外部の調査委員会やフォレンジック調査会社に頼むときは、調査会社に個人データを渡すことになるかと、報告の期限を調査の完了より先に数えているかを、依頼の前に確かめます。このページは、依頼する担当者が顧問弁護士や個人情報保護委員会に相談する前に整理しておく確認点をまとめたもので、個別の事案への法的な助言ではありません。
1. 外部調査の2つの形を分けて考える
「外部に調査を頼む」には、役割の違う2つの形があります。どちらを頼むのかで、先に確認することが変わります。
| 形 | 主な役割 | 先に確認すること |
|---|---|---|
| フォレンジック調査会社 | ログや端末の記録から、侵入の原因と被害の範囲を調べる | 調査のために個人データ（ログ・端末の複製など）を渡すか。渡すなら、その取扱いの監督（法第25条）をどうするか |
| 調査委員会（弁護士・有識者など） | 事実の確認、原因の分析、再発防止策の提言を、外部の目でまとめる | 調査の範囲、委員会に渡す資料に個人データが含まれるか、報告書をどこまで公表するか |
どちらも、依頼したから報告義務や本人通知の義務がなくなる、という関係にはありません。報告・通知の義務（法第26条）は、事態が生じた事業者に課されたものです。調査の中身そのものは不正アクセス発生時のフォレンジック調査の着眼点に書いています。このページは、依頼する前の確認点だけを扱います。
2. 調査会社に個人データを渡すなら、委託先の監督が要る
法第25条は、個人データの取扱いの全部または一部を委託する場合に、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています。調査のためにログや端末の複製を調査会社に渡し、そこに個人データが含まれるなら、その取扱いが委託に当たるかを、契約の内容と実際の取扱いで確認する必要があります。当たるかどうかの最終的な判断は、顧問弁護士に確認してください。
委託先を監督するための確認項目は、委託先への確認質問リスト12項目にまとめています。調査会社に頼む場面では、次の点を先に聞くと整理しやすくなります。
| 確認点 | 聞くこと | つなげる確認質問 |
|---|---|---|
| 1. 渡すデータの範囲 | ログだけか、端末やサーバーの複製も渡すか。個人データがどの項目まで含まれるか | Q1 |
| 2. 調査での取扱い | 複製の保管場所、保管期間、調査に必要な範囲を超えて使わないことの約束 | Q4・Q5・Q6 |
| 3. 再委託の有無 | 調査の一部を別の会社に任せるか。任せる場合に、事前に知らせてもらえるか | Q1・Q5・Q9 |
| 4. 調査中の連絡 | 新たに分かった事実（被害の範囲など）を、依頼元へいつ・誰が伝えるか | Q7 |
| 5. 調査後の扱い | 調査が終わったあと、渡した複製を返すか消すか。消した記録を出せるか | Q12 |
| 6. 安全管理 | 調査会社の側で、複製を扱う環境の安全管理がどうなっているか | Q10 |
法第23条は、事業者に個人データの安全管理のための必要かつ適切な措置を求めています。調査の最中に、調査のために渡したデータの側から新たな漏えいが起きないようにすることも、この確認の目的です。
3. 報告の期限は、調査の完了を待たずに進む
委員会への報告は、報告対象の事態を知ったあとに速報と確報の2段階で行います。速報は、事態を知ったあと速やかに行うもので、委員会のガイドラインは日数の目安を概ね3〜5日以内としています。確報は、事態を知った日から30日以内です。不正の目的によるおそれがある事態は60日以内とされています。期限と報告事項の9項目は、漏えい等報告の期限と本人通知の項目で確認できます。
外部調査を頼むと、結論が出るまで時間がかかり、その間に期限が進みます。依頼のときに、次の点を決めておくと、報告の準備と調査の進み方がずれにくくなります。
- 調査の中間報告をいつ出してもらうか。速報の時点で分かっている事項と、確報までに確定させたい事項を、調査会社や委員会と共有しておく。
- 確報の期限（30日、または60日）から逆算して、最終の調査結果を受け取る日を決めておく。
- 調査の結果で、被害の範囲や原因が変わる可能性があるときは、その点を報告のなかでどう扱うかを、顧問弁護士と相談しておく。
報告の要否や、期限をいつから数えるか（事態を知った時点）の判断は、個別の事情で変わります。このサイトは判断しません。顧問弁護士または個人情報保護委員会にご確認ください。
4. 調査を頼む側が、自社で受け持つこと
調査を外部に頼んでも、法第26条の報告と本人通知は、事態が生じた事業者の義務です（本人通知は、通知が困難な場合に代わる措置をとるときを除きます）。外部に頼めるのは調査で、自社の義務の履行は頼めません。自社で受け持つ仕事を、依頼の前に決めておきます。
- 報告・通知の担当者と、最終の承認者を決める。
- 調査会社・調査委員会との窓口を一本にし、誰が何を渡したかを記録する（渡したデータの範囲は、上の確認点1・2に対応します）。
- 調査の結果を受けて、再発防止策と公表の内容を決める。
報告が必要になる4つの類型、報告を要しない場合の整理は、漏えい等報告・本人通知の緩和に書いています。
よくある質問
調査委員会に調査を任せれば、委員会への報告は不要になりますか。
なりません。法第26条の報告と本人通知は、事態が生じた事業者に課された義務で、調査を外部に頼んだことで代わりにはなりません。報告の要否は、事態が規則で定める報告対象事態に当たるかで決まります。
フォレンジック調査会社は、委託先になりますか。
調査のために個人データを渡し、調査会社がそれを取り扱うなら、委託に当たるかを確認する必要があります。当たる場合は、法第25条の監督（必要かつ適切な監督）の対象です。当たるかどうかは契約内容と実際の取扱いで決まるため、顧問弁護士に確認してください。
調査が終わるまで報告を待ってよいですか。
報告の期限は、調査の完了ではなく、事態を知った時点から進みます。速報は、その時点で分かっている事項を報告するものです。期限と報告事項は、漏えい等報告の期限のページで確認できます。
出典
- S-158e-Gov法令検索「個人情報の保護に関する法律」 第23条・第25条・第26条（確認日 2026-11-07）
- S-131e-Gov法令検索「個人情報の保護に関する法律施行規則」 第7条・第8条（速報・確報の期限。確認日 2026-10-19）
- S-54個人情報保護委員会「フォレンジック調査の要点」（PDF）（調査会社への依頼の位置づけ。本文の確認はフォレンジック調査の着眼点に記載）