再委託を原則禁止にするか
条件付き許可にするかの判断

再委託条項は、業務委託契約の末尾に置かれる短い文言で済まされがちです。しかし設計を誤ると、情報漏えい、品質事故、納期遅延、知的財産権の帰属不明、個人情報保護法上の委託先監督不備、海外移転規制違反、下請構造の不透明化、監査不能、事故時の責任追及困難が重なります。

企業法務では、すべての取引で機械的に全面禁止または自由許可とするのではなく、リスクが高い領域では原則禁止、通常の商流や技術的必要性がある領域では条件付き許可とするのが実務的です。個別案件の結論は、契約書、業務内容、データの種類、当事者属性、適用法、業界規制によって変わるため、具体的な対応は弁護士等の専門家に相談する必要があります。

次の強調表示は、このページで扱う判断の結論を表しています。なぜ重要かというと、再委託の可否だけを見ても統制は不十分で、どのリスクを受託者に管理させるかまで決める必要があるためです。ここからは、高リスク領域、通常業務、クラウド型サービスで分岐する点を読み取ってください。

次の一覧は、再委託判断で最初に確認する五つの観点です。読者にとって重要なのは、法務、情報セキュリティ、個人情報保護、購買、事業部が同じ順番でリスクを確認できる点です。各項目のうち一つでも高リスクに寄る場合は、簡易な通知制では足りない可能性があると読み取ってください。

実務上の基本方針は、取引類型ごとにかなり異なります。次の比較表は、どの業務を厳格にし、どの業務を条件付きで透明化するかを表します。業務の名前だけでなく、情報アクセスと社会的影響を合わせて読むことが重要です。

委託者は受託者の技術力、体制、実績、信用を評価して契約します。実際の作業が別会社や個人外注に流れていると、品質水準、納期管理、秘密保持、安全管理措置、知的財産の帰属、事故時の調査可能性が期待と異なる可能性があります。

次の一覧は、再委託条項で抑えるべき主要リスクを表しています。なぜ重要かというと、再委託先を知らない状態では、漏えい時の原因究明、顧客説明、行政報告、損害賠償請求、再発防止が困難になるためです。各項目を、契約条項と運用ルールの両方で管理すべきリスクとして読み取ってください。

再委託を厳格に見るべき業務は、攻撃面や情報アクセスが広がる業務です。次の比較表は、特に原則禁止または厳格な個別承諾制を検討すべき業務を表しています。情報そのものの重要性だけでなく、本番環境や管理者権限に触れるかも読み取ってください。

個人情報を取り扱う委託契約では、再委託条項は特に重要です。個人データの取扱いを委託する場合、委託先の適切な選定、契約による安全管理措置、委託先における取扱状況の把握などが問題になります。再委託では、再委託先の相手方、業務内容、取扱方法等について事前報告または承認を求めること、必要に応じて監査を行うこと、再々委託以降も同様に扱うことが実務上の出発点です。

次の比較表は、個人データを扱う再委託で必要になる契約事項を表しています。読者にとって重要なのは、承諾の有無だけではなく、選定、契約、監査、終了時対応までつながっている点です。自社のひな形で抜けている項目を読み取ってください。

監督方法は、すべて現地監査にすればよいわけではありません。次の比較表は、リスクの重さに応じた監督方法の例を表しています。重要なのは、低リスクでは実務負荷を抑え、高リスクではログや第三者認証まで確認するように濃淡を付ける点です。

次の一覧は、個人情報、マイナンバー、クラウド、海外再委託、GDPR型サブプロセッサー管理で確認する項目を表しています。なぜ重要かというと、同じ再委託でも、データの種類と所在国によって必要な承諾・通知・監督の水準が変わるためです。自社の契約類型に近い行を重点的に読んでください。

原則禁止または厳格な個別承諾制にすべき場面は、委託者が特定の会社・専門家・担当者を信頼して発注した業務、重要情報を扱う業務、法令上の監督責任が重い業務、事故時の社会的影響が大きい業務、再委託先を監督できない業務です。

次の一覧は、原則禁止に寄せるべき場面を表しています。読者にとって重要なのは、契約金額の大きさではなく、漏えい・停止・公表・行政対応につながる影響の大きさで判断する点です。該当数が多いほど個別承諾制を採用すべきだと読み取ってください。

一方、専門分業が必要な業務やクラウド・SaaSの標準構造では、禁止よりも条件付き許可が合理的です。次の一覧は、条件付き許可に向く場面を表しています。再委託を隠させるより、開示・同等義務・受託者責任で管理する方が実効的な場面を読み取ってください。

次の縦方向の比較は、合計点が上がるほど承認水準を厳しくする考え方を表しています。なぜ重要かというと、多数の契約を扱う法務部門では、同じ評価軸で事業部、法務、情報セキュリティ、購買が議論する必要があるためです。数値は自動的な法的結論ではなく、追加確認の強さを決める目安として読んでください。

スコアリングでは、取り扱う情報、業務重要性、人的信頼、アクセス権限、再委託必要性、監督可能性、事故影響を0点から3点で評価します。16点以上では再委託禁止を基本とし、例外は役員、法務、情報セキュリティの承認に寄せるのが一例です。

同じ再委託条項でも、業務類型によって適切な強さは変わります。システム開発では専門分業が通常ですが、本番環境アクセスや顧客データ移行は厳格に扱います。人事・給与では個人情報やマイナンバーが中心になり、M&Aや不祥事調査では人的信頼と未公表情報が中心になります。

次の比較表は、業務類型ごとの推奨方針と確認項目を表しています。読者にとって重要なのは、類型ごとの標準方針を持つことで、事業部からの相談に一貫して答えられる点です。自社の契約がどの類型に近いかを読み取ってください。

次の一覧は、業務類型を問わず再委託の承認時に追加確認すべき論点を表しています。なぜ重要かというと、再委託条項だけでは、AI学習、外部API、データルーム、広告配信などの実務上の抜け道を捕捉できない場合があるためです。契約書の用語よりも、第三者が実際にデータや成果物をどう扱うかを読んでください。

再委託管理の失敗は、条項の有無ではなく、現場運用との接続不足から起きることが多いです。契約書には事前承認制と書かれているのに、現場が承認手続を知らず、発注書や体制図にも再委託先が出てこない状態では、統制として機能しません。

次の一覧は、よくある失敗例を表しています。なぜ重要かというと、どれも契約文言だけでは発見しにくく、事故時に初めて顕在化しやすいためです。失敗例ごとに、契約締結時と契約期間中の確認ポイントを読み取ってください。

交渉では、受託者が再委託先情報を開示したがらない、委託者が全再委託先への現地監査を求める、緊急時に外部支援が必要になる、業務補助者を再委託から除外したいといった論点が出ます。次の比較表は、典型論点と落としどころを表しています。リスクに応じて開示範囲と監査方法を段階化する点を読み取ってください。

社内規程では、レベル1を公開情報のみの低額定型補助、レベル2を社内情報と標準的外注、レベル3を個人情報・営業秘密・重要業務、レベル4をマイナンバー・要配慮情報・基幹システム・M&A・不祥事と分けると運用しやすくなります。高リスク再委託先は少なくとも年1回、中リスク再委託先は契約更新時、低リスク再委託先は必要に応じてレビューします。

国内の公的資料・実務資料

• 国民生活センター「暮らしの判例 請負契約・委任契約」
• e-Gov法令検索「民法」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドラインに関するQ&A」
• 個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドラインに関するQ&A」
• 個人情報保護委員会「クラウドサービス利用者による委託先の監督について」
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver.3.0」
• 公正取引委員会「下請法は取適法へ」
• 公正取引委員会「フリーランス法特設サイト」
• IPA「情報システム・モデル取引・契約書」
• 経済産業省「AI・データ関連契約チェックリスト」

国際データ保護の参考資料

• Information Commissioner's Office, Contracts and liabilities between controllers and processors
• European Data Protection Board, Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s)