LASSIC Media らしくメディア
業務委託の個人情報の取扱い覚書の書き方｜条項ごとのひな形と記入例
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 業務委託の個人情報の取扱い覚書には、対象の個人データ、利用の範囲、安全管理措置、再委託、漏えい時の報告、返却と削除を書きます。
- 合意の内容が客観的に分かれば書式は問われないため、元の契約に個人情報の条項が足りないときは覚書で補えます。
- 漏えいの第一報の連絡先と伝える事項、終了時の削除の報告の方法まで、具体的に決めておきます。
※ 本記事は2026年11月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
業務委託で迎えるエンジニアに、本番の顧客データを使った不具合の調査を任せることになった。契約書には秘密保持の一文しかなく、個人情報の扱いを別に取り決めたいが、覚書に何を書けばよいのか分からない――。
本記事は、業務委託でエンジニアを受け入れている開発マネージャーや情報システムの責任者、契約を担当する法務・総務の方に向けて、個人情報の取扱い覚書の項目のひな形と記入の例を表で示します。根拠は、個人情報保護法と個人情報保護委員会のガイドライン・Q&Aで言える範囲にとどめます。
目次
業務委託の個人情報の取扱い覚書とは
個人情報の取扱い覚書は、業務委託で迎えるエンジニアに顧客データや社員情報を扱わせるとき、その扱い方を双方の合意として残す文書です。個人情報保護法第25条は、個人データの取扱いを委託する事業者に、委託先への必要かつ適切な監督を求めています。*1 ガイドラインは、委託契約に双方が同意した安全管理措置と、委託先での取扱状況を委託元が把握することを盛り込むのが望ましいとしています。*3
この合意は、業務委託契約書の本文でなくても構いません。個人情報保護委員会のQ&Aは、合意の内容を客観的に明確にできる手段であれば、覚書や合意書などの書式の類型を問わないとしています。*4 次のような場面で、元の契約に覚書を付けて取り決めます。
- 実際の顧客データを使って不具合を調べる作業を任せる
- 社員や応募者の情報が入った人事システムの改修を任せる
- 個人データの入ったデータベースの移行や保守を任せる
- 元の契約書に個人情報の条項が無い、または「秘密を守る」の一文しかない
図のとおり、覚書には結ぶ前に決める範囲、作業中の決まり、事故のときの連絡、終わるときの返却と削除までを書きます。委託先の監督の義務そのものは業務委託エンジニアの情報セキュリティで整理しています。
取扱い覚書のひな形と記入の例
次の表が、個人のエンジニアと結ぶ個人情報の取扱い覚書の項目のひな形です。委託元を甲、エンジニアを乙とし、記入の例の「〇〇」は自社の契約に合わせて埋めてください。
| 項目 | 書く中身 | 記入の例 | よくある抜け |
|---|---|---|---|
| 表題と原契約 | どの業務委託契約に付く覚書か | 甲と乙は、〇年〇月〇日付の業務委託契約（原契約）に基づく個人情報の取扱いについて、次のとおり定める | どの契約に付く覚書かが書かれていない |
| 対象の個人データ | 作業で触れるデータの種類と範囲 | 〇〇システムに登録された顧客の氏名・連絡先・購入履歴 | 「業務上知り得た個人情報」とだけ書き、触れるデータが分からない |
| 利用の範囲 | 原契約の業務のためだけに扱うこと | 原契約第〇条の業務を行うためだけに扱い、ほかの目的に使わない | 自分の別の案件や検証に使わないことが書かれていない |
| 安全管理措置 | アクセスの方法と保管の決まり | 甲が発行した個人ごとのアカウントだけでアクセスし、紙の資料は施錠できる保管庫に入れる | 「適切に管理する」だけで中身が無い |
| 作業の場所と端末 | どこで、どの端末で作業するか | 甲が貸与した端末で作業し、個人データを私物の端末や記録媒体に複製しない | 在宅で作業するときの扱いが無い |
| 再委託 | 第三者に作業を任せるときの手続き | 個人データを扱う作業を第三者に任せるときは、事前に書面で甲の承諾を得る | 作業する人が変わったときの連絡が無い |
| 漏えい時の報告 | 知らせる相手・手段・期限・伝える事項 | 漏えいなどのおそれを知ったときは、直ちに甲の〇〇部へ電話とメールで知らせる | 連絡先と、第一報で伝える事項が決まっていない |
| 取扱状況の確認 | 甲が確かめる時期と方法 | 甲は〇か月ごとに、アクセスの記録の確認と聞き取りで取扱状況を確かめる | 確かめる時期と方法が書かれていない |
| 終了時の返却と削除 | 返す物、消すデータ、報告の方法 | 原契約の終了日から〇日以内に貸与品を返し、個人データを削除して削除の報告書を出す | 削除したことの確かめ方が無い |
| 有効期間 | 原契約との関係と効力の続く期間 | 本覚書は、返却と削除の報告が済むまで原契約の終了後も効力を持つ | 原契約と食い違ったときにどちらを優先するかが無い |
10項目のうち、対象の個人データと終了時の返却と削除は特に抜けやすい項目です。対象があいまいだと、ほかの条項がどのデータに当たるのかを読み取れません。
利用の範囲と安全管理の書き方
委託に伴って個人データを渡すことは、利用目的の達成に必要な範囲であれば第三者への提供に当たらず、本人の同意は要りません。*1 その代わり、委託先は委託された業務の範囲内でのみ扱わなければなりません。*4 利用の範囲の条項には、次のように書きます。
- 扱ってよい業務：原契約の条項の番号で特定する
- してはいけない使い方：自分の営業活動、別の案件、統計への加工、ほかのデータとの突き合わせ
- 複製の扱い：私物の端末や記録媒体に写さない。必要なら甲の承諾を得て、終了時に消す
- 作業で新たに得たデータ：同じく原契約の業務のためだけに扱う
個人のエンジニアでも、委託された業務のために委託元のデータベースを使えば個人情報取扱事業者に当たります。安全管理措置の条項で求める水準について、Q&Aは、委託元が法の求めを超える高い水準の措置を取っていても、委託先は法第23条が求める水準の措置を講じれば足りると答えています。*4 ガイドラインは、書類などを施錠できるキャビネットや書庫に保管することを手法の例に挙げています。*3 自社の規程をそのまま写すより、作業に合わせてアカウント・端末・保管場所を具体的に書くほうが守られます。端末の決まりは業務委託エンジニアの端末管理も参考になります。
漏えい時の報告と終了時の削除
漏えいなどで本人の権利利益を害するおそれが大きい事態が起きると、委託元は個人情報保護委員会への報告と本人への通知を求められます。委託先は、委託元に通知すれば自らの報告を免除されます。*1 覚書の後半の条項は、この流れと終わるときの手続きに合わせて書きます。
| 条項 | 覚書の書き方の例 | 根拠の要点 |
|---|---|---|
| 漏えいの第一報 | 直ちに甲の〇〇部へ電話とメールで知らせ、その時点で分かっている概要・データの項目・人数・原因を伝える | 委託先から委託元への通知は、知った時点から概ね3〜5日以内が目安*3 |
| 続報への協力 | 甲が個人情報保護委員会へ報告するために必要な調査と資料の提出に協力する | 委託元は30日以内（不正の目的によるものは60日以内）に全ての事項を報告する*2 |
| 取扱状況の確認 | 〇か月ごとにアクセスの記録を見て、聞き取りで取扱いを確かめる | 立入検査は義務ではなく、口頭による確認を含む適切な方法でよい*4 |
| 返却と削除 | 終了日から〇日以内に貸与品を返し、個人データを復元できない方法で削除し、報告書を出す | 削除を委託するときは、削除したことを証明書等で確かめることも重要*3 |
施行規則は、委託先が委託元に知らせるとき、概要・個人データの項目・本人の数・原因など9つの事項を速やかに通知するよう定めています。*2 第一報で伝える事項を覚書に書いておけば、聞き漏らしが減ります。再委託は、相手・業務の内容・個人データの扱い方について、事前に報告を受けるか承認することが望ましいとされています。*3
終わるときの削除について、ガイドラインは復元できない手段で行うことを求め、削除や廃棄の記録を残すことも重要としています。*3 覚書には、返す物の一覧と削除の報告の書式まで決めておくと、契約の最終日に慌てません。
外部に頼むときに確認しておきたい点
ひな形を埋めるには、エンジニアに任せる作業とその中で触れるデータを先に言葉にしておく必要があります。個人データに触れる作業を外部の人材に任せるなら、次の点を書き出しておくと相談が進めやすくなります。
- 範囲：個人データに触れる作業と、触れずに済む作業の分け方
- 期間：作業を始める日と、返却と削除を終える日
- 体制：作業する人の人数と、再委託を認めるか
- 環境：貸与する端末、アカウント、作業する場所
- 引き継ぎ：終了時に返す物と、削除の報告を受け取る担当者
アカウントの見直しは業務委託エンジニアのアクセス権の棚卸しで整理しています。本記事は法令と個人情報保護委員会の資料による一般的な整理です。個別の覚書の条文が法令に沿うかは、弁護士などの専門家に確認してください。
まとめ：業務委託の個人情報の取扱い覚書
業務委託の個人情報の取扱い覚書で押さえたい点は3つです。第一に、作業で触れる個人データを特定し、原契約の業務のためだけに扱うことを書くこと。第二に、安全管理措置と作業の場所・端末、再委託の承諾、取扱状況の確認を、作業に合わせて具体的に書くこと。第三に、漏えいの第一報の連絡先と伝える事項、終了時の返却と削除の報告の方法を先に決めておくことです。
よくある質問
業務委託契約書に個人情報の条項があれば、覚書は要りませんか
契約書の条項で、対象のデータ、利用の範囲、安全管理措置、再委託、漏えい時の報告、終了時の削除まで合意できていれば、別に覚書を作る必要はありません。秘密保持の一文しかないときは、覚書で足りない項目を補います。
覚書の代わりにエンジニアから誓約書をもらう形でもよいですか
個人情報保護委員会のQ&Aは、合意の内容を客観的に明確にできれば、誓約書の差入れも含めて書式の類型を問わないとしています。ただし誓約書は一方からの約束なので、委託元が取扱状況を確かめる方法なども書いておくと、双方の決まりとして使えます。
取扱状況の確認のために、エンジニアの自宅へ行く必要はありますか
Q&Aは、取扱状況の把握は必要としつつ、立入検査は義務ではなく、データの内容や規模に応じて口頭による確認も含めた適切な方法をとれば足りるとしています。在宅の作業なら、アクセスの記録の確認と定例の聞き取りを覚書に書く方法が現実的です。
業務委託で開発に加わるエンジニアを探す
任せたい作業の範囲と始めたい時期が分かっていれば、そのままご相談いただけます。個人情報の扱いの決まりを整えている段階でも構いません。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：e-Gov法令検索「個人情報の保護に関する法律」（平成15年法律第57号）（https://laws.e-gov.go.jp/law/415AC0000000057）。出典：e-Gov法令検索。第23条（安全管理措置）、第25条（委託先の監督）、第26条（漏えい等の報告等）、第27条第5項第1号（委託に伴う提供）を参照。条文はe-Gov法令APIで確認（確認日2026年11月2日）（2026年11月確認）
- *2 参考：e-Gov法令検索「個人情報の保護に関する法律施行規則」（平成28年個人情報保護委員会規則第3号）（https://laws.e-gov.go.jp/law/428M60020000003）。出典：e-Gov法令検索。第8条（個人情報保護委員会への報告）、第9条（他の個人情報取扱事業者への通知）を参照。条文はe-Gov法令APIで確認（確認日2026年11月2日）（2026年11月確認）
- *3 参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（PDF）（https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf）。出典：個人情報保護委員会。3-4-4（委託先の監督）、3-5-3（個人情報保護委員会への報告・委託先の通知の目安）、10（別添）講ずべき安全管理措置の内容を参照（確認日2026年11月2日）（2026年11月確認）
- *4 参考：個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」（PDF）（https://www.ppc.go.jp/files/pdf/261030_appi_qa.pdf）。出典：個人情報保護委員会。Q1-53（委託先の個人情報取扱事業者該当性）、Q5-8（委託契約の書式）、Q5-9（取扱状況の把握の方法）、Q5-10（委託先に求める水準）、Q7-37・Q7-38（委託された業務の範囲）を参照（確認日2026年11月2日）（2026年11月確認）
