【2026年】外部に個人情報を預ける前に｜委託先を管理する

「配信も名簿の入力も外部に頼んでいるが、契約書は交わしているので問題ないと思っていた」「預けた先で何が行われているかまでは、把握していない」——委託が積み重なった部門で出てくる声です。契約書を交わした時点で責任が相手に移るわけではありません。選ぶ・結ぶ・確かめるの3つがそろって、はじめて監督の義務を果たしたことになります。この記事では、選定で見る項目、契約に入れる条項、点検の周期と方法を整理します。

預けた時点で責任は消えない

外部に作業を委託すると、その情報の管理も任せたと感じます。しかし、法律の建て付けはそうなっていません。委託した側には、監督の義務が残ります。この義務は、契約を交わすだけでは果たせません。

条文が求めているのは、明確です。委託された個人データの安全管理が図られるよう、必要かつ適切な監督を行うこと。必要かつ適切という表現が、幅を持たせています。何をすれば足りるかは、実務の解釈で補われています。

実務では、3つの措置に整理されています。委託先の適切な選定、条項を入れた契約の締結、年1回を目安とした点検です。この3つが揃って、監督したことになります。1つでも欠けると、義務を果たしたとは言えません。

多くの会社が、2つ目だけを行っています。契約書を交わし、そこで終わりにする形です。指摘されているのは、この点です。契約書を交わしているから大丈夫では、義務を果たしたことになりません。

この状態の危うさは、事故が起きたときに現れます。委託先で漏えいが起きても、報告の責任は委託元が負います。選定も点検もしていなければ、責任の議論で不利になります。取引先や本人への説明も、難しくなります。

この記事では、3つの措置を順に整理します。選定、契約、点検の順に、確かめる項目を並べます。

委託は第三者への提供ではない

前提として、委託の位置づけを確かめます。委託は、第三者への提供には当たりません。だから、本人の同意を得ずに渡すことができます。

この扱いには、条件が付いています。委託の範囲を超えて使われないことが、前提になっています。委託先が、自社の目的で使えば話が変わります。契約で、範囲を明確にする必要があるのはこのためです。

一方で、例外もあります。外国にある第三者への委託は、本人の同意が必要になります。国内の委託と、扱いが分かれる点です。海外の事業者が提供する道具を使う場合に、この論点が出ます。

クラウドの利用は、さらに別の整理になります。提供に当たらない場合があるとされています。ただし、提供に当たらなくても義務が消えるわけではありません。外国で取り扱うなら、外的環境の把握の義務が生じます。

この整理は、実務では見落とされやすくなります。道具を導入するときに、提供元の所在を確かめない場合が多くあります。利用の規約に、取り扱う場所が書かれています。導入の判断の前に、この確認を行います。

委託と提供の区別は、判断の出発点になります。どちらに当たるかで、必要な手続が変わります。

判断の記録も残しておきます。委託と整理したのか、提供と整理したのかという判断です。後から問われたときに、判断の根拠を示せる状態にしておきます。同じ形の取引が来たときにも、その記録がそのまま使えます。

選定で確かめる項目

1つ目の措置が、委託先の選定です。書面で確かめる項目が、実務として整理されています。

最初が、方針の確認です。個人情報の保護に関する方針が、公開されているかを見ます。公開されていない事業者は、その時点で判断の材料になります。内容も、自社の求める水準に達しているかを確かめます。

次が、第三者による認証の取得の状況です。情報の管理に関する認証を取得しているかを確かめます。取得していれば、一定の水準は担保されています。取得していない場合は、他の方法で確かめる必要があります。

3つ目が、過去の事故の履歴です。過去5年の漏えいや事故の有無を確かめます。事故があったこと自体より、その後の対応が判断の材料になります。再発の防止の措置が講じられているかを見ます。

4つ目が、従業員の教育の実施の頻度です。年に何回、どのような内容で教育を行っているかを確かめます。実際の漏えいの多くは、人の行動に起因します。仕組みだけでなく、教育の状況も確認の対象になります。

確認は、書面で行います。口頭の説明では、記録が残りません。

措置	実施の時期	確かめる内容
選定	契約の前	方針、認証、過去5年の事故、教育の頻度
契約	取引の開始時	範囲、措置、再委託、守秘、監査、通知、削除、賠償
点検	年に1回	方針と認証の最新版、事故の有無、確認表、再委託先の一覧
実地の調査	リスクが高い相手	大量のデータ、要配慮の情報、過去の事故、認証なし
記録	各措置の実施時	確認した内容と日付を書面で保管

確認の負担も、現実的に考えます。小規模な発注で、4項目すべてを求めるのは過剰な場合もあります。扱う情報の量と機微さに応じて、確認の深さを段階的に決めておきます。全件で同じ水準を求めると、手続そのものが回らなくなります。

契約に入れる8つの項目

2つ目の措置が、契約です。含めるべき項目として、8つが挙げられています。

1つ目が、取扱いの範囲と利用の目的の特定です。委託するデータの項目と目的を明示し、指示の外での利用を禁じます。この条項が、委託が提供に当たらない前提を支えます。曖昧にすると、範囲を超えた利用を止められません。

2つ目が、安全管理の措置の義務付けです。組織的、人的、物理的、技術的な措置を、同等の水準で求めます。自社より低い水準の相手に預ければ、そこが弱点になります。同等という基準が、判断の目安になります。

3つ目が、再委託の制限です。事前の書面による承諾を条件とします。承諾の際には、再委託先の名称と範囲と措置の通知を求めます。知らないうちに、さらに別の事業者へ渡ることを防ぎます。

4つ目が、守秘の義務です。従業員を含めて課し、契約の終了の後も継続すると明記します。終了の後も継続する点が、重要になります。違反したときの損害賠償も、併せて定めます。

5つ目が、監査と実地の調査の権利です。書面の確認と実地の調査の両方を、権利として明確にします。

通知と削除と賠償の条項

残りの3項目も、確かめます。事故と契約の終了に関わる条項です。

6つ目が、漏えい等の通知の義務です。契約の例として、発生時24時間以内の速報と30日以内の確報が挙げられています。この期限は、契約で定める例として示されているものです。自社が負う法定の報告の期限に間に合う設定にします。

7つ目が、契約の終了時のデータの返還と削除です。控えを含むすべての削除と、完了の報告書の提出を義務付けます。控えを含むという点が、重要になります。本体を消しても、控えが残っていれば意味がありません。

報告書の提出まで求めるのは、記録のためです。削除されたことを、書面で確かめられる状態にします。口頭の確認では、後から証明できません。この書面は、保管の対象になります。

8つ目が、損害賠償の責任です。安全管理の違反、漏えい、契約の違反による損害を対象にします。調査と通知に要する費用も、対象に含めます。事故の対応には、賠償以外にも費用がかかるためです。

これら8項目は、雛形として持っておきます。委託のたびに考える必要がなくなります。

再委託をどう扱うか

再委託の扱いは、判断が分かれます。一律の禁止は、非現実的とされています。

実務では、多くの事業者が一部を再委託しています。印刷、配送、開発の一部などが、その対象になります。一律に禁じると、選べる委託先が大きく減ります。費用も上がります。

標準の運用として示されているのは、承諾の形です。再委託先の名称と取扱いの範囲と安全管理の措置を通知させます。そのうえで、承諾を得てから許可します。この形なら、把握したうえで判断できます。

通知の内容は、記録として保管します。事故が起きたときに、どこまで情報が渡っていたかを確かめる材料になります。この記録がないと、影響の範囲が特定できません。対応の初動が、大きく遅れます。

再委託先の一覧は、年に1度更新させます。契約の期間中に、再委託先が変わることがあります。変更の都度の通知を求めるのが原則ですが、実際には漏れます。年次の点検で、最新版を取得する形で補います。

孫の先まで追うかは、リスクで決めます。扱う情報の量と機微さに応じて、範囲を決めます。

年に1度の点検

3つ目の措置が、点検です。最低でも年に1回、実施します。

確かめるのは、4つです。方針と認証の最新版、事故の有無、安全管理の措置、再委託先の一覧。選定のときに確かめた内容が、今も維持されているかを見ます。認証は、更新されずに失効している場合があります。

事故の有無は、自己申告の書面で取得します。この1年間に事故がなかったことを、書面で確認します。報告の義務のない小さな事象も、この機会に確かめます。傾向が分かれば、リスクの判断ができます。

安全管理の措置は、確認表で確かめます。項目を並べた表を送り、回答してもらう形です。毎年同じ表を使えば、変化が分かります。作成の手間も、初年度だけで済みます。

点検の結果は、記録として保管します。実施したこと自体が、監督の義務を果たした証拠になります。記録がなければ、実施したことを示せません。日付と、確認した内容を残します。

委託先が多い場合は、時期を分散させます。年度の初めにまとめると、作業が集中します。

点検の依頼の仕方も工夫します。取引の担当者を通じて依頼すると、回答が早く戻ります。問い合わせの窓口へ送ると、担当が定まらず放置されることがあります。契約の時点で、点検の連絡の先を決めておくのが確実です。

実地の調査が要る相手

書面の確認だけでは足りない相手もあります。リスクの高い委託先には、実地の調査を行います。

該当するのは、4つの条件です。大量のデータを扱う、要配慮の個人情報を扱う、過去に事故がある、認証を取得していない。いずれかに当てはまれば、実地の調査を検討します。複数に当てはまるなら、優先度は高くなります。

実地の調査では、作業の場所を確認します。誰がどこで作業し、どのように保管しているかを見ます。書面の回答と、実際の状況が違う場合があります。この差が、事故の原因になります。

確認の項目は、事前に伝えます。抜き打ちの調査は、関係を悪化させます。目的は、粗探しではなく水準の確認です。改善の余地があれば、一緒に検討する姿勢で臨みます。

調査の頻度は、リスクに応じて決めます。最もリスクの高い相手でも、年に1度で足ります。毎回すべての項目を見る必要もありません。

この調査には、時間がかかります。対象を絞ることが、続けるための条件になります。

漏えいのときに報告するのは誰か

最も重要な点を、確かめます。委託先で漏えいが起きたときの、報告の責任です。

責任を負うのは、委託元です。委員会への報告と、本人への通知の責任を直接負います。委託先が通知すれば、委託先の報告の義務は免れます。しかし、委託元の責任は残ります。

この構造は、実務に大きく影響します。委託先からの通知が遅れても、報告の期限は延びません。通知の遅れを理由に、期限を延ばすことは認められないとされています。だから、契約で通知の期限を厳しく定める必要があります。

速報と確報の2段階があることも、押さえます。契約の例では、24時間以内の速報と30日以内の確報が挙げられています。自社が法定の期限に間に合うよう、逆算して設定します。委託先からの通知が、自社の対応の起点になります。

連絡の経路も、事前に決めます。夜間や休日に事故が起きた場合の、連絡の先を決めておきます。担当者の個人の連絡先だけでは、不在のときに止まります。組織としての窓口を、双方で決めておきます。

この設計が、初動の速さを決めます。初動の遅れが、被害の拡大につながります。

• 契約書を交わしただけで、監督の義務を果たしたと考える
• 委託先の選定で、方針も認証も確かめずに費用だけで決める
• 再委託を無条件に認め、どこに渡っているか把握していない
• 年次の点検を行わず、認証が失効していることに気づかない
• 海外の事業者が提供する道具を、所在を確かめずに導入する

訓練の実施も検討します。実際に通知が来たとして、誰が何をするかを一度確かめる形です。手順書があっても、動かしてみると連絡が止まる箇所が見つかります。1時間の机上の確認でも、初動の速さは大きく変わります。

マーケの現場で起きる委託

この話は、法務だけの話ではありません。マーケの現場で、日常的に委託が発生しています。

代表的なのが、催しの運営です。受付の代行を依頼すれば、参加者の名簿が渡ります。短期の依頼でも、委託であることに変わりはありません。契約の条項を、確かめる必要があります。

名簿の入力の代行も、同じです。展示会で得た名刺の入力を外部に頼む場面です。件数が多いため、外部に頼むのが一般的です。この作業は、個人情報の取扱いそのものになります。

配信の道具も、対象になります。名簿を道具の側に保管する形であれば、委託に当たり得ます。利用の規約と、提供元の所在を確かめます。この確認は、導入の判断の前に行います。

広告の運用の代行も、確かめます。顧客の名簿を広告の配信に使う場合、その名簿が渡ります。代行の会社が、どこにその名簿を保管するかを確認します。

現場が発注する場面ほど、確認が抜けます。小さな発注でも、確認の手順を通す仕組みが要ります。

短期の依頼ほど、確認が抜けます。1日だけの受付の代行でも、名簿が渡ることに変わりはありません。期間の長さではなく、情報が渡るかどうかで判断の要否が決まります。この基準を、現場に明確に伝えておく必要があります。

生成の道具を使う事業者

近年で増えているのが、生成の道具を使う委託先です。この場合、確認の項目が増えます。

確かめるのは、入力の扱いです。預けたデータが、道具の学習に使われないかという点です。業務用の契約では、学習に使わない条件が設定できます。この条件が付いているかを、書面で確かめます。

道具の提供元の所在も、確かめます。国外の事業者であれば、外的環境の把握の義務が生じます。多くの生成の道具は、国外の事業者が提供しています。この確認は、避けて通れません。

委託先が使う道具まで、把握が必要になります。自社が契約していない道具に、情報が入る形です。実質的には、再委託に近い状態になります。契約で、使用する道具の通知を求める形が考えられます。

参考になる指針も、公表されています。AI事業者ガイドラインは、第1.2版が2026年3月31日の公表で現行の最新です。法的な拘束力はありませんが、注意義務の判断で参照されます。AI推進法も、2025年9月1日に全面施行されています。

この領域は、変化が速くなります。年次の点検で、使用する道具の状況も確かめます。

進め方の手順

これらを、実務の手順にまとめます。発注のたびに、この手順を通します。

最初が、委託に当たるかの判断です。個人情報が社外に渡るかどうかを、最初に確かめます。渡らない発注であれば、この手順は不要です。判断に迷う場合は、渡る前提で進めます。

次が、選定の確認です。方針、認証、過去の事故、教育の頻度を書面で確かめます。この段階で、候補が絞られます。費用だけで選ぶと、後の負担が大きくなります。

そして、契約の締結です。8項目を含む条項を、契約に入れます。雛形を持っていれば、この作業は速く終わります。先方の様式を使う場合は、8項目の有無を確かめます。

最後が、点検の予定への登録です。契約の時点で、1年後の点検の予定を入れておきます。後から思い出す形では、必ず抜けます。

この手順は、確認表として1枚にまとめます。現場が発注するときに、この1枚を通す形にします。

現場に手順を浸透させる

手順を作っても、現場で使われなければ意味がありません。委託の判断は、法務ではなく発注する現場が最初に行うためです。だから、現場が使える形にすることが浸透の条件になります。

最も効くのが、確認表の簡素化です。項目が多いと、形だけの確認になります。個人情報が渡るかという1問から始まる形にすると、判断が速くなります。渡らない場合は、そこで終わる設計にしておきます。

発注の手続に組み込む形も有効です。見積りの取得や稟議の様式に、1項目として加えます。別の書類として用意すると、存在を知らない担当者が出てきます。既存の手続の中にあれば、必ず目に入ります。

相談の窓口も明示します。判断に迷ったときに、誰に聞けばよいかを書いておきます。窓口が分からないと、判断を避けてそのまま発注してしまいます。5分で答えが得られる状態を作るのが、最も実効性の高い対策になります。

研修の機会も、年に1度は設けます。内容は、実際にあった事例を中心にします。条文の説明より、自社で起きた判断の例のほうが記憶に残ります。判断に迷った事例を集めておけば、そのまま教材になります。

記録の残し方

最後に、記録の形です。実施したことを示せる形で、残します。

残すのは、委託先ごとの1枚です。選定の確認、契約の締結日、点検の実施日と結果を記録します。この1枚があれば、監督の実施を示せます。求められたときに、すぐに提示できる形にします。

一覧も、併せて作ります。現在どの事業者に何を委託しているかの一覧です。この一覧がないと、点検の対象が把握できません。契約が終了した先も、履歴として残します。

保管の期間も、決めます。契約の終了の後も、一定の期間は保管します。事故が後から判明する場合があるためです。社内の文書の保管の基準に合わせます。

担当も、明確にします。委託先の管理の担当を、部署ごとに決めておきます。法務が全社分を管理する形は、実務では回りません。発注する部署が管理し、法務が支援する形が現実的です。

整備には、時間がかかります。既存の委託先から順に、点検の機会に整えていきます。

• 委託元がすべきことは3つ。適切な選定、条項を入れた契約、年1回を目安とした点検
• 契約に入れる項目は8つ。取扱いの範囲から契約の終了時の削除と賠償まで
• 委託先で漏えいが起きても、委員会への報告と本人への通知の責任は委託元が負う

まとめ

外部に個人情報の取扱いを委託しても、監督の義務は委託元に残ります。果たすべき措置は3つです。適切な選定、条項を入れた契約の締結、年に1回を目安とした点検です。選定では、方針と認証と過去5年の事故と教育の頻度を書面で確かめます。契約には8項目を入れます。取扱いの範囲、安全管理の措置、再委託の制限、守秘、監査の権利、通知、削除、賠償です。漏えいが起きたとき、委員会への報告と本人への通知の責任を負うのは委託元です。契約書を交わしただけでは義務を果たしたことにならないため、選定と点検も手順に組み込みます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。