個人データの外部提供で何を確認する？委託先・再委託先の実務チェック

• 提供の類型と法的根拠
• データ項目・目的・保存期間
• 委託先と再委託先
• 海外所在・制度・安全管理
• 漏えい時の連絡と報告担当

外部提供を四つに分類する

同じ外部送信でも、第三者提供、業務委託、共同利用、外国にある第三者への提供では確認事項が異なります。営業、問い合わせ、採用、決済、メール配信、クラウド保存ごとに、誰から誰へ何のデータが動くかを図にします。名称ではなく実際の利用目的と取扱いで判断します。

再委託先まで見える契約にする

個人情報保護委員会のガイドラインは、再委託を行う場合に相手方、業務内容、取扱方法の事前報告や承認を求め、監査することが望ましいと示しています。契約書には再委託条件、アクセス制御、保存場所、削除、監査、事故通知の期限を具体的に記載します。

海外クラウドは所在国と制度を確認

サービス運営会社が海外にある、サーバーが海外にある、海外拠点からアクセスできる場合は、実際のデータの流れを確認します。本人同意が必要な場面では提供すべき情報を整理し、ベンダーの安全管理措置、変更通知、データ移転、契約終了後の削除方法を確認します。

漏えい対応は連絡網を先に作る

事故が起きてから責任主体を探すと初動が遅れます。検知、封じ込め、影響範囲の確認、委託元への通知、個人情報保護委員会への報告、本人通知の担当と代行関係を決めます。制度は改正されるため、この記事は一般的な確認表として使い、個別判断は最新の公式資料や専門家へ確認します。