委託しても責任は残ります｜個人情報の3つの監督義務と、公表する6項目

ガジェット
2026.09.28

この記事には広告はありません。当サイトの他の記事には広告・アフィリエイトリンクが含まれています。

結論：外に出しても監督義務は残り、公表する項目は6つあります

個人情報保護法は、安全管理について3つの場所に義務を置いています。自分の措置、従業者の監督、委託先の監督です。クラウドや外注を使っても、監督する側の義務は消えません。

そして別に、保有個人データについて6項目を本人の知り得る状態に置く義務があります。プライバシーポリシーに何を書くかは、ここから決まります。

1. 3つの監督義務

条文 義務
第23条（安全管理措置） 取り扱う個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じる
第24条（従業者の監督） 従業者に個人データを取り扱わせるに当たり、安全管理が図られるよう、必要かつ適切な監督を行う
第25条（委託先の監督） 取扱いの全部または一部を委託する場合、委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行う

3つとも「必要かつ適切な」という同じ言葉が使われています。委託は責任の移転ではなく、監督対象が増えることだと読めます。

「全部又は一部を委託する場合」なので、一部だけの委託も対象です。予約システム、会計ソフト、名簿の入力代行、DMの発送代行などが当てはまります。

2. 本人の知り得る状態に置く6項目

法第32条第1項が4項目、政令第10条がさらに3項目を定めています（重複を整理すると6項目です）。

根拠 項目
法32条1項一号 事業者の氏名または名称および住所、法人にあっては代表者の氏名
法32条1項二号 すべての保有個人データの利用目的
法32条1項三号 利用目的の通知の求め、開示・訂正・利用停止等の請求に応じる手続（手数料の額を定めたときはその額を含む）
政令10条一号 法23条により安全管理のために講じた措置（知り得る状態に置くことで安全管理に支障を及ぼすおそれがあるものを除く）
政令10条二号 保有個人データの取扱いに関する苦情の申出先
政令10条三号 認定個人情報保護団体の対象事業者である場合、その団体の名称および苦情の解決の申出先

政令10条一号に例外が付いている点が実務的です。セキュリティの手法をそのまま書くと安全管理に支障が出る場合は、その部分は除いてよいことになっています。

3. 「本人の知り得る状態」はウェブ掲載だけではありません

条文にかっこ書きがあります。

本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

問われたら遅滞なく答えられる体制も「知り得る状態」に含まれます。必ずサイトに全部書かなければならないわけではありません。ただし何を聞かれても答えられるように整理しておく必要があります。

4. 利用目的の通知を求められたとき

法第32条第2項・第3項です。

  • 本人から、その本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく通知する
  • 例外は、第1項の規定により利用目的が明らかな場合、および法21条4項1号から3号に該当する場合
  • 通知しない旨の決定をしたときも、遅滞なくその旨を通知する（第3項）

第3項を見落とすと、「答えないまま放置」が違反になります。断るにも連絡が必要です。

5. 請求を受け付ける手続は決められます

法第37条は、開示等の請求等を受け付ける方法を政令の定めにより事業者が定めることができるとしています。定めた場合、本人はその方法に従って請求します。

あわせて、事業者側の配慮義務も置かれています。

項 内容
2項 対象となる保有個人データ等を特定するに足りる事項の提示を求めることができる。この場合、本人が容易かつ的確に請求できるよう、特定に資する情報の提供その他本人の利便を考慮した適切な措置をとる
3項 請求は代理人によってすることができる
4項 手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮する

4項があるため、「来店のうえ書面で、身分証2点と手数料」のような重い手続を一律に課すことはできません。

6. 手数料は取れますが額の表示が必要です

法32条1項三号のかっこ書きに「第38条第2項の規定により手数料の額を定めたときは、その手数料の額を含む」とあります。取るなら額を知り得る状態に置く必要があります。

実務としてやること

  1. 個人データを扱っている外部サービスと外注先を一覧にする。予約システム、会計ソフト、入力代行、発送代行を漏らさない。
  2. それぞれについて、安全管理が図られているかを確認する手段があるかを点検する。契約書に安全管理の条項があるか、報告を受けられるか。
  3. 従業者への監督として、取扱いのルールと教育の記録があるかを確認する。
  4. 公表・回答できる状態にすべき6項目を突き合わせる。とくに代表者の氏名と苦情の申出先は抜けやすい。
  5. 安全管理のために講じた措置は、支障が出る部分を除いて書く。「適切に管理しています」だけでは項目を満たしたことになりにくい。
  6. 利用目的の通知を断る場合も、断る旨を通知する手順を決めておく。
  7. 請求の受付方法を定めるなら、本人に過重な負担を課さない形にする。代理人による請求も受けられるようにする。

よくある質問

クラウドサービスを使うのは「委託」ですか

今回参照した条文からは、クラウド利用が委託に当たるかの線引きは確認できませんでした。個人情報保護委員会のガイドラインとQ&Aに考え方が示されています。具体的な判断は同委員会にご確認ください。

プライバシーポリシーに全部書かなければいけませんか

条文は「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」としています。掲載と回答体制のどちらでも構いません。ただし6項目すべてについて答えられる必要があります。

従業者にはアルバイトも含まれますか

条文は「従業者」という語を使っています。範囲についてはガイドラインに考え方が示されています。今回参照した条文からは確認できませんでした。

漏えいしたときの報告はここに書かれていますか

いいえ。漏えい等の報告および本人への通知は別の条文（法26条）です。当サイトの別記事で扱っています。

参照した一次情報

  • e-Gov法令検索「個人情報の保護に関する法律」（平成15年法律第57号）第23条・第24条・第25条・第32条・第37条 laws.e-gov.go.jp
    2026年9月28日確認。安全管理措置・従業者の監督・委託先の監督の3条文、保有個人データに関する公表等の4項目と「本人の知り得る状態」のかっこ書き、利用目的の通知と通知しない旨の通知、開示等の請求等に応じる手続の4項はこれらの条文に基づきます。
  • e-Gov法令検索「個人情報の保護に関する法律施行令」（平成15年政令第507号）第10条 laws.e-gov.go.jp
    2026年9月28日確認。法32条1項4号の政令で定めるもの3項目（安全管理のために講じた措置とその例外、苦情の申出先、認定個人情報保護団体の名称等）はこの条文に基づきます。

関連記事

このテーマの記事一覧：IT・個人情報

この記事は公開されている条文を整理したものです。個別の取扱いが法に適合するかどうかの判断は個人情報保護委員会にご確認ください。

コメント

タイトルとURLをコピーしました