委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務と2026年改正・中小企業がやる7つのこと

結論から申し上げます。自社が個人情報の取扱いを外部に任せている場合、その委託先を監督することは「やったほうがよいこと」ではなく、個人情報保護法が定める自社の義務です。
そして、委託先で情報が漏れたとき、個人情報保護委員会への報告義務を負うのは、原則として委託先ではなく委託元であるあなたの会社です。

給与計算を社労士事務所に、受発注データの入力を外部の業者に、名簿の印刷を印刷会社に、システムの保守を制作会社に——。
中小企業ほど、社内でやりきれない業務を外に出しています。その一つひとつが、法律上の「委託」に当たる可能性があります。

しかも2026年7月17日、委託のルールを正面から見直す改正個人情報保護法が公布されました。公布からまだ1か月あまりで、施行日はこれから政令で決まります。準備の時間はまだありますが、内容を知らないまま迎えると対応が後手に回ります。

この記事では、法律が具体的に何を求めているのか、実際にどんな事故が起きているのか、裁判所は委託元の何を問題にしたのか、そして従業員数十名の会社が現実にやれる範囲は何かを、一次情報にあたって整理しました。

委託先の管理は、なぜ「自社の義務」なのか？

個人情報保護法の第25条は、次のように定めています。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
（個人情報の保護に関する法律 第25条）

ポイントは「行わなければならない」という書き方です。努力義務ではなく、法律上の義務として定められています。
そして個人情報保護委員会のガイドライン（通則編）は、この監督の水準を次のように具体化しています。

個人情報取扱事業者は、法第23条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする。
（個人情報保護法ガイドライン 通則編 3-4-4）

つまり、「自社でやっているのと同じ水準を、委託先にも確保させる」のが監督の中身です。自社でウイルス対策もアクセス制限もしているのに、データを渡した先が野放しなら、そこが穴になります。

ガイドラインは、その前提としてもう一つ、とても実務的なことを書いています。

委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し（後略）
（同 3-4-4）

「当然のこととして」と書かれているとおり、そもそも渡す情報を減らすことが、最も費用のかからない委託先対策です。印刷を頼むのに電話番号まで渡していないか、集計を頼むのに氏名を渡す必要があるのか。ここを見直すだけで、事故が起きたときの被害範囲は確実に小さくなります。

項目	内容
根拠となる法律	個人情報の保護に関する法律 第25条（委託先の監督）
詳細を定めた文書	個人情報保護法ガイドライン（通則編）3-4-4／個人情報保護委員会
義務を負う人	個人データの取扱いを外部に委託した「委託元」＝発注した側の会社
求められる水準	自社が講ずべき安全管理措置と同等の措置が委託先で講じられるよう監督する
3つの柱	①適切な委託先の選定　②委託契約の締結　③委託先における取扱状況の把握
対象になる会社	規模・業種を問わない（従業員100人以下の中小規模事業者も義務は同じ）
委託先で漏えいしたとき	原則として委託元が個人情報保護委員会への報告義務を負う
守らなかった場合	個人情報保護委員会の指導・勧告・命令、損害賠償請求、取引先からの契約解除など

「中小企業だから緩くていい」という規定はありません。ガイドラインは従業員100人以下を「中小規模事業者」として、安全管理措置を実行しやすい手法の例を別に示していますが、義務そのものは同じです。緩和されているのは「やり方」であって「やるかどうか」ではありません。

▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと【中小企業向け】

そもそも「委託」とは何を指す？──契約書の名前では決まらない

ここを誤解している会社がとても多い部分です。ガイドラインは「委託」を次のように定義しています。

「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。
（同 3-4-4 注記）

契約書のタイトルが「業務委託契約書」でなくても構いません。「保守契約」「請負契約」「顧問契約」「利用契約」——名前が何であれ、相手に個人データを扱わせているなら委託です。
逆に、「業務委託契約書」を結んでいても個人データを一切渡していなければ、この条文の話にはなりません。判断基準は契約書の名前ではなく、相手が実際に個人データを扱うかどうかです。

中小企業で実際に「委託」に当たりやすいのは、次のような場面です。

• 給与計算・年末調整を社労士事務所や記帳代行に任せている（従業員とその家族の個人データ）
• 顧客名簿を使ったダイレクトメールの宛名印刷・発送を印刷会社に頼んでいる
• 受発注データや申込書の入力作業を外部の入力業者に出している
• 自社の基幹システムやWebサイトの保守を制作会社・システム会社に任せている（本番データに触れる場合）
• コールセンター業務や問い合わせ対応を外部に任せている
• 採用の応募者管理を人材紹介会社や採用管理サービスと共有している
• 健康診断の結果の取りまとめを健診機関経由で受け取っている

「委託」と紛らわしいものとして、第三者提供・共同利用・後で述べるクラウド例外があります。違いを整理すると次のとおりです。

区分	本人の同意	委託元の監督義務	代表例
委託	不要	あり（法25条）	給与計算の外注、宛名印刷、システム保守
共同利用	不要（通知等が必要）	—（ただし委託が混在すれば監督義務は残る）	グループ会社間での顧客情報の共同利用
第三者提供	原則必要	—	名簿を他社に販売・提供する
クラウド例外	不要（提供に当たらない）	—（自社の安全管理措置は必要）	事業者が個人データを扱わない前提のクラウド保管

なお、共同利用にすれば監督義務から逃げられる、という理解は誤りです。ガイドラインは明確に否定しています。

共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。
（同 3-6-3 注記）

▶ 関連記事：改正個人情報保護法とサイバーセキュリティ対策 ～漏えい時72時間報告の実務対応～

クラウドやSaaSを使うのは「委託」に当たる？

中小企業がいちばん判断に迷うのがここです。Microsoft 365やGoogle Workspace、クラウド会計、勤怠管理SaaS——顧客や従業員の個人データはたいていクラウドの上にあります。これらの事業者は全部「委託先」なのでしょうか。

個人情報保護委員会は、判断基準をこう示しています。

クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。
（個人情報保護委員会 よくある質問 Q7-53）

そして「取り扱わないこととなっている場合」とは、次の状態を指します。

契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、かつ、適切にアクセス制御を行っている場合。
（同 Q7-53）

これがいわゆる「クラウド例外」です。この条件を満たせば、そのクラウド利用は個人データの提供にも委託にも当たらず、事業者を監督する義務は生じません。

クラウド例外は「クラウドだから自動的に対象外」という意味ではありません。必要なのは、①契約条項で事業者が個人データを取り扱わないと定められていること、②実際にアクセス制御が適切に行われていること——この2つが揃っていることです。契約書に書いてあってもアクセス制御が甘ければ成立しませんし、逆に事業者が運用代行としてデータの中身に触れるサービスなら、契約に何と書いてあっても実態は委託です。

そしてもう一つ重要なのは、クラウド例外に当たっても自社の安全管理措置の義務は消えないことです。事業者を監督する必要がないだけで、「誰にアクセス権を与えるか」「退職者のアカウントを消したか」「共有リンクを外部公開していないか」は、すべて自社の責任範囲として残ります。

実務上の切り分けとしては、次のように考えると整理しやすくなります。

• 置くだけ・使うだけ（例外になりやすい）：自社が管理画面を操作し、事業者は保管基盤を提供しているだけのSaaS・クラウドストレージ
• 中身に触れる（委託になりやすい）：運用代行、データ入力代行、データのクレンジングや分析の受託、システム保守で本番データにログインする場合
• 迷ったら：契約書とサービス仕様書で「事業者が個人データにアクセスする条件」を確認する。保守作業でログインするなら委託と考えて監督したほうが安全

▶ 関連記事：クラウドサービスは安全？Microsoft 365・Google Workspaceのセキュリティ設定チェックリスト

▶ 関連記事：クラウドストレージのセキュリティ対策完全ガイド

法律は具体的に何を求めている？──3つの柱

ガイドラインは、監督の中身を3つに分けています。ここで見落とされがちなのが、3つのうち法的な強さが違うということです。

3つの柱	法律が求めていること	法的な強さ	中小企業での現実的なやり方
①適切な委託先の選定	委託先の安全管理措置が自社に求められるものと同等であることを、あらかじめ確認する	しなければならない	チェックシートに回答してもらう／訪問して現場を見る／口頭で確認する
②委託契約の締結	安全管理措置の内容を双方が合意して契約に書く。取扱状況を委託元が把握できることも盛り込む	望ましい	既存の契約書に個人情報の取扱いに関する条項を追加する
③取扱状況の把握	定期的な監査等により契約内容の実施の程度を調査し、委託内容の見直しも含めて評価する	望ましい	年1回、書面またはヒアリングで実施状況を確認して記録を残す

①だけが「あらかじめ確認しなければならない」という書き方で、②③は「望ましい」です。
これは②③をやらなくてよいという意味ではありません。実際、②③を怠った結果として漏えいが起きれば、後述するとおり「必要かつ適切な監督を行っていない」と評価されます。
ただし、限られた時間で優先順位をつけるなら、まず①の「契約前の確認」から着手するのが法律の構造に合っています。

確認する項目は、ガイドラインが定める安全管理措置の5分類に沿って考えると漏れがありません。

• 組織的安全管理措置：責任者を置いているか、取扱いのルールがあるか、自己点検や監査をしているか
• 人的安全管理措置：従業員に定期的な研修をしているか、就業規則に秘密保持を書いているか
• 物理的安全管理措置：作業区域の入退室管理をしているか、機器や書類の盗難・紛失を防ぐ措置があるか
• 技術的安全管理措置：アクセス制御をしているか、外部からの不正アクセスやマルウェアから守る仕組みがあるか
• 外的環境の把握：データを海外に保管している場合、その国の制度を把握しているか

委託元が法第23条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第23条が求める水準の安全管理措置を講じれば足りると解される。
（同 3-4-4 注記）

これは実務上ありがたい記載です。自社が手厚い対策をしているからといって、委託先に同じ投資を強いる必要はありません。求めるべきは法律が定める水準であって、自社の社内基準そのものではない、ということです。

▶ 関連記事：セキュリティポリシーの作り方｜中小企業向けテンプレート解説

「監督していなかった」と判断されるのは、どんなときか？

ガイドラインは、「必要かつ適切な監督を行っていない事例」を4つ、名指しで挙げています。ここを読んでいる競合記事はほとんどありませんが、実務では最も参考になる部分です。

ガイドラインが挙げる事例	何をしなかったのか	防ぐには
事例1	安全管理措置の状況を、契約締結時にもその後も把握せずに外部の事業者に委託し、委託先が漏えいした	契約前の確認と、契約後の定期確認をセットで行う
事例2	必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が漏えいした	「何をどう守ってほしいか」を契約書と作業手順で具体的に伝える
事例3	再委託の条件に関する指示をせず、取扱状況の確認も怠り、委託先が勝手に再委託して再委託先が漏えいした	再委託は事前承認制にすると契約に明記する
事例4	契約に再委託の実施状況を把握すると書いてあるのに報告を求めず、委託元の知らない再委託が行われ漏えいした	契約に書いた確認を実際に実行し、記録に残す

4つを並べると、共通しているのは「聞けば分かったはずのことを、聞かなかった」という点です。高度な技術も大きな費用も必要ありません。
とくに事例4は厳しく、契約書に立派な条項を入れておきながら実行しないと、かえって「やると書いたのにやらなかった」と評価される構図になっています。契約書のひな形を整えるだけで満足してはいけない理由がここにあります。

▶ 関連記事：取引先から「セキュリティ対策の証明を求められた」ときの対応法

再委託された先で漏れたら、責任はどこまで及ぶ？

中小企業が見落としやすいのが再委託です。自社が頼んだ相手が、さらに別の会社に作業を回している——これは珍しいことではありません。

ガイドラインは、再委託について踏み込んだ記載をしています。

委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。
（同 3-4-4 注記）

つまり、顔も名前も知らない再委託先の不始末が、自社の法違反になり得るということです。そして「再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である」と明記されており、階層が深くなっても責任は薄まりません。

段階	自社との関係	法律上の位置づけ
委託先	直接契約している相手	法25条により、自社が直接監督する義務を負う
再委託先	委託先が契約した相手（自社とは契約なし）	委託先を通じて、または必要に応じて自ら監督することが望ましいとされる。監督を怠れば自社の法違反と判断され得る
再々委託先以降	さらにその先	再委託の場合と同様の扱い

ではどうするか。ガイドラインは、次の対応を挙げています。

1. 再委託する相手、再委託する業務内容、再委託先での個人データの取扱方法について、委託先から事前に報告を受ける、または承認を行う
2. 委託先を通じて、または必要に応じて自らが、定期的に監査を実施する
3. 委託先が再委託先に対して監督を適切に果たしていること、再委託先が安全管理措置を講じていることを十分に確認する

実務上の最優先は「再委託は事前承認制」を契約に入れることです。費用はかかりません。これを入れておけば、少なくとも知らないうちに情報が第三の会社へ渡ることを防げます。
逆に、契約に何も書いていない状態は、ガイドラインの事例3にそのまま当てはまります。

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策【中小企業向け】

実際にどんな事故が起きている？──2026年の事例

抽象的な話が続いたので、実際に2026年に起きて公表された事例を見てみます。いずれも「委託元は攻撃されていないのに、委託元の情報が漏れた」という構図です。

公表時期	何が起きたか	規模	どこに原因があったか
2026年2月18日 学校法人東海大学	ネットワークの保守・管理を委託していた事業者のサーバがランサムウェア攻撃を受けた。攻撃者は委託先のネットワークにアクセスするための認証情報を不正に入手して侵入した	最大で延べ193,118人（学生76,314人、保護者45,810人ほか）	本来は構内での現地作業と大学環境への接続に限る作業ルールだったが、委託先社内へデータを持ち帰る運用が行われていた
2026年2月20日 経済産業省・環境省	2013年に経産省が委託して実施した調査事業のアンケート回答データが、別の委託事業の作業のなかで誤って作成され、環境省のホームページに掲載されて外部に漏えいした	非公表（対応窓口を設置）	委託先の担当者の誤った作業。経産省は委託先を厳重注意し、委託業務における情報の取扱いの徹底を再確認した
2026年3月〜5月 出版社（業務受託側）	業務を受託していた出版社がランサムウェア攻撃を受け、委託元である複数の教育機関等が相次いで「自社の個人情報が漏えいしたおそれ」を公表する事態になった	委託元ごとに個別に公表	委託先1社の被害が、そのまま複数の委託元の公表義務につながった

東海大学の事例は、委託元がここまで正直に原因を書いている点で参考になります。第2報の原文を引用します。

本来委託業務は、本法人構内での現地作業及び、本法人環境へ接続して行う作業ルールがありましたが、委託先社内へデータを持ち帰るなどの運用ルールと異なる対応があり、個人情報が委託先に存在していました。一方で、本法人においても、委託先への個人情報の安全管理が徹底されておりませんでした。
（学校法人東海大学「【第2報】業務委託先サーバへの不正アクセスに関する調査状況と対応について」2026年2月18日）

同じ資料には「現時点では、本法人の学内ネットワークへの直接的な侵入の形跡は確認されておりません」とも書かれています。
つまり、自社のネットワークは一切破られていないのに、19万人分の個人情報が漏れたということです。自社のセキュリティ投資だけでは、この事故は防げませんでした。

そして原因は高度な攻撃手法ではありません。「持ち出さない約束だったのに持ち出されていた」「委託元がそれを把握していなかった」——この2点です。
後で述べるとおり、2026年7月に公布された改正法は、まさにこの問題に手を入れています。

▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策【中小企業向け】

▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方【中小企業向け】

裁判所は、委託元の何を問題にしたのか？

委託先での漏えいについて委託元の責任が争われた代表例が、ベネッセの個人情報流出事件です。判決の中身は、「どこまでやれば監督したことになるのか」を考えるうえで、いまも最も具体的な手がかりになります。

事案の構図──犯人は「再委託先の従業員」だった

ベネッセは、システムの開発・運用を株式会社シンフォームに委託していました。そしてそのシンフォームの業務委託先の従業員が、ベネッセのデータベースから大量の個人情報を持ち出し、名簿業者に売却しました。
つまり、委託先のさらに先にいる人物が起こした事故について、委託元であるベネッセの責任が問われたわけです。

持ち出しの手口は、技術的にとても示唆に富んでいます。

本件持ち出しは、MTPに対応したスマートフォンを業務用パソコンのUSBポートにUSBケーブルを用いて接続してMTP通信でデータを転送する方法により行われた。上記の業務用パソコンは、セキュリティソフトにより、MSC通信によりデータを転送できないよう制御されていたが、MTP通信によりデータを転送できないようにする制御はなされていなかった。

要するに、USBメモリ経由のコピーは禁止していたのに、スマートフォン経由のコピーは塞げていなかったということです。「USB対策はしています」という自己申告だけでは足りない、という教訓がここにあります。

高裁が監督義務違反を認めた3つの理由

高裁は、ベネッセのシンフォームに対する監督義務違反を認めました。挙げられた理由は次の3点です。

裁判所が挙げた点	内容
①予見できたか	ベネッセもシンフォームと同様に、当時この方法による個人情報の持ち出しの危険性を予見し得た
②聞けば防げたか	ベネッセがシンフォームに対し、セキュリティソフトのスマートフォンへの書き出し・接続制御機能の対応状況について適切に報告を求めていれば、設定の変更を指示することができた
③負担は重かったか	このような監督を行うことについて、ベネッセに過度の負担が生ずることもなかった

この3点の組み立てが重要です。裁判所が問題にしたのは、高価な監視システムを入れていなかったことではありません。「報告を求めれば分かったはずのことを、求めなかった」——ただそれだけです。

さらに別の判決では、指示できたはずの内容として、「業務委託先の従業員が大量の個人情報に接することができる執務室内に、個人のスマートフォンを持ち込むことを禁止するよう指示すること」も挙げられています。これは費用ゼロで実行できる対策です。

「うちは中小企業だから、そこまでの監督はできない」という言い分は、裁判所の論理では通りにくくなっています。③で「過度の負担が生じない」ことが責任を肯定する理由として使われているからです。
裏を返せば、お金をかけずにできる確認をやっていれば、それが最大の防御になるということでもあります。

なお、この事件で認められた慰謝料は、大阪高裁の判断で1人あたり1,000円でした。金額そのものは小さく見えますが、漏えい件数を掛け合わせれば規模は一変します。ベネッセホールディングスは漏えいが疑われる顧客に500円相当の金券を配布しており、これは賠償とは別の自主的な対応費用です。
また、情報を持ち出した人物は不正競争防止法違反で懲役2年6月および罰金300万円の判決を受けています。

▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説

厳しく監督すると、かえって責任を問われやすくなる？

「委託先を細かく監督すると、実質的に指揮命令していることになって、委託先の従業員がやったことまで自社が責任を負うのでは」——こう心配される経営者がいます。使用者責任（民法715条）の話です。

この点について、裁判所は明確に切り分けています。

個人情報保護法上の委託先の監督と使用者責任における指揮監督とは異なるものであるから、個人情報保護法上の委託先の監督を基礎付ける事実から直ちに使用者責任における実質的な指揮命令関係があったということにはならない。

実際、ベネッセ事件の複数の高裁判決は、ベネッセとシンフォームの間の指揮命令関係を否定しています。つまり、法25条にもとづく監督をしっかり行っても、それだけで使用者責任を負うことにはなりません。

むしろ逆で、監督を緩めれば、法25条違反という別のルートで責任を問われます。「監督を控えめにしておく」という選択に、法的なメリットはありません。

2026年7月公布の改正で、委託のルールはどう変わる？

2026年7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、同年7月17日に公布されました。この改正には、委託を正面から扱った独立の項目が置かれています。

個人情報保護委員会の資料は、改正の背景をこう説明しています。

個人データ等の取扱いについて、実質的に第三者に依存するケースが拡大。
委託元による委託先の監督等が十分に機能せず、委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案も生じている。
（個人情報保護委員会「個人情報保護法等の一部を改正する法律について」令和8年7月）

先ほどの東海大学の事例が、まさにこの「委託された業務の範囲を超えた取扱い」に当たります。改正は、この構図に2方向から手を入れます。

変わる点	現在（改正前）	改正後
委託先自身の義務	委託先を縛るのは委託契約と、委託元による監督（法25条）が中心	委託された個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務を、委託先に明文で課す（新設・第30条の3）
その例外	—	法令に基づく場合、および人命の救助・災害の救援その他非常の事態への対応のため緊急の必要がある場合に限り、委託先が独自の判断で利用できる
機械的な作業だけを行う委託先の扱い	委託先が個人情報取扱事業者なら、法第4章の各義務規定がすべて適用される	委託契約で取扱いの方法の全部について合意し、かつ委託元が取扱状況を把握するために必要な措置についても合意した場合は、その委託先には法第4章の各義務規定の適用を原則として免除。ただし「必要な範囲を超えて取り扱わない義務」と「安全管理に係る義務」は引き続き適用
漏えい時の本人通知	漏えい等が発生したら本人への通知が必要	本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和（第26条第2項）

3行目は、中小企業にとって実は前向きな話です。データ入力代行のように、委託元の指示どおりに機械的に作業するだけの委託先については、契約で取扱方法をきちんと決めておけば、その委託先が背負う義務が軽くなります。
ただし条件があり、「漏えい等が生じたことを知ったときに、委託先が委託元に速やかに報告すること」などを契約で合意しておくことが想定されています。具体的な内容は今後の委員会規則で定まります。

ここから読み取るべき実務のメッセージははっきりしています。「委託契約で取扱いの方法をどこまで具体的に決めてあるか」の重みが、法律上さらに増すということです。いま契約書がひな形のままなら、施行までの間に見直しておく価値があります。

いつから始まるのか

施行期日について、委員会の資料は次のように記載しています。

施行期日　原則として公布の日から起算して2年を超えない範囲内

公布日が2026年7月17日なので、遅くとも2028年7月16日までに施行されることになります。具体的な日は政令で定められます。
個人情報保護委員会は2026年7月31日に今後の取組方針を公表しており、政令・規則・ガイドライン等の整備を進めるとしています。委託契約の見直しには社内調整と相手との交渉が要るので、施行日が決まってから動くと間に合いません。

この記事の改正内容は、公布された法律と個人情報保護委員会の公表資料にもとづくものです。具体的な要件や対象は今後の政令・委員会規則・ガイドラインで定まります。契約書の改定など具体的な対応を進める際は、最新の公表資料を確認するか、弁護士等の専門家にご相談ください。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】

課徴金の対象になるのか？──ここは正確に押さえておきたい

今回の改正で最も注目されているのが課徴金制度です。「委託先の管理を怠ると課徴金を取られる」という説明を見かけますが、これは正確ではありません。公表資料で対象行為を確認しておきましょう。

違反の種類	課徴金の対象か	根拠
不適正な利用の禁止（法第19条）違反	対象	公表資料の対象行為（1）
適正な取得（法第20条第1項）違反	対象	公表資料の対象行為（2）
第三者提供の制限（法第27条第1項）違反	対象	公表資料の対象行為（3）
統計作成等の特例違反（目的外利用・第三者提供）	対象	公表資料の対象行為（4）
安全管理措置（法第23条）違反	対象として挙げられていない	—
委託先の監督（法第25条）違反	対象として挙げられていない	—

さらに、課徴金には次の絞り込みがかかります。

• 主観的要素：対象行為を防止するための相当の注意を怠っていない場合かどうかで限定される
• 権利利益の侵害：個人の権利利益が侵害され、または侵害される具体的なおそれが生じた場合に限定される
• 大規模事案：大規模な事案に限定される（対象行為に係る本人の数について1,000人を基準とする）
• 算定方法：違反行為をやめることの対価などとして得た金銭等の財産上の利益に相当する額

つまり課徴金は、名簿を不正に売買するような「違反で儲けた」ケースを狙い撃ちする制度であって、うっかり漏えいさせてしまった中小企業を罰するための仕組みではありません。

ただし「だから安心」ではありません。委託先管理を怠った場合の現実的なリスクは、課徴金ではなく次のものです。
①個人情報保護委員会からの指導・勧告・命令（改正で命令の要件が見直され、本人への事実の通知や公表を求める勧告・命令も可能になります）
②漏えい等報告と本人通知の対応コスト
③損害賠償請求（ベネッセ事件では1人あたり1,000円）
④取引先からの契約解除・取引停止
⑤事故対応・原因調査の費用
金額として重いのは、むしろこちらです。

▶ 関連記事：情報漏洩が発覚したら？取引先・顧客への報告手順と注意点

事故が起きたとき、報告義務はどちらが負う？

委託先で漏えいが起きたとき、「相手が報告するはずだ」と考えるのは危険です。個人情報保護法上、報告義務を負うのは原則として委託元と委託先の双方です。

ただし委託には特例があります。委託先が委託元へ速やかに通知すれば、委託先は自らの報告義務と本人通知義務を免除されます（法第26条第1項ただし書、施行規則第9条）。

立場	報告義務	注意点
委託元（発注した自社）	免除されない。自社が個人情報保護委員会へ報告する	委託先からの通知が遅れても、それを理由に自社の報告期限は延びない
委託先（受注した相手）	委託元へ速やかに通知すれば免除される	通知しなければ自ら報告する義務が残る
報告の期限	速報＝速やかに（おおむね3〜5日以内）／確報＝30日以内（不正の目的による行為なら60日以内）	いずれも土日祝を含む暦日で数える
本人への通知	委託元が行う	困難な場合は公表と問い合わせ窓口の設置などの代替措置

ここが委託先管理でいちばん怖いところです。委託先の調査が終わらないと「何人分が漏れたか」が分かりませんが、委託先の調査の遅れを理由に、自社の報告期限は延びません。
だからこそ、契約書に「事故を知ったら何時間以内に自社へ連絡するか」「調査にどこまで協力するか」を書いておくことが、実務上いちばん効きます。

なお、不正アクセスなど「不正の目的による行為」による漏えいは、1人分でも報告対象です。「少人数だから報告不要」という判断はできません。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

中小企業は何から始めればいい？──7つの手順

ここまでの内容を、実際にやる順番に並べ替えます。上から順に、費用がかからないものから並べています。

順番	やること	なぜ必要か	費用の目安
1	委託先の一覧を作る。個人データを渡している相手を、部署をまたいで全部書き出す	監督のしようがない相手を洗い出すのが最初。ここで「そんな会社にも渡していたのか」が必ず出てくる	0円（表計算ソフトで十分）
2	渡している情報を減らす。その業務に本当に必要な項目だけに絞る	ガイドラインが「当然のこと」とする最優先事項。事故が起きたときの被害範囲が直接小さくなる	0円
3	再委託を事前承認制にすると契約に書く	再委託先の不始末が自社の法違反と判断され得るため。ガイドラインの「監督していない事例3」に直結	0円（契約書の改定のみ）
4	事故時の連絡ルールを決める。「知ってから何時間以内に自社へ連絡するか」を契約に書く	委託先の調査の遅れを理由に、自社の報告期限は延びないため	0円
5	契約前に確認する。チェックシートに回答してもらうか、口頭で確認して記録に残す	法25条で唯一「あらかじめ確認しなければならない」とされている部分	0円〜
6	年1回、実施状況を確認する。書面でもヒアリングでもよいので必ず記録を残す	「契約締結時にもその後も把握していない」が監督していない事例1に当たるため	0円〜
7	自社側の技術的な備えを整える。誰がどのデータを持ち出したか記録できる状態にする	事故が起きたとき「何が漏れたか分からない」という最悪の結論を避けるため	月数万円〜（後述）

1から6までは、すべて費用ゼロで実行できます。そしてベネッセ事件で裁判所が問題にしたのは、まさにこの範囲——「聞けば分かったはずのことを聞かなかった」ことでした。
予算がないことは、委託先管理をやらない理由になりません。

▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実と、優先順位・費用・外部の使い方【中小企業向け】

委託先には、何をどう確認すればいい？

確認項目は、ガイドラインの安全管理措置の分類に沿って作ると、抜けがなく、相手にも説明しやすくなります。

確認する分野	聞くこと	危ないサイン
組織・体制	個人情報の取扱いの責任者は誰か。取扱いのルール（規程）はあるか。自己点検をしているか	「担当者が各自で気をつけています」という回答
人	従業員に定期的な研修をしているか。秘密保持を就業規則や誓約書で定めているか	派遣・アルバイトを含む全員をカバーできていない
物理	作業する部屋の入退室を管理しているか。書類や記録媒体の保管・廃棄のルールはあるか	私物のスマートフォンを作業場所に持ち込める運用になっている
技術	アクセス権は担当者だけに絞られているか。USBやスマートフォンへの書き出しを制御しているか。ウイルス対策と更新はできているか	「セキュリティソフトを入れています」だけで、何をどこまで制御しているか答えられない
作業場所	自社の環境に接続して作業するのか、相手の社内にデータを持ち帰るのか	持ち帰る運用になっているのに、その前提が契約に書かれていない
再委託	再委託しているか。しているなら、どこに何を出しているか	「たぶんしていないと思います」という曖昧な回答
他社との分離	自社のデータは、他の委託元のデータと分けて保管・作業されているか	「まとめて1つのフォルダで管理しています」という回答
事故時	過去に事故はあったか。事故時に誰がいつ自社へ連絡するか	連絡ルートが決まっていない

4行目の「危ないサイン」は、ベネッセ事件の教訓そのものです。USBメモリは禁止していてもスマートフォン経由は塞げていなかった——「対策しています」という自己申告と、実際に何が制御されているかは別物です。

そして5行目が、東海大学の事例そのものです。「作業は自社の環境で行い、相手の社内にデータを置かない」という前提があるなら、それを契約に書き、実際にそうなっているか確認する必要があります。

見落としやすいのは「他社のデータと混ざっていないか」

委託先は、たいてい自社以外の会社からも同じような仕事を請けています。そのとき、各社から預かったデータが同じフォルダ・同じデータベースにまとめて置かれていないかは、意外と確認されていません。

混ざっていると、次の問題が起きます。

• 委託先で事故が起きたとき、自社の分がどれだけ漏れたのかを切り分けられない。結果として、報告も本人通知も最大範囲で行うしかなくなる
• 委託先の担当者が、自社の業務のつもりで他社のデータに触れてしまう（逆もまた然り）
• 契約が終わってデータの消去を求めたとき、自社の分だけを確実に消せない

確認するのは1問だけで足ります。「当社からお預かりしたデータは、他のお客様のデータとは分けて保管されていますか」——この質問への答えが曖昧なら、そこが改善の出発点です。費用のかかる話ではなく、フォルダとアクセス権の分け方の話なので、委託先にとっても対応しやすい要望です。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方【中小企業向け】

契約書には何を書けばいい？

既存の契約書に個人情報の取扱いに関する条項がなければ、覚書を1枚追加するだけでも構いません。最低限、次の項目を押さえておくと、ガイドラインが求める水準に届きます。

条項	書く内容	なぜ必要か
利用目的の限定	委託した業務の遂行に必要な範囲を超えて取り扱わないこと	2026年改正で委託先自身の明文の義務になる部分。先に契約へ入れておく
安全管理措置	組織的・人的・物理的・技術的な措置として、双方が合意した内容	ガイドラインが「委託契約の締結」で求めている中身そのもの
取扱いの方法	どの環境で作業するか、社外に持ち出してよいか、複製してよいか	改正法では「取扱いの方法の全部について合意」が委託先の義務軽減の条件になる
再委託	事前の書面による承認を要すること。承認する場合は再委託先にも同等の義務を課すこと	再委託先の不始末が自社の法違反と判断され得るため
報告・確認	委託元が取扱状況を確認できること。年1回の報告を求められること	ガイドラインが「委託元が合理的に把握することを盛り込むことが望ましい」とする部分
事故時の通知	漏えい等を知ったときに、定めた時間内に委託元へ通知すること	自社の報告期限（速報おおむね3〜5日）に間に合わせるため
終了時の措置	契約終了時にデータを返還または消去し、その結果を報告すること	終わった委託先にデータが残り続けるのを防ぐ
損害賠償・責任	事故が起きたときの費用負担と責任の範囲	事故後に交渉すると必ずもめるため、事前に決めておく

契約書に書いただけで安心しないでください。ガイドラインが挙げる「監督していない事例4」は、契約に再委託の把握を書いておきながら、実際には報告を求めなかったというケースです。
書いた以上は実行し、実行した記録を残すところまでが1セットです。

事故の費用は、あとから委託先に請求できる？

委託先が原因で漏えいが起きた場合、自社は本人への対応や原因調査の費用を負担することになります。その費用を委託先に請求（求償）できるかどうかは、契約にどう書いてあるかでほぼ決まります。

契約に何も書かれていなければ、委託先の過失を自社が立証しなければならず、交渉は長引きます。事故の直後は双方とも対応に追われているため、費用負担の話し合いは必ずもめます。

そのため、契約書には少なくとも次の3点を入れておくことをおすすめします。

1. 委託先の責めに帰すべき事由で事故が生じた場合、委託元が負担した調査・通知・問い合わせ対応の費用を委託先に請求できること
2. 原因調査に必要なログや記録の提供に委託先が協力すること（協力が得られないと、そもそも原因も範囲も特定できません）
3. 再委託先の行為についても、委託先が責任を負うこと

なお、賠償額に上限（委託料相当額まで等）が設けられているひな形は少なくありません。扱わせる個人データの量に対して上限が低すぎないかは、契約前に一度見ておく価値があります。

あわせて、費用負担の備えとしてサイバー保険を検討する方法もあります。当社が取り扱う「SentinelOneデータお守り隊」には最大50万円のサイバー保険が付帯します。

「監査」は本当にやらないといけない？

「定期的に監査」と聞くと、監査法人に依頼して現地に赴く大がかりな話を想像しがちです。中小企業には現実的ではありません。
しかし、ガイドラインは確認の方法についてこう書いています。

委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。
（同 3-4-4 注記）

「口頭による確認を含む」と、はっきり書かれています。電話で聞いて、その内容をメモに残すことも、法律が想定する確認方法の一つです。
大切なのは方法の格式ではなく、「委託する情報の内容と規模に応じた方法をとること」と、確認した記録が残っていることです。

確認の方法	向いている場面	負担
チェックシートに回答してもらう	委託先が複数あり、比較して優先順位をつけたいとき	低（ひな形を作れば使い回せる）
電話・訪問時の口頭確認＋記録	委託先が少数で、担当者と直接やり取りできるとき	ほぼゼロ（ガイドラインが明示的に認めている方法）
現地に赴いて作業環境を見る	要配慮個人情報や大量の個人データを扱わせているとき	中〜高（相手の協力が必要）

現実的な運用としては、委託先をリスクの高さでランク分けし、扱う情報が多い相手だけ現地確認、それ以外は書面か口頭で済ませるのが最も続きます。
すべての委託先を同じ深さで見ようとすると、たいてい1年で止まります。

▶ 関連記事：SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは？★3・★4の違いと26の要求事項・2027年度の運用開始に向けて中小企業がやるべきこと

自社側で技術的にできることは？

委託先管理は契約と確認が中心ですが、自社側の技術的な備えがないと、事故が起きたときに「何が漏れたのか分からない」という最悪の結論になります。東海大学の事例のように「委託先にデータが存在していた」ことを後から把握するには、渡した記録が残っていることが前提です。

当社が取り扱う製品のうち、委託先管理に直接効くものを整理しました。

項目	LANSCOPE エンドポイントマネージャー	i-FILTER@Cloud	セキュリオ	SentinelOneデータお守り隊	Sophos Managed Risk
主な役割	IT資産管理・操作ログ・MDM	Webフィルタリング・持ち出し制御	セキュリティ教育・自社診断	EDR＋SOCによる24/365監視	脆弱性管理（EASM／IASM）
委託先管理で効くところ	誰がどのファイルを操作し、 USBやスマホに何を書き出したかを記録	クラウドストレージへの アップロードを操作単位で制御	委託の窓口担当者を含む 従業員教育と自社の点検	自社側の端末を24時間監視。サイバー保険が付帯	委託先に見せている 公開資産の棚卸し
提供形態	クラウド（SaaS）	クラウド（SaaS）	クラウド（SaaS）	EDR＋SOC（マネージド）	フルマネージドサービス
初期費用（税別）	30,000円／契約	—	100,000円	0円	要見積り
月額の目安（税別）	プランⅢ 500円／台 （ライトA 300円／ライトB 400円）	標準サービス 600円〜／ユーザー （10ユーザー以上・年間契約）	ARライト 50名以下 18,000円 50名超は1ユーザー360円	1ユーザー 1,000円 （Control 1,100円／Complete 1,660円）	要見積り
記録・ログ	操作ログを標準2年保存 （オプションで最大5年）	Webアクセスログ （ログ保存オプション3〜10年）	受講状況・訓練結果	脅威侵入後のログを1年保存	資産と脆弱性の履歴
24時間365日の監視	—	オプション（Dアラート）	—	あり（AIによる監視）	あり（専門アナリスト）
対応する手順（前章）	手順7	手順2・7	手順5・6	手順7	手順1・7
補助金の対象	対象	対象	対象	対象	要相談
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

最優先は操作ログと書き出し制御です。委託先に渡したデータが、社内の誰の手を経てどこへ出て行ったかを記録できていれば、事故が起きたときに調べる対象を絞り込めます。
逆に記録がないと、「何が漏れたか特定できない」という調査結果しか出ません。そうなると、報告も本人通知も最大範囲で行うしかなくなり、費用も信用の毀損も一気に膨らみます。

万一、感染や不正アクセスが疑われる状態になった場合の調査サービスもご用意しています。

マルウェア感染調査サービス（300台まで298,000円・税別／17時までのご注文で翌日対応）　詳細を見る

▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方【中小企業向け】

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較

▶ 関連記事：Webフィルタリングソフト比較｜法人向けおすすめ製品と選び方・料金相場【中小企業向け】

▶ 関連記事：DLPとは？仕組み・主要機能・中小企業の選び方を徹底解説

費用はどれくらい？補助金は使える？

従業員30名・PC30台の会社が、委託先管理に必要な技術的な備えをひととおり揃えた場合の目安です（いずれも税別）。

内容	費用の目安
IT資産管理・操作ログ（LANSCOPE プランⅢ・30台）	初期30,000円＋月15,000円
Webフィルタ・持ち出し制御（i-FILTER@Cloud 標準・30ユーザー）	月18,000円
セキュリティ教育・自社点検（セキュリオ ARライト・50名以下）	初期100,000円＋月18,000円
24/365監視＋サイバー保険（データお守り隊 30台）	初期0円＋月30,000円
初年度の合計	約1,102,000円（月あたり約91,800円）
2年目以降	年972,000円（月81,000円）
（参考）事故が起きてからの調査費用	マルウェア感染調査 300台まで298,000円＋詳細レポート別途500,000円

この金額をどう見るかは、失うものと並べると判断しやすくなります。
ベネッセ事件で認められた慰謝料は1人あたり1,000円でした。仮に自社が1万人分の顧客名簿を持っていて、同じ水準で計算すると1,000万円になります。初年度約92万円の対策の、およそ11倍です。

しかも賠償はこれとは別に、原因調査の費用、本人への通知や問い合わせ窓口の設置費用、取引先への説明、そして取引そのものを失うリスクがかかります。ベネッセホールディングスは対象者に500円相当の金券を配布しましたが、これは賠償とは別の自主的な対応費用です。

補助金でどこまで抑えられるか

ここで挙げた製品の多くは、デジタル化・AI導入補助金2026の対象になります。

• 補助上限は最大450万円、補助率は原則2分の1、小規模事業者は要件を満たせば最大5分の4
• セキュリティ対策推進枠は5万円〜150万円、小規模事業者は3分の2・中小企業は2分の1で、サービス利用料は最大2年分が対象
• 交付申請にはSECURITY ACTIONの自己宣言IDとGビズIDが必要

補助金は「交付決定前に発注したもの」は対象外です。先に契約してしまうと、後から申請しても補助を受けられません。
また、補助率・上限額・対象要件は年度ごとに変わります。実際の申請にあたっては最新の公募要領をご確認いただくか、当社のような支援事業者にご相談ください。

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件【2026年版】

よくある質問

Q. 従業員10名の会社でも、委託先の管理は必要ですか？

A. 必要です。個人情報保護法第25条に規模による例外はありません。
ただし、ガイドラインは従業員100人以下を「中小規模事業者」として、義務を円滑に果たせるような実行しやすい手法の例を別に示しています。緩和されているのはやり方であって、やるかどうかではありません。
まずは委託先の一覧を作り、渡している情報を減らし、再委託の事前承認と事故時の連絡ルールを契約に入れる——ここまでは費用ゼロでできます。

Q. 顧問税理士や社労士も「委託先」になりますか？

A. 個人データの取扱いを行わせているなら該当します。給与計算や年末調整を任せていれば、従業員とその家族の個人データを渡しているので委託です。
ただし、士業には別途の守秘義務があり、実務上はチェックシートを送りつけるより、事故時の連絡ルールと再委託の有無を確認するところから始めるのが現実的です。士業事務所も近年はセキュリティ対策を進めているので、口頭で確認して記録を残すだけでも十分に監督の実績になります。

Q. 相手が大手企業やISMS取得済みなら、確認しなくてよいですか？

A. 確認は必要です。認証を持っていることは有力な判断材料になりますが、ガイドラインが求めているのは「委託する業務内容に沿って、各項目が確実に実施されることをあらかじめ確認すること」です。
東海大学の事例では、委託先は専門のシステム会社でしたが、運用ルールと異なる形でデータが持ち出されていました。認証の有無ではなく、「自社が渡すデータが、実際にどこでどう扱われるのか」を確認してください。ISMS認証書の写しを受け取り、そのうえで作業場所とデータの保管場所を1問だけ聞く——これで十分です。

Q. 監査に行く時間も人もありません。どうすればいいですか？

A. 現地に行く必要はありません。ガイドラインは確認方法として「これに代わる合理的な方法（口頭による確認を含む。）」を明示的に認めています。
電話で聞いて、その内容を日付入りでメモに残す。これも法律が想定する確認方法の一つです。
委託先が多い場合は、扱う情報の量と機微さでランク分けし、上位数社だけ丁寧に確認するのが続けるコツです。全社を同じ深さで見ようとすると、たいてい1年で止まります。

Q. 委託先が「うちは大丈夫です」としか答えてくれません

A. 抽象的な回答しか返ってこない場合は、質問を具体的な事実確認に変えると効果があります。
「セキュリティは万全ですか」ではなく、「作業は御社の社内で行いますか、それとも当社の環境に接続して行いますか」「作業したデータは御社のパソコンに保存されますか」「この作業に関わる方は何名ですか」——事実を聞けば、答えは具体的にならざるを得ません。
それでも答えない、あるいは答えられない相手であれば、その事実自体が委託先選定の判断材料になります。

Q. 委託先で事故が起きたら、うちも公表しないといけませんか？

A. 個人情報保護委員会への報告義務は原則として委託元である自社が負います。本人への通知も自社が行います（困難な場合は公表と問い合わせ窓口の設置などの代替措置）。
公表そのものが法律で一律に義務づけられているわけではありませんが、実務上は本人通知が困難なケースが多く、結果として公表を選ぶ会社がほとんどです。2026年の改正では、個人情報保護委員会が本人への事実の通知や公表を行うよう勧告・命令できるようになる点も押さえておいてください。
なお、不正アクセスなど不正の目的による行為が原因なら1人分でも報告対象です。

Q. まず何から相談すればいいですか？

A. 「うちはどこに個人データを渡しているのか」の棚卸しからで構いません。
一覧ができれば、優先して確認すべき相手、契約書に追記すべき条項、自社側で記録を残すべき範囲が自然に見えてきます。
当社では、委託先の棚卸しから契約書の見直しの観点整理、操作ログや持ち出し制御の導入、補助金を使った費用の圧縮まで、まとめてご相談を承っています。

▶ 関連記事：ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？4制度の違いと費用・期間・有効期限の比較【中小企業向け】

▶ 関連記事：自工会・部工会のサイバーセキュリティガイドラインとは？レベル1〜3の153項目・チェックシート（自己問診票）の出し方と中小企業がまずやる19項目【2026年版】

▶ 関連記事：3省2ガイドラインとは？医療情報システムの安全管理ガイドライン第7.0版の変更点と、立入検査で確認されるチェックリスト19項目

▶ 関連記事：介護事業所のセキュリティ対策はどこまで必要？厚労省「情報安全管理の手引き」チェックリスト21項目と、義務化されたBCPの落とし穴

▶ 関連記事：ECサイト・ネットショップのセキュリティ対策は何が義務？EC加盟店の脆弱性対策5項目と、対策しないとカード決済が止まる理由【中小企業向け】

▶ 関連記事：取引先から求められたセキュリティ対策の費用は誰が払う？2026年1月施行の取適法（旧・下請法）と、価格交渉を申し入れる7つの手順

▶ 関連記事：ネットワークカメラ・防犯カメラのセキュリティ対策はどこまで必要？9割が「外から見えるつもりはなかった」という現実

▶ 関連記事：店舗のクレジットカード・キャッシュレス決済のセキュリティ対策は何が義務？決済端末の「全てIC対応」とカード情報の非保持化・QRコード貼り替えへの備え【中小企業向け】

まとめ

委託先のセキュリティ管理について、押さえるべき点を整理します。
個人データの取扱いを外部に任せている場合、その委託先を監督することは個人情報保護法第25条が定める自社の義務です。
求められる水準は「自社が講ずべき安全管理措置と同等の措置が委託先で講じられるよう監督すること」で、会社の規模による例外はありません。
「委託」に当たるかどうかは契約書の名前では決まらず、相手が実際に個人データを扱うかどうかで判断されます。
クラウドやSaaSは、契約で事業者が個人データを取り扱わないと定められ、かつ適切にアクセス制御が行われていれば委託に当たりませんが、自社の安全管理措置の義務は残ります。
ガイドラインが挙げる「監督していない事例」4つに共通するのは、聞けば分かったはずのことを聞かなかったという点です。
ベネッセ事件で裁判所が委託元の責任を認めた決め手も、報告を求めていれば防げたこと、そしてそれに過度の負担が生じなかったことでした。
再委託先の不適切な取扱いは、監督を怠っていれば元の委託元による法違反と判断され得ます。再委託の事前承認を契約に入れるだけで、この穴は大きく塞げます。
2026年7月17日に公布された改正法では、委託先が委託業務の範囲を超えて個人データを取り扱ってはならない義務が明文化されます。施行は公布から2年を超えない範囲内で、契約書の見直しは今から始める価値があります。
課徴金の対象は不適正利用・不正取得・第三者提供の制限違反・統計特例違反の4類型で、安全管理措置違反や委託先監督義務違反は挙げられていません。ただし現実的に重いのは、命令・報告義務・損害賠償・取引停止のほうです。
委託先で漏えいが起きたとき、個人情報保護委員会へ報告する義務を負うのは委託元である自社で、委託先の調査の遅れを理由に期限は延びません。
やるべき7つの手順のうち、1から6までは費用ゼロで実行できます。委託先の一覧づくり、渡す情報を減らすこと、再委託の事前承認、事故時の連絡ルール、契約前の確認、年1回の実施状況確認——ここが土台です。
確認の方法は現地監査に限られません。ガイドラインは「口頭による確認を含む」と明示しています。記録を残すことのほうが大切です。
技術的な備えとしては、操作ログと書き出し制御を最優先に。記録がなければ、事故のときに「何が漏れたか特定できない」という結論しか出せません。
30名規模で必要な備えを揃えると初年度で約92万円、2年目以降は年約73万円が目安です。1万人分の名簿で1人1,000円の慰謝料なら1,000万円——およそ11倍の開きがあります。
費用はデジタル化・AI導入補助金2026で圧縮できます。ただし交付決定前の発注は対象外なので、順番にご注意ください。

自社のセキュリティをどれだけ固めても、データを渡した先が守られていなければ、そこが穴になります。
まずは「どこに何を渡しているか」を書き出すところから始めてみてください。

▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方【中小企業向け】

▶ 関連記事：退職者のアカウント、ちゃんと削除していますか？情報漏洩リスクを解説

▶ 関連記事：従業員へのセキュリティ教育、何からはじめればいい？

▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策

▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方と「規程だけでは懲戒できない」理由【中小企業向け】

▶ 関連記事：パソコン・スマホを廃棄／リース返却するときのデータ消去は？「初期化しただけ」が危ない理由とNIST基準の3段階・消去証明書の見方【中小企業向け】