このページの要点
- 委託に伴う提供は、利用目的の達成に必要な範囲内であれば第三者提供に当たらない（個人情報保護法27条5項1号）。ただし委託先の監督の義務は残る（25条）。
- 契約書には、取扱いの範囲、安全管理措置、従業者の管理、再委託、事故の連絡、返却と消去を書く。「遵守する」の一文では足りない。
- 漏えい等の報告は26条で規則が定める事態が対象。委託先から委託元に速やかに連絡が届く仕組みを、契約書に置く。
- 個人番号は番号法の規律（再委託は委託者の許諾が必要、10条1項）。預けない設計も選べる。国外居住の受け手は保存場所と28条の当てはめを確かめる。
結論：委託は「第三者提供」ではないが、監督の責任は任せる側に残る
事務代行やオンライン秘書、経理の補助に任せる仕事には、顧客の名簿、問い合わせの履歴、取引先の担当者の連絡先、従業員の情報などが、多くの場合含まれます。これらは個人情報保護法で保護される個人に関する情報であり、データベースの形で管理されている場合は「個人データ」として、安全管理などの義務の対象になります。
契約書では、この点が「受託者は個人情報保護法を遵守する」の一文で済まされていることが少なくありません。しかし、この一文は、誰が何をするのかを決めていません。委託した側は、委託先に対して、個人データの安全管理が図られるよう「必要かつ適切な監督」を行う義務を負います（個人情報保護法25条）。受ける側は、自分が取り扱う個人データについて、安全管理措置を講じ、自分の従業者を監督する義務を負います（同法23条・24条）。双方の義務を、契約書の項目に落とし込むのが、このページの主題です。
- 個人データの取扱いを委託することは、利用目的の達成に必要な範囲内であれば、本人の同意なしにできる。委託先は「第三者」に当たらないものとされている（個人情報保護法27条5項1号）。
- ただし、委託しても、委託した側の監督の義務はなくならない（同法25条）。委託先を選ぶこと、契約で取扱いの条件を決めること、取扱いの状況を把握することが、実務上の三つの柱になる。
- 契約書には、取り扱う個人データの範囲、利用の目的、安全管理措置、従業者や再委託先の管理、漏えいがあったときの連絡、返却と消去を、項目として書く。
- 漏えい等が起きたときの報告（同法26条）は、規則で定める事態が対象になる。委託先から委託元に速やかに連絡が届く仕組みがないと、報告の判断ができない。
- 個人番号（マイナンバー）を預けるかどうかは、別の法律（番号法）の規律があり、再委託は委託者の許諾が必要（番号法10条1項）。預けない設計も選べる。
- 遠隔で働く受ける側、国外に居住する受ける側との契約では、保存場所と越境の扱いを個別に確かめる。
なお、このページは契約書の項目の整理が目的です。労務や税務の判断そのもの、個別の事案がどの区分に当たるかの判断は扱いません。細目が個人情報保護委員会のガイドラインに委ねられている部分は、その旨を付記しています。
預ける情報を分ける：顧客・従業員・個人番号・要配慮個人情報
「個人情報」とひとまとめにしても、預ける情報の種類で、必要な配慮が違います。契約の最初に、預ける情報を種類ごとに分けて、取り扱う範囲を決めておきます。
預ける情報の種類と、契約書で決めておくこと
| 情報の種類 | 例 | 契約書で決めておくこと |
|---|---|---|
| 顧客・取引先の情報 | 氏名、住所、電話番号、メールアドレス、問い合わせの履歴、請求先 | 取り扱ってよい項目、利用の目的（業務の範囲に限る）、保存場所 |
| 従業員・応募者の情報 | 氏名、連絡先、経歴、勤怠のデータ | 取り扱ってよい項目と、取り扱わせない項目。判断を要する労務の領域に踏み込まない |
| 要配慮個人情報 | 病歴、犯罪の経歴など、法2条3項に定める記述等を含む情報 | 原則として預けない設計を検討する。預けるなら、取得の同意（20条2項）を含め、別の確認が必要 |
| 個人番号（マイナンバー） | 個人番号を記載した書類・データ | 預けるかどうかの判断。預けるなら番号法の定める再委託の許諾と監督を契約に書く |
| 個人識別符号・生体情報など | 身体の特徴を変換した符号など（法2条2項） | 業務に必要なければ預けない。必要なら別の取扱基準を置く |
この表のとおり、契約の最初の段階で「そもそも預けない情報」を決めておくのが、もっとも効果的な対策です。業務に必要のない情報を預けなければ、漏えいしたときの影響も、監督の負担も小さくなります。特に、個人番号や要配慮個人情報は、預ける必要が本当にあるのかを先に考えます。事務代行の範囲に、これらを扱う作業を含めないと決めるのも、一つの設計です。業務の範囲の決め方は、業務範囲の線引きのページで説明しています。
従業員や応募者の情報の扱いについては、注意が必要です。事務の補助として、名簿の整理や連絡先の管理をする程度であれば、顧客の情報と同じ枠組みで契約書に書けます。他方で、資格取得届や算定基礎届などの届出書の作成・提出の代行、賃金台帳などの帳簿書類の作成は、判断を伴うかどうかにかかわらず、社会保険労務士でなければ業として行えません（社会保険労務士法27条）。範囲外の業務として切り分けます。範囲外の作業をどう切り分けるかは、範囲外の業務の書き方のページで説明します。
27条5項1号と25条：委託に伴う提供と、委託先の監督
個人データを他の事業者に渡すとき、原則として、あらかじめ本人の同意が必要です（個人情報保護法27条1項）。しかし、27条5項1号は、個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託することに伴って、個人データが提供される場合の提供を受ける者は、第三者に該当しない、と定めています。この規定があるため、事務を委託するために顧客名簿を渡す場合、本人の同意を新たに取る必要はありません。
委託に関する個人情報保護法の主な条文
27条5項1号
利用目的の達成に必要な範囲内で、個人データの取扱いの全部または一部を委託することに伴い個人データが提供される場合の提供を受ける者は、第三者に該当しない。
25条
個人データの取扱いの全部または一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
23条
取り扱う個人データの漏えい、滅失または毀損の防止その他の個人データの安全管理のために、必要かつ適切な措置を講じなければならない。
24条
従業者に個人データを取り扱わせるに当たっては、安全管理が図られるよう、従業者に対する必要かつ適切な監督を行わなければならない。
26条1項・2項
個人データの漏えい等で個人の権利利益を害するおそれが大きいものとして、個人情報保護委員会規則で定める事態が生じたときは、規則で定めるところにより、委員会に報告し、本人に通知しなければならない。
22条
利用目的の達成に必要な範囲内で、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、遅滞なく消去するよう努めなければならない。
条文は e-Gov 法令検索で確認しています。26条の「規則で定める事態」の細目は、個人情報保護委員会の規則・ガイドラインの原文で確認が必要です。
ここで重要なのは、27条5項1号の適用に、二つの条件があることです。第一に、委託の範囲が「利用目的の達成に必要な範囲内」であること。第二に、受託者が、受け取った個人データを、委託された業務のためにだけ使うことです。受託者が、渡された名簿を自分の営業や、別の取引先のために使えば、委託の範囲を超え、第三者提供の問題が生じ得ます。契約書には、受託者が委託された業務の目的以外の目的で個人データを利用してはならないことを、はっきり書きます。
25条の「必要かつ適切な監督」の中身は、条文には書かれていません。個人情報保護委員会のガイドライン（通則編）に、委託先の監督についての考え方が示されています。具体的な細目、たとえば、委託先を選ぶときに何を確かめるか、契約にどの項目を入れるか、取扱状況をどう把握するかは、原文で確認する必要があります。ここでは、契約書の項目として実務上整理しやすい形を、次のとおり示します。
委託先の監督を、契約の流れに置き直す
- 1 選ぶ（契約の前）委託先が、個人データを安全に管理できる体制（保管場所、端末、従業者の管理、再委託の有無）を持っているかを、質問や確認書で確かめる。
- 2 決める（契約の締結）取り扱う項目、利用の目的、安全管理措置、再委託、漏えい時の連絡、返却と消去、監査や報告の協力を、契約書に書く。
- 3 把握する（契約の期間中）定期の報告、取扱状況の確認、変更があったときの通知を受け、必要に応じて改善を求める。
- 4 終える（契約の終了）返却、消去、完了の報告を受け、残っているデータがないかを確認する。
この四つの段階が、契約書の条項とつながっていないと、監督の実態を示せません。
契約書に落とす項目：安全管理措置・従業者の管理・再委託・持ち出し
委託の契約書に置く項目を、順に見ていきます。覚書の形で、基本契約とは別に作ることも、基本契約の一部として置くこともあります。
個人データの委託契約に置く項目
取扱いの範囲
取り扱う個人データの種類、項目、件数の目安、利用の目的（業務の範囲に限る）。
置き場所業務の範囲の条項、または別紙の一覧
安全管理措置
アクセスの制限、端末や保存場所の条件、認証、暗号化、持ち出しの制限。
置き場所別紙の「安全管理の基準」。アカウントの預け方と対応させる
従業者の管理
個人データに触れる人を限定し、守秘の義務と教育を課す。
置き場所従業者に関する条項、担当者の一覧
再委託
再委託の可否と条件、再委託先にも同じ義務を課すこと、責任の所在。
置き場所再委託の条項（チーム化の考え方は別のページ）
事故の連絡
漏えい等が起きたとき、またはそのおそれを知ったときの連絡の期限と方法、協力の内容。
置き場所事故対応の条項
返却・消去
終了時の返却と消去、完了の報告、保存を続ける例外。
置き場所終了時の処理の条項
各項目は、契約書の一つの条に詰め込むより、本文には原則を、細目は別紙に置くほうが、運用の変更に対応しやすくなります。
安全管理措置の項目を契約に書くとき、実務で効果が大きいのは、「何をしなければならないか」より、「何をしてはならないか」を書くことです。たとえば、私用の機器や個人のクラウドに保存しない、業務で使う端末の画面を他人に見せない、個人データを含むファイルを私用のメールで送らない、といった禁止事項です。これらは、受ける側にとって分かりやすく、任せる側にとっても確認しやすい約束になります。アカウントの権限や作業環境の具体はアカウントの預け方のページ、書類やデータの受渡し・保管・返却は資料の預かりのページで説明しています。
条文例第○条（個人データの取扱い）
- 甲が乙に取り扱わせる個人データの種類、項目及び利用の目的は、別紙に定めるとおりとし、乙は、本業務の遂行の目的以外の目的で、個人データを利用してはならない。
- 乙は、個人データの漏えい、滅失及び毀損の防止その他の安全管理のため、別紙に定める基準に従った措置を講じる。
- 乙は、個人データを取り扱う者を、本業務に必要な者に限り、その者に対し、個人データの秘密を守る義務を課し、必要な教育を行う。
- 乙は、甲の事前の書面による承諾なく、個人データの取扱いを第三者に再委託してはならない。甲が再委託を承諾するときは、乙は、再委託先に対し、本条と同等の義務を課し、再委託先の行為について、甲に対し責任を負う。
- 乙は、個人データの漏えい、滅失若しくは毀損又はそのおそれを知ったときは、直ちに甲に連絡し、甲の指示に従って、被害の拡大の防止、原因の調査及び再発防止に協力する。
- 乙は、本契約が終了したとき、又は甲が求めたときは、個人データを甲に返却し、又は消去し、その旨を書面で甲に報告する。ただし、法令により保存が義務づけられているものは、この限りでない。
条文は、書き方の例（一般的な例）です。数値（日数・件数）は「一定の日数」として、契約ごとに決めます。
書き方の例（一般的な例） 「個人情報保護法を遵守する」の書き方の整え方
遵守条項
理由法令の遵守は当然の前提。契約書では、具体的な措置と報告の方法を書かないと、監督の実態を示せない。
従業者
理由「適切に」は基準にならない。誰が触れるかを把握できる形にする。
再委託
理由通知だけでは、委託元は事後に知るだけで、再委託先の監督ができない。
漏えい等が起きたとき：報告・通知と、委託先からの連絡
個人情報保護法26条は、個人データの漏えい、滅失、毀損その他の安全の確保に係る事態で、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、規則で定めるところにより、委員会に報告しなければならない、と定めています。また、本人にも通知が必要です（同条2項。本人への通知が困難なときは、代わる措置をとる場合の例外があります）。
委託の場面で注意したいのは、同条1項のただし書です。個人データの取扱いの委託を受けた事業者が、規則で定めるところにより、委託元に事態が生じたことを通知したときは、委員会への報告は免れる、と定めています（条文の趣旨）。つまり、委託先が報告をするのではなく、委託元に通知をすることで足りる場面があり、その後の報告と本人への通知は、委託元が行うことになります。
この仕組みの帰結は、実務上、はっきりしています。委託先が、事故を知っても委託元にすぐ連絡しなければ、委託元は、報告や本人への通知を適切な時期にできません。契約書では、委託先が、漏えいやそのおそれを知ったとき、直ちに委託元に連絡する義務を書き、連絡先と方法を決めます。報告の対象となる事態の範囲や、期限の細目は、規則とガイドラインの原文で確認が必要です。
確認の問いと理由事故が起きたときの連絡について、契約前に確かめたい問い
委託先は、事故（またはそのおそれ）に気づいたら、いつまでに、誰に、どの方法で連絡するのか。
連絡の遅れは、委託元の報告・通知の遅れに直結する。「直ちに」と書き、連絡先を平日の営業時間外にも使える形にしておく。
連絡する内容は何か。
分かっている範囲の事実（何が、いつ、どれだけ、どのように）を、不明な部分は不明のまま連絡させる。確認が済むまで連絡を待つと遅れる。
調査や再発防止の協力の義務を、書いているか。
委託元が調査や報告をするには、委託先の記録とログの提供が要る。協力の義務がないと、調査が止まる。
事故の費用（調査、通知、問い合わせ窓口など）は誰が負担するのか。
責任の分担の考え方は、ミスの責任のページで整理している。事故の原因の所在で、分担を段階に分ける。
費用と責任の分担、賠償額の上限の考え方は、事故の類型と合わせてミスと責任のページで説明します。個人データの漏えいは、責任の上限条項の例外として扱うことが多い論点でもあります。
個人番号を預かるか：番号法の三つの条文と、「預けない」という選択
個人番号（いわゆるマイナンバー）を取り扱う事務は、個人情報保護法とは別の、番号法（行政手続における特定の個人を識別するための番号の利用等に関する法律）の規律に服します。事務代行や経理の補助の中には、個人番号が記載された書類を扱う作業が含まれる場合があり、その委託をどうするかは、契約の初めに決めておくべき論点です。
個人番号の委託に関する番号法の条文
番号法10条1項
個人番号利用事務等の全部または一部の委託を受けた者は、委託をした者の許諾を得た場合に限り、その全部または一部の再委託をすることができる。
番号法11条
個人番号利用事務等の全部または一部の委託をする者は、取り扱う特定個人情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
番号法12条
個人番号利用事務実施者及び個人番号関係事務実施者は、個人番号の漏えい、滅失または毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならない。
条文は e-Gov 法令検索で確認しています。どの事務が「個人番号関係事務」に当たるか、個人番号を取り扱える範囲の判断は、条文と所管官庁の資料で確認が必要です。
この三つの条文から、契約書の項目として読み取れるのは、次の点です。まず、再委託は、委託をした者の許諾を得た場合に限られます（10条1項）。個人情報保護法の再委託の整理よりも、番号法のほうが、許諾の要件がはっきり書かれているということです。次に、委託をする者には、委託先を監督する義務があります（11条）。そして、個人番号を取り扱う者には、漏えい等を防ぐ措置を講じる義務があります（12条）。
契約書の設計としては、二つの選択肢があります。一つは、個人番号を取り扱う作業を、事務代行の範囲に含めない選択肢です。その場合は、範囲の条項に、個人番号を含む書類の受領や保管を行わないこと、誤って受け取った場合の扱い（受け取らない、直ちに連絡する、返却や廃棄の手順）を書きます。もう一つは、個人番号の取扱いを委託する選択肢です。その場合は、取り扱う作業と、保管の場所、アクセスできる人、再委託の禁止または許諾の手続、消去の時期を、他の個人データより厳しい基準で書く必要があります。どちらを選ぶかは、業務の実態とリスクの大きさで決めるものであり、個人番号を預けない設計が選べるなら、その方が管理の負担は軽くなります。
遠隔・国外で働く受ける側との契約：保存場所と越境の扱い
オンライン秘書や事務代行では、受ける側が自宅や遠隔地、場合によっては国外に居住して働くことがあります。この場合、個人データの保存場所や、データが国境を越えて移動するかどうかが、論点になります。
個人情報保護法28条は、外国にある第三者に個人データを提供する場合について、原則としてあらかじめ外国にある第三者への提供を認める旨の本人の同意を得ること、または、一定の基準に適合する体制を整備している者への提供であって、必要な措置を講じることなどを、定めています。27条5項は「前各項」の規定の適用についての規定であり、28条の適用が当然に除かれるものではないため、委託先が外国にある場合の当てはめは、条文とガイドラインの原文で確認が必要です。
契約書としては、まず、受ける側の居住地と、個人データを保存・処理する場所を、確かめて、書面に記録します。次に、保存する場所を、任せる側が指定したサービスや機器に限る、受ける側の居住地を変更するときは事前に通知する、といった条件を置きます。個人データを含まない業務に限って国外から受ける、という設計も、選択肢の一つです。個別の国や地域の制度、就労に関する資格や、準拠法・管轄の取扱いは、契約の本文に具体を書かず、確認が必要な事項として整理するのが安全です。
- 受ける側の居住地と、個人データの保存・処理の場所を確認し、書面に記録する。
- 保存先を、任せる側が指定するサービスや機器に限る。私用の機器・個人のクラウドへの保存を禁じる。
- 居住地や保存場所を変えるときは、事前に通知させる。
- 外国にある第三者への提供に当たるかどうかを、28条とガイドラインの原文で確かめる。
- 準拠法・管轄は、契約書の最後の条項として別途整理する。
不要になったデータの消去：22条と、終了時の処理
個人情報保護法22条は、利用する必要がなくなった個人データを、遅滞なく消去するよう努めなければならない、と定めています。委託の終了は、まさに「利用する必要がなくなった」場面です。委託先が個人データを持ち続ければ、漏えいの危険が続きます。契約書に、終了時の返却と消去、完了の報告を書くのは、この点の実務上の対応です。
消去の対象は、委託先の端末、クラウド、バックアップ、メールやチャットの添付、印刷した紙など、個人データが保存された全ての場所です。消去の方法と報告の内容は、資料の預かりのページで述べた考え方（対象・実施日・方法を報告する）と同じです。法令で保存が義務づけられている資料がある場合は、その範囲で残し、残した資料も契約の管理の対象とします。終了時の全体の流れは、契約の終わり方と引継ぎのページにまとめています。
個人データの委託で、起きがちなこと
- 契約書に「個人情報保護法を遵守する」とだけ書かれ、安全管理の基準も、事故の連絡の期限も決まっていない。
- 受ける側が、個人データを含むファイルを私用のメールやクラウドで扱っていた。
- 受ける側が、別の人に作業を回していたが、再委託の承諾の手続が決まっていなかった。
- 漏えいのおそれに気づいてから、任せる側に連絡が届くまでに時間がかかり、報告の判断が遅れた。
- 個人番号が記載された書類が、範囲外のはずの作業の中で、気づかないうちに預けられていた。
- 契約が終わった後も、受ける側の端末やチャットの履歴に、顧客の情報が残っていた。
個人データの委託の確認表
個人データを預ける前・預かる前の確認
- 預ける情報を、顧客・従業員・個人番号・要配慮個人情報などの種類に分け、預けないものを決めたか。
- 取り扱う項目、利用の目的（業務の範囲に限る）を、書面に定めたか。
- 委託先を選ぶときに、保管場所、端末、従業者の管理、再委託の有無を確かめたか。
- 安全管理措置、従業者の管理、再委託、事故の連絡、返却と消去を、契約書または別紙に書いたか。
- 事故（またはそのおそれ）に気づいたときの連絡の期限と連絡先が、時間外にも使える形になっているか。
- 個人番号を預けるかどうかを決め、預けないなら、誤って受け取った場合の手順を書いたか。
- 受ける側の居住地と保存場所を確認し、保存先を限定したか。
- 終了時の返却・消去・完了報告の手順があるか。
よくあるご質問
個人データを事務代行に渡すとき、本人の同意が必要ですか。
利用目的の達成に必要な範囲内で、個人データの取扱いを委託する場合は、委託に伴う提供を受ける者は第三者に当たらないとされています（個人情報保護法27条5項1号）。そのため、委託の範囲内であれば、本人の同意は不要です。ただし、委託先を監督する義務（同法25条）は残ります。
「委託先の監督」は、具体的に何をすればよいですか。
条文は「必要かつ適切な監督」と定めるのみで、細目は個人情報保護委員会のガイドライン（通則編）に示されています。実務上は、委託先を選ぶ、契約で取扱いの条件を決める、取扱いの状況を把握する、終了時に返却と消去を確認する、という流れで整理します。細目は原文での確認が必要です。
受ける側が情報を漏らしてしまったとき、報告は誰が行うのですか。
個人情報保護法26条は、規則で定める事態が生じたとき、委員会への報告と本人への通知を求めています。委託先が規則に定めるところに従って委託元に通知した場合は、委託先の委員会への報告は免れるとされています（条文の趣旨）。委託先から委託元への連絡が遅れないよう、契約書に連絡の義務と期限を書きます。
個人番号が記載された書類を、事務代行に預けてもよいですか。
個人番号の取扱いの委託は、番号法の規律に服します。再委託は委託者の許諾が必要で（10条1項）、委託者は委託先を監督する義務があります（11条）。個人番号を取り扱う作業を事務代行の範囲に含めない設計も選べます。その場合は、誤って受け取った場合の手順を契約書に書いておきます。
受ける側が国外に住んでいる場合、何を確かめればよいですか。
受ける側の居住地と、個人データの保存・処理の場所を確かめ、書面に記録します。外国にある第三者への個人データの提供には、個人情報保護法28条の規律があり、委託先が外国にある場合の当てはめは、条文とガイドラインの原文で確認が必要です。保存先を指定したサービスに限る運用も有効です。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の取引への当てはめは、業務の内容や預けるものの種類、当事者の事業の形によって異なることがあります。書き方の例として紹介している内容は、一般に見られる書き方を整理した例で、特定の事業者や案件を示すものではありません。条文は e-Gov法令検索で確認しています。参考: e-Gov法令検索 / 個人情報保護委員会 / 公正取引委員会 / 厚生労働省
