「会社からお客様の個人の自宅宛にお中元・お歳暮を贈る場合」の個人情報保護法上の問題を考えてみました。
通常、商品を注文したデパートに、お客様の自宅までの配達をお願いすることになります。お客様本人から見た場合、個人情報取扱事業者である送り主が第三者であるデパートに個人情報を提供することになります。では、「第三者提供」に該当し、本人の事前同意が必要？まさか、「お宅にお歳暮を贈りたいのでデパートに注文していいでしょうか？」なんて無粋なことを訊く送り主はいないでしょう。ならば「オプトアウト」による第三者提供の手続きをして、商品が到着後、利用停止請求権を行使できるようにする？まさか、商品はもらっておいて、個人情報の提供停止だけを請求するような無粋なお客様はいないでしょう。まあ、ダイレクトメールに景品が付いたものと解釈すればオプトアウトもアリかもしれませんが..では、お客様の個人情報を送り主とデパート間で「共同利用」する？まさか、「当社は、お客様の個人情報を、お客様へのお中元・お歳暮の配達を目的として、デパートと共同利用します」なんて無粋なことを公表する送り主はないでしょう。それにデパートに商品を注文しただけで共同事業者になってしまうのは違和感がありすぎます。それなら「業務委託」にする？一応、これが一番素直な解釈かもしれません。実際そういう見解もあるようです。
しかし、仮に業務委託だとすると、送り主＝発注者には業務委託先（であるデパート）に対する監督義務が発生します。注文書の裏に委託約款を書けというのでしょうか？
この点に関して、経済産業省の見解や如何に？ パブリックコメントへの回答の中でこう言っています。
中元・歳暮の送付先の個人情報を取得した場合には、本人（送付先）の承認を得る必要はなく、
当該個人情報の利用目的を本人（送付先）に通知するか又は公表することで足りると解されます。
ということで、送り主からデパートへの個人情報の提供については、何も言っていません。第三者提供、共同利用、業務委託のいずれにも該当しないという見解とも受け取れますが、事実としては本人、個人情報取扱事業者以外の第三者に個人情報がわたっているわけですから、どれにも該当しないというのは明らかに事実と矛盾し、無理があります。
さらに、注文を受けたデパートが自分で商品を届けるのではなく、通常は運送業者に委託するでしょうから再委託の整理も必要になります。同省のガイドラインでは、業務委託の例として、以下が挙げられています。
百貨店が注文を受けた商品の配送のために、宅配業者に個人データを渡す場合
つまり、デパートが個人情報取扱事業者として商品配送を宅配業者に委託する場合、業務委託に該当すると言っているわけですが、注文した個人情報取扱事業者との関係については依然、不明のままです。行政当局者も、もっとまじめに考えてほしいですね。はっきりいって、この程度のことでも現場は大混乱に陥っているのです。
さて、本件はいちおう業務委託であると解釈することに（強引に）結論づけましたが、じゃあ年賀状の場合は、郵政公社にハガキの配送を委託？まさか、ハガキを出しただけで、郵政公社に対する監督責任が発生する？じゃあハガキの裏に委託約款を書くか..ってそれじゃあ本文が書けないじゃん！
