委託先から漏れる・止まる｜イセトー・関通・NTTの事例と、データを預ける側の決め事

市の課税の担当課に、通知書の印刷と発送を任せている会社から電話が入ります。「サーバーが暗号化されました。お預かりしていたデータも持ち出された可能性があります」。物流を任せている倉庫会社のシステムが止まり、自社の通販の出荷がその日から止まります。学校の名簿を預けていた業者から、過去のファイルが漏れたおそれがあると知らせが届きます。2024年から2026年にかけて、国内ではこうした知らせを受け取る側の組織が何度も公表文を出してきました。

相手の会社の守りの中身に、預ける側の手はほとんど届きません。それでも預ける側が決められることは三つあります。渡すデータを業務に要る項目と期間だけに絞ること。業務が終わったら期限を決めて消してもらい、消した証明をもらうこと。委託先が止まっても仕事を続けられるだけの控えを、自分の手元に持つことです。この三つを契約と毎年の点検に入れておくと、漏れる量が減り、止まる期間が短くなります。

控えを持つ・データを渡す手段としてディスクを使う場面もあります。取り出して棚に置いた盤にはネットワークから手が届かない一方で、なくしたり持ち出されたりすれば中身は読まれます。だからディスクで受け渡す・控えるときは、暗号化と受け渡しの記録、処分の手順まで、委託の決め事と一緒に決めておきます。

委託先の被害は、三つの型で預けた側に届く

情報処理推進機構（IPA）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、2位が「サプライチェーンや委託先を狙った攻撃」でした。8年続けて選ばれています。1位は「ランサム攻撃による被害」、7位には「内部不正による情報漏えい等」が入りました。この順位は2025年に社会への影響が大きかった脅威として選ばれたもので、委託先をめぐる被害がもう珍しい話ではないことを示しています。

委託先で起きたことが預けた側に届く道すじは、事例を並べると三つの型に分けられます。一つ目は「漏れる」型です。預けたデータが委託先の中から外に出ます。印刷・発送を受けていたイセトーのランサムウェア被害や、コールセンターの運用保守を担っていた会社の元派遣社員による持ち出しがこれに当たります。

二つ目は「止まる」型で、委託先のシステムが止まり、そこに仕事を預けていた側の業務も一緒に止まります。物流を受けていた関通が攻撃を受けたとき、荷主の出荷が止まりました。アスクルの被害では、物流子会社に配送を委託していた無印良品ネットストアが受注と出荷を止めています。

三つ目は「入られる」型です。保守のために委託先が持っている接続や管理者のアカウントが、預けた側のネットワークへの通り道になります。大阪急性期・総合医療センターでは、給食の業者が置いていたシステムを経由して病院の電子カルテまで暗号化されました。一つの事例の中で、三つの型が重なることもあります。

思っている以上に、データは外に出ています。自治体なら、通知書の印刷と封入、住民情報システムの保守、コールセンター、給付金の事務。会社なら、給与計算、物流、通販サイトの運営、顧客管理のクラウド、名刺の入力。学校や園、PTA、地域の団体なら、卒業アルバムや写真販売の業者、連絡網のアプリ、行事の撮影や映像の編集を頼む先。一つひとつは小さな発注でも、並べると名簿や記録の大半が、どこかの委託先の手元に一度は渡っています。

しかも委託先の向こうには、さらに仕事を受ける会社がいることがあります。2022年に尼崎市で全市民の情報が入ったUSBメモリが一時行方不明になった件では、なくしたのは市が仕事を頼んだ会社の、そのまた先の再々委託先の従業員でした。預ける側が契約書を交わした相手の先で何が起きているかは、こちらから聞かないと見えてきません。

以下で取り上げる事例と数字は、2026年10月時点で、本人の公表文・調査報告書・官公庁の資料と報道で確かめられた範囲で書いています。報道でしか確かめられない数字は「報じられた」と添え、攻撃者側の主張は主張として扱います。被害に遭った会社を責めるためではありません。同じ条件はどの職場の委託にもあり、預ける側が自分の契約と運用に置き換えて読めるようにするためです。

イセトー｜通知書の印刷を任せた先に、終わった業務のデータが残っていた

イセトーは、自治体や金融機関などから通知書や明細の印刷・発送を受けていた会社です。委託元から預かるデータには、氏名と住所に加えて、税額や利用明細のように通知そのものの中身が入っています。そこで起きた被害は、委託元の側から見ると、自分が出す通知書の中身が外に出たことを意味しました。

何が起き、どこから入られたか

報道によると、同社は2024年5月26日にサーバーとパソコンの暗号化を確認しました。2024年6月には、ランサムウェアの攻撃グループの一つが犯行を主張しています。外部の専門家によるフォレンジック調査の結果は2024年10月4日に公表され、VPNからの不正アクセスで社内ネットワークに入られ、帳票データや検証物の一部が盗まれた、と報じられました。

再発防止策として、同社は「VPNを使用しない」と掲げたと報じられています。情報セキュリティの国際規格にもとづく認証（ISO/IEC 27001・27017）が一時停止されたこと、和歌山市などが同社を指名停止にしたことも報じられました。認証を持っている委託先でも、被害は起きます。選ぶ側が覚えておいてよい事実です。

委託元ごとに公表された件数

漏えいの件数は、全体の公式な合計がありません。報道で出回った大きな数字は推計で、確かなのは委託元がそれぞれ公表した件数です。例として、和歌山市の令和5年度「市・県民税特別徴収税額決定通知書」の課税情報など151,421件、クボタクレジットの利用明細61,424名分、伊予銀行の約25万件、京都商工会議所の企業情報延べ41,819件が報じられました。ほかに徳島県、豊田市、公文教育研究所なども影響を公表しています。

この並びを見ると、被害の後始末がどこで行われたかが分かります。自分のどのデータが含まれていたかを調べ、件数を公表したのは、それぞれの委託元の自治体や会社でした。データの持ち主は委託元なので、委託先で起きたことを本人や住民に説明する役目は委託元に戻ってきます。この点は、あとで書く個人情報保護法の報告の仕組みとも一致しています。

同社が説明した原因

報道によると、同社は原因について、作業の効率化のために、本来その情報を扱ってはいけないサーバーに便宜的に保管していたこと、業務が終わったら削除すべきデータを削除していなかったことを説明しました。攻撃を受けたこと自体とは別に、「もう要らないはずのデータが残っていた」ことが被害の量を大きくしたことになります。

ここから読み取れることは二つあります。一つは、契約で「業務終了後に消去する」と決めていても、実際に消えたかを委託元が確かめていなければ、残っていることに気づけない、ということです。もう一つは、委託先の作業の途中で、預けたデータの複製があちこちにできることです。印刷前の確認に使う出力、検証用のデータ、作業用のフォルダ。消去を約束してもらうときは、こうした途中の複製まで対象に入れる必要があります。

作業を早く回すために一時的な置き場所を作るのは、委託先に限らずどの職場でも起きることです。自分の課の共有フォルダに「とりあえず」置いた名簿が何年も残っている、という状態と根は同じです。だから預ける側の決め事は、相手を疑う仕組みというより、双方が後片付けを忘れないための仕組みとして作るほうが続きます。

2026年の両毛システムズでも、委託先に残った過去のファイルが対象になった

同じ構図は2026年にも繰り返されました。報道によると、自治体やガス会社などから業務を受けていた両毛システムズで、2026年8月12日に外部の第三者がVPNのアカウントを悪用して社内ネットワークに入りました。8月14日に監視で異常を見つけてネットワークを遮断し、9月25日の第3報でランサムウェアによる攻撃だったと正式に確認しています。犯行を主張するグループが現れ、データを公開したとも報じられました。

漏えいのおそれがあるとされたのは、両毛システムズ側に保管されていたデータです。大東ガスの顧客情報約12万4,000件は、2023年11月から2024年4月に利用した分の過去のファイルでした。伊勢崎市の児童生徒のアカウント情報3,789件、名張近鉄ガスの約6,800件、長野都市ガスの約3,600件も挙がっています。いずれも「おそれ」の段階の件数で、委託元の本番のシステムが侵害されたことは確認されていない、と報じられました。

この事例が示しているのは、預ける側の本番のシステムが無事でも、外に出した複製の分は守りの外にある、ということです。業務のために一度渡したファイルは、その業務が終わっても、委託先の保管の仕組みの中に残り続けることがあります。まず、いま委託先の手元に自分の何が残っているかを知る必要があります。その一覧が無ければ、消してもらう約束も、漏れたときの範囲の特定も始められません。

報道や公表で、自分たちが使っている委託先の名前を見かけたら、委託先からの連絡を待たずに問い合わせましょう。両毛システムズの件では、異常を見つけてからランサムウェアと正式に確認するまで1か月余りかかっています。その間にも、預けたデータが対象に入っているかどうか、手元の記録で確かめる作業は始められます。

委託先が止まると、預けた側の仕事も同じ日に止まる

漏えいは後から分かることが多いのに対し、止まる被害はその日のうちに表に出ます。倉庫、配送、決済、予約、コールセンター。業務の一部を外に出している組織ほど、委託先のシステムが止まるとすぐに、自分の側では何も動かせなくなります。どこまで止まり、どれだけ続いたかは、事例ごとにかなり違います。

関通｜荷主の出荷が止まり、在庫は全社員で数え直した

関通は兵庫県尼崎市の物流会社で、荷主から倉庫の保管と入出庫を受けています。報道や社長の講演によると、2024年9月12日の夕方に全サーバーが被害を受けたと社内に一報が入りました。翌13日にシステムの停止を公表し、17日に不正アクセスを確認、30日の調査結果で「外部ネットワークとの接続口から複数のサーバーに侵入され暗号化された」と説明しています。10月18日には、情報漏えいの事実は確認されていないと発表しました。

止まったのは、入出庫に関わるシステムでした。荷主の商品は倉庫に置かれたまま、出荷が止まったり遅れたりしました。専門メディアの@ITは物流の事業が約50日止まったと報じています。社長は講演で、在庫データの再構築に約1か月半かかり、10月末に「復活宣言」をしたこと、最終的な損失が約17億円（ITの資産の損失が7億円、賠償が10億円）だったことを語りました。決算では特別損失を計上し、最終赤字になったと報じられています。

戻し方にも特徴がありました。被害を受けたシステムは調べて直すのでなく「捨てる」と決め、30人の開発の部隊でゼロから作り直しました。在庫は全社員で棚卸しをしています。再発防止策として社長が挙げたのは、インシデント対応のマニュアルを整えて実地で確かめること、代わりの手段（プランB）を前もって用意すること、役員会でサイバーセキュリティを経営の課題として話し合うこと、そしてサプライチェーン全体で知識を高めることでした。

荷主の側に置き換えると、自社の在庫の数や出荷先を、委託先のシステムの画面でしか見ていない状態がいちばん弱いことになります。そのシステムが止まった日から、自社でも「何が、どこに、いくつあるか」が分からなくなるからです。受注の記録や出荷先の一覧、預けている商品の数を、自社の側でも日ごとに控えていれば、委託先が復旧を進めるあいだも、どの注文を先に回すか、どの取引先に先に連絡するかを決められます。

アスクルと無印良品ネットストア｜委託の連鎖で止まる

2025年10月19日、アスクルはランサムウェアの感染によるシステム障害で、法人向けと個人向けの通販の受注・出荷を止めました。その物流子会社に配送を委託していた無印良品ネットストアは、同じ日の21時に受注と出荷を止め、ロフトやそごう・西武の通販も一部が止まったと報じられています。無印良品ネットストアが全商品の受注・出荷を再開したのは12月15日で、およそ2か月かかりました。

アスクルが2025年12月12日に公表した調査結果の内容として報じられたところでは、攻撃者は業務委託先が使う管理者アカウントの認証情報を盗んで使った可能性があり、そのアカウントには例外的に多要素認証を適用していませんでした。最初の侵入は2025年6月5日で、10月19日に複数のサーバーへランサムウェアを広げています。つまりアスクルは、自分が仕事を頼んだ先のアカウントから入られた可能性があり、自分に配送を頼んでいた先の通販まで止めたことになります。委託の関係は一方向にだけ並んでいるのでなく、何社にもまたがってつながっています。経緯の全体は大手企業のランサムウェア被害に学ぶ記事で、KADOKAWAやアサヒの例と並べて書いています。

海外でも、委託先から止まった

英国の小売大手マークス・アンド・スペンサー（M&S）は、2025年4月にサイバー攻撃を受け、4月25日ごろからオンラインの衣料品の注文を止めました。一部を再開したのは6月10日で、46日ぶりでした。侵入のきっかけは、委託先（第三者）の従業員がだまされたことだったと報じられています。預ける側のシステムをどれだけ固めても、委託先の人や窓口が攻撃の相手に選ばれれば、攻撃はそこから届いてしまう、という例です。

米国で医療機関の請求の処理などを担っていたチェンジ・ヘルスケアには、2024年2月21日にランサムウェアが展開され、米国の医療費の請求・決済の処理が広い範囲で止まったと報じられました。親会社のCEOは2024年5月の米議会の公聴会で、盗まれた認証情報で2月12日にリモートアクセス用のポータルに入られ、そのポータルが多要素認証を使っていなかったと証言しています。米保健福祉省への報告では、影響を受けた人は約1億9,270万人とされました。通知の件数なので、重複を含みうる数字です。

2025年9月19日の夜には、コリンズ・エアロスペースが提供する旅客の搭乗手続きのシステムが攻撃され、ロンドン・ヒースロー、ブリュッセル、ベルリンなどの空港で手作業のチェックインになりました。ブリュッセル空港は9月22日の出発便276便のうち140便の欠航を航空会社に求め、EUのサイバーセキュリティ機関（ENISA）はランサムウェアによる攻撃と確認したと報じられています。空港の側から見れば、自分で持っていない委託先のシステムが止まり、紙と手作業で受付を続けた例です。

止まる期間を見積もり、そのあいだの手順を持つ

止まった委託先の復旧を待つあいだ、控えと手作業で何日持ちこたえる必要があるのか。事例の数字を並べると目安が見えてきます。名古屋港のコンテナの搬入・搬出は約3日、M&Sのオンライン注文は一部の再開まで46日、関通の物流の事業は約50日（報道）、無印良品ネットストアは全商品の受注・出荷の再開まで2か月近く、大阪急性期・総合医療センターは全体の復旧まで73日でした。

警察庁の令和7年の統計でも、ランサムウェアの被害に遭った組織のうち、1か月未満で復旧したのは回答107件中60件で、5割強にとどまりました。2か月以上かかった組織が7件、回答の時点でまだ復旧中だった組織が25件あります。止まっているあいだの代わりの手順は、数日で終わる前提より、1か月から2か月続く前提で考えておくほうが、実際の事例に近くなります。

止まる型の被害で預ける側が直接できることは、委託先の復旧を早めることではありません。できるのは、委託先が止まっているあいだ、自分の側の仕事をどこまで続けられるかを決めておくことです。名古屋港のコンテナターミナルのシステムが2023年に止まったときは、システムを使わずに手作業で船との荷役を続けたことを、国土交通省の委員会が評価点に挙げています。手作業に切り替えるには、手元に紙かオフラインの記録と、切り替えの手順が要ります。何を控えておくかは、あとの「決め事3」で具体的に書きます。

NTTビジネスソリューションズの件｜内側からの持ち出しは、約10年続いた

委託先から漏れる経路は、外からの攻撃だけではありません。2023年に公表されたNTT西日本グループの件は、委託先の中で正規の権限を持つ人が、長い期間にわたって顧客の情報を持ち出したものでした。経緯と点検の結果は、NTT西日本が2024年2月に公表した資料にまとまっています。

預けた側から三段先で起きていた

持ち出したのは、NTT西日本の子会社であるNTTビジネスソリューションズに派遣され、コールセンターのシステムの運用保守をしていた元派遣社員です。システム管理者のアカウントを悪用し、業務用の端末などから顧客データを保管するサーバーにアクセスしていました。対象は、同じく子会社のNTTマーケティングアクトProCXがコールセンター業務を受けていた複数のクライアント、つまり自治体や企業の顧客の情報です。期間は2013年7月から2023年2月ごろまで、持ち出された情報は第三者に流出しました。

件数は時点で変わっています。2023年10月17日の公表時点で約900万件・59クライアント、12月19日の続報で928万件・69クライアントになりました。預ける側の自治体や企業から見ると、契約を結んだのはコールセンター業務を受けた会社で、システムの保守はその先のグループ会社、そこで働いていたのは派遣された人でした。データに実際に触れる人は、預ける側から数えて三段先にいたことになります。

一度は「問題なし」と報告されていた

経緯の中で、預ける側が考えておきたい点があります。2022年4月に、クライアントの1社から「自社の顧客情報が流出している可能性がある」と調査の依頼がありました。ところが当時の社内調査は適切でなく、ログが書き換えられ、「端末にUSBポートはない」という事実と違う回答もあって、問題なしと報告されていました。外部の弁護士だけで作った検証チームはこの調査を厳しく評価する一方、漏えいを隠す意図はなかったと認定しています。

その後、2023年7月13日に警察が捜査に入り、10月17日に公表、2024年1月24日に個人情報保護委員会が勧告と指導を行い、1月31日に元派遣社員が逮捕されました。2月9日には総務省が行政指導をしています。最初の調査依頼から公表まで、1年半ほどかかったことになります。この経緯から分かるのは、委託元が疑いを持って問い合わせても、委託先の回答をそのまま受け取るしかなければ確かめる手立てが無い、ということです。

グループ全体の点検で見えた数字

この件を受けてNTTグループが443のシステムを緊急点検したところ、会社が許可していない記録媒体や端末を接続できたシステムが16%、アカウントを共用していて誰が使ったか特定できないものが19%、ログの点検ができていないものが29%ありました。運用の責任者の約2割は「内部者による不正流出は起こり得ない」と考えていた、とも回答しています。再発防止策には、許可していない記録媒体の接続の禁止、USBメモリに代わる受け渡しの手段の導入、アカウント共用の廃止、監視センターでのログの収集と点検、リモート接続を画面転送の方式に限ることが並びました。

この数字は、大きな会社のグループでも、記録媒体をつなげる端末やアカウントの共用が珍しくなかったことを示しています。預ける側が委託先に尋ねるなら、三つの問いに置き換えられます。預けたデータに触れられるのは誰で、アカウントは一人ずつ分かれているか。記録媒体をつなげる端末はあるか、あるならどう管理しているか。アクセスの記録は誰がどのくらいの頻度で見ていて、本人が書き換えられない形で残っているか。社内で不正が疑われたときの調べ方と記録の残し方は、社内不正調査の証拠保全の記事にまとめています。

委託先の人が、自分たちの建物で働くとき

NTTの件の元派遣社員は委託先の側で働いていましたが、システムの保守や窓口の業務では、委託先の人が預ける側の事務所や庁舎に常駐することもあります。その場合、データは外に出ていないように見えても、触れているのは委託先の人です。自治体であれば、第67条が、委託を受けた業務に従事する人にも、業務で知った個人情報をみだりに他人に知らせない義務を置いています。

常駐する人には、職員と同じ決まりを書面で渡します。使える端末とアカウント（一人ずつ分け、契約の終わりに止める日を決める）、記録媒体をつなげるかどうか、持ち込める私物、入れる部屋。NTTのグループの点検で、許可していない記録媒体をつなげたシステムが16%あったことを思い出すと、端末の側で記録媒体をつなげない設定にしておくのが確かです。相手の会社にも、誰がこの業務に就いているかの名簿を出してもらい、人が替わったら知らせてもらいます。

給食業者の保守用の接続から、病院の電子カルテまで届いた

「入られる」型の代表が、大阪急性期・総合医療センターの事例です。2022年10月31日の朝、サーバーの画面に身代金を求める文が表示されて被害が分かりました。調査委員会の報告書（本体75ページ・概要7ページ）は2023年3月28日付で公表されています。報告書は給食の委託先を「給食事業者」と匿名で書いているので、ここでも社名は書きません。

報告書が推定した経路は四つの段階に分かれます。まず、給食事業者が設置・運営する給食システムに、リモート保守用のVPN機器の脆弱性を使って入られました。漏えい・公開されていたIDとパスワードが使われた可能性もあるとしています。次に、給食事業者のデータセンターの中で認証情報が盗まれました。続いて、常時つながったままになっていたリモートデスクトップで病院側の給食サーバーへ移られ、最後に、共通のパスワードを使って電子カルテなど基幹システムのサーバーに広げられました。

被害は病院の中心に及びました。電子カルテを含む基幹システムのサーバーの大部分が暗号化され、院内の約2,200台の端末にも不正アクセスの痕跡があったため、すべてのサーバーと端末を入れ直しています。基幹システムが再び動くまで43日、部門のシステムを含めた全体の復旧には73日かかりました。2022年11月の新しい入院患者の数は前年同月の33.3%、初診の患者は17.9%まで落ちています。報告書の概要の時点で、調査と復旧の費用は数億円以上、診療を制限したことによる逸失利益は十数億円以上と見込まれていました。

バックアップについては、院内に置いていたテープの装置は暗号化されましたが、遠隔地に保管していたテープは正常に読み出せました。病院はそのテープでネットワークから切り離した環境を作り、11月10日から電子カルテを参照する端末の運用を始めています。重症系のシステムのバックアップはオンラインにしか無く、使えませんでした。病院の報告書を復旧の側から読んだ内容は、病院のランサムウェアの記事で詳しく書いています。

報告書が委託について求めたこと

再発防止として報告書が挙げたものには、委託に直接かかわる項目が含まれています。外部からの接続やリモート保守を許す基準を決め、実際の利用状況を確かめること。契約の中で、どこまでを病院が守り、どこからを事業者が守るかという責任の分かれ目を文書にすること。そして「医療機関は外とつながらない閉じたネットワークだから安全」という思い込みを見直すことです。院内の利用者を標準のユーザー権限にすること、Windowsのパスワードを機器ごとに分けることも挙げられました。

この事例で見落とされやすいのは、入られた先が情報システムの会社ではなく、給食の業者だった点です。空調や複合機、医療機器、防犯カメラ、エレベーターの遠隔監視など、IT以外の委託先が保守のために置いた機器も、ネットワークにつながっていれば通り道になります。2026年2月には日本医科大学武蔵小杉病院で、ナースコールを管理するサーバーがランサムウェアに感染し、侵入経路は医療機器の保守用のVPN装置だったと病院の発表として報じられました。

警察庁が2026年3月に公表した令和7年（2025年）の統計でも、ランサムウェアの侵入経路は有効回答92件のうちVPN機器が61件（66.3%）、リモートデスクトップが19件（20.7%）でした。警察庁は、攻撃者がVPN機器の修正されていない脆弱性だけでなく、漏れた認証情報や弱いパスワード、設定の不備も使って入ると説明しています。保守のための接続は、委託先にとっては仕事の手段ですが、預ける側にとっては自分の建物の裏口です。どこに裏口があるかを、預ける側が一覧で持っておく必要があります。裏口は少ないほど守りやすくなります。

法律が預ける側に求めていること

委託先で起きたことは委託先の責任、と考えたくなりますが、個人情報保護法は預ける側にも役目を置いています。民間の会社や団体と、自治体や公立学校とでは、当てはまる条文が分かれています。法律の当てはめは個々の事情で変わるので、迷うときは個人情報保護委員会の相談窓口や顧問の弁護士に確かめてください。

会社・店・団体の場合は第25条

個人情報保護法の第25条は、個人データの取扱いを委託するとき、委託した個人データの安全管理が図られるよう、委託先に対して「必要かつ適切な監督」を行わなければならないと定めています。個人情報保護委員会のガイドライン（通則編）は、その中身を三つに分けています。適切な委託先を選ぶこと、安全管理の内容を盛り込んだ委託契約を結ぶこと、委託先での取扱いの状況を把握すること。把握の方法としては、定期的な監査などで契約の内容が守られているかを確かめることが挙げられています。

同じガイドラインは、その前提として、委託する業務に必要のない個人データを渡さないようにするのは当然だ、という書き方をしています。この記事の「決め事1」はこの前提をそのまま実務に移したものです。また、求める安全管理の水準は委託元が自分で講じるべき水準と同じ程度で、それを超える措置まで委託先に求める趣旨ではない、とも説明しています。

再委託についての記述もあります。委託先がさらに別の会社に任せる場合、委託元は再委託先と業務の内容、取扱いの方法について事前に報告を受けるか承認し、委託先が再委託先をきちんと監督しているかを確かめることが望ましい、とされています。委託元が委託先を必要かつ適切に監督していない状態で委託先が再委託し、その先で不適切な扱いがあった場合には、委託元の法違反と判断されうる、とも書かれています。監督が足りない例としては、委託先の管理の状況を契約のときもその後も把握していなかった場合、必要な安全管理の内容を指示していなかった場合、再委託の条件を示さず確認もしていなかった場合などが挙がっています。

町内会やPTA、同窓会のような団体も、名簿などを事業に使っていれば、数の多少にかかわらずこの法律の個人情報取扱事業者に当たります。卒業アルバムの業者や連絡網のアプリに名簿を預けるときも、同じ考え方が当てはまります。PTAの役員が名簿を自宅のパソコンで扱う場合も、預かった名簿の安全管理は団体の仕事になります。

自治体・公立学校などは第66条と第67条

2023年4月からは、地方公共団体の機関にも個人情報保護法の「行政機関等」の章がかかっています。第66条第1項は、行政機関の長等に保有個人情報の安全管理のために必要かつ適切な措置を求め、第2項はこれを、行政機関等から個人情報の取扱いの委託を受けた者にも当てはめています。第2項の第5号は、二以上の段階にわたる委託、つまり再委託や再々委託を受けた者まで含めています。

第67条は、個人情報の取扱いに従事する職員だけでなく、委託を受けた業務に従事する人や、行政機関等で個人情報を扱う派遣労働者にも、業務で知った個人情報をみだりに他人に知らせたり、不当な目的に使ったりしてはならないと定めています。公立の学校も、設置する自治体の機関として、この章の対象になります。私立の学校や園は民間の事業者として第25条の側です。

漏れたときに報告するのは、預けた側でもある

第26条は、個人データの漏えいなどで本人の権利利益を害するおそれが大きい事態が起きたとき、個人情報保護委員会への報告と本人への通知を事業者に求めています。報告が要るのは、要配慮個人情報が含まれる場合、不正に使われると財産的な被害が生じるおそれがある場合、不正の目的によるおそれがある場合、1,000人を超える場合で、いずれも「おそれ」の段階を含み、高度な暗号化などの措置をしたデータは対象から除かれます。速報は知ってから概ね3〜5日以内、確報は30日以内（不正の目的による場合は60日以内）です。

委託がある場合について、ガイドラインは委託元と委託先の双方が個人データを扱っているので、原則として双方に報告の義務があると説明しています。ただし委託先が委託元に速やかに（目安は知ってから概ね3〜5日以内）知らせれば委託先の報告義務はなくなり、報告と本人への通知は委託元が行います。委託元は、遅くとも通知を受けた時点で事態を知ったことになります。行政機関等にも第68条で同じような報告と通知の決まりがあり、本人の数の基準は100人を超える場合です。

つまり、遅くとも委託先から電話が来た日には、預けた側の報告の期限も動き出しているということです。そのとき「どのデータを、いつ、どこまで渡していたか」がすぐに答えられなければ、件数も本人の範囲も決められません。紛失や漏えいの初動と報告の期限は、ディスクやUSBを紛失したときの報告義務の記事に詳しく書いています。

決め事1｜渡すデータを、業務に要る項目と期間だけに絞る

どれだけ相手の守りを確かめても、渡したデータは守りの外に出たことになります。反対に、最初から渡さなかったデータは、委託先で何が起きても漏れません。イセトーや両毛システムズでは、業務が終わった後も残っていた過去のデータが対象に含まれていました。渡す量を減らすことは、預ける側が自分だけで今日から始められる、いちばん確かな手です。

絞り方には、項目（表の列）を削る、期間（表の行）を区切る、本人が分かる情報を番号に置き換える、渡し方を限る、の四つがあります。どれも委託先に断る必要はなく、預ける側が渡す前のファイルを作る段階で済みます。渡すたびに少し手間が増えますが、その分だけ、漏れたときに本人へ連絡する件数と項目が減ります。

項目を削る｜「刷る・使う列」だけを書き出す

通知書の印刷と発送を頼むなら、委託先に要るのは、宛名にする氏名・住所・郵便番号と、通知に刷る中身です。内部の管理番号のうち印字しないもの、生年月日、電話番号、メールアドレスは、通知に刷らないなら要りません。いちばん確かなのは、委託先に「この業務で使う項目」の一覧を先に出してもらい、そこに無い列を渡さないことです。項目の一覧を仕様書に書いておけば、次の年の担当者も同じ絞り方ができます。

学校や団体の委託でも同じ考え方が使えます。卒業アルバムの業者に要るのは、掲載する名前の表記と写真で、配送を学校でまとめて受け取るなら家庭ごとの住所は要らないことがあります。行事の映像の編集を頼むなら、要るのは撮った映像そのもので、名簿を添える必要はたいていありません。テロップに名前を入れるなら、その名前の一覧だけを渡せば足ります。

表計算のファイルで渡すときは、元の名簿をそのまま送らず、渡す用のファイルを別に作ります。列は非表示にするのでなく削除します。非表示の列やシート、セルのコメント、作成者の情報は、受け取った側で表示を戻せば見えるからです。Excelには、こうした隠れた情報を探す「ドキュメント検査」の機能があり、Windows版では「ファイル」の「情報」から「問題のチェック」を開くと選べます（表記は版で変わります）。送る前に一度かけておくと、消したつもりの列が残っていないかを確かめられます。

委託先から「名簿は全項目そろったものをください」と言われることもあります。そのときは、項目ごとに何に使うのかを聞きます。使い道の答えがある項目は渡し、答えの無い項目は外します。電話番号を問い合わせのときの本人確認に使う、という答えなら、その問い合わせの対応が今回の委託に本当に含まれているかを確かめます。

やり取りの結果は、渡した項目とその理由として記録に残します。翌年の担当者が同じ質問を繰り返さずに済み、漏れたときにも「なぜその項目を渡していたか」を説明できます。委託先にとっても、受け取る項目が少ないほど、預かったデータの管理と消去の手間は減ります。

期間を区切る｜今回の分だけを渡し、前の分は消してもらう

毎月の給与計算や毎年の通知書のように続く委託では、前回までのデータが委託先にたまっていきがちです。渡すのは今回の業務に要る期間の分だけにし、「念のため過去の全件」を渡さないようにします。前回の分を委託先が問い合わせの対応に使う期間があるなら、それが何か月なのかを決め、過ぎたら消してもらうところまでを一つの約束にします。

受ける側にも事情があります。翌年の作業を早く進めるために前年のデータを手元に置いておきたい、という理由はよく分かります。それでも、置いておく理由と期限を書面で決めていないデータは、いつまでも残ります。両毛システムズで大東ガスの対象になったのが、2023年11月から2024年4月に利用した分の過去のファイルでした。業務が終わった後も「置いておいたデータ」が、そのまま攻撃の対象になりました。

本人が分かる情報を番号に置き換える

アンケートの集計や統計の作成、システムの動作の確認のように、誰のデータかが分からなくても進められる業務もあります。その場合は、氏名や住所を通し番号に置き換えたファイルを渡し、番号と本人の対応表は預ける側の手元に置きます。置き換えても法律上の個人データでなくなるわけではありませんが、委託先から漏れたときに本人が特定される危険は小さくなります。

見落とされやすいのが、検証やテストに使うデータです。新しいシステムの動作確認や、印刷の仕上がりの確認に、本物の名簿がそのまま使われることがあります。仕様書に「検証には本物の個人情報を使わず、架空のデータを使う」と書き、架空のデータは預ける側で用意できるならこちらで作って渡します。本物を使うしかない場合は、検証が終わったら消すことを、本番のデータと同じ約束に入れます。

渡し方を限る｜相手と期限を決めた経路で、パスワードは別に伝える

渡す中身を絞ったら、渡し方も絞ります。共有のURLで渡すなら、見られる相手を指定し、期限を付けて作り、委託先がダウンロードしたら共有を止めます。ファイル転送のサービスを使う場合、ギガファイル便なら保持期限は3・5・7・14・30・60・100日から選べて初期値は5日、アップロードした後に期限を変えたり延ばしたりはできないので、アップロードする前に短い期限を選びます。ダウンロードのパスワードを付け、そのパスワードはメールとは別の経路で伝えます。サービスの安全性の考え方はギガファイル便の安全性の記事で書いています。

メールの添付は、宛先の間違いが起きやすい渡し方です。東京商工リサーチが2026年1月に公表した集計では、上場企業とその子会社が2025年に公表した個人情報の漏えい・紛失180件のうち、誤表示・誤送信が37件（20.5%）を占めていました。名簿を送るときは、宛先を確かめてから送る手順を決め、ファイル自体にも暗号化をかけておくと、送り間違えたときの被害を抑えられます。

委託の例：通知書の印刷・発送
渡す必要があることが多いもの：宛名（氏名・住所・郵便番号）と通知に刷る中身
外せないか確かめるもの：印字しない管理番号、生年月日、電話番号、前年度の分

委託の例：卒業アルバム・写真の販売
渡す必要があることが多いもの：掲載する名前の表記、写真
外せないか確かめるもの：家庭ごとの住所と連絡先、保護者の勤務先

委託の例：行事の撮影・映像の編集
渡す必要があることが多いもの：撮った映像、テロップに入れる名前
外せないか確かめるもの：名簿全体、連絡網、健康や家庭の事情に関する欄

委託の例：アンケートの集計
渡す必要があることが多いもの：回答の中身
外せないか確かめるもの：氏名・住所（通し番号に置き換える）

委託の例：システムの保守・動作確認
渡す必要があることが多いもの：保守に要る範囲の接続と権限
外せないか確かめるもの：本物の名簿を使った検証、期限の無い管理者のアカウント

決め事2｜終わったら期限を決めて消してもらい、消した証明をもらう

渡したデータを業務が終わったあとまで残さないためには、消す時期と範囲と確かめ方を、契約か仕様書に書いておく必要があります。口頭で「終わったら消しておいてください」と頼むだけでは、イセトーの件のように、消すべきデータが残っていても預ける側は気づけません。

契約や仕様書に書いておく項目

書く項目は、委託の大きさにかかわらずだいたい同じです。大きな契約なら仕様書の一節に、小さな発注なら発注書やメールの本文に、次の項目を並べておきます。書いてあれば、担当者が替わっても、業務が終わった日に双方が同じ一覧を見て、消し忘れが無いかを確かめられます。

• 消す時期（業務が終わってから何日以内か）
• 消す範囲（受け取ったデータ、作業用の複製、検証用のデータ、印刷の確認用の出力、再委託先にある分）
• バックアップに入った分の扱い（すぐ消せないなら保持の期限と、期限で消えること）
• 消し方（元に戻せない方法で消す、記録媒体は物理的に壊す）
• 証明のしかた（消去証明書・記録媒体の廃棄証明書に、対象・日付・方法・担当者を書いて出す）
• 再委託の扱い（事前に承認を得る、再委託先にも同じ約束を求める）
• 漏えいや紛失が起きたときに委託元へ知らせる期限と連絡先

バックアップの扱いは、とくに具体的に決めておきます。システムのバックアップを委託先が取っていれば、預けたデータもそこに入ります。バックアップから特定のデータだけを抜き出して消すのは難しいことが多く、「業務終了と同時に完全に消す」と書いても守れないことがあります。守れない約束を書くより、バックアップは何世代・何日分を持っていて、いつ上書きされて消えるのかを委託先に聞き、その日付までを契約に書くほうが確かです。

消す対象は電子データだけではありません。印刷と発送の委託なら、刷り損じた紙、仕上がりの確認に使った見本、宛先不明で戻ってきた郵便物が、委託先の手元に残ります。どれも氏名と住所、通知の中身が刷られた紙です。仕様書には、刷り損じと見本の処分のしかた（シュレッダーや溶解処理など）と、戻ってきた郵便物を委託元へ返すのか、委託先で処分するのかを書いておきます。

映像の委託でも同じです。編集の途中の書き出し、確認用に作ったディスク、試写のために書き出したファイル。最後の納品物だけでなく、途中でできたものも数に入れて、業務が終わったら返してもらうか、処分してもらいます。撮影の業者に名簿や配役の表を渡していたなら、それも同じ一覧に入ります。

尼崎市はUSBメモリの件のあと、2022年10月から、再委託の承認の申請を厳しくし、業者に「データ消去証明書」と「記憶媒体の廃棄証明書」の提出を義務づけました。調査委員会の報告書は、委託先が契約に反して市の承諾なく再委託・再々委託をしていたこと、仕様書で決めていた運搬の手順が取られていなかったこと、そして市の側もデータの管理者としての確認が十分でなかったことを指摘しています。証明書の義務化は、その市の側の確認を形にしたものです。消去の証明は、契約の前から年に一度の棚卸しまで、預ける側が決めておく時点の一つに当たります。

消去の証明で分かること、分からないこと

消去証明書は、委託先が自分で書いて出す書類です。書類があるからといって、本当にすべて消えたことが保証されるわけではありません。それでも証明書を求める意味はあります。委託先が対象の一覧を見ながら、作業用の複製や検証用のデータまで一つずつ消していく手順が、書類を作る過程に組み込まれるからです。イセトーで問題になった「削除すべきデータを削除していなかった」状態は、この手順があれば見つかりやすくなります。

重要度の高いデータでは、消去の作業に立ち会う、媒体を物理的に壊したときの記録を受け取る、といった方法を契約で選ぶこともできます。どこまで求めるかは、漏れたときに本人に及ぶ影響の大きさで決めます。全員の住所と税額が入ったデータと、行事の写真数十枚とでは、求める確かめ方が違って当然です。

年に一度、委託先に残っているデータを棚卸しする

続いている委託では、業務の終わりが来ないので、消す時期が決まりません。そこで年に一度、年度末や契約の更新のときに、委託先ごとに「いま預かっているデータの一覧」を出してもらいます。何のデータか、いつの分か、どのシステムや拠点にあるか、再委託先にあるか、いつ消す予定か。この五つが分かれば十分です。

預ける側でも、自分が渡したものの一覧を持っておきます。渡した日、渡した中身、渡した経路を、渡すたびに一行ずつ記録しておけば、年に一度の棚卸しのときに委託先の一覧と突き合わせられます。出てきた一覧に、手元の記録に無いデータや、消したはずの年度のデータがあれば、そこで消してもらいます。この記録は、漏えいの連絡を受けたときに範囲を決める材料にもなります。

委託先を切り替えるときが、いちばん複製が増える

委託先を替える年は、データの複製がいちばん増える時期です。前の委託先から新しい委託先へデータを移すために、書き出したファイル、移すための媒体、移した先での試験用の取り込みが生まれます。尼崎市の件でUSBメモリが持ち出されたのも、コールセンターでデータを移す作業のためでした。切り替えの計画には、移すデータの範囲、移す方法と運ぶ人、移し終えた日、前の委託先が消した日と証明、移すのに使った媒体の処分を、日付つきで並べておきます。

前の委託先との契約が終わる日と、新しい委託先が動き出す日のあいだに重なりの期間を置くことも多いはずです。その期間は、同じデータが二つの会社にある状態になります。重なりの期間が終わる日に、前の委託先の消去を確かめる予定を入れておくと、「切り替えたまま古い方に残っていた」という状態を防げます。

決め事3｜委託先が止まっても続けられる控えを、手元に持つ

決め事1と2は、漏れる量を減らすための約束でした。決め事3は、止まる期間を短くするための備えです。関通やアスクルの例のように、委託先のシステムが止まると、預ける側は自分のデータに手が届かなくなります。自分の仕事のデータが、委託先のシステムの中にしか無い状態になっていないかを確かめ、なっているなら手元に控えを作ります。

控えるのは、原本・委託先で増えたデータ・成果物・紙の手順

一つ目は、渡したデータの原本です。たいていは預ける側にもともとありますが、担当者のパソコンにしか無い、委託先に送ったファイルが最新版だった、ということも起きます。渡した時点のファイルを、渡した記録と一緒に保管しておきます。委託先から「どの版を受け取ったか」を問われたときにも、同じファイルを示せます。

二つ目は、委託先の作業の中で増えていくデータです。倉庫の入出庫や在庫の記録、コールセンターの対応履歴、委託して作ってもらった顧客の台帳。こうしたデータは委託先のシステムの中で毎日更新され、預ける側には画面で見る手段しか無いことがあります。契約に「委託元が求めたら、一般的な形式（表計算で開ける形など）で書き出して渡す」と書き、週に一度、月に一度といった頻度で書き出したファイルを受け取っておけば、止まった日にも直前の状態が手元に残ります。

三つ目は、委託して作った成果物です。研修の動画、説明会の録画、記念誌の版下、調査の報告書。完成品を見られるURLだけをもらい、データそのものは制作した会社のサーバーにしか無い、という形はよくあります。その会社が被害に遭えば、成果物も一緒に見られなくなります。納品のときに完成データそのものを受け取り、自分の側でも保管することを、発注の条件に入れておきます。

四つ目は、続けるための紙です。委託先の緊急の連絡先、契約書の写し、委託先が止まったときに手作業で回す手順、自分の取引先や利用者への連絡先の一覧。メールやシステムが止まっている最中に必要になるものなので、紙か、ネットワークから切り離した媒体に置きます。関通の社長が再発防止策に挙げた、代わりの手段（プランB）を前もって用意することは、この手順を決めておくことに当たります。

控えの置き場所は、ネットワークから切り離す

控えを作っても、委託先や自分のシステムとつながった場所に置いていれば、同じ攻撃で一緒に暗号化されることがあります。警察庁の令和7年の統計では、ランサムウェアの被害に遭った組織のうち、バックアップから被害の直前の水準まで戻せたのは、回答のあった99件中20件でした。戻せなかった理由で最も多かったのは「バックアップも暗号化された」（72件中48件）です。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）は、基本の項目を「情報セキュリティ6か条」とし、その一つに「バックアップを取ろう！」を加えました。付録の自社診断は、バックアップに使う装置や媒体はバックアップのときだけパソコンにつなぐこと、戻せるかを定期的に確かめることを対策の例に挙げています。実践編は、本番の環境から物理的に分けた場所に置く例として、外付けの記録装置やテープ、可能な限り遠隔地、銀行の貸金庫、信頼できる取引先や関連会社を挙げています。

手段は一つに決める必要はありません。書き込みのときだけつなぐ外付けHDD、書き込んだら取り出して棚に置く追記型のディスク（DVD-R・BD-R）、本番とは別のアカウントで管理するクラウド。性質の違う置き場所を組み合わせ、一つは切り離しておく、というのが公的機関の勧めに沿った形です。オフラインの控えの作り方はランサムウェア対策のオフラインバックアップの記事で、クラウドとディスクを組み合わせる3-2-1の考え方はクラウドとDVDの使い分けの記事で書いています。

控える頻度は「失ってよい日数」から決め、年に一度試す

控えをどのくらいの間隔で作るかは、委託先が止まったときに、何日分のデータを失っても仕事を立て直せるかで決めます。毎日注文が入る通販の出荷の記録なら、1週間前の控えでは足りないかもしれません。年に一度しか変わらない名簿なら、変わったときに作り直せば足ります。IPAのガイドラインの実践編は、直近の何日分かの複数の時点のバックアップを残しておく「世代管理」を図で示しています。控えが一つ使えなくても、その前の時点に戻れる持ち方です。

委託先で侵入が始まってから暗号化されるまでに時間がかかることもあります。アスクルの件では、最初の侵入から暗号化まで4か月余りありました。IPAが2026年9月に公開したランサムウェアの教訓集は、侵入が始まった時期より前のバックアップなら安全と判断できると書いています。いちばん新しい控えだけを持つのでなく、少し古い時点の控えも一つ残しておくと、どの時点まで戻ればよいかが分かったときに選べます。

控えは、使えると確かめるまでは当てにできません。年に一度、委託先が止まったと仮定して、手元の控えと紙の手順だけで半日から1日の仕事を回してみましょう。在庫の控えから今日出す注文を選べるか、名簿の控えから問い合わせに答えられるか、成果物の控えのディスクが別のパソコンで開けるか。足りない項目が見つかれば、それが次の控えに加える項目です。

関通の社長は再発防止策の一つに、インシデント対応のマニュアルを整えて実地で確かめることを挙げました。IPAの教訓集も、平時の対策として復旧の訓練を挙げています。大がかりな訓練でなくても、担当者二人が机の上で手順を読み合わせ、控えを実際に開いてみるだけで、手順書と現実のずれは見つかります。

控えもまた個人情報。置き場所と期限を決める

見落とせないのは、控えを作るとデータのある場所が一つ増えることです。控えに名簿や顧客の情報が入っていれば、その控えも漏れたりなくなったりしうる個人データです。決め事1で委託先に渡す量を絞ったのと同じように、控えも「止まったときに仕事を続けるのに要る分」に絞ります。

そのうえで、控えには三つの決まりを付けます。置き場所は鍵のかかる棚や金庫にし、持ち出せる人を決めること。何の控えを、いつ作り、どこに置いたかを台帳に書くこと。新しい控えができたら古い控えをいつ処分するかを決めること。総務省の「国民のためのサイバーセキュリティサイト」も、バックアップの媒体を鍵のかかる場所に保管するよう案内しています。

法律の面でも、控えには意味があります。個人情報保護委員会のガイドラインは、ランサムウェアなどで個人データが暗号化されて戻せなくなった場合を「毀損」の例に挙げつつ、同じ内容のデータがほかに保管されていれば毀損には当たらないと整理しています。ただし、同時にデータが盗まれていれば漏えいの問題になるので、控えがあるからといって報告が要らなくなるわけではありません。

委託先の接続口とアカウントを、預ける側から確かめる

ここまでの事例を侵入の経路で並べ直すと、共通点が見えます。イセトーと両毛システムズはVPN、関通は外部ネットワークとの接続口、大阪急性期は給食事業者の保守用のVPN機器と常時接続のリモートデスクトップでした。アスクルも、委託先が使う管理者アカウントが使われた可能性があるとされています。外の業者のための接続とアカウントは、預ける側の建物の鍵を外の人に預けているのと同じです。

技術の詳しい中身まで確かめるのは難しくても、聞くべき問いは決まっています。自分たちのネットワークや機器に、委託先からつながる経路はいくつあって、それぞれ何に使うのか。つなぎっぱなしになっているのか、使うときだけ開けるのか。管理者のアカウントに多要素認証がかかっていて、例外のアカウントは無いか。担当者ごとにアカウントが分かれていて、共通のパスワードを使い回していないか。

機器の更新も問いに入れます。警察庁の令和7年の統計では、侵入の経路とされた機器に適用していないセキュリティの修正があったのは、回答71件のうち40件（56.3%）でした。保守用の機器を委託先が持ち込んだ場合、その機器の更新を誰がいつ当てるのかが契約で決まっていないと、どちらも手を付けないまま年月が過ぎます。大阪急性期の報告書が「責任分界の文書化」を求めたのは、この空白をなくすためです。

最後に、終わり方を決めます。委託の契約が終わったら、委託先のアカウントと接続をいつ消すのか。担当者が異動や退職をしたら、そのアカウントをいつ止めるのか。使われなくなったアカウントが残っていると、パスワードが漏れたときにそこから入られます。年に一度の棚卸しのときに、データの一覧と一緒に、アカウントと接続の一覧も突き合わせます。接続の問いに決め事1と2の項目を合わせると、委託先に確かめることは8つにまとまります。

接続の一覧は、機器ごとに一行で作る

接続の一覧は、難しく考えずに表計算の1枚で作れます。列は、機器の名前と置き場所、保守している業者、つなぐ方法（VPN、リモートの操作、業者の持ち込みの端末など）、常時つながっているか使うときだけか、多要素認証の有無、機器の更新を当てる担当、最後に確かめた日。行は機器ごとに一行です。業者に聞いて埋められない欄があれば、そこが確かめるべき点だと分かります。

小さな事業所や店でも、この問いは当てはまります。複合機、レジやPOS、防犯カメラ、ネットワークの機器を業者が遠隔で保守しているなら、その業者は「つながっている委託先」です。保守の契約書や設置のときの資料を見て、遠隔の接続があるかどうか、あるならどの機器で、パスワードは初期のままでないかを業者に聞くところから始めます。

自治体・会社・学校と団体で、決め事を書く場所が違う

三つの決め事と接続の確かめ方は、どの組織でも同じです。違うのは、それを書いておく場所と、決める人です。自治体なら仕様書と特記事項、会社なら発注書と委託先の一覧、学校や団体なら引き継ぎの資料が、その置き場所になります。担当が替わっても、その場所を見れば続きが分かるようにしておきます。

自治体｜仕様書と特記事項に書き、再委託は承認制にする

自治体の委託では、仕様書と、契約書に添える個人情報の取扱いの特記事項が決め事の置き場所になります。渡す項目の一覧、検証に本物のデータを使わないこと、業務終了後の消去の期限と範囲、消去証明書と記憶媒体の廃棄証明書の提出、再委託の事前承認、漏えいの連絡の期限。尼崎市が義務化したのも、この中の証明書と再委託の承認でした。第66条第2項が再々委託の先まで安全管理を求めていることを、特記事項の中で委託先にも明示しておくと、再委託先への説明もしやすくなります。

入札で委託先を選ぶとき、認証の有無を条件にすることがありますが、イセトーの例のように認証を持つ会社でも被害は起きています。認証に加えて、この記事で挙げた問いへの回答を提案の段階で書いてもらい、契約後の点検で同じ問いを確かめる流れにすると、選ぶときと点検するときの基準がそろいます。

会社・店｜発注書とメールに書き、委託先を一覧にする

中小の会社や店では、委託の多くが発注書やメール、サービスの申し込みの画面だけで始まります。IPAの中小企業向けガイドラインは、経営者が認識すべき3原則の一つに「委託先の情報セキュリティ対策まで考慮する」を挙げ、経営者が実行すべき重要7項目の一つに「委託や外部サービス利用の際にはセキュリティに関する責任を明確にする」を置いています。第4.0版では、経済産業省と国家サイバー統括室が進める「サプライチェーン強化に向けたセキュリティ対策評価制度」の考え方も反映されました。

まず作るのは、委託先とサービスの一覧です。会社名、頼んでいる業務、渡しているデータ、つながっている機器やアカウント、契約の終わる日。表計算の1枚に十数行でも、作ると「これも外に出していた」という発見があります。IPAのSECURITY ACTIONを委託先が宣言しているかは、取り組みの目安の一つになりますが、これは事業者が自分で宣言する制度で、IPAが認定するものではありません。

自分が委託先になる側も、同じ問いに答えられるようにする

中小の会社や店は、預ける側であると同時に、大きな会社や自治体から仕事を受ける委託先でもあります。取引先から、預かったデータを何に使い、いつ消し、誰が触れられるのかを聞かれる場面は、これから増えていくはずです。この記事の決め事を自分の側に当てはめ、預かったデータの一覧、消去の手順と記録、接続の一覧を用意しておけば、聞かれたときにそのまま答えられます。イセトーや両毛システムズの例は、受けた側に過去のデータが残っていたことで被害が大きくなりました。預かったデータを業務が終わったら消すことは、受ける側を守る手でもあります。

学校・園・PTA・地域の団体｜引き継ぎの資料に入れる

学校や団体で預けるのは、名簿、写真、行事の映像が中心です。卒業アルバムや写真販売の業者、連絡網や出欠のアプリ、行事の撮影と編集を頼む先。両毛システムズの件では、伊勢崎市の児童生徒のアカウント情報3,789件が漏えいのおそれの対象に挙がりました。学校の業務のデータも、委託先の手元にあれば対象になりうることを示しています。

団体では、役員や係が毎年替わることが、委託の管理をいちばん難しくします。前の年の係が業者に名簿を渡したことを今年の係が知らないまま業者から連絡が来ても、何を渡していたのか誰にも分かりません。委託先の一覧と「渡したものの記録」を、引き継ぎの資料に必ず入れておきましょう。映像の制作や編集を外に頼むときの委託先の確かめ方は、映像制作の外注で確認する委託先チェックの記事に、契約の項目と監督の義務の観点でまとめています。

クラウドと保守の業者は、データを「取り扱う」かどうかで線が引かれる

一覧を作り始めると、クラウドのサービスや機器の保守の業者を入れるべきか迷います。個人情報保護委員会のQ&Aは、この線引きを具体的に説明しています。法律の上で委託に当たるかどうかと、預ける側が控えを持つべきかどうかは、別の話です。前者は監督の義務の話で、後者は仕事を続けられるかどうかの話です。

クラウドは「事業者がデータを取り扱うか」で決まる

Q&Aによると、クラウドの利用が委託に当たるかどうかは、保存しているデータに個人データが含まれるかどうかでなく、サービスを提供する事業者がその個人データを取り扱うことになっているかどうかで判断します。契約の条項で事業者がサーバーの中の個人データを取り扱わないと定め、適切にアクセスを制御している場合などは、個人データを提供したことにならず、第25条の監督の義務もありません。ただしその場合でも、利用する側は自分の安全管理措置の一つとして、適切な措置を講じる必要がある、と続けています。

つまりクラウドに置いた名簿は、委託先の監督の対象から外れることはあっても、預ける側の安全管理の対象からは外れません。共有の設定、アカウントの守り、そして消えたときに戻せるかどうかは、利用する側が自分で決めることになります。共有のリンクの設定を誤って外から見える状態になった事例は、共有リンクの設定ミスの記事で扱っています。

保守は「個人データで不具合を再現するか」で変わる

保守の業者についても、Q&Aは同じ考え方を示しています。保守の業者がサービスの中身として個人データを扱うことになっている場合、たとえば個人データを使ってシステムの不具合を再現して検証する場合や、個人データを手がかりに情報を抜き出す場合は、委託として監督が要ります。修正のプログラムを当てるだけの保守で、契約で個人データを扱わないと定め、アクセスを制御している場合などは、提供に当たりません。

決め事1で、検証に本物の名簿を使わないと仕様書に書くよう勧めたのは、この線引きとも重なります。保守の契約を見直すときは、「保守の作業で個人データを取り扱うか」「取り扱わないなら、それを契約に書き、見られない・持ち出せない仕組みがあるか」を確かめます。取り扱うのであれば、その業者も三つの決め事を当てはめる相手です。

委託に当たらなくても、控えは要る

法律の線引きと別に、クラウドに置いたデータが消えたときに戻せる期間には限りがあります。マイクロソフトの説明では、OneDriveのごみ箱から戻せるのは、個人用のアカウントで削除から30日以内、職場や学校のアカウントで93日以内です（管理者が設定を変えた場合を除く）。Googleドライブのゴミ箱は30日、Dropboxはプランによって30日から365日です。マイクロソフトの消費者向けのサービス規約も、保存したデータを定期的にバックアップするよう勧めています。

クラウドの復元の機能は、同じアカウントの中の仕組みです。アカウントを乗っ取られて、設定やごみ箱ごと消されることもありえます。委託に当たるかどうかにかかわらず、仕事を続けるのに要るデータは、そのサービスの外にもう一つ控えを持っておきます。決め事3の控えは、委託先だけでなく、クラウドのサービスに対しても同じように効果があります。

ディスクで受け渡すときは、紛失と持ち出しの決まりを先に作る

委託の現場では、データや映像をディスクで受け渡す場面がいまもあります。業者に渡す名簿や資料、防犯カメラの映像の提出、委託先から納品される行事の映像、手元に置く控え。取り出して棚に置いたディスクにはネットワークから手が届かないので、遠隔の攻撃からは切り離されます。一方で、手で持ち運ぶ物なので、かばんごとなくす、誰かが持ち出す、という危険はUSBメモリと変わりません。

尼崎市の件で、決まりは書いてあったのに守られなかった

2022年6月21日、尼崎市から給付金の業務を受けた会社のさらに先の再々委託先の従業員が、データを移す作業のために、市の個人情報を入れたUSBメモリを持ち出しました。作業の後に飲食店に寄り、帰宅の途中にかばんごとなくしています。入っていたのは全市民46万517人分の住民基本台帳の情報などでした。市は6月23日に公表し、USBメモリは6月24日に見つかりました。

2022年11月28日の調査委員会の報告書によると、USBメモリと関係するパソコン・サーバーをデジタルフォレンジックで調べた結果、個人情報の漏えいは確認されませんでした。そのうえで報告書は、仕様書でUSBメモリの外部への運搬は鍵付きの金属ケースで行うと定めていたのに、その手続きが取られていなかったことを指摘しています。決まりは書かれていましたが、守られているかを確かめる働きが十分ではありませんでした。

ディスクでも同じことが起きえます。媒体の種類を変えても、運ぶ人が決まりを知らず、確かめる人がいなければ、なくす危険は残ります。運ぶ人に決まりを渡すこと、運び終えたら決まりどおりだったかを確かめることまでを、手順に入れておきます。USBメモリとの比べ方はUSBメモリの感染と紛失の事例の記事で書いています。

データの盤は、暗号化してから焼き、パスワードは別に伝える

書類や名簿のファイルをそのまま焼くデータの盤には、盤そのものに暗号化の機能がありません。米国の政府機関（旧US-CERT）がバックアップの手段を比べた資料も、光ディスクには暗号化が組み込まれていないと説明しています。個人情報を含むファイルを焼くなら、焼く前にファイルを暗号化します。Macでは標準のディスクユーティリティで、「ファイル」メニューの「新規イメージ」から「フォルダからのイメージを作成」を選び、「暗号化」を指定すると、パスワードをかけたディスクイメージを作れます。Windowsでは、組織で決めた暗号化の手段を使います。

パスワードは、盤やケースに書かず、盤を送る経路とも別の経路で伝えます。盤を郵送するならパスワードは電話で、手渡しするならあとからメールで、という分け方です。盤をなくしても、パスワードが一緒になくなっていなければ、すぐに中身を読まれることはありません。反対に、受け取る側がパスワードを忘れると、正しい持ち主でも開けなくなるので、パスワードの保管のしかたも同じ決まりの中で決めます。

映像の盤は、手にした人がそのまま見られる

家庭用のプレーヤーで再生するDVDやブルーレイは、ふつう再生の前にパスワードを求めません。手にした人がプレーヤーに入れれば、子どもの顔や名前の入った行事の映像も、防犯カメラの映像も、そのまま見られます。だから映像の盤は、盤そのものの管理で守ります。作る枚数を決め、盤面に通し番号を入れ、誰に何番を渡したかを受け渡しの記録に書きます。

受け渡しは、手渡しか、追跡のできる送り方にします。受け取った側には、受け取った日と番号を返してもらいます。業務が終わったら盤を返してもらうか、処分した日と方法を知らせてもらいます。ここまで決めておくと、1枚足りないと気づいたときに、どこで離れたのかを番号でたどれます。

委託先から盤を受け取る側に回ったときも、同じ決まりを使います。行事の撮影を頼んだ業者から、家庭に配る分のディスクがまとめて届くことがあります。届いた枚数を数え、配る相手と番号を記録し、余った盤や配れなかった盤をどう処分するかまで決めておきます。子どもの顔や名前の入った映像なら、配り終えたあとも、何番を誰に渡したかの記録を残しておきます。

使い終わった盤の処分も、委託の終わりに入れる

消去の証明と同じように、盤にも終わりがあります。記録型のディスクは、ファイルを消すのでなく盤そのものを物理的に壊して処分します。ディスクに対応したシュレッダーにかけるなど、読めない状態にしてから捨てます。ごみの区分は自治体によって違います。壊し方とごみの出し方はCD・DVDの捨て方の記事に、個人情報の入った媒体の保管・持ち出し・廃棄の決まりは個人情報の入ったUSBメモリ・DVDの管理の記事にまとめています。委託先に盤を渡したなら、その盤の返却か廃棄の証明も、消去証明書と同じ一覧に入れておきます。

控えのディスクを作る手順と、ディスクにできないこと

決め事3の控えの一つとしてディスクを使うなら、焼き方で守りの強さが変わります。委託先に渡したデータや受け取った成果物の控えは、自分のパソコンで追記型のディスクに焼けます。DVD-Rは1層4.7GB・2層8.5GB、BD-Rは1層25GB・2層50GBです。表示の単位の違いで、4.7GBの盤はパソコンでは約4.38GBと少なく見えるので、余裕を持って分けます。

1. 焼く前に、元のファイルが開けること、中身が正しいことを確かめる。暗号化された後や感染した後のファイルを焼けば、その状態のまま残る
2. ファイルの一覧とハッシュ値（SHA-256）を記録する。WindowsのPowerShellならGet-FileHash（既定でSHA-256）、Macのターミナルならshasum -a 256（-a 256を付けないとSHA-1になる）
3. 追記型の盤（DVD-R・BD-R）を使う。書き換えのできるRW・REは、後から消せるので控えには向かない
4. Windowsの標準の書き込みでは「CD/DVD プレーヤーで使用する」の形式で焼く。「USB フラッシュ ドライブと同じように使用する」の形式は、後からファイルを足したり消したりできる状態になる（画面の文言は版で違うことがある）
5. 書き込んだら盤を閉じて（ファイナライズして）、ドライブから取り出す
6. 別のパソコンで読めること、ハッシュ値が一致することを確かめる
7. 盤面に何の控えか・作った日・通し番号を書き、台帳に記録して、鍵のかかる場所に置く

台帳は表計算の1枚で足ります。列は、盤の通し番号、中身（どの委託の、何の控えか）、作った日、ハッシュ値の一覧の置き場所、保管している場所、持ち出せる人、処分する予定の日。盤を棚から出したときと戻したときにも一行書くようにすると、持ち出しの記録を兼ねられます。盤が1枚見当たらないときも、最後に誰が出したかを台帳でたどれます。

5番目の手順には理由があります。追記型の盤は、一度記録した部分を物理的に書き換えたり消したりできません。ただしファイナライズしていない盤をドライブに入れたままにしておくと、追記によって、見る側からはファイルが消えたり置き換わったりしたように見えることがあります。ドライブに入れたままの盤は、ネットワークから切り離された状態でもありません。焼いたら閉じて取り出す、までを一つの手順にします。

ディスクにできないことも書いておきます。盤には寿命があり、カナダ保存研究所（CCI）の目安では、一般的な銀系の反射層のDVD-Rで10〜20年、BD-Rで5〜10年です。これは温度と湿度の影響だけにもとづく目安です。国立国会図書館の報告書（令和2年2月）は、JIS Z 6017などで長期保存に適した環境として温度10〜25℃、湿度40〜60%が示されていると紹介しています。読むためのドライブも要り、メーカーの撤退や販売の終了が続いて選択肢は減っています。盤は割れることも、なくなることもあります。

だからディスクは、控えのうちの一つの役として使います。コピーを3つ、2種類の媒体に、1つは別の場所に置く「3-2-1」は、米国の政府機関も紹介している経験則です。ディスクはその中で、ネットワークから切り離せて、後から書き換えられないコピーを受け持ちます。控えが本当に戻せるかは、年に一度は実際に開いて確かめます。手順は復元テストとハッシュの記事にまとめています。

委託先から「被害に遭った」と連絡が来た日にすること

決め事を整えていても、連絡が来る日はありえます。そのときに預ける側がすることは、委託先の復旧を手伝うことより、自分の側の範囲を決め、報告の期限に間に合わせ、仕事を止めすぎないことです。最初の電話で何を聞けたかで、その後の数日の進み方が決まります。

最初の電話で聞くこと

電話の相手も混乱していることが多いので、聞くことを決めておき、答えをその場で紙に書き取ります。答えられない項目は「いつ分かるか」を聞きます。聞き漏れがあると、範囲を決める作業がそこで止まり、報告の期限に間に合わなくなるおそれがあります。書き取ったメモは、委託先とのやり取りの記録としてそのまま残します。

• いつ、何に気づいたか（暗号化、不審な通信、データの公開、紛失など）
• 被害に遭ったのはどのシステム・どの拠点か
• 預けたデータはそこに置かれていたか。あれば、どの期間の、どの項目か
• 再委託先は関係しているか
• 自分たちのネットワークや機器、アカウントとつながっている部分はあるか。もう止めたか
• 警察や個人情報保護委員会への連絡、公表の予定はどうなっているか
• 次の連絡はいつ、誰から来るか

電話を受けた時刻と相手の名前も書いておきます。個人情報保護委員会のガイドラインは、報告の期限を数え始める「知った」時点について、法人ならいずれかの部署が事態を知った時点を基準とする考え方を示しています。委託先から連絡を受けた部署が総務でなく現場の課だったとしても、その時刻から期限が動き出していると考えて、すぐに社内の担当に伝えます。

つながりを止め、共有している合言葉を替える

次に、委託先とこちらをつなぐものを一時的に止めます。保守用の接続、委託先に発行しているアカウント、共有のフォルダやクラウドの共有の設定。接続の一覧を作ってあれば、どれを止めるかをその場で決められます。委託先と同じIDやパスワードを使っている仕組みがあれば、それも替えます。

しばらくのあいだは、委託先の名前で届くメールや電話にも気をつけます。普段と違う振込先の変更や、添付ファイルを開くよう求める連絡が来たら、こちらから知っている番号に電話をかけ直して確かめます。被害に遭った会社の名前を使った連絡は、相手が本物かどうかを見た目だけでは判断できません。

範囲を決め、報告と公表の準備をする

渡したものの記録と、委託先が出す「預かっていたデータの一覧」を突き合わせ、対象になりうる本人の範囲、項目、件数を出します。この作業は、決め事2の記録が無いと何日もかかります。範囲が決まったら、要配慮個人情報が含まれるか、財産的な被害のおそれがあるか、不正の目的によるおそれがあるか、1,000人（自治体などの行政機関等は100人）を超えるかを順に見て、報告が要るかを判断します。

報告が要るなら、速報は知ってから概ね3〜5日以内、確報は30日以内（不正の目的による場合は60日以内）です。委託先が委託元に知らせた場合は委託元が報告し、双方の連名で報告することもできます。自治体などの行政機関等は第68条にもとづいて報告します。本人に一人ずつ知らせるのが難しい場合について、ガイドラインは、問い合わせの窓口を用意して連絡先を公表し、本人が自分のデータが対象かどうかを確かめられるようにする、といった代わりの措置の例を挙げています。

預けた側が公表したり本人に知らせたりするときは、読む人が自分に関係あるかを判断できる形にします。書くのは、委託先で何が起きたか、対象になりうるデータの期間と項目、件数（「おそれ」の段階ならそう書く）、本人にお願いしたいこと、問い合わせの窓口、次の案内を出す時期です。分からないことは、分からないと書きます。

本人へのお願いには、委託先や自分たちの名前を使った不審な連絡に気をつけてほしいことも入れます。漏れた情報が、関係者を装った連絡に使われるおそれがあるからです。問い合わせの窓口では、相手の名前や住所を聞いて照合することになるので、窓口の担当者が見る対象者の一覧は、窓口の中だけで扱えるようにしておきます。

相談先と、止まっているあいだの仕事

相談先は、事態の種類で分けます。個人情報の漏えいの報告は個人情報保護委員会へ。サイバー攻撃への対応の相談は、IPAが2025年4月に開いた企業・組織向けのサイバーセキュリティの相談窓口が受けています。犯罪の被害としての相談や通報は、都道府県警察のサイバー犯罪相談窓口が受けます。警察庁の「サイバー事案に関する相談窓口」のページから、各地の連絡先をたどれます。

止まっているあいだの仕事は、決め事3の控えと紙の手順で回します。取引先や利用者には、何が止まっていて、いつ次の案内を出すかを先に知らせます。復旧の見込みが分からない段階で日付を約束すると、延びたときに二度目の説明が要ります。分かっていることと分かっていないことを分けて伝え、次の案内の日時だけを約束するほうが、受け取る側も予定を立てやすくなります。

映像の制作や書き込みを外に頼むときも、同じ三つを当てはめる

当社も、データを預かる委託先の一つです。当社は、完成した動画のデータから、プレーヤーで再生できるDVD・ブルーレイを作る書き込み代行の店で、1枚から注文できます。研修の動画、説明会や会議の録画、工事や作業の記録、園や学校の行事の映像のように、外の会社に作ってもらった成果物や、自分たちで撮った記録の控えをディスクで持ちたいときに使えます。三つの決め事は、当社に頼む場面にもそのまま当てはまります。

決め事1の「渡すデータを絞る」は、送るのを完成した動画だけにすることです。当社が受け付けるのは完成した動画のデータなので、撮影の素材のフォルダごと、出演者の名簿、台本などを一緒に送る必要はありません。入稿は、動画の共有URLを注文フォームに貼る形です。ギガファイル便を使うなら、保持期限はアップロードの前に選び（初期値は5日、後から延ばせません）、ダウンロードパスワードを付けておけば、注文フォームにURLを貼ったときに開く「ダウンロードパスワード」の欄で、合っているかがその場で確かめられます。ほかのサービスのパスワードの伝え方は、注文の前に相談・問い合わせフォームで確かめてください。

決め事2の「終わったら消してもらう」については、作業が終わった後のデータの扱いで気になる点があれば、注文の前に相談・問い合わせフォームで確かめてください。依頼する側でできることとして、ディスクが届いて中身を確かめたら、共有のURLを止めるか、ファイルを削除しておくと、外に置いたままの複製が残りません。

決め事3の「手元に控えを持つ」には、同じ内容の焼き増しが使えます。控えを2枚以上作るなら、2枚目からは追加コピー（同一内容の焼き増し・1枚あたり）の1,000円（税抜）で、事務所と別の拠点のように、別々の場所に置く分をそろえられます。1枚目は基本料金（DVD・1枚あたり）の1,500円です。ブルーレイでも、同じ内容の焼き増しで控えを複数枚作れます。どちらの盤にするかは、控えにする映像の長さと、見る側の再生機器で決めてください。

どの盤が何の控えかを見分けやすくするには、盤面レーベル印刷（1枚あたり）の+1,000円で、題名や作った日、控えの番号を入れた画像を盤に印刷できます。当社はデザインも文字入れもしないので、入れたい文字を載せた画像を作って入稿してください。説明会や研修のように長い記録は、チャプター分け（1枚あたり）の+1,500円で、話題ごとに頭出しできるようにしておくと、あとで必要な場面を探す手間が減ります。

作ったディスクは、実際のプレーヤーで再生を確かめてから、ケースに入れて渡します。発送は追跡番号のあるクリックポストです。郵送を避けて手で受け取りたいときは、当日店舗お渡し（内容1種類につき）の+3,500円を選べば、平日12時までの注文・入稿で、その日のうちに梅田の店で受け取れます。予約は要らず、準備ができたというメールが届いた後、営業時間内に来ていただければお渡しします。

気をつけてほしいのは、プレーヤーで再生する盤は、手にした人が見られることです。子どもの顔や名前の入った映像を控えにするなら、この記事のディスクの受け渡しの決まり（枚数、番号、置き場所、処分）も一緒に決めてください。お引き受けできるのは、撮った本人か権利者の許可がある動画です。書類や名簿のファイルをそのまま焼くデータの盤は、ここでは自分のパソコンで焼く前提で書きました。当社に頼めるかは、相談・問い合わせフォームで確かめてください。注文はDVDの注文ページから進められます。

今月中に、委託先と渡したデータの一覧を1枚作る

ここまでの決め事は、一度に全部そろえる必要はありません。最初の一歩は、委託先と渡したデータの一覧を1枚作ることです。一覧があれば、次の発注から絞り方と消し方を書き足せますし、連絡が来た日に範囲をすぐ決められます。大きな仕組みを入れる前に、紙1枚から始められます。

1. 委託先とクラウドのサービスを一覧にする（会社名、業務、渡したデータ、つながっている機器とアカウント、契約の終わる日）
2. いちばん多くのデータを預けている1社に、いま残っているデータと、消す予定の日を聞く
3. 次の発注から、渡す項目の一覧と、業務終了後の消去の期限・証明のしかたを発注書や仕様書に書く
4. 仕事を続けるのに要る控えを一つ作り、ネットワークから切り離して、鍵のかかる場所に置く
5. 保守の接続とアカウントの一覧を作り、年に一度の棚卸しの日を予定表に入れる

委託先の守りは、預ける側から全部は見えません。それでも、渡す量、残る期間、手元の控えの三つは、預ける側が自分で決められます。ランサムウェアや内部不正を含め、いま組織と家庭が向き合っている脅威の全体は、情報セキュリティ10大脅威2026を家庭と小さな職場で読む記事で、順位ごとの対策と一緒に整理しています。

よくある質問

Q. 委託先で漏えいが起きたら、報告するのは委託先と預けた側のどちらですか

A. 個人情報保護委員会のガイドラインでは、委託元と委託先の双方が個人データを扱っているので、原則として双方に報告の義務があります。ただし委託先が委託元に速やかに（目安は知ってから概ね3〜5日以内）知らせれば委託先の義務はなくなり、報告と本人への通知は委託元が行います。双方の連名で報告することもできます。

Q. 契約書に消去の決まりがあれば、データは消えていると考えてよいですか

A. そうとは限りません。イセトーの件では、業務が終わったら削除すべきデータを削除していなかったと報じられました。契約に書くだけでなく、作業用の複製や再委託先の分を含めて消去証明書を出してもらい、年に一度は委託先に残っているデータの一覧を出してもらって、手元の記録と突き合わせます。

Q. 消去証明書をもらえば、本当に消えたことが保証されますか

A. 保証にはなりません。消去証明書は委託先が自分で書いて出す書類です。それでも、対象の一覧を見ながら一つずつ消していく手順が委託先の作業に組み込まれるので、消し忘れは見つかりやすくなります。漏れたときの影響が大きいデータでは、消去に立ち会う、媒体を壊した記録を受け取るといった方法を契約で選ぶこともできます。

Q. 委託先が別の会社に再委託するのを止めることはできますか

A. 契約で再委託を事前の承認制にできます。個人情報保護委員会のガイドラインも、再委託先や業務の内容について事前に報告を受けるか承認することが望ましいとし、委託元の監督が足りないまま再委託され、その先で不適切な扱いがあれば委託元の法違反と判断されうるとしています。自治体などでは、法律が再々委託の先まで安全管理を求めています。

Q. クラウドのサービスに名簿を置くのも委託に当たりますか

A. 個人情報保護委員会のQ&Aでは、サービスの事業者がその個人データを取り扱うことになっているかで判断します。契約で取り扱わないと定め、アクセスを制御している場合などは委託に当たらず、監督の義務もありません。ただし利用する側の安全管理の義務は残るので、共有の設定やアカウントの守りは自分で決め、サービスの外にも控えを持ちます。

Q. 委託先に渡すデータを減らすには、何から始めればよいですか

A. 委託先に、その業務で使う項目の一覧を先に出してもらい、そこに無い列を渡さないことから始めます。表計算のファイルは渡す用に別に作り、列は非表示でなく削除します。期間も今回の業務の分に区切り、集計のように誰のデータか分からなくても進む業務では、氏名を通し番号に置き換えて対応表を手元に残します。

Q. 手元に控えを持つと、かえって漏えいの危険が増えませんか

A. データのある場所が一つ増えるので、その面はあります。控えは止まったときに仕事を続けるのに要る分だけに絞り、鍵のかかる場所に置き、何をいつどこに置いたかを台帳に書き、古い控えを処分する日を決めます。同じ内容のデータがほかにあれば、暗号化されて戻せなくなっても毀損には当たらないとガイドラインは整理しています。

Q. 控えをディスクに焼くとき、どの種類の盤を選べばよいですか

A. 一度記録した部分を書き換えられない追記型のDVD-RかBD-Rを選びます。後から消せるRWやREは控えには向きません。焼く前に元のファイルが開けることを確かめ、焼いたらファイナライズしてドライブから取り出します。入れたままの盤や閉じていない盤は、追記で中身が変わったように見えることがあるからです。

Q. ディスクに焼いておけば、ウイルスや暗号化の被害を受けませんか

A. そうとは言い切れません。焼く前のファイルが感染していたり暗号化されていたりすれば、その状態のまま盤に残ります。言えるのは、焼いて閉じた追記型の盤を取り出して保管すれば、後から感染したパソコンに書き換えられないということまでです。盤には寿命があり、なくすこともあるので、別の置き場所の控えと組み合わせます。

Q. 名簿の入ったディスクを業者に渡すときの決まりは何ですか

A. 焼く前にファイルを暗号化し、パスワードは盤を送るのとは別の経路で伝えます。盤面に通し番号を入れて受け渡しの記録に書き、手渡しか追跡のできる送り方で運び、受け取った日と番号を返してもらいます。業務が終わったら返却か廃棄の報告を受けます。尼崎市の件のように、運搬の決まりは守られているかを確かめる手順まで決めておきます。

Q. 委託先から被害の連絡が来たら、最初に何を聞けばよいですか

A. いつ何に気づいたか、どのシステムや拠点か、預けたデータがあったか、あればどの期間のどの項目か、再委託先は関係するか、こちらとつながる接続やアカウントを止めたか、公表の予定、次の連絡の時刻を聞きます。電話を受けた時刻と相手の名前も書き留めます。報告の期限は、こちらが知った時点から数え始めます。

Q. PTAや町内会のような小さな団体にも、委託先の監督の義務はありますか

A. 名簿などを事業に使っていれば、団体の大きさにかかわらず個人情報取扱事業者に当たり、委託するときは委託先の監督の義務がかかります。卒業アルバムの業者や連絡網のアプリに名簿を預けるときも同じです。役員や係が毎年替わる団体では、委託先の一覧と渡したものの記録を引き継ぎの資料に入れておくと、連絡が来た日に慌てずに済みます。

Q. 行事の映像のディスクを店に頼むとき、何を送ればよいですか

A. 完成した動画の共有URLを注文フォームに貼るだけで足り、名簿や撮影の素材のフォルダを送る必要はありません。ギガファイル便なら保持期限をアップロードの前に短めに選び、ダウンロードパスワードを付けておきます。作業が終わった後のデータの扱いで気になる点は、注文の前に相談・問い合わせフォームで確かめてください。