トップ ／ コラム ／ 委託先として監督に答える

委託先として、発注元の監督にどう答えるか｜名簿を預かる側が先に用意しておく記録

自治体や官公庁、協会の仕事を受けると、契約書に「個人情報取扱特記事項」という別紙が付いてきます。そこには、受けた側が何をして、何を届け出て、終わったときに何を出すのかが、条ごとに書かれています。読んでみると、求められているのは対策そのものではなく、対策をしたことを紙で出せる状態だと分かります。

このコラムは、委託を受ける側の準備の話です。発注側としてどう委託先を選び、契約書に何を書くかは 個人情報を扱うシステムを外部に委託するときの注意点 に分けて書いているので、ここでは触れません。

県や市が公開している特記事項を4本読み比べ、何を求められるかを並べました。そのうえで、受けた側が先に持っておくと答えやすくなる記録を整理します。

監督は、紙を出すところから始まる

特記事項を読むと、条文の述語がほとんど「届け出なければならない」「報告しなければならない」「提出しなければならない」で終わっています。安全に扱いなさい、という話ではなく、扱っている状態を外に出しなさい、という話です。

たとえば岐阜県の特記事項では、責任者と事務従事者を定めたら「書面によりあらかじめ、県に届け出なければならない」と書かれています。札幌市では、個人情報を扱う区域を「業務の着手前に書面により委託者に報告しなければならない」と決めています。どちらも、作業を始める前です。

つまり、受けた側の準備は、情報を守る仕組みを整えることと、守っていることを紙にして出すことの二つに分かれます。前者は社内の話なので外からは見えません。後者は、求められたその日に出せるかどうかで差が出ます。

個人情報保護委員会事務局が公開している「特定個人情報等のデータ入力業務の委託先に対する監督について」（令和4年4月）には、発注元が委託先を見るときの着眼点が段階ごとに書かれています。入札の時点で従事できる従業員の数と過去の受託実績を確認する、作業を始めるまでに作業場所と作業体制が確保されているかを確認する、契約期間中は取扱状況の定期的な報告を契約で義務づけ、予告なしの実地の監査や調査ができる旨を契約に入れる、という流れです。

この資料はマイナンバーを含む業務について書かれたものですが、見られる順番は同じです。人、場所、取扱いの記録、終わったあとの処理。この4つを出せる形にしておけば、どの契約相手にも同じ材料で答えられます。

求められる記録は、相手ごとに違う

公開されている特記事項を4本並べてみると、同じ論点の決め方が団体ごとに分かれます。

台帳の整備まで書いているのは4本のうち1本だけです。作業場所に触れていない特記事項も1本あります。北本市の特記事項は、従事者ごとに承諾書を取って写しを提出させる形を取っていて、ほかの3本にはこの定めがありません。

ここから言えるのは、ひとつです。目の前の契約相手の特記事項に合わせて記録を作ると、次の相手で作り直しになります。 台帳を求めない相手の仕事だから台帳を持たない、という考え方にすると、台帳を求める相手が来たときに過去の分がありません。記録は、いちばん細かく求めている相手に合わせて持っておき、求められた形に切り出して出すほうが、結局は手間が少なくなります。

いちばん先に用意するのは、人の一覧

4本とも、最初のほうの条で人のことを決めています。順番がそうなっているのは、人が決まらないと残りが決まらないからです。

ただし、求められているのは名前の一覧ではありません。札幌市の特記事項では、保護管理者を変えるときは事前に書面で申請して承認を得ること、従業者を変えるときは事前に書面で報告することが分かれて書かれています。つまりいまの一覧ではなく、いつ誰が入って、いつ抜けたかという履歴が求められています。

同じ人が複数の契約に関わると、承諾書も研修の記録も契約ごとに必要になります。人の一覧を1枚で持っていると、ここで必ず詰まります。人そのものと、契約への関わりを分けて持つと、どの契約の従事者一覧も日付を指定して出せるようになります。

このやり方は、会員の所属や資格を期間で持つ話とまったく同じです。1行を上書きしない設計については 会員の「異動」を名簿の1行を上書きせずに持つ に詳しく書きました。

どこで、何を使って作業したか

場所の条は、読み飛ばしやすいところです。けれど、委託を受ける側の作り方をいちばん縛ります。

三重県の特記事項には「甲が指定した場所へ持ち出す場合を除き、個人情報を定められた場所から持ち出してはならない」とあります。岐阜県は作業場所の届け出に加えて、運搬方法も事前に届け出ること、事務に使うパソコン等は台帳で管理して承諾なく作業場所から持ち出さないこと、私用のパソコン等を使わないことを別の項で決めています。身分証明書を常時携行させ、事業者名を明記した名札等を着用させるという項もあります。

先ほどの委員会の資料にも、監査や調査にすぐ行けるよう作業場所を庁舎内とすることが考えられる、紙の原票から入力する場合は作業場所に原票の現物があるかを実地で確認する、と書かれています。見に来る側は、場所に来ます。

• 端末の一覧を、人の一覧と別に持つ。 岐阜県は端末を台帳で管理すると明記しています。誰のどの端末か、いつから使っているかが分かる形にします
• 場所は属性ではなく、届け出た履歴として持つ。 変更前に届け出る決まりなので、届け出た日と、そこで作業した期間が要ります
• 持ち出した事実は、承諾と一緒に持つ。 持ち出しそのものを禁じている条が多いので、例外として承諾を得た回だけを記録します

預かったデータをどこに置いて、どう受け渡すかは、移行作業そのものの話にもつながります。受け渡しの段取りについては データ移行でつまずかないための進め方 もあわせてご覧ください。

触った記録は、台帳の形で持つ

4本のうち、取扱いの記録をいちばんはっきり決めているのは岐阜県でした。第7条第10項(4)に、こう書かれています。

受渡し、使用、複写または複製、保管、廃棄。この5つが並んでいることが大事です。システムのアクセスログは、このうち「使用」しか埋めません。 残りの4つは、ログには出ない行いです。

このうち、あとから足しにくいのが「複写または複製」です。一覧を画面に出して Excel に落とす、という操作は便利なので必ず付けますが、誰がいつ何件分を落としたかを残す作りにしていないと、台帳の行が作れません。書き出しのボタンを付けるときに、同じ処理の中で1件記録する。これだけで、あとから困らなくなります。

名簿の一部を外に出す場面の設計については、公益法人の報告を題材にした 公益法人の事業報告・立入検査に耐える記録の残し方 でも触れています。出す列と出さない列を分ける考え方は共通です。

終わりに出すのは、証明書

契約が終わったときにすることは、返す、消す、捨てるのどれかです。ここで出す紙が、特記事項でいちばん細かく決められています。岐阜県は、廃棄または消去のあとに提出する証明書の記載事項を、こう並べています。

数量と立会者が入っているところが、見落としやすい点です。何件消したかを言えるようにしておく必要があり、誰が横で見ていたかも書きます。4本とも、求められたら立会いに応じる条を持っています。

札幌市はさらに手前に段を置いていて、消去や廃棄の前に、項目・媒体名・数量・方法・処理予定日を書面で申請して承諾を得ることになっています。消す前に1枚、消したあとに1枚。この2枚が要るという前提で作ると、処理予定日という項目が必要になることに気づきます。

再委託も、承諾をもらう側から見ると同じ形です。札幌市と岐阜県は、申請する書面に書く内容まで指定しています。再委託先の名称、理由、業務の内容、取り扱う個人情報、期間、責任体制、保護措置、監督の方法。受けた側は、これを自分の言葉で書けるように、再委託先ごとの資料をそろえておくことになります。岐阜県は再々委託についても同じ手続きを決めています。

1. 消す前に出す申請の様式を、先に1枚作っておく。 項目・媒体名・数量・方法・処理予定日が埋まる形にする
2. 件数を数えられるようにしておく。 証明書の「数量」は、消したあとでは数えられない
3. 立会いを頼める段取りを決めておく。 立会者の欄が空いた証明書は出せない
4. 再委託先の資料を、契約ごとにまとめておく。 申請の書面に書く項目は、相手が違っても大きくは変わらない

pegの場合

pegは委託を受ける側です。協会の会員管理や、官公庁の住民向けの仕組みを作っているので、名簿や問い合わせの内容を預かります。契約に明記していることのうち、監督に関わるものを3つ挙げます。

• 全案件を必ず2名以上で担当し、引き継ぎ資料を常に最新にしています。 従事者の一覧を出すときに、1人しかいない状態をなくしておくためでもあります
• 定期報告をして、試作画面はいつでも見ていただける状態にしています。 取扱状況の報告を求められる前提で、報告する材料を最初から作っておきます
• プログラム・設計資料・管理者権限を、納品物として契約に明記しています。 契約が終わったあとに発注元の手元に何が残るかを、先に決めてあります

実際に作ってきたものでは、日本眼科医会の会員管理システムで、改姓を扱う仕組みを自動化し、はがきなど関連する帳票にも姓の変更が連動するようにしました。以前のシステムには改姓を扱う仕組みがなく、事務局の手作業になっていました。名簿に手を入れた記録が残る形にしておくと、こうした作業を自動にしても、あとから何が起きたかをたどれます。

官公庁の予防接種LINE AIチャットでは、答える範囲を先生方からいただいた文献に限り、その文献からの回答だけを返す形にしました。個人の接種歴や予約の可否を聞かれたときは、AIには答えさせず、市の電話番号を出します。預かっている情報を使わない、と決めることも、監督に答えるための設計です。

小さな会社に預けて大丈夫か、という不安への答えになる材料は、ほかにもまとめてあります。大手のシステム会社と小さな会社は何が違うのか をご覧ください。

よくあるご質問