個人データの取扱いを外部に委託している事業者（委託元）と、委託を受けて個人データを取り扱う事業者（委託先）の両方に関係します。委託先には初めて法律上の明文の義務がかかります。何が決まっていて、何がこれから政令・規則で決まるのかを分けて書きます。
1. 現行制度との違い
現行規定（法第25条）では、委託元が委託先に対する必要かつ適切な監督義務を負うことだけが定められています。具体的には、自らが講ずべき安全管理措置と同等の措置が講じられるよう、①適切な委託先の選定②委託契約の締結③委託先における個人データ取扱状況の把握、を行う必要があります。委託先が個人情報取扱事業者であれば、委託先にも法第4章の各義務規定が常に全て適用されます。
今回の改正で初めて、委託先自身に対する明文の義務規定が置かれます。個人データ等の取扱いについて実質的に第三者（委託先）に依存するケースが拡大し、委託元による監督が十分に機能せず、委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案が生じていることが背景にあります。
2. 課される2つの規律
(1) 委託先としての義務の明文化
委託を受けた個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務が、委託先に対して明文規定で課されます（法第30条の3）。
(2) 委託先の義務の免除規定
委託先自らは取扱いの方法を決定しないケース（委託先が委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合。例: データ入力作業を委託され、委託元の指示に従って機械的に入力作業を行う場合）において、次の2点を委託契約で合意した場合は、当該委託先に対する法第4章の各義務規定の適用が原則として免除されます（法第58条の2）。
- 取扱いの方法の全部について合意すること
- 委託先における取扱いの状況を委託元が把握するために必要な措置等について合意すること（漏えい等が生じたことを知ったときに委託先が委託元へ速やかに報告すること等を想定）
この免除規定が適用される場合でも、(1)の「委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない」義務、および安全管理に係る義務は免除されず、引き続き適用されます。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。上限は2028年7月16日で、実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
個別の判断はできませんが、確認の順序は示せます。委託元・委託先のどちらの立場かで見るべき点が変わります。
委託元の立場（個人データの取扱いを外部に委託している場合）
- 現在の委託契約に、取扱いの方法・取扱い状況の把握方法についての合意が明記されているかを確認する。
- 委託先が「委託元の指示に従い機械的に取り扱うのみ」なのか、それとも委託先自身が取扱いの方法を決定しているのかを整理しておく。前者であれば、委託先側の義務免除の対象になりうる。
委託先の立場（個人データの取扱いを受託している場合）
- 委託を受けた業務の遂行に必要な範囲を超えて、個人データ等を利用していないかを確認する。
- 委託元との契約に、取扱い方法・状況把握の方法についての合意があるかを確認する。ない場合は、義務免除の対象にならず、法第4章の各義務規定がそのまま適用される可能性がある。
- 漏えい等が発生した場合の委託元への報告体制を整えているかを確認する。
出典
- S-16個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の3「個人情報取扱事業者等からデータ処理等の委託を受けた事業者に対する規律の在り方」（確認日 2026-09-04）
- S-16個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF・2026年8月26日）（確認日 2026-09-04）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）