まず法律の整理：委託は「第三者提供」ではない
個人情報保護法では、個人データを他人に渡すときは原則として本人の同意が要ります。ところが「委託」はその例外にあたります（法第27条第5項第1号）。
システムを作ってもらうために名簿を預ける、サーバーの運用を頼む、データの移行を頼む。これらは委託なので、会員ひとりひとりから同意を取り直す必要はありません。
なぜ同意が要らないのか
委託先は「自分のために使う第三者」ではなく、委託元の手足として動く存在と見るからです。だからこそ、次の章の監督義務が発注側に残ります。委託先が勝手に使い始めた瞬間に、この前提は崩れます。
逆に言うと、委託の範囲を超えた使い方は許されません。「開発のために預かった名簿を、自社のマーケティングに使う」「他の顧客向けの分析に混ぜる」といったことは、委託ではなくなります。契約書でここを明確に止めておく必要があります（第4章）。
ただし、監督する責任は発注側に残る
同意が要らない代わりに、委託先を監督する義務が発注した側に課されます（法第25条）。
これは実務上、こういう意味になります。
- 委託先で漏えいが起きたとき、発注した団体の責任も問われる
- 会員や受講者から見れば、情報を預けた相手は団体であって、システム会社ではない
- 報道されるときも、名前が出るのは団体のほう
つまり「システム会社に任せたので知りません」は通りません。委託先を選ぶところから、契約、運用中の確認まで、発注側の仕事として残ります。
重たく聞こえるかもしれませんが、やることは決まっています。次の章で整理します。
発注側がやるべき3つのこと
- 1
委託先をちゃんと選ぶ
個人情報を扱える体制があるかを確認します。見るのは、安全管理の方法を説明できるか、再委託の有無を正直に答えるか、過去に事故があったかどうか。プライバシーマークの有無は参考にはなりますが、持っていれば安心ということでもありません。具体的な質問に具体的に答えられるかのほうが確かです。
- 2
契約書で取り決める
口頭やメールの合意では足りません。何を、どこまで、どう扱うかを書面にします。決めるべき7項目は次の章にまとめました。
- 3
運用が始まってからも把握する
契約して終わりではありません。年に一度でよいので、どこに置かれているか、誰が見られるか、不要になったデータは消えているかを確認します。委託先に自己点検の報告を出してもらう形がいちばん負担が軽く、現実的です。
3つめを実際にやっている団体は、多くありません。ここをやっておくと、万一のときに「監督していた」と言える材料になります。
契約書で必ず決める7項目
| 項目 | 決める中身 |
|---|---|
| ① 使ってよい範囲 | 預けたデータを何のために使ってよいか。「本契約の履行の目的以外に利用しない」と明記する。統計や機械学習への二次利用を認めるかどうかも、ここではっきりさせる |
| ② 再委託 | 下請けに出してよいか。出す場合は事前の書面承諾を必須にし、再委託先にも同じ義務を負わせる。サーバー会社やクラウドの利用も含めて確認する |
| ③ 安全管理措置 | どう守るか。アクセスできる人を限る、通信を暗号化する、操作の記録を残す、持ち出しを禁じる。具体的に書く。「適切に管理する」だけでは意味がない |
| ④ 事故が起きたときの連絡 | 漏えいの疑いが出た時点で、何時間以内に、誰に連絡するか。個人情報保護委員会への報告は原則として発注側の義務なので、速報が遅れると間に合わない |
| ⑤ 終わったあとの扱い | 契約が終わったら、データを返すのか消すのか。消した証明を出してもらう。開発用のコピーやバックアップも対象に含める |
| ⑥ 確認させてもらう権利 | 必要なときに、取扱い状況の報告を求められること。立入りまで求めるかは関係性次第だが、報告を求める権利は入れておく |
| ⑦ 従事者の管理 | 作業にあたる人を限定すること、その人たちに守秘義務を負わせること。退職後も続くようにしておく |
⑤は見落とされがちです。開発中に作ったテスト環境に本番の名簿が残ったまま、というのは実際によくあります。消すところまでを契約に書いておくと、終わりがはっきりします。
なお、ここに挙げたのは一般的な整理です。制度上の要件がある分野（医療、金融、資格・講習の記録など）では、別の決まりがかかることがあります。契約書の最終確認は顧問弁護士に、法令の解釈は個人情報保護委員会のガイドラインに当たってください。pegは法律事務所ではありません。
開発中にありがちな危ない場面
契約書を整えても、作っている最中の運用が緩いと意味がありません。実際によくあるのは次の4つです。
1. 本番の名簿をそのままテストに使う
いちばん多い場面です。動作確認のために実データを使うと、開発会社のパソコンや検証用サーバーに本物の名簿が広がります。氏名・住所・連絡先を架空のものに置き換えたテストデータを使うのが基本です。置き換える作業は、発注側で担うと費用も抑えられます。
2. チャットやメールで名簿を送る
「このCSVを確認してください」とチャットに添付する。便利ですが、そのチャットの履歴は残り続け、関係者以外も見られる状態になりがちです。受け渡しの方法と場所を、最初に一か所に決めてください。
3. 誰が見られるか把握していない
開発会社の中で、何人がデータに触れられるのか。途中で参加した人、抜けた人がどう扱われているのか。人数と氏名を把握しておくと、事故が起きたときに追えます。
4. 公開後に開発用の入口が残る
開発中に使った管理画面やテスト用のログインが、公開後もそのまま生きていることがあります。公開前に不要な入口を閉じたことを文書で確認してください。
データをどこに置くか
「クラウドだと海外に置かれるのでは」というご質問をよくいただきます。整理すると次のようになります。
| 置き場所 | 特徴 | 注意点 |
|---|---|---|
| 国内のクラウド（国内リージョン） | いまの標準。費用と運用のバランスがよい | 契約上どこに保存されるかを書面で確認する |
| 海外にデータが渡る形 | 安価なサービスに多い | 外国にある事業者への提供には別のルールがかかる。規程で国内保管を定めている団体は特に注意 |
| 自前のサーバー（オンプレミス） | 手元に置ける安心感 | 停電・故障・更新の責任も自分たちで負う。オンプレミスとクラウドの比較も参考に |
迷ったら国内リージョンを指定するのが無難です。費用の差はわずかで、説明もしやすくなります。見積もりの段階で「データの保存先はどこか」を一言聞いてください。答えられない会社は、そこから先も危ういです。
見積もりで確認すべき項目は「システム開発の見積もりの読み方｜発注前に確認したす10項目」にまとめています。
pegのやり方
pegでは、次のようにしています。
- テストには架空データを使う。本番の名簿が必要になるのは、最後のデータ移行のときだけです
- データの保存先は国内。契約書に書きます
- 作業する人を限定し、お名前をお伝えします
- 納品後、開発用の環境とコピーを削除し、消したことを書面でお出しします
- 管理者の権限はお客様にお渡しします。pegが抜けても、誰が見られるかをご自身で管理できる状態にしてお返しします
最後の点は、委託先を監督するうえで実は一番重要です。権限を握られたままだと、確認も交代もできなくなるからです。開発会社と連絡が取れなくなったときに何が起きるかは「開発会社と連絡が取れなくなったときの対処法」に書きました。
名簿を扱うシステムの実例として、会員管理の考え方は「会員管理システムに必要な機能」と「名簿の更新作業をどう減らすか」もあわせてご覧ください。
よくあるご質問
Q会員から同意を取り直す必要はありますか？
システムの開発や運用を委託するだけであれば、原則として必要ありません（法第27条第5項第1号）。ただし、利用目的の範囲を超える使い方をする場合は別です。プライバシーポリシーに委託する旨を書いておくと、説明を求められたときに示せます。
Qプライバシーマークを持っている会社に頼めば安心ですか？
参考にはなりますが、それだけで足りるわけではありません。実際に預けるデータについて、どこに置くか、誰が見るか、終わったらどうするかを個別に確認してください。
Q小さい会社に頼むのは危ないですか？
規模と安全性は別の話です。見るべきは、具体的な質問に具体的に答えられるかどうかです。「適切に管理します」としか言わない会社は、大きくても小さくても避けたほうがよいです。
Q契約書のひな形はありますか？
委託契約に個人情報の条項を加える形が一般的です。pegでは7項目を含んだ条項をお出ししています。最終的な内容は、貴団体の顧問弁護士にご確認ください。
Q開発が終わったあと、データが消えたことをどう確認しますか？
削除の対象（本番・テスト環境・バックアップ・担当者の端末）と実施日を記した書面を出してもらうのが確実です。pegでは納品時にお出ししています。
あわせて読みたい
本人からの開示・訂正・利用停止の請求に、名簿システムで答える
請求の種類ごとに要るデータと、渡した先の記録の持ち方。
委託先として、発注元の監督にどう答えるか｜名簿を預かる側が、従事者の届け出や消去の証明のために先に用意しておく記録。
まずは話すところから
仕様書がなくても、社内にエンジニアがいなくても大丈夫です。実現したいことを伺い、進め方と概算をご提案します。ご相談は無料です。
