個人情報の保護に関する法律 第27条（第三者提供の制限）

個人データを自社以外の別の主体へ渡すことです。個人情報保護法 27 条が規律し、原則として事前の本人同意が必要ですが、委託・事業承継・共同利用・オプトアウトの例外があります。

本人が拒否しない限りデータを提供できる仕組みです。委員会への届出、本人への事前通知・公表が要件で、要配慮個人情報や不正取得データは対象外です（27 条 2 項）。

できます。共同利用は 27 条 5 項 3 号で第三者に該当しません。ただし共同利用する者の範囲・利用目的・管理責任者を事前に本人へ通知または公表していることが条件です。

オプトアウト提供の場合、本人はいつでも提供停止を求められます（27 条 2 項 6 号）。名簿が拡散する前の早い段階で請求するほど効果が高くなります。

あります。提供する側は 29 条、受ける側は 30 条により、提供の年月日・相手方・取得経緯などの記録作成・保存義務を負います。

国内提供は 27 条ですが、外国にある第三者への提供は 28 条が別途規律します。原則として本人の同意や体制整備の情報提供が必要になります。

個人情報保護委員会の報告徴収・立入検査・勧告・命令の対象となり、命令違反には刑事罰があります。本人への直接の賠償は 27 条単体では生じません。

実質はほぼ同じです。2021 年（令和 3 年）改正で官民の法制を一本化した際、第三者提供の制限を定めた旧 23 条が現行 27 条へ条番号変更されました。

必ずしも違法とは限りません。退会前にプライバシーポリシーで『共同利用』（27条5項3号）や『オプトアウト提供』（27条2項）に同意・告知がされていれば、退会後もその範囲でデータが残り使われることがあります。業界裏話ヒント：企業は退会時に個人データを即消去する義務を一律には負っていません。消去や利用停止を確実に止めたいなら、退会とは別に『利用停止・第三者提供停止』を明示的に請求すること。退会ボタンを押すだけでは、共同利用の輪からは抜けられないことが多い

『委託』（27条5項1号）に本当に該当するかが勝負です。委託先が渡されたデータを自社の営業や別目的に使えば、それは委託の枠を超えた無断の第三者提供になり、御社が違反主体になります。業界裏話ヒント：委託と第三者提供を分けるのは『誰の利用目的のために使うか』です。あくまで委託元の目的の範囲内で処理させ、契約書で再利用を禁じ、監督（25条）の記録を残しておく。この線引きを曖昧にしたまま『委託です』と言い張る運用が、立入検査で最も突かれる急所です

売り手がオプトアウトの届出（27条2項）を適法に行っていれば、その提供自体は合法です。ただし買い手にも『提供元の取得経緯を確認し記録する義務』（30条）があり、明らかに不正取得された名簿と分かって買えば買い手も責任を問われます。業界裏話ヒント：2020年改正で、他社からオプトアウトで受け取ったデータをさらにオプトアウトで再提供することが禁止されました。つまり名簿の転々流通が制度的に断たれており、出所を辿れない古い名簿ほど法的リスクが高い。安さに飛びつく前に、提供元の届出番号を委員会の公表リストで照合するのが実務です（最新の改正状況をご確認ください）