委託先やクラウド事業者などの「個人情報の取扱いに使う役務を提供する側」にいる事業者、そして自社がそうした役務を使っている事業者に関係します。個人情報保護委員会が出した措置命令に従わない事業者がいるとき、その事業者に役務を提供している側へ、取扱いや役務の停止を要請できる規定が新設されます。ここでは条文の要件、免責、まだ決まっていないことを分けて整理します。
1. 自社が該当する条件
改正後の法第148条の2は、次の3つが重なったときに委員会が「要請」できると定めています（改正法本文で確認）。
- 措置命令が出ていること: 違反を是正する措置をとるよう命じる命令（条文上の「措置命令」）を、委員会が個人情報取扱事業者等に出している。
- その命令に従っていないこと: 命令を受けた事業者が、命令に従わない場合に限られる。
- 役務を提供している相手がいること: 要請の相手は「取扱関係役務提供者」で、条文は「個人情報取扱事業者等から個人情報等の取扱いの全部又は一部の委託を受けた者その他の個人情報取扱事業者等との契約に基づき個人情報取扱事業者等がその個人情報等の取扱いのために用いる役務を提供する者」と定義しています。
つまり、委託先だけでなく、契約に基づいて個人情報の取扱いに使う役務（サーバの提供など）を提供している事業者も、条文の文言上は含まれえます。どこまでが該当するかの線引きは、条文からは読み切れません。個別の判断は顧問弁護士または個人情報保護委員会にご確認ください。
2. 要請の内容と免責
(1) 何を要請できるか
当該違反行為に係る個人情報等の取扱いの停止、当該役務の提供の停止、その他当該違反行為を中止させるために必要な措置をとるべき旨を要請できます。
(2) 要請に応じた側の免責
要請を受けて、その要請に係る措置を講じた取扱関係役務提供者は、措置命令を受けた事業者に生じた損害について、賠償の責めに任じないとされています（第2項）。契約で決めた役務の提供を止めても、命令を受けた側への損害賠償責任は負わない、という内容です。
(3) 特定電気通信による送信の場合
違反行為が、特定電気通信（インターネット上の情報の送信など）による個人情報等を含む情報の送信であるときは、特定電気通信役務提供者に対して、その情報の流通を防止する措置をとるよう要請できます（第3項）。こちらの要請に応じた場合も、命令を受けた事業者に生じた損害について賠償の責めに任じないとされています（第4項）。
(4) 現行と改正後の比較表
現行の欄は個人情報保護法の現行条文（2026-10-14にe-Govで確認。本文中に「役務提供者」を含む条はありません）、改正後の欄は改正法本文の第148条の2です。個別の事案への当てはめではありません。
| 項目 | 現行 | 改正後（法第148条の2） | 決まり具合 |
|---|---|---|---|
| 委員会が要請できる場面 | 該当する規定は見当たらない。命令に違反した事業者については、委員会がその旨を公表できる（第148条第4項）。 | 措置命令を受けた事業者がその命令に従わない場合に、委員会が要請できる（第1項）。 | 条文は確定。施行日は未確定。 |
| 要請の相手 | 該当する規定は見当たらない。 | 取扱関係役務提供者（個人情報等の取扱いの委託を受けた者その他、契約に基づいて取扱いに使う役務を提供する者）。 | 定義は確定。具体的にどこまで含まれるかの考え方は一次資料で確認できず、未確定。 |
| 要請できる内容 | 該当する規定は見当たらない。 | 違反行為に係る個人情報等の取扱いの停止、役務の提供の停止、その他違反行為を中止させるために必要な措置（第1項）。 | 内容は確定。要請の方式・手順は一次資料で確認できず、未確定。 |
| 要請に応じた側の責任 | 該当する規定は見当たらない。 | 要請に係る措置を講じた場合、命令を受けた事業者に生じた損害について賠償の責めに任じない（第2項）。 | 確定。 |
| 特定電気通信による送信の場合 | 該当する規定は見当たらない。 | 特定電気通信役務提供者に、情報の流通を防止する措置をとるよう要請できる。応じた側は賠償の責めに任じない（第3項・第4項）。 | 確定。 |
| 政令・委員会規則で定める事項 | ― | 全体像PDFでは、この規定について定める事項はなく、ガイドライン・Q&Aで考え方や事例が示される見込みとされている。 | ガイドライン・Q&Aは未公表。 |
| 施行 | ― | 本体部分。公布の日から2年を超えない範囲内で政令で定める日。 | 施行日は未確定。 |
3. 準備しておくこと
- 自社が委託先やクラウド事業者として役務を提供する側なら、委員会から要請が来た場合の受付窓口と、役務の提供を止める判断の手順を、契約や社内規程と照らして整理しておく。
- 自社が委託元として役務を使う側なら、委託先・クラウド事業者との契約に、要請があった場合の扱いに関する記載があるかを確認する。委託先契約で定める事項については委託先契約で定める事項の3論点を、受託開発・SaaS事業者の側からは受託開発・Web制作・SaaS事業者の委託先の義務を参照。
- 要請の前提は「措置命令に従わないこと」なので、自社が命令を受けた場合には、命令の内容を履行することが最優先になる。
4. まだ決まっていないこと
施行日も未確定です。この規定は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。決定タイムラインで追記していきます。
よくある質問
どんな場合に、委員会は取扱関係役務提供者へ要請できますか。
条文は、措置命令を受けた個人情報取扱事業者等がその命令に従わない場合で、その事業者が違反行為に係る個人情報等の取扱いのために用いる役務を提供する取扱関係役務提供者があるとき、と定めています。命令が出ていないときや、命令に従っているときは、この要請の対象になりません。
クラウド事業者は取扱関係役務提供者に当たりますか。
条文の定義は、個人情報等の取扱いの委託を受けた者その他、契約に基づいて取扱いに使う役務を提供する者です。文言上は、委託先だけでなくクラウド事業者のような役務の提供者も含まれえます。どこまでが該当するかの線引きは、条文からは読み切れず、ガイドライン・Q&Aで考え方が示される見込みです。個別の判断は、顧問弁護士または個人情報保護委員会にご確認ください。
要請を受けて役務の提供を止めた場合、損害賠償の責任はどうなりますか。
条文（第2項）は、要請を受けて要請に係る措置を講じた取扱関係役務提供者は、措置命令を受けた事業者に生じた損害について、賠償の責めに任じないとしています。特定電気通信による送信の場合の要請（第3項）に応じた側も、同じ扱い（第4項）です。
いつから始まりますか。
この規定は本体部分に含まれ、公布の日から起算して2年を超えない範囲内で政令が定める日から施行されます。施行日はまだ決まっていません。
出典
- S-60個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」本文（PDF） 第1条による改正後の第148条の2（確認日 2026-10-08）
- S-60個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF）（確認日 2026-10-08）
- S-113e-Gov法令検索「個人情報の保護に関する法律」 現行の第148条（確認日 2026-10-14）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）