個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第15問: 個人データの取扱いを委託する場合の委託先の監督（法第25条）について、ガイドライン（通則編）3-4-4が「望ましい」ではなく「しなければならない」としている措置

正解: 3. 委託先の選定に当たり、委託先の安全管理措置について、別添に定める各項目が委託する業務内容に沿って確実に実施されることを、あらかじめ確認すること

ガイドライン（通則編）3-4-4は、委託先の監督として（1）〜（3）の必要かつ適切な措置を求め、（1）適切な委託先の選定では、委託先の安全管理措置が委託元に求められるものと同等であることを確認するため、別添に定める各項目が委託する業務内容に沿って確実に実施されることを、あらかじめ確認しなければならないとしています（3が正解）。一方、（2）委託契約に双方が同意した安全管理措置の内容と委託元が取扱状況を合理的に把握することを盛り込むこと（1）、（3）定期的に監査を行う等により実施の程度を調査して評価すること（2）、再委託の際に相手方・業務内容・再委託先の取扱方法等について委託先から事前報告を受け又は承認を行うこと（4）は、いずれも「望ましい」とされています。なお、委託先の監督が不十分なまま再委託先が不適切な取扱いをしたときは、委託元の法違反と判断され得ます（※4）。

根拠・参照資料: 個人情報の保護に関する法律第25条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4）

関連キーワード: 委託先の監督・委託先の選定・委託契約・再委託・安全管理措置