M&Aと個人データの引き継ぎ。個人情報保護法の扱い

合併や事業譲渡などの事業の承継に伴って個人データを渡す場合、渡す先は個人情報保護法の「第三者」に当たらないとされ、本人の同意を得ずに渡せます。ただし、承継の後も、承継の前の利用目的の範囲で扱う必要があり、交渉の段階の調査で個人データを渡すときは、相手に安全管理措置を守らせる契約を結ぶことが求められています。

この記事は、2026年11月時点の個人情報保護法と、個人情報保護委員会のガイドラインにもとづく一般的な説明です。個別の案件の判断は、弁護士などの専門家にご確認ください。

事業の承継で個人データを渡すとき、本人の同意は要るのか

事業の承継に伴う個人データの提供には、本人の同意は要らないとされています。個人情報保護法第27条は、本人の同意を得ずに個人データを第三者に渡すことを原則として禁じていますが、同条第5項第2号は、合併その他の事由による事業の承継に伴って個人データが提供される場合、提供を受ける者は第三者に当たらないとしています。

個人情報保護委員会のガイドライン（通則編）は、合併、分社化、事業譲渡などにより事業が承継されることに伴い、その事業に関わる個人データが提供される場合を例に挙げています。

出典：個人情報の保護に関する法律 第27条（e-Gov 法令検索）、個人情報の保護に関する法律についてのガイドライン（通則編）3-6-3（個人情報保護委員会、令和8年6月一部改正）

株式譲渡では、個人データを持っている会社そのものは替わらず、株主が替わるだけです。そのため、株主が替わること自体で個人データの提供が起きるわけではないと考えられます。ただし、M&Aの後に、親会社やグループのほかの会社がそのデータを使う場合は、別の会社への提供として扱いを確かめる必要があります。

承継の後は、どの範囲で使えるのか

承継の後は、承継の前の利用目的の達成に必要な範囲で扱う必要があります。個人情報保護法第18条第2項は、合併その他の事由で事業を承継することに伴って個人情報を取得した場合、本人の同意を得ずに、承継の前の利用目的の範囲を超えて扱ってはならないとしています。

たとえば、譲り受けた事業の顧客の情報を、譲り受けた側の別の商品の案内に使う場合は、承継の前に公表されていた利用目的に、その使い方が含まれているかを確かめます。含まれていない場合は、本人の同意が要ります。ガイドラインは、同意を得るために個人情報を使うこと（メールを送る、電話をかけるなど）は、目的外の利用に当たらないとしています。

出典：個人情報の保護に関する法律 第18条（e-Gov 法令検索）、個人情報の保護に関する法律についてのガイドライン（通則編）3-1-3・3-1-4（個人情報保護委員会）

個人情報保護委員会の事務局は、2021年6月に、合併や組織再編などで事業の内容が変わる場合は、取得のときに通知・公表した利用目的に過不足がないかを確かめ、範囲を超えて使う場合はあらかじめ本人の同意を得るよう、注意を呼びかけています。今後の組織再編に備えて、利用目的を見直す決まりをつくっておくことも重要だとしています。M&Aの後は、承継した事業の利用目的と、自社の利用目的を並べて確かめておくことが大切です。

出典：合併や組織再編等を行う事業者の方へ（個人情報保護委員会事務局、2021年6月23日）

システムの面では、承継したデータに「どの利用目的で取得したデータか」が分かる印を付けておくと、後で別の用途に使おうとしたときに確かめやすくなります。

デューデリジェンスで個人データを見せるときは、何に気をつけるのか

デューデリジェンスで個人データを見せるときは、相手に安全管理措置を守らせる契約を結び、見せる範囲を調査に必要なところに絞ります。ガイドラインは、事業の承継の契約を結ぶ前の交渉の段階で、相手の会社から調査を受けて自社の個人データを渡す場合も、第27条第5項第2号に当たるとしたうえで、相手の会社に安全管理措置を守らせるために必要な契約を結ばなければならないとしています。

ガイドラインが契約で定める事項として挙げているのは、次のとおりです。

• データの利用目的と取扱方法
• 漏えいなどが起きた場合の措置
• 事業の承継の交渉がまとまらなかった場合の措置

出典：個人情報の保護に関する法律についてのガイドライン（通則編）3-6-3（個人情報保護委員会）

調査では、個人データそのものを見なくても、件数や項目、管理の仕組みが分かれば足りることが多いです。顧客の一覧を丸ごと渡すのではなく、項目の一覧と件数、抜き出した一部の行を伏せ字にしたもの、管理の手順を示すなど、渡し方を工夫します。資料の渡し方は、ITデューデリジェンスで求められる資料と、準備のしかたで説明しています。

クリーンチームとは

クリーンチームとは、M&Aの検討の中で、価格や顧客ごとの取引の条件のような競争に関わる情報を見られる人を、限られた担当者や外部の専門家にとどめ、相手の会社の事業の現場に流れないようにする体制です。個人データを含む資料を調べるときにも、見られる人を絞る仕組みとして使われることがあります。

クリーンチームを使う場合は、誰がチームに入るか、チームの外にどんな形で結果を伝えるか、調査が終わったら資料をどう扱うかを、前もって決めておきます。システムの面では、データルームの中で、チームの人だけが見られる場所を分け、閲覧とダウンロードの記録を残します。

相手が外国の会社の場合は、何が違うのか

相手が外国にある会社の場合は、外国にある第三者への提供の決まり（個人情報保護法第28条）も関わります。第28条第1項は、外国にある第三者に個人データを渡す場合は、第27条第1項の各号の場合を除き、あらかじめ本人の同意を得なければならないとしており、事業の承継を定めた第27条第5項は、この例外に含まれていません。そのため、事業の承継に伴う提供でも、相手が外国にある第三者に当たる場合は、原則として本人の同意が要ることになります。

ただし、相手が日本と同等の水準の制度がある国（2026年11月時点で、EUと英国）にある場合や、個人情報保護委員会規則で定める基準に適合する体制を整えている場合は、第28条第1項の「外国にある第三者」から除かれ、第27条の決まり（第5項の事業の承継を含む）で扱うことになります。基準に適合する体制を整えている相手に渡した場合は、相手の措置が続いているかを確かめる措置も求められます（第28条第3項）。

出典：個人情報の保護に関する法律 第28条（e-Gov 法令検索）、個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（個人情報保護委員会、令和7年12月一部改正）

外国の会社が相手の案件や、クラウドのサービスで外国のサーバーにデータを置く場合の扱いは、個別の事情で変わるため、専門家に確かめながら進めることをおすすめします。

引き継いだ後のシステムで、何を整えるのか

引き継いだ後は、承継したデータを、自社の安全管理措置の中に組み込みます。個人情報保護法は、個人データの漏えいなどを防ぐための安全管理措置（第23条）や、委託先の監督（第25条）を求めています。承継したデータが、承継の前の会社のシステムや委託先に残ったままになっていないかを確かめます。

• 承継したデータの置き場所と、触れられる人を一覧にする
• 承継の前の会社のシステムに残ったデータを、移したうえで消す時期を決める
• 承継した事業の委託先と、委託の契約の中身を確かめる

システムの面から事業者が守ることは、個人情報保護法で、システムの面から事業者が守ることで説明しています。

当社のご支援

当社は、M&Aの調査に向けた個人データの棚卸し、データルームでの渡し方の設計、承継したデータの移行と権限の整理をお手伝いします。M&Aの進め方や契約の交渉は、グループ会社のフロレンティナが受け持ちます（フロレンティナとの連携）。法令の解釈と契約の文言は、弁護士などの専門家にご確認ください。M&Aに向けた準備の状態を確かめたい場合は、M&A・上場に向けたIT準備度診断（無料）もご利用いただけます。