公共調達における個人情報・マイナンバー管理の実務｜契約上の義務と社内体制の整備ポイント

公共調達の受注企業が直面する管理義務のひとつに、「個人情報・マイナンバー（社会保障・税番号）の適切な取り扱い」があります。発注機関が保有する住民データや職員情報、あるいは委託業務で取り扱う市民の個人情報は、個人情報保護法やマイナンバー法（番号利用法）の対象となり、契約書・特記仕様書に受注者の義務が明記されていることが一般的です。

法令を知らずに業務を進めた結果として情報漏洩が発生した場合、契約解除・損害賠償請求・指名停止といった深刻な事態につながるリスクがあります。一方、体制を整えておくことで、発注機関からの信頼獲得や、入札参加資格審査での加点評価にもつながりえます。

この記事では、公共調達の受注者（企業・団体）が押さえておくべき個人情報・マイナンバー管理の基本と、契約上求められる体制・義務を体系的に解説します。

この記事でわかること#

個人情報保護法・マイナンバー法と公共調達の関係
公共調達契約書・特記仕様書で定められる主な義務事項
マイナンバー（特定個人情報）取り扱い時の特別な義務
受注者が整備すべき管理体制と社内ルール
情報漏洩が発生した場合の対応と報告義務
再委託・下請業者への義務の連鎖と確認ポイント
契約終了後のデータ廃棄・返却の実務

個人情報保護法と公共調達の関係#

令和3年改正による一元化の影響#

令和3年（2021年）の個人情報保護法改正により、国・地方公共団体が保有する個人情報も、民間事業者が保有するものと同様の規律のもとに置かれるようになりました。この改正以前は、国・地方公共団体向けに別立ての法律（行政機関個人情報保護法・独立行政法人等個人情報保護法）や自治体条例が別々に存在していましたが、現在は統合・一元化されています。

公共調達において発注機関から業務を受託する場合、受注者は「個人情報の取り扱いの委託を受けた者」として、個人情報保護法上の義務を負います。主な義務は以下のとおりです。

安全管理措置（物理的・技術的・組織的・人的安全管理）の実施
従業者への教育・監督の実施
発注機関の指示のない限り、業務遂行目的外の利用・第三者提供の禁止
漏洩等が発生した場合の発注機関への報告

地方公共団体の個人情報保護条例#

国の法律に加え、多くの地方公共団体は独自の個人情報保護条例を定めています。条例の規定が国の法律より厳しい場合は、条例の義務が上乗せされることがあります。受注先の発注機関（都道府県・市区町村等）の条例内容は、契約前または業務開始前に確認しておくことが重要です。

特に「特定個人情報（マイナンバーを含む情報）」の取り扱いを含む業務では、マイナンバー法の適用もあるため、個人情報保護法・条例・マイナンバー法の三層を合わせて確認する必要があります。

公共調達契約書・特記仕様書での義務規定#

公共調達の契約書や特記仕様書には、個人情報の取り扱いに関する条項が盛り込まれることが一般的です。内容は発注機関や業務の種類によって異なりますが、以下の事項が定められることが多くあります。

目的外使用の禁止#

受注者は、業務遂行の目的を超えて個人情報を使用・提供・複写することが禁止されます。「業務上必要最小限の範囲でのみ利用すること」が基本原則であり、業務終了後の利用は認められません。アクセス権限を業務担当者に限定し、それ以外の従業者が個人情報を閲覧できない状態にしておくことが求められます。

安全管理措置の実施義務#

受注者は、業務で取り扱う個人情報に関して、不正アクセス・漏洩・改ざん・滅失等を防ぐための安全管理措置を実施することが求められます。主な安全管理措置の例を以下に挙げます。

個人情報へのアクセス権限の限定と認証管理（IDとパスワードの設定・定期変更）
端末・データの暗号化（持ち出し媒体・クラウドストレージの暗号化含む）
個人情報を含む書類・記録媒体の施錠保管（鍵のかかった書庫・金庫の利用）
業務用端末の私的利用・外部持ち出しに関するルールの設定と遵守
不要になった個人情報の確実な廃棄（書類のシュレッダー処理・電子データの完全消去等）

安全管理措置の内容・水準は、発注機関から別途示される「個人情報管理基準」等によって指定されることもあります。契約書・特記仕様書以外に参照すべき文書がないかを確認しましょう。

従業者への教育・監督義務#

個人情報取り扱い業務に従事する従業者に対して、適切な教育・研修を実施することが義務付けられます。最低限の内容として、「個人情報保護の重要性の理解」「情報漏洩時の報告手順」「業務上のルール（アクセス制限・持ち出し禁止等）の周知」が求められます。

教育の実施記録（実施日・対象者・内容）を残しておくと、発注機関から確認を求められた際にも対応できます。年1回程度の定期的な実施が望ましいとされています。

漏洩等の報告義務#

個人情報の漏洩・滅失・き損等が発生した場合、または発生のおそれがある場合には、速やかに発注機関へ報告することが求められます。報告の遅延は契約違反となるだけでなく、行政・法的対応においても不利に働く可能性があります。

事案発生時の初動対応手順（誰が・誰に・何を報告するか）を事前に社内で整備し、担当者に周知しておくことが重要です。

マイナンバー（特定個人情報）の取り扱い#

マイナンバー法の特別な規律#

マイナンバー（個人番号）を含む「特定個人情報」は、通常の個人情報よりも厳格な取り扱い義務が課されています。マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）により、特定個人情報の利用・提供・収集は厳格に制限されており、認められた目的以外での利用は禁止されています。

公共調達の受注者がマイナンバーを取り扱う可能性がある業務の例として、以下が挙げられます。

自治体の給付金・補助金事務の補助業務（受給者情報の管理・処理）
医療・社会保険関連のシステム運営・保守業務
税務申告書類の受付・処理補助業務
福祉・介護関連の情報システム開発・運用業務

これらの業務を受注した場合、特定個人情報保護評価（PIA: Privacy Impact Assessment）の実施が義務付けられることもあります。発注機関から提示される仕様書・実施計画を事前に確認することが必要です。

特定個人情報の安全管理措置#

特定個人情報については、個人情報保護委員会が公表する「特定個人情報の適切な管理のためのガイドライン」に準拠した安全管理措置が求められます。ガイドラインは組織的安全管理措置・人的安全管理措置・物理的安全管理措置・技術的安全管理措置の4分類で具体的な措置の基準を示しており、特に以下の点は厳格な運用が求められます。

区域管理：特定個人情報を取り扱うエリアを物理的に分離し、入退室管理を徹底すること
アクセスログの記録：特定個人情報へのアクセス履歴を記録し、一定期間保存すること
廃棄の確実性：業務終了後に特定個人情報を確実に廃棄し、廃棄記録を残すこと
照合・突合の制限：法律で認められた範囲を超えた情報の照合・結合を行わないこと

通常の個人情報と特定個人情報を同じシステム・フォルダで管理している場合、特定個人情報に求められる厳格な管理基準が全体に適用されてしまうことがあります。可能であれば、特定個人情報は分離して管理することをお勧めします。

再委託時の規制#

マイナンバーを取り扱う業務を再委託する場合は、発注機関の承認が必要であることが一般的です。再委託先に対しても、受注者と同水準の安全管理措置を確保することが義務付けられており、再委託先の管理状況を受注者が監督・確認する義務があります。

受注者が整備すべき管理体制#

社内管理規程の整備#

個人情報・特定個人情報を取り扱う公共業務を受注するためには、社内の個人情報管理規程（プライバシーポリシー・個人情報取扱規程等）が整備されていることが前提となります。整備すべき規程の内容は以下を含みます。

個人情報の利用目的・取り扱い範囲の定義
組織内のアクセス権限の管理方針
安全管理措置の具体的な内容と実施手順
情報漏洩等のインシデント対応手順
外部委託（再委託）に関する管理基準

規程は形式的な整備にとどまらず、現場の担当者が実際に参照・実践できる内容であることが重要です。「規程は存在するが現場では知られていない」という状況では、法令違反を防ぐ実効性がありません。

担当者の任命と教育体制#

個人情報保護管理者・担当者を任命し、業務上の情報の流れを把握・管理できる体制を構築することが求められます。近年、公共調達の入札参加資格審査において、「個人情報保護方針の策定」「プライバシーマーク取得」「ISMS（ISO 27001）認証」などを加点評価の対象とする発注機関も出てきています。

担当者に対しては定期的な教育・研修を実施し、法令改正や発注機関のガイドライン更新にも対応できるよう、最新の知識を維持することが大切です。年度初めに研修計画を立て、記録を残す習慣をつけましょう。

入退室・アクセス管理の整備#

個人情報を取り扱う作業エリアへの入退室管理と、情報システムへのアクセス権限管理を整備します。発注機関から「実地確認（立入検査）」を実施する旨が契約書に規定されている場合には、入退室記録・アクセスログ・廃棄記録等を適切に保存しておく必要があります。

実地確認への対応が求められた際に「記録がない」という状況は、管理の不備とみなされるリスクがあります。日頃から記録を習慣化し、整理・保存の体制を整えておきましょう。

情報漏洩が発生した場合の対応#

初動対応のステップ#

情報漏洩等の事案が発生した（またはそのおそれがある）場合の初動対応は、以下のステップが一般的です。

被害の拡大防止：漏洩した情報のさらなる流出・拡散を止める（アカウントのロック・通信の遮断等）
事実確認：漏洩の経緯・範囲・影響を受けた個人の特定を進める
内部報告：個人情報保護管理者・経営責任者へ迅速に報告する
発注機関への第一報：契約書の定めに従い、速やかに発注機関へ報告する

発注機関への報告を遅延させると、それ自体が契約違反となるリスクがあります。事案の全容が把握できていない段階でも、「事実確認中であること」を含む第一報を速やかに行うことが求められます。

個人情報保護委員会への報告義務#

改正個人情報保護法では、一定規模以上の漏洩等が発生した場合、個人情報保護委員会への報告と、被害を受けた本人への通知が義務付けられています。対象となる事案の要件は個人情報保護委員会のガイドラインで定められており、特定個人情報（マイナンバー含む）の漏洩は規模に関わらず報告対象とされています。報告期限・方法についてはガイドラインを確認の上、適切に対応してください。

再発防止策の策定と報告#

事案収束後は、原因分析と再発防止策の策定が必要です。発注機関によっては、再発防止報告書の提出と承認取得を求めることがあります。再発防止策は実効的な内容とし、実施状況を継続的にモニタリングする体制を構築することが重要です。

再委託・下請業者への義務の連鎖#

発注機関への承認申請#

公共調達の契約では、個人情報の取り扱いを含む業務の再委託については、発注機関の書面による承認を要する旨が規定されていることがほとんどです。無断再委託は重大な契約違反となるため、業務の一部を外部に委託する際は必ず事前に発注機関へ申請・承認を得ることが必要です。

承認申請の際には、再委託先の名称・業務範囲・安全管理措置の概要を申請書類に明記することが一般的です。発注機関所定の様式がある場合は、それに従って提出しましょう。

再委託先に課すべき義務#

再委託が承認された場合でも、受注者は再委託先の管理状況について責任を負い続けます。再委託契約書において、以下の事項を再委託先に義務付けることが必要です。

目的外利用の禁止
安全管理措置の実施（受注者と同水準以上）
漏洩等発生時の受注者への迅速な報告
受注者による監査・実地確認への協力
業務終了後のデータ廃棄・返却の確実な実施

再委託先が複数段階にわたる場合（再々委託等）は、各段階での契約・管理が適切に行われているかを確認する責任も受注者側にあります。下請業者への丸投げで管理が途切れることがないよう、管理の連鎖を意識した体制を整えましょう。

契約終了後のデータ廃棄・返却の実務#

返却または廃棄の義務#

業務委託契約が終了（または解除）した際は、発注機関から預かった個人情報・データを返却または廃棄することが求められます。廃棄の方法（物理的破壊・完全消去等）は契約書・特記仕様書の指定に従い、廃棄完了の証拠（廃棄記録・廃棄証明書等）を発注機関に提出することが一般的です。

電子データの「削除」は、通常のファイル削除では復元可能な状態であることが多いため、専門業者への委託や専用の完全消去ツールを使用した処理が求められるケースもあります。廃棄方法の適否は契約前に確認しておくと安心です。

廃棄記録の保存#

廃棄の実施記録（何を・いつ・どの方法で廃棄したか）は、一定期間保存することが望ましいです。廃棄担当者・立会者の氏名を含む記録を作成しておくと、発注機関から監査・調査が行われた際にも対応できます。書類廃棄の場合はシュレッダー処理または溶解処理の証明書、電子媒体の場合は消去証明書を取り付けておくとより確実です。

よくある疑問（Q&A）#

Q. 小規模な業務でも個人情報保護の義務はあるの？#

個人情報を取り扱う業務であれば、規模の大小を問わず個人情報保護法および契約書の義務が適用されます。「件数が少ないから大丈夫」という認識は通用しません。契約書に定められた義務は規模によらず遵守することが必要です。

Q. 社員が業務用端末を自宅に持ち帰って作業することは認められる？#

発注機関の許可なく個人情報を含む業務を社外で行うことは、原則として禁止されている場合が多いです。特記仕様書に「業務は指定場所で行うこと」と規定されている場合は、在宅勤務・テレワーク等は発注機関との事前協議・承認が必要です。テレワーク環境での作業を検討する際は、まず仕様書の規定を確認しましょう。

Q. マイナンバーを取り扱う業務の受注に特別な資格は必要？#

法令上、特定の資格は定められていません。ただし発注機関によっては、入札参加資格要件として「特定個人情報取扱いに関する社内規程の整備」や「担当者教育の実施証明」を求める場合があります。また、プライバシーマーク・ISMS認証が加点要素となるケースも見られます。

Q. 契約書に個人情報保護の規定がない場合は義務なし？#

個人情報保護法は当事者間の契約に関わらず直接適用されます。契約書に明示されていなくても、個人情報を取り扱う以上は法令上の義務を負います。「契約書に書いていなかったから知らなかった」という主張は法的には通りません。

まとめ#

公共調達の受注者は個人情報保護法・マイナンバー法の義務を負う。令和3年改正により民間・公共一元化された枠組みで規律されている。
契約書・特記仕様書に定められた義務（目的外利用禁止・安全管理措置・報告義務等）は必ず確認し、社内管理体制に反映させることが重要。
マイナンバーを含む特定個人情報は通常の個人情報よりも厳格な管理が必要。利用制限・廃棄管理・区域管理・アクセスログ記録等の措置を徹底する。
情報漏洩時は速やかな初動対応と発注機関への報告が求められる。報告遅延は契約違反となるリスクがある。
再委託先についても受注者が管理責任を負う。無断再委託は厳禁であり、再委託先の管理状況を定期的に確認する仕組みを整える。
業務終了後の廃棄・返却を確実に実施し、廃棄記録を保存する。

個人情報・マイナンバー管理の法的義務は、公共調達に参入・継続するうえで基礎的かつ必須の要件です。社内管理体制の整備と担当者の教育を継続的に行い、発注機関からの信頼を積み重ねていきましょう。

入札ガイドでは、公共調達に関するその他の実務情報も掲載していますので、あわせてご活用ください。