委託先の情報漏洩で委託元が対応すること｜調査・報告・通知と再委託の確認

印刷・発送やシステムの保守を任せた委託先から、個人データの漏えいを知らされることがあります。委託先の情報漏洩でも、報告対象の事態なら、委託元が原則として個人情報保護委員会への報告と本人への通知を担います。対応を委託先の発表任せにすると、自社の分の項目と人数が分からないまま報告の期限が進みます。

自社の分が分からないまま報告の期限を迎えないよう、以下では、委託先の情報漏洩への対応を、委託元が自社の分を切り出す影響確認、委託先との調査・報告・本人通知の分担（報告の条件と期限）、平時に一覧にしておく提供データと再委託先、契約と運用の点検の順に見ていきます。

委託先の情報漏洩で委託元が対応する影響確認

委託先の情報漏洩で委託元が行う影響確認は、委託先の発表から自社の分を切り出し、漏れた項目と人数を委託元が自分で照合する作業です。というのも、委託先が複数の会社から仕事を受けていると、発表は全委託元の分をまとめた内容になるからです。

委託先が委託元に事態を通知すれば委託先の報告の義務は外れ、委託元が報告します（委員会のガイドライン通則編）。まとめの内容のままでは、自社が預けた本人のうち誰の何が漏れたのかが分かりません。漏れた項目と人数は、後で見る報告の条件に当てる材料なので、ここで自社の分を確定させます。

委託先の漏洩対象と自社データ

委託先の漏洩対象と自社データの関係は、個人情報保護委員会が2025年3月に公表した、印刷・発送業者イセトーへの指導の資料で具体的に分かります。個人情報保護委員会は、個人情報保護法にもとづいて事業者を監督する国の機関で、以下では委員会と書きます。

2024年5月、イセトーのサーバーが不正アクセスを受け、委託された個人データがランサムウェアで暗号化・窃取され、ダークウェブで公開されました。ランサムウェアは、データを暗号化して使えなくする不正なプログラムです。

影響を受けた委託元は41団体（民間32、行政機関等9）、本人は合計3,076,477人でした。漏えいした項目は主に氏名と住所でしたが、送付物によって、それ以外に含まれていた情報が次のように違いました。

要配慮個人情報は、病歴など、本人への差別や偏見につながらないよう取扱いに特に配慮が要る個人情報です。含まれていれば、人数にかかわらず報告の条件に当たります。つまり、同じ事故でも、委託元ごとに漏れた項目と当てはまる報告の条件が変わります。

照合には、自社が渡したファイル、渡した期間、項目、人数、受け渡しの方法（専用線、ファイル転送など）の記録を使います。委託先の発表にある送付物の種類や期間と自社の記録を突き合わせると、自社の分にどの項目が何人分含まれていたかを絞り込めます。

絞り込んだ項目と人数は、報告が要るかを決める材料になり、通知する本人の範囲にもなります。ただし、自社の記録だけでは決まらない所は、委託先への質問に回します。

委託先情報だけでは分からない影響

委託先の情報だけでは分からない影響の1つは、データが委託先の社内ルールどおりの場所に置かれていたかです。イセトーには、委託元のデータを業務系ネットワークだけで扱う社内ルールがありました。しかし一部の部署が、データを基幹系のサーバーへコピーしていました。

侵入されたのは基幹系で、漏えいしたのはこのコピーでした。このルールは委託元との契約書に書かれていませんでした。つまり、契約に無いルールは、守られているかを委託元が確かめる手がかりがありません。

イセトーで委託元のデータが置かれていた場所は、社内ルールの内と外で次のように分かれていました。

ルールの外で作られたコピーは、委託元が渡したデータの記録には現れません。そのため、委託先には、渡したデータそのものだけでなく、委託先の中で作られたコピーの有無も聞きます。

もう1つは侵入の経路です。VPN機器は、社外から社内のネットワークに接続するための機器です。フォレンジック調査は、機器やログに残った記録から何が起きたかを調べることです。

イセトーはVPN機器のログを適切に取っておらず、外部機関のフォレンジック調査でも侵入方法の詳細は確認できませんでした。

侵入方法が分からないと、委託元は自社のデータがどこまで見られたかを、委託先の説明の範囲でしか判断できません。そこで、委託元は、分からない点を追加の質問にして委託先に渡します。質問にするのは次の事項です。

• 自社データの保管場所と、コピーの有無
• 自社データの保存期間と、削除の記録
• ログが残っている範囲
• 自社データを扱う再委託先

どれも委託先の発表には自社の分として書かれにくく、照合と報告の判断に要る事項です。質問を文書で渡しておくと、回答が届いた所から報告の内容を埋めていけます。自社の分が見えてきたら、次は調査と報告を委託先とどう分けるかを決めます。

ログが残っていると何が追えるかは、おとりサーバーへの接続を48時間記録した観測で、接続・認証・操作の記録を結び付けて示した。

委託先の情報漏洩への対応：委託元の調査・報告・本人通知の分担

調査・報告・本人通知の分担では、調査は委託先や、委託先が依頼した外部機関が担う例があり、報告と本人通知は委託元が担って委託先が協力します。ガイドライン（通則編）は、漏えい等の事案が分かった事業者に、次の5つを求めています。

• 社内報告と被害の拡大防止
• 事実関係の調査と原因の究明
• 影響範囲の特定
• 再発防止策
• 委員会への報告と本人通知

委託元も委託先と分担してこの5つを進めます。ただし、調査を委託先が担っていても、報告と本人通知の義務は委託元にあるので、5つのどれを誰が担うかを早いうちに決めておきます。

委託先と委託元の分担は、委託先からの通知を境に次のように分かれます。委託先は事態を知って委託元へ通知し、委託元は自社のデータと照合して報告と本人通知を決めます。

漏洩調査と委託元・委託先の役割

漏洩調査での委託元と委託先の役割は、委員会の報告書の記入例に流れが示されています。記入例は委員会が作った架空の事例で、ホームページの保守を委託された会社が調査し、委託元はフォレンジック調査の報告書を後から委員会へ送ります。

不正の目的による事態の報告では、外部機関による調査の実施状況も記入します。そのため、委託元は、委託先が外部機関に調査を頼んだかと、報告書がいつ届くかを委託先から聞いておきます。

次の表は、調査から再発防止までの作業ごとに、委託元が委託先に確かめることを記事で整理したものです。誰がどの作業を担うかは契約と協議で決まります。

委託元が確かめることの多くは、委託先から受け取る情報です。委託元は、確認済みの事実と調査中の事項を分けて、次の更新の予定と一緒に受け取ります。というのも、調査中の事項を確かな事実として報告や本人への通知に書くと、後で訂正が要るからです。

分担が決まったら、委託元は照合した自社の分が報告と本人通知の対象かを判断します。

報告・本人通知の判断材料

報告・本人通知を判断する材料は、照合で分かった自社の分の項目と人数、漏れた経緯です。報告が要るのは、4つの事態のいずれかが起きた、または起きたおそれがある場合です（個人情報保護法施行規則第7条）。照合の結果を4つの事態に当てると、次のように分かれます。

不正の目的をもって行われたおそれがある行為による事態には、事業者が取得しようとしている個人情報の漏えいも含まれます。高度な暗号化などの措置が取られていれば報告は要らないので、委託先で暗号化されていたかも質問に加えます。

報告は、速報（知ってからおおむね3〜5日以内が目安）と確報（30日以内、不正の目的による場合は60日以内）の2段階です。委託元は、通常は、遅くとも委託先から通知を受けた時点で事態を知ったことになります。委託先の調査が終わるのを待たずに期限が進むので、通知を受けた日を記録しておきます。

本人への通知は、事態の状況に応じて速やかに行い、概要、項目、原因、二次被害のおそれなどを伝えます。委託元に通知した委託先は本人通知の義務も外れ、必要に応じて委託元による通知に協力します。連絡先が分からないなど本人への通知が難しい場合は、事案の公表や問い合わせ窓口の設置で代えられます。

クラウドサービスの事業者が契約上個人データを取り扱わないこととなっている場合は、利用する事業者が報告義務を負い、報告をクラウド事業者に代行させることもできます（ガイドラインのQ&A Q6-22）。

業種によっては報告先が所管省庁になるので、委員会の「漏えい等の対応とお役立ち資料」で報告先を確かめます。

情報漏洩による本人への賠償や委託先への求償は、報告・通知とは別に契約と民法に照らして判断されます。費用負担の協議は、期限のある報告や本人への対応と並行して進めます。どの義務と責任が自社にかかるかは、材料をそろえたうえで法務担当者や弁護士と確かめます。

ここまでの判断は、委託先に渡したデータを自社で照合できることが前提です。次は、照合の材料を平時に残しておく方法です。

委託先の情報漏洩で委託元が確認する提供データと再委託先

提供データと再委託先は、委託先の情報漏洩に備えて委託元が事故の前に確認しておく対象です。確認するのは、委託先に渡したデータの項目・件数・保管場所と、そのデータが通る再委託先です。事故の後で照合できるのは平時に記録した範囲までなので、一覧にしておきます。

提供データと利用目的の一覧

提供データと利用目的の一覧は、委託した業務ごとに、渡したデータが何で、どこにあり、いつ消えるかを書いた表です。ガイドラインは、委託する業務に必要のない個人データを提供しないことを当然の前提にしています。一覧には次の事項を書きます。

• 委託した業務
• 渡した項目
• 件数
• 受け渡しの方法
• 委託先での保管場所
• 保存期限
• 削除の記録

業務ごとに渡した項目を書くと、業務に要らない項目まで渡していないかを見直せます。事故のときは、委託先の発表と一覧を突き合わせれば、自社の分を絞り込めます。

委員会は2026年10月の注意喚起で、利用する必要がなくなった個人データの消去が徹底されず、漏えい等事案がより深刻化した事例に接していると述べました。そのため、委託の業務が終わったデータは、委託先から削除の記録を受け取って一覧と照らし合わせます。

同じ注意喚起は、グループの親会社に人事データの管理を任せていた子会社や、クラウドサービスの利用は委託に当たらないと考えた顧客企業が、委託先を監督していなかった事例を挙げています。一覧には、こうした委託先も載せます。

再委託先とデータの保管経路

再委託先とデータの保管経路は、委託先が業務をさらに別の会社に任せたときに、自社のデータが渡る先とその道筋です。再委託先は、委託先が受けた業務の一部をさらに任せた会社です。

委託先が再委託するとき、ガイドラインは、委託元が再委託先・業務内容・取扱方法について事前の報告を受けるか承認し、定期的に監査することが望ましいとしています。再々委託以降も同じです。

監督していない例には、再委託の条件を指示しなかった場合や、契約に再委託の把握を盛り込みながら報告を求めず、知らない再委託先から漏えいした場合が挙がっています。

漏えいした会社が、自社と直接契約していない再委託先のこともあります。再委託先で漏えいが起きたとき、通知は次の順に自社まで届きます。

通知は委託の経路を1段ずつ戻って届くので、どこかの連絡先が古いと、そこで止まります。そのため、直接の契約が無い再委託先も、委託先を通じて会社名と連絡先を把握しておきます。一覧に載せた委託先とは、事故の前に契約で取り決めを交わしておきます。

委託先の情報漏洩に備える委託元の対応：契約と平時の点検

委託先の情報漏洩に備える委託元の対応は、ガイドラインが委託先の監督として求める3つ、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握です。

委員会の「委託先管理に関する着眼点」は、一般的な業務委託契約にはセキュリティの項目が含まれていないことが多いとしています。

脆弱性は、ソフトウェアの欠陥のうち、攻撃に使われうるものです。先の注意喚起も、システム業者との保守契約の委託業務に脆弱性への対応が含まれず、公開済みの脆弱性が放置された事例を挙げています。

契約に書くことと、運用で実際に行われていることを、項目ごとに照らし合わせます。次の表は、項目ごとに、契約で決めることと運用で確かめることを並べたものです。

契約で決めておけば、運用で守られているかを委託先に問えます。たとえば、イセトーの事案では、データの置き場所の社内ルールが契約書に書かれていませんでした。

委託先から委託元への通知は、その時点で把握している事項でよいとされています。委託元の照合は通知を受けてから始まるので、通知が早いほど本人への対応も早く始められます。

2026年7月公布の改正法に、委託先が業務に必要な範囲を超えてデータを扱うことを禁じる規定が入りました（施行は原則公布から2年以内）。委託先の義務を一部免除する条件などは、今後の委員会規則で定める想定です。

委託先で情報漏洩が起きたとき、委託元の対応の中心は、委託先の発表から自社の分を照合し、報告と本人通知の要否を自分で決めることです。その照合ができるかは、平時の一覧と契約で決まります。

照合の材料になるのは、委託先ごとの提供データの一覧と、事故通知・調査協力の取り決めです。