コールセンター委託先の監督義務、どこまで必要？

「コールセンターは外部に委託しているから、情報管理もあちらの責任」――そう思い込んでいませんか。実は個人情報保護法のもとでは、委託元である自社が顧客データの安全管理に対して最後まで責任を負います。契約書を交わしただけでは不十分であり、「適切な監督」を継続的に行わなければ、委託先が起こした漏洩事故で自社も行政指導や顧客対応の矢面に立つことになります。このページでは、専任人事のいない中小企業の担当者が「現実的に整備できる最低ライン」を軸に、委託先監督義務の全体像をわかりやすく解説します。

個人情報保護法が求める「委託先監督」とは何か

委託先監督義務とは、顧客データの取り扱いを外部に委託したとき、委託元が委託先の安全管理を継続的に確認し続ける義務のことです。個人情報保護法第25条に明文化されており、「契約書を結んだだけ」では義務を果たしたことになりません。

法律が義務づけている3つの要素

個人情報保護法第25条が定める委託先監督は、大きく3つの要素で構成されています。まず委託先を選ぶ段階で、その事業者が適切な安全管理措置を講じられるかを確認することが必要です。次に、個人データの取り扱い条件を契約書に具体的に明記することが求められます。そして契約を結んだ後も、実際に契約どおりに運用されているかを定期的・継続的に確認し続けることが義務となります。この3つはすべてセットであり、どれか一つが欠けても「必要かつ適切な監督」を行ったとはみなされません。

「信頼して任せている」では通用しない理由

コールセンター業務の委託では、オペレーターが顧客の氏名・電話番号・購買履歴・問い合わせ内容などの個人データをリアルタイムで扱います。委託先が信頼できる会社であっても、実際の現場環境（画面のぞき見防止措置・ログ管理・データの持ち出し制限など）が適切かどうかは、契約だけでは保証されません。法律が「継続的な監督」を求めているのは、まさにこの実態の見えにくさに対応するためです。

契約書に最低限盛り込むべき事項

委託先との契約書は、監督義務の出発点です。個人情報保護委員会のガイドライン（通則編）が示す記載事項を網羅しているかどうかを、既存の契約書と照らし合わせて確認することが最初にすべき作業です。

ガイドラインが示す必須記載事項

以下の項目が契約書に含まれているかを確認してください。

「契約書はある」と「監督義務を果たしている」は別物

よく見られるのが、一般的な業務委託契約書に「秘密保持条項」を付けただけの状態です。秘密保持だけでは、安全管理措置の具体的内容・再委託制限・監査権・漏洩報告義務などが含まれておらず、個人情報保護法が求める水準を満たしません。既存の契約書を点検し、上記の項目が抜けている場合は覚書や契約変更で補完することを検討してください。

見落としがちな「再委託」リスクへの対応

委託先コールセンターが業務の一部をさらに別の会社へ外出しする「再委託」が行われている場合、委託元である自社の監督義務はその再委託先にまで及びます。再委託の存在を知らないことが、管理の最大の空白地帯になります。

なぜ再委託先まで責任が及ぶのか

個人情報保護委員会のガイドライン（通則編）は、委託元が委託先を通じて再委託先に同等の安全管理措置を確保させることを求めています。これは、委託先が変わってもデータの安全管理水準が下がってはならないという考え方に基づいています。コールセンター業界では、繁忙期に業務を一時的に別の会社へ回す慣行が珍しくなく、委託元が気づかないまま再委託が行われているケースも存在します。

実務上の対応ポイント

再委託リスクへの対応として、まず契約書に「再委託には委託元の事前書面承認が必要」と明記することが基本です。さらに、委託先から再委託先の名称・所在地・安全管理措置の内容を書面で提出させ、自社が把握できる状態にしておくことが求められます。年に一度でも「現在、再委託しているか」を確認するシートを委託先に送るだけでも、管理の空白を埋める効果があります。

「定期的な監督」を現実的に運用する方法

専任人事のいない中小企業が「定期的な監督」を実施するうえでの現実的な目安は、年1〜2回の書面確認を基本とし、重大な変更があった場合にその都度対応する体制です。訪問監査が難しい場合でも、チェックシートの活用でかなりの部分をカバーできます。

確認頻度と方法の目安

監督の方法には主に書面確認・チェックシート送付・訪問監査の3種類があります。リソースが限られた中小企業では、年1回のチェックシート送付と、契約更新時の書面確認を組み合わせることが現実的な最低ラインです。委託先のセキュリティ認証（プライバシーマーク・ISO/IEC 27001など）の取得状況を確認し、認証が維持されているかを毎年チェックするだけでも、監督の記録として機能します。

チェックシートに盛り込むべき確認項目

• 個人データへのアクセス権限が業務上必要な者のみに限定されているか
• 操作ログが記録・保存されているか
• データの外部持ち出し（印刷・USB・メール転送など）が制限されているか
• オペレーターへの個人情報保護教育が実施されているか（実施記録の有無）
• 再委託の有無と、再委託先の安全管理措置の状況
• 直近1年間で情報漏洩・インシデントの発生があったか

このチェックシートへの回答を毎年書面で受け取り保管しておくことが、「定期的な監督を行った」という記録になります。万一、行政から確認を求められたときの証跡としても機能します。

複数の委託先がある場合や、現在の対応が十分か不確かな場合は、一度専門家に整備状況を確認してもらうことで、リスクを早期に発見できます。

委託先が漏洩させた場合、自社はどこまで責任を負うのか

委託先が顧客データを漏洩させた場合でも、委託元である自社が「監督義務を怠った」と判断されれば、行政指導・勧告の対象になり得ます。また、顧客への対応窓口は委託元が担うことになるため、「うちは発注しただけ」という姿勢は法律上も実務上も通用しません。

行政対応と顧客対応の両方が委託元に求められる

2022年4月施行の改正個人情報保護法により、一定規模以上の個人データ漏洩等が発生した場合、個人情報保護委員会への報告と、漏洩した本人（顧客）への通知が法定化されました。コールセンター委託の場面では、実際に漏洩させたのが委託先であっても、これらの報告・通知義務は委託元（自社）が負います。報告には期限（原則として速報は3〜5日以内、確報は30日以内）があるため、委託先から「漏洩が発生した」と連絡を受けたら即座に動ける対応フローを事前に整えておく必要があります。

損害賠償条項があっても顧客への責任は免れない

業務委託契約に「委託先の過失による損害は委託先が賠償する」という条項を入れていても、顧客との関係では委託元が一次的な責任主体になります。顧客から見れば、データを提供した相手は自社であり、委託先はあくまで自社が選んだパートナーです。委託先との間で損害賠償を求める権利（求償権）は確保できますが、顧客への謝罪・問い合わせ対応・被害拡大防止の対応は自社が担うことになります。このことを前提に、委託先が漏洩を報告した際の初動フローと担当者をあらかじめ決めておくことが重要です。

従業員規模・体制別の整備優先順位

委託先監督の整備は、会社の規模や体制によって優先すべき順序が異なります。自社の状況に当てはめて、まず手を付けるべき箇所を判断してください。

コールセンター委託を始めたばかりの場合

委託開始前または開始直後であれば、契約書の内容整備が最優先です。前述のチェックリストと照らし合わせ、安全管理措置の内容・再委託制限・漏洩報告義務・監査権が盛り込まれているかを確認してください。既存の契約書に不足がある場合は、覚書を交わして補完するのが現実的です。

すでに委託中で「何もしていない」状態の場合

現在進行形で委託しているが、契約書の見直しも定期確認もしていないという場合は、まず委託先にセキュリティ状況の確認シートを送ることから始めましょう。その回答内容で「現状把握」ができるとともに、「監督を実施した」という記録も残ります。契約書の補完はその次のステップとして進めることができます。

再委託の有無が不明な場合

委託先が再委託しているかどうかを把握していない場合は、書面で確認することが先決です。「現在、本業務において再委託を行っているか。行っている場合は再委託先の名称・所在地・安全管理措置の概要を開示してほしい」と書面で照会し、回答を保管してください。この一手間が、管理の空白を埋める大きな効果をもたらします。

人事だけで個人情報保護と委託先管理をすべてカバーするのは現実的ではありません。整備段階から相談できるパートナーを早めに確保することが、後々のトラブル対応を大きく減らします。

よくある質問