個人情報取扱条項とは？委託契約・SaaS契約で確認すべきポイント
こんにちは。LegalAgent 代表弁護士の朝戸です。
「乙は、個人情報保護法を遵守する」。契約書の個人情報条項が、この一文だけで終わっていることがあります。法令遵守の確認自体は必要ですが、法律の遵守は契約に書かなくても当事者の義務です。契約書に個人情報取扱条項を置く意味は、法律が一般的な形でしか定めていない部分、つまり誰が、どの個人情報を、何の目的で、どこまで扱い、再委託や漏えい時対応をどうするのかを、その取引に即して特定することにあります。
SaaS、業務委託、採用支援、マーケティング、CRM、AIサービス、カスタマーサポートと、個人情報や個人データを扱う取引は増え続けています。この記事では、個人情報取扱条項を委託契約とSaaS契約の両面からレビューする手順を追います。
個人情報取扱条項が問題になる場面
個人情報取扱条項とは、契約に関連して個人情報や個人データを取り扱う場合に、その取扱方法、管理義務、利用目的、再委託、漏えい時対応などを定める条項です。
企業間取引では、採用支援サービスや人材紹介、給与計算や労務管理の委託、CRMやMAツールの利用、SaaSへの顧客情報登録、カスタマーサポートの外部委託、マーケティング施策、AIサービスへのデータ入力、M&Aや法務DDでの資料共有といった場面で登場します。
条項の文言と並んで、実際のデータフローの確認が欠かせません。どのデータを、誰が、どのシステムで、どの国で、どの期間保管するのか。この事実関係が分からないまま条項だけを直しても、契約と実態がずれた状態が残ります。逆に、データフローが特定できていれば、条項の要否は順に決まっていきます。委託に当たるのか、第三者提供なのか、共同利用なのかという法的構成の判断も、データの流れが先に分かっているほど速くなります。
データの種類と自社の立場の見極め
レビューの最初の作業は、扱うデータの種類と当事者の立場の確認です。
個人情報といっても、氏名やメールアドレスにとどまりません。購買履歴、応募者情報、従業員情報、健康情報、本人確認書類、ログ、Cookie、端末識別子と、サービスによって扱う情報は大きく異なります。要配慮個人情報が含まれるかどうかで、必要な手当ても変わります。
立場の確認も同じ段階で行います。自社が委託者なのか、受託者なのか、共同利用者なのか、第三者提供を受ける立場なのか。利用目的、取得経路、本人同意の要否、第三者提供の有無、外国にある第三者への提供の有無は、この立場によって確認の力点が変わります。「個人情報を扱うかどうか」という粗い問いで止めず、どの種類の情報をどの法的構成で扱うのかまで特定してから条項に入ります。この特定を飛ばして条項の文言修正から入ると、ひな形の交換合戦になり、どちらのひな形も実際のデータフローに合っていないという結末になりがちです。
委託契約での委託先管理の落とし込み
個人データの取扱いを委託する場合、委託元は委託先を必要かつ適切に監督することが求められます。契約実務での課題は、この監督を具体的な条項に落とし込むことです。
条項として置くのは、委託業務の範囲、取り扱う個人データの種類、利用目的外利用の禁止、安全管理措置、従業者の監督、再委託の可否と再委託先の管理、漏えい等発生時の報告、監査・報告権、契約終了後の返還・削除です。委託者側はこのうちどこまでの管理義務を受託者に負わせるかを見ますし、受託者側は求められている義務が自社の体制で実行可能かを見ます。実行できない義務を条項として受けてしまうと、義務違反の状態が契約締結の日から始まります。
再委託は、このなかでも比重の大きい論点です。SaaSやBPOでは、クラウド事業者、外部ツール、グループ会社、海外拠点が関与します。再委託を一律禁止するのか、事前承諾制にするのか、通知制にするのかは、事業実態に合わせて決めることになります。一律禁止は、クラウド利用が前提のサービスでは現実に守れず、守れない条項は監督の起点として機能しません。承諾制を採る場合は、承諾の単位も決めておきます。再委託先を個別に承諾するのか、類型や一覧での包括承諾を認めるのか、一覧の更新をどう通知するのか。クラウド事業者が多数関与するサービスでは、包括承諾と一覧更新の組合せが現実的な運用になることが多いです。
SaaS・AIサービスでのデータ利用範囲
SaaSやAIサービスでは、個人情報取扱条項が利用規約、プライバシーポリシー、データ処理規約と一体になっています。利用者側として特に確認したいのは、入力データや利用データを提供者側がどこまで使えるかです。
サービス改善、統計分析、AIモデル学習、ログ分析、セキュリティ監視、サポート対応。この種の目的でデータが利用される建て付けは珍しくありませんが、利用目的が広すぎると利用者側では受け入れにくくなります。確認の観点は次のとおりです。
- 入力データの利用目的の範囲
- サービス改善・AI学習への利用可否
- 統計化・匿名化された情報の扱い
- ログやメタデータの扱い
- データ保存期間
- 外国サーバー・サブプロセッサーの有無
- 解約後のデータ削除・エクスポート
利用目的の広さは、文言だけでは評価しきれません。統計化・匿名化といっても、どの水準の加工なのか、復元可能性が残るのかで意味が変わります。ベンダーに質問して回答を記録しておくと、後に社内や本人へ説明するときの資料になります。
AIサービスでは、プロンプトや入力ファイルに個人情報が混ざります。契約上の学習利用の有無と第三者提供の有無を確認したうえで、社内の利用場面につなげます。契約書レビュー、問い合わせ対応、顧客分析、採用、労務、マーケティングと、AIの利用場面ごとに、入力データに個人情報が含まれるか、学習利用や委託先提供に当たらないか、本人への説明と整合しているかを見ます。氏名やメールアドレスだけでなく、相談内容、購買履歴、職務経歴、評価情報、問い合わせログも個人に関する情報になり得ます。
漏えい等発生時の対応の具体化
「漏えい等が発生した場合は速やかに報告する」という条項だけでは、事故の当日には動けません。誰に、いつまでに、何を報告するのか。原因調査への協力はどこまで求められるのか。本人通知や当局報告はどちらが行うのか。この分担が決まっていない状態で事故が起きると、初動の数日を役割の調整に費やすことになります。
条項として特定しておきたいのは、漏えい等の定義、初動報告の期限と報告内容、原因調査の協力義務、被害拡大防止措置、本人通知・当局報告の役割分担、費用負担、損害賠償と責任上限、再発防止策の報告です。個人情報漏えいの対応には、法務のほか、情報システム、広報、カスタマーサポート、経営陣が関わります。契約書が事故対応の手順書として読める水準になっているかという目で確認すると、条項の過不足が見えます。
受託者側の立場では、報告期限や協力義務を無限定に受けないことも同じくらい大切です。自社が事象を把握してから何時間以内なのか、報告対象はどの範囲の事象なのかを特定しておかないと、軽微な事象まで即時報告義務を負うことになります。
DPA・プライバシーポリシーとの整合
SaaSや海外サービスでは、契約書本文とは別にデータ処理規約やDPAが用意されていることがあります。この場合、利用規約、注文書、DPA、プライバシーポリシー、セキュリティ資料を一体として読みます。本文では個人情報の取扱いが簡潔にしか書かれていなくても、DPAで再委託先、国際移転、削除、監査、漏えい時対応が詳細に定められていることがあるためです。DPAが契約の一部になるのか、本文と矛盾した場合にどちらが優先するのか、サブプロセッサーの一覧はどこにあるのか、改定時の通知はどうなっているのかを確認します。契約書本文だけを読んで「問題なし」と判断すると、DPA側にある義務や免責を見落とします。セキュリティ措置、データの削除・返還の方法、監査の受け方も、本文よりDPA側に書かれていることが多い項目です。
プライバシーポリシーとの整合も同じ作業の一部です。契約書上は委託先にデータを渡せる内容になっているのに、プライバシーポリシーで本人にその説明をしていない。逆に、プライバシーポリシーでは広く利用目的を書いているのに、委託契約では利用目的外利用を厳しく制限している。本人への説明、契約上の許容範囲、実際の運用の三つがそろっているかを見るのが、個人情報レビューの完成形です。
契約締結後の管理と社内台帳
条項を整えた後には、運用の管理が続きます。どの委託先に、どの個人データを、どの目的で、どの期間、どの国で扱わせているのか。契約書に再委託や漏えい時対応が定められていても、委託先一覧やデータフローが社内で分からなければ、事故時に条項を使えません。
台帳で管理したい項目は次のとおりです。
- 委託先名と業務内容
- 取り扱う個人データの種類
- 契約書・DPAの有無
- 再委託先
- データの保存場所
- 契約終了時の削除方法
- 漏えい時の連絡先
- 定期確認の実施状況
AIサービスも、この台帳に委託先の一種として載せておくことをおすすめします。利用しているAIサービス名、入力される個人情報の種類、学習利用の有無、保存期間、契約上の位置づけ（委託か、独自の利用規約への同意か）を一覧化しておくと、複数の部署がそれぞれ別のAIツールを導入している場合でも、契約更新時や事故発生時に、どのAIツールにどの個人情報が渡っているかを短時間で確認できます。
台帳の更新契機も決めておきます。新規契約の締結時、契約更新時、サービス仕様の変更時、組織変更時のいずれかで棚卸しをする運用にしておくと、台帳が作成時点のまま古びていく事態を避けられます。
よくある失敗
個人情報取扱条項でよくある失敗は、サービス利用開始後にデータフローを把握しようとすることです。
契約締結時には「個人情報を扱う」程度の認識だったものが、実際には顧客情報、従業員情報、応募者情報、問い合わせ履歴、ログ、添付ファイルと、複数種類のデータが同じサービスに入っている。後から確認すると、再委託先、保存国、削除方法、AI学習利用の有無が分からない。プライバシーポリシーには記載しているのに、委託契約やDPAには必要な条項がない。契約書上は厳しい義務があるのに、現場の運用が追いついていない。後から発覚するのは、たいていこの型のずれです。
締結前に確認しておくべきことは、どの個人情報を入れるか、誰がアクセスするか、どこに保存されるか、どの委託先が関与するか、いつ削除するか、本人への説明と整合しているか、事故時に誰が動くか、という点に尽きます。個人情報の契約レビューは、条項を読む作業というより、サービス設計、プライバシーポリシー、情報セキュリティ、委託先管理をつなげて確認する作業です。この確認は契約審査の担当者だけでは完結しないため、情報システム部門や事業部への質問リストをあらかじめ持っておくと、締結前の確認が現実に回ります。
個人データ条項の支援サービス
個人情報取扱条項のレビューやDPAの確認は、以下のページでサービス内容をご確認いただけます。