業務委託での個人情報の取扱い｜委託先フリーランスの義務と漏えい対応

フリーランスエンジニアも、個人データを事業で扱えば法の対象になる

結論から言えば、法人でなくても、従業員がいなくても、個人データを事業で扱えば義務の対象です。ここを誤解したまま案件に入ると、契約書のセキュリティ条項が「発注元の都合」にしか見えなくなります。

件数要件は撤廃済み

個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者を指します（法16条2項）。ガイドライン（通則編）は、法人格のない任意団体や個人であっても該当すると明記しています。

かつては取扱件数5,000件以下の小規模事業者を適用除外とする規定がありましたが、これは平成29年施行の改正で撤廃されました。現在、件数による除外はありません。

つまり、顧客マスタの入った開発用データベースを預かった時点で、あなたは事業者として法の適用を受けます。

「委託」は第三者提供に当たらない

委託元があなたに個人データを渡す行為は、第三者提供には該当しません（法27条5項1号）。だから本人の同意を取り直す必要がない。ガイドラインは、その理由を「本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性がある」からだと説明しています。

一体として扱われるということは、裏を返せば制約も引き継ぐということです。

委託された範囲を超えて使えない

受け取った個人データは、委託された業務の範囲内でのみ取り扱えます。自分のポートフォリオに実データを転用する、別案件の検証に流用する、手元に残して次の提案資料に使う。いずれも範囲外です。

現行法ではこの制約がガイドラインを通じて示されていますが、2026年公布の改正法では委託先の義務として条文に明記される方向です（後述）。

ミニFAQ：案件終了後、手元のテストデータを残しておいてもよいですか。

契約で返還または消去が定められていれば、それに従います。定めがない場合でも、業務終了後に漫然と保持し続けるのは避けてください。返還・消去の方法と保管期間を委託元に確認し、対応した記録を残すのが実務的に安全です。監査対応やログ保全のため一定期間の保管を求められるケースもあるため、自己判断で消す前に一度確認します。

委託先が負う義務の全体像

競合する解説記事の多くは「委託元がどう監督するか」を扱います。ここでは視点を逆にして、あなた（委託先）側の義務を整理します。

太字の行が、受託側で見落とされやすい箇所です。とくに安全管理措置は「委託元が決めて守らせるもの」ではなく、あなた自身が事業者として負う義務である点を押さえてください。

契約条項そのものの読み方は業務委託契約書の確認ポイント｜フリーランスエンジニアが締結前に見る条項とチェックリストで、秘密保持との関係は秘密保持契約（NDA）とは｜フリーランスエンジニアが押さえる条項とチェックポイントで整理しています。

ミニFAQ：委託元から安全管理措置の資料を求められません。何もしなくてよいですか。

求められなくても義務は残ります。法23条は委託元の指示を条件にしていないためです。委託元の監督が緩い案件ほど、漏えい時に責任の所在が争われやすくなります。

安全管理措置を個人の作業環境に落とし込む

安全管理措置（法23条）は条文上「必要かつ適切な措置」としか書かれていません。ガイドライン（通則編）の別添が、講ずべき内容を7区分で示しています。企業向けの記述が中心なので、1人の作業環境に読み替えたものが次の表です。

最後の「外的環境の把握」は、個人開発者が最も落としやすい項目です。海外リージョンのストレージや、海外事業者のSaaSに個人データを置く場合、その国の制度を把握したうえで安全管理措置を講じる必要があります。実務上は、サービスの保存先リージョン、事業者が公表するセキュリティ情報やサブプロセッサ一覧、委託契約上の保存先制限の3点を確認します。

生成AIに顧客データを入力してよいか

ここは案件ごとに判断が割れます。確実に言えるのは次の2点です。

第一に、委託契約や客先規程で禁止されていれば、それが優先します。第二に、禁止がない場合でも、入力したデータが学習に使われる設定のサービスに個人データを投入すれば、委託の範囲を超えた取扱いと評価される余地があります。とくに、学習利用が無効化されていない一般向けサービスへの入力は避けるべきです。

判断材料は、①契約・客先規程での可否、②学習利用の無効化設定や法人向け契約の有無、③入力前に個人データを伏せられるか、の3点に整理できます。実務上は、個人データを伏せた状態で使うのが無難です。スキルシートなど自分側の資料でAIを使うときの注意はスキルシートをAIで作る手順｜下書き活用と情報漏えい対策にまとめています。

ミニFAQ：客先から貸与されたPCなら、安全管理措置は客先の責任ですか。

貸与PCの設定・管理は客先が担いますが、あなたの操作（持ち出し、画面共有、個人アカウントへの保存など）は依然としてあなたの責任範囲です。持ち込みPC・貸与PCの実務差は客先セキュリティ要件対応｜ISMS・Pマーク・持ち込みPCの実務で扱っています。

本番データを預かるときに確認する3点

「開発用にダンプを渡すので使ってください」。この一言で始まるトラブルが少なくありません。着手前に次の3点を確認してください。

1. そもそも本番データが必要か。マスキングやダミーデータで足りるなら、受け取らないのが最も安全です。預からなければ、漏えい時の報告義務も発生しません

2. 保存先と保存期間。ローカルに置くのか、客先環境から出さないのか。いつ消すのか。口頭合意ではなく、メールやチャットなど後から参照できる形で残します

3. 誰まで触れてよいか。再委託が禁止されている契約で外注に渡せば、契約違反かつ法25条の監督問題になります

データの最小化は、安全管理措置の中で最も費用対効果が高い対策です。渡されたから使う、ではなく、必要な範囲まで減らす交渉を先にする。これは実務でそのまま効きます。

再委託する側になる場合

あなたが一部を外注するとき、あなたは「委託元」の立場も兼ねます。委託元の許諾を得たうえで、外注先の選定・契約・取扱状況の把握という3要素（法25条）を自分で履行する必要があります。

再委託の可否判断と条項パターンは業務委託の再委託は可能か｜条項パターンと外注可否の判断基準で詳しく扱っています。

漏えい・紛失が起きたときの対応と期限

結論として、報告対象に当たるかの判断と、委託元への連絡を最優先します。原因究明より先に連絡してかまいません。

報告対象となる4類型

個人情報保護委員会の漏えい等対応ページによれば、民間事業者の報告対象は次の事態です。

• 要配慮個人情報（病歴・犯罪歴など本人への配慮を要する情報）が含まれる事態

• クレジットカード番号など、財産的被害のおそれがある事態

• 不正の目的によるおそれがある事態（不正アクセス、ランサムウェア、内部不正など）

• 本人の数が1,000人を超える事態

ノートPCの紛失も、暗号化されておらず第三者が閲覧しうる状態なら漏えい等に当たり得ます。

期限は速報3〜5日・確報30日

報告は2段階です。ここは「法令が求める期限」と「委員会が示す運用上の目安」を分けて理解してください。

日数は「報告対象事態を知った日」から数えます。原因が特定できていなくても、速報は分かっている範囲で出します。

委託元へ通知すれば報告義務は免除される

ここが受託側にとって最も重要な実務です。委託先で漏えいが起きた場合、個人情報保護委員会のFAQは「原則として委託元と委託先の双方が報告する義務を負います」としています。

そのうえで、法26条1項ただし書および施行規則9条に従い、報告義務を負う委託元に対して、必要事項を速やかに通知した場合には、委託先は報告義務を免除される扱いになります。免除は「通知しさえすれば自動的に認められる」ものではなく、通知先（報告義務を負う委託元であること）・通知内容・時期という条件を満たす必要があります。なお、委託元と委託先の連名での報告も可能です。

通知も「速やかに」行う必要があり、目安は速報と同じくおおむね3〜5日以内です。つまり委託元への連絡が遅れるほど、自分で委員会に報告する立場に近づくことになります。

初動の時系列と責任分界は参画先で情報漏えいが起きたら｜フリーランスの初動48時間と責任分界で詳述しています。

ミニFAQ：委託元に伝えたら契約を切られそうで言い出せません。

報告の遅れは、漏えいそのものより重く評価されます。通知が遅れれば免除も受けられず、損害が拡大した分の賠償リスクも上がります。賠償の上限設定については業務委託の損害賠償条項｜フリーランスエンジニアが確認すべき責任範囲と上限を参照してください。

契約書とチェックシートで確認する点

個人データを扱う案件では、契約書に個人情報条項が入るのが通常です。締結前に次を確認します。

• 対象データの範囲：どの情報が「個人データ」として扱われるか

• 保管場所と持ち出し可否：客先環境限定か、ローカル保存が可能か

• 再委託の可否：事前承諾制か、全面禁止か

• 返還・消去の方法と時期：契約終了後に何をもって完了とするか

• 監査受入れ義務：どの頻度で、何を提示するか

• 損害賠償の上限：報酬額を上限とする規定があるか、個人情報漏えいが上限の例外になっていないか

最後の点は見落とされがちです。賠償上限を報酬額に設定していても、個人情報漏えいだけ上限の対象外とする条項は珍しくありません。該当する場合は、賠償責任保険の検討余地があります（フリーランスエンジニアの保険とは｜労災特別加入・所得補償・賠償責任の選び方）。

取引条件の書面明示そのものについてはフリーランス法の明示事項9項目｜取引条件の書面を確認する手順が参考になります。

ケース別の注意点

SES・客先常駐の場合

客先の環境・規程に従うため、自分の裁量は小さくなります。ただし「指示に従っただけ」が免責になるとは限りません。持ち出し禁止データを自宅に持ち帰る、私物USBを使うといった行為は、指示の有無にかかわらず自分の責任になります。

フルリモートの受託開発の場合

作業環境を自分で管理する分、安全管理措置の負担は重くなります。自宅ネットワーク、同居人の存在、バックアップ先のクラウドまでが対象です。案件ごとに保存先を分けるだけでも、消去時の確実性が上がります。

公共・金融など要件が厳しい案件の場合

ISMSやPマークの取得を前提とする案件、作業場所を限定する案件があります。要件を満たせるかは着手前の確認事項です。この領域の参画条件は官公庁・公共系のフリーランスエンジニア案件｜単価相場・契約形態・セキュリティ要件を徹底解説で扱っています。実際の募集条件はフリコンの案件一覧でも確認できます。

よくある失敗と対策

失敗1：本番データを安易に受け取る

必要性を検討せずダンプを受領し、ローカルに残り続けるパターンです。対策は、受領前にマスキングの可否を確認すること。

失敗2：消去の記録を残さない

消した「はず」では、後から証明できません。消去日・対象・方法をメールで委託元に送っておけば、それが記録になります。

失敗3：私用アカウントへの保存

個人のクラウドストレージやチャットへの保存は、契約上の保存先制限に違反しやすく、安全管理措置の面でも問題になりやすい運用です。案件用の保存先を決めておきます。

失敗4：漏えい時に自分で抱え込む

原因を特定してから報告しようとして、通知のタイミングを逃す例です。分かっている範囲で、まず委託元へ。

令和8年改正で委託先の規律はどう変わるか

ここは確定した事実と、これから決まる事項を分けて読む必要があります。

個人情報保護委員会の公表によれば、「個人情報の保護に関する法律等の一部を改正する法律」は令和8年7月10日に成立し、同年7月17日に公布されました。

公表されている改正の柱のうち、委託先に関係するのは「データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務の見直しを行う」という項目です。委託された業務の遂行に必要な範囲を超えて取り扱ってはならない旨を明文化する方向が示されています。

現行のガイドライン運用と方向性は同じです。したがって、いま適切に運用できていれば、施行時に大きく作り直す必要は生じにくいと考えられます。ただし具体的な要件は政令・規則の公表を待つ必要があり、現時点の情報だけで対応を確定させるのは避けてください。

委託先セルフチェックリスト

案件の着手前と終了時に、次を確認してください。

着手前

• 本番データが本当に必要か検討したか

• 保存場所・持ち出し可否を書面またはチャット履歴で確認したか

• 再委託の可否を確認したか

• 作業PCの暗号化・画面ロックを設定したか

• 利用するクラウドのデータ保存先の国を把握したか

• 漏えい時の連絡先（委託元の担当者）を控えたか

稼働中

• 案件ごとに保存先と権限を分けているか

• 個人データを私用アカウントに置いていないか

• 生成AIへの入力可否を確認したか

終了時

• データを返還または消去したか

• 消去の事実を記録として残したか

• 客先アカウントの削除依頼を出したか

まとめ

業務委託での個人情報の取扱いは、委託範囲の遵守・安全管理措置・事故時の速やかな連絡の3点に集約できます。

個人データを預かるフリーランスエンジニアは、委託元の指示に従う存在であると同時に、自ら法的義務を負う事業者です。この二重性を理解しておけば、契約交渉でも漏えい時でも判断を誤りにくくなります。

要点を整理します。

• 件数要件はなく、1人で働いていても個人情報取扱事業者に該当する

• 委託は第三者提供ではない代わりに、委託された業務の範囲でしか使えない

• 安全管理措置はガイドラインの7区分を自分の作業環境に読み替えて実施する

• 外的環境の把握（クラウドの保存先の国）は個人が落としやすい項目

• 漏えい時は委託元への通知を最優先。報告義務を負う委託元へ速やかに通知すれば、委託先の報告義務は免除される扱いがある

• 速報は「速やかに」（目安おおむね3〜5日以内）、確報は30日以内、不正の目的によるおそれがある場合は60日以内

• 2026年7月17日公布の改正法で委託先の規律は強化される方向。施行は公布から2年以内で、詳細は今後確定する

次のアクションとしては、現在参画中の案件について「保存先・消去時期・再委託可否・漏えい時の連絡先」の4点が明確になっているかを確認してみてください。曖昧なまま進んでいる案件が1つはあるはずです。

個別の契約解釈や、実際に漏えいが発生した場合の対応は、弁護士など専門家への確認をおすすめします。

参照した一次情報は次のとおりです。

• 個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会

• 漏えい等の対応とお役立ち資料｜個人情報保護委員会

• 委託先において個人データが漏えいしてしまった場合の対応｜個人情報保護委員会FAQ

• 令和8年 改正個人情報保護法について｜個人情報保護委員会

• 法令・ガイドライン等｜個人情報保護委員会