LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

買収した会社の顧客データを、自社の顧客管理システムに取り込みたい。2社の取引先マスタを1つにまとめたい——。M&A（企業の合併・買収）のあと、こうしたデータ統合の作業を業務委託エンジニアに頼むことがあります。データを移し替える作業そのものは技術の仕事ですが、そこに個人データが含まれると、どのデータを、どの目的で、誰に触れさせてよいかを決めるのは発注する側の役目になります。

本記事では、個人情報保護法と、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」とそのQ&Aをもとに、契約前の調査で受け取るデータ、引き継いだデータの利用目的、名寄せと消去、業務委託エンジニアに任せる範囲を整理します。どの統合手法がよいかは残すシステムや事業の事情で変わるため、手法の優劣は扱いません。

M&A後のデータ統合とは

M&A後のデータ統合とは、合併や買収、事業譲渡などで1つになった事業のデータを、使える形にまとめ直す作業を指します。対象になるのは、顧客の情報、取引の履歴、商品や取引先のマスタ、社員の情報などです。作業は、両社のデータの項目を突き合わせる対応表づくり、同じ人や同じ会社を指す行を1つにまとめる名寄せ、変換と移し替え、移したあとの照合と進みます。

このうち顧客や社員のように個人に関わるデータには、個人情報保護法の決まりがかかります。M&Aの場面で特に関わるのは3つです。1つ目は、合併や事業譲渡に伴って個人データを渡すことが第三者提供に当たるかどうか。2つ目は、引き継いだ個人情報をどの目的まで使えるか。3つ目は、まとめたデータを正確に保ち、要らなくなったものを消すことです。業務委託エンジニアに作業を頼むときは、これに加えて、作業のためにデータを渡すことを委託として整理し、委託先を監督する決まりもかかります。

統合の進め方には、片方のシステムにそろえる、新しい仕組みに両方を移す、しばらく並べて使うといった形があります。どれを選ぶかは残すシステムの状態や事業の計画によるので、本記事では決めません。方針の違いは「M&Aのシステム統合、3つの導入方針の違い」で扱っています。ただ、どの形を選んでも、上の3つの決まりは同じようにかかります。手法を決める前に確かめられることも多いので、先に整理しておくと依頼の中身を固めやすくなります。

契約前の調査で渡すデータ

M&Aでは、契約を結ぶ前に買い手が相手の会社を調べます。システムやデータの状態を確かめるために、実際の顧客データの一部を見せてほしいと頼むこともあります。通則編は、事業の承継のための契約を結ぶより前の交渉段階で、相手会社から調査を受けて自社の個人データを渡す場合も、合併などによる事業の承継に当たるとしています。^*1 そのため、本人の同意を得たり、オプトアウトの手続きをとったりせずに渡せます。

ただし条件が付いています。通則編は、そのデータの利用目的と取扱方法、漏えいなどが起きた場合の措置、交渉がまとまらなかった場合の措置などについて、相手会社に安全管理措置を守らせるために必要な契約を結ばなければならないとしています。^*1 Q&Aは、交渉がまとまらなかった場合の措置の中身として、交渉に関連して受け取った個人データを返す、消す、廃棄することを挙げています。^*2

買い手の側で調査を手伝う業務委託エンジニアがいるなら、この契約の中身を作業の手順に落としておくと扱いがぶれません。受け取ったデータをどの環境に置くか、誰が見られるか、交渉が止まったときに誰が消し、消したことをどう知らせるかを先に決めておきます。調査の目的に照らして、見せてもらう項目や件数を絞れないかを相手と相談するのも一つの方法です。

引き継いだデータの利用目的

個人情報保護法第18条第2項は、合併などで他の事業者から事業を承継することに伴って個人情報を取得した場合、あらかじめ本人の同意を得ずに、承継前の利用目的の達成に必要な範囲を超えて取り扱ってはならないと定めています。^*3 裏返すと、承継前の利用目的の範囲内であれば、同意を得なくても使えます。通則編もこの場合を、目的外利用にはならず本人の同意を得る必要はないと説明しています。^*1

では、買収した会社の顧客データを自社のサービスに使えるのか。Q&Aは、事業の承継に伴って取得した個人情報を自社サービスに使えるのは、その利用が、相手会社の特定していた利用目的の範囲内か、その目的と関連性を有すると合理的に認められる範囲を超えずに変更した後の利用目的の範囲内に含まれる場合だとしています。^*2 利用目的を変えるときは法第17条第2項の範囲にとどめ、変更した目的を本人に通知するか公表します（法第21条第3項）。^*3 その範囲を超えて使うなら、あらかじめ本人の同意が要ります。

データ統合で気をつけたいのは、2社の顧客を1つの表にまとめたとたんに、どの行がどちらの会社のどの目的で集めたものか見えなくなることです。統合後に自社の案内を一斉に送るような使い方をする前に、行ごとの取得元と利用目的を追える状態にしておく必要があります。どこまでが元の利用目的の範囲に入るかは、事業の中身や本人への示し方で変わるので、法務の担当者や専門家に確かめてください。

統合手法の前に決めておくこと

業務委託エンジニアに統合を頼むと、どのシステムに寄せるか、どの項目を正とするかといった技術の判断を先に求められます。こうした判断は、残すシステムの寿命、使っている業務、統合の期限などで変わり、どこにでも当てはまる正解があるわけではありません。一方で、手法を決めきれないまま作業を始めると、後から利用目的の整理と合わない形になることがあります。

手法の選択とは別に、発注する側が先に決めておけることがあります。統合後のデータに取得元の会社と利用目的を示す項目を持たせるか、元のデータをどの期間どこに残すか、統合の対象から外すデータをどう扱うか、の3つです。これらは前の節で見た決まりを守るために要る情報で、どの手法を選んでも用意しておく必要があります。業務委託エンジニアには、まずこれを前提の条件として渡し、そのうえで手法の案を出してもらう順番にすると、議論がかみ合いやすくなります。

名寄せと正確性の確保

法第22条は、利用目的の達成に必要な範囲内で個人データを正確かつ最新の内容に保ち、利用する必要がなくなったときは遅滞なく消去するよう努めなければならないと定めています。^*3 通則編は、そのための手段として、入力時の照合・確認の手続の整備、誤りなどを見つけた場合の訂正などの手続の整備、記録事項の更新、保存期間の設定を挙げています。^*1

名寄せは、この決まりと深く関わります。2社に同じ人が別々に登録されていて、住所や電話番号が食い違っているとき、どちらを正しいとみなすかを決めるのが名寄せの規則です。規則づくりを業務委託エンジニアに丸ごと任せると、技術的には筋が通っていても、事業から見ると古い方の住所が残る、ということが起こりえます。どの項目はどちらの会社の値を優先するか、食い違いを見つけたら誰が確かめて直すかは、発注する側が決めて渡します。

一方で通則編は、保有する個人データを一律に、または常に最新にする必要はなく、利用目的に応じて必要な範囲で正確性・最新性を確保すれば足りるとしています。^*1 統合を機にすべてのデータを洗い直そうとすると、作業が膨らみます。使う目的に照らして直す範囲を決めておくのが現実的です。また、通則編のいう個人データの消去には、削除のほか、特定の個人を識別できないようにすることも含まれます。^*1 統合の対象から外した古いデータをどう消すかも、作業の範囲に入れておきます。

業務委託エンジニアに任せる範囲

統合の作業のために業務委託エンジニアへ個人データを渡すことは、法第27条第5項第1号の委託に当たり、利用目的の達成に必要な範囲内であれば本人の同意なく渡せます。^*3 通則編は、委託先は委託された業務の範囲内でのみ委託元と一体のものとして扱われるので、委託された業務以外に個人データを取り扱うことはできないとしています。^*1 あわせて委託する側には、法第25条により委託先を監督する責任があります。

実務では、任せる作業と触れてよいデータを対応させて書き出しておくと、監督しやすくなります。対応表づくりなら項目の定義と少数の見本、名寄せの規則の検証なら個人を識別できないように加工したデータ、本番の移し替えなら決められた本番の環境での作業、というように、作業の段階ごとに触れるデータを変える考え方です。委託先の監督で確かめる事項は「個人データを任せる前の確認」で扱っています。

作業の記録も残しておきます。どのデータを、いつ、どの環境で変換したか、名寄せでどの行とどの行をまとめたかの記録があれば、後から誤りが見つかったときに直す手がかりになります。契約が終わるときに、作業用の環境に残ったデータを消し、消したことを知らせてもらう手順も決めておきます。

つまずきやすい点

1つ目は、契約前の調査のための契約を結ばないまま、顧客データを受け取ってしまうことです。M&Aの話が早く進むほど、データの受け渡しが先に動きがちです。受け取る前に、利用目的と取扱方法、漏えい時と不調時の措置を書いた契約があるかを確かめます。

2つ目は、統合後のデータから取得元が消えることです。名寄せで2つの行を1つにまとめると、片方の会社にだけあった利用目的の情報が失われることがあります。まとめた行に、元の行の取得元を持たせておく設計にしておけば、後から利用目的を確かめられます。

3つ目は、使わなくなった元のシステムのデータが残り続けることです。新しい仕組みに移したあとも念のためと古いデータベースを止めずにおくと、消す時期を誰も決めないまま時間がたちます。残す期間と消す担当を、統合の計画に書いておきます。

まとめ：データ統合で確かめておきたい3つの点

M&A後のデータ統合で確かめておきたい点は3つです。第一に、契約前の調査で個人データを受け取るなら、利用目的と取扱方法、漏えい時と交渉がまとまらなかったときの措置を書いた契約を先に結ぶこと。第二に、引き継いだ個人情報は承継前の利用目的の範囲で使い、統合後も行ごとに取得元と利用目的を追えるようにしておくこと。第三に、名寄せの規則と消す範囲を発注する側が決め、業務委託エンジニアには任せる作業と触れてよいデータを対応させて渡すことです。どの統合手法を選ぶかは、そのうえで事業の事情に合わせて決めます。任せる作業に合う人の探し方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）（PDF）（https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf）。出典：3-1-4（事業の承継）、3-4-1（データ内容の正確性の確保等）、3-6-3（第三者に該当しない場合）の（1）委託・（2）事業の承継を参照（確認日2026年10月2日）（2026年10月確認）
2. *2　参考：個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（https://www.ppc.go.jp/personalinfo/faq/APPI_QA/）。出典：Q2-10（事業の承継に伴って取得した個人情報の自社サービスへの利用）、Q2-12（事業承継の交渉が不調となった場合の措置）を参照（確認日2026年10月2日）（2026年10月確認）
3. *3　参考：e-Gov法令検索「個人情報の保護に関する法律」（https://laws.e-gov.go.jp/law/415AC0000000057）。出典：第17条第2項（利用目的の変更）、第18条第2項（事業の承継に伴う利用目的による制限）、第21条第3項、第22条（データ内容の正確性の確保等）、第25条（委託先の監督）、第27条第5項第1号・第2号を参照（確認日2026年10月2日）（2026年10月確認）

Tweet