個人情報を外部に業務委託するには？：やさしく読む「個人情報保護法」（4）（1/3 ページ）

　前回までは、情報主体（個人情報を提供する本人）に対し、個人情報取扱事業者が、どのような対応をすべきか、という点について解説してきました。今回は、個人情報取扱事業者が、ダイレクトメールの発送やデータ処理といったさまざまな業務委託をする際の注意点について解説していきます。

　「個人情報の保護に関する法律」（個人情報保護法）では、個人情報取扱事業者に対し、保有する個人情報を安全に管理することを求めています。それは、自社内の管理体制のみならず委託先の監督義務についても言及しており、業務委託先の安全管理体制に対する監督を怠れば法に抵触するということになっています。

　しかし、個人情報保護法の中では、あまり具体的な対策には言及されていません。「委託先の監督」という点で、どのような対策を取っておくことが重要なのでしょうか。今回も個人情報保護法と経済産業省の「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」を参照しながら解説していきます。

委託先の監督義務

　個人情報保護法では、個人情報取扱事業者に対し、以下のように委託先の監督義務をうたっています。

　この「必要かつ適切な監督」とは具体的にはどんなことなのでしょうか。経済産業省のガイドラインでは以下のように解説しています。

　このガイドラインから読み取れることが2点あります。

• 個人情報の取り扱いについて委託元が求める安全管理措置を明記したうえで、契約を交わすこと
• 契約内容が順守されているかを定期的に確認すること

安全管理措置を明記した契約を交わす

　委託元として委託先に求める安全管理措置を検討する必要があります。これらは当然のことながら、自社で行っている安全管理措置を基準とし、それと同等のものを委託先にも求めていくことが考えられます。

　時に、この「安全管理措置」が行われているという証明（お墨付き）ということで「プライバシーマーク」（Pマーク）といった認証制度を委託先選定の基準とする場合があります。Pマークは、JIS Q 15001（個人情報保護に関するコンプライアンス・プログラムの要求事項）に準拠した対策がされているかどうかを審査し、認定するという制度です。

　Pマークで求められる安全管理対策は、「安全管理措置として何をすればよいのか」という指標になっており、こういった指標を用いて安全管理のレベルを判断することができます。この安全管理のレベルを「委託先の選定基準」とすることができます。個人情報取扱事業者は、委託先の選定基準を持ち、その選定基準をクリアした業者にのみ個人情報を委託すべきであり、法もこれを求めています。

　なお、「Pマーク取得」「ISMS取得」といったチェック項目も1つの基準ではありますが、それだけでなく委託先が具体的にどのような安全管理措置を取っている企業なのか、ということをチェックできることが重要です。そのような契約書は、パートナー選定の幅を広げる選択肢の1つになると思います。

契約内容が順守されているかを定期的に確認する

　いわゆる「監査をする」ということです。委託元が委託先の状況を定期的に確認（監査）することは、委託先の了解の下で行われるべきことですので、契約書にも盛り込んでおきましょう。監査そのもののやり方や程度はそれぞれであると思いますが、いずれにしても委託元は、委託先が約束事の安全管理をどのように行っているかを、確認することが必要です。

個人情報保護に関する契約において、「監査」の項目を抜くことはできないと考えてください。とはいえ、監査の方法については、相談の余地がありますので、契約書の記載内容も含め、双方協議のうえ決定します。