個人情報保護法の委託先監督義務とは？外部業者に渡した情報の責任は誰が負うか

「業務を外部の会社に委託しているが、もし情報が漏れたとき、うちが責任を取らされるのだろうか」——そんな不安が頭をよぎったことはないでしょうか。

顧客リストの管理を外部に頼んでいる、給与計算を社労士事務所に委託している、採用データをクラウドサービス上で処理している。こうした外部委託は、今や中小企業でも当たり前のことです。しかし、「委託した以上、あとは相手に任せた」という認識のままでいると、取り返しのつかない事態を招くことがあります。

個人情報保護法は、業務を委託したからといって、委託元の責任が消えるわけではないと定めています。問題が起きたとき、「委託先がやったこと」では済まないのが、この法律の怖いところです。この記事では、委託先の監督義務とは何か、社長として何を確認しておくべきかを、できるだけ具体的に解説します。

「外に頼んだから安心」が一番危ない

外部委託を使う理由はシンプルです。専門家に任せた方が正確で効率がいい、自社でシステムを持つより安い、人手が足りない——そういった現実的な理由から、多くの会社が顧客情報や従業員情報の処理を外部に委託しています。

問題は、委託した瞬間に「責任の所在が曖昧になる」という点です。「相手がプロだから大丈夫」「契約書に秘密保持条項を入れたから問題ない」と思っている社長は多いのですが、それだけでは個人情報保護法の要求を満たしていません。

個人情報保護法第25条は、個人情報を取り扱う業務を委託する場合、委託先に対して「必要かつ適切な監督」を行うことを委託元に義務付けています。つまり、契約書を交わして終わりではなく、委託後も継続して相手の状況を確認し続けることが求められているのです。

「監督」とは具体的にどういうことかというと、個人情報保護委員会のガイドラインは、①適切な委託先の選定、②契約による安全管理措置の担保、③委託先における個人情報取扱状況の把握、という三つの要素を挙げています。言い換えれば、「契約を結ぶ前」「契約を結ぶとき」「委託している間ずっと」、それぞれの段階で対応が必要ということです。

なぜ判断ミスが起きるのか——構造的な理由

実際の顧問先での相談を振り返ると、委託先管理をめぐる判断ミスには共通したパターンがあります。

まず最も多いのが、「最初だけ確認して、あとは放置」というパターンです。業者を選ぶときには複数社を比較したり、セキュリティ体制を確認したりするのですが、契約が始まった後は何もチェックしていない。委託先の担当者が変わっていても気づかない、使っているシステムがアップデートされて運用が変わっても知らない——これが実態です。

次に多いのが、「秘密保持条項を入れたから大丈夫」という思い込みです。確かに秘密保持条項は重要ですが、それは「情報が漏れたときに損害賠償を請求できる根拠」にはなっても、「委託元としての監督義務を果たした証明」にはなりません。法律が求めているのは、情報が漏れないように事前に手を打つことです。

もう一つのパターンが、「再委託を知らなかった」という問題です。委託先が別の業者（再委託先）にさらに情報を渡していることは珍しくありませんが、委託元がそれを把握していないケースがあります。再委託先から情報が漏れた場合でも、委託元の監督義務違反が問われる可能性があります。

問題が起きる前にできること——予防の三つのステップ

委託先管理の問題は、事前の対策でかなりの部分を防ぐことができます。次の三つのステップを順に確認してください。

ステップ1：委託先の選定時に確認すること

委託先を選ぶ段階で、相手の安全管理体制を確認することが出発点です。具体的には、プライバシーマーク（Pマーク）やISO27001などの認証取得状況、社内規程・研修体制の有無、情報漏洩時の対応フローなどを確認します。口頭で確認するだけでなく、書面やウェブサイト上の資料で客観的に確認することが望ましいです。

ステップ2：契約書に盛り込むべき条項

委託契約書には、秘密保持条項に加えて、次の内容を明記することが重要です。

• 取り扱う個人情報の範囲と利用目的の限定
• 再委託の禁止または事前承認の必要性
• 委託元による定期的な監査・報告受領の権利
• 情報漏洩が発生した場合の即時報告義務
• 委託終了後の情報の返還・廃棄義務

「一般的なひな型」をそのまま使っている場合、これらの条項が漏れていることがあります。契約書は一度作ったら終わりではなく、委託内容が変わるたびに見直すことが必要です。

ステップ3：委託中の継続的な確認

委託が始まった後も、定期的に委託先の状況を確認する仕組みを作ることが必要です。年に一度の報告書の受領、定期的なヒアリング、場合によっては現地確認（監査）など、自社の規模や委託内容に応じた方法を選びます。「特に問題が起きていないから確認していない」という状態は、監督義務を果たしていないと見なされるリスクがあります。

問題が起きてしまったときの対応フロー

委託先から情報漏洩が発生したという報告を受けたとき、社長はどう動けばいいのでしょうか。初動の判断が、その後の損害の大小を左右します。

【第一段階：事実確認】まず、何がどこから漏れたのかを正確に把握します。どの情報が、何件分、どのような経路で漏洩したのか。委託先から書面（メールでも可）で報告を受け、口頭だけで済まさないことが重要です。この段階での記録が、後の対応の証拠になります。

【第二段階：法律上の義務の確認】漏洩した情報の種類・件数によっては、個人情報保護委員会への報告と、被害を受けた個人への通知が法律上義務になります（2022年施行の改正個人情報保護法により、一定の要件を満たす場合は報告・通知が義務化されました）。この判断は、早めに弁護士に確認することをお勧めします。

【第三段階：委託先への責任追及の検討】委託先の過失によって漏洩が生じた場合、委託先に対する損害賠償請求を検討します。ただし、契約書に損害賠償に関する条項がないと、請求額や根拠で争いが生じることがあります。また、委託元自身の監督義務違反があると認められれば、被害者からの損害賠償請求を受ける立場にもなり得ます。

証拠の残し方について：委託先とのやり取りはメールや書面で行い、「確認しました」「問題ありません」だけで終わらせず、具体的な確認内容を記録することが大切です。電話での報告を受けた場合は、その後メールで「本日の電話で伺った内容は以下の通りです」と確認メールを送る習慣をつけてください。証拠は、紛争になってから急に作れるものではありません。

失敗事例の構造——なぜ相談が遅れたのか

実際に顧問先からご相談いただいた事案（匿名）では、次のような流れで問題が大きくなっていました。

ある会社では、顧問先の社労士事務所のシステムが外部から不正アクセスを受け、従業員の個人情報が漏洩するという事態が発生しました。会社側は最初、「社労士事務所の問題だから、相手が対応するはずだ」と考え、すぐには動きませんでした。

しかし、従業員への通知が遅れたこと、個人情報保護委員会への報告をいつ・どのような内容でするかの判断に迷ったこと、委託先である社労士事務所への責任追及をどう進めるかが見えなかったこと——これらが重なり、対応が後手後手に回りました。

相談が遅れた理由は「相手（委託先）が対応するはずという思い込み」でした。委託元には独自の法的義務があり、委託先任せにできない部分が存在するということを、漏洩が起きてから初めて理解したというのが実情でした。

また、事前に「漏洩時の報告フロー」を委託先と取り決めていなかったため、「いつ報告を受けるのか」「どの段階で弁護士に連絡するのか」が決まっておらず、初動が遅れました。漏洩後に証拠となるやり取りを整理しようとしても、口頭でのやり取りが多く、記録がほとんど残っていませんでした。

うちの会社ではどう考えればいいのか

「うちは小さい会社だから、そこまでやらなくていいのでは」と思う社長もいるかもしれません。しかし、個人情報保護法は会社の規模に関わらず、個人情報を取り扱うすべての事業者に適用されます。

一方で、全てを完璧にやろうとする必要もありません。自社がどの委託先に、どんな情報を預けているかを「見える化」することが第一歩です。次の質問に答えてみてください。

• 外部に個人情報を預けている委託先を、すべてリストアップできるか？
• その委託先と結んだ契約書に、再委託の扱いや漏洩時の報告義務が書かれているか？
• 委託先の安全管理体制を、最後に確認したのはいつか？
• 情報漏洩が起きたとき、最初に誰に連絡するかが社内で決まっているか？

一つでも「わからない」「たぶん大丈夫」という答えがあるなら、そこが今すぐ手をつけるべきポイントです。

再発防止策——仕組みで防ぐ体制を作る

一度問題が起きた後に「次は気をつけよう」と思うだけでは、再発を防げません。仕組みとして整備することが必要です。

委託先管理台帳の作成：すべての委託先を一覧にし、委託している情報の種類、契約書の有無と内容、直近の確認日、担当者連絡先を記録します。これを年に一度見直すことで、「いつの間にか契約が更新されていなかった」「担当者が変わって連絡先が古くなっていた」といった問題を防げます。

漏洩対応フローの事前整備：「漏洩が発覚したら、まず社内の誰に報告し、次に委託先に何を確認し、いつ弁護士に連絡するか」という初動フローを文書化しておくことで、いざというときに冷静に動けます。このフローは、実際に使われる前に弁護士と一緒に確認しておくことをお勧めします。

定期的な委託先レビューの仕組み化：年に一度、全委託先の状況を確認する「委託先レビュー」をスケジュールに組み込みます。大きな監査でなくても、メールでの確認や書類の提出依頼で十分な場合もあります。

個人情報の委託先管理は、一度体制を整えると後は維持するだけで済む部分が大きいです。最初にきちんと設計しておくことが、長期的なコスト削減にもつながります。

個人情報保護法の委託先管理は、「何かあったら対応する」というスポット対応では、じわじわとリスクが積み上がっていきます。委託先管理規程や社内のインシデント対応フローを整備し、困ったときにすぐ相談できる顧問弁護士という体制があれば、問題の芽を早い段階で摘むことができます。弁護士法人ブライトでは、顧問先 142社 の実名を公開しており、企業法務部の弁護士歴平均14年以上のチームが、委託先管理規程の整備から漏洩インシデント時の初動支援まで、継続的にサポートしています。「みんなの法務部」として、社長の日常的な判断の質を上げる体制を目指しています。

よくある質問

Q1. 委託先が情報を漏らしたのに、なぜうちが責任を取らないといけないのですか？

個人情報保護法は、個人情報を預かっている事業者（委託元）に対して、委託先が安全に情報を管理するよう監督する義務を課しています。委託先に非があったとしても、委託元が十分な監督をしていなかった場合、委託元も義務違反として責任を問われることがあります。また、被害を受けた個人が損害賠償を求める場合、委託元に対して請求されることも珍しくありません。

Q2. 契約書に秘密保持条項を入れれば、監督義務を果たしたことになりますか？

秘密保持条項だけでは不十分です。個人情報保護委員会のガイドラインは、監督義務の内容として「適切な委託先の選定」「契約による安全管理措置の担保」「委託先における取扱状況の継続的な把握」の三つを求めています。契約締結はそのうちの一つに過ぎず、委託後も定期的に状況を確認する仕組みが必要です。

Q3. 委託先がさらに別の業者に情報を渡していた場合、うちの責任になりますか？

委託先が再委託を行っていた場合でも、委託元の監督義務の範囲は原則として再委託先にも及ぶと考えられています。再委託先から漏洩が生じた場合に委託元の責任が問われるケースもあります。委託契約書に「再委託の禁止または事前承認」の条項を設けることが、リスク管理の基本です。

Q4. 小さな会社でも、個人情報保護法の委託先管理義務は同じように適用されますか？

はい、適用されます。個人情報保護法は原則として事業者の規模を問わず適用されます（ただし、取り扱う個人情報の件数が少ない場合など、一部の規定で例外的な扱いがあることもあります）。「小さいから大丈夫」という判断は、法的にはリスクがあります。規模に応じた現実的な管理体制を整えることが重要です。

この記事の監修者

和氣 良浩（わけ よしひろ）

弁護士法人ブライト｜代表弁護士／パートナー弁護士

大阪弁護士会／大阪大学法学部卒

専門：顧問弁護士・企業法務・M&A・経営権紛争・事業再生

個人情報の委託先管理・漏洩インシデント対応・プライバシーポリシーの整備など、個人情報保護法に関する経営上の課題を継続的に相談できる顧問弁護士をお探しの方は、弁護士法人ブライト「みんなの法務部」にお問い合わせください。顧問先 142社 の実名を公開しており、企業法務部の弁護士歴平均14年以上の経験豊かな弁護士が対応します。企業法務窓口：06-4965-9590（平日9:00〜18:00）