外部委託の可否 ： 個人情報に関連する業務を外注してもいいのか

個人情報の管理は外部に委託してもいいのでしょうか。

結論として個人情報の管理を外部委託することは可能です。典型的なパターンとしては、社内のデータベースの管理を外注したり、ＤＭの発送を印刷業者に委託したりすることが考えられます。 個人情報保護法やＪＩＳ Ｑ １５００１は個人情報の処理については、外部委託がだめとも規定していませんし、外部委託が望ましいとも規定していません。ただ外部委託するのであれば、外部委託先の管理監督をきちんと行うことが要求されています（個人情報保護法25条。プライバシーマークではJIS Q 15001:2023に対応する現行の構築・運用指針）。逆に言えば、外部委託先の管理監督をきちんと行うのであれば、外部委託は法律・規格上可能ということができます。 もちろん外部委託をした際の情報漏えいリスクを実務上どのようにヘッジするかはまた別の問題ですので、十分な対策が必要です。

委託に伴う提供が本人同意を要する第三者提供に当たらないのは、利用目的の達成に必要な範囲で行う場合です（27条５項１号）。委託先の選定、契約、取扱状況の確認を行い、再委託や事故報告、返却・消去の条件も定めます。