- 委員会のQ&Aは、委託に伴って提供された個人データを、委託先が委託された業務以外に取り扱う場合は、法の「委託」に当たらなくなると整理しています（Q7-37）。データ整備・加工の委託では、委託先が預かったデータを、自社のためにどこまで使えるかが論点になります。
- 委託先は、委託された業務の範囲外で統計情報に加工して自社のために用いることはできず（Q7-38）、独自に取得した個人データ・個人関連情報と本人ごとに突合することもできません（Q7-41）。突合して新たな項目を付加したり内容を修正して委託元に戻すこともできず、委員会は、委託先が独自に取得した住所で誤りのある住所を修正して戻す例を挙げています（Q7-42）。自社の分析技術の改善は、委託元の利用目的の達成に必要な範囲内である限り、できるとされています（Q7-39）。
委員会のQ&A（Q7-37〜Q7-42）
| 項目 | 公式の記載 |
|---|---|
| Q7-37 の問 | ガイドライン（通則編）３－６－３の「（1）委託（法第27条第５項第１号関係）」に、個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取扱う」事例としては、どのようなものがありますか。 |
| Q7-37 の答（1） | 次のような事例が考えられます。 |
| Q7-37 の答（2） | 事例１）個人情報取扱事業者から個人データの取扱いの委託を受けている者が、提供された個人データを委託の内容と関係のない自社の営業活動等のために利用する場合 |
| Q7-37 の答（3） | 事例２）複数の個人情報取扱事業者から個人データの取扱いの委託を受けている者が、各個人情報取扱事業者から提供された個人データを区別せずに混ぜて取り扱っている場合 |
| Q7-38 の問 | 委託に伴って提供された個人データを、委託先が自社のために統計情報に加工した上で利用することはできますか。 |
| Q7-38 の答（1） | 委託先は、委託（法第27条第５項第１号）に伴って委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個人データを統計情報に加工することが委託された業務の範囲内である場合には、委託先は当該加工を行うことができますが、委託された業務の範囲外で委託先が当該加工を行い、作成された統計情報を自社のために用いることはできません。 |
| Q7-39 の問 | 委託に伴って提供された個人データを、委託業務を処理するための一環として、委託先が自社の分析技術の改善のために利用することはできますか。 |
| Q7-39 の答（1） | 個別の事例ごとに判断することになりますが、委託先は、委託元の利用目的の達成に必要な範囲内である限りにおいて、委託元から提供された個人データを、自社の分析技術の改善のために利用することができます。 |
| Q7-41 の問 | 委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできますか。 |
| Q7-41 の答（1） | 個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。 |
| Q7-41 の答（2） | したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。 |
| Q7-41 の答（3） | 事例１）既存顧客のメールアドレスを含む個人データを委託に伴ってSNS運営事業者に提供し、当該SNS運営事業者において提供を受けたメールアドレスを当該SNS運営事業者が保有するユーザーのメールアドレスと突合し、両者が一致した場合に当該ユーザーに対し当該SNS上で広告を表示すること |
| Q7-41 の答（4） | 事例２）既存顧客のリストを委託に伴ってポイントサービス運営事業者等の外部事業者に提供し、当該外部事業者において提供を受けた既存顧客のリストをポイント会員のリストと突合して既存顧客を除外した上で、ポイント会員にダイレクトメールを送付すること |
| Q7-41 の答（5） | これらの取扱いをする場合には、①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要があります。 |
| Q7-42 の問 | 委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合し、新たな項目を付加して又は内容を修正して委託元に戻すことはできますか。 |
| Q7-42 の答（1） | 個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。 |
| Q7-42 の答（2） | したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。 |
| Q7-42 の答（3） | 事例１）顧客情報を外部事業者に委託に伴って提供し、当該外部事業者において提供を受けた顧客情報に含まれる住所について、当該外部事業者が独自に取得した住所を含む個人データと突合して誤りのある住所を修正し、当該顧客情報を委託元に戻すこと |
| Q7-42 の答（4） | 事例２）顧客情報をデータ・マネジメント・プラットフォーム等の外部事業者に委託に伴って提供し、当該外部事業者において、提供を受けた顧客情報に、当該外部事業者が独自に取得したウェブサイトの閲覧履歴等の個人関連情報を付加し、当該顧客情報を委託元に戻すこと |
| Q7-42 の答（5） | これらの取扱いをする場合には、委託先において本人の同意を取得する等、付加・修正する情報を委託元に適法に提供するための対応を行う必要があります。なお、事例１）については、当該外部事業者が住所を含む個人データについて、法第27条第２項に従って個人情報保護委員会への届出等を行っており、オプトアウトによる第三者提供が可能である場合には、あらかじめ本人の同意を取得することなく、当該顧客情報を委託元に戻すことができます。 |
出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（第7章 第三者提供）（確認日 2026-10-25）。
このページで確認していないこと
個別の委託が法に違反するか、委託先の取扱いが「委託された業務の範囲」に収まるかは、このサイトでは判断しません。
判断が必要なときは、個人情報保護委員会の相談窓口や、弁護士などの資格者に確認してください。
- Q7-40（広告配信で取得した別の個人データの自社利用）とQ7-43（複数社から統計情報の作成の委託を受ける場合）は、載せていません。
- 令和8年の改正法で、委託先に「委託業務に必要な範囲を超えて取り扱ってはならない」義務を明文で課す案があります。令和8年改正と委託先のページを参照してください（検討中）。