『事故を起こしたのは委託先だから、委託元は報告を待てばよい』とは限りません。個人データを委託した事業者には、委託先の必要かつ適切な監督が求められます。事故後は、委託先任せにせず、事実と証拠を受け取り、自社の報告・本人対応を判断し、再委託を含むデータの流れを確かめます。契約上の責任分担と、本人・規制当局に対する法的義務は分けて整理します。 最初に確認する3点 被害は止まっているか：委託先の説明待ちにせず、公開停止や認証遮断の状況と残存リスクを確認します。 自社データの範囲はどこか：情報項目、対象者、処理期間、再委託先、保存場所を自社契約と照合します。 誰が外部連絡するか：当局報告、本人通知、顧客対応、保険通知の主体・文案・期限を決めます。 対応を整理する4つの視点 01 委託先に質問 時点・情報・対応状況 02 役割を確認 報告と本人通知の分担 03 自社でも判断 委託先任せにしない 04 契約と再発防止 責任・監督・改善を整理 並行して検討する項目もあります。個別事情に応じて順序と担当を確認します。 委託先への緊急質問票 口頭説明だけでなく、回答時点と根拠資料を明記した書面で更新を受け取ります。 発覚日時、侵入・誤操作の経路、現在の封じ込め 自社に関係する情報項目、対象者、期間、件数 外部閲覧・取得・公開の確認状況と根拠ログ 再委託先、国外保存、削除・バックアップの状況 次回報告日時、連絡責任者、対外発信の承認手順 通知を受けた直後に要求する情報 委託先から第一報を受けたら、発生・発覚日時、事故原因、対象データ、人数、侵害期間、封じ込め、ログ保全、再委託先、今後の更新時刻を求めます。情報がそろうまで待つのではなく、暫定情報と未確認事項を分け、定時更新を設定します。委託元側でも、提供したデータの台帳や契約と突き合わせます。 委託先が『暗号化済み』『アクセスは確認されない』と述べても、根拠を確認します。暗号化なら方式と鍵管理、アクセスなしならログの範囲・保存期間・欠損を確かめます。技術調査報告を法的評価へ翻訳し、報告四類型や本人の二次被害を判断します。 事故の時系列と最初に知った部署 対象となるデータ項目、本人、件数 侵入・誤公開・持出しの経路 封じ込め措置と証拠保全状況 再委託先と海外保存先の有無 次回報告時刻と責任者 状況が整理できていなくても相談できます 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 委託元・委託先の報告関係を整理する 委託先も報告対象事態について原則として委員会報告を検討します。ただし、報告義務を負う委託元へ、所定事項のうち把握している内容を速やかに通知した場合、委託先の委員会報告義務が免除される仕組みがあります。目安は委託先が事態を知ってから概ね3〜5日以内です。契約に連絡条項があるだけで、この例外が自動適用されるわけではありません。 委託元は通常、遅くとも通知を受けた時点で事態を知ったことになり、報告対象なら速やかに速報します。確報期限の起算点を曖昧にしないため、電話だけで済ませず受領日時と内容を記録します。本人通知の主体、共同公表、問い合わせ窓口も早期に決めますが、契約交渉の決着を待って被害防止を遅らせないことが重要です。 委託先から委託元への通知内容と受領証跡 委員会への速報・確報の担当と期限 本人通知・公表の名義と窓口 業法、取引先契約、保険の追加通知 費用負担や求償は緊急対応と別線で管理する 報告・通知の判断を会社任せにしないために 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 事故後の監督と契約を点検する ガイドラインは、適切な委託先の選定、委託契約、取扱状況の把握を求めています。事故後は、契約に事故通知期限、調査協力、ログ提供、再委託、監査、データ返還・消去、費用負担があるかを確認します。条項があっても運用されていなければ、実際の監督として十分だったかが問題になります。 架空例として、発送業務の委託先が宛名データを設定不備の共有領域へ保存し、外部閲覧のおそれが生じた場合を考えます。委託元は、委託先の報告だけでなく、自社が渡したデータと対象者を照合し、公開期間とアクセス履歴を確認し、報告・本人通知を判断します。再委託先が保守を担当していたなら、その権限と操作履歴まで追います。 保険を利用する可能性がある場合は、委託先事故が補償対象か、調査・通知・コールセンター費用に事前承認が必要かを早期に確認します。保険に詳しい弁護士は、法令対応、契約、保険通知の期限が衝突しないよう整理できますが、支払の可否は約款と保険会社の判断によります。 委託・再委託契約、仕様書、データ処理一覧 委託先の事故報告書と原ログの所在 自社から提供したデータの項目・人数 過去の監査、質問票、改善要求 保険証券、事故通知、費用承認条件 AIと保険も含めて対応を確認したい方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 緊急質問票で回答の粒度をそろえる 委託先ごとに説明形式が違うと、重要事項の抜けを見落とします。事故直後は平時の長いセキュリティ質問票ではなく、発覚時刻、対象データ、人数、侵入又は公開期間、アクセス証拠、封じ込め、暗号化と鍵、再委託、海外処理、次回回答時刻を尋ねる緊急質問票を使います。回答には根拠資料と回答責任者を付けてもらいます。 『調査中』という回答には、調査担当、使用するログ、完了予定、暫定的な最大影響範囲を追記してもらいます。委託元は受領した回答を自社の提供データ台帳と照合し、矛盾や空欄を質問管理表で追います。法的評価を委託先へ丸投げせず、自社が本人との関係で必要な判断を行います。 質問ごとの回答責任者と根拠 未回答事項の期限と最大想定 再委託・海外処理の連鎖 自社台帳との人数・項目照合 契約と責任の整理が必要な方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 責任分担と通知役割を一枚に固定する 事故対応中は、委託元と委託先の双方が本人へ連絡して内容が食い違う、又は互いに相手が通知すると思い空白が生じることがあります。委員会報告、本人通知、公表、取引先説明、問い合わせ受付、技術調査、証拠保存について、実行担当、文案承認者、費用負担の暫定扱いを一枚にします。 通知名義は、本人がどの事業者との関係でデータを預けたか、問い合わせへ誰が答えられるかを基準に検討します。共同名義や委託元名義でも、委託先が事実更新と窓口支援を続ける約束を置きます。契約上の賠償や責任割合は並行して検討しますが、法定期限と本人保護を交渉材料にして遅らせません。 報告・通知・公表の実行担当 文案と事実の承認経路 問い合わせの一次・二次窓口 費用と責任の暫定留保 予防と再発防止を相談したい方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 よくある質問 委託先が委員会へ報告すると言えば、委託元は不要ですか。 役割を合意しただけで委託元の義務が消えるわけではありません。誰がどの立場で報告するか、委託先通知の例外要件、委託元が知った日時を確認します。 再委託先が原因でも委託元は対応が必要ですか。 必要です。再委託を含む監督、データフロー、報告・本人通知を検討します。委託先を通じた調査だけで足りるかも事案に応じて判断します。 損害賠償はいつ検討しますか。 契約上の責任や求償は早期に証拠を保全して検討しますが、封じ込め、法定報告、本人保護を費用交渉で遅らせないよう別の作業線で進めます。 関連する対応 個人情報漏えいの報告義務｜4類型・速報と確報・委託先の例外 個人情報漏えいが発覚した直後にすること｜初動・証拠保全・社内分担 個人情報漏えいの本人通知と公表｜伝える内容・タイミング・謝罪文例 生成AIへの誤入力の会社対応 委託先監督義務と情報の管理 参考資料 個人情報保護法ガイドライン（通則編） 漏えい等の対応とお役立ち資料 監修確認用の下書き 監修候補：和氣良浩弁護士（弁護士法人ブライト）。監修完了前の確認原稿です。 弁護士紹介を見る 個別の状況を相談する 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。
