預ける相手は、契約した後も確認する

メール配信や会員管理を外部に任せると、顧客情報の保管場所や、閲覧できる担当者を自社の画面だけでは把握できないことがあります。契約書があることと、そのとおりに情報が扱われていることは、分けて確認してください。

個人情報保護委員会の通則編3-4-4は、個人データの取扱いを委託するときの監督として、相手の選定、契約、利用開始後の取扱状況の把握を示しています。委託する仕事に必要のない個人データを渡さず、情報の内容・量や本人への影響に応じた確認を行う考え方です。

IPAのガイドライン第4.0版も、外部サービスの利用状況や対策状況の把握、事故時の連絡・役割分担、契約終了時の情報とアクセス権の回収・破棄を挙げています。以下は、これらを顧客情報の管理に当てはめた確認表です。法令所定のチェックリストではありません。

契約前：預ける項目と相手の取扱いを確認する

まず、利用目的、預ける項目、使う部署、社内責任者を整理します。利用規約や契約書で確認できない点は、提供元に質問し、回答の根拠となる資料と日付を残してください。

自社で確かめられること 提供元に聞くこと・契約で決めること
情報の範囲：配信に不要な住所・注文履歴まで渡していないか。本文・添付・自由記入欄に顧客情報が入るか 保存する項目、利用目的、保存期間。業務外の利用を制限する条件
閲覧・操作：社内の誰が、どの画面で閲覧・出力・削除する必要があるか 提供元側の担当者が閲覧できる範囲、権限の管理、アクセス記録と確認できる範囲
相手の管理体制：個人データの内容・量に応じた安全管理措置を、資料と照合したか 委託業務に必要な措置の実施状況と根拠。自社から取扱状況を確認する方法
再委託：契約書に再委託の条件があるか 再委託先、任せる業務、情報の取扱方法、変更前の報告・承認と確認方法
事故時の連絡：連絡を受ける社内窓口と代行者を決めたか 事故やそのおそれを把握した後の通知の窓口・期限・内容。調査中の更新方法と役割分担
契約終了：必要な情報を返却してもらう形式と引継ぎ先を決めたか 削除・返却の期限、バックアップに残る情報の扱い、再委託先も含めた処理の確認方法

「再委託がある」だけで採否は決まりません。誰が何を扱い、変更時にどう知らせ、取扱状況をどう確認できるかまで整理します。通則編は、再委託先や業務内容などの事前報告・承認や、定期的な監査等による確認を望ましい対応として挙げています。

利用中：設定と契約が今の運用に合うか確かめる

確認する時期は、情報のリスクや契約に合わせて決めます。担当者の異動、連携先の追加、保存項目・利用規約の変更時にも見直してください。

自社で確かめられること 提供元に聞くこと・契約で決めること
項目・保存期間：不要な項目や古い情報が増えていないか。配信履歴・添付にも目を向ける 削除した情報が履歴・バックアップに残る期間。保存期間の変更の有無
権限：退職・異動した人の権限や不要な連携が残っていないか。出力できる人を把握しているか 提供元・再委託先の閲覧権限の見直しと、取扱状況の確認結果
契約との差：現在の設定・利用部署・預ける情報が、契約時の想定と一致するか 安全管理措置、再委託先、保管場所などの変更と、自社に必要な対応
連絡・改善：窓口が最新か。前回の未回答や改善依頼が完了しているか 対策状況を確かめる資料と、未対応事項の期限・再確認方法
終了・移行：使わなくなったサービスの情報と権限を整理したか 返却・削除・権限廃止の実施結果と、残る情報・保存理由・期限

自社の設定画面で分からない項目は「問題なし」と扱わず、質問先と回答期限を残します。契約上の約束、提供元が回答した実施状況、自社が画面で確認した結果を区別すると、次の確認で差を追いやすくなります。

提供元で漏えいの公表があったとき：自社の対象範囲を確かめる

同じ提供元のサービスでも、契約・利用期間・利用環境によって対象が異なることがあります。公表された全体の件数を、自社の顧客数に置き換えないでください。

自社で確かめられること 提供元に聞くこと・契約で決めること
対象かどうか：利用したサービス名、契約・利用環境、利用期間と公式発表を照合する 自社の契約・環境が対象か。その判断の根拠と未確定の範囲
情報・顧客：預けた項目、配信本文、登録・退会の記録を整理する 漏えいした、またはそのおそれがある項目・対象者・期間。自社の記録と照合する方法
経過：自社が公表や連絡を知った時刻、回答、対応を残す 発生日・発覚日、把握した事実、被害拡大防止措置、二次被害やそのおそれ、続報の予定
報告・本人通知：社内責任者と判断する窓口を決め、対象顧客への連絡状況を管理する 報告対象の判断に必要な情報、委託元への通知内容、本人通知への協力、両社の役割分担

直近の公表では、外部との関わり方も対象情報も異なる

2026年10月14日に確認した公式発表の例です。公表日は発生日と同じではありません。次の例は、外部サービス・委託先・外部ソフトウェアが関わる公表が続いたことを示すもので、同じ原因や同じ提供元による事案という意味ではありません。

  • ライドオンエクスプレスHD（10月13日、第3報）：登録情報の保管を委託したサーバーの運営会社からランサムウェア攻撃の報告を受け、氏名・住所・注文履歴等が漏えいした可能性を公表。最大 約650万件で、漏えいが確定した件数ではありません。
  • アルカディア（10月13日更新）：配信サービス「SpeeCAN RAIDEN」への不正アクセスにより、連絡先と履歴として保存された本文の内容が漏えいした可能性を公表。最大件数はメールアドレス約3136000件、電話番号約105000件、FAX番号約15000件で、推定値・調査中です。項目別の件数を合算しません。
  • Fivot・IDARE（10月13日）：業務に導入した外部ソフトウェアを通じた不正アクセスで、同社データベースの登録情報・残高・取引履歴等が取得されたと公表。対象は129,659人で、情報の範囲は利用状況により異なります。本人確認資料の画像とログインパスワードは漏えいしていない情報として示されています。情報の保管委託先が被害を受けた例と同一には扱いません。
  • ヤマハ発動機（10月12日）：「YAMAHA PAS Life」の基盤提供元が管理するサーバーへの不正アクセスで、登録者の約1,600名分の氏名・住所等が閲覧・取得された可能性を公表しています。

登録フォームの項目だけでなく、配信本文や取引履歴も確認の対象になります。各事案の件数は合算せず、攻撃者や各社の責任、提供元どうしの共通性は推測しません。各発表へのリンクは末尾の参考情報に掲載しています。

公表があったときに、自社で確かめる順番

1．公式発表と自社の利用記録を照合する

サービス名、契約、利用環境、利用期間を照らし合わせます。対象外と判断できない場合は、契約時から使っている窓口に確認してください。通知メールだけを根拠にせず、公式サイトと既知の連絡先で確かめます。

2．対象情報・対象者と、まだ分からない範囲を整理する

項目、期間、本人の数、漏えいの有無・おそれを分けて記録します。提供元全体の件数と、自社が預けた件数、自社で影響を確認した本人の数は別です。原因などが調査中なら、推測で埋めず、追加回答の担当者と期限を決めてください。

3．委員会への報告と本人通知の要否を判断する

通則編3-5-3-1は、要配慮個人情報、財産的被害のおそれ、不正目的の行為による漏えい等のおそれ、本人の数が1,000人を超える場合などを報告対象として示しています。少人数なら報告不要、漏えいの確定まで待ってよい、とは限りません。 責任者が事実関係を集め、判断が難しい場合は委員会の相談窓口や専門家に確認します。

委託した個人データでは、報告対象に該当すれば原則として委託元・委託先の双方に報告義務があります。委託先が規則に従って報告義務を負う委託元へ通知する場合、委託先の報告義務と本人通知義務が免除される扱いがあります。これは自社の報告・本人通知まで不要になるという意味ではありません。 提供元の公表だけで、自社の対応が済んだと判断しないでください。

報告対象を知ったら、速報は速やかに行い、通則編の目安は概ね3〜5日以内です。確報の期限は知った日から30日以内、不正目的の行為による事態では60日以内です。本人通知も事態に応じて速やかに行う必要があり、全項目の判明まで一律に待つ扱いではありません。期限は契約の回答待ちで延ばせないため、社内の担当部署が知った時点と、提供元から通知を受けた時点を残します。

4．本人への連絡を分担し、対応状況を残す

対象者、案内する事実、注意事項、問い合わせ窓口を確認し、誰が連絡するかを決めます。提供元が連絡する場合も、自社の対象顧客への対応状況を把握してください。分かっていない原因や影響を断定せず、把握できた内容と未確認を分けます。

連絡済み・未連絡と更新した案内を記録し、同じ相手への重複案内や、部署による説明の食い違いを避けます。情報の照合には提供元と合意した方法を使い、調査のために顧客一覧を別の外部サービスへ不用意に送らないでください。

この確認表の限界と、別に確認すること

表を埋めても、提供元の説明が実際の運用と一致することや、漏えいを防げることを保証するものではありません。個別の契約・システム・情報の性質に応じた確認が必要です。クラウド利用が法令上の「取扱いの委託」に当たるかも、契約名だけで一律に決まるものではありません。外国にある事業者への提供や第三者提供に関する個別の要件は、本記事の表だけでは判断できません。

自社システムやAPIを含めた点検は、「相次ぐ個人情報漏えい、中小企業が今週確かめること」を参照してください。取引先の停止に伴う受注・出荷や復旧時の二重処理は、「取引先がサイバー攻撃で止まったら、自社の業務をどう続ける？」で扱っています。

生成AIへの顧客情報の入力は、「顧客情報を生成AIに入力しても大丈夫？入力前の確認手順」で別に整理しています。問い合わせ業務の受付・下書き・人の確認を見直す場合は、問い合わせ対応の業務改善へ進んでください。