委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合し、新たな項目を付加して又は内容を修正して委託元に戻すことはできますか

個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。

したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。

• 事例１）顧客情報を外部事業者に委託に伴って提供し、当該外部事業者において提供を受けた顧客情報に含まれる住所について、当該外部事業者が独自に取得した住所を含む個人データと突合して誤りのある住所を修正し、当該顧客情報を委託元に戻すこと
• 事例２）顧客情報をデータ・マネジメント・プラットフォーム等の外部事業者に委託に伴って提供し、当該外部事業者において、提供を受けた顧客情報に、当該外部事業者が独自に取得したウェブサイトの閲覧履歴等の個人関連情報を付加し、当該顧客情報を委託元に戻すこと

これらの取扱いをする場合には、委託先において本人の同意を取得する等、付加・修正する情報を委託元に適法に提供するための対応を行う必要があります。なお、事例１）については、当該外部事業者が住所を含む個人データについて、法第27条第２項に従って個人情報保護委員会への届出等を行っており、オプトアウトによる第三者提供が可能である場合には、あらかじめ本人の同意を取得することなく、当該顧客情報を委託元に戻すことができます。
（令和３年９月追加）