この問題って結構奥深いと思うぞ。
単に個人情報か否かと言えば、名前のみなら個人情報に当たらないというのが現在の主流だし、
外部委託についても、通常官公庁との契約でも100%禁止なのではなく、一般的には委託業務の一部であれば、書面による許可のもと再委託は可能な場合が多い。
今回のように子会社の場合どうなのか、そもそも外国企業への委託が禁止なのか（その業務の取り扱い企業が海外にしかない場合とか）、再委託の可否についても明確な基準って実はないんだよね。
そこんとこ明確にしないと、今後も同じようなことがあり得ると思うわ。