LASSIC Media らしくメディア
政府調達のプライバシー条項、FAR第24部の3つの引き金
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 引き金は契約の作業内容：記録システムの設計・開発・運用が条件です*1。
- 受託者も刑事罰の対象：運用する場合は機関の職員として扱われます*1。
- 訓練は完了まで求められる：終えていない従業員は触れられません*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
海外の官公庁案件で、個人データを扱う工程を請け負うことがあります。契約書に並ぶ条項のうち、どれが自社に入るのかは作業の中身で決まります。金額でも規模でもありません。
米国の連邦調達規則（FAR）第24部「プライバシーおよび情報公開の保護」を全部改訂する規則案が、2026年6月23日に連邦官報へ掲載されました*1。FAR Case 2026-005、RIN 9000-AO90、91 FR 37676で、意見の締切は2026年7月23日でした*1。大統領令14275「連邦調達に常識を取り戻す」に基づく12本の規則案の1つです*1。
受託開発の立場から確かめたい点は4つあります。どの作業が条項の引き金になるのか、受託者にどこまで責任が及ぶのか、従業員に何が求められるのか、提出した資料は公開されるのか。規則案の本文から順に見ていきます。
目次
第24部が扱う範囲と、改訂案の位置づけ
まず、この部が何を扱うかです*1。
改訂後の第24.000条はこの部は、1974年プライバシー法（合衆国法典第5編第552a条）ならびに関連するOMB回状A-108およびA-130が、政府の契約にどのように適用されるかを説明するとし、あわせて情報公開法（同第552条）を参照すると述べます*1。
構成は3つの小部に分かれます*1。第24.1部（個人のプライバシーの保護）、第24.2部（情報公開法）、第24.3部（プライバシー訓練）です*1。このうち第24.301条は［留保］とされ、条項の指定だけが第24.302条に残る形になりました*1。
改訂の位置づけも書かれています*1。FAR協議会は当該大統領令は、米国の納税者の資金の非効率な使用を止めるため、過剰な調達規制の廃止を指示していると説明しました*1。今回の規則案は第5部、第24部、第29部および第52部を対象とします*1。
負担の増減にも明言があります*1。FAR協議会はこの規則案は、最終化された場合であっても、第24部の下で新たな報告、記録保持その他の遵守の要件を含まないとし、明確さを高めて重複を取り除くものであると述べています*1。
つまり、義務が増える改訂ではありません*1。ただし、読み直された条文は、受託側が自社に何が適用されるかを判断する材料そのものです*1。同じ調達の枠組みで情報技術の取得を扱う部の改訂はFAR第39部・第40部の全面改訂で扱っています。
条項が入る引き金は「記録システムの設計・開発・運用」
実務でいちばん重いのが、この線引きです*1。
第24.104条は契約が、機関の機能を果たすための記録システムの設計、開発または運用を求める場合、商用製品または商用サービスに係るものを含め、勧誘および契約に次の条項を含めるとし、2つを挙げます*1。52.224-1（プライバシー法の通知）と52.224-2（プライバシー法）です*1。
ここで言う記録システムには定義があります*1。第24.101条は機関の管理下にある記録の集合であって、個人の氏名により、または当該個人に割り当てられた識別番号、記号その他の識別的な特徴により情報が検索されるものと定めました*1。検索の入口が個人であるかどうかが判定の軸です*1。
あわせて運用の意味も置かれています*1。記録システムの運用とは、記録システムの維持に関連する活動、すなわち記録の収集、使用および提供のいずれかを行うことを意味するとされました*1。
個人識別情報の定義も、他の制度と揃えられました*1。単独で、または特定の個人に結びつけられ、もしくは結びつけうる他の情報と組み合わせることにより、個人の身元を識別し、または追跡するために使用できる情報とされ、OMB回状A-130を参照するとされています*1。
| 用語 | 規則案の定義 |
|---|---|
| 記録システム | 機関の管理下にある記録の集合で、個人の氏名または個人に割り当てられた識別番号・記号・識別的特徴により情報が検索されるもの |
| 記録 | 個人に関する情報の項目・集合・グループであって機関が維持するもの。学歴、金融取引、病歴、犯罪歴や職歴を含み、氏名または識別番号・記号（指紋、声紋、写真など）を含むもの |
| 記録システムの運用 | 記録システムの維持に関連する活動の実施。収集、使用、提供を含む |
| 維持する | 維持し、収集し、使用し、または提供すること |
| 個人識別情報 | 単独で、または結びつけうる他の情報と組み合わせて、個人の身元を識別・追跡できる情報 |
契約担当者の側の手続も定められています*1。第24.103条は、要求事項がこの作業を含むかを検討したうえで、該当する場合には契約の作業説明書において、特定の記録システムと、求められる設計、開発または運用の作業の双方を明確に特定すること、およびプライバシー法を実施する機関の規則および規程を受託者に提供することを求めます*1。
受託側から見ると、この2つは確認すべき材料です*1。対象の記録システムが作業説明書に書かれているか、機関側の実施規程を受け取っているか。どちらも契約の入口で確かめられます*1。委託先の管理の進め方はベンダーマネジメントで扱う枠組みが土台になります。
運用を担うと、受託者も刑事罰の場面で職員として扱われる
責任の構造は、第24.102条に3項でまとまっています*1。
第(a)項は適用の範囲です*1。プライバシー法の要件は、契約がこの作業を受託者に求める場合、当該契約に従事する受託者およびその従業員に適用されるとされ、契約の下で運用される記録システムは、同法の適用上、公式には機関により維持されているものとして扱われると続きます*1。
第(b)項が刑事罰です*1。機関の職員と受託者の従業員は、いずれもプライバシー法に違反した場合に刑事罰に直面しうるとされ、受託者が機関の機能を果たすために記録システムを運用する場合、法はこれらの受託者を刑事罰の適用上、機関の職員として扱うと明記されました*1。
第(c)項は機関側の責任です*1。権限の範囲内で、受託者にプライバシー法に従って記録システムを運用させることを怠った機関は、民事上の責任を負いうるとし、受託者の違反により個人が害を被った場合、機関が責任を負うことがあるとされます*1。
そのうえで、第(c)項には範囲を絞る一文が付きました*1。この規定は、機関のために記録システムを運用することを伴わない設計、開発その他の活動を行う受託者には適用されないという文です*1。設計や開発だけを請け負う場合と、運用まで担う場合とで、機関側の民事責任の扱いが分かれます*1。
| 請け負う作業 | 52.224-1・52.224-2 | 刑事罰の場面での扱い | 52.224-3 |
|---|---|---|---|
| 記録システムの設計・開発 | 入ります | 運用を伴わない場合、機関の民事責任の規定は適用されません | 設計・開発・維持・運用に当たるため入ります |
| 記録システムの運用 | 入ります | 受託者と従業員が機関の職員として扱われます | 入ります |
| 個人識別情報の取扱いのみ | 記録システムに当たらなければ入りません | 記録システムの運用でなければ、この規定の対象外です | 入ります |
条項52.224-2の中身も、下請へ流れる形で書かれています*1。受託者はすべての勧誘および結果として生じる下請契約、ならびに勧誘なしに締結される下請契約に、この契約に含まれるプライバシー法の通知を含めることに同意し、さらに(d)項がこの項(d)を含むこの条項を、当該記録システムの設計、開発または運用を求めるすべての下請契約に含めることを求めます*1。
多層の体制では、この流し込みが実務の作業になります*1。自社が二次請け以下の位置にいても、作業の中身が記録システムの設計・開発・運用に当たるなら同じ条項が届く構造です*1。契約の段階で範囲を確定させる進め方はシステム開発契約の確認点で扱う論点と重なります。
訓練条項52.224-3は、3つのいずれかに当たれば入る
もう1つの条項が、従業員に直接かかります*1。
第24.302条(a)は機関のために、受託者の従業員が次のいずれかを行う場合、勧誘および契約にFAR 52.224-3（プライバシー訓練）の条項を挿入するとし、3つを挙げます*1。記録システムへのアクセスを持つこと、個人識別情報を作成し、収集し、使用し、処理し、保存し、維持し、提供し、開示し、廃棄し、またはその他の方法で取り扱うこと、記録システムを設計し、開発し、維持し、または運用することです*1。
2つ目の引き金は、記録システムに当たらない場面でも働きます*1。個人識別情報を扱う工程があれば、それだけで条項が入る書き方です*1。
条項の中身も具体的です*1。52.224-3の(b)項は受託者は、上記のいずれかに当たる従業員が、初回のプライバシー訓練と、その後は毎年のプライバシー訓練を完了することを確保しなければならないと定めます*1。
(c)項が訓練の要件です*1。プライバシー訓練は、個人識別情報または記録システムの保護を確かなものとするために必要な要素を扱わなければならないとされ、訓練は役割に応じたものであり、基礎的な段階とより進んだ段階の双方を提供し、利用者の知識の水準を試す手段を備えていなければならないと続きます*1。最低限含むべき内容として6つが挙げられました*1。
| 号 | 扱う内容 |
|---|---|
| (i) | 1974年プライバシー法の規定（違反に対する罰則を含む） |
| (ii) | 個人識別情報の適切な取扱いと保護 |
| (iii) | 記録システムその他の個人識別情報の、承認された公式の利用 |
| (iv) | 個人識別情報を作成・収集・使用・処理・保存・維持・提供・開示・廃棄し、またはアクセスするために、承認されていない機器を用いることの制限 |
| (v) | 記録システムの承認されていない利用、および個人識別情報の承認されていない開示・アクセス・取扱い・利用の禁止 |
| (vi) | 記録システムの侵害が疑われ、もしくは確認された場合、または個人識別情報の承認されていない開示・アクセス・取扱い・利用があった場合に従う手順 |
実施の順序にも条件が付いています*1。(e)項は受託者は、この条項が求めるプライバシー訓練を従業員が完了していない限り、当該従業員に記録システムへのアクセスを認めてはならず、個人識別情報の取扱いを許してはならず、記録システムの設計、開発、維持または運用を許してはならないと定めます*1。訓練を終えていない要員は、作業に着けません*1。
記録の提出も求められます*1。(d)項は受託者は、プライバシー訓練の完了に関する記録を維持し、求めに応じて契約担当者へ提供しなければならないとしました*1。誰がいつ受講したかを、要求されたときに出せる形にしておくことになります*1。教育の履歴を残す仕組みそのものは監査ログの設計で扱う考え方と地続きです。
下請への流し込みも同じ形です*1。(f)項はこの条項の実質、この項(f)を含め、下請の従業員が上記3つのいずれかを行う場合、あらゆる階層のすべての下請契約に含めなければならないと定めます*1。階層の限定がない書き方です*1。
機関が訓練を提供する場合の書き分けも用意されました*1。第24.302条(b)は機関が提供する訓練が求められる場合には、代替I（Alternate I）とともにこの条項を用いるとし、あわせて(c)(2)項は機関が作成し、または機関が実施する訓練課程の修了は、これらの要素を満たすものとみなされるとしています*1。
提出した提案書は、情報公開法の下でも開示されない
第24.2部は、出した資料の扱いを定めます*1。
第24.201条は情報公開法は、情報が3つの方法により公衆に提供されることを求めるとし、連邦官報への掲載、便利な場所での記録の閲覧と複写、合理的に記述された記録の写しの提供を挙げます*1。
そのうえで第24.202条が禁止を置きました*1。機関は、競争提案の勧誘に応じて提出された提案書を、情報公開法の下で開示してはならないとされ、この禁止は、提案書を提出した受託者と政府との間の契約に含められ、または参照により組み込まれた提案書またはその一部には適用されないと続きます*1。
2つ目の禁止も並びます*1。機関は、第15部に基づいて得た情報であって情報公開法の下で開示が免除されるものを、政府の外部へ開示してはならないという規定です*1。
方針の側も書かれています*1。第24.203条(b)は最も多い免除は、営業秘密ならびに秘密の商業上または財務上の情報に関するもの（合衆国法典第5編第552条(b)(4)）であると述べました*1。
提案書に技術的な構成や単価を書く立場からは、この線が実務の前提になります*1。競争提案として出した提案書は原則として開示されず、ただし契約に組み込まれた部分はその限りでありません*1。
なお、第24.203条(c)はこれらの請求はしばしば、裁判所の判断や方針の指針に関する深い知識を要する複雑な論点を含むため、契約担当者は自らの機関の実施規則に従わなければならないと付け加えています*1。
受託側の設計に置き換える5つの確認
米国の調達規則ですが、確認の手順としては一般化できます。
第一に、作業の中身を3つに分けて棚卸しすることです。条項の引き金は、記録システムの設計、開発、運用と、個人識別情報の取扱いです*1。提案の段階で、自社が担う工程をこの区分に当てはめておくと、どの条項が入るかを先に見積もれます。運用まで担うかどうかで、刑事罰の場面での扱いが変わる点も押さえておく値があります*1。
第二に、記録システムに当たるかを検索の入口で判定することです。定義は個人の氏名または識別番号等により情報が検索されるものです*1。個人データを保持していても、個人を入口に引く仕組みがなければ、この定義には当たりません。逆に、識別子で引ける索引を1つ足した時点で該当する方向へ動きます。対象の切り出しにはIT資産の棚卸しで扱う整理が土台になります。
第三に、訓練の完了を作業の前提条件として実装することです。条項は、訓練を終えていない従業員にアクセスも取扱いも許してはならないと定めます*1。要員の追加のたびに手作業で確認する運用では抜けが出ます。権限の付与と受講の記録を紐づけておくほうが確実です。
第四に、下請への流し込みを契約の雛形に組み込むことです。52.224-2は下請契約への挿入を求め、52.224-3はあらゆる階層の下請契約への挿入を求めます*1。階層が深い体制では、雛形の側に条項を持たせておかないと、個別の交渉で漏れます。
第五に、提案書に載せる情報の範囲を決めておくことです。競争提案として出した提案書は情報公開法の下で開示されませんが、契約に組み込まれた部分は例外です*1。技術の構成や運用の手順のうち、どこまでを契約書へ組み込むかは、開示の可否と直結します。
誤解されやすいのは、個人データを扱うから重い条項が入るという読み方です。52.224-1と52.224-2の引き金は、あくまで機関の機能を果たすための記録システムの設計・開発・運用です*1。一方で52.224-3の訓練条項は、記録システムに当たらない場面でも、個人識別情報の取扱いがあれば入ります*1。2つの条項で引き金が違う点を分けて読む必要があります*1。
もう1点、規則案であることも押さえておく値があります*1。意見の締切は2026年7月23日で、最終規則の内容は寄せられた意見を踏まえて変わりえます*1。あわせて規則案には分離条項が置かれ、ある部分が無効または執行不能とされた場合であっても、それは規則の残りの部分から分離可能であるとされました*1。同じ調達分野で情報の保護を扱う条項案としては米国GSAの大規模言語モデル条項案で扱う枠組みが近い位置にあります。
まとめ：FAR第24部の改訂案で押さえる3つの視点
米国の連邦調達規則（FAR）第24部を全部改訂する規則案は、2026年6月23日に連邦官報へ掲載されました。FAR Case 2026-005、RIN 9000-AO90、91 FR 37676で、意見の締切は2026年7月23日、大統領令14275に基づく12本の規則案の1つです。押さえたい視点は三つあります。第一に、条項が入る引き金。第24.104条は、契約が機関の機能を果たすための記録システムの設計、開発または運用を求める場合に、52.224-1（プライバシー法の通知）と52.224-2（プライバシー法）を含めると定めます。記録システムは、個人の氏名または個人に割り当てられた識別番号・記号・識別的特徴により情報が検索される記録の集合と定義されました。第二に、責任の構造。第24.102条は、契約の下で運用される記録システムを公式には機関が維持しているものとして扱い、受託者が機関の機能を果たすために記録システムを運用する場合、刑事罰の適用上、受託者を機関の職員として扱うとしています。設計や開発だけで運用を伴わない場合には、機関の民事責任に関する規定は適用されません。第三に、訓練条項の範囲。第24.302条は、記録システムへのアクセス、個人識別情報の取扱い、記録システムの設計・開発・維持・運用のいずれかに当たる従業員について52.224-3を入れると定め、初回と毎年の訓練の完了、6項目を最低限含む役割別の内容、完了記録の提出、そして訓練を終えていない従業員に作業をさせない制限を求めます。あらゆる階層の下請契約への挿入も条項に書かれています。
よくある質問
この規則案はもう決まったのですか。
決まっていません。2026年6月23日に連邦官報へ掲載された規則案で、意見の締切は2026年7月23日でした。FAR協議会は、大統領令14275を実施するために12本の規則案を発出し、連邦調達規則の全体を合理化するとしています。最終規則の内容は、寄せられた意見を踏まえて変わりえます。
個人データを扱うと52.224-1と52.224-2は常に入りますか。
入りません。第24.104条の引き金は、契約が機関の機能を果たすための記録システムの設計、開発または運用を求めることです。記録システムは、個人の氏名または個人に割り当てられた識別番号・記号・識別的特徴により情報が検索される記録の集合と定義されています。一方で、訓練条項の52.224-3は、記録システムに当たらない場合でも個人識別情報の取扱いがあれば入ります。
受託者の従業員が刑事罰を受けることがあるのですか。
第24.102条(b)は、機関の職員と受託者の従業員のいずれもプライバシー法に違反した場合に刑事罰に直面しうるとし、受託者が機関の機能を果たすために記録システムを運用する場合、法は刑事罰の適用上、これらの受託者を機関の職員として扱うと述べています。あわせて条項52.224-2の(b)項にも同旨が書かれています。
プライバシー訓練はどの範囲の従業員に必要ですか。
第24.302条(a)は、機関のために、記録システムへのアクセスを持つ従業員、個人識別情報を作成・収集・使用・処理・保存・維持・提供・開示・廃棄その他の方法で取り扱う従業員、または記録システムを設計・開発・維持・運用する従業員について、52.224-3を挿入すると定めています。条項の(f)項により、同じ条件に当たる下請の従業員がいる場合は、あらゆる階層の下請契約にも含めます。
出典
- *1 参考：米国連邦官報 OFPP・国防総省・一般調達局・NASA「Federal Acquisition Regulation: Revolutionary Federal Acquisition Regulation Overhaul Parts 5, 24, and 29」（規則案・91 FR 37676・2026年6月23日掲載／意見締切2026年7月23日）（https://www.federalregister.gov/documents/2026/06/23/2026-12561/federal-acquisition-regulation-revolutionary-federal-acquisition-regulation-overhaul-parts-5-24-and）。規則案の一次情報として。FAR Case 2026-005、RIN 9000-AO90、対象が48 CFR第5部・第24部・第29部・第52部であること、大統領令14275に基づく12本の規則案の1つであること、第24部に新たな遵守の要件を含まない旨、ならびに改訂後の第24.101条の定義、第24.102条の適用と刑事罰、第24.103条の手続、第24.104条の条項指定、第24.201条から第24.203条までの情報公開法の規定、第24.302条の訓練条項と代替I、条項52.224-1・52.224-2・52.224-3の各本文、および分離条項を確認した。確認日は2026年9月8日。（2026年9月確認）
