くわしい説明
個人情報保護法の第27条 5 項は、受け取る者を「第三者に該当しないものとする」場合を挙げています。1 号が委託です。「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託すること」に伴って渡す場合を指します。前提は会社の利用目的で、その範囲を超える使い道は 1 号に入りません。
任せた先が扱える範囲も狭くなります。ガイドライン（通則編）の 3-6-3 は、提供先は「委託された業務以外に当該個人データを取り扱うことはできない。」と書いています。預かった住所を先方が自社の宣伝に使い始めれば、委託された業務の外です。
任せた会社には、続けてする仕事が残ります。第25条は、委託を受けた者に対する「必要かつ適切な監督を行わなければならない」と定めています。ガイドラインの 3-4-4 は監督を「適切な委託先の選定」「委託契約の締結」「委託先における個人データ取扱状況の把握」に分けています。総務は、選ぶとき・契約するとき・預けた後の 3 つの場面で、先方の扱いを確かめることになります。