LASSIC Media らしくメディア
外部人材活用のセキュリティ審査｜委託元が確認する根拠と項目
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 指定の対象は、前年度の1か月あたりの利用者の数の平均が、無料のサービスなら1,000万以上、有料なら500万以上の役務です。
- 委託元が作る情報取扱規程には、委託先の監督として、選定の方法、委託契約での取扱い、契約後の取扱状況の把握の3項目を書きます。
- 義務がかかるのは指定された電気通信事業者で、受託会社をどう審査するかは、委託元が自社の規程で決めます。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
利用者の多い通信サービスの開発を受託したら、委託元から情報の扱いについて細かく確認された。何を求められているのか、その根拠がつかめない——。通信サービスの開発を受託する会社では、こうした戸惑いが起こりがちです。外部人材活用のセキュリティ審査とは、委託元が外部の会社や技術者を開発に加えるときに、利用者の情報の扱いを確かめる手続きのことです。
通信サービスの委託元が何を確かめるかは、委託元にどの法律が適用されるかで変わります。その一つが、電気通信事業法が定める特定利用者情報（通信サービスで扱う利用者の情報）の決まりで、委託先の監督として規程に書く項目が施行規則で3つに定められています。ただし、この決まりだけで審査の中身が分かるわけではなく、受託会社をどの基準で見るかまでは条文に書かれていません。本記事では、指定を受けた事業者から開発を受託する会社に向けて、決まりの仕組み、指定の対象、委託先の監督の3項目、指定のあとの手続き、そして受託会社が準備しておきたい点を整理します。
目次
特定利用者情報の決まりとは
電気通信事業法には、利用者の多い通信サービスを提供する事業者に、利用者の情報の扱い方を決めさせる定めがあります。第27条の5は、総務大臣が、総務省令で定める電気通信役務を提供する電気通信事業者を、特定利用者情報を適正に取り扱うべき事業者として「指定することができる」としています。*1 対象になるのは、利用者の利益に及ぼす影響が大きい役務です。
特定利用者情報とは、その役務で取得する利用者の情報のうち、通信の秘密に当たる情報と、利用者が誰かを見分けられる情報で総務省令が定めるものです。指定を受けた事業者は、この情報の扱いについて、社内の規程を作って届け出ること、方針を公表すること、毎事業年度に評価を行うことを求められます。
受託会社が関わるのは、指定を受けた事業者から特定利用者情報を扱う仕事を受託するときで、委託元が自社の規程に沿って委託先を選び、契約を結び、契約後の扱いを確かめる場面です。受託会社から見たセキュリティ審査は、この一連の手続きにあたります。
どんな事業者が指定されるのか
指定の対象になる役務は、施行規則第22条の2の20第1項が利用者の数で定めています。*2 提供の開始時に料金の支払を要しない役務は、前年度の1か月あたりの利用者の数の平均が1,000万以上のもの、料金の支払を要する役務は500万以上のものです。
数える利用者は、法第2条第7号イに掲げる者、つまり役務の提供を受ける契約を締結する者などに限られます。イに当たらずに提供を受ける人（同号ロ）は数に入りません。
どの事業者が指定されているかの一覧は、条文には載っていません。委託元が指定を受けているかどうかは、受託の相談の段階で委託元に尋ねるのが確実です。指定を受けていない委託元であれば、ここで扱う決まりによる委託先の監督はかかりません。
情報取扱規程とは
指定された電気通信事業者は、法第27条の6第1項により、同項に挙げる事項に関する規程（情報取扱規程）を定め、指定の日から3か月以内に総務大臣に届け出なければなりません。*1 情報の扱い方を、社内の決まりとして文書にするということです。
規程に書く事項は5つあります。第1号は漏えい、滅失または毀損（なくしたり壊したりすること）の防止などに関する事項、第2号は委託先の監督、第3号は情報取扱方針の策定と公表、第4号は毎事業年度の評価（法第27条の9）、第5号はその他総務省令で定める事項です。5つのうち、委託先について書いているのは第2号だけで、条文は「特定利用者情報の取扱いを第三者に委託する場合における当該委託を受けた者に対する監督に関する事項」としています。*1
そのため、特定利用者情報を扱わない仕事であれば、この号でいう委託先には当たりません。受託する仕事が利用者の情報に触れるかどうかが、委託元の審査の対象になるかを分ける最初の点です。なお、個人情報の保護に関する法律など、ほかの法律の委託先の定めは、ここでは扱いません。
委託先の監督の3項目
情報取扱規程の中身は、施行規則第22条の2の22第1項が5つの号で定めています。委託先の監督を書くのは第2号で、次の3つが挙がっています。*2
- イ「委託先の選定の方法に関すること」
- ロ「委託契約において定める特定利用者情報の取扱いに関すること」
- ハ「委託先における特定利用者情報の取扱状況の把握の体制及び方法に関すること」
| 施行規則の号 | 監督の相手 | 情報取扱規程に書く事項 |
|---|---|---|
| 第2号 | 委託を受けた者 | イ 委託先の選定の方法／ロ 委託契約において定める特定利用者情報の取扱い／ハ 委託先における特定利用者情報の取扱状況の把握の体制及び方法 |
| 第5号 | 特定利用者情報を取り扱う従事者 | 監督に関する事項。イやロのような細かい項目は置かれていない |
3つを受託会社の側から並べ直すと、委託先として選ばれるとき、委託契約を結ぶとき、契約のあとで情報の扱いを確かめられるとき、の3つの場面になります。いずれも委託元が自分の規程に書く手続きの項目で、受託会社のどこをどの基準で見るかは、条文には定められていません。漏えいの防止などを定める第1号の事項を委託先にどこまで求めるかも、条文には定められていません。
第5号は、これとは別に、特定利用者情報を取り扱う従事者の監督を挙げています。*2 受託会社の技術者が委託元のチームに加わって働くときに、第2号と第5号のどちらで扱われるかは、委託元に確かめておきたい点です。
指定のあとに続く手続き
規程を届け出たあとも手続きは続きます。法第27条の9第1項は、指定された電気通信事業者に「毎事業年度、特定利用者情報の取扱いの状況について評価を実施しなければならない」としています。*1 同条第2項により、その事業者は、評価の結果に基づき、必要があると認めるときは、情報取扱規程または情報取扱方針を変更しなければなりません。
総務大臣の命令の定めもあります。法第27条の7第1項は、特定利用者情報の適正な取扱いを確保するため必要があると認めるときに、情報取扱規程の変更を命ずることができるとしています。*1 第2項は、事業者が情報取扱規程を遵守していないと認めるときに、利用者の利益を保護するために必要な限度において、遵守すべきことを命ずることができるとしています。
外部人材活用のセキュリティ審査への備え
3つの場面ごとに、受託会社の側で準備できることを整理します。条文が受託会社に求めているものではなく、委託元の手続きに応じやすくするための備えです。
選定の場面では、何を見られるかを先に委託元に聞いておきます。情報取扱規程は総務大臣に届け出るもので、条文に公表の定めはありません。公表される情報取扱方針は、法第27条の8第1項が事項を挙げていて、取得する特定利用者情報の内容、利用の目的及び方法、苦情や相談の連絡先などが入っていますが、第1号から第4号までに委託先の選定の方法は挙がっていません。*1 公表された方針から選定の方法を知るのは難しいので、委託元に直接尋ねることになります。
契約の場面では、委託契約の条項を契約前に読みます。委託元の規程には、委託契約で定める情報の取扱いが書かれます。受託した開発にさらに外部の技術者を加える予定があるなら、再委託の扱いを契約書で確かめておきます。再委託を認めるかどうかは、条文には書かれていないためです。
契約のあとの場面では、委託元の確認に応じる準備をしておきます。委託元の規程には、契約後に委託先の取扱状況をどう把握するかが書かれます。報告を求められるのか、委託元が確認に来るのかは委託元の規程によるので、受託会社の側でも取扱いの記録を残しておくと応じやすくなります。
同じ電気通信事業法のうち、電気通信主任技術者の選任が自社に及ぶかどうかは、記事「電気通信主任技術者の選任義務は自社に及ぶのか」で扱っています。
つまずきやすい点
一つ目は、自社にも同じ義務がかかると思い込むことです。規程の届出、方針の公表、毎事業年度の評価の義務がかかるのは、総務大臣に指定された電気通信事業者です。自社が指定を受けていなければ、これらの義務は自社にはかかりません。受託会社に求められるのは、委託元の手続きに応じることです。
二つ目は、準備を整えれば審査を通ると考えることです。どこまで準備すれば十分かは委託元の規程で決まり、その規程は公表されるものではありません。ここまで挙げた準備をしても委託元の審査を通るとは限らないので、契約の相談の中で、委託元に基準を確かめておきます。
三つ目は、特定利用者情報に触れるかどうかを確かめないまま話を進めることです。この決まりで委託先に当たるのは、特定利用者情報の取扱いを委託される場合です。受託する仕事で利用者の情報を扱うのか、扱うならどの情報かを最初に委託元とすり合わせておくと、その後の手続きの見通しが立ちます。
まとめ：委託先の監督で確かめておきたい3つの点
外部人材活用のセキュリティ審査に備えるうえで、確かめておきたい点は3つに整理できます。第一に、委託元が総務大臣の指定を受けた電気通信事業者か、受託する仕事が特定利用者情報に触れるかを確かめること。第二に、委託先の選定の方法、委託契約で定める取扱い、取扱状況の把握の3項目に沿って、それぞれの場面で何を求められるかを委託元に聞くこと。第三に、再委託の扱いを契約書で確かめ、取扱いの記録を残して契約後の確認に備えることです。この3点を踏まえておけば、「受託が決まってから、委託元が求める確認に応じられないと気づいた」という事態を避けやすくなります。委託元との手続きや、開発に加わる技術者の役割の決め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
利用者の数の1,000万（有料の役務は500万）は、登録者の累計で数えるのですか
条文が数えるのは、前年度の1か月あたりの、その役務の提供を受けた利用者の数の平均です。*2 登録の累計という書き方ではありません。利用規約に同意して使い始めた人が法第2条第7号イの者に当たるかどうかは、どの役務の単位で数えるかを決める電気通信事業報告規則の表とあわせて確かめる必要があります。
受託会社の技術者は、施行規則の第2号と第5号のどちらで監督されますか
施行規則第22条の2の22第1項は、第2号で委託を受けた者の監督を、第5号で特定利用者情報を取り扱う従事者の監督を、別に挙げています。*2 受託会社そのものは第2号の委託を受けた者に当たりえますが、その技術者が委託元の規程で第5号の従事者として扱われるかは、条文には書かれていません。契約の前に、委託元の規程での扱いを尋ねておきます。
委託元の規程が変わったら、委託契約も見直すことになりますか
指定された事業者は、毎事業年度の評価の結果、必要があると認めるときは情報取扱規程を変更しなければなりません。*1 委託契約で定める取扱いは規程の項目の一つなので、規程が変われば契約の条項に影響することがあります。契約が長く続く仕事では、規程が変わったときの知らせ方と見直しの手順を、契約の段階で決めておくと進めやすくなります。
受託した開発に外部の技術者を加えたいとき
委託元との契約で何を確かめるかを整理したうえで、参画してもらう役割を決めるところからご相談いただけます。
Remoguとリラシクなら、必要な期間と役割を決めたうえで、担当できる方をご提案します。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：電気通信事業法（昭和59年法律第86号）（e-Gov法令検索）（https://laws.e-gov.go.jp/law/359AC0000000086）。出典：電気通信事業法（昭和59年法律第86号）。第2条第7号（利用者）、第27条の5（指定）、第27条の6第1項（情報取扱規程）、第27条の7（変更命令等）、第27条の8第1項（情報取扱方針）、第27条の9（評価）の一次情報として参照（2026年9月確認）
- *2 参考：電気通信事業法施行規則（昭和60年郵政省令第25号）（e-Gov法令検索）（https://laws.e-gov.go.jp/law/360M50001000025）。出典：電気通信事業法施行規則（昭和60年郵政省令第25号）。第22条の2の20第1項（対象の役務）、第22条の2の22第1項（情報取扱規程の記載事項）の一次情報として参照（2026年9月確認）
