三者提供記録は、対象となる授受を特定し、提供側と受領側それぞれの類型に応じた項目を揃え、受領側では提供者の身元と取得の経緯も確認し、作成方法に応じた起算日と保存期間を設定することで管理します。法定項目は本人同意とオプトアウトなどの類型で異なります。国内の委託・事業承継・共同利用は所定の要件を満たす場合に適用除外となるため、外部へ渡したという理由だけで一律に扱いません。

以下は2026年10月3日時点の個人情報保護委員会のガイドラインと個人情報保護法に基づき、主に民間事業者間の国内の個人データの授受を整理したものです。外国への提供、個人関連情報、匿名加工情報などは、それぞれの要件を別途確認します。

本記事のポイント

第三者提供の確認・記録は、同意・オプトアウト・国内委託等の適用条件を先に区別して管理します。
提供側と受領側で記録事項を分け、受領側は提供者の身元と取得経緯を確認して根拠へ紐づけます。
作成方法ごとの保存期間と起算日を設定し、実際の授受ログと記録を照合して差分を閉じます。

本人同意に基づく授受の確認例。適用条件を先に確認し、提供側の同意・相手先・対象と受領側の相手先・取得経緯を分け、作成方法に応じて保存期限を管理する図 — 図は本人同意に基づく授受を例とした確認順序で、法定記録事項の全一覧ではありません。相手の住所・法人代表者など、本文に示す必要事項も記録します。オプトアウトは別の根拠・事項で判断します。

1. 記録対象を判断し、委託や共同利用と区別する

最初に、授受する情報が法上の「個人データ」に当たるか、誰がどの立場で提供・受領するかを確認します。企業間の取引であっても、担当者の氏名やメールアドレスなど、個人に関する情報を扱うことがあります。「法人顧客の情報だから対象外」と決めず、データの内容と管理形態を見て判断してください。

個人情報保護法第29条は提供側の記録、第30条は受領側の確認と記録を定めています。ただし、全ての外部共有に同じ義務が適用されるわけではありません。個人情報保護委員会の第三者提供時の確認・記録義務編の第2節には、法令に基づく提供などの適用除外と、委託・事業承継・共同利用の扱いが示されています。

授受の形	最初に確認する条件	記録管理での扱い
本人同意による第三者提供	提供先・利用目的・対象データについて必要な同意があるか	提供側と受領側それぞれの記録事項を揃える
オプトアウトによる提供	制度の適用条件と届出・公表、対象データを確認する	授受年月日などを記録し、受領側は委員会の公表も確認する
国内での取扱いの委託	利用目的の達成に必要な範囲の取扱いを委ねる関係か	要件を満たす場合は確認・記録義務の適用除外。委託先監督等は別に管理する
国内での事業承継・共同利用	事業承継の実態、又は共同利用の事前通知・公表事項などを満たすか	所定の要件に従って適用除外を判断し、その判断根拠を残す

「委託契約」と書いてあっても、提供先が自社の営業目的で自由に使う実態なら、その名称だけで委託と判断できません。共同利用も、同じグループ会社という理由だけでは成立しません。共同利用する項目、利用者の範囲、利用目的、管理責任者の氏名又は名称・住所、法人では代表者の氏名など、法律が求める事前通知又は容易に知り得る状態への配置を確認します。

外国にある相手への提供は、委託であっても国内と同じ結論になるとは限りません。外国にある第三者への提供を認める本人の同意を根拠にする場合などは、記録義務が適用されることがあります。国内委託の適用除外を、そのまま海外サービスへ当てはめないでください。

判断結果は、対象業務、相手先、授受の目的、適用した類型、確認した契約や通知の版に紐づけます。業務全体の取扱いは個人データ処理台帳の更新管理で把握し、第三者提供記録は個々の授受を追える証拠として結び付けると、役割を混同せずに運用できます。

2. 提供側と受領側で必要な項目を分ける

本人同意に基づいて個人データを提供する場合、提供側の記録事項は、同意を得ている旨、提供先の氏名又は名称と住所、法人では代表者の氏名、データによって識別される本人を特定する事項、個人データの項目です。施行規則第20条の現行条文では、本人同意による提供も相手の住所・法人代表者氏名を含む事項を参照しています。不特定かつ多数へ提供した場合は、その旨を記録します。提供先の担当者名だけで済ませないでください。本人は氏名のほか、他の情報と照合して特定できるID等で記録できる場合があります。

同意の記録は「同意あり」というセルだけで完結させず、どの同意書、申込画面、設定、その他の証跡によって確認したかを紐づけると、後から説明しやすくなります。ガイドラインは同意を得た場合だけ提供するシステム設定を証跡とする例も示しています。画面を使う場合は、取得時点の内容が分かるBtoBフォームの同意文言の版管理と合わせて確認してください。

本人同意の類型では、ガイドライン第4-2節の記録事項一覧に提供年月日は列挙されていません。一方、オプトアウトの類型では授受年月日が記録事項となり、提供側は相手の氏名又は名称・住所、法人では代表者の氏名なども記録します。取引を照合し、保存期限を管理するために、本人同意による授受でも実際の授受日と記録作成日を残して管理します。ガイドラインの一覧に挙げられる項目だけで台帳の運用を完結させないようにしましょう。

受領側には、相手の氏名又は名称と住所、法人では代表者の氏名、相手による取得の経緯の確認が必要です。名称・住所等は申告を受ける方法のほか、登記事項、自社サイト、有価証券報告書など、適切な方法で確認できます。メール署名に会社名があれば全て足りるとは限りません。

取得の経緯では、本人から直接取得したのか、他の事業者から購入したのか、公開情報から取得したのかなど、取得先と取得行為の態様を確認します。取得経緯を示す書面、契約書、本人同意に関する誓約書、ホームページの説明などが確認方法の例です。義務の対象は、今回の提供者が取得した経緯であり、その前の全ての流通経路を無制限に遡ることではありません。

本人同意で受領する場合は、同意を得ている旨、確認した相手の身元と取得経緯、本人を特定する事項、データ項目を記録します。オプトアウトで受領する場合は、受領年月日と個人情報保護委員会に公表されている旨などを記録します。適法に入手されたものではないと疑われるのに、形式的な誓約書だけで受け取ることは避け、責任者へ確認を引き継いでください。

次の図は、本人同意に基づく提供・受領を例に、確認と保存管理の順序を示しています。オプトアウトは同意の代わりに別の根拠と記録事項を確認するため、この図の「同意」を全類型共通の項目として使いません。

3. 作成方法ごとの保存期間と起算日を決める

記録は、文書、電磁的記録又はマイクロフィルムで作成します。原則は授受の都度、速やかに作成する方法です。事前に作成することも可能ですが、実際の対象や条件が変わった場合に、事前の記録との不一致を放置してはいけません。

継続的又は反復する授受、又はそうした授受が確実と見込まれる場合には、一括記録の方法があります。対象期間と範囲を明確にし、最初に作成して随時追加する、月ごとに作成するなどの方法を選びます。オプトアウトによる第三者提供は一括記録の対象外です。

本人への物品又は役務の提供に関連する授受で、作成された契約書その他の書面に所定の事項が記載されている場合には、その書面を記録に代える方法もあります。これは、契約書という名前のファイルがあれば適用できるものではありません。本人への物品・役務の提供との関係と、必要事項の記載を確認します。この代替方法もオプトアウトでは利用できません。

記録の作成方法	提供側の保存期間	受領側の保存期間
所定の契約書等による代替	最後に当該記録に係る提供をした日から1年経過する日まで	最後に当該記録に係る提供を受けた日から1年経過する日まで
継続・反復する授受の一括記録	最後に当該記録に係る提供をした日から3年経過する日まで	最後に当該記録に係る提供を受けた日から3年経過する日まで
上記以外の方法	記録を作成した日から3年	記録を作成した日から3年

保存期限は「契約締結日から一律3年」と設定しないでください。一括記録では最後の授受が追加されると、起算日も更新されます。契約書が記録として認められても、代替方法の要件を満たさなければ1年の区分にはなりません。契約書を使った継続提供の一括記録を、所定の契約書等の代替方法と取り違えないことが重要です。

例えば、毎月同じ相手へ同意に基づく対象データを提供し、一括記録を作る場合、最初の送付日だけを起算日にすると、最後の送付に関する保存期間が不足し得ます。記録IDに対象期間と最後の提供日を紐づけ、授受を閉じる際に保存期限を確定します。相手から受ける立場なら、自社が最後に受領した日で判断します。

複数人の記録を一つにまとめても、各記録の保存期間が異なる場合があります。保存期限が違うデータを同じフォルダへ置くときは、ファイル更新日時だけで削除対象を決めないようにします。法定期間のほかに契約上の保管や紛争対応などの必要性がある場合は、理由と期限を別に管理してください。

4. 授受の記録を照合し、差分を閉じる手順

運用を始める際は、次の順で台帳と証拠の関係を固定します。以下の記録ID、担当者、件数、確認頻度などは、法定の統一様式ではなく、自社の授受を追跡するための管理項目の例です。

授受を特定する。業務名、提供側・受領側、相手先、データ項目、本人を特定する方法、国内・外国の別を確認します。
適用条件を判定する。同意、オプトアウト、委託、共同利用等の類型と根拠を責任者が確認します。提供・受領の可否の確認と、記録を作る作業を一体で行います。
根拠と法定項目を揃える。同意証跡、相手の確認資料、取得経緯、対象データの識別情報を、固定した記録IDに紐づけます。
作成方法と保存期限を設定する。都度、一括、所定の契約書等の代替を区別し、記録作成日又は最後の授受日を起算日として管理します。
実際の授受と照合する。送付・受領ログの相手、日付、対象ファイルやデータ範囲を記録と突き合わせ、追加・漏れ・条件変更を確認します。
差分を是正して記録を閉じる。担当者、訂正理由、訂正内容、再確認結果を残し、保存終了時の扱いまで引き継ぎます。

台帳に個人データそのものを重複して大量に保存する必要はありません。対象者IDや対象ファイルの識別情報を使う場合は、保存期間中に元の記録を参照し、対象本人や項目を特定できるかを確認します。参照先を先に削除したり、アクセス権の変更で誰も確認できなくなったりすると、IDだけが残っても説明できません。

過去の確認を再利用する際も、同じ会社との取引という理由だけでは足りません。既に適切に確認して記録を作成・保存している事項について、今回の内容が同一であることを確認します。既存記録と同一内容の事項を省略できる場合も、保存された元記録への参照を保ちます。取得経路や提供範囲が変わったら、変わった事項を改めて確認してください。

記録と証拠の保存先は、閲覧・編集する担当者を絞り、異動時の権限変更を確認します。外部に証跡を見せる場合は、セキュリティ資料の共有管理と同様に、必要な部分、閲覧者、期限を揃えることが役立ちます。

定期照合では、新しい提供先、記録のない授受、最後の授受日の更新漏れ、根拠資料の消失、長期間残る未確認案件を優先します。業務目的や外部サービスが変わる場合には、プライバシー影響評価の実施タイミングも確認し、個々の記録だけで業務全体の変更判断を代替しないようにしましょう。

よくある質問

第三者提供記録は、同意書があれば不要ですか？

不要とは限りません。同意書は同意を得ている旨の証拠になり得ますが、提供先、本人、データ項目などの必要事項も揃える必要があります。所定の契約書等で記録を代替する場合も、本人への物品・役務の提供との関係と記載事項を確認します。

本人同意で授受する場合、日付はどう管理しますか？

ガイドライン第4-2節の本人同意の類型と、施行規則第20条・第24条の該当類型の記録事項一覧には、授受年月日は列挙されていません。一方、実際の授受との照合や保存期限の起算日を管理するため、本人同意による授受でも授受日・記録作成日を残して管理します。オプトアウトの類型では授受年月日が列挙されており、区別して確認します。

全ての記録を3年保存すればよいですか？

作成方法と起算日を区別する必要があります。所定の契約書等の代替は最後の授受から1年、一括記録は最後の授受から3年、それ以外は記録作成日から3年です。複数人の記録をまとめた場合も、各記録の期限を確認します。

何度も受領する相手の取得経緯は毎回調べ直しますか？

既に適切な方法で確認し、記録を作成・保存している事項は、今回の内容が同一であることを確認する方法を使えます。過去の取引実績だけで省略せず、取得経路や対象が変わった場合は変更事項を確認します。

国内の業務委託なら、何も記録しなくてよいですか？

利用目的の達成に必要な範囲の取扱いの委託など、所定の条件を満たせば第三者提供の確認・記録義務は適用除外です。委託先の監督、安全管理、契約や授受の管理などの対応は別に必要です。外国の委託先は国内と同じ扱いと決めず、別途要件を確認します。