委託先の管理 ── 契約のあとも見ている会社は、4社に1社

この記事で分かること

委託先とは契約を交わしています。顧客の名簿も、従業員の情報も預けています。

契約のときに、相手のセキュリティ体制を確認しました。そこで終わりにしていないでしょうか。

契約の前に調べているのは45.4%、契約のあとに見ているのは24.2%

個人情報保護委員会が、従業員100人以下の事業者を対象に調べています。無作為に抽出した17,000事業者に送り、4,661件の回答がありました（回収率27.4%）（個人情報保護委員会、中小規模事業者における個人情報等の安全管理措置に関する実態調査令和7年度調査結果、2026年3月30日公表）。

従業員100人以下という枠で無作為に抽出しています（同調査、調査対象事業者）。上場企業を対象にした調査には、この規模の会社は出てきません。

数字は2025年3月31日時点の状況です。調査そのものは2025年8月25日から9月30日に行われました（同調査、調査方法の概要）。資料の名前は令和7年度調査ですが、中身は令和6年度の状況です。

調査が聞いているのは「個人データ」です。個人情報のうち、検索できるように体系的に並べてあるものを指します（個人情報保護法第十六条第一項・第三項）。

そして法律が委託先の監督を求めているのも、この個人データについてです。「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」（同法第二十五条）。

このうち個人データの取扱いを委託していると答えたのは421者でした（同調査、全体の9.0%）。ここから先の割合は、すべてこの421者に対するものです。

委託先の安全管理について、事前に調査を行っていると答えたのは191者、45.4%（同調査、委託している421者）。

そして契約締結後に、委託先の個人データの取扱状況について監督を行っていると答えたのは102者、24.2%です（同調査、同）。

この二つは別々の設問で、同じ会社を追ったものではありません。事前に調べたと答えた会社のうち、何者が契約のあとも見ているかは、この調査からは分かりません。

それでも、契約の前に調べる会社より、契約のあとに見る会社のほうが少ないことは言えます。

預けた先が、さらに別のところへ出しているかどうか。

再委託していると答えたのは72者（17.1%）、していないと答えたのは162者（38.5%）です（同調査、委託している421者）。

そして把握していないと答えたのが138者、32.8%（同調査、同）。預けた先の先を知らない会社が、3社に1社あります。

委託先で漏えい等が起きた場合に何を決めているか、複数回答で聞いています（同調査、委託している421者）。

いちばん多いのは「特にルール等は決めていない」で35.2%（同調査、同）。

そして委託先の判断でシステムを止めてよい基準を決めているのは10.5%です（同調査、同）。10社に1社。止めるかどうかを、その場で相談することになります。

もう一つ。漏えい等の報告が義務になっていることを「知らなかった」と答えたのが75.7%でした（同調査、回答した4,661者）。

義務があることを知らなければ、起きたときに調べようとも思いません。漏れた状態のまま、時間だけが進みます。

まず、自社が委託しているかどうかからです。この調査で委託していると答えたのは9.0%でした。何を委託と考えるかは、答えた会社の理解によります。調査は個人データの取扱いを委託しているかを聞いていて、その範囲までは示していません（同調査、個人データの取扱いに関する委託等）。

給与計算、顧客管理、予約システム。外に出していて、そこに名簿や台帳があるなら、個人データの取扱いの委託に当たるかどうかを確かめる価値があります。

契約書に安全管理の条項があることと、契約のあとに見ていることは別です。この調査で低いのは、条項の有無ではなく、決まりごとがあるかどうかのほうです。

そのうえで決めるのは三つです。

どれも契約書の文言ではなく、名前と連絡先と条件です。

ただし、書いて渡すだけでは決まりません。止めて、調べて、元に戻すまで手を動かすのは委託先ですが、止まって困るのは自社の業務です。連絡も、委託先から自社へ、そして自社から本人と委員会へとつながります（同法第二十六条第一項・第二項）。

自社だけでも、委託先だけでも終わりません。この三つは、委託先と話して同じ理解にしておきます。

そして決まっていないと、何かが起きたときに最初にやることが「誰に聞くか」を決めることになります。