LASSIC Media らしくメディア
業務委託先の情報漏洩の事例｜公表資料にみる原因と確認項目
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 公表された委託先起点の漏えいでは、保守やクラウドを委託と考えず監督の外に置いた例が繰り返し出ています。
- 原因は委託の範囲の取り違え、契約の決まりの不足、再委託先の見落とし、契約後の確認の不足の4つです。
- 発注側は、データに触れる会社と人、保管と廃棄の条項、再委託の承諾、定期の報告と実地の確認を確かめます。
※ 本記事は2026年11月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
顧客の個人データを扱う作業を外部に任せているが、業務委託先で情報漏洩が起きたら自社はどこまで問われるのか。委託先から返ってきたセキュリティの確認書に何が書かれていれば足りるのか。そう迷う情報システム部門の担当者もいるはずです。
本記事は、個人情報保護委員会とIPA（情報処理推進機構）が公表した資料のうち、委託先から個人データが漏えいした事例だけを素材に、発注側がつまずいた原因の型と、契約の前後で確かめたい項目を整理します。報道や企業の発表は出典にせず、社名も伏せて書きます。
目次
業務委託先の情報漏洩とは
ここでいう業務委託先の情報漏洩は、自社が個人データの取扱いを任せた会社や、その会社がさらに任せた会社（再委託先）から、データが漏えいすることを指します。個人情報保護法第25条は、個人データの取扱いを委託する事業者に、委託先への必要かつ適切な監督を求めています。*6 委託先で起きた漏えいでも、発注側の監督のあり方が問われます。
令和7年度に民間の事業者などから個人情報保護委員会へ報告された漏えい等は13,345件で、そのうち漏えい等元が委託先だったのは1,292件（9.7％）でした。委託先の分では誤送付が506件、不正アクセスが328件と多く、紛失や内部不正も報告されています。*1
- 個人情報保護委員会の指導：令和7年度第4四半期の指導の内容では、委託先に対する監督の不備が19件で、外部からの不正アクセス等の防止の不備（20件）に次いで多かった*2
- IPAの情報セキュリティ10大脅威 2026：組織向けの2位が「サプライチェーンや委託先を狙った攻撃」で、1位のランサム攻撃とともに4年連続で1位と2位に選ばれた*5
委託先の漏えいは、件数で見れば一部です。それでも1社の事故が多くの発注側に及ぶことがあり、令和8年度第1四半期にも委託先に対する監督の不備への指導が12件ありました。*3
公表資料にみる委託先の事例
個人情報保護委員会とIPAの資料から、委託先で起きた漏えいの事例を5つ取り上げます。社名は伏せ、公表された内容の範囲で要約しています。
| 事例 | 公表された内容（要約） | 公表資料が挙げた点 |
|---|---|---|
| コールセンター業務の委託先（個人情報保護委員会・令和6年9月） | 委託先がシステムの保守運用を任せていた会社の派遣社員が、平成25年7月頃から令和5年2月頃にかけて、69の委託元の顧客や住民など約928万人分の個人データを持ち出し、名簿業者に売却した | どの委託元も保守会社が個人データを扱うことの説明を受けていなかった。再委託の有無を確かめていない委託元は57団体中33団体（58％） |
| 通知書の印刷・発送の受託事業者（個人情報保護委員会・令和7年3月） | 令和3年4月以降更新していなかったVPN機器を経由して侵入され、ランサムウェアで暗号化・窃取された。本人数は3,076,477人、影響を受けた委託元は41団体 | データの保管場所の社内ルールが委託元との契約書に書かれておらず、56部署のうち3部署が守っていなかった |
| 機器の管理の委託先（個人情報保護委員会・令和8年9月） | 委託先がVPN機器の脆弱性を放置し、委託元のサーバがランサムウェアに感染した | 委託元は脆弱性への対応を含む業務を任せていたのに契約を結んでおらず、委託先の監督が不十分だった |
| 業務委託先へのランサム攻撃（IPA・2026年） | 2025年11月、業務委託先がランサムウェアの被害に遭い、委託していた複数の企業が保有する個人情報が漏えいした | 委託先の対策状況と情報資産の管理の実態を、委託元が定期的に確かめられる契約にすることが重要 |
| 委託先の協力会社の元社員（IPA・2026年） | 2025年6月、協力会社の元社員が委託先の事業所に不正に立ち入り、USBメモリーを情報管理端末につなぐ様子が監視カメラに残っていた。約14万件の顧客情報を持ち出した可能性がある | 内部不正の手口として、外部記録媒体による持ち出しや、離職者のアカウントの悪用を挙げている |
5つのうち2つは、委託元が直接契約した相手ではなく、その先の保守会社や協力会社で起きています。別の2つは、委託先が管理するVPN機器（社外から社内の網につなぐ装置）の更新や脆弱性への対応が放置され、そこが入口になりました。
印刷・発送の事例では、漏えい等が生じた個人データの多くが委託を受けて扱っていたもので、委託元は民間事業者と行政機関等の両方にわたっていました。再委託元まで含めると、影響を受けた団体は約100団体にのぼります。*7 1社の委託先の事故が、多くの発注側に同時に及ぶことが分かります。
事例に共通する4つの原因の型
公表資料の指摘を発注側の目で並べ直すと、原因は4つの型に分けられます。個人情報保護委員会が令和8年10月に改訂した注意喚起の事例にも、同じ型が出てきます。*8
- 委託の範囲の取り違え：システムの保守、クラウドサービス、グループ会社への依頼を「個人データの取扱いの委託ではない」と考え、監督の外に置いた
- 契約の決まりの不足：保管場所のルールや脆弱性への対応が契約に書かれていない。契約そのものを結んでいない例もある
- 再委託先の見落とし：委託先がさらに任せた会社や協力会社の人が、委託元から見えていない
- 契約後の確認の不足：取扱状況の報告や実地の確認をせず、ルールに沿わない扱いが長く続いた
注意喚起の事例では、システム業者と導入の契約しか結んでいなかった例や、保守の契約に脆弱性への対応が含まれていなかった例が挙がっています。クラウドサービスの利用は委託に当たらないと考えて監督しなかった例、親会社に任せるのは委託に当たらず監督は不要だと考えていた例も紹介されています。*8
持ち出しの事例でも、委託先は保守会社にコールセンターの業務そのものを任せていないことを理由に、再委託に当たらないと判断していました。*6 4つの型は別々に起きるより、範囲の取り違えから契約と確認の抜けへとつながりやすい点に注意が要ります。
発注側が確かめたい確認項目
原因の型ごとに、契約の前と契約中に発注側が確かめたい項目をまとめます。委託先に確認書で答えてもらう形にすると、答えの抜けが見えやすくなります。
| 原因の型 | 確認項目 | 確かめる中身 |
|---|---|---|
| 委託の範囲 | データに触れる作業 | 開発だけでなく、保守・障害対応・バックアップ・クラウドの利用で個人データに触れるか |
| 契約 | 取扱いの条項 | データの受け渡し、委託先での保管、委託が終わるときの廃棄の3つが契約書にあるか |
| 契約 | 機器と脆弱性の担当 | VPN機器などの更新と脆弱性への対応を、どちらが行うかを契約で決めているか |
| 再委託 | 再委託の承諾 | 再委託するときは事前に申し出て承諾を得る決まりがあり、相手と作業の範囲が分かるか |
| 再委託 | データに触れる人 | 協力会社や派遣の人も含め、個人データに触れる人の一覧があるか |
| 契約後 | 書面での報告 | 取扱状況の報告を定期的に書面で受けているか |
| 契約後 | 実地の確認 | 作業場所を訪ね、外部記録媒体の持ち込みやログの取得の状況を見ているか |
| 契約後 | 漏えい時の連絡 | 疑いがあるときに誰がいつ連絡し、調査にどう協力するかを決めているか |
持ち出しの事例で委託元を調べた結果では、データの受け渡し・保管・廃棄の3つの条項がどれも無い委託元が60団体中7団体ありました。委託先の執務環境を実地で確かめていなかった委託元は56団体中34団体（61％）で、契約後の確認がより手薄でした。*6
同じ事例では、委託元の1社が顧客からの問い合わせをきっかけに委託先へ調査を頼みましたが、委託先は十分に調べないまま、漏えいは確認されなかったと回答していました。個人情報保護委員会は、委託元も任せた個人データが委託先でどう扱われているかを具体的に確かめる姿勢が重要だとしています。*6
予防策と外部に頼める範囲
確認項目を埋めるには、社内の誰かが委託先の答えを読み、足りない点を問い直す必要があります。原因の型ごとに、社内で決めることと外部に頼める範囲は次のとおりです。
| 原因の型 | 社内で決めること | 外部に頼める範囲 |
|---|---|---|
| 委託の範囲の取り違え | 個人データに触れる作業と会社の一覧を作り、保守やクラウドも含める | システムの構成に詳しいエンジニアに、データの流れの洗い出しを手伝ってもらう |
| 契約の決まりの不足 | 保管・廃棄・機器の更新の担当を契約書のひな形に入れる | 条項の確認を弁護士などの専門家に頼む |
| 再委託先の見落とし | 再委託の事前承諾と、データに触れる人の一覧の提出を求める | 委託先の回答の読み方を、情報セキュリティに詳しい人材に確かめてもらう |
| 契約後の確認の不足 | 報告の時期と実地の確認の回数を年間の予定に入れる | 確認の項目づくりと記録の点検を、監査の経験がある人材に任せる |
業務委託でエンジニアに開発や保守に加わってもらう場合も、同じ確認項目が使えます。相談の前に次の5つを書き出しておくと、話が早く進みます。
- 範囲：任せる作業と、その作業で触れる個人データの種類
- 期間：契約期間と、データを返すか消す時期
- 体制：社内の窓口と、委託先側でデータに触れる人
- 費用の決まり方：報告や実地の確認にかかる工数を誰が持つか
- 引き継ぎ：契約が終わるときのアカウントの削除と資料の受け取り
個人データに触れる作業の見分け方と監督の措置は業務委託エンジニアの情報セキュリティ、アカウントの付与と削除は業務委託エンジニアの権限管理で扱っています。契約の条項が自社の場合に足りるかは、個別に専門家へ確かめてください。
まとめ：業務委託先の情報漏洩で確かめたい点
公表された業務委託先の情報漏洩の事例から、発注側が確かめておきたい点は4つに整理できます。第一に、保守やクラウドも含めて、個人データに触れる作業と会社を一覧にすること。第二に、保管・廃棄・機器の更新の担当を契約の条項に入れること。第三に、再委託の事前承諾と、データに触れる人の一覧を求めること。第四に、書面の報告と実地の確認を契約後も続けることです。委託先から返ってきた確認書を読み、足りない点を問い直す手が社内に足りなければ、外部の人材に頼むのも一つの方法です。
よくある質問
クラウドサービスを使うだけでも委託先の監督は要りますか
個人情報保護委員会の注意喚起では、クラウドサービスの利用は委託に当たらないと考えて監督しなかった例が紹介されています。*8 対策例としては、利用規約や安全性の評価に関する資料で対策を確かめてサービスを選ぶことが挙がっています。当たるかどうかは使い方で変わるため、個別には専門家に確かめてください。
グループ会社に任せる場合も監督は要りますか
注意喚起の事例では、委託先がグループの親会社であっても、通常の外部委託先と同じ基準で必要かつ適切な監督を行うことが対策例に挙がっています。*8
委託先の確認書を受け取るだけで監督したことになりますか
個人情報保護委員会は、委託先での取扱状況を把握する方法の例として、契約時に取扱いの規律の提出を求めること、役務の提供中に書面で報告を受けること、執務環境を実地で確かめることを挙げています。*6 確認書は入口として使い、報告と実地の確認を組み合わせます。
業務委託で開発や保守に加わるエンジニアを探す
任せたい作業と期間、データに触れる範囲が分かっていれば、そのままご相談いただけます。委託先の確認項目を整理している段階でも構いません。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：個人情報保護委員会「令和7年度 個人情報保護委員会年次報告」（https://www.ppc.go.jp/files/pdf/080707_annual_report.pdf）。出典：個人情報保護委員会。個人情報取扱事業者等の漏えい等報告の件数と、漏えい等元・漏えい等原因の内訳を参照（確認日2026年10月28日）（2026年11月確認）
- *2 参考：個人情報保護委員会「令和7年度第4四半期における監視・監督権限の行使状況の概要」（https://www.ppc.go.jp/files/pdf/260610quarter-report_kengenkoushi.pdf）。出典：個人情報保護委員会。民間事業者に対する指導等の内容の件数を参照（確認日2026年10月28日）（2026年11月確認）
- *3 参考：個人情報保護委員会「令和8年度第1四半期における監視・監督権限の行使状況の概要」（https://www.ppc.go.jp/files/pdf/260902quarter-report_kengenkoushi.pdf）。出典：個人情報保護委員会。機器の管理を委託していた委託先でVPN機器の脆弱性が放置された事案の概要と指導事項を参照（確認日2026年10月28日）（2026年11月確認）
- *4 参考：IPA「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html）。出典：独立行政法人情報処理推進機構。組織向けの順位を参照（確認日2026年10月28日）（2026年11月確認）
- *5 参考：IPA「情報セキュリティ10大脅威 2026［組織編］」解説書（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）。出典：独立行政法人情報処理推進機構。2位「サプライチェーンや委託先を狙った攻撃」と7位「内部不正による情報漏えい等」の事例と対策を参照（確認日2026年10月28日）（2026年11月確認）
- *6 参考：個人情報保護委員会 報道発表資料（令和6年9月11日、コールセンター業務の委託先における不正持ち出し事案への対応）（https://www.ppc.go.jp/files/pdf/240911_houdou.pdf）。出典：個人情報保護委員会。事案の概要、委託先の監督に関する指導事項、委託元に対する調査結果を参照（確認日2026年10月28日）（2026年11月確認）
- *7 参考：個人情報保護委員会 報道発表資料（令和7年3月19日、通知書の印刷・発送の受託事業者に対する指導）（https://www.ppc.go.jp/files/pdf/250319_houdou.pdf）。出典：個人情報保護委員会。事案の概要、本人数、影響を受けた委託元の数、保管ルールの扱いを参照（確認日2026年10月28日）（2026年11月確認）
- *8 参考：個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（令和8年10月7日）（https://www.ppc.go.jp/files/pdf/261007_houdou.pdf）。出典：個人情報保護委員会。同梱の「不正アクセスによる個人データ漏えい防止のための注意喚起」（令和6年12月11日、令和8年10月7日改訂）の事例1・7・8を参照（確認日2026年10月28日）（2026年11月確認）
