AZXブログ

【情報漏えい対応】委託先でインシデント発生！個人情報保護委員会への報告と本人通知の進め方

個人情報保護法関連

2026/10/20

AZXの横田です。

昨今、不正アクセス等による情報漏えい事案が多く発生しており、先日、スタートアップにも広く利用されているノーコードWeb制作サービスを提供する会社からも、同社が利用するクラウド環境への不正アクセス及び情報漏えいの可能性に関する第一報が公表され、波紋を呼んでいます。

企業が利用する外部サービス等の委託先に不正アクセスや情報漏えいのおそれが発生してしまった場合に、行うべき主な法的手続としては、①個人情報保護委員会への報告と、②本人への通知があるため、本記事では、それぞれの概要について解説します。

投資家を無料でご紹介【SeriesAZX】

１．個人情報保護委員会への報告義務
２．本人への通知（どのような場合に、誰が、いつ、何を、どのように通知する必要があるか）
３．まとめ
【脚注】

１．個人情報保護委員会への報告義務

個人データの漏えい[1]、滅失、毀損（以下「漏えい等」といいます。）が発生した場合で、以下の「報告対象事態」が発生し又は発生したおそれがある場合は、個人情報保護委員会への報告が義務付けられています（個人情報保護法第26条第1項）。

（１）報告対象事態

個人情報保護法施行規則第7条に基づき、以下の4つの事態のいずれかに該当する（又は該当するおそれがある）場合、個人情報保護委員会に報告することが必要となります。

なお、以下の事態が「発生したおそれ」がある場合も報告義務が発生する点に注意が必要です。

報告対象事態	具体例
①要配慮個人情報が含まれる漏えい等	病歴、身体障害・知的障害・精神障害等の障害があること、健康診断その他の検査の結果などの要配慮個人情報が漏えい等した場合
②財産的被害が生じるおそれがある漏えい等	クレジットカード番号、送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人データ等が漏えい等した場合
③不正の目的をもって行われたおそれがある漏えい等[2]	（例１）不正アクセスにより個人データが漏えい等した場合（例２）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（例３）個人データが記載又は記録された書類・媒体等が盗難された場合（例４）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（例５）従業者の私用の端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と個人情報取扱事業者のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした場合（例６）個人情報取扱事業者のウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された場合で、かつ、当該個人情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき（例７）個人情報取扱事業者のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報取扱事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
④個人データに係る本人の数が1,000人を超える漏えい等	システムの設定ミスや誤送付等により、1,000人を超える本人の個人データが閲覧可能状態となった場合

（２）報告主体（３つの選択肢）

委託先で漏えい等が発生した場合、個人情報保護法上、原則として委託元及び委託先の双方が報告義務を負いますが、実務上は以下の３つのパターンのいずれかで報告手続を行うことが考えられます（なお、下記「■参考（クラウドサービス）」は、厳密には個人情報の取扱いの委託ではなく、個人データを取り扱わないこととされているクラウドサービスを利用している場合のパターンですが、参考として記載しています。）。

いずれのパターンで対応するかは、委託先とも協議をして検討することになると考えます。

報告パターン	手続の仕組みと特徴
①委託元・委託先が各自報告	委託元と委託先のそれぞれが報告義務を負うのが原則であるため、各自報告を行うという対応があり得ます。
②委託元・委託先の連名報告	委託元と委託先が連名で個人情報保護委員会に報告を行うことも可能であり、連名報告とすることで、事実関係の一貫性が保たれ、委員会からの問い合せ窓口を一本化できるメリットがあります。なお、後述の「速報」は各自で行い、「確報」から連名で行うという対応も可能です。
③委託元による単独報告（委託先は委託元への通知のみ）	委託先が委託元に対して漏えい等に関する所定の事項を「速やかに」通知した場合、委託先の委員会への報告義務は免除されます。この場合は、委託元が単独で報告主体となります。なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められます。[3]
■参考（クラウドサービス）クラウドサービス事業者による代行報告	クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。この場合、クラウドサービスを利用する事業者としては、自らが負う報告義務に基づく報告を、クラウドサービス提供事業者に代行させることができるとされています[4]。

（３）報告のタイムライン（２段階報告）

上記の漏えい等に関する個人情報保護委員会での報告を行う場合のタイムラインは以下のとおりであり、２段階で報告を行うことが必要になります。

【報告のタイムライン（2段階報告）】

①速報：

事態を知った後、速やかに（概ね発覚日から3〜5日以内に）、後述の報告事項のうち、その時点で把握している情報を提出

②確報：

事態を知った日から30日以内（不正な目的で行われたおそれがある場合は60日以内）に、詳細な原因・再発防止策等の後述の報告事項を提出

（４）報告事項

報告が必要となる事項は、大要、以下のとおりです。なお、速報に関しては、報告をしようとする時点において把握している内容を報告すれば足りるとされています[5]。

また、報告フォームは個人情報保護委員会のこちらのウェブサイトから利用可能です（報告事項の詳細についてもこちらのフォームをご参照ください。）。

なお、委託先と委託元が連名で報告する場合は、実務上、報告フォームのうち下記（9）の「その他参考となる事項」の欄に、連名で報告を行う旨と連名で報告する事業者名を記載することになります（報告フォームの文字数制限の関係で書ききれない場合は、「その他●社」などとしたうえで、連名とする事業者のリストの提出などを個人情報保護委員会の担当者とやりとりをする形で対応することが考えられます。）。

【報告事項】

（1）概要

（2）漏えい等が発生し、又は発生したおそれがある個人データの項目（不正な目的で行われたおそれがあるものについては、個人データとして取り扱われることが予定されている個人情報の項目を含む。）

（3）漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

（4）原因

（5）二次被害又はそのおそれの有無及びその内容

（6）本人への対応の実施状況

（7）公表の実施状況

（8）再発防止のための措置

（9）その他参考となる事項

２．本人への通知（どのような場合に、誰が、いつ、何を、どのように通知する必要があるか）

（１）本人への通知が必要となる場合　＝報告対象事態

上記の個人情報保護委員会への報告義務が生じる「報告対象事態」に該当する場合、原則として影響を受ける本人に対しても速やかに事態を通知しなければなりません（個人情報保護法第26条第2項）。

但し、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知は不要と考えられます（後述「（４）通知の内容」参照。）。

（２）通知義務の主体　＝報告義務の主体と基本的に同様

通知義務の主体についても、報告義務の主体と基本的に同様です。すなわち、以下のいずれかの選択肢があります。

但し、本人への通知については、実務上は、顧客やユーザーとの直接の接点を持つ委託元が主体となって実施すること（下記③）が通常と考えます。

【通知義務の主体】

① 委託元・委託先が各自で通知

② 委託元・委託先の連名で通知

③ 委託元による単独通知（委託先は委託元への通知のみ）

上記③について、委託先が委託元に対して、前述【報告事項】のうち、その時点で把握しているものを通知したときは、報告義務が免除されるとともに、委託先の本人通知義務は免除されるとされています。但し、委託元への通知を行った委託先は、必要に応じて委託元による本人への通知に協力することが求められます。[6]

（３）通知時期　＝当該事態の状況に応じて速やかに

本人への通知は、「当該事態の状況に応じて速やかに」行う必要があります。

「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことが求められますが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断するとされています。

例えば、以下のようなケースでは、その時点で本人への通知を行う必要はないと考えられます。[7]

【その時点で通知を行う必要があるとはいえないと考えられるケース】

①インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、個人情報取扱事業者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合

②漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合

（４）通知の内容　

上記の報告事項のうち、以下の事項を本人に通知することが必要とされています[8]。

【通知事項】

（1）概要：

当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第7条各号該当性、委託元及び委託先の有無、事実経過等を通知する。

（2）漏えい等が発生し、又は発生したおそれがある個人データの項目（不正な目的で行われたおそれがあるものについては、個人データとして取り扱われることが予定されている個人情報の項目を含む。）：

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに通知する。

（3）原因：

当該事態が発生した原因について、当該事態が発生した主体（通知者又は委託先）とともに通知する。

（4）二次被害又はそのおそれの有無及びその内容：

当該事態に起因して発生する被害又はそのおそれの有無及びその内容について通知する。

（5）その他参考となる事項

なお、本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものとされています。

また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要とされています。

「本人の権利利益を保護するために必要な範囲において」通知を行うものとして認められるケースとしては、以下のケースが考えられます。[9]

【本人の権利利益を保護するために必要な範囲において通知を行うケース】

① 不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。

② 漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。

（５）通知の方法　＝原則として公表では不十分

「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならないとされています。[10]

そのため、メールや郵送等による通知が考えられますが、ウェブサイトへの公表などでは原則として足りない点に注意が必要です（例外的に公表等でも足りるケースは後述のとおりです。）。

（６）本人への通知が困難な場合の代替措置

以下のような「本人への通知が困難な場合」は、以下のような「本人の権利利益を保護するために必要な代替措置」を講ずることにより対応することも認められています[11]。

【本人への通知が困難な場合に該当するケース】

① 保有する個人データの中に本人の連絡先が含まれていない場合

② 連絡先が古いために通知を行う時点で本人へ連絡できない場合

【代替措置に該当するケース】

① 事案の公表

※公表すべき内容は、個別の事案ごとに判断されるものの、本人へ通知すべき内容を基本とするとされています。

② 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること

なお、代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましいとされています[12]。

３．まとめ

委託先の事業者で発生した漏えい事故であっても、個人情報保護法上、委託元は適切な対応責任を免れることはできません。万が一の事故発生時には、委託先から迅速に情報収集を行い、個人情報保護委員会への速報・確報、本人への通知等を適時・適切に実行することが重要です。

インシデント対応等についても弊所ではサポートしておりますので、対応に迷うこと等ありましたらお気軽にご連絡ください。

【脚注】

[1] 個人データの「漏えい」とは、個人データが外部に流出することをいいます（例えば、不正アクセス等により第三者に個人データを含む情報が窃取された場合など）。個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しないとされています。
『個人情報の保護に関する法律についてのガイドライン（通則編）』（以下「通則編ガイドライン」といいます。）の「3-5-1-2 「漏えい」の考え方」参照
なお、「滅失」とは、個人データの内容が失われることを、「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることを、それぞれ意味します。

[2] 通則編ガイドラインの「3-5-3-1 報告対象となる事態」の「※４」では、サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（オ）が考えられるとされています。

（ア）個人データ（個人情報データベース等へ入力する予定の個人情報を含む。（イ）において同じ。）を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合
（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合
（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&Cサーバ）が使用しているものとして知られているIPアドレス・FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合
（エ）個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合
（オ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合

[3] 通知事項や通知期限などの詳細は『個人情報の保護に関する法律についてのガイドライン（通則編）』（以下「通則編ガイドライン」といいます。）の「3-5-3-5 委託元への通知による例外（規則第9条関係）」参照

[4] 『「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ』Q6-22参照

[5] 通則編ガイドライン「3-5-3-3 速報（規則第8条第1項関係）」参照

[6] 通則編ガイドライン「3-5-4-1 通知対象となる事態及び通知義務の主体」参照

[7] 通則編ガイドライン「3-5-4-2 通知の時間的制限」参照

[8] 通則編ガイドライン「3-5-4-3 通知の内容」参照

[9] 通則編ガイドライン「3-5-4-3 通知の内容」参照

[10] 通則編ガイドライン「3-5-4-4 通知の方法」参照

[11] 通則編ガイドライン「3-5-4-5 通知の例外」参照

[12] 通則編ガイドライン「3-5-4-5 通知の例外」の※１参照