映像制作の外注で確認する委託先チェック｜個人情報の監督義務と契約

入学式の記録映像、施設の利用者が写ったリハビリ記録、社内表彰式の動画。編集を外に出すとき、頭をよぎるのは「これ、渡してしまって大丈夫なのだろうか」という感覚だと思います。渡す相手は信頼できそうだけれど、何をどこまで確認すれば「確認した」と言えるのかがはっきりしない。上司や委員会に説明を求められたときに、契約書の写ししか出せる材料がない。よくある状態です。

法律の答えははっきりしています。個人データの取扱いを外部に委託しても、責任は移りません。委託元には、個人情報保護法第25条の「必要かつ適切な監督」という義務が新しく足されます。同意を取り直さずに渡せる代わりに、渡した先を見てくださいという交換条件です。確認の実務では、委託先の選び方、契約に入れる条項、データの受け渡し、作業後の削除確認、再委託、国外移転、事故時の報告を順に確かめます。

当社は映像データをお預かりしてDVD・ブルーレイを制作する立場なので、確認される側でもあります。実際に聞かれる項目へどう答えているかも、最後の節にそのまま書きます。

外注しても責任は消えない｜法第25条が委託元に課す「必要かつ適切な監督」

編集を外注した瞬間に個人情報の管理責任も一緒に外に出る、という理解は法律上は成り立ちません。個人情報保護法は第25条で、個人データの取扱いを委託する場合の委託元について、「その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」と定めています。責任が移るのではなく、監督という義務が委託元に足される構造です。

この構造は、委託が「第三者提供」に当たらないこととセットになっています。個人データの取扱いの委託にともなう提供は、第三者提供の例外とされています（法第27条第5項第1号）。そのため、映っている人全員から改めて同意を取り直す必要はありません。

監督義務を果たしていないと判断された場合、個人情報保護委員会による報告徴収や指導、勧告・命令の対象になります。実務上こわいのは行政処分そのものよりも、事故が起きたあとに「委託先に任せていました」としか説明できない状態です。監督の実体は、選定・契約・把握という三つの記録で示すことになります。

映像が「個人データ」になるとき

特定の個人を識別できる情報は、個人情報に当たります。顔がはっきり映っている映像は、それ単体で誰かを識別できる場合が多いため、個人情報として扱うのが安全側の判断です。加えて、氏名・学年・利用者番号などと紐づけたファイル名やフォルダで検索できる状態なら、個人情報データベース等を構成する「個人データ」として、安全管理措置（法第23条）と委託先監督（法第25条）の対象になると考えられます。

医療・介護のリハビリ記録や、支援を受けている状況が分かる映像は、病歴や障害の事実を推知させる要配慮個人情報を含むことがあります。要配慮個人情報は、取得の段階から本人の同意が必要な類型です。外注するかどうかを考える前に、撮影と保管の根拠が整理できているかを確認してください。

委託先の選定は、安全管理措置の4分類で「自社と同等か」を照合する

個人情報保護委員会のガイドライン（通則編）は、適切な委託先の選定について、委託先の安全管理措置が「少なくとも法第23条及び本ガイドラインで委託元に求められるものと同等であることを確認」するよう求めています。基準は業界の相場ではなく、自社が自分に課している水準です。したがって、いちばん手早い手順は、自社のセキュリティ規程を印刷して、同じ項目をそのまま相手に聞くことになります。

安全管理措置は、組織的・人的・物理的・技術的の4分類で整理されています。映像制作の外注に当てはめると、聞く内容は下の表のようになります。

分類	外注先に聞く内容
組織的	個人情報の責任者は誰か。事故が起きたときの報告経路。預かったデータの受領・作業・削除の記録を残しているか
人的	実際に作業する人は何人か。従業者と秘密保持の取り決めを結んでいるか。アルバイトや臨時スタッフが触るか
物理的	作業する場所はどこか（事務所か自宅か）。データを持ち出すか。ハードディスクやディスクを廃棄する方法
技術的	保存先のアクセス権限を誰が持つか。端末に画面ロックとウイルス対策があるか。共有リンクに期限を設定しているか

チェックシートを送って回収するだけで終わらせないでください。書面の項目よりも手がかりになるのは、次の3点への口頭の答えです。実際に作業する人数（社内1名なのか、案件ごとに外部編集者を集めるのか）、作業端末（据置機か持ち帰りノートか）、データの置き場所（社内ストレージかクラウドか）。ここに即答できる先は、社内の運用が言語化されています。

個人事業主や少人数の制作会社を選ぶこと自体は、問題になりません。人数の多さではなく、預かったデータがどこにあるかを本人が説明できるかどうかが判断材料です。むしろ大きな会社ほど工程が分かれて再委託が増えるため、確認する範囲は広がります。価格表だけが整っていて作業体制の説明が出てこない先は、監督義務を果たすための材料そのものが集まりません。

契約に入れる8条項｜再委託の事前承認と契約終了後の措置が抜けやすい

ガイドラインは、委託契約に「当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容」を盛り込むことが望ましいとしています。注目したいのは「双方が同意した内容」という書き方です。一般的な秘密保持条項を貼り付けるのではなく、選定のときに聞き取った具体的な運用をそのまま条文にするのが本来の形になります。

映像編集の外注で、実際に役に立つ条項は次の8つです。

• 取り扱ってよいデータの範囲と利用目的の限定（納品後の実績紹介・サンプル利用の可否をここで決める）
• 安全管理措置の具体的内容（保存場所、アクセスできる人、端末の条件）
• 再委託の事前承認と、再委託先に同等の義務を課すこと
• 取扱状況の報告義務と、委託元が調査・監査を実施できること
• 漏えい・滅失・毀損が疑われる事態が起きたときの連絡先と連絡期限
• 作業完了時および契約終了時の返却または削除と、その結果の報告
• 責任分担と損害賠償の範囲
• 秘密保持義務の存続期間

「速やかに」を数字に置き換える

実務で差が出るのは、期限の書き方です。「速やかに報告する」は、事故の当日には誰も参照できません。「事態を認識してから2時間以内に、担当窓口の携帯電話と指定メールアドレスの両方へ第一報を入れる」と書いておくと、担当者が変わっても連絡の手順が残ります。連絡先を個人名ではなく役職と部署で書いておくのも、同じ理由です。

削除についても同様で、「作業完了後に削除する」ではなく「納品検収の完了通知から7営業日以内に削除し、削除報告書を提出する」まで書きます。検収前に消されて再納品ができない、という別方向の事故を防ぐためにも、起点を「納品時」ではなく「検収完了時」に置くのが実務的です。

なお、契約書がない口頭やメールだけの発注でも、法第25条の監督義務はなくなりません。書面がないぶん、選定時のやり取りと削除報告のメールを保存しておくことが、監督した記録の代わりになります。

データの渡し方で決めるのは、有効期限・パスワードの経路分離・受領後の置き場所

契約書よりも先に管理が抜けやすいのは、ファイルの受け渡しです。撮影データは数十GBになることが多く、メール添付では送れないため、現場ではその場で使える手段が選ばれます。ここを事前に決めておかないと、担当者が個人のアカウントで共有リンクを作り、期限もパスワードもないURLがチャットに残る、という状態になりがちです。

決めるのは3点だけです。第一に有効期限。ダウンロード期限のない共有は、退職者の端末にリンクが残った時点で追跡ができなくなります。第二にパスワードの経路分離。URLとパスワードを同じメールに書くと、そのメールが誤送信された時点で意味を失います。URLはメール、パスワードは電話かチャット、と経路を分けてください。第三に受領後の置き場所。渡した先がダウンロードしたあと、どこに置いて、いつ消すのかまでが受け渡しの範囲です。

渡し方	確認する点
ファイル転送サービス（ギガファイル便、firestorage、WeTransfer など）	保存期間の設定、ダウンロードパスワードの有無、URLを知る全員がダウンロードできる前提での取り扱い
クラウドストレージの共有リンク（Google ドライブ、Dropbox、OneDrive）	「リンクを知る全員」ではなく相手のアカウントを指定した共有になっているか、有効期限を設定できるプランか、作業完了後に共有解除する担当者を決めているか
物理メディアの郵送・持ち込み	追跡できる配送方法か、開封の記録を残すか、返却か廃棄かを事前に決めているか

個人情報保護委員会のQ&A（Q7-53）は、クラウドストレージの事業者が個人データを取り扱わないこととなっている場合、その事業者への「提供」には当たらないと整理しています。ただしその場合でも、委託元が自ら安全管理措置を講じる責任は残ります。つまり「クラウドだから委託先監督は不要」ではなく、「監督の相手はクラウド事業者ではなく、そのリンクを受け取る編集会社である」という読み方になります。

当社が入稿をお受けする場合も、ギガファイル便のURLでの受け渡しをご案内しています。ギガファイル便、Google ドライブ、Dropbox、OneDrive、WeTransfer、firestorageなどが使えます。パスワード設定と保存期間の実際の手順はギガファイル便での入稿ガイドにまとめてあります。

作業後の削除は「削除報告書の4項目」で確かめる

削除の確認は、監督義務のなかでもっとも形骸化しやすい部分です。「消しました」というメール一行では、何を消したのかが特定できません。事故が起きたあと、その一行では自社を守れないと考えてください。削除報告として書かせるのは、次の4項目です。

• 対象の特定（ファイル名または受領時のフォルダ名、おおよその容量、本数）
• 削除した日時
• 削除した場所（作業用ストレージ、編集端末のローカル、バックアップ、ごみ箱・削除済みアイテム、共有リンクの解除）
• 実施者と、それを確認した別の担当者の氏名

3点目に「バックアップ」と「ごみ箱」を明記しているのには、理由があります。作業フォルダを消しても、クラウドストレージのごみ箱は30日程度データを保持する設定が一般的で、自動バックアップが別領域にコピーを作っている場合もあります。

加えて、映像編集ならではの見落としやすい所として、編集ソフトが自動生成するプロキシファイル、キャッシュ、レンダリング済みの中間ファイルが、元データとは別の場所に残ります。書き出し済みの完成版が、納品用フォルダに残っているケースも多いです。項目に並べておけば、相手も点検して答えます。

消させる前に、自社の原本を確認する

委託先に削除させたあとで、自社の原本が1か所にしかない状態は別の事故です。特に卒業式や式典の記録は、撮り直しができません。削除依頼を出す前に、原本が2種類以上の媒体に分かれて存在しているかを確認してください。

納品物がDVDやブルーレイのディスクなら、それ自体が個人情報の入った媒体です。鍵のかかる場所に置く、持ち出しを台帳で管理する、不要になったら物理的に破砕する、という管理対象に加える必要があります。ディスクは置き方によって数年で読めなくなることがあるため、DVD・CDの正しい保管方法も合わせて確認しておくと、保管期限まで読める状態を保ちやすくなります。

再委託は一律禁止より事前承認制｜印刷とディスク複製は再委託になりやすい

契約書に「再委託を禁止する」と書きたくなりますが、映像制作では守られない条項になりがちです。工程が分かれているからです。撮影、編集、ナレーション収録、テロップ制作、DVD・ブルーレイへのオーサリングと複製、盤面へのレーベル印刷、ケースと背表紙の印刷。この全部を1社が自社設備で行っているとは限りません。禁止と書いた結果、相手が黙って外に出す状態がいちばん危険です。

ガイドラインは再委託について、委託元が「委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと」を契約に盛り込むよう求めています。さらに、定期的な監査等により、委託先が再委託先に対する監督を果たしていることを確認することが望ましいとされています。委託元は再委託先を間接的に監督する立場になる、ということです。

現実的な運用は、再委託先を名簿にすることです。契約時点で「この工程はA社、この工程はB社」と一覧を出してもらい、追加や変更のときだけ事前に届け出させます。毎回の承認を求めると運用が止まるので、名簿の更新だけを義務にするほうが続きます。名簿には、社名・所在地・担当する工程・データを保持する期間の4項目があれば足ります。

逆に言えば、工程をまとめて依頼するほど名簿は短くなります。当社の場合、映像データを受け取ってから、オーサリング、書き込み、実際のプレーヤーでの再生確認、発送または店舗でのお渡しまでを行っています。盤面へのレーベル印刷、ケースと背表紙の印刷、メニュー画面の作成、チャプター分けにも、オプションで対応しています。

オーサリングは、動画ファイルをそのまま焼くのではなく、プレーヤーが再生できる形式に組み立てる工程で、料金に含まれています。この工程が何をしているのかは、オーサリングとは？DVD・ブルーレイを再生できる形にまとめる作業と手順で説明しています。

なお、社名が似ている事業者との取り違えにも注意してください。委託先の名簿を作るときは、社名だけでなく法人名と所在地まで記録しておくと、後から確認する人が迷いません。

国外にデータが渡るなら、委託でも法第28条の対象になる

委託は第三者提供の例外になりますが、相手が外国にある事業者だと扱いが変わります。ガイドライン（外国にある第三者への提供編）は、委託先であっても外国にある場合は法第28条の規制対象になると整理しています。国内の委託と同じ感覚で進めると、ここで要件を見落とします。

外国にある第三者へ個人データを提供するには、原則として本人の同意が必要です。同意なしで進められるのは、次のいずれかに当たる場合です。

• 我が国と同等の水準にあると認められる制度を有している国であること（EUおよび英国が該当します）
• 提供先が、相当措置を継続的に講ずるための基準に適合する体制を整備していること
• 法第27条第1項各号の例外事由に当たること

本人同意で進める場合は、法第28条第2項により、同意を得る前に次の3つを本人に提供する必要があります。

• 外国の名称
• その外国の個人情報保護制度に関する情報
• 提供先が講ずる個人情報保護のための措置に関する情報

卒業アルバム用の映像を数百人分扱うような場面で、全員にこの3点を説明して同意を取るのは現実的ではありません。基準適合体制で進める場合も、提供先の相当措置の実施状況を定期的に確認し、支障が生じたときは必要な措置を取る、という継続的な義務が発生します（法第28条第3項）。

「外国にある第三者」に当たらない場合

ガイドラインは、同一法人格内での移動（日本法人の海外支店や現地事業所へのデータ移動）は「外国にある第三者」への提供に該当しないとしています。また、外国法人であっても、日本国内に事務所を設置している場合や国内で事業活動を行っている場合など、国内で個人情報データベース等を事業の用に供していると認められるときは、外国にある第三者に該当しません。

実務での聞き方

「海外にデータを置いていますか」と聞くと、ほぼ「置いていません」と返ってきます。聞くべきは構成です。データを保存するストレージのリージョン（保存先の国）はどこか。作業者は国内から作業するか、海外在住の編集者に振ることがあるか。AI字幕生成や自動翻訳のサービスに映像をアップロードする工程はあるか。この3つ目が、近年もっとも見落とされます。

外国のクラウドサービスのサーバに個人データを保存する場合については、Q&A（Q10-25）に考え方が示されています。当該外国の個人情報保護制度等を把握したうえで安全管理措置を講じ、その内容を保有個人データに関する公表事項に反映する必要があるとされています。委託先だけでなく、自社が使っているストレージにもそのまま当てはまる論点です。

漏えい時に誰が動くかを先に決める｜速報は概ね3〜5日以内、確報は30日以内

監督で最後に決めておくのは、事故が起きたときに誰が何日以内に動くかです。個人情報保護法は、一定の事態について個人情報保護委員会への報告と本人への通知を義務づけています（法第26条）。報告対象となるのは、施行規則第7条が定める次の4類型です。

• 要配慮個人情報が含まれる個人データの漏えい等が発生し、または発生したおそれがある事態
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
• 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
• 本人の数が千人を超える漏えい等が発生し、または発生したおそれがある事態

報告は2段階です。速報は事態を知った後、概ね3〜5日以内。確報は知った日から30日以内で、不正の目的による行為が原因の事態は60日以内とされています。本人への通知も、事態の状況に応じて速やかに行う必要があります。なお、2026年7月17日に公布された個人情報保護法の改正法（令和8年法律第56号）は、公布から2年以内に施行される予定で、本人への通知の決まりが変わる見込みです。

「おそれがある」段階で数え始めることに注意してください。原因調査を待ってから数え始めると、速報の期限を越えます。

委託先は「委託元への通知」で報告義務を免除される

実務上、押さえておきたいのが法第26条第1項ただし書の扱いです。委託を受けて個人データを取り扱っている事業者は、報告対象事態を委託元に通知したときは、自ら個人情報保護委員会へ報告する義務を免除されます。つまり制度は、委託先が気づいた事故は委託元に集まってくる前提で設計されています。

委託元から見ると、事故の一次情報が自分のところに来ないかぎり、何も始まらないということです。だからこそ、契約に連絡期限と窓口を数字で書く意味があります。委託先が通知先を知らない、通知が担当者の個人メールに届いて休暇中だった、といった理由で数日が過ぎてしまうと、速報の期限に間に合いません。契約を結ぶときに、通知を受け取る窓口を役職と部署で指定し、委託先の担当者にその連絡先を渡しておいてください。

事故の第一報が来たとき、真っ先に必要になるのは「何を渡したか」の記録です。いつ、どのファイルを、どの手段で、誰に渡したか。この受け渡し台帳がないと、被害範囲の特定に何日もかかります。台帳といっても、表計算ソフト1枚で足ります。日付・案件名・ファイル名・件数・渡し方・渡した相手・削除確認日の7列を作って、渡すたびに1行足すだけです。

確認される側として、当社が答えていること

当社は、確認される側でもあります。映像データをお預かりしてDVD・ブルーレイを制作する事業なので、企業や学校のご担当者から前章までと同じ質問をいただきます。実際に聞かれる項目に対して、お答えしている内容をそのまま書きます。

聞かれる項目	回答
事業者	ディスクメーカー（DVD・Blu-rayの制作代行）
所在地	大阪市北区・梅田に実店舗があります。ご来店での受け取りが可能です
データの受け取り方法	ダウンロードできる共有URLでお受けしています。ギガファイル便、Google ドライブ、Dropbox、OneDrive、WeTransfer、firestorage など。ギガファイル便のダウンロードパスワードは、注文フォームにURLを貼ると開く「ダウンロードパスワード」の欄に入れます。ほかのサービスのパスワードの伝え方は、注文の前に相談・問い合わせフォームで確かめてください
作業範囲	オーサリング（再生できる形式への組み立て）は料金に含みます。盤面へのレーベル印刷、ケースと背表紙の印刷、メニュー画面の作成、チャプター分けにも、オプションで対応しています
最小ロットと料金	基本料金（DVD・1枚あたり）1,500円（税抜）から。1枚から注文できます

急ぐときの締切はDVDを急いで作るときの締切と逆算にまとめました。イベント当日に配布物が要る場合は、この条件表をそのまま社内の稟議に貼っていただいて差し支えありません。

委託先選定のチェックシートへの記入や、作業体制・削除の運用についての書面が必要な場合は、ご注文の前に相談・問い合わせフォームで確かめてください。監督義務は委託元に残るものなので、確認される側が材料を出さないかぎり、担当者の方は社内で説明ができません。そこは受ける側の仕事だと考えています。

よくある質問

Q. 委託先に個人情報が映った映像を渡すのに、本人の同意は必要ですか？

A. 個人データの取扱いの委託にともなう提供は、第三者提供の例外とされています（個人情報保護法第27条第5項第1号）。そのため、映っている方お一人ずつから改めて同意を取り直す必要は原則としてありません。ただし同意が不要になる代わりに、委託元には法第25条の監督義務が課されます。また、委託先が外国にある事業者の場合は法第28条の対象となり、本人同意などの別の要件が必要になります。国内の委託と同じ扱いにはできない点に注意してください。

Q. 委託先の監督は、具体的に何をすれば果たしたことになりますか？

A. ガイドライン（通則編）は三つの柱を挙げています。第一に適切な委託先の選定で、委託先の安全管理措置が自社に求められるものと同等であることを確認します。第二に委託契約の締結で、双方が合意した安全管理措置の内容を契約に盛り込みます。第三に委託先における取扱状況の把握で、定期的な監査等により契約内容の実施状況を調査します。実務では、選定時のチェックシート、契約書、作業後の削除報告書という三つの記録が残っていれば、監督の実体を説明できる状態になります。

Q. 委託先で漏えいが起きた場合、報告するのは委託元ですか、委託先ですか？

A. 個人情報保護法第26条第1項のただし書により、委託を受けて個人データを取り扱っている事業者は、報告対象となる事態を委託元に通知したときは、自ら個人情報保護委員会へ報告する義務を免除されます。つまり制度上は、委託先が気づいた事故は委託元へ集まり、委託元が報告する流れが基本形です。委託元は速報を概ね3〜5日以内、確報を30日以内（不正の目的による行為が原因の場合は60日以内）に出す必要があるため、委託先からの連絡が遅れると期限に間に合いません。契約で連絡期限を数字で決めておいてください。

Q. 契約書を交わしていない外注でも、監督義務はありますか？

A. あります。法第25条の監督義務は契約書の有無で発生したり消えたりするものではなく、個人データの取扱いを委託した時点で委託元に生じます。口頭やメールだけで発注している場合は、選定時に安全管理措置を確認したやり取り、データを渡した記録、作業後の削除報告のメールを保存しておくことが、監督した記録の代わりになります。継続的に依頼する相手であれば、A4一枚の覚書でも構わないので、再委託の扱いと作業後の削除だけは文書にしておくことをおすすめします。

Q. フリーランスの映像編集者に頼むのは、企業として問題になりますか？

A. 事業規模の大小そのものが問題になるわけではありません。判断の基準は、委託先の安全管理措置が自社に求められる水準と同等かどうかです。個人の方に依頼する場合は、作業する端末が個人利用と兼用でないか、データの保存先を本人が把握しているか、他の案件のデータと混ざらない管理になっているか、作業後の削除を報告してもらえるか、を確認してください。むしろ工程が一人で完結するぶん再委託の確認範囲は狭くなり、監督しやすい面もあります。

Q. 海外のクラウドストレージ経由でデータを渡すと、外国への提供になりますか？

A. クラウドサービス事業者が個人データを取り扱わないこととなっている場合は、その事業者への提供には該当しないという整理が個人情報保護委員会のQ&A（Q7-53）で示されています。ただしこの場合も、自ら安全管理措置を講じる責任は残ります。また、外国にあるサーバに個人データを保存する場合は、当該外国の個人情報保護制度等を把握したうえで安全管理措置を講じ、その内容を公表事項に反映する必要があるとされています（Q10-25）。委託先への提供とは別に、自社側の論点として整理してください。

Q. 作業が終わったあとにデータを消したことを、どう証明してもらえばよいですか？

A. 削除報告書として四つの項目を書いてもらうのが実務的です。対象データの特定（ファイル名・容量・本数）、削除した日時、削除した場所、実施者と確認者の氏名です。削除場所には、作業用ストレージ、編集端末のローカル、バックアップ、ごみ箱、共有リンクの解除を並べておきます。映像編集ではプロキシファイルやキャッシュ、書き出し済みの完成版が別の場所に残りやすいため、項目に明記しておくと相手が点検して答えます。削除を依頼する前に、自社の原本が複数の媒体にあることを確認してください。

Q. 顔が映っているだけで氏名がない映像も、個人情報として扱う必要がありますか？

A. 特定の個人を識別できる情報は個人情報に当たります。顔がはっきり映っている映像は、それ単体で誰かを識別できる場合が多いため、個人情報として扱うのが安全側の判断です。さらに、氏名や学年、利用者番号などと紐づけたファイル名やフォルダで検索できる状態にしている場合は、個人情報データベース等を構成する個人データとして、安全管理措置と委託先監督の対象になると考えられます。医療・介護の記録映像は要配慮個人情報を含むことがあるため、取得段階の根拠から確認してください。