再委託条項レビューのチェックポイント｜委託者・受託者別のリスク整理

こんにちは。LegalAgent 代表弁護士の朝戸です。

業務委託やシステム開発の契約書を確認していると、委託者側から「再委託は一律で禁止したい」という要望をよく耳にします。委託者側の懸念はもっともですが、契約書に禁止と書くだけでは第三者の関与を現実には防ぎきれません。クラウド基盤や外部ツール、専門フリーランス、グループ会社の力を借りずに業務を完結できる受託者は限られており、契約の条文が実態と乖離していると、契約違反が日常的に放置される原因になります。

委託者から見れば、自社が関知しない第三者に業務やデータが扱われること自体が潜在的な脅威です。秘密情報や個人情報、ソースコードが再委託先に渡る過程で管理が甘ければ、事故が起きた際に追跡が難航します。他方で受託者から見れば、外部の人材活用を前提としている開発や運用業務で過度に再委託を縛られると、納期遅延や品質低下を招きます。再委託条項では、委託者の管理と受託者の業務体制を両立できる条件を考えます。

再委託の定義と対象範囲

再委託条項では、「相手方の事前の書面による承諾なく、業務の全部または一部を第三者に再委託してはならない」という文言が広く用いられます。ここで確認したいのは、「第三者への委託」にどこまで含まれるかという点です。業務を丸ごと下請けに出すケースだけでなく、一部の専門作業の外注、グループ会社への一部委託、さらにはSaaSやクラウドサービスの利用まで契約上の再委託に含まれるのかによって、運用の重さが大きく変わります。

クラウドの利用が契約上の再委託に当たるかは、定義と利用実態から確認します。実際に業務へ関与するのか、個人データを取り扱うのかといった実態に即して線引きを定めます。定義が広すぎると日常的なツールの利用すら個別の承諾が必要になり、承諾手続が業務の負担になることがあります。逆に定義が狭すぎると、委託者が把握すべき外部関係者が管理の網から外れてしまいます。

承諾方式の類型化と再々委託の統制

再委託の定義を明確にした後は、承諾の方式を設計します。準委任における復受任者の選任では、民法644条の2・656条による許諾又はやむを得ない事由の要件など、適用される法令と契約条件を確認します。そのうえで、事前の書面承諾を都度義務付けるのか、事前通知で足りるものとするのか、あらかじめ指定した協力会社や軽微な補助業務には包括的な承諾を認めるのかを、業務の性質や情報の重要度に応じて使い分けるのが実務的です。ただし、法令上委託者の許諾が定められている場面では、契約上の通知だけで要件を代替できるわけではない点に留意しておきます。たとえば個人番号利用事務や個人番号関係事務の再委託では、番号法により再々委託以降も含めて最初の委託者の許諾が義務付けられています。

再委託先がさらに外部へ委託する「再々委託」の統制も見落とせません。委託先が多層化するほど委託者の目配りは届きにくくなります。再々委託を一律に禁止するのか、事前承諾を条件に認めるのか、あるいは一定のインフラ系クラウドのみ例外とするのかを、最初の再委託と同様の基準で整えておきます。

再委託先の義務付けと責任の所在

再委託を認める前提として、受託者が再委託先にも必要な秘密保持義務や個人情報保護、情報セキュリティ上の義務を負わせるよう取り決めます。「同等の義務を負わせる」と書くだけで済ませず、重要なシステムや個人データを扱う業務では、再委託先との契約締結や管理証跡の保存を受託者に求めることで実効性が高まります。また、社名や所在地、担当業務、扱う情報の範囲など、委託者が判断を下すに足りる情報の提供も定めておきます。

再委託先が損害を生じさせた場合の責任分担も確かめておきます。受託者が自らの行為と同様の責任を負うのか、損害賠償の責任上限や間接損害の除外が再委託先の事故にも適用されるのかを取り決めます。委託者が再委託先へ直接請求できるかは、契約や法令上の根拠を個別に確認します。受託者に対する請求と、受託者から再委託先への求償は区別します。受託者側としては、責任上限の例外が過大に広がらないよう注意を払います。第三者請求まで含む補償を引き受ける場合も、再委託先との契約に対応する義務や補償を定められるかを確認します。

情報管理と法令対応の実務

個人情報や営業秘密を扱う業務では、再委託先のアクセス権限と端末・アカウント管理、ログの保管を確認します。保存場所や事故発生時の報告期限を定めておきます。再委託先が海外に所在する場合や海外拠点のクラウド基盤を利用する場合は、現地の法制度やデータ保護の越境移転ルール、利用規約の条件をあわせて見ておく必要があります。委託先の一覧を定期的に更新し、管理状況を委託者が点検できる手続きを定めておきます。個人データを取り扱わないクラウドは、個人情報保護法上の委託に当たらない場合がありますが、安全管理の確認は残ります。外国にある事業者が個人データを取り扱う場合の提供要件も、委託先の監督とは別に確認します。

また、2026年1月1日に施行された中小受託取引適正化法（取適法）への目配りも欠かせません。従来の枠組みから改正され、委託取引の公正化に向けた実務対応がより意識される中、すべての再委託取引が自動的に対象となるわけではないものの、各取引段階の当事者の資本金又は従業員数、取引類型に応じた適用関係を確認します。発注内容の明確な書面交付や報酬の支払条件、不当な負担転嫁がないかを含めて、取引全体の妥当性を見極めます。

受託者側では、自社の開発・運用体制が契約条文と矛盾していないかをまず点検します。契約上の禁止対象に当たる外部リソースを必要な承諾なしに使い続ければ債務不履行の責任を問われかねないため、契約締結時に必要な再委託先を明示し、包括的な承諾を取り付けておくのが現実的な自衛策となります。再委託条項を含む契約審査を継続的に依頼する場合の範囲は法務アウトソーシングに記載しています。