要点個人情報保護法 31 条は、Cookie や閲覧履歴などの個人関連情報を、受け手が個人データとして取得すると想定される場合、本人同意の確認なしに第三者提供することを禁じる。
Q · Cookie や閲覧履歴を広告会社に渡すだけで、個人情報保護法に触れるの？
受け手で個人データになる想定があれば同意確認が必要です
個人情報保護法 31 条により、Cookie・端末 ID・閲覧履歴などの個人関連情報を第三者に提供する場合、その第三者が本人を識別する個人データとして取得すると想定されるなら、本人の同意が得られていることをあらかじめ確認しなければ提供できません。確認義務は受け手ではなく提供元に課され、外国の第三者へ渡すときは相手国の制度等の情報提供も必要になります（同条 2 項、28 条準用）。
あなたが運営するサイトが、閲覧履歴や Cookie、端末 ID を広告会社に渡している。それ自体は「個人データ」ではないから自由にやれる、そう考えているなら足元が危うい。2019 年のリクナビ事件がこの条文を生んだ。就活生の閲覧データから「内定辞退率」を算出して企業に売り、渡した側にとっては個人を特定できないただの数値でも、受け取った企業が自社の応募者データと突き合わせて個人を識別した。31 条はこの「渡す側では個人データでないが、受け手で個人データになる」隙間を狙い撃ちする。あなたが第三者に個人関連情報を提供するとき、相手がそれを本人が識別される個人データとして取得すると想定されるなら、本人の同意が得られていることを『あなたが』確認しない限り、提供してはならない。同意を確認する義務は受け手ではなく、渡すあなたに乗る。外国の第三者へ渡すなら、同意を取る時点で相手国の制度や保護措置の情報提供まで求められる。
個人情報保護法 31 条は、個人関連情報の第三者提供を制限する規定である。個人関連情報取扱事業者が、第三者においてその情報が本人を識別する個人データとして取得されると想定される場合に、本人同意の確認等を提供元へ義務づける。提供元では個人データに当たらない情報が、受け手で個人を識別する隙間を規律する。
AI 輔助整理，以條文原文為準
生存する個人に関する情報で、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないものです。Cookie、端末 ID、閲覧履歴、位置情報などが典型例で、31 条の規律対象になります。
個人データは特定の個人を識別できる情報です。個人関連情報は単体では個人を識別できません。ただし受け手で突合され個人データ化する想定があれば、31 条の確認義務が発生します。
就活生の閲覧データから内定辞退率を算出し企業へ提供した事案です。提供元では個人情報でなくても受け手で個人が特定される隙間が露呈し、この 31 条新設のきっかけとなりました。
あります。31 条 3 項が 30 条 2〜4 項を準用し、確認内容の記録作成・保存が必要です。記録事項や保存期間は個人情報保護委員会規則で定められています。
受け手が個人データとして取得すると想定される時点で、提供前に本人同意の取得と確認が必要です。提供後や事後の確認では義務を果たしたことになりません。
個人情報保護委員会の指導・勧告・命令の対象になります。命令に従わない場合は罰則（拘禁刑または罰金、法人には重科）が科され得ます。
個人関連情報データベース等を事業に用いている事業者を指します。Cookie や閲覧履歴を体系的に蓄積・提供するメディアや広告事業者が該当し得ます。
31 条は提供元の確認義務を課す規定で、同意バナー自体を直接義務づけるものではありません。ただし受け手での個人データ化想定がある場合、本人同意の取得・確認の仕組みが実務上必要になります。
渡した Cookie 等が受け手側で会員データベースと突合され、個人データとして使われる『想定』があるなら、31条の確認義務が生じます。単に送信したかではなく、受け手で個人が特定される想定があるかが分岐点です。業界裏話ヒント：多くの事業者は提供先の利用実態を確認せず『うちでは個人情報じゃない』で止めている。だが委員会は提供元の確認義務を重く見る。提供先が突合するか否かを契約書で明示させておくのが実務の防波堤になる
条文上、確認する義務は提供元、つまりあなたにあります。31条1項は『本人同意が得られていることを確認しないで提供してはならない』とし、義務を提供元に置きます。実際の同意取得を受け手が行うことは多いですが、その同意の存在を確認する責任は提供元に残る。業界裏話ヒント：受け手の『同意は取ってあります』を口頭で信じて提供し、後で虚偽と分かると提供元が責任を問われる。確認は書面・記録ベースで、というのが弁護士が必ず念を押す点
外国の第三者へ提供する場合、本人同意に加えて、同意を取る時点で当該国の個人情報保護制度や相手方の保護措置などの参考情報を本人に提供する必要があります（31条2項、28条準用）。業界裏話ヒント：米国系の SaaS や広告基盤にデータを流す設計が、この上乗せ規制に無自覚に触れているケースが多い。海外移転は国内提供より一段厳しいルールになる点を、システム設計の初期段階で組み込めるかが差になる
| dimension | thisArticle | alternatives |
|---|---|---|
| 規律対象 | 31 条：個人関連情報（Cookie・端末 ID・閲覧履歴等） | — |
| 義務を負う主体 | 提供元（同意の存在を確認する義務） | — |
| 発動の引き金 | 受け手で個人データとして取得される『想定』 | — |
| 外国提供の上乗せ | 同意取得時に相手国制度等の情報提供（28 条準用） | — |
ログインすると、他の読者と一緒にこの条文へメモを残せます。
ログインして共同ノートを始める以下は各文が単独で意味の通る客観的事実です。引用は e-Gov法令検索を基準としてください。