委託業務の個人情報の取扱いとは？特記事項と提案での示し方
自治体の業務を受託すると、住民の氏名や住所、場合によっては所得や健康に関する情報を扱うことになります。そのため、公募資料には個人情報の取扱いに関する条項が置かれ、提案書でも対策を示すよう求められます。何をどこまで書けばよいのか、契約でどういう義務を負うのか。この記事では、委託業務における個人情報と情報セキュリティの実務を整理します。
なぜ厳しく問われるのか
実際に事故が起きているためです。総務省の資料でも、複数の地方公共団体において外部委託事業者からの個人情報の漏えい事案が発生しており、業務部門も含めて委託先の個人情報の管理を見直す必要があるとされています。
自治体にとって、個人情報の漏えいは住民の信頼を直接損なう事態です。委託した事業者が原因であっても、責任を問われるのは委託した側になります。議会での説明、住民への謝罪、再発防止策の公表といった対応に追われることになります。
この経験から、委託の際の条項が整えられてきました。ある区では、委託契約書に付す個人情報保護の特記事項について項目を追加し、案件ごとの個別対応から一律の内容へ改める改正が行われた例があります。発注者の側でも、担当者の判断に委ねず標準化する方向に動いているということです。
個人情報等取扱特記事項
委託の契約では、仕様書や契約書に個人情報の取扱いに関する条項が置かれ、その詳細を別紙に定める形が一般的です。この別紙を「個人情報等取扱特記事項」などと呼びます。
ある県の資料では、委託業務の特記仕様書に個人情報の取扱いに関する条項を置き、受注者が別記の取扱特記事項を遵守しなければならないとする形式が示されています。別記には、施錠できる保管場所を確保すること、電子データを持ち出す際に暗号化することといった具体的な項目が含まれます。
別の市では、受託者に個人情報保護法や市の情報セキュリティに関する方針の遵守を求め、遵守事項の確認表を提出させること、内部の管理体制を整備することを定めた例があります。
重要なのは、これらが契約上の義務になるという点です。応募の時点で内容を読み、自社で守れるかを確かめておく必要があります。読まずに契約してから対応できないと分かると、業務そのものが成り立ちません。守秘の一般的な考え方は秘密保持義務とはで扱っています。
求められる具体的な措置
保管
紙の資料は施錠できる場所に保管することが求められます。誰が鍵を管理するか、持ち出しの記録をどう残すかまで定められることがあります。電子データについては、保存する機器や場所を限定し、私物の端末に保存しないことが条件となるのが通例です。
持ち出しと送信
作業場所の外へ持ち出すことを原則として禁じ、必要な場合は事前の承諾を得る形が一般的です。持ち出す際には、電子データの暗号化、記録媒体の管理、紛失時の連絡手順が定められます。
電子メールでの送信にも制限がかかります。誤送信が漏えいの典型的な経路であるためです。送信先の確認手順、添付ファイルの扱い、別の経路での受け渡しといった対応が求められます。
アクセスの管理
業務に必要な者だけが情報に触れられる状態にすることです。利用者ごとの識別、権限の設定、操作の記録、不要になった権限の削除といった措置が挙げられます。
従事者の管理
業務に携わる者の名簿を提出させる案件があります。従事者から誓約書を取ること、研修を実施すること、退職後も守秘の義務が続くことを明示することが求められます。
派遣社員やアルバイトを使う場合も同じ管理が及びます。むしろ、入れ替わりがある分だけ手順を定めておく必要があります。
再委託
協力会社に業務の一部を任せる場合、同等の義務を相手方にも課すことが求められます。再委託そのものに承認が必要なうえ、個人情報を扱う部分については一層慎重な判断がなされます。扱いはプロポーザルの協力会社とはで扱っています。
業務終了時の返却・廃棄
業務が終わったら、受け取った情報を返却するか廃棄します。廃棄の方法まで指定されることが多く、裁断、消去、記録媒体の物理的な破壊といった手段が示されます。廃棄したことを証明する書面の提出を求める案件もあります。
作業の過程で作った中間のデータも対象です。手元に残して次の業務に使うことはできません。作業用の複製をどこに作ったかを記録しておかないと、廃棄の段階で取りこぼします。
提案書でどう示すか
扱う情報の範囲を整理する
まず、その業務でどういう情報に触れるのかを書き出します。氏名と連絡先だけなのか、所得や健康に関する情報まで含むのか。情報の性質によって、求められる水準が変わります。範囲を把握していることを示すだけでも、理解の深さが伝わります。
経路ごとに対策を書く
情報が漏れる経路は限られています。紙の紛失、電子データの持ち出し、誤送信、不正なアクセス、従事者による持ち出しといった経路ごとに、どう防ぐかを示すと具体的になります。一般論を並べるより、経路に対応させたほうが読み手に届きます。
体制と責任者を明示する
情報の管理について誰が責任を負うのかを示します。業務の責任者とは別に、情報の管理責任者を置く体制が求められることもあります。社内の規程や認証の取得状況があれば、あわせて触れてください。
教育と点検を書く
手順を定めるだけでなく、守られているかを確かめる仕組みを示します。着任時の研修、定期的な教育、内部の点検、記録の保管といった内容です。仕組みがあっても運用されていなければ意味がないという発想が伝わります。
作業場所を具体的に示す
どこで作業するのかは重要な論点です。自社の事務所で行うのか、発注者の庁舎内で行うのか、在宅での作業を含むのか。在宅を含む場合は、情報を持ち出さずに作業できる仕組みを説明する必要があります。
事故が起きた場合
万一の事態への備えも、提案で求められます。手順の骨格は次のようになります。
- 発見と報告——発見した者が直ちに責任者へ報告し、責任者が発注者へ連絡します
- 被害の拡大防止——該当する端末の切り離し、アクセスの停止など
- 事実の確認——何が、どれだけ、どういう経路で漏れたかを調べます
- 関係者への対応——発注者と協議のうえ、本人への通知などを行います
- 原因の究明と再発防止——報告書を作成し、対策を講じます
第一報の期限を具体的に書くと説得力が増します。「速やかに」ではなく、発見から一時間以内といった時間を示してください。
契約上の責任についても確認が要ります。損害賠償の定め、契約の解除、指名停止の措置が条項に置かれているのが通例です。自社が加入している保険で対応できる範囲も、把握しておく価値があります。リスクへの備え方はプロポーザルのリスク管理の書き方で扱っています。
自治体側の仕組みを知っておく
提案を考えるうえで、発注者側の情報環境を把握しておくと現実的な内容になります。自治体のネットワークは、扱う情報の重要度に応じて領域を分ける構成が取られてきました。住民の情報を扱う領域は外部と切り離されており、庁舎内の限られた端末でしか作業できないことがあります。
この構造があるため、「自社のシステムでデータを処理する」という提案が、そもそも実現できない場合があります。作業を庁舎内で行う前提なのか、データを受け取って自社で処理できるのかは、提案の組み立てを左右します。確認せずに書くと、実現性を欠く提案になります。
自治体の情報環境については三層分離で情報セキュリティを守るで扱っています。基本的な考え方を押さえておくと、質問の仕方も具体的になります。
なお、各自治体は情報セキュリティに関する方針と対策の基準を定めており、委託先にも遵守を求めるのが通例です。公開されている自治体も多いため、応募を検討する段階で目を通しておくと、求められる水準がつかめます。
提出を求められる書類
情報の取扱いに関しては、提案や契約の段階でいくつかの書類が求められます。何が必要かを早めに把握しておくと、準備が間に合います。
| 書類 | 内容 | 求められる時期 |
|---|---|---|
| 遵守事項の確認表 | 特記事項の各項目について対応状況を記す | 応募時または契約時 |
| 管理体制図 | 情報の管理責任者と担当者の体制 | 応募時 |
| 従事者名簿 | 業務に携わる者の氏名と役割 | 契約後 |
| 誓約書 | 従事者個人が守秘を誓約するもの | 契約後 |
| 廃棄証明 | 情報を廃棄したことを証する書面 | 業務終了時 |
遵守事項の確認表は、項目ごとに「対応する」「一部対応する」などを記入する形式が多く見られます。対応できない項目があれば、その時点で業務を担えるかが問われます。応募の判断材料として、早い段階で中身を見ておいてください。
従事者名簿は、人の入れ替わりがあるたびに更新が必要になります。派遣社員やアルバイトを含む体制では、更新の手続きを社内の流れに組み込んでおくと漏れを防げます。
業務の種類ごとの注意点
窓口・受付の業務
住民と直接やり取りするため、対面での情報の取り違えが起こり得ます。本人確認の手順、他の来庁者に聞こえない配慮、書類の受け渡しの記録といった運用面の対策が求められます。
発送・印刷の業務
宛名の取り違えによる誤送付が典型的な事故です。封入の前後で照合する手順、複数人による点検、抜き取りの検査といった仕組みを示してください。件数が多い業務ほど、確認の工程をどう組むかが問われます。
調査・集計の業務
回答者の情報を扱うため、回収した票の保管と、集計後の廃棄が論点になります。個人が特定できない形に加工する手順を示せると、安心材料になります。
システムに関わる業務
保守や改修では、作業の過程で本番のデータに触れる場面があります。作業の記録、権限の管理、試験に使うデータの扱いが重点になります。本番のデータを試験に使う場合の条件も確認してください。
施設の管理運営
利用者の申込情報や名簿を扱います。保管場所の施錠、受付台帳の管理、写真を撮影する場合の同意の取り方などが対象です。防犯カメラの映像を扱う施設では、その運用も定めておく必要があります。
よくある質問
認証を取得していないと不利になりますか
取得を参加の条件とする案件では必須ですが、そうでなければ必ずしも不利にはなりません。認証がなくても、実際にどういう管理をしているかを具体的に示せば評価されます。ただし、認証を加点の対象とする案件もあるため、評価基準を確認してください。
在宅での作業は認められますか
案件によります。個人情報を扱う業務では認めない例が多く、認める場合も情報を端末に保存しない仕組みが条件とされます。提案の前に可否を確認してください。認められない前提の案件で在宅を組み込んだ体制を示すと、実現性を疑われます。
外部のサービスを使ってもよいですか
データの保存場所や運営事業者について条件が付くことがあります。国内に保存すること、第三者に閲覧されない仕組みであることなどです。使う予定があるなら、サービス名を挙げて可否を質問しておくのが確実です。
特記事項の内容は交渉できますか
標準化されている条項が多く、個別の修正に応じられないのが通例です。受け入れられない内容があるなら、応募の前に判断してください。契約の段階で覆すのは難しくなります。解釈に幅がある項目については、質問の期間に確認して運用の実際を把握しておくことはできます。
まとめ
自治体の委託業務では、個人情報の取扱いが契約上の義務として厳しく定められます。背景には、外部の委託事業者からの漏えい事案が実際に発生してきたという経緯があります。契約では、仕様書や契約書に条項を置き、詳細を個人情報等取扱特記事項として別紙に定める形が一般的です。求められるのは、施錠できる場所での保管、持ち出しと送信の制限、電子データの暗号化、アクセスの管理、従事者の管理、再委託への同等の義務、業務終了時の返却や廃棄といった措置です。提案書では、扱う情報の範囲を整理し、漏えいの経路ごとに対策を書き、体制と責任者を明示し、教育と点検の仕組みを示し、作業場所を具体的に説明してください。事故が起きた場合の手順も、第一報の期限を含めて具体的に書くと説得力が増します。応募の前に特記事項を読み、自社で守れる内容かを確認しておくことが何より大切です。関連して公募要領とは、業務実施方針とはもあわせてご覧ください。
※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、AIの特性上、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。本記事の内容に関するご質問、ご意見、または訂正すべき点がございましたら、お手数ですがお問い合わせいただけますと幸いです。
※本記事は公開時点の情報をもとに作成しています。個人情報の取扱いに関する条項は発注機関ごとに異なります。具体的な内容は各発注機関が公表する公募資料と契約書をご確認ください。
