「委託先の監督」という言葉を見て、多くの中小企業の方がまず思うのは、「うちは個人情報の処理を外に出していないから、関係ないな」ということです。データ入力を外注しているわけでもない、名簿を渡している相手もいない。だったら自分の話ではない、と読み飛ばす。
実際、そう答えている会社がほとんどです。個人情報保護委員会が従業員100人以下の事業者1万7,000先に行った実態調査（回収3,821件）では、個人データの取扱いを外部に委託していると答えたのは9.2%（350者）で、84.1%が「していない」と答えています（出典：個人情報保護委員会「中小規模事業者における個人情報等の安全管理措置に関する実態調査」）。10社のうち9社は、自分は委託していないと考えている、ということです。
ところが、採用の場面を思い浮かべてみると、応募者の情報は意外なほど外に出ています。採用管理ツールやクラウドの応募フォーム、給与や社会保険の手続きをお願いしている社労士事務所、求人媒体の管理画面、応募書類を送る宅配便、書類を処分してもらう溶解処理の業者。このうちのどれが「委託」で、どれが違うのか。そして委託だったとき、何をすれば監督したことになるのか。この記事では、そこを法律の原文とガイドラインの記述に当たりながら、採用の場面だけに絞って整理します。
先に結論めいたことを言っておくと、国のガイドラインが「しなければならない」という強い言葉で書いているのは、契約書でも監査でもなく、契約より前の一手です。そして多くの会社が抜かしているのが、ちょうどそこです。
そもそも、どれが「委託」に当たるのか
最初に線を引きます。ここを間違えると、必要のない相手に契約書を作り直させ、本当に監督すべき相手を素通りしてしまいます。
判断の基準は、渡したデータの中身でも、契約書の題名でもありません。個人情報保護委員会のガイドラインQ&Aは、クラウドサービスを例にこう書いています。
クラウドサービスの利用が、本人の同意が必要な第三者提供（法第27条第1項）又は委託（法第27条第5項第1号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。
（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドラインに関するQ&A」 Q7-53）
つまり、相手がその個人データを「取り扱うことになっているか」。サーバーに置いてあるかどうかではなく、相手方がその中身に触れる建て付けになっているかどうかで決まります。同じQ&Aは、取り扱わないこととなっている場合を「契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等」と説明しています。
この基準を、採用でよく出てくる相手に当ててみます。
採用管理ツール・応募フォームのサービス
多くは委託に当たります。応募者の氏名や連絡先をサービス側のサーバーで預かり、検索や自動返信といった処理をしている以上、相手は個人データを取り扱っています。逆に、契約条項で「当社は保存されたデータを取り扱わない」と定められ、アクセス制御もされている純粋なストレージ的サービスであれば、委託には当たりません。
ただし、当たらなかったからといって手が離れるわけではない、というのが同じQ&Aの続きです。
クラウドサービスの利用が、法第27条の「提供」に該当しない場合、法第25条に基づく委託先の監督義務は課されませんが、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります。（Q7-54）
監督義務が消えても、自社の安全管理措置の話として残ります。どちらに転んでも、置きっぱなしにはできないということです。
社労士事務所・給与計算の外注
委託に当たります。入社手続きのために採用者の情報を渡し、相手がそれを使って手続きをする。典型的な「個人データの取扱いの委託」です。顧問契約という長い付き合いの中にあるので意識から外れがちですが、契約の形態や種類は関係ありません。
求人媒体・人材紹介会社
ここは性格が違います。求人媒体や人材紹介会社は、こちらの指示で応募者情報を処理している下請けではなく、自分の事業として求職者の情報を集めて扱っている相手です。
このことは職業安定法の条文にはっきり出ています。同法第5条の5は、求職者等の個人情報を扱う際の義務の主体として「公共職業安定所、特定地方公共団体、職業紹介事業者及び求人者、労働者の募集を行う者及び募集受託者、特定募集情報等提供事業者並びに労働者供給事業者及び労働者供給を受けようとする者」を並べています（e-Gov 法令データより条文を確認）。求人を出す会社（求人者）と、媒体側（特定募集情報等提供事業者）は、それぞれが別々に義務を負う者として名指しされているわけです。厚生労働省の指針でも、個人情報の適正な管理について「職業紹介事業者等」「求人者」「特定募集情報等提供事業者」等が並列で挙げられています（新潟労働局「求職者等の個人情報の取扱いに関する指針」）。
したがって、媒体の管理画面に応募者情報が溜まっていることをもって「うちが媒体を監督しなければ」と考える必要は、通常はありません。ただしこれは裏返すと、媒体の中の情報は媒体のルールで動いているということでもあります。誰が管理画面のIDを持っているか、辞めた人のIDが残っていないか——そこは自社の安全管理措置の側の話として残ります。
宅配便・郵送
委託ではありません。Q&Aはこう書いています。
配送事業者は、通常、配送を依頼された中身の詳細については関知しないことから、当該配送事業者との間で特に中身の個人データの取扱いについて合意があった場合等を除き、当該個人データに関しては取扱いの委託をしているものではないものと解されます。（Q6-23）
ところが、同じQ&Aはこう続けます。誤配送で漏えいが起きたときに報告義務を負うのは、配送事業者ではなく、配送事業者を利用した側だと。応募書類を返送した封筒が違う住所に届いた場合、動くのはこちらです。「委託ではない」と「こちらの責任ではない」は、まったく別のことだという例として、覚えておく価値があります。
国が「しなければならない」と書いているのは、実は1か所
線引きができたら、委託に当たる相手に何をするか、です。根拠は個人情報保護法第25条で、条文自体は短いものです。
第25条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
この「必要かつ適切な監督」を、ガイドライン通則編の3-4-4が3つに分けています（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 54〜56ページ）。ここを、多くの解説が「3要素があります」とだけ紹介して終わるのですが、3つの語尾が違うことのほうが実務では大事です。
| | 内容 | ガイドラインの語尾 | |---|---|---| | （1）適切な委託先の選定 | 別添「講ずべき安全管理措置の内容」の各項目が、委託する業務内容に沿って確実に実施されることを確認する | あらかじめ確認しなければならない | | （2）委託契約の締結 | 双方が同意した安全管理措置と、取扱状況を委託元が合理的に把握することを契約に盛り込む | 盛り込むことが望ましい | | （3）取扱状況の把握 | 定期的な監査等で実施の程度を調査し、委託内容の見直しも含めて評価する | 適切に評価することが望ましい |
契約書や監査のほうが「ちゃんとやっている感」はあるのですが、唯一「しなければならない」と書かれているのは（1）の、契約を結ぶ前の確認です。
そして実態調査の数字を並べると、抜けているのもちょうどそこでした。委託していると答えた350者のうち、委託先の選定にあたって事前に調査を行っているのは40.0%（140者）、契約締結後に取扱状況の監督を行っているのは23.1%（81者）です。いちばん強い言葉で書かれている入口が、6割方すり抜けている計算になります。
「うちと同じ水準を求めるなんて無理」は、求められていない
ここで身構える方が多いので、ガイドラインの注記を2つ引いておきます。
ひとつ目。
委託元が法第23条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第23条が求める水準の安全管理措置を講じれば足りると解される。（3-4-4 ※2）
ふたつ目が、中小企業には決定的です。
委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。（3-4-4 ※3）
国のガイドラインが、口頭で確認することを合理的な方法の例として名指ししているのです。監査チームも、チェックシートの往復も、前提にはなっていません。営業担当者に電話で聞いて、聞いた内容と日付を1行メモに残す。それで（1）の形は作れます。
何を聞けばいいかは、自分で考えなくていい
（1）の条文をもう一度よく読むと、確認する項目まで指定されています。「『10（（別添）講ずべき安全管理措置の内容）』に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない」。
この別添は、個人情報の安全管理措置を中小企業が採用書類でどう満たすかで扱った、組織的・人的・物理的・技術的の4分類の表です。つまり、自社のために作った点検表が、そのまま委託先に聞く項目になる。聞くことを新しく考える必要はありません。
記入例として、採用管理ツールの担当者に送る確認の文面を、よくある形と直した形で並べます（いずれも架空の記入例です）。
Before
お世話になっております。貴社サービスのセキュリティ体制について、資料があればいただけますでしょうか。
これだと、立派なセキュリティ資料のPDFが届いて、読み切れずに終わります。確認したことの記録にもなりません。
After
お世話になっております。当社は個人情報保護法第25条の委託先の監督として、ご契約前に以下を確認させていただいております。差し支えのない範囲で、口頭またはメールでご回答いただけますと幸いです。
1. 当社が登録した応募者情報に、貴社側で誰がアクセスできますか（担当者のみか、運用部門全体か）
2. 応募者情報の取扱いについて、貴社の従業者への教育・秘密保持の取り決めはありますか
3. 当社の契約が終了したあと、預けた応募者情報はいつ・どのように削除されますか
4. 応募者情報の保存やバックアップを、他社（クラウド事業者等）に再委託していますか。している場合は社名をお教えください
5. 漏えい等が起きたとき、当社の誰に・何時間以内にご連絡いただけますか
5つとも、別添の4分類（組織的・人的・物理的・技術的）と、このあと触れる再委託・報告の線に対応しています。回答をもらったら、日付と回答者名を添えてファイルに1枚残す。ここまでが（1）です。
委託先が小さい会社でも、「中小規模事業者」の軽い手法は使えない
もうひとつ、知っておくと相手との話が早くなる点があります。
ガイドライン別添は、従業員100人以下の事業者を「中小規模事業者」として、より簡便な手法の例を示しています。ところがその定義には、除外がふたつ付いています。
（※2）「中小規模事業者」とは、従業員の数が100人以下の個人情報取扱事業者をいう。ただし、次に掲げる者を除く。
・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者
・委託を受けて個人データを取り扱う者
ふたつ目です。委託を受ける側に回った時点で、従業員数にかかわらず中小規模事業者の簡便な手法は使えません。少人数の事務所でも、他社から預かって取り扱っている個人データについては、通常の手法が前提になります。
これは相手を責める材料ではなく、話の前提の共有として使えます。「お互い小さい会社だから、そこはお互いさまで」という落とし所が、少なくとも法律の建て付けの上では成り立たない、ということです。
契約書は「望ましい」。ただし、書かないと把握のしようがない
（2）の契約は、ガイドラインの語尾としては「望ましい」です。とはいえ、書かないと（3）の把握が空文になります。盛り込む中身は、条文がそのまま示しています。
委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。（3-4-4（2））
ここで、個人情報保護委員会が出している1枚もののリーフレットに、身も蓋もない注意書きがあります。
一般的な業務委託契約にはセキュリティに関する項目が含まれていないことが多いので、確認の上、セキュリティ対策を盛り込む必要があります。
社労士事務所の顧問契約書、採用管理ツールの利用規約、書類処分業者の申込書。いま手元にあるものを開いて、個人情報とセキュリティの条項を探してみてください。守秘義務の一文はあっても、安全管理措置の中身や、こちらが取扱状況を把握できることまで書いてあるケースは多くありません。
契約書を丸ごと作り直す必要はなく、覚書を1枚足せば足ります。記入例です（架空の文面です）。
個人情報の取扱いに関する覚書（抜粋・記入例）
第○条 乙は、甲から取扱いを委託された個人データについて、個人情報の保護に関する法律第23条に定める安全管理措置を講じる。
第○条 乙は、前条の措置の実施状況について、甲の求めに応じて書面または口頭により報告する。
第○条 乙は、本件業務の全部または一部を第三者に再委託する場合、あらかじめ甲に書面により報告し、承諾を得る。
第○条 乙は、個人データの漏えい、滅失または毀損が生じ、もしくはそのおそれを認識したときは、速やかに甲の担当者（担当：○○／連絡先：○○）に通知する。
再委託は、見ていないと自社の違反になり得る
上の3つ目、再委託の条項は飾りではありません。ガイドラインは、再委託について委託元が事前報告を受けるか承認することを求めたうえで、注記でこう書いています。
委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。（3-4-4 ※4）
さらに「委託を受けた者に対して必要かつ適切な監督を行っていない事例」として、契約に再委託の把握が盛り込まれていたのに報告を求めず、委託元の認知しない再委託が行われて漏えいした場合、が挙げられています。
実態調査では、委託先が再委託をしているかどうかについて「把握していない」が38.0%（133者）で、「再委託している」14.0%、「再委託していない」29.7%を上回りました。いちばん多い答えが「分からない」だったということです。先ほどの確認項目の4番目を入れておくだけで、この欄は埋まります。
何か起きたとき、委員会に報告するのは「こちら」
最後が、いちばん誤解されているところです。
委託先で漏えいが起きたら、報告するのは委託先だろう——と考えるのが自然ですが、ガイドラインは逆のことを書いています。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。（3-5-3-2）
そして、委託先が委託元に通知すれば委託先の報告義務は免除されますが、そのときどうなるかというと——
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。（3-5-3-5）
つまり、多くの場合、個人情報保護委員会に報告するのはこちらです。加えて法第26条第2項により、本人への通知も必要になります。採用の文脈では、その「本人」は応募してくれた方々全員です。
ここで実態調査の、いちばん重い数字を引きます。委託先で漏えい等が起きた場合の対応について、最も多かった回答は「何かあれば委託先から連絡があると思うので特にルール等は決めていない」で9.1%（346者）。一方、「委託先と漏えい等事案の発生時のルールを決めている」は1.2%（47者）、「休日等も含めた緊急時における委託先との連絡体制を整えている」は1.4%（55者）でした。
連絡が来る前提で待っている側が、実は報告する側だった。この順番の食い違いが、この論点のいちばんの落とし穴です。
決めることは多くありません。誰が・どこに・何時間以内に連絡するかを1行、覚書か、せめてメールのやりとりに残しておく。土日に起きたらどうするかまで書ければ十分です。
なお、漏えい等が起きたあとに何をするかの全体像は、個人情報の安全管理措置を中小企業が採用書類でどう満たすかの後半で、速報（概ね3〜5日以内）と確報（30日以内）の期限まで整理しています。
今日やるなら、この順番で
一度に全部やろうとすると止まるので、3つに絞ります。
1つ目、書き出す。 採用に関わる相手を紙に並べます。採用管理ツール、応募フォーム、社労士、求人媒体、人材紹介、宅配便、書類処分。それぞれについて「何を渡しているか」と「相手がその中身を取り扱うことになっているか」を1行ずつ。ここで委託かどうかが決まります。
2つ目、委託に当たる相手に、契約前の確認をする。 先ほどの5項目を、口頭でもメールでも構わないので聞いて、日付と回答者名つきで残す。すでに使っている相手なら、次の更新の前でも構いません。ガイドラインが「しなければならない」と書いているのはここです。
3つ目、連絡の線を1本決める。 何かあったとき、相手の誰から、こちらの誰に、いつまでに連絡が来るのか。これを決めておくと、報告するのが自分だと分かったときに動けます。
（3）の定期的な監査は「望ましい」に留まる項目です。年に1回、更新のタイミングで同じ5項目をもう一度聞く。それを監査と呼んで差し支えありません。
やりがちなNG
秘密保持契約を結んでいるから安心だと思っている（守秘義務と安全管理措置は別のものです）。採用管理ツールの営業資料に「セキュリティ万全」と書いてあったので確認した気になっている。契約書は作ったが、何を確認したかの記録が残っていない。再委託の有無を聞いたことがない。漏えいが起きたときの連絡先が「担当の営業さん」しか分からない。管理画面のIDを、辞めた人の分も含めて共用している。応募書類を宅配便で送るとき、中身と宛先の確認を誰もしていない。——どれも、起きてから直すには重い項目ばかりです。
自分の求人は、どこでつまずくか
ここまでは、集めたあとの情報をどう扱うかの話でした。一方で、そもそも応募が来なければこの悩みも発生しません。応募者の情報を預ける仕組みを整えることと、応募そのものを増やすことは、別々に手を打てます。
なお、集めた情報をめぐる論点は、この記事のほかにも整理しています。選考が終わったあとの書類をいつまで持つかは不採用者の応募書類の返却・廃棄と保管期間、本人から開示や消去を求められたときの手順は応募者からの個人情報の開示請求への対応、そもそも集めてよい情報の線引きは面接で聞いてはいけないことと採用で住民票・戸籍謄本を提出させていいかにまとめています。
よくある質問（FAQ）
Q. 採用管理ツールを使っているだけでも「委託」になりますか？ A. サービス提供会社がこちらの応募者情報を取り扱うことになっているかどうかで決まります。検索や自動返信などの処理をサービス側で行っているなら、通常は委託に当たります。契約条項で「保存されたデータを取り扱わない」と定められ、アクセス制御もされている場合は委託に当たりませんが、その場合も自社の安全管理措置としてアクセス権の管理などは必要です（ガイドラインQ&A Q7-53・Q7-54）。
Q. 委託先を監査する余裕がありません。どうすればいいですか？ A. ガイドラインは、確認の方法の例として「個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）」を挙げています。電話で聞いて、聞いた内容と日付を記録に残す形でも、確認としての形は作れます。監査そのものは「望ましい」と書かれている項目です。
Q. 求人媒体の管理画面に応募者情報が入っていますが、媒体も監督の対象ですか？ A. 求人媒体（特定募集情報等提供事業者）は、職業安定法第5条の5で、求人者とは別に自ら義務を負う者として条文に並べられています。こちらの委託先として監督する関係とは通常異なります。ただし、管理画面のIDを誰が持っているか、退職者の分が残っていないかは、自社の安全管理措置の側の問題として残ります。
Q. 委託先が漏えいを起こしたら、報告するのは委託先ですか？ A. ガイドラインは「原則として委託元と委託先の双方が報告する義務を負う」としています。委託先がこちらに通知した場合、委託先の報告義務は免除され、通知を受けた委託元が報告することになります。加えて、本人（応募者）への通知も必要になります。まずは「誰から誰に何時間以内に連絡が来るか」を先に決めておくのが実務的です。
Q. 社労士事務所は専門職なので、こちらが確認するのは失礼にあたりませんか？ A. 法律上、委託元には確認が求められています。むしろ、専門職の事務所ほど同じ質問を他社からも受けているため、答えは用意されていることが多いです。「法第25条の確認としてお伺いしています」と目的を添えて聞けば、やりとりは短く済みます。なお、委託を受けて個人データを取り扱う事業者は、従業員数にかかわらずガイドライン別添の「中小規模事業者」の簡便な手法の対象から除かれています。
この記事は、中小企業の採用運用を支援する SaishiLu（運営：株式会社プラスメイト）が作成しています。本文中の条文・ガイドラインの引用および統計値は、個人情報保護委員会および厚生労働省の公表資料に基づきます。個別の事案の判断については、所管の窓口や専門家にご確認ください。