カナダのプライバシー・コミッショナー、第三者サービス提供者に関するガイダンス案を公表

カナダのプライバシー・コミッショナー事務局（Office of the Privacy Commissioner of Canada、以下「OPC」）は、個人情報保護および電子文書法（Personal Information Protection and Electronic Documents Act、PIPEDA）に基づき、第三者サービス提供者を利用する事業者向けのガイダンスを公表しました。このガイダンスは2026年9月10日に公表され、OPCは2026年12月4日まで意見募集を受け付けています。

本ガイダンスは、ベンダー、委託業者、クラウド事業者その他のサービス提供者が、組織に代わって個人情報を取り扱う場合に、組織がプライバシーおよび法令遵守上のリスクを評価するための支援を目的としています。提供者を起用する前のデューデリジェンス（事前審査）、契約上の保護措置、ならびに提供者が処理する個人情報について組織が引き続き負う説明責任を取り上げています。

事業者にとって、このガイダンスは、データ処理を外部委託してもPIPEDA上の責任がなくなるわけではないことを改めて示すものです。組織は、提供者のプライバシー保護の取組みを評価できる体制を整え、個人情報の取扱い、保護および管理に関する適切な要件を定めた契約を締結すべきです。

顧客、従業員その他の個人データの処理を第三者に委託している企業は、OPCの考え方を踏まえ、ベンダー選定手続、プライバシー評価および既存のサービス提供者契約を見直すことが考えられます。本ガイダンスについては、2026年12月4日まで利害関係者からの意見が募集されています。