個人情報の委託と安全管理措置、制作会社は「受ける側」として何を問われるか──委託元の監督に応える体制と、覚書で決める10項目

この記事は、個人情報の取扱いを委託される制作会社が求められる安全管理措置と、委託契約・覚書で決めておくことを扱います。

「個人情報の取扱いに関する覚書」を、読まずに押していないか

「取引先から、個人情報の覚書が届きました。いつものように押印して返しておきます」

大きめの取引先ほど、制作の契約とは別に、個人情報の覚書を送ってきます。
中身を読まずに返すと、自社では守れない約束をしてしまうことがあります。

たとえば「委託元の求めに応じて、いつでも立入検査に応じる」「事故の際はすべての損害を賠償する」。
覚書は、事故が起きたときに初めて読み返される書類なのです。

個人情報の委託とは、委託元が自らの責任で個人データの取扱いを外部に任せることであり、受託者はその安全管理を一緒に担う立場に立つ

黒字化の外科医です。個人情報の委託を、受ける側の制作会社の目線で解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

受託者として準備すべき理由は、三つあります。

第一に、委託元には「委託先を監督する義務」があるから。
個人情報保護法第25条は、個人データの取扱いを委託する事業者に、委託先に対する必要かつ適切な監督を求めています。個人情報保護委員会のガイドライン（通則編）は、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握を挙げています。委託元が監督に動くとき、その相手は制作会社です。

第二に、制作会社自身も安全管理措置を求められるから。
個人情報取扱事業者には、法第23条の安全管理措置が求められます。ガイドラインは、その中身として、基本方針の策定、取扱いの規律の整備、組織的・人的・物理的・技術的安全管理措置、外的環境の把握を示しています。

第三に、契約に書くことが望ましいとされているから。
ガイドラインは、委託契約に、委託元・委託先双方が同意した安全管理措置の内容とともに、委託先での取扱状況を委託元が合理的に把握することを盛り込むことが望ましい、としています。再委託についても、事前報告や承認などで確認することが望ましいとされています。

今すぐ試せる：届いた覚書を「守れるか」で読むプロンプト

私はWeb制作会社の経営者です。取引先から届いた個人情報の取扱いに関する覚書を、
受託者として「守れるかどうか」の観点で確認してください。

【覚書の本文】
〔ここに貼る。顧客名など固有の情報は伏せる〕

【当社の体制】
・従業員数と、個人情報に触れる担当者の人数：〔　　〕
・外注先（再委託先）の有無：〔　　〕
・社内の情報管理のルールの有無：〔　　〕
・加入している保険：〔　　〕

1. 条項ごとに「守れる／体制を整えれば守れる／守れない」に分ける。
2. 守れない条項について、修正案の文言を出す。
3. 委託元に確認すべき質問を挙げる。

法的な判断は断定せず、専門家に確認すべき点を明示すること。

委託契約工場：受託者が先に決めておく10項目

覚書・委託契約で決めておく項目

1  取り扱う個人データの範囲（項目・件数の目安・どの画面やファイルか）
2  取扱いの目的（制作・保守・運用のどの業務か）
3  安全管理措置の内容（双方が同意した水準を、具体的に）
4  再委託の可否と手続き（事前報告／承認、再委託先の監督）
5  取扱状況の報告（頻度、方法。立入りの扱いは事前通知と範囲を決める）
6  漏えい等の際の連絡（窓口、連絡の時間、連絡手段）
7  事故時の協力の範囲（調査への協力、費用の分担の考え方）
8  契約終了時の返却・削除（方法、削除の証明の形）
9  損害賠償の範囲と上限（制作契約の条項との整合）
10 従業者への周知と、秘密保持の範囲

6番「漏えい等の際の連絡」の条項例

受託者は、委託業務に関して個人データの漏えい、滅失若しくは毀損
又はそれらのおそれ（以下「漏えい等」）を知ったときは、
直ちに委託者の窓口に電話及び電子メールで連絡し、
その時点で把握している事実を報告する。
受託者は、委託者が行う調査、報告及び本人への通知に必要な範囲で協力する。

施行規則とガイドラインは、委託先が委託元に通知する場合も「速やかに」行い、目安を概ね3〜5日以内としています。契約では、それより早い連絡を約束しておくほうが、委託元の報告の準備に間に合います。

自社の体制の最小セット

□ 個人情報の取扱いの基本方針（1枚でよい）
□ 顧客サイトのID・データを扱える担当者の一覧
□ 退職・異動時のアカウント削除の手順
□ 社用端末のウイルス対策と、画面ロック
□ 外注先との秘密保持契約と、扱える範囲の明示
□ 事故時の社内連絡網と、委託元への連絡先一覧

注意したいのは、ガイドラインの「中小規模事業者」（従業員100人以下）の定義から、委託を受けて個人データを取り扱う者が除かれている点です。
受託者は、中小規模事業者向けの簡易な手法の例に頼れない前提で、体制を整える必要があります。まずこの最小セットから始め、ガイドライン10章の手法の例を見ながら足していってください。

損害賠償の上限は、制作契約の条項とそろえておきます。

▶ Web制作の契約書に、必ず入れておく11の条項──業務範囲、修正回数、検収、著作権と人格権の不行使、損害賠償の上限。なぜ必要かまで

AIツールに預かり物を入れる場面の線引きは、別の記事で扱っています。

▶ AIの情報漏えい対策、制作会社は「預かり物」から線を引く──原稿・顧客名簿・アクセス解析・ログイン情報の4分類と、取引先に説明できる管理の型

構造的なリスク

逆説を指摘しておきます。

覚書の条項を細かく直すほど、取引先の法務部門とのやり取りが増え、案件の開始が遅れます。
すべてを交渉する必要はありません。

守れない条項（無制限の賠償、即時の立入り、実現できない連絡時間）だけを、理由とともに修正提案してください。守れる約束だけに署名することが、受託者の安全管理の第一歩です。

よくあるQ&A

Q. 小さな制作会社でも、安全管理措置は必要か？

必要です。しかも、ガイドラインの「中小規模事業者」の定義からは、委託を受けて個人データを取り扱う者が除かれています。小さな会社でも、受託者である以上、簡易な手法の例に頼らない水準を目指してください。

Q. 外注のコーダーに、個人データの入ったサイトを触らせてよいか？

再委託にあたる場合は、委託元との契約で決めた手続き（事前報告や承認）に従ってください。外注先とも、同じ水準の約束を結びます。

Q. 事故が起きたとき、委託元にどう伝えればいいか？

報告の流れはこちらにまとめています。

▶ 個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

最後に

個人情報の委託は、顧客から「預かる」ことです。

覚書を守れるかどうかで読み、連絡・再委託・削除・賠償を先に決めた制作会社だけが、個人情報を扱う大きな案件を、安心して受け続けられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #個人情報保護法 #安全管理措置 #委託契約 #覚書 #個人情報 #制作会社経営 #中小企業 #契約書 #リスク管理