情報漏洩で事業主が気をつけること｜委託元の責任と初動

｜広告運用ノウハウ公開中！

より詳しく知りたい方は資料をダウンロード！

「漏れたのは委託先なので、うちの責任ではない」——この理解で止まっていると、実際に起きたときに動けません。

2026年の秋は公表が立て込みました。9月25日にタイムズモビリティ株式会社（カーシェアリングサービス「タイムズカー」）が不正アクセスを公表し、10月5日に株式会社物語コーポレーション（『焼肉きんぐ』公式アプリ）が個人情報の漏えいを公表しました。いずれも自社システムへの不正アクセスですが、広告や販促でデータを外に出している事業主にとって考えるべきは、委託先から漏れた場合に誰が表に立つかです。

答えははっきりしています。顧客に対して説明し、通知し、問い合わせを受けるのは委託元です。個人情報保護委員会への報告も、原則として委託元が主体になります。委託先に対して費用を請求できるかは、その後の話です。

この記事では、事業主が「委託元」として負うものを整理したうえで、発覚してからの報告と通知の期限、費用がどこに出るのか、そして委託先の選定と監督で先に決めておく項目をまとめます。

1. 事業主は「委託元」として監督義務を負う

法律上の整理では、個人データの取扱いを任せる側が委託元、任される側が委託先です。広告運用では、事業主が委託元、代理店が委託先になります。

委託元に求められるのは、委託先を監督することです。選ぶときに確認し、契約で定め、期間中も状況を把握する。この一連が監督義務です。

1-1. 「業者がやったこと」では済まない

よくある誤解は、委託したのだから責任も移転したという理解です。移転しません。

委託元が監督義務を果たしていなかった場合、委託元自身も責任を問われます。そして顧客対応の窓口は、契約関係のある委託元が担います。委託先に過失があっても、顧客から見れば委託元の問題として扱われます。

受託側（代理店）が何を求められるかは「情報漏洩で広告代理店が気をつけること｜委託先の責任」にまとめています。

*委託先の監督が法律上の義務として定められている点は、公表されている解説で共通して扱われています。条文の番号と正確な文言は、漏えい等の対応とお役立ち資料 - 個人情報保護委員会で確認してください。*

1-2. 広告運用では「委託先」が何社にもなる

広告の文脈で押さえておきたいのは、委託先が1社では済まないことです。

段階	立場	持つもの
事業主	委託元	顧客データの原本
広告代理店	委託先	配信用リスト、管理画面の権限
制作会社	再委託先	LPの原稿、素材
計測ベンダー・ツール	委託先または提供先	タグ経由で取得した行動データ
媒体	提供先	アップロードされたリスト

監督の対象は、代理店だけではありません。代理店が誰に再委託しているかまで把握していなければ、監督したことになりません。

IPAが公表している「情報セキュリティ10大脅威 2026」では、組織編の2位が「サプライチェーンや委託先を狙った攻撃」です。守りの固い発注元より、データを預かっている側から入るほうが容易という構造が、脅威として整理されています。

2. 発覚してからの期限は決まっている

初動で迷わないために、期限を先に押さえます。

2-1. 速報は3〜5日、確報は30日

個人情報保護委員会への報告は、2段階です。

報告	期限
速報	発覚日から3〜5日以内
確報	発覚日から30日以内
確報（不正な目的で行われたおそれがある場合）	発覚日から60日以内
本人への通知	期限の定めはなく「事態の状況に応じて速やかに」

報告の対象になるのは、漏えい等が発生して個人の権利利益を害するおそれが大きい場合です（出典：漏えい等の対応とお役立ち資料 - 個人情報保護委員会）。

ここで実務的に効くのが、確報の例外です。不正な目的で行われたおそれがある場合は60日になります。ランサムウェアや不正アクセスはこちらに当たる可能性が高く、原因の特定に時間がかかる事案で30日に収めるのは困難です。期限が2通りあることを知らないと、初動の設計が変わります。

2-2. 報告を要しない場合がある

報告と本人通知が不要になるケースも定められています。

• 高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データ
• 仮名加工情報である個人データ

これは平時の設計に直接つながります。どういう形でデータを保持しているかによって、漏れたときの手続きの重さが変わるということです。委託先に渡す形式を決めるときの判断材料になります。

2-3. 本人通知に期限がないことの意味

本人通知は「速やかに」とされ、日数が決まっていません。これは余裕があるという意味ではありません。

委託先から漏れた場合、委託元は「何件、誰の、どの項目が漏れたか」を委託先から受け取らないと通知文を作れません。ここで情報が揃わないと、速やかにできません。つまり通知の速さは、委託先が影響範囲を即座に出せるかどうかで決まります。

契約時に「漏えいが判明した場合は○時間以内に一次報告」と決めておく実務的な理由がここにあります。

3. 費用はどこに出るのか

損害賠償の金額が気になるところですが、公表されている判例や和解の金額は事案ごとに幅が大きく、相場として示せる数字を本記事では確認できていません。代わりに、公表された決算で費用がどこに出たかを見ます。

アスクル株式会社は2025年10月19日、ランサムウェア感染によるシステム障害の発生を公表し、「ASKUL」「ソロエルアリーナ」「LOHACO」の受注・出荷業務を停止しました（出典：ランサムウェア感染によるシステム障害発生のお知らせとお詫び（第1報） - アスクル株式会社）。公表された数字は次の通りです。

項目（会計期間・区分）	公表値
システム障害対応費用（特別損失／2026年5月期通期・連結）	51億800万円
親会社株主に帰属する当期純損失（2026年5月期通期・連結）	221億5,000万円の赤字
11月度（2025年10月21日〜11月20日）の単体売上高	16億9,800万円（前期同月度343億9,900万円に対して前期同月度対比4.9％）

注目したいのは費用の内訳です。同社は2026年5月期第2四半期（中間期）連結決算でシステム障害対応費用52億1,600万円を特別損失に計上しており（概算金額として公表され、通期では51億800万円に確定）、決算説明の質疑応答要旨では、その主な内容は「物流基盤を維持するための費用」と「取引先様ごとに今後発生し得る損害に対する引当金」の2点であり、「この2つで全体の約9割強を占めている」と説明しています。つまり本人への賠償より先に、事業を止めないための費用と取引先への補償が出ています。なお当期純損失221億5,000万円は全額が本事案によるものではなく、通期の特別損失合計108億200万円には、本事案とは別件の株式会社AP67に係るのれんおよび顧客関連資産の減損損失48億2,300万円と、固定資産除却損7億8,000万円が含まれます。

広告予算の観点では、売上が立たない月に配信を続けるかどうかの判断が発生します。そして配信を止めれば、自社ブログで整理しているとおり学習がリセットされます。

学習がリセットされると、システムは再び「学習期間」に入り、この間はパフォーマンスが不安定になります。

復旧して受注を再開しても、広告の成果はすぐには戻りません。詳しい仕組みは「連休明けに広告が落ちる？学習リセットの仕組みと立ち上げ対策」で解説しています。

4. 件数の規模を見ておく

個人データに係る本人の数が1,000人を超える漏えい等、またはそのおそれがある事態は、それだけで個人情報保護委員会への報告が義務になります（個人情報保護法第26条第1項、同法施行規則第7条第4号）。広告配信のために作るリストは、1,000人をはるかに超える規模が普通です。報告は、事態を知った後に速やかに行う速報と、知った日から30日以内（不正の目的をもって行われたおそれがある場合は60日以内）の確報の2段階で、あわせて本人への通知も必要になります（同法第26条第2項、同法施行規則第8条）。委託先から漏れた場合も、通知を受けた委託元である自社が報告する立場になります。報告の対象になる事態と手続きは、個人情報保護委員会の漏えい等の対応（個人情報）にまとまっています。

参考として2026年秋の2件を並べます。株式会社物語コーポレーションの『焼肉きんぐ』公式アプリでは、会員管理システムへの不正アクセスにより、ユーザー登録数10,808,784件のうち10,788,963件が漏えいしました（出典：『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び - 株式会社物語コーポレーション、2026年10月5日公表）。タイムズモビリティ株式会社のカーシェアリングサービス「タイムズカー」では、Webシステムへの不正アクセスにより、漏えいしたアカウント数が約660万件であることが確認されました（出典：タイムズモビリティ株式会社 第2報、2026年9月28日公表）。同じ事案で、運転免許証画像等の本人確認書類が漏えいしたアカウント数は約160万件です（出典：タイムズモビリティ株式会社 第3報、2026年9月29日公表）。タイムズカーの対象には、退会済みのお客様や入会が完了していない方、タイムズビジネスサービスの会員も含まれます。両社とも、現時点で当該情報が不特定多数に公開された事実および不正利用された事実は確認されていないと公表しています。

改正の方向性と広告運用への影響は「個人情報保護法改正2026｜広告運用者が押さえるポイントを解説」で整理しています。

5. 委託先の選定と監督で先に決めておく

5-1. 代理店の先に誰がいるか把握していない

• 症状：代理店とは契約を結び、秘密保持も取り交わしている。ところが代理店が制作を外部に出していることや、計測ツールが海外のベンダーであることを把握していない。漏えいが起きたときに「どこから漏れたのか」が自社で説明できず、代理店からの報告を待つしかない状態になります。
• 原因：契約の相手が1社だと、監督の対象も1社だと考えてしまうためです。実際には代理店が再委託していれば、その先も自社のデータが流れています。再委託の有無は契約書に書かれていることが多いものの、運用の実態は案件ごとに変わるため、契約時点の把握だけでは追いつきません。確認する習慣がないと更新されません。
• 対策：案件ごとに「データが通る先」の一覧を代理店から出してもらうことです。再委託先の社名、渡しているデータの項目、保管場所、削除の時期の4点で足ります。年に1回の更新を定例にすると、実態とのずれが大きくならずに済みます。新しいツールを入れるときは、その時点で追加してもらう形にします。
• 回避策：データが通る先の数を減らす方向で設計することです。制作から配信までを1つの環境で完結できる体制なら、渡す先が増えません。代理店を変えるという話ではなく、どの工程でデータが手を離れるかを見て、離れる回数を減らします。監督の負荷は、委託先の数に比例して増えます。

5-2. 一次報告の期限を契約に書いていない

• 症状：代理店側で漏えいが起きたとき、事業主に連絡が来るのが数日後になる。原因調査が済んでから報告しようとするためです。その間に速報の期限が迫り、自社は「何が漏れたか分からないまま委員会に報告する」か「期限を越える」かの選択になります。
• 原因：秘密保持契約には「漏えい時は速やかに通知する」と書かれていても、時間が数字で入っていないためです。受託側は正確な情報を揃えてから報告したいと考えるため、「速やかに」の解釈が調査完了後になります。期限が明示されていないと、善意でも遅れます。
• 対策：一次報告の時間を数字で契約に入れることです。「漏えいまたはそのおそれを認識してから○時間以内に、判明している範囲で一次報告を行う」とし、内容が不完全でも報告することを明記します。確報の期限が30日、不正な目的で行われたおそれがある場合は60日なので、一次報告が早ければ調査と並行して手続きを進められます。
• 回避策：報告を要しない形でデータを渡す設計を検討することです。高度な暗号化その他の必要な措置を講じた個人データと、仮名加工情報である個人データは、報告と本人通知が不要とされています。渡す形式を変えることで、漏れたときの手続きの重さが変わります。実際にどの形式が要件を満たすかは、個人情報保護委員会の資料と法務の確認が必要です。

6. Squad beyondで、データが手を離れる回数を減らす

ここまで整理したとおり、委託元としての負荷は委託先の数と、データが手を離れる回数に比例します。監督する相手が増えれば確認も増え、漏えい時に追う経路も増えます。

Squad beyondは、LPの制作・公開・差し替え・結果の確認を同じ環境で完結させるツールです。制作をローカルで行って別の場所にアップロードし直す往復や、工程ごとに別のベンダーへ素材を渡す流れが減るため、データが通る先の数そのものが減ります。

配信の面でも効きます。遷移先が本体サイトの1系統に集約されていないと、障害や漏えいで一部を止めるときに「全部止めるか全部出し続けるか」の二択を避けられます。配信を全部止めれば学習がリセットされるので、部分的に生かせる構成であることは広告の成果に直結します。

外部ツールを接続して運用している場合のリスクの確認点は「MCP導入のセキュリティリスクと注意点｜安全に使うためのチェックリスト」にまとめています。

7. 委託元の責任と初動についてよくある質問（FAQ）

8. まとめ

委託先から漏れた場合でも、顧客に説明し通知し問い合わせを受けるのは委託元です。個人情報保護委員会への報告も原則として委託元が主体になります。委託したことで責任が移転するわけではありません。

期限は決まっています。速報が発覚日から3〜5日以内、確報が30日以内で、不正な目的で行われたおそれがある場合は確報が60日以内です。本人通知に期限はなく「速やかに」とされていますが、これは委託先から影響範囲を受け取れないと動けないという意味でもあります。

費用は本人への賠償より先に出ます。アスクル株式会社が2026年5月期第2四半期（中間期）に計上したシステム障害対応費用52億1,600万円について、同社は主な内容を「物流基盤を維持するための費用」と「取引先様ごとに今後発生し得る損害に対する引当金」の2点とし、「この2つで全体の約9割強を占めている」と決算説明の質疑応答要旨で説明しています（通期の確定額は51億800万円）。そして売上が立たない期間に配信を止めれば、広告の機械学習が振り出しに戻ります。

やることは2つです。1つは案件ごとに「データが通る先」の一覧を代理店から出してもらうこと。再委託先の社名、渡しているデータの項目、保管場所、削除の時期の4点で足ります。もう1つは、一次報告の時間を数字で契約に入れることです。内容が不完全でも報告する前提で書きます。

そして平時に効くのは、委託先の数とデータが手を離れる回数を減らすことです。監督の負荷も、漏えい時に追う経路も、ここに比例します。

　

Squad beyondサービス紹介資料はこちらからダウンロード