【動画解説・動画資料・契約書ひな形】個人情報保護委員会（2026年10月1日）事務局資料を読む【委託編】｜委託先の義務と委託契約の要件はこう変わる
2026/10/02
「サービス改善のため、預かったデータを利用できる」
このような条項が入った委託契約は、改正後には通用しなくなる可能性があります。
令和8年改正個人情報保護法（令和8年法律第56号）により、委託先には「委託業務の遂行に必要な範囲を超えて取り扱ってはならない」という直接の義務が課されます（30条の3）。さらに、2026年10月1日の個人情報保護委員会では、委託先の義務免除（58条の2）の前提として委託契約に定めるべき事項が、初めて具体的に示されました。
委託契約は、監督のために「望ましい」ものから、義務免除の「要件」へと位置付けが変わります。クラウド、SaaS、生成AI、BPOなど外部委託を利用・提供するすべての企業に関係する改正です。
当事務所パートナー弁護士 渡邉雅之が、改正のポイントから既存契約の見直し方までを動画で解説しました。あわせて、動画で使用したスライド資料（PDF）と、改正に対応した委託契約書のひな形（Word）を公開します。
■解説動画
https://youtube.com/live/aMcDu6E8Hbo
■動画資料（PDF）
動画で使用したスライド資料です。
https://www.miyake.gr.jp/wp-content/uploads/2026/10/【委託編】個情委10月1日資料を読む｜委託先の義務と委託契約の要件はこう変わる.pdf
■委託契約書ひな形（Word）
「個人情報の取扱いの委託に関する契約書」（第1版・2026年10月、規則確定前の暫定版）
https://www.miyake.gr.jp/wp-content/uploads/2026/10/個人情報の取扱いの委託に関する契約書_ひな形.docx
■改正で変わる3つのこと
1．委託先自身が「範囲外取扱いの禁止」を直接負う（30条の3）
委託先の独自利用は、これまで委託元の監督を通じて間接的に規律されるだけでした。改正後は、委託先固有の法的義務になります。受託データを自社サービスの改善やAIの学習に使う行為は、正面から問題になり得ます。
2．委託契約が、委託先の義務免除の「要件」になる（58条の2）
取扱いの方法を自ら決めない委託先は、委託契約で所定の事項を定め、契約どおりに取り扱えば、個人情報取扱事業者としての義務が原則として免除されます。ただし、安全管理措置、漏えい等の報告、範囲外取扱いの禁止は免除後も残ります。
3．委託契約に書くべき事項が、初めて規則で定められる
10月1日の事務局資料では、次の事項が示されました。
・取扱いの方法4項目：対象となる個人情報等／処理の内容／取扱いの始期及び終期／取扱いの国又は地域
・漏えい等・範囲外取扱い・契約違反を知ったときの、委託元への速やかな報告
・業務内容、取扱記録の提供、安全管理措置の情報提供、停止等への対応、終了時の返還・消去
■委託契約書ひな形のポイント
全21条、別紙4つ、別添3つで構成しています。各条の脚注で、改正法と事務局資料との関係を解説しています。Word形式なので、自社の契約にそのまま組み込んでお使いいただけます。
・独自利用の6類型（自社サービスの改善、AIの学習、データの突合・混合分析、営業への転用、事業基盤への蓄積、統計への加工）を禁止事項として列挙（第6条）
・取扱いの方法4項目を別紙で特定し、口頭指示は書面で確認しない限り効力を持たない取扱指示書の仕組みを導入（第4条・第5条）
・漏えい等の報告は「24時間以内」。報告事項は、委員会への報告事項に対応させた別紙で定める（第11条）
・58条の2の免除を前提とする場合だけ置く確認条項（第16条・選択条項）
・規則案に明示のない秘密保持・再委託・監査の条項も整備（第8条・第9条・第13条）
・別添A：委託先の立場からの代替条項（報告期限、独自利用、再委託、監査、損害賠償）
・別添B：ベンダー約款チェックリスト（SaaS・クラウド・生成AIの約款を受け入れる場合の10項目）
・別添C：個人関連情報・仮名加工情報の取扱いを委託する場合の追加条項
※規則・ガイドラインの確定後に改訂版を公開する予定です。
■既存の委託契約、こんな条項はありませんか
□「サービス改善・品質向上のために利用できる」という包括的な許諾条項
□ 業務内容が「〇〇業務一式」としか書かれていない
□ 事故発生時の報告期限が定められていない、又は「遅滞なく」のみ
□ 再委託の条件、監査の受入れが定められていない
□ 海外のクラウドや拠点で取り扱うかどうかが分からない
一つでも当てはまれば、見直しの対象です。委託規律には、既存の契約を改正後の要件を満たすものとみなす経過措置は置かれていません。施行日（2028年7月16日まで）から逆算し、今のうちに棚卸しを始めることをお勧めします。
■動画の内容
・○×クイズで確認する、改正のよくある誤解
・現行の委託の仕組みと、その弱点
・30条の3（範囲外取扱いの禁止）と58条の2（義務免除）の全体像
・委託契約の要件はどう変わるか（10月1日資料の論点1〜3、GDPRとの比較）
・生成AI・SaaSの利用をどう整理するか
・委託契約書ひな形を使った既存契約の見直し、委託先から見た交渉ポイント、ベンダー約款チェックリスト
■ご相談
委託契約・データ処理契約（DPA）の見直し、ベンダー約款の確認、生成AIの業務利用に関する社内ルールの整備などについて、お気軽にご相談ください。
弁護士法人三宅法律事務所 パートナー弁護士 渡邉雅之
TEL 03-5288-1021 ／ Email m-watanabe@miyake.gr.jp
※本記事、動画、動画資料及び委託契約書ひな形は、改正法及び個人情報保護委員会事務局資料（令和8年10月1日）に基づく一般的な情報提供であり、個別の案件に関する法的助言ではありません。個別の契約への適用に当たっては、今後公表される委員会規則・ガイドラインの内容をご確認ください。
