再委託条項とは？業務委託契約でどこまで認めるべきかを整理する｜Legal GPT

「誰がこの仕事をしているのか」を把握できているか

業務委託契約を締結した後、実際の作業が別の会社や個人に回されていた——そういう場面に遭遇したことがある担当者は少なくないだろう。IT開発・コールセンター・設計業務・調査業務など、現代のビジネスでは再委託（外注）は珍しくない。問題は、その再委託が契約上どのように規律されているか、あるいはまったく規律されていないか、である。

発注者側からすれば、誰が作業しているかを把握できなければ、情報漏えいリスク・品質管理・責任の帰趨を管理できない。一方、受託者側からすれば、現実の業務遂行では専門業者への外注は不可欠であり、案件のたびに発注者の承諾を取りつけるプロセスが重荷になることもある。

この記事では、再委託条項の設計バリエーションと実務上の留意点を、発注者・受託者の双方の視点から体系的に整理する。条文サンプルとチェックリストも示すので、契約レビューや交渉の場でそのまま活用してほしい。法令・行政解釈に関する記述は、e-Gov法令検索、個人情報保護委員会、公正取引委員会、中小企業庁、厚生労働省等の一次資料に基づいている。

再委託条項の基本——民法との関係と契約設計の必要性

請負契約（民法632条以下）の場合

民法632条以下の請負は、請負人が仕事の完成を約し、注文者がその仕事の結果に対して報酬を支払うことを内容とする契約である。民法には、請負人による第三者への再委託（下請負）の可否を直接定めた規定は置かれていない。仕事の完成が目的であり、請負人自身が労務を提供することが当然の前提とはされていないことから、一般に、特約がなければ第三者を用いることも許されると解されている。

もっとも、これは「請負であれば再委託は常に自由」という意味ではない。契約で再委託を禁止・制限していればそれに従うことになるし、当事者の技能・資格・信頼関係が特に重視される業務や、仕様上その者自身の遂行が予定されている業務では、契約解釈上、再委託が許されないと判断される余地がある。可否は、契約条項・業務の性質・当事者の合理的意思など個別事情を踏まえて判断すべきものであり、契約類型だけで機械的に結論が出るわけではない。

委任・準委任契約（民法643条・644条・644条の2・656条）の場合

委任は、当事者の一方が法律行為をすることを相手方に委託し、相手方がこれを承諾することによって効力を生ずる契約である（民法643条）。受任者は、委任の本旨に従い、善良な管理者の注意をもって委任事務を処理する義務を負う（同法644条）。

復受任者の選任について、民法644条の2第1項は、「受任者は、委任者の許諾を得たとき、又はやむを得ない事由があるときでなければ、復受任者を選任することができない」と定める。すなわち、①委任者の許諾がある場合、②やむを得ない事由がある場合のいずれかに当たらなければ、受任者は復受任者を選任できない。法律行為でない事務の委託（準委任）についても、民法656条により委任の規定が準用されるため、同じ枠組みが妥当する。

なお、同条2項は、代理権を付与する委任において、受任者が代理権を有する復受任者を選任したときに、復受任者が委任者に対して、その権限の範囲内において受任者と同一の権利を有し義務を負うことを定めた規定である。委任者と復受任者との間の権利義務関係を明らかにするものであって、「無断で復受任者を選任した受任者が責任を免れない」ことを定めた規定ではない。無断選任の場面における受任者の責任は、善管注意義務違反や債務不履行の一般原則、あるいは契約上の特約によって処理されることになる。条文の引用を誤るとレビュー方針そのものがずれるため、この点は正確に押さえておきたい。

再委託条項が争点になりやすい場面

再委託に関する紛争や問題が生じやすいのは、次のような局面である。まず、再委託先の従業員が情報を漏えいさせた場合に、発注者が「そもそも再委託を認識していなかった」として責任の所在を争う場面。次に、再委託先が業務品質を満たさず納品物に契約不適合が生じた場合。さらに、再委託先における個人データの取扱いが適切でなく、委託元・委託先の監督体制が問われる場合などである。いずれも、事前に再委託条項を適切に設計しておくことで、リスクを相当程度低減できる。

承諾方式のバリエーション比較——5つの設計パターン

再委託に関する承諾の仕組みは、実務上おおむね5つのパターンに整理できる。以下の比較表で、それぞれの特徴・メリット・デメリット・適した場面を確認する。

「重要業務」の定義問題

④の重要業務のみ承諾制を採用する場合、「重要業務」の範囲をいかに定義するかが実務上の最大の論点になる。契約書に「主要な業務」「核心的な業務」と曖昧に記載するだけでは、のちに「その外注は承諾が必要だったか否か」をめぐって争いが生じる。

実務的には、業務仕様書（SOW）または別紙に「承諾を要する業務の一覧」を列挙し、それ以外は通知で足りるとする構造が明確で運用しやすい。また、個人データの取扱いを伴う業務や秘密情報にアクセスできる業務は、類型として事前承諾の対象とする旨を明記する方法も有効である。

発注者側・受託者側それぞれの交渉視点

再委託条項の設計では、発注者と受託者の利害が正面から対立する。それぞれの立場から何を求め、何をリスクと考えているかを整理しておくことが、交渉の出発点になる。

現実的な落としどころ

実務上、多くの業務委託契約では「包括承諾制＋変更時通知（または事前承諾）」の組み合わせが採用されることが多い。契約締結時に現時点での再委託先リストを別紙として添付し、発注者が確認・合意したうえで、それ以降の変更時には事前通知または事前承諾を義務付ける設計である。この構造であれば、受託者は既存の外注体制を維持しつつ業務を開始でき、発注者は変更時のコントロールを維持できる。

さらに、個人データの取扱いを伴う業務や機密性の高い業務（コア設計・セキュリティ関連作業など）については、別途「この業務類型については変更の都度書面による事前承諾を要する」と特則を設けることで、重要業務に絞ったコントロールと運用の柔軟性を両立できる。

個人情報保護法上の委託・再委託の整理（法23条〜25条・27条5項1号・28条）

再委託を論じるうえで最も条文の取り違えが起きやすいのが個人情報保護法である。まず、条番号を正確に押さえておきたい。

① 委託先の監督は「法25条」——委託元が行うべき3つの措置

法25条は、個人データの取扱いの全部又は一部を委託する場合、委託を受けた者において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督を行わなければならないと定める。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4は、委託元が、法23条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう監督を行うものとしたうえで、次の3つの措置を挙げている。

② 再委託・再々委託についてガイドラインが示す考え方

通則編ガイドライン3-4-4は、委託先が再委託を行おうとする場合について、委託を行う場合と同様に、委託元は、次の対応により、委託先が再委託先に対して法25条の委託先の監督を適切に果たすこと、および再委託先が法23条に基づく安全管理措置を講ずることを十分に確認することが望ましいとしている。

ここで注意したいのは、ガイドラインが「望ましい」と記載している事項については、それに従わなかったことをもって直ちに法違反と判断されるものではない、という点である（通則編ガイドライン1-1参照）。もっとも、これは監督が不要という意味ではまったくない。

③ 「委託だから本人同意は常に不要」ではない——法27条5項1号の正確な読み方

法27条5項1号は、個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合、その提供先は「第三者」に該当しないと定める。通則編ガイドライン3-6-3は、この場合、提供先は、委託された業務の範囲内でのみ本人との関係において委託元と一体のものとして扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできないと整理している。

したがって、実務では次の3点を分けて確認する必要がある。第一に、その提供が「利用目的の達成に必要な範囲内」の委託に伴うものか。第二に、委託先（および再委託先）の取扱いが委託された業務の範囲内にとどまっているか。第三に、法27条5項1号に該当する場合であっても、委託元は法25条の監督責任を免れるわけではない、という点である。「委託と整理したから個人データの提供は同意不要」と機械的に処理すると、委託の範囲を超えた利用が生じた場面で説明できなくなる。

④ 契約上の「再委託」と、個人情報保護法上の「個人データの取扱いの委託」は別概念

ここは実務で最も混乱が生じやすいところである。契約書の再委託条項でいう「再委託」は、当事者が契約で定義した概念であり、その射程は契約次第で広くも狭くもなる。他方、個人情報保護法上の「個人データの取扱いの委託」は、通則編ガイドライン3-4-4の注記が示すとおり、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることを指す概念である。

その結果、契約上は「再委託に当たらない」と整理した取引であっても、個人情報保護法上は個人データの取扱いの委託に該当し、法25条の監督義務が生じることがあり得る。逆に、契約上は再委託の承諾手続が必要でも、個人データの取扱いが一切生じない業務であれば個人情報保護法の委託の議論は起きない。契約上の定義と法令上の概念は、別々に整理して両方を確認するのが正しい進め方である。

再委託先への義務の「連鎖」——秘密保持・個人情報・品質管理・責任

再委託条項において、承諾の仕組みと同等以上に重要なのが「義務の下方連鎖（flow-down）」の設計である。受託者が発注者に対して負っている義務を、再委託先にも同等以上の水準で課す仕組みが機能していなければ、承諾を得ても実質的なリスク管理は成立しない。

① 秘密保持義務の連鎖

受託者は、再委託先に対して本契約と同等の秘密保持義務を課す義務を負う旨を明示することが基本である。この際、単に「秘密保持義務を課すこと」とだけ書くのではなく、「本契約で定める秘密保持条件と同等以上の条件で、書面による秘密保持契約を締結すること」と明記することが望ましい。また、再委託先が秘密保持義務に違反した場合の責任の所在（後述の契約上の責任集約の構成）も併せて規定しておく。

② 個人情報管理の連鎖

再委託先が個人データを取り扱う場合、前章で整理したとおり、委託元には法25条の監督義務が課され、再委託・再々委託についても同様の考え方が及ぶ。契約条項としては、たとえば「受託者は、再委託先が本契約に定める個人データの管理基準と同等以上の管理体制を有することを確認のうえ再委託先を選定し、再委託先との間で個人データの適切な取扱いを義務付ける書面を取り交わすものとし、再委託先および再々委託先以降の者に係る名称・業務内容・個人データの取扱方法を、あらかじめ発注者に報告する」という形で規定する例が実務上多い。

③ 品質管理・業務水準の連鎖

再委託を認める場合、再委託先が提供する業務の品質が本契約で求められる水準を下回るリスクがある。このため、「受託者は、再委託先に対して本契約で定める品質基準・業務水準を遵守させ、再委託先の業務の品質について発注者に対し引き続き責任を負う」という構成を明示しておく必要がある。

実務的には、受託者が再委託先を選定する際の基準（認証取得の有無、体制・実績要件など）を別紙や附属書で定めるケースもある。また、発注者が再委託先への立入検査や監査権を留保するかどうかも、業務の性質・リスクレベルに応じて判断すべき事項である。

④ 契約上の責任の集約

再委託先が業務上の契約違反・違法行為を行った場合、当該再委託先自身が自らの責任を負うのが原則であるが、契約実務では「受託者が再委託先の行為について発注者に対し直接責任を負う」旨の条項を明記することが一般的である。これにより、発注者は再委託先との直接の法律関係を意識することなく、受託者に対して損害賠償を請求できる。

この規定は、発注者にとっては重要な条項である。一方、受託者側からすれば、再委託先の行為リスクを自社で引き受けることになるため、再委託先の選定・管理に十分な注意を払うとともに、再委託先との間の契約に求償・損害賠償条項を適切に設けておくことが重要である。

条項例——悪い例・改善例で確認する

実際の契約書でよく見かける問題のある条項例と、それを改善した条項例を対比させて確認する。

【パターン①】再委託に関する規定が存在しない

この状態では、契約の性質決定（請負型か委任・準委任型か、あるいは混合か）によって再委託の可否の解釈が分かれるうえ、情報管理義務・品質管理義務の連鎖がまったく保証されない。発注者・受託者のどちらにとっても、のちにトラブルの温床となる。

【パターン②】漠然とした事前承諾条項

この条項には重大な欠落がある。「承諾なく再委託した場合の効果」が不明、「再委託先に対する義務の連鎖」がない、「承諾の方式（書面か否か）」が不明確、「再々委託の扱い」も規定されていない。実務上のトラブルに対応する条項としては不十分である。

【パターン③】改善例（包括承諾制＋義務連鎖型）

この改善例では、包括承諾制（別紙リスト方式）により運用の利便性を確保しつつ、義務の連鎖（第3項）・個人データに係る事前報告（第4項）・契約上の責任集約（第5項）・変更時の手続き（第6項）・違反の効果（第7項）を一体として規定している。第2項の「合理的な理由なき拒絶禁止」は受託者側の要求を取り込んだもので、双方のバランスを取る設計になっている。第4項は、通則編ガイドライン3-4-4が再委託について事前報告・承認等を望ましい措置として挙げていることを、契約上の履行手段として落とし込んだものである。

【パターン④】重要業務のみ承諾制の条項例

再委託先の変更管理——設計と運用の実際

再委託先は固定ではなく、契約期間中に変更・追加・削除が生じるのが通常である。この「変更」をどのように管理するかが、実務上の運用の質を左右する。個人データの取扱いを伴う場合には、変更管理の実効性がそのまま法25条の監督の実効性につながる。

海外再委託・クラウドサービス利用との関係

海外再委託は、国内再委託と同じ枠組みでは処理できない

再委託先が日本国外に所在する場合（または再委託先が国外で個人データを処理する場合）、国内再委託と同じ説明では処理できない。個人情報保護法上、外国にある第三者への個人データの提供は法28条の規律に服し、「委託」であることを理由に本人同意が不要となるわけではない。法28条1項は、外国にある第三者に個人データを提供する場合には、法27条1項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならず、この場合においては法27条の規定は適用しないと定めている。つまり、国内の委託であれば使える法27条5項1号の整理は、そのままでは使えない。

したがって、外国にある事業者への個人データの取扱いの委託についても、原則として法28条1項の検討が必要となる。実務上の分岐は次の3つに整理できる。

再委託条項の設計としては、②のルートを前提に「受託者は、外国にある再委託先に個人データの取扱いを委託する場合、規則で定める基準に適合する体制を整備している者に限るものとし、相当措置の継続的な実施を確保するために必要な措置を講じ、その状況を発注者に報告する」といった規律を置く方法が考えられる。いずれのルートを採るにせよ、国内再委託の条項をそのまま海外再委託に流用しないことが実務上の要点である。

外為法その他の規制との交差

個人情報保護法以外にも、外国為替及び外国貿易法（外為法）の輸出管理規制との関係に注意が必要な場合がある。技術情報や設計情報が規制対象の「技術」に該当し、それを外国法人の再委託先に提供することが役務取引の規制対象となるケースがあり得る。エネルギー・インフラ・先端技術関連の案件では、再委託の承諾判断のプロセスに、輸出管理部門の確認を組み込んでおくのが安全である。個別の該非判定は、所管省庁の公表資料および社内の輸出管理規程に沿って行う必要がある。

クラウドサービス利用と再委託条項の交差

「業務そのものを第三者に委ねる再委託」と「業務遂行の手段としてのツール・インフラの利用」は、契約上の概念として区別できる。この区分を条項に明示しておかないと、通常のSaaS利用のたびに発注者の承諾が必要かどうかをめぐって不毛な解釈論が生じる。

ただし、「SaaS・IaaSの利用だから個人情報保護法上も再委託ではない」と断定することはできない。個人情報保護委員会の「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Q7-53は、クラウドサービスの利用が本人の同意が必要な第三者提供（法27条1項）または委託（法27条5項1号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において当該個人データを取り扱うこととなっているのかどうかが判断の基準となるとしている。取り扱わないこととなっている場合には、個人データを提供したことにはならない、という整理である。

重要なのは、この「取り扱わないこととなっている場合」に当たるかどうかが、契約条項の文言だけで決まるものではないという点である。同Q&Aは、契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、かつ、適切にアクセス制御が行われているといった実態を前提としている。個人情報保護委員会は、実際の行政上の対応事例においても、契約上の記載にかかわらず、事業者が個人データにアクセス可能な状態にあり、取扱いを防止するための技術的なアクセス制御等の措置が講じられていなかったことを考慮して、当該例外の適用を認めなかった例がある。

なお、クラウド事業者が個人データを取り扱わないこととなっている場合であっても、当該サーバに保存された個人データについて、利用者側は自らの安全管理措置（法23条）を講ずる必要がある。サーバが外国にある場合には、通則編ガイドライン別添「10-7 外的環境の把握」の観点から、当該外国の個人情報の保護に関する制度等を把握したうえで安全管理措置を講ずることが求められる。

契約実務上は、「本条における再委託には、業務の補助的手段として利用するクラウドサービス（IaaS・PaaS・SaaSを含む）の利用は含まない。ただし、受託者は、当該クラウドサービスにおいて個人データが取り扱われることとなる場合には、その旨をあらかじめ発注者に報告し、個人情報保護法に従い適切に対処する」といった除外・留保条項を設けることで、通常のクラウド利用が逐一承諾対象になることを避けつつ、法令上の整理を落とさない構成にできる。あわせて、責任共有モデルにおける管理責任の分界（OS・ミドルウェア層の管理をどちらが担うか）を取り決めておくと、事故時の対応が明確になる。

再委託先が中小企業・フリーランスの場合——取適法・フリーランス法との交差

下請法は「取適法」に——2026年1月1日施行の改正

本記事の主軸は民法・個人情報保護法・秘密保持・契約責任であるが、受託者が中小企業や個人事業主に再委託する場合には、別の法規制が交差する。ここで押さえておくべきなのが、いわゆる下請法の改正である。

公正取引委員会の公表によれば、「下請代金支払遅延等防止法及び下請中小企業振興法の一部を改正する法律」が令和7年5月16日に成立し、同月23日に公布された。これにより、法律名は「下請代金支払遅延等防止法」から「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」（略称：中小受託取引適正化法、通称：取適法）に改められ、2026年（令和8年）1月1日から施行されている。現行制度を説明する場面では、旧法下の「親事業者」「下請事業者」という用語は用いず、次の用語に置き換える必要がある。

再委託の場面では、受託者が中小受託事業者に外注する際、受託者自身が委託事業者として取適法の適用を受ける可能性がある。適用の有無は取引ごとに判断されるため、「当社は下請法の対象外だから関係ない」という旧来の整理をそのまま持ち込むことはできない。従業員基準の追加により、資本金基準では対象外だった取引が対象となる場合がある点は、特に確認が必要である。

再委託先がフリーランスの場合

再委託先が個人で業務を受託するフリーランスである場合には、「特定受託事業者に係る取引の適正化等に関する法律」（フリーランス・事業者間取引適正化等法）の適用も確認する必要がある。同法は2024年（令和6年）11月1日に施行されており、発注事業者に対し、業務委託した際の取引条件の明示、報酬の支払期日、禁止行為、募集情報の的確表示、就業環境の整備、一定の場合の中途解除等の予告といった義務を課している。

再委託の場面では、受託者が発注事業者側に立つことになるため、受託者としては自社が同法の適用を受けるかを確認し、取引条件明示や支払期日の管理といった実務対応を整えておく必要がある。発注者側の視点としては、再委託先との取引が適正に行われているかを、コンプライアンスリスクの一要素として意識しておくことになる。もっとも、前章で述べたとおり、受託者が再委託先に対して負うこれらの義務は、当該取引の当事者に課されたものであり、元の発注者が当然に同一の義務主体となるものではない。契約上どこまでの表明保証・遵守義務を求めるかは、別途の設計判断である。

再委託条項のレビューチェックリスト

以下のチェックリストを、契約レビューの際に活用してほしい。発注者・受託者いずれの立場でも共通して確認すべき事項を網羅している。なお、各項目は「すべての契約で必ず満たすべき法定要件」ではなく、リスクに応じて要否と水準を判断する検討項目である。

発注者・受託者別の追加確認事項

実務で動く——交渉時の具体的アクション

発注者として対応する場合

発注者として再委託条項を設計または修正する際のポイントは、まず「この業務にとって再委託が現実的に発生するか」を見極めることである。IT開発・コールセンター・翻訳・調査業務などは再委託が常態的に発生しうる。これらの業務では包括承諾制＋定期更新の仕組みを採用したうえで、個人データの取扱いを伴う業務や機密業務については別途事前承諾を求める二段構えが実用的である。

相手方から「承諾の合理的理由なき拒絶禁止」条項を求められた場合、これは必ずしも不当ではない。ただし、「合理的理由の例示」（情報管理体制の不備、過去のインシデント、競合関係等）を明記することで、発注者側の判断権限を実質的に確保しておくことができる。

あわせて、個人データの取扱いがある案件では、契約締結時に条項を整えるだけでなく、締結後の運用（再委託先の報告受領、定期確認、リストの更新）まで社内で誰が担うかを決めておくことが重要である。法25条の監督は、契約書に書いた時点ではなく、運用が回って初めて履行される。

受託者として対応する場合

受託者として交渉に臨む場合、現時点の外注先リストを契約締結前に整備し、初回から包括承諾を得る形を提案するのが実務上の定石である。「全件事前承諾制」を求められた場合は、運用コストと遅延リスクを具体的に示しながら、業務内容に応じた分類（重要業務のみ承諾・それ以外は通知）を対案として提示する。

また、受託者は自社の再委託先との間の契約においても、本契約の義務連鎖を適切に反映させることを忘れがちである。再委託先から同等の秘密保持・品質保証・賠償責任の担保を取り付けておかなければ、発注者から損害賠償を受けた際の求償が困難になる。加えて、再委託先が中小受託事業者やフリーランスに当たる場合には、自社が取適法・フリーランス法の名宛人となり得ることも念頭に置いておきたい。

よくある質問（FAQ）