M&Aと個人情報保護法

個人情報の保護に関する法律（「個人情報保護法」）の改正案が本年9月3日に可決され同9日に公布されました。今回の個人情報保護法改正は、ビックデータの利活用のための「匿名化情報」のルール整備、個人情報のトレーサビリティ確保、グローバル化への対応を始め非常に多岐に渡りますが、今回は、個人情報保護法とM&Aが交わる場面について検討したいと思います。

一般的に、事業譲渡、合併、会社分割等M&Aに係る契約においては、売主側企業が競業避止義務を負うことが明記されることが多いというのは皆様ご存知のとおりです。これに加えて、いわゆるB to Cのビジネス形態では、顧客の個人情報や趣向に関するデータ（「個人情報等」）が非常に重要であり、M&Aにより当該ビジネスを買い受ける場合には、買主側企業において、かかる情報を独占的に利用できるよう担保することが不可欠となります[1]。そのため、買主側企業から、売主側企業やその親子会社・グループ会社[2]に対して、M&A完了後は当該個人情報等は廃棄し、一切の利用を禁止する規定が設けられることがあります。売主側企業は、このような個人情報等をM&A後も利用する予定なのかを十分に検討した上で、当該規定を受け入れるべきか判断すべきでしょう。なお、M&Aを行った前後で、取得時における利用目的から別の利用目的に変更される場合には、個人情報等の情報主体である顧客の同意が必要となる場合があります[3]ので、顧客の同意が必要なのか、プライバシーポリシーの変更の公表や通知で足りるのか、対応が全く必要ないのかについて、担当部署、法務部、外部弁護士等で十分に検討すべきと思われます。

[1] 個人情報保護法23条4項2号では、事業譲渡、合併等による事業の承継に伴って個人情報が提供される場合、承継者は第三者提供の制限を定めた同条との関係で「第三者」に該当しないとされています。売主側企業において取得～保管の過程で法令違反や何らかのトラブルがなかったかを、デューディリジェンス、インタビュー等で確認すべきことは言うまでもありません。

[2] 個人情報保護法23条4項3号に定める「共同利用」により、例えば、プライバシーポリシーで、親子会社で個人情報を共有し当該親子会社のプロダクトの広告送付・送信などに個人情報を利用すると定められているような場合です。

[3] 「相当の関連性を有すると合理的に認められる範囲」での利用目的の変更のみが認められます（個人情報保護法15条）。法改正施行後は、「関連性」があれば（「相当」部分の削除）変更が認められます。