委託先としての個人情報の扱いと、再委託先の承諾

結論：SaaSの提供者は、顧客データについて「委託先」と判断されやすい。委託先として負う定めを規約に置く

法人の顧客がSaaSに顧客名簿や従業員の情報を登録するとき、個人情報保護法の上では、顧客が個人データの取扱いを提供者に委託している形になるのが通常です。委託に伴う提供は、本人の同意が要る第三者提供には当たりません（個人情報保護法27条5項1号）。その代わり、委託元の顧客は委託先を監督する義務を負い（同法25条）、委託先の提供者自身も、安全管理措置（23条）、従業者の監督（24条）、漏えい等の報告（26条）の義務を直接負います。

アトラス行政書士法人がレビューしてきたSaaSの規約・契約書では、委託先として負うべき定めが半分ほど欠けている例が目立ちました。このページでは、提供者が委託先と判断される場面、委託先として置く定め、漏えいの通知の期限、報告と監査、再委託先（サブプロセッサ）の承諾、外国の委託先について顧客との契約で何を約束するかを説明します。PoCで導入企業から従業員の情報を受け取る場面は、委託ではなく第三者提供になることがあります（PoC・トライアルのページ）。

「依頼があれば閲覧する」運用は、委託先と判断される方向に働く

クラウドサービスの事業者が個人データを「取り扱わないこととなっている」場合（契約で取り扱わないと定め、適切にアクセスを制御している場合）は、委託にも提供にも当たらないとされています（いわゆるクラウド例外。個人情報保護委員会のQ&Aによる整理）。事業者向けの予約管理クラウドの依頼者からは、「個人情報の取扱いについて当社はどの立場か」という質問を受けました。規約には「当社の従業員は、障害対応その他利用者から依頼を受けた場合を除き、お客様データを閲覧しません」とありました。

回答は、委託先とする整理は妥当であり、依頼があれば閲覧する運用は「取り扱わないこととなっている場合」に当たらない、というものでした。SaaSの事業者を委託先と認めた個人情報保護委員会の事案（令和6年3月25日公表）で挙げられた要素と比べると、次のようになります。

委託先も個人情報取扱事業者として法の義務が直接及び、安全管理措置について中小規模の事業者向けの緩やかな手法は使えません（個人情報保護委員会のガイドライン（通則編）は、委託を受けて個人データを取り扱う者を中小規模事業者から除いています）。規約に「個人情報取扱事業者は利用者である」と書いても、実態で判断されます。一方で、規約で委託の関係をはっきり書くことには、利用者の側の監督（25条）を促すという意味もあります。その事案では、ユーザーの側に委託・再委託の認識が薄く、監督が不十分だった可能性も指摘されていました。

民間スクール向けの顧客管理クラウドでも、提供者がAI機能で登録データの内容を処理し、料金の算定のために生徒の数を参照する以上、クラウド例外は使えず、委託の構成が正しいと整理しました。提供者は委託先であると同時に、預かったデータについて自らも安全管理・従業者の監督・漏えいの報告を負う、二重の立場に立ちます。

反対に、委託の構成をとらない設計もあります。施設向けの業務支援システムの規約は、当初は「利用者の委託を受けた受託者として取り扱う」条項を置いていましたが、依頼者の方針で、施設が入居者などの同意を得て、提供者自身が情報を取得・利用し、精度の向上のための学習にも使う構成に移りました。委託として預かった個人データを提供者が自分の目的で使うことは、委託の範囲を超えます。どちらの構成をとるかで、規約もプライバシーポリシーも同意の取り方も変わるので、最初に決めておく事項です。

委託先として置く定めの照合表

試行版の契約、スクール向けのクラウド、予約管理クラウドのそれぞれで、委託先として置くべき定めと原文を照合する表を作りました。試行版の契約の結論は次のとおりです。

報告書では、個人情報保護委員会のガイドライン（通則編）が委託契約に盛り込むことが「望ましい」とするのは、双方が同意した安全管理措置の内容と、委託先における取扱状況の把握の2点であり、再委託の条件・漏えいの報告・返却と廃棄は、金融分野などのガイドラインの水準を踏まえた標準的な点検項目である、と書き分けました。法令がすべてを義務付けているわけではないが、法人の顧客の法務は結局これらを確認してくる、という位置づけです。終了後の返却・消去の期限と例外の書き方はデータの返還・削除のページ、安全管理措置を別紙で特定することが重過失の主張への備えになる点は責任制限のページで扱います。

顧客の表明では、個人番号を含む情報（特定個人情報）は「協議」ではなく登録の禁止とし、要配慮個人情報は漏えいのときに規模を問わず報告の対象になる（個人情報保護法施行規則7条1号）ため、登録する前に通知して協議する、としました。スクール向けのクラウドでは生徒に未成年者が多いため、顧客が適法に取得したことの表明が特に重要になります。

スクール向けのクラウドでは、委託の条項が薄いと、法人のスクールの顧問から修正を求められて個別の交渉になり、「全顧客共通の本体」という設計そのものが崩れる、という実務上の理由も説明しました。委託先の条項を厚くしておくことは、ひな形を一律に使い続けるための条件でもあります。

漏えいの通知の期限は、自社が守れる時間と、顧客の報告の期限から決める

個人データの漏えい等で、要配慮個人情報が含まれる場合や、本人の数が千人を超える場合などは、個人情報保護委員会への報告と本人への通知が必要です（個人情報保護法26条、施行規則7条）。報告は、事態を知った後速やかに行う速報と、知った日から30日以内（不正の目的によるおそれがある場合は60日以内）の確報の二段階です（施行規則8条1項・2項）。そして、委託先が委託元に事態を通知したときは、委託先は委員会への報告と本人への通知の義務を負いません（法26条1項ただし書・2項、施行規則9条）。委託先から委託元への通知は、委託元がこれらの期限を守れるかを左右します。委託元が行う速報は、ガイドライン上、事態を知った時点から概ね3〜5日以内が目安とされています。

マルチテナントのSaaSでは、提供者の側の基盤で事故が起きると、複数のテナントのデータが同時に影響を受け、千人の基準に達しやすくなります。提供者が自らの報告の義務を免れるには、すべての委託元への通知が必要で、その記録も残しておかなければなりません。通知の条項がないことの重さは、契約の数に比例して大きくなります。

報告と監査：年1回の書面報告を原則にし、立入りは事故のときに

委託元の顧客は、委託先の取扱状況を把握する必要があり、監査の条項を求めてくることがあります。立入りの監査を無限定に受けると、運用の負担が大きく、マルチテナントの環境では他の顧客の情報の保護にも支障が出ます。試行版の契約の修正文案では、年1回を限度とする書面での報告を原則とし、立入りはセキュリティインシデントが起きたときに協議のうえ行う、としました。交渉の表では、他の顧客の情報の保護を押し返す根拠に挙げています。

予約管理クラウドの規約の確認では、従業員が閲覧するときの手続（依頼の方法・記録・閲覧の範囲・閲覧後の扱い）がないことも指摘しました。個人情報保護委員会のQ&Aは、保守のために個人データを用いて不具合を再現することは取扱いに当たるとし、閲覧と取得を区別しています。大手の通信アプリの事業者に対する個人情報保護委員会の指導（令和3年4月23日）でも、委託先の開発者にアクセスの権限を付与するときは必要性と範囲を組織として検討すること、アクセスの記録を保存・分析すること、定期的な監査などで委託先の取扱状況を把握することが求められました。

逆向きの監査の条項もあります。スカウト型の採用クラウドの企業向け規約では、提供者が、顧客企業が学生の情報を適切に管理しているかを確かめるため、書面の調査・質問票・証跡の提出を求めることができ、事前に通知して実地の監査もできる、としました。提供者が顧客に個人データを渡すサービスでは、提供者の側が監査する立場になります。

再委託先（サブプロセッサ）の承諾は、列挙＋変更の通知＋異議解約で

スクール向けのクラウドのひな形には、秘密情報を第三者に開示するには顧客の事前の承諾が要り、個人情報の再委託にも顧客の事前の承諾が要る、という条文がありました。一方で、生成AI機能で登録データを外部の事業者に処理させる構成なら、全顧客から承諾を取らない限り、提供者自身が自分のひな形に違反することになります。登録データは秘密情報でもあるので、二重に触れます。確認の報告書では、これを最も優先して直すべき構造の問題として挙げました。

依頼者の第2版は、外部委託先を別紙に列挙して包括的に承諾を得、別紙の変更は30日前に通知し、異議があれば解約できる、という形にしました。事務所の再評価では、委託元の監督と外部の事業者の利用を両立させる標準の形として維持しています。修正・加筆版では、さらに次の手当てをしました。

• 承諾の範囲の限定。包括承諾を「別紙に記載する役割及び情報の範囲内で」に限りました。承諾の特定性が高いほど、包括承諾の有効性は争われにくくなります。
• 緊急の差替え。再委託先の事業の終了や障害で、同種の役割を担う他の事業者に緊急に変更する場合は、事後速やかに通知すれば足りる、としました。30日前の通知を守れずに自分の条文に違反する事態を避けるためで、同種の役割に限るので承諾の範囲を実質的に広げません。
• 技術情報の書き方。ボット対策のサービスについて第2版が「個人情報を含まない」としていた点は、IPアドレスなどの技術情報が処理されるので正確でないとして、「接続元の技術情報（IPアドレス等）。登録データを含まない」に補正しました。

試行版の契約の修正文案では、別紙「委託先等一覧」に、名称、契約の相手となる法人の所在国、処理・保存される国・地域、用途、保持の期間、学習に使わないことを契約上確保しているかを書き、顧客データを扱う委託先等の行為は提供者自身の行為として責任を負う（ただし第三者サービスの障害・変更・終了による停止は別の条に切り分ける）、変更は30日前に通知し、顧客は法令や第三者との契約に適合した取扱いができなくなると合理的に判断する場合、受け取ってから14日以内の通知で将来に向かって解約できる、としました。事業者の名前を契約に載せたくない場合は、別紙を「提供者が別途示す書面」とする方法もありますが、国名だけは顧客の公表の義務に直結するので必ず書きます。

外国の委託先：顧客との契約で約束すること

外国にある第三者に個人データを提供するには、原則として本人の同意が必要で、この場合は委託であっても第三者提供の例外は使えません（個人情報保護法28条1項）。外国かどうかはサーバーの所在地ではなく提供先の事業者で判断するなど、28条の一般論は姉妹サイトの第三者提供・外国にある第三者のページで扱っています。ここでは、法人の顧客との契約に何を書くかに絞ります。

スクール向けのクラウドの修正・加筆版では、外国への提供の方式を組み替えました。第2版は「顧客が本人の同意を得るための情報を提供者が提供する」方式でしたが、民間のスクールが在籍する生徒全員（未成年者なら法定代理人）から外国への提供の同意を取り直すのは現実的でなく、顧客が守れない条項は締結をためらわせる原因になります。そこで、提供者が提供先の基準に適合する体制（施行規則16条）を確認して提供し、提供先による相当の措置の実施状況を定期的に確認し（法28条3項、施行規則18条1項）、顧客や本人の求めに応じて外国の名称・制度・措置の情報を提供する方式を主にし、同意の方式を従にしました。別紙では、区分Aの事業者との契約で提供者が確認する5つの措置（学習に使わないことを含む利用目的の制限、安全管理、再提供の制限と同等の義務、漏えいのときの提供者への通知、処理の終了後の消去）と、所在国の制度の情報、定期的な確認と情報提供を書いています。

予約管理クラウドのプライバシーポリシーの確認では、「委託先の各社は、個人情報保護に関する国際的な基準に基づく安全管理措置を講じています」という記載は、提供先の措置の情報としては粗く、基準に適合する体制を示すものでもない、と指摘しました。お客様の情報は、国内の委託先（当社）が外国の再委託先に提供する形になり、体制の確認による場合の継続的な措置の義務は当社に課されます。ブランド名の法人と契約の相手の法人が違うこと、保存の地域の「指定」が保証ではないこと、再委託先がさらに使うサブプロセッサの一覧（22社、すべて米国の表示）まで確認しています。顧客が自分のAPIキーを持ち込む場合の整理はAI機能のページで扱います。

起きがちなこと

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の取引への当てはめは、サービスの仕組みや契約の経緯によって異なることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきた法人向けのSaaS・クラウドサービスの利用規約、サービス提供契約書、申込書、実証実験（PoC）の覚書、販売代理店契約書、レビュー報告書、ヒヤリングシートなどを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索（法令API）で確認しています（最終確認日：2026年10月16日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 経済産業省 / 国税庁