顧客データを預かるフリーランスの義務｜個人情報の安全管理と事故時の対応 2026

2026年3月4日

朝比奈蒼

この記事のポイント

✓フリーランス個人情報預かる場面で何を守るべきか
✓個人情報保護法上の義務
✓漏えい事故時の対応フローまで

業務委託でクライアントの顧客リストや会員データを預かることになったが、何をどこまで守ればいいのか分からない。そんな不安から「フリーランス個人情報預かる」と検索した方は多いはずです。結論から言えば、フリーランスであっても個人情報を取り扱う以上、企業と同じ個人情報保護法の義務を負います。件数の少なさや個人事業主であることは免責の理由になりません。

フリーランスが個人情報を預かる機会は増えている

業務委託の裾野が広がるほど、個人データを扱う仕事の割合も自然と増えていきます。EC運営代行、CRM入力代行、コールセンター業務の一部委託、名簿整理、アンケート集計、顧客対応チャットボットの運用など、フリーランスや副業ワーカーが個人情報に触れる業務は年々多様化しています。企業側から見れば、正社員を雇うより業務委託でスポット対応してもらう方がコストを抑えられるため、個人データを含む業務ほど外部委託が進みやすいという逆説的な構造もあります。

中小企業庁の調査でも、フリーランスへの業務委託が拡大している領域として、事務代行やマーケティング支援、カスタマーサポートが上位に挙がっており、これらはいずれも顧客の氏名・メールアドレス・電話番号・購買履歴といった個人データに直結する業務です。つまり、フリーランス側が「自分は個人情報保護法とは無関係」と考えていても、実務上は日常的に個人データへアクセスしているケースが少なくありません。

個人情報保護法が改正され、2022年（令和4年）4月1日に施行されました。フリーランスや個人事業主も適用対象であるのはもちろん、違反すれば罰則が科されます。そこでこの記事では、個人情報とは具体的にはどういったものかに加え、改正法のポイントについて解説していきます。出典: freenance.net

かつての個人情報保護法には「取り扱う個人情報が5,000件以下の事業者は適用除外」という規定がありましたが、これは2017年の改正で撤廃されています。1件でも生存する個人を特定できる情報を事業のために取り扱っていれば、フリーランス1人であっても法律上は「個人情報取扱事業者」に該当します。この前提を知らないまま業務を受けているフリーランスは、正直なところ想像以上に多い印象です。

個人情報保護法における「個人情報取扱事業者」の該当性

まず整理しておきたいのが、「個人情報」の定義と「個人情報取扱事業者」の該当性です。ここを誤解したまま契約を結ぶと、後になって想定外の義務を負っていたことに気づくケースが起きます。

個人情報とは何を指すのか

個人情報保護法上の「個人情報」とは、生存する個人に関する情報で、氏名・生年月日その他の記述等により特定の個人を識別できるもの、または個人識別符号（マイナンバー、運転免許証番号、旅券番号など）が含まれるものを指します。氏名だけでなく、メールアドレスや住所、電話番号、顔写真、勤務先情報なども、他の情報と組み合わせて個人を特定できれば個人情報に含まれます。SNSアカウント名やクッキー情報も、他の識別情報と紐づけば個人情報に該当し得る点は注意が必要です。

事業として使っていれば規模を問わず対象

前述の通り、件数要件は撤廃されているため、フリーランスが単発の業務委託で数十件の顧客リストを扱う場合でも、個人情報取扱事業者としての義務が発生します。「うちは個人事業主だから関係ない」という認識は、法改正前の古い情報のまま止まっている典型例です。契約書に個人情報保護に関する条項がなくても、法律上の義務は自動的に生じることを理解しておく必要があります。

フリーランスが負う具体的な義務

個人情報取扱事業者としてフリーランスが負う主な義務は、大きく分けて5つあります。それぞれ実務でどう対応すべきかを見ていきます。

利用目的の特定と通知・公表

個人情報を取得する際は、その利用目的をできる限り特定し、本人に通知するか公表しなければなりません。業務委託の場合、クライアントから預かったデータの利用目的は基本的に契約書や業務委託契約の範囲内に限定されるため、契約書に「本業務の遂行以外の目的では利用しない」旨を明記してもらうのが実務上は安全です。目的外の利用（例えば案件終了後に自分の営業リストへ転用する等）は、たとえ善意であっても法律違反になり得ます。

安全管理措置の実施

個人データの漏えい、滅失、毀損を防ぐために必要かつ適切な安全管理措置を講じる義務があります。これは組織的・人的・物理的・技術的の4つの観点で求められるもので、フリーランスであっても以下のような対応が実務上の最低ラインとされています。

・パスワード付きファイルでのデータ管理、または暗号化されたクラウドストレージの利用・作業用PCへのログインパスワード設定とスクリーンロックの徹底・カフェなど公共の場での作業時に画面を覗き見されない配慮・データを扱う端末を家族や第三者と共有しない・不要になったデータの確実な削除（ゴミ箱を空にするだけでなく完全削除）

委託先への監督義務

もしフリーランス自身がさらに別の協力者へ作業の一部を再委託する場合、委託元（自分）は再委託先が適切にデータを扱っているかを監督する義務を負います。フリーランス同士のチーム編成が増えている今、自分だけでなく協力者の管理体制まで責任が及ぶという点は見落とされがちです。

第三者提供の制限

取得した個人データを、本人の同意なく第三者へ提供することは原則禁止されています。外国にある事業者へデータを渡す場合はさらに厳格なルールが適用されます。

個人情報を扱うフリーランスなどの事業者が、一定の国を除き、外国の会社など、外国にいる第三者に対して個人情報を提供する場合、その個人情報の本人から承諾を得なければなりません。出典: freenance.net

海外のクラウドツールやAIサービスに顧客データをアップロードして処理する行為も「外国にある第三者への提供」に該当する可能性があるため、業務でChatGPTや海外製のSaaSに個人データを入力する際は、クライアントの同意や契約上の許諾範囲を必ず確認すべきです。

開示・訂正・利用停止請求への対応

本人から「自分の情報を開示してほしい」「誤りを訂正してほしい」「利用をやめてほしい」といった請求があった場合、事業者は原則として応じる義務があります。ただし、これには例外もあります。

ただし、開示することで本人等に危害が及んだり、公共の安全が害される可能性があったりするもの（被害者データや反社データなど）はこれに当たりません。また、フリーランスが預かる個人情報でも、委託元との契約で開示等の義務を負わない場合は開示や削除の権限がないので、これに当たりません。出典: freenance.net

つまり、業務委託契約でデータの管理権限がクライアント側にあると明記されている場合は、開示請求への一次対応窓口はクライアントになり、フリーランスが単独で対応する必要はないケースが多いです。この線引きが契約書に書かれていないと、本人からの問い合わせが直接自分に来たときにどう動けばいいか分からず混乱します。契約前に「開示請求が来た場合の窓口はどちらか」を確認しておくと安心です。

業務委託契約で確認すべきポイント

個人データを扱う業務を受注する際、契約書やNDA（秘密保持契約）で最低限確認しておくべき項目を整理します。

秘密保持条項とデータの取り扱い範囲

契約書に、預かるデータの範囲、利用目的、保管期間、返却または削除の方法が明記されているかを確認します。口頭やチャットの指示だけで「このExcelを使って」と渡されるケースもありますが、後々のトラブルを避けるためにも、少なくともメールやチャットのテキストで業務範囲を残しておくことをお勧めします。

業務終了後のデータ削除義務

案件終了後、預かったデータをいつまでに、どのように削除するかを事前に取り決めておくべきです。「案件が終わったのでなんとなく放置している」という状態は、意図せず情報漏えいのリスクを抱え続けることになります。私自身、編集の仕事で会員向けメールマガジンのリスト整理を受託した際、契約終了後の削除期限を明確に決めていなかったために、数か月後にクライアントから「あのデータはまだ残っているか」と確認され、慌てて削除履歴を報告した経験があります。以降は必ず「納品後◯日以内に完全削除し、削除完了を報告する」という一文を契約時に確認するようにしています。

損害賠償条項の有無

万が一漏えい事故が起きた場合の責任分担（損害賠償の上限額や範囲）も、契約書で確認しておきたい項目です。フリーランス側の過失で漏えいが起きた場合、賠償責任を個人で負う可能性もゼロではありません。案件の規模や扱うデータの機密性が高い場合は、フリーランス向けの賠償責任保険への加入も選択肢に入れる価値があります。

情報漏えい事故が起きたときの対応フロー

どれだけ注意していても、誤送信やデバイスの紛失、不正アクセスといった事故は起こり得ます。実際に漏えいが発生した、またはその疑いがある場合の対応フローを知っておくことは、フリーランスにとって必須のリスク管理です。

発覚後すぐに行うべきこと

まず状況を正確に把握し、被害の拡大を防ぐための応急措置を取ります。誤送信であれば送信先への削除依頼、デバイス紛失であればリモートワイプの実行、不正アクセスの疑いがあればパスワードの即時変更とログの確認を行います。この初動対応の速さが被害の大きさを左右します。

クライアントへの速やかな報告

個人情報保護法上、一定規模以上の漏えいが発生した場合、事業者は個人情報保護委員会への報告と本人への通知が義務付けられています。業務委託契約でデータを預かっているフリーランスの場合、まず委託元であるクライアントに速やかに事実を報告し、その後の対応（委員会への報告や本人通知）はクライアントと協議しながら進めるのが一般的な流れです。事故を隠したり報告を遅らせたりすることは、信頼関係の毀損だけでなく法的リスクも増大させるため絶対に避けるべきです。

再発防止策の実施と記録

事故対応が落ち着いたら、原因分析と再発防止策をまとめ、クライアントへ報告します。この記録を残しておくことは、今後の取引先からの信頼を得るうえでも重要な資産になります。

罰則とリスクの実際

個人情報保護法違反に対する罰則は、法人だけでなく個人事業主やフリーランスにも適用されます。個人情報保護委員会からの命令に違反した場合や、個人情報データベース等を不正な利益を図る目的で提供・盗用した場合には、懲役刑や罰金刑が科される可能性があります。

個人情報保護法が改正され、2022年（令和4年）4月1日に施行されました。フリーランスや個人事業主も適用対象であるのはもちろん、違反すれば罰則が科されます。出典: freenance.net

刑事罰まで至るケースは限定的ですが、より現実的なリスクは「取引先からの信頼喪失」です。個人データの取り扱いでミスをしたフリーランスは、次の案件を紹介してもらえなくなる、契約を打ち切られるといった形で、報酬以上の機会損失を被ります。特に企業のマーケティング業務や事務代行のように継続案件が前提の仕事では、情報管理の信頼性そのものが受注の可否を左右すると言っても過言ではありません。

フリーランスが今日から実践できるセキュリティ対策

法律の理解と同じくらい重要なのが、日々の実務での具体的な防御策です。以下は特別な予算をかけずに実践できる基本対策です。

アカウントとデバイスの管理

・重要なアカウントには二段階認証を設定する・パスワードは使い回さず、パスワード管理ツールで一元管理する・作業用PCのOSやセキュリティソフトは常に最新版に保つ・公共Wi-Fiで機密データを扱う作業をしない、またはVPNを利用する

ファイル・データの取り扱い

・個人データを含むファイルはパスワード保護をかけて送付する・パスワードは別経路（電話やSMSなど）で伝える・クラウドストレージの共有リンクは「リンクを知っている全員」ではなく「特定の人のみ」に限定する・USBメモリでのデータ持ち出しはできる限り避ける

これらは決して目新しい対策ではありませんが、実際の漏えい事故の多くは高度なサイバー攻撃よりも、こうした基本的な運用ミス（誤送信、共有設定の誤り、パスワード使い回し）から起きています。地味な対策の積み重ねこそが、フリーランスにとって最も費用対効果の高いリスク管理だと言えます。

プライバシーポリシーは必要か

自分自身のウェブサイトやフォームを通じて顧客から直接個人情報を取得する形で仕事をしているフリーランス（例えば独立して受注窓口を自分のサイトに持っている場合）は、プライバシーポリシーの整備も検討すべきです。プライバシーポリシーは、取得する情報の種類、利用目的、第三者提供の有無、問い合わせ窓口などを明示するもので、法律上必須ではない場合でも、取引先や顧客からの信頼を得るための実務的な対応として整備しておく価値があります。業務委託でクライアントのデータのみを扱う立場であれば、クライアント側のプライバシーポリシーに従うのが基本ですが、自分がどのような立場で個人情報に接しているかを契約前に整理しておくことが大切です。

独自データ考察と信頼構築の視点

在宅ワーク・業務委託の求人情報を扱う中で見えてくるのは、個人情報を扱う案件ほど「信頼できる実績のある人にしか任せられない」という発注側の心理が強く働くという傾向です。例えばAI・マーケティング・セキュリティのお仕事のように、顧客データの分析や運用を伴う案件では、募集要項に秘密保持契約の締結やセキュリティ対策の実施状況を明記する発注者が多く見られます。一方、アプリケーション開発のお仕事やAIコンサル・業務活用支援のお仕事のように、開発工程で個人データを含むテストデータを扱う案件でも、同様の傾向が見られます。

報酬相場の面では、著述家，記者，編集者の年収・単価相場やソフトウェア作成者の年収・単価相場を見ると、個人情報の取り扱いを含む業務ほど単価が高めに設定される傾向があります。これは、発注者側が「情報管理リスクを見越した対価」を上乗せしていると解釈でき、フリーランス側にとってはセキュリティ意識の高さが単価交渉の材料にもなり得ることを示唆しています。

資格の観点では、文書作成の正確性を証明するビジネス文書検定や、ネットワークの基礎知識を証明するCCNA（シスコ技術者認定）のような資格を保有していると、事務代行やシステム関連業務での信頼獲得につながりやすいという傾向も見られます。特にCCNAのようなIT系資格は、個人データを扱うシステムの構成やセキュリティ設計への理解を裏付けるものとして、発注者の安心材料になります。

20年近くこの業務委託市場を見てきた立場から言えば、長く継続案件を任され続けるフリーランスほど、個人情報の取り扱いについて「聞かれる前に説明する」習慣を持っています。契約時に「このデータはどう保管し、いつ削除するか」を自分から提示できる人は、それだけで発注者の安心感が大きく変わります。逆に、事故が起きてから初めて対応を考えるフリーランスは、たとえ悪意がなくても信頼を一気に失いやすいのが実情です。

もう一つ運営者として見てきた実感があります。仲介会社を挟む取引では、情報管理に関する責任の所在があいまいになりがちで、「誰が本当にデータを預かっているのか」が発注者からも受注者からも見えにくくなることがあります。これに対して、仲介手数料0%の直接契約であれば、データの受け渡し経路がシンプルになり、責任の所在も明確になりやすいという構造的なメリットがあります。中間業者が増えるほど、データが経由する接点も増え、漏えいリスクの管理ポイントが分散してしまうためです。直接契約は金額面のメリットだけでなく、情報管理をシンプルに保てるという質的な利点も持っています。

個人情報保護法や関連する周辺制度は改正が続いており、最新の動向を追うことも欠かせません。関連するテーマとして2026年最新の個人情報保護法改正ポイント｜Cookie規制と企業の対応義務では、Cookie規制など2026年時点の最新動向を解説しています。また、フリーランスを支える制度面では女性起業家向けフリーランス支援制度｜補助金・助成金まとめ【2026年】のような支援策も整備が進んでいます。士業として個人情報を扱う業務をオンラインで展開する事例としては、司法書士のオンライン相談サービス開業｜フリーランスで始める方法も参考になります。

個人情報を「預かる」という行為は、単なる作業の一部ではなく、取引先との信頼関係そのものを支える土台です。法律上の義務を正しく理解し、日々の運用で基本的な対策を積み重ねることが、結果として継続案件や高単価案件につながる近道になります。