「Pマークでは、どこまでを委託先として管理すればよいのか」「委託先の評価や契約では、何を確認すればよいのか」と迷っていないでしょうか。プライバシーマーク（以下、Pマーク）では、個人データをはじめ、自社で特定した個人情報の取扱いを外部へ委託する場合、委託先を適切に選定し、契約内容に基づいて監督することが求められます。
委託先管理では、委託先の洗い出し、選定基準の設定、評価、契約、委託中の監督までを一連の流れとして運用することが大切です。評価シートを作成するだけで終わらせず、委託する情報や業務のリスクに応じて、確認方法や契約内容を見直す必要があります。
この記事では、Pマークにおける委託先管理の対象や流れ、評価時のチェック項目、契約・再委託で確認する内容、定期的な見直しの考え方を解説します。委託先管理のルールや評価方法を見直したい担当者は、ぜひ参考にしてください。

おすすめサービスはこちら

Pマークの委託先管理とは

Pマークの委託先管理とは、自社で特定した個人情報の取扱いを外部へ委託する際に、委託先が十分な保護水準を備えているかを選定時に確認し、契約後も適切に監督する仕組みです。外部へ業務を任せても、委託元が管理すべき責任までなくなるわけではありません。まずは、委託先管理が必要な理由と対象範囲を押さえましょう。

委託先管理が必要な理由

個人データの取扱いを委託する場合、個人情報保護法では委託元に委託先への必要かつ適切な監督が求められます。Pマークではさらに、JIPDECが定める「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 ver1.0】」（以下、構築・運用指針）に基づき、自社で特定した個人情報について委託先を管理する必要があります。
委託先で漏えい等が起きた場合、委託元にも事実確認や原因調査が必要となり、事案によっては個人情報保護委員会への報告や本人通知などの対応が生じます。そのため、委託前の選定から契約、委託中の監督まで一貫して管理することが大切です。

委託と第三者提供の違い

委託は、委託元の利用目的を達成するために必要な範囲で、個人データの取扱いを外部へ任せることです。この場合、委託先は個人情報保護法上の「第三者」には該当せず、委託された業務以外に当該個人データを取り扱うことはできません。
一方、第三者提供は、個人データを外部の第三者へ提供する行為であり、原則として本人同意などの要件を満たす必要があります。契約の名称だけで判断せず、誰がどの目的でデータを扱うのかを確認することが重要です。

委託先管理の対象となる事業者

管理対象になるのは、自社から個人情報の取扱いの全部または一部の委託を受ける事業者です。発送代行、給与計算、コールセンター、システム保守など、委託業務の中で個人情報を扱う事業者が代表例です。
クラウドサービスについても、クラウドサービスについても、JIPDECの「マイナンバーを含む個人情報（特定個人情報）の取扱いのQ&A」（2-5-5）では、クラウドサービス事業者に個人情報が含まれることを認識させずに預ける場合でも、委託者は預ける情報に個人情報が含まれることを認識しているため、J.9.4（委託先の監督）の対象になるという考え方が示されています。個人情報保護法上は、契約条項でクラウド事業者が個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合などは委託先の監督義務は課されませんが、利用する事業者は自らの安全管理措置として適切な対策を講じる必要があります。Pマークの運用では、構築・運用指針のJ.9.4（委託先の監督）に沿って確認します。

Pマークの委託先管理の流れ

Pマークの委託先管理は、候補企業を評価して契約すれば終わりではありません。委託先を漏れなく把握し、自社の基準で選定したうえで契約を結び、委託中も継続して監督します。後半で各工程を詳しく扱うため、まずは管理の流れを押さえておきましょう。

委託先の洗い出しと一覧化

最初に、個人情報の取扱いを委託している事業者を洗い出します。Pマークの構築・運用指針では、全ての委託先を漏れなく特定することが求められています。
委託先一覧を作る際は、委託先名に加え、委託業務、取り扱う個人情報、担当部署、契約期間などを記載しておくと管理できます。新規契約や契約終了が発生した際に一覧へ反映できる更新ルールも決めておきましょう。

委託先選定基準の作成

次に、どのような事業者へ個人情報を預けられるのか、自社の選定基準を定めます。構築・運用指針では、少なくとも委託する業務について、自社と同等以上の個人情報保護水準があり、契約事項へ対応できることを客観的に確認できる基準が求められています。
具体的な確認項目は、委託する情報や業務のリスクによって変わります。評価項目を一律に並べるのではなく、委託内容に応じた基準にすることがポイントです。

委託先評価の実施

作成した基準に基づき、候補となる委託先を評価します。確認方法には、評価シートへの回答、公開情報の確認、ヒアリング、必要に応じた実地確認などがあります。
この段階では、基準を満たすかを判断することに集中し、具体的なチェック項目や確認方法の使い分けは後述する「Pマークの委託先評価で確認する内容と方法」で詳しく解説します。

委託契約の締結

選定した委託先とは、特定した利用目的の範囲内で委託契約を締結します。Pマークでは契約に盛り込む事項が定められているため、締結前に必要な条件が含まれているか確認します。
具体的な契約事項は、後述する「Pマークの委託契約と再委託の注意点」で解説します。

委託中の継続的な監督

契約後は、選定時に問題がなかったからといって管理を終えるのではなく、契約内容に基づいて委託先を継続的に監督します。
委託期間中の確認頻度や再評価、変更時の対応については、後の「Pマークの委託先管理を継続するポイント」で詳しく扱います。

委託終了時の対応

委託が終了したら、契約で定めた内容に沿って、預けていた個人情報の返却・消去、アカウントやアクセス権の停止などを確認します。終了した委託先を一覧へ残し続けないよう、管理台帳も更新しましょう。
契約時に終了後の措置を定め、実際の終了時に実施状況を確認する流れを作っておくことが大切です。

Pマークの委託先評価で確認する内容と方法

委託先評価では、個人情報保護の体制、安全管理措置、事故対応、再委託など、委託業務に関係する内容を確認します。すべての委託先へ同じ確認方法を当てはめる必要はありません。扱う情報やリスクに応じて、評価シート、公開情報、ヒアリング、実地確認などを使い分けましょう。

個人情報保護の体制と社内ルール

まず、委託先が個人情報保護に関する責任者や社内ルールを定め、従業者への教育や権限管理を行える体制を持っているか確認します。規程の有無だけではなく、実際に運用されているかを見ることが重要です。
扱う情報の性質や量によって必要な確認の深さは変わります。自社の選定基準にも強弱を付け、委託業務に見合う保護水準を確認しましょう。

安全管理措置の実施状況

委託先が講じている安全管理措置も重要な評価項目です。組織的・人的・物理的・技術的な対策に加え、外国で個人データが取り扱われる場合は外的環境の把握の状況も確認し、委託する個人情報を適切に保護できる体制かを判断します。
アクセス権限の設定、端末・記録媒体の管理、ログの取得、入退室管理、従業者教育などが代表例です。一律のチェック項目を当てはめるのではなく、委託する情報の性質や漏えい時の影響を踏まえて調整しましょう。

事故・再委託に関する管理体制

事故発生時の報告体制や、再委託を行う場合の管理方法も確認します。事故時の連絡先が決まっているか、委託元へ速やかに報告できる仕組みがあるか、再委託先をどのように選定・監督しているかを見る項目です。
評価段階では、必要な管理を実行できる体制があるかを確認します。再委託の条件や事故時の具体的な措置は、委託契約で明確にします。

第三者認証は評価材料の一つ

PマークやISMSなどの第三者認証は、委託先の管理体制を確認する材料の一つです。ただし、認証を取得していれば自動的に適切な委託先と判断できるわけではありません。
Pマークでは、少なくとも委託する業務について、自社と同等以上の個人情報保護水準があり、契約事項へ対応できることを客観的に確認する必要があります。認証の有無だけでなく、委託内容に必要な対策が実施されているかを評価しましょう。

評価シート・実地確認の使い分け

委託先評価では、チェックシートへの回答だけで確認できる場合もあれば、ヒアリングや実地確認を行った方がよい場合もあります。個人情報保護委員会も、委託先の監督方法は、取り扱う個人データの内容や規模、取扱状況などを踏まえて判断する考え方を示しています。
すべての委託先に一律の実地確認を求めるのではなく、扱う情報やリスクに応じて確認方法を選びましょう。

Pマークの委託契約と再委託の注意点

委託先を選定した後は、個人情報の取扱いに必要な事項を契約へ盛り込みます。口頭の合意だけでは、事故や再委託が起きた際に責任の所在が曖昧になります。Pマークの構築・運用指針で示されている事項を押さえ、自社の委託内容に合う契約にすることが重要です。

委託元・委託先の責任と安全管理

契約では、委託元と委託先それぞれの責任を明確にし、個人情報の安全管理に関する事項を定めます。委託先がどの範囲まで業務を行い、どのような管理を担うのかを曖昧にしないことがポイントです。
定型的なクラウドサービスや配送サービスなどでは、事業者が用意した約款や利用規約を利用する場合もあります。この場合は約款の内容を確認し、構築・運用指針が求める安全管理措置等を満たしていないときは、委託者自らがリスクに基づく対策を講じます。

取扱状況の報告内容・頻度

Pマークの構築・運用指針では、個人情報の取扱状況について、委託元へ報告する内容と頻度を契約に定めることが求められています。
報告内容は、委託内容やリスクに応じて決めます。事故の有無、再委託の状況、安全管理措置の変更など、委託元が監督するために必要な情報を確認できるようにしましょう。

再委託に関する条件

再委託を認める場合は、その条件や確認方法を契約へ盛り込みます。再委託先で事故が起きても、最初の委託元にとって無関係になるわけではありません。委託先を通じて、再委託先の取扱状況を把握できる仕組みを用意することが大切です。
個人情報保護委員会は、再委託先や業務内容、取扱方法などの事前報告・承認や、委託先を通じた監督が望ましいとしています。特定個人情報を再委託する場合は、番号法上の許諾要件にも注意が必要です。

契約違反・事故発生時の措置

契約内容が守られなかった場合の措置や、事件・事故が起きた際の報告・連絡方法もあらかじめ定めます。事故発生時に連絡先や初動が曖昧だと、原因確認や必要な対応が遅れるおそれがあります。
報告方法、調査への協力、是正要求など、自社が監督を続けるために必要な条件を決めておきましょう。委託終了後の返却・消去についても、契約時点で取り決めます。

委託契約書の保存

Pマークの構築・運用指針では、委託契約書を当該個人データの保有期間にわたって保存することが求められています。契約終了と同時に契約書を廃棄すると、その後に取扱状況や責任分担を確認できなくなるためです。
契約更新や内容変更があった場合も、どの契約がいつの取扱いに適用されていたのか確認できる形で管理しましょう。

Pマークの委託先管理を継続するポイント

委託先管理は、選定と契約だけで完結しません。委託期間中も契約内容が守られているかを確認し、委託内容やリスクに変化があれば管理方法を見直します。委託先一覧や評価記録も更新し、現在の取引状況と管理記録が一致する状態を保ちましょう。

定期的・適宜の監督と再評価

Pマークでは、契約内容が守られていることを委託元が定期的・適宜に確認できるようにし、契約に基づいて委託先を監督します。
構築・運用指針のJ.9.4（委託先の監督）では、委託先の再評価について「毎年1回」など一律の頻度は定められていません。ただし、個人情報保護リスクアセスメントの手順と実施内容は少なくとも年一回見直すこと（J.3.1.3）とされているため、委託する個人情報の内容、取扱量、事故時の影響、これまでの評価結果などを踏まえ、その見直しとあわせて自社のルールとして確認時期を決めましょう。

委託内容・リスク変化に応じた見直し

委託開始後に業務範囲や取り扱う個人情報、利用システム、再委託先などが変わった場合は、必要な確認項目や契約内容も見直します。
また、委託先で事故が起きた場合や、自社の個人情報保護ルールを変更した場合も再確認のきっかけになります。定期確認だけに頼らず、変更時に情報が共有される仕組みも用意しておくと管理できます。

委託先一覧と評価記録の更新

委託先一覧には、新規契約、契約終了、委託内容の変更、再評価の結果などを反映します。実際の取引状況と一覧がずれていると、管理対象を見落とす原因になります。
評価記録も、いつ、誰が、何を確認したのか追える形で残しましょう。担当者が変わった場合でも、過去の評価や判断の経緯を確認できます。

外部コンサルティングの活用

委託先の数が多く、選定基準や管理方法を社内だけで見直すことが難しい場合は、Pマークの運用支援に対応する専門家へ相談する方法があります。
情報セキュリティコンサルティング コーチマモル（Coach MAMORU）では、Pマークの取得・更新から継続運用まで支援しています。委託先管理を含め、Pマーク運用上の課題を見直したい場合は、対応可能な支援内容についてご相談ください。

Pマークの委託先管理に関するよくある質問

委託先管理では、「Pマークを取得していない企業へ委託できるのか」「クラウドサービスも管理対象なのか」「再評価は何年ごとか」といった疑問が生じやすいです。判断に迷いやすい3点に絞って回答します。

委託先もPマークを取得している必要がありますか？

いいえ。委託先自身のPマーク取得が一律に必須とされているわけではありません。
重要なのは、少なくとも委託する業務について、自社と同等以上の個人情報保護水準があり、契約事項へ対応できることを客観的に確認することです。

クラウドサービスも委託先管理の対象ですか？

Pマークでは、JIPDECの特定個人情報の取扱いのQ&A（2-5-5）で、クラウドサービスへ個人情報を保管する場合もJ.9.4（委託先の監督）の対象になるという考え方が示されています。
個人情報保護法上は、クラウド事業者が個人データを取り扱わない契約・仕組みであれば委託先の監督義務は課されませんが、利用する事業者自身の安全管理措置は必要です。Pマークの運用ではJ.9.4に沿って確認するため、法令上の整理とPマーク上の運用を混同しないことが大切です。

委託先を再評価する頻度は決まっていますか？

JIPDECの現行指針では、「1年に1回」など一律の再評価頻度は定められていません。契約内容が守られていることを定期的・適宜に確認できるようにし、自社で定めたルールやリスクに応じて再評価します。なお、2026年7月17日に改正個人情報保護法が公布されたことを受け、JIPDECは構築・運用指針の改定について決まり次第公表するとしているため、最新の指針を確認してください。

まとめ：Pマークの委託先管理は選定後も継続しよう

Pマークの委託先管理では、個人情報を扱う委託先を漏れなく特定し、自社の選定基準に基づいて評価したうえで、必要な事項を契約へ盛り込むことが求められます。契約後も、取扱状況や再委託の有無、委託内容・リスクの変化を確認し、必要に応じて再評価しましょう。
第三者認証や評価シートだけで判断せず、委託する業務と情報に合う確認・監督方法を選ぶことが大切です。社内だけで基準づくりや継続管理が難しい場合は、外部の専門家も活用しながら、自社で無理なく続けられる管理体制を整えていきましょう。

おすすめサービスはこちら