個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第60問: 個人データの取扱いの委託における委託元と委託先の役割の分担や、委託先に求められる事項について、通則編ガイドライン及び同ガイドラインに関するQ&Aの説明として正し

正解: 4. 委託元が法第23条を超える水準の措置を講じていても、法律上、委託先は法第23条の水準の措置を講じれば足りるとされている

通則編3-4-4（※2）とQ&A（Q5-10）は、委託元が法第23条が求める水準を超える高い水準の安全管理措置を講じている場合でも、委託先に同等の措置を求める趣旨ではなく、法律上は、委託先は法第23条が求める水準の安全管理措置を講じれば足りるとしています（4が正しい）。 1は誤りで、Q5-12は、委託先の従業員等から守秘義務等に係る誓約書を取得することを監督の手法の一つとしています（義務ではありません）。 2は誤りで、3-4-4（※3）とQ5-9は、個人データの内容や規模に応じた適切な方法には口頭による確認も含まれるとしています。 3は誤りで、同じQ5-12は、委託元が委託先から従業員等の個人情報の提供を受ける場合は、委託元が利用目的の通知又は公表等の義務を果たす必要があるとしています。

根拠・参照資料: 個人情報の保護に関する法律第25条、第21条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4、同ガイドラインに関するQ&A）

関連キーワード: 委託先の監督・誓約書・利用目的・安全管理措置