第三者提供とは

第三者提供の規制は、データベース化された個人データが対象です（27条1項）。親会社や子会社などのグループ会社も、別の法人なので第三者に当たります。

原則はあらかじめ本人の同意

個人データを第三者に渡すには、あらかじめ本人の同意を得るのが原則です。ただし、次のような場合は同意なく提供できます。

• 法令に基づく場合
• 人の生命・身体・財産の保護に必要で、本人の同意を得ることが難しい場合
• 公衆衛生の向上や児童の健全な育成に特に必要で、同意を得ることが難しい場合
• 国の機関などの法令上の事務に協力する必要があり、同意を得ると支障が出るおそれがある場合
• 学術研究機関等が関わる一定の場合

オプトアウトによる提供

本人の求めがあれば提供を止めることにし、提供する項目などを本人に通知するか容易に知り得る状態に置いたうえで、個人情報保護委員会に届け出れば、同意なく提供できます（27条2項）。ただし、要配慮個人情報、不正に取得した個人データ、オプトアウトで受け取った個人データは、この方式では提供できません。

第三者に当たらない場合

次の3つでは、受け取る者は第三者に当たりません（27条5項）。

• 委託：利用目的の達成に必要な範囲で、データの取扱いを外部に任せる場合
• 事業の承継：合併などで、事業とともにデータが移る場合
• 共同利用：共同で利用する者の範囲や利用目的などを、あらかじめ本人に通知するか、容易に知り得る状態に置いた場合

AI開発を外部のベンダーに任せる場合も、委託に当たれば同意は要りません。ただし委託先は、任された業務の範囲でしかデータを使えません。

2026年の改正

2026年7月17日公布の改正法は、統計情報等の作成（統計作成等と整理できるAI開発等を含む）にのみ利用される場合に、公表や提供先との書面での合意などを条件として、同意なく提供できる特例を設けました。顔特徴データ等をオプトアウトで提供することの禁止なども加わります。これらは原則として公布から2年以内に政令で定める日に施行され、2026年10月30日時点では施行されていません。

覚え方

「原則は同意。例外・オプトアウト・第三者に当たらない3類型」と覚えます。