---
title: "M&Aと個人データの引き継ぎ。個人情報保護法の扱い｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/ma-personal-data-transfer/
description: "合併や事業譲渡などの事業の承継に伴う個人データの提供は、個人情報保護法で第三者への提供に当たらないとされています。承継の後の利用目的の範囲、デューデリジェンスでの開示と契約、外国の相手の場合、システムでの渡し方を説明します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# M&Aと個人データの引き継ぎ。個人情報保護法の扱い

合併や事業譲渡などの事業の承継に伴う個人データの提供は、個人情報保護法で第三者への提供に当たらないとされています。承継の後の利用目的の範囲、デューデリジェンスでの開示と契約、外国の相手の場合、システムでの渡し方を説明します。

2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

経営とDX（MANAGEMENT）のコラム

## この記事の要点

- 合併や事業譲渡などの事業の承継に伴う個人データの提供は、第三者への提供に当たらず、本人の同意は要らないとされています
- 承継の後も、承継の前の利用目的の範囲で扱う必要があり、範囲を超えるときは本人の同意が要ります
- 交渉の段階の調査で個人データを渡すときは、相手に安全管理措置を守らせる契約を結び、渡す範囲を絞ります

合併や事業譲渡などの事業の承継に伴って個人データを渡す場合、渡す先は個人情報保護法の「第三者」に当たらないとされ、本人の同意を得ずに渡せます。ただし、承継の後も、承継の前の利用目的の範囲で扱う必要があり、交渉の段階の調査で個人データを渡すときは、相手に安全管理措置を守らせる契約を結ぶことが求められています。

この記事は、2026年11月時点の個人情報保護法と、個人情報保護委員会のガイドラインにもとづく一般的な説明です。個別の案件の判断は、弁護士などの専門家にご確認ください。

## 事業の承継で個人データを渡すとき、本人の同意は要るのか

事業の承継に伴う個人データの提供には、本人の同意は要らないとされています。個人情報保護法第27条は、本人の同意を得ずに個人データを第三者に渡すことを原則として禁じていますが、同条第5項第2号は、合併その他の事由による事業の承継に伴って個人データが提供される場合、提供を受ける者は第三者に当たらないとしています。

個人情報保護委員会のガイドライン（通則編）は、合併、分社化、事業譲渡などにより事業が承継されることに伴い、その事業に関わる個人データが提供される場合を例に挙げています。

出典：[個人情報の保護に関する法律第27条（e-Gov 法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057)、[個人情報の保護に関する法律についてのガイドライン（通則編）3-6-3（個人情報保護委員会、令和8年6月一部改正）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

株式譲渡では、個人データを持っている会社そのものは替わらず、株主が替わるだけです。そのため、株主が替わること自体で個人データの提供が起きるわけではないと考えられます。ただし、M&Aの後に、親会社やグループのほかの会社がそのデータを使う場合は、別の会社への提供として扱いを確かめる必要があります。

M&Aの形と、個人データの提供の扱い

- **合併・分社化・事業譲渡など（事業の承継）**：渡す先は**第三者に当たらない**とされ、本人の同意は要らない
- **株式譲渡**：データを持つ会社は替わらず、株主が替わること自体で提供が起きるわけではないと考えられる
- **M&Aの後に親会社・グループの会社が使う**：別の会社への提供として、扱いを確かめる必要がある

2026年11月時点の一般的な整理です。個別の判断は、弁護士などの専門家にご確認ください

## 承継の後は、どの範囲で使えるのか

承継の後は、承継の前の利用目的の達成に必要な範囲で扱う必要があります。個人情報保護法第18条第2項は、合併その他の事由で事業を承継することに伴って個人情報を取得した場合、本人の同意を得ずに、承継の前の利用目的の範囲を超えて扱ってはならないとしています。

たとえば、譲り受けた事業の顧客の情報を、譲り受けた側の別の商品の案内に使う場合は、承継の前に公表されていた利用目的に、その使い方が含まれているかを確かめます。含まれていない場合は、本人の同意が要ります。ガイドラインは、同意を得るために個人情報を使うこと（メールを送る、電話をかけるなど）は、目的外の利用に当たらないとしています。

出典：[個人情報の保護に関する法律第18条（e-Gov 法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057)、[個人情報の保護に関する法律についてのガイドライン（通則編）3-1-3・3-1-4（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

個人情報保護委員会の事務局は、2021年6月に、合併や組織再編などで事業の内容が変わる場合は、取得のときに通知・公表した利用目的に過不足がないかを確かめ、範囲を超えて使う場合はあらかじめ本人の同意を得るよう、注意を呼びかけています。今後の組織再編に備えて、利用目的を見直す決まりをつくっておくことも重要だとしています。M&Aの後は、承継した事業の利用目的と、自社の利用目的を並べて確かめておくことが大切です。

出典：[合併や組織再編等を行う事業者の方へ（個人情報保護委員会事務局、2021年6月23日）](https://www.ppc.go.jp/news/careful_information/gappei_soshikisaihen)

システムの面では、承継したデータに「どの利用目的で取得したデータか」が分かる印を付けておくと、後で別の用途に使おうとしたときに確かめやすくなります。

## デューデリジェンスで個人データを見せるときは、何に気をつけるのか

デューデリジェンスで個人データを見せるときは、相手に安全管理措置を守らせる契約を結び、見せる範囲を調査に必要なところに絞ります。ガイドラインは、事業の承継の契約を結ぶ前の交渉の段階で、相手の会社から調査を受けて自社の個人データを渡す場合も、第27条第5項第2号に当たるとしたうえで、相手の会社に安全管理措置を守らせるために必要な契約を結ばなければならないとしています。

ガイドラインが契約で定める事項として挙げているのは、次のとおりです。

- データの利用目的と取扱方法
- 漏えいなどが起きた場合の措置
- 事業の承継の交渉がまとまらなかった場合の措置

出典：[個人情報の保護に関する法律についてのガイドライン（通則編）3-6-3（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

調査では、個人データそのものを見なくても、件数や項目、管理の仕組みが分かれば足りることが多いです。顧客の一覧を丸ごと渡すのではなく、項目の一覧と件数、抜き出した一部の行を伏せ字にしたもの、管理の手順を示すなど、渡し方を工夫します。資料の渡し方は、[ITデューデリジェンスで求められる資料と、準備のしかた](https://www.ameliatechnology.co.jp/blog/it-dd-documents/)で説明しています。

## クリーンチームとは

[クリーンチーム](https://www.ameliatechnology.co.jp/glossary/clean-team/)とは、M&Aの検討の中で、価格や顧客ごとの取引の条件のような競争に関わる情報を見られる人を、限られた担当者や外部の専門家にとどめ、相手の会社の事業の現場に流れないようにする体制です。個人データを含む資料を調べるときにも、見られる人を絞る仕組みとして使われることがあります。

クリーンチームを使う場合は、誰がチームに入るか、チームの外にどんな形で結果を伝えるか、調査が終わったら資料をどう扱うかを、前もって決めておきます。システムの面では、データルームの中で、チームの人だけが見られる場所を分け、閲覧とダウンロードの記録を残します。

## 相手が外国の会社の場合は、何が違うのか

相手が外国にある会社の場合は、外国にある第三者への提供の決まり（個人情報保護法第28条）も関わります。第28条第1項は、外国にある第三者に個人データを渡す場合は、第27条第1項の各号の場合を除き、あらかじめ本人の同意を得なければならないとしており、事業の承継を定めた第27条第5項は、この例外に含まれていません。そのため、事業の承継に伴う提供でも、相手が外国にある第三者に当たる場合は、原則として本人の同意が要ることになります。

ただし、相手が日本と同等の水準の制度がある国（2026年11月時点で、EUと英国）にある場合や、個人情報保護委員会規則で定める基準に適合する体制を整えている場合は、第28条第1項の「外国にある第三者」から除かれ、第27条の決まり（第5項の事業の承継を含む）で扱うことになります。基準に適合する体制を整えている相手に渡した場合は、相手の措置が続いているかを確かめる措置も求められます（第28条第3項）。

出典：[個人情報の保護に関する法律第28条（e-Gov 法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057)、[個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（個人情報保護委員会、令和7年12月一部改正）](https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/)

外国の会社が相手の案件や、クラウドのサービスで外国のサーバーにデータを置く場合の扱いは、個別の事情で変わるため、専門家に確かめながら進めることをおすすめします。

## 引き継いだ後のシステムで、何を整えるのか

引き継いだ後は、承継したデータを、自社の安全管理措置の中に組み込みます。個人情報保護法は、個人データの漏えいなどを防ぐための安全管理措置（第23条）や、委託先の監督（第25条）を求めています。承継したデータが、承継の前の会社のシステムや委託先に残ったままになっていないかを確かめます。

- 承継したデータの置き場所と、触れられる人を一覧にする
- 承継の前の会社のシステムに残ったデータを、移したうえで消す時期を決める
- 承継した事業の委託先と、委託の契約の中身を確かめる

システムの面から事業者が守ることは、[個人情報保護法で、システムの面から事業者が守ること](https://www.ameliatechnology.co.jp/blog/personal-information-system-basics/)で説明しています。

## 当社のご支援

当社は、M&Aの調査に向けた個人データの棚卸し、データルームでの渡し方の設計、承継したデータの移行と権限の整理をお手伝いします。M&Aの進め方や契約の交渉は、グループ会社のフロレンティナが受け持ちます（[フロレンティナとの連携](https://www.ameliatechnology.co.jp/group/)）。法令の解釈と契約の文言は、弁護士などの専門家にご確認ください。M&Aに向けた準備の状態を確かめたい場合は、[M&A・上場に向けたIT準備度診断](https://www.ameliatechnology.co.jp/diagnosis/ma-ipo/)（無料）もご利用いただけます。

- 個人情報保護法
- M&A
- ITデューデリジェンス
- クリーンチーム

## この記事に出てくる用語

- [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/)
- [ITデューデリジェンス](https://www.ameliatechnology.co.jp/glossary/it-due-diligence/)
- [クリーンチーム](https://www.ameliatechnology.co.jp/glossary/clean-team/)
- [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/)
- [サーバー](https://www.ameliatechnology.co.jp/glossary/server/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第18条（利用目的による制限）
   あらかじめ本人の同意を得ないで、特定した利用目的の達成に必要な範囲の外で個人情報を取り扱ってはなりません。法令にもとづく場合など、例外も定められています。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報保護法第27条（第三者提供の制限）
   法令にもとづく場合などを除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはなりません。委託、合併その他の事由による事業の承継、共同利用に伴って提供される場合は、提供を受ける者は第三者に当たらないとされています（第5項）。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報保護法第28条（外国にある第三者への提供の制限）
   外国にある第三者に個人データを提供する場合は、第27条第1項の各号の場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければなりません。事業の承継などを定めた第27条第5項は、この例外に含まれません。日本と同等の水準の制度がある国として規則で定める国（EU・英国）にある者や、基準に適合する体制を整えている者は、対象から除かれます。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報保護法第23条（安全管理措置）
   個人情報取扱事業者は、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために、必要かつ適切な措置を講じなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報保護法第25条（委託先の監督）
   個人データの取扱いの全部または一部を委託する場合は、委託を受けた者において個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正））
   個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)
- 指針
   個人情報保護委員会事務局「合併や組織再編等を行う事業者の方へ」（2021年6月23日）
   合併や組織再編などで事業の内容が変わる場合に、取得のときに通知・公表した利用目的に過不足がないかを確かめ、範囲を超えて利用する場合はあらかじめ本人の同意を得るよう呼びかける注意喚起です。利用目的を見直す決まりをつくっておくことも重要としています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/news/careful_information/gappei_soshikisaihen)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成28年11月（令和7年12月一部改正））
   外国にある第三者への個人データの提供（法第28条）について、同意の取り方、同等の水準の制度がある国（EU・英国）、基準に適合する体制などの解釈を示したガイドラインです。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/)
- [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/)
- [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「M&Aと個人データの引き継ぎ。個人情報保護法の扱い｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/ma-personal-data-transfer/