自社が侵入されなくても、委託先から顧客情報は漏れるのか？
委託先の従業員端末がマルウェアに感染しました。
その端末には、委託した業務に関わる個人データが一時的に保存されていました。自社のシステムへの影響が確認されていなくても、顧客への説明が必要になります。
これは架空の筋書きではありません。第一興商が2026年10月8日に公表したお知らせは、こうした経路で生じた個人情報漏えいのおそれを説明しています。ただし、同発表時点で外部への漏えいの事実と不正利用は確認されていません。流出が確定した事案として読むべきではありません。
この事案から自社へ持ち帰りたい問いは、委託先が安全かという大きな質問だけではありません。渡したデータが、業務の途中でどこへ移り、誰の端末に、何のために、いつまで置かれるのでしょうか。 契約相手の評価を、情報の実際の動きまで進める必要があります。
公表の時間軸から、何を読み取れるか
当事者の公表は、感染の判明、端末の隔離、影響範囲の調査、委託元への報告という経緯を示しています。この時間軸を読む意味は、外部から対応の遅速を採点することではありません。自社なら、それぞれの段階で何がわかり、何を決められるかを考えることです。
端末を隔離したという情報を受けても、漏えいしたか、対象は誰か、どんな情報が入っていたかは、すぐには明らかにならない場合があります。感染の停止と、情報の持ち出しの調査は別の作業だからです。
そこで委託元に必要になるのは、最終的な調査結果を待つことだけではありません。自社のどの業務が関係し、どのデータを渡したかを把握し、追加の受け渡しをどうするかを決める準備です。データの内容がわからなければ、その判断自体が難しくなります。
委託先の公表から、契約の内容や日々の管理状況のすべてはわかりません。この企業は監督が足りなかった、と外部から断定するのは避ける必要があります。一方、自社の同種業務で何が確認できるかを問う材料にはできます。
契約書に書いた保存場所と、作業中の保存場所
ここからは、自社への当てはめを考えるための想定例です。会員向けの案内業務を外部に委託し、必要な対象者リストを受け渡しています。契約では管理されたサーバーで扱うことになっていますが、作業の途中で担当者がデータを抽出し、整形し、照合する場面があるとします。
最初と最後の保存先だけを台帳へ書くと、その途中が見えません。作業用のファイル、共有フォルダへのコピー、問い合わせのための添付、処理エラーを調べるための出力が、業務の中にないかを確認しておきましょう。
一時的だから安全だとは言えません。保存時間が短くても、その間に何ができるかは、データの内容とアクセス権限によって変わります。逆に、一時保存を一律に禁止すれば業務が成立しない場合もあります。その必要性を確かめ、許す範囲と管理方法を決めるのが実務です。
ここで使いたい質問は、「一時保存していますか」だけではありません。どの作業で、誰が、どの情報を、どこへ取り出し、何をもって消したと確認するかを尋ねます。回答が具体的なら、許可された作業と、把握されていない作業を分けられます。
監督は、認証の写しを集める作業で終わらない
委託先が認証を持っていることや、規程を整備していることは、評価の材料になります。ただし、その資料が対象としている範囲と、自社が委託する業務が一致しているかは確認が必要です。
会社全体の方針が書かれていても、今回のデータの一時保管や再委託の扱いがわからなければ、その部分は未確認です。安全性を問う回答書に「問題なし」と書かれているだけなら、何を根拠に答えたかを確かめる必要があります。
個人情報保護委員会（PPC）の通則編は、委託された個人データの取扱状況を把握し、委託内容の見直しも含めて評価する考え方を示しています。一方、すべての委託先へ同じ頻度で立入りを行う、といった一律の方法だけを求めるものではありません。
私たちAI Librarium（AIL）の提言は、扱う情報と作業に応じて、確認の深さを変えることです。個人データを扱わない委託と、大量の顧客リストを繰り返し渡す委託を、同じ質問数で管理する必要はありません。後者なら、実際の作業手順や消去の記録まで確かめる優先度が上がります。
委託が終わった日の次にも、問いは残る
想定例の案内業務が終了し、委託先から作業完了の連絡が届きます。請求と納品を確認すれば、契約上の一区切りになります。しかし、データ管理の区切りも同じ日とは限りません。
障害対応用のファイルは残るのでしょうか。バックアップの中に含まれるのでしょうか。再委託先の作業は終わっているでしょうか。保管する必要があるなら、その理由、対象、期間に加え、利用できる人も確認します。業務完了を、データの消去完了へ自動的に読み替えないことが必要です。
消去の証拠も、データの置かれ方によって異なります。ファイルを削除した記録、アクセスできなくした設定、保存期限の管理、後日消去される領域の予定などを区別します。証明書という名前の紙を受け取ることだけが目的ではありません。
すべての物理的な残存を即時にゼロへできるとは限りません。だからこそ、即時に止められる利用と、一定の期間をかけて消去する保存先を分け、残る条件を明らかにします。回答が曖昧なら、次の委託で同じ受け渡しを続けてよいかを判断し直します。
事故の連絡は、確定してからで間に合うか
情報の取扱いを外部に任せるとき、もう一つ決めたいのが、連絡の条件です。顧客情報の流出が確定した場合だけ報告する仕組みでは、不審な動きがわかった段階の対応が遅れる可能性があります。
例えば、対象データへアクセスできる端末の感染、資格情報（IDやパスワード、接続用の鍵など）の盗用のおそれ、誤った保存先への出力など、どの兆候を委託元へ伝えるかを合意しておきます。最初の連絡に必要な情報と、調査後に追加する情報も分けて考えます。
初報では、発生・判明の時点、対象の業務、わかっている範囲、すでに止めた処理、次の報告予定があると、委託元が判断しやすくなります。まだわからない部分は、空欄のままにせず、確認中であることと次に確かめる内容を記します。
これは、委託先の調査を急がせて不確かな断定を求めることではありません。不確かな状態でも、委託元が追加のデータ提供を止めたり、関係部署を集めたりするための連絡設計です。法令上の報告や本人通知の要否・期限は、事案の条件に沿って別途判断する必要があります。
AIとの接続も、データの通り道として捉える
顧客対応にAIを導入するときも、同じ確認が使えます。どこへ送信され、何が保存され、誰が参照でき、終了後に何が残るかです。第一興商の事案がAIに起因したという意味ではなく、データ管理の教訓を別の構成に適用する考え方です。
例えば、問い合わせの本文を外部サービスへ渡し、その中から会員情報を抽出する構成を考えます。サービス名の一覧だけでは、モデルの提供元、実行するツール、ログの保存先、運用担当者へ渡る情報が見えないことがあります。
AIなら特別な台帳を一から作らなければならない、とまでは考えなくてよいでしょう。既存の委託先台帳やクラウド管理の仕組みに、実際に渡すデータと保存・削除の条件を足す方法もあります。重要なのは、導入部門と管理部門が同じ経路を説明できることです。
AIの回答に個人情報が表示されなかったとしても、外部への送信や保存がなかった証拠にはなりません。送ってよい情報と、回答してよい情報を分けます。この違いを把握してから、必要な契約確認と技術検証を選んでみてください。
すべての委託先へ同じ確認を求めるべきか
取扱いの確認を強めようとすると、委託先の数だけ質問票が増えることがあります。それでは、回答の収集で担当者の時間が埋まり、重要なデータの経路がかえって見えなくなりかねません。
そこで、個人情報を渡すか、持つ権限は何か、一時保管や再委託があるか、止まるとどの顧客業務に影響するかで、確認の順番を選びます。すべてに同じ項目を課すより、対象業務に結び付く証拠を少数でも確かめる方が、判断に役立つ場合があります。
想定例の案内業務なら、まず対象者リストの受け渡しと消去に集中できます。全社のネットワーク構成を細かく尋ねる前に、そのファイルが担当者の端末へ置かれるかを確認します。必要だという回答なら、データの絞り込みと保存期間、アクセスする人をさらに具体化します。
相手が重要な情報を開示できない場合もあります。そのときは、安全と不明を同じものにせず、第三者評価、限定した説明、代替の作業方法など、別の確かめ方を協議します。それでも確認できない範囲が残るなら、誰がそのリスクを受け入れるかを決める必要があります。
また、クラウドの利用すべてが法的に同じ委託関係になるとは限りません。提供事業者が何を取り扱うかなど、実態に応じて整理します。名称だけで監督不要と決めることも、契約の区分を確認せず一律の法的義務を断定することも避ける必要があります。
第一興商の公表へ立ち返ると、自社に影響が確認されないという説明があっても、委託先の取扱データを調べる必要が残ることがわかります。自社なら最初にどの受け渡し記録を開き、誰が対象を特定するのでしょうか。実在の事案を、こうした一つの確認へ変えることが、負担を増やすだけの監督と実効的な管理を分けます。
次の更新時、一つの受け渡しを最初から最後まで追う
委託先への要求を際限なく増やすと、双方の作業量だけが増えます。最初の一歩には、重要な受け渡しを一つ選び、取り出しから返却・消去までをたどる方法が向いています。
想定例の案内業務であれば、この確認を次の契約更新前に行います。受け渡す情報を減らせれば、委託先の負担と、事故時に調べる範囲の双方を減らせる可能性があります。必要な項目を削って業務を壊さないよう、業務責任者と実際の処理で確認することも大切です。
自社に侵入されたかどうかだけでは、顧客情報の安全性は説明できません。委託した業務の途中にも、情報の保存と利用は存在します。その場所を具体的に語れることが、管理の出発点になります。
参考情報
公表情報の確認基準日：2026年10月22日。個別事案の契約内容や管理の適否を外部から認定するものではありません。案内業務は明示した想定例です。
AILのサービス・プロダクトについて
AILでは、人材育成、実践知の蓄積・活用、導入に向けたコンサルティング、プロダクトの提供を通じて、企業のAI活用を支援しています。自社の課題に合った支援を、サービス紹介ページでご覧いただけます。
AI Librariumについて
本記事は、AI Librarium（アイブリウム）株式会社が発信しています。
AILは、専門家の知見や判断基準を、実務で使えるAI Skillとして届け、研修やコンサルティングを通じて企業の業務変革を支援します。その実践で得られた成果や課題を、AI Skillの改善と人材育成に活かし、次の変革につなげていくことを目指しています。
