個人データの取扱いを委託するときの委託先の監督｜選定・契約・取扱状況の把握、再委託、クラウドの扱いと漏えい時の報告
個人データの取扱いを外部に委託する会社は、委託先に対して必要かつ適切な監督を行う義務があります（個人情報保護法第25条）。ガイドラインが求める委託先の選定、委託契約、取扱状況の把握の3つの措置、再委託の承認、クラウドサービスが委託に当たるかの判断、委託先で漏えいが起きたときの報告の分担を整理します。
- 対象読者
- 給与計算・健診・採用管理・発送代行などを外部に委託しており、委託先の管理を何から始めればよいか迷っている、従業員30〜300名の企業の総務担当者
- 難易度
- 実務
- 所要時間
- 読了8分
- 最終確認日
この記事のポイント
- 委託元は、委託先でも自社と同等の安全管理措置が講じられるよう監督する。具体的には「適切な委託先の選定」「委託契約の締結」「委託先における取扱状況の把握」の3つ（個人情報保護委員会のガイドライン通則編3-4-4）
- 再委託は事前の報告・承認の仕組みを契約に入れる。マイナンバーを扱う事務の再委託は、委託元の許諾がなければできない（番号法第10条）
- クラウドサービスは、事業者が個人データを取り扱わないこととなっていれば委託に当たらない（Q&A7-53）。委託先で漏えいが起きた場合は原則として委託元と委託先の双方に報告義務があり、委託先は委託元に通知すれば報告義務が免除される
給与計算の代行、健康診断の予約、採用管理システム、ダイレクトメールの発送。総務・人事の仕事は、個人データを外部の事業者に預ける場面が少なくありません。委託先で漏えいが起きると、委託した会社も監督の責任を問われます。
この記事では、個人情報保護法の条文と個人情報保護委員会のガイドライン・Q&Aをもとに、委託先の監督で会社がやること、再委託とクラウドの扱い、漏えい時の報告の分担を整理します。社内の個人情報管理の全体は中小企業の個人情報・マイナンバー管理を参照してください。
「委託」に当たる場面
ガイドラインは、個人データの取扱いの委託を「契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせること」と説明しています。例えば次のような場面です。
| 業務 | 委託先の例 |
|---|---|
| 給与計算・年末調整 | 給与計算代行、社会保険労務士、税理士 |
| 健康診断 | 健診機関、健診予約代行 |
| 採用 | 採用管理システム、採用代行、適性検査 |
| 発送・印刷 | 発送代行、印刷会社 |
| 書類の保管・廃棄 | 文書保管、溶解処理業者 |
委託に伴って個人データを渡すことは、本人の同意が必要な第三者提供には当たりません（法第27条第5項第1号）。その代わりに、委託元には委託先を監督する義務がかかります（法第25条）。委託に当たらない第三者提供の記録については個人データの第三者提供の確認・記録義務を参照してください。
監督で求められる3つの措置
法第25条は「委託を受けた者に対する必要かつ適切な監督」を求めています。ガイドライン通則編3-4-4は、委託先でも自社が法第23条に基づき講ずべき安全管理措置と同等の措置が講じられるよう監督するとしたうえで、次の3つを示しています。
1. 適切な委託先の選定
委託先の安全管理措置が、委託元に求められる水準と同等であることを、あらかじめ確認します。確認の方法は、個人データの内容や規模に応じて選べます。
| 確認項目 | 確認の方法の例 |
|---|---|
| 組織的安全管理措置（責任者、規程、事故時の体制） | チェックシートへの回答、規程の提出 |
| 人的安全管理措置（従業者の教育、誓約） | 教育の実施状況の確認 |
| 物理的安全管理措置（入退室管理、機器の盗難防止） | 必要に応じて現地確認 |
| 技術的安全管理措置（アクセス制御、不正アクセス対策） | セキュリティの資料、第三者認証の有無 |
プライバシーマークやISMSの認証は判断材料の1つになります（プライバシーマークとISMS認証）。
2. 委託契約の締結
委託契約には、委託元・委託先の双方が同意した安全管理措置の内容と、委託元が委託先の取扱状況を合理的に把握できることを盛り込むことが望ましいとされています。主な条項は次のとおりです。
- 委託する業務の範囲と、扱う個人データの項目
- 目的外利用の禁止、秘密保持
- 安全管理措置の内容
- 再委託の条件（事前の報告・承認）
- 漏えい等が起きたときの報告の期限と方法
- 委託元による報告の求め・監査
- 契約終了時の返還・削除と、その証明
秘密保持の条項の確認は秘密保持契約書（NDA）のチェックポイントも参考にしてください。
3. 委託先における取扱状況の把握
定期的な監査などで、契約で定めた内容がどの程度実施されているかを確認し、委託の内容の見直しも含めて評価することが望ましいとされています。中小企業では、年1回のチェックシートの回収と、必要に応じた面談・現地確認が現実的です。
監督が不十分とされる例
ガイドラインは、次のような場合を「必要かつ適切な監督を行っていない事例」として挙げています。
- 安全管理措置の状況を契約時もその後も把握せずに委託し、委託先が漏えいした
- 必要な安全管理措置の内容を委託先に指示せず、委託先が漏えいした
- 再委託の条件を指示せず、取扱状況の確認も怠った結果、再委託先が漏えいした
- 再委託の報告を受ける約束があるのに報告を求めず、知らない再委託が行われて漏えいした
再委託とマイナンバー
ガイドラインは、委託先が再委託しようとする場合、再委託先・業務内容・取扱方法について事前報告を受けるか承認すること、委託先を通じて（必要に応じて自ら）定期的に監査することが望ましいとしています。
マイナンバーを扱う事務（源泉徴収票や社会保険の届出など）の委託は、さらに厳しく、委託元の許諾を得た場合に限り再委託できます（番号法第10条）。委託先の監督も法律上の義務です（同第11条）。給与計算代行を選ぶときは、再委託の有無と許諾の手続を確認します（マイナンバー管理サービスの選び方）。
クラウドサービスは委託か
個人情報保護委員会のQ&A7-53は、クラウドサービスの利用が委託に当たるかは、保存するデータに個人データが含まれるかではなく、クラウドサービス事業者が個人データを取り扱うこととなっているかで判断するとしています。
| 状況 | 扱い |
|---|---|
| 契約で事業者がサーバ上の個人データを取り扱わない旨が定められ、適切にアクセス制御されている | 提供に当たらず委託でもない。委託先の監督義務はないが、自社の安全管理措置として適切に管理する |
| 事業者がデータの入力・分析・運用代行などで個人データを取り扱う | 委託に当たり、監督が必要 |
委託先で漏えいが起きたら
ガイドライン3-5では、委託している場合は、報告対象の事態に当たれば原則として委託元と委託先の双方が個人情報保護委員会への報告義務を負うとされています。連名での報告もできます。委託先は、報告義務を負う委託元に、その時点で把握している事項を通知すれば、報告義務と本人への通知義務を免除されます。委託元への通知は、委託先が事態を知ってから概ね3〜5日以内が目安とされています。
クラウド事業者が個人データを取り扱わない場合は、利用する会社が報告義務を負います（Q&A6-22）。
漏えい時の対応の流れは個人情報の漏えいが起きたときの対応を参照してください。委託契約には、委託先が漏えいを知ったら直ちに委託元に連絡する定めを入れておきます。
委託先管理台帳をつくる
| 項目 | 例 |
|---|---|
| 委託先・業務内容 | ○○社／給与計算 |
| 扱う個人データ | 従業員の氏名・住所・給与・マイナンバー |
| 契約日・更新日 | 契約書管理台帳と連動 |
| 再委託の有無と許諾 | なし／あり（○年○月許諾） |
| 最後に確認した日と方法 | ○年○月 チェックシート |
個人情報管理台帳に委託先の列を設けて管理する方法もあります。
まとめ
- 個人データの取扱いを委託したら、委託先の選定、委託契約の締結、取扱状況の把握の3つの措置で監督する
- 再委託は事前報告・承認の仕組みを契約に入れる。マイナンバーの事務は委託元の許諾がなければ再委託できない
- クラウドは、事業者が個人データを取り扱わない契約・運用なら委託に当たらない
- 委託先での漏えいは原則として委託元・委託先の双方に報告義務がある。委託先からの通知の期限を契約で決めておく
この記事で使えるテンプレート
総務 個人情報 管理台帳 社内で扱う個人データ（従業員名簿、給与データ、応募者情報、顧客名簿など）を一覧にする台帳です。個人情報保護委員会のガイドラインが例示する項目に、保管場所・保存期間・委託先・廃棄方法などを加えています。 総務 個人情報取扱規程（マイナンバー取扱いを含む） 個人情報保護委員会のガイドラインに沿って、利用目的の特定、取得・利用・保管・提供・廃棄の各段階のルール、安全管理措置、委託先の監督、漏えい等の報告、開示等の請求への対応を定め、マイナンバー（特定個人情報）の利用範囲、事務取扱担当者、取扱区域、本人確認、廃棄の章を加えた個人情報取扱規程のひな形です。 総務 契約書管理台帳 取引先との契約書を一覧で管理する台帳です。契約期間・自動更新の有無・解約予告期限・保管場所（紙／電子）・印紙の有無・担当部署を記録し、更新や解約の判断漏れを防ぎます。この記事に出てくる用語
- 安全管理措置
- 個人データの漏えい・滅失・毀損を防ぐために会社が講じる措置です。基本方針の策定、規律の整備、組織的・人的・物理的・技術的な措置などがあり、規模にかかわらずすべての会社に義務づけられています。
- 委託先の監督
- 給与計算や名刺管理、書類の廃棄などで個人データの取扱いを外部に委託するとき、委託元の会社が委託先の安全管理を確認・監督する義務です。
- 源泉徴収票
- 会社が1年間に支払った給与・賞与の額と、源泉徴収した所得税の額などを記載した書類です。従業員に交付するほか、法定調書として税務署に提出します。
- 個人データ
- 検索できるように体系的に整理された個人情報の集まり（個人情報データベース等）を構成する個人情報のことです。社員名簿や顧客台帳、名刺管理ソフトの中の情報などが該当します。
- 第三者提供
- 会社が持つ個人データを、本人と自社以外の者に渡すことです。原則として本人の同意が必要で、提供したときや受け取ったときは記録を作成します。
- 年末調整
- 会社が、1年間に給与から源泉徴収した所得税の合計額と、その年の給与総額にもとづく本来の年税額との過不足を、年末に精算する手続です。
- プライバシーマーク
- 個人情報を適切に取り扱う体制を整えている事業者を、JIPDECなどの審査を経て認定し、マークの使用を認める制度です。取得は任意ですが、取引の条件として求められることがあります。
- マイナンバー
- 住民票を持つすべての人に1人1つ指定される12桁の番号です。会社は社会保障・税・災害対策の法定の手続に限って従業員などのマイナンバーを取り扱えます。
- 溶解処理
- 機密書類を箱ごと専門業者が回収し、製紙工場などで水と薬品で溶かして処理する廃棄方法です。大量の書類を開封せずに復元不可能な形で廃棄できます。