【解説補記】
別添１

仕様書・請書等の本体条項（例）（個人情報の保護）
第 X 条 受託者は、この契約による業務を処理する上で個人情報を取り扱う場合、東京都個人情報取扱事務要綱（平成 17 年３月 31 日付 16 生広情報第 708 号）第２に定める管理体
制及び〇〇局が定める安全管理基準（別添）と同等以上の水準により個人情報を保護しなければならない。
【専用設備等の物理的・技術的措置を要しない場合は不要】
２

受託者は、別に定める「○○局安全管理基準に加えて遵守すべき事項」に掲げる事項

を遵守しなければならない。
本条は、個人情報保護法第 66 条〔安全管理措置〕2 項の趣旨を踏まえたものである。
個人情報保護法第 66 条第 2 項は、「個人情報の保護に関する法律についてのガイドライン（行政機関等編）」（令和 4 年 1 月（令和５年 12 月一部改正）個人情報保護委員会策定）5-3-1（２）によれば、行政機関等と同様の安全管理措置を講じなければならない規定であるとされるが、この趣旨を実現させるためには、局等が定める個人情報に関するルール等が記載された書類等を、受託者に対して適切に提示する必要がある。
また、局等の個人情報の管理状況（執務室等の物理構造、従業員等の組織構成、採り得る技術的措置等）と受託者の状況が全く同じであることは想定し難く、単に提示されたルール等と「同様」に取り組むだけでは不十分な場合もあり得るため、受託者における代替手段の検討も含め、「同等」水準以上により保護することを明記したものである（「同等」の意義は、個人情報保護法第 28 条及び第 71 条の規定で使用する用語の例による)。

なお、本条第２項は、局等の現状の執務室等や職員の技術的スキル等では対応できない
ような専門的な管理を外部委託する場合等を想定した規定である。

（違約金）
第 Y 条 第 X 条に基づき管理された個人情報の取扱いに関して、受託者の責任者及び従事者の故意又は重過失によって東京都に損害が生じた場合、受託者は東京都に対して違約金として契約金額の 100 分の 10 に相当する額を支払う義務を負う。
２

東京都に生じた損害が前項に基づく違約金額を上回る場合には、東京都は実際に生じた損害額を立証することで、受託者に対して立証した額を違約金として請求することができる。
本条は、受託者の故意又は重過失によって東京都に損害が生じた際の違約金について、契約金額を基礎とした定率等の方法により設定するものである。
1【解説補記】一般に、無体物である情報が漏えい等した場合、損害が発生する可能性が高いものの、その額の算定が困難である場合が多いため、賠償額の計算方法等を明記することで予防効
果等も視野に規定するものである。
約款における条項は、本体業務の遂行に際し、契約解除事由に該当し契約解除となった
場合の違約金について規定したものであり、本条は、個人情報取扱いの義務違反があった
が、本体業務は完遂され、契約解除には至らなかった場合等においても、また、契約解除事由に該当せずとも、個人情報の義務違反により違約金を徴することができる旨を規定したものである。

注意： 本措置例は、改正法の影響を踏まえ、個人情報保護を徹底するために定めたものであるから、委託等の事業の内容や性質に応じて必要となる条項を精査し、仕様書・請書等に盛り込むなどして使用すること。

2

【解説補記】別添２

特記仕様（例）
本特記仕様（例）は、総論事項を定める第 A 章〔総則〕、委託した個人情報の保護方法を定める第 B 章〔安全管理体制〕、事故発生時の対応を定める第 C 章〔事故対応及び検査〕及び各規定違反時の対応を定める第 D 章〔契約解除及び損害賠償等〕の、全４章から成る。
この構成は、平成 21 年 3 月総務省電子自治体の推進に関する懇談会「地方公共団体における業務の外部委託事業者に対する個人情報の管理に関する検討報告書」『個人情報の取扱いに関する特記仕様書』1（全 17 条）や令和４年２月（令和４年 10 月一部改正）個人情報保護委員会事務局「個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）」（以下「法律事務対応ガイド」という。）4-8（別添）『行政機関等の保有する
個人情報の適切な管理のための措置に関する指針』2のほか、2021 年６月４日に欧州委員会が策定した標準契約条項（以下「新 SCC」という。)3等を参考にしたものである。
なお、各章は、個人情報保護委員会 HP「個人データ取扱要領（例）」各資料4に対応す
る〔第 A 章：同要領、第 B 章：別紙３、第 C 章：別紙２、第 D 章「委託先管理に関する着眼点」等〕。

第A章

総則

（秘密等の保持）第 A 条 受託者は、この契約による業務に関して知り得た個人情報の内容をこの契約以外の目的で他人に知らせ、また、この契約以外の目的に利用してはならない。
２ 受託者は、この契約が終了し、又は解除された後においても、前項の規定を遵守しなけ
ればならない。
【顧客情報等の営業秘密を取り扱わない場合は不要】
３ 受託者は、経済産業省が策定する営業秘密管理指針（平成 15 年 1 月 30 日（最終改訂：
平成 31 年 1 月 23 日））において示される水準以上の対策を講ずるものとする。
本条は、秘密等の保持に関する規定であり、契約期間中はもとより、契約終了後であっても個人情報を含む秘密等の保持を求めるものである。
なお、本条第３項は、委託の用に供する個人情報が、不正競争防止法上の営業秘密にもなり得る場合5を想定した規定である（本条と関連して第 O 条第４項も参照されたい）。
1

総務省 HP（https://www.soumu.go.jp/denshijiti/02gyosei07_03000041.html）。

2

個人情報保護委員会 HP（https://www.ppc.go.jp/files/pdf/202210_koutekibumon_jimutaiou_guide.pdf）。

3 EU 官報（https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32021D0915）。都実務に照らすと、委託先以降で個人情報の取扱いがある場合に「外的環境の把握」が必要な場面が見受けられる。
4 個人情報保護委員会 HP（https://www.ppc.go.jp/personalinfo/legal/）。
5「営業秘密管理指針」は、不正競争防止法によって差止め等の法的保護を受けるために必要となる最低限の水準の対策を示すものであり、同指針の対策を講ずることが同法の保護を受ける条件とされる一方、「秘密情報の保護ハンドブック」（平成 28 年２月（最終改訂：令和４年５月））は、漏えい防止ないし漏えい時に推奨される包括的対策を示すものである点に留意されたい。

3

【解説補記】（個人情報等の取扱い）
第 B 条 受託者は、この契約による業務を処理する上で、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。
）第２条第１項に定める個人情報等（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法
律第 27 号。以下「番号利用法」という。
）第２条第８号に定める特定個人情報を含む。以下同じ。
）を取り扱う場合は、個人情報保護法の他関係法令の規定に従い、個人の権利利益を侵すことのないよう最大限努めなければならない。
【取り扱う個人情報等に加工等が施されることがない場合は不要】
なお、この契約における個人情報等は、個人情報保護法第２条第５項に定める仮名加工情報及び同条第６項に定める匿名加工情報並びに同条第７項に定める個人関連情報を含むものとする。
（受託者に提供する個人情報等の範囲）
２ この契約による業務の処理に際して、東京都が受託者に対して提供する個人情報等（以下「東京都提供個人情報等」という。
）がある場合、東京都は、その提供する個人情報等の件名及び件数等について、東京都提供個人情報等一覧（目録 A）に記載し、事前にその旨を明示する。
【受託者が東京都以外の第三者から個人情報等を取得することがない場合は不要】
なお、この契約による業務の処理に際して、受託者が都民及び東京都以外の第三者か
ら直接取得する個人情報等（以下「受託者取得個人情報等」という。
）がある場合、東京
都は、その取得が予定される個人情報等の件名や件数等について、可能な限り具体的に見積を行った上で、その内容を、受託者取得個人情報等一覧（目録 B）に記載し、事前にその旨を明示する。
この場合、受託者は、業務の進捗等を報告するにあたって、必要に応じ、目録 B「受託者取得個人情報等一覧」の記載内容を修正し、東京都に報告するものとする。受託者取得個人情報等のうち、目録に定めがないものについては、東京都及び受託者間で別途合意をした上で、当該受託者取得個人情報等の処理権限を定めるものとする。
本条は、遵守すべき関係法令及び取り扱う個人情報等の範囲を東京都及び受託者の両者で具体的に確認する規定である。特に、本条第２項のように受託者に提供する個人情報等の定性的・定量的な情報を事前に両者で確認する取組は、漏えい等防止措置を講ずる範囲に齟齬が起きないようにすることや、万が一個人情報等の一部に遺漏や毀損等があった際にも目録と照合することで当該事態を早期に検知できること等が期待される。
なお、近年は、個人情報を受託者に提供してから始まる業務だけでなく、個人情報を受託者が都民等から直接取得し、その個人情報を東京都が保有するに至る業務も稀ではないため、そのような方法による個人情報の取扱いの委託がある場合、両者で事前に具体的な見積を可能な限り行うこととなる〔新 SCC（GDPR28 条）ANNEX Ⅱ（処理内容）参照〕。
4【解説補記】（表明保証）
３ 受託者は、この契約において取り扱う個人情報等を処理する場合には、その作成、取得及び提供等について、個人情報保護法に定められている手続を履行していることを保証す
るものとする。
（権限）
４ 受託者は、この契約で明示的に規定されるものを除き、この契約において取り扱う個人情報等について開示、内容の訂正、追加または削除、利用の停止、消去及び提供の停止を行うことのできる権限を有しない。
本条第３項は、個人情報保護法第 63 条〔不適正な利用の禁止〕及び第 64 条〔適正な取得〕等の趣旨を踏まえた規定である。このような規定は（旧）行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）等にはなかった規定である。
法律事務対応ガイド 4-2-3-1〔不適正な利用の禁止（法第 63 条）〕によれば、同条の判断に当たっては、「個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における行政機関等の認識及び予見可能性も踏まえる必要がある」とされ、具体的には「行政機関等が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該行政機関等が一般的な注意力をもってして…予見」する旨記載される。
個人情報取扱事業者についても、上記同様、第 19 条〔不適正な利用の禁止〕及び第 20 条
〔適正な取得〕等の規定があるため6、東京都が受託者に個人情報を提供する方法により委託業務を実施する場合であっても（目録 A）、受託者が個人情報を第三者から直接取得する方法が委託業務に含まれる場合であっても（目録 B）、当該第三者等で個人情報が適法に取り扱われていることの予見も含めて、諸手続の履行を表明し、保障するものである〔新SCC（GDPR 第 46 条）第 14 条第ｂ号参照〕。

なお、本条第４項は、無体物である情報の開示等権限を確認的に規定したものである。

6

通則ガイドライン 3-3-1〔適正取得（法第 20 条第 1 項関係）〕において、【個人情報取扱事業者が不正の手段により個人情報を取得している事例】が紹介されている（以下引用）
事例 1）十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事
情などの家族の個人情報を、家族の同意なく取得する場合
事例 2）法第 27 条第 1 項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例 3）個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例 4）他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例 5）法第 27 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例 6）不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、
当該個人情報を取得する場合

5

【解説補記】第B章

安全管理体制本章は、平成 28 年 11 月（令和 5 年 12 月一部改正）「個人情報保護委員会個人情報の保護に関する法律についてのガイドライン（通則編）」（以下「通則ガイドライン」という。）
10（別添）『講ずべき安全管理措置の内容』（以下「措置内容」という。）に掲げられる各安
全管理措置に対応した内容により構成される。
具体的には、措置内容 10-3「組織的安全管理措置」〔第 C 条から第 E 条まで等〕、措置内容 10-4
「人的安全管理措置」〔第 F 条、第 H 条及び第 I 条等〕、措置内容 10-5「物理的安全管理措置」及び措置内容 10-6「技術的安全管理措置」〔第 J 条及び第 K 条各号等〕並びに 10-7「外的環境の把握」等その他の安全管理措置〔外国にある第三者に再委託する場合も含め第 G 条等〕からなるものであり、この５つの安全管理措置は、法律事務対応ガイド 4-3-1-1〔行政機関の長等が講ずべき
安全管理措置（法第 66 条第１項）〕（1）にある「安全管理のために必要かつ適切な措置」と同様の措置である。

（責任体制の整備）
第 C 条 受託者は、個人情報等の安全管理について、内部における責任体制（個人情報等の漏えいの発生等に備えた連絡・対処体制を含む。
）を構築し、その体制を維持しなければならない。
本条は、通常時又は緊急時を問わず、受託者における責任体制を明確にし、個人情報の安全管理を実効性のあるものにする必要があるために設ける規定である（本条と関連して第 C章も参照されたい）〔新 SCC（GDPR28 条）ANNEX I（当事者リスト）参照〕。

（責任者、従事者）
第 D 条 受託者は、この契約による個人情報等の取扱いの責任者及び業務に従事する者（以下「従事者」という。
）を定め、前条の責任体制とともに、あらかじめ東京都に届け出なけ
ればならない。これらを変更しようとするときも、同様とする。
【特定個人情報と同等の水準により管理すべき個人情報がない場合は不要】
なお、この契約による業務の処理に際して、受託者が番号利用法第２条第５項及び第８項に定義する個人番号及びこれらの個人番号をその内容に含む特定個人情報と同等の水準により管理された個人情報（以下「特定個人情報等」という。）を取り扱う場合、東
京都は、その取扱いが予定される特定個人情報等の件名や件数等について、具体的に見積を行った上で、その内容を目録 C「特定個人情報同等水準管理情報一覧」）に記載し、
事前にその旨を明示する。
また、受託者は、目録 C「特定個人情報同等水準管理情報一覧」に記載された特定個人情報等の監査者を定め、あらかじめ東京都に届けなければならない。
6【解説補記】２ 受託者は、責任者に、従事者が本特記仕様に定める事項を適切に実施するよう監督させなければならない。また、受託者は、従事者に、責任者の指示に従い本特記仕様を遵守させなければならない。
３ 受託者は、責任者及び従事者を変更する場合の手続を定めなければならない。
【特定個人情報等と同等の水準により管理すべき個人情報がない場合は不要】
なお、監査者は、受託者における第１項に定める個人情報の管理状況を定期に及び必要に応じ随時に監査する。受託者は、監査の結果を踏まえ、個人情報の管理に不適切な点があると認めるときは、直ちに是正措置を講じなければならない。
４ 受託者は、従事者に対し、在職中及び退職後においても、受託業務により知り得た個人情報等を他に漏らしてはならないことなど、個人情報保護に関して必要な事項の周知徹底をしなければならない。
本条は、委託業務に係る責任者や従事者を明確にすることにより、東京都が把握する関係者以外の者が個人情報を取り扱うことがないようにするために設ける規定である。
特に責任者を明確にすることによって、従事者の独断的行動を防止する効果が期待される（本条第２項）。本条にいう「従事者」とは、雇用関係の有無にかかわらず、受託者の指揮監督を受けて受託業務に従事している者をいい、役員、非常勤職員、アルバイト、
派遣労働者等を含む。また、責任者や従事者が異動や退職等で変更になった場合に東京都が把握できるよう、受託者に届出をさせるとともに（本条第１項）、個人情報の安全管理に関する事項が確実に引き継がれるよう、責任者や従事者を変更する場合の手続を定めさせる必要がある（本条第３項）。加えて、この規定は、東京都が従事者等を指揮監督する趣旨のものではないことに留意する必要がある。
なお、本条第１項及び第３項のなお書きは、個人番号（いわゆるマイナンバー）やこれに対応する符号（マイナンバーと一対一の対応関係を持つ ID 等）7及びこれらの番号・符号により管理される個人情報である特定個人情報について、別の規定を置いている。具体的には、①個人情報保護法とは別に再委託8や監査の実施9等に関して番号利用法に基づく措置が求められること〔個人情報保護法上の義務的措置〕、②既に特定個人情報と同等の水準により管理された（個人情報保護法第２条第１項に定める通常の）個人情報についても同様の措置を講じることは適当であること〔東京都個人情報取扱事務要綱上の措置〕等から、東京都個人情報取扱事務要綱第２.５と同等の措置を講ずる趣旨で目録化し（目録 C）、両者で具体的に確認する場合を想定した規定である（本条と関連して本章第 G 条及び第 C 章も参照されたい）。
7

個人情報保護委員会 HP 注意情報「番号法第 2 条第 8 項に定義される個人番号の範囲について（周知）」（https://www.ppc.go.jp/news/careful_information/my_number_definition/）
8 番号利用法第 10 条〔再委託〕第１項に基づく「許諾」は、第 G 条の「承諾」により得ることとする。
9 平成 26 年 12 月 18 日（令和５年７月一部改正）個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（行政機関等編）」別添１『特定個人情報に関する安全管理措置（行政機関等編）』に掲げられる「２ 講ずべき安全管理措置の内容」において、「Ｃ 組織的安全管理措置」（「ａ 組織体制の整備」中「監査責任者の設置及び責任の明確化」）として明記されている。

7

【解説補記】（派遣労働者）
第 E 条 受託者は、この契約による業務を派遣労働者によって行わせる場合、労働者派遣契約書に、秘密保持義務等個人情報等の取扱いに関する事項を明記しなければならない。その場合の守秘義務の期間は、第 A 条に準ずるものとする。
２ 受託者は、派遣労働者にこの契約に基づく一切の義務を遵守させるとともに、受託者と派遣元との契約内容にかかわらず、東京都に対して派遣労働者による個人情報等の処理に関する責任を負うものとする。
本条は、受託者が雇用関係にない派遣労働者等を従事者とする場合に、雇用関係にある者と同等の守秘義務を課させるとともに、受託者の管理責任を明確にする必要があるために設ける規定である。
なお、派遣労働者については、（旧）行政機関の保有する個人情報の保護に関する法律
第７条〔従事者の義務〕に明記されていなかったが、現行の個人情報保護法第 67 条〔従事者の義務〕に明記されたため、このことを踏まえた規定である。

（従事者等の教育及び研修）
第 F 条 受託者は、個人情報等の保護及び情報セキュリティに対する意識の向上を図るため、責任者及び従事者に対し、個人情報保護法における東京都の機関及び受託者の義務並びに本特記仕様において従事者が遵守すべき事項その他この契約による業務の適切な履行に必要な事項について、教育及び研修を実施しなければならない。
２ 受託者は、前項の教育及び研修の実施に関して計画を定めなければならない。この計画には、個人情報の保護に関する法令等に基づく罰則の内容及び個人情報の漏えいが生じた際に負う民事上並びに刑事上、行政上の責任等に関する事項を含むものとする。
３ 受託者は、第１項の教育及び研修は、責任者及び従事者にこの契約による業務を行わせる前に少なくとも１回は行わなければならない。
【要配慮個人情報を取り扱わない場合は不要】
４

東京都は、受託者が前２項に基づき策定する計画のほか、前項に基づき実施する教育及び研修の実施状況について、必要に応じてその提出を求めるものとする。
本条は、受託者に東京都と同様の安全管理措置を義務付ける個人情報保護法第 66 条〔安全管理措置〕の趣旨を踏まえ、委託業務の従事者にも職員と同様の義務を課す同法第 67 条
〔従事者の義務〕の規定や同法第 176 条をはじめとする罰則の適用があり得ること等を、必ずしも最新の国内法令に詳しくない者に対しても遺漏なく周知させるとともに、特記事項を含む委託契約や雇用契約、就業規則等で定めた個人情報の安全管理措置の内容と必要性を十分に理解させる教育や研修を実施させる必要があるために設ける規定である。
8

【解説補記】本条第１項及び第２項は、個人情報の漏えい等に従事者が関わる事案が近年増加傾向にあることから、受託者において、従事者に対する個人情報の安全な取扱いのために必要な教育や研修が確実に行われるよう、体制を明確にさせ、計画的に実施させる必要があるために設ける規定である。特に第２項にいう民事上の責任としては、民法（明治 29
年法律第 89 号）第 415 条〔債務不履行による損害賠償〕や第 709 条〔不法行為による損害賠償〕、
第 715 条〔使用者等の責任〕、第 723 条〔名誉毀損における原状回復〕等が、刑事上の責任としては、刑法（明治 40 年法律第 45 号）第 235 条〔窃盗〕や第 247 条〔背任〕、第 252 条〔横領〕、第 253 条〔業務上横領〕等10が想定される。

なお、本条第４項は、数量や状況に関わらず漏えい等の事態が発生した際に個人情報保護法第 87 条〔漏えい等の報告等〕に基づき個人情報保護委員会に報告する必要がある要
配慮個人情報が含まれる保有個人情報（個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号）第 43 条第１項）の取扱いを委託する場合を想定した規定である。

（再委託）
第 G 条 受託者は、個人情報等の処理について再委託（受託者の子会社（会社法（平成 17 年
法律第 86 号）第２条第１項第３号に規定する子会社をいう。
）への委託を含む。以下同じ。
）
を行う場合、個人情報等を適切に管理する能力を有しない事業者を選定しないようにする
ために、再委託しようとする業者名及び次の各号に規定する項目を記載した書面を東京都に通知し、東京都個人情報取扱事務要綱第７.７に定める東京都の承諾11を得なければならない。再委託の内容を変更する場合又は選定した業者が個人情報等を適切に管理する能力を有しないことが判明した場合において別の業者に変更する場合も同様である。
(1) 再委託を行う業務の内容及び事業執行場所(2) 再委託で取り扱う個人情報等の目録(3) 再委託の期間(4) 再委託が必要な理由(5) 再委託の相手方（名称、代表者、所在地、連絡先）(6) 再委託の相手方における責任体制並びに責任者及び従事者(7) 再委託の相手方に求める個人情報保護措置の内容(契約書等に規定されたものの写し)(8) 再委託の相手方に対する個人情報保護法第 25 条等に基づく監督方法
２ 前項の場合、受託者は、再委託の相手方にこの契約に基づく一切の義務を遵守させると10

刑法以外にも、例えば、取り扱う個人情報が営業秘密にも該当し得る場合は不正競争防止法（平成５年
法律第 47 号）第 21 条及び第 22 条（営業秘密侵害）、取り扱う個人情報の配列等に創作性がある場合は著作権法（昭和 45 年法律第 48 号）第 119 条（著作権侵害）、取り扱う個人情報に不正にアクセスした場合は不正アクセス行為の禁止等に関する法律（平成 11 年法律第 128 号）第 11 条（不正アクセス行為）等の罰則規定が想定されるため、個人情報保護法だけでなく、委託業務の性質に応じて教育及び研修を適切に検討する必要がある。
11 同要綱の規定に基づき、番号利用法第 10 条〔再委託〕第１項に基づく「許諾」を含む。前掲 8）参照。

9【解説補記】ともに、受託者と再委託の相手方との契約内容にかかわらず、東京都に対して再委託の相手方による個人情報等の処理に関する責任を負うものとする。
３ 受託者は、再委託契約において、再委託の相手方に対する監督及び個人情報等の安全管理の方法について具体的に規定しなければならない。
４ 受託者は、この契約による業務を再委託した場合、その履行を管理監督するとともに、東京都の求めに応じて、その状況等を東京都に適宜報告しなければならない。
５ 受託者は、前項の管理監督とは別に、再委託の相手方における責任者及び従事者に対して、この契約による業務を行わせる前に、少なくとも１回は第 F 条第１項に定めるものと同等以上の教育及び研修を行わせなければならない。
あらかじめ委託者の承諾を得たときを除き、委託業務の全部又は主要な部分を一括して第三者に委託することができないため、本条は、特記仕様書において委託業務そのものの再委託を認めていない場合は不要となる。再委託を承諾すると、個人情報にアクセスできる者の増加に伴う漏えい等リスクのほか、個人情報の保護について東京都や受託者の監督が及びにくくなること（特に外国にある第三者に日本法の効力が及びにくくなることを含む。）等が予想されるため、再委託の契約内容として適切な個人情報保護措置が盛り込まれているか、その内容が確実に履行される再委託先であるか（再委託先がある外国の個人情報の保護に関する制度等の把握を含む。
）等の視点を踏まえ12、慎重に判断するために設ける規定である〔新 SCC（GDPR 第 28 条）第 7 条第 7 項及び第８項、ANNEX Ⅳ（再処理者リスト）参照〕。

（目的以外の利用禁止）
第 H 条 受託者は、この契約による業務を処理するため取得、作成した個人情報等又は東京都から引き渡された文書等（当該文書に記録された個人情報の全部又は一部を複写及び転写等した他の媒体を含む。以下、本特記仕様において同じ。
）を東京都の指示又は承諾を得ることなくこの契約の目的以外に利用し、又は第三者に提供してはならない。
個人情報保護法第 69 条〔利用及び提供の制限〕によれば、行政機関の長等が保有するに当たって特定した利用目的（同法第 61 条〔個人情報の保有の制限等〕）以外の目的で、保有する個人情報を利用・提供してはならないとされる。
この趣旨からすれば、東京都が引き渡した個人情報（目録 A）や受託者が取得・作成した個人情報（目録 B）であって東京都に帰属することとなる個人情報は、受託者においても同法第 69 条の趣旨に沿った取扱いがなされる必要がある。
しかし、個人情報取扱事業者における個人情報の利用目的の変更や目的外利用・提供のルールは、そもそも行政機関の長等におけるルールと大きく異なる13（第三者提供に関す

12

都は、承諾手続を行う過程において、都が講じることとなる安全管理措置の一つである「外的環境の把握」を行う（保有個人情報が取り扱われる外国の特定、外国の個人情報の保護に関する制度等の把握）。
13 同法第 17 条〔利用目的の特定〕２項（変更前の利用目的と関連性を有すると合理的に認められる範囲

10【解説補記】るルールも異なる14）ことから、本条は、実効性確保の観点から、受託者が個人情報取扱事業者である場合15をはじめ、必ずしも同法第 69 条第１項に基づく措置を講じることとされていない受託者16に対して同法第 69 条にいう目的外利用・提供の規律と同等の制限を課すことを、本特記仕様において確認的に明示する必要があるため設ける規定である17。

（複写、複製等の禁止）
第 I 条 受託者は、この契約による業務を処理するため東京都から引き渡された文書等を東京都の指示又は承諾を得ることなく複写又は複製若しくは転写してはならない。
本条は、前条により引き渡された文書等を処理するに当たり、安全対策上ファイルの二重化等業務の都合で複写等する必要がある場合は、東京都が確認して承諾する等の取組を進める必要があるため設ける規定である。一般に、無体物である情報は、排他性や独占性がないため、複写（主に紙媒体等を複製するなどコピーする行為）やそれ以外の複製（データ等
紙媒体以外の媒体を復元・再現する等の行為）だけでなく、転写（媒体を問わず、写し取る、書き取るなどメモをする行為）も含めて、情報を抜き取ることに繋がる行為を制限するものである。

（個人情報等の安全管理）第 J 条 受託者は、この契約による業務を処理するため取得、作成した個人情報等又は東京都から引き渡された文書等に記録された個人情報等を漏えい、漏示、毀損及び滅失（以下「漏えい等」という。
）することのないよう、当該個人情報等を安全に管理しなければならない。
２ 受託者は、東京都から文書等の引き渡しを受けた場合は、東京都に受領書を提出する。
３ 受託者は、第１項の個人情報等を取り扱う場所（以下「作業場所」という。）を特定し、あらかじめ東京都に届け出なければならない。その特定した作業場所を変更しようとする
ときも、同様とする。東京都は、必要に応じて作業場所の現況を確認するものとする。
での利用目的の変更）及び第 18 条〔利用目的による制限〕１項（あらかじめ本人の同意を得た場合の、利用目的の達成に必要な範囲を超えた利用）、同条３項の規定等となる（目的外利用・提供相当規定）。
14 同法第 27 条〔第三者提供の制限〕及び第 28 条〔外国にある第三者への提供の制限〕、第 29 条〔第三者提供に係る記録の作成等〕の規定等となる（目的外提供を含む第三者提供相当規定）。
よって、行政機関の長等でのルールである、同法第 69 条第２項各号（同項２号は利用に関する規定であるため除く）に基づく提供や、その際（利用目的のため又は同法 69 条第２項第３号若しくは第４号の規定に基づく提供の場合に限る）の第 70 条〔保有個人情報の提供を受ける者に対する措置要求〕、第 71 条〔外国にある第三者への提供の制限〕（利用目的以外の目的のための提供に限る）の措置とも異なっている。
15 同法第 66 条２項１号（行政機関等から個人情報の取扱いの委託を受けた者）及び２号（指定管理者）、
５号（前各号に掲げる者から当該各号に定める業務の委託（二以上の段階にわたる委託を含む。
）を受けた者）の者が個人情報取扱事業者である場合が基本的に想定される。
16 基本的に想定される受託者は個人情報取扱事業者であるが（前掲 15）参照 15）、同法 66 条２項３号に掲げる者（法第 58 条第 1 項各号に掲げる者（いわゆる規律以降法人である独立行政法人等及び地方独立行政法人））も個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）第 19 条各号で定める業務を行う場合、行政機関等と同様の安全管理措置義務を負うが、適用条文は個人情報取扱事業者と同様となるため（前掲 13）及び 14）参照）、注意が必要である。
17 このことは、同法第 66 条第２項の趣旨も満たすものである。

11【解説補記】４ 受託者は、東京都が承諾した場合を除き、第１項の個人情報等を作業場所から持ち出してはならない。
５ 受託者は、第１項の個人情報等を運搬する場合は、その方法（以下「運搬方法」という。
）
を特定し、あらかじめ東京都に届け出なければならない。その特定した運搬方法を変更しようとするときも、同様とする。
６ 受託者は、第１項の個人情報等について郵便等発送、電子メールその他アプリケーショ
ンの利用等により外部に送付する場合は、その方法（以下「送付方法」という。
）を特定し、
あらかじめ東京都に届け出なければならない。その特定した送付方法を変更しようとする
ときも、同様とする。
７ 受託者は、従事者をして前項に基づき届け出た送付方法により第１項の個人情報等を送付させる場合は、次の各号を遵守させなければならない。
⑴ 送付先及び送付物に誤りがないか確認すること。
⑵ 送付先の情報及び送付内容が第三者に知られないようにすること。
⑶ 送付物の内容により適切な送付方法を選択すること。
⑷ 上記⑴及び⑵について従事者による送付の都度複数人により確認すること及び上記⑶について責任者が了解していることその他責任者が指示した安全対策を講じること。
８ 受託者は、この契約による業務を処理するために使用することとしたパソコン等（外部記録媒体を含む。以下同じ。
）以外のパソコン等を使用してはならない。
９ 受託者は、この契約による業務を処理するパソコン等に、ファイル交換ソフトその他情報漏えい等につながるおそれがあるソフトウエアをインストールしてはならない。
【クラウドサービスを使用しない場合は不要】
なお、クラウドサービスを利用する場合は、クラウドサービスに対する各種の認定・認証制度（ISMAP、ISO/IEC27001・27017・27018、JISQ27001 等）の適用状況から、クラウドサービスの信頼性が十分であることを総合的・客観的に評価し選定すること。
10 受託者は、第１項の個人情報等を、秘匿性等その内容に応じて、次の各号の定めるところにより管理しなければならない。
⑴ 個人情報等は、金庫、保管庫又は施錠若しくは入退室管理の可能な保管室に保管しなければならない。
⑵ 個人情報等を電子データとして保存又は持ち出す場合は、暗号化処理又はこれと同等以上の保護措置をとらなければならない。
⑶ 個人情報等を電子データで保管する場合、当該データが記録された外部記録媒体及びそのバックアップの保管状況及び個人情報等の正確性について、定期的に点検しなければならない。
⑷ 個人情報等を管理するための台帳を整備し、個人情報等の受け渡し、利用、複写又は複製、保管、廃棄等の取扱いの状況、年月日及び担当者を記録しなければならない。
12【解説補記】本条は、個人情報保護法 66 条 2 項の規定による受託者の同条に基づく安全管理措置義
務を具体化する規定である〔新 SCC（GDPR 第 28 条）ANNEX Ⅲ（技術的・組織的措置）参照。
なお、新 SCC によれば、同措置は一般的記述ではなく、具体的に記述しなければならないとされる〕。

本条第１項及び第２項は、同法が適用されない者18や個別法により業務上秘密である個
人情報を取り扱う者の存在も想定し、刑法第 134 条の規定にいう漏示も含めた漏えい等の事態を起こさないよう、安全管理措置を講じなければならない旨規定したものである。
本条第３項及び第４項の作業場所は、東京都が指定する場所とすることも考えられる。
また、作業場所で然るべき措置が講じられているか否かを具体的に確認するために、現況の確認や実地検査19等を行なう（本条と関連して第 M 条も参照されたい）。
本条第５項の運搬方法としては、防犯ブザー付きカバンの利用や電子データの場合には暗号化処理等が考えられる。本条第６項の送付方法は、当初届け出た方法が、従事者の世代等によっては馴染みの薄い手段である場合も想定されることから、実際の従事動向も踏
まえ、その変更が必要な場合は適宜その旨届け出ることとした規定である。
本条第７項各号の措置（ダブルチェック等の措置を含む。）は、各局等が定める安全管理基
準の参考となる「保有個人情報の安全管理に関する基準イメージ」（平成 17 年８月９日 17
生広情報第 284 号）第７（８）の措置を受託者側で具体的に取り組むために規定したものである。本条第８項のパソコン等を作業場所から持ち出す場合については、修理等の理由による場合が考えられるが、そのような場合であっても、パソコン等から個人情報を消去させた上で、承諾を行うものとする。
本条第９項は、必要な対策や手続を採らずに20パソコン等を私的目的と業務目的とで兼用することによる事故を防止するための規定である。私用のパソコン等は、情報セキュリ
ティ対策が十分ではない場合もあるため、従事者が無断で個人的に利用することによってコンピュータウイルスに感染し、個人情報が流出するおそれが高いことから、委託業務での使用を一定程度制限する必要がある。本条第９項なお書きは、クラウドサービスを利用する場合の規定である。クラウドサービスを利用する場合は、総務省が令和５年３月 28日に改訂した「地方公共団体における情報セキュリティポリシーに関するガイドライン(令和 5 年 3 月版)」
（平成 13 年 3 月 30 日策定）21第 4 章 3.2.〔クラウドサービスの特性における留意事項〕に記載された第三者認証 （ISMS（ISO/IEC27001）、ISMAP、ISO/IEC27017、

18

個人情報保護法第 57 条〔適用除外〕第１項各号の者に該当する者や同法第２条第 11 項各号の定義に該当しない機関等。
19 法律事務対応ガイド 4-8-9（３）20 いわゆる BYOD（Bring Your Own Device）を妨げる趣旨ではないという意味である。ただし、その際の必要な対策や手続についても、都と同等の水準以上の厳格性が求められる。
21 総務省 HP（https://www.soumu.go.jp/main_sosiki/kenkyu/chiho_security_r03/index.html）。

13

【解説補記】ISO/IEC27018 等）の状況や、個人情報保護委員会が令和５年 12 月 25 日に更新した通則ガ

イドライン Q&A６－1922等も踏まえ対応する。
本条第 10 項の規定は、受託者が庁内の作業場所で指定端末の操作のみを行い、個人情報の管理は東京都が行っているような場合は、不要となる。

（個人情報等の帰属及び返還、廃棄又は消去）
第 K 条 東京都から引き渡された文書等に記録された個人情報等のほか、この契約による業務を処理するために東京都の指定した様式により、及び東京都の名において、受託者が取得、作成、加工、複写又は複製等した個人情報等は、東京都に帰属するものとする。
２ 受託者は、この契約による委託業務完了時に、東京都の指示に基づいて、前項の個人情報等を返還、廃棄又は消去しなければならない。
【要配慮個人情報を含まない場合は不要】
なお、個人情報等の返還は、第 D 条の規定によりその役割を果たすべき者として東京都に届け出られている者が行うものとする。
３ 受託者は、第１項の個人情報等を廃棄する場合、記録媒体を物理的に破壊する等当該個人情報等が判読又は復元できないように確実な方法で廃棄しなければならない。
４ 受託者は、パソコン等に記録された第１項の個人情報等を消去する場合、データ消去用
ソフトウエアを使用し、当該個人情報等が判読、復元できないように確実に消去しなければならない。
５ 受託者は、第１項の個人情報等を廃棄又は消去したときは、完全に廃棄又は消去した旨の証明書（情報項目、媒体名、数量、廃棄又は消去の方法、責任者、廃棄又は消去の年月日が記載された書面）を東京都に提出しなければならない。ただし、他の法令に基づき受託者において一定期間の保管が義務付けられている個人情報等については、受託者は、廃棄又は消去できない個人情報等の概要に関する情報（情報項目、媒体名、数量、廃棄又は消去しない根拠法令、責任者、法令に基づき予定される廃棄又は消去の年月日が記載された書面）を上記証明書に記載すること。
６ 受託者は、廃棄又は消去に際し、東京都が立会いを求めたときはこれに応じなければならない。
本条は、個人情報の返還や廃棄等を受託者の取組として明記することにより、個人情報の流出や保存されたまま放置されることを防止する必要があるため設ける規定である。
一般に、データである個人情報は無体物であって民法上の所有権の対象ではないため、最初に取得した当事者が排他的に独占するという物権的な発想は必ずしも馴染まない23。

22

個人情報保護委員会 HP（https://www.ppc.go.jp/files/pdf/2312_APPI_QA_tsuikakoushin.pdf）。

23 経済産業省 IoT 推進コンソーシアム「データの利用権限に関する契約ガイドライン ver1.0」（平成 29年 5 月）第１．２〔ケース毎に公平・適正に利用権限を定める観点〕

14【解説補記】一方で、データが知的財産権等により直接保護されるような場合は別として、一般には、データに適法にアクセスし、その利用をコントロールできる事実上の地位、又は契約によってデータの利用権限を取り決めた場合にはそのような債権的な地位を「データ・オーナーシップ」と呼ぶことがある24。本条は、こうした観点から、その帰属関係を定める。
本条第１項及び第２項は、個人情報の帰属を明確にすることによって、受託者による個
人情報の返却や廃棄等に漏れが生ずることを防止するものである。ただし、本条第２項な
お書きは、数量や状況に関わらず漏えい等の事態が発生した際に同法第 87 条〔漏えい等の報告等〕に基づき個人情報保護委員会に報告する必要がある要配慮個人情報が含まれる保有個人情報（個人情報の保護に関する法律施行規則第 43 条第１項）の取扱いを委託する場合を想定した規定である。
本条第３項及び第４項は、受託者において判読・復元できないような方法で廃棄・消去する規定であり、受託業務で使用したパソコン等を引き続き使用する場合も想定される。
委託業務終了後であっても、プログラムの点検・修正等のために、受託者にデータを一定期間保有させておく必要があるような場合には、安全管理措置を引き続き遵守することを条件に、その旨規定することも考えられる。
本条第５項及び第６項は、廃棄・消去の状況を確認する具体的方法を定めるものである。
個人情報取扱事業者は、個人情報保護法第 30 条〔第三者提供を受ける際の確認等〕第１項及び第２項の規定に基づき、第三者から個人データの提供を受けるに際して当該第三者の氏名又は名称等25について申告を受けたり26、当該個人データの取得の経緯27について当該第三者から書面の提示を受けたり28する等して所定の事項を確認する義務がある。また、同条第３項及び第４項の規定に基づき、当該個人データの提供を受けた年月日のほか、当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
や当該個人データの項目等の情報（同規則第 24 条各号）を記録する義務もある。
個人情報取扱事業者に課されるこれらの義務規定は、同法第 27 条〔第三者提供の制限〕
第１項各号（第４号29を含む。）又は第５項各号（第１号30を含む。）に該当する場合は免除され(https://www.meti.go.jp/policy/mono_info_service/connected_industries/sharing_and_utilization.html)。
24 経済産業省「AI・データの利用に関する契約ガイドライン：データ編」（平成 30 年 6 月）第３．１（２）（https://www.meti.go.jp/policy/mono_info_service/connected_industries/sharing_and_utilization/2018
0615001-1.pdf）。
25 個人情報保護法第 30 条第１項第１号
26 個人情報の保護に関する法律施行規則第 22 条第１項
27 個人情報保護法第 30 条第１項第２号
28 個人情報の保護に関する法律施行規則第 22 条第２項
29 「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」
30 「個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」

15

【解説補記】るが、受託者が東京都から提供を受けることとなる個人データについては、免除されないケースが多い31。このほか、個人情報保護法以外の法令に基づき受託者において一定期間の保管が義務付けられている個人情報等もあり得る32。このため、個別法の要請の有無を把握する必要性も踏まえ、本条第５項ただし書きにおいて、この契約によらず、法令上、廃棄・消去できない個人情報等がある場合、その概要を書面で提出することとしている。

第 C 章 事故対応及び検査（漏えい等発生時の対応）
第 L 条 受託者は、この契約による業務の処理に関して個人情報の漏えい等が発生し、又は発生したおそれがある事態が生じた場合は、その事態に係る帰責の有無にかかわらず、当該漏えい等に係る個人情報の内容、数量、発生場所、発生状況等を東京都に速やかに報告し、その指示に従わなければならない。
２ 受託者は、前項の事態が生じた場合には、速やかに被害を最小限にするための措置を講ずるとともに、前項の指示に基づいて、当該事態が生じた旨を当該漏えい等に係る個人情報の本人に通知し、又は本人が容易に知り得る状態にする等の措置を講ずるものとする。
この場合、受託者は、当該措置に係る費用を負担することとする。
３ 受託者は、東京都と協議の上、二次被害の防止、類似事案の発生回避等の観点から、可能な限り当該事態に係る事実関係、発生原因及び再発防止策の公表に努めなければならない。この場合、受託者は、東京都が事実関係の公表にあたって受託者の名称及び代表者氏名を公表することがあることを承諾するものとする。
本条は、受託者において漏えい等が発生した場合の対応を定めるものである〔新 SCC（GDPR 第 28 条）第９条〔個人データ侵害通知〕33参照〕。

本条第１項は、漏えい等への適切な対処が、速やかな関係者間での共有がなくては達成できないことに鑑み、現に個人情報を取り扱っている当事者である受託者が、その初動においてかかる事態が確定的でなくとも、予断を挟まず、例え１人分であったとしても、漏えい等に関して覚知した事案は東京都に報告することを定めたものである。
なお、東京都が行う漏えい等の報告は、本人の数が「100 人」を超える場合34等であり、

31

同法第 27 条第１項第４号の「本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」に該当する委託は稀である。また、同法同条第５項第１号は個人情報取扱事業者が別の個人情報取扱事業者に個人データの取扱いを委託するときの規定であり、地方公共団体が委託する規定ではない。
32 労働安全衛生法（昭和 47 年法律第 57 号）第 66 条に基づく一般健康診断結果の保管（5 年）等。
33 新 SCC 第９条は、処理者（委託を受けた者等に相当）は、個人データ侵害（漏えい等の事態に相当）が生じた場合、管理者（委託元に相当）が行う GDPR 第 33 条（EU 監督当局への報告）及び第 34 条（データ主体（本人）への通知）に基づく義務履行に協力しなければならない旨規定する（GDPR 第 33 条は、
個人データ侵害を覚知してから遅くとも 72 時間以内にこれらの報告を行わなければならない旨規定する）。
34 個人情報の保護に関する法律施行規則第 43 条第４号

16

【解説補記】個人情報取扱事業者のように「1,000 人」を超える場合35等ではないことに注意する。
本条第２項は、個人情報取扱事業者である場合、漏えい等の事態が生じた旨を東京都に通知すれば個人情報保護法第 26 条第２項に基づく本人通知は免除されるところ36、刻一刻と被害が拡大し得る漏えい等の事態は、迅速にその旨本人に状況の説明を尽くす必要があるため、同法の規定によらず、この契約によって、現に個人情報を取り扱っている当事者である受託者も本人に対する通知を行うこととしたものである37。
本条第３項は、再発防止に向けて採り得る措置等を定めたものである。
（立入調査等）第 M 条 東京都は、この契約による業務の処理に伴う個人情報等の取扱いについて、本特記仕様の規定に基づき必要な措置が講じられているかどうかを確認するため必要があると認めるときは、受託者に報告を求めること及び受託者の作業場所を立入調査することができるものとし、受託者は、東京都から改善を指示された場合には、その指示に従わなければならない。
２ 受託者は、再委託を行なう場合は、前項と同等の措置を講じるよう再委託の相手方に対して求めなければならない。また、受託者は、必要に応じて東京都が再委託の相手方に報告を求めること及び再委託の相手方の作業場所を立入調査できるよう、必要な調整を行う
ものとする。この限りにおいて、受託者は、再委託の相手方の作業場所を立入調査できるように調整した記録（再委託の相手方に連絡した日時及び連絡内容、連絡の結果による再委託の相手方の返答内容など）を、東京都の求めに応じて書面により報告しなければならない。
本条は、東京都が、受託者及び再委託等の相手方において、特記仕様が適切に遂行されているかどうかの報告の徴取や作業場所への立入調査により確認し、必要があると認めた場合に改善を指示するものとするために設ける規定である（累次の再委託に関するリスクについては、本条と関連して第 G 条の解説を参照のこと）。作業場所への立入調査は、委託契約期間

中１回以上行うことが望ましいが、情報セキュリティ点検の結果や委託契約の実態に応じて報告の徴取とすることも考えられる。作業場所がデータセンター等で受託者等のセキュ
リティポリシー上入室が禁止されている場合や遠隔地等の場合で立入調査が困難な場合
は、受託者等から JISQ15001（プライバシーマーク）や JISQ27001（ISMS）等の適合認証取得証明書を提出させることをもって、立入調査に代えるような規定とすることが考えられる（ISMS 等については、第 J 条第９項の解説も参考にされたい）。

第D章

契約解除及び損害賠償等

35

個人情報の保護に関する法律施行規則第７条第４号
法律事務対応ガイド 4-4-2（1）通知義務の主体
37 東京都も、本人通知については、同法第 68 条第２項に基づき適切に対応する。
3617

【解説補記】（契約の解除）第 N 条 東京都は、受託者が本特記仕様に定める義務を履行しない場合は、この契約による業務を解除することができるものとする。
２ 受託者は、前項の規定に基づく契約の解除により損害を被った場合においても、東京都にその損害の賠償を求めることはできないものとする。
３ 受託者が、第１項の規定に基づき契約を解除された場合、東京都は、受託者の名称及び違反事実を公表することができる。
本条は、本体条項だけでなく、本特記仕様に記載された義務を履行しない場合の対応を定めるものである〔新 SCC（GDPR 第 28 条）第 10 条〔本条項の不遵守及び解除〕参照〕。

（損害賠償等）第 O 条 受託者の故意又は過失を問わず、受託者が本特記仕様に定める義務に違反し、又は怠ったことにより東京都が損害を被った場合には、東京都にその損害を賠償しなければならない。
２ 受託者は、第 L 条第１項に規定する事態に起因又は関連して第三者との間で紛争、クレーム又は請求（以下「紛争等」という）が生じた場合には、直ちに東京都に対して書面により通知するものとし、かつ、自己の責任及び費用負担において、当該紛争等を解決することとする。
３ 受託者は、第 L 条第１項に規定する事態に起因又は関連して、東京都が被った損害又は損失及び費用（漏えい等した個人情報の本人である被害者から東京都に対してなされる訴
訟並びに慰謝料その他の損害賠償の請求その他紛争解決手段の行使に対応するために東京
都において発生した費用を含む。以下「損害等」という）が生じた場合、東京都の求めに応じて、当該損害等の全部又は一部を補償する。
【営業秘密に該当しない場合は不要】
４ 第 A 条第３項に基づき管理された個人情報等の取扱いについて東京都が損害を被った
場合には、東京都は不正競争防止法（平成５年法律第 47 号）第４条及び第５条に基づく損害の賠償を請求することができる。
本条は、前条による契約解除のほか、契約自体は解除しないものの、東京都が損害を被った場合等の賠償や補償、費用負担等を定めるものである（個人情報の漏えい等の事態の考え方については、第 L 条の解説を参照のこと。また、営業秘密である個人情報の取扱いを委託する場合の法的整理については、本条と関連して第 A 条第３項の解説を参照のこと）
。

（その他）
18

【解説補記】第 P 条 受託者は、○○局が定める安全管理基準（別添）及び本特記仕様の解釈等、個人情報等の取扱いについて疑義を生じた場合、その都度東京都に確認し、本業務を行うこと。
この限りにおいて、東京都は、東京都の情報セキュリティ管理体制の維持に支障がない範囲で受託者に対して情報提供を行うものとする。
「個人情報の保護に関する法律についてのガイドライン（行政機関等編）」5‐3‐1（１）〔行政機関の長等の安全管理措置義務〕によれば、個人情報の取扱いを委託する場合、サイバーセキュリティ基本法（平成 26 年法律第 104 号）第 26 条第 1 項第 2 号に掲げられたサ
イバーセキュリティに関する対策の基準等を参考に委託先によるアクセスを認める情報及び情報システムの範囲を判断する基準や委託先の選定基準を整備するとともに、委託先との契約において安全管理措置のために必要な条項を盛り込んだ上で、定期的な監査を行う等、委託先に対して必要かつ適切な監督を行うことが考えられるとされている。
しかし、サイバーセキュリティに関する事項は、非公開情報を多分に含んでいるため、受託者に対して適切な範囲の情報を適切な方法で示しつつ、受託者においても確実に個人情報の保護を徹底する必要があることから、本条は、東京都の情報セキュリティ管理体制の維持に支障がない範囲で受託者に対して情報提供することを定めている〔新 SCC（GDPR
第 28 条）第４条〔規定の優先関係〕及び第８条〔管理者に対する協力〕参照〕。

第 Q 条 第 O 条の個人情報の漏えい等に伴う損害賠償その他の一切の責任は、受託者が再委
託等（再々委託及びそれ以降の委託を含む。
）をした相手方において発生した場合であっても、当該受託者が負うものとする。
本条は、累次の再委託がなされる場合でも、これに付随して生じる責任は、東京都との契約の直接的な当事者である一次請けとしての受託者が負う旨を確認的に規定したものである〔新 SCC（GDPR 第 28 条）第６条〔処理の内容〕及び第７条〔当事者の義務〕参照〕。

注意： 本特記仕様例は、改正法の影響を踏まえ38、個人情報保護を徹底するために定めたものであるから、委託等の事業の内容や性質に応じて必要となる条項を精査し、使用すること。

38

本紙は、令和５年度末時点の最新法令に即して作成されたものである。
なお、脚注のおける URL の最終アクセス日はいずれも令和６年３月 15 日である。
19