個人情報の保護に関する法律 第25条（委託先の監督）

個人データの取扱いを外部に委託した事業者が、委託先の選定・契約・取扱状況の把握を通じて安全管理を確保する義務です。個人情報保護法25条が根拠です。

個人情報保護委員会の指導・勧告・命令の対象となり、命令に違反すると罰則が科され得ます。委託先の漏えいで監督義務違反が問われるのは委託元です。

監督義務は再委託先の管理体制にまで及びます。契約に再委託の事前承諾条項を入れていないと、監督が届かず守りに穴が空きます。

速報は個人情報保護委員会へ概ね3〜5日以内、確報は30日以内（不正アクセス等は60日以内）が原則です。最新の改正状況をご確認ください。

認証保有先を選定条件にすると監督履行の客観的材料になります。委員会に監督実態を問われたとき、指導と免責の分かれ目になります。

委託は27条5項1号で第三者提供に当たらず本人同意は不要ですが、監督義務が委託元に残ります。第三者提供は原則として本人同意が必要です。

あります。給与計算を社労士に外注し勤怠をクラウドに預けた瞬間、委託元となり25条の監督義務を負います。大企業だけの話ではありません。

監査権、再委託の事前承諾、漏えい時の即時通知の三点が中核です。これらは契約交渉の場でしか入れられず、事故後では手遅れになります。

そう考えたくなりますが、法律の答えは逆です。委託に伴う個人データの提供は第三者提供（第27条5項1号）に当たらないため、責任は委託元であるあなたに残ります。委託先が漏えいすれば、監督を怠ったとして第25条違反を問われるのは委託元です。業界裏話ヒント：個人情報保護委員会の指導・公表事例を見ると、名前が出て炎上するのは実際に漏らした委託先より、委託元のブランドであることが多い。委託先選定の記録と監督の証拠が、後の明暗を分ける。

場合によります。クラウド事業者がその個人データを取り扱わない（アクセスしない）契約・設定であれば、委託にも第三者提供にも当たらず監督義務は生じないというのが個人情報保護委員会の見解です。逆にアクセスし得る形態なら委託として監督が必要です。業界裏話ヒント：この『クラウド例外』で監督義務を外せるかは、契約書の文言と実際のアクセス制御次第。海外事業者だと越境移転（第28条）の論点も重なるので、アクセス不可の設定を証拠化しておくと後で効く。

契約だけでは足りません。個人情報保護委員会のガイドライン（通則編）は三点を求めます。（1）適切な委託先の選定、（2）委託契約の締結、（3）委託先における取扱状況の把握。契約は三分の一にすぎず、継続的なモニタリングまで含みます。業界裏話ヒント：（3）の『取扱状況の把握』を年一回の書面確認だけで済ませている会社が大半だが、事故が起きた時に監督実態を問われるのはまさにここ。Pマーク・ISMS取得を選定条件にし、監査権を契約に明記しておくと、監督を尽くした証拠になる。