委託

定義

委託とは、個人情報取扱事業者が、自らが取り扱う個人データの取扱いの全部又は一部を、他の事業者に任せることをいいます。任せる側を委託元、任される側を委託先と呼びます。

個人情報保護法第25条は、個人データの取扱いの全部又は一部を委託する場合を前提に、委託先の監督を定めています。この条文の書き方から、委託とは個人データの取扱いという作業そのものを外部の事業者に任せることだと読み取れます。たとえば、顧客データの入力、データの保管、集計や分析の作業を外部の事業者に任せる場面がこれに当たります。

対になる概念である第三者提供との関係

委託は、第三者提供と並べると理解しやすくなります。第三者提供の規律とは、個人データを、原則として本人の同意を得ずに第三者へ提供してはならないという考え方で、第27条第1項に定められています。本人が知らないうちに自分のデータが他の事業者へ渡ることを防ぐための仕組みです。

委託でも、作業を任せる以上、個人データは委託元から委託先へ渡ります。他の事業者にデータを渡している点は同じなので、第三者提供と同じように本人の同意が要るのではないか、という疑問が生まれます。この疑問に答えるのが、次の2つの論点です。

制度の要点

論点1 委託に伴う提供は第三者への提供に当たらない

第27条第5項第1号は、個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って、その個人データが提供される場合、提供先は第三者に該当しないとしています。そのため、この場合の委託先への提供は第三者提供の制限の対象外となり、第27条第1項の本人同意は求められません。

条文は、利用目的の達成に必要な範囲内という条件を付けています。委託と名が付けば無条件に対象外になるわけではありません。対象外になるのはこの条件の中で行う委託に伴う提供だ、と読むのが条文に沿った理解です。

論点2 その代わりに委託元が委託先を監督する

第25条は、個人データの取扱いを委託する個人情報取扱事業者に対し、委託した個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行うことを義務づけています。データを渡した後も、委託元はその安全管理に関わり続けることになります。

2つの論点の対応関係

2つを並べると、委託は、本人の同意は不要だが、その分委託元に監督義務が課される制度として整理できます。本人の同意を得る手続きを求めない代わりに、委託元による監督によって個人データの安全管理を確保する、という組み立てです。

AIとの関わり

AIの開発や運用では、学習データの前処理やアノテーション、モデルの開発、運用環境の管理などを外部のベンダーに任せることがあり、その際に個人データを含むデータを渡す場合があります。こうした場面を委託として整理できるかどうかは個別の事情によって判断が分かれうるため、一般的な留意点として次のような確認が考えられます。

• ベンダーに任せる取扱いが、自社の利用目的の達成に必要な範囲内に収まっているか
• ベンダーのもとで個人データの安全管理が図られるよう、どのような監督を行うか
• ベンダーが受け取ったデータを自らの目的、たとえば自社のモデルの学習などにも使おうとする場合、利用目的の達成に必要な範囲内での委託という条件との関係が問題になりうること

どの扱いになるかは、条文と、個別の契約や運用の中身に照らして判断する必要があります。