デジタル屋さん
CONTACT 無料で相談する
情報セキュリティ

顧客情報の漏洩⁠｜委託先で起きたら報告するのは自社か

公開 更新 文：和泉 みなと

委託先（名刺管理サービスやECのシステム会社など）で顧客情報が漏洩した場合、個人情報保護委員会への報告義務は原則として委託元と委託先の双方にあります。ただし委託先が委託元へ通知すると委託先の義務は免除されるので、報告と本人への通知は、預けた側である自社に残ります。

この記事では、顧客情報を外部のサービスに預けていて、預け先から「不正アクセスの可能性」などの連絡を受けた中小企業の経営者・総務担当の方に向けて、次の7つをお伝えします。

  • 報告するのは自社か委託先か（個人情報保護法第26条の仕組み）
  • 報告が必要になる4つのケース
  • 報告の期限と報告先
  • 委託先に聞く4つのこと（「調査中」としか書いていない通知が来たとき）
  • 本人への通知と取引先への連絡の分け方
  • 委託先の漏洩に備えてやること（預け先の一覧と契約の確認）
  • 相談先（専門家と無料の窓口）

顧客情報の漏洩、報告するのは自社か委託先か｜第26条のただし書

委託先で顧客情報の漏洩が起きたときに報告義務がどこに残るかを4段で示した図。原則は委託元と委託先の双方が個人情報保護委員会へ報告する義務を負う。委託先が委託元へ通知すると、委託先は報告義務も本人への通知義務も免除される。その結果、委員会への報告と本人への通知は委託元に残る。
免除されるのは預かった側で、最後に残るのは預けた側です

個人情報保護法の第26条第1項は、個人データの漏えいなどのうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が起きたときは、個人情報保護委員会に報告しなければならない、と定めています。個人情報保護委員会は、個人情報の取扱いを監督する国の機関です。ここまでは、自社のパソコンから流出した場合でも、預けた先のサーバから流出した場合でも同じです。

扱いが分かれるのは、そのあとのただし書です。第1項のただし書には、他の事業者などから個人データの取扱いの委託を受けた場合で、規則に従って事態が起きたことを委託元へ通知したときは、この限りでない、と書かれています。つまり、預かった側が預けた側へ「起きました」と伝えると、預かった側の報告義務は外れます。

このただし書は「委託を受けた場合」にしか掛かっていません。委託した側にはただし書がありません。さらに第2項は本人への通知義務を定めたうえで、その対象から「同項ただし書の規定による通知をした者」を除いています。通知を出した委託先は、委員会への報告からも、本人への通知からも外れる形です。

個人情報保護委員会のQ&Aは、この関係をもっと直接的に書いています。委託先で個人データが漏洩した場合、委員会への報告は原則として委託元と委託先の双方が義務を負い、連名で報告することもできる。そのうえで、委託先が法第26条第1項ただし書と施行規則第9条に従って委託元へ通知した場合には、委託先は報告義務を免除される、とされています。

このQ&Aは、医療・介護関係事業者向けのガイダンスに載っているものです。ただ、根拠として挙げられているのは法第26条第1項ただし書と施行規則第9条という一般の規定なので、医療や介護に限った特別なルールではありません。

免除されるのは預かった側で、最後に残るのは預けた側、つまり自社です。自社のサーバで何も起きていなくても、委員会への漏えい等報告と本人への通知が自社の仕事として残りえます。委員会は報告フォームの記入例を用途別に用意していて、その中には委託先事例と、クラウド事業者による代行報告事例もあります。代行報告という選択肢が用意されていること自体、預け先と自社のどちらが出すのかを決める場面が実際にある、ということだと思います。

個別の契約でどちらが義務を負うかは、契約の内容と事実関係によって変わります。自社の契約に当てはめる部分は、弁護士など専門家にご確認ください。

名刺管理サービスやECのASPは「委託先」にあたるか

一律にどちらとは言い切れません。個人データの取扱いの全部または一部を委託しているといえるかどうかで、第26条第1項ただし書が使えるかどうかが変わります。同じように見えるサービスでも、契約上、自社が取扱いを委ねている形なのか、事業者が自分の判断でデータを扱う形なのかで、扱いが変わりえます。

まず見るのは、その事業者と交わした契約書や利用規約です。個人データの取扱いを委託する旨の条項があるか、事故が起きたときにどちらが何をするかが書かれているか、が手掛かりになります。読んでも判断がつかないときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）に聞き、そのうえで契約と事実関係の評価が必要なら弁護士に相談する、という順番が現実的だと思います。

顧客情報の漏洩で報告が必要な4つのケース

漏えい等報告の義務は、個人データが外に出たすべての場面で生じるわけではありません。規則で定められた4つの事態に絞られています。個人情報保護委員会が公開している資料の書き方に合わせて、表にしました。

報告が必要な事態挙げられている例補足・該当しない例
要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）従業員の健康診断等の結果を含む個人データが漏えいした場合要配慮個人情報とは、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実、その他政令で定めるもの（身体障害・知的障害・精神障害等の障害があること、健康診断その他の検査の結果、保健指導、診療・調剤情報、逮捕・捜索等の刑事事件の手続が行われたこと、少年の保護事件の手続が行われたこと）です
不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ）ECサイトからクレジットカード番号を含む個人データが漏えいした場合クレジットカード番号の下4桁のみとその有効期限の組合せの漏えいであれば、直ちに報告対象事態には該当しないとされています
不正の目的をもって行われたおそれがある行為による個人データの漏えい等（又はそのおそれ）不正アクセスにより個人データが漏えいした場合／ランサムウェア等により個人データが暗号化され復元できなくなった場合／書類・媒体等が盗難された場合／従業者が顧客の個人データを不正に持ち出して第三者に提供した場合／ウェブサイトが改ざんされ、ユーザーの入力した個人情報が第三者に送信された場合「不正の目的をもって」の主体は、従業者だけではなく、盗難等の第三者も含まれます。不正アクセスの例のひとつには、不正検知を行う専門家等の第三者から漏えいのおそれについて連絡を受けた場合が挙げられています
個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）システムの設定ミス等によりインターネット上で閲覧可能になり、本人の数が1,000人を超える場合／自社の会員（1,000人超）にメールマガジンを配信する際、BCC欄に入れるべきところをCC欄に入れて一括送信した場合人数の条件が付いているのは、この類型だけです

表の中で繰り返し出てくる「又はそのおそれ」は、原文がすべての類型に付けている言葉です。漏洩が確定していなくても、そのおそれがある段階で対象になりえます。3つめの類型の例には、不正検知を行う専門家など外部の第三者から漏えいのおそれについて連絡を受けた場合が挙がっています。預け先から連絡を受けて初めて気づいた、という状況も、そのまま検討の対象になりえます。

また、1,000人以下だから大丈夫、という読み方はできません。人数の条件が付いているのは4つめの類型だけで、残りの3つには人数の下限がないからです。たとえば預けている名刺データが数百件でも、要配慮個人情報が含まれていたり、不正アクセスによるものだったりすれば対象になりえます。

顧客情報の漏洩の報告期限と報告先｜速報は3〜5日以内

報告には期限があります。速報は発覚日から3〜5日以内、確報は発覚日から30日以内、不正な目的で行われたおそれがある場合の確報は60日以内とされています。

報告先も一律ではありません。権限委任をしている業種に当たる事業者は、報告先が個人情報保護委員会ではなく、権限委任先の省庁になります。委任先は毎年更新されるため、報告の前に最新の報告先を確認してください。

預け先の事案がランサムウェアによるものだった場合、令和7年10月1日以降は、関係省庁の申し合わせに基づく共通様式（Excel）で報告できます。提出先は kojyoui_kyoutsuu(アット)ppc.go.jp で、メールの件名は「【報告者組織名：報告日（送信日）】ランサムウェア事案の報告について」という書式が指定されています。

預け先ではなく自社の端末側で不審な動きが起きている場合は、動き方が別にあります（ランサムウェア対策｜中小企業が製品より先に決める3つ）。

無料・オンライン可

「自社の場合はどう答えるか」で止まったら

取引先から届いた確認書やチェックシートは、正解が一つに決まっていません。いまのまま出せる項目と、出す前に直しておいたほうがいい項目を切り分けるところまで、一緒に見ます。

メールで相談する →

書きかけの状態でも構いません。

委託先から「調査中」としか書いていない通知が来たら聞く4つのこと

たとえば、名刺管理サービスから「一部のお客様の情報への不正アクセスの可能性について」というメールが届き、読んでも調査中としか書いていないとします。待っていても自社の判断材料は増えません。私たちなら、預け先へ次の4つを聞きます。

  • 自社が預けたデータが、今回の対象に含まれるのか
  • 含まれる場合、件数と項目は何か（氏名だけなのか、連絡先や取引履歴まで入っているのか）
  • そちらが事態を把握したのは、いつか
  • そちらは個人情報保護委員会へ報告するのか、それとも自社へ通知して免除を受けるのか

4つめは、相手の責任を問うように聞こえるので、いちばん聞きにくい質問だと思います。ただ、ここが決まらないと自社の仕事が決まりません。相手が通知を選んだ場合、委員会への漏えい等報告と本人への通知は自社に残ります。相手が連名での報告を選ぶなら、書く内容と提出のタイミングをすり合わせることになります。どちらであっても、早く分かっているほうが動きやすいはずです。

期限の起算点は発覚日です。自社にとっての発覚がいつなのかの評価は専門家の領域ですが、通知を受け取った日から自社の時計が動きうる、という前提で構えたほうが安全だと思います。速報の3〜5日は、社内で誰に相談するかを迷っているうちに過ぎてしまう長さです。

本人への通知と、取引先への連絡は分けて考える

法律上の本人への通知と、取引先への連絡は別のものです。第26条第2項が定めているのは、漏洩した個人データの本人に対して、事態が生じた旨を通知することです。取引先の担当者に状況を説明することとは別の話になります。

同項にはただし書があり、本人への通知が難しい場合で、本人の権利利益を守るために必要な代わりの措置をとるときは、この限りでない、とされています。何が代わりの措置にあたるかは、専門家に確認してください。

取引先への一報で、言えることとまだ言えないこと

調査が終わる前に、取引先から問い合わせが来ることがあります。何も確定していない段階で電話に出ると、こちらも調査中ですと繰り返すだけになり、相手には不安だけが残ります。伝える内容を先に4つに分けておくと、これを避けられます。

  • いま確定している事実（どのサービスで、いつ、何が起きたと相手方から連絡があったか）
  • まだ分かっていないこと（対象範囲、件数、原因のうち、確認中のもの）
  • こちらの窓口（担当者の名前と、直通でつながる番号）
  • 次にいつ連絡するか（日付か、遅くとも何日以内か）

4つめまで言えると、相手は次の連絡を待つことができます。3つめまでしか言えなくても、相手は誰に聞けばいいかが分かります。分かっていないことを分かっていないと言うのは、隠すのとは違うと私たちは考えています。

謝罪文の文例は載せていません。責任の所在や原因に触れる文言は法的な評価が絡むので、弁護士や加入している保険の担当者と確認してから出すものだからです。取引先から確認書やチェックシートが送られてきたときの答え方は、別に整理しています（セキュリティチェックシートの書き方｜回答例と未実施の扱い）。

委託先の漏洩に備えてやること｜預け先の一覧と契約の通知条項

まずやることは1つで、顧客情報を預けている先を書き出し、その契約に事故のときの通知条項が入っているかを見ることです。

顧客情報を預けている先を書き出すための4つの欄を示した図。どこに預けているかをサービス名で書く欄、氏名だけか連絡先や取引履歴まで入っているかとおおよその件数を書く欄、契約書があるかと事故時の通知条項が入っているかを書く欄、その契約を誰が結び誰が問い合わせるかを書く欄の4つ。
明日の朝に埋める1枚。埋まらない欄が、そのまま次に確認する項目になります

これを最初にやる理由は3つあります。

1つめは、個人情報保護委員会が委託先管理の資料で、一般的な業務委託契約にはセキュリティに関する項目が含まれていないことが多いので、確認のうえセキュリティ対策を盛り込む必要がある、と注意していることです。契約書があるだけでは、事故のときに連絡が来るとは限りません。

2つめは、同じ委員会のQ&Aが、委託先で漏えい等事案が起きたときは委託先から速やかに報告を受け、自社内で起きたときと同じように迅速かつ適切に対応する必要があり、そのために委託する時点で報告連絡体制を整えておくことが必要だ、と書いていることです。事故が起きてから連絡体制を作ることはできません。

3つめは、漏えい等報告と本人への通知が最後に残るのが委託元だからです。委員会の委託先管理の資料には、ECサイトや会員用ウェブサイトへの不正アクセスによる漏えい事案が多く報告されていて、委託先に任せきりにせず委託元も取り組む必要がある、とも書かれています。

同じ資料は、委託先の管理について3つの留意点を挙げています。

  • 委託先での個人データの取扱状況を把握し、適切な安全管理措置が確実に行われていることを事前に確認する
  • 委託元と委託先が同意した安全管理措置の内容と、委託元が委託先での取扱い状況を把握できる内容を、契約に盛り込む
  • 定期的な監査などで、契約に盛り込んだ内容が実施されているかを把握する

委託先がさらに別の業者へ再委託して個人データを渡す場合は、委託先と同じように監督が必要だとされています。

多要素認証の設定、共有フォルダの権限整理、社員研修、ログの取得も、どれも必要な作業です。ただ、いずれも自社の中を固める作業で、預け先で起きたことへの備えにはなりません。順番としては、預け先の一覧と契約の確認が先だと考えています。一覧の列の作り方は、情報資産の台帳と同じ考え方です（情報資産管理台帳とは？作り方と無料ひな形・記載項目）。

預けている先が何社あるのか分からない、契約書のどこを見ればいいのか分からない、という状態なら、その整理から 無料相談 で始められます。

顧客情報が漏洩したときの相談先｜専門家と無料の窓口

社内に情報システムの担当がいない会社で、外の手が要るのは次の3つです。

  • デジタルフォレンジックの調査会社。端末やサーバに残った記録を解析して、何が持ち出されたのかを技術的に確かめる専門の会社です
  • 情報セキュリティに詳しい弁護士。漏えい等報告と本人への通知が必要かどうかの判断や、取引先への説明の文言を見てもらう相手です
  • 警察のサイバー犯罪相談窓口。不正アクセスなど、犯罪の可能性がある場合の相談先です

費用は事案の規模や調査の範囲で変わるため、相場として言える数字を私たちは持っていません。

この持ち出しに備える手段としてサイバー保険がありますが、入るべきかどうかは会社によって変わります。判断の材料はサイバー保険の補償範囲｜保険料と保険金が出ない条件に分けて書きました。

相談だけなら、無料で使える先もあります。個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）は、報告の要否や手続きについて聞ける窓口です。同じ委員会は中小企業向けに、自己点検チェックリストや個人データ取扱い要領といったお役立ちツールを公開していて、社内の状態を自分で確かめる材料になります。クラウドサービスやテレワーク環境を使う際の漏洩については、委員会が注意喚起のPDFも出しています。

なお、令和8年7月17日に改正個人情報保護法が公布され、漏えい等報告の枠組みも見直しの対象に含まれています。施行の時期と細かい内容は政令や規則を待つ段階なので、いまの時点で断定できることはありません。

まとめ

  • 委託先で顧客情報が漏洩した場合、報告義務は原則として委託元と委託先の双方にある。委託先が委託元へ通知すると委託先は免除され、報告と本人への通知は委託元に残る
  • 報告が必要なのは4つのケース。人数（1,000人超）の条件があるのは1つだけで、数十件でも対象になりうる
  • 期限は速報が3〜5日以内、確報が30日以内（不正目的のおそれがあれば60日以内）。報告先が所管の省庁になる業種もある
  • 「調査中」の通知が来たら、対象・件数と項目・把握した日・報告か通知かの4つを委託先に聞く
  • 備えとしては、預け先の一覧を作り、契約に事故時の通知条項があるかを確かめる

私たちデジタル屋さんは、外部のデジタル顧問の立場から、こうした専門家に渡す前の整理を引き受けています。社内に情シスがいない会社で止まりやすいのは、どこに何を預けているのかを一覧にして、契約のどこを見るかを決めるところだと感じています。預けている先の一覧が手元にない、というところから始めるなら、無料相談 で現在地の整理から取りかかれます。

出典

WRITTEN BY

和泉 みなと合同会社デジタル屋さん

合同会社デジタル屋さんのAIアシスタントです。中小企業のデジタル活用について、記事の企画と執筆を担当しています。監修：宮原史知

読んでも、自社の場合が決めきれないときは。

1時間の無料相談で、どこから手をつけるかを一緒に整理します。オンライン・相談だけで終えて構いません。

RELATEDあわせて読みたい
情報セキュリティ 2026.09.30

自工会サイバーセキュリティガイドラインとは⁠｜優先8項目と提出期限

 情報セキュリティ 2026.09.23

SCS評価制度とは⁠｜★3と★4の違い・登録料・準備の手順

 情報セキュリティ 2026.09.02

生成AIの情報漏洩対策⁠｜入力禁止は2種類、ルールはA4一枚
// CONTACT

読んでも、自社の場合が決めきれないときは。

1時間の無料相談で、どこから手をつけるかを一緒に整理します。
相談だけで終えていただいて構いません。

フォームで問い合わせる