- 委託先が再委託をしようとする場合、ガイドラインは、委託元が、再委託する相手方・再委託する業務内容・再委託先の個人データの取扱方法等について、委託先から事前報告を受けまたは承認を行うこと、定期的に監査を実施すること等を、十分に確認することが望ましいとしています。
- 委託元が必要かつ適切な監督を行っていない場合に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得ると明記されています。
- 再委託を禁止するとは書かれていません。再委託の条件の指示と、再委託の実施状況の把握が求められています。
ガイドラインの記述（3-4-4（3））
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第23条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
再委託先の不適切な取扱いと、元の委託元の責任
委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正） 3-4-4 脚注
確認する項目の整理（ガイドラインの文言から）
上の記述を、発注側が再委託について確認する項目に並べ直したものです。項目の根拠は、右の列のガイドラインの文言です。
| 確認する項目 | ガイドラインの文言 |
|---|---|
| 再委託をするのか、する場合の相手方はどこか | 「委託先が再委託する相手方」について事前報告を受け又は承認を行う |
| 再委託する業務の内容 | 「再委託する業務内容」について事前報告を受け又は承認を行う |
| 再委託先の個人データの取扱方法 | 「再委託先の個人データの取扱方法等」について事前報告を受け又は承認を行う |
| 再委託先が安全管理措置を講じていること | 「再委託先が法第23条に基づく安全管理措置を講ずること」を十分に確認する |
| 再委託の実施状況の継続的な把握 | 「定期的に監査を実施すること等」により確認する。再々委託以降も同様 |
再委託に関する事例（ガイドラインの事例3・4）
- 事例3 再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、再委託先が個人データを漏えいした場合。
- 事例4 契約の中に、委託元が委託先による再委託の実施状況を把握することが盛り込まれているのに、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、再委託先が個人データを漏えいした場合。
事例4は、契約に再委託の把握を入れていても、報告を求めるなどの措置を行わなければ、監督を行っていない事例になることを示しています。
このページで確認していないこと
個別の契約で再委託をどう定めるべきか、再委託の可否の判断は、このサイトでは行いません。
契約書の作成や取扱いの判断が必要なときは、弁護士など専門家に相談してください。
- ガイドラインが「望ましい」とする事項を満たさなかった場合の法的な評価は、読んでいません。
よくある質問
再委託は禁止すべきですか。
ガイドラインに、再委託を禁止するとは書かれていません。再委託の条件に関する指示を行うことと、再委託の実施状況の把握が求められています（事例3・事例4）。
再々委託以降はどう扱われますか。
ガイドラインは、再委託先が再々委託を行う場合以降も、再委託を行う場合と同様としています。