顧客リスト譲渡と個人情報保護法｜同意不要の条件と実務の注意点
M&Aや事業譲渡において、顧客リストは企業の競争力を支える極めて重要な資産です。一方で、個人情報の取り扱いを誤ると法的リスクを招くため、正しい知識に基づく実務対応が求められます。
【関連】通販事業のM&A専門・売却の無料相談ならM&A PMI AGENT【無料】M&Aでの譲渡のご相談はコチラ
「M&Aは何から始めればいいかわからない」という経営者からも数多くのご相談をいただいています。M&Aを成功に導くはじめの一歩は無料のオンライン相談から。お気軽にご相談ください。
365日開催オンライン個別相談会
1. 顧客リスト譲渡と個人情報保護法の基本原則と事業承継の例外適用
個人情報保護法において、個人データを第三者に提供する際は「本人の同意」を得ることが大原則です。しかし、M&Aや事業譲渡の場面ですべての顧客から個別に同意を得ることは、実務上ほぼ不可能です。 そこで法27条5項2号では、合併や事業譲渡に伴う「事業の承継」を目的とする場合、提供先は「第三者」に該当しないと規定しています。この例外規定により、一定の条件を満たせば本人の同意なくリストを譲渡することが可能になります。
1-1. 事業承継における個人情報保護法27条5項2号の適用条件この例外規定が適用されるためには、あくまで「事業の承継」に伴う提供であることが必須条件です。単なる「名簿の売買」のような、事業実態を伴わない情報の移転には適用されません。 合併、会社分割、事業譲渡など、法的に事業が引き継がれるスキームであれば、この規定に基づき同意なしでの情報移転が認められます。譲渡側と譲受側の双方が、承継後も適切に情報を管理する責任を負うことが前提となります。
1-2. 顧客リスト譲渡時に不可欠な利用目的の制限と通知義務譲渡を受けた側は、元の持ち主が設定していた「利用目的」の範囲内でしかその情報を使用できません。例えば「商品発送のため」に取得された情報を、全く無関係な新規事業の勧誘に使うことは禁止されています。 もし承継後に利用目的を変更したい場合は、改めて本人に通知するか、公表する必要があります。読者の皆様が譲受側になる際は、譲渡側のプライバシーポリシーを精査し、自社の活用方法が範囲内かを確認してください。
1-3. 旧経営者が譲渡後にリストを保持・利用する行為の違法性事業譲渡が完了した後は、顧客リストの所有権および管理責任は譲受側に完全に移転します。譲渡した側の旧経営者が、手元にコピーを残して営業活動を続ける行為は、契約違反のみならず個人情報保護法違反となります。 実務上、譲渡契約書には「譲渡後の競業避止義務」とともに「データの完全消去」を明記することが一般的です。これに違反すると、損害賠償請求の対象となるだけでなく、企業の社会的信用を大きく損なうリスクがあります。
2. 買収監査時の顧客リスト譲渡における法的リスクと安全な開示手順
M&Aの最終契約前に、買い手側が売り手側の実態を調査する「買収監査（デューデリジェンス：DD）」が行われます。この段階で顧客リストをどこまで開示すべきかは、多くの経営者が悩むポイントです。 結論として、DD段階での情報提供も「事業承継に向けた準備」として法的に認められます。ただし、契約成立前であるため、情報の漏洩や悪用を防ぐための厳格なプロセスと安全管理措置が不可欠となります。
2-1. 買収監査で顧客リスト開示が認められる法的な正当性個人情報保護法のガイドラインでは、事業承継の交渉段階における情報提供を「第三者提供」に該当しないとしています。これは、適切な買収監査が行われなければ、円滑な事業承継が阻害されるためです。 ただし、無制限に開示して良いわけではありません。監査の目的に照らして「真に必要な範囲」に限定することが求められます。法的な正当性を確保するためには、後述する秘密保持契約の締結が絶対条件となります。
2-2. 秘密保持契約書で担保すべき顧客データの返還と破棄義務DDを開始する前に、必ず詳細な秘密保持契約（NDA）を締結してください。特に重要なのは、交渉が不調に終わった際の「データの返還・破棄義務」に関する条項です。 単に「破棄する」と決めるだけでなく、破棄したことを証明する「消去証明書」の提出を義務付けるのが実務上の定石です。これにより、万が一破談になった後に顧客リストが流用されるリスクを最小限に抑えることができます。
2-3. DD時における個人情報マスキングの実務と安全な開示手法初期段階のDDでは、氏名や電話番号などの個人特定性を伏せた「マスキング」状態で開示するのが安全です。例えば「顧客A、東京都、50代男性、年間購入額10万円」といった統計的なデータで十分な場合も多いでしょう。 最終的な契約の確度が高まった段階で、初めて詳細な情報を開示する「段階的開示」の手法を推奨します。これにより、情報の秘匿性を保ちながら、買い手側が必要な分析を行える環境を整えることが可能です。
3. 顧客リスト譲渡における契約書チェックリストと不正持出の対策
顧客リストの譲渡を安全に完了させるためには、最終契約書における緻密な条項設計が欠かせません。また、社内の従業員による情報の不正持ち出しという「内部リスク」にも目を向ける必要があります。 近年、個人情報の不正提供に対する罰則が強化されており、法人に対しても重い罰金が科される「両罰規定」が存在します。契約による外部への防衛と、社内規定による内部への防衛の二段構えで臨むべきです。
3-1. 顧客リスト譲渡を安全に行うための契約書雛形チェック項目譲渡契約書には、個人情報の保護に関して以下の項目を盛り込むことを検討してください。これらは、譲渡後のトラブルを未然に防ぐための強力な武器となります。
譲渡対象となる個人データの範囲と定義
譲渡側における取得時の利用目的の明示
譲渡後の安全管理措置に関する合意
旧経営者および従業員の秘密保持継続義務
万が一の漏洩時における責任分担と損害賠償
個人情報保護法179条には「個人情報データベース等不正提供罪」が定められています。不正な利益を得る目的で情報を持ち出した従業員には、1年以下の懲役または50万円以下の罰金が科されます。 さらに重要なのは「両罰規定（法184条）」です。従業員が業務に関して不正を行った場合、法人に対しても最大1億円の罰金が科される可能性があります。経営者は、DD期間中や譲渡前後の従業員への教育とアクセス権限管理を徹底しなければなりません。
3-3. 海外企業への事業譲渡における個人情報保護法の適用範囲クロスボーダーM&A（海外企業への譲渡）の場合、日本の個人情報保護法だけでなく、相手国の法律（欧州のGDPRなど）も考慮する必要があります。原則として、日本国内の個人データを外国の第三者に提供する際は、より厳格な基準が適用されます。 相手国が日本と同等の保護水準にあるか、あるいは契約によって日本と同等の保護措置を担保できるかがポイントです。海外企業への譲渡を検討する際は、国際法務に強い専門家のアドバイスを受けることが強く推奨されます。
4. 顧客リスト譲渡と個人情報保護法に関するよくある質問と回答
実務において、経営者や担当者から頻繁に寄せられる疑問をQ&A形式で整理しました。法的な解釈と実務的な落とし所の境界線を明確にしていきましょう。
4-1. 顧客リストの譲渡に本人の事前の同意は本当に不要なのか「事業の承継」を目的とするM&Aであれば、原則として事前の同意は不要です。ただし、これはあくまで「承継前の利用目的の範囲内」で利用する場合に限られます。もし譲受側が全く異なる目的でリストを使いたいのであれば、譲渡後に改めて本人から同意を得るか、利用目的の変更手続きを行う必要があります。
4-2. M&A破談時に提供済みの個人情報を返還させるための手順交渉が中止された場合、速やかにデータの返還または破棄を求めます。実務上は、相手方の代表者名義で記名押印された「個人データ破棄証明書」を取得してください。これには、対象データ名、破棄日時、破棄方法（物理的破壊や専用ソフトによる消去など）を明記させることが、後のトラブル回避に有効です。
4-3. 譲渡先で顧客リストの利用目的が変更される場合の法的対応譲渡を受けた企業が、当初の目的（例：通販の配送）を超えて利用（例：保険の勧誘）したい場合、本人への通知または公表が義務付けられます。この際、本人が「自分のデータを使ってほしくない」と求めた場合には、利用停止に応じる義務が生じる点に注意してください。透明性の高い情報開示が、顧客の離反を防ぐ鍵となります。
5. まとめM&Aにおける顧客リストの譲渡は、法27条5項2号の「事業承継の例外」を活用することで、本人の同意なしに進めることが可能です。しかし、これは無条件に許されるわけではなく、利用目的の制限や、DD段階での厳格な秘密保持、そして内部不正への対策がセットで求められます。 特に、従業員による不正持ち出しに対する「1億円の罰金（両罰規定）」は、経営者として決して見過ごせないリスクです。契約書の整備やアクセス管理の徹底は、単なる事務作業ではなく、会社を守るための最優先事項と言えます。 法的な安全性を確保しつつ、事業の価値を最大化させるためには、早い段階でM&A仲介会社や弁護士などの専門家に相談し、実務フローを構築することをおすすめします。一歩先を見据えたリスク管理こそが、M&A成功への確かな道筋となります。
編集者の紹介
