再委託の扱い：個人データが二次先へ流れるとき

【応用実務】最終確認：2026年10月25日

一　どういう場面か

委託先を選び、個人データの取扱いに関する条項も入れました。安全管理措置も確認しました。

その委託先が、業務の一部を別の会社に出しています。データ入力の実作業だけを別会社に、あるいはサーバーの運用だけをクラウド事業者に。この二次先について、委託元は何をしなければならないのか。

再委託そのものは、業務委託契約の一般的な論点でもあります。誰が仕事をするのか、その者の落ち度を誰が負うのか、という問題です。ただし個人データが動く場面では、問われているのは履行の担い手ではなく、データがどこまで流れたかです。委託元が把握できていない先にデータが渡っていれば、それは委託元自身の監督義務の問題になります。

この記事は、再委託条項をレビューするときに何を見るかを扱います。

---

二　何を見るか

1　再委託が禁止されているか、承諾が要るか

まず、条項の建て付けを確かめます。条項例は、再委託を原則として禁止し、承諾を得た場合の監督義務を定める形をとっています（注1）。

7　乙は、甲の事前の書面による同意なく、本件個人データの取扱いを第三者（以下「再委託先」という）に委託してはならない。乙がかかる委託をする場合は、適切な再委託先を選定した上、再委託先に対し、本条に基づき乙が負う義務と同等の義務を負わせ、適切な監督を行わなければならず、再委託先の行為について一切の責任を負うものとする。再委託先が外国にある第三者である場合は、法令及び甲の指示に従い、個人の権利利益を保護するために必要な一切の措置を講ずるものとする。（注2）

再委託を禁止することは必須ではありません。もっとも、禁止しない場合でも、再委託先を適切に把握できるよう、通知義務を定め、再委託先の選定基準を明確にしておくなどの対応が望ましいといえます（注1）。

レビューでは、次の3つのどれになっているかを見ます。

型	条項の書き方	委託元の負担
原則禁止型	事前の書面による同意がなければ再委託できない	承諾のたびに審査が要る
事前通知型	再委託先・業務内容を事前に通知する	通知を受けたときに確認する
事後報告型	再委託した旨を報告する	事実上、把握が後追いになる

2　再委託先に同等の義務が課されるか

次に、義務が二次先まで届いているかを見ます。

ガイドラインは、委託元がすべきことをこう定めています。

委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第23条に基づく安全管理措置を講ずることを十分に確認することが望ましい（注3）

確認すべき対象が3つ挙がっています。再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法です。条項に「事前の同意を要する」とだけ書いてあっても、同意を求める側がこの3つを出してこなければ、審査のしようがありません。同意を求める際に提出すべき情報を条項に書いておくと、運用が回ります。

なお、再委託先が再々委託を行う場合以降も、再委託を行う場合と同様であるとされています（注3）。三次先、四次先も同じ枠組みで捉える建て付けです。

なお、2026年7月17日公布の改正法（令和8年法律第56号）により、公布の日から起算して2年を超えない範囲内で政令で定める日からは、二以上の段階にわたる委託を受けた者（再委託先・再々委託先）を含め、委託を受けた事業者自身に、委託を受けた業務の遂行に必要な範囲を超えて委託された個人情報を取り扱ってはならない義務が課されます（改正後30条の3）。

3　委託元の監督義務が二次先まで及ぶか

ここが、この論点の要です。ガイドラインには次の注記があります。

委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する（注4）

再委託先の事故が、委託元の法違反になり得ます。しかも、その判断の入口は「委託元が委託先について必要かつ適切な監督を行っていたか」です。二次先を直接監督していたかどうかではありません。一次先の監督が十分だったかが問われます。

同じ趣旨は、監督を行っていない事例にも表れています（注5）。

• 事例3　再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいした場合
• 事例4　契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

事例4が重い指摘です。契約書に把握する定めを置いていたのに、報告を求めなかった。条項を入れただけでは足りず、その条項を使わなければ監督したことにならない、ということです。

4　再委託先が外国にある場合

再委託先が「外国にある第三者」に該当する場合は、法令上必要な措置を講じる必要があります（注6）。委託先が国内の会社でも、その先で海外の事業者に個人データを取り扱わせるなら、この問題が起きます。海外のクラウドに保存するだけで、クラウド事業者が個人データを取り扱わないこととなっている場合は、外国にある第三者への提供には当たりませんが、外国で個人データを取り扱うことになるので、その国の制度を把握したうえで安全管理措置を講ずる必要があります（注7）。

条項例でも、念のためその旨を規定しています（注6）。再委託の条項に一文を置いておけば、承諾を求められた段階で所在地を確認する動線ができます。

---

三　直し方

原則禁止型で足りるなら、それが最も簡明です。問題は、実際には再委託が避けられない取引です。

（1）承諾の対象を、個々の相手方から類型に移す。個別の再委託先ごとに承諾を求める形は、運用が続きません。クラウドインフラの利用など、あらかじめ想定できるものは契約時に一覧で承諾しておき、追加があったときだけ個別承諾とする形にします。

（2）承諾を求めるときに出させるものを書く。二の2の3つ（相手方・業務内容・取扱方法）に加え、所在国を挙げます。

（3）義務の同等性を、条文の引用にとどめず実質で書く。「本条に基づき乙が負う義務と同等の義務を負わせ」という書き方は簡明ですが、再委託先との契約が実際にどうなっているかを確かめる手段がありません。再委託先との契約書の写しの提出を求められる、と書いておくと、確認の根拠になります。

（4）責任の帰属を明記する。条項例は「再委託先の行為について一切の責任を負うものとする」としています（注2）。委託先の立場からは重い条項ですが、委託元にとっては、これがないと二次先の事故について委託先に請求する根拠が薄くなります。

---

四　相手方への説明のしかた

委託先から「再委託は当社の裁量に任せてほしい」と言われたときの返し方です。

監督義務が委託元に残ることを、条文と事例で示すのが最も早い方法です。委託元が再委託を把握できなければ、事例3・事例4のとおり、委託元自身の法違反と判断され得る。これは委託元の都合ではありません。法令が委託元に課している義務です。

そのうえで、負担を下げる方向を示します。個別承諾を求めているわけではありません。類型で事前に承諾しておく形（三の(1)）にできると伝えれば、多くの場合は落ち着きます。

委託先が大手のクラウド事業者で、標準約款を変えられない場合は、二の2の確認事項が公開情報で埋まるかを見ます。サブプロセッサーの一覧を公開している事業者であれば、それを承諾の対象として引用する形が採れます。

---

五　どこまで直すか

優先順位は次のとおりです。

1. 再委託の可否と、承諾または通知の仕組み　これがないと、把握の手がかりが一切ありません
2. 再委託先に同等の義務を負わせること　義務が二次先で切れると、一次先を監督しても意味がなくなります
3. 再委託先の行為についての責任　事故が起きた後の話なので、1・2より後
4. 外国にある第三者への言及　該当しない取引では省いても構いません

逆に、深追いしなくてよいのは、再々委託以降の個別の書き込みです。ガイドラインは再々委託以降も同様としていますが（注3）、条項で「同等の義務を負わせる」と書いてあれば、その義務は再委託先から再々委託先へと連鎖します。条項を何段にも書き分けるより、同等性の連鎖を1文で確保するほうが実務的です。

---

参考文献等

註

（注1）阿部・井窪・片山法律事務所編『契約書作成の実務と書式──企業実務家視点の雛形とその解説〔第3版〕』（有斐閣、2025）629頁
（注2）前掲注1・632頁の条項例7項
（注3）個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2016年11月〔2026年6月一部改正〕）3-4-4（3）
（注4）前掲注3のガイドライン3-4-4（※4）
（注5）前掲注3のガイドライン3-4-4の【委託を受けた者に対して必要かつ適切な監督を行っていない事例】事例3・事例4
（注6）前掲注1・629頁。個人情報保護法28条による
（注7）個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」Q12-3

---