委託先の管理(クラウドサービスを使うとき)

委託先の管理は、業務やデータの取り扱いを外部の事業者に任せるときに、 その事業者を選び、契約で取り決め、適切に扱われているかを見守ることです。

研修や試験の運営では、システムの利用、教材の制作、研修の実施など、 社外の事業者に任せる場面が多くあります (研修の外部委託)。 社員の氏名や成績などの個人データを扱う場合は、特に注意が要ります。

法律上の基本的な考え方

日本の個人情報保護法では、個人データの取り扱いを外部に委託するとき、 委託する側が委託先を監督することが求められています。 任せたから終わりではなく、任せた後も責任が残るという考え方です。

なお、クラウドサービスの利用が法律上の「委託」にあたるかどうかは、 サービスの内容や契約によって考え方が分かれます。

⚠ 法律上の義務の範囲は、扱う情報や契約の内容によって異なります。 また、法令やガイドラインは改正されることがあります。 実際の対応は、個人情報保護委員会などが公表している最新の情報をご確認いただくか、 弁護士などの専門家にご相談ください。本ページは考え方の概要のご説明です。

管理の流れ

1. 選ぶ 任せる業務とデータの重要さに応じて、確かめる項目を決めます。 セキュリティの対策は、セキュリティチェックシートで確かめるのが一般的です。

2. 取り決める 契約で、データの扱い方、安全管理の措置、再委託の条件、 事故が起きたときの連絡、契約が終わったときのデータの返却・削除などを決めます。

3. 見守る 委託した後も、定期的に状況を確かめます。 重要な委託先ほど、確認の頻度や深さを上げます。

4. 終える 契約が終わったら、データが返却・削除されたかを確かめます。

クラウドサービスならではの確認点

再委託先 クラウドサービスは、その事業者自身も、サーバーなどの基盤を別の事業者から借りていることがあります。 どんな事業者に再委託しているか、それをどう管理しているかを確かめます。

データの保管場所 データがどの国・地域で保管されるかを確かめます (データの保存場所)。

規約の変更 クラウドサービスの規約は、事業者の判断で改定されることがあります。 変更がどのように知らされるかを確かめておきます。

退去のときの扱い 解約したときに、データをどの形式で、いつまで書き出せるか、 いつ削除されるかを、契約の前に確かめます (データのエクスポート、 研修・試験データの保存期間)。

パレットLMS・パレットCBTの委託先やデータの保管場所の考え方は、セキュリティのページをご覧ください。