個人情報保護士認定試験 個人データに関する義務 練習問題 第27問: 委託に伴って提供された個人データの取扱いについて、正しいものはどれか。

正解: 4. 委託先は、委託された業務の範囲内でのみ取り扱うことができ、自社の目的で利用することはできない

法第27条第5項第1号により、委託に伴う提供は第三者提供に当たらないとされますが、これは委託元の利用目的の達成に必要な範囲内で取り扱われることが前提です。ガイドライン（通則編）は、委託先が委託された業務以外に個人データを取り扱うことは認められないとしています。委託先が自社の目的で利用したい場合は、委託の枠組みを超えるため、委託元が本人の同意を得て第三者提供として行うなど別の根拠が必要であり、委託先が本人から直接同意を得ても、委託に伴って提供された個人データをそのまま自社の目的に用いることはできません。なお、委託先が本人の同意を得たうえで自社の保有データと突合する取扱い（Q&A7-41）も、委託元の利用目的の達成に必要な範囲内の委託業務として整理されるものであり、委託先が自社の目的で利用することを認める趣旨ではありません。委託先が自ら利用目的を特定し直しても、委託元の利用目的の範囲を超えて取り扱うことはできません。

根拠・参照資料: 個人情報の保護に関する法律第27条第5項第1号

関連キーワード: 委託・業務の範囲内・目的外利用の禁止・個人情報の保護に関する法律第27条第5項