コールセンター業務を運営又は受託している個人情報取扱事業者の皆様へ
令 和 ６ 年 １ 月 24 日
個人情報保護委員会

コールセンター業務における個人データの取扱いに係る安全管理措置、従業者の監督及び委託先の監督に関する留意点について（注意喚起）
今般、多数の事業者等から委託を受けてコールセンター業務（注）を実施する個人情報取扱事業者（個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 16 条第２項）が取り扱う、委託元の多数の顧客等に関する個人データ（法第 16 条第３項）等について、当該個人情報取扱事業者の委託先にあたるコールセンターシステムの運用保守業務を担っていた個人情報取扱事業者において、派遣社員が不正に持ち出し、漏えいが発生した事例がありました。
コールセンター業務を実施する個人情報取扱事業者は、多数の顧客等に関する個人データ等を取り扱うことから、その漏えい等を引き起こさないよう、安全管理措置（法第 23 条）及び従業者の監督（法第 24 条）について、より一層留意することが求められます。また、コールセンター業務自体のほか、システムの運用保守等において、個人データの取扱いの全部又は一部を委託する場合も少なくないことから、その場合、委託先の監督の着実な実施も求められます（法第 25 条）。当該事例等を踏まえ、法に基づく安全管理措置、従業者の監督及び委託先の監督に関する留意点について、下記のとおり注意喚起を行います。コールセンター業務を運営又は受託している個人情報取扱事業者の皆様におかれましては、本注意喚起の内容も踏まえ、必要に応じ個人データの取扱状況を見直していただくとともに、引き続き、法の規律に従い、個人情報を適正に取り扱っていただくようお願いいたします。
（注）顧客等からの電話での問合せに対応する業務のほか、顧客等の特定の対象者に対し、オペレーターが順次架電等する業務を含みます。以下同じ。

記１

安全管理措置（法第 23 条）に関する留意点
個人情報取扱事業者は、その取り扱う個人データの漏えい等の防止その他の個人
1データの安全管理のために必要かつ適切な措置を講じる必要があります（法第 23条）。具体的には、次のとおりです。
① 組織的安全管理措置として、あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱わなければならず、個人データの取扱状況を確認するための手段を整備しなければなりません。また、定期的な点検及び他部署や外部主体による監査を適切に行い、個人データの取扱状況を把握するとともに、把握した取扱状況に基づき、安全管理措置の評価、見直し及び改善に取り組まなければなりません。
② 人的安全管理措置として、従業者に、個人データの適正な取扱いを周知徹底するとともに、適切な教育を行わなければなりません。加えて、２で後述する
とおり、法第 24 条に基づき従業者に対する監督を行わなければなりません。
③ 物理的安全管理措置として、個人データを取り扱う区域の管理、機器及び電子媒体等の盗難等の防止、電子媒体等を持ち運ぶ場合の漏えい等の防止等の措置を講じなければなりません。例えば、USB メモリ等の記録機能を有する機器の情報システム端末等への接続を制限する等の措置を講じることが考えられます。
④ 情報システムを使用して個人データを取り扱う場合、外部からの不正アクセスのみならず、内部からの不正な持出し等の防止も含めた情報システムの使用に伴う個人データの漏えい等を防止するため、技術的安全管理措置を適切に講じなければなりません。例えば、ユーザーID に付与するアクセス権により情報システムを使用できる従業者を限定する、ログ等の定期的な分析を行う等の措置を講じることが考えられます。
個人情報取扱事業者の皆様におかれましては、上記の措置を含め、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「ＧＬ（通則編）」という。）の「10 (別添)講ずべき安全管理措置の内容」及び「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ等を参考に、必要かつ適切な安全管理措置を講じてください。
２

従業者の監督（法第 24 条）に関する留意点
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たり、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければなりません（法第 24 条）。
ここでいう従業者とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業2

員のみならず、派遣社員等も含まれます。
コールセンター業務においては、多数の個人データ等を取り扱うことが考えられることから、前述１の人的安全管理措置として研修を行うのみならず、日々の業務において、個人データの安全管理措置を定める規程等に従って業務が行われているか適切に指揮監督を行うことが必要です。
３

委託先の監督（法第 25 条）に関する留意点
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければなりません（法第 25 条）。
ここでいう個人データの取扱いの委託とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいいます。したがって、個人データを含む電子データを取り扱う情報システム（機器を含む。）の保守の全部又は一部に外部の事業者を活用している場合、当該保守サービスを提供する事業者（以下「保守サービス事業者」という。）がサービス内容の全部又は一部として情報システム内の個人データを取り扱うこととなっている場合には、本人の同意による個人データの提供である場合を除き、個人データの取扱いの委託に伴う提供に当たるため、委託先である保守サービス事業者を監督する必要があります。
個人データの取扱いを委託するに当たって、個人情報取扱事業者は、法第 23 条に基づき自らが講ずべき安全管理措置と同等の措置が委託先において講じられるよう監督を行う必要があることから、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、ＧＬ（通則編）「3-4-4委託先の監督（法第 25 条関係）」も参照の上、委託先の選定、委託契約の締結及び委託先における個人データの取扱状況の把握について、必要かつ適切な措置を講じてください。
特に、委託先における個人データの取扱状況の把握に当たっては、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましいです。
以上

3

【参考】
○個人情報の保護に関する法律（平成 15 年法律第 57 号）（抜粋）（安全管理措置）第 23 条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

（従業者の監督）
第 24 条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（委託先の監督）
第 25 条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場
合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

○個人情報の保護に関する法律についてのガイドライン（通則編）
・3-4-3 従業者の監督（法第 24 条関係）
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a3-4-3
・3-4-4 委託先の監督（法第 25 条関係）
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a3-4-4・10（別添）講ずべき安全管理措置の内容
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a10○「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ
https://www.ppc.go.jp/files/pdf/2312_APPI_QA.pdf

4