【問18】情報・サイバーセキュリティ管理士 練習問題｜委託先の管理
情報セキュリティの基礎と管理 問18/25難易度B（標準）
問題文
個人データの取扱いを外部に委託する場合の委託先の監督に関する説明として、最も適切なものはどれか。
- 1.委託先の選定基準を定め、契約で安全管理措置を定めて監督する
- 2.委託した時点で責任も移転するため、委託元の監督義務は消滅する
- 3.再委託は委託先の判断に任せ、委託元が把握する必要はないとされる
- 4.契約書を交わせば足り、委託先の実施状況の確認は不要とされている
解説
正解は1。個人情報保護法25条は、個人データの取扱いを委託する場合に、委託を受けた者に対する必要かつ適切な監督を委託元に義務付けている。ガイドラインは、適切な委託先の選定、安全管理措置を内容とする委託契約の締結、取扱状況の把握という三点を求めている。2は誤り。委託しても委託元の責任はなくならず、委託先で漏えいが起きれば委託元が責任を問われる。3は誤り。再委託を認める場合は、事前の承認や再委託先の状況の把握など、委託先と同等の管理が必要である。4は誤り。契約の締結だけでは不十分であり、報告の受領や必要に応じた監査など、実施状況の定期的な確認が求められる。委託先での事故は本試験の頻出テーマである。