委託先が起こした情報漏えいで、責任を負うのは結局どちらの会社か

「情報が漏れたのは委託先の話で、うちの落ち度ではありません」——取引先や顧客から説明を求められた経営者が、最初につい口にしてしまう言葉です。気持ちは分かります。自社の外に預けたデータで起きた事故を、預けた側がすべて背負うのは理不尽に感じられます。

ところが、この言い分は個人情報保護法の建て付けと噛み合いません。個人データの取扱いを外部に委託した場合でも、委託元には委託先を監督する義務が残ります。事故が起きた場所が自社のサーバーでなくても、本人への説明や取引先への報告を担うのは、多くの場面で委託元のほうです。

先に断っておくと、これは「委託先を疑いましょう」という話ではありません。データ入力、発送代行、コールセンター、システムの保守運用、経理事務の一部代行——多くの会社が、何らかの形で個人データの取扱いを外に出しています。任せること自体は、事業を回すうえでごく普通の選択です。厄介なのは、任せたあとに「どこまでを見ておくべきか」が誰の頭の中にもなく、契約書にも書かれていないまま、付き合いの年数だけが積み上がっていくことです。この記事では、責任の構造と、契約書および年1回の確認で何を決めておくかを順に見ていきます。なお一般的な整理ですので、個別の契約や事故への対応は弁護士等の専門家にご確認ください。

現場で実際に起きている四つの場面

「委託先の事故」と一口に言っても、中身はかなり違います。業種を問わず繰り返し見かける型を並べます。

一つ目は、委託先の担当者が使っていた端末がウイルスに感染し、作業のために渡していた顧客データが外部に送り出されていた、という場面です。この型のやっかいなところは、委託元の社内には何の異常も出ないことです。自社のログはきれいなまま、自社の機器も無事なまま、事実だけが数か月遅れで伝わってきます。「うちのシステムには問題ありませんでした」は、この型では何の説明にもなりません。

二つ目は、契約では想定していなかった再委託先が無断で使われていたという場面です。データ入力や発送作業の一部が、契約書に名前の出ていない別会社にそのまま流れている。安全管理の水準を確認したつもりでいた相手と、実際にデータを触っていた相手が、まったくの別会社だったと後から分かります。

三つ目は、作業のために渡したファイルが、委託先の担当者の私物のパソコンやクラウドの個人領域に置かれていたという場面です。業務用の環境が使いにくい、家で片付けてしまいたい、といった事情から個人の判断で行われることがほとんどで、悪意はまずありません。それでも、会社として管理していない場所にデータがある以上、そこで何が起きても誰も気づけません。

四つ目は、取引が終わったあとも渡したデータが委託先に残ったままになっていた、という場面です。表に出るきっかけはたいてい偶然で、別件の調査の途中に、旧システムのバックアップの中から当時のデータが出てくる。理由は単純で、契約終了のときに返却も削除も求めていなかっただけです。

四つを並べてみると、気づくきっかけがどれも自社の外にあることが分かります。自社の監視をどれだけ手厚くしても、相手の社内で起きたことは映りません。委託先からの一報か、取引先や外部からの指摘か、あるいは別件の調査の副産物か。入口はその三つくらいしかなく、どれも自分では早められません。だからこそ、あとで触れる「事故の疑いの段階で連絡をもらう」という取り決めが、思っている以上に効いてきます。

四つに共通するのは、いずれも委託先が意図的に悪事を働いたわけではない、という点です。端末の感染は誰にでも起こり得ますし、再委託は業務を回すための現実的な判断だったのでしょう。私物領域への保存も、目の前の仕事を早く終わらせたかっただけかもしれません。悪意のない事故のほうが、実際にはずっと多く起きています。

「委託先の落ち度」がなぜ自社の責任になるのか

ここが最も誤解されやすいところです。事故そのものを起こしたのが委託先であっても、責任の所在がそこで完結するわけではありません。個人情報保護法は、個人データの取扱いを委託する場合について、委託を受けた者に対する必要かつ適切な監督を委託元に求めています。委託したことで管理責任が委託先に移るのではなく、監督する義務として委託元に残る、という構造です。

実務上の影響はもっと直接的です。顧客や取引先は、データがどこで漏れたかにかかわらず、まず契約している相手、つまり委託元に説明を求めます。委託先の名前も体制も知らない本人からすれば、当然の話です。委託元は「委託先の問題です」とは言えず、事実関係の確認、本人への通知、必要な報告や対応まで、実質的に自社の仕事として引き受けることになります。

委託先がさらに別の会社にデータの取扱いを回している場合、その先の落ち度についても、委託元は無関係ではいられません。再委託の可否や範囲を取り決めていなければ、誰がどこまで負うのかという話し合いは、事故の直後という一番まずいタイミングで始まります。契約書に書いていなかったことは、たいてい水掛け論になります。

そして監督義務は、一度きりの手続きではありません。選ぶとき、契約を結ぶとき、付き合いが続いているあいだ、どこが欠けても果たしたとは評価されにくくなります。選ぶときには、個人データを扱えるだけの体制があるかを見ないまま、納期と相性だけで決めてしまう。契約を結ぶときには、業務委託契約の末尾に「個人情報は適切に取り扱うこと」という一文を置いて安心してしまう。そして契約が続いているあいだは、最初の取り決めをそのままに、気づけば何年も経っている。三つのうち最後が抜けている会社が、いちばん多い印象です。

契約書に何を書いておくか

委託先とのトラブルは、その多くが契約を結ぶ時点の曖昧さに端を発しています。事故が起きてから条件を交渉しようとしても、双方すでに感情的で、冷静な話し合いにはなりません。書面で先に決めておくべき項目を整理します。

どれも特別な条項ではありません。いま手元にある契約書を開いて、抜けている行に印をつけ、次の更新のときに足す。それだけで状況は変わります。文言そのものの妥当性は、顧問弁護士に見てもらうのが確実です。

実際には、古くからの取引先ほど、こうした項目が契約書に入っていません。付き合いが長く、信頼関係があるからこそ、いまさら結び直したいと言い出しにくい。その気持ちは分かりますが、信頼していることと、書面に何も残っていないことは別の話です。長い付き合いの相手だからこそ、いざというときに「うちはそんなつもりで預かっていない」とすれ違わないための書面が要ります。見直しを持ちかけること自体は、相手を疑う行為ではありません。

年1回、委託先に何を聞くか

契約書に書いたことが実際に守られているかは、契約書を読んでも分かりません。年に一度、具体的な質問を投げて答えてもらう機会を作ってください。「対策していますか」では何も出てきません。聞き方はこのくらい細かくします。

1. 渡したデータに、実際に誰がアクセスできる状態になっていますか。
2. 担当者の入れ替わりがあったとき、権限の削除はどの手順で、いつまでに行っていますか。
3. 退職した担当者のアカウントで、まだアクセスできるものは残っていませんか。
4. データを社外に持ち出すことは認められていますか。認めている場合、どんな条件がありますか。
5. 私物の端末やクラウドの個人領域で、業務データを扱うことはありませんか。
6. 私たちに断りなく、別の会社にデータの取扱いを再委託していませんか。
7. アクセスした記録(ログ)は、どのくらいの期間残していますか。
8. 何かあったときの連絡先と、最初に連絡が来るまでの目安の時間はどれくらいですか。
9. 前回確認したときから、体制や担当者、委託先に変わったことはありますか。
10. 契約が終わったとき、データはどの手順で返却または削除されますか。

狙いは委託先を試すことではありません。答えに詰まった項目こそが、実際に穴になっている場所です。すらすら答えが返る項目に手当ては要りませんが、「確認します」「後ほど回答します」が続く項目は、契約で決めたはずのことが現場に届いていない合図です。

運用の形も決めておいたほうが続きます。送り主は日々やり取りしている現場の担当者ではなく、契約を管理している側の名前にする。回答の期限は2週間ほど置いて、相手が社内に聞いて回る時間を見込んでおく。委託先が多くて手が回らないなら、扱うデータの機微さで上から並べ、上位から着手すれば十分です。送る時期を契約の更新月に合わせておくと、回答を見てから条件を見直せるうえ、こちらの作業も年中に散ります。

毎年まったく同じ紙を回すより、最後の一問「前回から変わったこと」を起点に、変わった部分だけ深掘りするほうが実りがあります。担当者が替わった、システムを入れ替えた、別の拠点でも作業するようになった——管理の抜けは、決まってこういう変化の直後に生まれます。逆に何も変わっていない年は、思い切って簡略化して構いません。毎年きっちり同じ負担をかけると、回答の質のほうが先に落ちます。

質問票を渡して終わりにしない

年1回の確認を、紙を送って回収するだけの作業にすると、実態を映さないやり取りが残ります。委託先の担当者からすれば、本業の合間に処理する書類仕事の一つでしかなく、正確な回答より無難な回答を選びたくなるのは自然なことです。全項目に「はい」と丸がついて戻ってきた質問票ほど、中身を誰も確かめていません。

効かせるには、受け取ったあとに一往復だけ具体的なやり取りを重ねることです。「持ち出しは認めていない」と書いてあれば、どの規程でそう決めていて、どう周知しているのかを一言聞き返す。「ログは残している」と書いてあれば、どのくらいの期間、誰が見られる形で残っているのかを聞く。この一往復で、紙は形式から実態に変わります。

ただし、監督する側とされる側という緊張関係だけで運用すると、都合の悪い報告ほど上がってこなくなります。事故が起きればお互いが困る立場にあるのですから、「一緒に守る」という位置づけで確認の場を作ったほうが、集まる情報は実態に近づきます。技術的な支援が必要なら、第三者による点検を入れる選択肢もあります。こちらのページで、外部からの侵入点検についてご案内しています。

自社が「委託先」の立場であるときの備え

ここまでは委託元の視点で書いてきました。しかし多くの会社は、どちらか一方の立場に固定されてはいません。大きな取引先からデータの取扱いを任されている場面では、自社が委託先です。

近年、大手企業が取引先を選ぶ条件として、セキュリティに関する質問票への回答を求める動きが広がっています。データをどう扱っているか、誰がアクセスできるか、事故が起きたらどう連絡するか。ここで即答できない会社は、取引の入口で足踏みします。裏を返せば、質問票に具体的に答えられる状態を用意しておくこと自体が、いまや受注の条件になりつつあるということです。

慣れていない会社が最初につまずくのは、「答えられない」ことよりも、「誰に聞けば答えが分かるのか社内で分からない」ことのほうです。データを扱う担当者と、契約を管理する担当者と、システムを保守している担当者が別々にいて、質問票が部署のあいだを回っているうちに期限が来る。実際の管理水準を見てもらう前の段階で、取引先の信頼を削ってしまいます。自社がどんな個人データを、どの業務で、誰が扱っているのか。これを一枚の紙にまとめてあるだけで、回答の速さは変わります。

もう一つ、地味ですが効く準備があります。これまでに受け取った質問票と、そのとき出した回答を、一か所にまとめて残しておくことです。取引先が違っても、聞かれることは驚くほど似ています。前回の回答を土台にできれば、毎回ゼロから社内を走り回らずに済みますし、回答の食い違いも防げます。古くなった箇所だけを直して出す、という形に持ち込めれば、質問票は負担ではなくなります。

備えの中身は、委託元として相手に求めることの裏返しです。誰がデータにアクセスできるかを整理しておくこと、持ち出しに関する社内の決まりを文書にしておくこと、退職者の権限を確実に削除する手順を持っておくこと、何かが起きたときにどこへ、どのくらいの時間で連絡するかを社内で共有しておくこと。どれも大きな投資が要る話ではなく、すでにある取り決めを紙に落とすだけで整う部分が大半です。体制の点検や取引先向けの説明資料の整備を相談したい場合は、お問い合わせページからご連絡ください。ご相談自体に費用はかかりません。

契約と確認を、事故が起きる前に済ませておく

委託先の事故は、「起きてから考える」ことができない類の問題です。起きた瞬間には、契約書に何が書かれているか、これまでどんな確認を重ねてきたかが、そのまま対応の速さと説明の質になって表に出ます。契約に穴がなく、年に一度の確認を続けてきた会社は、何が起きたのか、どこまで影響が及ぶのかを早い段階で押さえられます。

逆に、曖昧なまま長年の付き合いに任せてきた会社は、事故が起きてから委託先の体制を知ることになります。その場で初めて聞かされる「実は一部を別の会社にお願いしていまして」ほど、対応を重くする言葉はありません。

やることは決まっています。いま外部に個人データの取扱いを任せている先を、社内で一度洗い出す。それぞれの契約書を開き、先ほどの七つの項目のうち何が抜けているかを確認する。抜けのある委託先から順に、契約の見直しと次回の確認の日程を提案する。全部に一度に手をつける必要はありません。扱うデータの重さ、委託先の人の入れ替わりの多さ、契約を結んでからの年数。この三つで並べ替えれば、どこから手をつけるかは自然に決まります。

参考になる公的資料

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「個人データの漏えい等の事案が発生した場合等の対応について」
• 経済産業省・情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」
• 情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」