委託元から『個人情報取扱特約書』を求められたら——実装可能性チェックの重要性

大企業と取引を始めるにあたって、「個人情報取扱特約書」「安全管理措置に関する覚書」といった書類を突きつけられ中小企業は増えているようです。
営業担当者から「ハンコください」と言われたまま、よく内容を確認せずにサインしてしまう企業も少なくないのではと感じますが、その契約書に書かれた「安全管理措置」が、本当にあなたの会社で実装可能なのか、検討したことはありますか？

後から「契約違反だ」「法律要件を満たしていない」と指摘されるリスクを避けるために、行政書士と情報処理安全確保支援士の視点から、確認すべきポイントを整理します。

委託元企業が要求する理由

大企業に限らず、業務委託元となる企業が、業務委託先となる下請け企業に対してこのような契約を求めるくるようになった背景の１つとして、法律によって強制されているの点が挙げられます。

その強制とは、個人情報保護法（法）による「漏洩報告義務」です。（法26条）

下請け企業による個人情報取扱いの過程において個人データが漏洩したことを委託元企業が知った場合、個人情報保護委員会へ「概ね3〜5日以内」（個人情報保護法ガイドライン通則編3-5-3-3より）という極めてタイトな期限内に「速報」を報告しなければなりません。報告が遅れたら、漏洩させた下請け企業ではなく、委託元企業自身が法律違反になってしまうおそれがあります。

また、委託元企業としては、個人情報の取扱いを委託した場合は、その委託先を監督する義務（法25条）がありますので、委託元企業としては、その監督業務の一環という意味も含めて、契約書の中に「漏洩が発覚したら何時間以内に報告しろ」というような条文を入れざるを得なくなっています。

つまり、委託元企業の法務部は、法の規定やガイドラインを忠実に守って契約書を作っているだけだといえます。この必然性を理解することが、対応の第一歩になります。

押印する前に確認すべき3つのポイント

では、実際に契約書が届いたら、何を確認すれば良いのでしょうか。
行政書士と登録セキスペの視点から、3つに絞りました。

ポイント1：安全管理措置は、自社で実装可能か

契約書に書かれる「安全管理措置」が”大企業のスタンダード”になっているケースはよくあるようです。例えば以下のような要求がされる場合です。

• 専任の情報セキュリティ責任者を配置すること
• 年1回以上の情報セキュリティ監査を実施すること
• 従業員向けセキュリティ研修を年2回以上実施すること
• 24時間体制での監視・監控体制を構築すること

実際問題として、仮に従業員10人の会社が、これらをすべて実行可能でしょうか？
・・・多くの場合、不可能と言わざるを得ないと思います。
ここが重要なポイントで、多くの企業は「大企業の標準要求だから応じなければならない」と思い込んでいますが、実は交渉できる場合も多いです。

■確認すべき点：

1. 自社の現在の体制で実装可能な項目は何か
2. 実装できない項目は何か
3. 実装できない項目について交渉の余地があるのか

契約書をもらったら、まずはこれを一覧にして、自社の実装状況とのギャップを確認できるようにしてください。

ポイント2：再委託・クラウド利用は許可されているか

自社がシステム開発会社やデータ処理会社の場合を想定してください。

委託元企業から個人データを預かり、その個人データを「クラウドサービス（SalesforceやSmartHR、Microsoft 365など）に預ける」という日常的なことが、契約書上どう扱われるのでしょうか。

クラウドサービスへのデータ送信や保管について明確な規定を設けている契約書も存在しますが、一方でこの部分が曖昧に書かれているケースも少なくありません。
例えば「再委託は事前承認が必要」という条文があるのに、「クラウドサービスへの預託が再委託に当たるのか当たらないのか」が明記されていない場合です。

※法律上、個人データの取扱いの委託になるのか否かについては、いわゆる”クラウド例外”（ガイドラインQ&A Q7-53より）という考えがありますが、それとは別の、契約上のルールとしてのクラウド利用可否です。

その結果、後から「あの個人データをクラウドに預けるのは規約違反です」と言われるリスクが生じます。

■確認すべき点：

1. 「再委託が認められている範囲」が明記されているか
2. クラウドサービス利用は「再委託」に当たるのか
3. 不明な場合は事前承認の手続きが定められているか

ポイント3：漏洩報告と監査のルールが現実的か

冒頭で説明した「3〜5日以内報告義務」は法律に基づく要件ですが、契約書によっては「漏洩を知った後、24時間以内に詳細を報告しなければならない」といった要求がされていることもあります。

実務的には、”漏えいしたおそれ”という事実は報告できると思いますが、さすがに詳細を報告するためには、一般的には24時間では不可能です。
ただ、委託元企業としても、速報を出すにはある程度の情報が必要になりますので、その情報を委託先企業に求めるというのも理解できますので、どの程度の情報を報告する必要があるのかは認識を合わせておく必要があります。

また、「委託元企業は毎月監査を実施する権利を有する」といった規定も、中小企業にとっては準備コストが大きくなります。

■確認すべき点：

1. 報告期限は自社で対応できる範囲か
2. 「速報」と「確定報」が分かれているか
3. 監査の頻度はどの程度か
4. 監査費用は誰が負担するのか

委託元企業からの要求で注意するポイント

委託元企業から届いた契約書やチェックリストなどを確認するなかで、以下のようなパターンに気づいたら注意が必要です。

要注意ポイント1：安全管理措置の内容が漠然としている

「適切な安全管理措置をとること」と書いてあるだけで、「具体的に何をやるのか」が明記されていない契約書があります。
一見、委託先に過剰な要求をせず優しい印象を受けますが、何らかの事故やトラブルが発生した後に「足りない」と言われるリスクが高く、意外とこういったケースは危険です。必ず「何をやるのかを可能な限り具体的に」契約書に明記するよう注意が必要です。

要注意ポイント2：委託元企業が「一方的に」監査を実施できる

「いつでも監査に行く権利を有する」という条文があると、事前通知なしに急に監査が来るおそれが生じます。人員が限られている中小企業には準備期間が必要ですので、「事前通知」「監査スケジュールの協議」といった条件を入れるよう交渉することが大切です。

要注意ポイント3：事故発生時に「違約金」が求められる

契約書によっては「漏洩1件につき100万円の罰金を支払う」といった、実損害の賠償とは別に一律の違約金が定められていることがありますので、これは交渉を検討すべき対象だといえます。また、報告が1日遅れただけで違約金が発生する、といった条項も現実的ではありません。

契約書締結までのフロー

抽象的な確認項目を列挙するだけでは、実際には動けません。具体的なステップを示します。

Step 1：契約書の「要求」を一覧化する

安全管理措置、監査、報告義務、再委託ルール、損害賠償など、契約書に書かれている「自社がやるべきこと」をすべて羅列し、まずは”見える化”してください。

Step 2：「現在の実装状況」を把握する

実際に、自社でやっていることは何か、セキュリティシステムは何を導入しているのか、従業員研修はやっているのか、監査体制はあるのか、といった点を一覧にします。

Step 3：ギャップを「実装可能 / 不可能 / グレーゾーン」に分類する

Step 1 と Step 2 を比較して、契約要求と現実のズレを整理します。実装可能な項目なら契約書そのままでいいですが、実装不可能な項目は交渉が必要です。判断がつかない項目（グレーゾーン）は法律と実装の両方から判定が必要です。

Step 4：交渉すべき項目を整理する

「ここは無理です」という一方的な主張だけでなく、「代替案として、これならできます」という提示をすることが大切です。例えば「24時間監視は無理だが、営業時間内（9-18時）の監視なら可能」などです。

Step 5：法的リスクの確認

交渉結果が「法律上問題ないのか」を確認してください。実装は可能だが、法律要件を満たしていないという状況は、自社にも委託元にもコンプライアンス面でのリスクが生じますので避ける必要があります。この段階で、法律専門家のチェックが求められます。

押印する前に、一度チェックしませんか

契約書が来たまま、内容をよく確認せずに押印すると、後から「実装できません」「法律違反です」という指摘がされるリスクがあります。

中小企業のみなさまがこういったリスクをできるだけ回避できるよう、行政書士と情報処理安全確保支援士として、以下をサポートします。

• 契約書の「法的リスク」の確認
• 自社にとって「現実的な実装可能性」の判断
• 「どこを交渉すべきか」の整理（※先方との交渉は行いません。整理のみです。）
• 交渉時の「代替案提示」のサポート

まずはお気軽にご連絡ください。
→お問い合わせフォーム