宅配便で社員の家に荷物を送るとき、伝票には社員の名前と住所を書きます。個人情報保護委員会の Q&A（Q7-35）は、この場面をこう説明しています。「一般的に、外部事業者を利用して、個人情報データベース等に含まれる相手の氏名、住所等宛に荷物等を送付する行為は、委託に該当すると解されます。」社員の住所が会社の外へ渡ること自体は、総務の仕事ではもう珍しくありません。
福利厚生のサービスに住所を入れるときも、外の会社に住所が渡る点は同じです。分かれ目は、渡した先がその住所を誰のために使うかにあります。会社が決めた使い道の範囲で、会社の仕事として扱うなら委託。先方が自分の目的にも使い始めたら、委託の範囲を超えます。委託なら第27条 1 項の同意の決まりはかかりません。かわりに会社が任せた先を監督します（第25条）。
前提は、社員の名簿を表計算やシステムで持つ会社です。個人情報保護法の「個人情報取扱事業者」にあたる会社として書いています。条文とガイドラインの読み方までで、個別の契約がどちらにあたるかは決めていません。
第三者に渡すなら、前もって本人の同意が要る
第27条 1 項は「個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。」と定めています。除かれる場合の 1 号目は「法令に基づく場合」です。
第27条 1 項の対象は個人データです。第16条 3 項は、個人データを「個人情報データベース等を構成する個人情報」としています。個人情報データベース等には「特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの」が入ります（第16条 1 項 1 号）。表計算やシステムで持つ社員名簿の住所は、この個人データとして読み進めてください。
総務が気にするのは、この 1 項です。社員全員から同意を取らないと、名簿をサービスに入れられないのか。答えは同じ第27条の 5 項にあります。
利用目的の範囲で取り扱いを任せる先は、第三者にあたらない
第27条 5 項は、次の場合に個人データを受け取る者を「第三者に該当しないものとする」としています。1 号は「個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」です。ガイドライン（通則編）の 3-6-3 も、この場合の提供先は「第三者に該当しない」と書いています。
条文から読める条件は 2 つです。会社の利用目的の達成に必要な範囲であること。会社の取り扱いを任せる形であること。
1 つ目は、先方より先に会社の側で確かめます。第18条 1 項は「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。」と定めています。住所を給与や社会保険の手続きのために集めた会社は、その利用目的を読み返します。会社から社員の家へお祝いを届ける使い道が、そこに入っているかを見ます。利用目的の決め方と伝え方は、家族の誕生日をどこまで聞くかの記事に書きました。
| 委託 | 第三者提供 | |
|---|---|---|
| 条文 | 第27条 5 項 1 号（第三者にあたらない） | 第27条 1 項 |
| 当たる場面 | 会社の利用目的の達成に必要な範囲で、取り扱いの全部か一部を任せる | 第27条 5 項の各号などにあたらない形で、ほかの者に渡す |
| 本人の同意 | 第27条 1 項の同意の決まりはかからない。利用目的の範囲を超えるなら第18条 1 項にかかる | 法令に基づく場合などを除き、前もって要る |
| 会社が続けてすること | 任せた先の監督（第25条） | 同意を得てから渡す |
先方が自分の目的にも使えば、委託の外になる
ガイドラインの 3-6-3 は、委託の段落に「委託された業務以外に当該個人データを取り扱うことはできない。」と添えています。
Q&A の Q7-37 は、その例を 2 つ挙げています。1 つ目は「個人情報取扱事業者から個人データの取扱いの委託を受けている者が、提供された個人データを委託の内容と関係のない自社の営業活動等のために利用する場合」です。2 つ目は、複数の会社から預かった個人データを区別せずに混ぜて扱う場合です。Q7-38 も、委託先は預かった個人データを「委託された業務の範囲内でのみ取り扱わなければなりません」と答えています。
福利厚生のサービスで考えると、届けるために預けた住所へ、先方が自社の商品の案内を送る形です。Q7-37 の 1 つ目の例に近いと読めます。「委託」と書いてあっても、先方が預かった住所を何に使うかは、先方の文書を読まないと分かりません。
委託なら、任せた会社が監督を続ける
第25条は、取り扱いを委託する会社に、委託を受けた者に対する「必要かつ適切な監督を行わなければならない」と定めています。監督の目的は、条文では「その取扱いを委託された個人データの安全管理が図られるよう」です。委託にすれば第27条 1 項の同意の決まりはかかりませんが、住所の扱いが会社の手を離れるわけではありません。
ガイドラインの 3-4-4 は、監督の中身を「適切な委託先の選定」「委託契約の締結」「委託先における個人データ取扱状況の把握」に分けています。選ぶときに確かめるのは、先方の安全管理の措置です。同じ 3-4-4 は、その措置が少なくとも法第23条などで委託元に求められるものと「同等であることを確認する」よう書いています。
取扱状況の把握と聞くと、総務の人手では足りない気がします。Q&A の Q5-9 は、立入検査などについて「これが義務付けられているわけではなく、取扱いを委託する個人データの内容や規模に応じて適切な方法（口頭による確認も含む。）を講じれば足りるものと考えられます。」と答えています。
監督は、一度入れたら終わりの仕事にはなりません。先方の規約やプライバシーポリシーは改められることがあります。花がかりは、契約を更新するときと、総務の担当が替わるときに、先方の文書を開き直すと社内で決めておくことを勧めます。監督が担当者の記憶だけに頼らなくなります。
名簿を入れる前に、先方の文書で確かめる 5 つ
- 先方のプライバシーポリシーや規約に、会社から取り扱いの委託を受けて預かると書いてあるか
- 預けた住所を、任された業務の外で、先方の宣伝など先方のために使うと書いていないか（Q&A Q7-37）
- 住所を見る人と、先方がさらに渡す先（運送会社など）が書いてあるか
- 安全管理の措置として何をしているかが書いてあるか（ガイドライン 3-4-4 の選定）
- 自社の利用目的に、そのサービスで届ける使い道が入っているか（第17条・第18条）
1〜4 は先方の文書を読む作業で、5 は社内の作業です。文書に書いていないことは、先方に問い合わせて答えを残しておきます。読んでも委託にあたるか決めきれない契約は、顧問の弁護士か社労士に確かめてください。
いま使っている福利厚生のサービスの、プライバシーポリシーを開いてください。探すのは「委託」の語と、預かった住所を何に使うかを書いた段落です。