再委託とは

再委託とは、委託先が、委託元から受けた業務の全部または一部を、さらに別の会社や個人に任せることです。委託先の社員ではないフリーランスに作業を出す場合も、受けた業務を扱わせるなら再委託に当たります。委託元から見ると、自社のアカウントや個人データが、契約していない相手の手に渡り得る経路になります。

再委託とは何か

個人情報保護委員会のガイドライン(通則編)3-4-4 は、委託をこう説明しています(※1)。「契約の形態・種類を問わず」他の者に個人データの取扱いを行わせることです。再委託はその二段目で、委託先が同じことを別の者に対して行う関係です。再委託先がさらに別の者に出す再々委託以降も、再委託と同じ扱いとされています。

委託元は何を確かめるのか

ガイドライン 3-4-4(3) は、委託先が再委託を行おうとする場合、委託を行う場合と同様に、次のことが望ましいとしています。

1. 再委託する相手方、再委託する業務内容、再委託先での個人データの取扱方法について、委託先から事前に報告を受けるか、承認を行うこと。
2. 委託先が再委託先に対して委託先の監督を果たしていることを、委託先を通じて、または必要に応じて自ら、定期的に監査を行って確かめること。
3. 再委託先が法 23 条に基づく安全管理措置(個人データを守る対策)を行っていることを、同じ方法で確かめること。

求め方は「望ましい」です。ただし ※4 には次の記述があります。委託元が委託先を監督していない状態で再委託先が不適切な取扱いを行ったときは、元の委託元の法違反と判断され得る、というものです。監督を行っていない事例としても、再委託の条件を指示せず確認も怠った場合と、契約に再委託の把握を盛り込みながら報告を求めなかった場合が挙げられています。再委託を知らなかったことは、委託元の責任を軽くする方向には働かないと読めます。委託先の監督の全体は委託先の監督とはにまとめています。

再委託先のアカウントをどう把握するか

自社のアカウントが再委託先に渡る経路は 2 つです。委託先の担当者ごとに発行したアカウントを再委託先の人が使う場合と、委託先に渡した共有アカウントが再委託先にも配られる場合です。どちらも、自社の記録には委託先の担当者か共有アカウントの名前で残り、再委託先の存在は見えません。

把握は、再委託の事前報告に「使うアカウント」を含めることから始めます。再委託先の名前と業務内容に加えて、再委託先の人が自社のどのシステムにどのアカウントで入るかを書いてもらいます。担当者ごとに発行する形なら、再委託先の人にも一人ひとり発行し、委託先の担当者のユーザーを共有させない、と決めておけます。

共有アカウントを渡している場合は、パスワードを知っている人に再委託先が含まれるかを、委託先への確認事項に加えます。定期的な確認では、自社のシステムのユーザー一覧と、報告された担当者の一覧を突き合わせます。報告にない人が入っていれば、再委託・共有・報告漏れのどれかが起きています。渡し方ごとの違いは委託先に自社のアカウントを使わせるときの管理にまとめています。