LASSIC Media らしくメディア
外部人材活用とセキュリティ審査、委託先の監督は3項目
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 施行規則は、指定の対象になる役務を利用者の数の平均で定めている：電気通信事業法第27条の5は、総務大臣が、総務省令で定める電気通信役務を提供する事業者を、特定利用者情報を適正に取り扱うべき事業者として指定することができるとしています。*1 施行規則第22条の2の20第1項は、その役務を、提供の開始時に料金の支払を要しないものは前年度の1か月あたりの利用者の数の平均が1,000万以上、要するものは500万以上と定めています。*2
- 委託先の監督として規程に書くのは、選定・契約・把握の3項目：施行規則第22条の2の22第1項第2号は、指定された事業者が総務大臣に届け出る情報取扱規程に書く委託先の監督として、委託先の選定の方法、委託契約において定める特定利用者情報の取扱い、委託先における特定利用者情報の取扱状況の把握の体制及び方法の3つを挙げています。*2
- 受託会社に直接の義務はなく、基準は委託元の規程の側にある：今回参照した条文は、受託会社に直接の義務を置いていません。義務がかかるのは指定された電気通信事業者で、情報取扱規程は総務大臣への届出、情報取扱方針は公表とされています。*1
※ 本記事は2026年9月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
利用者の多い通信サービスの開発を受託するとき、委託元が情報の扱いについて何を確かめるかは、委託元がどういう決まりの下にいるかで変わります。この記事は、そのうち電気通信事業法の特定利用者情報の決まりを取り上げます。
外部人材活用のセキュリティ審査という語は、条文にはありません。この記事でいう外部人材活用は、委託元から見て外部の会社や技術者が開発に加わることを指します。施行規則が委託先の監督として情報取扱規程に書かせる3つの項目を、委託元の手続きのどの場面で受託会社が関わるかを知る手がかりとして読みます。
今回読んだのは、電気通信事業法の第2条第7号、第27条の5、第27条の6第1項、第27条の7、第27条の8第1項、第27条の9と、電気通信事業法施行規則の第22条の2の20第1項、第22条の2の22第1項です。この記事でいう今回参照した条文は、この範囲を指します。地の文では条文の漢数字を算用数字で書き、引用の中は条文のままにします。
法第27条の6、第27条の8、第27条の9の義務がかかるのは、総務大臣に指定された電気通信事業者です。*1 自社が指定を受けていなければ、これらの義務は自社にはかかりません。この記事の読み手として想定するのは、指定を受けた事業者から、特定利用者情報を扱う仕事を受託する会社です。
目次
施行規則は、指定の対象になる役務を利用者の数の平均で定めている
電気通信事業法第27条の5は、総務大臣が、総務省令で定める電気通信役務を提供する電気通信事業者を、特定利用者情報を適正に取り扱うべき事業者として「指定することができる」としています。*1 その役務は、内容、利用者の範囲及び利用状況を勘案して、利用者の利益に及ぼす影響が大きいものとされています。*1 どの事業者が指定されているかの一覧は、今回参照した資料には載っていません。
特定利用者情報とは、その役務に関して取得する利用者に関する情報のうち、通信の秘密に該当する情報と、利用者を識別することができる情報であって総務省令で定めるものです。*1 通信の秘密に当たる情報の範囲も、後者の中身を定める施行規則の条も、今回は読んでいません。
施行規則第22条の2の20第1項は、法第27条の5の総務省令で定める電気通信役務を定めています。*2 提供の開始時に料金の支払を要しない役務は、前年度の1か月あたりの利用者の数の平均が1,000万以上のもの、提供の開始時に料金の支払を要する役務は500万以上のものです。*2 数える利用者は、法第2条第7号イに掲げる者に限られています。*1*2 イは役務の提供を受ける契約を締結する者などで、イに当たらずに提供を受ける同号ロの者は数に入らないことになります。どの役務の単位で数えるかは、施行規則が電気通信事業報告規則の表を引いて決めています。*2 その表は読んでいません。
指定された事業者は、情報取扱規程に委託先の監督を書く
法第27条の6第1項は、指定された電気通信事業者が、同項に挙げる事項に関する規程（情報取扱規程）を定め、「当該指定の日から三月以内に、総務大臣に届け出なければならない」としています。*1 三月以内とは、指定の日から3か月以内のことです。
法第27条の6第1項が挙げる事項は5つです。*1 第1号は漏えい、滅失または毀損の防止などに関する事項、第2号は委託先の監督、第3号は情報取扱方針の策定と公表、第4号は法第27条の9による評価、第5号はその他総務省令で定める事項です。*1
法第27条の6第1項第2号は「特定利用者情報の取扱いを第三者に委託する場合における当該委託を受けた者に対する監督に関する事項」です。*1 同項の号のうち、委託先について書いているのはこの号だけです。*1 特定利用者情報を扱わない仕事なら、この号が書く委託先には当たりません。個人情報の保護に関する法律など、ほかの法律の委託先の定めは今回参照していません。
委託先の監督として書くのは、選定・契約・把握の3項目
情報取扱規程の中身は施行規則第22条の2の22第1項が5つの号で定めていて、第1号から第4号までは、法第27条の6第1項の第1号から第4号までと同じ事項を書いています。*1*2 委託先の監督を書くのは施行規則第22条の2の22第1項第2号で、挙がっているのは、イ「委託先の選定の方法に関すること」、ロ「委託契約において定める特定利用者情報の取扱いに関すること」、ハ「委託先における特定利用者情報の取扱状況の把握の体制及び方法に関すること」の3つです。*2
| 施行規則の号 | 監督の相手 | 情報取扱規程に書く事項 |
|---|---|---|
| 第2号 | 委託を受けた者 | イ 委託先の選定の方法／ロ 委託契約において定める特定利用者情報の取扱い／ハ 委託先における特定利用者情報の取扱状況の把握の体制及び方法 |
| 第5号 | 特定利用者情報を取り扱う従事者 | 監督に関する事項。イやロのような細目は置かれていない |
イ・ロ・ハは、委託元が自分の規程に書く手続きの項目です。*2 受託会社のどこをどの基準で見るかは、今回参照した条文には書かれていません。受託会社から見れば、選定、契約、契約後の把握の3つの場面で委託元の手続きに関わる、という読み方になります。漏えいの防止などを定める第1号の事項まで委託先に求められるかも、条文からは決まりません。
施行規則第22条の2の22第1項第5号は、これとは別に「特定利用者情報を取り扱う従事者に対する監督に関する事項」を挙げています。*2 従事者が誰を指すかは、今回参照した条文には書かれていません。受託会社の技術者が委託元のチームに加わって働く場合に、委託元の規程で従事者として扱われるかどうかも、条文からは決まりません。
指定のあとは、毎事業年度の評価と、総務大臣の命令の定めがある
法第27条の9第1項は、指定された電気通信事業者に「毎事業年度、特定利用者情報の取扱いの状況について評価を実施しなければならない」としています。*1 同条第2項は、その事業者は、評価の結果に基づき、必要があると認めるときは、情報取扱規程または情報取扱方針を変更しなければならないとしています。*1
法第27条の7は、総務大臣の命令を定めています。*1 第1項は、特定利用者情報の適正な取扱いを確保するため必要があると認めるときに、指定された事業者に情報取扱規程の変更を命ずることができるとし、第2項は、情報取扱規程を遵守していないと認めるときに、利用者の利益を保護するために必要な限度において、遵守すべきことを命ずることができるとしています。*1
外部人材活用のセキュリティ審査で、受託会社が用意できること
今回参照した条文は、受託会社に直接の義務を置いていません。ここからは、受託会社が施行規則第22条の2の22第1項第2号でいう委託を受けた者に当たる場合を前提にした、この記事の読み方です。
1つめは、選定の段階で何を見られるかを先に聞くことです。イは委託先の選定の方法を規程に書くとしています。*2 法第27条の8第1項が情報取扱方針の事項として挙げるのは、取得する特定利用者情報の内容、利用の目的及び方法、苦情や相談の連絡先などです。*1 その第1号から第4号までに委託先の選定の方法は挙がっていないので、公表された方針から選定の方法を知ることはできません。第5号のその他総務省令で定める事項は、今回読んでいません。
2つめは、委託契約の条項を契約前に読むことです。ロは委託契約において定める特定利用者情報の取扱いを規程に書くとしています。*2 再委託を認めるかどうかは、条文からは分かりません。受託した開発にさらに外部の技術者を加える予定があるなら、その扱いを契約書で確かめることになります。
3つめは、契約後の確認に応じる準備です。ハは委託先における取扱状況の把握の体制及び方法を規程に書くとしています。*2 その方法が報告を求める形か、確認に来る形かは条文からは分からないので、受託会社の側でも取扱いの記録を残しておくことになります。
ただし、これらを用意しても委託元のセキュリティ審査を通るとは限りません。規程は届出で、今回参照した条文に公表の定めはないので、何をもって足りるとするかは契約の相談の中で委託元に確かめることになります。
同じ電気通信事業法のうち、電気通信主任技術者の選任が自社に及ぶかどうかは、記事「電気通信主任技術者の選任義務は自社に及ぶのか」で扱っています。
まとめ：委託先の監督は、選定・契約・把握の3項目
今回参照した条文から読み取れることは5つです。第一に、電気通信事業法第27条の5は、総務省令で定める役務を提供する事業者を、総務大臣が指定することができるとしています。*1 第二に、施行規則第22条の2の20第1項は、その役務を、提供の開始時に料金の支払を要しないものは前年度の1か月あたりの利用者の数の平均が1,000万以上、要するものは500万以上と定め、数える利用者を法第2条第7号イの者に限っています。*1*2 第三に、指定された事業者は情報取扱規程を届け出て、情報取扱方針を公表しなければならず、規程の事項に委託先の監督が入っています。*1 第四に、施行規則は委託先の監督の中身を、選定の方法、委託契約で定める取扱い、取扱状況の把握の体制及び方法の3つとしています。*2 第五に、指定された事業者は毎事業年度に評価を行い、総務大臣は規程の変更や遵守を命ずることができます。*1 今回参照した条文に受託会社への直接の義務はなく、受託会社はまとめの4つめの3項目の場面で委託元の手続きに関わる、というのがこの記事の読み方です。
よくある質問
自社は指定を受けていません。この記事の内容は関係ありますか
法第27条の6、第27条の8、第27条の9の義務がかかるのは、指定された電気通信事業者です。*1 自社が指定を受けていなければ、これらの義務は自社にはかかりません。関わるのは、指定を受けた事業者から特定利用者情報の取扱いを受託する場合です。これはこの記事の読み方です。
利用者数1,000万（有料の役務は500万）の線は、登録者数で数えるのですか
条文が数えるのは、前年度の1か月あたりの、その役務の提供を受けた利用者の数の平均です。*2 登録の累計という書き方ではありません。数える利用者は法第2条第7号イに掲げる者に限られています。*1*2 利用規約に同意して使い始めた人がイに当たるかと、どの役務の単位で数えるかを決める電気通信事業報告規則の表は、今回参照した範囲に入っていません。
受託会社の技術者は、施行規則の第2号と第5号のどちらで監督されますか
施行規則第22条の2の22第1項は、第2号で委託を受けた者の監督を、第5号で特定利用者情報を取り扱う従事者の監督を、別に挙げています。*2 受託会社そのものは第2号の委託を受けた者に当たりえますが、その技術者が委託元の規程で第5号の従事者として扱われるかは、今回参照した条文には書かれていません。
受託した開発に外部の技術者を加えたいとき
委託元との契約で何を確かめるかを整理したうえで、参画してもらう役割を決めるところからご相談いただけます。
Remoguとリラシクなら、必要な期間と役割を決めたうえで、担当できる方をご提案します。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：電気通信事業法（昭和59年法律第86号）（e-Gov法令検索）（https://laws.e-gov.go.jp/law/359AC0000000086）。出典：電気通信事業法（昭和59年法律第86号）。第2条第7号（利用者）、第27条の5（指定）、第27条の6第1項（情報取扱規程）、第27条の7（変更命令等）、第27条の8第1項（情報取扱方針）、第27条の9（評価）の一次情報として参照（2026年9月確認）
- *2 参考：電気通信事業法施行規則（昭和60年郵政省令第25号）（e-Gov法令検索）（https://laws.e-gov.go.jp/law/360M50001000025）。出典：電気通信事業法施行規則（昭和60年郵政省令第25号）。第22条の2の20第1項（対象の役務）、第22条の2の22第1項（情報取扱規程の記載事項）の一次情報として参照（2026年9月確認）
