金融個人情報保護オフィサー2級 第三者提供 練習問題 第23問: X銀行は、広告会社Y社からCookieにひもづく閲覧履歴（Y社にとっては個人関連情報）の提供を受け、自行の顧客データと結び付けて利用することを計画している。金融

「原則として書面により、対象となる個人関連情報の項目と、個人データとして取得した後の利用目的を本人に認識させた上で得る」が適切です。個人情報保護法第31条第1項は、提供先が個人関連情報を個人データとして取得することが想定されるとき、提供元は本人の同意が得られていることをあらかじめ確認しないで提供してはならないとしています。

金融分野における個人情報保護に関するガイドライン第14条第1項は、提供を受ける金融機関がこの同意を得る（提供元に代行させる場合を含む）際は原則として書面により、対象となる個人関連情報の項目と取得後の利用目的を本人に認識させることとしています。「本人の同意は要らない」は、提供先で個人データになる場面こそ同条の対象である点で誤りです。

「受け取った後に通知又は公表すれば足りる」は、利用目的を同意の段階で認識させる点で誤りです（取得後の法第21条の通知又は公表にも別に留意します）。「Y社に取得を代行させることはできず」は、同項が提供元に同意の取得を代行させる場合を含めている点で誤りです。

提供先で個人データになる情報の同意は、原則書面で、項目と取得後の利用目的を示して得ます。