海外のフリーランスへ個人データを渡すと違法になる場合｜越境移転の同意 2026

海外の翻訳者やエンジニアに顧客リストを渡して作業を頼みたい。でも、それって法律的に大丈夫なのか。個人データの海外委託、いわゆる越境移転には、個人情報保護法28条という明確なルールがあります。結論から言うと、原則として本人の同意が必要ですが、一定の条件を満たせば同意なしでも委託できます。この記事では、どのケースで同意が必須になるのか、同意を取る際に何を伝えなければならないのかを、実務目線で整理します。

個人データの越境移転が増えている背景

海外への業務委託は、もはや大企業だけの話ではありません。クラウドソーシングの普及により、個人事業主や中小企業でも、海外在住のフリーランスにデータ入力や翻訳、システム開発を依頼するケースが一般的になりました。円安の影響で、東南アジアや東欧のエンジニアに開発を委託するコストメリットが相対的に大きくなっている点も、この流れを後押ししています。

一方で、委託先が外国にいるというだけで、個人情報保護法上の扱いは国内委託と大きく変わります。データ入力代行やコールセンター業務、SNS運用代行、AIモデルの学習データ加工など、個人データを扱う業務を海外の第三者に渡す機会が広がる中で、リスクの所在も変化しています。

さらに、海外への業務委託の一般化やビジネスモデルの複雑化が進み、個人情報の越境移転の機会が広がる中、個人データの越境移転に伴うリスクも変化しつつある。このようなリスクの変化に対応する観点から、令和2年改正法により、個人データの越境移転に関する本人への情報提供の充実等が求められることとなった。 出典: ppc.go.jp

正直なところ、「海外に発注する＝個人情報保護法は関係ない」と誤解している事業者は、想像以上に多いです。国内の委託契約と同じ感覚で、業務委託契約書だけ交わして個人データを送ってしまうと、法律上の義務を満たしていない状態になりかねません。

個人情報保護法28条の基本構造

個人情報保護法28条は、「外国にある第三者」へ個人データを提供する場合のルールを定めています。まず押さえるべきは、この条文が適用される場面の輪郭です。

「外国にある第三者」とは誰を指すか

ここでいう「外国にある第三者」とは、日本国内に住所や主たる事務所を置いていない法人・個人を指します。海外に法人登記している企業だけでなく、海外に居住している個人事業主のフリーランスも含まれます。つまり、業務委託契約の相手がクラウドソーシングサイト経由の海外在住フリーランスであっても、その人が外国に居住していれば「外国にある第三者」に該当します。

一方で、日本企業の海外支店や、外国法人であっても日本国内に事務所を置いて日本の個人情報保護法を遵守する体制を整えている場合は、扱いが異なることがあります。この線引きを誤ると、本来必要な同意取得や情報提供義務を見落とすことになるため、委託先の法人格・所在地・実際の作業場所を最初に確認する必要があります。

「委託」でも第三者提供に当たる

「業務委託だから第三者提供には当たらないのでは」という質問をよく受けます。国内の委託であれば、個人情報保護法上は一定の条件下で「第三者提供」に該当しない扱い（委託に伴う提供の例外）が認められています。ところが、委託先が外国にある場合は話が別です。

外国にある第三者への提供については、委託であっても原則として28条の規律を受けます。国内向けの「委託先への提供は第三者提供に当たらない」という一般ルールをそのまま海外委託に当てはめてしまうのは、よくある誤解の一つです。海外のフリーランスにデータ入力や画像加工、カスタマーサポートを委託する際は、まずこの前提を理解しておく必要があります。

本人同意が必要なケースと不要なケース

個人データを外国にある第三者へ提供する場合、原則としてあらかじめ本人の同意を得る必要があります。ただし、以下のいずれかに該当する場合は、この同意なしでの提供が認められています。

基準に適合する体制を整備している事業者への提供

提供先が、日本の個人情報保護法に基づく体制と同等の水準の体制を整備していると認められる場合、本人同意は不要になります。具体的には、提供元と提供先との間で、個人情報保護法が定める基準に適合する契約や、企業グループ内の個人情報の取扱いに関する規程（拘束的企業準則）が締結・整備されているケースが該当します。

海外グループ会社にデータを移転する多国籍企業では、この枠組みを使ってグループ内標準契約条項（SCC相当の社内規程）を整備し、個別の同意取得を省略していることがあります。ただし、これは相応の体制整備コストがかかるため、個人事業主や小規模事業者が単発の業務委託でこの枠組みを使うのは現実的ではありません。

個人情報保護委員会が指定する国・地域への提供

提供先の国が、日本と同等の水準にあると個人情報保護委員会が認めた国・地域である場合も、同意は不要です。ただし、この指定を受けている国は非常に限定的です。多くの発注先候補国（フィリピン、インド、ベトナム、東欧諸国など）はこの指定を受けていないため、実務上はほとんどのケースで「原則どおり同意が必要」と考えておくのが安全です。

結局、個人事業主・中小企業はどう判断すべきか

上記2つの例外に該当しない限り、海外フリーランスへの業務委託でデータを渡す場合は、本人の同意を得る必要があると考えてください。例外に頼らず同意取得を基本線にするのが、実務上もっとも事故が少ないやり方です。

同意取得時に本人へ提供すべき情報

同意さえ取れれば何でも良いわけではありません。個人情報保護法28条2項と施行規則17条2項により、同意を取得する際には、あらかじめ本人に対して次の情報を提供することが義務付けられています。

提供先が所在する外国の名称

まず、個人データの提供先が所在する国名を具体的に示す必要があります。「海外に委託します」という曖昧な説明では不十分で、「フィリピン共和国のコールセンター事業者に委託します」というように、国名まで特定して伝える必要があります。

当該外国における個人情報保護制度に関する情報

提供先の国に、日本の個人情報保護法に相当する制度が存在するかどうか、その内容を本人に情報提供する必要があります。個人情報保護委員会のウェブサイトでは、主要な国・地域における個人情報保護制度の概要がまとめられており、これを参照して説明資料を作成する事業者が多く見られます。

提供先が講ずる個人情報保護のための措置に関する情報

提供先の事業者が、実際にどのような保護措置（暗号化、アクセス制限、社内規程の整備など）を講じているかについても、本人に情報提供する必要があります。フリーランスへの業務委託であれば、「業務用PCへのパスワード設定」「作業完了後のデータ削除」「第三者への再委託禁止」といった契約条項として明文化し、その内容を本人向けの説明に反映させる形が現実的です。

個人データの越境移転に当たっては、提供元の個人情報取扱事業者において、提供先の第三者が所在する外国に個人データを移転することについてのリスクを評価し、個人データの移転の必要性について吟味した上で、本人に対しても、分かりやすい情報提供を行うことが重要である。 出典: ppc.go.jp

この3点セット（国名・制度情報・保護措置）を、同意取得のタイミングで本人に示す。これが実務上のチェックリストになります。同意書の文面には、この3点が具体的に記載されているかを必ず確認してください。

提供先の国名を特定できない場合の対応

実務では、「クラウドソーシングサイトを通じて委託するため、実際にどの国のフリーランスが対応するか事前に確定できない」というケースも珍しくありません。このような場合、施行規則17条3項は代替的な対応を認めています。

具体的には、提供先の外国の名称を特定できない旨と、その理由に加えて、特定できる範囲での情報提供を行うことで足りるとされています。たとえば「東南アジア地域を中心とした複数国のフリーランスに委託する可能性があり、業務発注時点では具体的な国名を特定できません」といった説明と、その理由（プラットフォームの仕組み上、応募者の所在国が案件公開後に決まるため、など）を示す形です。

ただし、これはあくまで「特定できない場合の代替措置」であり、「面倒だから特定しない」という運用は認められません。委託先が判明した時点で、可能な限り具体的な国名を示す努力を続ける姿勢が求められます。

保護措置に関する情報を提供できない場合の対応

同様に、提供先が講じている個人情報保護のための措置について、情報を得られない場合の対応も定められています。施行規則17条4項では、当該情報を提供できない旨と、その理由、そして本人が求めた場合に提供可能な範囲の情報を個別に提供する旨を伝えることで足りるとされています。

なお、この措置を講じなければならない対象は、実際に提供を行った「当該個人データ」であることから、提供先で取り扱っている他の個人情報の取扱いについてまで当該措置を講ずることが求められているものではない。 出典: ppc.go.jp

つまり、委託先企業の情報保護体制全体を精査する義務まではなく、実際に提供する当該データに対してどのような措置が取られるかに焦点を絞って良いということです。個人事業主のフリーランスに小規模なデータ入力を委託する程度であれば、「作業用フォルダのパスワード保護」「納品後のデータ完全削除」といった限定的な確認で対応できる場面が多くなります。

実務でよくある海外委託のケースと対応

ここからは、実際に個人データを扱う海外委託でよく発生する場面を具体的に見ていきます。

ケース1：海外の翻訳者に顧客名簿の翻訳を依頼する

顧客リストや問い合わせ履歴を翻訳目的で海外在住の翻訳者に渡す場合、名前・連絡先・取引内容が含まれていれば個人データの越境移転に当たります。契約書に守秘義務条項を入れるだけでなく、本人（顧客）への同意取得プロセスを別途設計する必要があります。多くの事業者は、利用規約や個人情報の取扱いに関する同意文言の中に、あらかじめ「業務委託のため海外の事業者にデータを提供する場合がある」旨と、提供先の国名の目安を盛り込む形で対応しています。

ケース2：海外のエンジニアにシステム開発を委託する

開発委託では、テスト環境に本番の顧客データをそのまま投入してしまうミスが後を絶ちません。個人データを含むデータベースへのアクセス権を海外のエンジニアに付与する時点で、越境移転が発生します。可能であれば、開発・テスト工程ではダミーデータやマスキング済みデータを使用し、実データへのアクセスが避けられない場合のみ、同意取得と情報提供義務を履行するという設計が望ましいでしょう。

ソフトウェア開発の実務では、要件定義から実装、テストまでの各工程で誰がどのデータに触れるかを事前に整理しておくことが重要です。開発工程の切り出し方や単価の目安を把握しておくと、委託範囲を絞り込みやすくなります。ソフトウェア作成者の年収・単価相場では、開発工程別の相場感がまとまっており、委託範囲とコストのバランスを検討する際の参考になります。

ケース3：AIツールのクラウド処理で海外サーバーを経由する

近年増えているのが、AIチャットボットや文字起こしツールなど、SaaS型のAIサービスを経由して個人データが海外サーバーに送信されるケースです。利用者は「委託」の意識がなくても、実質的には海外の第三者（サービス提供事業者）へのデータ提供に当たることがあります。契約前に、利用するAIサービスのデータ処理拠点がどこにあるか、プライバシーポリシーやデータ処理契約書（DPA）を確認する習慣をつけておくべきです。

AIツールの選定や社内導入を検討する際は、個人情報保護の観点も含めて事前に整理しておくことが望まれます。AIコンサル・業務活用支援のお仕事では、AI導入時のリスク整理や運用設計を専門家に相談する形の業務内容が紹介されており、社内に知見がない場合の選択肢の一つになります。

委託先選定時のチェックリスト

海外のフリーランスや事業者に個人データを扱う業務を委託する前に、次の点を確認しておくと後のトラブルを減らせます。

・委託先の所在国（法人登記地ではなく実際の作業場所） ・委託先の国に個人情報保護に関する法制度が存在するか ・委託先が講じている技術的・組織的な保護措置の内容 ・再委託の有無と、再委託先への同意取得済み情報の引き継ぎ方法 ・業務完了後のデータ削除・返却の手順と検証方法

これらを契約書の別紙やチェックリストとして事前に整理しておくと、本人への情報提供義務を履行する際にもそのまま活用できます。

違反した場合のリスク

個人情報保護法に違反した場合、個人情報保護委員会からの指導・勧告・命令の対象となり、命令に従わない場合は罰則の対象にもなり得ます。加えて、法令違反が発覚した場合の実務上のダメージは、行政処分だけにとどまりません。取引先からの信頼喪失、顧客への説明対応、場合によっては損害賠償請求といった二次的なコストが発生する可能性があります。

同意取得を後回しにして先に委託を進めてしまうという順序の誤りは、実務で最も多く見かける失敗パターンです。業務委託契約を締結する前に、対象データに個人データが含まれるかどうかを棚卸しし、含まれる場合は同意取得のプロセスを契約締結と並行して進める。この順序を守るだけで、多くのトラブルは未然に防げます。

コンプライアンス体制の整備そのものを専門家に相談したいという事業者も少なくありません。個人情報保護法を含む法令遵守や事業運営全般のアドバイスを受けられる専門資格として、中小企業診断士が挙げられます。中小企業の経営課題を横断的に見る立場から、データ保護体制の整備を含めた実務支援を行うケースもあります。

独自データの考察

在宅ワーク・フリーランス市場を長く見てきた運営者の立場から言えば、個人データの越境移転に関する相談は、ここ数年で明らかに増えています。以前は「海外に発注するのは大企業だけ」という感覚が一般的でしたが、円安や人材不足を背景に、個人事業主や中小企業が海外フリーランスに業務を依頼する場面が広がったことが背景にあると見ています。

一方で、法令遵守の意識には大きな差があるのも実情です。国内のフリーランスに業務委託する感覚のまま、顧客データを含む案件を海外に発注してしまう事業者が一定数存在します。運営者として見てきた限りでは、こうした事業者の多くは「悪意があるわけではなく、単に越境移転特有のルールを知らなかった」というケースがほとんどです。逆に言えば、事前に手順さえ理解していれば、防げるリスクだということでもあります。

もう一つ、運営者の視点から強調したいのは、直接契約の構造がこの問題にも影響するという点です。多層の仲介業者を挟んだ委託では、実際にデータへアクセスする最終的な作業者が誰で、どこに所在しているかが発注者側から見えにくくなります。手数料0%の直接契約であれば、発注者と受注者が直接コミュニケーションを取れるため、委託先の所在国や作業環境を具体的に確認しやすいという利点があります。長く続く取引関係ほど、単発の作業依頼で終わらせず、委託先の実態を把握した上で信頼関係を築いているという傾向が見られます。

海外への業務委託を検討する際は、個人データの取扱いだけでなく、委託する業務の種類そのものも整理しておくと良いでしょう。たとえば海外のライターや編集者にコンテンツ制作を依頼する場合でも、会員データや読者アンケートの結果を渡すのであれば同様の対応が必要です。著述家，記者，編集者の年収・単価相場では、コンテンツ制作系の業務委託における単価の目安が紹介されており、委託範囲を設計する際の参考になります。

また、システム開発を伴う案件では、要件定義の段階で個人データへのアクセス範囲を最小化する設計を組み込むことが有効です。アプリケーション開発のお仕事のように、開発工程を細かく切り出して発注する形であれば、個人データに直接触れる工程とそうでない工程を分離しやすくなり、越境移転の対象を絞り込むことができます。

個人データの海外委託は、正しい手順を踏めば決して禁止されている行為ではありません。重要なのは、「委託先が外国にある」という一点を見落とさず、同意取得と情報提供という2つの義務を、契約締結前のプロセスに組み込んでおくことです。

よくある質問

Q. 個人データを海外に委託する際、必ず本人の同意が必要ですか？

原則として必要です。ただし、提供先が個人情報保護法上の基準に適合する体制を整備している場合や、個人情報保護委員会が指定する国・地域への提供に当たる場合は、例外的に同意が不要になることがあります。

Q. 海外のクラウドソーシングでフリーランスに委託する場合も対象になりますか？

対象になります。委託先が外国に居住する個人事業主であっても「外国にある第三者」に該当するため、業務委託であっても個人情報保護法28条の規律を受け、原則として本人同意が必要です。

Q. 同意を取る際、具体的に何を伝えればいいですか？

提供先が所在する国名、その国における個人情報保護制度の有無や内容、提供先が講じている保護措置の3点を、あらかじめ本人にわかりやすく説明した上で同意を取得する必要があります。

Q. 委託先の国が事前に確定しない場合はどうすればいいですか？

国名を特定できない旨とその理由、特定できる範囲での情報を本人に提供すれば足りるとされています。ただし、委託先が判明した時点で、できるだけ具体的な情報提供に努める必要があります。