Web制作会社、受託システム開発会社、SaaS提供事業者は、顧客の問い合わせフォーム、会員データベース、アクセスログなどを預かる側になることがあります。令和8年改正では、委託を受けた側に初めて法律上の明文の義務がかかります。預かる側の立場で、何が決まっていて何がまだ決まっていないかを分けて書きます。
1. 法律で決まったこと
- 委託を受けた個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が、委託先に明文で課されます（法第30条の3）。
- 委託先が、委託元から指示された方法で機械的に取り扱うだけの場合は、取扱いの方法の全部と、取扱い状況を委託元が把握するための措置を委託契約で合意すれば、法第4章の各義務規定の適用が原則として免除されます（法第58条の2）。ただし、業務に必要な範囲を超えて取り扱ってはならない義務と、安全管理に係る義務は免除されません。
- 施行は本体部分で、公布の日から2年を超えない範囲内で政令が定める日です。実際の施行日はまだ決まっていません。
2. 開発・運用・保守・SaaSの場面ごとの確認点
下の表は、自社の仕事のどの場面が「委託を受けた個人データの取扱い」に近いかを整理するための確認点です。現行法のQ&Aの整理を並べたもので、改正後の適用場面を示した資料ではありません。当てはまるかの結論は示しません。
| 場面 | 確認すること | 現行Q&Aの整理 |
|---|---|---|
| 顧客のフォーム・会員DBを運用し、データを預かる | 顧客の指示どおりに機械的に扱うだけか。取扱いの方法を自社が決めていないか。契約に取扱いの方法と状況の報告方法があるか | 機械的な取扱いのみの場合が法第58条の2の免除の前提。契約事項は規則待ち |
| 預かったデータを自社の営業・分析・製品改善に使う | 委託された業務の範囲内か。顧客ごとのデータを区別して扱っているか | Q7-37は、委託先が預かったデータを自社の営業に使う場合や、複数の委託元のデータを区別せず混ぜる場合を「委託された業務以外に取り扱う」例として挙げる |
| 顧客のデータから別の個人データを得る（広告の反応、利用状況ログなど） | 得たデータを自社のために使っていないか | Q7-40は、提供されたデータを使って得た別の個人データも、委託された業務以外には取り扱えず自社のために使えないとする |
| 保守・障害対応で本番データを見る可能性がある | 契約で個人データを取り扱わない旨を定めているか。アクセス制御や、記録・印刷を防ぐ措置があるか | Q7-55は、保守サービスで個人データを取り扱うこととなっている場合は提供に当たるとし、取扱いを防ぐ措置がある単純保守は提供に該当しないとする |
| 不具合の再現・検証に本番データを使う | 検証用データに個人データを使うか。使う場合は誰が何のために扱うか | Q7-55は、個人データを用いて不具合を再現させ検証する場合と、個人データをキーワードに情報を抽出する場合を、個人データを取り扱う例として挙げる |
| SaaSで顧客のデータを保存・処理する | 契約で保存データを取り扱わない旨を定め、アクセス制御をしているか。逆に、自社が個人データを処理する機能があるか | Q7-53は、委託に当たるかはクラウド事業者が個人データを取り扱うこととなっているかで決まり、取り扱わないこととなっていれば委託に当たらないとする。Q7-54は、委託に当たらなくても、利用する側が自ら安全管理措置を講じる必要があるとする |
表の「現行Q&Aの整理」は、現行法の法第25条（委託元の監督義務）と第27条の整理です。改正後の委託先の義務（法第30条の3）で、どの場面がどう扱われるかは、ガイドライン等が示されるまで確定しません。
3. 確認できなかったこと
再委託（開発会社が別の会社へさらに任せる場合）について、改正法の概要と2026年10月1日の事務局資料のPDF本文に「再委託」の語はありませんでした（確認日 2026-10-12）。再委託先への規律が改正でどう扱われるかは、現時点で一次資料から確認できていないため書きません。現行Q&Aには、外国にある再委託先に関する問答（Q10-24、Q12-16）があります。
4. 自社が確認する順序
- 顧客から預かっている個人データの種類と置き場所（フォーム、会員DB、ログ、バックアップ、検証用環境）を書き出す。
- 自社の作業ごとに、顧客の指示どおりに機械的に扱うだけか、自社が取扱いの方法を決めているかを分ける。
- 預かったデータを自社の目的（営業、分析、製品改善）に使っていないか確認する。
- 保守・障害対応で本番データを見る可能性と、それを防ぐ契約・アクセス制御の有無を確認する。
- 顧客との契約に、取扱いの方法、漏えい等が起きたときの報告、契約終了時の返還または消去が書かれているかを確認する。規則が出るまで確定しないため、現行契約の棚卸しにとどめる。
漏えい等が起きたときの報告の規律も同時に見直されます。漏えい等報告・本人通知の緩和とあわせて確認してください。
5. よくある質問
Q1. 開発会社やSaaS事業者は、令和8年改正の「委託先」に当たりますか。
顧客から個人データの取扱いの委託を受けている場合は、委託先の義務（法第30条の3）の対象になりえます。ただし、委託に当たるかは契約内容と実際の取扱いで決まります。クラウドサービスでは、現行のQ&A（Q7-53）が、クラウド事業者が個人データを取り扱うこととなっているかで決まるとしています。個別の判断は顧問弁護士または個人情報保護委員会にご確認ください。
Q2. 保守の作業中に本番データが見えてしまう場合も、委託になりますか。
現行のQ&A（Q7-55）は、保守サービス事業者がサービス内容として情報システム内の個人データを取り扱うこととなっている場合は提供に当たり、委託として監督が必要としています。一方、単純な保守のみで、契約で個人データを取り扱わない旨を定め、適切にアクセス制御をしている場合などは提供に該当しないとし、作業中に閲覧可能となっても取得を防止する措置が講じられている場合を例に挙げています。改正後の扱いはガイドライン等が示されるまで確定しません。
Q3. 委託先の義務が免除されるのは、どんな場合ですか。
委託先が、委託元から指示された方法で機械的に取り扱うだけの場合です。取扱いの方法の全部と、取扱い状況を委託元が把握するための措置について委託契約で合意すると、法第4章の各義務規定の適用が原則として免除されます（法第58条の2）。契約事項の具体的な内容は委員会規則で定めるとされ、まだ決まっていません。
Q4. 預かったデータを自社の営業や製品改善に使ってもよいですか。
改正後は、委託を受けた個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が、委託先に明文で課されます（法第30条の3）。現行のQ&A（Q7-37）は、委託先が預かったデータを自社の営業に使う場合や、複数の委託元のデータを区別せず混ぜる場合を、委託された業務以外に取り扱う例として挙げています。この義務は、法第58条の2の免除の対象にもなりません。自社の取扱いが当たるかの判断は、顧問弁護士または個人情報保護委員会にご確認ください。
Q5. 再委託先（開発会社がさらに別の会社へ任せる場合）への規律は、改正でどうなりますか。
現時点では一次資料から確認できていません。改正法の概要と2026年10月1日の事務局資料のPDF本文に「再委託」の語はありませんでした（確認日 2026-10-12）。現行のQ&Aには、外国にある再委託先に関する問答（Q10-24、Q12-16）があります。
出典
- S-16個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の3（確認日 2026-09-04。「再委託」の語の有無は2026-10-12に確認）
- S-42個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について②」（2026-10-01公表・確認日 2026-10-02。「再委託」の語の有無は2026-10-12に確認）
- S-70個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Q7-37・Q7-40・Q7-53（確認日 2026-10-11）
- S-76同Q&A Q7-54・Q7-55（確認日 2026-10-12）