【動画公開】個人情報保護法69条目的外提供と第三者提供の違い｜自治体・独立行政法人等・行政機関向け

地方公共団体・独立行政法人等・行政機関・地方独立行政法人における保有個人情報の提供規制を解説する。特に、個人情報保護法69条の読み解き方を、第三者提供規制と目的外提供の違いを踏まえて整理する。

公的機関の個人情報保護実務では、「本人同意が必要である」「オプトアウトが必要である」「共同利用で整理できる」といった誤解が少なくない。本記事では、これらの正しい考え方や個人情報ファイル簿との関係性も合わせて解説する。

第三者提供規制ではなく目的外提供規制

公的機関（地方公共団体・独立行政法人等・行政機関・地方独立行政法人）の個人情報提供を検討する際に、民間事業者向けの個人情報保護法27条を前提に考えてしまうと間違いである。公的機関については第三者提供規制ではなく、個人情報保護法69条に基づく目的外利用・目的外提供規制が適用される。

したがって、公的機関においてはまず「第三者かどうか」を確認するのではなく、「利用目的の範囲内か否か」を確認することが重要である。

個人情報保護法27条と69条の違い

民間事業者は第三者提供規制

個人情報保護法27条は第三者提供の制限を定める規定である。

（第三者提供の制限）
第二十七条　個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

民間事業者では、第三者提供に該当するか否か、委託に該当するか、共同利用に該当するかといった整理が重要になる。

行政機関等は目的外利用・目的外提供規制

個人情報保護法69条では、行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を利用し、又は提供してはならないとされている。

（利用及び提供の制限）
第六十九条　行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。

このため、公的機関（地方公共団体・独立行政法人等・行政機関・地方独立行政法人）では、第三者提供ではなく、目的内か目的外かの判断が中心的論点となる。

目的内提供と目的外提供の判断方法

個人情報ファイル簿の利用目的を確認する

目的内提供か目的外提供かは、あらかじめ特定された利用目的の範囲内か否かによって判断する。

公的機関（地方公共団体・独立行政法人等・行政機関・地方独立行政法人）では、個人情報ファイル簿に利用目的が記載されているため、まず当該利用目的を確認する必要がある。

利用目的の範囲内であれば目的内提供

利用目的の範囲で行われる提供であれば、目的内提供となる。

一方で、利用目的を超える提供であれば、目的外提供として69条の例外規定の検討が必要となる。

なお、本解説では詳しく踏み込まないが、利用目的の範囲内かどうか、利用目的の変更が可能かどうかは、かなり複雑な検討が必要となる場合も多いので、この点も要注意である。ただ、そこまで踏み込んでしまうと話が複雑になるため、本解説では、まずは第三者提供ではない目的外提供の基本的考え方を整理する。

目的外提供が認められる主なケース

本人同意・本人提供

個人情報保護法69条2項1号では、本人の同意がある場合や本人に提供する場合が認められている。

（利用及び提供の制限）
第六十九条　
２　前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
一　本人の同意があるとき、又は本人に提供するとき。

他の行政機関等への提供

他の行政機関、地方公共団体、独立行政法人等、地方独法が法令上の事務を遂行するために必要な限度で相当な理由がある場合には、69条2項3号に基づく提供が認められる場合がある。

（利用及び提供の制限）
第六十九条　
２　前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
三　他の行政機関、独立行政法人等、地方公共団体の機関又は地方独立行政法人に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当の理由があるとき。

統計・学術研究等

専ら統計作成や学術研究目的の提供については、69条2項4号が適用される可能性がある。

（利用及び提供の制限）
第六十九条　
２　前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
四　前三号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき

法令に基づく提供

69条1項は「法令に基づく場合を除き」と規定しているため、法令上の根拠がある場合には目的外提供が認められる。

（利用及び提供の制限）
第六十九条　行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。

本人同意は必須なのか

公的機関（地方公共団体・独立行政法人等・行政機関・地方独立行政法人）の個人情報保護実務では、本人同意が必要かという相談も多い。

しかし、公的機関において本人同意は常に必要となるわけではない。

公的機関には所掌事務を遂行する責務があり、法制度もその前提で設計されている。

もっとも、法的義務がない場合であっても、住民の信頼確保や透明性向上の観点から同意取得を検討することには十分な意義がある。

しかしながら、検討に当たっては、法的要件なのかそうでないのかを正確に理解しなければならない。

オプトアウトと共同利用に関する誤解

オプトアウト制度は公的機関の制度ではない

オプトアウト制度は個人情報保護法27条2項に定められた民間事業者向け制度である。

公的機関（地方公共団体・独立行政法人等・行政機関・地方独立行政法人）にオプトアウト制度は存在しない。

もっとも、住民の信頼確保等の観点からオプトアウトを検討することにも意義はある。

（第三者提供の制限）
第二十七条　２　個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
一　第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。）の氏名
二　第三者への提供を利用目的とすること。
三　第三者に提供される個人データの項目
四　第三者に提供される個人データの取得の方法
五　第三者への提供の方法
六　本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
七　本人の求めを受け付ける方法
八　その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

共同利用も原則として民間向け制度である

共同利用は個人情報保護法27条5項3号に規定された民間事業者向け制度である。

そのため、公的機関の保有個人情報について共同利用の概念で整理することはできない。

（第三者提供の制限）
第二十七条　　個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

５　次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
三　特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

規律移行法人に十分な注意を払うこと

実務では、自らが行政機関等なのか、規律移行法人なのかを最初に確認する必要がある。

適用される個人情報保護法上の規律が異なるためである。

特に国立病院や公立病院などでは、適用関係の検討が最重要となる。

動画で見る

Q&A

Q1. 自治体・独立行政法人等・行政機関・地方独立行政法人の個人情報提供には必ず本人同意が必要か。

A. 必ず必要とはいえない。まず目的内提供か目的外提供かを確認し、目的外提供であれば個人情報保護法69条2項等の根拠を検討する。

Q2. 自治体・独立行政法人等・行政機関・地方独立行政法人はオプトアウト制度を利用できるか。

A. 利用できない。オプトアウト制度は民間事業者向けの個人情報保護法27条の制度である。もっとも、住民の信頼確保等の観点からオプトアウトを検討することにも意義はある。

Q3. 自治体・独立行政法人等・行政機関・地方独立行政法人は共同利用で整理できるか。

A. 公的機関の保有個人情報については共同利用の考え方を前提とするのではなく、69条に基づく目的内・目的外の整理が必要である。規律移行法人の場合は別であるのでこの点十二分に注意する。

まとめ

公的機関（自治体・独立行政法人等・行政機関・地方独立行政法人）における個人情報提供では、第三者提供規制ではなく目的外提供規制となる。

実務担当者は、まず個人情報ファイル簿の利用目的を確認し、目的内提供か目的外提供かを判断しなければならない（なお、判断に迷うケースも少なくない）。

その上で、個人情報保護法69条2項や法令根拠の有無を検討し、さらに70条に基づく適切な措置要求等を検討することが重要である。