個人情報
受付代行・名簿入力の外注と個人情報
委託すれば終わり、ではない
イベントの受付を外注すると、その会社のスタッフが参加者名簿に触れます。 名簿入力やデータ化を頼めば、名簿そのものを渡すことになります。個人情報保護法には委託という枠組みがあり、これに当たれば第三者提供のルールは外れます。しかし、代わりに別の条文が働きます。
結論
第27条第5項第1号は、利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託することに伴って提供される場合、提供先は第三者に該当しないものとするとしています。一方第25条は、委託する場合にその取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています。
根拠と、この記事の範囲
本記事の条文はe-Gov法令検索の個人情報の保護に関する法律から取得しています（2026年10月時点）。
注意
「必要かつ適切な監督」として具体的に何をすれば足りるかは、条文に書かれていません。 本記事では監督の内容を列挙しません。以下に挙げるのはイベントの発注で決めておくべき項目であり、法令上の要件の列挙ではありません。実際の契約と運用は弁護士に確認してください。
2つの条文がセットで働く
| 条文 | 内容 |
|---|---|
| 第27条第5項第1号 | 利用目的の達成に必要な範囲内で取扱いを委託することに伴って提供される場合、提供先は第三者に該当しないものとする |
| 第25条 | 委託する場合は、安全管理が図られるよう委託を受けた者に対する必要かつ適切な監督を行わなければならない |
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。（第25条）
Point
「委託だから同意が要らない」という理解の、後半が抜けています。 第27条第5項第1号で第三者提供のルールは外れますが、第25条の監督の義務が発生します。セットで働く構造です。
委託の範囲 —「利用目的の達成に必要な範囲内」
第27条第5項第1号は「利用目的の達成に必要な範囲内において」としています。自分が特定した利用目的の外のことを委託先にさせる構図は、この文言からは出てきません。
注意
委託先が自社の目的でデータを使う構図（たとえば受付代行会社が参加者に自社サービスを案内する）は、委託の枠組みではない可能性が高くなります。そうした話が出たら、構成を見直してください。
イベントで委託に当たりうる場面
- 受付の代行（参加者リストを渡して本人確認・受付をしてもらう）
- 紙のアンケートのデータ入力
- 名刺のデータ化
- 招待状・案内状の発送（宛名データを渡す）
- 配信ツール・申込フォームの利用（外部サービスにデータが入る）
- ノベルティの発送代行
- コールセンターによる出欠確認
Point
当日の受付が最も見落とされます。 制作会社や人材会社に受付を頼むと、その日だけ来た臨時のスタッフが参加者名簿を見ることになります。契約上は制作会社との取引でも、実際に名簿に触れるのはその先の人です。再委託の構図になっていないかを確認してください。
注意
外部の配信ツールやフォームツールの利用がこれに当たるかは、契約の形とデータの流れによります。本記事では判断しません。 詳しくはウェビナーの個人情報も参照してください。
発注の段階で決めること
第25条の監督を実務に落とすと、契約と運用の両方で決めることが出てきます。以下は法令上の要件の列挙ではなく、イベントの発注で詰めておくべき項目です。
契約に書く
- 渡すデータの項目と範囲（何を渡し、何を渡さないか）
- 利用の目的と範囲（委託した業務以外に使わない）
- 再委託の可否と、認める場合の条件・事前承諾
- 安全管理の措置（保管方法、アクセスできる人の範囲）
- 事故時の連絡（誰が、いつまでに、誰に）
- 業務終了後のデータの扱い（返却・消去・証跡）
- 監査・報告の方法
- 違反時の措置
運用で決める
- 渡す形式と経路（メール添付か、共有ドライブか、パスワードの渡し方）
- 渡す量（全件か、当日必要な分だけか）
- 当日のスタッフが見られる範囲（氏名だけでよくないか）
- 紙に印刷する部数と回収の担当
- 終了後に回収・削除したことの確認
- 誰が確認するか（主催者側の担当者）
Point
「渡す量を減らす」が最も効きます。 受付に全件の名簿が要るのか、当日来る人だけでよいのか。氏名と受付番号だけで足りるのに、会社名・役職・メールアドレスまで入った一覧を渡していないか。監督の手間は、渡す量に比例します。
再委託
制作会社に発注し、制作会社が人材会社に、人材会社がスタッフを手配する。イベントでは珍しくない構図です。
注意
再委託について条文がどう定めているかは、本記事の取得範囲外です。 ただし実務として、どこまで把握できるかを発注の段階で確認してください。「誰がデータに触れるのか説明できない」状態は、第25条の監督の観点から苦しくなります。発注の枠組み自体については制作会社・フリーランスへの発注も参照してください。
事故が起きたときの流れを先に決める
第26条第1項のただし書は、委託を受けた者が委託元に通知したときは委員会への報告を要しないという構造を置いています。つまり委託先から委託元への連絡が流れの中に組み込まれています。
- 委託先が誰に、いつまでに連絡するかを契約に書いた
- 主催者側の受け手を決めた（担当者名と連絡先）
- 当日の時間帯（夜間・休日）でも連絡がつく経路がある
- 連絡を受けたあと誰が判断するかを決めた
- 弁護士に相談できる体制がある
Point
イベント当日は夜になります。 撤収後に「名簿が一部見当たらない」と分かることがあります。その時間に連絡がつく相手を決めておいてください。
注意
漏えい時の全体像は個人情報が漏れたときの初動、契約の作り方は業務委託契約書を参照してください。
この記事の要点
- 委託は第27条第5項第1号で「第三者に該当しないものとする」が、代わりに第25条の監督の義務が働く。セットで理解する。
- 第27条第5項第1号は「利用目的の達成に必要な範囲内において」。委託先が自社の目的で使う構図は文言から出てこない。
- 当日の受付が最も見落とされる。 制作会社経由で、その日だけ来たスタッフが名簿を見る。再委託の構図を確認する。
- 「渡す量を減らす」が最も効く。 監督の手間は渡す量に比例する。氏名と受付番号で足りないかを検討する。
- 契約で決めるのは、渡す項目／利用の範囲／再委託／安全管理／事故時の連絡／終了後の扱い／監査／違反時の措置。
- 第26条第1項ただし書により、委託先→委託元の通知が流れに組み込まれている。夜間でも連絡がつく相手を決める。
FAQ
よくある質問
第27条第5項第1号は、利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託することに伴って提供される場合、提供先は第三者に該当しないものとするとしています。ただしこれで終わりではなく、第25条が、委託された個人データの安全管理が図られるよう委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています。
条文には具体的な内容が書かれていないため、本記事では監督の内容を列挙しません。実務としては、渡すデータの項目と範囲、利用の目的と範囲、再委託の可否、安全管理の措置、事故時の連絡、業務終了後のデータの扱い、監査・報告の方法、違反時の措置を契約で決めることになります。実際の契約と運用は弁護士に確認してください。
再委託について条文がどう定めているかは本記事の取得範囲外ですが、実務としては、誰がデータに触れるのかを把握できているかが問われます。発注の段階で再委託の可否と条件を決め、当日どの範囲の人が名簿のどの項目を見るのかを確認してください。説明できない状態は、第25条の監督の観点から苦しくなります。
あります。監督の手間は渡す量に比例します。受付に全件の名簿が必要なのか当日来る人だけでよいのか、氏名と受付番号で足りるのに会社名・役職・メールアドレスまで入った一覧を渡していないか。渡す量を減らすのが、最も確実で手間の少ない対策です。
第26条第1項のただし書は、委託を受けた者が規則の定めるところにより当該事態が生じた旨を委託元に通知したときは、委員会への報告を要しないという構造を置いています。つまり委託先から委託元への連絡が流れに組み込まれています。誰がいつまでに誰に連絡するかを契約に書き、主催者側の受け手を決めてください。イベント当日は夜になるため、その時間に連絡がつく経路が必要です。