G検定（ジェネラリスト検定） AIに関する法律と契約 練習問題 第53問: A社（架空）は、自社のAIの学習用データを整えるため、顧客の個人データの前処理（表記の統一や欠損の補完）を外部のB社に委託する。個人情報の保護に関する法律と個人

「B社で個人データの安全管理が図られるようB社を監督し、自社でも安全管理措置を講じて…従業者を監督する」が適切です。個人情報の保護に関する法律は、第23条で安全管理措置、第24条で従業者の監督、第25条で委託先の監督を求めています。

個人情報保護委員会のガイドライン（通則編）は、委託先の選定では委託先の安全管理措置をあらかじめ確認しなければならないとし、「委託料と納期を比べれば足り」はこの確認を欠きます。同ガイドラインは、委託先は第23条が求める水準の措置を講じれば足りるとしており、委託元の高い水準にそろえる「それと同じ水準の措置を講じさせなければならない」も誤りです。

委託元が必要かつ適切な監督をせず、再委託先が不適切な取扱いをしたときは委託元の法違反と判断され得るとされ、「監督の義務が問われることはない」も誤りです。委託しても委託元の責任は残ると押さえましょう。