BPOでは、受託会社がすべての作業を社員だけで行うとは限りません。拠点スタッフ、在宅作業者、専門会社などへ工程を分けることがあります。

その業務に個人データが含まれる場合、契約書へ秘密保持条項を入れるだけでは十分ではありません。誰がどの情報へアクセスし、どの環境で処理し、作業後にどう削除するかを管理する必要があります。

委託と第三者提供は区別して考える

利用目的の達成に必要な範囲で個人データの取扱いを委託する場合、一般的な第三者提供とは異なる扱いになります。ただし、委託元には委託先への必要かつ適切な監督が求められます。

個人情報保護委員会は、委託先の選定、委託契約の締結、委託先における取扱状況の把握を、リスクに応じて行うよう示しています。

個人情報保護委員会「個人情報保護法ガイドライン（通則編）」

再委託の可否と条件を確認する

元の委託契約で再委託が禁止されている、または事前承認が必要な場合があります。再委託先の名称だけでなく、担当工程、取扱データ、作業場所、管理方法を説明できる状態にします。

さらに再々委託が行われると、実際の作業者を委託元が把握できなくなるため、委託段階と承認手続を決めます。

契約だけでなく実際の管理状況を確認する

• アクセスできる担当者を限定する
• 担当者ごとにIDを発行する
• ダウンロードや外部媒体への保存を制限する
• 私物端末や生成AIサービスの利用可否を決める
• 作業場所と画面の覗き見対策を確認する
• ログを保存し、異常を確認する
• 契約終了後の返却・削除を確認する
• 漏えい時の連絡先と初動を決める

作業者へ必要な情報だけを渡す

氏名を伏せても、住所、顔、音声、注文履歴などを組み合わせると本人を識別できる場合があります。作業に不要な列やファイルを除き、案件IDへ置き換えるなど、アクセスする情報そのものを減らします。

一人の作業者へ全件を渡さず、処理単位を分割する方法もあります。ただし、分割後のデータをどこで再統合するかも管理します。

顧客へ説明できる運用にする

「厳重に管理します」という説明だけでなく、作業場所、使用システム、作業者との契約、教育、監査、削除方法を具体的に示せることが重要です。

再委託を前提に安全な工程を設計する

再委託自体が直ちに問題なのではありません。多数の人で処理するからこそ、データの分割、アクセス制御、質問経路、検品、ログ、削除を一つの工程として設計する必要があります。

業務開始後に作業者を増やす可能性がある場合は、契約時から再委託の範囲と管理方法を確認しておくと、急な増員でも安全性を保ちやすくなります。