このページの要点
- 置き場所は三つ（NDAの一条・業務委託契約の一条・別建ての覚書）。個人データが業務の中心なら、別建ての覚書が設計しやすい。
- まず「委託」か「提供」かを決める。委託なら本人の同意は不要で監督の義務が残り、提供なら同意などの根拠が要る。受け取る側が自分の目的で使うなら、委託の範囲を超える。
- 漏えいの通知は、規則の項目に合わせた事項と、守れる期限で書く。報告対象事態かの判断は委託元がするので、委託先は全件を通知する。
- 再委託は事前承諾と同等の義務、国外への移転は事前の承諾。監督の方法は強さの段から選び、範囲を限る。受託者側は、無制限の責任と水準を超える要求を点検する。
結論：NDAは「秘密」を決め、覚書は「個人データの扱い」を決める。分ける理由は三つある
外注先に顧客の名簿や問い合わせの履歴を渡す事業者は、NDAを結んだうえで、さらに個人情報の取扱いだけを決める覚書を別に結ぶことがあります。NDAに個人情報の一条を足せば足りるのではないか、という疑問が出ますが、覚書として切り出すと、設計しやすくなる場面があります。理由は三つです。
- 除外事由と存続の考え方が違う。NDAでは、すでに公になっている情報は秘密情報から外れます。しかし、個人情報は、公になっていても個人情報です。存続も、一般の秘密情報のように年数で区切る発想がなじみません。個人データを預かる間はもちろん、返還や消去が終わるまで義務が続く、という組み立てになります。
- 守る相手が違う。NDAの義務は、当事者の間の約束です。個人データを外注先に渡す事業者には、本人に対する法律上の責任が残ります。個人データの取扱いを委託する場合は、委託を受けた者に対する必要かつ適切な監督を行わなければなりません（個人情報保護法25条）。覚書は、この監督の中身を契約で形にする書面です。
- 期限・報告先・確認の項目が、法令に連動する。漏えいが起きたときの報告の期限や項目は、法律と規則で決まっています。NDAの「直ちに報告する」では足りず、規則に合わせて逆算した期限と項目を書く必要があります。
アトラス行政書士法人が作成・レビューしてきた書類を見ると、個人情報の取扱いは、三つの置き方で書かれています。
個人情報の取扱いの置き場所
| 置き場所 | 事務所の書類での例 | 向く場面 | 弱点 |
|---|---|---|---|
| NDAの中の一条 | SNS運用代行会社の外注先向けNDA（第15条）。目的内の利用、安全管理、第三者提供の事前承諾、法25条にもとづく報告請求、本人からの請求の通知を一条にまとめた | 個人データを扱う量が限られ、秘密保持と同じ相手・同じ期間で足りる | 報告期限や再委託の細則まで入れると、NDA本体が重くなる |
| 業務委託契約の中の一条 | テレマーケティング業務の委託契約（個人情報の保護の条）。取得の範囲、第三者提供の禁止、事故の報告、終了時の返還・消去、違反時の賠償を一条に置いた | 個人情報が業務の一部で、契約書を一通にしたい | 契約終了後の義務が、本体の存続条項に左右される |
| 別建ての覚書 | 事務所がレビューした個人情報の取扱いに関する覚書（全10か条）。定義、遵守事項、利用目的の制限、安全管理措置、再委託、漏えい報告、監督・監査、返還・消去、損害賠償、有効期間を独立して置く | 個人データが業務の中心で、委託元が監督の義務を果たす証拠として使う | NDAとの優先関係と、期間の食い違いを決めておく必要がある |
どの置き方でも、中身に当たる論点は同じです。以下は、別建ての覚書にする場合の条文設計を中心に説明します。NDAの形の選び方はNDAをどの形で結ぶかを参照してください。
最初に決める：渡すのは「委託」か「提供」か
覚書の中身は、個人データを渡す理由で大きく変わります。個人データの取扱いを、相手の業務のために任せる場合は委託です。利用目的の達成に必要な範囲で委託する場合は、受け取る側は本人から見て「第三者」に当たりません（個人情報保護法27条5項1号）。そのため、本人の同意なしに渡せます。その代わり、渡す側には委託先の監督の義務（同法25条）が残ります。
これに対し、相手が自分の目的のために個人データを使うなら、それは提供です。原則として本人の同意が要ります（同法27条1項）。同意が要らない例外もありますが、受け取る側が自分の製品開発や統計の作成に使う場合は、委託の枠を超えます。特定の者の間で共同して使う場合の共同利用（同法27条5項3号）という別の道もあり、その場合は本人への通知などが条件になります。
この違いは、事務所の書類に出てくる例と、一般的な組み方で次のように見分けられます。
- 委託の例：業務ツールの構築を請けるコンサルタントに、顧客がリストなどの個人データを任せる案件。個人データの特則として、目的外利用の禁止、再委託の制限、取扱状況の報告、漏えい時の通知、終了時の返還・消去を置く方針を示した。これは、顧客が委託先を監督する義務を果たすための仕組みそのものになる。
- 提供の型の考え方：受講者の情報などを他の団体に渡す場面では、提供の条件を冒頭に置き、提供する側が適法な根拠と必要な同意を取得していることを前提にする組み方があります。提供前に、情報の種類・範囲・目的・方法を相互に確認して文書で記録し、提供の内容と日付も記録しておくと、後で経緯を示せます。これは一般的な組み方の一例で、事務所の書類にある条文ではありません。
- 委託の枠を超える例：実証実験の覚書のレビューで、会社が従業員の表示名を事業者のシステムに入力する行為を取り上げた。事業者が自社の製品開発のために使うので、委託には当たらず、本人（従業員）の同意を会社の側で取る手順が必要だ、と整理した。
委託型の覚書と、提供型の覚書の違い
| 項目 | 委託型 | 提供型 |
|---|---|---|
| 前提 | 渡す側は、委託先の監督の義務を負う。本人の同意なしに渡せる | 渡す側が、本人の同意などの適法な根拠を確かめてから渡す |
| 目的外利用 | 渡した目的の範囲に限る。統計化・製品改善などの二次利用は、原則として認めない | 提供の目的の範囲に限る。受け取る側の自己の目的は、提供の目的として明示する |
| 本人からの請求 | 委託先は開示等の権限を持たないので、委託元に転送し、直接回答しない | 窓口を提供元に一本化し、受け取る側は提供元の指示に従う |
| 受け取る側の再提供 | 再委託の事前承諾と、再委託先への同等の義務 | 再提供の禁止、又は提供元の承諾と、再提供先の返却・削除の監督 |
| 終了時 | 返還・消去と、その証明 | 返還・削除に加え、提供先の削除状況の確認 |
どちらの型かが曖昧なまま作られた覚書が、最も扱いにくくなります。たとえば、委託のつもりで書きながら、受け取る側が集めたデータを統計にして自社のサービス改善に使う条が入っていると、委託の範囲を超えます。この点は、後の「本人からの請求と二次利用」の章で、統計情報の書き方を説明します。
漏えいの報告期限は、法令の期限から逆算して決める
覚書の中で最も実務に響くのは、漏えいが起きたときの報告の期限です。委託先で個人データの漏えい、滅失、毀損が起きた場合、委託元が個人情報保護委員会へ報告し、本人へ通知する義務を負うことがあります（個人情報保護法26条1項・2項）。委託先に連絡が来るのが遅れると、委託元の側の期限が守れなくなります。
委託先の通知から、委託元の報告まで
委託先が、委託元へ規則に定める通知をしたときは、委託先自身は委員会への報告と本人への通知の義務を負いません（法26条1項ただし書、同条2項の括弧書）。だからこそ、委託先から委託元への通知を、覚書の最重要の条にします。
報告の対象になる事態は、規則7条が四つの類型で定めています。要配慮個人情報が含まれる個人データの漏えい等、不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、そして本人の数が千人を超える漏えい等です（個人情報の保護に関する法律施行規則7条各号）。委員会への報告は、事態を知った後、速やかに行う速報と、知った日から30日以内（不正の目的による場合は60日以内）に行う確報の二段で、報告する事項は概要、項目、本人の数、原因、二次被害のおそれ、本人への対応の状況、公表の状況、再発防止の措置などです（同規則8条1項・2項）。
委託先が委託元に通知する場合の事項も、同じ規則で定められています（同規則9条は、8条1項各号に定める事項を、事態を知った後速やかに通知する、と定めます）。覚書の通知事項を、規則8条1項の項目に合わせておくと、委託元は受け取った通知をそのまま委員会への報告に使えます。
事務所の書類では、漏えいの通知の期限を「24時間以内」とした例が複数あります。営業を委託する場面のNDAでは、知得後24時間以内に、発生の日時と場所、内容と影響範囲、暫定措置、想定される原因を通知する、と定めました。一方、個人情報の取扱いに関する覚書をレビューした案件では、「即時に報告する」とだけあり、期限と項目がないことを、補うべき点として挙げました。
第○条（漏えい等の通知）【一般的な書き方の一例】
１乙は、委託を受けた個人データの漏えい、滅失、毀損又はこれらのおそれがある事態（以下「漏えい等」という。）を知ったときは、報告対象事態に当たるか否かにかかわらず、知った時から24時間以内に、書面又は電子メールにより甲に通知する。
２前項の通知には、その時点で把握している次の事項を含める。(1)概要 (2)漏えい等に係る個人データの項目 (3)本人の数 (4)原因 (5)二次被害又はそのおそれの有無及びその内容 (6)本人への対応の実施状況 (7)公表の実施状況 (8)再発防止のための措置 (9)その他参考となる事項。判明していない事項は、判明次第、追って通知する。
３乙は、甲の指示に従い、被害の拡大の防止、原因の調査、再発防止その他必要な措置を講じ、甲が個人情報保護委員会への報告及び本人への通知を行うために必要な協力をする。
４漏えい等に関する調査、是正及び再発防止の措置に要する費用は、漏えい等を生じさせた当事者が負担する。
「報告対象事態に当たるか否かにかかわらず」は、委託先が判断を誤って通知を遅らせないための書き方です。報告対象事態かどうかは、通知を受けた委託元が判断します。事務所の書類の条文ではなく、規則の項目に合わせた一般的な書き方の一例です。
24時間という期限が適切かどうかは、委託先が守れる時間でもあります。夜間や休日に通知を受ける体制がないなら、「知った時から24時間以内」ではなく、「翌営業日の正午まで」のように、実際に守れる形にします。守れない期限を置くと、違反の状態が日常になり、本当に期限が必要な事態で意味を失います。
NDAの側の報告の定めは差止め・事故報告で説明しています。NDAの報告は秘密情報の漏えいを、覚書の報告は個人データの漏えいを対象にし、どちらの定めが優先するかを決めておきます。
再委託と多段階の再委託：承諾の対象と、国外への移転
個人データの取扱いを委託された者が、さらに別の者に任せる場合を再委託といいます。委託先が再委託をすると、委託元は、自分の知らない者が個人データを扱う状態になります。個人情報保護委員会のガイドライン（通則編）は、委託先が再委託する場合、委託元は、再委託先、再委託する業務の内容、再委託先での取扱いの方法について事前に報告を受けるか承認を行うこと、再委託先が法23条の安全管理措置を講じていることを十分に確認することが望ましいとしています。再々委託以降も同様です。また、委託元が監督を怠ったまま、再委託先が不適切な取扱いをしたときは、委託元の法違反と判断され得る、と書かれています。
覚書で再委託を決めるときは、次の四点を揃えます。
- 再委託は、事前に甲の書面による承諾を要する。承諾を求める書面に、再委託先、再委託する業務、取り扱う個人データの項目、取扱い場所を書かせる。
- 再委託先に、覚書と同等以上の義務を負わせる。再々委託以降も同じにする。
- 再委託先の行為について、乙が自らの行為と同じ責任を負う。
- 甲は、再委託先に対しても、報告を求め、必要な範囲で確認ができる。
個人情報の取扱いに関する覚書をレビューした案件では、再委託を「書面承諾制」としているだけの条を、再委託先に同等の義務を課すこと、委託者が再委託先に監査や報告を求められること、再委託のリスク管理の責任は受託者にあること、の三点を補う方向で整理しました。再委託先を使うかどうかと、その場合に誰が責任を負うかが、条文の中で決まっていないと、事故が起きたときに責任の所在が争いになります。
再委託先が外国にある場合は、別の規制がかかります。個人データを外国にある第三者に提供するには、原則として、外国にある第三者への提供を認める旨の本人の同意が要ります（個人情報保護法28条1項）。この条は、「前条第一項各号に掲げる場合を除くほか」と書き、27条1項の例外を引き継ぐ一方で、27条5項の委託の例外は引き継いでいません。そのため、委託先が外国にある場合でも、同意が要るか、受け取る側が日本の法律の措置に相当する措置を継続的に講ずる体制を整えていること（施行規則16条1号は、委託契約などの適切かつ合理的な方法で、措置の実施が確保されていること、を基準の一つに挙げます）が必要です。覚書では、国外への持出し・国外サーバへの保存・外国の再委託先への開示を、事前の承諾にかからせ、承諾の条件として、措置の実施を確保する定めを置きます。海外の取引先・外注先との書面の設計は海外の取引先・海外在住者とのNDAで説明しています。
事務所の書類では、AIエンジニアとのNDAや、個人の専門家とのNDAに、個人情報を、委託の目的に必要な範囲を超えて取得、利用、加工、複製、第三者への提供をせず、国外に移転しないとする定めを置いた例があります。再委託の条と合わせて、「どこに、誰が、持ち出すか」を決める条です（目的外利用・開示の範囲）。
監督・立入り・報告請求：強さの段を選び、範囲を限る
個人情報保護委員会のガイドラインは、委託先における個人データの取扱状況の把握について、定期的な監査などにより契約内容の実施状況を調べ、委託内容の見直しも含めて評価することが望ましい、としています。また、確認の方法は、取扱いの内容や規模に応じて、現地の確認も口頭の確認も含め、合理的な方法を選ぶとされています。覚書では、この「把握」の方法を、強さの段で選びます。
委託先の取扱状況を把握する方法上ほど強く縛る書き方
- 立入調査事前の通知なく、又は短い予告で、委託元が委託先の施設に立ち入って確認する。きわめて重い個人データ（要配慮個人情報、大量の名簿）を扱うとき。事故が起きた後の確認
- 計画された監査監査の計画、事前の通知、立入りの日時の制限、結果にもとづく是正を決める。継続的に個人データを預けるとき
- 書面による報告請求必要な範囲で、取扱状況の報告と資料の提出を求められる。多くの委託で足りる標準的な水準
- 自己点検の提出委託先が点検の結果を定期的に委託元へ提出する。預ける個人データが少なく、委託先が個人のとき
- 報告の定めなし委託元が監督の方法を契約で決めない。監督の義務を果たしにくく、避けたい書き方
強い順に並べています。委託元が法25条の義務を果たしたと説明できる水準を下限にし、受託者の負担と釣り合う段を選びます。
事務所の書類には、段の違う例が並んでいます。SNS運用代行会社のNDAは、法25条の定めるところにより、取扱状況を把握するために必要な範囲で報告を求められる、という段（書面による報告請求）です。個人情報の取扱いに関する覚書は、委託元の監査権を明記していましたが、レビューでは、監査の計画、事前の通知、立入りの日時の制限、結果にもとづく是正義務を明文化する、と補いました。立入調査の条を、「秘密保持違反の疑いその他合理的な理由があるときに限る」「事前に十分に協議し、営業日の数日前までに書面で通知する」「通常業務に支障のない範囲」と限定する提案をした例もあります。
本人からの請求と二次利用：委託先は窓口にならず、統計化は範囲を限る
本人は、個人情報取扱事業者に対し、自分が識別される保有個人データの開示、訂正等、利用停止等を請求できます（個人情報保護法33条から35条）。ここでいう保有個人データは、開示、内容の訂正・追加・削除、利用の停止、消去、第三者への提供の停止を行う権限を有する個人データです（同法16条4項）。個人データを預かっただけの委託先には、通常その権限がありません。そのため、本人から請求を受けた委託先は、遅滞なく委託元へ通知し、委託元の指示に従う、という定めを置きます。
事務所の書類では、SNS運用代行会社のNDAが、本人から開示、訂正、利用停止その他の請求を受けたときは、遅滞なく甲に通知し、甲の指示に従って対応する、と定めています。提供型の契約では、本人の請求は提供元を通じて行い、受け取る側は提供元の承諾なく本人に直接回答しない、という組み方もあります。窓口を一つにすることで、本人への対応がばらばらになるのを防ぎます。
二次利用についても、決めておきます。委託を受けたデータを、受託者が統計にして自社のサービス改善に使う、という条が入ることがあります。実証実験の覚書のレビューでは、「統計処理または匿名化」「匿名化された情報は期間の制限なく利用できる」とした条を取り上げ、「匿名化」は法令上の定義を持たない語であり、個人に関する情報を残したまま加工して使い続けるなら、匿名加工情報の作成として義務が生じ得る一方、単に誰の情報か分からない程度の加工では、なお個人情報のままになる、と指摘しました。そのうえで、期間の制限なく使えるのは、「特定の個人との対応関係を排斥した統計情報」に限る、という書き方を提案しています。
第○条（個人データの二次利用）【一般的な書き方の一例】
１乙は、甲から預かった個人データ及びこれを加工して得られた情報を、本業務の遂行以外の目的に利用してはならない。
２前項にかかわらず、乙は、特定の個人との対応関係を排斥した統計情報に限り、本契約の終了後も、業務の改善のために利用することができる。この場合において、乙は、統計情報から個人を識別し、又は他の情報と照合して個人を識別することを行わない。
３乙は、本人からの開示、訂正、利用停止その他の請求を受けたときは、遅滞なく甲に通知し、甲の指示に従い対応するものとし、甲の承諾なく本人に直接回答しない。
第2項の「統計情報」は、集計した結果だけを指します。個人単位のデータを残す加工は、この例外に入りません。事務所の書類の条文ではなく、一般的な書き方の一例です。
返還・消去の条は、NDAのものと重なります。完了の証明、バックアップや法令による保存を例外とする書き方は返還・廃棄・証明に詳しくまとめました。個人データについては、削除できないものが残る場合に、その保管の目的・期間・アクセスできる人を、委託元へ通知する定めを加えるのが、監督の観点からは大切です。
受託者から見た点検：無制限の責任、規程の一方的な変更、水準を超える要求
覚書を預ける側（委託元）が作るとき、受け取る側（受託者）が点検する項目も知っておくと、受け入れられやすい書面になります。受け入れられない書面は署名されず、監督の証拠として使えないからです。
個人情報の覚書を、両側から読む
出す側（開示者）の設計
- 報告期限・通知事項を、規則の項目に合わせて具体的に決める
- 再委託を事前承諾制にし、再委託先にも同等の義務を課す
- 監督の方法に、強さの段を選び、範囲を限る
- 損害賠償は、範囲と上限を定め、個人データの漏えいは上限の外に置くかを判断する
受け取る側（受領者）の点検
- 責任が「弁護士費用や第三者への賠償を含む無制限」でないかを確かめる
- 委託元が一方的に変更できる規程やガイドラインを、守るべき水準に含めていないか
- 委託元自身が負っている水準を超える措置まで、求められていないか
- 通知の期限と体制が、受託者が実際に守れるものか
個人情報保護委員会のガイドラインは、委託元が法23条の水準を超える措置を講じていても、委託先に同水準を求める趣旨ではなく、委託先は法23条の水準を満たせば足りる、と整理しています。
個人情報の取扱いに関する覚書をレビューした案件では、「弁護士費用や第三者への賠償まで含む包括的な無制限責任」を、受託者の保護の観点から不均衡と整理し、故意・重過失以外の責任の限定、損害賠償額の上限（年間の委託報酬に相当する額など）、間接損害・逸失利益の免責を検討する、という方向を示しました。違約金を置く場合は、賠償額の予定と推定されます（民法420条3項）ので、損害の証明なしに請求できる反面、過大な額は公序良俗（民法90条）に反するとされるおそれがあります（違約金・損害賠償）。個人データの漏えいを上限の外に置くかどうかは、取引の相手と預かる量で判断が分かれます。
NDAとの切り分けも、受託者の点検の対象です。覚書の存続期間とNDAの存続期間が食い違っていないか（存続期間）、個人情報を秘密情報の定義にも入れているときに、除外事由が個人情報には働かないことが条文で分かるかを、確かめます。
起きがちなこと
よくあるご質問
NDAに個人情報の条があれば、覚書は不要ですか？
個人データの量が限られ、相手や期間がNDAと同じなら、NDAの一条で足りることがあります。ただし、漏えいの報告期限や項目、再委託の承諾、監督の方法まで細かく決めるなら、独立の覚書にすると設計しやすくなります。置き場所に関わらず、委託元が法25条の監督を果たせる中身かどうかが基準です。
漏えいの報告は、何時間以内にさせるのがよいですか？
法令が定めるのは、委託先から委託元への通知を事態を知った後、速やかに行うこと、委託元から委員会への報告を速やかに行う速報と、30日以内（不正の目的による場合は60日以内）の確報です。時間数は法令にありません。事務所の書類には24時間以内とした例が複数ありますが、委託先が実際に守れる体制に合わせて決めます。
委託と提供は、どう見分けますか？
渡した先が、渡した側の業務のために取り扱うなら委託、渡された側が自分の目的（製品開発、統計の作成、広告など）に使うなら提供です。委託なら本人の同意は不要ですが、委託先を監督する義務が残ります。提供なら、本人の同意などの根拠が要ります。
委託先が外国にある場合は、何に注意しますか？
外国にある第三者への提供には、委託の場合も別の規制がかかります（個人情報保護法28条）。本人の同意を得るか、受け取る側が相当する措置を継続的に講ずる体制を整えていることが必要で、委託契約などで措置の実施を確保することは、その基準の一つです。覚書では、国外への移転を事前の承諾にかからせます。
受託者として覚書を受け取ったとき、特に何を確かめますか？
責任が上限のない無制限になっていないか、委託元が一方的に変更できる規程が義務に含まれていないか、委託元が求める措置が法23条の水準を超えていないか、通知の期限を実際に守れるか、の四点です。個人データの漏えいを賠償の上限の外に置く場合は、その範囲も確かめます。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の契約への当てはめは、取引の内容や相手の立場によって結論が変わることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきた秘密保持契約書（NDA）、守秘義務契約書、業務上の守秘義務誓約書、秘密保持を内包した業務委託契約書、共同研究契約書・覚書、試験委託のNDA、PoCの覚書などを、個別の事業者や案件が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月20日）。参考: e-Gov法令検索 / 個人情報保護委員会
