委託を受けた会社にも、法律の義務が課される

委託先が、委託された業務の範囲を超えて個人データを独自に利用する。そうした事案が生じている、と改正の資料に書かれています（改正の概要）。開発や運用を外に出していれば、任せた先で起きうることです。

いま委託先を縛っているのは、契約と委託元の監督

いまの個人情報保護法で委託について定めているのは、委託元の義務です。「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」（同法第25条）（現行法）。

この監督は、自らが講ずべき安全管理措置と同等の措置が講じられるように行う必要があります。挙げられているのは、適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握です（改正の概要）。

委託先が個人情報取扱事業者である場合は、委託先にも常に第4章の各義務規定のすべてが適用されます（改正の概要）。ただし、委託された範囲を超えて取り扱ってはならない、と受託した会社に向けて定めた条文は、いまはありません。

改正の資料は、この形が実態に追いついていないと書いています。個人データ等の取扱いについて実質的に第三者に依存するケースが拡大していること。そして委託元による委託先の監督等が十分に機能せず、委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案も生じていること（改正の概要）。

改正で、受託した会社が義務を直接負う

個人情報の保護に関する法律等の一部を改正する法律は、令和8年7月10日に成立し、7月17日に公布されました（今後の取組）。この改正で、「受託者である個人情報取扱事業者の義務」という見出しの条文が新しく置かれます。第30条の3です（改正法）。

条文はこうです。「他の個人情報取扱事業者又は行政機関等から個人情報の取扱いの全部又は一部の委託（二以上の段階にわたる委託を含む。）を受けた個人情報取扱事業者は、法令に基づく場合等を除くほか、その取扱いを委託された個人情報（当該個人情報取扱事業者において個人関連情報となるものを除く。）を、当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない」（改正法）。

例外の「法令に基づく場合等」は、法令に基づく場合と、人命の救助、災害の救援その他非常の事態への対応のため緊急の必要がある場合を指します。

変わるのは、法律が誰に義務を課すかです。いまは委託元が監督する形ですが、改正後は受託した会社が、この義務を直接負います。行政機関等が委託を受けた場合についても、同じ内容の条文が置かれます（法第71条の2）（改正法）。

請求できる場面も増えます。委託先が第30条の3に違反して取り扱っているとき、その情報によって識別される人が、利用の停止や消去を請求できるようになります（法第35条第1項）（改正法）。法律はこの人を「本人」と呼び、請求の対象になるのは、その事業者が開示や消去を行える権限を持つ個人データ（保有個人データ）です（現行法）。

再委託の先にも、同じ義務が及ぶ

条文の括弧に「二以上の段階にわたる委託を含む」とあります（改正法）。一次の委託先だけでなく、その先の再委託先にも同じ義務が及びます。

いまの第25条は、委託する会社に監督を求める条文です。改正後は、何段階を経ていても、実際に個人情報を取り扱っている会社が自ら義務を負います。

増えるのは、委託元が監督していなくても働く二つです。

契約で取扱いの方法を定めると、多くの規定が外れる

もう一つ、条文が置かれます。第58条の2「取扱いの方法が契約により定められている受託個人情報取扱事業者等についての適用の特例」です（改正法）。

委託契約に、個人情報保護委員会規則で定めるところにより一定の事項が定められていて、かつ取扱いが、そこで定めた方法に従い、委託を受けた業務の遂行に必要な範囲内で行われるとき。このとき、第4章第2節から第4節までの規定の多くが、受託した会社には適用されなくなります（改正法）。

契約に定めることとされているのは三つです（改正法）。一つ目は、受託した個人情報等の取扱いの方法として規則で定める事項です。ここからは、安全管理のための措置に係る事項と、個人の権利利益の保護に支障を及ぼすおそれのない事項が除かれています。

二つ目は、漏えい等の事態が生じたときや、委託を受けた業務の遂行に必要な範囲を超えて、あるいは一つ目に定めた方法に違反して取り扱われたことを知ったときに、速やかに委託元へ報告することです。三つ目が、その他規則で定める事項（改正法）。

想定されているのは、委託先が自ら取扱いの方法を決めない場合です。改正の資料は、委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合を挙げ、データ入力作業を委託され、委託元の指示に従って機械的に入力作業を行う場合を例にしています（改正の概要）。

ただし、全部が外れるわけではありません。条文は、適用しない範囲から一部の規定を除いています（改正法）。

除かれているものには、第23条から第26条までと、第30条の3が入っています（改正法）。第23条から第26条までは、安全管理措置、従業者の監督、委託先の監督、漏えい等の報告等の条文です（現行法）。契約で取扱いの方法を定めても、委託された範囲を超えて取り扱わない義務は残ります。

契約に何を書くかは、これから規則で決まる

いま決まっているのは、法律の条文までです。契約に定めることとされた三つのうち、一つ目と三つ目はどちらも「個人情報保護委員会規則で定める事項」で、中身はまだありません（改正法）。

個人情報保護委員会は令和8年8月26日に、政令・規則等で定める事項の全体像を示しました。委託先の項目には、政令で定めるものは挙がっていません。委員会規則で「委託先の義務の免除の前提として委託契約において定める事項及び契約の方法」を規定する、と書かれています（全体像）。

施行の時期も、日付ではまだ決まっていません。改正の資料に書かれているのは、原則として公布の日から起算して2年を超えない範囲内ということだけです（改正の概要）。公布は令和8年7月17日です。

委員会が7月31日に示したロードマップでは、政令と委員会規則の検討を進めたうえで令和9年の秋から冬に意見募集、その後に公布、施行は令和10年の春から7月という並びになっています。ただしこの表は現時点での大まかな見込みであり、今後の状況によって変わり得ると注記されています（今後の取組）。

周知の方針も書かれています。個人情報保護法は広く一般の事業者に影響を与える法律であることに鑑み、改正法の施行までに十分な期間を確保する（今後の取組）。

明日からできること

決めるのは、いま外に出している個人情報の取扱いを、契約でどこまで書くかです。

まず、顧客や社員の個人情報が渡っている委託先を書き出します。開発の委託先、運用の委託先、事務を任せている会社。名簿や台帳がそこにあるなら、この条文の対象です。書き出すときは、その先の再委託まで見ます。

次に、取扱いの方法が契約に書いてあるかを見ます。何のために使うか、どこに置くか、誰が触るか。ここが無ければ、特例の前提が揃いません。規則の中身はこれから決まりますが、いま書いていないものは、規則が出ても書けていないままです。

最後に、報告の条項を見ます。範囲を超えた取扱いや、契約の定めに違反した取扱いを知ったときに、受託した会社から委託元へ速やかに報告する。第58条の2が挙げているのはこの形です（改正法）。漏えいのときだけを書いた条項では、報告の対象が足りません。

開発を外に出しながら、顧客の仕事も受けている。そういう会社もあります。その場合に見るのは、外に出した先の契約と、受けている仕事の契約の両方です。