安全管理措置の構成と、委託先の選定で確認する項目

• 委託先の選定では、委託先の安全管理措置が、法第23条とガイドラインで委託元に求められるものと同等であることを、別添10の各項目について、委託する業務内容に沿って、あらかじめ確認しなければなりません。
• 別添10は、基本方針の策定、個人データの取扱いに係る規律の整備、組織的・人的・物理的・技術的の各安全管理措置、外的環境の把握で構成されています。
• 別添10は、例示の内容の全てを講じなければならないわけではなく、適切な手法は例示に限られない、としています。

条文（法第23条）

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

e-Gov法令検索「個人情報の保護に関する法律」　第23条（安全管理措置）

別添10の構成

ガイドライン別添10「講ずべき安全管理措置の内容」の構成です（頁はガイドライン通則編のもの）。

例示は全てを講じるものではない

必ずしも次に掲げる例示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。

個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）　別添10 冒頭

手法は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさ、事業の規模及び性質、個人データの取扱状況、媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とするものだとされています。

中小規模事業者の定義と、委託先の扱い

別添10は、中小規模事業者向けに、取り扱う個人データの数量や従業者数が一定程度にとどまることを踏まえた手法の例も示しています。この「中小規模事業者」の定義（脚注）は次のとおりです。

「中小規模事業者」とは、従業員の数が100人以下の個人情報取扱事業者をいう。ただし、次に掲げる者を除く。・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者　・委託を受けて個人データを取り扱う者

個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）　別添10 脚注2（要旨）

「委託を受けて個人データを取り扱う者」は、中小規模事業者の定義から除かれています。データ整備などを請け負う事業者は、従業員が100人以下でも、中小規模事業者向けの手法の例示の対象にはならない、という読み方ができます。個別の事業者への当てはめは、このサイトでは行いません。

このページで確認していないこと

• 各項目の「手法の例示」「中小規模事業者における手法の例示」の全文は載せていません。見出しの一覧にとどめています。
• 委託先の安全管理措置が「同等」かどうかの判断方法は、ガイドラインに具体的な基準が書かれているかを含め、読んでいません。

よくある質問