2026年10月26日　株式会社EggAI　セキュリティ研修事業部

個人情報の委託先管理：委託元が確かめる7つのこと

顧客名簿の入力、発送、システムの運用。個人データの扱いを外の会社に任せる場面は多くあります。個人情報保護法は、委託した会社（委託元）に、委託先への「必要かつ適切な監督」を求めています。IPAの「情報セキュリティ10大脅威 2026」（組織）でも、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれました。個人情報保護委員会のガイドライン（通則編）をもとに、総務と情報システムの担当が確かめたい7つのことをまとめました。

1. 委託している業務を一覧にする

   ガイドラインは、契約の形にかかわらず、個人データの入力・編集・分析・出力などを他の者に行わせることを「委託」としています。発送代行、コールセンター、システムの保守、クラウドでの処理など、個人データを渡している先を書き出します。一覧がないと、どこを監督すればよいかが決まりません。

2. 渡すデータを、業務に要るものに絞る

   ガイドラインは、委託する業務に必要のない個人データを提供しないことを当然としています。発送だけなら住所と名前で足り、生年月日や購入の履歴は要りません。渡す項目を減らすことが、委託先で漏れたときの被害を小さくします。

3. 選ぶ前に、委託先の安全管理を確かめる

   委託先を選ぶときは、ガイドラインの別添「講ずべき安全管理措置の内容」の各項目が、業務に沿って確実に行われるかを、あらかじめ確かめなければならないとされています。項目は、基本方針、取扱いの規律、組織的・人的・物理的・技術的な安全管理措置、外的環境の把握です。この項目に沿った質問票を作っておくと、毎回同じ基準で比べられます。

4. 契約に、安全管理と確かめ方を書く

   委託契約には、委託元と委託先の双方が同意した安全管理措置の内容と、委託先での取扱いの状況を委託元が合理的に把握できることを盛り込むことが望ましいとされています。報告を受ける頻度、立入りや書面での確認、契約が終わったときのデータの返却や消去も書いておきます。

5. 契約の後も、定期的に状況を確かめる

   ガイドラインは、定期的な監査などで契約の内容がどこまで守られているかを調べ、委託の内容の見直しも含めて評価することが望ましいとしています。確かめ方の例として、取り扱う場所に赴くことや、口頭での確認を含むこれに代わる方法が挙がっています。契約のときに確かめただけで、その後に状況を把握しないまま委託先が漏えいした場合は、監督を行っていない事例として示されています。

6. 再委託は、事前の報告か承認を条件にする

   委託先がさらに別の会社に任せる場合、委託元は、再委託の相手、業務の内容、データの扱い方について事前に報告を受けるか承認し、定期的な監査などで確かめることが望ましいとされています。再委託の条件を指示せず、知らない再委託先で漏えいした場合も、監督を行っていない事例に挙がっています。監督が足りないまま再委託先が不適切に扱えば、元の委託元の法違反と判断され得るとされています。

7. 委託先で漏れたときの連絡の流れを決める

   委託先で報告が要る漏えい等が起きた場合、原則として委託元と委託先の双方が個人情報保護委員会に報告する義務を負い、連名でも報告できます。委託先が委託元に速やかに知らせれば、委託先の報告の義務は免除され、その目安は知った時点から概ね3〜5日以内とされています。委託元は、遅くとも知らせを受けた時点で事態を知ったことになるので、契約に連絡先と連絡の期限を書いておきます。

委託先の管理は、選ぶとき・契約するとき・契約の後の3つの場面でそれぞれ確かめることが基本です。どれか一つが欠けると、委託先で起きた漏えいが委託元の責任になり得ます。まずは、個人データを渡している委託先の一覧と、それぞれの契約に再委託と漏えい時の連絡の定めがあるかを確かめるところから始めてください。