委託先への情報漏洩対策では、提供データの記録、アクセス権限の管理、委託終了時の返却・削除確認を一連の手順として管理することが重要です。特に、委託先からの削除報告を提供データ台帳と照合し、未返却・未削除のデータがないか確認することがポイントです。
業務委託では、顧客リストや設計資料、社内規程などを委託先へ渡す場面が日常的に発生します。ところが委託が終わる頃には「何を・誰に・いつ渡したか」が曖昧になり、委託先の担当者PCや社内サーバーに残った複製ファイルの状況を委託元から把握できないケースが少なくありません。本記事では、委託元の情報システム部門・法務部門の方に向けて、データの提供前から委託終了後の削除確認までを、実務で使える台帳例・比較表・チェックリストとともに整理します。
Contents
委託先へのデータ提供で発生するリスクと対策
委託元が直面しやすい課題
- 提供したファイルの一覧がメール添付や個人の共有リンクに分散し、後から全体を追えない
- 委託先の作業者が手元に複製したファイルや、委託先の再委託先に渡ったファイルの所在が分からない
- 委託終了時に「削除しました」という口頭やメール一文の連絡だけで終わり、何を削除したのか照合できない
- 事故が起きた際の連絡先や報告期限が決まっておらず、初動が遅れる
データのライフサイクル全体で「記録」と「照合」を組み込む
委託先の流出対策は、委託終了時の削除依頼だけでは成り立ちません。提供前にデータの範囲と取扱方法を記録し、提供中はアクセス権限や利用状況を管理し、委託終了時には返却・削除の結果を台帳と照合する流れを、契約時点で委託先と合意しておくことが要点です。
なお、個人データの取扱いを委託する場合、個人情報保護法では委託元に対して必要かつ適切な委託先の監督を求めています。委託先の選定時に安全管理措置を確認し、委託期間中も取扱状況を把握する必要があります。
提供データ台帳の作成と記録項目
委託終了時の照合は、提供時の記録がなければ行えません。最初に整備すべきなのが提供データ台帳です。
台帳に記録する項目
- 提供データ名と識別情報(ファイル名、版、件数など)
- 機密区分(社外秘、個人情報を含むかなど)
- 委託元の管理責任者(部署・担当者)
- 提供日と提供方法(共有フォルダ、共有リンク、媒体など)
- 委託先の受領者と保管場所
- 利用目的と利用期限
- 複製・再委託の可否
- 委託終了時の扱い(返却/削除/委託元側で権限削除のみ)
記入例
| 項目 | 記入例 |
| 提供データ名 | 2026年度 顧客問い合わせ履歴(第2版) |
| 機密区分 | 社外秘・個人情報を含む |
| 提供日/提供方法 | 2026/10/1 委託元管理の共有フォルダで閲覧権限を付与 |
| 受領者/保管場所 | 委託先A社 運用担当2名/委託元共有フォルダ内のみ |
| 利用目的/期限 | 問い合わせ分類作業/2026/12/25まで |
| 複製・再委託 | ダウンロード・複製は事前申請制、再委託不可 |
| 終了時の扱い | 権限削除+委託先端末の複製有無を削除報告で確認 |
ポイントは、「委託先にファイルそのものを渡すのか、委託元の管理下で閲覧させるのか」を提供前に決めて記録することです。委託元の管理する保存場所で作業してもらえば、委託先側に複製が発生する範囲を狭めやすくなります。
委託期間中のアクセス期限・権限管理
台帳に記録した利用期限は、アクセス権限の設定や定期的な見直しに反映させる必要があります。また、個人データを取り扱う委託では、アクセス期限の管理に加えて、委託先が契約で定めた安全管理措置を実施しているか、リスクに応じた方法で確認することも必要です。
期限管理の実務
- 共有フォルダや共有リンクを使う場合は、利用期限に合わせて権限の終了日を設定し、設定内容を台帳に記録する
- 期限設定の仕組みがない、または使えない場合は、担当者が期限前に権限を見直す運用ルールを決める
- 委託先の担当者が異動・退職した際は、委託先から連絡を受けて該当者の権限を外す取り決めを入れる
- 委託期間が延長された場合は、延長の根拠と新しい期限を台帳に追記する
「渡し方」による管理しやすさの違い
メール添付は送信後に委託元からアクセスを制御しにくく、削除依頼と報告確認が中心になります。USBメモリなどの媒体で渡す場合は、媒体を回収しても複製が残る可能性があります。一方、委託元が管理する共有フォルダならアクセス権限を変更・削除しやすく、サービスの機能に応じてダウンロードの制限や操作履歴の確認も行えます。
どの方法でも、委託先がダウンロードや複製をした時点で、そのデータは委託先の管理下に移ります。共有フォルダを使う場合でも、ダウンロード・複製のルールと終了時の削除確認は別途必要です。
委託終了時の返却
委託の終了が見えた段階で、返却・削除の対象を台帳から抽出し、委託先へ通知します。
返却・削除のフロー
- 委託終了日の数週間前を目安に、台帳から提供データの一覧を抽出する
- 各データについて「返却」「削除」「委託元側の権限削除のみ」のいずれかを指定し、委託先へ通知する
- 委託先は、提供データに加えて、作業中に作成した複製・加工データ・出力物の有無を確認する
- 返却対象は委託元が受領し、受領日と内容を台帳に記録する
- 削除対象は委託先が削除を実施し、削除報告を提出する
- 委託元は共有フォルダ等の権限を削除し、削除日を台帳に記録する
- 削除報告を台帳と照合し、差異があれば委託先へ確認する
見落としやすい対象
- 作業者個人の端末やダウンロードフォルダに残った複製
- 加工・集計したファイル、印刷物
- 委託先内部のメールやチャットに添付されたファイル
- 委託先のバックアップ領域に残ったデータ
- 再委託を認めていた場合は、再委託先が保有するデータも返却・削除確認の対象に含めます。委託元は、委託先を通じて再委託先の保管場所や複製の有無、削除結果を確認し、必要に応じて証跡の提出を求めます。
バックアップ領域など、即時削除が難しいデータについては、保持する理由、保存期間、消去予定時期を委託先に報告してもらいます。あわせて、保存期間中のアクセス制限や業務利用の禁止などを取り決め、削除が完了するまでの管理方法を明確にしておきます。
委託先に渡したデータの削除や返却はどう確認する？
委託元が委託先のシステムを直接確認できる場面は限られるため、確認の中心は委託先から提出される削除報告と、委託元の台帳との照合になります。
削除報告に含めてもらう項目
- 削除したデータの名称・版(台帳の識別情報と対応させる)
- 削除した保管場所(サーバー、端末、媒体、メールなど)
- 削除方法と実施日
- 実施者と、確認・承認した責任者
- 複製・加工データ・出力物の有無と、その処理内容
- 削除できなかった、または保持しているデータがあればその理由と今後の扱い
台帳との照合方法
| 照合観点 | 確認内容 | 差異があった場合 |
| 件数 | 台帳の提供データ件数と、返却・削除報告の件数が一致するか | 未報告のデータを個別に問い合わせる |
| 保管場所 | 提供前に申告された保管場所がすべて報告に含まれているか | 漏れている保管場所の処理を確認する |
| 複製 | 事前申請されたダウンロード・複製分が報告されているか | 申請記録をもとに所在を確認する |
| 権限 | 委託元側の共有権限が削除されているか | 委託元で即時に権限を削除する |
| 保持データ | 削除できないデータの理由と扱いが記載されているか | 保持期間・消去時期の報告を求める |
照合結果は台帳に記録し、委託の終了記録として保管します。削除報告と台帳の照合によって、報告漏れや対象データの不一致を確認できます。ただし、削除報告は委託先の申告に基づくため、照合だけですべての複製データが消去されたと証明できるわけではありません。取り扱う情報の機密性やリスクに応じて、削除証明書、作業記録、監査などによる追加確認も検討します。
事故連絡の取り決め
返却・削除の手順が整っていても、委託期間中や終了後に流出が疑われる事態は起こり得ます。初動を早めるために、契約時点で次の内容を取り決めておきます。
- 委託元・委託先双方の連絡窓口（部署・担当者・代替連絡先）
- 報告すべき事象の範囲（紛失、誤送信、不正アクセスの疑い、権限外のアクセスなど）
- 第一報の期限（例：事故の発見後、契約で定めた時間以内）と報告方法、続報の提出時期
- 第一報に含める内容（発生日時、対象データ、影響範囲、実施済みの対応）
- 委託先が調査に協力する範囲と、記録の提出
事故連絡を受けた委託元は、提供データ台帳から対象データの機密区分や個人情報の有無を特定し、社内の報告・対応判断につなげます。法令上の報告義務などの判断は個別の事実関係によって異なるため、法務部門や専門家と連携して進めてください。
よくある質問
委託先に渡したデータの削除や返却はどう確認する？
委託終了時に台帳から返却・削除対象を通知し、委託先から対象データ・保管場所・削除方法・実施日・複製の有無を記載した削除報告を受け取り、提供前の台帳と照合して確認します。差異があれば個別に問い合わせ、照合結果を記録に残します。
委託先から「削除しました」とだけ連絡が来た場合はどうすればよいですか？
それだけでは何を削除したのか照合できないため、台帳の識別情報に対応した対象データ、保管場所、削除方法、実施日、複製や加工データの扱いを記載した報告を改めて依頼します。次回以降の委託では、報告項目を契約時に合意しておくことをおすすめします。
共有フォルダで渡していれば、委託先の複製は気にしなくてよいですか？
委託先がダウンロードや複製をした分は、共有フォルダの権限を削除しても委託先側に残ります。ダウンロード・複製のルールを決め、委託終了時の削除報告で複製の有無を確認する運用が必要です。
バックアップに残ったデータはどう扱えばよいですか？
即時の削除が難しい場合は、保持の理由と消去の時期などを委託先に報告してもらい、台帳に記録します。扱いについては委託契約の段階で取り決めておくと、終了時の確認がスムーズになります。
まとめ｜委託終了まで見据えてデータを管理する
委託先への情報漏洩対策は、データを渡す時点から始まります。提供するデータと受領者、利用期限を台帳に記録し、委託期間中はアクセス権限や複製の状況を管理しましょう。委託終了時には、返却物と削除報告を台帳に照合し、端末・メール・バックアップ・再委託先に残るデータも確認対象に含めることが重要です。
ただし、削除報告だけですべての複製が消去されたと証明できるわけではありません。データの機密性に応じて追加の証跡を求め、削除できないデータは保持期間と管理方法を明確にしておきましょう。
