ビル管理会社は個人情報の委託先でしょうか？

Question

はじめまして、会社でプライバシーマーク取得の事務局をしています。とても困っています、教えてください。。
先日、現地調査で「委託先の見直し」との指摘を受けました。この「個人情報の委託先」に、ビル管理会社や清掃をお願いしている会社は含まれるのでしょうか？
個人情報の処理等を委託しているわけではないので、含めなくてもよいように思うのですが、プライバシーマーク取得のために契約したコンサル会社に含めるようにと指示されました。
ですが、各支社のビル管理会社を個人情報の委託先としての厳しい基準で評価するとなると、どこも満たしていないことになってしまい、困っています。もちろん、業務に関する契約書は交わしていますし、その中で機密保持に関しては約束しています。それだけでは、だめなのでしょうか？
個人情報の処理を委託していなくても、個人情報が存在する場所での作業（清掃作業等）を依頼しているという理由で個人情報の委託先になるのでしょうか？
調べてみたのですが、よくわかりませんでした。
どなたか、ご存知の方、明解をどうぞよろしくお願いいたします。

jyamamoto · Accepted Answer

NO.1です。

何年か前に、ＩＳＯ導入が始まったころの状況と同じだと思います。まだ明確な事例の蓄積が少ないときは、どうしても過剰な対応を取り勝ちになりますね。
導入会社もそうですが、コンサル会社は認証取得の是非で自社のコンサル技術が評価されるわけですから、それに輪をかけてどうしても過剰な要求をし勝ちになります。
コンサル会社は顧客会社が認証取得すればそれで万事ＯＫですが、顧客会社は一度過度なルールを定めてしまうと、それで実施しなければなりません。それだけ制度が重くなりますし、業務負荷ひいてはコストが余分にかかってしまいます。

迷った時は「原点に戻れ」です。「個人情報保護法」の原文、関連するＪＩＳ規格条文のどの部分に抵触して、対応が必要なのか、コンサル会社に再確認してみてください。
くれぐれも、運用するのはコンサル会社ではなくて、貴社ですから・・・がんばってください。

goo_learning · Answer

既に回答された方々の内容を見て同感しておりますが、もしかしたらということで書き込みさせていただきます。
もしかしたら「個人情報の処理等を委託しているわけではない」ということではなく、ビルの管理会社等に「御社の担当者の氏名＆役職等」が伝わっていて、これをもって個人情報が委託先に、行ってしまっているという点を、コンサルが気にしているのではないでしょうか？

happygolucky · Answer

現地調査まで終わってるんですね。
書類審査に出されてからずいぶん掛かったのでは？

本題です。
感覚的には、現地調査に来た審査員に一度思ったままの改善案を出して見ることはできないんでしょうか？

それで更なる改善がなければ、良いでしょうし、改善要求があったらビル管なども入れるようにする。
そんなふうにはできませんか？

感覚的には、おっしゃってる方法で問題なく感じます。
委託先に関する評価選定方法を分けてやってらっしゃるということですよね。

もう一点、avrilballonさんがそんなにコンサルのいうとおりにしたくない理由は何ですか？

もしそのとおりにすることでスムーズに行くのであれば拘る所ではないのではないでしょうか？

目的は”取得”であり、プロジェクトの成功ですよね。avrilballon さんの意見を通すことによって
それに導けるのであれば、こだわっても良いでしょうけど、目的に直接関係なければ、折れれば済む話にも感じます。

きっと、それでコンサルは満足なんでしょうから。
もしかしたらコンサルも引っ込みがつかなくなってるのかもしれませんけど・・・

janvier · Answer

Ｎｏ．２のjanvierです。お礼、ありがとうございました。なるほどねえ、そうなるとこれは、Ｎｏ.1さんがご回答になっている通り、ビル管理会社や清掃会社に対する見直しではなく、こうした深夜作業などで社内に入る方々が居るという事情に対しての、会社としての情報漏えいの対策の問題につきるように思いますが。。。

janvier · Answer

通常ビルの管理会社や委託清掃業者は「個人情報の委託先」には該当しないはずのものです。なぜなら、当然のことながら「個人情報の処理等を委託」を契約業務としているわけではないのですから。ですが、このコンサルタントの方は「個人情報が存在する場所での作業」ということから、現実の問題としての可能性に配慮してことに厳しく考えていると思われます。

　多少冗談めきますが、これでは、業者としてはリースの植木鉢ひとつ、オフィスの中に持ち込めないということにもなりかねません。

　お話では、業務に関して取り交わした契約書の記載項目の中に「機密保持」に関しての条文があるとのことですが、強いて言うなら、この条文を書換えて「乙は業務中に知り得た企業情報及び個人情報を、いかなる理由に於いてもこれを外部（または第三者）に漏洩してはならない、また、知り得た企業情報及び個人情報を利用して利益を得てはならない」、「乙はこれらの情報の漏洩によって損害が発生した場合はこれを補償する」という風に具体的なものとして強化しておく程度しか方法がないと思います。この際、元々の契約書を一旦破棄するほどまでしなくても、付帯契約として別紙の姿で追加契約条項を発行するという略式のことも出来ると思いますので、関係の方に聞いてみて下さい。

　これだけしてあれば企業の姿勢と具体的な対策体制について審査するＰＣマーク取得の審査でもこれ以上つっこんではこないと思うんですが。。。。

jyamamoto · Answer

＞個人情報が存在する場所での作業（清掃作業等）を依頼しているという理由で個人情報の委託先になるのでしょうか？
この場合は、単に個人情報のある場所に出入りしているだけであって、「個人情報」そのものを扱って業務をするわけではありませんから、「個人情報の委託先」にはあたらないと思います。

その清掃業者の個人情報保護に関する取り組み姿勢を問題にするのではなく、そういった「外部の業者が出入りするところでの、貴社の個人情報の保管、取り扱い方法の取り決め」の問題だと思います。

コンサル会社の勘違いか、貴社の聞き違いか？コンサル会社の指摘の趣旨を再確認されるべきでしょうね。

ビル管理会社は個人情報の委託先でしょうか？

NO.1です。

既に回答された方々の内容を見て同感しておりますが、もしかしたらということで書き込みさせていただきます。

現地調査まで終わってるんですね。

Ｎｏ．２のjanvierです。

通常ビルの管理会社や委託清掃業者は「個人情報の委託先」には該当しないはずのものです。

＞個人情報が存在する場所での作業（清掃作業等）を依頼しているという理由で個人情報の委託先になるのでしょうか？

この回答への補足

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング

　通常ビルの管理会社や委託清掃業者は「個人情報の委託先」には該当しないはずのものです。