個人情報の委託先監督をClaudeで点検表にし、監督記録を残す手順

個人データの取り扱いを外部に任せるとき、委託元には「必要かつ適切な監督」の義務があります(個人情報保護法25条)。ガイドラインは監督を3つの措置に分けており、この3つをそのまま点検表の列にすれば、契約書と委託先の回答書を突き合わせる作業をClaudeに任せやすくなります。

この記事は、点検表の作り方、契約書・回答書との突合、監督記録の残し方までを順に示します。Claudeに渡すのは契約条文と委託先の回答だけで、委託した個人データ本体は渡しません。

ガイドラインが委託先監督に求める3つの措置

個人情報保護委員会の通則編ガイドラインは、委託先の監督を次の(1)から(3)に分けて書いています。委託元は、自分が法23条で講じるべき安全管理措置と同等の措置が委託先で講じられるよう監督します。

3つに共通する物差しが「リスクに応じて」です。委託する個人データの性質や量、漏えい時に本人が被る権利利益の侵害の大きさで、確認の深さを変えます。点検表も全委託先に同じ重さで当てず、深い確認が必要な委託先を分けられる作りにします。

点検表の「確認の根拠」にできる箇条

選定の確認は、別添の10-1から10-7に沿って組むと抜けが出にくくなります。ガイドラインの別添は、基本方針の策定、取扱規律の整備、組織的・人的・物理的・技術的の4種の安全管理措置、外的環境の把握の7項目です。

• 組織的: 責任者の設置、取扱状況を確認する手段、漏えい等の体制、点検・監査
• 人的: 従業者への教育と監督
• 物理的: 区域の管理、盗難防止、持ち運び時の漏えい防止、削除・廃棄
• 技術的: アクセス制御、識別と認証、不正アクセス防止、使用時の漏えい防止
• 外的環境: 外国で個人データを扱う場合、その国の制度を把握したうえでの措置

物理面の「削除・廃棄」は、委託先に消去を頼んだときの証明記録とも関わります。組織面の例示に、委託した場合の消去・廃棄を証明する記録を残す旨があるためです。

Claudeに渡す材料と、渡さない材料

点検表づくりで扱う文書は、契約書の条文、委託先の安全管理に関する回答書、自社の委託先管理規程です。個人データそのものは要りません。

契約書や回答書に残る担当者名や連絡先は、それ自体が個人情報です。置き換えてから貼るだけで、入力の論点はほぼ片づきます。入力そのものが第三者提供にあたるかという整理は、個人情報を含むプロンプト入力は第三者提供にあたるかで扱っています。

手順1: 点検表の骨格をClaudeに作らせる

最初に、3区分を列にした点検表の雛形を出させます。ガイドラインの文言をそのまま貼り、根拠欄を埋めさせるのがコツです。

あなたは個人情報保護法の委託先監督の点検表を作る補助者です。
次の条文を根拠に、委託先監督の点検表を表形式で作ってください。
 
列: 区分(選定/契約/取扱状況の把握) | 確認項目 | 根拠(下の条文の言葉を引用) |
    確認方法(契約書/回答書/監査) | 結果(充足/不足/不明) | 備考
 
条件:
- 確認項目は、下の条文に書かれていることだけから作る
- 条文に無い基準を足すときは、行の備考に「独自基準」と書く
- 「望ましい」と書かれた事項と、「しなければならない」事項を区別して書く
 
[ここにガイドライン3-4-4の本文を貼る]

「望ましい」と「しなければならない」の区別は、後の評価で効きます。ガイドラインは、選定の確認は「確認しなければならない」としつつ、契約への盛り込みや監査は「望ましい」と書いています。点検表で区別しておけば、不足が見つかったときに、法的な必須事項の不備なのか、運用上の改善点なのかを分けて記録できます。

Claudeが出した表は、そのまま使わず、根拠欄の引用が貼った条文と合っているかを人が確かめます。条文に無い項目が紛れていないかも、同時に見ます。

手順2: 契約書の条文と突き合わせる

次に、置き換え済みの契約条文を渡して、点検表の「契約」区分に当てはめます。

上の点検表の「契約」区分の各項目について、下の契約条文のどこに対応するかを
条番号つきで示してください。
 
- 対応する条文があれば、その条の言葉を短く引用する
- 対応する条文が無ければ「該当条文なし」とする。推測で埋めない
- 条文の意味が曖昧なら「解釈が割れる」と書き、理由を1行添える
 
[ここに委託契約書の条文を貼る]

見る点は次の4つです。ガイドラインの事例が、監督不足の典型として挙げている型でもあります。

• 安全管理措置の内容を委託先に指示する条項があるか
• 委託先の取扱状況を委託元が把握する条項があるか(報告、監査、立入りなど)
• 再委託の条件(事前報告または承認)が書かれているか
• 契約終了時の消去・返却と、その証明の条項があるか

再委託の条項は特に重要です。ガイドラインは、委託元が必要かつ適切な監督を行っていないときに再委託先が不適切な取扱いをすると、元の委託元の法違反と判断され得ると書いています。再委託先が再々委託をする場合以降も同じ考え方です。

契約書の形式は問われない

点検表に「業務委託契約書の有無」という行を作る場合は注意が必要です。個人情報保護委員会のQ&Aは、安全管理措置の内容について委託元と委託先が合意した内容を客観的に明確化できる手段であれば、書式の類型は問わないと答えています。誓約書の差入れや覚書、合意書でも足ります。「契約書が無い=不備」と点検表に機械的に書かせないよう、行の定義を「合意内容を客観的に確認できる文書」にしておきます。

手順3: 委託先の回答書を点検する

選定と取扱状況の把握は、委託先に回答書を書いてもらい、その内容を点検表に写して評価します。回答書の設問自体も、点検表の確認項目から作れます。

点検表の「選定」区分の確認項目から、委託先に送る回答書の設問を作ってください。
- 設問は「はい/いいえ」と、根拠を書く自由記述欄の2段にする
- 設問ごとに、点検表のどの行に対応するかを番号で示す

回答が返ってきたら、置き換え済みのテキストを渡して点検表の「結果」を埋めさせます。

次の委託先回答を点検表に反映してください。
- 結果は「充足/不足/不明」の3値
- 「充足」にするのは、回答に具体的な措置の記述がある行だけ
- 「はい」だけで根拠の記述が無い行は「不明」にして、追加で聞く質問を書く
- 回答に無いことを補って判断しない

「はい」だけの回答を「不明」に倒す指示を入れておくと、自己申告のまま点検が通ってしまうのを避けられます。「不明」の行に添える追加質問は、そのまま委託先への再照会の文面になります。

手順4: 監督記録を残す

点検が終わったら、結果を1委託先1枚の監督記録にまとめます。ガイドラインは、監督不足の事例として「契約締結時及びそれ以後も適宜把握しなかった」ことを挙げています。つまり記録に残したいのは、点検した事実と日付、そして次にいつ見直すかです。

次の点検結果から、監督記録を作ってください。
項目: 委託先名(記号) | 委託業務 | 委託する個人データの種類と規模(区分のみ) |
      点検日 | 点検方法 | 充足/不足/不明の件数 | 不足の内容と是正依頼の期限 |
      再委託の有無と承認状況 | 次回点検の時期 | 判定者(人)
 
「判定者」の欄は空欄のままにしてください。評価の最終判断は人が記入します。

保存先は、委託先ごとのファイルか、台帳の1行で十分です。Claudeが書いた下書きに点検日・判定者・次回点検の時期を人が確定させて初めて記録になります。判定の責任は委託元にあるため、Claudeの出力をそのまま台帳に取り込む運用は避けます。

点検の深さを決める: やりすぎを防ぐ4つの論点

点検表を厳しく作りすぎると、全委託先に立入監査が必要なように読めてしまいます。Q&Aは、次のように答えています。

点検表の備考に「立入監査実施」を必須としてしまうと、法が求めていない水準を基準にして自社の委託先を不合格にしかねません。確認方法の列は「書面」「口頭」「訪問」から選べる形にし、リスクが高い委託先にだけ訪問を割り当てるのが、ガイドラインの趣旨に合います。

誓約書にひとつ補足があります。委託先従業員の個人情報の提出を求める場合、委託元はそれを受け取る側として、利用目的の通知または公表などの義務を果たす必要があります。点検のために氏名を集めると、新たな個人情報の取得になる点に注意が要ります。

委託に当たるのか迷う相手の扱い

点検表の対象かどうかは、先に洗い出しが必要です。ガイドラインは、個人データの取扱いの委託を、契約の形態・種類を問わず、他の者に個人データの取扱いを行わせることとしています。入力、編集、分析、出力などの処理を委託する場合が想定されています。

クラウドサービスは判断が分かれます。Q&Aは、クラウドサービスの利用が委託に該当するかを、保存している電子データに個人データが含まれるかどうかではなく、事業者が個人データを取り扱うこととなっているかどうかで判断すると答えています。事業者が個人データを取り扱わないこととなっていて、契約条項でサーバ上の個人データを取り扱わない旨を定め、適切にアクセス制御を行っている場合は、法25条の監督義務はありません。この場合でも、自社の安全管理措置は別に必要です。

この切り分けは、点検表の入口にもできます。委託先の一覧をClaudeに渡し(社名は記号化)、サービス概要から「個人データを取り扱う設計か」を一次整理させる使い方です。ただし判断の材料はサービス概要だけなので、確定は契約条項の確認を経て人が行います。外国の事業者が絡む場合は、外的環境の把握が追加になります。Claude自身の保存先リージョンについてはClaude Data Residencyと外的環境の把握が参考になります。

よくあるつまずき

• 根拠欄の引用が創作になる: 条文を貼らずに点検表を作らせると、それらしい項目が混ざります。必ず条文を貼り、独自基準は備考に明示させます。
• 「不明」が「充足」に化ける: 回答に根拠が無い行を充足にさせない指示が要ります。手順3の指示のとおりです。
• 再委託の確認が抜ける: 契約に再委託条項があっても、実際の再委託先を把握していなければ事例4のとおり監督不足です。回答書に「再委託先の一覧」を必ず入れます。
• 事故が起きたときの記録に使えない: 漏えい等が起きた場合の報告は別の手順になります。報告文面の下書きは個人情報の漏えい報告をClaudeで下書きする際の注意点にあります。

監査記録との突合という同じ型の手順は、ClaudeでISO 9001の内部監査チェックリストを作り記録と突合するでも扱っています。点検表の「結果」列を人が確定させる流れは、どちらも共通です。

まとめ

委託先監督の点検表は、選定・契約・取扱状況の把握の3区分に、リスクに応じた深さの目盛りを付けて作ります。Claudeには条文と契約書、回答書だけを渡し、個人データは渡しません。「不明」を残す指示を入れ、結果の確定と監督記録への署名は人が行うことで、点検の事実が日付つきで残ります。