この記事の目次
会員登録のあるWebサービスやアプリの売却では、会員情報・利用ログ・決済関連のデータが価値の中心になります。一方で買い手は、「そのデータをそのまま受け取ってよいか」と「受け取った後に何に使ってよいか」を、別々に確かめる必要があります。この記事は、個人情報保護法のガイドラインを根拠に、データの種類ごとの整理と、契約前に決めておく点をまとめます。
この記事の結論
- 事業ごと譲渡する場合、会員データの提供そのものには本人の同意が要らないとされています。 ただし、受け取った後の利用は、承継前の利用目的の範囲に収まるかで分かれます。
- 使い道を広げる（広告配信・別サービスへの転用など）なら、その範囲を先に確かめます。 範囲を超えるときは、あらかじめ本人の同意が必要です。「常に同意が要る」「常に要らない」のどちらでもありません。
- データは、会員情報・行動ログ・決済関連の3つに分けて、見せる段階と移す手順を決めます。 売り手には、利用目的の記載と委託先の一覧を求めます。
この記事の対象：会員登録のあるWebサービス・アプリの買収を検討している方、売却を考えている運営者の方。
Webサービス・アプリ全体のDDの論点は、Webサービス・アプリのM&A DATAにまとめています。この記事は、そのうち会員データの扱いだけを深く扱います。なお、この記事は個別の法律判断ではありません。実際の契約や運用は、弁護士などの専門家に確認してください。
データを引き継げるかと、引き継いだ後に使えるかは、別々に判断する
結論： 「渡してよいか」は提供の話、「使ってよいか」は利用目的の話です。両方を別々に確かめないと、買収後に使い道が止まります。
個人情報保護委員会のガイドライン（通則編）は、事業の承継について、条文が別々の2か所に書かれています。
| 論点 | 条文 | ガイドラインの趣旨 |
|---|---|---|
| 渡してよいか（提供） | 法第27条第5項第2号 | 合併、分社化、事業譲渡等により事業が承継されることに伴い、その事業に係る個人データが提供される場合、提供先は「第三者」に該当しない |
| 使ってよいか（利用） | 法第18条第2項 | 事業の承継に伴って取得した個人情報を、承継前の利用目的の達成に必要な範囲を超えて取り扱うには、あらかじめ本人の同意が必要 |
| 避けたい判断 | こうすればOK |
|---|---|
| 事業譲渡だから、会員データは買い手が自由に使えると考える | 渡すことと使うことを分け、使い道が承継前の利用目的の範囲にあるかを別に確かめる |
| 本人の同意が取れていないので、会員データは引き継げないと考える | 事業の承継に伴う提供は、本人の同意なしにできる場合があると整理した上で、利用の範囲を確かめる |
| 売り手のプライバシーポリシーを見ずに、データ量だけで価格を決める | 利用目的の記載を先に読み、買い手が使いたい用途が範囲に入るかを価格の前提にする |
事業譲渡なら提供に本人の同意は不要でも、使えるのは承継前の利用目的の範囲まで
結論： 会員データは、事業ごと譲渡されるなら同意なしに渡せる場合があります。受け取った後は、売り手が示していた利用目的の範囲内で使います。
ガイドラインは、事業の承継に伴う個人データの提供について、次のように説明しています。
- 合併、分社化、事業譲渡等により事業が承継されることに伴い、その事業に係る個人データが提供される場合、提供先は第三者に該当しない。
- この場合、あらかじめ本人の同意を得ることも、オプトアウト（本人の求めがあれば提供を止める手続）を行うことも要らずに、個人データを提供できる。
- 事業の承継後も、個人データは、提供される前の利用目的の範囲内で利用しなければならない。
利用の側では、承継前の利用目的の達成に必要な範囲で取り扱うなら目的外利用にならず、本人の同意は要りません。範囲を超えて取り扱う場合は、あらかじめ本人の同意が必要です。ただし、その同意を取るために会員へメールを送ったり電話をかけたりすることは、承継前の利用目的に書かれていなくても、目的外利用には当たらないとされています。
ここで、この記事の整理を2つ足します。この2点は本記事の整理であり、契約前に専門家へ確認してください。
- 株式譲渡の場合： 本記事の整理では、会社ごと買う株式譲渡は、サービスを運営する法人が変わらないため、法人間の個人データの提供が生じないと考えられます。ただし、運営主体の移り方は契約の形で変わるため、個別に確認が必要です。
- データだけを売る場合： 事業を渡さず、会員データだけを切り出して売買する形は、事業の承継に当たるかどうかの判断が分かれうるため、個別に確認が必要です。
会員データは、会員情報・行動ログ・決済関連の3つに分けて見る
結論： 一口に会員データといっても、法律上の扱いと、漏えいしたときの重さが違います。DDでは3つに分けて、場所と持ち主を確認します。
次の3区分は、本記事の整理です（法律上の区分ではありません）。右の列は、ガイドラインに書かれている事例や定義との対応です。
| 区分 | 例 | ガイドライン上の位置づけ | DDで確かめること |
|---|---|---|---|
| 会員情報 | 氏名、メールアドレス、電話番号、生年月日、住所 | 氏名と組み合わせた連絡先や生年月日は個人情報の事例。データベース化されていれば個人データ | どの項目を持っているか、どの項目が必須入力か |
| 行動ログ | 閲覧履歴、利用履歴、購入履歴、位置情報 | Cookie等の端末識別子を通じた閲覧履歴、購買履歴・サービス利用履歴は個人関連情報の事例。ただし、会員情報と容易に照合できて特定の個人を識別できるときは、個人情報に当たる | ログがどのIDに結び付いているか。会員情報と照合できる状態か |
| 決済関連 | カード番号、決済の履歴、請求先、ログインIDとパスワード | ECサイトからクレジットカード番号を含む個人データが漏えいした場合、決済機能のあるウェブサービスのログインIDとパスワードが漏えいした場合は、個人情報保護委員会への報告を要する事例 | カード番号などを自社で保持しているか、決済代行会社が保持しているか |
行動ログは、見かけ上は匿名でも、会員IDで会員情報に結び付いているなら、個人情報として扱う前提で見るほうが安全です。逆に、統計情報のように特定の個人との対応関係がない集計値は、個人に関する情報に当たらないため、個人関連情報にも当たらないとガイドラインは整理しています。
決済関連は、カード番号などを自社のサーバーに持っているか、決済代行会社に任せているかで、移す対象も責任の重さも変わります。どちらなのかは、決済代行会社との契約書と、管理画面の保存項目で確認します。決済代行会社の契約を買い手に移せるかは、契約ごとに条件が違うため、契約書を読んでから決めます。
契約前のDDでも、個人データを見せられる。ただし見せる範囲は絞り、安全管理の契約を結ぶ
結論： 交渉段階の開示も事業承継の提供に当たる場合がありますが、条件があります。見せる側も受け取る側も、必要な範囲だけにします。
ガイドラインは、事業承継の契約を締結するより前の交渉段階で、相手会社から調査を受けて個人データを提供する場合も、本人の同意やオプトアウトなしに提供できるとしています。ただし、次の内容を含む契約を締結して、相手会社に安全管理措置を守らせることを求めています。
- そのデータの利用目的と取扱方法
- 漏えい等が発生した場合の措置
- 事業承継の交渉が不調になった場合の措置
段階を分けた開示の例を、本記事の整理として示します。
| 段階 | 見せるデータ | 見せ方 |
|---|---|---|
| 初期（秘密保持契約の後） | 会員数、項目の一覧、集計値（地域別・登録時期別など） | 氏名などを含まない集計と、項目名だけを示す |
| DDの途中 | 項目ごとの欠損率、サンプル、ログの構造 | 個人を特定できない形に加工したサンプル |
| 契約直前 | 必要最小限の実データ | 上のガイドラインの契約を結んでから、閲覧のみの環境で見せる |
| 避けたい判断 | こうすればOK |
|---|---|
| DDの資料として会員名簿のファイルをそのままメールで送る | 集計値や項目一覧から始め、実データは閲覧のみの環境で、契約を結んでから見せる |
| 秘密保持契約があれば、個人データの扱いも十分と考える | 利用目的・取扱方法、漏えい時の措置、交渉が不調になった場合の措置まで、契約に書く |
| 交渉が不調になっても、受け取ったデータをそのまま持ち続ける | 交渉が不調になったときの扱い（返却・削除）を、先に取り決める |
承継後に使い道を変えるときは、範囲内なら通知か公表、範囲外なら事前の同意
結論： 買い手が使い道を広げたいとき、同意が要るかどうかは、変更後の用途が、本人が通常予期できる範囲かで決まります。範囲を超えるときは、あらかじめ同意を取ります。
ガイドラインは、利用目的の変更について、次のように説明しています。
- 変更できるのは、変更前の利用目的と関連性を有すると合理的に認められる範囲まで。
- この範囲は、変更後の利用目的が、変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内をいう。
- 範囲内で変更した場合は、変更後の利用目的を、本人に通知するか、公表する。
- 範囲を超えて個人情報を取り扱う場合は、あらかじめ本人の同意を得る。
次の例は仮の例で、実際の判断は個別の事情で変わります。
| 売り手の利用目的（仮） | 買い手が使いたい用途（仮） | 本記事の整理 |
|---|---|---|
| 「サービスの提供、問い合わせ対応、新機能のお知らせ」 | 同じサービスの運営と、お知らせの配信 | 承継前の範囲内と整理しやすい |
| 同上 | 買い手の別サービスの広告の配信 | 範囲を超える可能性が高く、事前の同意を取る方向で検討する |
| 同上 | 会員を新しい料金プランへ案内する | 通常予期できる範囲かが分かれうる。専門家に確認する |
承継後にこの範囲を超えて使いたい場合の段取りは、次のとおりです。
- 売り手のプライバシーポリシーと、会員登録時の同意画面の文言を、買収前に入手する。
- 買い手の使いたい用途を書き出し、範囲内か範囲外かに分ける。
- 範囲外の用途は、同意を取れた会員だけに使うか、使わないかを決める。同意を取るための連絡自体は、承継前の利用目的に書かれていなくても目的外利用には当たらない。
- 範囲内の変更は、通知か公表の方法を決めて、買収の実行日に合わせて出す。
「プライバシーポリシーを書き換えれば、使い道は広げられる」とは言えません。変更できるのは、関連性のある範囲までです。
クラウド・分析ツール・委託先は、データの置き場と持ち主の整理から始める
結論： サービスが使っている外部のツールは、それぞれ個人データの渡し先です。買収の前後で、誰との契約で、どこにデータがあるかを一覧にします。
ガイドラインは、個人データの取扱いを委託する場合、委託先は第三者に該当しないとしています。ただし、委託先は委託された業務の範囲でしか取り扱えず、委託元には委託先への必要かつ適切な監督の義務があります。
| 外部のツール | 確認すること | ガイドライン上の関連 |
|---|---|---|
| クラウド・サーバー | 契約者が誰か。データの保管場所が国内か外国か | 外国にある第三者への提供は法第28条に定めがある。保管場所の確認が出発点になる |
| アクセス解析・広告タグ | 解析ツールに送っている情報の内容。会員IDなど、個人を識別できる情報を送っていないか | 個人関連情報を、提供先が個人データとして取得すると想定される場合は、法第31条の制限がある |
| 決済代行・メール配信・問い合わせ管理 | 委託契約の内容と、買収後も契約が続くか | 委託先の監督（法第25条）。委託先の安全管理措置が、自社に求められるものと同等かを確認する |
| 外部の開発・運用の委託先 | 本番データへのアクセス権限があるか | 委託先の監督。必要のない個人データを提供しない |
契約者の名義が、売り手の個人や旧運営者になっているものは、買収後にデータの持ち主が曖昧になります。名義の移し替えが可能か、移し替えの間にデータを誰が見られるかを、一覧で確認します。外国にある第三者への提供の細かい条件は、別のガイドライン（外国にある第三者への提供編）に定めがあり、本記事では扱いません。個人関連情報の提供の条件（法第31条）は、通則編の3-7にあります。該当する場合は専門家に確認してください。
データ移行では、移す範囲・経路・消す手順を先に決める。漏えいした場合の報告も前提にする
結論： 移行作業は、漏えいが起きやすい場面です。何を、どの経路で、いつまでに移し、元の環境のデータをどうするかを、契約前に決めます。
安全管理措置については、ガイドラインが、個人データの漏えい、滅失、毀損の防止その他の安全管理のため、必要かつ適切な措置を講じる義務を定めています。個人データが漏えいしたときは、個人の権利利益を害するおそれが大きい事態について、個人情報保護委員会への報告が必要です。ガイドラインは、報告が必要な事態の例として、次を挙げています。
- 不正に利用されることで財産的被害が生じるおそれがある個人データの漏えい（ECサイトからクレジットカード番号を含む個人データが漏えいした場合など）
- 不正の目的をもって行われたおそれがある行為による漏えい（不正アクセスによる漏えいなど）
- 個人データに係る本人の数が千人を超える漏えい
移行の手順の例を、本記事の整理として示します。
| 場面 | 決めておくこと |
|---|---|
| 移す範囲 | 買い手が使う項目だけを移す。使わない項目、退会済みの会員のデータの扱いを決める |
| 移す経路 | 暗号化した経路で、送る側と受け取る側の担当者を限る。メールや共有リンクでの受け渡しを避ける |
| 権限の切り替え | 売り手側の管理者アカウントと、委託先のアクセス権限を、移行の完了後に外す |
| 元の環境のデータ | 売り手が持ち続ける範囲と、削除の期限を、契約で決める |
| 移行中の事故 | 漏えいが起きたとき、誰が、誰に、いつまでに連絡するかを決める。報告の主体と時限は、専門家に確認する |
| 避けたい判断 | こうすればOK |
|---|---|
| 移行は買収後に落ち着いてから考える | 引き渡しの日までに、移行の手順と責任者を決める |
| 売り手の環境の管理者権限を、しばらく残す | 移行の完了後すみやかに外し、外した日を記録する |
| 会員データのバックアップを、売り手が自由に残す | 残す範囲と削除の期限を、売買契約に書く |
令和8年（2026年）7月17日には、「個人情報の保護に関する法律等の一部を改正する法律」が公布されました（個人情報保護委員会「令和８年 改正個人情報保護法について」）。この記事の条文の説明は、令和8年6月一部改正のガイドライン（通則編）の内容です。改正法の施行時期や内容は本記事では扱っていないため、契約の時点で改めて確認してください。
まとめ
- 事業ごと譲渡するなら、会員データの提供は本人の同意なしにできる場合があります。ただし、使えるのは承継前の利用目的の範囲までです。
- 会員情報・行動ログ・決済関連に分けて、持っている場所と持ち主、見せる段階、移す手順を決めます。
- 使い道を広げるときは、変更後の用途が本人の予期できる範囲かで、通知で足りるか、事前の同意が要るかが分かれます。判断が分かれる用途は、専門家に確認します。
自社の場合を確認する サービスの事業価値を、自社の数字で確かめたいとき → 事業価値を確認する
よくある質問（FAQ）
Q1. Webサービスを事業譲渡するとき、会員の同意は取らなければなりませんか？ A. 事業の承継に伴って個人データが提供される場合、提供先は第三者に該当せず、本人の同意もオプトアウトも要らずに提供できるとガイドラインは整理しています。ただし、承継後の利用は承継前の利用目的の範囲内に限られます。範囲を超える用途があるときは、あらかじめ本人の同意が必要です。契約の形による違いは、専門家に確認してください。
Q2. 買収後に、会員へ新サービスの案内を送ってもよいですか？ A. 売り手が示していた利用目的の範囲に入るかで決まります。範囲内なら同意は要りません。範囲を超える場合は、あらかじめ同意が必要です。なお、同意を得るために会員へメールを送ったり電話をかけたりすることは、承継前の利用目的に書かれていなくても、目的外利用には当たらないとされています。
Q3. 契約前のDDで、会員データを買い手に見せてよいですか？ A. 交渉段階での提供も、事業承継の提供として本人の同意なしにできる場合があります。条件として、データの利用目的と取扱方法、漏えい等が発生した場合の措置、交渉が不調になった場合の措置などを含む契約を結び、相手に安全管理措置を守らせる必要があります。見せる範囲は、集計値や項目一覧から始めて、必要な分だけに絞ります。
Q4. 閲覧履歴や購入履歴などの行動ログは、個人情報として扱いますか？ A. ガイドラインでは、Cookie等の端末識別子を通じた閲覧履歴や、購買履歴・サービス利用履歴は個人関連情報の事例です。ただし、会員情報と容易に照合できて特定の個人を識別できるときは、個人情報に当たります。会員IDに結び付いたログは、個人情報として扱う前提で見るほうが安全です。
Q5. クレジットカード番号などの決済情報は、買い手に引き継げますか？ A. 自社で保持しているのか、決済代行会社が保持しているのかで答えが変わります。自社で保持している場合は、会員データと同じ整理に加え、漏えい時の影響が大きいため、移行の範囲と経路を絞ります。決済代行会社との契約を買い手へ移せるかは、契約書の条件で決まるため、個別に確認が必要です。
Q6. データ移行の最中に漏えいが起きたら、どうなりますか？ A. 個人の権利利益を害するおそれが大きい漏えいは、個人情報保護委員会への報告の対象です。ガイドラインは、ECサイトからのクレジットカード番号の漏えいや、不正アクセスによる漏えい、本人の数が千人を超える漏えいを、報告を要する事態として挙げています。移行の手順に、事故が起きたときの連絡の担当と順序を入れておきます。
出典
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月、令和8年6月一部改正） https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
- 個人情報保護委員会「令和８年 改正個人情報保護法について」 https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/