個人事業主として歯科医院を経営する院長より、個人事業主がM&A(事業譲渡)した場合の個人情報(カルテ)の取扱いについて質問がありましたので調べてみました。備忘録として共有します。

結論から言うと、M&A(事業譲渡)により新たに個人情報の取扱いについて契約をする必要は無いようです。個人事業主である医院、歯科医院も同様と思います。

1．個人情報保護法第23条5項2号

「５　次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一　個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
二　合併その他の事由による事業の承継に伴って個人データが提供される場合」

上のように合併その他の事由による事業の承継に伴って個人情報が提供される場合は第三者に該当しない。とありますのでM&Aで譲受側も当事者と同じ扱いです。

2．個人情報の保護に関する法律についてのガイドライン(通則編)
　　平成28年11月(平成29年3月一部改正)　　個人情報保護委員会　
　　
　　ガイドラインの事例でも明記されています。
　
　　P52より抜粋

「（2）事業の承継 事業の承継 事業の承継 （法第 23 条第 5項第 2号関係 ）

合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。

事例 1）合併、分社化により、新会社に個人データを提供する場合
事例 2) 事業譲渡により、譲渡先企業に個人データを提供する場合」

3．判例
念の為、本件で争った判例が無いか調べてみましたが、
私の調べた範囲では該当がありませんでした。

4．結論
条文、ガイドライン、判例から素直に考えて記述致しましたが、
法曹家ではございませんので、上の結果の正確性について保証は致しませんので
ご了承ください。