委託先管理と監査体制：委託契約に盛り込むべき必須条項

1　最初に押さえるべき結論：委託先管理は「選定・契約・継続確認」の3段階

委託先管理で最も多い誤解は、「契約書に秘密保持条項があれば足りる」「ISMSやSOC 2の報告書を受け取れば監督は終わり」という考え方です。法25条が求めるのは、契約締結時だけの確認ではなく、委託内容・データの性質・事故時の影響に応じた継続的な監督です。

2　法的根拠：個人情報保護法25条の「必要かつ適切な監督」

個人情報保護法25条は、個人情報取扱事業者が個人データの取扱いの全部又は一部を委託する場合、委託された個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行うことを求めています。旧稿などで旧22条と説明されている資料がありますが、現在の条番号は25条です。

通則ガイドラインでは、委託元は、法23条に基づき自らが講ずべき安全管理措置と同等の措置が委託先でも講じられるよう監督することが基本とされています。ただし、委託元が法定水準を超える独自の高い安全管理水準を採用している場合に、その全てを委託先へ一律に要求することまでが法律上当然に義務付けられるわけではありません。

つまり、必要な監督水準は「大企業だから一律に厳しく」「年1回だから適切」と決まるものではなく、取り扱う個人データの性質・量、委託業務の内容、アクセス範囲、事故時の権利利益侵害、委託先の事業規模・体制等を踏まえて決めます。

3　委託に伴う提供は通常の第三者提供とは異なる

利用目的の達成に必要な範囲で個人データの取扱いを委託することに伴い個人データを提供する場合、提供先は法27条5項1号により、第三者提供規制との関係では「第三者」に該当しません。このため、適法な委託の範囲であれば、通常の第三者提供のように本人同意を取得することが前提になるわけではありません。

ただし、委託先は、委託された業務の範囲内でのみ個人データを取り扱えます。委託先が自社マーケティング、商品開発その他の独自目的のために個人データを利用するのであれば、単なる「委託」として整理できるかを見直す必要があります。

委託か第三者提供かを確認する4つの視点

4　クラウド・SaaSは「使えば必ず委託」ではない

クラウドサービスでは、保存先に個人データがあるだけで、直ちに法25条の「委託」に該当するわけではありません。PPCのQ&Aは、クラウド事業者において個人データを「取り扱うこととなっているか」を判断基準としています。

したがって、SaaSやIaaSを「クラウドだから委託」と一括処理するのではなく、サポート権限、運用者アクセス、障害対応、バックアップ、機械学習への二次利用等を契約と実装の両面から確認します。

「委託に当たらない」場合でも安全管理措置は残る

ここで重要なのは、クラウド事業者が個人データを取り扱わないため法25条の委託先監督義務が生じない場合でも、利用企業側の安全管理措置までなくなるわけではない点です。PPCのQ&Aも、クラウド利用が「提供」に当たらない場合であっても、利用企業は自らの安全管理措置の一環として適切な措置を講ずる必要があると整理しています。

実務では、契約上の「事業者はデータを取り扱わない」という文言だけで判断せず、管理者権限、サポート担当者の一時アクセス、暗号化鍵の管理主体、バックアップ復元、ログ取得、データ削除、データ所在地・アクセス国などを確認します。特に障害対応やサポートの場面で実データを閲覧できる運用になっていれば、契約上の整理と実態がずれていないかを再確認する必要があります。

5　委託先選定：契約交渉の前に確認すべき事項

PPCガイドラインは、委託先の選定に当たり、委託する業務内容に沿って、法23条およびガイドラインが求める安全管理措置が確実に実施されることを、あらかじめ確認することを求めています。

（1）組織的安全管理措置

（2）人的安全管理措置

（3）物理的・技術的安全管理措置

（4）委託先固有のリスク

全委託先を同じ深さで審査しない

委託先管理を実務として継続させるには、全ての委託先に同じ質問票・同じ監査を課すのではなく、リスク分類を行うことが有効です。例えば、要配慮個人情報や決済情報を大量に扱う、特権アクセスを持つ、国外からアクセスされる、多段階の再委託がある、事業停止時の影響が大きいといった委託は、より深い事前審査と継続確認が必要になります。

反対に、取扱データが限定的で、アクセス権限も狭く、事故時の影響が小さい委託まで毎回現地監査の対象にすると、管理自体が形骸化しやすくなります。委託先管理台帳に「扱うデータ」「アクセス権限」「再委託」「国外処理」「事業影響」などの評価軸を持たせ、審査レベルを決めた理由を残しておくと、契約更新や監査対象の優先順位を説明しやすくなります。

6　委託契約に盛り込むべき必須条項・重要条項

日本法はGDPR28条のように、全ての委託契約へ入れる条項を条文上列挙しているわけではありません。しかし、PPCガイドラインは、委託元・委託先が合意した安全管理措置と、委託先の取扱状況を委託元が合理的に把握できることを契約に盛り込むことを望ましいとしています。実務上は、次の事項を契約又は個人情報取扱特約等で明確化します。

条項は「書いてあるか」ではなく「事故時に使えるか」で確認する

委託契約では、抽象的に「乙は適切な安全管理措置を講ずる」「事故時は速やかに報告する」とだけ定めても、実際の事故対応では足りないことがあります。委託元が必要とするのは、事故の確定後ではなく「おそれ」を認識した段階での一次連絡、ログ・証拠の保全、再委託先を含む調査協力、重要な変更の事前又は早期通知、契約終了時の返還・削除など、具体的に行動へ移せる情報と権限です。

もっとも、大手クラウドや約款型SaaSでは、個別の条文修正が難しいこともあります。その場合は、公開DPA、セキュリティ付属書、SOC報告書、認証、再委託先一覧、データリージョン設定、管理者ログ等を組み合わせ、契約で確保できない部分を利用者側のアクセス制御やデータ最小化で補います。「修正できなかったから確認を終える」のではなく、残存リスクと代替統制を社内承認の記録に残すことが重要です。

7　事故報告条項は「PPCの3～5日」より前に動ける設計にする

委託元がPPCへ速報するためには、委託先から事実が上がってこなければ判断できません。そのため、委託契約上の事故報告期限を、PPCの速報目安と同じ「3～5日以内」に設定するのでは遅すぎることがあります。契約上は、「漏えい等又はそのおそれを認識した場合、直ちに一次連絡」「判明事項を随時更新」など、委託元が法定対応を開始できるよう前倒しします。

事故報告で最低限求めたい情報

・発覚日時、発生又は推定発生期間、発覚経緯

・対象システム、個人データの種類・概数、影響する本人の範囲

・不正アクセス、誤送信、内部不正、マルウェア等の原因

・封じ込め措置、証拠保全、ログの有無

・再委託先・国外拠点の関与

・二次被害の有無・おそれ、今後の調査予定

委託先側で「漏えいに該当する」と確定してから通知する設計ではなく、委託元の法務判断に必要な事実を早期に共有することが重要です。

8　再委託：個人情報保護法と番号法を混同しない

個人情報保護法には、再委託について「必ず委託元の事前承認を得なければならない」という明文規定はありません。しかしPPCガイドラインは、再委託先、再委託業務、取扱方法について事前報告を受け又は承認を行い、委託先を通じて又は必要に応じ自ら監査するなどにより、委託先が再委託先を適切に監督していることを十分に確認することが望ましいとしています。

したがって通常の個人データでは、契約上、①個別事前承認方式、②包括承認＋変更時の事前通知・異議申立方式、③再委託先リストの開示＋重要変更時の承認など、サービスの性質に応じた設計が可能です。

9　監査権は「立入権を広く書く」だけでは機能しない

委託契約に「いつでも立入監査できる」とだけ記載しても、実際のSaaSや大手クラウドでは受け入れられないことがあります。逆に、全委託先へ毎年現地監査を実施することも現実的ではありません。契約交渉では、委託元が必要な監督を果たせるよう、複数の確認手段を段階化して確保します。

監査頻度も一律に「年1回」と決めるのではなく、データの機微性、件数、アクセス権限、過去の不備、再委託構造、変更頻度等に応じて設定します。高リスク委託先は短い周期、低リスク委託先は認証更新時・契約更新時を中心とするなど、リスクベースで設計します。

監査は「指摘して終わり」ではなく是正完了まで管理する

監査で重要なのは、質問票を回収した事実や監査報告書を保管することではなく、発見した不備が是正されたかを追跡できることです。例えば、特権IDの共有、MFA未導入、ログ保存期間の不足、再委託先の未把握などが見つかった場合は、重要度を評価し、是正期限・責任者・代替措置を定め、証跡を確認してクローズします。

重大な不備が是正されない場合には、取り扱わせるデータ項目や件数を減らす、権限を制限する、追加の暗号化・仮名化を行う、新規データ投入を一時停止する、代替ベンダーへの移行を検討するといった段階的な対応も必要です。監査権は、契約違反を指摘するためだけでなく、委託元が法25条の監督を継続して実効的に行うための手段として設計します。

9-1　裁判例：委託先監査は、具体的な情報持出しリスクに即して行う

東京高等裁判所令和7年1月22日判決（令和6年（ネ）第2935号）は、大量の顧客情報を取り扱う事業者の4次委託先従業員が、業務用パソコンにMTP対応スマートフォンを接続して顧客情報を持ち出した事案です。

裁判所は、当時の技術状況や既存のセキュリティ関係資料等から、この方法による不正取得を予見できたと判断しました。その上で、委託先ではセキュリティソフトを導入し、従業員から誓約書を取得し、年1回の情報セキュリティ研修も行われていたものの、WPDに対する接続制御を有効にする措置が取られていなかった点を問題としました。また、委託元も定期的な委託先監査を実施していましたが、セキュリティソフトの設定内容を監査項目としていなかったことから、委託先監査は不十分であったと判断されています。

この判決は、監査を実施したという事実だけで直ちに「必要かつ適切な監督」を尽くしたことになるわけではないことを示しています。もっとも、あらゆる技術設定を常に個別監査しなければならないという一般論を示したものではありません。裁判所も、必要な監督内容は、当時予見可能であった事情を含む、個人データの安全管理に関する個別具体的な事情によって定まるとしています。

実務では、委託先監査の項目を固定化せず、取り扱う情報の量・機微性、アクセス権限、利用端末、外部記憶媒体やデバイスへの書き出し経路、再委託構造、既知の攻撃・持出し手法等に応じて更新することが重要です。質問票、認証、研修実績などの形式確認に加え、重要な技術設定や実際のアクセス経路について、必要に応じて設定資料・ログ・証跡等で確認できる仕組みを用意しておくことが望まれます。

10　約款型SaaSで個別DPAを締結できない場合

PPCのQ&Aは、定型的業務の委託で、サービス事業者が用意した約款等を吟味した結果、その遵守により必要な安全管理が図られると判断できる場合、必ずしも追加の覚書を締結する必要まではないとしています。

したがって「個別DPAを締結できない＝利用不可」ではありません。一方で、約款を読まず、監査資料も確認せず、「大手サービスだから安全」と判断することも適切ではありません。約款・プライバシー条件・セキュリティ資料・再委託先リスト・データ所在地・事故通知条件を一体として確認し、不足があれば代替統制や利用範囲の制限を検討します。

11　海外の委託先・クラウドでは法28条を別途確認する

国内の委託で法27条5項1号の「委託」に該当しても、外国にある第三者へ個人データを提供する場合には、法28条の国外提供規制を別途検討する必要があります。「委託だから本人同意は不要」と国内ルールだけで判断してはいけません。

外国にある委託先が基準適合体制を整備し、相当措置を継続的に講ずるための体制を確保する方法を採る場合には、その相当措置の継続実施を確保するための定期的な確認等が必要になります。契約上も、法制度変更、政府アクセス、再移転、再委託、データ所在地、監査・報告等を確認します。

一般の委託監督と、法28条の「定期的な確認」は分けて考える

一般の国内委託について、個人情報保護法が「年1回監査」を一律に義務付けているわけではありません。他方、外国にある第三者が基準適合体制を整備していることを根拠に法28条の国外提供を行う場合は別です。外国第三者提供ガイドラインは、相当措置の実施状況等の「定期的な確認」について、年1回程度又はそれ以上の頻度で確認するとの具体的な考え方を示しています。

したがって、「一般の委託先監督はリスクベース」という原則と、「法28条3項の相当措置について一定頻度の確認が必要」というルールを混同しないことが重要です。国外委託では、契約締結時だけでなく、提供先の措置の履行状況や、当該外国の制度変更が相当措置に影響しないかまで継続して確認する運用を組み込みます。

外国クラウドで「事業者が取り扱わない」場合

外国に設置されたサーバであっても、クラウド事業者が契約上個人データを取り扱わず、適切なアクセス制御がされている場合には、法28条の「外国にある第三者への提供」に該当しないことがあります。ただし、外国で個人データを取り扱う環境に置くことになるため、自社の安全管理措置として当該外国の制度等を把握する「外的環境の把握」が必要です。

12　GDPRが適用される場合：Article 28のDPA要件を別建てで確認する

EUのGDPRが適用される処理では、日本法とは別に、ControllerがProcessorを利用する際のGDPR28条を確認します。GDPRでは、十分な保証を提供するProcessorのみを利用し、処理を拘束力ある契約その他の法的行為で規律することが求められます。

GDPR28条で特に重要な事項

EUでは、処理者の「十分な保証」は、契約締結時だけでなく、その後も適切な間隔で継続して確認することが求められます。欧州データ保護会議（EDPB）は、この確認を継続的に行う考え方を示しています。また、2024年のEDPB意見でも、管理者が処理者・再処理者の具体的な識別情報を把握できることの重要性が改めて示されています。

13　契約終了・サービス切替時に最も漏れやすい条項

委託契約では入口のセキュリティに目が向きやすい一方、契約終了時のデータ残存が見落とされます。退職者データや顧客情報が、旧ベンダーの本番環境・バックアップ・ログ・サポート環境に長期間残ると、利用目的との関係でもセキュリティ面でもリスクが増えます。

終了時に確認する事項

14　責任制限条項と個人情報条項は別々に読まない

大手SaaSやIT委託契約では、一般の責任制限条項により、賠償額が数か月分の利用料等に制限されることがあります。個人情報漏えい時には、フォレンジック、本人通知、コールセンター、信用対応、第三者請求など、通常のサービス障害より費用が大きくなる可能性があります。

そのため、個人情報・機密情報・故意重過失・セキュリティ義務違反を一般上限の例外にするか、別上限を設定するか、サイバー保険を求めるか等を、委託先の交渉力とリスクに応じて検討します。ただし、上限を高く設定すれば安全管理義務を果たしたことになるわけではなく、監督体制そのものが中心です。

15　委託先管理の実務フロー

委託先管理台帳と「変更時レビュー」を連動させる

委託先管理は、契約締結時と年次監査だけで完結しません。実務では、委託先名、サービス名、委託業務、個人データの種類・件数、要配慮情報・個人番号の有無、再委託先、保存国・アクセス国、契約・DPA、監査資料、責任部門、次回確認時期などを台帳化し、法務・情報システム・セキュリティ部門が同じ情報を参照できる状態にしておくことが有効です。

特に見落としやすいのが「変更時レビュー」です。再委託先の追加、データセンター又はサポート拠点の変更、サービス仕様の大幅変更、取り扱うデータ項目の追加、権限拡大、認証失効、重大インシデント、企業買収・事業譲渡などがあれば、次回の定期監査を待たずにリスク評価をやり直します。委託先からの変更通知を契約上確保し、その通知を台帳・契約審査・セキュリティ審査へ接続することが、継続監督を形骸化させないポイントです。

16　委託先管理チェックリスト

17　よくある質問

18　まとめ

委託先管理は、契約書に秘密保持条項を追加するだけの作業ではありません。委託するデータと処理を把握し、リスクに応じて適切な委託先を選び、安全管理・再委託・事故報告・監査・国外処理・返還削除等を契約で具体化し、その内容が実際に履行されているかを継続して確認することが必要です。

特にクラウド・SaaSでは、「委託に当たるか」「事業者がデータを取り扱うか」「国外からアクセスされるか」「再委託先がどこにいるか」を分けて整理しなければなりません。委託先管理台帳と契約審査、セキュリティ審査、定期監査を連動させることで、法務部門と情報システム・セキュリティ部門が同じリスク情報を共有できる体制を作ることが重要です。

19　主要な裁判例・一次資料・公式情報

• 【裁判例】東京高等裁判所令和7年1月22日判決（令和6年（ネ）第2935号）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A
• 個人情報保護委員会 Q&A Q7-53・Q7-54（クラウドサービスと「提供」・委託先監督）
• 個人情報保護委員会 Q&A Q5-8（委託契約の合意内容の明確化）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」
• European Commission「Application of the GDPR」
• European Data Protection Board「Guidelines 07/2020 on the concepts of controller and processor in the GDPR」
• European Data Protection Board「Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s)」