保護法第22条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

イ　組織的安全管理措置

(1) 個人データの安全管理措置を講じるための組織体制の整備

(2) 個人データの安全管理措置を定める規程等の整備と規程等に従った運用

(3) 個人データの取扱状況を一覧できる手段の整備

(4) 個人データの安全管理措置の評価、見直し及び改善

(5) 事故又は違反への対処

ロ　人的安全管理措置

(1) 雇用契約時における従業者との非開示契約の締結、及び委託契約等（派遣契約を含む。）における委託元と委託先間での非開示契約の締結

(2) 従業者に対する内部規程等の周知・教育・訓練の実施

ハ　物理的安全管理措置

(1) 入退館（室）管理の実施

(2) 盗難等の防止

(3) 機器・装置等の物理的な保護

ニ　技術的安全管理措置

(1) 個人データへのアクセスにおける識別と認証

(2) 個人データへのアクセス制御

(3) 個人データへのアクセス権限の管理

(4) 個人データのアクセスの記録

(5) 個人データを取り扱う情報システムについての不正ソフトウェア対策

(6) 個人データの移送・送信時の対策

(7) 個人データを取り扱う情報システムの動作確認時の対策

(8) 個人データを取り扱う情報システムの監視

(9)個人データを取り扱う情報システムのぜい弱性を突いた攻撃への対策

②　委託契約の締結

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を合理的に把握することを盛り込むことが望ましい。

③　委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、定期的に、監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、CPO等が、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が適切といえない取扱いを行ったことにより、何らかの問題が生じたときは、元の委託元がその責めを負うことがあり得るので、再委託する場合は注意を要する。

このため、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先から事前報告又は承認を求める、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が保護法第20条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。

なお、漏えいした場合に二次被害が発生する可能性が高い個人データ（例えば、クレジットカード情報（カード番号、有効期限等）を含む個人データ等）の取扱いを委託する場合は、より高い水準において「必要かつ適切な監督」を行うことが望ましい。

また、消費者等、本人の権利利益保護の観点から、事業内容の特性、規模及び実態に応じ、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることが望ましい。