委託先 情報漏えい/知らせるのは頼んだ会社

最近の情報漏えいの発表には、「メール配信を委託している外部の会社が不正アクセスを受けた」という形がよく出てきます。自分が会員になったのはA社なのに、漏れたのは聞いたこともないB社。そんなとき、誰が知らせてくれて、誰に聞けばいいのでしょうか。個人情報保護法の条文から整理しました。

「漏れたのは委託先なのだから、登録した会社には聞いても仕方ない」と思うかもしれません。でも、法律の作りは逆です。

知らせるのは「頼んだ会社」

個人情報保護法26条は、漏えいが起きたとき、会社に2つのことを求めています。個人情報保護委員会への報告（1項）と、本人への通知（2項）です。

ただし1項には「ただし書」があり、ほかの会社から仕事を頼まれた会社（委託先）は、頼んだ会社（委託元）に起きたことを知らせれば、委員会への報告をしなくてよいとされています。そして2項は、本人への通知をする会社から、このただし書で通知をした委託先を外しています。

つまり、委託先から漏れたときに利用者へ知らせるのは、もともと情報を預かった会社です。問い合わせも、まずは自分が登録した会社の窓口にすれば足ります。

頼んだ会社には「監督」の義務がある

25条は、個人データの扱いを外の会社に頼むとき、頼んだ会社は委託先に「必要かつ適切な監督」をしなければならないと定めています。自分の会社で安全に管理する義務（23条）は、仕事を外に出しても消えないという作りです。

報告が要るのはどんなとき？

委員会への報告と本人への通知が要るのは、施行規則7条の4つのどれかに当たるときです。

メールアドレスだけの漏えいでも、不正アクセスが原因なら3号、人数が多ければ4号に当たります。会社は、知ったあと速やかに分かっている範囲を報告し、30日以内（3号は60日以内）に、原因や再発防止策まで含めて報告します（施行規則8条）。

連絡を待つ間にできること

• 登録した会社のお知らせページやアプリの通知を見る
• その会社を名乗るメールのリンクは押さず、公式サイトから入り直す
• そのメールアドレスに届く、心当たりのない請求や当選の知らせは開かない（北陸電力も不審なメールへの注意を呼びかけている）

連絡が来ないときの決まりは情報漏えいの本人通知の記事に、11月2日に発表された北陸電力「ほくリンク」の件はほくリンクのメールアドレス流出の記事に、10月30日に公表されたメール配信サービスの別の例はアララの不正アクセスの記事にまとめています。

出典：個人情報の保護に関する法律23条・25条・26条、同法施行規則7条・8条（e-Gov法令検索）、北陸電力「北陸電力会員サービス『ほくリンク』会員のメールアドレス外部流出について」（2026年11月2日）。いずれも2026年11月2日に確認。

アイキャッチ写真の出典

ノートパソコン（イメージ）。撮影 ライモント・シュペッキング（Raimond Spekking）／CC BY-SA 4.0（ウィキメディア・コモンズ）。