個人情報の取り扱いに関する条項とは、契約当事者が業務上取得・提供する個人情報や個人データについて、その利用目的、管理方法、安全管理、第三者提供、委託先管理、漏えい時の対応などを定める契約条項です。企業間で顧客情報、従業員情報、取引先担当者情報などを取り扱う場合、契約書に個人情報に関するルールを設けることで、当事者それぞれの責任と遵守事項を明確にできます。日本では「個人情報の保護に関する法律」（個人情報保護法）が個人情報の取扱いに関する基本的なルールを定めており、契約条項を作成する際にも同法や個人情報保護委員会のガイドラインを踏まえる必要があります。特に、業務を外部企業へ委託する場合には、委託元に委託先を必要かつ適切に監督する義務があるため、契約書上でも委託先管理に関する規定を具体化しておくことが重要です。
個人情報の取り扱いに関する条項が重要な理由
現在の企業間取引では、契約そのものの履行に伴って個人情報を取り扱うケースが少なくありません。
例えば、次のような取引が考えられます。
- ECサイトの運営を外部企業へ委託する
- 顧客サポート業務を外部企業へ委託する
- 給与計算や人事関連業務を外部へ委託する
- マーケティング業務を広告会社へ委託する
- システム開発会社に顧客データを提供する
- クラウドサービス上で個人データを保管する
- 配送会社に顧客の氏名・住所・電話番号を提供する
このような場合、契約書に個人情報の取扱いについて何も規定していないと、次のような問題が発生する可能性があります。
- どの情報を取り扱えるのか不明確になる
- 契約目的以外の利用が行われる可能性がある
- 再委託について当事者間の認識が食い違う
- 情報漏えい時の報告方法が分からない
- 契約終了後のデータ削除方法が不明確になる
- 委託先の安全管理体制をどこまで確認するか決まっていない
- 外国にある事業者へのデータ移転について確認が不足する
したがって、個人情報を取り扱う契約では、個人情報保護法上の義務と契約上の義務を整理して規定することが重要です。
個人情報と個人データの違い
契約条項を作成する際には、「個人情報」と「個人データ」を区別することが重要です。
個人情報保護法では、それぞれ異なる概念として整理されています。
| 用語 | 概要 |
|---|---|
| 個人情報 | 生存する個人に関する情報で、特定の個人を識別できるものなど |
| 個人データ | 個人情報データベース等を構成する個人情報 |
| 保有個人データ | 個人情報取扱事業者が開示・訂正等を行う権限を有する個人データ |
契約書では「個人情報」とだけ記載するケースもありますが、実際にどの情報を対象とするのかを明確にするため、「個人情報保護法に定める個人情報及び個人データ」など、法律上の定義との関係を整理しておく方法があります。
特に安全管理措置や委託先監督などの場面では、「個人データ」が重要な概念になります。個人情報保護委員会のガイドラインでも、委託先における個人データの安全管理について具体的な監督が求められています。
個人情報の取り扱いに関する条項の主な記載内容
個人情報条項では、単に「個人情報を適切に管理する」と書くだけでは十分とは限りません。
一般的には、次のような事項を検討します。
| 項目 | 主な記載内容 |
|---|---|
| 目的 | 個人情報を何のために取り扱うか |
| 対象情報 | 氏名、住所、連絡先、顧客情報など |
| 利用範囲 | 契約履行に必要な範囲に限定 |
| 安全管理 | 漏えい、滅失、毀損等を防止する措置 |
| アクセス管理 | 閲覧・利用できる者を限定 |
| 第三者提供 | 本人同意その他の法的根拠の確認 |
| 委託 | 委託先の選定・監督 |
| 再委託 | 再委託の条件・承認 |
| 漏えい時対応 | 速やかな報告、原因調査、再発防止 |
| データ返還・削除 | 契約終了後の返還・消去 |
| 監査 | 委託先の管理状況を確認する方法 |
| 外国移転 | 外国にある第三者への提供等への対応 |
| 契約違反 | 損害賠償・是正措置等との関係 |
利用目的を明確にする
個人情報を取り扱う契約では、まず「何のために情報を使うのか」を明確にする必要があります。
例えば、
「受託者は、本件業務の遂行に必要な範囲に限り、委託者から提供された個人データを取り扱うものとする。」
という形が基本的な考え方です。
さらに具体的に、
- 顧客への商品配送
- 顧客からの問い合わせ対応
- 契約管理
- システム運用
- 本人確認
- 請求処理
など、目的を明確にすることが考えられます。
「業務上必要な範囲」という抽象的な表現だけでなく、可能な範囲で具体的な業務内容を記載することで、委託先による目的外利用を防ぎやすくなります。
目的外利用を禁止する
個人情報条項では、利用目的を定めるだけでなく、その目的を超えて利用しないことも規定することが重要です。
例えば、
「受託者は、委託者の事前の書面による承諾なく、個人データを本件業務の遂行以外の目的で利用してはならない。」
という規定が考えられます。
特に注意したいのが、委託先が保有するデータを自社の営業活動やマーケティング目的に利用するケースです。
「業務のために預かったデータ」と「自社の事業目的で利用できるデータ」は別の問題として考える必要があります。
安全管理措置に関する規定
個人情報保護法23条では、個人情報取扱事業者に対して、個人データの漏えい、滅失、毀損の防止その他の安全管理のために必要かつ適切な措置を講じることを求めています。
そのため、契約書でも安全管理について一定のルールを定めることが一般的です。
具体的には、
- 組織的安全管理措置
- 人的安全管理措置
- 物理的安全管理措置
- 技術的安全管理措置
- アクセス権限の管理
- パスワード管理
- 不正アクセス対策
- データの暗号化
- 端末・記録媒体の管理
- 従業者への教育
- ログ管理
などが考えられます。
ただし、すべての契約で同じレベルの措置を要求すればよいわけではありません。取り扱う情報の性質や量、業務の規模、漏えい時に本人が受ける権利利益への影響などを踏まえて、リスクに応じた管理を設計することが重要です。個人情報保護委員会のガイドラインも、委託する事業の規模・性質や個人データの性質・量などを考慮する考え方を示しています。
委託先管理が重要な理由
個人情報の取り扱いを外部企業に委託した場合でも、委託元がすべての責任から解放されるわけではありません。
個人情報保護法25条は、個人データの取扱いを委託する場合、委託された個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行うことを求めています。
そのため、契約書では委託先について、
- 適切な安全管理体制を有しているか確認する
- 個人データの取扱方法を契約で定める
- 委託先の管理状況を把握できるようにする
- 問題が発生した場合の報告義務を定める
- 必要に応じて監査・確認を行えるようにする
といった仕組みを検討します。
個人情報保護委員会の最新の通則ガイドラインでも、委託先の選定、委託契約の締結、委託先における個人データの取扱状況の把握が示されており、委託契約には安全管理措置や委託元が取扱状況を合理的に把握できる内容を盛り込むことが望ましいとされています。
委託先の選定
委託先を選ぶ際には、単に「個人情報を扱った経験があるか」だけで判断するのではなく、安全管理体制を確認することが重要です。
例えば、
- 個人情報保護に関する社内規程があるか
- 情報セキュリティ体制が整備されているか
- アクセス権限を管理しているか
- 従業者への教育を行っているか
- 漏えい等のインシデント対応体制があるか
- 再委託先を適切に管理しているか
- 必要に応じて監査を受け入れられるか
などを確認します。
委託契約に盛り込むべき事項
委託契約では、少なくとも次のような事項を検討するとよいでしょう。
| 項目 | 内容 |
|---|---|
| 委託業務 | どの業務で個人データを利用するか |
| データの範囲 | どの種類・項目の情報を扱うか |
| 利用目的 | 何のために利用できるか |
| 利用者 | 誰がアクセスできるか |
| 安全管理 | どのような措置を講じるか |
| 再委託 | 再委託できる条件 |
| 報告 | インシデント発生時の報告方法 |
| 監査 | 委託元による確認方法 |
| 削除 | 契約終了時の削除方法 |
| 返還 | データ・媒体の返還方法 |
| 秘密保持 | 個人情報に関する守秘義務 |
| 損害対応 | 漏えい等が発生した場合の対応 |
再委託に関する注意点
委託先がさらに別の企業へ個人データの取扱いを再委託するケースがあります。
例えば、
委託元
↓
システム会社
↓
クラウド事業者・データ処理会社
という構造です。
この場合、委託元が「直接契約している委託先」だけを確認していても、実際にデータを扱う再委託先について管理が不十分になる可能性があります。
そのため契約書では、
- 再委託には事前承諾を必要とする
- 再委託先を事前に通知する
- 再委託先にも同等の義務を課す
- 再委託先の行為について委託先が責任を負う
- 再々委託を制限する
などのルールを設けることが考えられます。
漏えい等が発生した場合の対応
個人データの漏えい、滅失、毀損などが発生した場合に備えて、契約書にインシデント対応を定めておくことも重要です。
例えば、
「受託者は、個人データの漏えい、滅失、毀損その他の事故が発生し、又はそのおそれがあることを知った場合、直ちに委託者に報告し、被害拡大防止、原因調査及び再発防止のために必要な措置を講じるものとする。」
という規定が考えられます。
個人情報保護法26条では、一定の「個人の権利利益を害するおそれが大きい」漏えい等が発生した場合の個人情報保護委員会への報告について規定されています。
そのため契約上も、
- 事故発生日時
- 発見日時
- 事故の概要
- 対象となる個人データ
- 対象人数
- 原因
- 被害拡大防止策
- 再発防止策
などを速やかに報告する仕組みを検討できます。
第三者提供と委託を区別する
個人情報に関する契約では、「第三者提供」と「委託」を混同しないことも重要です。
個人情報保護法27条は、原則として本人の同意を得ない個人データの第三者提供を制限しています。一方、一定の条件を満たす委託に伴う提供は、第三者提供とは異なる扱いになります。
したがって、契約書では、
- 業務委託のために提供するのか
- 独立した第三者へ提供するのか
- 共同利用なのか
- 本人の同意に基づく提供なのか
を整理する必要があります。
単に「第三者への提供を禁止する」と規定してしまうと、通常の業務委託まで実施できなくなる可能性があるため、契約全体との整合性が重要です。
外国にある第三者への提供
クラウドサービスや海外拠点を利用する場合には、個人データが国外で取り扱われる可能性があります。
個人情報保護法28条では、原則として、外国にある第三者への個人データの提供について、一定の場合を除き、あらかじめ本人の同意を得ることが求められています。例外として、一定の国に所在する場合や、法令で定められた基準に適合する体制を整備している場合などがあります。
そのため契約書では、
- データを取り扱う国
- 海外の委託先
- 海外の再委託先
- データ保存場所
- 外国法令との関係
- 必要な同意や情報提供
- 海外委託先の安全管理
などを確認することが重要です。
特に「海外のクラウドサービスを利用しているだけだから問題ない」と単純に判断するのではなく、実際にどの事業者がどのように個人データを取り扱うのかを確認する必要があります。
契約終了後の個人データの取り扱い
契約期間中だけでなく、契約終了後のデータ処理も重要です。
例えば契約終了時に、
- 個人データを委託元へ返還する
- 委託先のシステムから削除する
- バックアップデータについても適切に処理する
- 紙媒体を廃棄する
- 削除・廃棄したことを報告する
などを規定することが考えられます。
ただし、法令上保存義務がある情報などについては、単純にすべて削除できるとは限りません。そのため「法令上保存が必要な場合を除く」など、実際の業務に合わせた調整が必要になります。
個人情報条項の記載例
一般的な構成例として、次のような条項が考えられます。
第○条（個人情報等の取扱い）
- 受託者は、本業務の遂行に関連して取得又は提供を受けた個人情報及び個人データについて、個人情報保護法その他関係法令を遵守し、適切に取り扱うものとする。
- 受託者は、委託者から提供を受けた個人データを、本業務の遂行に必要な範囲を超えて利用してはならない。
- 受託者は、個人データについて、漏えい、滅失又は毀損の防止その他必要かつ適切な安全管理措置を講じるものとする。
- 受託者は、委託者の事前の承諾なく、個人データの取扱いを第三者に再委託してはならない。
- 受託者は、個人データの漏えいその他の事故が発生し、又はそのおそれがあることを知った場合、速やかに委託者へ報告し、被害拡大防止その他必要な措置を講じるものとする。
- 委託者は、必要かつ合理的な範囲で、受託者による個人データの取扱状況を確認することができるものとする。
- 本契約が終了した場合、受託者は、委託者の指示に従い、個人データを返還、削除又は廃棄するものとする。
このような条項はあくまで基本的なひな型であり、実際の契約では業務内容や取り扱う情報の種類、委託関係、再委託の有無、海外移転の有無などに応じて具体化する必要があります。
個人情報の取り扱いに関する条項の注意点
「適切に管理する」だけでは不十分になりやすい
「個人情報を適切に管理する」という一文だけでは、具体的な義務内容が分かりにくい場合があります。
少なくとも、
- 何を管理するのか
- 何の目的で使えるのか
- 誰が扱えるのか
- どのような安全管理を行うのか
- 再委託できるのか
- 事故時に何をするのか
- 契約終了後にどうするのか
を整理することが重要です。
契約書とプライバシーポリシーを混同しない
個人情報に関する契約条項と、企業が公表するプライバシーポリシーは役割が異なります。
契約条項は主として、
- 契約当事者間の義務
- 委託関係
- データの取扱方法
- 委託先の監督
- 事故発生時の対応
などを定めるものです。
一方、プライバシーポリシーは、本人に対して企業が個人情報をどのように取り扱うかを説明する役割を持ちます。
そのため、両者の内容に矛盾がないか確認することが重要です。
委託先に過度な義務を課さない
安全性を重視するあまり、すべての委託先に過度な監査や報告を要求すると、実務上運用できない契約になる可能性があります。
例えば、取り扱うデータが限定的でリスクが低い業務と、大量の顧客情報や要配慮個人情報を扱う業務では、求める管理水準を同一にする必要はありません。
個人情報保護委員会のガイドラインも、個人データの性質・量、委託事業の規模・性質、漏えい時の権利利益への影響などを踏まえたリスクベースの監督を示しています。
契約書レビューで確認したいポイント
個人情報条項を確認するときは、次の項目をチェックすると整理しやすくなります。
- 個人情報・個人データの定義が明確か
- 利用目的が具体的に定められているか
- 目的外利用が禁止されているか
- 必要な安全管理措置が定められているか
- アクセスできる者が適切に制限されているか
- 第三者提供と委託が区別されているか
- 再委託の条件が明確か
- 再委託先にも適切な義務が課されているか
- 委託先の監督方法が定められているか
- 監査・報告の仕組みがあるか
- 漏えい等の事故発生時の報告期限が明確か
- 原因調査・再発防止について規定されているか
- 契約終了後の返還・削除・廃棄が定められているか
- 海外へのデータ移転について確認されているか
- 個人情報保護法や関連ガイドラインとの整合性があるか
まとめ
個人情報の取り扱いに関する条項とは、契約当事者が業務上取り扱う個人情報や個人データについて、利用目的、安全管理、第三者提供、委託先管理、再委託、漏えい時対応、契約終了後の返還・削除などを具体的に定めるための重要な契約条項です。個人情報保護法では、安全管理措置や委託先の監督、一定の漏えい等が発生した場合の報告などについて事業者に義務が課されているため、契約書を作成する際には法律だけでなく個人情報保護委員会のガイドラインも確認することが重要です。 特に委託先や再委託先が個人データを扱う場合、委託先の選定、契約による義務付け、取扱状況の把握、事故発生時の報告体制まで一貫して設計する必要があります。さらに、海外の第三者への提供、第三者提供と委託の区別、契約終了後のデータ処理なども含めて契約全体を確認することで、個人情報に関する法的リスクと実務上のトラブルをより効果的に防止できます。