委託・第三者提供と共同利用の違い

3つとも、個人データを自社以外の者に渡す場面です。違いは、受け手が第三者に当たるか、受け手がどの範囲でデータを使えるかにあります。

委託

委託は、利用目的の達成に必要な範囲で、個人データの取扱いの全部または一部を他の者に任せることです（27条5項1号）。データ入力や分析の外注、自社向けのAI開発をベンダーに任せて学習データを渡す場面が典型例です。委託先は、任された業務の範囲では委託元と一体のものとして扱われ、第三者に当たりません。その代わり、任された業務以外には使えません。委託元は、委託先を必要かつ適切に監督する義務を負います（25条）。

第三者提供

第三者提供は、委託先や共同利用者などに当たらない他者に個人データを渡すことです。受け手は、受け取ったデータを自らの目的で使います。原則として、あらかじめ本人の同意が必要です（27条1項）。法令に基づく場合などの例外や、委員会への届出によるオプトアウトの方式もあります。提供元は提供の記録を作り、受け手は相手の名称や取得の経緯を確認して記録します（29条、30条）。

共同利用

共同利用は、特定の事業者の間で個人データを共同で使う仕組みです（27条5項3号）。共同利用する旨、データの項目、共同利用者の範囲、利用目的、管理について責任を有する者の氏名または名称などを、あらかじめ本人に通知するか、容易に知り得る状態に置きます。これにより、共同利用者は第三者に当たりません。すでに取得したデータを共同利用するときは、取得した事業者が特定した利用目的の範囲内で使います。

共通の注意点

相手が外国にある場合は、委託や共同利用でも28条がかかります。同等の水準にあると認められた国（EUと英国）にある場合や、基準に適合する体制を整えている場合などを除き、外国にある第三者への提供を認める旨の本人の同意が必要です。

2026年7月17日に公布された改正法は、委託先が任された業務に必要な範囲を超えて個人データ等を取り扱ってはならない義務を明文化しました。統計情報等の作成にのみ使う場合に、同意なく提供できる特例も設けています。いずれも2026年11月1日時点では施行されていません。