採用の委託先から「応募者の情報が漏れたかもしれない」と連絡が来たとき、自社の報告と応募者への連絡は、何で分かれるのか
目次
採用管理システムの提供会社や、採用代行を任せている会社から、「応募者の情報が外部に漏れた可能性があります」という連絡が届いた場面を想定します。事故が起きたのは委託先の側でも、連絡を受けたのは自社です。ここから先は、個人情報保護委員会（以下「委員会」）への報告、応募者への連絡、選考の進め方が、一つの判断ではなく、いくつかの分岐に分かれます。
この記事は、その分岐を、個人情報保護法の第26条、同法施行規則の第7条から第10条、委員会のガイドライン（通則編）で読める範囲と、原文に書かれておらず自社で決める範囲に分けて並べたものです。先に要点を書くと、委員会への報告と応募者への通知は、相手、期限の書き方、伝える事項の数が別です。委託先が法定の通知をした場合は、委託先の義務が免除され、報告も通知も自社が行うことになります。 報告や通知が必要かどうか、個別の事案が条文に当たるかは、この記事では判断しません。迷う場面では、委員会や弁護士などの専門家に確認してください。
条文は、e-Govで令和8年10月15日に取得した現行の版で確認しました。対象は、個人情報データベース等を事業の用に供している民間の事業者（個人情報取扱事業者。法第16条第2項）で、国の機関や地方公共団体などは含みません。漏れたものにマイナンバーが含まれる場合の報告、業法に基づく報告、損害賠償、外国の法令は、扱いません。令和8年7月に公布された改正法は、本人への通知の定めなどを変えますが、一部を除いて未施行です。変わる点のうち、委託と本人通知にかかわる部分を、後半の節で分けて述べます。報告の側の変更の想定は、範囲だけ触れて、中身は扱いません。
分岐の順序
連絡を受けた日に、上から順に確かめる問いは次の六つです。
- 連絡をくれた会社は、自社が個人データの取扱いを任せた相手か、それとも別の立場か。
- 漏れた、または漏れたおそれがあるものは何か。規則第7条の四つの事態のどれに当たりうるか。
- 届いた連絡は、委託先から委託元への法定の通知として扱えるものか。
- 委員会への報告と応募者への通知は、相手、期限、事項、方法で何が違うか。
- 応募者の連絡先は誰の手元にあり、通知は誰が、どの文面で送るか。
- 選考の進行は、止めるか、続けるか。
以降の節は、この順に並べています。
最初の分岐：連絡をくれた会社は、自社が個人データの取扱いを任せた相手か
採用では、応募者の情報を預ける先が複数あります。採用管理システムの提供会社、AIによる一次返信や書類の項目抽出を提供する会社、採用代行の会社、応募フォームを作るツールの提供会社などです。連絡を受けた日にまず確かめるのは、その会社が、自社の応募者の個人データを「取り扱うこととなっている」かどうかです。ガイドラインは、個人データの取扱いの委託を、契約の形態や種類を問わず、他の者に個人データの取扱いを行わせることとしています。委員会のQ&Aは、クラウドサービスを使う場面について、物差しをデータの中身ではなく、提供事業者の側の取扱いに置いています。預けているのが個人データかどうかではなく、提供事業者が個人データを取り扱うこととなっているかどうかで、第三者提供や委託に当たるかが分かれる、という整理です。 委託に当たるかの読み方は、AI開発の委託先に渡した個人データは、どこまでが「委託」かで詳しく扱っています。
| 連絡してきた会社の立場 | 原文の整理（要旨） | 自社の主な動き |
|---|---|---|
| 応募者の個人データの取扱いを、自社に代わって行う会社（委託先）。応募者のデータを保管・処理する採用管理システムの提供会社や、採用代行の会社が、これに当たることがある | 法第26条第1項は、報告の義務を事態が生じた個人情報取扱事業者に課し、ただし書で、委託を受けた者が規則の定めにより委託元へ通知したときは除くとする。ガイドラインは、委託元と委託先の双方が報告する義務を負うのが原則で、連名で報告できるとし、委託先が通知したときは委託先が免除されるとする | 自社が報告と応募者への通知の主体になる前提で、事実の確認を始める |
| 応募者のデータを預かるが、契約でその中身を取り扱わないこととなっているクラウドサービスなどの提供会社 | Q&Aは、報告対象となる漏えい等が発生したときは、サービスを利用する事業者が報告義務を負い、報告を提供事業者に代行させることができるとする。提供事業者は法第26条第1項の報告義務を負わないが、契約等に基づいて利用事業者へ通知する等の対応が求められるとする | 自社が主体。提供会社が報告を代行できるか、通知を契約でどう受けるかを確認する |
| 応募フォームの作成ツールやストレージなど、自社が応募者の情報を取得・保管する手段として使っているサービスの提供会社 | ガイドラインは、規則第7条第3号の「当該個人情報取扱事業者」に、委託先と、個人データを取り扱うに当たって利用している第三者のサービスの提供者が含まれるとする。Q&Aは、入力フォーム作成ツールの提供事業者やストレージサービスの提供事業者を例に挙げる | 提供会社への不正な行為が、自社に対する不正の目的の行為として第3号に当たりうるかを確認する |
区分が決まらないうちでも、自社が報告と応募者への通知の主体として動く準備は、どの区分でも共通です。区分の確定を待たず、次の分岐に必要な事実の確認を始められます。
連絡を受けた日が、数え始める日になりうる
法人の場合、報告期限の起点になる「知った」時点は、いずれかの部署が事態を知った時点とされています。Q&Aは、部署内のある従業者が報告対象事態を知った時点で、部署が知ったと考えられるとしています。委託先から通知を受けた委託元は、通常、遅くとも通知を受けた時点で報告対象事態を知ったことになる、というのがガイドラインの整理です。 通知された事態が報告対象事態であれば、採用担当者の受信箱に届いた連絡も、その日から数え始める対象になりえます。連絡を受ける窓口と、受けた人が次に連絡する先は、平時に決めておく部分です。
二つ目の分岐：漏れたものは、規則第7条の四つの事態のどれに当たりうるか
委員会への報告が必要になる事態を、ガイドラインは「報告対象事態」と呼びます。報告対象事態とは、規則第7条に定める四つの事態をいいます。いずれも、漏えい、滅失、毀損が発生した場合だけでなく、発生したおそれがある場合を含みます。ガイドラインは、「おそれ」を、その時点で判明している事実関係からして漏えい等が疑われるものの、生じた確証がない場合としています。委託先の第一報は、調査の途中で届くことがあります。その段階でも、「おそれ」に当たるかどうかを考える対象になります。
漏えいに当たらない場合として、ガイドラインは、個人データを第三者に閲覧されないうちに全てを回収した場合を挙げています。Q&Aは、誤送信先の取扱いやアクセスログなどが確認できない場合は、漏えい（又はそのおそれ）に当たりうるとしています。また、高度な暗号化その他の個人の権利利益を保護するために必要な措置が講じられている場合は、報告を要しないとされています。
| 事態（規則第7条） | 原文の要旨 | 応募者の情報について、自社が確認すること |
|---|---|---|
| 第1号：要配慮個人情報が含まれる個人データの漏えい等 | 要配慮個人情報は、法第2条第3項と施行令第2条により、病歴、犯罪の経歴などのほか、障害があること、健康診断その他の検査の結果などを内容とする記述等が含まれる個人情報とされる | 漏れたデータに、応募書類、面接メモ、内定後の提出書類、自由記述欄の中の、障害、健康診断の結果、病歴、犯罪の経歴にあたる記述や添付が含まれうるか。選考で必須でない書類や、応募者が任意に書いた欄も含めて見る |
| 第2号：不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等 | ガイドラインの例は、ECサイトからクレジットカード番号を含む個人データが漏えいした場合と、送金や決済機能のあるウェブサービスのログインIDとパスワードの組合せを含む個人データが漏えいした場合。Q&Aは、住所、電話番号、メールアドレス、SNSアカウントのみの漏えいは直ちに第2号に該当するものではない、クレジットカード番号のみでも該当すると考えられる（下4桁と有効期限のみの組合せは直ちには該当しない）、銀行口座情報のみは直ちには該当しないが、インターネットバンキングのログインに用いられていて口座情報とパスワードの組合せが漏えいした場合は該当すると考えられる、とする | 預けていた項目に、クレジットカード番号や銀行口座情報（内定後の提出書類に、給与の振込先として入ることがある）が含まれうるか。口座情報のみなら直ちには該当しないとされるが、インターネットバンキングのパスワードとの組合せは該当するとされる。ID・パスワードについては、ガイドラインの例が送金や決済機能のあるサービスのものに限られ、応募者向けのマイページのIDとパスワードがこれに当たるかは書かれていない。住所、電話番号、メールアドレス、SNSアカウントだけの漏えいは直ちには第2号に該当しないとされるが、第1号・第3号・第4号は別に確認する |
| 第3号：不正の目的をもって行われたおそれがある、自社に対する行為による個人データの漏えい等 | 行為の主体には、第三者のほか従業者も含まれる。相手方には委託先や利用しているサービスの提供者も含まれる。例は、不正アクセス、ランサムウェアによる暗号化、従業者による不正な持ち出し。確報の期限は60日以内となる | 第一報に書かれた原因が、委託先への不正アクセス、ランサムウェア、委託先の従業者による持ち出しのいずれかか。当たりうるなら、人数や項目の多寡にかかわらず、第3号として検討する |
| 第4号：本人の数が千人を超える漏えい等 | 当初は1,000人以下でも、その後に超えた時点で該当する。数が確定しない場合に、最大で1,000人を超えるときは該当する | 数える対象は、漏れたデータに含まれる本人。選考中の人だけでなく、過去の応募者、不採用者、辞退者のデータが同じ基盤に残っていれば含めて数える。保存の考え方は不採用者の応募者データは、いつ・どこから消すかにまとめている |
第3号は、委託先が攻撃を受けた場合も入りうる点が、応募者の情報を外部のシステムに預けている会社では効いてきます。第一報の「原因」の欄に何が書かれているかを、まず読んでください。
三つ目の分岐：届いた連絡は、委託先から委託元への法定の通知に当たるのか
法第26条第1項のただし書には、例外があります。個人データの取扱いの委託を受けた側が、規則の定める形で、事態が生じたことを委託元へ知らせたときは、その委託を受けた側は、委員会への報告の義務を負わない、というものです。規則第9条は、その通知を、事態を知った後、速やかに、第8条第1項各号の事項（把握しているもの）について行うことと定めています。ガイドラインは、委託先の「速やか」の目安を、委託先が知った時点から概ね3〜5日以内とし、通知した委託先には、事態の把握と、必要に応じた委託元の報告への協力が求められるとしています。
分かれ目は、次の二つです。
- 委託先が規則第9条の通知をした場合：委託先の報告義務と本人通知義務は免除される。自社が委員会への報告と応募者への通知を行い、委託先は必要に応じて協力する。
- 委託先が通知をしていない場合：原則として、委託元と委託先の双方が報告義務と本人通知義務を負う。委託元と委託先の連名で報告することもできる。
ただし、届いた連絡がこの通知に当たるかは、条文だけでは決まりません。規則第9条は通知の様式を定めておらず、確認した範囲では、「お知らせ」のメールがどの内容を含めば同条の通知として扱えるのかを示した記載は見当たりませんでした。手がかりになるのは、第8条第1項の事項（概要、項目、本人の数、原因など）のうち、その時点で把握しているものが含まれているかどうかです。扱いを曖昧にしたままでは、委託先は通知したつもり、自社は受け取っただけ、という食い違いが起こりえます。委託先に、この連絡を規則第9条の通知として出しているかを文面で確認するのが、一つの方法です。
四つ目の分岐：委員会への報告と応募者への通知は、何が違うのか
二つの手続は、同じ日に始まるように見えて、相手、期限、事項、方法が別です。
| 観点 | 委員会への報告 | 応募者（本人）への通知 |
|---|---|---|
| 根拠 | 法第26条第1項、規則第8条 | 法第26条第2項、規則第10条 |
| 時期 | 速報は、事態を知った後、速やかに。ガイドラインは、概ね3〜5日以内を目安とする（規則の文言は「速やかに」）。確報は、知った日から30日以内（第3号の事態は60日以内） | 事態の状況に応じて速やかに。日数の目安や一律の期限は示されていない。ガイドラインは、通知する時点を、把握している事態の内容、通知で本人の権利利益が保護される蓋然性、通知で生じる弊害を勘案して判断するとする |
| 事項 | 九つ（把握している範囲）。次の表のとおり | 五つ（概要、項目、原因、二次被害又はそのおそれ、その他参考となる事項）。本人の権利利益を保護するために必要な範囲で通知すればよく、全てが判明するまで待つ必要はない |
| 方法 | 原則として、委員会のホームページの報告フォーム。権限の委任を受けた分野の事業者は、委任先の省庁へ報告する場合がある。委員会の資料は、事業者自身の雇用管理情報の中に含まれる個人データの漏えい等は委員会へ報告する旨の注を置くが、応募者の情報がこれに当たるかは確認していない。速報で全ての事項を報告できるときは、速報と確報を一度で兼ねられる | 本人に直接知らせる方法。例は、文書の郵送、電子メール。様式は法令上定められていない。Q&Aは、口頭でも可能だが、書面や電子メールの併用が望ましいとする |
| 思うように進められないとき | 確報の時点で、合理的努力を尽くしてもなお判明しない事項があるときは、把握している内容を報告し、判明次第追完する | 本人への通知が困難なときは、代替措置をとることが認められる。代替措置の例は、事案の公表と、問合せ窓口を設けて連絡先を公表すること |
| 委託先が通知したとき | 委託先は免除。自社が報告する | 委託先は免除。自社が通知する |
通知の時期は、報告の確報期限とは別の物差しで決まります。確報の期限まで通知を待ってよい、という意味ではありません。他方でガイドラインは、通知する必要があるとはいえないと考えられる事例として、初期対応が終わっておらず通知がかえって被害の拡大を招く場合や、事案がほとんど判明しておらず通知しても本人が措置をとれる見込みがなく混乱が生じるおそれがある場合を挙げます。この場合も、事態の状況に応じて速やかに通知すべきことに変わりはない、と注記しています。また、当初は報告対象事態に当たると判断したものの、その後、実際には当たらないと分かった場合は、本人への通知は不要とされています。
公表そのものは、本人への通知の代替措置として行う場合を除き、義務付けられているものではありません。Q&Aとガイドラインは、事案の内容に応じて、二次被害の防止や類似事案の発生防止の観点から、公表することが望ましいとしています。
報告事項の九つのうち、応募者への通知に入るのは五つ
次の表は、報告事項を九つ並べ、応募者への通知に含まれるかと、情報が出てくる先を整理したものです。右の列は、報告や通知の可否を示すものではなく、情報を集める順序の提案です。
| 報告事項（規則第8条第1項） | 応募者への通知に含まれるか | 情報が出てくる先（提案） |
|---|---|---|
| 1 概要 | 含まれる | 委託先の第一報。自社が連絡を受けた日時の記録 |
| 2 漏えい等が発生し、又は発生したおそれがある個人データの項目 | 含まれる | 委託先の調査。自社は、預けていた項目（応募書類の種類、面接メモ、選考の状況、提出書類）の一覧を手元の記録から出して突き合わせる |
| 3 本人の数 | 含まれない | 委託先の調査と、自社の応募者名簿（年度、求人、応募の経路ごと） |
| 4 原因 | 含まれる | 委託先の調査。ガイドラインは、原因が発生した主体（報告者か委託先か）も報告するとする |
| 5 二次被害又はそのおそれの有無及びその内容 | 含まれる | 委託先の調査と、応募者に不審な連絡が届くおそれの有無を見る自社の判断 |
| 6 本人への対応の実施状況 | 含まれない | 自社（通知を送った日、方法、問い合わせ窓口） |
| 7 公表の実施状況 | 含まれない | 自社 |
| 8 再発防止のための措置 | 含まれない | 委託先と自社。自社の分は、契約と運用の見直し |
| 9 その他参考となる事項 | 含まれる（本人が自らの権利利益を保護するために取りうる措置など） | 自社と委託先 |
この表の1〜9は、規則第8条第1項の各号の順序です。項目、本人の数、原因、二次被害は、委託先の調査が進まないと確定しないことがあります。速報は、報告しようとする時点で把握している事項で足り、確報の時点でなお判明しない事項は、把握している内容を報告して、判明次第追完します。委託先の調査の終了を待たずに動ける構造になっているので、自社の側は、表の「自社」と書いた行から記録を始められます。
五つ目の分岐：応募者の連絡先は誰の手元にあり、通知は誰が送るのか
採用では、応募者の連絡先が自社にあるとは限りません。応募を受け付ける仕組みが外部のシステムの中にあったり、求人媒体や代行会社を経由して応募が届いたりして、自社には氏名と応募内容しか見えていない場合があります。通知を送る手段は、連絡先の持ち主で分かれます。
- 連絡先が自社の手元にある場合（自社の応募者名簿、自社のメールの履歴など）：自社から、本人に直接知らせる方法で送れる。
- 連絡先が委託先の仕組みの中にしかない場合：自社が通知する立場でも、連絡先の提供を受けるか、委託先の側で送ってもらう必要が出る。送信作業を委託先に頼めるかは、確認した範囲の原文に定めが見当たらず、契約と運用で決める部分になる。頼む場合は、差出人の表示、問い合わせ窓口、文面を、自社が確認できる形にしておく。
- 連絡先はあるが届かない場合：Q&Aは、連絡手段を複数持っているときは、一つの手段で連絡がとれなくても直ちに通知が困難とはならないとし、別の手段で連絡する例を挙げる。
- 連絡先がない、または古くて連絡できない場合：ガイドラインは、これを通知が困難な場合の事例に挙げ、代替措置として、事案の公表や、問合せ窓口を設けて本人が自分のデータが対象か確かめられるようにすることを挙げる。Q&Aは、問合せ窓口に常設の個人情報の相談窓口を使うことも可能だとする。
過去の応募者、不採用者、辞退者のデータが残っている場合は、その人たちも通知の対象に入りうるため、連絡先が残っているはずだと想定せず、実際に残っているか、届く状態かを確かめます。
通知文に入れる事項と、架空の文面
通知する事項は、規則第10条の五つです。ガイドラインは、報告した詳細な内容をそのまま通知するのではなく、必要な内容を選んで通知すること、項目が本人ごとに異なる場合は、その本人に関係する内容だけを通知することを、権利利益の保護に必要な範囲の例に挙げています。「その他参考となる事項」には、本人が自らの権利利益を保護するために取りうる措置が考えられるとされています。
以下は架空の例です。実在の会社や事案ではなく、この文面が法令に適合していることを示すものでもありません。採用管理システムの提供会社から連絡を受けた会社が、応募者に送る通知を考える場面を想定しています。
文例（架空）：応募者の皆さまへ。（会社名）が採用活動で利用している外部のシステムに、第三者による不正なアクセスがあり、応募いただいた方の情報が外部に流出した可能性があることが、システムの提供会社からの連絡で分かりました。流出した可能性がある情報は、氏名、メールアドレス、電話番号、応募書類のファイルです。現時点で判明している原因は、システムの提供会社の側への不正アクセスです。現在のところ、この情報を使った被害の連絡は受けていませんが、選考の連絡を装った不審なメールや電話が届くおそれがあります。選考に関する連絡は、（連絡元の表示）からのみ行います。心当たりのない連絡は、リンクや添付ファイルを開かずに、下記の窓口へご連絡ください。調査の進み具合に応じて、お知らせを更新します。問い合わせ窓口：（担当部署、連絡方法）
応募者から、どのように管理していたのかと聞かれたとき
採用では、個人情報保護法のほかに、職業安定法の定めも同時に見ます。職業安定法の第5条の5第2項は、労働者の募集を行う者や求人者などに、求職者等の個人情報を適正に管理するために必要な措置を講じることを求めています。自社がこれらの条文にいう「労働者の募集を行う者」や「求人者」などに当たるかは、この記事では判断しません。この条の指針（平成11年労働省告示第141号）の第五は、その措置の一つとして、個人情報の漏えい、滅失又は毀損を防止するための措置を挙げ、求職者等からの求めに応じて、措置の内容を説明しなければならないとしています。
応募者から問い合わせが来る場面では、委託先に預けていた事情を含めて、どのような管理をしていたかの説明を求められる可能性があります。問い合わせの窓口には、通知の文面だけでなく、管理の説明の元になる資料（委託先との契約、委託先の安全管理の説明、預けていた項目の一覧）を、担当者が出せる形にしておきます。 確認した範囲では、職業安定法の第5条の5と指針の第五に、漏えい等の報告や本人への通知を定めた記載は見当たりませんでした。
六つ目の分岐：選考は止めるか、続けるか
確認した範囲（個人情報保護法の第26条、規則の第7条から第10条、ガイドラインの3-5、Q&Aの第6章）に、事故の連絡を受けたあとの選考の進行（面接、結果の通知、書類の受付など）をどうするかを定めた記載は見当たりませんでした。自社で決める部分です。ガイドラインが発覚時に求める措置は、責任ある立場の者への直ちの報告と被害の拡大防止、事実関係の調査と原因の究明、影響範囲の特定、再発防止策の検討と実施、委員会への報告と本人への通知であり、選考の進め方そのものには触れていません。
止めるか続けるかは、次の判断条件で分けます。上から順に当てはめ、はいが付いた問いの動きを決めます。
- 影響を受けたシステムは、今も応募者の情報を受け付けたり、自動で返信したりしているか。はいの場合は、新規の受付、自動返信、AIによる処理を止めるか、止めずに続ける理由を残す。ガイドラインは、発覚した時点より被害が拡大しないよう必要な措置を講ずることを挙げている。
- 漏れたおそれのある項目に、選考の連絡に使う情報（メールアドレス、電話番号、日程調整や書類提出の案内先）が含まれるか。はいの場合は、選考の連絡を装った不審なメールや電話が考えられる。Q&Aは、漏えいしたメールアドレス宛てに第三者が不審なメールや詐欺メールを送ることを、二次被害の例に挙げる。選考の連絡の見分け方を応募者に案内するか、連絡の経路を分けるかを決める。
- 事故の通知と、選考結果の連絡が、近い日に重なるか。はいの場合は、件名と送信元を分け、通知文に選考結果を混ぜない。
- 期限のある連絡（面接日の案内、内定の返答期限）が、影響を受けた経路でしか届かないか。はいの場合は、別の経路（電話、自社のメール）に切り替えられるか、期限を動かせるかを決める。
- 事実関係がほとんど判明していない段階か。はいの場合は、前の節で見たとおり、ガイドラインがその時点で通知する必要があるとはいえないと考えられる事例を挙げているが、速やかに通知すべきことに変わりはない。通知を遅らせる場合は、遅らせる理由を記録に残しておく。
止めると決めるときは、止める判断をする人、再開の条件、止めている間に応募者へ何を案内するか、再開前に委託先から何を文書で受け取るかを、先に決めます。再開の条件は、原因の遮断と、影響範囲の説明を受けたことを、条件に入れる候補です。
ここまでを一続きにした、架空の例
架空の例です。応募者の情報を採用管理システムに預けている会社に、システムの提供会社から、不正アクセスにより、登録されている応募者の氏名、メールアドレス、電話番号、応募書類が流出した可能性がある、という連絡が届きます。
この会社は、まず連絡の送り手が委託先であることを確かめます。次に、原因が不正アクセスであることから規則第7条第3号を検討し、人数は確認中のまま、速報の準備に入ります。提供会社には、この連絡を規則第9条の通知として出しているかを確認し、あわせて、応募者の連絡先を自社でも持っているかを調べます。進行中の面接は、日程の案内に使うリンクが提供会社の仕組みの中にあるため、案内の経路を電話に切り替えて続けます。応募者への通知は、選考の連絡と別の件名・送信元で出します。この流れは一例で、報告や通知が必要かどうかの結論を示すものではありません。
令和8年の改正は、委託と本人通知のどこを変えるのか（未施行）
令和8年7月17日に公布された改正法（令和8年法律第56号）について、e-Govで令和8年10月15日に、現行の版と未施行の版を取得しました。この記事で引いた第25条と第26条は両方の版を比べ、委託に関わる新しい条文（第30条の3、第58条の2）は未施行の版で読みました。
- 施行時期：改正法の附則は、施行期日を「公布の日から起算して二年を超えない範囲内において政令で定める日」とし、一部の規定には別の日を定めています。e-Govには、この法律による未施行の版として、令和9年1月17日と令和10年7月16日の日付のものが載っていますが、確定した施行日ではありません。後者の版で、次の第26条第2項ただし書の変更を確認しました。委員会のページは、施行日を載せず、政令、規則、ガイドライン等の検討を続けているとしています。
- 第25条と第26条第1項：未施行の版でも、現行と同じ文言でした。施行規則については、e-Govの改正履歴に未施行の版は見当たりませんでした。ただし、これは条文と規則の表示の話で、報告の仕組みが変わらないという意味ではありません。次の項目のとおり、委員会の資料には、報告の側の変更の想定も載っています。
- 第26条第2項ただし書：現行は「本人への通知が困難な場合」で代替措置をとるときを認めますが、未施行の版は、これに加えて、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合を挙げます。委員会の資料（令和8年7月）が想定例とするのは、サービス利用者の社内識別子（ID）など、取得者にとってそれ単体ではおよそ意味を持たない情報だけが漏えいした場合で、具体的な範囲は委員会規則等で定める想定とされています。応募者の氏名、メールアドレス、応募書類が当てはまるかは、この資料の想定例からは読み取れず、規則の確定を待つことになります。
- 第30条の3と第58条の2：どちらも新設です。第30条の3は、委託を受けた個人情報取扱事業者が、委託された個人情報を、委託を受けた業務の遂行に必要な範囲を超えて取り扱うことを禁じます。第58条の2は、契約で取扱いの方法などが定められている受託者に対する適用の特例で、契約に定める事項の一つに、受託者が第26条第1項の事態が生じたことを知ったとき、速やかに委託者へ報告することを挙げます。委員会の資料は、この契約で定める事項を、漏えい等が生じたことを知ったときに委託先が委託元へ速やかに報告すること等と想定しつつ、具体的な内容は委員会規則等で定める想定としています。
- この記事で扱わない、報告の側の変更の想定：同じ委員会の資料（「漏えい等報告・本人通知」の頁）には、体制・手順等について認定個人情報保護団体などの第三者の確認を受けることを前提に、一定の範囲で速報を免除することを可能とすること、本人の数が1名である誤交付・誤送付のようなケースについて、委員会への報告のうち確報を一定期間ごとにとりまとめて行うことを許容すること、違法な個人データの第三者提供も報告対象事態にすることが載っています。これらは条文と規則を確認しておらず、この記事では扱いません。報告の側も変わりうるため、改正後の運用は、確定した条文・規則・ガイドラインで確かめてください。
現在起きている事故は、現行の条文で整理します。施行日と規則が確定したら、本人通知の例外と、委託契約に置く報告の定めを読み直す必要があります。あわせて、報告の側の変更の想定も、確定した内容で確かめてください。
平時に委託先と決めておくこと
ここまでの分岐は、連絡を受けてから考えると、時間がかかります。委託先を選ぶ段階の確認は採用AIの委託先の選び方で扱っています。ここでは、その延長として、事故の連絡のために契約と運用で決めておく項目を挙げます。
ガイドラインは、委託契約に、安全管理措置の合意内容とともに、委託先での取扱状況を委託元が合理的に把握することを盛り込むことが望ましいとしています。委員会の「委託先管理に関する着眼点」は、ウェブサイト等の構築や運営を委託する場面を想定した資料で、一般的な業務委託契約にはセキュリティに関する項目が含まれていないことが多いので、確認のうえ、セキュリティ対策を契約に盛り込む必要があるとしています。この資料は採用の委託を想定したものではないため、採用管理システムなどの委託には、読み替えて使う場面になります。
- 連絡の窓口：委託先から自社への連絡先と、自社の受け手（休日の連絡手段を含む）。自社の受け手が「知った」時点の起点になりうる。
- 第一報の期限：委託先が事態を知ってから自社へ連絡するまでの期限を、自社の速報の準備が間に合う長さで決める。ガイドラインが示す委託先の「速やか」の目安は概ね3〜5日以内だが、契約上の期限は、それとは別に定める事項になる。
- 第一報の内容：規則第8条第1項の事項のうち、把握している範囲。調査中の項目は「調査中」と書いてよい形にしておく。
- 通知の扱い：委託先の連絡を規則第9条の通知として扱うか、連名で報告するか、報告書の提出を代行するか。選ぶ手順と責任者を決める。
- 応募者の連絡先：自社が持つか、委託先にしかないか。事故のときに、いつまでに、どの形式で出してもらうか。通知文の送信を誰が行い、差出人をどう表示するか。
- 通知文と問い合わせ対応の事前調整：委託先と自社で、応募者向けの文面や想定問答が食い違わないようにする。
- 調査の材料：事故の原因や範囲を確かめるための記録（ログなど）を、事故のときに出してもらえるか。
- 再委託先：委託先がさらに別の事業者へ作業を任せるときは、その事業者名、任せる作業、データの扱い方を、委託先から事前に報告してもらうか、承認する形にすることが望ましい、とガイドラインは述べる。任せた先で起きた事故の連絡が、委託先で止まらない経路も決める。
- 選考終了後のデータ：預けたままの応募者データは、事故のときの対象を広げる。委託先に残るデータの削除と、その確認の方法は、契約で決める。
預けるデータの範囲はAI開発の委託先に渡した個人データは、どこまでが「委託」かに、応募者の情報の置き場と正本の考え方は採用管理システム（ATS）とAIは何が違うかにまとめています。
当社の公開ページとの関係
WITHPROJECTSの採用AXの公開ページは、設計の進め方として、AIの出力を誰が確認するか（責任分界）と例外が出たときの動きを決めること、応募者データの保管・利用範囲・削除の扱いを決めることを挙げています。失敗しやすいパターンの一つには、応募者の個人情報の扱いを、導入後に決めようとすることを挙げています。このページに、委託先から事故の連絡を受けたときの動きは書かれていません。この記事の整理は、一般的な進め方の提案であり、WITHPROJECTSが提供する支援の内容や、法令への適合を示すものではありません。
採用業務全体をAI・ルール・人にどう分けるかは、採用AX（採用のAI化支援）にまとめています。
確認に使った原文と、確認していないもの
- 個人情報の保護に関する法律（e-Govの現行の版と、令和8年法律第56号による未施行の版。第2条第3項、第16条、第25条、第26条、第30条の3、第58条の2を確認）
- 個人情報の保護に関する法律施行規則（e-Govの現行の版。第7条から第10条を確認）と、同法施行令第2条
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正の表示がある版。3-4-4と3-5を確認）と、同委員会の「ガイドラインに関するQ&A」（第6章と、Q7-53）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」「委託先管理に関する着眼点」「個人情報保護法等の一部を改正する法律について」（令和8年7月）
- 職業安定法の第5条の5と、同法に基づく指針（平成11年労働省告示第141号）の第五
確認していないものは、権限の委任を受けた事業所管大臣への報告の細目（応募者の情報が事業者自身の雇用管理情報に当たるかを含みます）、マイナンバーを含む場合の報告、業法による報告、裁判例、委員会が令和8年の改正法に向けて検討中の政令・規則・ガイドライン、そして改正の資料にある速報の一部免除、確報のとりまとめ、違法な個人データの第三者提供の報告対象事態への追加の条文と規則です。委員会に報告するか、応募者に通知するか、どこまで書くかの個別の判断は、委員会や専門家に確認してください。
連絡経路を整理したいとき
委託先から連絡が来た日に、誰が受け、どの順で確かめ、誰が応募者に連絡するかが決まっていると、判断の材料を集める時間を短くできます。
