- 個人データの取扱いの全部または一部を委託する個人情報取扱事業者は、委託先の安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません（法第25条）。
- ガイドラインは、委託を「契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせること」とし、個人データの入力、編集、分析、出力等の処理を委託することを例に挙げています。
- 監督として、委託先の選定、委託契約の締結、取扱状況の把握の3つの措置が示されています。選定は「あらかじめ確認しなければならない」、契約と把握は「望ましい」という書きぶりです。
条文（法第25条）
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
e-Gov法令検索「個人情報の保護に関する法律」 第25条（委託先の監督）
条文に、事業者の規模による除外は書かれていません。この義務は、個人データを取り扱う業務を外に出す側（発注側）に課されています。
「委託」に当たる範囲
ガイドライン通則編は、「個人データの取扱いの委託」を次のように説明しています（3-4-4、54〜55頁の脚注）。
「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
同じガイドラインは、第三者提供の制限の例外を説明する箇所（法第27条第5項第1号関係、82〜83頁）で、委託の事例に「データの打ち込み等、情報処理を委託するために個人データを提供する場合」を挙げています。データ入力や編集の外注は、この説明に当たり得ます。個別の取引への当てはめは、このサイトでは行いません。
監督で講じる3つの措置
ガイドラインは、必要かつ適切な監督として、次の（1）から（3）までの措置を挙げています。書きぶりが「しなければならない」か「望ましい」かで、求め方が異なります。
| 措置 | ガイドラインの記述（要旨） | 書きぶり |
|---|---|---|
| （1）適切な委託先の選定 | 委託先の安全管理措置が、少なくとも法第23条とガイドラインで委託元に求められるものと同等であることを確認するため、別添10の各項目が、委託する業務内容に沿って確実に実施されることを、あらかじめ確認する。 | 「あらかじめ確認しなければならない」 |
| （2）委託契約の締結 | 委託契約に、個人データの取扱いに関する必要かつ適切な安全管理措置として、委託元・委託先の双方が同意した内容とともに、委託先での取扱状況を委託元が合理的に把握することを盛り込む。 | 「盛り込むことが望ましい」 |
| （3）委託先での取扱状況の把握 | 定期的に監査を行う等により、委託契約に盛り込んだ内容の実施の程度を調査したうえで、委託の内容等の見直しの検討を含め、適切に評価する。 | 「適切に評価することが望ましい」 |
（1）で確認する「別添10」の項目は、安全管理措置の構成で整理しています。
措置の程度はリスクに応じる
その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
確認の方法についても、脚注は「必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる」と述べています。
委託先に求める水準と、委託業務以外の取扱い
委託元に求められる安全管理措置の水準について、ガイドラインの脚注は次のとおりです。
委託元が法第23条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第23条が求める水準の安全管理措置を講じれば足りると解される。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
また、委託に伴って個人データが提供される場合、提供先は法第27条の「第三者」に該当しないとされています（法第27条第5項第1号）。ガイドラインは、その提供先について「委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない」と説明しています。
監督を行っていない事例（ガイドラインの4事例）
ガイドラインは「委託を受けた者に対して必要かつ適切な監督を行っていない事例」を4つ挙げています。要旨は次のとおりです。
- 事例1 個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいした場合。
- 事例2 個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合。
- 事例3 再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、再委託先が個人データを漏えいした場合。
- 事例4 契約の中に、委託元が委託先による再委託の実施状況を把握することが盛り込まれているのに、再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、再委託先が個人データを漏えいした場合。
事例3・4は再委託に関するものです。再委託を認めるときの確認事項で整理しています。
漏えい等が起きたときの報告（法第26条）
条文（第26条第1項）は、個人データの漏えい等で個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときの、個人情報保護委員会への報告を定めています。委託との関係では、次のただし書があります。
ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
e-Gov法令検索「個人情報の保護に関する法律」 第26条第1項ただし書
委託先が漏えい等を起こした場合に、委託先が委託元へ通知したときは、委託先自身の委員会への報告は要らないとされています。報告の対象となる事態の範囲と、通知の方法は、個人情報保護委員会規則で定められており、このサイトでは読んでいません。
このページで確認していないこと
個別の契約・取引が「委託」に当たるか、監督として何をどこまで行えば足りるかは、このサイトでは判断しません。
契約や取扱いの判断が必要なときは、弁護士など個人情報の取扱いに詳しい専門家に相談してください。
- 漏えい等の報告の対象となる事態を定める個人情報保護委員会規則と、法令違反の場合の措置・罰則の条文は読んでいません。
- 個人情報保護委員会の「ガイドライン（通則編）」とは別の資料（Q&Aなど）は読んでいません。
- 委託先が外国にある場合の扱いは確認していません。
よくある質問
データ入力を外注するとき、委託先へ個人データを渡すのに本人の同意は要りますか。
法第27条第5項第1号は、利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託することに伴って個人データが提供される場合、提供を受ける者は第三者に該当しないと定めています。ガイドラインは、この場合は法第27条第1項から第3項までの規定にかかわらず、あらかじめの本人の同意やオプトアウトを行うことなく提供できると説明しています。ただし、法第25条の委託先の監督は別に課されます。
従業員が少ない会社でも、委託先の監督は必要ですか。
法第25条の条文には、事業者の規模による除外は書かれていません。ガイドラインは、監督の措置の程度をリスク（委託する事業の規模・性質、個人データの性質と量など）に応じたものにするとしています。
委託先が再委託した先で漏えいが起きた場合、元の発注側にも責任がありますか。
ガイドラインの脚注は、委託元が委託先について必要かつ適切な監督を行っていない場合に、委託先が再委託をして再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得ると述べています。