委託先のミスで個人情報が漏れたら、誰がいつお客様に連絡する？開発会社と先に決めておく連絡の流れ

2026年9月29日2026年10月13日

システムの開発や運用を外部の会社に任せていると、「委託先のミスで個人情報が漏れた」という連絡が、ある日突然入ってくることがあります。そのとき一番困るのは、技術的な復旧よりも「お客様や取引先に、誰が、いつ、何を伝えるのか」が決まっていないことです。

「委託先のミスで個人情報が漏れた時、取引先やお客様に誰がいつ連絡するのか決まっていない…」

先に結論をお伝えします。委託先で漏えいが起きても、お客様への説明や国への報告は「任せた側（委託元）」の責任として残る、と考えて準備するのが安全です。そして、連絡の担当・期限・窓口は、事故が起きてからではなく、契約や運用ルールの段階で開発会社と決めておくことができます。

この記事では、個人情報保護法の報告・通知の基本的な考え方（一般論）と、委託先と事前に決めておきたい連絡の流れ、そのまま使えるチェックリストと質問例を解説します。個別の事案の判断は、弁護士や個人情報保護委員会などの公式窓口に確認してください。

委託先で漏えいが起きたとき、連絡が止まりやすい3つの理由

理由1：「うちのミスではない」ので、自社に義務があると思っていない

個人情報の取り扱いを外部に任せる場合、個人情報保護法では、任せた側にも委託先を監督する責任があります。漏えいが起きたとき、報告や本人への通知についても、委託元が当事者になりうる点を、多くの方が見落としています。

理由2：連絡の窓口と期限が、契約書のどこにも書かれていない

開発会社との契約書や保守契約書に、セキュリティ事故が起きたときの連絡先・連絡期限が書かれていないケースは珍しくありません。「事故があったら報告する」とだけ書かれていて、いつまでに・誰に・何を伝えるかが空白のままだと、初動が遅れます。

理由3：事実が分からないうちは、誰も動けない

漏えいの原因や範囲が調べ終わるまで連絡できない、と考えてしまうのも典型的な遅れの原因です。法令上の報告にも、分かっている範囲で先に出す「速報」と、詳細を後から出す「確報」の2段階があります。

個人情報保護法の「報告」と「本人通知」の基本

ここからは一般的な考え方の紹介です。条文や運用は改正されることがあるため、実際の対応では最新の公式情報を確認してください（執筆時点：2026年10月）。

📰 出典：個人情報の保護に関する法律（e-Gov法令検索）

個人情報保護法では、一定の重大な漏えい等が起きた場合に、個人情報保護委員会への報告と、本人への通知が義務とされています（法第26条。2022年4月から）。

📰 出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」

項目	一般的な考え方
報告の対象になりやすい事態	要配慮個人情報が含まれる、不正な利用で財産的な被害が出るおそれがある（カード情報など）、不正の目的による漏えい、多数（1,000人を超える）の本人に関わる、など
国への報告（速報）	事態を知ってから、おおむね3〜5日以内を目安に、分かっている範囲で報告
国への報告（確報）	原則30日以内（不正の目的によるものなどは60日以内）に、調査結果をまとめて報告
本人への通知	事態の状況に応じて速やかに、漏えいした内容・原因・二次被害のおそれなどを伝える

対象になるかどうかは、漏れた情報の種類や人数、原因によって変わります。「この程度なら対象外だろう」と自社で決め込まず、迷ったら専門家や公式窓口に相談するのが基本です。

委託先が起こした場合は、誰が報告・通知するのか

委託先が個人情報取扱事業者である場合、委託先が委託元へ速やかに事態を通知すれば、委託先自身の国への報告義務は免除される、という整理が個人情報保護委員会のQ&Aなどで示されています。一方で、委託元の報告・通知の義務は、それだけでは免除されません。

つまり、次のような流れになるのが基本です。

委託先が事態に気づき、委託元（発注者）へ速やかに連絡する
委託元が、国への報告（速報・確報）と本人への通知を、誰がどう行うかを決める
実務上は、委託先が調査結果や報告用の情報を用意し、委託元が窓口として動くことが多い

ここで重要なのは、手順1の連絡が遅れると、手順2以降のすべてが遅れることです。委託先の連絡が遅いと、委託元が期限内に動けなくなります。

開発会社と事前に決めておきたい5つのこと

1. 委託先から発注者への「第一報」の期限と手段

「異常に気づいたら、24時間以内に、電話とメールの両方で」のように、期限と手段を具体的に決めます。夜間・休日の連絡先も含めます。調査が終わっていなくても連絡する、とあらかじめ約束しておくのがポイントです。

2. 第一報に含めてほしい情報

分かっている範囲でよいので、次の項目を第一報のテンプレートにしておくと、国への速報や本人への通知文に使い回せます。

いつ、何が起きたか（発生日時・発見日時）
どの情報が、おおよそ何件・何人分か
原因の見込み（不明なら不明で構いません）
すでに行った応急処置（アクセス遮断、パスワード変更など）
次の報告の予定時刻

3. 国・お客様への連絡を、誰が行うか

国への報告と本人への通知は、通常は委託元の名義で行います。そのうえで、問い合わせ窓口の設置、お詫び文面の作成、被害状況の調査などを委託先がどこまで手伝うかを、役割分担表にしておきます。

4. 調査・ログの保全と協力範囲

原因を調べるにはログ（システムの操作記録）が欠かせません。ログの保存期間、発注者が確認できる範囲、調査にかかる費用を誰が負担するかを、事前に確認しておきます。

5. 年に1回の連絡訓練

連絡先は、担当者の異動や退職で古くなります。年に1回、「第一報の電話とメールが届くか」「窓口の担当者が出られるか」を確かめるだけでも、本番での遅れはかなり減ります。

やりがちな失敗

原因が分かるまで連絡しない：期限は事態を知った時点から進みます。分かっていることだけで先に動きます
連絡先が現場の担当者個人のメールだけ：休暇や退職で届かなくなります。共有の窓口アドレスと緊急用の電話番号を決めます
「委託先の責任」と決めつけて対応を任せきりにする：お客様から見れば、問い合わせ先はあなたの会社です
契約書に何も書かないまま運用する：事故の際に費用負担でもめる原因になります

なお、これは開発会社を疑うための話ではありません。開発会社側も、連絡先と期限が決まっていれば、迷わず動けます。事前に決めておくことは、双方にとって安心材料になります。委託先のセキュリティ確認や契約の考え方は、委託先が攻撃されたら自社のお客様の情報も漏れる？開発会社のセキュリティ確認と契約で決めておく6つのことも参考になります。