個人情報保護法｜委託先で個人情報漏えい（報告対象事態）が発生した場合の対処

今回は、個人情報保護法ということで、個人データの漏えい等のうち、委託先から漏えいが発生した場合について見てみたいと思います。

個人情報の取扱いを外部事業者に委託している場合において、当該委託先で報告対象事態に該当する漏えい等が発生した際の対処です。委託先における事故は、委託元と委託先の双方が関与するため、法令上の責任関係と役割分担を理解しておくことが重要となります。

ではさっそく。なお、引用部分の太字、下線、改行などは管理人によるものです。

委託先漏えいにおける報告・通知義務の基本構造と3つのパターン

原則としての双方の義務と免除規定

委託先において報告対象事態が発生した場合、委託元および委託先の双方が当該個人データを取り扱っていることから、法的には双方に個人情報保護委員会（以下「個情委」）への報告義務および本人への通知義務が生じます。

しかし、双方が重複して同一内容の報告や通知を行うことによる混乱や過度な負担を避けるため、受託者（委託先）が委託元へ漏えい等の発生を通知したときは、委託先自身の個情委への報告義務および本人への通知義務が免除される特例が定められています（法26条1項ただし書、同条2項括弧書き）。

▽個情法26条（※【　】は管理人注）

（漏えい等の報告等）
第二十六条　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの【＝報告対象事態】が生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
２　前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

報告手続の3つのパターン

まとめると、委託先で漏えい等が発生した際の個情委への報告手続は、対応の態様や関係性に応じて、以下の3つのパターンに整理されます。

パターン1：通知による免除（委託元の単独報告）

委託先が漏えい等の発生を認知した後、委託元に対して速やかに（概ね3～5日以内）その内容を通知するパターンです。この通知を行うことで、委託先自体の個情委報告義務および本人通知義務は免除されます。

通知を受けた委託元が報告主体となり、単独で個情委への速報・確報および本人への通知を実施します。実務上一般的に選択される対応方式です。

なお、委託元が国の行政機関、地方公共団体、独立行政法人等である場合には、この免除規定は適用されず、受託者である民間事業者が直接個情委への報告義務を負うことになります。

行政機関等は、法26条に基づく個人情報保護委員会への報告義務の対象外（行政機関等としての別の規定が適用）となるためです

パターン2：委託元と委託先による連名報告

委託先から委託元への通知を行いつつ、委託元と委託先が共同の報告者となって、1つの報告書（速報・確報）を連名で個情委へ提出するパターンです。

システム障害や不正アクセス等において、現場である委託先の詳細な技術的調査結果を正確に反映させる場合や、両社で事実認識および再発防止策を整合させ、事故対応の一体性を提示したい場合に有効な手法です。

連名報告を行った場合も、委託先は委託元へ通知している形をとるため、手続上の重複を回避しつつ整合した報告を完了できます。

▽通則ガイドライン 3-5-3-2 報告義務の主体

　個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-5-3-5(委託元への通知による例外)参照）。

パターン3：双方による個別報告

委託先から委託元への速やかな通知が行われない場合や、委託元が報告義務免除の対象外である行政機関等である場合に、委託元と委託先の双方が、個情委に対して個別に単独報告を行うパターンです。

この場合、双方の事業者がそれぞれの起算点に基づき、個情委への速報（速やかに/概ね3～5日以内）および確報（原則30日以内、不正目的による場合は60日以内）を提出する必要があります。

委託先（受託者）が講ずべき具体的な対処

被害拡大防止と一次調査

委託先で漏えい等を検知した場合、直ちに事業者内部の責任者へ報告するとともに、不正アクセスの遮断や該当システムの停止など、被害の拡大を防ぐ初動措置を講じます。

併せて、影響を受けた個人データの範囲や発生原因の一次調査に着手します。

委託元への速やかな通知

委託先が個人情報保護委員会への報告義務および本人通知義務の免除を受けるためには、事態を知った後、速やかに委託元へ通知を行う必要があります。

「速やか」の目安としては、事態を認知してから概ね3～5日以内とされています。

通知する内容には、その時点で把握できている、

• 事態の概要（発生日、発覚日、経過等）
• 漏えいした個人データの項目および本人の数
• 発生原因
• 二次被害のおそれの有無および内容
• 実施済みの対応および今後の再発防止策

といった項目が含まれます（規則9条）。

▽施行規則9条（※【　】は管理人注）

（他の個人情報取扱事業者への通知）
第九条　個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項【＝報告事項】を通知しなければならない。

▽通則ガイドライン 3-5-3-5 委託元への通知による例外（規則第9条関係）

…委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね 3~5 日以内である。
　この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。

委託元の調査・報告への協力

委託元への通知を済ませた後も、委託先は事故対応から離脱できるわけではありません。

実際の漏えい現場である委託先は、委託元が行う個人情報保護委員会への報告（速報・確報）や本人通知に向けて、詳細な事実関係の解明、ログ解析、影響範囲の特定、有効な再発防止策の策定に全面的に協力する責務を負います。

▽通則ガイドライン 3-5-3-5 委託元への通知による例外（規則第9条関係）

　なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。

委託元（委託者）が講ずべき具体的な対処

00｜報告期限の起算点と対応体制の構築

委託元は、通常、委託先から漏えい発生の通知を受けた時点で事態を「知った」こととなり、これが法令上の報告期限の起算点となります。

通知を受領した直後から、社内の事故対応チームを立ち上げ、個情委報告と本人通知に向けた手続を開始します。

関連記事

個人情報保護法｜「個人データの漏洩等」の報告について解説～報告対象事態・報告事項・速報と確報など

01｜個人情報保護委員会への報告（速報・確報）

委託元は、委託先からの通知受領後、以下の二段階で、個人情報保護委員会への報告を行います。

なお、前述のように、委託元と委託先の連名で報告を提出することも認められています。

速報の提出

委託先から通知を受けた後、速やかに（概ね3～5日以内）、個情委のWebフォーム等から初期報告を行います（規則8条1項）。

その時点で把握できている情報を正確に記載して提出します。

▽施行規則8条1項・2項

（個人情報保護委員会への報告）
第八条　個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。
一　概要
二　漏えい等が発生し、又は発生したおそれがある個人データ（前条第三号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目
三　漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
四　原因
五　二次被害又はそのおそれの有無及びその内容
六　本人への対応の実施状況
七　公表の実施状況
八　再発防止のための措置
九　その他参考となる事項

▽通則ガイドライン 3-5-3-3 速報（規則第8条第1項関係）

　報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね 3~5 日以内である。
　個人情報保護委員会への漏えい等報告については、次の⑴から⑼までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。

確報の提出

事態を知った日から原則30日以内（不正アクセスやサイバー攻撃等、不正の目的による場合は60日以内）に、詳細な原因究明結果や再発防止策を網羅した確定報告を提出します（規則8条2項）。

▽施行規則8条2項

２　前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

02｜本人への通知または代替措置

漏えい等の発生時において、本人がその事実を認知できなければ、クレジットカードの利用停止手続やパスワード変更など、自らの権利利益を保護するための対処をとることができません。

そのため、報告対象事態が生じた際には、事業者に対して本人への通知を行うことが義務付けられています。

委託先で漏えい等があった場合の整理は以下のとおりで、連名報告を除き、個情委への報告と同様になっています。

▽通則ガイドライン 3-5-4-1 通知対象となる事態及び通知義務の主体

　個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱い、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っている委託元に 3-5-3-3⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った委託先は、必要に応じて委託元による本人への通知に協力することが求められる。

本人への通知

漏えい対象となった本人に対し、事態の状況に応じて速やかに通知を行います（法26条2項本文）。

通知内容には、概要、漏えい項目、原因、二次被害のおそれ、問い合わせ窓口などを記載します（規則10条）。

▽施行規則10条

（本人に対する通知）
第十条　個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

本人への通知が困難な場合の代替措置

連絡先が不明である等、本人への直接通知が困難な場合には、事案の公表や専用問い合わせ窓口の設置といった代替措置を講じることで、本人通知義務を果たすことが可能です（法26条2項ただし書）。

補足：委託先監督義務（法25条）に基づく是正と再発防止

委託元は、安全管理措置の一環として、委託先に対する必要かつ適切な監督義務を負っています（法25条）。

事故発生時には、

• 委託先に対する詳細な原因調査要請および報告の徴収
• 必要に応じた委託先への立入検査・監査の実施
• 委託先の安全管理措置および作業手順の是正指示
• 委託契約に基づくペナルティ検討（損害賠償請求、契約解除等）
• 再委託先が関与している場合、委託先を通じた再委託先の管理体制の監査と是正

といった監督対応を実施する必要があります。

結び

このように、委託先での個人情報漏えいが発生した場合、委託先から委託元への速やかな通知を起点として、個情委報告や本人通知の義務が委託元に集約されます。

平時から業務委託契約書において、漏えい発生時の速やかな報告義務や調査協力義務、（必要に応じて）立入監査権限などを記載しておくことが、有事における迅速な対処に役立ちます。

大規模な漏えい事故の多発を受けて、個情委から注意喚起も出されています。内容は、技術的安全管理措置の見直し予定内容（確定は来年4月予定）を先取りして示すものと、不要になった個人データの消去（法22条）の2本立てです。

今回は、個情法における、委託先で個人情報漏えい（報告対象事態）が発生した場合の対処について見てみました。

個人情報保護法の関連記事一覧はこちら

個人情報保護 - 法律ファンライフ

houritsushoku.com

【PR】管理部門・士業特化の転職エージェント / 下のバナーから相談フォームに進めます（無料）

［注記］
本記事を含む一連の勉強記事は、過去の自分に向けて、①自分の独学や経験の記録を見せる、②感覚的な理解を伝えることを優先する、③細かく正確な理解は書物に譲る、ということをコンセプトにした読みものです。ベテランの方が見てなるほどと思うようなことは書かれていないほか、業務上必要であるときなど、正確な内容については別途ご確認ください。また、法改正をはじめとした最新の情報を反映しているとは限りませんので、ご注意ください。

個人情報保護法に関するその他の記事（≫カテゴリページ）

主要法令等・参考文献

当サイトではアフィリエイトプログラムを利用して商品・サービスを記載しています

参考文献image

※注：「個人情報保護法の解説」には第三次改訂版があります