顧客名簿をAIの専門家に渡して分析を頼むとき、本人の同意は必要ですか

個人データを第三者に提供するには、原則として本人の同意が必要です（個人情報保護法第27条第1項）。ただし、利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合は、提供先は第三者に該当しません（同条第5項第1号）。分析を専門家に委託する場合は、この規定に当たるかを確認します。 確認する主な点は次のとおりです。 ・分析の目的が、自社が本人に示している利用目的の範囲内か ・専門家が、そのデータを依頼した業務以外に使わないこと ・専門家が、そのデータを自分の他の仕事やAIの学習に使わないこと 専門家がそのデータを自分の事業のために使う場合は、委託ではなく第三者提供になる可能性があります。 委託する場合も、会社には安全管理措置（同法第23条）と委託先の監督（同法第25条）の義務があります。個人情報保護委員会のガイドライン（通則編）は、委託先の監督を、適切な委託先の選定、委託契約の締結、取扱状況の把握の3つに分けています。契約には、業務以外での利用の禁止、再委託の条件、作業の終了時の削除と報告を書きます。 ガイドラインは、委託する業務に必要のない個人データを提供しないことを当然のこととしています。予測の分析に氏名や連絡先が要らない場合は、除いてから渡します。専門家が作業に生成AIのサービスを使う場合は、使うサービスの名前と、入力するデータの範囲も契約の前に確認します。判断が難しい場合は弁護士に確認してください。