企業活動のデジタル化が進むなかで、会計、人事、給与計算、顧客管理などの業務を外部の専門事業者に委託する企業が増えています。
外部委託には、業務の効率化や費用削減、専門的なノウハウの活用といったメリットがあります。
しかし、委託先がサイバー攻撃を受けたり、個人情報を漏洩させたりした場合、委託元企業は責任を免れることができるのでしょうか。
2026年10月、防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体に影響が広がりました。
総務省の調査では、2025年度に委託先への指導や監査を実施している市区町村は49%にとどまっています。
この問題は自治体だけでなく、業務の外部委託を進める一般企業にとっても重要な教訓となります。
今回は、個人情報保護法における委託元の監督義務、委託先の責任、再委託の問題、企業の内部統制について考えます。
外部委託が企業経営に欠かせなくなっている
企業では、さまざまな業務の外部委託が進んでいます。
例えば、給与計算を外部の専門会社に委託すれば、給与計算システムの維持管理や法改正への対応に必要な負担を軽減できます。
会計業務では、クラウド会計システムや外部の経理サービスを利用する企業もあります。
人事管理では、従業員情報の管理、勤怠管理、社会保険手続きなどを外部サービスに任せるケースがあります。
また、顧客情報の管理や営業支援にも、クラウドサービスが広く利用されています。
こうした外部委託は、企業が限られた経営資源を本業に集中させるための有効な手段です。
しかし、外部委託が進むほど、企業の重要な情報が社外の事業者によって取り扱われる機会も増えます。
特に個人情報を含む業務では、委託先の安全管理が企業全体のリスクに直結します。
外部委託のメリットを享受するためには、委託先を適切に管理する仕組みが欠かせません。
業務を委託しても管理責任はなくならない
外部委託で最も重要なのは、業務を委託することと管理責任を移転することは同じではないという点です。
例えば、企業が給与計算を外部委託した場合を考えてみます。
委託先には、従業員の氏名、住所、給与額、銀行口座情報などが提供される場合があります。
その委託先がサイバー攻撃を受け、従業員の個人情報が流出したとします。
直接的な原因が委託先のシステム管理にあったとしても、委託元企業が必要な監督を行っていたかどうかが問題になります。
個人情報保護法では、個人データの取扱いを委託する場合、委託元に対して委託先の必要かつ適切な監督を求めています。
したがって、委託契約を締結したという事実だけで、委託元の責任がなくなるわけではありません。
もっとも、情報漏洩が発生した場合に、委託元が必ず損害賠償責任を負うという意味でもありません。
実際の法的責任は、委託元と委託先それぞれの義務違反、損害の発生、因果関係などによって判断されます。
重要なのは、委託元にも独自の監督義務があるということです。
個人情報保護法が求める委託先の監督
個人情報保護法第25条は、個人情報取扱事業者が個人データの取扱いを委託する場合、委託先に対して必要かつ適切な監督を行わなければならないと定めています。
この規定は、委託元が自ら個人データを取り扱う場合と同様に、委託先においても適切な安全管理が確保されるようにすることを目的としています。
具体的には、委託先の選定、契約内容の整備、委託後の管理状況の確認などが重要になります。
例えば、委託先を選定する際には、情報セキュリティー管理体制や過去の事故対応状況などを確認することが考えられます。
契約では、個人データの利用目的、アクセス権限、再委託の条件、事故発生時の報告義務などを明確にする必要があります。
さらに、契約締結後も、委託先が安全管理措置を適切に実施しているかを確認することが重要です。
委託先の監督方法は、取り扱う個人データの内容やリスクに応じて判断する必要があります。
すべての委託先に同じ水準の現地監査を実施することが求められるわけではありません。
しかし、重要な個人情報を大量に取り扱う委託先については、より慎重な管理が必要になるでしょう。
契約書だけでは情報漏洩を防げない
企業が外部委託を行う際には、委託契約書を締結することが一般的です。
契約書には、秘密保持義務や個人情報の安全管理義務などが定められます。
しかし、契約書に安全管理義務を記載しただけでは、実際の情報漏洩を防ぐことはできません。
例えば、委託先が従業員のアクセス権限を適切に管理していなければ、権限を持たない者が個人情報にアクセスする危険性があります。
また、システムの脆弱性を修正するための更新作業が遅れていれば、外部からの不正アクセスを受ける可能性があります。
こうした問題は、契約書の内容を確認するだけでは把握できません。
委託先がどのような管理体制を整備し、実際にどのような対策を実施しているのかを確認する必要があります。
例えば、定期的な報告書の提出、チェックリストによる確認、第三者の監査報告書の活用などが考えられます。
重要なのは、形式的な契約管理から、実態を確認する継続的な管理へと発展させることです。
再委託によって管理が複雑になる
外部委託では、委託先がさらに別の事業者へ業務を委託する場合があります。
これを再委託といいます。
例えば、企業が給与計算を専門会社に委託し、その専門会社がデータ処理やシステム運用の一部を別の会社に委託するケースが考えられます。
この場合、個人情報を取り扱う事業者が複数存在することになります。
委託元企業が直接契約しているのは最初の委託先であっても、実際の情報処理は再委託先で行われている可能性があります。
そのため、再委託先の安全管理状況を把握する仕組みが必要です。
例えば、再委託を行う場合には事前承認を必要とすることや、再委託先にも同等の安全管理義務を課すことが考えられます。
また、再委託先で情報漏洩が発生した場合の報告体制や責任分担も明確にしておく必要があります。
再委託が重なるほど、情報の流れや管理責任が複雑になる可能性があります。
企業には、個人情報がどこで、誰によって取り扱われているのかを把握することが求められます。
情報漏洩が発生した場合の法的責任
委託先で情報漏洩が発生した場合には、複数の法的問題が生じる可能性があります。
まず、個人情報保護法に基づく安全管理措置や委託先監督義務が適切に履行されていたかどうかが問題になります。
また、一定の要件に該当する個人データの漏洩等については、個人情報保護委員会への報告や本人への通知が必要になります。
さらに、情報漏洩によって本人に損害が発生した場合には、民法上の損害賠償責任が問題となる可能性があります。
委託元と委託先の間では、委託契約に基づく損害賠償や費用負担について争いが生じる場合もあります。
ただし、契約で委託先に損害賠償義務を定めていても、それによって委託元の法令上の義務が当然になくなるわけではありません。
また、損害賠償責任の有無や範囲は、具体的な事実関係によって異なります。
企業としては、事故が発生した場合の責任分担だけでなく、事故を未然に防ぐための管理体制を整えることが重要です。
取締役にも内部統制上の責任がある
委託先管理は、情報システム部門や総務部門だけの問題ではありません。
企業の経営管理や内部統制に関わる重要な課題です。
会社法では、一定の会社に対して内部統制システムの整備が求められています。
また、取締役には会社に対する善管注意義務があり、企業の規模や事業内容、リスクの状況などに応じた適切な経営判断が求められます。
重要な個人情報を大量に取り扱う企業であれば、情報漏洩リスクを把握し、必要な管理体制を整備することが重要になります。
例えば、経営陣が重大な情報セキュリティー上の問題を認識していながら、合理的な理由なく必要な対応を怠った場合には、法的責任が問題となる可能性があります。
ただし、サイバー攻撃を受けたという事実だけで、直ちに取締役の責任が認められるわけではありません。
企業がどのようなリスクを認識し、どのような管理体制を整備し、事故に対してどのように対応したのかが重要になります。
委託先管理を経営上の重要課題として位置づける必要があるのです。
内部監査が果たすべき役割
委託先管理の実効性を高めるためには、内部監査の活用も重要です。
内部監査では、委託先の選定手続き、契約内容、管理状況、事故対応体制などを確認することが考えられます。
例えば、重要な個人情報を取り扱う委託先について、定期的な安全管理状況の確認が行われているかを評価します。
また、監査で指摘された問題について、改善期限や責任者が明確になっているかも重要です。
改善状況が確認されず、同じ問題が長期間放置されている場合には、内部統制が十分に機能していない可能性があります。
内部監査の目的は、形式的な規程の整備状況を確認することだけではありません。
実際の業務運営において、リスクを適切に管理できているかを評価することです。
特に外部委託が多い企業では、委託先管理を内部監査の重要な対象として位置づけることが考えられます。
中小企業でも取り組める委託先管理
委託先管理の重要性は、大企業だけに限りません。
中小企業でも、クラウド会計、給与計算、顧客管理などの外部サービスを利用することが一般的になっています。
ただし、中小企業がすべての委託先について詳細な現地監査を実施することは現実的ではありません。
そこで重要になるのが、リスクに応じた管理です。
例えば、従業員の給与情報や顧客の重要な個人情報を取り扱う委託先については、優先的に安全管理状況を確認します。
一方、取り扱う情報が限定的で、情報漏洩による影響が小さい業務については、簡易な確認方法を採用することも考えられます。
また、委託先が公表しているセキュリティー方針や第三者認証の状況を確認することも参考になります。
ただし、第三者認証を取得していることだけで、安全性が完全に保証されるわけではありません。
重要なのは、自社が取り扱う情報の重要性を把握し、必要な管理を継続することです。
結論
企業活動のデジタル化が進むなかで、業務の外部委託は今後も拡大すると考えられます。
外部委託は、業務効率化や専門性の活用という点で重要な経営手段です。
しかし、業務を委託したからといって、委託元企業の管理責任がなくなるわけではありません。
個人情報保護法では、個人データの取扱いを委託する場合、委託元に必要かつ適切な監督が求められています。
また、情報漏洩が発生した場合には、委託元と委託先それぞれの義務違反や損害との因果関係などに応じて、法的責任が問題となる可能性があります。
そのため、企業には、委託先の選定、契約内容の整備、継続的な監督、再委託先の管理、事故発生時の対応まで含めた仕組みが必要です。
特に重要なのは、契約書を締結することだけで安心しないことです。
委託先が実際にどのような安全管理措置を講じているのかを確認し、問題があれば改善を求める必要があります。
また、委託先管理は、情報システム部門だけでなく、経営陣や内部監査部門も関与すべき内部統制上の課題です。
外部委託によって業務を効率化することと、管理責任を果たすことは両立させなければなりません。
これからの企業経営では、自社の内部管理だけでなく、委託先を含めた業務全体のリスクを把握することが重要になります。
企業の信頼は、自社が直接管理する情報だけでなく、委託先に預けた情報をどこまで適切に守れるかによっても左右されるのです。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表
個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン
会社法 内部統制システム及び取締役の善管注意義務に関する規定