本連載では、第1回でもう使っていない個人データを消し、前回（第2回）では社内に散らばった写しを見つける手順を扱いました。残っているのは、すでに自社の外に出ている分です。
外に出したデータは、消すかどうかを自社だけでは決められません。ただし本記事で扱うのは、消す判断ではなく「何を渡したかを知っているか」です。ある日、委託先や利用中のサービスから漏えいのおそれがあると連絡が来たときに、自社の顧客が何人対象になるのかを答えられるかどうかが分かれ目になります。
連載「漏えいに強いデータの持ち方」の第3回となる本記事で扱うのは、外に出ている個人データの把握です。委託先の選び方やセキュリティ評価は扱いません。扱うのは、すでに渡してしまったものを自社側の記録でどこまで追えるかです。
数えるのは「渡した先」ではなく「渡した項目」
外部委託の一覧を持っている会社は多くあります。ただし、その一覧が「取引先名」と「業務内容」で止まっていることがほとんどです。これでは、漏えいの連絡が来たときに何も計算できません。必要なのは、どの項目を渡しているかです。
図のように整理すると、影響の大きさが渡した先の数では決まらないことが見えてきます。氏名のようにほぼすべての先に渡っている項目があり、一方で購買履歴のように限られた先にしか出ていない項目もあります。1件の事故でどこまで及ぶかは、先の数だけでは判断できません。どの項目が、誰のデータについて、どの期間の分まで出ていたかを組み合わせて見ることになります。
項目を揃えて数えようとすると、自社の中で同じものが別の名前で呼ばれていることに気づきます。顧客コードと会員番号が同じものを指しているかどうかが決まらなければ、外に出した範囲も確定しません。同一性の確認はデータ保護規制対応のための名寄せ・重複排除で扱っています。
外に出る経路は、契約書を見ても全部は出てこない
業務委託契約を結んでいる先は一覧になっています。問題は、契約書のない経路でもデータは出ているという点です。
| 経路 | どこを見れば分かるか | 見落としやすい点 |
|---|---|---|
| 業務の委託（発送・コールセンター・保守） | 契約書と仕様書 | 再委託が認められているかどうかまでは読まれていない |
| 外部サービスの利用（名刺管理・配信ツール） | 各サービスの連携設定画面 | 契約は現場部門が結び、情報システム部門が知らない |
| グループ会社との共有 | 共有の取り決めや社内規程 | 同じ会社の延長として扱われ、記録が残っていない |
| Webサイトに入れた計測タグ | サイトのタグ管理画面 | 入れた担当者が異動すると、何を送っているか分からなくなる |
| 保守・調査のための一時的な受け渡し | 問い合わせや障害対応の記録 | 終わったあとに相手側で消えたかを確認していない |
下の3つは契約の一覧に出てこない。出てこないものを数えるには、別の探し方が要る
このうち外部サービスの利用とグループ会社との共有は、委員会も実際の事案として挙げています。上記の注意喚起が参考として示している不正アクセスによる個人データ漏えい防止のための注意喚起（WARNING）には、報告のあった事案を類型化した事例が並んでいます。グループ会社の事例には「外部の取引先とは違い、親会社に個人データを管理してもらうことは、個人データの取扱いの委託には該当せず、監督は不要だと認識していた」とあり、クラウドサービスの事例には「業務の委託ではないクラウドサービス利用は個人データの取扱いの委託には該当しない」と考えて取扱状況の監督をしていなかったとあります。どちらも、グループ会社だから、業務の委託ではないから、という関係の呼び方で判断して、実際に個人データをどう扱っているかを確かめていなかった形です。
とくに外部サービスは、現場部門が必要に迫られて契約することが多く、情報システム部門の一覧に載りません。導入前に何を確認すべきかはこのSaaSに顧客データを預けてよいかで扱っています。本記事が扱うのは、すでに使っているサービスを後から数える側です。
技術的な対策を固めても、委託先の監督は別に求められる
個人情報保護委員会（個人情報保護法に基づいて設置された機関で、漏えいが起きたときの報告先でもあります）の2026年10月7日の注意喚起は、不正アクセスとの関係で技術的安全管理措置を中心に説明していますが、そのうえで次のように書き添えています。
注意喚起の記載（原文）
なお、安全管理措置には、技術的安全管理措置のほかに、個人データの取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び外的環境の把握がありますので御留意ください。
引用したのは、不正アクセスへの備えを技術的な対策だけで終わらせないよう念を押した部分です。委員会は、安全管理措置とは別に、委託先を監督することも求めています。監督を実際に行うには、何をどこへ渡したかを自社が知っている必要があります。渡した項目の記録は、そのための材料です。
なお、6つのうち最後に出てくる「外的環境の把握」は、本記事の話とは別のものです。委員会のガイドラインでは、外国で個人データを取り扱う場合に、その国の個人情報の保護に関する制度を把握したうえで措置を講じることを指していて、例示も「個人データを保管しているA国における個人情報の保護に関する制度を把握した上で安全管理措置を実施」という形で書かれています。渡した先が海外にある場合は、この項目が関わってきます。
データが国外で扱われる場合の考え方は、国内の委託とは別の整理が要ります。海外にサーバーがある場合の扱いはこのSaaSに顧客データを預けてよいかで、海外の規制側から見た要求はGDPR正確性の原則と日本企業の実務対応で扱っています。
連絡が来た日に答えられるよう、3つだけ記録しておく
委託先での事故は、自社の判断では防げません。できるのは、連絡が来てから答えるまでの時間を短くしておくことだけです。そのために必要な記録は3つに絞れます。
- 渡した項目——氏名・住所・電話番号・メールアドレス・購買履歴など、列の単位で書く
- 渡した時点と範囲——いつの時点のデータを、どの条件で抽出して渡したか
- 連絡の窓口——相手側の担当と、自社側で受ける部署。担当者名ではなく役割で書く
3つ目を担当者名で書くと、異動のたびに使えなくなります。役割で書いておくことが、半年後に効いてきます。誰が記録を持つかを決める仕組みはデータオーナー制度の作り方で扱っています。
なお、取り扱いを委託している場合、委託先を監督する責任は委託元に残ります。「預けたので相手の問題」という整理にはなりません。このため、渡した項目の記録は相手のためではなく自社のために要るものです。法が求めることの全体像は個人情報保護法とデータ品質の関係で扱っています。
止めることと、消してもらうことは別の作業
使わなくなった外部サービスの連携を止めたとき、相手側に預けたデータまで消えたと考えてしまいがちですが、これは別の話です。連携の停止は、これから送らないという意味でしかありません。すでに送った分がどうなるかは、契約と相手側の運用で決まります。
- 止める——連携設定を無効にする。これだけでは過去に渡した分は残る
- 返してもらう／消してもらう——どちらにするかを契約の終了時に決める
- 確認する——消した旨の連絡を受け取り、自社の記録に日付を残す
3つ目を省くと、数年後に「あのサービスにまだ残っているのか」が分からなくなります。クラウド上のデータは削除操作をしても復元できる状態が残ることがあり、注意喚起の別紙でも、提供事業者が提供する方法や暗号化消去など容易に復元できない手段を採ることが手法の例として挙げられています。
解約のときにまとめてやろうとすると、担当者がすでに異動していて経緯が分からない、という形で止まります。契約を始めるときに、終わるときの段取りも一緒に決めておくほうが確実です。
渡す項目を絞ると、受け取る側のデータ品質も上がる
渡す項目を数えると、たいてい「これは要らないのでは」というものが出てきます。発送のために顧客情報を丸ごと渡していたが、実際に使っているのは住所と宛名だけだった、という形です。渡す範囲を絞れば、漏えいしたときの対象も小さくなります。
もうひとつの効果は、受け取った側が使うデータの質が上がることです。使わない列が混ざっていると、どれが正となる項目なのかが相手にも分かりません。外部から受け取るデータを評価する観点は外部データの品質評価で扱っていますが、渡す側に立っても同じことが言えます。
項目を絞る作業は、BIやAIに読ませる範囲を決める作業とほぼ同じです。どちらも「この目的のために本当に要る列はどれか」を1列ずつ決める作業で、片方をやれば、もう片方の材料がそのまま手に入ります。
よくある質問
委託先が漏えいした場合、報告するのは委託先ですか、自社ですか。
委託している場合は、原則として委託元と委託先の双方に、委員会への報告と本人への通知の義務があります。委員会のガイドラインでは、連名で報告することもでき、また委託先が委託元に事態の発生を通知したときは、委託先の報告義務と本人への通知義務が免除される、という整理になっています。つまり、自社が報告する側に回ることは十分にあります。そのとき必要になるのは、何人分が対象でどの項目が出ていたかという情報で、これは渡した項目と範囲を知っている自社側でなければ確定できません。契約を結ぶ段階で、事故が起きたときの連絡先と、報告に必要な情報をどう出してもらうかを決めておくと動けます。
外部サービスとの連携は数が多く、全部を一覧にするのは無理では。
全部を同時に調べる必要はありません。個人データを渡しているものに絞ると、数は大きく減ります。絞り方は、各サービスの連携設定で送信している項目を見ることです。ただし、氏名やメールアドレスがないことを理由に外さないでください。会員番号や顧客コードのように、自社の顧客マスタと普段の業務で突き合わせられる番号が入っていれば、それも個人データとして扱う必要があります。購買履歴や行動履歴も、そうした番号と一緒に出ていれば同じです。外してよいのは、自社の誰のことなのかを結び付けられる手がかりが何も入っていない場合だけです。
渡した項目の記録は、どの単位で残せばよいですか。
列の単位で残してください。「顧客情報」ではなく「氏名・住所・電話番号」と書きます。漏えいの連絡が来たときに必要になるのは、どの列が外に出ていたかという情報で、まとめた呼び名では計算できないためです。表計算ソフト1枚で足ります。
過去に一度だけ渡したデータも記録の対象ですか。
対象です。一度の受け渡しでも、相手側で消えていなければ残り続けます。むしろ継続的な連携より、障害調査や移行作業のために一時的に渡したデータのほうが、終わったあとに確認されないまま残りやすくなります。渡すときに、終わったら消してもらう段取りまで決めておくと、記録と実態がずれません。
まとめ
外に出した個人データは、消す判断を自社だけでは完結できません。それでも、何をどこへ渡したかを知っているかどうかで、漏えいの連絡が来てからの動きが変わります。数えるのは渡した先の数ではなく、渡した項目です。どの項目を、誰のデータについて、どの期間の分まで渡していたか——この組み合わせで、対象になりうる範囲が決まります。
経路は契約書だけを見ても出てきません。外部サービスの連携設定、グループ会社との共有、Webサイトの計測タグ、障害対応のための一時的な受け渡し——契約の一覧に載らないものほど残りやすくなります。個人情報保護委員会は、委託先の監督を安全管理措置とは別に求めています。預けたあとも、自社の責任は残ります。渡した項目、渡した時点と範囲、連絡の窓口。この3つを列の単位で記録しておくことが、答えるまでの時間を縮めます。