登記ソロイ

業務委託先との秘密保持・再委託管理確認書の読み方

委託先秘密保持確認書、再委託管理確認書、委託先監督チェックシート とも呼ばれます。

業務委託先に個人データや営業秘密を渡すとき、委託元が何を確認し、委託先がどこまで守るかを記録する書面です。個人情報保護法25条の委託先監督、23条の安全管理措置、24条の従業者監督、26条の漏えい等報告を骨格に、秘密情報の範囲、再委託の可否、事故時の連絡、返却・消去、監査協力を読み取ります。法定の書面ではなく、監督を尽くしたことを後から示すための証拠として作る種類の書類です。

最終確認日:

どんなときに必要か

顧客名簿、従業員情報、会員データ、取引先リスト、システムログなどを外部の委託先に渡す前に使います。既存委託先の棚卸し、保守ベンダーやクラウドを介して取扱いが連鎖する場面、委託先で事故が起きた後に監督の記録を求められる場面でも必要になります。個人情報保護法25条の監督が形式だけで終わらないよう、対象データ、責任者、再委託の条件、事故時の連絡経路を書面で固定します。

書面にする必要はあるか

法定の書面要件はありません（証拠目的）。個人情報保護法25条は「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」と定めるだけで、契約書や確認書という形式を効力要件にはしていません。もっとも監督の中身は事後に説明を求められるため、23条の安全管理措置、24条の従業者監督、26条の漏えい等対応をどう確認したかを書面に残す実務上の意味があります。

必ず入れる事項

  • 委託する個人データの項目と利用目的

    個人情報保護法27条5項1号が委託先への提供を第三者提供から外すのは「利用目的の達成に必要な範囲内において」委託する場合です。対象データと目的の記載を落とすと、範囲外の取扱いが本人の同意を要する第三者提供と評価される余地が残ります。

  • 安全管理措置の確認項目

    個人情報保護法23条は「漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置」を求めます。アクセス権限、保管、送信、持出し、廃棄の確認欄がないと、委託先の誓約文だけが残り、監督の中身を示せません。

  • 委託先の従業者管理と教育記録

    個人情報保護法24条は、従業者に個人データを取り扱わせるに当たり「当該従業者に対する必要かつ適切な監督」を求めます。委託先社内の担当者、権限の付与と削除、退職時の返却、教育記録を確認しないと、委託元の監督が委託先の入口で止まります。

  • 再委託の事前承認と再委託先の特定

    個人情報保護法25条の監督義務は委託を受けた者に向けられており、再委託先を把握できなければ実際の取扱者に届きません。再委託の可否、再委託先の名称と所在、業務範囲、同等の義務、変更時の通知を落とすと、委託先に任せきりの構造になります。

  • 漏えい等発生時の委託元への連絡経路

    個人情報保護法26条1項ただし書は、委託を受けた事業者が委託元へ通知したときに委員会報告を免れる仕組みです。個人情報保護法施行規則7条各号はいずれも「漏えい等が発生し、又は発生したおそれがある事態」を対象とするため、連絡義務は発生の確証を待たず、おそれの段階で起動する書き方にします。委託先から委託元への連絡先、担当者、初報の期限を書いていないと、免除の前提が満たされず、双方が報告義務を抱えたまま初動が遅れます。

  • 委託元への通知に含める事項

    個人情報保護法26条1項ただし書の通知について、施行規則9条は「第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない」と定めます。概要、原因、本人の数、二次被害、再発防止まで届く欄が要ります。

  • 返却・消去と複製物の処理

    個人情報保護法23条の安全管理措置は委託終了後の残存データにも及びます。原本の返却か消去か、バックアップ、検証環境の複製、印刷物、ログの扱いと完了報告の様式を決めていないと、契約が終わっても管理外のデータが委託先に残ります。

  • 営業秘密として管理する情報の指定

    不正競争防止法2条6項は営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義します。対象の特定と秘密表示、アクセス制限の指定がないと秘密管理性の説明が難しくなります。

  • 定期報告と監査への協力

    個人情報保護法25条の必要かつ適切な監督は、確認書を交わした時点ではなく継続して問われます。年一回の報告、記録の閲覧、現地確認、再委託先への調査協力の根拠を置かないと、委託後に体制が変わっても委託元が気づけません。

無効・効力が否定されやすい条項

古い雛形をそのまま使うと、次の点でつまずくことがあります。

  • 秘密保持条項を入れただけで個人情報保護法25条の委託先監督を尽くしたとは評価されにくい点に注意します。25条が求めるのは委託を受けた者に対する必要かつ適切な監督であり、委託先の体制確認、従業者管理、再委託の把握、事故時の連絡までを含みます。守秘の誓約文しかない確認書は、監督の記録としては薄いと判断される可能性があります。

  • 委託する業務と利用目的を書かずにデータを渡すと、委託の枠から外れた取扱いが生じます。個人情報保護法27条5項1号が第三者提供から外すのは「利用目的の達成に必要な範囲内において」委託する場合に限られるため、範囲外の利用は本人の同意が必要な第三者提供と評価される余地があります。取扱範囲と目的は確認書の先頭で特定します。

  • 再委託を委託先の裁量に委ねる条項を置くと、委託元は実際の取扱者を把握できなくなります。個人情報保護法25条の監督は委託を受けた者に向けられているため、再委託先が加わるたびに監督の射程から外れる構造が生まれます。事前承認、再委託先の特定、同等の安全管理義務、変更時の通知を欠く確認書は、監督の連鎖が切れた状態を追認することになります。

  • 漏えい時は必ず本人に通知すると書くのは正確ではありません。個人情報保護法26条2項には「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない」というただし書があり、さらに26条2項の主語には「同項ただし書の規定による通知をした者を除く」という括弧書きが付いており、26条1項ただし書により委託元へ通知した者は本人通知の義務者から外れます。委託先が委託元へ通知した場合の役割分担を書き分けます。

  • 速報の期限を三日以内・五日以内といった日数で条文上の義務として書くのは誤りです。個人情報保護法26条1項の報告について、施行規則8条1項は「前条各号に定める事態を知った後、速やかに」と定めるだけで日数を置いていません。日数が出るのは施行規則8条2項の確報で、「当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）」という構造です。六十日は、施行規則7条3号の類型、すなわち不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による漏えい等に限られます。

  • 暗号化していれば漏えい等の対応は不要と書くのは危険です。個人情報保護法26条1項を受けた施行規則7条1号は、要配慮個人情報を含む個人データについて「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く」とし、これを「以下この条及び次条第一項において同じ」として施行規則7条の各号に及ぼしています。除外されるのはその水準の措置を講じた場合であり、鍵が同時に流出した事案では前提を欠きます。

  • 秘密保持契約を結べばその情報が営業秘密になる、という理解は正しくありません。不正競争防止法2条6項は営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義し、秘密管理性、有用性、非公知性の三つを求めます。委託先の共有フォルダに区別なく置いたままでは、秘密として管理されているという評価は得にくくなります。

  • 再委託先の所在国が外国でも、委託だから本人の同意は不要と読むのは誤りです。個人情報保護法28条1項は、外国にある第三者に個人データを提供する場合には「前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」と定め、末尾で「この場合においては、同条の規定は、適用しない」として27条の適用を外しています。つまり27条5項1号の委託の例外は、外国にある委託先・再委託先には働きません。同意によらない提供は、個人の権利利益を保護する上で我が国と同等の水準にあると認められる制度を有する国として個人情報保護委員会規則で定める国にある場合か、同規則で定める基準に適合する体制を整備している者に提供する場合に限られ、後者では同法28条3項の相当措置の継続的な実施を確保するための義務が続きます。

作成の流れ

  1. 1

    対象データと業務範囲を特定する

    委託先に渡す個人データの項目、件数、取得元、保存場所、利用目的、取扱期間を洗い出し、業務に必要な範囲へ絞ります。個人情報保護法27条5項1号は「利用目的の達成に必要な範囲内において」委託する場合を第三者提供から外す規定なので、範囲の特定は監督以前の前提になります。

  2. 2

    委託先の管理体制を確認する

    個人情報保護法23条の安全管理措置と24条の従業者監督を軸に、責任者、アクセス権限の付与と削除、端末と媒体の管理、持出しと私物利用、ログ取得、教育、廃棄方法を項目ごとに確認します。遵守しますという宣言文ではなく、誰が何をどの頻度で行うかが読み取れる記載にします。

  3. 3

    再委託とクラウド利用の条件を固定する

    再委託を禁止するか、事前の書面承認制にするか、既存の再委託先を列挙して包括承認するかを決めます。許容する場合は再委託先の名称、所在国、業務範囲、同等の安全管理義務、変更時の通知、再委託先で事故が起きたときの連絡経路まで書きます。保守ベンダーやクラウド事業者も取扱いの連鎖に含めて棚卸しします。所在国が外国のときは、個人情報保護法28条1項により27条5項1号の委託の例外が働かないため、本人の同意、個人情報保護委員会規則で定める国、又は同規則で定める基準に適合する体制のいずれによる提供かをこの欄で確定させます。

  4. 4

    事故時の連絡と報告の役割分担を決める

    個人情報保護法26条1項ただし書は、委託を受けた事業者が委託元へ通知したときに委員会報告を免れる仕組みです。施行規則9条が求める通知の中身は施行規則8条1項各号の事項なので、委託先が誰に、どの経路で、何を、いつまでに伝えるかを確認書で固定し、委託元が報告と本人対応を判断できるようにします。起動条件は「漏えいが発生したとき」ではなく、施行規則7条各号の「漏えい等が発生し、又は発生したおそれがある事態」に合わせ、発生の確証を待たずに初報が動く書き方にします。

  5. 5

    終了時の返却・消去と証跡を確認する

    委託終了、業務完了、解除、担当者交代の各場面で、原本の返却、複製物とバックアップの消去、印刷物の廃棄、ログの保存期間をどう扱うかを決め、完了報告の様式と期限を置きます。個人情報保護法23条の安全管理措置は終了後の残存データにも及ぶため、消去の事実を示せる記録を残します。

  6. 6

    定期の報告と見直しを組み込む

    確認書は交わした時点で終わりではありません。年一回の自己点検票の提出、体制変更や再委託先追加の通知、必要に応じた記録の閲覧や現地確認を組み込み、個人情報保護法25条の監督が続いていることを示せるようにします。委託先で事故があった場合の是正確認も同じ枠組みで扱います。

専門家に相談したほうがよい場面

委託先で事故が起きたとき、個人情報保護法26条の報告と本人通知の要否、施行規則7条各号への該当性、海外の再委託先を含む体制の評価、営業秘密の持出しが疑われる場面の対応は、いずれも個別事案の法的判断になります。判断に迷う場合は弁護士に、報告の要否や様式は個人情報保護委員会の窓口に確認してください。当社は士業資格者を擁さず、書類作成の受託・代理や個別事案の法的判断は行いません。本ガイドは、利用者自身が内容を編集し、自らの名義で締結することを前提とした支援のための情報です。

よくある質問

この確認書は法律上必ず作らなければなりませんか。
法定の書面要件はありません。個人情報保護法25条は委託を受けた者に対する必要かつ適切な監督を求める条文で、確認書や契約書という形式を効力要件にはしていません。もっとも監督の中身は事後に説明を求められるため、23条の安全管理措置、24条の従業者監督、26条の漏えい等対応をどう確認したかを書面に残す意味があります。口頭のやり取りだけでは、監督を行った事実を示す資料が残りません。
業務委託契約書に秘密保持条項があれば足りますか。
個人データを扱わせる場合は足りないことが多いといえます。個人情報保護法25条の監督は、委託先の安全管理体制、従業者管理、再委託の把握、事故時の連絡、終了時の返却・消去まで及ぶため、守秘義務だけでは確認できない項目が残ります。営業秘密についても、不正競争防止法2条6項は「秘密として管理されている」ことを要件にしており、契約の締結とは別に、対象の特定と実際の管理が必要です。
委託先で漏えいが起きたら、報告するのは委託元と委託先のどちらですか。
個人情報保護法26条1項本文が個人情報保護委員会への報告を求めるのは、個人データの漏えい等のうち「個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの」が生じたときで、その範囲は同法施行規則7条の四類型（要配慮個人情報が含まれるもの、不正に利用されると財産的被害が生じるおそれがあるもの、不正の目的をもって行われたおそれがある行為によるもの、本人の数が千人を超えるもの。いずれも発生したおそれがある事態を含みます）です。同条1項ただし書は、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合に、「個人情報保護委員会規則で定めるところにより」委託元へ通知したときはこの限りでないとしています。その通知は施行規則9条により、7条各号に定める事態を知った後、速やかに、施行規則8条1項各号の事項（その時点で把握しているものに限る）を伝えるもので、委託先の報告義務が外れるのはこの通知をしたときです。さらに26条2項の本人通知については、義務を負う者から「同項ただし書の規定による通知をした者を除く」とされているため、通知をした委託先は本人通知の主体からも外れます。委託先が委託元へ通知し、委託元が報告と本人対応を担うという整理が条文の骨格です。
漏えい時は何日以内に報告すると書けばよいですか。
条文上、速報に日数はありません。個人情報保護法26条1項の報告について、施行規則8条1項は「前条各号に定める事態を知った後、速やかに」と定め、把握している事項に限って報告するという構成です。日数は施行規則8条2項の確報にあり、当該事態を知った日から三十日以内、不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による類型（施行規則7条3号）では六十日以内とされています。確認書では、委託先から委託元への初報を速やかに行い、判明した事項を追って共有する形にするのが実務的です。
再委託は禁止にしておけば安全ですか。
禁止と書いても、実務ではクラウドや保守ベンダーを使わざるを得ない場面があり、実態が伴わないと確認書と現場がずれます。個人情報保護法25条の監督が届く形にするには、事前承認制にして再委託先の名称、業務範囲、同等の安全管理義務、変更時の通知、事故時の連絡経路を確認するほうが機能します。既存の再委託先は締結時に一覧化し、追加のたびに更新する運用が現実的です。

出典

最終確認日: 2026-08-27

同じ分類のガイド（取引・契約）

本ページは一般的な情報提供であり、個別の事案についての法律判断ではありません。本ガイドが扱う書類は、利用者自身による編集・提出・締結を前提とした支援のための情報です。ソロイは書類作成の受託を行うものではなく、記載内容の正確性について 保証するものでもありません。実際の作成・運用にあたっては、出典の原文をご確認いただくか、 弁護士など有資格の専門家にご相談ください。