個人情報の委託先管理｜契約書の必須条項と監督義務を横浜の弁護士が解説

顧客名簿の入力、通販の発送代行、給与計算、SaaSの開発・保守、コールセンター——業務を外部に頼めば、そこには必ずといってよいほど顧客や従業員の個人情報が伴います。「委託先が漏らしたのだから、うちの責任ではない」と考えたくなるところですが、個人情報保護法はそう組み立てられていません。委託した側にも、委託先を監督する義務が課されています。

この記事では、個人情報の取扱いを外部に委託するときに委託元が負う義務と、業務委託契約書に入れておくべき条項を、法務担当者を置いていない中小企業の目線で整理します。再委託やクラウドサービスの扱い、委託先で漏えいが起きた場合の報告義務、そして令和8年（2026年）に公布された改正個人情報保護法の位置づけまで、実務で判断に迷いやすい点を順に見ていきます。

個人情報の「委託」とは何か——第三者提供との違い

個人情報保護法は、個人データを本人の同意なく第三者に提供することを原則として禁じています（法27条1項）。もっとも、利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合、その委託先は「第三者」に当たらないとされています（法27条5項1号）。発送代行業者に住所リストを渡すたびに顧客全員の同意を取り直す必要がないのは、この規定によるものです。

ここで注意したいのが、「委託」と「第三者提供」の線引きです。委託といえるのは、委託元が定めた利用目的の範囲内で、委託元の指示・管理のもとに個人データが取り扱われる場合です。受け取った側が自社の判断でそのデータを使う、たとえば自社のマーケティングや別の顧客への営業に転用するといった場合は、もはや委託ではなく第三者提供として整理され、原則どおり本人の同意が必要になります。契約書の表題が「業務委託契約書」であっても、実態が伴っていなければ委託とは扱われません。

区分	本人の同意	提供先によるデータの利用
委託（法27条5項1号）	不要	委託元の利用目的の範囲内・指示の範囲内に限られる
第三者提供（法27条1項）	原則として必要	提供先が自らの利用目的で利用できる

委託元が負う「委託先の監督」義務（個人情報保護法25条）

同意が不要になる代わりに、委託元には別の義務が課されます。個人情報保護法25条は、個人データの取扱いを委託する場合、委託先において安全管理措置（法23条）が適切に講じられるよう、委託先に対して必要かつ適切な監督をしなければならないと定めています。委託した瞬間に責任から解放されるわけではなく、むしろ「任せた先を見ておく責任」が発生する、という構造です。

個人情報保護委員会のガイドライン（通則編）は、この監督の内容として、大きく次の三つを挙げています。

• 適切な委託先の選定——委託先が、委託元自身が講ずべき安全管理措置と同等の措置を講じているかを確認したうえで選ぶこと
• 委託契約の締結——個人データの取扱いに関する必要な事項を契約に盛り込むこと
• 委託先における個人データの取扱状況の把握——契約で定めた内容が実際に守られているかを、定期的に確認・評価すること

どこまで手厚く行うべきかは一律ではなく、委託する事業の規模と性質、取り扱う個人情報の性質と量など、漏えいが起きたときのリスクに応じて判断すべきものとされています。健康情報や購買履歴を大量に預ける場合と、名刺データの入力を頼む場合とで、同じ深さの監査を求められるわけではありません。

業務委託契約に入れておきたい個人情報保護条項

ガイドラインは契約に盛り込むべき事項を細目まで列挙しているわけではありませんが、実務上、次のような条項が置かれることが一般的です。自社のひな形に不足がないか、チェックリストとしてご確認ください。

条項	定めておく内容
目的外利用の禁止	委託業務の遂行以外の目的で個人データを利用・複製・加工しないこと
安全管理措置	アクセス制限、持出し制限、記録媒体の管理など、講ずべき措置の水準を具体化する
取扱者の限定・従業者の監督	業務に従事する者の範囲を限定し、退職後も及ぶ守秘義務を課すこと
再委託の制限	事前の書面による承諾を要件とし、再委託先にも同等の義務を課させること
報告・監査	取扱状況の定期報告、必要な場合の実地調査・監査に応じる義務
事故時の対応	漏えい等が判明した場合の即時通知、原因調査への協力、公表・本人通知の役割分担
契約終了時の措置	データの返還または消去と、その完了を証する書面の提出
責任・損害賠償	義務違反時の責任の所在、賠償額の上限を置く場合はその範囲

とりわけ交渉になりやすいのが最後の損害賠償条項です。委託先から「賠償額は委託料を上限とする」という条項を提案されることは珍しくありませんが、漏えいが起きたときに本人対応やお詫び対応の費用を負担するのは委託元です。委託料が月数万円の業務で数万件のデータを預けるのであれば、上限額をどう設定するかは慎重に検討すべき論点になります。委託契約全般の作り方については、業務委託契約書の作り方と必ず入れるべき条項もあわせてご覧ください。

再委託・クラウド・海外事業者の注意点

再委託は「承諾制」で管理する

委託先がさらに別の業者へ業務を回すこと自体は、それだけで違法になるものではありません。問題は、委託元がその存在を把握できていない場合です。実務では再委託を一律に禁止するのではなく、事前の書面による承諾を条件とし、再委託先にも委託契約と同等の義務を課させたうえで、再委託先の行為について委託先が責任を負う、という建て付けを採ることが多くあります。承諾のプロセスがあれば、どこに自社のデータが存在しているかを台帳で追えるようになります。

クラウドサービスの位置づけ

クラウドストレージやSaaSを利用する場合、これが「委託」に当たるかはよく問題になります。個人情報保護委員会のQ&Aでは、クラウド事業者が保存された個人データを取り扱わないこととなっている場合には、個人データの提供に当たらないという考え方が示されています。この場合、委託先の監督ではなく、委託元自身の安全管理措置の問題として整理されます。もっとも、実務上やるべきことが減るわけではありません。事業者の信頼性を確認し、公開設定やアクセス権限を適切に管理する責任は、いずれにせよ自社に残ります。

海外に保存される場合

個人データが国外のサーバーに保存される構成では、ガイドラインが安全管理措置の一項目として掲げる「外的環境の把握」——すなわち当該国の個人情報保護制度を把握したうえで必要な措置を講じること——が問題になります。海外拠点への委託やオフショア開発を検討する際は、契約の準拠法とあわせて、早い段階で確認しておきたい点です。

委託先で漏えいが起きたときの報告義務

個人データの漏えい等が生じ、規則で定める報告対象事態（要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある行為による場合、本人の数が1,000人を超える場合）に該当するときは、個人情報保護委員会への報告と本人への通知が義務づけられています（法26条）。

ここで押さえておきたいのは、委託先で起きた漏えいであっても、委託元が報告義務を免れるわけではないという点です。委託に伴い提供した個人データは委託元にとっても「その取り扱う個人データ」に当たるため、委託元も報告義務を負うと解されています。他方、委託先については、漏えい等が生じた旨を委託元へ通知したときは委員会への報告を要しない旨が法26条1項ただし書に定められています。つまり、契約に「事故発生時は直ちに委託元へ通知する」条項を置いておくことは、委託先にとっても意味のある取り決めなのです。

報告は速報と確報の二段階で行い、ガイドラインでは、速報は事態を知った後速やかに、確報は原則として30日以内（不正の目的をもって行われたおそれがある行為による場合は60日以内）に行うものとされています。日数の起算や報告様式には細かい定めがあるため、事故発生時は早い段階で専門家に相談されることをお勧めします。漏えい事故そのものへの対応手順は、サイバー攻撃・情報漏洩が起きた場合の企業の法的責任と対応手順で詳しく解説しています。

令和8年改正個人情報保護法と委託先管理

個人情報保護法は、いわゆる3年ごと見直しに基づく改正法が令和8年7月10日に成立し、同月17日に公布されました。個人情報保護委員会は、円滑な施行に向けて政令・委員会規則・ガイドライン等の整備を進めるとしており、令和8年7月31日には今後の取組とロードマップを決定しています。施行日は今後の政令等により定まるため、現時点では確定していません。

改正には、一定の違反行為を対象とする課徴金制度の導入などが含まれています。委託先の監督義務そのものの条文が大きく書き換わったわけではありませんが、違反に対する実効性確保の手段が強まる方向にあることは確かです。自社で個人データを扱う場面だけでなく、外部に預けている個人データについても、どこに何を預け、どのような契約になっているかを一覧化しておく作業は、今のうちに進めておく価値があります。改正の全体像については、個人情報保護法の改正で中小企業は何をすべきかもご参照ください。

よくある質問

Q. 個人情報の取扱いを外注する場合、本人の同意は必要ですか。

A. 利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合、委託先は個人情報保護法27条5項1号により「第三者」に当たらないため、本人の同意は不要とされています。ただし同意が不要になるだけで、委託元は同法25条に基づく委託先の監督義務を負います。

Q. 口頭の発注や発注書だけで、個人情報の取扱いを委託しても問題ありませんか。

A. 個人情報保護委員会のガイドライン（通則編）は、委託先の監督の一内容として委託契約の締結を挙げ、契約中に個人データの取扱いに関する必要な事項を盛り込むことを求めています。書面が残っていないと、監督義務を果たしたことの説明も、事故時の責任分担の主張も困難になるため、契約書の締結が望まれます。

Q. 委託先が再委託することを禁止すべきでしょうか。

A. 一律の禁止が常に適切とは限りません。実務上は、事前の書面による承諾を条件とし、委託先に対して再委託先へ同等の義務を課させ、再委託先の行為について委託先が責任を負う旨を定める方法が多く用いられています。

Q. クラウドサービスを使う場合も「委託」になりますか。

A. 個人情報保護委員会のQ&Aでは、クラウド事業者が保存された個人データを取り扱わないこととなっている場合、個人データの提供に当たらないという考え方が示されています。この場合でも委託元は自ら安全管理措置を講じる必要があり、事業者の選定や設定の管理は引き続き重要です。

Q. 委託先で漏えいが起きた場合、委託元も報告義務を負いますか。

A. 委託に伴い提供した個人データは委託元にとっても「その取り扱う個人データ」に当たるため、報告対象事態に該当すれば委託元も個人情報保護委員会への報告義務を負うと解されています。なお委託先が委託元へ通知した場合、委託先については報告義務を免れる旨が同法26条1項ただし書に定められています。

まとめ

個人情報の取扱いを外部に委託することは、法律上まったく問題のない、むしろ日常的な行為です。ただし、同意が不要になる代わりに委託元は監督義務を負い、委託先で起きた事故についても報告義務や社会的な説明責任を免れません。要点を整理すると、次のようになります。

• 委託先は「第三者」に当たらないため本人同意は不要だが、実態が委託でなければこの整理は使えない
• 委託元は、選定・契約・取扱状況の把握という三つの側面で委託先を監督する義務を負う（法25条）
• 契約には、目的外利用の禁止、再委託の制限、事故時の通知、終了時のデータ消去などを具体的に定める
• 委託先での漏えいでも、報告対象事態に当たれば委託元にも報告義務が及ぶ

もっとも、既存のひな形をそのまま使い続けている、委託先が今どこまで再委託しているか把握できていない、という企業は少なくありません。弁護士に相談すれば、自社の取引実態に即して契約条項の過不足を洗い出し、委託先から提示された条項のうち受け入れてよいものと交渉すべきものを切り分けることができます。当事務所の企業法務の取扱いについては、企業法務のページで詳しくご案内しています。横浜・関内周辺の事業者様からのご相談も多くお受けしています。

※本記事は一般的な情報提供を目的としたものであり、個別の法的助言ではありません。具体的な事案についてのご判断は、弁護士にご相談ください。