個人情報の保護に関する法律 第29条（第三者提供に係る記録の作成等）

個人データを他社に提供した事業者が、提供年月日・提供先の名称・本人の氏名・データ項目等を残す記録です。個人情報保護法 29 条が根拠で、原則 3 年間の保存が必要です。

施行規則により、契約書等の代替手段で記録する場合は最後に提供した日から 1 年、それ以外は原則 3 年です。保存期間を過ぎると開示すべき対象が消えます。

施行規則 20 条で、提供年月日・第三者の氏名または名称・本人の氏名等・個人データの項目・本人の同意の有無が定められています。欠落があると義務違反です。

29 条自体に直接の罰則はありませんが、個人情報保護委員会の報告徴収・勧告・命令の対象になり、命令違反で初めて刑事罰が起動します。立証上の空白も生じます。

令和 2 年改正で第三者提供記録は本人の開示請求の対象になりました（33 条 5 項）。記録は最初から本人に読まれる前提で作成する必要があります。

純然たる委託は 27 条 5 項 1 号に当たり記録義務が免除されます。ただし委託先が自社目的で使える契約なら実質は第三者提供と評価され、記録が必要になります。

28 条の外国第三者提供では委託・共同利用による免除が働かず、27 条 1 項各号に該当する場合しか免除されません。国内より記録義務が広く生じます。

あります。30 条により受領側は提供元の氏名や取得経緯を確認し記録する義務を負います。29 条の提供側記録と対になり流通経路を遡れる鎖を作ります。

純然たる委託であれば27条5項1号に当たり、29条1項ただし書で記録義務は免除される。ただし委託と言えるのは、委託元の指示の範囲内でのみデータを扱わせる場合に限られる。業界裏話ヒント：委託先が自社の営業目的でそのデータを使える契約になっていると、名目が委託でも実質は第三者提供と評価される。個人情報保護委員会が最初に見るのは契約書の目的条項と、委託先の独自利用を禁じる条項の有無である

作らなければならない。オプトアウト提供（法27条2項）は29条1項ただし書の除外事由に含まれておらず、むしろ受領側にも30条で確認・記録義務が課される。業界裏話ヒント：オプトアウト届出事業者の一覧は個人情報保護委員会のサイトで公表されている。自社に持ち込まれた名簿の売り手がそこに載っていなければ、その名簿を受け取った時点であなたの会社が30条違反に問われる側になる

29条違反そのものに罰金の定めはない。効くのは個人情報保護委員会の報告徴収・立入検査、指導、勧告、命令（法148条）であり、命令違反で初めて1年以下の拘禁刑または100万円以下の罰金、法人には最大1億円の罰金が科されうる（法178条、184条。最新の改正状況をご確認ください）。業界裏話ヒント：実務で企業を追い詰めるのは刑罰ではなく、委員会が命令の事実を公表する権限である。上場企業なら適時開示、BtoB企業なら取引先の情報セキュリティ監査で即座に効いてくる

同じではない。法28条1項に基づく外国にある第三者への提供の場合、29条1項ただし書の免除は27条1項各号に該当する場合に限られ、委託・事業承継・共同利用（27条5項各号）による免除が働かない。業界裏話ヒント：国内の委託なら記録不要でも、同じ内容を海外のクラウド事業者に委託した瞬間に記録義務が生じうる。サーバの所在国を法務が把握していない会社は、この一点でほぼ確実に記録漏れを起こしている