⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

外部委託先セキュリティ管理基準

第1部: 書式本文

第1条(目的) 本基準は、〇〇〇〇株式会社(以下「当社」という。)が業務の全部又は一部を外部の事業者(以下「委託先」という。)に委託するにあたり、委託先における情報セキュリティ水準を確保するための選定審査、契約条件及び定期点検の手順を定めることを目的とする。

第2条(適用範囲) 本基準は、当社の個人データ又は営業秘密を取り扱う業務を外部委託する全ての部門に適用する。単純な物品調達等、情報資産の取扱いを伴わない委託は本基準の対象外とする。

第3条(用語の定義) 本基準において「重要委託」とは、要配慮個人情報若しくは大量の個人データを取り扱う委託、又は当社の基幹システムに接続する委託をいい、「再委託先」とは委託先がさらに業務の全部又は一部を委託する第三者をいう。

第4条(選定審査) 委託元管理部門は、委託先の候補事業者について、次の各号の事項を審査し、審査結果を委託先選定審査シートに記録する。 一 情報セキュリティに関する社内体制及び規程の整備状況 二 過去の情報漏えい等インシデントの有無及び対応実績 三 第三者認証(ISMS認証等)の取得状況 四 再委託の予定の有無及び再委託先の管理方針

第5条(重要委託における追加審査) 重要委託に該当する場合、委託元管理部門は、前条の審査に加え、委託先の事業所又はデータセンターへの実地確認若しくは委託先からの自己点検報告書の徴求を行う。

第6条(委託契約への反映) 委託元管理部門は、委託契約において、次の各号の条項を含めるものとする。 一 安全管理措置の内容及び水準に関する条項 二 委託元による監査・報告徴求の権利に関する条項 三 再委託の事前承認に関する条項 四 委託業務終了時のデータの返還又は消去に関する条項 五 情報セキュリティインシデント発生時の委託元への通知期限に関する条項

第7条(再委託の管理) 委託先が再委託を行おうとする場合、委託先は事前に委託元管理部門の承認を得るものとし、委託元管理部門は再委託先についても第4条に準じた審査を行う。委託先は、再委託先の一覧を四半期ごとに委託元管理部門へ報告する。

第8条(越境委託の取扱い) 委託先又は再委託先が外国にある場合、委託元管理部門は、個人情報の保護に関する法律第28条に定める外国にある第三者への提供の制限との関係を確認し、必要に応じて本人の同意取得、基準適合体制の整備状況の確認又は移転先の名称及び当該国における個人情報保護制度に関する情報提供を行う。

第9条(定期点検) 委託元管理部門は、重要委託については年〇回以上、その他の委託については年〇回、委託先における安全管理措置の実施状況を点検する。点検方法は、書面による自己点検報告書の徴求を基本とし、重要委託については実地監査を併用することができる。

第10条(是正措置) 点検の結果、安全管理措置に不備が認められた場合、委託元管理部門は委託先に対し是正計画の提出を求め、是正状況を確認するまでの間、必要に応じて委託業務の一部停止を検討する。

第11条(契約終了時の措置) 委託契約が終了したときは、委託元管理部門は、委託先に対し、委託業務に関連して提供した情報資産の返還又は消去及びその証明書の提出を求める。

第12条(記録の保存) 委託元管理部門は、選定審査、点検及び是正措置に関する記録を、委託契約終了後〇年間保存する。

第13条(体制及び責任者) 委託元管理部門の長を委託先セキュリティ管理責任者とし、本基準の運用状況を最高情報セキュリティ責任者へ定期的に報告する。

第14条(改定) 本基準は、法令の改正、ガイドラインの改定又は運用実態に応じて、委託先セキュリティ管理責任者の提案により随時見直す。

第2部: 立場別・場面別の書き換えパターン

A. 委託元管理部門向けの修正

A-1. 委託規模に応じた審査の簡素化

修正後:「委託元管理部門は、年間委託金額が〇〇円未満であり、かつ個人データを取り扱わない委託については、簡易審査様式による審査で足りるものとする。」 一言解説: 全ての委託に一律で重い審査を課すと現場が形骸化した書類作成に陥りやすいため、リスクに応じた審査の軽重を管理部門側で設計する修正である。

A-2. 監査権限の実効性強化

追加条文例:「委託元管理部門は、重大なインシデントの兆候が認められる場合、委託契約に定める通常の点検頻度によらず、随時、委託先に対し追加の報告又は実地監査を求めることができる。」 一言解説: 定例点検の周期を待たず機動的に確認できる権限を管理部門側にあらかじめ確保しておく修正である。

B. 委託先向けの修正

B-1. 点検対応負荷の合理化

修正後:「委託先は、他の顧客向けに取得済みの第三者認証(ISMS認証等)の認証書及び直近の審査報告書の写しを提出することをもって、第9条の自己点検報告書の提出に代えることができる。」 一言解説: 複数の委託元から個別に点検を求められる委託先の負担を軽減するため、既存の第三者認証の活用を認める修正である。

B-2. 是正措置の期間確保

追加条文例:「委託先は、点検により指摘を受けた事項について、是正の実施が技術的に困難な場合、委託元管理部門と協議のうえ、合理的な期間内での段階的な是正計画を提出することができる。」 一言解説: 直ちに是正できない技術的制約がある場合に、一方的な業務停止を避けるための協議の余地を委託先側に確保する修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本基準は、個人データ又は営業秘密を取り扱う業務を外部委託する際に、委託先の選定から契約終了までのライフサイクル全体を通じた社内の管理手順を定める場面で用いる。委託先との間で個別に締結する秘密保持契約や業務委託契約そのものの条項を定めるものではなく、本基準はあくまで社内の審査・点検プロセスを規律する内部基準である点に留意し、対外的な契約書は別途整備する必要がある。

根拠法令 個人情報の保護に関する法律第25条は、個人情報取扱事業者が個人データの取扱いの全部又は一部を委託する場合、委託先において安全管理措置が適切に講じられるよう、必要かつ適切な監督を行わなければならない旨を定めている。個人情報保護委員会が公表する「個人情報の保護に関する法律についてのガイドライン(通則編)」は、この委託先監督義務の内容として、適切な委託先の選定、委託契約の締結及び委託先における個人データの取扱状況の把握を挙げており、本基準の第4条から第9条の構成はこれに対応する。また、委託先又は再委託先が外国にある場合には、同法第28条に定める外国にある第三者への提供の制限が別途問題となり、本人の同意取得又は基準適合体制の整備の確認が必要となる場合がある。委託先の情報セキュリティ水準の評価にあたっては、JIS Q 27001に基づく認証の有無も客観的な指標として参考にされることが多い。

実務でよくある失敗と対策 第一に、委託開始時の選定審査は実施するものの、契約締結後は委託先任せとなり、定期的な点検の規定を欠いたまま長期間放置される失敗がある。第9条のように委託の重要度に応じた点検頻度をあらかじめ定めることが対策となる。第二に、委託先が行う再委託の実態を委託元が把握しておらず、当社の個人データが委託元の認識しない事業者にまで流通していた失敗がある。第7条のように再委託の事前承認及び定期的な再委託先一覧の報告を義務付けることが対策となる。第三に、委託先又は再委託先が海外事業者である場合の越境移転規制への対応が抜け落ち、本人同意の取得や移転先の制度に関する情報提供が行われないまま個人データが海外に移転される失敗がある。第8条のように越境委託の場合の確認事項を明記することが対策となる。

委託先監督義務として求められる措置の具体的な水準は、取り扱う個人データの性質や委託の重要度によって異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 本基準の適用範囲(重要委託の定義を含む)を明確にしたか
• [ ] 選定審査の項目(体制・実績・認証取得状況)を定めたか
• [ ] 重要委託における追加審査(実地確認等)の要否を定めたか
• [ ] 委託契約に反映すべき条項(監査権限・再委託承認等)を列挙したか
• [ ] 再委託の事前承認及び定期報告の仕組みを定めたか
• [ ] 越境委託の場合の個人情報保護法第28条との関係を確認したか
• [ ] 定期点検の頻度及び方法(書面・実地)を定めたか
• [ ] 是正措置及び業務停止の判断基準を定めたか
• [ ] 契約終了時のデータ返還・消去の確認手順を定めたか
• [ ] 記録の保存期間を定めたか
• [ ] 管理責任者及び報告体制を明確にしたか