個人データ委託の法的リスクと契約書チェックポイント

個人情報保護法では、業務委託先へ個人データを提供する発注企業に厳格な監督義務が課されます。本記事では、企業が負う法的責任と、契約書に必須の安全管理措置条項について解説します。

• 個人データを「委託」する企業が知っておくべき法的立場
• 委託が「第三者提供」に該当しないための3つの要件
• 個人情報保護法が求める「委託先の監督義務」の具体的内容
• 契約書に盛り込むべき安全管理措置条項の実務ポイント
• 委託先で情報漏えいが発生した場合、発注企業はどこまで責任を負うか
• 自社で今すぐできる実務対応チェックリスト

個人データを「委託」する企業が知っておくべき法的立場

クラウドサービス、給与計算代行、コールセンター、DM発送代行など、企業活動の多くの場面で顧客や従業員の個人データを外部の業務委託先に取り扱わせる機会があります。この「委託」という行為は、個人情報保護法上、単なる業務の外注として片付けられるものではありません。

個人情報保護法第25条は、個人データの取扱いの全部または一部を委託する場合、委託元である企業に対し、委託先において個人データの安全管理が図られるよう必要かつ適切な監督を行う義務を課しています。つまり、御社が個人データの取扱いを外部に委託した場合であっても、その先で情報漏えい等の事故が発生すれば、委託元である御社自身の監督責任が問われる構造になっているのです。

「委託先に任せているから自社は関係ない」という認識は、法的には通用しません。まずはこの前提を経営層・管理職の間で共有しておくことが、リスク管理の第一歩となります。

実際、個人情報保護委員会が公表する漏えい等報告の集計を見ても、事故の発生元が委託先であるケースは少なくありません。クラウドストレージの設定不備、外部委託先の従業員による不正持ち出し、再委託先での管理不備など、原因は様々ですが、いずれの場合も報告義務や本人対応の第一次的な窓口となるのは委託元企業です。委託先任せの体制のまま事業規模を拡大していくことは、将来的なリスクの先送りに他なりません。

委託が「第三者提供」に該当しないための3つの要件

個人情報保護法上、本人の同意なく第三者に個人データを提供することは原則として禁止されています。しかし、業務委託に伴うデータ提供は、一定の要件を満たせば「第三者提供」に該当せず、本人同意なく行うことが認められています。この整理を誤ると、無許可の第三者提供として法令違反に問われるおそれがあります。

提供先が「第三者」に該当しないための考え方

• 委託の範囲内であること：提供する個人データが、委託した業務の目的達成に必要な範囲に限定されていること
• 委託先が独自の利用目的で使用しないこと：委託先が自社の営業目的など、委託の範囲を超えて個人データを利用していないこと
• 委託元が監督責任を果たしていること：後述する監督義務が適切に履行されていること

特に注意が必要なのは、委託先がさらに別の事業者へ「再委託」を行うケースです。再委託先においても同水準の安全管理措置が確保されているかを、委託元である御社が確認する義務があります。契約書に再委託に関する事前承諾条項を設けていない場合、想定外の事業者に自社の顧客データが渡ってしまうリスクもあるため、早期の見直しをおすすめします。

個人情報保護法が求める「委託先の監督義務」の具体的内容

個人情報保護委員会のガイドラインでは、委託元が果たすべき監督義務の内容として、大きく次の3点が示されています。

1. 適切な委託先の選定

委託先を選定する段階で、当該事業者が個人データについて適切な安全管理措置を講じる体制を有しているかを確認する必要があります。プライバシーマークやISMS認証の有無は一つの参考材料になりますが、それだけで十分と判断せず、実際の運用体制まで確認することが望まれます。

2. 委託契約の締結

委託先における安全管理措置の内容を契約書に明記することが求められます。口頭やメールでの依頼だけで業務委託を開始しているケースも見受けられますが、これは監督義務を果たしていないと評価されるリスクがあります。

3. 委託先における個人データ取扱状況の把握

契約締結後も、委託先が実際にどのように個人データを取り扱っているかを定期的に確認する必要があります。年1回の報告書提出や監査、立入確認の実施などが実務上の対応例として挙げられます。

特に近年は、SaaSツールの導入によって、社内で把握しきれないほど多数の外部サービスに顧客データや従業員データが分散して保存されているケースが増えています。経理システム、採用管理システム、チャットツールなど、部署ごとに個別契約を進めた結果、法務部門が全体像を把握できていないという企業も珍しくありません。まずは自社がどの委託先にどのような個人データを渡しているかを棚卸しすることが、監督義務履行の出発点となります。

契約書の設計や社内体制の整備でお悩みの場合は、企業法務を専門とする弁護士へのご相談も有効な選択肢です。法律事務所LeONEでは、発注者側の実務に即した契約書設計や監督体制の構築についてご提案しています。

契約書に盛り込むべき安全管理措置条項の実務ポイント

委託先管理義務を実際に履行するためには、業務委託契約書の条項設計が最も重要な実務対応となります。個人データの取扱いを伴う委託契約では、少なくとも以下の条項を具体的に盛り込むことが推奨されます。

• 目的外利用の禁止：委託業務の目的以外での個人データの利用・複製・加工を禁止する条項
• 安全管理措置の内容：アクセス制限、暗号化、持ち出し制限など、具体的な技術的・組織的措置の水準を明示する条項
• 再委託の制限：再委託を行う場合の事前承諾義務、および再委託先にも同水準の義務を課すことを求める条項
• 報告・監査への協力義務：委託元が求めた場合の取扱状況の報告義務、監査受入義務
• 漏えい発生時の通知義務：事故発生を認識した場合の委託元への速やかな通知義務と通知期限
• 契約終了時の返還・消去義務：委託業務終了後の個人データの返還または確実な消去を定める条項

既存の業務委託契約書がひな形のまま何年も更新されていない、というケースは決して珍しくありません。特に2022年の改正個人情報保護法施行以降、漏えい等発生時の報告義務が強化されており、契約書の記載が現行法に対応していない場合、いざという時に委託先との責任分担が不明確になるおそれがあります。

委託先で情報漏えいが発生した場合、発注企業はどこまで責任を負うか

実際に委託先で個人データの漏えい事故が発生した場合、発注企業である御社にはどのような対応が求められるのでしょうか。

個人情報保護法上、漏えい等が発生し、個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告義務および本人への通知義務が生じます。この義務を負うのは、原則として個人データの取扱いを委託した委託元企業です。委託先で発生した事故であっても、「委託先の責任だから自社は関与しない」という対応は認められません。

報告義務の対象となるのは、要配慮個人情報の漏えい、不正アクセスによる漏えい、財産的被害が生じるおそれのある漏えいなど一定の重大性を満たす場合ですが、判断に迷うケースも多く、発覚から報告までのスピードも問われます。個人情報保護委員会への速報は事態を把握してから概ね3〜5日以内、確報は30日以内（不正アクセス等の場合は60日以内）とされており、委託先からの連絡が遅れれば御社の対応も後手に回ってしまいます。契約書に定める通知期限を、委託元が報告義務を履行できる十分な余裕を持った日数に設定しておくことが重要です。

さらに、本人から損害賠償請求を受けた場合、委託元企業が委託先の選定・監督について適切な措置を講じていたかどうかが、責任の有無・範囲を判断する重要な要素となります。委託先との契約書に免責条項や求償条項が適切に定められているかによって、事故発生後に御社が負う実質的な負担は大きく変わってきます。

紛争や損害賠償リスクへの備えとして、契約書の見直しは早めに着手しておくことをおすすめします。個別の状況に応じた対応方針については、無料相談のお問い合わせから弁護士にご相談いただけます。

自社で今すぐできる実務対応チェックリスト

個人データの委託に関する社内体制を見直す際は、以下の項目を確認することから始めることをおすすめします。

• 個人データを取り扱う業務委託先を全て洗い出せているか
• 各委託先との契約書に、安全管理措置・再委託制限・通知義務等の条項が明記されているか
• 委託先の取扱状況を定期的に確認する仕組み（報告・監査等）があるか
• 再委託の有無と、再委託先の管理体制を把握できているか
• 漏えい発生時の社内対応フロー（報告ルート、公表判断等）が整備されているか
• 個人データを取り扱う社員・委託先担当者への教育・研修が定期的に実施されているか

これらの項目に一つでも不安がある場合、契約書のひな形自体を専門家の目で見直すことが、将来的な紛争予防につながります。契約書レビューや社内規程の整備については、担当弁護士のご紹介ページから、企業法務を専門とする弁護士の経歴もご確認いただけます。

個人データの委託管理は、一度体制を整えれば終わりではなく、法改正や事業内容の変化に応じて継続的に見直していくべきテーマです。自社のリスクを可視化し、契約書という「守りの仕組み」を整えることが、中長期的な企業防衛につながります。