第４－２　特定個人情報の安全管理措置等

第４－２－⑴　委託の取扱い

要点
○　個人番号関係事務又は個人番号利用事務の全部又は一部の委託をする者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。→１Ａ、２Ｃ

「必要かつ適切な監督」には、①委託先の適切な選定、②安全管理措置に関する委託契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれる。→１Ｂ

※　安全管理措置の具体的な内容については、「第４－２－⑵　安全管理措置」及び「（別添１）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。

○　個人番号関係事務又は個人番号利用事務の全部又は一部の「委託を受けた者」は、委託者の許諾を得た場合に限り、再委託を行うことができる。→２Ａ

再委託を受けた者は、個人番号関係事務又は個人番号利用事務の「委託を受けた者」とみなされ、最初の委託者の許諾を得た場合に限り、更に再委託することができる。→２Ｂ

（関係条文）

• 番号法　第10条、第11条
• 個人情報保護法　第25条

• １　委託先の監督（番号法第11条、個人情報保護法第25条） Ａ　委託先における安全管理措置
  個人番号関係事務又は個人番号利用事務の全部又は一部の委託をする者（以下「委託者」という。）は、委託した個人番号関係事務又は個人番号利用事務で取り扱う特定個人情報の安全管理措置が適切に講じられるよう**「委託を受けた者」に対する必要かつ適切な監督を行わなければならない**。

  このため、委託者は、「委託を受けた者」において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。

  なお、「委託を受けた者」を適切に監督するために必要な措置を講じず、又は、必要かつ十分な監督義務を果たすための具体的な対応をとらなかった結果、特定個人情報の漏えい等が発生した場合、番号法違反と判断される可能性がある。

  Ｂ　必要かつ適切な監督
  「必要かつ適切な監督」には、①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれる。

  委託先の選定については、委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項としては、委託先の設備、技術水準、従業者（注１）に対する監督・教育の状況、その他委託先の経営環境等が挙げられる。

  委託先に安全管理措置を遵守させるために必要な委託契約の締結については、契約内容として、秘密保持義務、委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならない。また、これらの契約内容のほか、特定個人情報を取り扱う従業者の明確化、委託者が委託先に対して実地の調査を行うことができる規定等を盛り込むことが望ましい（注２）。

  委託先における特定個人情報の取扱状況の把握については、前記の契約に基づき報告を求めること等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

  • （注１）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。
  • （注２）調査の実施に当たり、その実効性が担保される限りにおいて、デジタル技術を活用した方法によることも可能である。

• ２　再委託（番号法第10条、第11条） A　再委託の要件（第10条第１項）
  個人番号関係事務又は個人番号利用事務の全部又は一部の「委託を受けた者」は、委託者の許諾を得た場合に限り、再委託をすることができる。

  ＊　事業者甲が従業員等の源泉徴収票作成事務を事業者乙に委託している場合、乙は、委託者である甲の許諾を得た場合に限り、同事務を別の事業者丙に委託することができる。

  Ｂ　再委託の効果（第10条第２項）
  再委託を受けた者は、個人番号関係事務又は個人番号利用事務の全部又は一部の「委託を受けた者」とみなされ、再委託を受けた個人番号関係事務又は個人番号利用事務を行うことができるほか、最初の委託者の許諾を得た場合に限り、その事務を更に再委託することができる。

  • ＊　更に再委託をする場合も、その許諾を得る相手は、最初の委託者である。したがって、個人番号関係事務又は個人番号利用事務が甲→乙→丙→丁と順次委託される場合、丙は、最初の委託者である甲の許諾を得た場合に限り、別の事業者丁に再委託を行うことができる。更に再委託が繰り返される場合も同様である。なお、乙は丙を監督する義務があるため、乙・丙間の委託契約の内容に、丙が再委託する場合の取扱いを定め、再委託を行う場合の条件、再委託した場合の乙に対する通知義務等を盛り込むことが望ましい。
  • ＊　「委託を受けた者」が、番号法第10条の規定に違反して、最初の委託者の許諾を得ずに個人番号関係事務又は個人番号利用事務を再委託した場合、「委託を受けた者」は同法第19条（提供制限）にも違反することとなり、当該再委託を受けた者も同法第15条（提供の求めの制限）及び第20条（収集・保管制限）に違反すると判断される可能性があるため、留意する必要がある。

  Ｃ　再委託先の監督（第11条）
  １Ａにおける「委託を受けた者」とは、委託者が直接委託する事業者を指すが、甲→乙→丙→丁と順次委託される場合、乙に対する甲の監督義務の内容には、再委託の適否だけではなく、乙が丙、丁に対して必要かつ適切な監督を行っているかどうかを監督することも含まれる。したがって、甲は乙に対する監督義務だけではなく、再委託先である丙、丁に対しても間接的に監督義務を負うこととなる。

第４－２－⑵　安全管理措置

●　安全管理措置（番号法第12条、個人情報保護法第23条、第24条）
個人番号関係事務実施者又は個人番号利用事務実施者である事業者は、個人番号（生存する個人のものだけでなく死者のものも含む。）及び特定個人情報（以下「特定個人情報等」という。）の漏えい、滅失又は毀損の防止その他の特定個人情報等の管理のために、必要かつ適切な措置を講じなければならない。また、従業者（注）に特定個人情報等を取り扱わせるに当たっては、特定個人情報等の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

※　安全管理措置の具体的な内容については、「（別添１）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。