令和５年 12 月公表

個人情報の取扱いの委託を行う場合の措置等

１

個人情報の取扱いの委託を行う場合の基準（１）対象となる委託
この基準の対象となる委託は、契約の名称中に「委託」の文言があるか否かにかかわらず、都の機関等が個人情報の取扱いの全部又は一部を当該都の機関以外の者に行わせること全てを指す。
また、個人情報の取扱いが、契約の本体を構成するものであるか、その契約の履行にあたって付随したものであるか等を問わない。
（２）委託に当たっての留意事項
個人情報の取扱いを委託しようとするときは、次に掲げる事項に留意しなければならない。
ア 委託内容等の予見可能性の向上
入札の方法により契約を締結する場合は入札前に、随意契約の方法により契約を締結する場合は見積書を徴する前に、当該契約の内容に、「東京都個人情報取扱事務要綱（平成 17 年３月 31 日付 16 生広情報第 708 号）第２に定める管理体制」及び「局が定める安全管理基準」と同等以上の水準により個人情報を保護しなければならない旨が含まれていることを相手方に周知すること。
イ

各局等と同等以上の水準による保護水準の確保
上記アに関連する情報として、各局等の安全管理基準及びその子細を定めた個人情報に関する特記仕様についても、上記アと同様、事前に漏れなく周知すること。

ウ

個人情報を適切に管理する能力を有しない者を選定しないための取組
委託先事業者の選定に当たっては、上記ア及びイを遵守できる相手方を選定するため、個人情報の保護体制等について必要な調査を行うこと。
具体的には、プライバシーマーク（日本産業規格 JISQ15001）や ISMS 認証（国際標準規格 ISO/IEC27001、日本産業規格 JISQ27001）等の規格認証を受けていることを確認すること等が想定される。

２ 上記１に係る契約締結に当たっての措置（１）上記１（２）に関する措置
ア 上記１（２）アの措置
専用設備等の物理的又は技術的安全管理措置を求めることで予定される履行

内容や契約金額等に影響が及ぶ可能性があるときは、その措置を求める旨を仕様書等に盛り込み、入札情報サービスに掲載するなど事前に委託先候補者等に周知すること（入札によらない場合も、適切に相手方に周知すること）。
イ

上記１（２）イの措置
特記仕様は、前例踏襲することなく、直近の内部不正事案の傾向や技術水準の動向にも照らし、委託しようとする業務の内容や規模、性質等を見定め、特に厳格化を図るべき条項の見直しを行うこと。
※参考１「都担当者向けリスト」参照（仕様内容等を検討する際の主な確認事項）

ウ

上記１（２）ウの措置
認証を受けた規格は、最新版である方が望ましい（ISO/IEC27001:2022、JISQ27001:2023、JISQ15001:2023 等）。
また、規格認証を受けていたとしても、事業者等が個人情報を適切に管理する能力を現に有しないことが明らかとなった場合等は、この限りではない。

（２）契約書等に基づいて遵守させるべき取組
ア 契約書等に盛り込むべき事項
仕様書・請書等の本体条項及び特記仕様（以下「契約書等」という。）に盛り込むべき事項は、原則として、別添１及び別添２の記載例によること。疑義がある場合は、各局等担当を通じて総務局総務部情報公開課に相談すること。ただし、特記仕様の条項を、仕様書・請書等の本体条項に直接記載することは妨げられない。
イ

選定事業者の担当者との間での認識共通化
再委託先や派遣労働者が個人情報を取り扱う場合も、その安全管理は、選定した委託先事業者を通じて実現していく必要がある。このため、選定した委託先事業者の担当者との間で、その委託内容に関する個人情報の安全管理について特に注意すべき事項等の認識共通化を図ること。
※参考２「委託先担当者向けリスト」参照（履行するにあたっての主な確認事項）

ウ

契約書等に基づく適切な監督
上記ア及びイの取組により契約内容を履行させる中で、その履行において個人情報の適切な取扱いが行われるよう、取り交わした契約書等に基づき、委託先事業者が必要な措置を講じていることを確認する必要がある。このため、委託先事業者から報告を求める又は立入調査する等により、適切に監督すること。

別添１

仕様書・請書等の本体条項（例）（個人情報の保護）
第 X 条 受託者は、この契約による業務を処理する上で個人情報を取り扱う場合、東京都個人情報取扱事務要綱（平成 17 年３月 31 日付 16 生広情報第 708 号）第２に定める管理体制及び〇〇局が定める安全管理基準（別添）と同等以上の水準により個人情報を保護しなければならない。
【専用設備等の物理的・技術的措置を要しない場合は不要】
２

受託者は、別に定める「○○局安全管理基準に加えて遵守すべき事項」に掲げる事項を遵守しなければならない。
（違約金）
第 Y 条 第 X 条に基づき管理された個人情報の取扱いに関して、受託者の責任者及び従事者の故意又は重過失によって東京都に損害が生じた場合、受託者は東京都に対して違約金として契約金額の 100 分の 10 に相当する額を支払う義務を負う。
２

東京都に生じた損害が前項に基づく違約金額を上回る場合には、東京都は実際に生じた損害額を立証することで、受託者に対して立証した額を違約金として請求することができる。

注意：

本措置例は、改正法の影響を踏まえ、個人情報保護を徹底するために定めたものであるから、委託等の事業の内容や性質に応じて必要となる条項を精査し、仕様書・請書等に盛り込むなどして使用すること。

別添２

特記仕様（例）
第A章

総則（秘密等の保持）第 A 条 受託者は、この契約による業務に関して知り得た個人情報の内容をこの契約以外の目的で他人に知らせ、また、この契約以外の目的に利用してはならない。
２ 受託者は、この契約が終了し、又は解除された後においても、前項の規定を遵守しなければならない。
【顧客情報等の営業秘密を取り扱わない場合は不要】
３

受託者は、経済産業省が策定する営業秘密管理指針（平成 15 年 1 月 30 日（最終改訂：平成 31 年 1 月 23 日））において示される水準以上の対策を講ずるものとする。

（個人情報等の取扱い）
第 B 条 受託者は、この契約による業務を処理する上で、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。
）第２条第１項に定める個人情報等（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号。以下「番号利用法」という。
）第２条第８号に定める特定個人情報を含む。以下同じ。
）を取り扱う場合は、個人情報保護法の他関係法令の規定に従い、個人の権利利益を侵すことのないよう最大限努めなければならない。
【取り扱う個人情報等に加工等が施されることがない場合は不要】
なお、この契約における個人情報等は、個人情報保護法第２条第５項に定める仮名加工情報及び同条第６項に定める匿名加工情報並びに同条第７項に定める個人関連情報を含むものとする。
（受託者に提供する個人情報等の範囲）
２ この契約による業務の処理に際して、東京都が受託者に対して提供する個人情報等（以下「東京都提供個人情報等」という。
）がある場合、東京都は、その提供する個人情報等の件名及び件数等について、東京都提供個人情報等一覧（目録 A）に記載し、事前にその旨を明示する。
【受託者が東京都以外の第三者から個人情報等を取得することがない場合は不要】
なお、この契約による業務の処理に際して、受託者が都民及び東京都以外の第三者から直接取得する個人情報等（以下「受託者取得個人情報等」という。
）がある場合、東京
都は、その取得が予定される個人情報等の件名や件数等について、可能な限り具体的に見積を行った上で、その内容を、受託者取得個人情報等一覧（目録 B）に記載し、事前にその旨を明示する。

この場合、受託者は、業務の進捗等を報告するにあたって、必要に応じ、目録 B「受託者取得個人情報等一覧」の記載内容を修正し、東京都に報告するものとする。受託者取得個人情報等のうち、目録に定めがないものについては、東京都及び受託者間で別途合意をした上で、当該受託者取得個人情報等の処理権限を定めるものとする。
（表明保証）
３ 受託者は、この契約において取り扱う個人情報等を処理する場合には、その作成、取得及び提供等について、個人情報保護法に定められている手続を履行していることを保証するものとする。
（権限）
４ 受託者は、この契約で明示的に規定されるものを除き、この契約において取り扱う個人情報等について開示、内容の訂正、追加または削除、利用の停止、消去及び提供の停止を行うことのできる権限を有しない。

第B章

安全管理体制（責任体制の整備）
第 C 条 受託者は、個人情報等の安全管理について、内部における責任体制（個人情報等の漏えいの発生等に備えた連絡・対処体制を含む。
）を構築し、その体制を維持しなければならない。
（責任者、従事者）
第 D 条 受託者は、この契約による個人情報等の取扱いの責任者及び業務に従事する者（以下「従事者」という。
）を定め、前条の責任体制とともに、あらかじめ東京都に届け出なければならない。これらを変更しようとするときも、同様とする。
【特定個人情報と同等の水準により管理すべき個人情報がない場合は不要】
なお、この契約による業務の処理に際して、受託者が番号利用法第２条第５項及び第８項に定義する個人番号及びこれらの個人番号をその内容に含む特定個人情報と同等の水準により管理された個人情報（以下「特定個人情報等」という。）を取り扱う場合、東
京都は、その取扱いが予定される特定個人情報等の件名や件数等について、具体的に見積を行った上で、その内容を目録 C「特定個人情報同等水準管理情報一覧」）に記載し、事前にその旨を明示する。
また、受託者は、目録 C「特定個人情報同等水準管理情報一覧」に記載された特定個人情報等の監査者を定め、あらかじめ東京都に届けなければならない。
２ 受託者は、責任者に、従事者が本特記仕様に定める事項を適切に実施するよう監督させなければならない。また、受託者は、従事者に、責任者の指示に従い本特記仕様を遵守させなければならない。

３ 受託者は、責任者及び従事者を変更する場合の手続を定めなければならない。
【特定個人情報等と同等の水準により管理すべき個人情報がない場合は不要】
なお、監査者は、受託者における第１項に定める個人情報の管理状況を定期に及び必要に応じ随時に監査する。受託者は、監査の結果を踏まえ、個人情報の管理に不適切な点があると認めるときは、直ちに是正措置を講じなければならない。
４ 受託者は、従事者に対し、在職中及び退職後においても、受託業務により知り得た個人情報等を他に漏らしてはならないことなど、個人情報保護に関して必要な事項の周知徹底をしなければならない。
（派遣労働者）
第 E 条 受託者は、この契約による業務を派遣労働者によって行わせる場合、労働者派遣契約書に、秘密保持義務等個人情報等の取扱いに関する事項を明記しなければならない。その場合の守秘義務の期間は、第 A 条に準ずるものとする。
２ 受託者は、派遣労働者にこの契約に基づく一切の義務を遵守させるとともに、受託者と派遣元との契約内容にかかわらず、東京都に対して派遣労働者による個人情報等の処理に関する責任を負うものとする。
（従事者等の教育及び研修）
第 F 条 受託者は、個人情報等の保護及び情報セキュリティに対する意識の向上を図るため、責任者及び従事者に対し、個人情報保護法における東京都の機関及び受託者の義務並びに本特記仕様において従事者が遵守すべき事項その他この契約による業務の適切な履行に必要な事項について、教育及び研修を実施しなければならない。
２ 受託者は、前項の教育及び研修の実施に関して計画を定めなければならない。この計画には、個人情報の保護に関する法令等に基づく罰則の内容及び個人情報の漏えいが生じた際に負う民事上並びに刑事上、行政上の責任等に関する事項を含むものとする。
３ 受託者は、第１項の教育及び研修は、責任者及び従事者にこの契約による業務を行わせる前に少なくとも１回は行わなければならない。
【要配慮個人情報を取り扱わない場合は不要】
４

東京都は、受託者が前２項に基づき策定する計画のほか、前項に基づき実施する教育及び研修の実施状況について、必要に応じてその提出を求めるものとする。

（再委託）
第 G 条 受託者は、個人情報等の処理について再委託（受託者の子会社（会社法（平成 17 年法律第 86 号）第２条第１項第３号に規定する子会社をいう。
）への委託を含む。以下同じ。
）
を行う場合、個人情報等を適切に管理する能力を有しない事業者を選定しないようにする

ために、再委託しようとする業者名及び次の各号に規定する項目を記載した書面を東京都に通知し、東京都個人情報取扱事務要綱第７.７に定める東京都の承諾を得なければならな
い。再委託の内容を変更する場合又は選定した業者が個人情報等を適切に管理する能力を有しないことが判明した場合において別の業者に変更する場合も同様である。
(1) 再委託を行う業務の内容及び事業執行場所(2) 再委託で取り扱う個人情報等の目録(3) 再委託の期間(4) 再委託が必要な理由(5) 再委託の相手方（名称、代表者、所在地、連絡先）(6) 再委託の相手方における責任体制並びに責任者及び従事者(7) 再委託の相手方に求める個人情報保護措置の内容(契約書等に規定されたものの写し)(8) 再委託の相手方に対する個人情報保護法第 25 条等に基づく監督方法
２ 前項の場合、受託者は、再委託の相手方にこの契約に基づく一切の義務を遵守させるとともに、受託者と再委託の相手方との契約内容にかかわらず、東京都に対して再委託の相手方による個人情報等の処理に関する責任を負うものとする。
３ 受託者は、再委託契約において、再委託の相手方に対する監督及び個人情報等の安全管理の方法について具体的に規定しなければならない。
４ 受託者は、この契約による業務を再委託した場合、その履行を管理監督するとともに、東京都の求めに応じて、その状況等を東京都に適宜報告しなければならない。
５ 受託者は、前項の管理監督とは別に、再委託の相手方における責任者及び従事者に対して、この契約による業務を行わせる前に、少なくとも１回は第 F 条第１項に定めるものと同等以上の教育及び研修を行わせなければならない。
（目的以外の利用禁止）
第 H 条 受託者は、この契約による業務を処理するため取得、作成した個人情報等又は東京都から引き渡された文書等（当該文書に記録された個人情報の全部又は一部を複写及び転写等した他の媒体を含む。以下、本特記仕様において同じ。
）を東京都の指示又は承諾を得ることなくこの契約の目的以外に利用し、又は第三者に提供してはならない。
（複写、複製等の禁止）
第 I 条 受託者は、この契約による業務を処理するため東京都から引き渡された文書等を東京都の指示又は承諾を得ることなく複写又は複製若しくは転写してはならない。
（個人情報等の安全管理）第 J 条 受託者は、この契約による業務を処理するため取得、作成した個人情報等又は東京都から引き渡された文書等に記録された個人情報等を漏えい、漏示、毀損及び滅失（以下「漏えい等」という。
）することのないよう、当該個人情報等を安全に管理しなければならない。
２ 受託者は、東京都から文書等の引き渡しを受けた場合は、東京都に受領書を提出する。
３ 受託者は、第１項の個人情報等を取り扱う場所（以下「作業場所」という。）を特定し、あらかじめ東京都に届け出なければならない。その特定した作業場所を変更しようとするときも、同様とする。東京都は、必要に応じて作業場所の現況を確認するものとする。
４ 受託者は、東京都が承諾した場合を除き、第１項の個人情報等を作業場所から持ち出してはならない。
５ 受託者は、第１項の個人情報等を運搬する場合は、その方法（以下「運搬方法」という。
）を特定し、あらかじめ東京都に届け出なければならない。その特定した運搬方法を変更しようとするときも、同様とする。
６ 受託者は、第１項の個人情報等について郵便等発送、電子メールその他アプリケーションの利用等により外部に送付する場合は、その方法（以下「送付方法」という。
）を特定し、あらかじめ東京都に届け出なければならない。その特定した送付方法を変更しようとするときも、同様とする。
７ 受託者は、従事者をして前項に基づき届け出た送付方法により第１項の個人情報等を送付させる場合は、次の各号を遵守させなければならない。
⑴ 送付先及び送付物に誤りがないか確認すること。
⑵ 送付先の情報及び送付内容が第三者に知られないようにすること。
⑶ 送付物の内容により適切な送付方法を選択すること。
⑷ 上記⑴及び⑵について従事者による送付の都度複数人により確認すること及び上記⑶について責任者が了解していることその他責任者が指示した安全対策を講じること。
８ 受託者は、この契約による業務を処理するために使用することとしたパソコン等（外部記録媒体を含む。以下同じ。
）以外のパソコン等を使用してはならない。
９ 受託者は、この契約による業務を処理するパソコン等に、ファイル交換ソフトその他情報漏えい等につながるおそれがあるソフトウエアをインストールしてはならない。
【クラウドサービスを使用しない場合は不要】
なお、クラウドサービスを利用する場合は、クラウドサービスに対する各種の認定・認証制度（ISMAP、ISO/IEC27001・27017・27018、JISQ27001 等）の適用状況から、クラウドサービスの信頼性が十分であることを総合的・客観的に評価し選定すること。
10 受託者は、第１項の個人情報等を、秘匿性等その内容に応じて、次の各号の定めるところにより管理しなければならない。
⑴ 個人情報等は、金庫、保管庫又は施錠若しくは入退室管理の可能な保管室に保管しなければならない。

⑵ 個人情報等を電子データとして保存又は持ち出す場合は、暗号化処理又はこれと同等以上の保護措置をとらなければならない。
⑶ 個人情報等を電子データで保管する場合、当該データが記録された外部記録媒体及びそのバックアップの保管状況及び個人情報等の正確性について、定期的に点検しなければならない。
⑷ 個人情報等を管理するための台帳を整備し、個人情報等の受け渡し、利用、複写又は複製、保管、廃棄等の取扱いの状況、年月日及び担当者を記録しなければならない。
（個人情報等の帰属及び返還、廃棄又は消去）
第 K 条 東京都から引き渡された文書等に記録された個人情報等のほか、この契約による業務を処理するために東京都の指定した様式により、及び東京都の名において、受託者が取得、作成、加工、複写又は複製等した個人情報等は、東京都に帰属するものとする。
２ 受託者は、この契約による委託業務完了時に、東京都の指示に基づいて、前項の個人情報等を返還、廃棄又は消去しなければならない。
【要配慮個人情報を含まない場合は不要】
なお、個人情報等の返還は、第 D 条の規定によりその役割を果たすべき者として東京都に届け出られている者が行うものとする。
３ 受託者は、第１項の個人情報等を廃棄する場合、記録媒体を物理的に破壊する等当該個人情報等が判読又は復元できないように確実な方法で廃棄しなければならない。
４ 受託者は、パソコン等に記録された第１項の個人情報等を消去する場合、データ消去用ソフトウエアを使用し、当該個人情報等が判読、復元できないように確実に消去しなければならない。
５ 受託者は、第１項の個人情報等を廃棄又は消去したときは、完全に廃棄又は消去した旨の証明書（情報項目、媒体名、数量、廃棄又は消去の方法、責任者、廃棄又は消去の年月日が記載された書面）を東京都に提出しなければならない。ただし、他の法令に基づき受託者において一定期間の保管が義務付けられている個人情報等については、受託者は、廃棄又は消去できない個人情報等の概要に関する情報（情報項目、媒体名、数量、廃棄又は消去しない根拠法令、責任者、法令に基づき予定される廃棄又は消去の年月日が記載された書面）を上記証明書に記載すること。
６ 受託者は、廃棄又は消去に際し、東京都が立会いを求めたときはこれに応じなければならない。

第C章

事故対応及び検査（漏えい等発生時の対応）
第 L 条 受託者は、この契約による業務の処理に関して個人情報の漏えい等が発生し、又は発生したおそれがある事態が生じた場合は、その事態に係る帰責の有無にかかわらず、当該漏えい等に係る個人情報の内容、数量、発生場所、発生状況等を東京都に速やかに報告し、その指示に従わなければならない。
２ 受託者は、前項の事態が生じた場合には、速やかに被害を最小限にするための措置を講ずるとともに、前項の指示に基づいて、当該事態が生じた旨を当該漏えい等に係る個人情報の本人に通知し、又は本人が容易に知り得る状態にする等の措置を講ずるものとする。
この場合、受託者は、当該措置に係る費用を負担することとする。
３ 受託者は、東京都と協議の上、二次被害の防止、類似事案の発生回避等の観点から、可能な限り当該事態に係る事実関係、発生原因及び再発防止策の公表に努めなければならない。この場合、受託者は、東京都が事実関係の公表にあたって受託者の名称及び代表者氏名を公表することがあることを承諾するものとする。
（立入調査等）第 M 条 東京都は、この契約による業務の処理に伴う個人情報等の取扱いについて、本特記仕様の規定に基づき必要な措置が講じられているかどうかを確認するため必要があると認めるときは、受託者に報告を求めること及び受託者の作業場所を立入調査することができるものとし、受託者は、東京都から改善を指示された場合には、その指示に従わなければならない。
２ 受託者は、再委託を行なう場合は、前項と同等の措置を講じるよう再委託の相手方に対して求めなければならない。また、受託者は、必要に応じて東京都が再委託の相手方に報告を求めること及び再委託の相手方の作業場所を立入調査できるよう、必要な調整を行うものとする。この限りにおいて、受託者は、再委託の相手方の作業場所を立入調査できるように調整した記録（再委託の相手方に連絡した日時及び連絡内容、連絡の結果による再委託の相手方の返答内容など）を、東京都の求めに応じて書面により報告しなければならない。

第D章

契約解除及び損害賠償等（契約の解除）第 N 条 東京都は、受託者が本特記仕様に定める義務を履行しない場合は、この契約による業務を解除することができるものとする。
２ 受託者は、前項の規定に基づく契約の解除により損害を被った場合においても、東京都にその損害の賠償を求めることはできないものとする。
３ 受託者が、第１項の規定に基づき契約を解除された場合、東京都は、受託者の名称及び違反事実を公表することができる。

（損害賠償等）第 O 条 受託者の故意又は過失を問わず、受託者が本特記仕様に定める義務に違反し、又は怠ったことにより東京都が損害を被った場合には、東京都にその損害を賠償しなければならない。
２ 受託者は、第 L 条第１項に規定する事態に起因又は関連して第三者との間で紛争、クレーム又は請求（以下「紛争等」という）が生じた場合には、直ちに東京都に対して書面により通知するものとし、かつ、自己の責任及び費用負担において、当該紛争等を解決することとする。
３ 受託者は、第 L 条第１項に規定する事態に起因又は関連して、東京都が被った損害又は損失及び費用（漏えい等した個人情報の本人である被害者から東京都に対してなされる訴
訟並びに慰謝料その他の損害賠償の請求その他紛争解決手段の行使に対応するために東京都において発生した費用を含む。以下「損害等」という）が生じた場合、東京都の求めに応じて、当該損害等の全部又は一部を補償する。
【営業秘密に該当しない場合は不要】
４

第 A 条第３項に基づき管理された個人情報等の取扱いについて東京都が損害を被った場合には、東京都は不正競争防止法（平成５年法律第 47 号）第４条及び第５条に基づく損害の賠償を請求することができる。

（その他）
第 P 条 受託者は、○○局が定める安全管理基準（別添）及び本特記仕様の解釈等、個人情報等の取扱いについて疑義を生じた場合、その都度東京都に確認し、本業務を行うこと。
この限りにおいて、東京都は、東京都の情報セキュリティ管理体制の維持に支障がない範囲で受託者に対して情報提供を行うものとする。
第 Q 条 第 O 条の個人情報の漏えい等に伴う損害賠償その他の一切の責任は、受託者が再委託等（再々委託及びそれ以降の委託を含む。
）をした相手方において発生した場合であっても、当該受託者が負うものとする。

注意：

本特記仕様例は、改正法の影響を踏まえ、個人情報保護を徹底するために定めたものであるから、委託等の事業の内容や性質に応じて必要となる条項を精査し、使用すること。

【参考１】
都担当者向けリスト（個人情報委託内容の検討に関する主なポイント）
事項

No
1
2
3

確認

契約書等において個人情報の取扱いに関する具体的な記載がある。
上記１において、組織的・人的安全管理措置その他必要な措置に関する記載が含まれている。
（責任者の明確化・研修等教育の実施など都と同等以上の水準となること）
局における個人情報安全管理基準を契約書等において添付している。
上記３以外で高度な技術的措置等を求める場合、その旨の記載が契約書本体等に含まれている。
（専用のアプリケーションの使用や極めて高度なセキュリティ水準を求める場合など）

4

都が保有する個人情報を受託者に「渡す」場合、その旨の記載がある。
都民等から受託者が直接取得した個人情報を都が「受け取る」場合、その旨の記載がある。

5

上記４等において取り扱う個人情報の範囲等について、一覧にする等して明確化している。
特定個人情報と同等の水準で管理すべき個人情報がある場合、その旨の記載が含まれている。

6

受託者が従業者に対して行う研修等を、業務着手前など適切な時期に実施する旨記載している。
再委託を行う場合、再委託先に対しても上記６と同趣旨の研修を、受託者が行う旨記載がある。

7

再委託を行う場合の手続として、再委託業者について都の承諾を得る等の手続を記載している。
再委託の手続の記載がない場合、契約内容を変更しない限り再委託できないことを認識している。
再委託を行う情報に特定個人情報が含まれる場合、番号利用法上の許諾を得る旨記載がある。

89複写・複製・持ち出しに関する適切な制限を記載している。
（郵送・メール送信の際の遵守事項（ダブルチェック等））
漏えい等発生時の対処方法（速報・二次被害防止・確報・再発防止策等）に関する記載がある。
（漏えい等は、発生だけでなく、そのおそれも含めたもの）

10 都による立ち入り調査に関する記載があり、受託者はこれを受け入れることとなっている。

契約件名：
確認日

：令和

確認者

：年月日
〔局部課担当〕【参考２】
委託先担当者向けリスト（個人情報委託契約履行に際し認識すべき主なポイント）
事項

No
1
2
3

確認

契約書等（契約書附属書面等を含む）における個人情報に関する取扱いに関する規定を正確に理解し、その趣旨に沿って適切に履行する必要がある。
上記１に関し、不明点がある場合は、正確な理解を得るため、又は具体的な履行方法等を確認するた
め、適宜、都の担当者に連絡しなければならない。
契約書等の内容のみならず、個人情報保護法（以下「日本法」という。）及び同法施行令、施行規則、関連するガイドライン等（特定分野ガイドライン含む）を遵守する必要がある。
EU等の個人データを取り扱う場合、国が定める補完的ルール（以下国HP参照）に従い、要配慮個人情報（ジェンダー等）や仮名加工情報（統計目的）、匿名加工情報（再識別不可能）等を取り扱う必要がある。（https://www.ppc.go.jp/ﬁles/pdf/Supplementary̲Rules̲jp.pdf）
原則として、クラウドサーバー等の利用等で日本と同等水準の個人情報保護制度を有していない外国企業等のサービスを利用せず、利用の可否については日本法に基づき判断する必要がある。

45

本契約で取り扱う個人情報は、事前に都から示された目的の範囲内でしか利用できず、その目的と異なる利用や当初予定していなかった個人情報を取得する場合は都に確認する必要がある。
上記４において取り扱う個人情報の範囲等を、従業者に対して明確に示し、本契約において示された目的以外で取り扱ってはならない旨を周知する必要がある。
特定個人情報と同等の水準で管理すべき個人情報がある場合、監査責任者を置き、定期的に監査をしなければならない。

67

従業者等（再委託を行う場合の再委託先従業者や派遣労働者等も含む。以下同じ。）に対して行う研修等を、業務着手前など適切な時期に実施する必要がある。
再委託を行う場合、再委託業者について都の承諾を得る必要がある。
再委託の手続の記載がない場合、契約内容を変更しない限り再委託できないこと。
再委託を行う情報に特定個人情報が含まれる場合、番号利用法上の許諾を得る必要があること。

89

複写・複製・持ち出しに関する契約書上のルールを自ら遵守した上で、従業者等に対しても遵守させている（郵送・メール送信の際の遵守事項（ダブルチェック等））。
日本法に基づき、都が取扱う個人情報は、100人分以上の漏えい等の事態を個人情報保護委員会に報告しなければならないため、漏えい等事態を覚知したら速やかに都に報告しなければならない。
GDPR（EU法）に基づき、EU域内の個人データを扱い、これが漏えい等した場合は、72時間以内にEU当局及び当該データ主体（本人）に報告しなければならない。

10 必要に応じて東京都が行う立入検査を受け入れる環境を整える必要があることを認識している。

契約件名：
確認日

：令和

確認者

：年月日
〔株式会社（部課担当）〕

〇〇局安全管理基準に加えて遵守すべき事項（○○課委託分）（第 X 条第２項関係）事項
１

組織的安全管理措置遵守事項※局安全管理基準に記載されていない事項があれば記載⑴組織体制の整備⑵個人情報の取扱いに係る規律に従った運用⑶個人情報の取扱状況を確認する手段の整備⑷漏えい等の事案に対応する体制の整備⑸個人情報の取扱状況の把握及び安全管理措置の見直し⑹その他

２

人的安全管理措置⑴従事者の教育⑵その他

３

物理的安全管理措置⑴個人情報を取り扱う区域の管理⑵機器及び電子媒体等の盗難等の防止⑶電子媒体等を持ち運ぶ場合の漏えい等の防止⑷個人情報の削除及び機器、電子媒体等の廃棄⑸その他

４

技術的安全管理措置⑴アクセス制御⑵アクセス者の識別と認証⑶外部からの不正アクセス等の防止⑷情報システムの使用に伴う漏えい等の防止⑸その他

５

外的環境の把握・保有個人情報が取り扱われる外国について※業務の委託に際し、当該課と同等の取扱いが必要であるなど、別途措置を要する場合等に使用

目録 A 東京都提供個人情報等一覧（東京都→受託者）
No※件名件数(本人の数)

媒体

備考※

要配慮個人情報を含む場合は、その件数（本人の数）及び法における区分を記載（例：100 件、病歴）

目録 B 受託者取得個人情報等一覧（受託者→東京都）
No

※

件名

件数(本人の数)

媒体

備考※

要配慮個人情報を含む場合は、その件数（本人の数）及び法における区分を記載（例：100 件、病歴）目録 C 特定個人情報同等水準管理情報一覧（要監査情報）
No

※

件名

件数(本人の数)

媒体

要配慮個人情報を含む場合は、その件数（本人の数）及び法における区分を記載（例：100 件、病歴）

備考※