委託（個人データの取扱いの委託）とは

AI開発では、顧客データの分析やモデルの構築を外部のベンダーに任せることがよくあります。個人情報保護法は、こうした個人データの取扱いの委託について、第三者提供とは別のルールを置いています。

第三者提供に当たらない

利用目的の達成に必要な範囲内で、個人データの取扱いの全部または一部を委託し、それに伴ってデータを渡す場合、委託先は第三者に当たりません（27条5項1号）。委託先は、本人との関係で委託元と一体のものとみなせるからです。そのため、本人の同意やオプトアウトの手続なしに渡せます。データ入力の外注や、商品の配送のための宅配業者への提供が典型例です。

委託先は業務の範囲内でしか使えない

一体とみなせるのは、任された業務の範囲内に限られます。委託先は、預かったデータを自社の営業活動に使うことも、複数の委託元のデータを区別せずに混ぜて扱うことも、自社で集めたデータと本人ごとに突き合わせることもできません。

委託元の監督義務

委託元は、委託したデータの安全管理が図られるよう、委託先を必要かつ適切に監督します（25条）。ガイドライン（通則編）は、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握を挙げています。

注意が必要な場面

• 外国にある委託先：28条の規制がかかります。委託であっても、本人の同意か、基準に適合する体制の整備などが必要です。
• クラウドサービス：事業者が契約上個人データを取り扱わないこととなっていれば、提供にも委託にも当たりません。
• 生成AIサービス：本人の同意なく入力した個人データが、応答の出力以外の目的（機械学習など）に使われる場合は、法違反となる可能性があります。

2026年の改正（未施行）

2026年7月17日に公布された改正法は、委託を受けた事業者に、委託された個人データ等を業務の遂行に必要な範囲を超えて取り扱ってはならない義務を明文で課しました（改正後の30条の3）。2026年10月31日時点では施行されていません。