改正個人情報保護法と経理・給与のBPO：施行前に点検すること

個人情報保護法等の一部を改正する法律が、2026年7月10日に成立し、7月17日に公布されました。施行は原則として公布の日から起算して2年を超えない範囲内とされており、政令、委員会規則、ガイドラインはこれから整備されます。

改正の全体像は広い範囲に及びますが、ここでは給与計算、経費精算、請求、記帳といったバックオフィス業務を外部に委託している会社、あるいは受託している会社に絞って整理します。この領域で変わるのは、委託先の位置づけです。

これまでとどう変わるのか

従来の実務では、個人データの取扱いを委託する場合、委託元が委託先を監督する義務を負う構成が中心でした。委託先の選定、契約による取扱いの限定、状況の把握といった管理を、委託元側の責任として組み立ててきた会社が多いはずです。

改正法では、委託先自身に対して、取扱いを委託された個人データ等を当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務が明文で置かれます。例外とされているのは、法令に基づく場合、および人命の救助、災害の救援その他非常の事態への対応のため緊急の必要がある場合です。

あわせて、委託先が自ら取扱いの方法を決めず、委託元から指示された方法で機械的に取り扱うのみの場合について、個人情報取扱事業者としての義務の多くを免除する枠組みが示されています。免除を受けるには、委託契約において取扱いの方法の全部について合意し、かつ委託先における取扱いの状況を委託元が把握するために必要な措置等について合意していることが必要とされます。この場合でも、必要な範囲を超えて取り扱ってはならない義務と、安全管理に係る義務は適用されます。

具体的な要件は委員会規則等で定められる予定で、現時点では確定していません。改正法対応としての最終的な契約条項は、政令、規則、ガイドラインを確認してから確定させることになります。

いつまでに何をするか

個人情報保護委員会は2026年7月31日に今後の取組を決定し、改正法の円滑な施行に向けたロードマップを公表しました。政令、規則、ガイドライン、Q&Aの検討と審議、意見募集、公布と公表が段階的に予定されています。ただし委員会自身が、この表は現時点での大まかな見込みであり、今後の状況によって変わり得るとしています。

つまり、改正法対応としての条項を先に固定すると作り直しになり、条文の細部が固まるのを待つと時間が足りません。この時期に効くのは棚卸しです。

ただし、待ってよいのは改正法への対応部分だけです。現行法のもとでも委託先の監督は必要ですから、利用目的、再委託、安全管理措置、契約終了時のデータ削除に明らかな不足がある契約は、施行を待たずに是正してください。

棚卸しの単位は契約ではなくデータフロー

委託先ごとに契約書を並べても、実態はつかめません。同じ「経理業務委託契約」でも、クラウド会計の標準機能で完結する部分、BPO事業者の担当者が手作業で処理する部分、AIが分類や要約を行う部分では、データの流れ方が違うからです。

整理する軸は次の5つで足ります。

どのデータ項目が渡っているか。給与データ、扶養親族の情報、口座情報、経費精算に添付された領収書、請求先担当者の氏名と連絡先まで含めて洗い出します。マイナンバーとその周辺情報は別管理になっているはずですが、周辺情報がどこまで一緒に流れているかは意外と把握されていません。

誰が処理しているか。委託先の従業員か、再委託先か、システムの自動処理かを分けます。再委託の有無と再委託先名を把握できていない委託は、この機会に確認しておく価値があります。

どこに保管されているか。委託先のサーバか、クラウド事業者か、国外かを記録します。

何のために使われているか。委託業務の遂行のためだけか、それとも事業者側のサービス改善や分析にも使われる余地があるか。利用規約やプライバシーポリシーで、統計処理や機能改善への利用に言及していることがあります。

契約終了後にどうなるか。返却か削除か、削除の証跡は誰がどの形で残すか。

この5つを一枚の表にすると、契約書の記載と実際の運用がずれている箇所が浮かび上がります。ずれが見つかったところが、規則やガイドラインが確定したときに直す対象です。

AIによる処理をどう扱うか

委託先がAIの機能改善や自社の分析のためにデータを使う場面では、委託業務の遂行に必要な範囲と、事業者独自の目的との境界が問題になります。この線引きは、今後の規則、ガイドライン、Q&Aの内容に左右されるため、現時点で断定はできません。

実務としてできるのは、委託先が使っているAI機能について、入力されたデータが学習や機能改善に使われるのかを契約と利用規約の両方で確認し、確認した結果を記録しておくことです。事業者によっては、法人向けプランでは学習に使わないという設定が既定になっています。設定に依存している場合は、その設定が変更されていないことを定期的に確認する担当者を決めておきます。

委託を受ける側の準備

BPOやクラウドサービスを提供する側も、委託元の指示を受けるだけの立場ではなくなります。委託業務の範囲を超える取扱いをしていないことを、自社の業務手順として説明できる状態にしておく必要があります。

免除の枠組みを使うのであれば、取扱いの方法の全部について合意しているといえる契約内容と、委託元が状況を把握できる仕組みの両方が要ります。ここは規則の内容次第で必要な水準が変わるため、いまは自社の処理内容を文書化しておく段階です。

まとめ

改正法への対応として契約書を一律に改定する段階ではありませんが、施行の直前まで待つのも得策ではありません。委託先、再委託先、データ項目、処理の目的、保管先を棚卸しし、契約に書いてある指示と実際の運用の差を先に洗い出しておけば、政令と規則が確定した時点で差分だけを直せます。現行法のもとで既に不足している事項があれば、それは改正を待たずに直します。

あわせて、委託先の評価、事故が起きたときの報告、目的外利用の禁止、削除の証跡について、社内の責任者を決めておいてください。改正法の詳細な適用については、政令とガイドラインの整備状況を踏まえて個別に確認する必要があります。

参考

個人情報保護委員会「令和8年改正個人情報保護法について」
個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026年7月17日）
個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」（2026年7月31日）