「人手不足なので業務を外部に任せたいけれど、顧客情報や社内の資料を渡しても大丈夫だろうか」。業務委託を検討する中小企業の経営者や担当者から、こうした不安の声はよく聞かれます。外部の力を借りるうえで、業務委託の情報漏えい対策は避けて通れないテーマです。
この記事では、業務委託で情報を扱う際に押さえておきたい法律上の考え方、契約前の確認ポイント、委託開始後の運用ルールを、手順に沿って分かりやすく解説します。読み終えるころには、自社で何から準備すればよいかが整理できるはずです。
業務委託で情報漏えい対策が必要になる理由
業務委託では、自社の業務の一部を社外のスタッフが担当します。そのため、顧客名簿、取引先とのメール、売上データ、社内マニュアルなど、これまで社内だけで扱っていた情報に社外の人が触れる場面が生まれます。
情報漏えいの原因は、外部からの不正アクセスだけではありません。メールの誤送信、書類の置き忘れ、共有設定のミス、退職者のアカウントの放置など、日常の小さな行き違いからも起こり得ます。関わる人や組織が増えるほど、こうしたリスクの入り口も増えると考えておくことが大切です。
一方で、ルールと仕組みをきちんと整えれば、業務委託は人手不足を補う心強い選択肢になります。大切なのは「渡さない」ことではなく、「何を、誰に、どの範囲で渡すか」を決めて管理することです。
知っておきたい個人情報保護法の「委託先の監督」
顧客情報などの個人データの取り扱いを外部に委託する場合、個人情報保護法第25条により、委託元は委託先に対して「必要かつ適切な監督」を行うことが求められています。つまり、業務を任せた後も、情報の扱いについて委託元に責任が残るということです。
個人情報保護委員会の個人情報保護法ガイドライン（通則編）では、委託先の監督として次の3つの措置が示されています。
| 措置 | 主な内容 |
|---|---|
| 委託先の選定 | 委託先の安全管理措置が適切か事前に確認する |
| 委託契約の締結 | 安全管理の内容や取扱状況の把握を契約に盛り込む |
| 取扱状況の把握 | 定期的に確認し、必要に応じて見直す |
また、同ガイドラインでは、委託する業務に必要のない個人データを提供しないことや、委託先が再委託をする場合の事前報告・承認なども触れられています。具体的な対応は業種や扱う情報によって異なるため、判断に迷う場合は弁護士などの専門家に確認することをおすすめします。
契約前に確認したい委託先のチェックポイント
委託先を選ぶ段階での確認が、情報漏えい対策の土台になります。打ち合わせや見積もりの段階で、次のような点を質問してみましょう。
- 業務を担当するスタッフは誰が雇用し、誰が管理するのか
- スタッフへの情報セキュリティや個人情報の教育を行っているか
- 業務で使うパソコンやアカウントの管理方法が決まっているか
- 再委託（さらに別の会社に業務を任せること）の有無と条件
- 万が一トラブルが起きた際の連絡体制と報告の流れ
質問への答えがあいまいな場合や、書面で確認できない場合は慎重に検討しましょう。特に「実際に作業する人が誰なのか分からない」状態は、情報の流れを把握しにくくなるため注意が必要です。
契約書で取り決めておきたい項目
委託先が決まったら、業務委託契約書や秘密保持契約（NDA）で情報の扱いを明確にしておきます。一般的には、次のような項目を盛り込むことが考えられます。
- 秘密情報の範囲と、目的外での利用の禁止
- 情報の保管方法、複製の可否、返却・削除の方法
- 再委託をする場合の事前承認
- 情報漏えいなどが起きた際の報告義務と対応
- 契約終了後も秘密を守る期間
契約書の文言は事業内容によって適切な形が変わります。ひな形をそのまま使うのではなく、必要に応じて専門家に確認してもらうと安心です。
委託開始前に決めておきたい社内ルール5つ
契約だけでは、日々の運用で起こるミスは防げません。業務を始める前に、自社側でも次のルールを決めておきましょう。
- 渡す情報を最小限にする：委託する業務に本当に必要な情報だけを共有し、顧客名簿の全件など不要なデータは渡さない
- アクセス権限を分ける：共有フォルダやシステムは担当者ごとに閲覧・編集できる範囲を設定する
- やり取りの手段を決める：ファイルの受け渡しはメール添付ではなく、決めた共有サービスに統一する
- 個人の端末やアカウントを使わない：業務用のアカウントを発行し、私物のチャットアプリなどでのやり取りを避ける
- 終了時の手順を決める：契約終了や担当者の交代時に、アカウント停止やデータ削除を誰が確認するかを決めておく
権限の設定や業務データの一元管理には、業務効率化アプリの活用も選択肢になります。紙やExcelのファイルが社内外に散らばっている状態を見直すことで、情報の管理と業務の効率化を同時に進められます。詳しくはアプリ開発サービスのページもご覧ください。
委託開始後に続けたい運用と見直しのポイント
情報漏えい対策は、一度ルールを作って終わりではありません。業務が進むにつれて扱う情報や担当者が変わるため、定期的な確認が欠かせません。
| タイミング | 確認すること |
|---|---|
| 毎月 | アカウントや権限が必要な範囲か |
| 担当者の交代時 | 引き継ぎと旧担当者の権限停止 |
| 業務内容の変更時 | 渡す情報の範囲と契約内容 |
| 年に1回程度 | ルール全体と委託先の体制 |
社内全体の対策を見直す際には、IPA（独立行政法人情報処理推進機構）が公開している中小企業の情報セキュリティ対策ガイドラインも参考になります。最新の第4.0版では、はじめに取り組む項目として「バックアップを取ろう!」が加わり「情報セキュリティ6か条」となったほか、「5分でできる！情報セキュリティ自社診断」などの付録も用意されています。自社の現状を確認する手がかりとして活用してみてください。
トラブルが起きたときの初動も決めておく
どれだけ気をつけていても、ミスを完全になくすことは難しいものです。誤送信や紛失に気づいたときに「誰に、どの順番で報告するか」を委託先と共有しておけば、被害の拡大を抑えやすくなります。報告した人を責めるのではなく、早く知らせてもらえる関係をつくることも大切な対策のひとつです。
まとめ：業務委託はルールづくりから始めると安心です
業務委託の情報漏えい対策のポイントを振り返ります。
- 個人データの取り扱いを委託する場合、委託元には委託先を監督する責任がある
- 委託先の選定、契約での取り決め、取扱状況の把握の3つを意識する
- 渡す情報の最小化、権限の分離、やり取りの手段の統一など社内ルールを決める
- 担当者の交代や業務内容の変更に合わせて定期的に見直す
どの業務を外部に任せるかを整理する段階で、情報の扱い方もあわせて考えておくと、委託後の運用がスムーズになります。業務の選び方については、人手不足の外注は業務の切り出し方が鍵｜中小企業の進め方5ステップの記事でも詳しく紹介しています。
株式会社FLCアドバンスのアウトソーシングサービスでは、当社と業務委託契約を締結し、当社で雇用したスタッフが委託業務を遂行します。スタッフの育成・管理まで当社が一貫して行い、どの業務を委託できるか分からない段階からのご相談にも対応しています。人手不足や業務の外部委託でお悩みの方は、お問い合わせフォームからお気軽にご相談ください。