何が問題になるか
場面
顧客管理や給与計算をクラウドサービスや外部の業者に任せていると、委託先で不正アクセスや設定ミスが起きることがあります。委託先から事故の連絡を受けたときに、自社に責任があるのか、何をすべきかが問題になります。
法律の整理
個人データの取扱いを委託した場合、委託元は委託先を監督する義務を負います。委託先で漏えいが起きても、個人情報保護委員会への報告と本人への通知の義務は委託元が負います。委託先は、委託元に通知すれば、自らの報告義務を免除されます。個人データの意味は個人情報と個人データで説明しています。
個人情報保護委員会は「下記の要件に該当する場合、漏えい等報告が義務付けられています。」と説明しています。要件の一つは「個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）」です。不正アクセスなどの場合の期限は「不正な目的で行われたおそれがある場合は、発覚日から、60日以内」とされています。報告先については「原則として、漏えい等が発生した場合の報告先は、個人情報保護委員会です。」とされています。同委員会は、報告フォームの記入例に委託先事例を載せ、「委託先管理に関する着眼点」という資料も公表しています。
会社が備えること
確認すること
委託先から事故の連絡を受けたら、次の点を書面で求めます。
- 自社の個人データが含まれるか
- 漏えいの範囲と本人の数
- 原因
- 委託先が講じる対策
回答を待つ間も、報告期限に間に合うよう社内で事実を整理し、報告と本人通知の準備を進めます。
回答を待つ間も、報告と本人通知の準備
対応
顧客や取引先への損害賠償は、委託元が負ったうえで委託先に求償するのが通常です。委託契約に賠償の上限や免責の条項がないかを確認します。
委託先を選ぶときは、次の事項を契約に書きます。
- 委託先のセキュリティ対策
- インシデントが起きたときの連絡の方法と時期
- 委託元による監査
契約書の見方は取引先から契約書のひな形を渡されましたで扱っています。自社で漏えいが起きた場合の手順は顧客情報が入ったパソコンを社員が紛失しましたをご覧ください。
委託契約の賠償・免責・監査の条項を確認
ご相談で伺うこと
- 委託している業務と、委託先が扱う個人データの種類
- 委託先からの連絡の内容と、連絡を受けた日
- 委託契約書の賠償・免責・監査の条項
- 報告と本人通知の進み具合