LASSIC Media らしくメディア
外部人材活用の認定制度とプライバシーマーク｜任せる前の確認点
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 個人データに触れる作業を切り分け、触れない作業にできる範囲を広げたうえで、残る作業に合わせて確かめる深さを決めます。
- プライバシーマークなどの認定制度は、出す会社の仕組みを知る手がかりであり、参画する本人や事故のなさまでは示しません。
- 契約での範囲・再委託・連絡の取り決めと、参画後の権限・持ち出し・終了時の返却削除は、マークの有無にかかわらず自社で行います。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
社内のエンジニアだけでは手が足りず、外部人材に作業を任せたい。ただ、その作業で顧客の名簿や従業員の情報に触れるなら、誰にどこまで任せてよいのか、出す会社の何を見ればよいのか迷う——。こうした迷いは、外部人材を使い始める現場で起こりがちです。外部人材活用とは、業務委託、フリーランス、人材紹介や派遣の会社を通じて、自社の社員ではない技術者に仕事を任せることです。
結論から言うと、個人データに触れる作業を任せる前に確かめるのは、作業の範囲、出す会社、契約、参画後の取扱いの4つです。プライバシーマークなどの認定制度は、出す会社を確かめる手がかりの一つとして使います。本記事では、その確かめ方を、JIPDECと個人情報保護委員会の公表資料で整理します。
個人データに触れる作業の見分け方
最初に、任せたい作業のうち個人データに触れる範囲を切り分けます。個人データとは、検索できるように整理された個人情報のことです。範囲が分かれば、確かめる深さを作業ごとに変えられます。
| 作業の例 | 個人データへの触れ方 | 先に考えること |
|---|---|---|
| 画面の見た目の開発 | ダミーの表示で足りれば触れない | ダミーのデータで進められるか |
| 業務システムの機能追加 | 本番のデータを使わなければ触れない | 開発用の環境を分けられるか |
| 障害の調査とデータの修正 | 本番の顧客データに触れる | 見る範囲と期間を絞れるか |
| 問い合わせ対応システムの運用 | 顧客の氏名や連絡先に触れる | 権限を必要な分だけにできるか |
ガイドラインは、委託する業務に必要のない個人データを提供しないようにすることを前提としています。*1 触れない作業にできるなら、確かめる項目も減ります。切り分けの考え方は、業務委託エンジニアの情報セキュリティ、個人データを任せる前の確認でも整理しています。
出す会社で確かめる項目
外部人材を出す会社には、業務委託の会社、人材紹介や派遣の会社、フリーランスの窓口などがあります。個人データに触れる作業を任せるなら、どの会社にも尋ねる項目は共通します。
| 項目 | 確かめること | 分かる方法 |
|---|---|---|
| 第三者の認定制度 | プライバシーマークなどを取得しているか | 付与事業者検索（次の節） |
| 取扱いの決まり | 社内の規程と、従業者への教育があるか | 規程の目次や教育の記録を見せてもらう |
| 再委託 | 作業を別の会社や個人に任せるか | 契約の前に、有無と範囲を書面で尋ねる |
| 事故の連絡 | 起きたときの連絡先と期限 | 流れを契約書に書けるか尋ねる |
| 本人の守秘 | 参画する本人が秘密を守る約束をしているか | 誓約書の有無を尋ねる |
この表は、プライバシーマークのような認定制度の有無だけでは埋まりません。認定制度は会社の仕組みを評価するものなので、再委託や事故の連絡のような個別の取り決めは、会社に直接尋ねて確かめます。
プライバシーマークの見方と調べ方
プライバシーマークは、個人情報を適切に管理していると評価された事業者が使えるマークで、取得している事業者は約17,000社以上とされています。*2 運営は一般財団法人日本情報経済社会推進協会（JIPDEC）で、評価の基準は日本産業規格のJIS Q 15001に準拠した指針です。*3 事業者を評価して使用を認める認定制度の一つです。
| 見るところ | 分かること | 分からないこと |
|---|---|---|
| 付与の単位（法人単位） | 契約する会社の仕組みが評価されたこと | 参画する本人の習熟や取扱い |
| 有効期間（2年間） | 期限を見れば、今も有効か | 更新のあとも実際に守られているか |
| 措置の状況 | 取消しや一時停止を受けていないか | 事故が起きないこと |
JIPDECが公表した2025年度の集計では、付与事業者2,021社から10,633件の事故報告があり、原因で最も多いのは作業や操作のミスの4,445件でした。*4 取得していても作業のミスは起きるため、マークは事故がないことの証明ではなく、仕組みがあることの手がかりとして読みます。
調べる手順は次のとおりです。名刺のマークだけでは、今も有効かどうかまでは分かりません。
- 手順1：付与事業者検索で、契約する会社の名前を調べます。*5 付与は法人単位なので、グループ会社ではなく契約を結ぶ会社で調べます。
- 手順2：有効期限を見ます。期限を経過している事業者は、現在審査中または事務手続き中の事業者と説明されています。更新中かどうかは、本人に確かめます。
- 手順3：措置の状況のページで、取消しや一時停止を受けた事業者に入っていないか見ます。2026年10月15日に確かめた時点では、取消し・一時停止とも該当する事業者はなく、最終更新日は2026年10月1日でした。*6
- 手順4：見つからないときは、取得していないと決めつけず、会社に付与の番号を尋ねます。検索の表示は申請書類に基づく情報で、JIS第一・第二水準以外の文字は別の文字に置き換わる場合があります。*5
- 手順5：確かめた日付と結果を、選定の記録に残します。
契約と参画後に決めること
個人情報保護法の第25条は、個人データの取扱いの全部または一部を委託する場合に、委託を受けた者への必要かつ適切な監督を求めています。*7 ガイドラインが挙げる措置は、委託先の選定、委託契約の締結、取扱状況の把握の3つです。*1 マークの有無にかかわらず、このうち契約と把握は委託する側が行います。
- 契約するとき：任せる個人データの範囲、再委託の事前の承諾、事故が起きたときの連絡の期限、取扱状況を把握する方法（報告や監査）を書きます。
- 参画の初日：作業に必要な範囲だけのアカウントと権限を渡します。
- 任せている間：個人データを手元の端末や私的な保管先へ持ち出さない決まりが守られているか、定期的に確かめます。
- 終了するとき：アカウントを止め、渡した資料やデータの返却と削除を確かめ、記録に残します。
ガイドラインは、取扱状況を把握しないまま委託して漏えいした場合や、委託元が認知しない再委託が行われ、その先で漏えいが起きた場合を、必要かつ適切な監督を行っていない事例として挙げています。*1 初日の権限は業務委託エンジニアの受け入れで決める5つの手続き、端末は貸与と私物の端末管理、終了時は業務委託の離任と引き継ぎで整理しています。
外部人材を選ぶ手順
ここまでの確かめ方を順に並べると、次の4つの段階になります。
外部人材に相談するときは、次の4点をそろえておくと進めやすくなります。
- 任せたい作業と、そのうち個人データに触れる範囲
- 作業の期間と、必要な権限の範囲
- 確かめたい認定制度と、会社に尋ねたい項目
- 再委託を認めるかどうかの方針
この4点が決まっていれば、求める経験の条件も出す会社に伝えやすくなります。
まとめ：個人データを任せる前の3つの点
外部人材に個人データを任せる前に確かめたい点は3つです。第一に、任せる作業のうち個人データに触れる範囲を切り分けること。第二に、出す会社を、プライバシーマークなどの認定制度と、再委託や事故の連絡の取り決めで確かめること。第三に、契約と、参画後の権限・持ち出し・終了時の返却削除を、マークの有無にかかわらず自社で決めて続けることです。
よくある質問
プライバシーマークを取得していない会社には、外部人材を頼めませんか
取得を求める規定は、個人情報保護法第25条にも、個人情報保護委員会のガイドラインの委託先の監督の項にも見当たりません。*1 取得していない会社に頼む場合は、表の5つの項目を、会社に直接尋ねて確認します。
派遣や人材紹介の会社を通すときも、同じ確認が要りますか
ガイドラインは、従業者に派遣社員等も含まれるとしています。*8 派遣社員は従業者の監督（法第24条）、業務委託は委託先の監督（法第25条）の枠組みで考えますが、契約の形で変わるため、個別の判断は契約や専門家に確かめてください。
個人データに触れない作業なら、確認は要りませんか
個人データの取扱いを委託しない場合は、第25条の監督の対象にならない場面もあります。ただし、作業の環境で個人データが見えてしまわないかは、先に確かめておきます。*1 個別の判断は、契約や専門家に確かめてください。
任せる作業が決まったら相談
外部人材に任せる作業と、触れるデータの範囲が分かっていれば、そのままご相談いただけます。確かめる項目の整理から迷っている段階でも構いません。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）（PDF）（https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf）。出典：個人情報保護委員会「ガイドライン（通則編）」委託先の監督（法第25条関係）。必要かつ適切な措置の3つ、監督を行っていない事例、再委託の注意、委託する業務に必要のない個人データを提供しないことを参照（確認日2026年10月15日）（2026年10月確認）
- *2 参考：一般財団法人日本情報経済社会推進協会（JIPDEC）「プライバシーマーク制度」（トップページ）（https://privacymark.jp/）。出典：JIPDEC「プライバシーマーク制度」トップページ。プライバシーマークの説明と、取得事業者が約17,000社以上であることを参照（確認日2026年10月15日）（2026年10月確認）
- *3 参考：JIPDEC「プライバシーマークとは」（https://privacymark.jp/system/about/index.html）。出典：JIPDEC「プライバシーマークとは」。JIS Q 15001に準拠した指針、付与が法人単位であること、有効期間2年を参照（確認日2026年10月15日）（2026年10月確認）
- *4 参考：JIPDEC「2025年度 個人情報の取扱いにおける事故報告集計結果」（PDF）（https://privacymark.jp/guideline/wakaru/g7ccig0000002vj1-att/2025JikoHoukoku_260915.pdf）。出典：JIPDEC「2025年度 個人情報の取扱いにおける事故報告集計結果」（2026年8月31日公表、9月15日更新）。報告事業者数と件数、原因別を参照（確認日2026年10月15日）（2026年10月確認）
- *5 参考：JIPDEC「プライバシーマーク付与事業者検索」（https://entity-search.jipdec.or.jp/pmark）。出典：JIPDEC「プライバシーマーク付与事業者検索」。有効期限を経過した事業者の扱い、表示情報の注記を参照（確認日2026年10月15日）（2026年10月確認）
- *6 参考：JIPDEC「措置の状況」（https://privacymark.jp/certification_info/rlist/index.html）。出典：JIPDEC「措置の状況」。取消しと一時停止の公表、最終更新日2026年10月1日を参照（確認日2026年10月15日）（2026年10月確認）
- *7 参考：e-Gov法令検索「個人情報の保護に関する法律」第25条（https://laws.e-gov.go.jp/law/415AC0000000057）。出典：個人情報の保護に関する法律（平成15年法律第57号）第25条（委託先の監督）（確認日2026年10月15日）（2026年10月確認）
- *8 参考：個人情報保護委員会「ガイドライン（通則編）」従業者の監督（法第24条関係）（PDF）（https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf）。出典：個人情報保護委員会「ガイドライン（通則編）」従業者の監督（法第24条関係）。従業者に派遣社員等が含まれることを参照（確認日2026年10月15日）（2026年10月確認）
