データブローカー事業登録

この制度の位置づけ

日本には「データブローカー」という名称の許可・登録制度は存在しない。個人データの売買・仲介（いわゆる名簿屋、データエクスチェンジ事業）を行う際の法的な根拠は、個人情報保護法第27条第2項の**オプトアウトによる第三者提供の届出制度**である。本人の同意を個別に取らずに個人データを第三者へ提供（販売・仲介）するには、あらかじめ個人情報保護委員会へ届け出ることが義務づけられている。データを反復継続して外部に提供するプラットフォーム事業者は、原則この届出が出発点になる。

対象となる事業者

• 名簿・リストを購入し再販する事業者
• 属性データや購買履歴を集約して外部提供するデータ取引基盤
• 同意取得なしで個人データを第三者提供する仲介事業

委員会は届出事業者を**ウェブサイトで公表**する。匿名で営業できる制度ではない点を前提に設計する必要がある。

届出の必須要件

• 第三者提供する個人データの項目、取得方法、提供方法
• 本人の求めに応じて提供を停止する手続き
• 本人が容易に知り得る状態に置く措置（公表方法）

2020年改正（令和2年改正）で要件が大幅に厳格化された。以下はオプトアウト提供が**禁止**されている。

• 要配慮個人情報（病歴・犯罪歴・人種など）
• 不正の手段で取得した個人データ
• 他社からオプトアウトで提供を受けたデータの再提供（オプトアウトの連鎖禁止）

これらに該当するデータを扱う設計だと、そもそも届出では適法化できない。

申請の流れ

1. 提供するデータ項目・取得元・提供方法を整理 2. オプトアウト受付窓口と停止フローを構築 3. 委員会所定様式で届出（電子届出可） 4. 委員会が受理・公表 5. 提供のつど**確認・記録義務**（法第29・30条）を履行し記録を保存

費用の内訳

届出自体に国への**手数料はかからない**。費用の中心はコンプライアンス体制の構築コストであり、外部委託する場合に200,000〜1,000,000円程度かかることがある。具体的には、

• プライバシーポリシー・規約の整備、適法性の法務レビュー
• 提供記録・受領記録を残すシステム整備
• 安全管理措置（漏えい対策・アクセス制御）の構築

取扱規模が大きいほど体制整備費用は上振れする。金額は委託先・規模により異なる。

よくある差し戻し・リスク

• 取得経路が不適法（同意なき名簿の流用等）で提供自体が違法になる
• 要配慮個人情報が混在していることに気づかず届出する
• 確認・記録義務を怠り、立入検査で指摘を受ける
• オプトアウト連鎖禁止に抵触する仕入れ構造

関連・付随する手続き

• 個人情報取扱事業者としての安全管理措置（全事業者共通の義務）
• 外国にある第三者へ提供する場合は別途、本人同意か基準適合体制の整備が必要
• 漏えい時の委員会報告・本人通知義務（法第26条）

届出内容に変更が生じたら遅滞なく**変更届**を、事業を廃止したら廃止届を提出する。制度の運用は委員会の指針・Q&Aで随時更新されるため、最新のガイドラインを確認したうえで着手すること。