個人データの取り扱いを委託する場合、委託元には委託先を「監督」する義務があります。具体的には、①適切な委託先を選ぶ、②契約で安全管理の内容を決める、③取り扱いの状況を定期的に確認するの3つです。委託先で事故が起きても、利用者から見れば委託元の事故です。
確認する項目
| 段階 | 確認すること |
|---|---|
| 選ぶとき | 認証（ISMS・Pマークなど）、事故の履歴、多要素認証やログの管理、再委託の有無 |
| 契約するとき | 安全管理の内容、再委託の条件、事故時の報告期限、監査の権利、契約終了時のデータ削除（契約書のポイント） |
| 委託中 | 定期的な報告・チェックシート、預けたデータの範囲の見直し、アカウントの棚卸し |
預けるデータは最小限に：使い終わったデータを委託先のシステムに残したままにしない、必要な項目だけを渡す、といった工夫で、事故が起きたときの影響を小さくできます。