■はじめに

業務委託先に顧客リストや会員名簿を渡すとき、「NDA（秘密保持契約）を結んでいるから大丈夫」と考えていませんか？

たしかに秘密保持契約は、取引で知り得た情報を外部に漏らさないための大切な取り決めです。けれども、渡す情報の中に「個人情報」が含まれている場合、それだけでは足りないことがあります。個人情報を扱う業務を外部に委託するときは、個人情報保護法に基づいた別の備えが求められることがあるからです。

そこで実務でよく使われるのが「個人情報保護に関する覚書」です。海外サービスやGDPR対応の文脈では、DPA（Data Processing Agreement／データ処理契約）と呼ばれる書面が用いられることもあります。

なお、一般には「個人情報を預ける」「個人情報を扱う」と表現されることが多いですが、個人情報保護法上の委託先監督義務は、主に「個人データ」の取扱いを委託する場面で問題になります。本記事では、読者にわかりやすい表現として「個人情報」という言葉も用いながら、法令上必要な箇所では「個人データ」と表記します。

この記事では、なぜ個人情報保護に関する覚書が使われるのか、秘密保持契約（NDA）との違い、覚書に盛り込むべき主な記載事項、そして業務委託契約本体との関係について、委託する側・される側の双方の視点からわかりやすく解説します。

なぜ個人情報を扱う業務委託で「覚書」が使われるのか

個人情報保護法が定める「委託先の監督義務」

個人データを扱う業務を外部に委託する場合、委託する側（委託元）には個人情報保護法上の義務が生じます。

個人情報保護法は、個人データの取扱いの全部又は一部を委託する場合、委託元は、委託先に対して必要かつ適切な監督を行わなければならないと定めています（個人情報保護法25条）。これを一般に「委託先の監督義務」と呼びます。

つまり、個人情報を渡して終わりではなく、「渡した先がきちんと安全に扱っているか」を委託元が責任を持って確認する立場に置かれます。委託先で情報漏えいが起きた場合、監督が不十分だったとして委託元の責任が問われることもあります。

「監督」を形にするのが覚書

委託先の監督義務といっても、口頭で「ちゃんと管理してくださいね」と伝えるだけでは、監督したことの証拠が残りません。

そこで、委託元と委託先の間で「個人データをどう取り扱うか」をあらかじめ書面で取り決めておくのが、個人情報保護に関する覚書です。覚書を交わしておくことで、委託元は監督義務を果たすための土台をつくることができ、委託先も「どこまで何をすればよいか」を明確に把握できます。

なお、個人情報保護委員会のガイドラインでも、委託先の監督として「適切な委託先の選定」「委託契約の締結」「委託先における個人データ取扱状況の把握」が求められており、覚書はこのうち「委託契約の締結」にあたる部分を担います。

必ず別の覚書が必要になるわけではない

もっとも、個人情報保護に関する取り決めは、必ずしも「個人情報保護に関する覚書」という独立した書面で作成しなければならないわけではありません。

既存の業務委託契約やNDAの中に、個人データの取扱いに関する安全管理措置、再委託、事故時対応、契約終了時の返却・廃棄などが十分に定められていれば、別の覚書を作成しなくても足りる場合があります。

一方、既存契約でこれらの内容が不足している場合には、個人情報保護に関する覚書を別途取り交わし、不足部分を補う方法が実務上よく用いられます。

委託は「第三者提供」とは異なる

個人データを外部の事業者に渡すと聞くと、「第三者提供にあたるのではないか」と気になる方もいるかもしれません。

個人情報保護法では、利用目的の達成に必要な範囲内で、個人データの取扱いの全部又は一部を委託する場合、委託先は原則として「第三者」に該当しないものとされています（同法27条5項1号）。そのため、通常の第三者提供とは異なる整理になります。

ただし、委託先が自由に個人データを使ってよいという意味ではありません。委託先には、委託された業務の範囲内で個人データを取り扱わせる必要があり、委託元には委託先を監督する義務が残ります。

秘密保持契約（NDA）との違い

「秘密保持契約を結んでいれば、個人情報の覚書はいらないのでは？」という疑問はよくあるものです。両者は重なる部分もありますが、目的が異なります。

NDAは「秘密情報全般」を守るための契約

秘密保持契約（NDA）は、取引の中で開示される秘密情報を外部に漏らさないこと、目的外に使わないことを取り決める契約です。対象は個人情報に限られず、技術情報・営業情報・価格情報など、秘密として扱うべき情報全般が対象になります。

秘密保持契約の基本については、NDA（秘密保持契約書）の基本｜締結すべきタイミングと必須記載事項を解説で詳しく解説しています。

個人情報保護に関する覚書は「委託先の監督」が主眼

一方、個人情報保護に関する覚書は、個人情報保護法上の委託先監督義務を果たすことが主な目的です。そのため、安全管理措置や再委託の制限、漏えい時の報告など、個人情報保護法やガイドラインが求める項目を具体的に取り決めます。

両者の主な違いを整理すると、次のとおりです。

• 目的：NDAは秘密情報全般の漏えい防止／覚書は個人情報保護法に基づく委託先の監督
• 対象：NDAは秘密情報全般／覚書は個人データを中心とした個人情報の取扱い
• 根拠：NDAは当事者間の合意が中心／覚書は個人情報保護法・ガイドラインが背景にある
• 重点項目：NDAは秘密保持・目的外利用の禁止／覚書は安全管理措置・再委託・漏えい時対応・取扱状況の確認など

実務上は、秘密保持契約だけでは個人情報保護法が求める監督の内容を十分にカバーしきれない場合があります。個人データを扱う委託では、秘密保持の取り決めとは別に、個人情報の取扱いに特化した覚書を用意しておくと安心です。

個人情報保護に関する覚書に盛り込むべき主な記載事項

ここからは、覚書に入れておきたい代表的な項目を見ていきます。委託する業務の内容によって過不足は変わりますが、実務でよく使われる項目を中心に紹介します。

なお、以下の条文例では、委託する側（個人情報を渡す側）を「甲」、委託される側（委託先）を「乙」と表記します。また、法令上の用語に合わせて、条文例では主に「個人データ」と表記します。

1. 取り扱う個人データの範囲・利用目的の限定

まず、委託先がどのような個人データを、何のために扱うのかを明確にします。範囲や目的があいまいだと、委託先が想定外の使い方をするリスクがあります。

第○条（個人データの取扱い範囲）
乙は、本件業務の遂行に必要な範囲に限り、甲から提供された個人データを取り扱うものとし、本件業務の目的以外に利用してはならない。

利用目的を委託業務の範囲に限定しておくことで、目的外利用を防ぎやすくなります。

2. 安全管理措置

安全管理措置とは、個人データの漏えい・滅失・毀損を防ぐために講じる具体的な対策のことです。個人情報保護法でも、個人情報取扱事業者は、取り扱う個人データについて必要かつ適切な安全管理措置を講じることが求められています（同法23条）。

覚書では、委託先にも、個人情報保護法上求められる水準の安全管理措置を講じてもらう形が基本になります。

第○条（安全管理措置）
乙は、個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のために必要かつ適切な措置を講じるものとする。

アクセス権限の管理、保管場所の施錠、データの暗号化、外部記録媒体の利用制限など、具体的な措置を別途定めるケースもあります。

3. 再委託の制限・承認

委託先がさらに別の業者へ業務を再委託する場合、その先でも個人データが適切に扱われるかが問題になります。再委託を無制限に認めると、委託元の知らないところで情報が拡散しかねません。

そこで、再委託には事前の書面による承認を必要とする取り決めが一般的です。

第○条（再委託）
乙は、甲の事前の書面による承諾を得た場合を除き、本件業務に関して取り扱う個人データの処理を第三者に再委託してはならない。
2 乙は、再委託を行う場合、再委託先に対し本覚書と同等の義務を負わせるものとする。

業務委託契約全般における再委託の考え方は、業務委託契約書の「再委託」条項｜許可・禁止の書き方と注意点でも整理しています。

4. 従業者の監督

個人データを実際に扱うのは委託先の従業員です。そのため、委託先が自社の従業者をきちんと監督することも、覚書に盛り込んでおきたい項目です。

第○条（従業者の監督）
乙は、本件業務に従事する自己の従業者に対し、個人データの適正な取扱いに関し必要かつ適切な監督を行うものとする。

退職者によるデータ持ち出しなどを防ぐ観点からも、重要な条項です。もっとも、委託先の従業者一人ひとりから誓約書を取得するかどうか、従業者名簿の提出まで求めるかどうかは、扱う個人データの内容や業務の性質に応じて検討する必要があります。

5. 漏えい等発生時の報告・対応

万一、委託先で個人データの漏えいなどが起きた場合に、速やかに委託元へ報告してもらう取り決めも欠かせません。

2022年4月に施行された改正個人情報保護法では、一定の重大な漏えい等が発生した場合、個人情報取扱事業者に対し、個人情報保護委員会への報告と本人への通知が義務づけられました（同法26条）。委託先で漏えいが起きた場合、委託元がこの報告・通知の対応を求められることもあるため、委託先からの速やかな報告ルートを定めておく必要があります。

第○条（漏えい等の報告）
乙は、本件業務に関して個人データの漏えい、滅失又は毀損その他の事故が発生し、又は発生するおそれがあることを知ったときは、直ちに甲に報告し、甲の指示に従って対応するものとする。

報告までの時間、連絡先、報告事項、初動対応、原因調査、再発防止策への協力などを具体的に決めておくと、いざというときに動きやすくなります。

6. 契約終了時の返却・破棄

業務が終わった後も委託先に個人データが残っていると、漏えいのリスクが続いてしまいます。契約終了時には、預けた個人データを返却または破棄してもらう取り決めをしておきます。

第○条（契約終了時の措置）
乙は、本件業務の終了又は本覚書の終了後、甲から提供された個人データ及びその複製物を、甲の指示に従い速やかに返却又は廃棄するものとする。

破棄したことの証明として、廃棄完了報告書や削除証明書の提出を求める運用もあります。

7. 取扱状況の報告・確認

委託先が覚書どおりに個人データを取り扱っているかを確認できるよう、委託元への報告、資料提出、確認・監査への協力などを定めておくことも重要です。

第○条（取扱状況の報告及び確認）
甲は、必要に応じて、乙に対し、個人データの管理状況について報告又は資料の提出を求めることができるものとし、乙はこれに合理的な範囲で協力するものとする。

たとえば、チェックシートによる確認、書面による報告、必要に応じた面談や監査などの方法があります。もっとも、すべての委託先に対して厳格な立入監査を行う必要があるわけではありません。扱う個人データの内容、件数、業務の性質、漏えい時の影響などに応じて、現実的な確認方法を定めることが大切です。

業務委託契約本体との関係｜本体に入れる？別の覚書にする？

個人情報の取扱いを取り決める方法には、大きく分けて2つのパターンがあります。

• 業務委託契約本体に個人情報保護の条項を盛り込む
• 業務委託契約とは別に「個人情報保護に関する覚書」を交わす

どちらでも、当事者間の合意内容が明確になっていれば、法的な効力に大きな差はありません。実務では、次のような使い分けがされています。

• 個人情報の取扱いが業務の中心になる場合や、取り決める項目が多い場合は、独立した覚書として整理した方が読みやすい
• 既存の業務委託契約がすでにある場合は、後から覚書を追加して補う形が取りやすい
• 一度作った覚書のひな形を、複数の委託先で使い回しやすい
• 個人情報の取扱いが限定的な場合は、業務委託契約本体の中に条項として盛り込んだ方が管理しやすいこともある

業務委託契約の形態や選び方については、請負契約と業務委託契約の違い｜どちらを選ぶべきか判断基準を解説もあわせてご覧ください。

自社の取引状況に合わせて、本体に盛り込むか別覚書にするかを整理しておくと、契約書類の管理もしやすくなります。

委託する側・される側、それぞれの視点

委託する側（委託元）の視点

個人データを預ける側は、委託先の監督義務を負う立場です。覚書を通じて、安全管理措置や再委託の制限、漏えい時の報告、取扱状況の確認方法などを取り決めておくことで、監督の土台をつくれます。

また、覚書を作成するだけでなく、委託先を選ぶ段階から、個人情報を任せて問題ない相手かを確認しておくことも大切です。委託する個人データの内容や量、委託業務の性質に応じて、必要な確認の程度も変わります。

委託される側（委託先）の視点

個人データを預かる側にとっても、覚書は「どこまで何をすればよいか」を明確にしてくれるものです。

あいまいなまま業務を進めると、後から「言った・言わない」のトラブルや、想定外の責任を問われるおそれがあります。求められる安全管理措置の内容、再委託の可否、事故時の報告期限、契約終了時の返却・破棄方法などを確認し、自社で対応できる範囲かを見極めておくと安心です。

どちらの立場でも、覚書を交わす前に、その内容を一度きちんと確認しておくことが、後々のトラブル予防につながります。

行政書士に相談できること

個人情報保護に関する覚書は、ひな形をそのまま使えば済むものではなく、扱う情報の内容や委託する業務によって、入れるべき項目が変わってきます。「自社の取引にどんな項目が必要か」「既存の契約書に何を足せばよいか」と迷うこともあるかと思います。

はじま行政書士事務所では、個人情報保護に関する覚書をはじめ、業務委託契約書・秘密保持契約書などの作成や内容確認のご相談に対応しています。社内で対応する部分と、外部に相談する部分を分けて整理してみることが、はじめの一歩になります。

なお、すでに相手方と漏えいトラブルが起きている場合の対応や、損害賠償をめぐる交渉といった紛争性のある案件は、弁護士の領域となります。契約書・覚書の作成や見直しといった「書類づくり」の段階で、必要に応じてご相談いただける内容です。

■まとめ

個人情報を扱う業務委託における「個人情報保護に関する覚書」について、要点を整理します。

• 個人データを扱う業務を外部に委託する場合、委託元には個人情報保護法上の「委託先の監督義務」がある
• 委託先の監督では、適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握が重要になる
• 秘密保持契約（NDA）は秘密情報全般を守るための契約で、個人情報保護法に基づく監督までは十分にカバーしきれないことがある
• 個人情報保護に関する覚書は、委託先の監督を書面の形にするためのもの
• ただし、既存の業務委託契約やNDAで必要な事項が十分に定められていれば、必ずしも別覚書を作成する必要はない
• 盛り込むべき主な項目は、取扱範囲・利用目的の限定／安全管理措置／再委託の制限・承認／従業者の監督／漏えい時の報告・対応／契約終了時の返却・破棄／取扱状況の報告・確認
• 2022年4月施行の改正個人情報保護法では、一定の漏えい時に個人情報保護委員会への報告・本人通知が義務づけられている
• 業務委託契約本体に盛り込む方法と、別途覚書にする方法があり、取引状況に応じて使い分ける

---