第三者提供

個人データを他の事業者に渡すとき、日本の個人情報保護法は原則として本人の同意を求め、渡したことの記録も求めます。同意の記録と提供の記録をまとめます。

この局面

自社のサービスが、利用者の個人データを他の事業者に渡す場面です。提携先へのデータの連携、紹介元への成果の報告、共同のキャンペーンなどがあります。

日本では、個人データを第三者に渡すとき、原則として、あらかじめ本人の同意を得ます¹。次の場合は、この同意が要りません。

2026 年 7 月に公布された改正法は、統計の作成などにだけ使われる第三者提供について、本人の同意を要らなくする規定を置いています。施行は公布の日から 2 年を超えない範囲で、細かな定めは整備が続いています⁶。

外国にある第三者に渡すときは、別の条文がかかります（外国にある第三者への提供）。

日本では、同意を得ることとは別に、提供した側に、提供の記録を作って保存することが求められます。提供した年月日、受け取った第三者の名前などです¹。保存の期間は、作り方によって 1 年または 3 年です²。何をどう記録するかは、ガイドラインにあります³。

同意の記録は「渡してよいと本人が言ったこと」を、提供の記録は「実際に渡したこと」を示します。片方だけでは、もう片方を示せません。

法域	同意の記録	中心になる仕組み
JP	記録を取る候補	本人の同意¹と、提供の記録¹^,2
EEA	取らない候補	処理の根拠の一つとして同意を選ぶことはできます。同意に拠るなら、同意したことを示せるようにします⁴。契約の履行や正当な利益など、別の根拠に拠ることもあります⁴
UK	取らない候補	EEA と同じ形（UK GDPR）
US	取らない候補	カリフォルニア州では、個人情報の販売や共有について、消費者が止めるよう求められます（オプトアウト）⁵

Clavis の署名で記録するときは、同意の文面の版のハッシュと、渡す相手と項目を、署名の対象（ハッシュ）に含めます。利用者は、どのプロダクトがどの操作を求めているかを読んでから署名します。

提供の記録は、自社のサービスが作ります。同意の署名の記録と、提供の記録を、同じ依頼の番号で結んでおくと、あとで二つをつなげて示せます。

署名が示すのは、この版に責任を持つ人と、署名のあとに原稿が改められていないことです。内容が正しいことは示しません。

法的助言ではありません。適用は、事実と管轄によって変わります。