レポート作成を外注するときのセキュリティ：データの渡し方と委託先の確認項目

レポート作成の外注のセキュリティとは、月次レポートや集計の作業を社外に任せるときに、渡したデータが漏れたり、頼んだ仕事の外で使われたりしないよう、渡すデータ・渡し方・委託先との約束を決めておくことです。広告の管理画面の数字、賃貸管理の入居者台帳、店舗の売上データ、会計の試算表など、レポートの元データには社外に出したくない情報が多く含まれます。

先に結論を書きます。

• 渡すデータを減らすことから始めます。 レポートに使わない列を外し、個人を特定できる列は番号に置き換え、集計できるものは集計してから渡します。減らした分だけ、漏れたときの影響が小さくなります
• 渡し方は、共有ドライブか閲覧だけの権限にします。 委託先ごとのフォルダを、相手の個人のアカウントに共有し、期限をつけます。パスワード付きZIPをメールで送る方式は避けます
• 委託先には6つのことを確かめます。 契約、秘密保持、再委託、保管と削除、生成AIの扱い、事故のときの連絡です。答えは書面に残します
• 確かめる時期は5回あります。 選ぶとき、契約のとき、初めてデータを渡す日、毎月、担当替えや終了のときです

この記事は、情報管理の考え方と、データの渡し方の具体策を中心に書きます。委託先を1項目ずつ確かめるチェックリストは、後半でPDFを案内します。

この記事は、月次レポートの作成代行と自動化（おまかせレポート）を提供している inovie株式会社 が書いています。法令の条文は e-Gov 法令検索で、ガイドラインと各サービスの仕様は公開ページの原文で、2026年11月3日に確かめました。個別の取引が法令上どう扱われるかの判断は書いていません。

なぜ外注先の情報管理まで自社で確かめるのか

個人データを預けるときは、委託先の監督が法律で求められている

個人情報保護法は、個人データの取扱いを委託する会社に、委託先の監督を求めています。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。 （個人情報の保護に関する法律 第25条）

個人情報保護委員会のガイドラインは、この監督の中身を次のように整理しています（ガイドライン（通則編）3-4-4 委託先の監督）。

再委託についても、相手・業務の内容・データの扱い方を、委託先から事前に報告を受けるか承認することが望ましいとしています。

個人情報を含まなくても、取引先の数字は契約で扱いが決まっている場合がある

広告の費用や店舗の売上のように、個人情報を含まないデータもあります。ただ、取引先から預かった数字は、取引先との契約で第三者に出せる範囲が決まっていることがあります。外注する前に、その契約も読み直しておきます。

IPA（情報処理推進機構）の中小企業の情報セキュリティ対策ガイドライン 第4.0版は、経営者が認識すべき原則の1つに「委託先の情報セキュリティ対策まで考慮する」を挙げています（本編15ページ）。委託先に渡した情報が漏れたとき、それが委託先の不備だったとしても、委託元として管理責任を問われるという説明です。委託するときは、契約書に委託先の責任や実施すべき対策を書いて合意する必要がある、としています（本編17ページ）。

渡すデータを減らすには？レポートの種類別の例

外注のセキュリティで最初に手をつけるのは、渡すデータそのものを減らすことです。考え方は4つあります。

1. 使わない列を外す：レポートに出てこない列（氏名、電話番号、メールアドレス、住所など）は、書き出す段階で消します
2. 置き換える：人ごとに区別する必要があるときは、氏名を部屋番号や社内の番号に置き換えます。番号と氏名の対応表は自社に残し、渡しません
3. 集計してから渡す：明細ではなく、日別・店舗別・媒体別に集計した表を渡します
4. 原本ではなく、見るだけの権限か書き出したファイルにする：システムに編集できる権限で入ってもらうのではなく、閲覧だけの権限にするか、必要な期間・必要な列だけを書き出したファイルを渡します

レポートの種類ごとに、外せる列と渡し方

書き出したファイルは、渡す前に一度開いて確かめます。非表示にした列やシート、セルのコメント、別のシートに残った元の表は、受け取った側で表示を戻せます。要らないものは非表示ではなく削除してから渡します。

名前を消しても、委託先の確認は省けない

氏名を消したり番号に置き換えたりしても、自社の手元にある元のデータと照らし合わせれば人が分かる場合、そのデータは個人データとして扱う必要がある、と国家サイバー統括室のサイバーセキュリティ関係法令Q&Aハンドブック（Q15 個人データの加工と法令上の安全管理）は解説しています。同じ解説で、統計情報に加工した場合は個人情報保護法の規律はかからない、としています。

列を減らすのは、漏れたときの影響を小さくするためです。委託先を確かめなくてよくするためではありません。個人と結びつかない集計値だけで作れるレポートなら、集計してから渡す形が、漏れたときの影響をいちばん小さくできます。

実物で見る：オーナー報告書に入居者の名前は出てこない

賃貸管理のオーナー月次報告書のサンプル（会社名と数字は架空です）の、入居状況のページです。部屋番号、入居中・退去予定・空室の別、賃料の3つで作れていて、入居者の氏名は使っていません。対応・修繕の履歴のページも、日付・場所（部屋番号）・内容・費用・状況の列で作っています。このレポートなら、入居者台帳から氏名と連絡先の列を外して渡せます。

全7ページはオーナー月次報告書のサンプルで見られます。賃貸管理会社の方に向けた頼み方は、賃貸管理会社向けのページにまとめています。

データはどう渡す？パスワード付きZIPをメールで送る方式の問題点

社外にファイルを送るとき、ファイルをパスワード付きのZIPにしてメールに添付し、続けてパスワードを別のメールで送る方式が広く使われてきました。この方式には3つの問題があります。

1. 同じ経路でパスワードも届く：宛先を間違えれば、ZIPもパスワードも同じ相手に届きます。内閣府・内閣官房は2020年11月26日から、ZIPファイルと同じ経路でパスワードを自動で送る方式を廃止すると発表しました。当時の平井大臣は会見で、この方式は「セキュリティ対策の観点からも、受け取る側の利便性の観点からも、適切なものではない」と述べています（内閣府 平井内閣府特命担当大臣記者会見要旨 令和2年11月24日）
2. 途中で中身を検査できない：暗号化されたファイルは、メールの経路にあるセキュリティ製品で中身を調べられません。IPAは2020年9月、パスワード付きZIPを添付したウイルス（Emotet）の攻撃メールを確認し、検知・検疫をすり抜けて届く確率が高いと注意を呼びかけています（IPA「パスワード付きZIPファイルを使った攻撃の例」）
3. 送ったあとで取り消せない：送ったファイルは相手のメールボックスに残り、契約が終わっても送った側からは消せません

なお、個人情報保護委員会のガイドラインは、個人データの「漏えい」に当たる事例の1つに「個人データを含むメールを第三者に誤送信した場合」を挙げています（ガイドライン（通則編）3-5-1-2）。

代わりの渡し方を比べる

共有ドライブで渡すときの設定（Google ドライブの例。仕様はGoogle ドライブ ヘルプで確かめました）

• 共有するのは委託先ごとのフォルダだけにし、相手の個人のアカウントを指定します。リンクの「一般的なアクセス」は「制限付き」にして、リンクを知っている人ならだれでも開ける状態にしません
• 役割は「閲覧者」にします。閲覧者はファイルを開けますが、変更やコメント、ほかの人への共有はできません。委託先が作ったレポートを置いてもらうフォルダは、別に分けます
• 仕事用・学校用のアカウントでは、共有に有効期限（1年以内の日付）をつけられます。フォルダに期限をつけられるのは、閲覧者の役割だけです
• 元データ、番号と氏名の対応表、ほかの取引先のデータは、委託先と共有しないフォルダに置きます

管理画面の権限を渡すとき

• Google広告は「読み取り専用」の権限で、キャンペーンの表示とパフォーマンスのレポートの実行ができ、キャンペーンの編集はできません（Google 広告ヘルプ「アクセス権の概要」）
• GA4は「閲覧者」の役割で、データの表示とレポートの見方の変更ができます。費用や収益の指標を見せる必要がなければ、「費用指標なし」「収益指標なし」の制限もかけられます（アナリティクス ヘルプ「アクセス権とデータ制限の管理」）
• 共有のアカウントのIDとパスワードを渡すのではなく、作業する人ごとに招待します。だれが見られるのかが分かり、終わったときに1人ずつ外せます

委託先に何を確かめる？6つの項目と聞き方

委託先を選ぶときと契約のときに、次の6つを確かめます。答えは口頭で終わらせず、契約書やメールなど文字で残します。

項目ごとの補足です。

• 保管と削除：個人情報保護委員会のガイドラインは、削除や廃棄を委託する場合に、委託先が確実に削除・廃棄したことを証明書などで確かめることも重要だとしています（ガイドライン（通則編）10-5 物理的安全管理措置）
• 生成AIの扱い：個人情報保護委員会は2023年6月の注意喚起で、個人データを含むプロンプトを生成AIサービスに入力する場合は、サービスの提供事業者がその個人データを機械学習に利用しないことなどを十分に確認するよう呼びかけています（生成AIサービスの利用に関する注意喚起等）。外注先が生成AIを使うなら、同じことを外注先に確かめます
• 事故のときの連絡：ガイドラインは、報告の対象になる漏えいなどが起きたとき、委託先から委託元への通知は「速やか」に行うものとし、その目安を委託先が知った時点から概ね3〜5日以内としています（ガイドライン（通則編）3-5-3-5）。契約では「気づいた時点で連絡する」と決めておくと、自社で対応を決める時間を残せます

このほか、作業する人の範囲、パソコンとアカウントの管理（二段階認証など）、誤送信を防ぐ手順も確かめておくと、社内への説明がしやすくなります。契約・渡すデータ・作業する側の管理・生成AI・解約のときの20項目を印刷して1つずつ確かめたい場合は、レポート作成を外に任せるときの情報管理チェックリスト（PDF・無料）を使ってください。

自社で生成AIを使うときに、入力してよいデータかを見分ける3つの問いは「生成AIでレポートの所見を下書きする方法」で説明しています。

いつ何を確かめる？依頼から終了までの5つの時点

情報管理の確認は、契約の前に一度すれば終わりではありません。依頼から終了までの5つの時点で、確かめることが変わります。

1. 選ぶとき：渡すデータの一覧を作り、外せる列を決めておきます。委託先には6つの項目を聞き、答えを比べます。お試しで1回分を作ってもらう場合も、データを渡すことに変わりはありません。お試しの前に秘密保持契約を結ぶかどうかを決めます
2. 契約のとき：6つの項目を、契約書か覚書に入れます。口頭で聞いた答えは、メールでもよいので文字で残します
3. 初めてデータを渡す日：共有するフォルダと相手のアカウント、役割（閲覧者）、期限を確かめます。渡したファイルを開いて、外したはずの列や非表示のシートが残っていないかを見ます
4. 毎月：共有の相手の一覧を見て、担当が替わった人や要らなくなった権限を外します。期限が近い共有は、延ばすか外すかを決めます。届いたレポートに、渡していないはずの情報（個人名など）が出ていないかも見ます
5. 担当替え・終了のとき：共有ドライブ、管理画面、チャットの権限を、その日のうちに外します。データの削除の報告を受け取り、作ってもらったテンプレートや手順書は自社の手元に残します。社内の担当者が替わるときは、委託先の連絡先と、だれにどの権限を渡しているかの一覧を引き継ぎます

社外に出せないデータがあるときは

列を減らしても渡せないデータがある場合は、作業そのものを外に出さない方法があります。社内の環境で、元データから自動でレポートが出る仕組みを外部に作ってもらい、仕組みごと受け取る方法です。作ってもらう間は、数字を変えたテスト用のコピーで作業してもらう方法もあります。頼み方と納品物の確かめ方は、レポートの自動化を外注するときの確認項目にまとめています。

外注先の選び方の全体は月次レポート・報告書の作成代行とは、ほかの頼み先との比べ方と公開されている料金の例は書類作成代行の費用相場に書いています。

おまかせレポートでのデータの扱い

おまかせレポートは、毎月のレポートの作成を引き受けるサービスです。お預かりするデータの扱いは、プライバシーポリシーの「ご依頼に伴うデータの取り扱い」に書いています。

• お預かりしたデータは、ご依頼の業務にのみ使います
• 生成AIは、入力した内容が学習に使われない設定・契約のものを使います
• 必要に応じて秘密保持契約を結びます
• データは、共有ドライブに入れていただくか、送っていただくだけです
• AIと人で作成し、人が元データと数字を突き合わせて確かめます。所見は下書きとしてお渡しし、御社が確認して、御社の名前で出していただきます

データを社外に出せない場合は、レポート自動化（個別見積り）で、御社の環境で自動でレポートが出る仕組みを作り、手順書と一緒に仕組みごと納品します。

今のレポートを1本お預かりして、同じ型で1回分を作る無料のお試しも受け付けています。お試しの前に、どのデータをどの形で渡すかをご相談ください。