顧客データをAI専門家に渡すとき 個人情報保護法の委託・安全管理措置・委託先の監督

AIの専門家にデータ分析や試作を頼むと、顧客の名簿や問い合わせの記録を渡す場面が出てきます。渡す前に、個人情報保護法のどの規定が関係するかを確認する必要があります。

個人データの範囲

個人情報保護法は「個人情報データベース等」を定めています。個人情報を含む情報の集合物で、特定の個人情報を検索できるように体系的に構成したものです。これを事業の用に供している者が「個人情報取扱事業者」です（個人情報保護法第16条第1項・第2項）。

個人情報データベース等を構成する個人情報が「個人データ」です（同条第3項）。顧客管理システムの顧客情報や、表計算ソフトで管理している顧客名簿は、個人データに当たるのが一般的です。

以下で説明する安全管理措置や委託先の監督の規定は、個人データが対象です。

委託として渡す場合

個人データを第三者に提供するには、原則として本人の同意が必要です（個人情報保護法第27条第1項）。ただし、例外があります。利用目的の達成に必要な範囲内で、個人データの取扱いを委託する場合です。委託に伴って提供する場合、提供先は第三者に該当しません（同条第5項第1号）。

個人情報保護委員会のガイドライン（通則編）は、この場合の提供先は、委託された業務の範囲内でのみ扱えるとしています。委託された業務以外に個人データを扱うことはできません。

専門家にデータ分析を頼む場合、次の点を確認します。

• 分析の目的が、自社が本人に示している利用目的の範囲内か
• 専門家が、そのデータを依頼した業務以外に使わないこと
• 専門家が、そのデータを自分の他の仕事やAIの学習に使わないこと

専門家が自分の事業のためにデータを使う場合は、委託ではなく第三者提供になる可能性があります。判断が難しい場合は、弁護士に確認してください。

安全管理措置

個人情報取扱事業者は、個人データの安全管理のために必要かつ適切な措置を講じなければなりません（個人情報保護法第23条）。漏えい、滅失又は毀損の防止などが対象です。

ガイドライン（通則編）の別添は、講ずべき安全管理措置の内容を次のように分けています。

• 基本方針の策定
• 個人データの取扱いに係る規律の整備
• 組織的安全管理措置
• 人的安全管理措置
• 物理的安全管理措置
• 技術的安全管理措置
• 外的環境の把握

専門家に渡すデータの範囲を決めることも、安全管理の一部です。ガイドラインは、委託する業務に必要のない個人データを提供しないことを当然のこととしています。氏名や連絡先を除いても分析できる場合は、除いてから渡します。

委託先の監督

個人データの取扱いを委託する場合、委託元は委託先を監督しなければなりません。監督は必要かつ適切なものとされています（個人情報保護法第25条）。ガイドライン（通則編）は、監督の内容を次の3つに分けています。

監督の内容	ガイドラインの記載の要点	専門家に依頼する場合の例
適切な委託先の選定	委託先の安全管理措置が、委託元に求められるものと同等であることを、あらかじめ確認する	データの保管場所、端末の管理、パスワードの設定を面談で確認する
委託契約の締結	双方が同意した安全管理措置と、委託元が取扱状況を合理的に把握することを盛り込むことが望ましい	利用目的の限定、返却・削除、再委託の条件を契約に書く
取扱状況の把握	定期的に監査を行う等により、契約の内容の実施の程度を調査し、評価することが望ましい	作業の終了時に、削除したことの報告を受ける

ガイドラインは、委託先に求める水準について、法第23条が求める水準の安全管理措置を講じれば足りると解されるとしています。委託元が独自に高い水準を採用していても、同じ水準を委託先に求める趣旨ではありません。

再委託と生成AIへの入力

専門家が作業の一部を別の人に頼む場合は、再委託になります。ガイドラインは、再委託について、委託先から事前報告を受け又は承認を行うことが望ましいとしています。対象は、再委託する相手方、業務内容、個人データの取扱方法などです。

専門家が作業に生成AIのサービスを使う場合も確認が必要です。個人情報保護委員会は、生成AIサービスへの個人データの入力について注意喚起をしています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」）。本人の同意なく個人データを含むプロンプトを入力する場合が対象です。そのデータが応答結果の出力以外の目的で扱われると、法の規定に違反する可能性があるとしています。このため、提供事業者がその個人データを機械学習に利用しないこと等を十分に確認するよう求めています。

契約の前に、専門家が使うサービスの名前と、入力するデータの範囲を確認します。

渡す前の確認手順

1. 専門家に頼む業務と、その業務に必要なデータの項目を書き出す
2. 業務が、自社が本人に示している利用目的の範囲内かを確認する
3. 氏名や連絡先など、業務に不要な項目を除けるかを確認する
4. 専門家の安全管理の状況（保管場所、端末、アクセスの管理）を確認する
5. 業務以外での利用の禁止、再委託の条件、終了時の削除を契約に書く
6. データの受け渡しの方法と、受け渡しの記録の残し方を決める

作業が終わったら、専門家の手元に残ったデータの削除と、その報告を受けます。削除の対象には、作業用に作った複製や、分析の途中のファイルも含めます。

データの受け渡しは、パスワードを設定したファイルや、アクセスできる人を限定した共有の場所を使います。メールにデータを添付する場合は、宛先の誤りに注意が必要です。

漏えいが起きた場合

個人情報保護法第26条は、一定の漏えい等が生じたときの報告と通知を定めています。個人の権利利益を害するおそれが大きい場合、個人情報保護委員会への報告と本人への通知が必要です。ガイドラインは、報告の対象として次の事態を挙げています。

• 要配慮個人情報が含まれる個人データの漏えい等
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
• 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
• 本人の数が千人を超える漏えい等

報告は、速報と確報の2段階です。速報の目安は、事態を知った時点から概ね3～5日以内です。確報は30日以内（不正の目的による事態は60日以内）とガイドラインは定めています。

委託先が委託元に事態を通知したときは、委託先の報告義務は免除されます。専門家から速やかに通知を受けられるよう、連絡の方法と期限を契約に書いておきます。

まとめ

顧客データを専門家に渡す場合は、利用目的の範囲内の委託として渡し、業務以外に使わないことを契約で定めます。渡すデータは業務に必要な範囲に絞ります。

委託先の選定、契約、取扱状況の把握の3つで監督を行い、再委託と生成AIへの入力の条件も決めます。秘密保持の契約は「AI専門家に相談する前の秘密保持契約」、データ活用に詳しい専門家は「データ活用・基盤の専門家」から探せます。