自社が顧客から提供を受けた個人情報を委託先に提供して、
委託先の従業員がその個人情報を漏洩させてしまった場合、
自社（委託元）にはどんな責任が存在するのか？
「顧客データの管理は委託先に任せているから、万一漏れても先方の責任だろう」
——そう考えている経営者の方は少なくありません。
しかし実際には、委託先で起きた漏えいでも、お客さまや行政に対して責任を問われるのはまず自社です。
昨日、（2026年10月15日）弊社の中で
とある証券会社より、情報漏洩の第一報の連絡がありました。
このテーマの通り、業務委託先のサーバーが第三者の不正アクセスにより
お客様情報の漏洩が発生したとのことです。
システム保守、クラウドサービス、給与計算、発送代行、コールセンターなど、個人情報を外部に預ける場面は中小企業でも当たり前になりました。
この記事では、委託先の漏えいで自社が負う責任、実際にかかる費用、そして今できる備えを分かりやすく解説します。
１．結論：委託先の漏えいでも「自社の責任」になる
個人情報を集めたのは自社であり、お客さまが信頼して情報を渡した相手も自社です。
そのため、業務を外部に委託しても、情報を守る責任そのものは委託元に残ります。
委託先で漏えいが起きたとき、自社に生じる責任は大きく次の3つです。
- 法律上の責任：個人情報保護法に基づく委託先の監督義務、行政への報告・本人への通知
- 民事上の責任：被害を受けたお客さまからの損害賠償請求
- 社会的な責任：謝罪、説明、取引先・顧客からの信頼低下
報道で社名が出るのも、多くの場合は委託先ではなく委託元です。
「うちは被害者だ」という言い分は、お客さまにはほとんど通じません。
２．法律上の責任：個人情報保護法の「委託先の監督」
個人情報保護法は、個人データの取扱いを委託する事業者に、委託先を必要かつ適切に監督する義務を課しています（第25条）。
具体的には、次の3点が求められます。
- 適切な委託先を選ぶ：安全管理体制が自社と同等以上かを確認する
- 契約で取り決める：安全管理措置、再委託の条件、事故時の報告などを契約に盛り込む
- 取扱状況を把握する：定期的な報告や監査で、契約どおり運用されているか確かめる
委託先で漏えいが起き、この監督が不十分だった場合は、委託元自身の法違反とされます。
３．報告と本人通知も委託元の義務
要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正アクセスなど不正な目的による漏えい、1,000人を超える漏えいなどは、個人情報保護委員会への報告と本人への通知が義務です（第26条）。
委託先で起きた事故でも、報告と通知の対応を担うのは原則として委託元です。
委員会の勧告・命令に従わない場合、法人には1億円以下の罰金が科される可能性があります。
４．2026年の法改正で、委託のルールも変わります
改正個人情報保護法（令和8年法律第56号）が2026年7月10日に成立し、7月17日に公布されました。
主な部分は公布から2年以内に政令で定める日から施行されます。
改正では、悪質な違反への課徴金制度の導入や、委託に関する規律の見直しが盛り込まれています。
細かい運用は今後の政令・規則・ガイドラインで示されるため、委託契約の見直しはこれからの公表を確認しながら進めるのが安全です。
５．民事上の責任：お客さまからの損害賠償
情報を漏えいされたお客さまは、委託元に対して損害賠償を請求できます。
委託先の選定や監督に落ち度があれば、自社の過失として責任を問われます。
委託先を実質的に指揮監督している関係なら、使用者責任（民法第715条）が問題になることもあります。
もちろん、原因を作った委託先に対して、自社が支払った賠償金や費用を請求（求償）することは可能です。
ただし、委託契約に賠償額の上限（「委託料の額を上限とする」など）があると、回収できるのは一部にとどまります。
委託先の規模が小さければ、支払能力そのものが足りないこともあります。
６．過去の事例が示すこと
2014年に発覚した大手教育企業の事案では、グループ会社の委託先にいた元従業員が顧客情報を持ち出し、約3,500万件規模の漏えいになりました。
情報を持ち出したのは委託先側の人物でしたが、お詫びの対応や訴訟への対応を担ったのは委託元です。
裁判で認められる1人あたりの慰謝料は、数千円程度にとどまることも少なくありません。
それでも、件数が数千、数万となれば、総額は中小企業にとって大きな負担になります。
７．実際にかかる費用は「賠償金」だけではない
漏えいが起きると、賠償金より先に、事故対応の費用が一気に発生します。
委託先が原因でも、これらをいったん立て替えるのは委託元であることがほとんどです。
|
費用の種類 |
主な中身 |
|---|---|
|
原因調査 |
フォレンジック調査、影響範囲の特定 |
|
お客さま対応 |
お詫び状の郵送、コールセンター設置、お詫びの金券など |
|
専門家への相談 |
弁護士費用、広報・記者会見の支援 |
|
損害賠償 |
慰謝料、二次被害（不正利用など）への賠償、訴訟対応 |
|
再発防止 |
システム改修、委託先の切り替え |
|
営業上の損失 |
業務停止、取引停止、解約による売上減少 |
特に中小企業では、一つひとつの金額よりも「短期間にまとめて出ていく」ことが資金繰りを圧迫します。
７．今日からできる委託先管理チェックリスト
まずは自社の委託先を思い浮かべて、次の項目を確認してみてください。
- 個人情報を預けている委託先を一覧にしている（クラウドサービスも含む）
- 委託前に、相手のセキュリティ体制（認証の有無、社内規程など）を確認している
- 契約書に、安全管理措置・再委託の条件・事故時の報告期限が書かれている
- 契約書の損害賠償の上限額を把握している
- 再委託先（孫請け）がどこかを知っている
- 年に1回は、取扱状況の報告を受けるかチェックシートで確認している
- 委託終了時に、データの返却・廃棄を確認している
- 委託先がサイバー保険などに加入しているか知っている
- 漏えい時の社内の連絡先と初動の手順が決まっている
全部を一度に整える必要はありません。
大量の顧客情報や、クレジットカード・健康情報を預けている委託先から優先して見直しましょう。
８．保険で備える：サイバー保険の確認ポイント
委託先管理を徹底しても、事故をゼロにすることはできません。
そこで、万一の費用を引き受けるのがサイバー保険（個人情報漏えい保険）です。
多くの商品は、次の2種類を補償の柱にしています。
- 損害賠償責任：お客さまや取引先への賠償金、争訟費用
- 事故対応費用：原因調査、お詫び状・コールセンター、弁護士相談、再発防止など
▶加入時・更新時に確かめたいこと
- 委託先で起きた漏えいも対象か：自社が責任を負う場合に補償される商品が一般的ですが、必ず約款で確認します。
- 事故対応費用の範囲と限度額：調査費やお詫び費用に別枠の上限があることが多いためです。
- 営業停止による損失への備え：契約や特約によって扱いが異なります。
- 事故時の初動支援サービス：調査会社や弁護士の紹介があると、混乱した状況でも動き出しが早くなります。
「今の保険でどこまでカバーされているのか分からない」という場合は、証券を手元に用意してご相談ください。
※補償の内容・条件は保険会社や商品、ご契約内容により異なります。詳しくは「重要事項説明書」や約款をご確認ください。
９．まとめ
業務は委託できても、個人情報を守る責任までは委託できません。
委託先を選び、契約で縛り、運用を確かめる。その上で、防ぎきれない事故の費用を保険で備える。
この二段構えが、会社とお客さまを守る現実的な対策です。
現在ご加入中の保険の補償範囲の確認や、業種・規模に合わせたサイバー保険のご提案を無料で行っています。
お気軽にお問い合わせください。
※本記事は一般的な情報提供を目的としたもので、個別の法的判断を示すものではありません。
具体的な事案については、弁護士等の専門家にご相談ください。
