J.9 適正管理

委託先は、委託先選定基準を決めて選びます。基準には、少なくとも委託する業務について自社と同等以上の保護水準にあることと、契約の事項に対応できると客観的に確認できることを含めます。契約には、責任の明確化、安全管理、再委託、報告の内容と頻度、遵守状況の確認、守られなかった場合の措置、事件・事故の報告、契約終了後の措置を盛り込みます。すべての委託先を漏れなく特定し、契約書は個人データの保有期間にわたって保存し、契約に基づいて監督します。
たとえば、契約前に、委託先のセキュリティ体制をチェックリストで確認し、基準に合う会社だけを選びます。契約後も、定期的に報告をもらったり、状況を確認したりして、委託先の評価を記録に残しましょう。再委託の有無も、必ず確認しておきます。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.9.4を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。