個人情報の保護に関する法律 第30条（第三者提供を受ける際の確認等）

第三者から個人データの提供を受けるとき、提供元と取得経緯を確認し、受領記録を作成・保存する義務です。個人情報保護法 30 条が根拠で、原則 3 年の保存が求められます。

委員会規則の定める期間で、原則 3 年です。契約書等による代替方式など類型により異なります。保存期間内に廃棄すると 30 条 4 項違反になります。

確認記録義務違反は、まず委員会の指導・勧告・命令の対象です。命令に従わない場合に罰則（法人重科あり）へ連なります。記録一枚の欠落が責任の入口になります。

対象です。第三者からの個人データ提供に当たるため、紹介会社の名称・住所・代表者名と、候補者情報の取得経緯を確認し記録する必要があります。

27 条 1 項各号（法令に基づく提供・生命保護・公衆衛生・公的機関協力等）と 27 条 5 項各号（委託・事業承継・共同利用）に当たる場合、確認は不要です。

事業承継は 27 条 5 項の例外に当たり確認不要です。ただし例外該当性を自己流で誤ると確認義務違反に転落するため、判断は慎重に行うべきです。

対象です。外部から購入した個人データセットの受領も第三者提供に当たり、提供元と取得経緯の確認・記録義務を負います。データ調達はそのまま 30 条の適用場面です。

できます。提供者側の 29 条記録と受領者側の 30 条記録は、一つの契約書・台帳で兼ねられる場合があります。継続取引なら包括管理でき、二重管理は不要です。

「第三者から個人データの提供を受ける」場合に義務が生じます（30条1項）。単発の名刺交換は該当しにくいですが、体系的に整理された顧客リスト・名簿の受領は典型的に対象です。相手の氏名住所・取得経緯の確認と記録が必要。業界裏話ヒント：委員会は「提供を受けた側」の記録不備を、提供元の違法性を追及する突破口にします。名簿屋を摘発する際、まず買った企業の記録を洗う。記録がない企業ほど狙われやすい

27条1項各号（法令に基づく場合、人の生命保護、公衆衛生、公的機関への協力等）と27条5項各号（委託・事業承継・共同利用）です（30条1項ただし書）。M&Aでの顧客データ承継や、クラウド委託先からの受領は原則確認不要。業界裏話ヒント：この例外を「当たるはず」と自己判断で済ませて記録を残さない企業が多い。だが委員会は例外該当性を厳しく見ます。グレーなら記録を残す方が安全、というのが実務対応の定石です

書面でも電磁的記録でも可で、受領年月日・提供元の氏名等・取得経緯・対象データの項目等を記録します（30条3項）。保存期間は委員会規則で定められ、原則3年、契約書等による代替方式など類型で異なります（最新の改正状況をご確認ください）。業界裏話ヒント：提供者側の29条記録と受領者側の30条記録は、一括して一つの契約書・台帳で兼ねられる場合があります。取引ごとに別々に作る必要はなく、継続取引なら包括管理できる。これを知らず二重管理で疲弊している法務部は多い