個人情報保護法の安全管理措置とリモートアクセス｜委託先・在宅で見るべき点

顧客名簿、申込情報、従業員情報。個人データを在宅勤務や委託先で扱うようになると、個人情報保護法が求める「安全管理措置」が関わってきます。難しそうに聞こえますが、リモートアクセスの文脈に落とすと、確認すべき点は整理できます。

この記事では、個人情報保護委員会のガイドライン（通則編）が示す安全管理措置の考え方を、リモートアクセスの確認ポイントに翻訳して整理します。

この記事は一般的な解説で、法的助言ではありません。実際の対応は、最新のガイドライン本文や自社の状況にもとづいて判断してください。

この記事でわかること

• 安全管理措置とは（5つの観点）
• リモートアクセスで関係するポイント
• 委託先・在宅勤務で特に見るべき点

安全管理措置とは

個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」では、個人データの安全管理のために、次の観点で措置を講じることが示されています。

• 組織的：ルールや責任者を決め、記録を残す
• 人的：従業者への教育・周知
• 物理的：端末・書類などの管理、持ち出し対策
• 技術的：アクセス制御・認証・暗号化・ログなど
• 外的環境の把握：外部（委託先や、外国でデータを扱う場合の制度）の把握

あわせて、従業者の監督、委託先の監督も求められます。リモートアクセスは、このうち主に技術的・物理的・外的環境に関わりますが、ルール（組織的）と教育（人的）とセットで考えるのがポイントです。

リモートアクセスで関係するポイント

安全管理措置を、リモートアクセスの確認ポイントに翻訳すると、次のようになります。

技術的な部分では、「接続できたら社内のどこへでも行ける」状態を避け、利用者ごとに必要な範囲だけに絞ることが、安全管理措置の実務に直結します。設計の考え方はセキュリティのページで解説しています。

クラウド利用と委託先監督は分けて考える

クラウドサービスの利用が、個人データの取り扱いの「委託」や第三者提供に当たるかは、サービス内容や契約によって変わります。個人情報保護委員会のQ&Aでも、クラウド事業者が個人データを取り扱わない形の利用では委託先監督の対象として整理されない場合がある一方、利用企業側の安全管理措置は必要とされています。

そのため、「クラウドだから安心」「委託ではないから確認不要」と考えず、アカウント・共有設定・保存場所・ログ・退職者の停止を確認します。

委託先・在宅勤務で特に見るべき点

委託先の監督

個人データの取り扱いを委託する場合、委託先に対する必要かつ適切な監督が求められます。リモートアクセスの観点では、次を確認します。

• 委託先に渡すアクセス権を、作業に必要な範囲だけに限定する
• 契約・終了時のアクセス停止・データの返却／削除を取り決める
• 再委託の有無と、その管理を確認する

委託先・退職者のアクセス管理は権限管理の記事、委託先へアクセスを渡す前の範囲設計は協力会社・外部委託先に社内システムを使わせる時の注意点でも詳しく扱っています。

委託先には、次の点を確認しておくと安心です。

在宅勤務

在宅で個人データを扱う場合は、次が論点になります。

• 接続経路を直接公開せず、安全な経路の内側から使う
• 個人データを私物端末・私用クラウドに保存しない（BYODの記事）
• 接続後に必要なシステムだけに到達できるようにする

漏えい等が疑われるときの初動も決めておく

個人データの漏えい等が発生し、個人の権利利益を害するおそれがある場合は、個人情報保護委員会への報告や、本人への通知が必要になることがあります。リモートアクセスでは、端末の紛失、不正ログイン、委託先アカウントの残存などがきっかけになり得るため、発見時の連絡先・ログ確認・外部共有の停止・アカウント停止の手順を、あらかじめ決めておきます。サイバー攻撃や不正アクセスへの備えはランサムウェア対策の記事も参考にしてください。

確認チェック

リモートアクセスまわりで、次を点検してみてください。

まとめ：押さえるべき3点

1. 個人データを在宅・委託先で扱うと、**安全管理措置（組織・人・物理・技術・外的環境）**が関わる
2. リモートアクセスでは、利用者ごとのアクセス制御・暗号化・ログ・端末管理が技術的な要
3. 委託先の監督（範囲・契約・終了時の停止）と、データの保存場所の把握を忘れない

業種別では、顧客情報を扱う会計事務所・法律事務所のテレワーク、患者情報を扱う医療機関のリモートアクセス対策、利用者情報を扱う介護・福祉事業所のテレワークでも、それぞれの個人情報の扱いを具体的に解説しています。

自社での進め方は、最新のガイドライン本文を確認のうえ、セキュリティのページや権限管理の記事も参考に、あわせて料金ページとFAQで確認してください。

参考・出典

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」
• 個人情報保護委員会「漏えい等の報告・本人への通知」
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）
• 総務省「テレワークセキュリティガイドライン（第5版）」