第１ 対象と最初に分けるべき問題
１ 本記事の対象
本記事は，令和８年８月２０日現在の個人情報保護法を前提として，民間事業者の外部委託先で個人データの漏えい，滅失若しくは毀損又はそのおそれ（以下「漏えい等」という。）が生じた場合に，委託元が行うべき対応を整理するものである。個別の事故について報告義務の有無を判断するには，漏えい等が生じた情報，委託元及び委託先の取扱いの実態，発生原因，対象人数並びに適用される業法を確認する必要がある。
外部委託をしても，委託元の義務が当然に委託先へ移転するわけではない。他方，委託先の事故であれば常に委託元と委託先の双方が同じ義務を負うわけでもない。最初に，①問題となる情報が「個人データ」に当たるか，②施行規則７条の報告対象事態に当たるか，③その個人データを委託元と委託先のどちらが取り扱っているか，④委託先が法２６条１項ただし書及び施行規則９条の通知を行うか，という順で分ける必要がある。
２ 対応の骨格
委託元は，委託先の説明を待つだけでなく，自社の法的な義務主体性を判定した上で，委託先との役割分担を文書化する必要がある。実務上の対応は，次の四つの作業を並行させることになる。
- ① 不正アクセス経路の遮断，ログその他の証拠保全及び漏えい範囲の調査
- ② 個人情報保護委員会等への速報・確報並びに本人通知の要否及び主体の判定
- ③ 本人の二次被害を防ぐための注意喚起，問い合わせ窓口及び公表内容の整合
- ④ 委託先の選定，契約，取扱状況の把握及び再委託管理が実質的に行われていたかの検証
第２ 個人情報保護委員会等への報告
１ 報告対象となる四類型
個人情報保護法２６条及び同法施行規則７条は，個人の権利利益を害するおそれが大きいものとして，次の四類型を報告及び本人通知の対象としている。
- ① 要配慮個人情報を含む個人データの漏えい等又はそのおそれ
- ② 不正利用によって財産的被害が生じるおそれがある個人データの漏えい等又はそのおそれ
- ③ 不正の目的をもって行われたおそれがある行為による個人データの漏えい等又はそのおそれ
- ④ 本人の数が１０００人を超える個人データの漏えい等又はそのおそれ
①，②及び④は，高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。③には，個人情報取扱事業者自身だけでなく，委託先又は個人データの取扱いに利用するサービスの提供事業者に対する不正アクセス等も含まれる。このため，漏えいした項目が氏名とメールアドレスだけであっても，不正アクセスによる窃取であれば，人数とは別に③への該当性を検討しなければならない。
２ 委託元と委託先の義務主体
漏えい等が生じた個人データを委託元と委託先がそれぞれ取り扱っている場合，両者は原則としてそれぞれ報告義務の主体となる。委託元が委託先の報告に同席し，又は一つの報告書を共同提出することはできるが，役割分担によって法定の義務主体が当然に交替するわけではない。
もっとも，個人情報保護委員会FAQ Q6-21が説明するように，委託元側の事故が，委託先が取り扱う個人データとは関係しない場合，委託先にはその事故について報告義務はない。反対に，委託先が漏えい等の対象となった個人データを取り扱っているのであれば，「委託元へ第一報を入れた」という事実だけで委託先自身の義務が直ちに消えるわけではない。判断単位は，事故の発生場所ではなく，対象となった個人データの取扱いである。
３ 施行規則９条の通知と共同・代行報告の違い
委託先は，報告対象事態を知った後，報告義務を負う委託元に対し，施行規則８条１項各号の事項のうち，その時点で把握している事項を速やかに通知したときは，法２６条１項ただし書により個人情報保護委員会等への報告義務を免れる。この「速やか」の目安はおおむね３日から５日以内であり，通知をした委託先は法２６条２項の本人通知義務からも外れる。委託元は，自ら報告及び本人通知を行うことになる。
これに対し，共同報告又は委託先による報告代行は，報告書の提出方法の整理である。委託元と委託先が一つの報告書を共同提出する方法や，クラウド事業者等が複数の委託元の報告を代行する方法を採っても，各委託元の義務自体が代行者へ移るものではない。個人情報保護委員会の漏えい等対応ページには，委託先で漏えい等が発生した場合の記載例及びクラウド事業者が報告を代行する場合の記載例が掲載されている。
したがって，委託元と委託先は，①双方が共同報告するのか，②委託先が施行規則９条の通知をして委託元が報告するのか，③委託先が委託元の報告を代理提出するのかを明確にしなければならない。「委託先が対応する」という合意だけでは，いずれの方法か判別できず，報告漏れを招くおそれがある。
第３ 速報，確報及び報告先
１ 速報と確報の期限
速報は，報告対象事態を知った後，速やかに，その時点で把握している事項を報告するものであり，個人情報保護委員会の通則ガイドラインは，おおむね３日から５日以内を目安としている。全容が分かるまで速報を待つのではなく，判明している範囲を報告し，追加で判明した事項を更新する。
確報は，原則として報告対象事態を知った日から３０日以内である。ただし，不正の目的をもって行われたおそれがある行為による漏えい等の場合は６０日以内である。初日を算入し，土日祝日も含めて数え，期間の末日が行政機関の休日に当たる場合は原則としてその翌日が期限となる。委託元が委託先から通知を受けて初めて対象事態を知った場合，通常はその時点が委託元の期限計算の起点となる。
本人通知には３０日又は６０日という一律の期限はなく，「状況に応じて速やかに」行う必要がある。したがって，確報期限まで本人通知を待ってよいという意味ではない。
２ 報告事項と報告先
施行規則８条１項は，概要，漏えい等が発生し又はそのおそれがある個人データの項目，本人の数，原因，二次被害又はそのおそれの有無及び内容，本人への対応の実施状況，公表の実施状況，再発防止のための措置並びに参考事項を報告事項としている。速報時に不明な事項は「調査中」として提出できるが，確報に向けて調査計画，責任者及び更新時点を定める必要がある。
原則的な報告先は個人情報保護委員会であるが，法１５０条により報告の受理権限が事業所管大臣へ委任されている場合は，当該大臣が報告先となる。また，電気通信，金融，医療その他の業法又は監督指針に基づく事故報告が重なることがあるため，個人情報保護法上の報告だけで対応が完結するとは限らない。
第４ 本人への通知
１ 通知主体，時期及び内容
報告対象事態が生じたときは，個人情報取扱事業者は，本人に対し，状況に応じて速やかに通知しなければならない。委託元と委託先の双方が義務主体である場合，両者は原則としてそれぞれ本人通知義務を負うが，連名で一つの通知をすることもできる。委託先が施行規則９条の通知をした場合は，委託元が本人通知を行う。
本人通知の事項は，①事態の概要，②対象となった個人データの項目，③原因，④二次被害又はそのおそれの有無及び内容，⑤その他参考事項である。原因を断定できない段階では，確認済みの事実と調査中の事項を分け，後日の調査で内容が変わった場合には更新する必要がある。
本人に求める行動は，漏えいした項目と想定される二次被害に対応させるべきである。メールアドレスが漏えいした場合には，不審な送信元，偽サイトへの誘導及び添付ファイルへの注意が中心となる一方，認証情報又は金融情報が含まれる場合には，パスワード変更，サービス提供者又は金融機関への連絡等を検討する。抽象的に「注意してください」と述べるだけでなく，避けるべき操作及び正規の問い合わせ先を示すことが重要である。
２ 通知方法と代替措置
通知は，文書の郵送，電子メールの送信その他の本人に直接知らせる方法による。通知を行うことが困難であり，本人の権利利益を保護するため必要な代替措置を講ずる場合には，ホームページ等での公表を代替措置とすることができる。ただし，連絡先を把握しているのに一律に公表だけで済ませることができるという制度ではない。
委託先，委託元及び問い合わせ窓口が別々の表現を用いると，対象範囲，原因又は注意事項に食い違いが生じる。法的義務の主体を明確にした上で，対外文書の基礎事実，更新履歴，想定問答及び問い合わせの引継先を共通化する必要がある。
第５ 事故発生後の初動
１ 最初の２４時間に行う実務
最初の２４時間は法定期限ではないが，速報の期限と被害拡大防止を考えると，少なくとも次の作業を直ちに開始する必要がある。
- ① 委託元と委託先の責任者，法務，情報システム，広報及び経営への連絡経路を固定する。
- ② 攻撃経路の遮断とサービス停止の必要性を評価し，ログ，アクセス権限，設定値及び時刻情報を保全する。
- ③ 対象システム，データ項目，対象者数，保存期間，暗号化，バックアップ及び再委託先を確認する。
- ④ 施行規則７条の四類型，委託元・委託先の義務主体及び施行規則９条の通知を使うかを仮判定する。
- ⑤ 本人への二次被害を減らすため，緊急に告知すべき事項と，調査後に更新する事項を分ける。
封じ込めのためにシステムを変更する場合にも，後日の原因調査に必要な証拠を失わないようにする。委託先が保有するログや設定資料は委託元が当然に取得できるものではないため，契約上の根拠を確認し，保存要請，提出期限，提出形式及び欠落の有無を記録する必要がある。
２ 期限に沿った進行管理
おおむね３日から５日以内には，委託元の速報と，必要に応じた委託先から委託元への施行規則９条の通知を行う。本人通知は別の基準で「状況に応じて速やかに」行うため，二次被害のおそれが具体的であるときは，確報を待たずに実施することを検討する。
その後は，原則３０日以内，不正目的の行為による類型では６０日以内の確報に向け，漏えい範囲，原因，二次被害，再発防止策及び本人対応を確定する。調査の完了を待って全てを一度に公表するのではなく，何が確定し，何が未確定で，次にいつ更新するかを管理する方が，説明の正確性を保ちやすい。
第６ 平時の委託先監督
１ 選定，契約及び取扱状況の把握
個人情報保護法２５条は，個人データの取扱いを委託する場合，委託先において安全管理措置が適切に講じられるよう，必要かつ適切な監督を行うことを求めている。通則ガイドライン３－４－４は，監督を①適切な委託先の選定，②委託契約の締結，③委託先における個人データの取扱状況の把握という三要素で説明する。
委託先の選定時には，取り扱うデータの性質・量，業務内容，アクセス権限，再委託，保管場所及び事故時の影響に応じて，委託元に求められる安全管理措置と同等の措置が実施されることを確認する。契約締結時には，合意した安全管理措置と，委託元が取扱状況を合理的に把握できる方法を定める。契約書に「法令を遵守する」とだけ記載しても，具体的な確認可能性は確保できない。
取扱状況の把握は，委託開始時だけでなく，業務，技術，脅威又は再委託構造が変化したときにも必要となる。個人情報保護委員会は，委託先に顧客データを約７年間保有させながら，保有状況，保有の必要性及び消去の実施状況を定期的に確認していなかった事案について，委託先の監督上の問題を指摘している。
２ 実地監査は一律の要件ではない
委託元が委託先へ立入検査を実施することは一つの方法であるが，通則ガイドラインは，常に実地監査を行うことを一律に要求しているわけではない。個人情報保護委員会FAQの委託先監督に関する説明に照らし，データの内容・量，委託業務及び権利利益侵害の危険に応じ，質問票，定期報告，証跡，第三者認証，監査報告，オンライン確認，口頭確認又は実地監査を組み合わせればよい。
重要なのは，監査の名称ではなく，委託元が必要な事実を把握し，問題があれば是正を要求し，その完了を確認できることである。委託先の回答を受領しただけでは，重大な不一致又は未回答事項を放置した場合の説明にならないため，リスクの高い事項には証跡の提出又は追加確認を求める必要がある。
３ 再委託，クラウド及び不要データ
一般の個人データについては，再委託のたびに最初の委託元の法定許諾を得るとの一律の規定はない。もっとも，通則ガイドラインは，再委託先，業務内容及び取扱方法の事前報告又は承認を求め，委託先を通じて，また必要に応じて委託元自らが定期的に監査することが望ましいとしている。再委託先の事故報告が一次委託先で止まらない連絡経路も必要である。
クラウドサービスは，サービス名ではなく契約と実際のアクセス可能性で判断する。クラウド事業者が個人データを取り扱わないことが契約で定められ，適切なアクセス制御によって実際にも取り扱わない場合は，個人データの提供に当たらず，法２５条の委託先監督の対象外となり得る。他方，保守用ＩＤ等によりデータへアクセスし，又は分析等に利用するのであれば，委託としての監督を検討する必要がある。
委託終了時又は利用目的の達成後には，委託先及び再委託先に残る本番データ，バックアップ，ログ及び複製の要否を確認し，削除又は返還を証跡化する。不要なデータを長期間保持させないことは，事故の対象範囲そのものを減らす管理策でもある。
第７ 委託契約と事故後に確保する資料
１ 委託契約で定める事項
委託契約では，平時の安全管理措置だけでなく，事故時の役割を具体化する必要がある。少なくとも，次の事項を委託業務とリスクに応じて定めることが考えられる。
- ① 漏えい等又はそのおそれを知った場合の第一報の期限，連絡先及び必須項目
- ② 施行規則９条の通知，共同報告又は報告代行の選択手順と責任者
- ③ ログ及び機器の保全，調査協力，追加報告並びに外部専門家の利用
- ④ 本人通知，公表，問い合わせ対応及び対外説明の事前調整
- ⑤ 再委託の条件，再委託先への同等義務の付与及び事故情報の直通
- ⑥ 是正措置，データの返還・削除，費用負担，補償，責任制限及び契約終了
「事故後２４時間以内」等の契約上の第一報期限は，個人情報保護法上の速報期限とは別物である。委託元が３日から５日以内の速報に対応できるよう，契約上はそれより短い第一報と，判明事項の継続更新を設定することに意味がある。
２ 監督と原因を検証する資料
事故後には，原因調査だけでなく，委託元が平時にどのような情報を得て，どのような是正を求めたかが問題となる。委託先選定資料，契約書・仕様書，安全管理措置の回答，監査報告，未回答事項，変更通知，再委託の承認，アクセス権限の棚卸し，脆弱性対応，保存期間，削除証明及び事故訓練の記録を時系列で整理する必要がある。
もっとも，事故発生後に理想的な統制を列挙し，当時予見できなかった対策まで当然の義務であったと評価することは適切でない。問題となるのは，当時の技術水準，既知の脅威，データの性質，委託業務，実施費用及び委託元が入手できた情報に照らし，必要かつ適切な監督が行われていたかである。
第８ 民事責任と裁判例
１ 漏えい発生だけでは民事責任は決まらない
委託先で漏えい等が生じたことから，直ちに委託元の不法行為責任又は契約責任が成立するわけではない。民事責任では，当時の予見可能性，結果回避可能性，安全管理措置及び監督の具体的内容，因果関係並びに損害を個別に検討する。個人情報保護法及びガイドラインは注意義務の内容を具体化する資料となるが，法令違反の有無と民法上の過失の有無は常に同じ結論になるものではない。
委託契約の当事者間では，通知・調査協力義務違反，安全管理措置の不履行，損害賠償，責任制限，求償及び費用負担が問題となる。本人に対する責任と委託元・委託先間の最終的な負担は別の問題であり，対外対応の役割分担だけで内部負担まで決まるわけではない。
２ 監督義務を具体化した裁判例
大阪高裁令和元年１１月２０日判決・平成２９年（ネ）第２６１２号（判例時報２４４８号２８頁，裁判所HP未掲載）は，大規模な顧客情報漏えいについて，委託元が委託先に対し，セキュリティソフトの制御対象及び私物スマートフォンの接続状況の報告を求め，必要な設定変更又は持込み禁止を指示する具体的な監督義務があったとした。その上で，委託元の過失と委託先側の過失等による共同不法行為を認め，原告１名につき慰謝料１０００円を認容した。
この判決の射程は，事故があれば委託元が常に責任を負うというものではない。委託元が技術的な制御の不足を把握できる立場にあり，委託先への報告要求及び設定変更等によって結果を回避できたという具体的事情が重視されている。現在の別のシステムへ適用するには，アクセス経路，端末制御，委託元が得られた情報及び実施可能な是正措置を改めて検討する必要がある。
３ プライバシー侵害の損害に関する最高裁判決
最高裁平成２９年１０月２３日判決・平成２８年（受）第１８９２号（判例タイムズ１４４２号４６頁，判例時報２３５１号７頁）は，漏えいした個人情報について不快感又は不安を抱いたというだけで損害がないとした原審の判断について，プライバシー侵害による精神的損害の有無及び程度を十分に審理していないとして破棄差戻しとした。同判決は，一律の慰謝料額や委託元の監督義務を定立したものではないが，漏えい情報の内容，漏えい態様及び本人に生じた精神的損害を具体的に審理する必要があることを示したものである。
第９ 上乗せ規律と法改正
１ マイナンバー，業法及び外国法
特定個人情報を委託する場合，番号法１１条による委託先監督が問題となり，再委託には最初の委託者の許諾が必要である。一般の個人データの再委託と同じ取扱いをしてはならない。また，金融，医療・介護，電気通信等では，所管官庁のガイドライン，監督指針又は業法上の事故報告が加わることがある。
外国居住者のデータ，外国拠点又は国外のクラウドが関係する場合には，外国法上の報告期限，通知事項又は監督機関への届出が重なることがある。本記事の３０日・６０日という期間だけで全ての対応期限を判断することはできない。
２ 法律事務所における守秘義務との関係
法律事務所が外部のメール配信，クラウド，保守又は廃棄サービスを利用する場合，個人情報保護法上の委託先監督とは別に，弁護士の守秘義務及び依頼者情報の管理を検討する必要がある。弁護士の守秘義務（AI作成）で説明した義務は，個人情報保護法上の報告・本人通知を代替するものではなく，両者を重ねて確認する必要がある。
３ 令和８年改正法との区別
令和８年７月１７日に公布された個人情報保護法改正法は，漏えい等に関する委託先の特例を含むが，一部を除き，公布日から起算して２年以内で政令で定める日から施行される。令和８年８月２０日現在の事故対応は，未施行の改正後制度ではなく，現行法２６条及び現行の施行規則に基づいて判断する必要がある。
第１０ 出典
１ 法令及び個人情報保護委員会資料
- ① 個人情報の保護に関する法律
- ② 個人情報の保護に関する法律施行規則
- ③ 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
- ④ 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- ⑤ 個人情報保護委員会「令和６年度第４四半期における個人情報保護委員会の権限行使の状況について」
- ⑥ 個人情報保護委員会「いわゆる『３年ごと見直し』に係る改正法について」
２ 裁判例
- ① 最高裁平成２９年１０月２３日判決・平成２８年（受）第１８９２号（判例タイムズ１４４２号４６頁，判例時報２３５１号７頁）
- ② 大阪高裁令和元年１１月２０日判決・平成２９年（ネ）第２６１２号（判例時報２４４８号２８頁，判例秘書L07420436，裁判所HP未掲載）
３ 文献
- ① 石井夏生利・曽我部真裕・森亮二編著『個人情報保護法コンメンタール 第２版 第１巻』（勁草書房，２０２５年）５０３頁
- ② 渡邊涼介・山岡裕明『プライバシー保護・サイバーセキュリティの法的対応―基礎知識から情報漏えいの事前・事後対応まで』（ぎょうせい，２０２５年）１７１頁
- ③ 山内洋嗣・山田徹編著『類型別 不正・不祥事への初動対応』（中央経済社，２０２３年）５３頁
- ④ 阿部・井窪・片山法律事務所編著『企業における裁判に負けないための契約条項の実務』（青林書院，２０２３年）１２３頁～１２４頁