法律・契約の論点

個人データの委託と委託先の監督

顧客や応募者の情報をアシスタントに扱ってもらう場合、本人同意は不要でも、委託元には委託先を監督する義務があります。

公式情報の確認日：2026年10月12日

委託は「第三者提供」ではないが、監督の義務がある

個人情報保護法第27条第5項第1号により、利用目的の達成に必要な範囲で個人データの取扱いを委託することに伴う提供は、第三者提供に当たらず、本人の同意は不要です。その代わり、委託先は委託された業務以外にそのデータを扱えず、委託元には第25条の「委託先の監督」の義務がかかります。顧客リストの入力、応募者への連絡、請求書の発行などをオンラインアシスタントに頼む場合が典型です。

ガイドラインが示す3つの措置

措置	ガイドライン（通則編3-4-4）の要旨	オンラインアシスタントでの確認例
（1）適切な委託先の選定	委託先の安全管理措置が、委託元に求められるものと同等であることをあらかじめ確認	情報セキュリティ方針、認証（ISMS・プライバシーマーク等）の範囲、作業端末と保存場所
（2）委託契約の締結	双方が同意した安全管理措置と、委託元が取扱状況を合理的に把握できることを盛り込むのが望ましい	目的外利用の禁止、再委託の条件、返却・削除、事故時の連絡
（3）取扱状況の把握	定期的な監査などで実施状況を調査し、委託内容の見直しを含めて評価するのが望ましい	アカウントの棚卸し、操作ログの確認、年1回の質問票

あわせて、委託する業務に必要のない個人データを渡さないことは当然とされています。たとえば日程調整だけを頼むなら、顧客管理システム全体ではなく必要な項目だけを共有します。

監督が不十分とされる事例

ガイドラインは、次のような場合を委託先に必要かつ適切な監督を行っていない事例として挙げています（要旨）。

安全管理措置の状況を契約時もその後も把握せずに委託し、委託先が漏えいした
必要な安全管理措置の内容を委託先に指示しなかった結果、漏えいした
再委託の条件を指示せず、取扱状況の確認も怠り、再委託先が漏えいした
契約で再委託の状況を把握することにしていたのに報告を求めず、委託元の知らない再委託先で漏えいした

再委託の確認

オンラインアシスタントは、チーム制や在宅スタッフによる体制をとるサービスが多くあります。ガイドラインは、委託先が再委託する場合、相手方・業務内容・取扱方法について事前報告を受けるか承認すること、定期的な監査等で確認することが望ましいとしています。担当者が受託会社の従業員か、さらに外部の個人かを質問しておきます。