問題 No.6185
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち「委託先の監督」に関する記述として、妥当なものはどれか。
【正解の解説】
個人データの取扱いを外部に委託する場合には、委託先における個人データの安全管理が図られるよう、委託先に対する必要かつ適切な監督を行わなければならないこと。
これは会社が外部の業者に業務を丸投げした後も、下請け企業がきちんと鍵をかけて保管しているか見回り続ける親御さんのような責任です。自分が直接作業しなくても、お客様の大切な情報を預ける以上は、相手がルールを守っているか目を光らせる義務が事業者には常につきまといます。
スポンサーリンク
【その他の選択肢の解説】
個人データの取扱いを外部に委託する場合には、委託先における個人情報の漏えいリスクを完全に排除するため、すべての再委託を禁止しなければならないこと。
すべての再委託を絶対に禁止しなければならないわけではありません。例えば、ビルメンテナンス会社がさらに専門の清掃業者を呼ぶように、正当な理由と事前の承諾があれば再委託は認められます。ただし、その場合は孫請け企業に対しても元請けを通じて適切に監督が及ぶ仕組みを作る必要があります。
個人データの取扱いを外部に委託する場合には、委託契約の締結時にあらかじめ本人の同意を得ていれば、委託先に対する事後的な監督は免除されること。
最初に「外部に任せます」と本人の許可をもらったとしても、それで監督責任が消えるわけではありません。これは「親の許可をもらって子どもを遠足に行かせたから、二度と様子を見に行かなくてよい」とはならないのと同じです。契約後も定期的な監査や報告徴収など、継続的なチェックを行う義務があります。
個人データの取扱いを外部に委託する場合には、委託先の業務遂行能力に依存するため、安全管理措置に関する契約上の義務づけは不要であること。
相手がどれほど信頼できる大企業であっても、契約書というルールなしで仕事を頼むのは「口約束だけでお金を貸す」ようなもので非常に危険です。個人情報保護法では、秘密保持義務や安全管理の基準を契約書などの書面でしっかりと義務づけることを事業者に厳しく求めています。