一人で受けている会員データベース改修案件の打ち合わせで、発注側から「安全管理措置を書面で教えてください」と言われました。個人データを扱う案件を受けるフリーランスは、何を出せばよいのでしょうか。この問いが出るのは、個人データの取扱いを委託する発注側が、法律で委託先の監督を求められているからです。委託先の準備は、発注側が確かめる3つの順に整えます。

1. 個人情報保護法でフリーランスが求められることを確かめる理由

この記事が資料にするガイドライン

資料にするのは、個人情報保護委員会が示す「個人情報の保護に関する法律についてのガイドライン（通則編）」です。平成28年11月に策定され、令和8年（2026年）6月に一部が改正されました¹。

条文そのものではなく、委員会がガイドラインとして示している内容を扱います。この記事で紹介する法第25条も、ガイドラインが示す形のままです。

発注側と受託側で分かれる役割

打ち合わせで書面を求められる側にとって、改正の経緯よりも気になるのは、誰が何の義務を負うかです。個人データの取扱いを委託する発注側は、委託を受けた者に対する必要かつ適切な監督を行わなければなりません¹。義務を負うのは発注側で、受託するフリーランスは監督を受ける側にあたります。

そのため、冒頭の「何を書面で出せばよいのか」という問いは、フリーランスが自分の義務を探す問いではなく、発注側の監督に応えるための準備の問いです。確かめられる内容を先に知っておけば、打ち合わせの前に書面を整えられます。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です²。場所を選ばずに案件を受けるからこそ、発注側に出す書面を前もって用意しておく意味があります。では、法第25条の監督とは、具体的に何を指すのでしょうか。

2. 委託先の監督とは（法第25条）

法第25条が求める監督

法第25条は、個人データの取扱いの全部又は一部を委託する場合の決まりです。委託された個人データの安全管理が図られるよう、個人情報取扱事業者は、委託を受けた者に対する必要かつ適切な監督を行わなければなりません¹。

文の主語に注目すると、監督を行うのは個人情報取扱事業者、つまり委託する側の事業者です。個人データの取扱いを任された側は、その監督の対象になります。

「必要かつ適切」の中身は、この一文だけでは決まりません。ガイドラインでは、委託先の選定時の確認、契約の内容、監査などに分けて、具体的な確認事項が示されています。

図の作成：Remogu編集部。個人情報保護委員会のガイドライン（通則編）をもとに整理したもので、統計データではありません

フリーランスの立場から読むと

たとえば、冒頭のように発注側から安全管理措置を書面で尋ねられる場面は、この監督のなかで行われる確認として読めます。発注側は、委託先を選ぶにあたり、委託先の安全管理措置があらかじめ確認できていなければならないからです¹。

一方で、この記事が扱うのは、発注側が負う監督と、それに応えるための受託側の準備です。フリーランス自身の義務の範囲は、この記事では扱いません。義務を負う側と準備をする側を分けて考えると、書面を求められた意味が見えてきます。では、発注側は具体的に何を確かめるのでしょうか。

3. 発注側が確かめる3つの措置

委託先を選ぶときの確認

1つ目は、委託先を選ぶ段階の確認です。ガイドラインは、委託先の選定にあたり、委託先の安全管理措置が少なくとも委託元に求められるものと同等であることを、あらかじめ確認しなければならないと示しています¹。

基準は、少なくとも委託元に求められるものと同等かどうか、という一点です。書面を求められる場面では、この基準に照らして答えが見られると考えられます。

契約と監査で求められる内容

2つ目は契約です。ガイドラインは、委託契約に、必要かつ適切な安全管理措置として委託元・委託先双方が同意した内容と、委託先における個人データの取扱状況を委託元が合理的に把握することを盛り込むのが望ましいとしています¹。ここは「望ましい」であり、義務として書かれているわけではありません。

3つ目は監査等です。委託先における個人データの取扱状況を把握するため、定期的に監査を行う等により、契約で盛り込んだ内容の実施の程度を調査したうえで、適切に評価することが望ましいと示されています¹。こちらも「望ましい」にとどまります。

契約に盛り込む内容と監査は、つながっています。契約で決めた内容について、実施の程度を監査等で調べるからです。

3つの措置の位置づけ

3つの措置を、中身と位置づけで並べます。選定時の確認は、ガイドラインが「確認しなければならない」と示すものです。契約への盛り込みと監査等は、「望ましい」と示すものです。この記事では、受託側の準備に結びつけやすい3つを取り上げており、ガイドラインの記載をすべて網羅したものではありません。

措置	中身	義務か望ましいか
委託先の選定時の確認	委託先の安全管理措置が、少なくとも委託元に求められるものと同等かをあらかじめ確認する	義務（確認しなければならない）
契約への盛り込み	双方が同意した安全管理措置の内容と、委託先の取扱状況を委託元が合理的に把握することを盛り込む	望ましい
定期的な監査等	契約で盛り込んだ内容の実施の程度を調査し、適切に評価する	望ましい

では、この3つに対して、受託側は何を用意しておけばよいのでしょうか。

4. 委託先として準備しておくこと

3つの確認に対応する準備

ここからは、この記事の整理です。ガイドラインが受託側の準備を一覧で示しているわけではありません。発注側が確かめる3つに対応させて、受託側が用意しておく項目を並べます。

選定時の確認には、自分の安全管理措置を書面にまとめておくのが対応になります。基準は、委託元に求められるものと少なくとも同等であることです¹。書面の中身は案件と発注側の求めによって変わるため、この記事では項目を決め打ちしません。

契約への盛り込みには、取扱状況を発注側にどう伝えるかを、契約の項目として話し合っておく形で応えます。委託先の取扱状況を委託元が合理的に把握することが、契約に盛り込むのが望ましい内容として示されているためです¹。

監査等には、契約で決めた内容をどの程度実施したかを、あとから示せる状態にしておくのが対応です。発注側は、定期的な監査等で実施の程度を調査し、評価することが望ましいと示されているためです¹。

確かめられることと用意するものの対応

発注側が確かめる3つと、受託側が用意するものを対応させて並べます。右の列は、ガイドラインの記載をもとにした記事の整理です。書面の形式や提出の時期は、案件と発注側によって異なるため、ここでは決めていません。

発注側が確かめること	受託側が用意するもの（記事の整理）
安全管理措置が、少なくとも委託元と同等か	自分の安全管理措置を書面にまとめる
取扱状況を、委託元が合理的に把握できるか	取扱状況の伝え方を、契約の項目として話し合う
契約で盛り込んだ内容の、実施の程度	実施した状況を、あとから示せる形にしておく

では、案件の一部をほかのフリーランスに頼むときは、どうなるのでしょうか。

5. 再委託するとき

再委託の意味とガイドラインが示す対応

再委託とは、委託を受けた側が、その業務をさらに別の相手に任せることです。会員データベースの改修を受けたフリーランスが、画面の一部を知り合いのフリーランスに頼む場面が、その形にあたります。個人データを扱う案件では、この「頼む」に発注側への段取りが付いてきます。

ガイドラインは、委託先が再委託を行おうとする場合を取り上げています。委託元は、再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと等が示されています¹。

文の主語は委託元です。受託側から見ると、別のフリーランスに頼もうとする場面で、発注側への事前報告か承認が関わってきます。報告と承認のどちらを求められるのかは、この記事の資料では決まりません。契約書と発注側の取り決めで確かめます。

頼む前にまとめる3点

頼む前に、資料が挙げる3点に合わせてメモを作ります。誰に頼むのか（再委託する相手方）、どの作業を頼むのか（業務内容）、個人データをどう扱ってもらうのか（取扱方法）の3点です¹。資料には「等」とあるため、ほかにも求められる項目があり得ます。発注側に様式があれば、それに合わせます。

図の作成：Remogu編集部。個人情報保護委員会のガイドライン（通則編）をもとに整理したもので、統計データではありません

3点のうち取扱方法は、自分が発注側に出す書面と同じ項目でそろえます。そうすれば、報告のときに説明が食い違いません。自分の安全管理措置の書面と、頼む相手に守ってもらう取扱方法を並べて、違いがあれば先に直します。

個人データを扱う作業と、扱わない作業は、一覧で分けておきます。報告に載せる範囲が決まるからです。ただし、どの作業が報告の対象になるかは発注側と合わせて決めるもので、自分だけで線を引かないようにします。

頼む相手が決まっても、発注側の返事が来る前に作業を始めてもらうのは避けます。報告から承認までの段取りは、案件の工程表に入れておきます。次は、取扱いの途中で漏えいなどが起きたときの動きです。

6. 漏えいなどが起きたとき

通知と報告義務の免除

個人データを扱う作業では、漏えいなどの事態に気づくことがあります。ガイドラインは、委託先が、報告対象事態が発生したことを委託元に通知したときは、委託先は個人情報保護委員会への報告義務を免除されると示しています¹。

免除が示されているのは、委託元へ通知したときです。通知しなかったときの扱いは、この記事の資料では扱っていません。報告対象事態にあたるかどうかの判断も同じです。

図の作成：Remogu編集部。個人情報保護委員会のガイドライン（通則編）をもとに整理したもので、統計データではありません

そのため、漏えいなどに気づいた委託先が最初に向かう先は、委託元になります。通知は委託先から委託元へ向かい、委託先の報告義務の免除は、その通知と結びついています。

起きる前に聞いておく3つ

参画前の打ち合わせで、漏えいのときの連絡について3つ聞きます。通知の宛先は担当者の名前か窓口か、連絡の手段はメール・チャット・電話のどれか、伝えてほしい項目は何か、の3つです。ガイドラインが定める項目ではなく、この記事の整理です。

気づいた場面で慌てないように、自分の側でも記録の型を作っておきます。気づいた日時、対象になったデータの種類、作業していた環境や端末、直前に行った操作の4点を、すぐ書き出せる形にします。通知の文面は、この4点を埋めるだけで済むようにしておきます。

連絡の宛先と手段が決まっていれば、通知は迷わず出せます。次は、書面、契約の項目、再委託、連絡先の4つを、どの順で整えるかです。

7. 委託先の準備を整える順番

4つの準備の並べ方

準備の順番は、発注側が確かめる流れに合わせます。発注側が確かめるのは、選定時の確認、契約への盛り込み、監査等の3つでした。案件が決まる前に書面、決まるときに契約の項目、走り出してから監査等という並びです。作業中に起きる再委託と漏えいは、3番目と4番目に置きます。

順番	準備	ガイドラインの記載
1	自分の安全管理措置を書面にまとめる	委託先の安全管理措置が、少なくとも委託元と同等かをあらかじめ確認する
2	取扱状況の伝え方と、実施状況を示す形を契約の項目として話し合う	取扱状況を委託元が合理的に把握することを契約に盛り込むのが望ましい
3	再委託の有無を決め、あれば相手方・業務内容・取扱方法をまとめる	再委託は事前報告を受け又は承認を行うこと等が示されている
4	漏えい時の通知の宛先と手段を控える	委託元に通知したときは、委託先の委員会への報告義務は免除される

書面と契約の項目

1番目は、自分の安全管理措置の書面です。発注側が確かめるのは、少なくとも委託元に求められるものと同等かどうかです¹。書面の形は発注側の求めで変わるため、案件ごとに様式があるかを先に聞いてから書きます。

書面をまとめるときの参考に、個人情報保護委員会がQ&Aの安全管理措置の項目を更新し、令和7年7月1日から適用していることを挙げられます。標的型メール攻撃や不正アクセス等による漏えい等の被害を防止するための措置が追加されています³。自分の作業環境がこうした被害にどう備えているかを、書面に書ける形で整理します。

2番目は、契約の項目です。取扱状況を委託元が合理的に把握することを契約に盛り込むのは、望ましいと示されています¹。契約書の案を受け取ったら、取扱状況を発注側がどう把握するかの項目があるか、実施状況をあとから示す方法が書かれているかを見ます。

定期的な監査等で、契約で盛り込んだ内容の実施の程度を調べることも、望ましいと示されています¹。項目が見当たらなければ、追加を相談する選択があります。どちらも義務としては書かれていないため、決めるのは発注側と自分の話し合いです。

再委託と漏えい時の連絡先

3番目は、再委託の有無です。頼む予定があるかどうかを、参画前に決めます。予定がなければ「再委託はしません」と書面に書きます。予定があれば、相手方、業務内容、取扱方法の3点をメモにして、事前報告か承認の手順を発注側に聞きます¹。

4番目は、漏えい時の連絡先です。報告対象事態の発生を委託元へ通知したときは、委託先の委員会への報告義務は免除されます¹。通知の宛先と手段を、書面か打ち合わせの議事メモに控えておきます。

図の作成：Remogu編集部。個人情報保護委員会のガイドライン（通則編）をもとに整理したもので、統計データではありません

冒頭の打ち合わせに戻って

会員データベース改修の打ち合わせで、発注側から安全管理措置を書面で尋ねられた場面に戻ります。出すものは、安全管理措置の書面1枚にとどまりません。契約の項目、再委託の有無、漏えい時の連絡先までが、1本の準備としてつながっています。

委託先の準備は、発注側が確かめる3つの順に整えます。書面、契約の項目、実施状況を示せる形の順です。この順に用意しておけば、問われた場面で出せるものがそろいます。個別の案件で何が求められるかは、契約書と発注側の求めを優先し、判断が難しいときは弁護士や個人情報保護委員会の案内でも確かめてください。

書面が整ったら、場所を選ばずに受けられる案件を探してみてください。次の打ち合わせでは、整えた書面を手に、落ち着いて質問に答えられます。

8. よくある質問

一人で受けているフリーランスも委託先になりますか

法第25条は、個人データの取扱いの全部又は一部を委託する場合の決まりで、委託を受けた者に対する必要かつ適切な監督を求めています¹。一人か法人かで扱いを分ける記載は、この記事の資料にはありません。自分が委託を受けた者として扱われるかは、契約書の記載と個人情報保護委員会の案内で確かめます。

案件の一部を別のフリーランスに頼んでもよいですか

ガイドラインは、委託先が再委託を行おうとする場合に、委託元が事前報告を受け又は承認を行うこと等を示しています¹。頼んでよいかどうかそのものは、この記事の資料では決まりません。契約と発注側の返事によります。頼む前に、相手方、業務内容、取扱方法の3点を発注側へ伝えます。

漏えいに気づいたら誰に知らせますか

ガイドラインでは、委託先が報告対象事態の発生を委託元に通知したときは、委託先は個人情報保護委員会への報告義務を免除されると示されています¹。気づいた委託先が最初に知らせる先は、委託元です。宛先と手段は、参画前に聞いて控えておきます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年6月・2026年10月確認）
＊2 Remogu（株式会社LASSIC運営）公開情報：扱う案件の90%以上がフルリモート可能
＊3 個人情報保護委員会「講ずべき安全管理措置の内容」（2025年7月・2026年10月確認）