個人データの取扱いを外部に委託している事業者（委託元）と、委託を受けて個人データを取り扱う事業者（委託先）の両方に関係します。委託先には初めて法律上の明文の義務がかかります。何が決まっていて、何がこれから政令・規則で決まるのかを分けて書きます。
1. 現行制度（法第25条の委託元の監督）との違い
現行規定（法第25条）では、委託元が委託先に対する必要かつ適切な監督義務を負うことだけが定められています。具体的には、自らが講ずべき安全管理措置と同等の措置が講じられるよう、①適切な委託先の選定②委託契約の締結③委託先における個人データ取扱状況の把握、を行う必要があります。委託先が個人情報取扱事業者であれば、委託先にも法第4章の各義務規定が常に全て適用されます。
今回の改正で初めて、委託先自身に対する明文の義務規定が置かれます。個人データ等の取扱いについて実質的に第三者（委託先）に依存するケースが拡大し、委託元による監督が十分に機能せず、委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案が生じていることが背景にあります。
2. 委託先に課される2つの規律
(1) 委託先としての義務の明文化
委託を受けた個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務が、委託先に対して明文規定で課されます（法第30条の3）。
(2) 委託先の義務の免除規定
委託先自らは取扱いの方法を決定しないケース（委託先が委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合。例: データ入力作業を委託され、委託元の指示に従って機械的に入力作業を行う場合）において、次の2点を委託契約で合意した場合は、当該委託先に対する法第4章の各義務規定の適用が原則として免除されます（法第58条の2）。
- 取扱いの方法の全部について合意すること
- 委託先における取扱いの状況を委託元が把握するために必要な措置等について合意すること（漏えい等が生じたことを知ったときに委託先が委託元へ速やかに報告すること等を想定）
この免除規定が適用される場合でも、(1)の「委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない」義務、および安全管理に係る義務は免除されず、引き続き適用されます。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
委託元・委託先のどちらの立場かで見るべき点が変わります。
委託元の立場（個人データの取扱いを外部に委託している場合）
- 現在の委託契約に、取扱いの方法・取扱い状況の把握方法についての合意が明記されているかを確認する。
- 委託先が「委託元の指示に従い機械的に取り扱うのみ」なのか、それとも委託先自身が取扱いの方法を決定しているのかを整理しておく。前者であれば、委託先側の義務免除の対象になりうる。
委託先の立場（個人データの取扱いを受託している場合）
- 委託を受けた業務の遂行に必要な範囲を超えて、個人データ等を利用していないかを確認する。
- 委託元との契約に、取扱い方法・状況把握の方法についての合意があるかを確認する。ない場合は、義務免除の対象にならず、法第4章の各義務規定がそのまま適用される可能性がある。
- 漏えい等が発生した場合の委託元への報告体制を整えているかを確認する。漏えい等報告そのものの規律も同時に見直されるため、漏えい等報告・本人通知の緩和とあわせて点検する。
委託契約と渡し方・記録を、法務と情シスのどちらが確認するかで迷う場合は、総務・法務・情シス別の確認項目表で部署ごとの読む順番を確認できます。
迷惑行為をした客の対応記録を、外部の事業者が運営するシステムや共有の仕組みで管理している場合の整理は、業種別の入口の要注意顧客・出入り禁止客の対応記録の節にあります。
立場別に読むページの早見表
「自社は誰に個人データを預けているか」（委託元）と「誰から預かっているか」（委託先）で、先に読むページが分かれます。どちらにも当たる事業者は両方の行を見てください。
| 立場 | 確認すること | 読むページ |
|---|---|---|
| 預けている側（委託元） | 委託先に何を聞き、契約書のどこを見直すか | 委託先への確認質問リスト12項目、契約で定める事項の3論点 |
| 預かっている側（委託先） | 自社に義務がかかるか、免除の前提になる契約の合意があるか | 契約で定める事項の3論点、受託開発・Web制作・SaaSの事業者は専用の整理ページ、士業事務所は士業事務所のページ |
| どちらの側でも（役務の提供・利用） | 委託先やクラウドなどの役務を提供する側・使う側として、委員会の命令にどう関わるか | 取扱関係役務提供者への要請（法第148条の2） |
各ページで、現行法で適用中のこと、改正法で決まったこと、規則が未確定のことを分けて書いています。
委託先の確認が最初の一手になる43業種（業種別の入口の各節から抜粋）
下の表は、業種別の入口の各節で「まず見ておくとよい3テーマ」の先頭に、この委託先のページを挙げている業種です。右の列は各節の先頭の1文をそのまま写したもので、新しい論点は足していません。ここに載らない業種が無関係という意味ではなく、該当するかどうかの判定でもありません。
| 業種（節へのリンク） | 節が挙げる、委託先まわりの確認 |
|---|---|
| 士業事務所（税理士・社労士・行政書士等） | 顧客企業からの委託を受けて個人データを取り扱う立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。 |
| コールセンター受託事業者 | 依頼元企業からの委託を受けて個人データを取り扱う立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。 |
| BPO・データ入力代行事業者 | 委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が委託先に新たに明文化される一方、委託元の指示に従って機械的にデータ入力等を行うのみの場合は、契約で定めた条件を満たせば義務の一部が免除される規定も新設される、この業種に直接関係するテーマです。 |
| 電子カルテ・医療情報システムベンダー | 複数の医療機関からカルテ・医療情報システムの運用を受託する立場として、委託先としての新しい義務・免除規定に直接関係する、この業種の中心テーマです。 |
| 生成AI・チャットボットサービス事業者 | クライアント企業から会話データの分析を受託する場合、委託先としての新しい義務・免除規定の対象になり得る、この業種に直接関係するテーマです。 |
| フランチャイズ本部・加盟店 | 本部が加盟店に顧客データの取扱いを委託している場合、または加盟店が本部の指示に基づき機械的にデータを取り扱う場合、委託先としての新しい義務・免除規定に関係する、この業種の中心テーマです。 |
| MAツール・CRM SaaS事業者 | 顧客企業から連絡先データの管理業務の委託を受ける構造を取っている場合、委託先としての新しい義務・免除規定に直接関係する中心テーマです。 |
| 保険代理店・保険会社（委託関係がある場合） | 委託を受けた側に、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。 |
| 物流・宅配・運送事業者 | 委託を受けた側に、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。 |
| 美容室・エステ・脱毛サロン | 予約システムや顧客管理サービスに顧客データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 調剤薬局・歯科医院 | 予約システムやレセプト関連の業務を外部に任せ、患者の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 動物病院・ペットサロン・ペットホテル | 予約システムや検査・請求の業務を外部に任せ、飼い主の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| マンション管理組合・自治会・町内会 | 管理会社に名簿の管理や管理業務を任せる場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 飲食店・飲食チェーン | 会員アプリの開発・運用や予約サイトの管理を外部の事業者に任せ、顧客の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 自動車ディーラー・整備工場 | 顧客管理システムの運用、案内状の発送、車検・点検の予約受付を外部の事業者に任せ、顧客の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 引越し・ハウスクリーニングなど自宅に入る生活サービス事業者 | 作業を下請けの業者に任せ、顧客の氏名・住所・間取りや現場写真を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 民泊・マンスリー賃貸・シェアハウスの運営者 | 管理や清掃、スマートロックの運用を外部の会社に任せ、宿泊者名簿や開錠記録を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 結婚式場・ブライダル事業者 | 提携の衣装店・写真業者・装花業者などに、新郎新婦や列席者の氏名・連絡先、席次表の情報を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 古物商・リユース買取店 | 不用品回収、出張買取の運送、オンライン査定の受付システムの運用などを外部の会社に任せ、お客様の氏名・住所や申込情報を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| コワーキングスペース・貸会議室・レンタルオフィス運営者 | 会員管理システム、入退室管理、清掃や受付などを外部の会社に任せ、会員の氏名・連絡先や入退室記録を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 整骨院・接骨院・鍼灸院・整体院 | 予約システムや保険請求の事務、施術録の保管システムを外部の会社に任せ、来院者の氏名・連絡先や施術の記録を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 健康診断機関・産業医サービス・ストレスチェック代行事業者 | 検体の検査、結果通知システムの運用、受診予約の受付などを外部の会社に任せ、受診者の氏名・生年月日や健診結果を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| スマート家電・IoT機器・見守りカメラのメーカー・販売事業者 | クラウドの運用、アプリの開発・保守、問い合わせ対応を外部の会社に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。 |
| 図書館・体育館・プールなど公共施設の指定管理者・民間受託事業者 | 貸出システムや予約システムの運用、警備や清掃を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。 |
| 社会福祉協議会・社会福祉法人 | 市町村から相談や支援の事業を受託している場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。 |
| 携帯電話販売店・通信サービスの代理店 | 通信事業者から契約の受付や取次ぎを任され、契約者の情報を扱っている場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。 |
| 大学・専門学校・各種学校 | 履修・出欠・学内連絡のアプリ、入試の出願受付システム、成績や証明書の発行事務などを外部の会社に任せ、学生や出願者の個人データを渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| ふるさと納税ポータル・返礼品提供事業者・寄付受付の受託事業者 | 自治体から寄付の受付や発送の事務を任されている場合や、返礼品の発送を事業者に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 名刺管理・取引先担当者情報を扱うBtoB事業者 | 名刺アプリやクラウドの顧客台帳に名刺の情報を預ける場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| バックオフィスSaaS提供事業者 | 預かる側として新設される義務（法第30条の3）と、顧客企業との契約の定め方に直接関係する中心テーマです。 |
| 電話代行・受付代行・秘書代行・翻訳通訳などの代行サービス事業者 | 依頼企業から連絡先や通話内容のメモを預かる立場として、新設される義務（法第30条の3）と契約の定めに直接関係する中心テーマです。 |
| 印刷・DM発送・封入封緘・データプリント業者 | 宛名データを預かる立場として、新設される義務（法第30条の3）と契約の定めに直接関係する中心テーマです。 |
| ビルメンテナンス・清掃・設備管理会社 | 入退館記録やテナント名簿を委託元から預かる立場として、新設される義務（法第30条の3）と契約の定めに関係するテーマです。 |
| クラウドソーシング・外注仲介プラットフォーム | 発注者の資料を受注者へ回す再委託の場面で、新設される義務（法第30条の3）と契約の定めに関係するテーマです。 |
| 太陽光・蓄電池・リフォーム・住宅設備の施工販売会社 | 施工を下請け会社に任せ、工事に必要な顧客情報や現場写真を渡す場合に、任せる側の監督と、任される側に新設される義務が関係します。 |
| 採用選考で応募者の情報を扱う企業 | 採用管理システム、書類選考や面接日程の調整、人材会社への一部の業務を外部に任せ、応募者の情報を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。 |
| 健康保険組合・共済組合・企業年金基金 | 給付の事務や保健事業を事務センターや健診・保健指導の事業者に任せ、加入者の情報を渡している場合に関係します。 |
| 懸賞・プレゼントキャンペーンの事務局・景品配送の運営者 | 応募の受付、抽選、景品の発送、問い合わせの対応を事務局の代行会社や発送業者に任せ、応募者の氏名や住所を渡している場合に関係します。 |
| 家事代行・便利屋・シルバー人材センター等の訪問型生活支援事業者 | 清掃、修理、庭の手入れ、見守りなどを提携スタッフや協力会社に任せ、依頼者の氏名・住所・鍵の情報・間取りを渡している場合に関係します。 |
| 医薬品・医療機器メーカー・医薬品卸・MR活動 | 医療従事者への情報提供の一部、患者支援プログラムの運営、問い合わせ窓口、物流や在庫管理などを外部の事業者に任せ、医療従事者や患者の情報を渡している場合に関係します。 |
| 株主名簿・株主総会・持株会を扱う会社 | 株主名簿管理人（信託銀行や証券代行会社など）、総会の招集通知や議決権行使書の印刷・発送の事業者、持株会の事務の受託者に株主の情報を渡している場合に関係します。 |
| 遺伝子検査サービス・ゲノム解析事業者・バイオバンク・検体を扱う研究機関 | 検体の解析を外部の検査ラボに任せる、結果の通知や会員サイトの運用を外部の事業者に任せるなど、検査結果や検体に付けた番号と利用者の情報を渡している場合に関係します。 |
| 営業代行・テレアポ・インサイドセールスの受託会社 | 発注企業から個人データの取扱いを任される立場として、任される側に新設される義務（法第30条の3）が関係します。 |
当てはめの例（仮想の事業者を仮定した確認の進め方）
以下は、実在しない事業者を仮定した確認手順の例です。免除の対象になるかどうかの結論は示しません。
仮定: 小売会社A社が、顧客の注文書の入力をB社に、顧客向けメールの配信文面づくりと配信先の絞り込みをC社に委託している。
| 委託先 | この例で見ること | 現時点で分かること |
|---|---|---|
| B社（注文書の入力） | A社の指示どおりに機械的に入力するだけか。取扱いの方法の全部と、状況を把握する措置を契約で合意しているか | 一次資料は、データ入力を指示どおりに行う場合を免除の例として挙げている。契約事項の中身は委員会規則待ち |
| C社（配信先の絞り込み） | 配信先の選び方をC社が自ら決めているか。決めているなら、取扱いの方法をA社が指示していないことになる | 委託先自らが取扱いの方法を決定する場合は、免除の前提を満たさない可能性がある |
| どちらにも共通 | 委託業務に必要な範囲を超えて使っていないか。安全管理の体制があるか | この義務は免除の場合も引き続き適用される（法第30条の3、免除規定の対象外） |
この例から言えるのは、同じ委託でも、取扱いの方法を誰が決めているかで見るべき点が分かれるということです。契約書に何を書けば足りるかは、規則と委託契約に定める事項の3論点が出るまで確定しません。個別の判断は、顧問弁護士または個人情報保護委員会にご確認ください（確認日 2026-10-09。根拠は上の第2節と出典に挙げた資料）。
委託に当たる・当たらない場面（現行のQ&Aに載る例）
委員会の「ガイドラインに関するQ&A」には、現行法で個人データの取扱いの委託に当たるかを整理した問答があります。改正後の委託先の義務（法第30条の3）の前提になる「委託」の考え方として読めますが、改正後の適用場面を示した資料ではなく、個別の事案は個別に判断するとされています（確認日 2026-10-11）。
| 場面 | Q&Aの整理 | 問答 |
|---|---|---|
| ダイレクトメールの発送を業者に任せる | 利用目的の達成に必要な範囲内なら委託に当たり、顧客の氏名・住所を同意なく伝えても第三者提供の制限には違反しない。委託元は委託先を監督する | Q7-34 |
| 配送事業者に、個人データを含む荷物を預ける | 荷物の送付は委託に当たると解されるが、配送事業者は通常、中身に関知しない。中身の取扱いについて特に合意があった場合等を除き、中身の個人データの取扱いの委託ではないと解される | Q7-35 |
| アンケート調査を外部事業者に任せる | 外部事業者だけが個人データを取り扱い、依頼した事業者が一切関与しないなら、通常は委託していないと解される。依頼した事業者が内容を確認できる場合や、契約で取扱いに権限・制限が設けられている場合は、委託していると解される | Q7-36 |
| 委託先が、預かったデータを自社の営業に使う、または複数の委託元のデータを区別せず混ぜる | どちらも「委託された業務以外に取り扱う」事例として挙げられ、委託に当たらない場合の例とされる | Q7-37 |
| 広告配信の委託で、本人の反応という別の個人データを得る | 提供されたデータを使って得た別の個人データも、委託された業務以外には取り扱えず、自社のために使えない | Q7-40 |
| クラウドサービスにデータを保存する | 委託に当たるかは、保存データに個人データが含まれるかではなく、クラウド事業者が個人データを取り扱うこととなっているかで決まる。取り扱わないこととなっていれば委託に当たらず、監督義務もない。その例として、契約条項で保存データを取り扱わない旨を定め、適切にアクセス制御を行っている場合等が挙げられている | Q7-53 |
表のうち、委託先が自社の営業に使う場面と別の個人データを自社のために使う場面は、改正後に委託先へ明文で課される「委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない」義務（法第30条の3）と同じ方向を向いています。ただし、改正後の条文でどの場面がどう扱われるかは、ガイドライン等が示されるまで確定しません。自社の取引が委託に当たるかの判断は、顧問弁護士または個人情報保護委員会にご確認ください。
5. よくある質問
Q1. 委託先にも、法律上の義務はかかりますか。
改正後はかかります。現行規定（法第25条）は委託元の監督義務だけを定めていますが、改正で、委託を受けた個人データ等を委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が、委託先に明文で課されます（法第30条の3）。法令に基づく場合などの例外は想定されています。施行日は政令で定める日で、まだ決まっていません（出典 S-16・確認日 2026-09-04）。
Q2. 委託先の義務が免除されるのは、どんな場合ですか。
委託先が、委託元から指示された方法で機械的に取り扱うだけの場合です。取扱いの方法の全部と、取扱い状況を委託元が把握するための措置について委託契約で合意すると、法第4章の各義務規定の適用が原則として免除されます（法第58条の2）。ただし、業務に必要な範囲を超えて取り扱ってはならない義務と、安全管理に係る義務は免除されません（出典 S-16・確認日 2026-09-04）。
Q3. 免除のために、契約書には何を書けばよいですか。
まだ決まっていません。契約事項と契約方法は委員会規則で定めるとされています。2026年10月1日の事務局資料は、対象となる個人情報等、処理の内容、取扱いの始期と終期、取扱いを行う国または地域などを挙げ、書面で行う案を示しましたが、いずれも「してはどうか」の段階で、決定ではありません（出典 S-42・確認日 2026-10-02）。個別の契約書の書き方は、顧問弁護士にご確認ください。
出典
- S-16個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の3「個人情報取扱事業者等からデータ処理等の委託を受けた事業者に対する規律の在り方」（確認日 2026-09-04）
- S-16個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF・2026年8月26日）（確認日 2026-09-04）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）
- S-42個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について②」（2026-10-01公表・確認日 2026-10-02）
- S-70個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Q7-34・Q7-35・Q7-36・Q7-37・Q7-40・Q7-53（確認日 2026-10-11）