個人情報を扱う事務作業を外注する時の注意点｜委託先管理の実務

顧客リストの入力代行、請求書発行、問い合わせ対応。事務作業を外部に任せたいのに、個人情報が絡むと途端に足が止まる。「委託先で情報が漏れたらどうしよう」「契約書に何を書けばいいのか分からない」。この記事では、個人情報を扱う事務作業を外注する際の注意点を、委託契約の必須項目から委託先の選び方、費用相場まで、発注者が実際に意思決定できる粒度で解説します。結論を先に言うと、個人情報保護法上の責任は委託しても発注者側に残ります。だからこそ、委託先選びと契約書の作り込みが外注の成否を分けます。

個人情報の事務外注をめぐる現状

事務作業のアウトソーシング市場は拡大を続けています。中小企業庁の調査でも、バックオフィス業務を外部委託する企業の割合は年々増加傾向にあり、経理・総務・カスタマーサポートといった個人情報を扱う業務ほど外注ニーズが高いという傾向が見られます。

一方で、委託に伴う情報漏洩リスクへの意識も高まっています。個人情報保護委員会には年間数千件規模の漏洩等報告が寄せられており、その一定数が委託先や再委託先で発生した事案です。発注者にとって「安く早く」だけで委託先を選ぶことのリスクが、以前より可視化されているというのが実態です。

正直なところ、これはどうかと思うのですが、いまだに「見積もりが一番安かったから」という理由だけで委託先を決める企業が少なくありません。個人情報を扱う業務では、価格だけで選ぶと後から高いコストを払う羽目になります。委託先で漏洩事故が起きた場合、対応費用は数百万円規模に膨らむケースもあり、当初の外注費の削減額をはるかに超えてしまうことが少なくありません。

本記事では、
「【法務担当者必見！】個人情報の取扱い～外部へ委託する場合の注意点！～」
について、詳しく解説します。

出典: nao-lawoffice.jp

個人情報保護法における「委託」とは何か

まず整理しておきたいのが、法律上の「委託」の位置づけです。個人情報保護法では、個人データの取扱いを外部に委託する行為は、原則として「第三者提供」には当たらないとされています。つまり、事務作業を外注する際に本人の同意を都度取り直す必要はありません。ただし、それは委託元が委託先を適切に監督することが前提になっています。

言い換えると、外注したからといって発注者の責任がゼロになるわけではありません。委託先で漏洩が起きれば、発注者自身が個人情報保護委員会への報告義務や本人への通知義務を負う可能性があります。「外に出したから自社は関係ない」という認識は、法的にも実務的にも通用しません。

「委託」に該当するかどうかの判断基準

委託に該当するかどうかは、契約の名称ではなく実態で判断されます。次のような要素がポイントになります。

・個人データの利用目的が委託元の指示範囲内に限定されているか ・委託先が独自の判断でデータを二次利用できないよう契約で制限されているか ・データの取扱いについて委託元が実質的な指揮監督権を持っているか

例えば、名簿の入力代行を依頼し、入力後のデータの用途が発注者の業務のみに限定されているなら、典型的な「委託」に該当します。一方で、委託先が独自にそのデータを別サービスへ流用できる契約になっている場合は、単純な委託とは評価されず、第三者提供として本人の同意が必要になる可能性があります。契約書の文言だけでなく、実際の運用がその通りになっているかまで確認する必要があります。

委託先を選ぶ際に確認すべき5つのポイント

事務作業の委託先を選定する段階で、個人情報保護の観点から必ず確認しておくべき項目を整理します。

1. 委託先の安全管理体制

まず確認すべきは、委託先がどのような安全管理措置を講じているかです。個人情報保護委員会のガイドラインでは、委託先選定にあたり「委託先の安全管理措置が委託元と同等以上であるか」を確認することが求められています。

具体的には、アクセス権限の管理体制、パソコンやスマートフォンの持ち出しルール、データの保存場所と暗号化の有無、退職者のアカウント削除フローなどを確認します。フリーランスに個人での作業を依頼する場合は、自宅の作業環境や使用しているクラウドサービスのセキュリティ設定まで踏み込んで聞くことが望ましいです。

2. 再委託の可否と範囲

委託先がさらに別の第三者に業務を再委託するケースは珍しくありません。ここで問題になるのが、再委託先まで委託元の監督が及ぶかどうかです。契約書に再委託に関する規定がないまま作業が進むと、発注者が把握していない第三者にデータが渡ってしまうリスクがあります。

再委託を許可する場合は、事前の書面承諾を必須とする条項を入れ、再委託先にも元の契約と同水準の安全管理義務を課す旨を明記しておくべきです。再委託を一切禁止する選択肢もありますが、翻訳・デザインなど専門性の高い工程を含む業務では現実的でないこともあるため、業務内容に応じて柔軟に設計します。

3. 契約終了後のデータ処理

委託契約が終了した後、委託先の手元にデータが残ったままになっていないか。これは見落とされがちですが重要な確認事項です。契約書に「契約終了後○日以内にデータを返却または消去し、消去証明書を提出する」といった条項を入れておくと、後から確認する手間が省けます。

4. 委託先の実績と評判

個人情報を扱う事務作業では、委託先の実績も判断材料になります。過去に同種の業務を扱った経験があるか、情報漏洩などのトラブル歴がないかは、契約前に確認しておきたいポイントです。フリーランスに依頼する場合は、過去の取引実績や評価、対応可能な業務範囲を具体的にヒアリングすることが有効です。

5. 契約書の存在そのもの

意外に見落とされがちですが、そもそも契約書を交わさずに口頭やメールのやり取りだけで作業を依頼してしまうケースがあります。個人情報を扱う業務では、委託契約書(基本契約書や業務委託契約書に個人情報取扱条項を追加したもの)を必ず作成し、双方が署名または電子契約で合意した状態にしておくことが前提条件です。

委託元が、委託先が取り扱うデータの中身をまったく把握していない場合であっても、委託契約上、委託先によるデータ利用が制限されている場合には、個人情報保護法の「委託」に該当する可能性があります。この場合、委託元は安全管理措置の一環として、委託先の監督義務を負いますので、データの性質に応じた管理体制を整えることが重要です。

出典: businesslawyers.jp

委託契約書に必ず盛り込むべき条項

契約書の中身が薄いと、トラブルが起きた際に責任の所在があいまいになります。最低限、次の条項を含めることをお勧めします。

・目的外利用の禁止条項(委託業務の範囲を超えたデータ利用を明確に禁止する) ・秘密保持条項(NDA相当の内容。契約終了後も一定期間有効とする) ・安全管理措置に関する条項(委託先が講じるべき技術的・物理的・人的対策を具体的に列挙する) ・再委託に関する条項(事前承諾制、再委託先への義務の連鎖) ・報告義務条項(漏洩やその兆候を発見した場合、直ちに委託元へ報告する義務) ・監査権限条項(委託元が委託先の管理状況を確認できる権利) ・契約終了時のデータ処理条項(返却・消去・証明書の提出) ・損害賠償に関する条項(漏洩発生時の責任範囲と賠償上限)

これらをテンプレート化しておけば、毎回一から作成する手間を省けます。中小企業庁や商工会議所が提供している契約書ひな形をベースに、個人情報取扱条項を追加する形で整備している企業も多く見られます。

マイナンバーを含む事務を委託する場合の追加注意点

給与計算や社会保険手続きなど、マイナンバー(個人番号)を扱う事務を外注する場合は、通常の個人情報よりも厳しい管理が求められます。マイナンバー法では、委託先の監督義務がより明確に規定されており、委託先が適切な安全管理措置を講じているか、委託前に確認する義務が委託元にあります。

具体的には、マイナンバーの取扱いを認められた業務範囲を契約書で厳密に定め、収集・保管・廃棄の各段階でどのような管理をしているかを事前にチェックリストで確認しておくことが望ましいです。日本年金機構や国税庁が公表している資料でも、委託先管理の重要性が繰り返し強調されています。

費用相場と依頼の流れ

個人情報を扱う事務作業の外注費用は、業務内容と依頼先の形態によって幅があります。目安として次のような相場感があります。

・データ入力代行(名簿・顧客情報など): 時給換算で1,200円〜2,500円程度、または件数単価で1件30円〜100円程度 ・経理事務(記帳代行・請求書発行など): 月額3万円〜10万円程度(業務量による) ・カスタマーサポート代行: 時給換算で1,500円〜3,000円程度 ・秘書業務・スケジュール管理: 月額2万円〜8万円程度

依頼の流れは、おおむね次のステップで進みます。

1. 業務範囲と個人情報の取扱い範囲を明確にした依頼書を作成する
2. 候補となる委託先を複数比較し、安全管理体制をヒアリングする
3. 委託契約書(個人情報取扱条項を含む)を締結する
4. 初回は限定的な範囲でテスト運用し、品質と管理体制を確認する
5. 問題がなければ本格的に業務範囲を拡大する

いきなり全業務を丸投げするのではなく、まずは一部の業務でテスト運用し、委託先の対応品質と情報管理の実態を確認してから本格委託に移行する進め方が現実的です。

代理店経由と直接依頼のコスト差

事務作業を外注する際、代理店や仲介会社を通す方法と、フリーランスに直接依頼する方法があります。代理店経由の場合、仲介手数料が上乗せされるため、同じ品質の業務でも実質的なコストが高くなる傾向があります。

一方、フリーランスへ直接依頼する場合は中間マージンが発生しないため、その分依頼者は同じ予算でより多くの業務を頼めますし、受け手側の手取りも厚くなります。ただし、直接依頼では契約書の整備やセキュリティ確認を発注者自身が行う必要があるため、個人情報を扱う業務では特に契約内容の作り込みが重要になります。手数料0%で直接契約できるマッチングサービスを使う場合でも、委託先の監督義務は発注者に残ることを忘れてはいけません。

筆者が実際に見積もりを比較した際の失敗談ですが、初めて事務代行を外注したとき、複数の代理店から見積もりを取ったものの、契約書のひな形が代理店独自のもので、個人情報取扱条項がかなり簡素だったことに後から気づいたことがあります。価格だけを見て決めてしまい、契約内容の精査を後回しにした結果、追加で条項を交渉する手間が発生しました。見積もり比較の際は、価格と同じ重みで契約書のひな形を確認しておくべきだったと反省しています。

委託先の監督で発注者がやるべきこと

契約を締結して終わりではありません。個人情報保護法では、委託元に委託先への「必要かつ適切な監督」が求められています。具体的には次のような取り組みが必要です。

・委託先の選定時に安全管理体制を確認する(前述の5項目) ・委託契約書で安全管理措置の内容を明確にする ・委託先における個人データの取扱い状況を定期的に確認する

「定期的な確認」の頻度に法律上の明確な決まりはありませんが、業務の重要度に応じて半年に1回程度の書面確認や、年1回の実地確認を行う企業が一般的です。小規模な事務外注であれば、簡易なチェックシートを委託先に記入してもらう形でも実務上は機能します。

ある個人情報取扱事業者(委託元)が、第三者(委託先)に対し、個人データの取扱いを「委託」する場合、委託先は、個人情報保護法27条1項の「第三者」に該当しません(同法27条5項1号)。したがって、①同意取得・オプトアウト手続および②トレーサビリティ規制の対応は不要です。そのため、外部事業者への個人データの提供が想定され、かつ、本人からの同意取得が困難な場合に「委託」構成の採否を検討することは、実務上、少なくありません。

出典: businesslawyers.jp

発注者がやりがちな失敗パターン

事務外注を進める中小企業や個人事業主から実際によく聞かれる失敗パターンを整理しておきます。

業務範囲があいまいなまま契約する

「顧客対応全般をお願いします」といった抽象的な依頼のまま契約すると、委託先がどこまで個人データにアクセスしてよいのか不明確になります。業務範囲は「顧客リストの閲覧は可、編集は不可」「請求書発行のための氏名・住所・金額データのみ取扱可」のように、できる限り具体的に切り分けておくことがトラブル防止につながります。

セキュリティ環境の確認を怠る

委託先が私物のパソコンやスマートフォンで作業していないか、無料のクラウドストレージに顧客データをアップロードしていないか。こうした確認を怠ると、委託元が把握していないところでデータが分散し、漏洩リスクが高まります。契約前に「作業環境についてのヒアリングシート」を用意し、回答してもらう運用が有効です。

契約終了時の処理を決めていない

業務が終わったあと、委託先の手元に残ったデータの扱いを決めていないケースは非常に多いです。「終了後は速やかに削除する」という口約束だけでは、実際に削除されたかどうかを確認する手段がありません。契約書に消去証明書の提出を義務付けるなど、形に残る形で処理を求めることが重要です。

独自データ考察：直接依頼が広がる背景

在宅ワーク・業務委託の求人マッチングサービスを運営してきた立場から見ると、事務作業の外注において「誰に頼むか」を重視する発注者が増えている傾向を感じます。過去の実績や対応範囲を具体的に確認したうえで、フリーランスへ直接依頼するケースが着実に増えているというのが現場の実感です。

内部リンクとして挙げると、AIコンサル・業務活用支援のお仕事では、AIツールを使った業務効率化の支援内容が紹介されています。事務作業の一部をAIで自動化しつつ、個人情報を扱う部分だけ人手で丁寧に対応する、というハイブリッドな外注設計を検討する発注者にとって参考になる内容です。またAI・マーケティング・セキュリティのお仕事では、セキュリティ関連の業務委託の実態が扱われており、委託先のセキュリティ体制を見極める際の視点として役立ちます。

事務作業の専門性が高い分野を依頼する際は、担当者のスキルセットも重要な判断材料になります。著述家，記者，編集者の年収・単価相場のようなデータベースを参照すると、隣接する専門職の相場観がつかめ、事務作業と組み合わせて依頼する際の予算感の目安になります。同様にソフトウェア作成者の年収・単価相場は、データ入力業務にシステム連携が絡む場合、開発者と連携する際の費用感を把握するのに役立ちます。

20年近くこの市場を見てきた立場から言えば、長く安定して外注を続けている発注者ほど、委託先との関係を「単発の作業依頼」ではなく「継続的なパートナー」として設計しています。契約書をきちんと整備し、委託先が困ったときに相談しやすい体制を作っておくことが、結果的に情報漏洩リスクの低減にもつながっているという印象です。逆に、価格交渉ばかりを優先し委託先を頻繁に切り替える発注者ほど、業務の引き継ぎミスや管理体制の把握不足によるトラブルが起きやすい傾向があります。

資格面では、事務作業の品質を担保する指標としてビジネス文書検定のような資格を持つ人材を委託先の選定基準に加える発注者も見られます。文書作成の正確性は個人情報の誤記入・誤送付を防ぐ観点からも重要です。またIT系の事務作業であればCCNA（シスコ技術者認定）のようなネットワーク関連資格を持つ人材かどうかも、システム経由でのデータ授受におけるセキュリティ意識を測る材料になります。

なお、個人情報保護以外の外注リスクにも目を向けておくべきです。例えば法人化 マイクロ法人設立の完全ガイド！メリット・費用・注意点では、事業規模が拡大した際に委託契約をどう法人格で結ぶべきかという論点が扱われており、事務外注の規模が大きくなってきた発注者にとって参考になります。また補助金の不正受給リスクと返還事例｜知らなかったでは済まない注意点では、外部委託した業務が原因で発注者側の法令違反リスクが生じる典型例が紹介されており、個人情報以外の「委託先起因のリスク」を考えるうえでも視野が広がる内容です。

委託先とのコミュニケーション設計

契約書を整備したあとも、日常的なコミュニケーション設計が実務上のリスク低減に直結します。具体的には次のような運用が有効です。

・データのやり取りは暗号化されたファイル共有サービスやパスワード付きファイルで行う ・メールでの個人情報の直接送付は極力避け、専用システムやクラウドサービス経由に統一する ・委託先とのやり取りの履歴を一定期間保存し、後から確認できるようにする ・トラブル発生時の連絡フロー(誰に・いつまでに・どう報告するか)を事前に決めておく

これらは契約書の条項として明記するだけでなく、実際の運用マニュアルとして委託先と共有しておくことで、双方の認識のズレを防げます。

委託元が、委託先が取り扱うデータの中身をまったく把握していない場合であっても、委託契約上、委託先によるデータ利用が制限されている場合には、個人情報保護法の「委託」に該当する可能性があります。

出典: businesslawyers.jp

事務作業の外注は、個人情報保護の観点さえ押さえておけば、発注者にとって業務効率化の有効な手段です。委託先の選定基準を明確にし、契約書を丁寧に整備し、契約後も定期的な監督を続ける。この3点を押さえておけば、個人情報を扱う事務作業であっても安心して外部委託を進めることができます。

よくある質問

Q. 個人情報を扱う事務作業を外注する際、必ず契約書を交わす必要がありますか？

必ず必要です。口頭やメールだけの依頼では、委託先の監督義務を果たしたと認められにくく、トラブル時に責任の所在があいまいになります。業務範囲・安全管理措置・再委託の可否を明記した契約書を締結してください。

Q. フリーランスに直接依頼する場合と代理店経由では、何が一番違いますか？

最大の違いは中間マージンの有無です。代理店経由は仲介手数料が上乗せされる分コストが高くなる傾向がありますが、契約書の整備は代理店が代行してくれることが多いです。直接依頼はコストを抑えられる分、契約書やセキュリティ確認を発注者自身が行う必要があります。

Q. 委託先で情報漏洩が起きた場合、発注者にも責任がありますか？

はい、あります。個人情報保護法上、委託元には委託先を監督する義務があり、監督が不十分だったと判断されれば発注者側も責任を問われます。委託先任せにせず、契約内容と運用実態を定期的に確認することが重要です。

Q. マイナンバーを扱う事務は、通常の個人情報より注意が必要ですか？

はい、より厳格な管理が求められます。マイナンバー法では取扱い可能な業務範囲が限定されており、委託先の安全管理措置を事前に確認する義務が委託元にあります。給与計算や社会保険手続きを外注する際は特に注意してください。

無料で案件を掲載する

入力は3分ほど。掲載料も取引手数料も0円です。@SOHOに登録しているフリーランス・副業ワーカーから、早ければ当日中に最初の応募が届きます。