個人データ委託契約に
盛り込むべき条項

個人データ委託契約という名称の法定類型があるわけではありません。独立したデータ処理契約、業務委託契約内の個人データ取扱条項、SaaS契約やBPO契約の別紙、グループ内のデータ処理規程などとして現れます。重要なのは契約名ではなく、個人データの取扱いの全部または一部を外部に任せているかです。

次の比較表は、契約条項を作る前に整理すべき用語と実務上の意味をまとめたものです。用語の境界を誤ると、委託、第三者提供、個人関連情報、要配慮個人情報の扱いを取り違えるため重要です。各行では、保護対象の広さと契約で確認すべき点を読み取ってください。

次の判断の流れは、外部事業者へのデータ移転が委託として整理できるか、第三者提供として追加の検討が必要かを表しています。委託と第三者提供では本人への説明、同意、記録、契約統制が変わるため重要です。上から順に、利用目的の内側か、委託先が独自利用しないかを確認してください。

再委託条項では、禁止、個別承認、事前通知、包括承認のどれを採るかで、委託元が把握できる範囲と実務負荷が変わります。再委託先で漏えい等が起きても委託元の説明責任は残り得るため、承認方式をリスクに応じて選ぶことが重要です。表では、データの機微性とサービス形態に応じた使い分けを読み取ってください。

次の判断の流れは、再委託を許可する前に見るべき順番を示しています。再々委託以降まで同じ義務が届かないと、契約上の統制が途中で途切れるため重要です。上から順に、必要性、委託先情報、同等以上の義務、変更通知、事故時協力を確認してください。

監査・報告条項では、委託元が委託先の取扱状況をどの方法で確認できるかを決めます。監査権を書いても実施条件が曖昧だと形だけになりやすいため、方法、頻度、資料、是正期限を定めることが重要です。表では、低コストな確認から実地確認まで、負荷と実効性の違いを読み取ってください。

次の時系列は、漏えい等のおそれを認識した後に契約で連動させる対応を示しています。初動が遅れると被害拡大、本人通知、行政報告、証跡保全に影響するため重要です。上から、速報、調査、確報、再発防止という順番で読み取ってください。

業務類型ごとに、扱うデータ、本人への影響、事故時の被害、委託先の裁量が異なります。同じひな形を使い回すと、肝心のリスクが契約から抜けるため重要です。表では、各業務で追加したい条項を読み取り、自社の委託先一覧と照合してください。

次の時系列は、中小企業でも実施しやすい最低限の運用を示しています。専任部署がなくても、契約、委託先、削除、事故連絡を一覧化しなければ、事故時の説明が難しくなるため重要です。上から順に、棚卸し、契約、確認、終了時処理へ進むと読み取ってください。

Q1. 個人データ委託契約は必ず独立した契約書にする必要がありますか。

一般的には、独立契約書、業務委託契約内の条項、DPA、別紙、覚書など複数の形式が考えられます。重要なのは形式ではなく、委託業務、対象データ、利用目的、再委託、安全管理、監査、漏えい対応、返還・削除が実効的に定められているかです。具体的な契約形式は、取引内容や既存契約との関係を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. 標準約款のSaaSでも個別条項の確認は必要ですか。

一般的には、標準約款でもDPA、再委託先一覧、保存国、削除方法、事故連絡、安全管理措置を確認する必要があります。ただし、交渉可能性やリスク水準はサービスにより異なります。具体的には、扱うデータの機微性、件数、本人への影響、代替サービスの有無を踏まえて専門家へ相談する必要があります。

Q3. 漏えい通知期限は何時間にすればよいですか。

一般的には、委託先が漏えい等またはそのおそれを認識したら直ちに委託元へ速報し、追加情報を段階的に報告する設計が考えられます。ただし、業務内容、委託先体制、夜間休日対応、行政報告の要否で適切な期限は変わります。具体的な期限設定は、事故対応体制を確認したうえで専門家へ相談する必要があります。

Q4. AI学習や統計化利用はすべて禁止すべきですか。

一般的には、委託元の利用目的と本人説明に合わないAI学習、モデル改善、広告・分析利用は制限する必要があります。ただし、統計化、匿名化、委託業務遂行に必要な分析など、目的や手法によって評価は変わります。具体的な可否は、データ項目、再識別リスク、契約文言、本人説明を整理して専門家へ相談する必要があります。