委託しても、責任は残る

業務を外部の会社に任せても、情報を守る責任は、任せた側にも残ります。個人情報保護法でも、個人データの取扱いを委託するときは、委託先を必要かつ適切に監督することが求められています。

選ぶ前に調べる

委託先を選ぶ前に、その会社の情報セキュリティの体制を調べます。規程があるか、担当者の教育をしているか、認証を取っているか、などを、質問票や面談で確かめます。

契約で要求事項を決める

契約には、次のような情報セキュリティの要求事項を書きます。
- 秘密を守ること、目的の外で使わないこと
- 再委託（さらに別の会社に任せること）は、事前の承認を得ること
- 事故が起きたら、すぐに報告すること
- 委託した側が、実施の状況を確かめられること

実施を確かめる

契約したら終わりではありません。報告書や点検で、約束どおりに守られているかを確かめます。

委託の終了

委託が終わったら、渡したデータの返却か消去を求め、消去したことの証明を受け取ります。委託先に渡していたIDも止めます。

事例で問われやすいずれ

「委託先が無断で別の会社に任せていた」「委託が終わった後もデータが残っていた」「事故の報告が1か月後だった」は、どれも契約での要求か、その後の確認が抜けていたことが原因です。どの段階が抜けていたかを特定してから、対策を選びます。

• 委託しても任せた側に責任が残ることと、委託先の監督
• 委託先を選ぶ前の調査
• 契約に書く要求事項（秘密保持・再委託の承認・事故の報告・確認の権利）
• 実施状況の確認と、委託の終了のときの返却・消去