参画先で情報漏えいが起きたら｜フリーランスの初動48時間と責任分界

情報漏えい事故の基本｜対象・法的根拠・報告義務

情報漏えいと呼ばれる事象は、個人情報保護法上は「漏えい・滅失・毀損」の3つに整理されます。フリーランスが関わる案件では、顧客情報・従業員情報・アクセスログ・ソースコード内の秘匿値（APIキー等）が対象になりやすいです。

個人情報保護法の報告義務（速報・確報）

結論：一定の類型に該当する漏えい等は、個人情報保護委員会（PPC）への報告と本人への通知が義務化されています（令和4年4月1日全面施行）。条件は次の4類型のいずれかに該当する場合です。

例外：4類型に該当しない小規模な漏えい（例：宛先1件のメール誤送信で機微情報を含まない場合）は法定報告義務の対象外ですが、契約上の報告義務は残ります。

補足：一次情報は個人情報保護委員会の漏えい等の対応と報告義務を参照してください。改正個人情報保護法の全体像は令和2年改正個人情報保護法についてにまとまっています。

委託先が起こした事故の責任分界（原則）

個人情報の取扱いを委託した場合、法律上の報告義務は原則として委託元（個人情報取扱事業者）にあります。ただし委託契約に基づく契約責任・損害賠償責任はフリーランス側にも生じ得ます。また、受託側自身が独自に個人データを保有・管理する立場（個人情報取扱事業者に該当）で事案が起きた場合は、受託側が報告主体となる余地もあります。実務では次のように動きます。

• 法定報告（PPCへの速報・確報）：委託元が主体。受託側は事実関係の提供に協力する

• 本人通知：委託元が主体

• 委託元への状況報告：受託側の義務。契約書に納期・様式が書かれていることが多い

• 損害賠償請求：委託元→受託側の求償として発生し得る

ミニFAQ

Q：メール1通の誤送信でも報告が必要ですか？

A：送信先が1件で機微情報を含まないなら法定報告の対象外になることが多いですが、委託契約上は「事案発生の即時報告」が義務化されているケースが大半です。まず委託元に相談してください。

発覚後48時間｜初動対応のタイムライン

初動の善し悪しで、後の賠償額と信用毀損の大きさが大きく変わります。時計を意識しやすいよう、1時間・24時間・48時間の3区切りで整理します。

発覚から1時間以内：一次遮断と証拠保全

• 委託元のインシデント対応手順（CSIRT／セキュリティチーム）がある場合はそれを優先する。一般には電源を切らず、ネットワーク接続だけ切り離す（電源OFFで揮発性メモリ＝端末の動作中データが消える）

• 感染端末や誤送信メールのスクリーンショットを取る。ログを自分で削除しない

• 委託元の担当（PM／セキュリティ窓口）に電話またはチャットで一報を入れる。その後メールやチケットで記録を残し、証跡を確保する

• 自分側の記録（発覚時刻・何を見て気付いたか・現状）を1枚のメモにまとめる

• 家族・同居人・SNSへの共有はしない（風評リスクと二次拡散を防ぐ）

発覚から24時間以内：事実整理と一次報告

• 委託元と一緒に「5W1H」を確定させる：いつ・どこで・何が・どの範囲に・どうやって・誰へ

• 影響範囲の見立て（何件・どの属性）を委託元に共有する。数値は暫定でよい

• 案件で使っていたクラウド・リポジトリのアクセス権を棚卸しし、必要な失効・パスワード変更を委託元と合意して実施する

• 再委託先がいる場合は、同じ手順で状況を照会する

• 賠償責任保険に加入している場合は、この段階で保険会社の事故受付窓口にも一報を入れる。連絡遅延は不支給の要因になることがある

発覚から48時間以内：速報準備と記録

• 個人情報保護法の4類型に該当するかを委託元と判定する

• 該当する場合、PPCへの速報の下書きを委託元が着手する。受託側は事実関係を提供する

• 対応の全記録（メール・チャット・電話メモ・ログ）を時系列で1本のドキュメントに集約する

• 弁護士相談が必要かを委託元と検討する（大規模・要配慮情報・不正アクセスは早期相談が定石）

ミニFAQ

Q：委託元より先に、漏えいした本人に謝罪連絡していいですか？

A：原則やめてください。通知主体は委託元で、内容が矛盾すると法的リスク・二次被害拡大につながります。委託元と協議のうえで動きます。

事故類型別｜フリーランスが遭遇しやすい6ケース

案件現場で実際に起きやすい6類型を挙げ、初動の勘所を整理します。発覚→遮断→報告→記録の4ステップはどのケースでも共通しますが、遮断のやり方と証拠保全の中身が変わります。

1. PC・スマホの紛失／盗難

• 電源が入っている端末なら遠隔ロック／リモートワイプ（遠隔でデータ消去する仕組み）を先に実施する（自社／委託元のMDM＝モバイル端末管理システム経由）

• 警察に遺失届／被害届を出し、受理番号を取得する。委託元とPPCの報告書で使う

• クラウドサービス側のセッションを強制ログアウトし、パスワード変更する

2. メール誤送信・チャット誤投稿

• 誤送信先に「削除依頼」を入れる。ただし削除の強制力はないことを前提に、内容の機微度で影響を評価する

• 誤送信メールの原文・送信時刻・宛先ドメインを保存する

• Google Workspace／Microsoft 365等の管理者側で送信取り消し（対応可能な範囲）を試みる

3. USB・外部ストレージの紛失

• 保存内容と暗号化の有無を確認する。適切な暗号化が施され、鍵とパスワードが別管理で第三者が容易に復号できない場合は、法定報告の対象外と評価されることがあるが、契約上の報告義務は残る

• どこで最後に使ったかを時系列で洗い出し、遺失届を出す

4. マルウェア感染・ランサムウェア

• 端末をネットワークから切り離す。電源OFF・再起動・スキャンは委託元／セキュリティベンダーの指示を待つ

• 身代金要求には自己判断で応じない。国際的なガイドラインでも支払い非推奨が基本

• 侵害範囲の特定にはフォレンジック（端末やログの専門調査）が必要になることが多く、契約書の費用負担条項を確認する

5. アカウント乗っ取り（クラウド／リポジトリ）

• 該当アカウントのパスワードとAPIトークンを全て失効させる

• リポジトリの場合、直近のコミット差分と外部pushの有無を確認する

• 二要素認証の再設定と、他サービスでの同一パスワード流用の棚卸しを行う

6. 再委託先での事故

• 再委託契約書に基づき事実確認を再委託先に求める。再委託先の過失であっても、委託元との契約上は受託側（フリーランス）がまず説明・対応責任を負う設計が多い（再委託の承諾範囲・責任分担条項によって扱いが変わる）

• 委託元と再委託先が直接やり取りする体制になっているか、受託側経由か、契約書を確認する

責任範囲の切り分け｜委託元・委託先・再委託先

責任の重さは「契約書の条項」と「過失レベル」の2軸で決まります。契約書の締結前チェックの詳細は業務委託の損害賠償条項｜フリーランスエンジニアが確認すべき責任範囲と上限で整理していますので、事前確認の観点はそちらを参照してください。ここでは事故発生後に契約書のどこを読み直すかに絞ります。

契約書のどこを見て責任範囲を判断するか

• 損害賠償条項：責任の対象（直接損害・逸失利益・弁護士費用）と上限（報酬額まで／個別に定める額）

• 再委託条項：再委託の可否と、事故時の責任の帰属

• 秘密保持条項：漏えい時の違約金規定と存続期間（秘密保持契約（NDA）とは｜フリーランスエンジニアが押さえる条項とチェックポイントで条項の型を整理）

• セキュリティ要件別紙：客先が定める技術的・物理的要件と違反時のペナルティ

過失レベルと責任の重さ

結論：IT業務委託契約では「軽過失は上限規定内、重過失・故意は上限なし」という設計が見られることが多いですが、実際の文言は契約ごとに異なるため必ず個別に確認します。

• 軽過失：一般人の注意義務違反。上限規定が適用されるケースが多い

• 重過失：明らかに注意を怠った状態。上限規定の適用外になることが多い

• 故意：意図的な情報流出。上限規定は適用されない

例外：契約書に「過失の程度にかかわらず賠償上限は◯円」と書かれている場合は、重過失でも上限が効くことがあります。

賠償額の実務上の落とし所

情報漏えい事案の賠償額は、二次被害の有無、情報の機微性、件数、委託元の対応コストなどで大きく変わります。受託側が負う額は、契約書の上限規定でキャップされることが多いというのが実務のポイントですが、重過失・故意による除外、違約金条項、第三者からの直接請求、保険対象外費用の扱いによっては上限どおりに収まらない場合もあります。

ミニFAQ

Q：契約書に賠償上限がない場合、青天井で払うことになりますか？

A：民法の一般原則が適用されます。因果関係のある通常損害の範囲に限られますが、上限がない分リスクは大きいです。契約時に上限交渉を試みるか、賠償責任保険で備えます。

賠償責任保険の使い方｜連絡から給付までの流れ

保険商品の選び方（労災特別加入・所得補償・賠償責任の違い）はフリーランスエンジニアの保険とは｜労災特別加入・所得補償・賠償責任の選び方にまとめてあります。ここでは加入済みの人が事故発生後にどう動くかに絞ります。

事故発生から保険金請求までのステップ

以下は一般的な目安で、実際は保険会社の案内・約款に従います。

1. 発覚〜24時間以内：保険会社の事故受付窓口に電話で一報

2. 1週間以内の目安：事故報告書のフォーマットを取り寄せ、記入

3. 1〜2週間の目安：委託元・被害者との対応記録、契約書、被害額の見積もりを提出

4. 調査・査定：保険会社の調査（数週間〜数か月）

5. 示談・支払い：保険会社と協議のうえ示談。示談成立後に保険金が支払われる

加入経路の一例

• フリーランス協会の一般会員：ベネフィットプランに賠償責任補償が付帯（会員規約による）

• 個別契約：損保各社のサイバー保険・IT業務賠償責任保険など。オーダーメイド性が高い

• エージェント経由の団体加入：一部のフリーランスエージェントが提供する福利厚生

補足：加入経路によって補償範囲と支払限度額が違います。契約書類の「担保危険」と「免責事由」を必ず読んでおきます。

保険金が支払われない、または支払いに影響するケース（免責事由）

• 事故発生の告知遅延（多くの約款で「速やかに」通知することが要件）

• 故意・重過失（重過失は約款により扱いが分かれる）

• 契約時点で予見できた事故

• 反社会的行為・法令違反

ミニFAQ

Q：契約書に賠償上限があるのに、保険は上限を超えて出ますか？

A：契約上の賠償責任と保険金は別枠です。契約上限を超える請求は原則発生しませんが、和解や訴訟で上限を超える合意になった場合、保険は約款の限度額まで補償します。

個人情報保護委員会への報告・本人通知の実務

法定報告と本人通知の実務は、委託元が主体で受託側が協力する形になります。受託側として何を提供する必要があるかを押さえておきます。

速報の中身と期限

• 期限：法令上は発覚から「速やかに」。実務上は数日以内を目安に対応されることが多い

• 主な記載事項：概要／漏えい等の類型／個人情報の項目／件数／原因／二次被害の有無／本人通知の状況／再発防止策の方針

• 提出方法：PPCのオンラインフォーム（民間事業者向け）

確報の中身と期限

• 期限：発覚から30日以内（不正目的の事案は60日以内）

• 速報項目に加え、原因の詳細、再発防止策の具体、対応履歴を記載

• 委託先での事故は、委託元が集約して報告する

本人通知の内容とタイミング

• 内容：漏えいの概要、当該本人に関する情報の項目、原因、二次被害の有無、問い合わせ窓口

• タイミング：当該事態の状況に応じて速やかに実施

補足：PPCの漏えい等の対応と報告義務ページに書式と提出フォームがあります。実際の記入は委託元が行いますが、受託側は事実関係の裏付け資料を用意しておきます。

事故の影響を抑えるための備え｜5つのチェックリスト

事故ゼロは現実的でないため、起きたときに影響を抑える設計が実務の勝ち筋です。参画開始時に一度だけ整えれば、以降は棚卸しで維持できるものに絞りました。

連絡先ボードを一枚に集約する

• 委託元の一次窓口（PM／セキュリティ担当）

• 賠償責任保険の事故受付

• 顧問弁護士（必要に応じ）

• 個人情報保護委員会（PPC）代表電話

• 警察の情報セキュリティ窓口

紙で1枚、スマホのメモに1枚。手元にあれば発覚から30分で電話が回せます。

作業ログとアクセス記録の残し方

• ローカル端末：スクリーンタイム・作業時間トラッキングツールで記録

• リモート：クラウドサービスの監査ログを月次でエクスポート

• 契約書・NDAの原本：PDFで別デバイスにもバックアップ

契約書と再委託の管理

• 契約書は締結時に「損害賠償・秘密保持・再委託」の3条項をハイライトしておく

• 再委託先とは同等条件で契約する。原契約より緩い条件を許容しない

パスワードと端末の棚卸し

• 3か月に1回、使用中のクラウド・リポジトリの棚卸しを行う

• 二要素認証の再設定、パスワード漏えいチェック（Have I Been Pwned等）

• MDM（モバイル端末管理）の稼働確認

情報資産の可搬性を下げる

• 顧客データはローカル保存しない、USBで持ち出さない

• ソースコード内にAPIキー・秘匿値を書かない（環境変数と秘匿値管理サービスに寄せる）

• 資料の印刷を減らす。紙媒体の紛失はゼロにしにくい

よくある失敗と対策

事故対応で頻発する失敗を3つに絞りました。発覚後の焦りで判断を誤ると、賠償額と保険金の両方に響きます。

委託元より先に本人へ謝罪してしまう

• 内容が矛盾すると法的リスクが上がる

• 通知は委託元が主体。受託側は勝手に動かない

感染端末を再起動して証拠を消す

• ランサムウェアなど揮発性メモリに証拠が残る事案では、再起動で調査不能になる

• 電源はONのままネットワークだけ切り離す

保険の告知義務違反で不支給

• 発覚から連絡までが長いと「速やかな通知」の要件を満たさないと判断されることがある

• 契約時に告知した業務範囲を超える活動中の事故は、免責の対象になり得る

フェーズ別対応表（発覚→示談）

まとめ

参画先で情報漏えいが起きたら、発覚から1時間以内の遮断と一報、24時間以内の事実整理、48時間以内の速報準備という時系列で動くのが実務の型です。

• 委託元との契約上、受託側（フリーランス）がまず説明・協力責任を負う設計は多い。ただし法定報告は原則として委託元が主体で、受託側は事実提供に協力する

• 契約書の「損害賠償」「再委託」「秘密保持」条項を発覚直後に読み直す

• 過失レベル（軽過失／重過失／故意）で責任の重さが変わる。契約書の上限規定と併せて判断する

• 賠償責任保険は「事故直後の連絡」と「証拠保全」が支払要件。遅延と再起動は不支給リスクにつながる

• 発覚後の判断ミス（本人への謝罪先行・端末再起動・告知遅延）が賠償額を膨らませる

• 参画開始時に「連絡先ボード・作業ログ・契約書ハイライト・二要素認証・情報資産の可搬性低減」の5点を仕込んでおく

事前対策は業務委託の損害賠償条項・秘密保持契約（NDA）・フリーランスエンジニアの保険を参照し、参画前の準備は官公庁・公共系のフリーランスエンジニア案件で客先セキュリティ要件を確認してください。事故対応で信頼を積み上げれば、次の案件につながります。

参照した一次情報

• 個人情報保護委員会：漏えい等の対応と報告義務

• 個人情報保護委員会：令和2年改正個人情報保護法について

• IPA：情報セキュリティ被害に遭ったら

注記：本記事は情報提供を目的とした一般的な解説で、個別の事案に対する法的助言ではありません。実際の事故対応にあたっては、委託元・弁護士・保険会社と協議のうえで判断してください。