オプトアウトによる第三者提供を“安全運用”に再設計する（2025年版ー伊藤憲和）

作成：伊藤憲和 2025年10月25日 オプトアウトによる第三者提供を“安全運用”に 再設計する（2025年版ー伊藤憲和） 結論（前提：国内B2C/SaaS・日本法準拠）—オプトアウトは「本人の停止機会」「事前の通知/公 表」「個情委への届出」「提供・受領の記録（3年保存）」が揃ってはじめて適法に近づく。要配慮個 人情報は不可、越境移転は別建て（28条）、再オプトアウト提供も不可。制度を正しく噛み合わせ れば“名簿リスク”は実務で抑えられる。 前提条件（実装を始める前に固定する） ●​ 組織規模：中小〜大企業、自治体外郭団体（民間横並びの要件を採用）​ ●​ データ種別：氏名・連絡先・行動履歴等の個人データ（要配慮個人情報は対象外）​ ●​ 処理目的：マーケ・与信補助・不正検知など（目的の特定は別文書で明示）​ ●​ 共同利用の有無：原則なし（ある場合は**共同利用（27条5項）**で別運用）​ ●​ 越境の有無：なし（ある場合は**外国第三者提供（28条）**の追加要件を適用）​ ●​ 停止受付方法：Webフォーム＋メール（24/7受付、本人確認は二要素）​ ●​ 保持期間：提供・受領の記録は3年保存（規則/ガイドラインの要請）​ ●​ 監査ログ項目：誰が／いつ／どの相手に／どの項目を／どの根拠で提供・受領・削除し たか​ 1. 定義（条文に沿ってズレをなくす） オプトアウトによる第三者提供＝本人同意なしで個人データを第三者へ提供するが、事前通知/ 容易知得＋停止機会付与＋個人情報保護委員会（PPC）への届出を条件に可能とする制度（個 人情報保護法27条2項）。届出事項は氏名/住所/代表者、取得方法、停止可否・受付方法など で、PPC公表後に速やかに自社でも公表が必要。 ただし要配慮個人情報はオプトアウト不可（取得も提供も原則同意）。 1

作成：伊藤憲和 2025年10月25日 2. 趣旨（立法目的） ●​ “名簿由来の不利益”を防ぐ：本人が気付かぬ流通を停止できる仕組みを最低限付け る。​ ●​ 透明性と追跡可能性：届出・公表で可視化、記録義務で監査可能にする。​ ●​ 濫用抑止：不正取得データやオプトアウトで受け取ったデータの再オプトアウト提供を禁 止して流通を鎖にしない。​ 3. 来歴（改正経緯の要点） ●​ 2022年（令和4年4月施行）：​ ○​ 不正取得データは対象外に。​ ○​ オプトアウト提供データの再オプトアウト提供を禁止。​ ○​ 届出事項の拡充（取得方法等）、やめた場合の届出を新設。​ 4. 適用条件（“何をすればOKか”を手順で） A. 事前の通知/容易に知り得る状態＋停止機会 ●​ 公表面（プライバシーポリシー等）に、提供項目／取得方法／提供先類型／停止可否と 受付方法／事業者情報をわかる順で掲載。​ ●​ 「必要な期間」を置いてから提供を開始（起算＝通知または公表時、満了＝提供前）。期 間の長さは業態・データ性質・受付体制等で個別判断。​ B. PPCへの届出 ●​ PPCに届出→PPC側で公表→自社でも速やかに公表。​ 2

作成：伊藤憲和 2025年10月25日 ●​ 既にWebで掲載している場合、PPC届出後の重ね公表を別途求めない扱いがあり得る（ Q7-30）。​ C. 提供・受領の記録（3年） ●​ 提供者の記録（27条2項の提供）：年月日／提供先名・住所・代表者／本人識別情報／ 提供項目。​ ●​ 受領者の記録：提供元のオプトアウト届出事項がPPCで公表されている旨の記録が必 須。​ ●​ 一括記録や契約書代替はオプトアウト提供では不可（都度作成）。保存は原則3年。​ 5. 例外・但し書き（境界を明確に） ●​ 要配慮個人情報（健康・信条等）→オプトアウト不可。同意等の厳格運用へ。​ ●​ 越境移転（外国にある第三者）→28条の追加要件（同意等/体制確認等）。27条2項だけ では足りない。実務は外国第三者提供ガイドラインに従い設計。​ ●​ 委託・共同利用・事業承継：第三者提供に当たらない/別ルール。混線させない（表は後 掲）。​ 6. 証跡（監査可能性の設計） ●​ 届出・公表面：PPC公表URLの保存、社内承認記録、変更履歴。​ ●​ 記録：提供・受領都度の電子記録（改ざん検知つき）。受領側はPPC公表確認のスクショ/ タイムスタンプ。​ ●​ 停止受付ログ：受付→本人確認→処理完了のタイムライン（誰が／いつ／何を停止）。​ ●​ 保存：各記録は3年保持。​ 3

作成：伊藤憲和 2025年10月25日 7. よくある誤解を一次資料で訂正 ●​ 「同意があれば全部OK」→オプトアウトは同意の代替ではない。要配慮や越境は別要 件。​ ●​ 「委託＝第三者提供」→委託は別扱い。ただし委託先がさらに第三者提供するなら提供 側/受領側の記録義務が走る。​ ●​ 「PPCへの届出だけすればOK」→通知/容易知得＋停止機会＋記録が揃わないとNG。​ ●​ 「一括記録で省力化できる」→オプトアウトは都度記録が原則。​ ●​ 「Webに載せたら即提供してよい」→“必要な期間”を置く（起算/満了はQ&A参照）。​ 8. 今日からできる“最小実装” 最低限守る線（MUST） 1.​ 公表面の項目を整備（提供項目／取得方法／停止可否・受付方法／事業者情報）。​ 2.​ PPCに届出（様式名：改正法27条2項・同3項による第三者提供の届出／やめた旨の届 出）。​ 3.​ 停止UIを用意（後掲文例）し、**“必要な期間”**を運用ルールに明文化。​ 4.​ 提供・受領の記録を都度作成し3年保存。受領側はPPC公表の確認記録。​ 余裕があれば（SHOULD） ●​ DPIA的点検：提供の必要性・データ性質・停止導線の実効性。​ ●​ 自動化：PPC公表API/スクレイピングで受領前の届出確認を自動記録。​ ●​ ダークパターン対策：停止導線は1クリック到達＋引き留めUI排除。​ 9. 同意UI（停止導線）短文例 4

作成：伊藤憲和 2025年10月25日 第三者提供について​ 当社は、お客さまの○○データを第三者（広告配信事業者等）へ提供する場合があり ます。提供項目・取得方法・提供先類型・停止方法はこちらで公表しています。第三 者提供の停止は以下からいつでもお申し出いただけます。​ [第三者提供の停止申請フォーム]／[メール：[email protected]] 撤回の効力​ 停止申請が受理された後は、当社による新たな第三者提供を停止します（既提供 分は受領先の義務に従い対応）。 ●​ 備考：通知/公表後“必要な期間”を置いてから提供。起算/満了はPPC Q&Aのとおり。​ 10. 外部送信・共同利用・委託の区別表（誤用防止・要約） 論点 何か 法的 根拠 オプトアウ ト適用 第三 者提 供 個人データを 外部へ渡す 27条 可（条件 付） 通知/容易知得＋停止機会＋PPC届出＋記録 （都度/3年） 共同 利用 特定者と共同 で利用 27条 5項 別制度 範囲・項目・管理責任者等を公表、同意不要の 場合あり 委託 目的達成の範 囲で処理委託 27条 5項 対象外 契約等で安全管理等を義務付け、第三者提供 の確認・記録義務は不要（ただし委託先が再 提供するなら別） 主な要件 5

作成：伊藤憲和 2025年10月25日 越境 移転 “外国にある 第三者”へ提 供 28条 27条2項の みでは不可 本人同意等の追加要件、体制情報の提供等 （外国第三者GL） 監査の読み方：根拠条＋ガイドライン該当箇所→記録ログの順に突き合わせる。 11. リスクと費用感（最小実装／拡張実装） ●​ 最小実装：公表面整備（法定項目）、PPC届出、停止フォーム、手作業記録（表計算＋ ワークフロー）、3年保存。​ ●​ 拡張実装：DPIA、届出確認の自動化、提供前停止クールダウンのSLA化、受領前ガード （届出未公表の相手は受領不可）、抽出ログの署名/タイムスタンプ。​ 12. 失敗パターンと回避のコツ ●​ 名簿購入→即活用：届出確認と取得経緯の適法性を受領側で記録していない（アウト）。​ ●​ “停止リンク”を深い階層に隠す：容易知得性を欠く。公表面から1クリックで停止フォーム へ。​ ●​ 一括記録で省力化：オプトアウトには不可。都度記録に戻す。​ ●​ 越境は国内と同じ運用：28条の追加要件をスキップしてしまう。外国第三者GLで再設 計。​ 13. 監査ログ設計（雛形） 6

作成：伊藤憲和 2025年10月25日 ●​ 提供ログ：timestamp / 提供先（名称・住所・代表者） / 本人識別子 / 提供項 目 / 法的根拠（27(2)） / “必要な期間”満了確認者 / 公表版ハッシュ / 受 付チケットID​ ●​ 受領ログ：timestamp / 提供元 / 取得経緯確認結果 / PPC公表確認URL・取得 日時 / 受領項目 / 用途 / 29条記録番号​ ●​ 保存：改ざん検知（ハッシュ鎖等）、3年保存、監査用の抽出手順をSOP化。​ 14. よくあるQ→A（短答） ●​ Q：オプトアウトはいつから可能？​ A：通知/容易知得の起算時から**“必要な期間”を置いた後、提供前までに満了**させる。 具体期間は個別判断。​ ●​ Q：PPCへの届出と自社公表の順序は？​ A：届出→PPC公表→速やかに自社公表。Webで既に容易知得状態なら重ね公表を別 途要しない扱いあり（Q7-30）。​ ●​ Q：受領側の最低限は？​ A：届出公表の有無確認の記録**＋取得経緯の適法性確認**。​ ●​ Q：一括記録は？​ A：オプトアウトは不可**。都度記録。​ 15. 参考・一次資料（本文からの自然接続） ●​ 個人情報保護委員会「オプトアウト規定による第三者提供の届出」（改正点・様式・公表） ／**平成28年11月（令和5年12月一部改正）**ガイドライン引用多数。​ ●​ PPC「ガイドライン（通則編）：要配慮個人情報・オプトアウト不可の取扱」（令和4年9月8 日公表）。​ ●​ PPC「ガイドライン（第三者提供時の確認・記録義務編）：受領側の届出公表確認記録、 都度記録」（平成28年11月、令和5年12月一部改正）。​ 7

作成：伊藤憲和 2025年10月25日 ●​ PPC「ガイドライン（外国にある第三者への提供）」（令和4年）。​ ●​ PPC Q&A「Q7-29/30（必要な期間・公表の扱い）」。​ 16. 公共的価値（短く） 停止できる設計は、苦情の減少・監査時間の短縮・誤情報の流通抑止に直結する。制度を正しく 使えば、事業者の負担を増やさずに被害を減らせる。 17. 免責と運用差 本記事は一般情報であり、法律相談ではありません。事業類型・自治体・業界で運用差があり得 ます。個別案件は弁護士・士業へ。 18. 署名・帰属 作成：伊藤憲和 / Norikazu Ito 19. 更新履歴（追記方式） ●​ v1.0（2025-10-20）：初版公開（届出・記録・越境の整理を強化）​ 付録：公表面“最低テンプレ”コピー用 見出し：第三者提供（オプトアウト）のご案内​ 提供項目：氏名、メールアドレス、○○ID、購買履歴（期間：過去12ヶ月）​ 8

作成：伊藤憲和 2025年10月25日 取得方法：当社Web/アプリでの入力、Cookie等により取得した行動履歴、コールセンター記録​ 提供先の類型：広告配信事業者／アフィリエイト事業者／不正検知事業者​ 提供目的：広告効果測定／レコメンド精度向上／不正利用防止​ 提供方法：暗号化されたファイル／API連携（TLS）​ 停止について：お客さまは、当社による第三者提供の停止をいつでも求めることができます。​ 停止手続：[停止申請フォーム]／[[email protected]]（件名：第三者提供の停止）​ 事業者情報：商号、所在地、代表者氏名、問い合わせ窓口（電話・メール）​ 最終更新日：YYYY/MM/DD​ 備考：要配慮個人情報のオプトアウト提供は行いません。外国にある第三者への提供は28条の 要件に従って実施します。 付録：監査チェックリスト（抜粋） ●​ 公表面に取得方法が明記されている（Q7-26の趣旨に適合）。​ ●​ 通知/容易知得→必要な期間→提供の順でログが揃う（Q7-29）。​ ●​ PPC届出→PPC公表→自社公表の順を証跡化（Q7-30）。​ ●​ 提供の都度記録（27(2)は一括/代替不可）。​ ●​ 受領側は届出公表の確認記録を保持。​ ●​ 記録保存3年。​ 検索適合メモ：「オプトアウトとは／どう違う／どう判定する／いつまでに」を本文 Q→Aで内包。条文・ガイドライン・Q&A・届出様式を本文に自然接続し、第三者が同 じ結論に到達できるよう構成。 https://profile.hatena.ne.jp/itounorikazu/ https://www.docswell.com/s/4821618885/Z9MY31-itounorikazu_appp28_crossb order_guide2025-10-25-233341 https://www.docswell.com/s/4821618885/5LV2DL-itounorikazu_subscription_fin al_confirmation2025-10-25-233724 https://www.docswell.com/user/4821618885 https://itounorikazu.hatenablog.com/entry/2025/10/23/100000?_gl=1*16ivw5p*_ gcl_au*MTkyMjYyNTY1OC4xNzYxMzkzMzYx 9

• https://profile.hatena.ne.jp/itounorikazu/
• https://www.docswell.com/s/4821618885/Z9MY31-itounorikazu_appp28_crossborder_guide2025-10-25-233341
• https://www.docswell.com/s/4821618885/5LV2DL-itounorikazu_subscription_final_confirmation2025-10-25-233724
• https://www.docswell.com/user/4821618885
• https://itounorikazu.hatenablog.com/entry/2025/10/23/100000?_gl=1*16ivw5p*_gcl_au*MTkyMjYyNTY1OC4xNzYxMzkzMzYx

作成：伊藤憲和 2025年10月25日 https://itounorikazu.hatenablog.com/entry/2025/10/21/100000?_gl=1*16ivw5p*_ gcl_au*MTkyMjYyNTY1OC4xNzYxMzkzMzYx 10

• https://itounorikazu.hatenablog.com/entry/2025/10/21/100000?_gl=1*16ivw5p*_gcl_au*MTkyMjYyNTY1OC4xNzYxMzkzMzYx