M&Aで顧客名簿や会員データを買い手に引き継ぐとき、顧客一人ひとりから同意を取り直す必要は、原則としてありません。 個人情報保護法27条5項2号が「合併その他の事由による事業の承継に伴って個人データが提供される場合」を第三者提供から除外しているためです。
ただし、同意が不要なのは「渡すこと」だけです。引き継いだ後にそのデータをどう使えるかは、承継前に売り手が特定・公表していた利用目的の範囲に縛られます(同法18条2項)。この2段構えを取り違えると、適法に渡したはずのデータが違法な利用になります。
この記事でわかること:
- 顧客データの引き継ぎに本人同意が不要になる法的根拠と、その例外
- 株式譲渡・事業譲渡・会社分割・合併でデータの扱いがどう変わるか
- デューデリジェンス(DD)段階で顧客データを見せる前に結ぶべき契約条項の4要素
- 交渉が破談したとき、渡したデータはどうなるのか
- 売却後、元オーナーが手元の顧客リストを使い続けた場合のリスク
- 従業員データ・マイナンバーが別ルールになる理由
- 買い手が外国企業・海外ファンドの場合に追加でかかる規律
- 2026年7月に公布された改正個人情報保護法が、M&A実務に与える影響
- 売り手が売却準備の段階でやっておくべきチェック項目
この記事は、顧客データベース・会員名簿・患者情報などを保有したまま会社や事業を売却しようとしている中小企業のオーナー経営者、および売却準備を進めている担当者に向けて書いています。
注意: 本記事は、個人情報保護委員会(PPC)が公表しているガイドライン・Q&A・法令等の公開情報をもとに整理した一般的な情報提供であり、個別事案に対する法的助言ではありません。どの構成で開示すべきか、どこまでが利用目的の範囲内かは事案ごとに結論が変わります。実際の判断は、個人情報保護法とM&Aの双方に詳しい弁護士にご相談ください。
結論:押さえるべきは「渡す場面」と「使う場面」の2つ

M&Aにおける顧客データの取り扱いは、次の3点に集約されます。
- 渡す場面は同意不要 — 事業の承継に伴う提供であれば、提供先は「第三者」に当たらない(法27条5項2号)。顧客への個別同意取得は原則不要です。
- 使う場面は制限される — 承継した側は、承継前の利用目的の達成に必要な範囲を超えて取り扱ってはならない(法18条2項)。範囲を超えるなら本人同意が必要です。
- 交渉段階の開示には契約が要る — 契約締結前のDD段階で相手方に個人データを見せる場合、利用目的・取扱方法・漏えい時の措置・交渉が不調に終わった場合の措置を定めた契約を結ぶことが、ガイドライン上求められています。
つまり、「同意なしで渡せるから自由に扱ってよい」という理解は誤りです。むしろ実務でトラブルになるのは、渡した後の使い道と、渡す前のDD段階の2か所です。
(出典:個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」3-6-3、および同「ガイドラインに関するQ&A」。ガイドライン通則編は令和8年6月14日に一部改正されています。確認日2026年8月20日)
根拠になる2つの条文:27条5項2号と18条2項
M&Aでの顧客データ引き継ぎを支えているのは、個人情報保護法27条5項2号(提供の場面)と18条2項(利用の場面)の2つです。 どちらか片方だけを見ると必ず判断を誤ります。
条文 | 内容 | M&Aでの意味 |
|---|---|---|
法27条1項 | 個人データの第三者提供には、原則として本人の事前同意が必要 | これが原則ルール |
法27条5項2号 | 合併その他の事由による事業の承継に伴って個人データが提供される場合、提供先は「第三者」に該当しない | M&Aの例外規定。本人同意が不要になる根拠 |
法18条2項 | 事業を承継して個人情報を取得した場合、承継前の利用目的の達成に必要な範囲を超えて取り扱ってはならない | 承継後の最大の落とし穴。超える利用には本人同意が必要 |
法20条2項 | 要配慮個人情報の取得には原則として本人同意が必要 | 医療・美容・人事系のデータで論点化 |
法21条 | 利用目的の通知・公表義務 | 承継後のプライバシーポリシー整備 |
法26条 | 漏えい等が発生した場合の委員会報告・本人通知義務 | DD中・統合作業中の漏えい対応 |
法28条 | 外国にある第三者への提供(越境移転)の規律 | 買い手が外国企業・海外拠点の場合に追加検討が必要 |
「事業の承継」はスキームを問わない
条文は「合併その他の事由による事業の承継」と書いており、合併だけを指しているわけではありません。事業譲渡・会社分割など、事業が承継される場面であれば同じ整理が及ぶというのが一般的な理解です。
承継後の利用目的が最も見落とされる
個人情報保護委員会は令和3年6月23日付の注意喚起「合併や組織再編等を行う事業者の方へ」で、M&A・組織再編に際して次を確認するよう呼びかけています。
- 当初取得時に特定・通知/公表していた利用目的が、承継後の運用に過不足なく反映されているか
- 複数のサービスを運営している場合、サービスごとに通知・公表内容に過不足がないか
- 当初の利用目的の範囲を超えて利用する場合は、あらかじめ本人の同意を取ること
- 今後の事業変更に備えて、規程の見直しルールをあらかじめ定めておくこと
この注意喚起が出された背景には、M&Aの際に対象事業の利用目的を確認しないまま個人情報を利用しているケースがある、という委員会の問題意識があります。
売り手にとっての実務上の意味は明確です。 買い手が「うちの他サービスの販促にも使いたい」と考えているなら、それは承継前の利用目的の範囲内かどうかを、売却前の段階で一緒に確認しておくべきです。範囲外だと分かったのが引き継ぎ後だと、買い手は改めて全顧客から同意を取り直すことになり、データの価値が大きく目減りします。それは最終的に売却価格の交渉材料にもなり得ます。
(出典:個人情報保護委員会「合併や組織再編等を行う事業者の方へ」、ガイドラインQ&A。確認日2026年8月20日)
スキーム別に見る顧客データの扱い

株式譲渡なら、そもそも顧客データの移転は起きません。 ここを理解していないと、必要のない手続きを心配したり、逆に必要な手続きを見落としたりします。
スキーム | 個人データの移転は起きるか | 27条5項2号の適用 | 実務上の注意点 |
|---|---|---|---|
株式譲渡 | 原則として起きない。法人格が変わらず、データの保有主体は対象会社のまま | そもそも第三者提供の問題が生じにくい | ただしDD段階で別法人である買い手候補に見せる行為は別途整理が必要。買収後に買い手グループ・親会社へ提供する場合も別法人間の提供として27条の検討対象 |
事業譲渡 | 起きる(売り手法人 → 買い手法人) | 適用されるとの整理が一般的 | 承継対象データの特定、利用目的の引き継ぎ、売り手側に残る控えの消去が重要 |
会社分割 | 起きる(分割会社 → 承継会社) | 適用 | 従業員データについては労働契約承継法上の手続(協議・通知)が別途必要 |
合併 | 起きる(消滅会社 → 存続会社) | 条文が明示している典型例 | 利用目的の統合・再公表が必要になる |
株式交換・株式移転 | 対象会社が保有したまま。移転自体は生じにくい | 論点になりにくい | グループ内での共同利用の設計が実務論点 |
株式譲渡と事業譲渡のどちらを選ぶかは、税金・許認可・契約承継など複数の要素で決まります。全体の比較は「株式譲渡と事業譲渡はどっちがいい?違いを10項目で比較」で整理しています。
株式譲渡のDD段階については見解が分かれる
ここは誠実に書いておきます。株式譲渡では、クロージング後もデータの保有主体は対象会社のままです。しかしDD段階では、対象会社から「まだ株主になっていない別法人」である買い手候補に対してデータを見せることになります。 この提供に27条5項2号の事業承継例外が及ぶのかについては、実務家の間でも見解が分かれています。
複数の法律事務所が公開している解説では、株式譲渡のDDでは事業承継例外が適用されない前提で設計しておくほうが安全という保守的な立場が示されています。実務上は、後述する匿名化・段階開示・クリーンチームといった手法を組み合わせて、そもそも生の個人データを出さない設計にするのが現実的です。
(出典:M&A法務を扱う法律事務所が公開しているデューデリジェンス実務解説(確認日2026年8月20日)。※適用可否は事案により判断が分かれる論点であり、公式見解が示されているものではありません。必ず弁護士にご確認ください)
デューデリジェンス段階で顧客データを見せる前にやること

「NDAを結んだから顧客名簿を出してよい」は誤りです。 個人情報保護委員会のガイドライン通則編は、事業承継のための契約締結前の交渉段階で相手会社に個人データを提供する場合について、次の事項を定めた契約を締結しなければならないとしています。
契約に盛り込むべき4要素
要素 | 具体的に定める内容 | 売り手が確認するポイント |
|---|---|---|
① 利用目的 | 提供する個人データを、買い手候補が何のために使えるか | 「本件M&Aの検討・評価の目的に限る」と明記されているか |
② 取扱方法 | 誰が閲覧できるか、保管場所、複製・持ち出しの可否 | 閲覧者を特定メンバーに限定できているか。ダウンロード・印刷の可否が決まっているか |
③ 漏えい等が発生した場合の措置 | 通知の期限、原因調査、報告への協力義務 | 買い手候補側で漏れた場合に、売り手が速やかに知れる建付けになっているか |
④ 交渉が不調に終わった場合の措置 | 返還・消去・廃棄の方法と期限 | 消去の完了を書面で確認できるか(消去証明書の提出義務) |
汎用のNDAには、①②④の粒度でここまで書かれていないことがほとんどです。顧客データを出す段階で、個人データ専用の取扱条項を追加するか、覚書を1枚交わすのが実務的な対応になります。
NDA全体の読み方は「M&AのNDA(秘密保持契約)とは?締結タイミング・記載事項・売り手の確認ポイント」で解説しています。
(出典:個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」3-6-3、および同ガイドラインQ&A。確認日2026年8月20日)
生データを出さずに済ませる5つの選択肢
DDで買い手が知りたいのは、多くの場合「顧客が何人いて、どのくらいのリピート率で、単価はいくらか」であって、個々の顧客の氏名や連絡先ではありません。開示レベルを段階的に設計すれば、法的リスクを大きく下げられます。
手法 | 内容 | 注意点 |
|---|---|---|
統計値・集計値のみ提供 | 会員数、年代構成、購入頻度、LTVなどの集計データを出す | 集計の粒度が細かすぎると個人が特定されうる |
匿名化・マスキング | 氏名・連絡先を伏せ、IDのみで提供する | 個人該当性は提供元を基準に判断されるため、提供元が容易に照合できる状態なら「個人情報でなくなった」とは言えない場面がある |
サンプル抽出 | 全件ではなく数十件のサンプルを提示する | 要配慮個人情報が含まれる場合は別途検討が必要 |
段階開示 | 初期は統計・匿名データ、最終契約締結後またはクロージング直前に実データを開示 | 買い手の検証希望との調整が必要 |
クリーンチーム方式 | 買い手側の限定メンバー(または外部専門家)のみが閲覧し、事業部門には集計結果だけを渡す | 運用ルールを契約で明文化しておく |
閲覧管理は、VDR(バーチャルデータルーム)でダウンロード禁止・透かし表示・アクセスログ取得を設定するのが標準的です。VDRの仕組みは「VDR(バーチャルデータルーム)とは?M&Aでの役割と選び方」で解説しています。
DDで求められる資料全般の準備は「M&Aのデューデリジェンス|売り手の準備チェックリスト」をご覧ください。
買い手が同業なら、独占禁止法でも開示を絞る必要がある
個人情報保護法とはまったく別の理由で、開示を制限しなければならない場面があります。 買い手が同業・競合の場合、クロージング前に主要顧客リスト・取引価格・原価といった競争上センシティブな情報を交換すると、独占禁止法上のガン・ジャンピング(企業結合前の不当な情報交換・一体的行動)と評価されるおそれがあります。
顧客データの開示範囲を決めるときは、「個人情報保護法上出せるか」と「独禁法上出してよいか」を別々に検討するのが実務です。企業結合審査の考え方は「M&Aの企業結合審査・独占禁止法の基礎ガイド」で整理しています。
交渉が破談したら、渡したデータはどうなるのか
買い手候補に提供した個人データは、交渉が不調に終わった時点で返還・消去・廃棄されなければなりません。 個人情報保護委員会のガイドラインQ&Aでも、承継の交渉が不調に終わった場合、提供を受けた側は当該個人データを返還・消去・廃棄する必要があるとされています。
売り手側が契約で押さえておくべきなのは、次の3点です。
- 期限を切る — 「交渉終了の通知から◯日以内」と具体的な日数を書く
- 範囲を特定する — 原本だけでなく、複製・派生資料・メール添付・社内共有フォルダ上のコピーまで対象に含める
- 完了を証明させる — 消去・廃棄が完了した旨の書面(消去証明書)を提出させる
M&Aの交渉は、1社目で決まるとは限りません。1社目に渡したデータが消去されないまま2社目・3社目と話を進めることが、最も避けたい状態です。 破談は珍しいことではないという前提で、最初の契約段階から出口を決めておいてください。
万一、情報が漏れた・目的外に使われた疑いがある場合の初動は「M&AのNDA違反・情報漏洩時の対応|72時間の初動手順と損害賠償の実務」で時系列にまとめています。
漏えいが起きた場合、売り手側にも報告義務が生じうる
個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときは、個人情報保護委員会への報告と本人への通知が義務づけられています(法26条)。
項目 | 内容 |
|---|---|
報告対象となる主な類型 | ①要配慮個人情報を含む場合 ②財産的被害のおそれがある場合 ③不正の目的によるおそれがある場合 ④本人の数が1,000人を超える場合(いずれも「おそれ」の段階を含む) |
速報の期限 | 事態を知った後、速やか(概ね3〜5日以内) |
確報の期限 | 原則30日以内(不正の目的によるおそれがある場合は60日以内) |
なお、個人情報保護委員会の令和7年度年次報告(令和8年7月7日公表)によれば、同年度に処理された法26条1項に基づく漏えい等報告は8,928件(委員会への直接報告6,806件、委任先省庁経由2,122件)にのぼります。M&Aに限った統計ではありませんが、報告義務は決して例外的な制度ではないことがわかります。
(出典:個人情報保護委員会「漏えい等の対応とお役立ち資料」、同「令和7年度年次報告」。確認日2026年8月20日。※報告義務の要否は事案ごとの判断が必要です)
売却後、元オーナーが顧客リストを使い続けるとどうなるか

事業譲渡の後、手元に残った顧客リストの控えを使って営業を再開する行為は、複数の法律に同時に触れる可能性があります。 悪意がなくても、「昔からの付き合いだから」と個人的に連絡を取り続けるだけで問題になり得ます。
法域 | 問題になる点 |
|---|---|
契約(譲渡契約) | 譲渡契約には通常、譲渡後は当該データを廃棄し一切利用しない旨の条項が入る。違反すれば債務不履行として損害賠償の対象 |
個人情報保護法 | 承継後は買い手が保有主体。売り手側に残ったデータの利用は、当初の利用目的を離れた取扱いになり得る |
不正競争防止法 | 顧客リストが秘密管理性・有用性・非公知性の3要件を満たせば「営業秘密」に該当し、不正な使用・開示は差止請求や損害賠償、さらに刑事罰の対象になり得る |
競業避止義務 | 譲渡契約や会社法上の義務により、同一事業の再開自体が制限される場合がある |
営業秘密の侵害については、不正競争防止法21条に刑事罰が定められており、類型によっては10年以下の拘禁刑もしくは2,000万円以下の罰金、またはその併科とされています。法人に対しては両罰規定により、行為者本人よりも高額の罰金が科されうる仕組みです(金額は違反の類型によって異なるため、実際の水準は条文および弁護士にご確認ください)。
売り手が売却前にやっておくべきことは1つです。 「売却後も自分が使う予定のデータがないか」を、契約交渉に入る前に洗い出しておくこと。たとえば別会社で継続する事業の顧客と重複している、個人的な人脈と業務上の顧客が混在している、といったケースは中小企業では珍しくありません。契約書に署名した後に「これは対象外にしてほしい」と言い出すのは、ほぼ不可能です。
競業避止義務の範囲と交渉の仕方は「M&Aの競業避止義務とは?期間・地域・違反時のリスク」で詳しく解説しています。
(出典:e-Gov「不正競争防止法」第2条・第21条ほか。確認日2026年8月20日。※営業秘密該当性の判断は個別事情によります)
従業員データとマイナンバーは別ルール
顧客データと同じ感覚で従業員情報を扱うと、手続きを落とします。 従業員の個人データも事業承継例外の対象になり得ますが、労働法とマイナンバー法(番号法)が別途かぶさってきます。
労働契約の承継手続き
スキーム | 労働契約の扱い | 必要な手続き |
|---|---|---|
株式譲渡 | 対象会社の従業員のまま。変動なし | 労働契約上の手続きは原則不要 |
会社分割 | 分割契約の定めに従って承継 | 労働契約承継法に基づく労働者との協議・通知・異議申出の手続きが必須 |
事業譲渡 | 当然には承継されない | 個々の従業員の同意(転籍合意)が必要 |
合併 | 包括的に承継 | 労働条件の統合が実務課題 |
会社分割の仕組みは「M&Aの会社分割(分社型・分割型)とは」、売却後の従業員の扱いは「M&Aで従業員はどうなる?売却後の雇用と処遇」をご覧ください。
マイナンバーは個人情報保護法ではなく番号法
マイナンバー(特定個人情報)は、個人情報保護法の一般ルールとは別に、番号法が提供できる場面を厳格に列挙しています。 その列挙の中には、特定個人情報の取扱いの委託や、合併その他の事由による事業の承継に伴い提供する場合が含まれており、たとえば吸収合併で消滅会社から存続会社へ従業員の個人番号を含む給与情報を提供する場面が典型例として挙げられています。
一方で、単なる出向・転籍に伴ってマイナンバーを渡すことは番号法違反とされ、受け入れ側が本人から改めて取得するのが原則です。事業譲渡で従業員がいったん退職して買い手側に再雇用される形をとる場合、買い手側で取得し直す必要が生じ得ます。
売却スキームを決める段階で、「従業員のマイナンバーは誰が取り直すのか」を人事・社会保険労務士・税理士と確認しておくと、クロージング直前の混乱を避けられます。※労務・税務の具体的な手続きは、社会保険労務士・税理士への相談をおすすめします。
(出典:個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」、厚生労働省「会社分割・事業譲渡・合併における労働者保護のための手続に関するQ&A」。確認日2026年8月20日。※番号法の条項番号は改正により変動するため、根拠として示す際は条文原文をご確認ください)
買い手が外国企業・海外ファンドの場合の追加ルール
買い手が外国にある企業や、海外にサーバーを置くグループの場合、国内の事業承継例外だけでは足りない可能性があります。 外国にある第三者への個人データ提供には、原則として「外国にある第三者への提供を認める旨の本人同意」が必要とされ(法28条1項)、同意を得る際には次の3点の情報提供が求められます(同条2項)。
- 移転先の国名
- 当該外国の個人情報保護制度に関する情報
- 提供先が講ずる個人情報の保護のための措置
例外として、①日本と同等の水準にあると認められる国(EU・英国)への提供、②提供先が継続的に相当措置を講ずる体制(基準適合体制)を整備している場合、が定められています。
実務上の整理として、27条5項2号で国内の第三者提供に当たらないとされる場合であっても、提供先が外国にあるときは28条の規律を別途検討する必要があるとされています。 クロスボーダー案件や、外資系ファンドが買い手になる案件では、必ず初期段階で弁護士に確認してください。
(出典:個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」ほか。確認日2026年8月20日。※「27条5項2号に該当する場合でも28条は別途適用される」という点は法律事務所の公開解説に基づく整理であり、個別案件では弁護士にご確認ください)
2026年の法改正で何が変わるか
まず結論から言うと、M&Aの基本ルールである「事業承継に伴う提供は第三者提供に当たらない」という枠組み自体は維持されています。 変わったのは、その周辺です。
改正個人情報保護法は令和8年7月10日に成立、7月17日に公布されました(令和8年法律第56号)。施行は原則として公布の日から起算して2年を超えない範囲内で政令が定める日とされており、項目ごとの具体的な施行日は政令に委ねられています。
改正項目 | M&A・顧客データ引き継ぎへの影響 |
|---|---|
統計作成等目的の場合の同意取得義務の免除 | DD時に統計値ベースで分析する実務がやりやすくなる可能性 |
同意取得例外の要件緩和 | 承継後の利用目的の整理に影響し得る |
子どもの個人情報の規律強化(16歳未満は法定代理人の同意対象等) | 学習塾・子ども向けサービス・小児科などの売却で影響が大きい |
顔特徴データ等「特定生体個人識別符号」の規律新設 | 顔認証・入退室データを保有する事業の売却で新たな検討が必要 |
委託先の規律整備(受託業務の遂行に必要な範囲を超える取扱いの禁止を法定化) | DD時に「委託」の構成で開示する実務に影響し得る |
漏えい等の本人通知義務の合理化 | 権利利益侵害のおそれが少ない場合に代替措置が可能に |
「連絡可能個人関連情報」の新設と不適正利用・不正取得の禁止 | 顧客リストの取扱い全般に関係 |
オプトアウト提供時の提供先の確認義務化 | 名簿販売型のビジネスの売却に大きく影響 |
罰則の強化・詐欺による不正取得罪の新設 | 違反時のダメージが増大 |
課徴金制度の新設 | 顧客データの不適切な取扱いが、直接的な金銭リスクにつながる |
売り手が今の時点で意識しておくべきなのは、課徴金制度と委託先規律の2つです。 課徴金が導入されると、個人データの取扱いに関する違反が「行政指導で終わる話」ではなくなります。買い手のDDでも、対象会社の個人情報管理体制はこれまで以上に厳しく見られると考えたほうがよいでしょう。
また、ガイドライン通則編そのものも令和8年6月14日に一部改正されています。事業承継に関する記述の詳細は、個人情報保護委員会が公表している新旧対照表で最新の文言を確認してください。
(出典:個人情報保護委員会「令和8年 改正個人情報保護法」、同「ガイドライン(通則編)」令和8年6月14日一部改正。確認日2026年8月20日。※各項目の施行日は政令で定められるため、実務対応の時期は最新の公表情報をご確認ください)
業種別に注意すべきポイント
同じ「顧客データ」でも、要配慮個人情報が混ざる業種では難易度が一段上がります。
業種 | 保有している主な個人データ | 特に注意すべき点 |
|---|---|---|
EC・通販・D2C | 会員DB、購買履歴、配送先 | 会員規約・プライバシーポリシーの承継可否、決済情報の取扱い |
美容サロン・治療院 | 施術履歴、体調・既往歴 | 要配慮個人情報に該当する可能性(法20条2項) |
クリニック・調剤・介護 | 診療録、調剤録、ケアプラン | 要配慮個人情報に加え、医療分野のガイドラインが上乗せされる |
学習塾・スクール | 未成年者の情報、保護者情報 | 2026年改正で子どもの個人情報の規律が強化 |
人材・派遣 | 求職者DB、職歴 | 目的外利用のリスクが大きい |
SaaS・アプリ | ユーザーDB、Cookie・端末ID等 | 越境移転、連絡可能個人関連情報の規律 |
士業・保険代理店 | 顧客の資産・家族情報 | 職業上の守秘義務と重なる |
顧客データベースそのものが事業価値の中心になっている業種では、データの引き継ぎ設計が売却価格に直結します。EC・通販業の売却については「EC・ネット通販業のM&A仲介会社おすすめ」もあわせてご覧ください。
特に慎重な設計が必要な会社/シンプルに進めやすい会社

早い段階で弁護士を入れるべき会社
- 要配慮個人情報を大量に保有している(クリニック、介護、美容医療、人材紹介など)
- 事業譲渡・会社分割を選ぶ予定がある(データが実際に法人間を移動するため)
- 買い手候補に同業・競合が含まれる(独禁法の観点で開示設計が必要)
- 買い手が外国企業・海外ファンド、または海外にデータを置く可能性がある
- 顧客データ自体が主要な事業価値(会員制サービス、サブスク、EC)
- 未成年者・子どもの情報を扱っている(2026年改正の影響を受けやすい)
- プライバシーポリシーを長年更新していない(利用目的の記載が実態と合っていない可能性)
比較的シンプルに進めやすい会社
- 株式譲渡で、買い手グループへのデータ提供予定がない(データの保有主体が変わらない)
- BtoB専業で、保有する個人情報が取引先の担当者名刺程度
- 顧客データを外部システムに保有しておらず、件数も限定的
- プライバシーポリシーを直近で見直しており、利用目的が実態と一致している
ただし「シンプルに進めやすい」は「何もしなくてよい」ではありません。株式譲渡でも、DD段階で買い手候補に顧客情報を見せる場面は必ず発生します。 開示前の設計だけは、どのケースでも必要です。
売り手が売却準備の段階でやっておくこと
M&Aの相談を始める前、あるいは買い手候補が現れる前にやっておくと、後の交渉が楽になる項目を挙げます。
① 個人データの棚卸しをする
どこに、どんな種類の個人データが、何件あるかを一覧にします。基幹システム、Excelファイル、営業担当者の個人端末、クラウドサービス、紙の台帳まで含めてください。買い手のDDで必ず聞かれる項目であり、答えられないこと自体が減点材料になります。
② プライバシーポリシーと利用目的の記載を点検する
現在公表している利用目的が、実際の運用と一致しているかを確認します。事業承継に伴う提供が想定される旨の記載があると、後の説明がスムーズになります(記載がなくても事業承継例外は使えますが、あるほうがトラブルは少なくなります)。
③ 要配慮個人情報の有無を確認する
健康状態、既往歴、信条、社会的身分などが含まれていないかを確認します。含まれている場合は、開示方法の設計を最初から弁護士と組み立ててください。
④ 「売却後も自分が使いたいデータ」を特定する
別事業で継続したい顧客、個人的な人脈と混在しているデータがあれば、契約交渉に入る前に洗い出します。後出しは通りません。
⑤ 開示レベルを3段階で決めておく
初期接触(統計値のみ)/基本合意後(匿名化データ)/最終契約後またはクロージング直前(実データ)という3段階を、仲介会社・FAと共有しておきます。
⑥ 買い手に求める契約条項をリスト化しておく
- 提供する個人データの利用目的の限定
- 閲覧者の限定と閲覧記録の取得
- 漏えい時の通知義務と通知期限
- 破談時の返還・消去・廃棄と消去証明書の提出
- 承継後の利用目的の範囲についての相互確認
売却準備全体の流れは「会社売却の準備チェックリスト」、顧客・取引先への説明タイミングは「M&Aで取引先・顧客へ説明するタイミングと進め方」で解説しています。
よくある質問
Q. 顧客に「M&Aでデータを引き継ぎます」と事前に案内したほうがよいですか?
法律上、事業承継に伴う提供について事前の個別同意や通知は原則として求められていません。ただし、実務上は「知らないうちに別会社に情報が渡っていた」と受け取られることが、クレームや解約の引き金になります。 BtoCで会員基盤を持つ事業では、クロージング後に運営会社の変更とプライバシーポリシーの改定をあわせて案内するのが一般的です。案内の時期と文面は、買い手・仲介会社と事前に擦り合わせておいてください。
Q. 顧客名簿をExcelで買い手にメール送信してもよいですか?
法的に禁止されているわけではありませんが、推奨できません。 メール送信は誰がいつ何を受け取ったかの管理が難しく、送信先の社内で無制限に転送・複製されるリスクがあります。破談時の消去も実効性を確保しづらくなります。件数が多い場合は、アクセス制御とログ取得ができるVDRを使い、ダウンロード禁止設定で閲覧させるのが標準的な運用です。
Q. 買い手から「顧客データの完全な移行を保証してほしい」と表明保証を求められました。応じてよいですか?
内容次第です。「データが実在すること」「重大な漏えい事故が過去にないこと」といった事実の保証と、「承継後に買い手が自由に使えること」の保証はまったく別物です。後者は法18条2項の利用目的の制限がかかるため、売り手が単独で保証できる範囲を超えます。 表明保証の文言は必ず弁護士に確認してください。表明保証の基本は「M&Aの表明保証とは?わかりやすく解説」で解説しています。
Q. 個人情報の管理体制が整っていないと、売却価格は下がりますか?
一律には言えませんが、DDで指摘事項として挙がれば、価格交渉や表明保証の条件に影響する可能性があります。 特に2026年改正で課徴金制度が導入されると、買い手は承継後のリスクをより慎重に評価するようになると考えられます。売却を検討している段階で棚卸しとプライバシーポリシーの点検を済ませておくことは、コストではなく準備投資と考えたほうが現実的です。
Q. 仲介会社に顧客リストを渡すのは問題ありませんか?
仲介会社・FAへの提供は、事業承継そのものではなく、業務の委託または秘密保持契約に基づく提供として整理されるのが通常です。そもそも、企業価値評価やIM(企業概要書)の作成に、顧客の氏名や連絡先が必要になる場面はほとんどありません。 求められた場合は、集計値で代替できないかを先に確認してください。何を渡すべきかの一般的な整理は「M&Aの秘密保持と情報漏洩リスク対策」もあわせてご覧ください。
Q. 第三者提供の記録は作成しなければなりませんか?
一般的には、法27条5項に該当して「第三者」に当たらない提供については、確認・記録義務の対象外と整理されています。ただし、どの提供がどの条項に該当するかの判断そのものが実務では難しく、後から説明を求められたときに備えて、いつ・誰に・どのデータを・どの根拠で提供したのかを社内記録として残しておくことをおすすめします。法的な義務の有無については、個別に弁護士へご確認ください。
まとめ:同意より、契約と利用目的で守る
M&Aでの顧客データ引き継ぎは、次の順序で考えると整理できます。
- スキームを確認する — 株式譲渡ならデータの移転自体は起きない。事業譲渡・会社分割・合併なら移転する
- 渡す場面は同意不要と理解する — 事業承継に伴う提供は第三者提供に当たらない(法27条5項2号)
- 使う場面の制限を確認する — 承継前の利用目的の範囲を超える利用には本人同意が必要(法18条2項)
- DD段階の契約を用意する — 利用目的・取扱方法・漏えい時の措置・破談時の措置の4要素を定める
- 開示レベルを段階設計する — 統計値 → 匿名化 → 実データの順に。VDRとクリーンチームで管理する
- 破談時の消去を契約で確定させる — 期限・範囲・消去証明書まで書く
- 売却後の自分の利用を事前に整理する — 契約締結後の後出しは通らない
- 従業員データ・マイナンバー・越境移転を別枠で確認する — それぞれ別の法律が適用される
顧客データは、多くの中小企業にとって最も価値のある資産の一つです。 同時に、扱い方を間違えると売却価格を下げ、最悪の場合は法的責任につながります。同意を取ることに悩むより、契約と利用目的の設計に時間を使うほうが、実務では確実に効きます。
本記事は、個人情報保護委員会等の公表資料をもとに整理した一般的な情報提供であり、個別事案に対する法的助言ではありません。事業承継例外の適用可否、承継後の利用目的の範囲、越境移転の要否といった判断は、事実関係によって結論が変わります。実際の対応は必ず個人情報保護法・M&Aに詳しい弁護士にご相談ください。税務・労務上の影響を伴う場合は、税理士・社会保険労務士へのご相談もあわせて検討してください。
売却プロセス全体の進め方や、情報管理体制を含めた仲介会社の選び方は「M&A仲介会社の選び方|売り手が確認すべきポイント」で整理しています。
