サーバの保守運用を外注する際の保守委託契約の留意点

　サーバ内に個人データやマイナンバーが含まれている場合には、保守委託契約が個人情報保護法またはマイナンバー法が定める「委託」に該当する場合と該当しない場合で契約条項の建て付けが変わってきます。また、偽装請負と判断されないような報酬の定め方や運用が必要となります。

　これらを踏まえ、本Q&Aでは、保守委託契約をレビューする際のポイントを解説します。

個人情報保護法に基づく対応

個人情報保護法が定める「委託」に該当する場合とは

　個人情報保護法22条が定める「委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいいます（個人情報保護委員会「個人情報の保護に関する法律ついてガイドライン（通則編）」（以下「通則ガイドライン」といいます）3-3-4 (※1））。

　したがって、個人データの取扱いの委託は行われていないと評価できますので、個人情報保護法上の委託には該当しません（個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』及び『個人データの漏えい等の事案が発生した場合等の対応について』に関するQ&A」（以下「Q&A」といいます）「Q5-35」）¹ 。

　個人情報保護委員会のQ&Aでは、保守サービスが委託にあたる場合とあたらない場合の具体例として以下があげられています（「Q5-35」）。

　以上に関して、実務的に問題になるのが、通常は個人データを取り扱わないが、例外的に個人データを取り扱っていると評価できる可能性がある作業を行うことがあるケースです。

　たとえば、サーバのハードウェアやインフラの保守運用を委託しているケースで、通常は個人データが含まれているデータそのものを取り扱うことはないとされているが、障害発生時にバックアップデータからの復旧を行うことがあり、その際には、個人データが含まれているデータを外部媒体からサーバのHDDにコピーする作業を行ったり、データの検証を行う可能性があるような場合です。

　このような場合が、個人情報保護法上の委託にあたるでしょうか。

　これを考えるにあたって大きなヒントを与えているのが、上記④です。④は「保守サービスの作業中に個人データが閲覧可能となる場合であっても、個人データの取得（閲覧するにとどまらず、これを記録・印刷等すること等をいう。）を防止するための措置が講じられている場合」には、委託にあたらないとしています。

　要するに、委託先の技術者等が、個人データを「取得」（記録・印刷等）してしまう事態を防止する措置を講じているのであれば、「閲覧」可能であったとしても、それは「委託」にはあたらないとされていることになります。

　したがって、この措置を契約と運用で盛り込んでおけば、委託にあたらないことになります。バックアップデータから復旧する際に個人データが含まれているデータを取り扱う可能性がある場合には、たとえば、委託元の担当者が必ず立ち会うようにしたうえで、作業そのものが記録される状態に置いておく、といった措置を契約で定めて運用すれば、委託にはあたらないと考えることができるものと思われます。

個人情報保護法の「委託」にあたる場合の契約条項

（1）委託先に対する「必要かつ適切な監督」

　個人情報保護法の委託にあたる場合、個人情報保護法22条に従って、委託先に対する「必要かつ適切な監督」を行う義務があります。

　具体的には、通則ガイドライン²に従って、以下の義務を果たす必要があります（通則ガイドライン3-3-4）。

　ここで問題になるのが、（1）～（3）をどの「深さ」まで行うかですが、この点について、通則ガイドライン3-3-4には以下のとおりの記載があります。

　つまり、以下のa～dなどの「リスクに応じて」行うことが求められており、それで十分とされているのです。

　たとえば、「個人データが漏えい等した場合に本人が被る権利利益の侵害の大きさ」(上記b)は、委託する個人データの内容によって大きく異なるはずです。漏えい等した場合に本人が大きなダメージを被ることになる要配慮個人情報やクレジットカード番号などの高リスクな個人データの委託については極めて厳密な措置を講じ、リスクがそれほど高くない個人データの委託についてはその程度に応じた措置を講じるといったように、「深さ」は適切に変えることができるとされています。

（2）安全管理措置に関する契約条項

　以上を踏まえ、契約において注意すべき点を検討します。

　まず、通則ガイドライン3-3-4によれば、「（1）適切な委託先の選定」としては、委託先の安全管理措置が、委託元に求められている安全管理措置と同等以上であることを確認する必要があるとされています。また、「（2）委託契約の締結」としては、「委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。」とされています。

　以上の（1）および（2）を併せて考えると、高リスクな情報の取扱いを委託する契約であれば、通則ガイドラインが定める安全管理措置をチェックリストにして委託先候補に渡して記入してもらい、その結果を契約書に添付して、「別紙記載のとおりの安全管理措置を講じるものとする」といった厳しい条項にすることが考えられるでしょう。

　他方、低リスクな情報の取扱いを委託するだけであれば、関連法令やガイドラインに従った取扱いを義務づける条項を設けることで足りるケースもあると思われます。

（3）委託先における個人データの取扱状況の把握に関する契約条項

　次に、「（3）委託先における個人データの取扱状況の把握」については、「委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。」とされています。

　委託契約を締結する際に、監査条項を入れるかどうかが問題になることがありますが、個人情報保護法の通則ガイドライン上は、「定期的に監査を行う」ことは、「等」と記載されていることからわかるとおり例示であり、「望ましい」と記載されているとおり義務ではありません。つまり、監査条項は、ガイドライン上、例示されたうえで「望ましい」とされているため義務ではない条項、ということになります。したがって、高リスクの場合には条項に盛り込むこととし、低リスクの場合にはそこまで要求しない、といった対応になるのが一般的です。

　中程度のリスクの場合には年に1回取扱状況についての報告をさせる条項を入れる、低リスクの場合には情報漏えい等の事案が発生した場合に報告させる条項のみとする、といった契約条項にすることが考えられます。

個人情報保護法の「委託」にあたらない場合の契約条項

　個人情報保護法の「委託」にあたらない場合、当該個人データについて自らが管理するものとしての安全管理措置義務（個人情報保護法20条）を負うこととなりますから、注意が必要です（Q&A「Q5-34」）。

　つまり、委託にあたれば委託先の監督の義務を果たせば足りますが、委託にあたらない場合、自社で管理していることになりますので、自らが安全管理措置を果たさなければならないのです。

　したがって、契約としては、結局、委託にあたる場合と同様になると考えられます。すなわち、自らが安全管理措置を果たさなければならないため、結局のところ、①適切な安全管理措置を果たしている委託先を選定し、②安全な管理措置を遵守するような委託契約を締結し、③委託先における個人データの取扱状況の把握をしなければなりません。

再委託に関する条項

　また、通則ガイドライン3-3-4では、再委託について以下のとおり記載されています。

　これを踏まえると、再委託に関する条項を検討するにあたってのポイントは以下の3点になります。

（1）　再委託を行う際の契約条項

　まず、再委託を行う際には、(i)委託先からの事前通知を義務づけるか、あるいは(ii)委託元の事前承諾を条件とする条項が「望ましい」ことになります。高リスクの場合には(ii)の条項とするのがよいでしょう。

（2）再委託先の監督

　次に、再委託先の監督については、(i)委託先が再委託先に対して定期的に監査を行うか、あるいは(ii)委託元が自ら定期的に監査を行うといった条項を設けることが「望ましい」ことになります。もっとも、実務的には、定期的な監査を行う条項を盛り込むのは、前記1-2（3）で述べたとおり、高リスクの場合ということになると思われます。

（3）再委託以降の条項

　さらに、再委託だけではなく、再々委託以降も同様とする条項が必要となります。

損害賠償に関する条項

　2014年に発生した大手通信教育事業会社からの大規模な個人情報漏えい事件では、システム開発の再々委託先の従業員が情報を漏えいし、委託元の会社は260億円もの特別損失を計上するに至っています。

　参照：株式会社ベネッセホールディングス「特別損失の計上に関するお知らせ」

　このような事例を踏まえると、責任制限条項・免責条項をどこまで盛り込むかは、契約交渉の際の大きなポイントということになります。

　また、情報漏えいの損害保険でカバーするこということも考えられるでしょう。

マイナンバー法に基づく対応

　保守委託契約の対象となるデータに個人番号・特定個人情報（以下「マイナンバー」といいます）が含まれている場合、上記の個人データの取扱いの考え方をベースにしつつも「上乗せ」の措置が必要となります。

　まず、「委託」（マイナンバー法11条）にあたる場合とあたらない場合の区別は、個人データの委託と同様です（上記1-1参照）。

　次に、委託にあたる場合に必要とされる監督の内容は、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」第4-2で以下のとおりとされており、個人データの委託と基本的には同じ内容です。

　ただし、②について、契約内容に含めなければならない規定がガイドラインで定められている点が、大きく異なっています。

　マイナンバーの取扱いを委託する契約については、上記の条項が含まれているかどうかがレビューの際のポイントとなります。

　さらに、マイナンバー法は、再委託以降についての規律が、個人情報保護法とまったく異なります。具体的には、マイナンバー法では、法律上、再委託以降については、最初の委託者の許諾が必要であるとされています。

　したがって、マイナンバーの取扱いを委託する契約については、再委託以降については、必ず、事前に最初の委託者の許諾を必要とする条項としなければなりません。

偽装請負と評価されないためのポイント

　保守委託契約が偽装請負であると評価されないようにすることにも留意が必要です。

　保守委託契約では、契約締結時には具体的な作業内容が特定できず、一定時間以内の作業について○円といった料金体系となることが考えられますが、このような場合には特に注意が必要です。

　偽装請負と評価されないためのポイントは、厚生労働省「労働者派遣事業と請負により行われる事業との区分に関する基準」（昭和61年労働省告示37号）に記載されていますので、これに従う必要がありますが、保守委託契約についての主要なポイントは以下のとおりです。

保守の範囲についての条項

　保守委託契約は具体的な作業内容が特定できないケースも多いところですが、契約締結の段階で、できる限り作業内容を特定しておくことがトラブル防止にとって重要です。

　対象となるシステムを特定することは通常行われていると思われますが、そのシステムに関する作業の内容についても、「保守」ではなく「改善」にあたる作業については別途費用を徴収する規定を設けることや、バグや脆弱性の修正についてどこまでが無償でどこからが有償かを明確にする規定を設けることが重要です。

　たとえば、ソフトウェアシステム納入後のバグについては、当該ライセンス契約やシステム開発契約の瑕疵修補期間内は当該契約により無償となることを確認しておくことや、脆弱性対応については納品時に既知のものについては無償とし、それ以降のものについては有償とするなどの切り分けをする条項が考えられます。

その他の条項

　その他、保守契約に関する一般的な条項については、経済産業省「情報システムの信頼性向上のための取引慣行・契約に関する研究会」～情報システム・モデル取引・契約書～（受託開発（一部企画を含む）、保守運用）〈第一版〉」に、「情報システム保守運用委託基本モデル契約書」が記載されています。契約書のレビューの際には参考にするとよいと思われます。