秘密保持契約と個人情報保護法の関係｜在宅の受注者が守る範囲

在宅で仕事を受けるとき、契約の前に「秘密保持契約書」への署名を求められることがよくあります。顧客名簿の入力、問い合わせメールへの返信、アンケートの集計、会員システムの改修など、仕事の中で発注者のお客様の個人情報に触れる場面も少なくありません。そこで気になるのが、「秘密保持契約にサインすれば、個人情報保護法の話は済んでいるのか」「個人で受けている自分にも、個人情報保護法の義務がかかるのか」という点です。

結論から書きます。秘密保持契約は発注者と受注者の間の約束で、守る範囲は契約書に書かれた内容で決まります。個人情報保護法は、契約とは関係なく、個人情報を扱う事業者に国が課しているルールです。発注者は、個人データの扱いを外に頼むときに、頼んだ相手をきちんと監督する義務を負っています。そのため、受注者は契約書を通じて、発注者と同じ水準の管理を求められることになります。この記事では、2つの関係を条文と個人情報保護委員会のガイドラインで整理し、在宅の受注者が実際に守る範囲と、署名の前に読むべき条項を説明します。

秘密保持契約と個人情報保護法は、守る対象も相手も違う

最初に、2つの違いを整理しておきます。混同したまま契約書を読むと、どこまで守ればよいのかが分からなくなるからです。

秘密保持契約（NDA）とは、取引の中で知った情報を外に漏らしたり、目的以外に使ったりしないことを、当事者どうしで約束する契約のことです。守る対象は、契約書で「秘密情報」と定義されたものです。技術の情報、販売の計画、取引先の名前、そして個人情報も、契約書に書かれていれば秘密情報に含まれます。破った場合の責任は、契約違反として相手に損害を賠償するという形で問われます。

個人情報保護法は、個人情報を扱う事業者に対して、国が守るべきルールを定めた法律です。守る対象は、生きている個人を特定できる情報です。ルールを守るべき相手は、契約の相手ではなく、情報の持ち主である本人と社会全体です。違反した場合は、個人情報保護委員会という国の機関から指導や勧告、命令を受けることがあり、悪質な場合には刑事罰もあります。

比べる点	秘密保持契約	個人情報保護法
何で決まるか	当事者の合意（契約書）	法律
守る対象	契約で「秘密情報」とした情報	生きている個人を特定できる情報
守る相手	契約の相手	本人と社会
破ったときの責任	契約違反として損害賠償	行政の指導・命令、刑事罰、本人からの損害賠償
当事者が自由に変えられるか	変えられる	変えられない

ここで大事なのは、最後の行です。秘密保持契約の中身は話し合いで変えられますが、個人情報保護法の義務は契約で軽くすることができません。反対に言えば、秘密保持契約に個人情報の扱いが何も書かれていなくても、法律の義務はなくなりません。2つは別々のルールとして重なってかかっている、と考えてください。

個人情報保護法でいう「個人情報」と「個人データ」

個人情報保護法の言葉は少し独特なので、ここで整理しておきます。条文は「個人情報」を次のように定めています。

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。 出典: laws.e-gov.go.jp

続く各号を言い換えると、氏名や生年月日などで特定の個人が分かる情報と、他の情報と簡単に照らし合わせて個人が分かる情報、そしてマイナンバーや運転免許証の番号、顔や指紋をデータにしたものなどの「個人識別符号」が個人情報にあたります。メールアドレスも、氏名と会社名が組み合わさっているものなど、個人を特定できるものは個人情報です。

次に出てくるのが「個人データ」です。個人データとは、個人情報を検索できるように整理した集まり（法律の言葉では「個人情報データベース等」）を作っている個人情報のことです。顧客名簿のスプレッドシート、会員管理システムの登録情報、メールソフトの宛先一覧などが、典型的な個人情報データベース等です。在宅の仕事で受け取る情報の多くは、この個人データにあたります。

さらに注意が必要なのが「要配慮個人情報」です。病歴、犯罪の経歴、人種、信条など、扱い方によっては本人が差別や偏見を受けるおそれがある情報で、取得するときに本人の同意が原則として必要になるなど、扱いが厳しくなっています。医療機関の文書の入力や、健康診断の結果の集計のような仕事では、この区分の情報に触れることがあります。

そして、個人情報データベース等を事業に使っている者を「個人情報取扱事業者」と呼びます。会社だけでなく、個人事業主も含まれます。以前は扱う人数が5,000人以下の小さな事業者は対象外でしたが、2017年からこの例外はなくなり、規模にかかわらず対象になっています。

在宅の受注者が個人情報に触れる場面

在宅の仕事で個人情報に触れる場面は、思っている以上に多くあります。代表的なものを挙げると、次のとおりです。

1つ目は、データ入力や名簿の整理です。紙の申込書をスプレッドシートに打ち込む、重複した顧客情報をまとめる、住所の表記をそろえるといった作業では、氏名、住所、電話番号、メールアドレスがそのまま目の前に並びます。

2つ目は、問い合わせ対応やカスタマーサポートです。発注者の問い合わせ管理ツールにログインして返信する場合、相手の氏名や購入履歴、場合によっては健康や家庭の事情に触れる相談内容まで見ることになります。

3つ目は、システムの開発や保守です。会員システムの不具合を直すときに、本物の会員データが入った環境で作業することがあります。開発者は直接データを見るつもりがなくても、データベースに触れる権限を持つことになります。

4つ目は、ライティングや編集です。インタビュー記事の取材メモ、お客様の声の原稿、アンケートの自由記述などには、個人を特定できる情報が含まれていることがあります。

5つ目は、マーケティングの支援です。メールマガジンの配信リストの管理や、広告の効果を測るためのデータの分析では、大量の個人データを扱うことがあります。

どの場面でも共通するのは、受注者が「発注者の個人データの扱いを任されている」ということです。この関係を、個人情報保護法では「委託」と呼びます。次の節から、委託という関係の中で受注者に何が求められるのかを見ていきます。

発注者には「委託先を監督する義務」がある

個人情報保護法は、個人データの扱いを外に頼む発注者に対して、頼んだ相手を監督する義務を定めています。条文は次のとおりです。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。 出典: laws.e-gov.go.jp

個人情報保護委員会のガイドラインは、この監督の中身を3つに分けて説明しています。1つ目は、適切な委託先を選ぶことです。委託先の管理の水準が、発注者自身に求められる水準と同じであることを、頼む前に確かめなければなりません。2つ目は、委託の契約を結ぶことです。契約には、個人データの扱いについての安全管理の内容と、発注者が委託先の扱い方を把握できることを盛り込むことが望ましいとされています。3つ目は、委託先での扱いの状況を把握することです。定期的に確認や監査を行い、必要があれば委託の内容を見直すことが望ましいとされています。

ガイドラインは、委託先に求める水準についても注記しています。発注者が法律の求める水準より高い管理をしている場合でも、委託先に同じ高さを求める趣旨ではなく、法律上は、委託先は法律が求める水準の安全管理をすれば足りる、という整理です。

受注者の立場から見ると、この義務は「発注者が自分を監督しなければならない」という形で現れます。秘密保持契約書や業務委託契約書に、個人情報の扱いについて細かい条項が並んでいるのは、発注者がこの監督義務を果たすためです。契約前に作業環境についての質問票が届いたり、作業の記録を求められたりするのも、同じ理由です。

逆に言えば、個人情報の扱いについて何も決めずに名簿を渡してくる発注者は、法律が求める監督を十分に果たしていない可能性があります。受注者としては、自分を守るためにも、扱いのルールを文面で確認してから作業に入ることをおすすめします。

「委託」なら本人の同意はいらない：第三者提供との違い

個人情報保護法では、個人データを本人以外の人に渡すことを「第三者提供」と呼び、原則として本人の同意が必要です。では、発注者が受注者に顧客名簿を渡すときに、顧客1人ひとりの同意が必要かというと、そうではありません。

条文は、利用目的の達成に必要な範囲で個人データの扱いを委託することに伴って個人データを渡す場合、受け取る者は「第三者に該当しない」と定めています。発注者の業務の一部として、発注者の代わりに扱うだけなので、本人から見れば情報が発注者の手を離れたことにはならない、という考え方です。

ただし、この例外には条件があります。受注者が扱ってよいのは、委託された業務に必要な範囲だけです。受け取った名簿を自分の別の仕事に使ったり、自分の営業に使ったり、別の発注者の仕事に流用したりすると、もはや委託の範囲を超えてしまいます。その時点で、発注者から受注者への提供は委託ではなく第三者提供と同じ扱いになりかねず、発注者に法律違反の責任が生じ、受注者は契約違反の責任を問われることになります。

秘密保持契約書に「目的外での利用を禁止する」という条項が必ず入っているのは、このためです。受注者にとっては、「この仕事のためだけに使う」という線を守ることが、委託という関係を保つ条件になっていると理解してください。

この点は、作業が終わった後にも関係します。仕事が終わったのに受け取った名簿を手元に残しておくと、委託の目的はもう終わっているのに個人データを持ち続けていることになります。契約書に返還や削除の定めがなくても、作業が終わったら発注者の指示に従って削除し、その旨を報告するのが安全です。

受注者自身も個人情報取扱事業者になりうる

受注者は「委託される側」なので、個人情報保護法の義務は発注者だけにかかる、と考える人もいます。けれども、受注者自身が個人情報取扱事業者にあたる場合は、受注者にも直接、法律の義務がかかります。

前の節で見たとおり、個人情報取扱事業者とは、個人情報データベース等を事業に使っている者のことで、個人事業主も含まれます。発注者から受け取った顧客名簿を自分のパソコンで整理し、検索できる状態で事業に使っていれば、受注者もこれにあたると考えられます。自分の取引先の担当者の名刺を管理ソフトで整理しているだけでも、個人情報データベース等を事業に使っていることになります。

個人情報取扱事業者には、扱う個人データが漏れたり、なくなったり、壊れたりしないように「必要かつ適切な措置」を講じる義務があります。これを安全管理措置と呼びます。人を雇っていれば、その人を監督する義務もあります。さらに、受注者が受けた仕事をほかの人に再委託するときは、受注者が今度は委託元として、再委託先を監督する立場になります。

個人情報保護委員会のガイドラインは、再委託についても触れています。発注者は、受注者が再委託をする場合、再委託先や業務の内容、扱い方について事前に報告を受けたり承認したりすることが望ましいとされています。受注者が発注者に断りなく外注先に作業を回すと、発注者の監督義務を損なうことになります。秘密保持契約書に「再委託の禁止」や「再委託には事前の書面による承諾が必要」と書かれているのは、そのためです。

ここで覚えておきたいのは、秘密保持契約にサインしたかどうかとは関係なく、個人データを事業で扱う以上は法律の義務を負う可能性がある、という点です。秘密保持契約は、その義務の中身を発注者と具体的に取り決めるための道具だと考えると、契約書の条項の意味が読み取りやすくなります。

秘密保持契約で個人情報について見る条項

署名の前に、秘密保持契約書の中で個人情報にかかわる条項を確かめます。見るべき点を順に挙げます。

秘密情報の定義

個人情報が秘密情報に含まれるかを確かめます。「開示者が秘密である旨を明示した情報」と定義されている契約では、個人情報に印が付いていないと秘密情報から外れてしまうことがあります。個人情報は、明示の有無にかかわらず秘密情報として扱うと書かれているのが望ましい形です。

利用目的と範囲

受け取った情報を「本件業務の遂行のためにのみ使用する」と書かれているかを見ます。自分の仕事の範囲がはっきりしていないと、どこまでが許される利用なのか判断できません。

管理の方法

保存してよい場所、使ってよい機器、複製の可否が書かれていることがあります。自宅のパソコンで作業してよいのか、私物のクラウドストレージに保存してよいのか、印刷してよいのかを確かめ、書かれていなければ質問して文面で答えをもらいます。

再委託の制限

再委託が禁止されているか、事前の承諾が必要かを見ます。家族や知人に手伝ってもらうことも、契約上は再委託にあたる場合があります。

返還と削除

契約が終わったとき、または発注者から求められたときに、受け取った情報を返すか削除する義務が書かれているかを見ます。削除したことを証明する書面の提出を求める契約もあります。

事故が起きたときの報告

漏えいなどが起きた、または起きたおそれがあるときに、いつまでに誰へ報告するかを確かめます。次の節で説明する法律上の目安と合っているかも見ておきます。

損害賠償と存続期間

漏えいがあったときの賠償の範囲に上限があるか、契約が終わった後も秘密保持の義務が何年続くかを確かめます。個人情報については、期間を定めずに義務が続くと書かれていることが多くあります。

漏えいしたときの流れ：委託元への通知は概ね3〜5日以内が目安

在宅の仕事でも、メールの誤送信やパソコンの紛失、不正アクセスなどで個人データが漏れることがあります。個人情報保護法では、一定の重い事態が起きたとき、事業者は個人情報保護委員会に報告し、本人に通知しなければなりません。

報告が必要になるのは、要配慮個人情報が含まれる個人データの漏えい、クレジットカード番号のように不正に使われると財産的な被害が出るおそれのある個人データの漏えい、不正アクセスなど不正な目的による漏えい、そして本人の数が1,000人を超える漏えいの4つです。実際に漏れた場合だけでなく、漏れたおそれがある場合も含まれます。

受注者が委託を受けて扱っている個人データでこうした事態が起きた場合、受注者は自分で国に報告する代わりに、委託元である発注者に通知することで、報告の義務を免れることができます。その通知の速さについて、個人情報保護委員会のガイドラインは次のように書いています。

「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。 出典: ppc.go.jp

つまり、受注者は、漏えいに気づいたら数日のうちに、その時点で分かっていることを発注者に伝えなければなりません。全容が分かってから報告するのではなく、分かっている範囲ですぐに伝え、その後の調査に協力するのが基本です。通知を受けた発注者は、そこから国への報告や本人への通知を進めることになります。

多くの秘密保持契約では、この目安よりも短く「直ちに」「24時間以内に」などと報告の期限を定めています。契約の期限が法律の目安より短い場合は、契約の期限を守る必要があります。メールを誤って別の人に送ってしまったときなど、「大したことはない」と自分で判断して報告を遅らせることが、一番信頼を失う対応です。

自宅で作業するときに実際にやること

法律も契約も、最後は日々の作業のしかたで守られます。在宅の受注者が自宅で作業するときに、実際に気をつけたい点を挙げます。

まず、作業に使う機器です。パソコンにはログインのパスワードを設定し、画面を離れるときはロックをかけます。家族と共用しているパソコンで個人データを扱うのは避けるのが無難です。紛失や盗難に備えて、ディスクの暗号化を有効にしておきます。

次に、保存場所です。発注者が指定したクラウドやシステムがあれば、そこで作業し、手元にファイルを落とさないのが原則です。どうしても手元に保存する必要があるときは、保存先を決めて、作業が終わったら削除します。USBメモリーに入れて持ち歩くのは、紛失の危険が大きいので避けます。

3つ目は、通信です。カフェなどの公衆無線LANで個人データを扱うのは避け、自宅の無線LANも暗号化の設定を確かめておきます。メールで個人データを送るときは、宛先を必ず確かめ、添付ファイルを暗号化するなど、発注者が指定する方法に従います。

4つ目は、生成AIなどの外部サービスです。個人データを含む文章を、発注者の許可なく生成AIや翻訳サービスに入力すると、外部の事業者に情報を渡すことになりかねません。契約書に書かれていなくても、入力してよいかを事前に発注者に確かめてください。

5つ目は、紙の扱いです。印刷した資料は家族の目に触れない場所で管理し、不要になったらシュレッダーにかけます。

こうした管理を「やっている」と説明できるように、使っている機器や保存場所、削除した日付を簡単に記録しておくと、発注者から質問されたときにすぐ答えられます。

罰則と損害賠償：個人で受ける人が負うリスク

個人情報保護法には、刑事罰の規定もあります。在宅の受注者が特に知っておきたいのは、個人情報データベース等を不正に持ち出した場合の罰則です。条文では、個人情報取扱事業者やその従業者などが、業務で扱った個人情報データベース等を自分や第三者の不正な利益を図る目的で提供したり盗用したりしたとき、1年以下の拘禁刑または50万円以下の罰金に処すると定めています。法人には1億円以下の罰金が科されることもあります。

「不正な利益を図る目的」が要件なので、うっかりの誤送信がこの罪にあたるわけではありません。一方で、受け取った名簿を別の業者に売ったり、自分の営業に使ったりすれば、この罪に問われるおそれがあります。

刑事罰よりも現実に起こりやすいのは、民事の損害賠償です。漏えいによって発注者がお詫びの費用や調査費用を負担した場合、秘密保持契約に違反した受注者に賠償を求めることがあります。本人から直接、精神的な苦痛についての賠償を求められる可能性もあります。個人で受けている受注者にとって、こうした賠償は大きな負担になります。

そのため、契約書の損害賠償の条項は特に丁寧に読んでください。賠償の上限が「本契約に基づき受領した報酬額」などと定められているか、故意や重大な過失の場合に上限が外れるのかといった点で、負うリスクの大きさが変わります。賠償の範囲が広すぎると感じたら、署名の前に交渉する余地があります。判断に迷う場合は、弁護士に契約書を見てもらうことも検討してください。報酬の未払いなど、取引の後で弁護士に頼むときの費用の目安は「未払い報酬を回収する！弁護士の着手金・成功報酬と支払督促の流れ【2026年最新】」で整理しています。

営業秘密を守る不正競争防止法との関係

秘密保持契約の話では、もう1つ「不正競争防止法」という法律も関係してきます。不正競争防止法は、会社の「営業秘密」を不正に持ち出したり使ったりする行為を禁止している法律です。

条文は、営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定めています。言い換えると、秘密として管理されていること、事業に役立つ情報であること、世の中に知られていないこと、の3つがそろった情報が営業秘密です。顧客名簿は、この3つを満たせば営業秘密にもあたります。

ここで秘密保持契約が意味を持ちます。発注者が受注者に情報を渡すときに、秘密保持契約を結んで「これは秘密です」と示しておくことは、その情報が「秘密として管理されている」ことの裏付けになります。受注者の側から見ると、秘密保持契約を結んだ情報は、契約上の義務だけでなく、不正競争防止法でも守られる情報になりうるということです。

つまり、在宅の受注者が発注者から受け取った個人情報には、秘密保持契約、個人情報保護法、不正競争防止法という3つのルールが重なってかかっている可能性があります。どの法律が当てはまるかを細かく判断する必要はありませんが、「受け取った情報は、この仕事のためだけに使い、終わったら返すか消す」という基本を守っていれば、どのルールにも反することはありません。

契約を結んだだけでは守れない

秘密保持契約については、「結んでも意味がない」と言われることがあります。その理由について、マネーフォワードの解説は次のように説明しています。

秘密保持契約書（NDA）を作成するとさまざまなメリットがありますが、一方で「意味がない」と言われることがあります。 その主な理由は、契約書の締結だけで安心してしまい、実際の運用が甘くなるケースが多いためです。 出典: biz.moneyforward.com

これは受注者の側にもそのまま当てはまります。契約書にサインしても、作業のしかたが変わらなければ、漏えいのリスクは何も減りません。契約書の条項を読んだら、それを自分の作業の手順に落とし込むことが大切です。

たとえば、「個人データは発注者のシステム内でのみ扱う」という条項があれば、手元にダウンロードしない手順にします。「作業終了後に削除する」という条項があれば、納品と同時に削除して、その日付を記録します。「事故は直ちに報告する」という条項があれば、誤送信に気づいたときに誰に連絡するかを、作業を始める前に確かめておきます。

こうした手順は、一度決めてしまえば毎回考える必要がありません。複数の発注者から仕事を受けている人は、発注者ごとに扱いのルールが違うことがあるので、案件ごとに簡単なメモを作っておくと混乱しません。

署名の前に発注者へ質問しておきたいこと

契約書を読んでも、実際の作業のしかたまでは書かれていないことがよくあります。署名の前に、次のような点を発注者に質問しておくと、後で迷わずに済みます。

1つ目は、扱う個人データの範囲です。名簿のすべての項目が必要なのか、氏名と住所だけで足りるのかを確かめます。ガイドラインでも、委託する業務に必要のない個人データを渡さないことは当然とされています。不要な項目を最初から受け取らないことが、受注者にとっても一番の安全策です。

2つ目は、作業の場所と道具です。発注者のシステムにログインして作業するのか、ファイルを受け取って手元で作業するのか。手元で作業する場合、使ってよいソフトや保存先はどこか。私物のパソコンでよいのか、発注者が貸し出す端末を使うのかも確かめます。

3つ目は、連絡の窓口です。事故が起きたとき、夜間や休日でも連絡がつく相手は誰か。メールなのか電話なのか。これを作業の前に決めておかないと、いざというときに報告が遅れます。

4つ目は、作業が終わった後の扱いです。データは削除するのか返却するのか、削除したことをどのように報告するのかを確かめます。

質問への回答は、メールなど文面で受け取って保存しておきます。契約書と合わせて、受注者が契約どおりに扱ったことを示す記録になります。発注書や契約書に入っているべき項目の全体像は、「フリーランスを守る「下請法（取適法）」の知識｜発注書・契約書の必須項目チェックリスト」でチェックリストの形にまとめています。

運営者の視点で見た、個人情報を任される受注者

フリーランスや在宅ワークの市場を20年見てきた運営者の立場から言えば、個人情報を扱う仕事で長く信頼される受注者には共通点があります。契約書の条項を読んだうえで、「この場合はどうすればよいですか」と具体的に質問してくることです。発注者の側も、質問の内容から、その人がどれだけ情報を大切に扱うかを読み取っています。

反対に、トラブルになりやすいのは、契約書を読まずにサインし、作業の途中で「手元に保存してよいか」「家族に手伝ってもらってよいか」を自己判断で決めてしまうケースです。悪意がなくても、契約の範囲を外れた扱いは、発注者の監督義務を損ない、信頼を一度で失う原因になります。

仲介の手数料が乗らない直接取引では、受注者の手取りが厚くなる一方、契約書の読み込みや情報管理のルールづくりを自分で担う必要があります。個人情報の扱いをきちんと説明できることは、それ自体が次の仕事につながる信用になります。

職種ごとに見る、個人情報との付き合い方

最後に、職種ごとの特徴から、個人情報との付き合い方を考えます。

システム開発の仕事では、本物の会員データが入った環境に触れる機会が多くなります。ソフトウェア作成者の年収・単価相場にあるように、開発の仕事は単価が高い分、扱う情報の量も多く、漏えいしたときの影響も大きくなります。開発の仕事の種類や進め方はアプリケーション開発のお仕事で整理しています。開発の受注者は、テスト用の仮のデータで作業できないかを発注者に提案することも、安全管理の一部です。

情報セキュリティやマーケティングの仕事では、大量の個人データの分析や、配信リストの管理を任されることがあります。AI・マーケティング・セキュリティのお仕事で紹介している仕事の多くは、個人情報保護法の知識が前提になります。ネットワークの基礎を体系的に学べるCCNA（シスコ技術者認定）のような資格は、通信の安全を説明する力にもつながります。

執筆や編集の仕事では、取材メモやアンケートの自由記述に個人情報が含まれることがあります。著述家，記者，編集者の年収・単価相場で見られるように、執筆の仕事は件数が多くなりがちなので、案件ごとに情報の扱いを決めておくことが大切です。

どの職種でも、受け取った個人情報は、この仕事のためだけに使い、終わったら返すか消す。秘密保持契約と個人情報保護法の関係を整理すると、在宅の受注者が守る範囲は、この一文に集約されます。

よくある質問

Q. 秘密保持契約を結べば個人情報保護法は守ったことになりますか？

なりません。秘密保持契約は当事者どうしの約束で、個人情報保護法は国が定めたルールです。契約に個人情報の扱いが書かれていなくても、法律の義務はなくなりません。発注者には委託先を監督する義務があり、受注者も個人データを事業で扱う個人情報取扱事業者にあたれば、安全管理の義務を直接負います。

Q. 発注者から顧客名簿を受け取るのに本人の同意は必要ですか？

利用目的の達成に必要な範囲で個人データの扱いを委託する場合、受け取る人は第三者にあたらないため、本人の同意は要りません。ただし、受け取った名簿を委託された業務以外に使うと、委託の範囲を超えてしまいます。目的外に使わないこと、作業が終わったら返すか削除することが条件です。

Q. 個人情報を漏らしてしまったらいつまでに報告すればよいですか？

個人情報保護委員会のガイドラインでは、委託先が委託元へ通知する目安を、事態を知った時点から概ね3〜5日以内としています。契約書でより短い期限が定められていれば、契約の期限が優先されます。全容が分かるのを待たず、分かっている範囲ですぐに発注者へ伝え、その後の調査に協力します。

Q. 在宅の作業で生成AIに顧客の情報を入力してもよいですか？

発注者の許可なく、個人データを含む文章を生成AIや翻訳サービスに入力するのは避けてください。外部の事業者に情報を渡すことになりかねず、委託の範囲を超えるおそれがあります。契約書に定めがなくても、入力してよいかを事前に発注者へ確かめ、回答を文面で残しておくと安心です。