個人情報取扱委託契約書テンプレート2026 — 監督と再委託条項

要点: 個人情報の取扱いを外部に委託するときは、個人情報保護法上、委託元が委託先に対して必要かつ適切な監督を行うことが求められます。委託契約書には、委託目的と範囲、安全管理措置、再委託の条件、返却・廃棄、事故時の連絡体制を明記し、秘密保持契約とは役割を分けて整えるのが定番です。

「個人情報取扱委託契約書 テンプレート」で検索する場面は、顧客データの入力代行、給与計算の外注、クラウドサービスの利用など多岐にわたります。共通する問いは「どこまで決めれば法的な監督義務を果たしたことになるのか」です。この記事では、ひな形に入れるべき条項と、その運用面を分けて整理します。そもそも個人情報とAIの関係全体を見渡したい方は、個人情報保護とAI活用の整理から読むと全体像がつかみやすくなります。

なぜ委託契約が必要になるのか — 監督義務の構造

個人情報保護法上、個人データの取扱いを委託するときは、委託元事業者が委託先に対して必要かつ適切な監督を行う義務を負います。これは「契約を結べば終わり」ではなく、委託先で漏えい等の事故が起きた場合に、報告や通知の義務を担うのは原則として委託元であるという構造とセットです。つまり委託契約書は、事故時に自分を守るためではなく、自分の責任範囲を管理するための道具です。この位置づけを理解すると、条項の深さの目安が決まります。

契約書に必ず入れる項目

項目	押さえる内容	チェックポイント
委託目的・取扱範囲	委託する個人情報の種類と利用目的を特定	目的外の利用を禁止する文言があるか
安全管理措置	組織・人的・物理・技術的措置の分担	自社の安全管理方針と整合しているか
再委託(子委託)	原則禁止+事前承諾制、子委託先への義務継承	承諾手続と子委託先リストの更新方法
返却・廃棄	契約終了時の返却または削除、証明の方法	バックアップの扱いまで定めているか
監査・報告	実施状況の報告、必要に応じた確認手段	現実的な頻度と方法になっているか
事故時対応	漏えい等発生時の速やかな報告と協力	報告期限と連絡経路が明確か

業務全般の委託形態(請負か準委任か)によって責任の切り分けも変わるため、基礎となる契約構造は請負・下請契約書の解説を参考にしてください。従業員データを扱う人事・給与系の委託なら、雇用側の文書との整合も必要です(雇用契約書テンプレートの解説)。

秘密保持契約(NDA)とDPAの関係

実務では「秘密保持契約で足りている」という声をよく聞きますが、両者は役割が違います。秘密保持契約は情報一般の漏えい防止、個人情報取扱委託契約(DPA)は法定義務を履行するための管理規程です。個人情報には本人からの開示請求への対応や、事故時の報告といった、単なる秘密ではカバーできない義務が付随します。実務上は、NDAを締結した上で個人情報部分を別紙または独立した契約として重ねる形が定番です。NDA自体の作り方は秘密保持契約の解説を参照してください。

海外の委託先と越境移転

開発やデータ処理を海外の拠点・ベンダーに委託する場合、個人情報の越境移転の扱いが加わります。委託先所在国の法制、移転の条件、安全管理水準の維持方法まで確認が必要になり、契約言語も英語になることが多いでしょう。英文契約の条文を正確に理解・比較する作業には、多言語契約書の翻訳AI活用が実務的な助けになります。また、海外拠点で生成AIサービスを利用する場合の規制面の動きは、EU AI Actの2026年8月本格適用と日本企業への影響の解説でも整理しています。

監督の実務運用 — 紙に書いた義務を現実にする

• 委託先のリスク(情報量・機微性)に応じて確認の深度を変える
• 年1回など定期的に、安全管理の実施状況をヒアリング・資料提出してもらう
• 子委託先の変更があれば都度報告させる
• サービス終了時は、返却・廃棄の完了確認と記録を必ず残す

大掛かりな監査を毎回行うのは非現実的ですが、「何もしていない」状態は監督義務の観点で最も弱い立ち位置です。少なくとも定期確認の記録を残すことから始めてください。

委託先を選ぶときの視点

契約の前に、委託先の管理体制を確認しておくと交渉がスムーズになります。外部認証(プライバシーマークやISMSなど)の有無は一つの目安になりますが、認証があれば中身まで確認したことにはなりません。扱う情報の種類に応じた具体的な措置(アクセス権限の付け方、端末管理、バックアップ、従業員教育)を聞いて、回答の具体性で判断するのが実践的です。回答が曖昧な委託先ほど、事故時の対応も曖昧になりやすいという相関は、経験上かなり強いとされています。

よくある失敗パターン

• 利用規約だけで済ませた: 汎用SaaSの規約は個人情報の委託管理に必要な条項(返却・廃棄、事故報告期限)を欠いていることがあります
• ひな形を署名しただけで運用していない: 契約後の定期確認が一切ないと、監督義務の観点で弱い立ち位置になります
• 子委託先を把握していない: 実際に情報を触るのが知らない第四者だった、という構図は典型例です
• 終了時の手続を飛ばした: サービス解約時にデータ削除の証明をもらっていないと、後々の説明責任を果たせません

締結前チェックリスト

• 委託する個人情報の種類と目的を特定した
• 目的外利用の禁止条項がある
• 安全管理措置の分担を具体的に書いた
• 再委託は原則禁止+書面承諾制にした
• 返却・廃棄の方法と証明手段を決めた
• 事故時の報告期限と連絡経路を明記した
• 定期確認の運用と記録方法を決めた

まとめ

個人情報取扱委託契約は「委託元の法定義務を実行可能な形に分解したもの」です。目的と範囲の特定、安全管理、再委託、返却・廃棄、事故時連絡の五点を押さえ、締結後は定期確認の記録で監督を示す——この二段構えが、テンプレート運用の正解に近い形です。ドラフト作成とレビューの進め方はAIでの契約書ドラフト作成、定型書面の一括管理は文書自動化の解説も参考にしてください。

MeshLawではじめる

委託先ごとに条項が違うと、いざという時に何が合意されていたか分からなくなります。MeshLawでは案件単位で契約書・レビュー記録・修正履歴を一つの文脈で管理できます。app.meshlaw.aiから無料で利用を始められます。

よくある質問（FAQ）

個人情報取扱委託契約は必ず締結が必要ですか

個人データの取扱いを外部に委託するのであれば、監督義務を履行する手段として整えるべきです。口頭の了解だけでは、事故時にも自分たちが適切に監督していたことを示せません。

監督義務を果たしていることをどう示せばよいですか

委託契約の締結に加えて、定期確認の記録、委託先からの報告資料、子委託先の管理記録などを保管することです。「契約がある」ことと「監督している」ことは別なので、後者の記録が重要になります。

SaaSの利用にも委託契約が必要ですか

クラウドサービスに顧客データを保存・処理させる場合は、委託に当たり得ます。利用規約だけで済むケースと、別途DPAの締結が必要なケースがあるため、対象データの機微性で判断してください。

再委託は完全に禁止すべきですか

完全禁止は実務的に破られやすいのが実情です。原則禁止+書面承諾制にしておき、承認時に子委託先の管理体制まで確認すれば、現実的かつ安全な運用になります。

委託先で漏えいが起きたら誰が報告しますか

監督者である委託元が、所管への報告や本人への通知の義務を担うのが原則的な構造です。そのために、委託先からの速やかな報告義務を契約に定めておく必要があります。

秘密保持契約と一本化できますか

一つの契約に盛り込むことも可能ですが、秘密保持の対象は営業秘密など広く、個人情報の管理は法定義務に紐づくため性質が異なります。実務では別紙または独立契約にして更新サイクルを分ける方が運用しやすくなります。

海外委託先との契約で特に確認すべきことは何ですか

所在国の法制による制限、移転条件、安全管理水準の維持方法、そして契約言語の解釈です。特に英文契約では、日本語の感覚と異なる義務範囲が生まれやすいので、重要条項は原文で確認してください。

委託先の監査を拒否されたらどうしますか

全面的な立入り監査を求めるのは現実的でない場合もあります。資料提出による確認や、第三者認証の提示など代替手段を契約に織り込んでおけば、双方が納得できる監督ができます。

委託契約はどのくらいの頻度で見直すべきですか

法令改正、委託先の体制変更、取り扱う情報の範囲変更があったタイミングが原則です。変化がなくても、数年に一度は現状と契約のズレを棚卸しするのが安全です。

委託する個人情報の範囲はどう絞ればよいですか

委託先が遂行する業務に本当に必要な項目だけを渡す、という当たり前の原則が最も効果的です。名前と連絡先だけで完結する業務に、生年月日やマイナンバー類似の情報を渡す設計自体を見直してください。

ひな形を流用するときの注意点は何ですか

他社向けに作られたひな形は、安全管理措置の分担や報告期限がその会社の前提で書かれています。自社の情報量と委託先の規模に合わせて、現実的に守れる内容へ修正してから署名してください。

匿名化したデータなら委託契約は不要ですか

加工の方式によっては個人情報に当たらなくなる場合がありますが、判定は専門的です。自己判断で「匿名」として扱った結果、実質的に個人情報だったという事故が起きやすい論点なので、要確認です。

事故時の報告期限はどのくらいに設定すべきですか

委託先からの一次報告は速やかに(例: 発覚を知ってから24〜48時間以内)と定めるのが実務的です。委託元にはその後、所管への報告や本人通知といった期限付きの義務が待っているため、受け取った情報から対応を組み立てる時間が必要になります。