個人情報・データ取扱いのリーガルチェック｜委託・共同利用・第三者提供

個人情報・データ取扱いはなぜ重要なのか

結論として、個人情報や顧客データは、企業の信用・法令遵守・取引継続に直結する重要情報です。

漏えい、目的外利用、無断提供、不十分な委託先管理があると、本人対応、行政対応、取引先対応、損害賠償、レピュテーションリスクにつながります。秘密保持条項は重要ですが、個人情報保護法上の確認とは別に考える必要があります。契約書レビューでは、データの種類、流れ、利用目的、関与者、管理方法、終了時処理を確認します。

まず押さえたい用語の違い

結論として、どの種類の情報を扱うかで、確認ポイントが変わります。

個人情報、個人データ、保有個人データ、要配慮個人情報、匿名加工情報、仮名加工情報、統計情報、顧客データなどは、それぞれ意味が異なります。特に、匿名加工情報・仮名加工情報・統計情報は別の概念であり、混同しないように注意します。個人情報に該当するか判断が難しい場合は、法務・個人情報担当・専門家に確認します。

最初に確認すべき全体像

結論として、個人情報・データ取扱いでは、まず「どのデータを、誰が、何のために、どこで、誰に渡し、いつ消すのか」を確認します。

契約書本文だけでなく、仕様書、業務フロー、データフロー図、セキュリティチェックシート、委託先管理資料も確認します。まずは最初に見るべき項目を押さえましょう。

確認事項1：個人情報を扱う契約かどうか

結論として、まず、その契約で個人情報を扱うかを確認します。

システム開発、SaaS、BPO、コールセンター、配送、給与計算、採用、マーケティング、広告配信、問い合わせ対応、保守運用などで個人情報が関係しやすいです。契約書に「個人情報」と書かれていなくても、実際の業務で個人情報に触れる場合があります。アクセス権限だけがある場合、閲覧可能な場合、ログに残る場合なども確認します。個人情報を扱わない前提なら、その前提が仕様書・運用上も正しいかを確認します。

確認事項2：データフローを確認する

結論として、個人情報の取扱いでは、データがどこから来て、どこに保存され、誰がアクセスし、どこへ提供されるかを確認します。

契約書だけではデータの流れが分からないことが多いため、データフロー図や業務フローを確認することが有効です。データを受け取るだけか、閲覧するだけか、加工するのか、保存するのか、第三者に渡すのかで、確認ポイントが変わります。

※ データの流れの一例です。実際の流れは契約・業務ごとに異なります。各段階で「誰が・何のために・どこで」扱うかを確認します。

確認事項3：委託・共同利用・第三者提供の違い

結論として、個人情報の取扱いが委託なのか、共同利用なのか、第三者提供なのかを整理することが重要です。これらは別の概念であり、同じものとして扱うことはできません。

委託は、本人に対する自社の利用目的の範囲内で、業務を外部に任せるイメージです。共同利用は、一定の事項を本人に通知・公表等したうえで、特定の範囲の者と共同で利用するイメージです。第三者提供は、第三者に個人データを提供する場面です。ただし、どの類型にあたるかの個別判断は事案によるため、断定はせず、必要に応じて個人情報担当や弁護士に確認します。

確認事項4：委託の場合のチェックポイント

結論として、委託の場合、委託先に個人データを安全に取り扱わせる必要があります。

契約書では、利用目的の範囲、目的外利用禁止、秘密保持、安全管理措置、再委託、漏えい時報告、返還・削除、監査、委託先の責任などを確認します。委託元には、委託先を適切に監督する観点が求められます。委託元側と委託先側で、見るポイントが異なります。

確認事項5：再委託・再々委託の扱い

結論として、個人情報を扱う業務では、再委託先が関与することがあります。

再委託を禁止するのか、事前承諾制にするのか、通知制にするのかを確認します。再委託先に同等の義務を課すか、再委託先の違反について委託先が責任を負うかも確認します。クラウドサービスやサブプロセッサが関係する場合もあります。再々委託の可否や海外再委託にも注意します。

確認事項6：共同利用の場合のチェックポイント

結論として、共同利用をする場合、共同利用する個人データの項目、共同利用者の範囲、利用目的、管理責任者などを確認します。

共同利用は、グループ会社間の顧客情報共有などで問題になることがあります。契約書だけでなく、プライバシーポリシーや本人への通知・公表内容との整合も重要です。共同利用の範囲が広すぎないか、管理責任者が明確かを確認します。共同利用には所定の要件があるため、要件の確認が大切です。

確認事項7：第三者提供の場合のチェックポイント

結論として、第三者提供では、本人同意や法令上の例外、提供記録などの確認が必要になる場合があります。

提供先、提供するデータ項目、提供目的、提供方法、本人同意の取得方法、オプトアウト、記録義務を確認します。契約書だけでなく、本人同意文言、申込フォーム、プライバシーポリシー、利用規約との整合を確認します。第三者提供か委託かは、実態に応じた整理が必要です。なお、個人情報を扱う場合に「必ず本人同意が必要」と一律には言えません。法令上の例外もあるため、詳細判断は必要に応じて個人情報担当・弁護士へ確認します。

確認事項8：外国にある第三者への提供・海外保管

結論として、外国にある第三者への個人データ提供や、海外クラウド・海外委託先の利用がある場合は、追加の確認が必要になることがあります。

データがどの国・地域に保存されるか、誰がアクセスするか、外国にある第三者に該当するかを確認します。本人同意、情報提供、体制整備、委託・共同利用・第三者提供の整理が関係する場合があります。なお、「海外クラウドなら必ず違法」または「海外クラウドなら何も問題ない」と極端に決めつけることはできません。契約内容・データの流れ・法令上の位置づけにより確認が必要です。海外SaaS、クラウド、サポートセンター、オフショア開発などが例になります。

確認事項9：安全管理措置・セキュリティ

結論として、個人情報を扱う契約では、安全管理措置やセキュリティ水準を確認する必要があります。

アクセス制限、暗号化、ログ管理、権限管理、教育、物理的管理、技術的管理、組織的管理などを契約や別紙で定めることがあります。セキュリティチェックシートや委託先評価と連動することもあります。法務だけで判断しにくい場合は、情報システム部門・セキュリティ担当への確認が必要です。「合理的な安全管理措置」など抽象的な表現だけで足りるかは、案件に応じて確認します。

確認事項10：漏えい等発生時の対応

結論として、個人情報の漏えい、滅失、毀損などが発生した場合の対応を確認します。

契約書では、発見時の報告期限、報告内容、原因調査、被害拡大防止、本人対応、個人情報保護委員会への報告、再発防止、費用負担、損害賠償を確認します。委託先が先に事故を発見した場合の連絡ルートも明確にします。なお、法令上の漏えい等報告・本人通知の要否は事案により異なるため、ここでは断定しません。第9話の損害賠償も参照してください。

確認事項11：利用目的・目的外利用禁止

結論として、個人情報は、利用目的との関係が重要です。

契約書では、委託先が委託業務の目的以外に個人情報を利用しないことを定めることが多いです。マーケティング利用、分析利用、学習利用、サービス改善利用、二次利用などは、利用目的との関係を確認する必要があります。統計化・匿名化・仮名加工などを行う場合も、契約上の扱いを確認します。AI学習利用や外部ツール利用については、社内ルール・本人説明・契約条件との整合を慎重に確認します。

確認事項12：契約終了後の返還・削除・消去

結論として、契約終了後に個人情報やデータをどうするかを確認します。

返還、削除、消去、破棄、バックアップからの削除、削除証明書、再委託先への削除指示を確認します。法令・監査・紛争対応・社内規程上、一定期間の保存が必要な場合もあるため、例外も確認します。データ移行や引継ぎが必要な場合は、形式・期限・費用も確認します。終了後に受託者がデータを保持し続ける場合は、その理由と範囲を明確にします。

確認事項13：本人対応・開示請求・問い合わせ

結論として、本人から問い合わせ、開示請求、訂正、利用停止、削除等の請求がある場合、誰が対応するかを確認します。

委託先が本人から直接問い合わせを受けた場合の対応も整理します。本人対応は、契約書だけでなく、プライバシーポリシー、社内規程、カスタマーサポート運用とも関係します。契約上、受託者の協力義務、回答期限、費用負担を定めることがあります。

確認事項14：発注者側・受託者側で見方はどう変わるか

結論として、個人情報・データ取扱条項は、自社が委託元・発注者側か、委託先・受託者側かで見方が変わります。

委託元側では、委託先監督、再委託、漏えい時対応、削除・返還、監査を重視します。委託先側では、取扱範囲、責任範囲、過度な監査、漏えい時の費用負担、損害賠償上限を重視します。どちらが正しいというより、データの性質・業務内容・リスクに応じたバランスが重要です。

個人情報・データ取扱条項と他条項の関係

結論として、個人情報・データ取扱条項は、他の条項と密接に関係します。

秘密保持条項も重要ですが、それだけでは足りない場合があります。知的財産条項ではデータベースや分析結果・成果物の権利帰属が、損害賠償条項では漏えい時の賠償上限や例外が問題になります。再委託条項、契約終了時の返還・削除、監査条項、解除条項とも関係します。

個人情報・データ取扱条項の見落としを減らす関連ツール

委託、再委託、共同利用、第三者提供、海外保管、漏えい時対応は、契約書レビューで見落とすと影響が大きい部分です。レビューの初動で論点を洗い出し、過去の類似相談や法令更新を確認しながら進めることで、確認漏れを減らしやすくなります。

いずれも、最終的な判断は人が行うことが前提の補助ツールです。一次チェックの型づくり、論点のたたき台、過去相談の検索、法令更新の確認などに役立ちます。

個人情報・データ取扱いの確認フロー

結論として、個人情報・データ取扱いは、個人情報を扱うかの確認から他条項・社内規程との関係まで順番に押さえると抜けにくくなります。

法務から依頼部門への確認質問例

結論として、個人情報・データ取扱いについて確認するときは、責めずに、判断材料を集めるために聞きます。質問は短く、具体的に、何を返してほしいかを明確にします。以下はそのまま使える文例です。

初心者向け：個人情報・データ取扱いチェックリスト

結論として、この記事の内容は、契約締結前・業務実施中・契約終了時の3段階に整理できます。法務だけでなく、営業・事業部門・情報システム部門・個人情報担当の方も使える内容です。

個人情報・データ取扱条項でよくある失敗

結論として、個人情報・データ取扱条項には典型的な失敗パターンがあります。知っておくと、同じ失敗を避けやすくなります。

まとめ｜個人情報・データ取扱いは秘密保持とは別に確認する

次回は、表明保証条項とは何か、どこまで確認すべきかを整理します。データの適法取得などは、表明保証条項とも関係する論点です。