委託先監督義務と契約条項：秘密保持条項があれば足りるのか

【応用実務】最終確認：2026年10月25日

一　問題の所在：秘密情報として守れば済むのではないか

業務委託契約の雛形に、しっかりした秘密保持条項が入っています。受託者は開示された情報を第三者に開示せず、目的外に使わず、契約終了時に返還または廃棄する。管理も約束している。

ここに顧客名簿を渡す業務が加わったとき、条項を足す必要があるのか。

足す必要があります。しかも、足す理由は「念のため」ではありません。秘密保持条項と個人データの条項は、枠の決まり方が違うからです。

秘密保持義務の範囲は、当事者が合意で決めます。何を秘密情報とするか、いつまで守るか、どこまでを除外事由とするか。すべて交渉の対象です。これに対して、個人データの取扱いは法令が枠を決めていて、契約で緩めることができません。個人情報取扱事業者は、個人データの取扱いを委託する場合、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定められています（個人情報保護法25条）（注1）。この義務は、契約書に何を書こうと消えません。

この記事は、その枠がどこまでを要求しているのかと、条項にどう落とすのかを扱います。

---

二　制度の枠組み

1　委託は「第三者提供でない」ことの引き換えに監督義務が付く

出発点は、本人の同意なしに個人データを渡せる理由です。

個人データを第三者に提供するには、あらかじめ本人の同意を得るのが原則です（個人情報保護法27条1項）。しかし、「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」は、委託先は第三者にあたらず、本人の同意は不要です（同法27条5項1号）（注2）。

この例外が成り立っているのは、委託元と委託先が一体とみなされているからです。個人データの取扱いの委託は、形式的には別の主体である委託元と委託先をその実質に鑑みて例外的に一体とみなすものであり、その前提が崩れるような取扱いは許容されません（注3）。

一体とみなす以上、誰が責任を負うのかを一義的に確定させる必要があります。一体性が要求される理由について、次の指摘があります。

一体性があるから第三者に該当しないという視点のみならず、取扱いの局面ごとに責任を負う者が分かれておらず、一体性があるからこそ、最終的に誰が個人情報の取扱いについて責任を負うのか、本人の開示等の請求を誰が受けるのか、一義的に確定される（されなければならない）という視点も重要である（注4）

責任を引き受けた側が監督する。これが25条の監督義務の位置づけです。

2　「必要かつ適切な監督」の中身は3つに分かれている

ガイドラインは、監督の内容を3つに分けています。取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模および性質、個人データの取扱状況等に起因するリスクに応じて、次の措置を講じなければならないとされています（注5）。

（1）適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「10（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない（注6）

契約を結ぶ前の話です。（1）〜（3）はいずれも講じなければならない措置とされていますが、確認の中身まで「しなければならない」と書かれているのは（1）だけで、（2）の契約に盛り込む内容と（3）の監査等による評価は「望ましい」とされています。

（2）委託契約の締結

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい（注6）

（3）委託先における個人データ取扱状況の把握

定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査したうえで、委託の内容等の見直しを検討することを含め、適切に評価することが望ましいとされています（注6）。

契約を結べば終わりというものではありません。選定・締結・把握の3つがそろって「必要かつ適切な監督」になる、という建て付けです。

3　監督を怠るとどうなるか

ガイドラインは、監督を行っていない事例を4つ挙げています（注7）。

事例	何が足りなかったか
1	安全管理措置の状況を契約締結時およびそれ以後も適宜把握しなかった
2	個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった
3	再委託の条件に関する指示を行わず、取扱状況の確認も怠った
4	契約に再委託の実施状況を把握する定めがあるのに、報告を求めなかった

4つとも、漏えいが起きた場面を例にしています。ただし、監督義務は事故の有無にかかわらず平時から果たすべき義務で、漏えいが起きたことが違反の要件ではありません（個人情報保護法25条）。実際に問題として表に出るのが事故のときに多い、ということです。

なお、水準についての注記があります。委託元が法23条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は法23条が求める水準の安全管理措置を講ずれば足りると解されるとされています（注8）。委託先に対する要求水準の上限を画するものとして、交渉の場で使えます。

---

三　解釈：どこまでやれば「適切な監督」なのか

条文もガイドラインも、程度を数字で示していません。リスクに応じて、としか書かれていない。ここが実務の悩みどころです。

1　相手が大きいと、書いたとおりには動かない

現実の委託関係は対等ではありません。この点について、次の指摘があります。

現実問題として、委託元と委託先の関係はさまざまである。個人データの取扱いの一部を子会社に切り出して行わせる場合のように、委託元が委託先を監督するというルールがなじむ場合もあれば、委託先が圧倒的に高い技術力やノウハウをもつ場合や、委託先がプラットフォーム事業者であるなど委託先がバーゲニングパワーを持つ場合もある（注9）

後者の場合、たとえば委託元が委託先に、安全管理措置の観点から契約条項の追加・修正を求めたり、委託先の取扱いを実効的に監査するというのは、現実には難しい。しかし、難しいからといって責任を放棄してはならず、ではどうしていくべきかを考えなければならない（注9）

クラウドサービスの標準約款に「立入監査に応じる」と書かせるのは、まず通りません。それでも監督義務は委託元に残ります。

そこで実務は、監査を「立入り」から「報告と資料の提出」に落とし、報告の頻度と様式を決める方向に動きます。ガイドラインも、選定や把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるとしたうえで、必要に応じて個人データを取り扱う場所に赴く、またはこれに代わる合理的な方法（口頭による確認を含む）により確認することが考えられる、としています（注10）。口頭による確認まで挙がっている点は、押さえておく価値があります。

2　委託先が範囲を超えたら、委託元の問題になる

もう一つ、監督の中身を決める視点があります。委託先が委託された業務の範囲を超えて個人データを取り扱った場合、その責任は委託先だけの問題では終わりません。

委託先が委託された業務の範囲外で個人データを取り扱った場合、委託元においては委託先の監督義務が問題となります（注11）。さらに、委託元が、委託先において委託業務の範囲外で個人データが取り扱われることを知りつつ提供を行った場合には、個人データの第三者提供に該当するものとして、第三者提供の制限に違反する場合も考えられます（注11）。

範囲外の取扱いとして議論されているのは、次の2つです（注12）。

• 委託先による独自利用　委託に伴って提供された個人データを、委託先が自らのために（または第三者のために）利用すること
• いわゆる「混ぜるな危険」　異なる委託元から預かった個人データを本人ごとに突合すること。委託元AとBがそうするよう指示していても、結論は変わりません（注12）。他方、本人ごとに突合せず、サンプル数を増やして一つの統計情報を作る取扱いは認められています（個人情報保護委員会Q&A7-43）

この2つを契約で禁じておくことが、監督の実質になります。条項に書いていなければ、委託先が範囲外の取扱いをしていることに気づく手がかりがありません。

なお、2026年7月17日に公布された改正法（令和8年法律第56号）により、公布の日から起算して2年を超えない範囲内で政令で定める日からは、委託を受けた事業者自身に、委託を受けた業務の遂行に必要な範囲を超えて委託された個人情報を取り扱ってはならない義務が課されます（改正後30条の3）。委託契約で一定の事項（取扱いの方法、漏えい等や範囲外の取扱いを知ったときの委託者への報告など）を定めた場合の特例も設けられます（改正後58条の2）。施行後は、条項の組み方をこの特例の要件に合わせて見直すことになります。

---

四　契約実務への還元

1　条項に落とすべき8つの事項

個人データの取扱いに関する条項に定める事項は、8つに整理できます（注13）。

	事項
①	法令遵守の義務
②	個人データの取扱いに関する事項（範囲外の取扱いの禁止・独自取得データとの突合の禁止）
③	第三者提供の禁止、安全管理義務、従業者の監督、契約終了時の取扱い
④	再委託先に関する事項
⑤	個人データの開示等に関する事項
⑥	監査等に関する事項
⑦	漏えい等に関する事項
⑧	契約終了時の取扱い

①の法令遵守義務には、独立の意味があります。当事者に法令違反があった場合に、そのことを理由に契約の解除等の措置をとることができるようにする点で意味があります（注14）。個人情報保護法違反それ自体を解除事由に変換する、という働きです。

⑥の監査は、頻度と様式まで書きます。条項例は「毎年6月末日限り、かつ、甲から要求があるときはいつでも、甲の定める様式により甲に報告する」とし、あわせて事業所への立入りを含む監査を実施できるとしています（注15）。二の2の「取扱状況の把握」を、期日と様式で具体化した形です。

2　秘密保持条項との書き分け

ここが本題です。③の事項は、秘密情報の取扱いと重なる部分が多く、秘密保持条項を適用する形で定められることも多いところです。もっとも、次の3つの違いがあります（注16）。

（ア）公知情報の扱いが逆になる。秘密保持義務は、公知の情報等については免除されることが多いのに対し、個人データに関する義務は公知であるかどうかにかかわらず適用される必要があります（注16）。秘密保持条項の除外事由をそのまま個人データに及ぼすと、公知の情報だからという理由で管理義務が外れかねません。

（イ）害される利益が違う。個人データの漏えい等が発生したときは、委託元のみならず本人の権利利益が害されることになるため、甚大な損害が生じえます（注16）。

（ウ）外国での取扱いには別の要求がある。外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握したうえで、個人データの安全管理のために必要かつ適切な措置を講じなければならないとされており、他の秘密情報とは異なる安全管理が求められる場合があります（注16）。

この3点が、「秘密保持条項があれば足りる」という理解が通らない理由です。とりわけ（ア）は、条項の構造そのものに関わります。秘密保持条項は除外事由で範囲を絞り込む作りですが、個人データの条項は絞り込んではいけません。同じ条項に同居させると、除外事由がどちらにかかるのかが読めなくなります。

書き分けの実際は、次のどちらかになります。

1. 個人データの取扱いを独立の条項として立て、秘密保持条項とは別に置く
2. 秘密保持条項を援用しつつ、「本件個人データについては、前条の除外事由は適用しない」と明記する

条項例は1の形をとっており、12項からなる独立の条項として組まれています（注17）。

3　安全管理措置の水準を、どこに書くか

条項に落とすとき、最も揉めるのが安全管理措置の中身です。書き方は3つに分かれます（注18）。

方式	書き方	使いどころ
委託元提示型	「甲が別途定める基準を満たすものとする」	委託元が基準を持っている場合
包括型	「個人情報保護法23条に基づく安全管理措置」	相手が大きく、細目を飲ませられない場合
具体列挙型	安全管理措置の内容を契約書に具体的に記載する	委託先の立場から範囲を確定したい場合

方式と書き方は注18の整理によります。

受託者の立場から、安全管理措置の内容について両者が合意することとする例もあります（注18）。いずれにしても、組織的、人的、物理的および技術的な面から安全管理措置の内容を具体的に定めることが望ましいといえます（注18）。

三の1で見たとおり、相手が大きいほど具体列挙は通りません。そのときは包括型にしたうえで、⑥の報告義務を厚くする。監督の実質を、事前の約束から事後の把握に移すという判断です。

4　レビューで最初に見るところ

個人データが動く契約かどうかを、まず確かめます。

業務委託契約が締結されていても、必ずしも「個人データの取扱いの委託」がされているとは限らず、反対に、業務委託契約が締結されていなくとも「個人データの取扱いの委託」がされている場合があります（注19）。個人データの取扱いに当たるかどうかは、実際の個人データへのアクセス等の物理的状況のみならず、契約等によって定められる個人データの取扱いの権限をも考慮して判断されます（注19）。

契約書の表題では判断できません。業務の中身と、相手方に与えたアクセス権限を見ます。そのうえで、個人データが動くのであれば、二の2の3要素と四の1の8項目を条項に落とせているかを確認することになります。

---

参考文献等

註

（注1）個人情報保護法25条
（注2）個人情報保護法27条1項・5項1号。阿部・井窪・片山法律事務所編『契約書作成の実務と書式──企業実務家視点の雛形とその解説〔第3版〕』（有斐閣、2025）624〜625頁
（注3）岡田淳＝北山昇＝小川智史「個人情報保護をめぐる実務対応の最前線（第2回）個人データの取扱いの『委託』とは何か」NBL1206号（2021年）64頁
（注4）前掲注3・68頁のDiscussion「研究者と実務家との対話──宍戸教授との議論をふまえて」
（注5）個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2016年11月〔2026年6月一部改正〕）3-4-4。前掲注2・625頁も同旨をまとめています
（注6）前掲注5のガイドライン3-4-4（1）〜（3）
（注7）前掲注5のガイドライン3-4-4の【委託を受けた者に対して必要かつ適切な監督を行っていない事例】事例1〜4
（注8）前掲注5のガイドライン3-4-4（※2）
（注9）前掲注3・68頁のDiscussion
（注10）前掲注5のガイドライン3-4-4（※3）
（注11）前掲注3・66頁
（注12）前掲注3・64頁および66頁
（注13）前掲注2・628頁
（注14）前掲注2・628頁
（注15）前掲注2・632頁の条項例9項
（注16）前掲注2・628〜629頁
（注17）前掲注2・631〜632頁の条項例
（注18）前掲注2・629頁
（注19）前掲注3・62頁

---