個人情報や機密情報を漏えいしてしまったときの対応｜最初にすることと連絡の順番

個人情報や機密情報を漏えいした、またはそのおそれに気づいたら、まず被害の広がりを止め、分かっている事実を記録し、契約の窓口にすぐ連絡するのが基本です。客先から預かった個人データであれば、委託元（客先）への通知が出発点になり、個人情報保護委員会への報告や本人への通知は、原則として委託元が行います。

やってはいけないのは、自分だけで解決しようとして連絡を遅らせることや、記録を消してしまうことです。この記事では、気づいた直後から数日の間に何をするかを、2026年10月時点の個人情報保護法とガイドラインに沿って整理します。報告が必要になる事態の種類や、フリーランスが個人情報取扱事業者になる条件は個人情報保護法の記事で解説しています。

気づいてすぐにすること

個人情報保護委員会のガイドライン（通則編）は、漏えい等が発覚したときに講ずべき措置として、次の5つを挙げています。

1. 事業者内部における報告及び被害の拡大防止
2. 事実関係の調査及び原因の究明
3. 影響範囲の特定
4. 再発防止策の検討及び実施
5. 個人情報保護委員会への報告及び本人への通知

これは個人情報取扱事業者として講ずべき措置ですが、一人で働くフリーランスに置き換えると、最初にできるのは1の「止める」と「伝える」です。よくある場面ごとの初動は次のとおりです。

端末の初期化やログの削除は、原因を調べる手がかりを失うことになります。委託元から調査の方法を指示されることもあるため、証拠を残したまま、広がりを止めることを優先します。

分かっている事実を記録する

連絡の前に、分かっていることを短くまとめます。完璧に調べてから連絡するのではなく、分かった範囲で書き、分からないことは「不明」と書きます。

• いつ気づいたか、いつ起きたと考えられるか
• 何の情報か（個人情報か、それ以外の機密情報か。項目と件数の見込み）
• どの経路か（誤送信、紛失、不正アクセスなど）
• 誰に渡った、または見られた可能性があるか
• 気づいたきっかけ
• すでに取った措置

ガイドラインは、本人に通知する事項として、概要、漏えい等が発生し又は発生したおそれがある個人データの項目、原因、二次被害又はそのおそれの有無及びその内容、その他参考となる事項を挙げています。委託元が本人への通知や委員会への報告をするときにも、同じような事実が必要になります。上の記録は、そのまま委託元への報告の材料になります。

連絡の順番：客先の情報なら委託元が先

客先から預かった個人データの場合

個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えい等が起きたとき、個人情報取扱事業者に、個人情報保護委員会への報告と本人への通知を求めています。ただし、委託を受けて個人データを扱う事業者が、委託元に事態を通知したときは、その委託先は報告の義務を負わず、本人への通知の義務も負わないとされています。

ガイドラインは、委託先の通知は事態を知った後「速やか」に行う必要があるとし、その目安を概ね3〜5日以内としています。通知を受けた委託元は、通常、遅くともその時点で事態を知ったものとされ、速やかに報告しなければなりません。委託先は、委託元の報告に必要に応じて協力することが求められます。

ただし、これは法律上の目安です。業務委託契約や個人情報の取扱いの誓約書には、「直ちに」「24時間以内に」など、もっと短い報告の期限が書かれていることがよくあります。契約の期限が短ければ、その期限に従います。

エージェントを通じて参画している場合

エージェントを通じて参画している場合は、客先の担当者に加えて、契約の窓口であるエージェントにも同時に伝えます。どちらに先に伝えるべきか迷う時間があるなら、両方に同じ内容を送るほうが早く伝わり、伝え漏れも防げます。契約や誓約書で連絡先が指定されていれば、その順番に従います。

自分の事業で集めた個人情報の場合

自分で集めた取引先の連絡先などが漏えいした場合は、自分が報告や通知の義務を負う立場です。個人情報保護委員会は、速報を発覚から3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）としています。報告は委員会のウェブサイトの漏えい等報告フォームから行います。報告が必要な事態の種類は個人情報保護法の記事をご覧ください。

個人情報以外の機密情報の場合

設計書、ソースコード、価格表、顧客の事業計画など、個人情報にあたらない機密情報の漏えいには、個人情報保護法の報告の仕組みはかかりません。対応の基準になるのは、秘密保持契約（NDA）や業務委託契約の秘密保持の条項です。

秘密保持の条項には、漏えいしたときの通知義務、相手の指示に従う義務、返還・廃棄、損害賠償などが定められていることが多くあります。まず条項を読み、そこに書かれた連絡先と期限に従って報告します。NDAの読み方はNDAの記事、違反時の違約金の定めは違約金の記事で解説しています。

なお、機密情報の中に個人情報が混ざっていることもあります。顧客名簿の入ったスプレッドシートや、問い合わせ履歴を含むログなどです。何が含まれていたか分からないときは、「個人情報を含む可能性がある」として報告しておくほうが安全です。

その後の数日でやること

最初の連絡が終わったら、委託元の調査に協力しながら、次のことを進めます。

1. 追加で分かったことを順次報告する：件数や範囲が変わったら、そのたびに伝える
2. 原因を整理する：操作の誤り、設定の誤り、端末の管理など、どこで防げたかを書き出す
3. 再発防止策を出す：送信前の確認手順、共有設定の見直し、端末の暗号化など、具体的な手順にする
4. やり取りを残す：誰にいつ何を伝えたかを時系列でまとめておく

損害が出た場合の負担は、契約の損害賠償の条項で決まります。上限の考え方は損害賠償の条項の記事、備えとしての保険は賠償責任保険の記事をご覧ください。責任の有無や額に争いがあるときは、弁護士などの専門家にご相談ください。

起きる前にそろえておくこと

漏えいは、起きてから連絡先を探すと時間を失います。参画時に次の点を確かめておきましょう。

• 事故が起きたときの連絡先（客先の担当者、情報セキュリティの窓口、エージェントの窓口）
• 契約や誓約書に書かれた報告の期限と方法
• 預かったデータを置いてよい場所と、置いてはいけない場所
• 端末の遠隔ロック・消去の設定、ディスクの暗号化
• 業務用アカウントの多要素認証

端末やネットワークの具体的な対策は自宅で働くときの情報セキュリティ対策、委託先として契約で求められる内容は業務で個人情報を扱うときの契約の記事で解説しています。

よくある質問

誤送信の相手から「削除しました」と返事をもらえば、報告しなくてよいですか？

削除の返事があっても、誤送信があった事実は残ります。漏えいにあたるか、報告が必要な事態にあたるかを判断するのは、客先の情報なら委託元です。削除の依頼と返事の内容もあわせて、窓口に報告してください。

夜間や休日に気づいた場合、翌営業日まで待ってもよいですか？

契約で報告の期限が決まっていれば、その期限に従います。期限が短い場合や、不正アクセスなど被害が広がるおそれがある場合は、緊急の連絡先に連絡します。連絡先が分からないときでも、メールで第一報を送っておくと、いつ報告したかの記録が残ります。

漏えいを報告したら、契約を打ち切られますか？

契約がどうなるかは、事案の内容や契約の定めによって違います。ただ、報告を遅らせたり隠したりした場合のほうが、信頼の面でも契約の面でも不利になりやすいといえます。損害賠償や契約解除について争いになりそうなときは、弁護士や取引トラブルの相談窓口にご相談ください。相談先は相談先の記事にまとめています。