外注先で個人データが漏れたら｜報告の役割分担

外注先で漏えいが起きたとき、報告するのは誰ですか？

個人データを取り扱う主体として義務を負うのは、原則として委託元である御社です。外注先に任せたことで義務が移るわけではありません。

根拠は条文にあります。委託は義務の移転ではなく、監督の対象が増える行為として定められています。

委託元と委託先の立場の違い

個人情報の保護に関する法律第25条は、個人データの取扱いの全部または一部を委託する場合は、委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています (出典: e-Gov法令検索「個人情報の保護に関する法律」https://laws.e-gov.go.jp/law/415AC0000000057)。

委託先を監督する義務が委託元に課されている構成です。つまり外注先の環境で起きた事態も、委託元の管理下の出来事として扱われます。

報告と通知については同法第26条に定めがあります。第26条第1項は、個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、その旨を個人情報保護委員会に報告しなければならないと定めています。第26条第2項は、その場合に本人に対しても当該事態が生じた旨を通知しなければならないとしています (出典: 同法第26条)。

立場の違いを整理します。

立場	法律上の位置	漏えい時の役割
委託元 (御社)	個人情報取扱事業者として安全管理措置と委託先の監督の義務を負います	個人情報保護委員会への報告と本人への通知の主体になります
委託先 (外注先)	委託元の監督を受ける立場です	事実の報告、調査への協力、ログの提供を行います

契約で決められるのは手順と費用の分担

契約で義務の主体を変えることはできません。決められるのは、御社が義務を果たすために必要な動きを外注先にどこまで求めるかです。

契約で決める対象は次の範囲です。

1. 外注先が異常を把握してから御社へ連絡するまでの期限。所要時間の目安は、文言を決めるだけなら30分です。つまずきやすい点は「速やかに」と書いてしまい、実際の連絡が数日後になることです。
2. 調査への協力の範囲。誰がどの作業をどこまで行うかを書きます。
3. ログの保全。どのログをどれだけの期間残すかを書きます。
4. 調査と通知にかかる費用の分担。
5. 再委託先で起きた場合の扱い。

実装者の立場から1点補足します。外注先に本番環境の管理権限を渡している構成では、ログの設定を変えられる立場も外注先にあります。保全の約束だけでなく、ログの保存先を御社側に置けるかを設計の段階で確認します。

具体的な条文の並びと、契約への書き方は次のセクション以降で扱います。

どの条文が根拠になりますか？

安全管理措置、従業者と委託先の監督、漏えい等の報告を定めた条文が根拠です。発注の場面で押さえるのはこの範囲です。

いずれも個人情報の保護に関する法律の条文で、並びとして続いています。順に読むと、平時の備えから事後の報告までが1つの流れになっていることが分かります。

条文の並びと役割

4つの条文を整理します。

条文	定めている内容	発注の場面での意味
第23条	取り扱う個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならない	システムに求める安全管理の要件の根拠になります
第24条	従業者に個人データを取り扱わせるに当たっては、その従業者に対する必要かつ適切な監督を行わなければならない	権限の設計と操作の記録の根拠になります
第25条	個人データの取扱いの全部または一部を委託する場合は、委託を受けた者に対する必要かつ適切な監督を行わなければならない	外注先との契約と運用の取り決めの根拠になります
第26条	一定の事態が生じたときは個人情報保護委員会に報告し、本人にも通知しなければならない	漏えい時の報告と通知の義務の根拠になります

出典はいずれもe-Gov法令検索「個人情報の保護に関する法律」(https://laws.e-gov.go.jp/law/415AC0000000057) です。

第23条の義務は、紙の台帳でも表計算ファイルでも同じようにかかります。システム化は義務を新たに生む作業ではなく、すでに求められている措置を説明できる形に整える作業にあたります。

外注の契約に落ちる部分

条文のうち、外注の契約書に文言として落ちるのは第25条と第26条に関わる部分です。

1. 第25条に関わる部分: 監督の方法を書きます。報告を受ける頻度、作業する担当者の範囲、本番データを扱う場合の手順を含めます。所要時間の目安は、外注先との確認を含めて1週間です。
2. 第26条に関わる部分: 事態が起きた場合の連絡と協力を書きます。つまずきやすい点は、連絡の義務だけを書いて、調査に必要な資料の提供範囲を書き忘れることです。

第24条の従業者の監督は、御社の社内規程の側で扱う内容です。外注先の従業者については、第25条の監督の一部として契約に含めます。

なお、個人情報保護委員会は講ずべき安全管理措置の内容をガイドライン (通則編) で示しています (出典: 個人情報保護委員会 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)。要件の水準を決めるときは、この通則編を参照します。

平時の監督義務と契約への書き方そのものは「システム外注の個人情報｜委託先監督と契約の書き方」で扱っています。本記事では、事態が起きた後の動きに絞って続けます。報告の期限は次のセクションで扱います。

報告と通知の期限はどうなっていますか？

速報と確報の2段階で個人情報保護委員会へ報告し、本人への通知も行います。期限があるため、気づいた時点からの時間が勝負になります。

起点は、報告対象の事態を知った時点です。外注先からの連絡が遅れると、その分だけ御社の持ち時間が削られます。

速報と確報の違い

個人情報保護委員会のガイドライン (通則編) では、報告が2段階に分かれています。

段階	期限	内容
速報	速やかに報告します。目安は概ね3日から5日以内です	分かっている範囲での報告です
確報	当該事態を知った日から30日以内 (一定の類型に該当する場合は60日以内) です	事実関係が確定した後の報告です

出典は個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン (通則編)」(https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/) です。期限の正確な適用範囲は原典をご確認ください。

本人への通知については、報告対象事態を知ったときは、当該事態の状況に応じて速やかに本人への通知を行わなければならないとされています。通知する事項は、概要、漏えい等が発生した個人データの項目、原因、二次被害のおそれ、その他参考となる事項の範囲です。連絡先がない場合や古い場合など通知が困難なときは、事案の公表などの代わるべき措置で対応できるとされています (出典: 同ガイドライン)。

根拠となる条文は個人情報の保護に関する法律第26条で、第1項が個人情報保護委員会への報告、第2項が本人への通知を定めています (出典: e-Gov法令検索「個人情報の保護に関する法律」https://laws.e-gov.go.jp/law/415AC0000000057)。

期限に間に合わせるために事前に決めること

速報の目安が3日から5日という前提で考えると、外注先からの連絡が1週間後では間に合いません。発注時に次の3点を決めます。

1. 外注先が異常を把握してから御社へ連絡するまでの時間を、時間数で決めます。所要時間の目安は、文言を決めるだけなら30分です。
2. 連絡を受ける窓口を、担当者個人ではなく部署か共有の連絡先にします。つまずきやすい点は、担当者の個人メールだけを窓口にして、休暇中に気づかれないことです。
3. 速報に必要な情報の最小限の項目を、あらかじめ外注先と共有します。何が漏れた可能性があるのか、対象の件数の見込み、原因の見当の3点です。

実装者の立場から1点補足します。速報の段階で求められるのは精度ではなく速さです。件数が確定するまで報告を待つという判断は、期限の側から見ると成立しません。確定を待つ部分は確報に回します。

初動の具体的な手順は後述します。

契約に書いておく項目は何ですか？

通知の期限、調査への協力、ログの保全、費用の分担、再委託先の扱いの5項目です。発注時の契約書か個人情報取扱に関する覚書に残します。

既存の契約に「個人情報を適切に取り扱う」とだけ書かれている場合は、この5項目が足りていません。

5項目の書き方

記載例とあわせて示します。所要時間の目安は、文言をまとめるだけなら1時間です。

項目	決める内容	書き方の例
1. 通知の期限	外注先が異常を把握してから御社へ連絡するまでの時間	事態を認識した時点から12時間以内に、書面または電子メールで通知すること
2. 調査への協力	誰がどこまで行うか	原因の調査、影響範囲の特定、再発防止策の策定に協力すること
3. ログの保全	どのログをどれだけ残すか	アクセスログと操作ログを90日分保存し、事態の認識後は削除しないこと
4. 費用の分担	調査と通知にかかる費用の負担	外注先の責に帰すべき事由による場合の調査費用の負担を定めること
5. 再委託先の扱い	再委託先で起きた場合	再委託先に本契約と同等の義務を課し、その履行について責任を負うこと

つまずきやすい点は、1の期限を「速やかに」と書いてしまうことです。前のセクションで見たとおり、速報の目安は概ね3日から5日以内です。外注先の連絡が数日後になると、御社の持ち時間が残りません。時間数で書きます。

3のログの保全も見落としやすい項目です。保存期間を決めていない構成では、調査を始める時点でログが残っていないことがあります。

実装者の立場から1点補足します。クラウドのサービスを使っている場合、ログの保存期間は契約しているプランで決まることがあります。外注先に90日と約束させても、基盤側の設定が30日であれば実現しません。契約の文言を決める前に、実際の保存期間を確認します。

契約書の書式として参照できる資料

書式を一から作る必要はありません。IPA (独立行政法人情報処理推進機構) が「情報システム・モデル取引・契約書 (第二版)」を公開しており、システム開発の契約の条項を確認する際の参照先になります (出典: IPA「情報システム・モデル取引・契約書 (第二版)」)。

再委託に関わる取引のルールについては、経済産業省の下請ガイドラインと、中小受託取引適正化法 (下請代金支払遅延等防止法の改正後の名称) があります。契約の形を整えるときは、こうした公開資料で条項の立て方を確認したうえで、御社の顧問弁護士または専門家にご相談ください。

なお平時の監督義務と契約記載の全体像は「システム外注の個人情報｜委託先監督と契約の書き方」で扱っています。本記事の5項目は、事態が起きた後の動きに必要な部分です。

再委託先で起きた場合はどうなりますか？

御社から見て間接的な相手でも、委託元としての立場は変わりません。再委託の体制を事前に把握しておく必要があります。

個人情報の保護に関する法律第25条が定める委託先の監督は、委託した個人データの安全管理が図られるようにするための義務です。再委託先に実際の作業が渡っていても、御社の義務が消えるわけではありません。

再委託の体制を把握する方法

発注の時点で、次の3点を書面で確認します。

1. 再委託の有無と範囲。どの工程が別会社に渡るのかを確認します。所要時間の目安は、外注先への照会を含めて3営業日です。
2. 再委託先が本番の個人データに触れるかどうか。触れない構成にできるのであれば、それが最も単純な解決になります。つまずきやすい点は、開発と運用保守で体制が変わり、運用の段階から再委託先が本番環境に入る構成になることです。
3. 再委託先に同等の義務が課されているかどうか。御社と外注先の契約に書いた5項目が、外注先と再委託先の契約にも入っているかを確認します。

実装者の立場から1点補足します。再委託先が本番の個人データに触れる必要があるのは、障害対応の場面がほとんどです。本番データを複製して個人情報を置き換えた検証環境を用意しておくと、平時の作業は再委託先でも個人データに触れずに進められます。この設計は要件定義の段階で決めます。

背景として、情報サービス・ソフトウェア産業は多重下請構造を特徴とする産業構造であり、下請取引を含む取引慣行の適正化が課題とされてきました。平成19年6月に「情報サービス・ソフトウェア産業における下請ガイドライン」が策定され、その後見直しや改訂が実施されています (出典: 経済産業省)。再委託が入るかどうかを確認することは、例外的な念押しではありません。

再委託に関わる取引のルール

委託取引のルールは2026年に変わりました。公正取引委員会の公式ページによると、中小受託取引適正化法 (取適法) は令和8年 (2026年) 1月1日に施行されます。適用の対象かどうかは資本金の額、従業員数および委託内容で判断され、公正取引委員会は該当性を確認する診断ツールを用意しています (出典: 公正取引委員会)。

従来の下請法は発注者と受注者の資本金規模で適用対象が限定されていましたが、取適法では従業員数も判断基準に加わります。委託の一部を別会社に出す取引が規制の対象になるかどうかを、以前と同じ基準では判断できません。

禁止される行為も整理されています。中小企業庁のミラサポplusの解説によると、協議に応じなかったり必要な説明を行わなかったりするなど一方的に価格を決定する行為が禁止されます。支払手段としての手形払い、および電子記録債権やファクタリングのうち支払期日までに代金に相当する金銭を得ることが困難であるものも禁止されます。振込手数料を中小受託事業者に負担させることも禁止されます (出典: 中小企業庁 ミラサポplus)。

契約書のひな型については、IPA (独立行政法人情報処理推進機構) が「情報システム・モデル取引・契約書」第二版を2020年12月22日に公開しています。第二版の改訂論点は、セキュリティ、プロジェクトマネジメント義務と協力義務、契約における重大な過失の明確化、システム開発における複数契約の関係、再構築への対応です (出典: IPA)。このうち複数契約の関係の整理が、開発が複数社に分かれる場合の責任の所在に関わります。

再委託の体制確認の項目そのものは「システム開発の再委託｜契約で確認する4項目」で扱っています。

気づいてから動き出すまでの手順は？

連絡を受けたら、事実の確認、影響範囲の特定、報告の準備を同時に進めます。順番に進めると期限に間に合いません。

速報の目安は概ね3日から5日以内です。社内で状況を固めてから報告しようとすると、この時間を使い切ります。

最初の24時間で行うこと

着手の順ではなく、並行して進める単位で示します。

1. 被害の拡大を止めます。該当するアカウントの停止、外部からの接続の遮断を外注先へ指示します。所要時間の目安は、連絡がついてから2時間です。つまずきやすい点は、原因が分からないうちは何も触らないという判断で、拡大を止める操作まで止めてしまうことです。
2. ログを保全します。消えないように退避させます。契約でログの保全を決めていれば、ここは依頼だけで進みます。
3. 事実を書き出します。いつ、何が、どのように起きたのかを、分かっている範囲と分かっていない範囲に分けて書きます。
4. 影響範囲の見込みを立てます。確定ではなく見込みで構いません。対象となる個人データの項目と、件数の概算を押さえます。
5. 速報の準備を始めます。概要、漏えい等が発生した個人データの項目、原因、二次被害のおそれ、その他参考となる事項が通知の事項とされているため、同じ枠組みで情報を集めます (出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン (通則編)」)。

1から5は同じ日のうちに動かします。4の件数が確定していなくても、5は始められます。

社内の連絡経路の決め方

平時に決めておく内容です。事態が起きてから作ると間に合いません。

決める項目	内容
一次受けの窓口	外注先からの連絡を受ける部署または共有の連絡先
判断する人	報告するかどうかを決める責任者と、不在時の代理
外部の相談先	顧問弁護士、保険の窓口、必要に応じて専門の調査会社
本人への通知の担当	通知文の作成と送付を行う担当と、問い合わせを受ける体制

実装者の立場から1点補足します。本人への通知の段階で必要になるのは、対象者の連絡先の一覧です。システム側でこの一覧を出力できるかどうかを、平時に一度試しておきます。出力の機能がない構成では、通知の準備そのものに数日かかります。

連絡先がない場合や古い場合など通知が困難なときは、事案の公表などの代わるべき措置で対応できるとされています (出典: 同ガイドライン)。ただし、これは出力できないことの代わりではありません。

契約と体制の整理をどう進めるかは次のセクションで扱います。

契約と体制の整理から任せたい場合はどうしますか？

外注先との契約の確認から、覚書に残す文言と連絡経路の設計までを発注前の整理として依頼できます。開発の見積もりとは別の工程として扱います。

ここまでの内容をまとめると、決めることは契約の5項目と社内の連絡経路です。どちらも事態が起きる前にしか作れません。

多くの御社で起きているのは、次の状態です。外注先との契約には「個人情報を適切に取り扱う」という一文があり、それ以上の取り決めがありません。連絡を受ける窓口は担当者の個人メールで、再委託先の有無も把握していません。この状態で連絡が入ると、最初の数日が社内の確認に消えます。

原因は、個人データの扱いが契約書の一般条項として処理されてきたことです。平時の監督については条文の求めを満たしていても、事態が起きた後の動きまで落ちていません。速報の目安が概ね3日から5日以内という前提に照らすと、連絡の期限を決めていないこと自体が持ち時間を削ります。

解決の方向は単純です。発注の前に、契約の文言と連絡経路を同じ1枚に並べます。

当社では、顧客データを扱うシステムの発注時に次の整理を行っています。

1. 現在の契約の個人情報に関する条項の抜き書き
2. 再委託の有無と、再委託先が本番の個人データに触れるかの確認
3. 契約または覚書に残す5項目 (通知の期限、調査への協力、ログの保全、費用の分担、再委託先の扱い) の文言の作成
4. 本番データに触れずに作業できる検証環境の設計
5. 社内の連絡経路と、対象者の連絡先を出力できるかの確認

当社はDXコンサルと機械学習開発を500,000円から、業務システムの開発を含むご相談を承っています。上記の整理は開発の前段で行う工程として扱います。契約の文言そのものについては、御社の顧問弁護士または専門家の確認を前提に進めます。

いまの契約と体制で何が足りていないかを切り分けたい場合は、無料診断をご利用ください。要件と契約の整理だけを先に進めたい場合も、お問い合わせから承っています。

よくあるご質問

この記事に関して多い質問と回答をまとめます。報告の主体と、契約で決める範囲に関するものが中心です。

外注先が報告してくれれば、自社は報告しなくてよいのですか？

原則として、御社が報告の主体です。個人情報の保護に関する法律第26条第1項は、個人情報取扱事業者が個人情報保護委員会に報告しなければならないと定めており、第25条は委託先に対する必要かつ適切な監督を委託元の義務としています (出典: e-Gov法令検索「個人情報の保護に関する法律」https://laws.e-gov.go.jp/law/415AC0000000057)。外注先に委託したことで義務が移る構成にはなっていません。個別の事案での扱いは、顧問弁護士または専門家にご確認ください。

漏えいの疑いがある段階でも報告は必要ですか？

疑いの段階での扱いは、事態の内容によって変わります。速報については速やかに報告するものとされ、目安は概ね3日から5日以内です (出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン (通則編)」)。確定を待ってから判断するという進め方は、期限の側から見ると成立しません。判断そのものは、記録を揃えたうえで専門家に相談して決めます。

調査と報告にかかった費用は外注先に請求できますか？

契約に書いてあるかどうかで変わります。本記事の5項目のうち4番目が費用の分担です。外注先の責に帰すべき事由による場合の調査費用の負担を、発注時に定めておきます。定めていない場合は、事態が起きた後の交渉になります。

ログの保全は誰がどこまで行うのですか？

契約で決める事項です。アクセスログと操作ログの保存期間を決め、事態を認識した後は削除しないことを書面に残します。注意したいのは、クラウドのサービスではログの保存期間が契約しているプランで決まることがある点です。外注先に90日と約束させても、基盤側の設定が30日であれば実現しません。契約の文言を決める前に、実際の保存期間を確認します。

すでに契約済みですが、いまから覚書で追記できますか？

できます。現在の契約を残したまま、個人情報取扱に関する覚書として5項目を追記する方法が早く進みます。所要時間の目安は、外注先の確認を含めて1週間から2週間です。つまずきやすい点は、再委託先が入っている構成で、外注先と再委託先の契約にも同等の義務を入れてもらう確認に時間がかかることです。再委託の有無の確認から始めます。

関連リンク

• 契約と連絡体制の不足を切り分ける無料診断
• 中小企業のDXの進め方をまとめたガイドブック
• 業務システム開発の料金と対応範囲