- 個人データの入力・編集・分析を外注するときは、発注した事業者が、委託先を監督する義務を負います（個人情報保護法第25条）。委託先が再委託して漏えいすると、元の委託元の法違反と判断され得ます。
- 外注の取引が取適法（旧下請法）の対象かは、委託する側と受ける側の資本金・従業員数の組み合わせで決まります。政令は、資本金3億円超の委託事業者について、情報成果物を「プログラム」、役務を「運送・保管・情報処理」に限っています。
- 法人番号・郵便番号・住所のデータは、出典の記載と、加工した場合は加工した旨の記載が条件です。法令・ガイドラインの引用は、原文と一字一句照合しています（「要旨」と書いたものを除く）。
個人データを外注するとき
個人情報保護法 第25条
発注側の義務: 委託先の選定・契約・取扱状況の把握
ガイドライン3-4-4の3つの措置と4つの事例。
再委託
再委託を認めるときの確認事項
事前報告・承認・定期的な監査。元の委託元の責任。
ガイドライン別添10
安全管理措置の構成と、委託先の確認項目
組織的・人的・物理的・技術的・外的環境。
個人情報保護委員会
委託先は預かった個人データを自社のために使えるか
統計化・分析技術の改善・突合・付加して戻す。Q7-37〜42。
個人情報保護委員会
委託に当たる範囲と共同利用の注意
発送・配送の委託。外部事業者への調査。共同利用の通知と更新。
個人情報保護委員会
個人データの受け渡しの記録の作り方
台帳は要るか。伝送ログ・基本契約書を記録にできるか。記録の代行。
個人情報保護委員会
漏えい等報告のQ&A
委託先に報告義務はあるか。クラウド・配送事業者。「知った」時点。
令和8年改正（検討中）
委託先の義務と漏えい等報告の見直し
機械的な取扱いのみの委託先の義務の免除案。速報の免除案。
個人情報保護委員会
委員会のQ&A: 委託先の監督・クラウド・保守
立入検査は義務か。クラウドと保守は委託に当たるか。
施行規則第7条〜第9条
漏えい等の報告: 4つの事態と30日・60日の期限
委託を受けた事業者の、委託元への通知。
個人情報保護法
勧告・命令と罰則
命令違反の罰則、法人への1億円以下の罰金。
取引・契約
取適法
取適法の区分と、委託事業者が守ること
資本金・従業員数の区分、政令、第3条・第5条。
取適法
明示・遅延利息・書類の保存と、違反した場合の罰則
第4条・第6条・第7条・第10条〜第13条、50万円以下の罰金（第14条〜第16条）。
特許庁 IP BASE
アノテーション外注で契約で決める観点
学習用データセットを誰が持つか、元データとの整合、個人データの委託。
経済産業省
契約ガイドライン（データ編）の構成
データのクレンジング・派生データの定義、成果物の権利。
公的データを使うとき
利用条件
公的データの利用条件: 出典と加工した旨の記載
公共データ利用規約、法人番号公表サイト、郵便番号データ。
利用条件
e-Stat・法人番号・国土地理院・気象庁・国土数値情報の利用規約
出典・加工の記載、APIのクレジット表示、測量法・気象業務法などの制約。商用可と非商用。
デジタル庁
住所の表記ゆれが生じる理由とアドレス・ベース・レジストリ
不動産登記法と住居表示法に分かれた制度の構造。
用語は用語の定義で、公式資料の文言のまま確認できます。