個人データの第三者提供とは？同意が要る場面と委託との違い

Q: 生成AIに個人データを入れるのは第三者提供ですか？

一律ではなく、事業者の取り扱いと契約によって考え方が変わります。委員会は、応答以外の目的で扱われる場合は違反の可能性があると注意しています。入力前に、機械学習に使わないことなどを十分に確かめましょう。具体的な判断は専門家に相談してください。

Q: クラウドに顧客データを置くと、同意が必要ですか？

事業者が個人データを取り扱わないこととなっていれば、同意は不要です。委員会のQ&Aでは、契約で取り扱わない旨を定め、適切にアクセス制御している場合などが例に挙がっています。自社の安全管理の責任は別に残ります。

Q: 2026年の改正で何か変わりますか？

統計作成等の特例や、オプトアウトの確認義務が加わります。統計情報等の作成にのみ使う場合は、条件を満たせば同意は不要です。オプトアウトでは提供先の身元と利用目的の確認が義務になりました。施行は原則として公布から2年以内です。

個人データの第三者提供（個人情報保護法第27条）
- 個人データの第三者提供（個人情報保護法第27条）関連用語
個人データの第三者提供（個人情報保護法第27条）で知っておくと得する有益情報
個人データの第三者提供（個人情報保護法第27条）やさしい解説
個人データの第三者提供（個人情報保護法第27条）についてのみんなの疑問
AI関連の用語集【まとめ】

個人データの第三者提供（個人情報保護法第27条）

アイちゃんのイラスト — 個人データを別の事業者へ渡す
管理する個人データを別の相手へ渡します。
原則として本人の同意が必要です。
委託や共同利用は第三者になりません。

個人データの第三者提供とは、事業者が管理する個人データを、自社以外の別の事業者などへ渡す行為のことです。個人情報保護法第27条は、法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ることを求めています。委託、事業の承継、共同利用に当たる場合は「第三者」に該当しません。クラウドでは、提供事業者が個人データを取り扱うかどうかが判断の基準になります。提供の記録を作る義務もあります（第29条）。

個人データの第三者提供（個人情報保護法第27条）関連用語

個人データの第三者提供（個人情報保護法第27条）に関連する単語は以下の通りです。

個人データの第三者提供（個人情報保護法第27条）で知っておくと得する有益情報

第三者提供かどうかは、AIやクラウドの導入でよく迷う点です。判断の手がかりを3つにまとめました。

取り扱うかが基準クラウドは、保存データの中身より、事業者が個人データを取り扱うかで判断します。
委託でも責任は残る委託は第三者に当たりませんが、委託先を監督する義務があります（第25条）。
学習への利用に注意応答以外の目的で扱われる生成AIへの入力は、違反の可能性があると注意されています。

渡し方の主な形（2026年11月時点の条文）

形	本人の同意	主な注意点
通常の第三者提供	原則として必要	提供の記録を作成（第29条）
オプトアウト	不要	通知などと委員会への届出。要配慮個人情報は不可
委託	不要	利用目的の範囲内。委託先の監督が必要
事業の承継	不要	合併などに伴う提供
共同利用	不要	項目や範囲などを本人に通知、または知り得る状態に