委託先で起きた漏えいは、自社の問題でもある——「任せきりにしない」ための委託先管理、5つの確認

このコラムは、「相次ぐ個人情報漏えいは「氷山の一角」かもしれない」「個人情報の漏えいに気づいたら、最初に何をするか」に続く3回目です。
今回は、経営として見直したい5つの視点のうち、「任せきりにしない」、つまり委託先の管理についてお話しします。

2026年9月下旬からの一連の事案では、委託先のシステムへの不正アクセスで複数の企業の顧客情報が影響を受けた例や、クラウドサービス事業者への攻撃で多数の利用企業が影響を受けた例が目立ちました（事案の整理は「企業が今週中に確認したい、最低限の7つの対策」をご覧ください）。
私たちのもとにも、「自社のシステムは無事なのに、預けていた情報が漏れた。何をすればよいのか」というご相談が続いています。

個人情報保護法のうえでは、委託先で起きた漏えいも、委託元にとって自社の問題です。
お客様に説明するのも、多くの場合、お客様と直接の関係がある委託元の会社です。
このコラムでは、個人情報保護委員会の資料をもとに、委託先で漏えいが起きたときに自社に何が求められるのかと、平時に確認しておきたい5つのポイントをまとめました。

委託先で起きた漏えいが、自社の問題になる理由

個人情報保護法は、個人データの取扱いを委託する会社に、委託先に対して「必要かつ適切な監督」を行うことを求めています（第25条）。
個人情報保護委員会のガイドラインでは、この監督には次の3つが含まれるとされています。

• 適切な委託先の選定
• 委託契約の締結
• 委託先における個人データの取扱状況の把握

委託先が別の会社に再委託する場合も、委託先と同じように再委託先を監督する必要があります。
「うちは委託先に任せているから」という状態は、法律の建て付けのうえでは成り立ちません。

漏えいが起きたときの義務も、委託元に残ります。
個人情報保護委員会のQ&Aでは、委託先で報告が必要な漏えいが起きた場合、原則として委託元と委託先の双方が報告義務を負うとされています。
委託先が委託元に事態の発生を通知すれば委託先の義務は免除されますが、委託元の義務はなくなりません。
速報の目安は発覚から概ね3〜5日以内ですから、委託先からの連絡が遅れれば、そのぶん自社の対応も遅れます。

クラウドサービスについては、少し整理が必要です。
個人情報保護委員会のQ&Aでは、クラウド事業者が契約上、サーバーに保存された個人データを取り扱わないこととされ、適切なアクセス制御が行われている場合は、個人データの「提供」にも「委託」にも当たらず、第25条の監督義務は課されないとされています。
ただし、その場合でも、利用する会社は自らの安全管理措置として、適切な対策を講じる必要があるとされています。
監督義務がないことと、何もしなくてよいことは、別の話です。

法制度は、委託先の側にも及び始めています。
2026年7月に成立した改正個人情報保護法には、委託先は委託された業務の遂行に必要な範囲を超えて個人データを取り扱ってはならないことを明文化する内容が盛り込まれました。
他社の個人データを預かって業務を行う会社は、取扱いの範囲を契約と実態の両面で説明できるようにしておく必要があります（詳しくは「改正個人情報保護法で何が変わるか」をご覧ください）。

個人情報保護委員会は、「委託先管理に関する着眼点」という資料の中で、委託先に任せきりにせず、委託元の事業者も取り組む必要があることや、一般的な業務委託契約にはセキュリティに関する項目が含まれていないことが多い点を指摘しています。
支援の現場で私たちが見ている実態も、これに近いものです。

「任せきりにしない」ための5つの確認

では、何をどこまでやればよいのでしょうか。
委託する前、契約するとき、委託している間の3つの場面に分けると、確認したいことは次の5つに整理できます。

※個人情報保護委員会「委託先管理に関する着眼点」「個人情報の保護に関する法律についてのQ&A」、クラウドサービス利用時の注意喚起（2021年2月）をもとに当社で整理。

中でも、差がつきやすいのは3と4です。

契約は、「個人情報を適切に管理する」の一文で終わっていないか。
事故が起きたときに本当に必要なのは、「いつまでに」「何を」連絡してもらうかという取り決めです。
自社の速報の目安が発覚から概ね3〜5日以内であることを考えると、委託先からの第一報は「気づいたらただちに、遅くとも翌営業日まで」のように、具体的な期限で決めておくのが一つの目安になります。
再委託についても、事前の承諾を条件にし、再委託先の名前と業務の範囲を把握できるようにしておくと、いざというときに「誰が持っていたのか分からない」という事態を避けられます。

確認は、契約したときの一度きりになっていないか。
個人情報保護委員会のQ&Aでは、立入検査までは義務づけられておらず、口頭による確認も適切な方法に含まれるとされています。
つまり、方法は委託先ごとに変えてよいということです。
預けている件数が多い先や、要配慮個人情報を扱う先は書面と訪問で、それ以外は年1回のチェックシートで、といった濃淡をつけることで、無理なく続けられます。

PマークやISMSを取得している企業には、この仕組みがすでにあるはずです。
Pマークの基準（JIS Q 15001）では、委託先を選ぶ基準を定め、十分な保護水準を満たす委託先を選び、契約で安全管理の内容を取り決め、取扱状況を確認することが求められます。
ISMS（ISO/IEC 27001）の附属書Aにも、供給者との関係における情報セキュリティに関する管理策が含まれています。
支援の現場でよく見かけるのは、委託先の一覧が更新されていない、契約に安全管理の条項がない、確認を一度も行っていない、という3つです。
仕組みがあるかどうかではなく、いまも動いているかどうかを、この機会に見直していただければと思います。

私たちUPFは、2009年からPマーク（プライバシーマーク）とISMS（ISO/IEC 27001）の取得・運用を支援してきました。
おかげさまで、支援実績は5,695社（2026年10月1日時点）となりました。
初めてUPFをご利用いただいたお客様が、次回の更新もUPFにご依頼くださる割合は95%（2020〜2026年平均）です。

社内にはプライバシーマーク（Pマーク）審査機関（JIPDEC）の現役審査員が在籍しています（自らがコンサルティングを担当する企業の審査は行いません）。
また、年間2,000件を超える審査関連の情報が社内に集まるため、委託先管理についても、審査で指摘されやすい点や、無理なく続く運用の形を、日々のご支援に活かしています。

委託先の管理は、相手がある話です。
だからこそ、自社の側で決められること、つまり台帳・契約・確認の仕組みを、先に整えておく価値があります。
認証の取得をお手伝いするだけでなく、企業が「預けた情報についても、気づいて、すぐに動ける」状態を、実務の面から一緒につくっていければと考えています。

よくある質問

Q. 委託先がPマークやISMSを取得していれば、確認は不要ですか？
A. 選定の判断材料にはなりますが、委託元の監督義務がなくなるわけではありません。
認証の適用範囲に、委託する業務や拠点が含まれているかも確認してください。
そのうえで、契約で安全管理の内容と事故時の連絡を取り決め、取扱状況を定期的に確認することが必要です。

Q. 委託先で漏えいが起きた場合、自社も個人情報保護委員会に報告が必要ですか？
A. 報告が必要な事態に当たる場合は、原則として委託元と委託先の双方が報告義務を負います。
委託先が委託元に事態の発生を通知した場合は委託先の義務は免除され、委託元が報告することになります。
発覚からの期限は委託元にも適用されるため、委託先からの連絡を受けたら、詳細を待たずに分かっている範囲で速報することをおすすめします。

Q. クラウドサービスの利用は「委託」に当たりますか？
A. 個人情報保護委員会のQ&Aでは、クラウド事業者が契約上、サーバーに保存された個人データを取り扱わないこととされ、適切なアクセス制御が行われている場合は、「提供」にも「委託」にも当たらないとされています。
この場合、クラウド事業者への監督義務はありませんが、公開設定やアクセス権限の管理など、自社の安全管理措置は自社の責任で講じる必要があります。

Q. 委託先の確認は、どのくらいの頻度で、どのような方法で行えばよいですか？
A. 法令で頻度や方法が一律に決められているわけではありません。
個人情報保護委員会のQ&Aでは、立入検査は義務ではなく、委託するデータの内容や規模に応じた適切な方法でよいとされ、口頭による確認も含まれます。
一つの目安として、年1回の書面（チェックシート）での確認を基本に、預けている件数が多い先や要配慮個人情報を扱う先は訪問を組み合わせる、という形で進める企業が多くあります。

Q. 委託先が、自社の知らないうちに再委託していた場合はどうなりますか？
A. 再委託先についても、委託先と同様の監督が必要です。
知らないうちに再委託されている状態は、監督が及んでいないことになります。
契約で再委託を事前承諾制にし、再委託先の名前と業務の範囲を報告してもらう形にしておくことをおすすめします。

Q. 委託先の管理の仕組みづくりについても相談できますか？
A. はい。
委託先の台帳や選定基準、契約に盛り込む条項、チェックシートの設計など、Pマーク・ISMSの取得・運用のご支援とあわせて承っています。
他社の支援で取得された企業からの「委託先管理を見直したい」というご相談もお受けしています。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援を通じて、企業の情報管理を実務の面から支えています。
「委託先の台帳や契約を整えたい」「委託先への確認を仕組みにしたい」「取得した認証の運用を見直したい」といったご相談も承っております。
お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。