【１】書式概要
【改正民法対応】個人情報の取扱いに関する覚書テンプレート
業務委託や取引において、委託元企業から委託先企業へ預けられる個人情報を正しく守るための完全な覚書テンプレートです。最新の民法改正に対応しており、両社間で個人情報をどう扱うかのルールをはっきりと決められる法的文書です。
この覚書では、委託先企業が委託元企業から預かった個人情報を適切に保護する責任を明確にしています。個人情報の定義、委託先での管理責任者の指定方法、情報収集の適正な手段、委託先の秘密保持義務、目的外利用の禁止など、委託先企業が守るべき15の重要な条項が含まれています。
特に役立つ場面は、システム開発の外部委託時、マーケティング業務の委託時、顧客データ処理の外注時、クラウドサービス導入時など、自社の顧客や従業員の個人情報を他社に預ける必要があるあらゆるビジネスシーンです。
会社名や日付を入れ替えるだけですぐに使えるので、法務担当者の手間を減らし、スムーズに契約を進められます。また、委託元企業としては個人情報の適切な管理体制を構築している証となり、委託先企業の情報管理責任を明確にすることで、万が一の情報漏洩時の責任所在も明らかになります。
プライバシー保護が重視される今日、このテンプレートは委託元企業の大切な個人情報資産と信頼を守る必須ツールです。
〔条文タイトル〕
第１条（目的）
第２条（定義）
第３条（管理部署及び管理者）
第４条（個人情報の収集）
第５条（秘密保持）
第６条（目的外使用の禁止）
第７条（複写・複製の禁止）
第８条（個人情報の管理）
第９条（返還等）
第１０条（記録）
第１１条（再委託）
第１２条（事故）
第１３条（解除）
第１４条（有効期間）
第１５条（基本契約の適用）
【２】逐条解説
前文
解説: 覚書の当事者（委託元「甲」と委託先「乙」）を明確に定義し、本覚書が基づく基本契約と対象業務を特定しています。これにより契約関係の基礎を確立し、個人情報保護に関する合意の法的枠組みを明確にします。企業間での業務委託における個人情報の取扱いルールを定める出発点となります。
第１条（目的）
解説: 本覚書の目的を明確に定めており、業務委託において移転する個人情報の「適切な保護」を目的としています。この条項は個人データ保護の重要性を強調し、個人情報保護法の理念に沿った取扱いを確保するための基本方針を示します。委託元企業の個人情報保護に対するコンプライアンス姿勢を示す重要な条項です。
第２条（定義）
解説: 個人情報保護法に準拠した「個人情報」の定義を明確にしています。生存する個人に関する情報で、特定の個人を識別できるもの（他の情報と容易に照合できるものを含む）と規定し、本覚書における保護対象を明確化しています。この定義に基づき、以降の条項における義務の対象範囲が決まるため、情報セキュリティ対策の基盤となる重要な条項です。
第３条（管理部署及び管理者）
解説: 個人情報の管理責任者を明確にし、その変更時の通知義務を規定しています。これは万が一の情報漏洩時に迅速な対応を可能にし、日常的な情報管理においても窓口を明確にするための条項です。委託先企業のアカウンタビリティを確保し、企業間のコミュニケーションルートを確立します。個人情報保護体制の実効性を高める実務的な規定です。
第４条（個人情報の収集）
解説: 個人情報収集における「適切かつ公正な手段」の原則を定めています。これは個人情報保護法の基本原則を反映したもので、不正な方法での情報収集を禁止し、個人の権利を尊重する姿勢を示しています。委託元の指示に従う義務も規定し、情報収集段階からのコンプライアンス確保を図ります。
第５条（秘密保持）
解説: 個人情報の第三者開示禁止、アクセス権限の制限、従業員への秘密保持義務の徹底を規定しています。情報漏洩リスクを最小化するための多層的な防御策を定め、委託先企業内での情報管理体制を強化します。特に情報にアクセスできる人員を「最小限」に限定する規定は、データセキュリティの基本原則であるNeed-to-know（知る必要のある者だけが情報にアクセスできる）の考え方を反映しています。
第６条（目的外使用の禁止）
解説: 個人情報の利用を本業務遂行目的に限定し、本人に通知・公表された利用目的を超えた利用を禁止しています。これは個人情報保護法の目的外利用禁止原則を具体化した条項で、委託先企業によるデータの不正利用やプライバシー侵害を防止します。情報主体の権利を尊重し、目的を明確にした上での個人情報の適切な取扱いを確保します。
第７条（複写・複製の禁止）
解説: 個人情報の複写・複製を原則禁止し、例外として業務遂行上必要最小限の範囲で認めています。情報の不必要な拡散によるリスク増大を防ぐ条項で、漏洩や不正アクセスの発生確率を下げる効果があります。情報資産管理の基本として、データの存在場所を明確に把握・制限することでセキュリティレベルを維持します。
第８条（個人情報の管理）
解説: 安全管理措置の実施義務、情報の正確性・最新性の確保、委託元の指示への従順、立入調査の受け入れ、改善指示への対応など、包括的な管理義務を規定しています。この条項は情報セキュリティ体制の実質的な中核をなし、技術的・組織的・人的安全管理措置を求めるものです。委託元企業による監督権限を明確にし、継続的な管理体制の改善を可能にします。
第９条（返還等）
解説: 業務終了時や委託元からの要請時における個人情報の返還・消去義務を規定しています。特にデータの完全消去と復元不可能な状態にすることを求め、廃棄時の適切な処置も義務付けています。情報のライフサイクル管理の最終段階を定めた重要な条項で、不要となった情報の適切な処分により漏洩リスクを減らします。
第１０条（記録）
解説: 個人情報の取扱い（受領・管理・使用・提供・複製・返還・消去）に関する記録作成義務と、記録の長期保存（5年間）を規定しています。これは情報の追跡可能性（トレーサビリティ）を確保し、問題発生時の原因究明や責任所在の明確化に役立ちます。また、個人情報保護法の記録保存義務に対応し、監査時の証跡としても機能します。
第１１条（再委託）
解説: 事前承諾なしの再委託禁止、再委託先との同等契約締結義務、再委託先の行為に対する責任を規定しています。委託先が更に別の企業に業務を委託する場合のリスク管理策として、個人情報の保護レベルを維持するための条項です。委託元の管理権限が及ばない再委託先での情報漏洩を防ぐための重要な防御策となります。
第１２条（事故）
解説: 個人情報の事故（漏洩等）発生時の報告義務、応急措置義務、再発防止策の提示、損害賠償、拡大防止措置について規定しています。セキュリティインシデント発生時の危機管理と責任関係を明確にし、迅速な対応と損害の最小化を図るための条項です。特に損害賠償についての求償権を明記することで、委託先企業のセキュリティ意識を高める効果があります。
第１３条（解除）
解説: 覚書違反が是正されない場合の契約解除権を委託元に付与しています。この条項は、個人情報保護義務の履行を担保する最終的な手段として機能し、委託先企業に対して強い遵守インセンティブを与えます。コンプライアンス違反に対する実効性のある制裁措置として位置づけられます。
第１４条（有効期間）
解説: 覚書の有効期間を基本契約の終了時までとし、秘密保持義務等の一部条項については契約終了後も存続することを規定しています。個人情報保護の継続性を確保し、契約終了後のデータ管理についても責任所在を明確にします。特に重要な秘密保持義務が永続的に課されることで、長期的な情報保護を実現します。
第１５条（基本契約の適用）
解説: 本覚書に定めのない事項については基本契約の定めに従うことを規定しています。これにより、覚書と基本契約の整合性を確保し、契約体系の一貫性を維持します。両契約の関係性を明確にすることで、解釈の齟齬を防ぎ、契約の実効性を高めます。
