業務で個人情報を扱うときの契約と注意点｜委託先として求められること

取引先の顧客名簿や会員データ、従業員情報などを業務で扱う場合、その多くは個人情報保護法でいう個人データの取扱いの委託にあたります。委託する取引先には、委託先を「必要かつ適切に監督する」義務があり（第25条）、そのために契約書へ安全管理や再委託の制限などの条項が入ります。

フリーランスにとって大切なのは、その条項を自分の作業環境で守れるかを署名前に確かめることです。守れない条件があれば、参画前に相談して調整します。2026年10月時点の法律と個人情報保護委員会のガイドラインをもとに整理します。

「委託」と「第三者提供」はどう違うか

個人情報保護法は、個人データを第三者に渡すときは、原則として本人の同意を得なければならないとしています（第27条第1項）。ただし、利用目的の達成に必要な範囲で個人データの取扱いを委託することに伴って渡す場合は、渡す先は「第三者」に当たらないとされています（同条第5項第1号）。

個人情報保護委員会のガイドライン（通則編）では、この場合、委託を受けた側は委託された業務の範囲内でのみその個人データを扱えるとされています。つまり、本人の同意がいらない代わりに、使い道が業務の範囲に絞られる関係です。

業務のついでに見た顧客の情報を、自分の別の仕事や営業に使うことは、委託の範囲を超えます。

取引先が負う「委託先の監督」

個人情報保護法第25条は、個人データの取扱いを委託する事業者に、委託先に対する必要かつ適切な監督を求めています。ガイドラインは、監督の中身として次の3つを挙げています。

1. 適切な委託先の選定：委託先の安全管理の体制が、委託元に求められる水準と同等であることを、あらかじめ確かめる
2. 委託契約の締結：安全管理措置の内容を契約に盛り込み、委託先での取扱いの状況を委託元が合理的に把握できる内容を入れることが望ましい
3. 取扱状況の把握：定期的な監査などで契約の実施状況を確かめ、必要に応じて委託の内容を見直す

再委託についても、委託先から事前に報告を受けたり承認したりして、再委託先の安全管理を確かめることが望ましいとされています。ガイドラインは、委託元が知らないまま再委託が行われ、その先で漏えいが起きた場合などを、監督が不十分だった例として挙げています。

取引先が、作業場所や端末を指定したり、誓約書や作業記録の提出を求めたりするのは、この監督の義務を果たすためです。リモートでの作業環境の整え方はデータエンジニアのリモート案件の記事でも扱っています。

契約書に入りやすい条項と読み方

情報処理推進機構（IPA）の「情報システム・モデル取引・契約書（第二版）」の個人情報の条項は、委託された個人データを第三者に漏らさないこと、管理に必要な措置を講じること、目的の範囲内でのみ使い、範囲を超える複製や改変には事前の書面による承諾を得ること、などを定めています。発注者側には、個人情報を渡すときにその旨を明示し、できるだけ個人が特定できないよう加工して渡すよう努めることが定められています。

フリーランスの契約書でよく見る条項と、確認のポイントは次のとおりです。

秘密保持の一般的な条項との関係は秘密保持契約の記事を、外注先を使う場合の注意点は再委託の記事をご覧ください。

漏えいが起きたときの流れ

個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えいなどが起きたとき、個人情報保護委員会への報告と本人への通知を求めています。ただし、委託を受けた側が、委託元に事態を通知したときは、委託を受けた側の報告と本人への通知は不要とされています（同条第1項ただし書・第2項）。

ガイドラインでは、委託先は委託元に速やかに通知し、その後の報告は委託元が行うとされています。委託元の報告は、速報を速やかに行い、確報は原則として事態を知った日から30日以内（不正の目的によるおそれがある場合などは60日以内）とされています。委託先には、委託元による報告や本人への通知に協力することが求められます。

フリーランスの実務に置き換えると、次のようになります。

1. メールの誤送信、端末やUSBメモリの紛失、権限の設定ミスなどに気づいたら、自分で判断して片づけず、すぐに取引先の窓口に連絡する
2. いつ、何のデータが、どの範囲に出た可能性があるかを、わかる範囲でメモにまとめる
3. 取引先の指示に従って、ログの提出や影響範囲の確認に協力する

フリーランス自身が守るための準備

委託を受けて個人データを扱う側も、事業者として個人情報保護法の義務を負う立場になり得ます。自分が事業者として守るべきことはフリーランスと個人情報保護法の記事で扱います。ここでは、委託を受けた業務で守るための準備に絞ります。

• 作業環境を契約に合わせる：貸与端末や仮想デスクトップの指定があれば、それ以外で作業しない
• データを手元に持たない：本番データをローカルや個人のクラウドストレージに保存しない
• 外部サービスへの入力に注意する：翻訳サービスや生成AIなど、契約で認められていない外部サービスに個人データを入力しない
• 開発・検証はダミーデータで：本番データが必要な作業は、取引先の決めた手順と場所で行う
• 作業記録を残す：いつ、どのデータに、何のために触れたかを残しておく
• 終了時に削除する：契約終了時に、受け取ったデータとその複製を削除し、求められれば報告する

自宅の作業環境の整え方は自宅で働くときのセキュリティの記事も参考にしてください。

経歴やスキルシートに書くときの注意

個人情報を扱った経験は、案件の選考で評価されることがあります。ただし、取引先名や扱ったデータの件数・中身を具体的に書くと、秘密保持の義務に触れるおそれがあります。「会員データを扱う基盤の移行」のように、種類と役割で書くのが基本です。書き方はスキルシートと守秘義務の記事で解説しています。

よくある質問

個人情報の取扱いについて誓約書を求められました。署名してよいですか？

取引先が委託先を監督する義務を果たすために、誓約書を求めることはよくあります。署名する前に、作業場所や端末、再委託、終了時の削除など、書かれている条件を自分の環境で守れるかを確かめてください。守れない項目があれば、署名前に相談しましょう。内容の判断に迷う場合は、弁護士などの専門家にご相談ください。

開発中にテストのため、本番データを手元にコピーしてもよいですか？

契約で認められていない限り、避けてください。委託を受けた側が個人データを扱えるのは、委託された業務の範囲内で、契約で決めた方法に限られます。テストに本番に近いデータが必要なら、取引先に加工済みのデータやダミーデータを用意してもらえるか相談しましょう。

個人情報の漏えいに備えて保険に入るべきですか？

契約上の責任の範囲を確かめたうえで、業務の内容に応じて検討する方法があります。情報漏えいを補償の対象に含む保険もありますが、対象となる業務や免責は保険によって違います。賠償責任保険の記事もあわせてご覧ください。