個人情報漏えい対応の実務
委託先で個人情報漏えいが
発生した場合、
委託元はどう対応すべきか
本人通知・問い合わせ窓口・FAQまで、
委託元が動くための実務を整理します。
「委託先から、顧客情報が漏れた可能性があると連絡が来た」。自社は何から始めればよいのでしょうか。
委託先の調査・発表を待つだけにせず、自社への影響確認、報告・本人通知の判断、問い合わせの準備を並行して進めます。まだ分からないことは、分からないまま整理して構いません。誰が何を確かめるかを決めることが出発点です。［1］
1．最初に進める3つのこと
- 自社への影響を確かめる誰の、どの情報が対象なのか。確認済みと確認中を分けます。
- 社内の責任者へ共有する事故を知った日時を残し、報告・本人通知の判断担当につなぎます。
- 今、答えられる内容をそろえる案内できる事実、受付先、質問の引継ぎ先を決めます。
このような疑問に答えます
- 委託先の発表を待つだけでよいのか。
- 本人への通知は、どちらが行うのか。
- 問い合わせ窓口とFAQは、何から準備するのか。
- 二次被害の申し出を、どう受け止めるのか。
必要なところから読み、担当者間の役割整理にお使いください。
対応の全体像
最初の確認・共有・委託先照会は、並行して進めます。
事実確認自社への影響を
確認する
社内共有責任者・関係部署へ
つなぐ
委託先へ確認対象範囲と
次の連絡を確認
本人への対応通知の判断・準備
説明・問い合わせ
継続対応FAQ更新・再連絡
記録・集計
図は業務の整理です。調査完了まで本人通知を待つ、という順番ではありません。
本記事は主に民間企業の担当者向けです。「委託元」は業務を依頼する企業、「委託先」は依頼を受ける企業、「本人」は情報の対象となる顧客や従業員等を指します。以下の手順・文例は実務上の提案であり、一律の法定手順ではありません。
2．委託先には「自社が説明するために必要なこと」を聞く
発送会社の誤送付、問い合わせシステムへの不正アクセス、クラウドの設定不備など、事故の形はさまざまです。次は想定例であり、特定の企業やサンクネットの受託事例を示すものではありません。
SaaS・クラウド
顧客管理やストレージ等での
不正アクセス・設定不備
問い合わせシステム
問い合わせ本文・添付・
対応履歴などへの影響
発送・事務処理の委託先
名簿や発送データの
誤送付・持ち出し
再委託先・外部連携
再委託先や連携サービスに
残る情報への影響
「利用企業全体の調査中です」という説明だけでは、顧客からの「私も対象ですか」に答えられません。まずは次の5点を確認しましょう。
- ① 自社のどの情報が対象か
- 利用期間、契約・アカウント、対象者の範囲、情報項目を確認します。問い合わせ本文や添付ファイル、内部メモも対象かを忘れずに聞きます。
- ② 何が確認済みで、何が不明か
- 「漏えいが確認された」「漏えいのおそれがある」「調査できていない」を分けます。「対象外」とされた場合も、その根拠を確認します。
- ③ 被害が広がるおそれは残っているか
- 実施済みの対策と未完了の対策、自社で必要な対応を確認します。サービスの継続利用や代替受付は情報システム担当と判断し、記録を独断で消さないようにします。
- ④ 誰が報告・通知・問い合わせを担当するか
- 各社の担当範囲、本人へ説明できる情報、個別照会の方法を確認します。対象人数は、データの件数と人数が混ざっていないかも確かめます。
- ⑤ 次の連絡はいつ、誰から来るか
- 確認中の項目ごとに、担当者と次回回答予定を決めます。予定までに回答がない場合の連絡先も共有しておきます。
「流出の証拠が見つからない」と「流出していない」は別です。委託先の説明を、確認できた範囲より強い表現へ言い換えないことが大切です。
再委託先や他サービスへの連携がある場合は、そこに残る情報も確認対象に加えます。SaaS・クラウドが法律上の「委託」に当たるかは、サービス名だけでなく契約と実態から判断します。［3］
3．本人への通知・説明は、誰が行う？
「委託先の事故だから、通知もすべて委託先任せ」とは決められません。報告対象となる委託データの漏えい等では、原則として委託元・委託先の双方に報告義務と本人通知義務があります。委託先が規則に従って報告義務のある委託元へ通知した場合には、委託先の義務が免除される仕組みがあります。［1］
一方、通知文を作る、発送する、電話を受けるといった作業の分担は別に決めます。例えば、次のように整理できます。
- 委託元
- 自社への影響を確認し、報告・通知の方針、回答内容、判断担当を決める。
- 委託先
- 調査結果と根拠を提供し、対象範囲の照合や追加質問に対応する。
- 窓口・支援会社
- 合意した範囲で通知・受付を行い、確認が必要な質問を担当へつなぐ。
本人通知は、すべての調査が終わるまで待てばよいものではありません。状況に応じて速やかに行う必要があります。具体的な時期は、その時点で把握できた内容、本人の権利利益を保護できるか、通知により生じ得る弊害等を踏まえて判断し、法務担当者や弁護士等と確認します。Web公表だけで一律に本人通知が済むわけでもありません。［1］
通知文では、事故の概要、対象情報、原因、二次被害のおそれ等の必要事項を踏まえ、「自分に関係すること」「自分が取れる対策」「公式の問い合わせ先」が分かるように書きます。未判明の原因を推測で埋めたり、「今後悪用されません」と約束したりしないでください。［1］
送信・発送後は、未達や返戻も確認します。「送った」で終わらず、届かなかった人への対応を担当者へ渡すところまで決めておきましょう。
補足：報告対象と期限の要点を確認する
民間事業者では、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的による行為が疑われる場合、本人の数が1,000人を超える場合の4類型を基本に確認します。漏えい等の「おそれ」も対象となり得ます。高度な暗号化等の条件も含めて判断します。不正の目的で行われたおそれのある行為に関する類型では、個人データとして取り扱う予定の取得済み・取得予定の個人情報も含めて、適用範囲を確認します。［2］［1］
速報は、報告対象事態を知った後、速やかに行い、目安は概ね3～5日以内です。確報は原則30日以内、不正の目的による行為が疑われる類型は60日以内です。この日数は待機期間でも、本人通知の期限でもありません。法人ではいずれかの部署が知った時点が基準となるため、正式報告書の到着を待たずに判断担当へ共有します。［1］［2］
報告先、提出方法、個別の適用条件は個人情報保護委員会の案内で確認してください。行政機関等、マイナンバー、業法・海外法令が関係する事案は別途確認が必要です。制度改正は公布と施行を分け、公開時点で適用される制度を確認します。［2］［4］
4．問い合わせ窓口は「受け付けた後」まで決める
電話番号やメールアドレスだけでなく、その場で答えられない質問をどう扱うかも準備します。専用窓口を大きく構える前に、まず安全な受付先と確認担当を決めることが大切です。必要な本人通知を遅らせないよう、案内と受付体制を並行して整えます。
一般案内と、本人の情報に関する照会を分ける
公表内容や受付時間の案内のために、全員から身分証を集める必要はありません。一方、「私の情報は含まれますか」という照会は、決められた本人確認を行い、承認された方法で回答します。今回漏れた可能性のある氏名・生年月日等を知っているだけで、本人と判断する設計は避けましょう。
「確認します」の後に、担当と次の連絡予定を置く
確認が必要な問い合わせには、受付番号を付け、確認する担当者・次の連絡予定・本人への回答が済んだかを記録します。委託先へメールを転送したことと、本人への対応が終わったことは別です。
転送しただけで「完了」にしない
- 受付・記録受付番号を付ける
- 担当へ確認担当と期限を決める
- 回答を承認根拠を確かめる
- 本人へ連絡結果・進捗を伝える
- 完了・引継ぎ残る対応を管理
緊急の申告はこの流れを待たず、責任者へ連絡します。
委託先の電話番号を伝える場合も、本人に同じ説明を繰り返してもらわずに済むよう、引継ぎ方法を先に合意します。受付時間外の案内と、緊急時に責任者へ連絡する方法も必要です。
5．FAQの更新と、二次被害の申告に備える
FAQは、最初から大量に作らなくてよい
まずは「何が起きたか」「自分は対象か」「何に注意し、どこへ連絡すればよいか」に答える内容をそろえます。答えが決まっていない質問には、推測の回答ではなく確認先を記載します。
委託先の追加説明が届いたら、自社に関係する内容を確認・承認し、電話・メール・公開FAQを同じ内容へ更新します。古い回答をした人への訂正や追加連絡が必要かも確認してください。内部FAQには、根拠、承認者、版番号と適用日時を残し、公開FAQと混同しないようにします。
「不審なメールが来た」という声を、取りこぼさない
事故後に不審メールや身に覚えのない請求の申告を受けても、その場で漏えいとの関係は決めつけません。ただし、原因を断定しないことと、申し出を受け止めないことは別です。
「本人が申し出たこと」「確認できた事実」「今回の事故との関係」を分けて記録し、担当へつなぎます。金銭被害が進行中、脅迫があるなどの場合は通常の確認待ちと分け、責任者へ至急連絡します。必要に応じて金融機関・警察等の公式窓口への相談を案内し、補償の可否をその場で約束しない手順にします。
6．問い合わせ情報を守り、回答待ちを残さない
新しく集める連絡先や相談内容も、守るべき情報です。事故が起きた問い合わせシステムを継続利用できるか確認し、代替の電話・メール・フォームも、閲覧者と保存先を決めてから使います。［1］
一般案内だけなら必要以上の情報を集めず、個別対応の記録は必要な担当者だけで共有します。パスワード・暗証番号・認証コードは受け取らず、本人確認書類や証拠資料が必要な場合も、安全な受領方法を先に決めます。不審な添付を受付担当者が直接開いたり、相談内容を未承認の生成AIや私用サービスへ転送したりしないようにします。
日々の報告は、件数に加えて、「誰の確認を待っているか」「連絡の約束を過ぎていないか」「FAQで答えられない質問は何か」が分かる形にします。緊急案件は日次報告を待たずに連絡してください。
問い合わせが減っても、未回答や通知未達が残っていれば、担当を決めて引き継ぎます。記録の保存・返却・削除も決めますが、調査等で保存が必要な資料は独断で削除しません。
7．よくある失敗と、抜け漏れのチェック
避けたい対応
- 委託先の発表待ちで、自社の準備を止める。
- 古いFAQと新しいFAQが混在する。
- 委託先へ転送しただけで、回答済みにする。
- 相談情報を必要以上に集め、広く共有する。
「誰が、何を確認し、いつ本人へ戻すか」を決めておきます。
6つの実務チェック
全部を一人で終わらせるためではなく、担当が決まっていない作業を見つけるために使ってください。
- 事故を知った日時を残し、確認済みと確認中を分けた。
- 委託先への質問ごとに、担当と次の回答予定を決めた。
- 報告・本人通知の要否、主体、時期を判断する担当を決めた。
- 本人への説明、公式窓口、未達・時間外の対応を準備した。
- 本人確認、FAQ更新、緊急申告、情報共有の手順をそろえた。
- 転送だけで完了にせず、本人への回答と残務の引継ぎまで追える。
8．よくある質問
委託先が行政へ報告済みなら、委託元の報告は不要ですか？
委託先が報告しただけで、委託元の義務が当然になくなるわけではありません。報告対象となる委託データの事故では原則として双方に義務があるため、連名報告や代行が自社の義務に対応したものかを確認します。
漏えいが確定する前でも、問い合わせの準備は必要ですか？
確定を待たず、説明できる事実、確認中のこと、質問の受付先を整理しておくことを勧めます。調査中という理由だけで問い合わせ対応を止めず、未確定の情報を断定しないことが大切です。
Webサイトに公表すれば、本人への通知も済みますか？
公表だけで一律に済むわけではありません。本人通知が困難で、本人の権利利益を保護するために必要な代替措置を取る場合には例外がありますが、連絡できる方法と事案の状況を確認して判断します。
SaaSやクラウドの利用は、すべて法律上の「委託」ですか？
すべてが委託に当たるわけではありません。提供者が個人データを取り扱うことになっているかを、契約と実態から確認します。委託に当たらない利用形態でも、利用企業の安全管理等が不要になるわけではありません。
委託先から情報を受け取ったら、本人への説明と回答に戻す。その間にある確認・承認・連絡を一つずつつなぐことが、委託元の実務です。
本人対応・窓口の準備を、サンクネットが支援します
サンクネットは、通知文・FAQの作成支援、電話・メール等の窓口、対応履歴や確認待ち案件の管理、集計・報告などを支援しています。弁護士・調査会社等が担う専門的な判断と役割を分け、必要な実務を補完します。［5］
「委託先の調査は続いているが、本人対応を準備したい」という段階でもご相談いただけます。資料を完成させてからでなくて構いません。分かっていることと、お困りの業務からお知らせください。
企業・団体のご担当者と、顧客・関係先から相談を受けた専門家・支援会社向けの相談先です。原因・対象範囲・依頼内容が未確定でも、分かる範囲からご相談いただけます。個別事故の対象者確認は、その事故の専用窓口へお問い合わせください。最初の相談に対象者名簿・身分証・パスワード等は送らず、概要のみをご記入ください。フォームは常時の即時対応を保証するものではありません。
記事への質問フォームは、一般的な論点・今後のテーマ要望のための窓口です。個別事故の相談は正式相談フォームへ、個別事故の対象者確認・被害申告は、その事故の専用窓口へお寄せください。
参考資料
制度確認日：2026年10月28日。個別事案の判断は法務担当者・弁護士等と確認し、公開資料の更新にもご留意ください。
- 個人情報保護委員会「ガイドライン（通則編）」：3-4（安全管理等）、3-5（漏えい等報告・本人通知）。
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」：報告対象・期限・提出先。
- 個人情報保護委員会「Q7-53」：クラウド利用と個人データの取扱いの委託。
- 個人情報保護委員会「令和8年 改正個人情報保護法について」：公布と施行の区別。
- サンクネット「個人情報漏洩対応支援サービス」：公開している支援範囲。