個人情報取扱事業者においては、個人データの取扱いに関する安全管理措置を講じた上であれば、当該取扱いの一部を外部に委託することは認められるものの、その全部を委託することについては法律上禁じられている。

個人情報取扱事業者が個人データの取扱いを委託する際には、その「全部又は一部」のいずれであっても、委託先において当該個人データの安全管理が確保されるよう、受託者に対し必要かつ適切な監督を実施する義務を負う(個人情報保護法25条)。