>
>
公開日
法務から「改正個人情報保護法に合わせて、委託先の点検をしてほしい」と頼まれたとき、情シスが最初に迷うのは「どのSaaSが委託先に当たるのか」です。人事労務、顧客管理、メール配信、オンラインストレージなど、個人データが入っているSaaSはいくつもあります。ところが、SaaSを使っていれば必ず委託に当たるわけではなく、対象の見極めを誤ると、点検の手間ばかり増えて肝心の委託先が漏れます。
本記事では、個人情報保護委員会のガイドライン・Q&A・注意喚起と、改正法に関する公表資料をもとに、SaaSベンダーを含む委託先管理の進め方を整理しました。委託に当たるかの判定、台帳に持つ項目、契約とチェックシートの点検項目、年次点検の回し方まで、情シスの作業の順に解説します。
委託先の監督（第25条）は今も委託元の義務です。改正では、委託先自身にも「委託された業務の範囲を超えて扱ってはならない」義務が明文化されます
SaaSの利用が委託に当たるかどうかは、データに個人データが含まれるかではなく、SaaS事業者が個人データを取り扱うことになっているかで判断します
対象を見極めるには、利用中のSaaSを全量把握し、個人データの有無と契約内容を台帳にまとめるところから始めます
※本記事は2026年10月26日時点の個人情報保護委員会の公表資料に基づく整理であり、法律の解釈を示すものではありません。自社への当てはめは、法務部門や弁護士にご確認ください。改正法の政令・規則・ガイドラインの公表に合わせて内容を更新します。
委託先管理とは｜委託元の監督義務と、改正で加わる委託先の義務
委託先管理とは、個人データの取扱いを外部に任せるときに、委託先でも自社と同じ水準で安全管理が行われるよう監督する作業です。この義務は現行法から委託元にあり、改正後は委託先にも直接の義務が加わります。
現行法で委託元に求められていること
個人情報保護法第25条は、個人データの取扱いの全部または一部を委託する場合に、委託先に対して必要かつ適切な監督を行うよう委託元に求めています。ガイドライン（通則編）では、自社が講じるべき安全管理措置と同等の措置が委託先でも講じられるよう監督することとされ、具体的には次の3つの段階で整理されています。
段階 | ガイドラインが示す内容 | 情シスが関わる作業の例 |
|---|---|---|
委託先の選定 | 委託先の安全管理措置が、委託する業務に沿って確実に実施されることを事前に確認する | セキュリティチェックシートの回収、第三者認証の確認 |
委託契約の締結 | 安全管理措置など双方が合意した内容を契約に盛り込む。委託先での取扱状況を委託元が把握できる内容を入れることが望ましい | 利用規約・データ処理に関する契約の技術面の確認 |
取扱状況の把握 | 定期的な監査などで契約内容の実施状況を確かめ、委託内容の見直しも含めて評価することが望ましい | 年次点検、ログや報告書の確認、是正の記録 |
監督の範囲には再委託も含まれます。委託元が必要かつ適切な監督を行っていない状況で、再委託先が不適切な取扱いをした場合、元の委託元の法違反と判断され得るとガイドラインに書かれています。
改正で加わる委託先側の義務
令和8年改正法では、委託を受けた事業者に対して、委託された業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない義務が明文化されます（第30条の3）。例外は、法令に基づく場合と、人命の救助など緊急の必要がある場合です。これまでもガイドラインで「委託先は委託された業務以外に個人データを取り扱えない」と解されてきましたが、改正後は委託先自身が法律上の義務を負い、委員会の監督の対象になります。
あわせて、委託契約で取扱いの方法などを定め、その範囲で取り扱う委託先については、個人情報取扱事業者としての義務を原則として免除する特例が設けられます（第58条の2）。この場合も、業務の範囲を超えて取り扱わない義務と、安全管理に関する義務は免除されません。
委託元の立場で押さえておきたいのは、改正後も第25条の監督義務がそのまま残ることです。一方で、委託先が特例を使おうとすれば、契約に定める事項について委託先から見直しを打診される可能性があります。改正法の全体像と施行までのスケジュールは、改正個人情報保護法の施行スケジュールと情シスの準備で整理しています。
SaaSの利用は「委託」に当たるのか｜3つに分けて判定する
SaaSの利用が委託に当たるかどうかは、SaaS事業者が自社の個人データを取り扱うことになっているかで決まります。利用中のSaaSを「個人データを入れていない」「入れているが事業者は取り扱わない」「事業者が取り扱う」の3つに分けると、点検の対象が絞れます。
判断の基準は「事業者が取り扱うことになっているか」
個人情報保護委員会のQ&A（Q7-53）では、クラウドサービスの利用が委託または第三者提供に当たるかは、保存しているデータに個人データが含まれるかどうかではなく、サービス事業者が個人データを取り扱うことになっているかどうかで判断するとされています。事業者が取り扱わないことになっていれば、委託にも第三者提供にも当たらず、第25条に基づく委託先の監督も求められません。
では、どのような状態なら「取り扱わないことになっている」と言えるのか。委員会は2024年3月の注意喚起で、契約条項で事業者がサーバーに保存された個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合などが考えられる、と整理しています。
この注意喚起は、人事労務系のクラウドサービスが不正アクセスを受けた事案を受けて出されたものです。委員会は、そのサービス事業者が利用企業から個人データの取扱いの委託を受けていたと判断し、考慮した要素として次の3点を挙げています。
利用規約で、保守・運用上必要と事業者が判断した場合に、データの監視・分析・調査などを行えることになっていた
事業者が保守用のIDを持ち、利用企業の個人データにアクセスできる状態で、取扱いを防ぐ技術的なアクセス制御がなかった
利用企業と確認書を取り交わしたうえで、実際に個人データを取り扱っていた
この3点は、情シスが自社のSaaSを確認するときの観点としてそのまま使えます。サポート対応のために事業者が顧客データを閲覧できる、障害調査で中身を確認することがある、といった定めのあるSaaSは、委託に当たる可能性を前提に扱うほうが安全です。
利用中のSaaSを3つに分ける
判定の結果は、次の3区分で台帳に記録します。
区分 | 典型的な例 | 必要な対応 |
|---|---|---|
① 個人データを入れていない | 社外秘でない資料の作成ツール、個人データを扱わない開発ツール | 委託先管理の対象外。ただし利用実態が変わったら見直す |
② 個人データを入れているが、事業者は取り扱わない契約 | 契約上、事業者がデータにアクセスしないことになっており、アクセス制御もある基盤サービス | 委託には当たらないが、自社の安全管理措置として契約と設定を確認する |
③ 事業者が個人データを取り扱う | 人事労務・給与、顧客管理、メール配信、問い合わせ管理など、サポートや処理のために事業者がデータを扱うSaaS | 委託先として選定・契約・取扱状況の把握の対象にする |
判定は、SaaSごとに次の3つの問いへ順に答えていく形にすると進めやすくなります。
このSaaSに、自社の個人データ（顧客・従業員・取引先担当者など）を入れているか。入れていなければ①
利用規約や契約に、事業者が保存データを取り扱わない旨の定めがあるか
事業者の保守用アクセスなどを防ぐアクセス制御があり、実際にも取り扱っていないか。2と3の両方を満たせば②、どちらかを満たさなければ③
判断に迷うSaaSは、③として扱っておき、法務と確認してから区分を確定させるのが現実的です。
②に分類したSaaSでも残る義務
②に分類したSaaSでも、自社の義務がなくなるわけではありません。Q&A（Q6-22）では、事業者が個人データを取り扱わないことになっている場合に漏えいが起きたときは、利用企業が委員会への報告義務を負うとされています。事業者の側も、契約などに基づいて利用企業に通知するといった適切な対応が求められます。②のSaaSでも、漏えい時に事業者から連絡を受けられるか、アクセス権限や多要素認証の設定が適切かは確認しておく必要があります。
もう一つ見落としやすいのが、委託先がさらにクラウドサービスを使っているケースです。給与計算を外部の事業者に委託し、その事業者がクラウドの給与システムで処理している場合、クラウド事業者への再委託になっていることがあります。委託元は、委託先が使っているクラウドサービスの安全性も委託先を通じて確認するよう、注意喚起で求められています。
対象SaaS・委託先を洗い出す4つの手順
委託先管理の抜け漏れは、多くの場合「情シスが把握していないSaaS」から生まれます。利用中のSaaSと外部委託を全量で洗い出し、個人データの有無、委託かどうか、優先度の順に絞り込みます。
手順1：利用中のSaaSと外部委託を全量で洗い出す
まず、契約中のSaaSに加えて、部門が独自に契約したSaaS、無料プランで使われているSaaS、生成AIサービスまで洗い出します。部門の判断で導入された顧客リスト管理やアンケートのSaaSに個人データが入っていても、情シスが知らなければ委託先管理の対象から抜け落ちます。IdPのログイン履歴、経費精算の支払いデータ、ブラウザの利用状況を突き合わせる方法はSaaS棚卸しの手順、部門が独自に使っているSaaSの見つけ方はシャドーITの検知方法で解説しています。
SaaS以外の外部委託も、この段階で法務・購買と一緒に一覧にします。コールセンター、配送、印刷・封入、システムの開発・保守、給与計算などのBPOは、個人データを預けていても情シスの管理台帳に載っていないことがよくあります。
手順2：個人データの有無を確認する
洗い出したSaaS・委託先ごとに、個人データを入れているか、入れているなら誰のどんなデータかを確認します。情シスだけでは中身がわからないSaaSも多いため、各SaaSの管理者や利用部門に聞き取りをすることになります。部門ごとに質問を送って回答を集める場合は、「個人データを入れているか」「本人の区分」「おおよその件数」の3つに質問を絞ると、回答が集まりやすくなります。
手順3：委託に当たるかを判定する
個人データが入っているSaaSについて、前の章の3つの問いで①〜③に分けます。利用規約やデータ処理に関する契約を読む作業が中心になるため、事業者が公開している利用規約、プライバシーポリシー、セキュリティに関する資料の所在もあわせて記録しておくと、次回以降の点検が楽になります。
手順4：点検の優先度を決める
③に分類した委託先をすべて同じ深さで点検するのは現実的ではありません。件数の規模と、データの機密性の2つの軸で優先度を付けます。
優先度 | 目安 | 点検の深さの例 |
|---|---|---|
高 | 要配慮個人情報を扱う、本人の数が1,000人を超える、顧客データを大量に扱う | 契約の全項目を確認し、チェックシートの回答と根拠資料を求める |
中 | 従業員や取引先担当者の連絡先などを中程度の件数で扱う | 契約の主要項目とチェックシートの回答を確認する |
低 | 少数の連絡先だけを扱う | 契約の主要項目と第三者認証の有無を確認する |
1,000人という目安は、現行の規則で漏えい時の報告対象になる基準の一つ（本人の数が1,000人を超える漏えい等）に合わせたものです。優先度の付け方自体は法律で決まっているものではないため、社内の規程やリスク評価の方針に合わせて調整してください。
委託先台帳に持つ項目と記入例
委託先台帳には、判定の結果に加えて、契約の確認結果と点検の履歴を持たせます。改正で論点になる項目を最初から列に入れておくと、規則が確定した後の見直しが早く済みます。
台帳はスプレッドシートで始められます。次の表は、列の構成と記入例です。
列 | 記入例 | この列を使う場面 |
|---|---|---|
委託先・サービス名 | 〇〇給与クラウド（株式会社〇〇） | 一覧での特定 |
委託している業務 | 給与計算、年末調整 | 業務の範囲を超えた取扱いの確認 |
判定区分 | ③事業者が取り扱う | 点検の要否 |
判定の根拠 | 利用規約第〇条でサポート時のデータ閲覧あり | 判定の見直し、監査への説明 |
本人の区分 | 従業員、扶養家族 | 影響範囲の把握 |
個人データの種類 | 氏名、住所、給与額、扶養家族の情報 | 機密性の判断 |
件数の規模 | 1,000人以下 | 優先度、漏えい時の報告判断 |
データの保存国 | 日本 | 外国にある第三者への提供の確認 |
再委託の有無と再委託先 | あり（クラウド基盤事業者） | 再委託先の監督 |
事業者自身によるデータ利用 | サービス改善への利用なし、AI学習なし | 業務の範囲を超えた取扱いの確認 |
第三者認証 | ISMS（ISO/IEC 27001）、Pマーク | 選定時の確認 |
契約日・次回更新日 | 2025年4月1日／2027年3月31日 | 点検のタイミング |
社内の管理担当者 | 人事部 〇〇、情シス 〇〇 | 問い合わせ先 |
前回の点検日と結果 | 2026年10月、指摘なし | 年次点検の記録 |
データの保存国の列は、海外のSaaSを使う場合に特に重要です。外国にある事業者に個人データの取扱いを委託する場合は、外国にある第三者への提供の制限（第28条）が関わります。また、外国で個人データを取り扱う場合は、その国の個人情報保護制度を把握したうえで安全管理措置を講じることがガイドラインで求められています。
台帳のうち、SaaSの部分は手作業で維持すると実態とずれていきます。マネーフォワード Adminaのコンプライアンス対応では、SaaSごとに個人情報が入るかどうか、データを保持している国、管理担当者、開発元のSOC2やISOの取得状況、利用規約やプライバシーポリシーへのリンクを登録できます。SaaS以外の委託先は法務・購買の台帳で管理し、SaaSの台帳と突き合わせる運用にすると、二重管理を避けられます。
契約・利用規約の点検項目
契約の点検では、現行のガイドラインで求められている事項を確認したうえで、改正後に追記が見込まれる事項を「規則確定後に反映」として分けておきます。規則が確定する前に契約の文言まで書き換えると、手戻りになる可能性があるためです。
今の時点で確認する項目
次の項目は、現行法のもとでも委託先の監督として確認しておきたい内容です。
点検項目 | 確認するポイント |
|---|---|
安全管理措置 | 委託先が講じる安全管理措置の内容と、役割・責任の分担が契約や規約で明確になっているか |
目的外利用の禁止 | 委託した業務以外に個人データを使わない旨があるか。サービス改善やAIの学習など、事業者自身のための利用を認める定めがないか。ある場合、無効にする設定や契約上の手段があるか |
再委託 | 再委託の有無、再委託先の情報が開示されているか。再委託する場合に事前の報告や承認を求められるか |
漏えい時の報告 | 漏えいやそのおそれが生じたときに、委託元へ報告される定めがあるか。報告の期限や窓口が決まっているか |
取扱状況の報告・監査 | 委託元が取扱状況を確認できるか。定期報告、監査報告書の提供、監査への協力の定めがあるか |
終了時の返還・消去 | 契約終了時に個人データが返還または消去されるか。消去の証明を受けられるか |
データの保存国 | データを保存・処理する国が明示されているか |
規則確定後に反映する項目
改正法の特例（第58条の2）で委託契約に定める事項は、委員会規則で決まります。2026年10月1日の委員会では、規則の整備に向けた論点として次の項目が示されました。いずれも検討段階の案で、確定したものではありません。
区分 | 委員会が示した論点の例（2026年10月1日時点） |
|---|---|
取扱いの方法 | 対象となる個人情報等とその項目、行われる処理の内容（取得・保存・加工・提供・消去など）、取扱いの始期と終期、取り扱う国または地域 |
その他の事項 | 委託する業務の内容、取扱いに関する記録を作成して委託元に提供すること、安全管理措置の情報を委託元に提供すること、漏えい等が生じた場合に委託元が対応するために必要な事項の報告、委託元の求めに応じた取扱いの停止、委託終了時の返還または消去 |
定め方 | 書面（電磁的記録を含む）による方法 |
この論点は、委託先が特例を使う場合の要件として検討されているものです。委託元にとっても、委託先の取扱状況を把握するための項目と重なるため、今の契約にどこまで含まれているかを確認しておくと、規則が確定したときの差分がすぐにわかります。台帳には「現行契約に記載あり／なし」を記録し、文言の追記は規則の確定後に法務と進める形がよいでしょう。
契約を個別に交渉できないSaaSの場合
多くのSaaSは標準の利用規約で提供されており、個別の契約交渉はできません。その場合は、規約やデータ処理に関する補足契約の内容を確認して台帳に記録し、足りない部分は自社側の設定や運用で補います。たとえば、AIの学習への利用を管理画面で無効にできるなら設定を記録する、事業者のセキュリティに関する報告書（第三者による監査報告書など）を定期的に入手する、といった方法です。
規約の内容がどうしても自社の基準に合わない場合は、入れる個人データを減らす、別のSaaSに切り替えるといった判断も選択肢になります。契約の更新日が近いSaaSから順に確認すると、更新のタイミングで切り替えや条件の見直しを検討できます。更新日の管理方法はSaaS契約管理の基本で解説しています。
委託先に送るチェックシートに追加したい項目
委託先の選定と年次点検では、セキュリティチェックシートで委託先の対策状況を確認するのが一般的です。既存のチェックシートをそのまま使いつつ、委託の範囲と改正に関わる項目を追加すると、点検の精度が上がります。
追加を検討したい項目は次のとおりです。
受託した個人データを、委託された業務以外の目的（自社サービスの改善、分析、AIの学習など）に利用していないか
業務の範囲を超えた取扱いを防ぐために、社内でどのような管理（利用目的の制限、アクセス権限の管理、ログの記録）をしているか
再委託先（利用しているクラウド基盤を含む）の名称と所在国、再委託先に課している義務
漏えいやそのおそれ、業務の範囲を超えた取扱いを把握したときに、委託元へ報告するまでの手順と目安の時間
委託元の求めに応じて、取扱いの記録や安全管理措置の状況を提供できるか
契約終了時の返還・消去の方法と、消去を証明する手段
保守・サポートのために委託元のデータへアクセスする場合の承認手順とアクセス制御
改正法の特例（第58条の2）を使う予定があるか。使う場合、契約の見直しをいつ提案する予定か
ベースにするチェックシートがない場合は、委託先の管理や職務の分離を含む38項目を、機密性・完全性・可用性など8つの分類で整理したISMSセキュリティチェックシートを使うと、上の追加項目を足すだけで委託先向けの点検票を作れます。取引先のセキュリティ対策を段階的に評価する国の枠組みとしては、SCS評価制度も整備が進んでいます。
年次点検の回し方｜契約更新と事故時に見直す
委託先管理は、選定時に一度確認して終わりではありません。年に1回の定期点検を基本に、契約の更新、委託内容の変更、事故の発生をきっかけに見直す仕組みにしておくと、点検が形だけになりにくくなります。
タイミング | やること |
|---|---|
年1回の定期点検 | チェックシートの回答を更新してもらい、前回からの変化を確認する。台帳の判定区分と件数の規模を見直す |
契約更新の前 | 規約の改定内容を確認する。点検結果に指摘があれば、更新の条件として是正を求める |
委託内容の変更時 | 新しい業務や追加するデータの種類に合わせて、判定区分と優先度を見直す |
事故の発生時 | 委託先からの報告内容を記録し、原因と再発防止策を確認する。必要に応じて臨時の点検を行う |
委託の終了時 | 個人データの返還・消去を確認し、委託先に発行していた自社のアカウントを停止する |
点検の結果は、台帳の「前回の点検日と結果」に残します。指摘事項があった場合は、是正の期限と完了の確認日まで記録しておくと、監査や取引先からの問い合わせにそのまま説明できます。
見落としやすいのが、委託先の担当者に発行している自社システムのアカウントです。委託先の社員が自社のSaaSにログインして作業している場合、担当者の交代や契約終了のたびにアカウントの停止や権限の見直しが必要になります。年次の権限見直しの進め方はアクセス権限の棚卸しの進め方で解説しています。
点検のタイミングを逃さないためには、契約の更新日を台帳とは別に通知できる仕組みがあると便利です。AdminaのSaaS契約管理では、SaaSの契約日や次回の更新予定日、管理者を登録し、更新前にメールやSlackでリマインドを受け取れます。
自社が「委託先」になる場合に確認すること
BtoBのサービスを提供していて顧客の個人データを預かっている企業は、委託先の立場にもなります。改正後は、預かったデータを業務の範囲を超えて扱わない義務を自社が直接負うため、開発・事業部門と運用を確認しておきます。
情シスとして確認したいのは、次の3点です。
受託データの用途：顧客から預かったデータを、自社サービスの改善や分析、AIの開発に使っていないか。使う場合、契約上どのような根拠があるか
自社の再委託先：自社のサービスが使っているクラウド基盤や外部サービスを一覧にし、顧客からの問い合わせに答えられる状態にしているか
委託元への報告経路：漏えいやそのおそれを把握したとき、誰がどの顧客にいつまでに報告するかが決まっているか
顧客から特例（第58条の2）に沿った契約の見直しを求められる可能性もあります。規則が確定した後に、法務と一緒に契約のひな形を見直す予定を立てておくと慌てずに済みます。漏えい時の対応の全体像は、個人情報保護委員会のWARNING改訂と情シスの点検ポイントと個人情報が流出するとどうなる？で整理しています。
よくある質問（FAQ）
Q. 委託先管理では、具体的に何をすればよいですか？
A. ガイドラインでは、委託先の選定、委託契約の締結、委託先での取扱状況の把握の3つの段階で監督を行うことが示されています。実務では、委託先を台帳で一覧にし、契約内容とチェックシートの回答を確認したうえで、年に1回程度の点検で取扱状況を確かめる流れが一般的です。
Q. 個人データを入れているSaaSは、すべて委託先になりますか？
A. すべてではありません。委員会のQ&A（Q7-53）では、SaaS事業者が個人データを取り扱わないことになっている場合は、委託にも第三者提供にも当たらないとされています。ただし、そのためには契約で取り扱わない旨が定められ、アクセス制御が行われていることなどが必要です。サポートや保守のために事業者がデータを閲覧できるSaaSは、委託に当たる可能性があります。
Q. 改正で、委託元の監督義務は変わりますか？
A. 改正の項目には、委託元の監督義務（第25条）そのものの見直しは含まれておらず、引き続き委託元に適用されます。変わるのは委託先側で、業務の範囲を超えた取扱いの禁止が明文化され、契約で取扱いの方法などを定めた場合の特例が設けられます。
Q. 利用規約を変更できない大手のSaaSは、どう点検すればよいですか？
A. 規約やデータ処理に関する補足契約の内容を確認して台帳に記録し、足りない部分は設定や運用で補います。AIの学習への利用を無効にする設定の確認、第三者による監査報告書の定期的な入手などが方法の例です。規約が自社の基準に合わない場合は、入れるデータを減らす、別のサービスに切り替えるといった判断も含めて検討します。
Q. 委託先の監査は、必ず訪問して行う必要がありますか？
A. ガイドラインでは、定期的な監査などで取扱状況を把握することが望ましいとされていますが、方法までは限定されていません。実務では、チェックシートの回答、第三者認証や監査報告書の確認、書面での報告を、委託先の優先度に応じて組み合わせる方法がよく使われます。
Q. 海外のSaaSに個人データの取扱いを委託する場合、追加で確認することはありますか？
A. 外国にある第三者への提供の制限（第28条）が関わるほか、外国で個人データを取り扱う場合は、その国の個人情報保護制度を把握したうえで安全管理措置を講じることが求められます。台帳でデータの保存国を記録し、法務と対応方針を確認してください。
まとめ｜進め方のチェックリスト
委託先管理は、利用中のSaaSと外部委託を全量で把握し、委託に当たるものを見極めるところから始まります。対象がわかれば、台帳での一元管理、契約とチェックシートの点検、年次の見直しへと順に進められます。改正法で委託先の義務が明文化されることで、取引先から契約の見直しや点検票への回答を求められる機会も増えると考えられます。
規則が確定する前の今は、判定と台帳づくりを済ませ、契約の現状を記録しておく段階です。そうしておけば、規則が出たときに差分だけを反映すれば済みます。進め方のチェックリストは次のとおりです。
洗い出しと判定
部門が独自に契約したSaaSや生成AIサービスを含めて、利用中のSaaSを全量で洗い出した
SaaS以外の外部委託（BPO、開発・保守、配送など）を法務・購買と一覧にした
SaaS・委託先ごとに、個人データの有無と本人の区分、件数の規模を確認した
個人データを入れているSaaSを、①入れていない／②事業者は取り扱わない／③事業者が取り扱う、に分類した
③に分類した委託先に、件数と機密性で優先度を付けた
台帳と点検
委託先台帳に、判定の根拠、再委託、データの保存国、契約更新日、管理担当者を記録した
優先度の高い委託先から、契約・利用規約の点検項目を確認した
改正後に反映が見込まれる契約事項について、現行契約に記載があるかを記録した
委託先に送るチェックシートに、業務の範囲を超えた取扱いや再委託に関する項目を追加した
②に分類したSaaSも、漏えい時の連絡と自社側の設定を確認した
継続運用
年次点検の時期と、契約更新・委託内容の変更・事故発生時の見直しのルールを決めた
委託先に発行している自社システムのアカウントを、点検の対象に含めた
自社が委託先になる場合の、受託データの用途と委託元への報告経路を確認した
政令・規則・ガイドラインの公表を確認する担当と頻度を決めた
参考にした個人情報保護委員会の資料
個人情報の保護に関する法律についてのガイドライン（通則編）3-4-4 委託先の監督
「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（Q6-22、Q7-53）
クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）（2024年3月25日）
令和8年 改正個人情報保護法について（改正法の条文、新旧対照表、概要資料）
政令・規則の整備に向けた基本的な考え方について②（2026年10月1日）
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
