中堅・中小企業の個人情報漏えい対応｜初動・報告義務・損害賠償を弁護士が解説

最終更新日

2026年10月23日

監修者

よつば総合法律事務所　弁護士　
辻 悠祐

顧客情報の流出、従業員による持出し、メールの誤送信、委託先への不正アクセスなど、個人情報漏えいはさまざまな原因で発生します。

企業にとって重要なのは、被害の拡大を止め、必要な報告・通知を進めながら、顧客対応と事業継続の方針を決めることです。原因の解明や賠償責任の結論が出るまで、すべての対応を待つことはできません。

また、過去の裁判例では「1人当たり数千円の賠償額」であったとしても、自社が同額で解決できるとは限りません。情報の性質や流出の態様によって判断は異なり、調査費用、問い合わせ対応等の負担も生じます。

この記事では、中堅・中小企業をはじめとする企業の経営者・法務・総務・情報管理担当者に向けて、情報漏えいが発覚した後の対応を整理し、裁判例を踏まえた補償・委託先対応の考え方を解説します。

1. 個人情報漏えいが発覚した企業の初動対応

基本となる流れは次のとおりです。

実際には、調査と並行して報告・通知の準備を進めるなど、複数の対応を同時に行います。

1.1 経営者への報告と対応体制の構築

漏えいの疑いを把握した段階で、経営者と責任部署に情報を集約します。現場担当者だけで処理せず、責任者、技術調査、法的判断、広報、顧客対応の担当を決め、誰が何を承認するかを明確にしましょう。小規模な企業でも、外部の専門家を含めて役割を分担することは可能です。

発覚時刻、第一報の内容、対象システム、実施した措置、判断の理由を時系列で記録します。

行政報告の期限管理や、後日の顧客説明、委託先との交渉にも必要となるため、会議の結論や承認経過も残しましょう。

1.2 被害拡大の防止と証拠の保全

不正アクセスが続いている場合は通信やアクセス権限を制限し、誤公開であれば公開設定を修正するなど、事案に応じて拡大を止めます。

誤送信の場合は、受信者への削除依頼や転送防止の要請も検討します。ただし、相手から削除した旨の回答があったことのみをもって、直ちに漏えいのおそれがなくなったと判断できるとは限りません。

同時に、アクセスログ、設定、メール、対象ファイル等を保全しましょう。不用意な初期化・再インストールや電源操作は調査に必要な記録を失わせることがあるため、停止・隔離の方法を技術担当者や調査会社と相談してください。

1.3 事実関係の調査と外部専門家との連携

対象者と情報項目、人数、外部から閲覧・取得された可能性、流出先、原因、被害の継続状況を確認します。「確認済みの事実」「合理的に疑われる事項」「未確認の事項」に分類し、調査結果に応じて更新しましょう。

個人情報に加えて営業秘密や取引先の機密が含まれる場合は、その契約上の報告義務も確認します。技術調査は専門会社、報告・公表・賠償の判断は弁護士と連携して進めます。

サイバー保険に加入している場合は、事故通知の期限、費用の補償範囲、調査会社の選定や和解に事前承認が必要かを早期に確認してください。犯罪が疑われる場合は警察への相談も検討しましょう。

2. 個人情報保護委員会への報告義務と期限

2.1 少人数（1,000人以下）でも報告が必要になる場合

個人情報保護法26条に基づき、個人情報保護委員会への報告が必要となるのは、原則として次の4つの類型に当たる個人データの漏えい・滅失・毀損、またはそのおそれがある事態です。

①②③は人数にかかわらず報告対象です。なお、①～④のいずれの類型でも、高度な暗号化等の措置が講じられている場合は報告対象外となることがあるため、対象データと事実関係を個別に確認します。

たとえば、不正アクセスによる漏えいでは、1,000人以下でも「不正の目的をもって行われたおそれがあるもの」（③の類型）に該当し得ます。

流出を確定できていない場合も「おそれ」が対象になるため、「少人数だから」「まだ流出が確定していないから」という理由だけで報告不要と判断しないことが大切です。

マイナンバーを含む場合はマイナンバー法上の報告等も確認し、業種によっては報告先が事業所管大臣に委任されていることにも注意しましょう。

2.2 速報と確報の期限を管理する

速報は、報告対象事態を知った後、速やかに行います。日数の目安はおおむね3～5日以内ですが、その期間まで待ってよいという意味ではありません。判明している内容で報告し、不明な事項は調査中である旨を明記して報告します。

確報は、原則として報告対象事態を知った日から30日以内、不正の目的をもって行われたおそれがあるもの（前記③の類型）では60日以内です。法人では、いずれかの部署が知った時点を基準とするため、経営者への報告日や社内決裁日から数え直すことはできません。期限までに合理的努力を尽くしても一部が不明な場合は、その時点の内容で報告し、判明後に追完しましょう。

3. 本人通知と公表をどう進めるか

3.1 通知対象者と通知内容を確認

報告対象事態では、原則として本人への通知も必要です。事態の状況に応じて速やかに、概要、対象情報、原因、二次被害のおそれ、本人が取れる対策や問い合わせ先を、分かりやすい方法で知らせます。本人通知に、確報と同じ30日や60日の期限が与えられているわけではありません。

通知対象を調べる際は、顧客だけでなく、従業員、退職者、取引先担当者などのデータも確認します。

ホームページで公表すれば、常に個別通知が不要になるわけでもありません。本人への通知が困難で、本人の権利利益を保護するために必要な代替措置を取る場合などの条件を満たすかを確認しましょう。

以下は、個人情報の保護に関する法律についてのガイドラインに記載の代替措置が認められる場合の事例です。

3.2 公表文と問い合わせ対応の内容を統一

一般公表は、法定の本人通知と分けて、被害拡大防止、社会的影響、契約や業界ルール等を踏まえて判断します。公表文には、発覚の経緯、対象範囲、実施済みの対応、調査中の事項、今後の案内方法を記載します。未確認の段階で「悪用のおそれはない」「完全に安全」と断定しないようにしてください。

顧客窓口ではFAQを用意し、回答を更新する担当者を決めます。謝罪の姿勢、事実説明、費用負担の回答が担当者ごとに変わらないようにし、報告書・本人通知・公表文の間にも不整合がないか確認しましょう。

4. 裁判例から見る損害賠償額の目安と企業の責任

以下は、漏えいをめぐる代表的な裁判例です。金額は該当する原告1人当たりの認容額で、遅延損害金を除きます。なお、弁護士費用は裁判で損害として認められた額であり、実際に弁護士に支払った費用全額ではありません。

4.1 再々委託先の従業員による持出し・売却（宇治市住民基本台帳事件）

宇治市が委託したシステム開発業務に関連し、再々委託先のアルバイト従業員が住民基本台帳等のデータをコピーして名簿販売業者に売却した事案です。氏名、住所、性別、生年月日、世帯関係等が問題になりました。

大阪高等裁判所は市の使用者責任を認め、1人当たり慰謝料1万円と弁護士費用5,000円の合計1万5,000円を認容しました（大阪高等裁判所平成13年12月25日判決）。金銭的な悪用被害などが具体的に立証されていなくても、プライバシー侵害による精神的苦痛が認められています。

自治体の事件ですが、秘密保持契約を締結しているだけでは不十分であり、再委託やデータの持ち出しを実態として適切に管理すべきであるという点は、一般企業にとっても重要な教訓となります。契約上の禁止事項と現場運用が一致しているかも確認する必要があります。

4.2 委託業者の過失による機微情報の流出（TBC顧客情報流出事件）

TBC事件では、ウェブサイトへ送信された顧客の個人情報が、制作・保守を受託した専門業者の過失によって外部から閲覧できる状態となり、流出しました。個人識別情報に加え、エステティック固有の身体状況や美的な悩み・希望等に関係する情報の性質が重視されました。

東京高等裁判所は、原則として慰謝料3万円と弁護士費用5,000円の合計3万5,000円を認めた原判決を維持しました（東京高等裁判所平成19年8月28日判決）。ただし、原告1人は慰謝料1万7,000円、合計2万2,000円とされています。

同判決では、運営企業が専門業者を実質的に指揮監督していたこと等から、使用者責任も認められました。企業は、氏名や住所という項目だけでなく、それがどのサービスの利用や関心と結び付くかを踏まえ、顧客への影響を評価することが重要です。

4.3 再委託先の従業員による持出し・売却（ベネッセ個人情報漏えい事件）

ベネッセ事件では、再委託先の従業員が、業務用パソコンから私物スマートフォンへ顧客情報を転送し、名簿業者に売却しました。

東京地方裁判所は、漏えいが認められた原告らについて、委託先のシンフォームの使用者責任を認め、慰謝料3,000円と弁護士費用300円の合計3,300円を認容する一方、ベネッセに対する請求を棄却しました（東京地方裁判所平成30年12月27日判決）。

しかし、その控訴審である東京高等裁判所は、地裁の責任判断を変更し、ベネッセの委託先監督に関する過失などを認め、両社に連帯して1人当たり3,300円の支払いを命じました（東京高等裁判所令和2年3月25日判決）。委託元は責任を負わないという地裁段階の結論だけを取り出すことはできません。

企業側の対応としては、委託先の技術的な管理状況について報告を求め、必要な設定・変更を確認することが重要です。顧客への謝罪や見舞品の提供等は損害額の判断材料となり得ますが、それだけで賠償責任が消えるわけではありません。

4.4 裁判例の金額を自社の補償額に直結させない

紹介した例では、慰謝料は3,000円、1万円、3万円などと分かれています。この幅を、すべての情報漏えいに共通する相場や上限として扱うことはできません。情報の秘匿性、流出範囲、回収可能性、二次被害、企業の管理状況と事後対応等を考慮して、自社のリスクを検討します。

不快感・不安を超える損害の主張立証がないというだけで慰謝料が否定されるわけではありません。企業は「悪用の報告がないので賠償不要」と一律に回答することは避け、弁護士に適宜相談しましょう。

5. 顧客からの補償要求や損害賠償請求への対応

5.1 謝罪と賠償責任の判断を整理する

会社としての謝罪や被害防止策の案内は、責任判断が未確定でも進められます。その一方で、法的な賠償責任については、不法行為責任、契約上の義務違反、使用者責任、故意・過失、損害と因果関係等を検討します。漏えいしたという結果だけで責任の範囲が決まるわけではありません。

担当者が「一切責任はない」「発生した費用はすべて払う」と即答すると、事実や契約を確認した後の対応が難しくなります。

問い合わせを受け止め、確認事項、調査状況、次に回答する時期を説明し、法的責任や補償方針は責任者の承認を経て回答します。

5.2 見舞金と実費負担の基準を決める

①見舞金等の自主的対応、②被害防止のための費用負担、③法律上の損害賠償は目的が異なります。対象情報、被害の内容、必要な対策、他の対象者との公平性を踏まえ、支払条件と承認権限を決めてください。支払いや和解にサイバー保険の事前承認が必要かも確認します。

免許証等の再交付、連絡先変更、信用情報機関への申告などの費用を求められた場合は、その対策の必要性、金額の相当性、実際の支出、本件との関係を個別に確認したうえで判断しましょう。

5.3 悪用被害の申告と和解の申入れに対応する

不正契約、詐欺送金、アカウント乗っ取り等の申告があれば、被害拡大の防止を優先し、金融機関や利用サービスへの連絡方法等を案内します。そのうえで、取引日時、対象情報、被害額、経過、本件と他の原因との関係を確認しましょう。発覚後の被害だからといって、直ちに本件との因果関係が認められるわけではありません。

和解を進める場合は、支払対象の損害、解決する紛争の範囲、後から判明した被害の扱いを明確にします。

広い権利放棄を一律に被害者に求める運用は、不誠実な企業であるとの悪評が広まるなど、新たなトラブルを生むおそれがあります。事案と相手方の説明内容を踏まえて個別に合意内容を検討しましょう。

6. 委託先やクラウドサービスで漏えいした場合

6.1 報告と本人通知の役割分担を確認

委託先で漏えいした場合でも、まず自社のどのデータが対象か、判明した事実、実施済みの対策、追加調査の予定を確認します。自社が委託元か委託先かで法的な立場も異なります。

委託元と委託先の双方が報告義務を負う場合がありますが、委託先は、報告義務を負う委託元へ法定の通知を行うことで、報告義務の例外が適用される場合があります。

以下は、個人情報の保護に関する法律についてのガイドラインに記載の、委託元への通知による例外の説明です。

連名や代行で報告する場合も、単に「委託先が対応する」と聞くだけではなく、自社分が含まれるか、報告内容、提出日、本人通知の担当を確認してください。社内の期限管理は継続する必要があります。

6.2 費用負担と委託先への請求を検討

顧客への対応と、委託先に対する費用負担の交渉は並行して整理します。委託契約の通知・調査協力義務、再委託の条件、損害賠償の範囲、責任上限、免責条項、保険等を確認し、ログや調査結果の保存も求めましょう。

顧客に支払った費用を、当然に全額委託先へ請求できるとは限りません。委託先の義務違反、自社の管理状況、因果関係や契約条項によって負担範囲は変わります。なお、委託先との負担割合が決まるまで、法定の報告・通知を止めることは避けましょう。

7. 復旧と再発防止のために企業が見直すこと

復旧は、サービスを動かせるかだけでなく、原因への対処、被害の封じ込め、認証情報や権限の見直し、監視体制を確認して判断します。原因や影響範囲がなお不明な場合には、再開範囲を限定するなどの対応も検討しましょう。

再発防止では、アクセス権限の最小化、ログの取得と確認、外部持出しの制限、公開設定の点検、委託先・再委託先の把握、従業員教育を実際の原因に合わせて見直します。契約や規程を作成しただけで完了とせず、実施責任者、期限、運用を点検する方法を決めましょう。

「過去の裁判例で当時の予見可能性や管理状況がどう判断されたか」と、「現在の自社に必要な措置」は同じではありません。技術や危険性の認識の変化を踏まえ、事故がなくても定期的に見直すことが必要です。

8. 個人情報漏えいへの対応は早期に弁護士へ相談を

個人情報漏えいへの対応では、技術調査、行政報告、本人通知、公表、顧客への説明、補償、委託先交渉を整合させる必要があります。

企業の負担を適切に管理するためにも、法的義務を履行し、確認済みの事実に基づいて説明することが重要です。お悩みの点があれば弁護士に相談しながら進めることをおすすめいたします。

監修者

よつば総合法律事務所　弁護士　
辻 悠祐

プロフィール

よつば総合法律事務所大阪事務所所長（大阪弁護士会所属）。
企業法務チームに所属し、インターネット上の誹謗中傷対応、企業およびクリニックの顧問業務、使用者側の労働問題などを担当。
また、AI法研究会に所属し、生成AIに関する法律相談や企業対応にも取り組んでいる。

関連記事

誹謗中傷対策

焼肉きんぐの個人情報漏えい｜対象者・対策・補償を弁護士が解説

タイムズカーの個人情報漏えいから考える企業の報告・通知義務と免許証画像流出への対策