【問84】ビジネス実務法務検定2級 練習問題｜安全管理措置と委託先の監督
情報の管理・活用とデジタル社会 問4/20難易度B（標準）
問題文
A社が顧客データの入力業務をB社に委託したところ、B社の従業員が顧客データを外部に持ち出した。この事案における安全管理措置と委託先の監督に関する記述として、最も適切なものはどれか。
- 1.A社がB社に個人データを渡す行為は第三者提供に当たるため、あらかじめ全顧客の同意が必要であった。
- 2.委託契約書に安全管理義務を定めていれば、A社はB社の取扱状況を把握する必要はない。
- 3.A社は委託先に対し必要かつ適切な監督を行う義務を負い、B社の取扱状況を定期的に確認する必要がある。
- 4.持出しを行ったのはB社の従業員であるから、A社が個人情報保護委員会に報告する義務は生じない。
解説
正解は3。個人データの取扱いの全部または一部を委託する場合、委託者は委託を受けた者に対し必要かつ適切な監督を行わなければならない（25条）。監督の内容としては、適切な委託先の選定、委託契約への安全管理措置の明記、委託先における取扱状況の定期的な把握と是正の要求が求められる。
1は誤り。利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合、委託先は第三者に当たらず本人の同意は不要である（27条5項1号）。ただし委託元は自ら安全管理措置と監督の責任を負い続ける。
2は誤り。契約に条項を置くだけでは監督義務を尽くしたことにならず、実際の取扱状況を把握して必要な改善を求めるところまで要求される。
4は誤り。委託先で漏えい等が生じた場合、委託元も個人データの取扱いの主体として個人情報保護委員会への報告義務および本人への通知義務を負う。委託先が委託元に通知したときに委託先の報告義務が免除される仕組みであり、委託元の義務が消えるわけではない。
2級では、再委託を含むサプライチェーン全体の管理責任を、委託契約における監査権・事故時通知条項の設計に結び付けて理解しておきたい。