委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れ

9月末、個人情報の漏えいの公表が相次ぎました。損害保険ジャパンは9月29日、委託先のTOPPANの作業誤りを公表しました。契約者177,426名分のデータが、他の損害保険会社に送られたという内容です。

委託先で起きた事故でも、法律上の報告と本人への通知は委託元にも求められます。この記事では、漏えいが起きたときの期限と流れを、委託先のケースを中心に整理します。

漏えい等報告のルール いつから・誰に・何を・罰則は

個人データの漏えいの報告は、2022年4月に全面施行された改正個人情報保護法で義務になりました。個人データとは、顧客名簿のように検索できる形で整理された個人情報のことです。ルールの骨組みを表にします。

刑罰の「拘禁刑」は、2025年6月から懲役と禁錮をまとめた新しい刑です。報告先は原則として個人情報保護委員会です。業種によっては、権限を委任された事業所管の省庁に報告します。

報告が必要な4つの場合

すべての漏えいが報告の対象ではありません。施行規則第7条が定める4つの場合のどれかに当たるときに、報告と本人への通知が必要です。実際に漏えいしたときだけでなく、漏えいした「おそれ」がある段階でも対象です。

3つ目は、2024年4月1日の規則改正で範囲が広がりました。まだデータベースに入れていない、これから取得しようとしている個人情報も含まれます。Webサイトの入力ページが書き換えられ、入力内容が盗まれた場合などです。

なお、高度な暗号化がされていれば、報告は要りません。

期限は速報3〜5日、確報30日か60日

報告は2段階です。最初の「速報」は分かっている範囲で、2回目の「確報」で全部の項目を出します。

「知った」時点は、会社のどこかの部署が事態を知った時点です。担当の部署が知った日とは限りません。確報の30日は土日・祝日も数え、最終日が休日なら翌日が期限になります。

報告は原則として、個人情報保護委員会のWebサイトの報告フォームから出します。

本人への通知は、事態の状況に応じて速やかに行います。伝えるのは、概要、漏えいした項目、原因、二次被害のおそれ、その他参考になることです。連絡先が分からず通知が難しいときは、事案の公表や問い合わせ窓口の設置といった代わりの措置が認められています。

委託先で起きたら?責任と通知の流れ

業務を外に出していても、責任まで外に出せるわけではありません。ガイドラインは、委託している場合は委託元と委託先の双方が報告の義務を負うとしています。

ただし、法律には例外があります。委託先が、報告の義務を負う委託元に速やかに事態を知らせれば、委託先自身の報告と本人への通知の義務はなくなります。この通知の目安も、委託先が知ってから概ね3〜5日以内です。

委託元には、もともと委託先を監督する義務があります(法第25条)。ガイドラインは、適切な委託先を選ぶ、契約を結ぶ、委託先での扱いを把握する、の3つを求めています。再委託先で事故が起きた場合、委託元が十分に監督していなければ、委託元の法違反と判断され得るとも書かれています。

9月末に公表された2つの例から学ぶ

公式発表で確かめられた2つの例を並べます。1つは委託先の作業ミス、もう1つは自社システムへの不正アクセスです。

損害保険ジャパンの例では、保険会社14社が同じ委託先に運用業務を委託していました。損害保険ジャパンは、委託先への管理体制を一層強めると表明しています。共同で使う外部サービスでも、自社のデータについては自社が説明する立場になることが分かります。

パーク24の例では、検知した9月25日から、3日後の第2報で規模と報告先を公表し、4日後に個別の案内を始めています。速報3〜5日という目安の中で、段階的に情報を出していく流れの参考になります。

委託契約で決めておくことチェックリスト

いざというとき、契約に書いていないことは頼みにくくなります。ガイドラインが求める監督の中身を、契約の条項に落とし込むと次のようになります。

報告の期限は法律の「3〜5日」より短く決めておくのが実務的です。委託元は、委託先からの通知を受けた時点から自分の速報の期限が動くからです。

2026年の法改正で変わる予定のこと

個人情報保護法は、2026年7月10日に改正法が成立し、7月17日に公布されました。施行は原則として公布から2年以内で、詳しい中身は今後の政令や規則で決まります(2026年10月3日時点)。個人情報保護委員会の概要資料から、この記事に関係する点を挙げます。

委託先の義務の免除は、漏えい時に委託元へ速やかに報告することなどを契約で合意している場合が想定されています。いまのうちに契約へ報告の条項を入れておけば、改正後の運用にもつながります。

今日からできること

事故が起きてから慌てないために、今週中に確認しておきたいことです。

1. 個人データを預けている委託先の一覧を作り、データの種類と人数を書き出す
2. 委託契約に、報告の期限・窓口・調査協力・再委託・返却削除の条項があるか確かめる
3. 社内で「知った」時点を誰が判断し、誰が速報を出すかを決める
4. 個人情報保護委員会の報告フォームの場所と、自社の業種の報告先を確認する
5. 本人への通知文と、問い合わせ窓口の立ち上げ手順のひな形を用意する

委託先で起きた事故でも、顧客から見れば窓口は委託元です。期限から逆算した連絡の約束を、平時のうちに委託先と交わしておくことが、いちばん確かな備えになります。