委託先の監督とは

委託先の監督とは、個人データの取扱いを委託する事業者が、委託先でも安全管理措置(個人データを守るために行う対策)が行われるよう確かめることです。個人情報保護法 25 条が委託元に求めています。

委託先の監督とは何を指すか

法 25 条の条文は次のとおりです。「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。」平たく言えば、個人データの扱いを任せた相手がその情報をきちんと守っているか確かめる責任は、任せた側に残る、ということです。

ここでいう委託は、個人情報保護委員会のガイドライン(通則編)3-4-4 ※1 に説明があります。「契約の形態・種類を問わず」他の者に個人データの取扱いを行わせることです。契約の名前が業務委託か請負かではなく、個人データを扱わせるかどうかで決まると読めます。委託先に求める水準は、法 23 条の安全管理措置と同等です。自社が 23 条の水準を超える対策を行っている場合でも、委託先には 23 条の水準で足りると読めます(※2)。

監督として何をするのか

ガイドライン 3-4-4 は、委託する個人データの内容や量に応じたリスクに合わせて、3 点を行うよう求めています。3 点はいずれも行わなければならない措置です。ただし、各項目の中身をどの強さで求めているかは分かれます。

(1) 適切な委託先の選定

別添の各項目が、委託する業務に沿って行われることを、委託前に確かめます。ガイドラインはこれを「あらかじめ確認しなければならない」としています。

(2) 委託契約の締結

双方が同意した安全管理措置の内容と、取扱状況を委託元が把握できることを契約に書きます。ガイドラインはこれを「盛り込むことが望ましい」としています。

(3) 委託先における個人データ取扱状況の把握

定期的な監査などで契約内容の実施の程度を調べ、委託の内容の見直しも含めて評価します。ガイドラインはこれを「適切に評価することが望ましい」としています。

確認の方法について、ガイドラインは、個人データを取り扱う場所に出向くか、それに代わる合理的な方法(無理のない別の方法。口頭による確認を含む)を挙げています(※3)。書面の質問票、訪問、担当者への聞き取りは、どれもこの方法の一つと読めます。委託先が再委託を行う場合の確認は再委託とはで扱っています。

監督を行っていないとされる例

ガイドラインは、監督を行っていない事例を 4 つ挙げています。委託先の安全管理措置の状況を契約時にもその後も把握しなかった場合と、必要な措置の内容を指示しなかった場合です。ほかに、再委託の条件を指示せず確認も怠った場合と、契約に再委託の把握を盛り込みながら報告を求めなかった場合があります。いずれも、その結果として個人データが漏えいした場合です。

アカウントの扱いとどう関係するか

委託先に自社のアカウントを使わせる場合、委託先での個人データの取扱いはそのアカウントを通して行われます。担当者ごとに発行していれば自社の記録から委託先の誰がいつ入ったかが分かり、共有アカウントでは把握を委託先の作業記録に頼ることになります。渡し方の違いは委託先に自社のアカウントを使わせるときの管理にまとめています。委託を受ける側から見た整理は運用代行におけるアカウントの預かりとはにあります。