ソニー生命情報漏えい｜保険代理店と委託先管理の盲点

社長、会社の顧客情報を外部の会社に預けた後、その情報がどのように管理されているか確認していますか。契約を結んだだけで安心していると、情報の保存先やアクセスできる担当者、再委託の有無を把握できていないことがあります。

2026年10月28日、ソニー生命保険株式会社が、代理店として取り扱ったメディケア生命保険株式会社の契約者・被保険者情報、約38万5,000件の漏えいを公表しました。第三者による不正アクセスが確認され、関係するオンラインサービスも一時停止されました。

今回の事例をきっかけに考えたいのは、保険会社だけの問題ではありません。建設業の協力会社、製造業の外注先、顧客管理システムの運営会社など、外部の企業と情報を共有するすべての事業者に関係する「委託先管理」です。

1．ソニー生命の情報漏えいで確認されたこと

2026年10月28日、ソニー生命は、第三者による不正アクセスを受け、約38万5,000件の個人情報が漏えいしたと公表しました。対象は、同社が保険代理店として取り扱っていたメディケア生命の契約者・被保険者情報です。

漏えいが確認された項目には、氏名、生年月日、性別、住所、電話番号、保険証券番号、契約内容が含まれます。一方、マイナンバー、クレジットカード情報、保険料振替口座情報は対象外と説明されています。

不正アクセスは10月27日に判明しましたが、具体的な侵入経路や技術的原因は公表時点で調査中でした。したがって、今回の事故が委託先への監督不足や特定の設定ミスによって発生したと断定することはできません。

この記事では、事故の原因を推測するのではなく、複数の企業が顧客情報を取り扱う際に必要な管理を整理します。

2．保険会社と代理店の情報管理の関係

今回の事例では、メディケア生命が保険契約を引き受け、ソニー生命が保険代理店として保険募集を担当する関係にあります。保険契約に関する情報を、複数の会社がそれぞれの業務で取り扱う仕組みです。

このような関係では、顧客情報を誰が取得し、どのシステムで保管し、誰が利用できるのかを整理する必要があります。保険会社と代理店の役割を区別することは、事故時の対応にも関係します。

ただし、すべての保険代理店が同じシステム構成や情報管理体制を採用しているわけではありません。今回の事故を、保険代理店全体の管理体制に問題があるという一般化につなげることは適切ではありません。

3．委託先管理とは何か

委託先管理とは、外部の会社に業務を任せる際に、その会社が必要な情報を適切に取り扱っているか確認し、業務の内容に応じて監督することです。

例えば、顧客名簿の入力を外部業者に任せる場合、渡す情報を必要最小限にし、保存方法、利用者、削除方法などを確認します。顧客管理システムを利用する場合も、契約内容や提供会社の管理体制を確認することが重要です。

なお、すべての取引先との情報共有が法律上の「個人データの取扱いの委託」に当たるわけではありません。第三者提供や共同利用など、実際の関係に応じて適用されるルールは異なります。

4．個人情報保護法が求める委託先の監督

個人情報保護法第25条では、個人データの取扱いの全部または一部を委託する場合、委託先に対する必要かつ適切な監督を行うことが求められています。

個人情報保護委員会のガイドラインでは、適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握が重要な要素として示されています。

委託先の監督は、必ず現地へ立ち入って監査しなければならないという意味ではありません。取り扱う個人データの内容や規模などに応じて、口頭での確認を含む適切な方法を選ぶことができます。

公式資料：個人情報保護委員会｜個人情報保護法ガイドライン（通則編）

5．委託先を選ぶときの確認事項

業務委託先を選ぶ際、料金や納期だけで判断していないでしょうか。個人データを扱う業務では、情報管理の仕組みも確認する必要があります。

例えば、情報管理の責任者が決まっているか、アクセス権限を限定しているか、事故発生時の連絡体制があるかを確認します。業務内容によっては、多要素認証やアクセス記録の管理についても確認するとよいでしょう。

小規模な委託先に、大企業とまったく同じ書類や設備を一律に求めることが適切とは限りません。取り扱う情報の種類、量、業務の重要性に応じて確認することが大切です。

6．契約書に盛り込みたい情報管理のルール

委託契約では、業務内容だけでなく、個人データの取扱いについて双方が合意することが重要です。個人情報保護委員会のガイドラインでは、安全管理措置の内容と、委託元が取扱状況を合理的に把握できることを契約に盛り込むのが望ましいとされています。

確認したい契約上の事項

• 委託する業務と取り扱う情報の範囲
• 情報の利用目的と目的外利用の禁止
• アクセス権限と安全管理措置
• 再委託の条件と事前報告・承認
• 事故発生時の連絡方法
• 契約終了後の情報の返却・削除
• 取扱状況の確認方法

これらをすべて同じ形式で契約書に記載することが一律に義務付けられているわけではありません。既存の約款などで適切な安全管理が図られる場合もあるため、契約内容を確認したうえで必要な対応を判断します。

7．アクセス権限と情報の持ち出し対策

委託先で顧客情報を取り扱う場合、誰がその情報を閲覧・編集・出力できるのかを確認することが重要です。業務に関係のない担当者まで閲覧できる状態は、管理上のリスクを高める可能性があります。

具体的には、担当業務に応じた権限の設定、退職者や異動者の権限削除、重要アカウントへの多要素認証、アクセス記録の確認などが考えられます。

また、顧客名簿を個人のメールアドレスへ送信したり、管理されていない端末へ保存したりすることを防ぐ運用も必要です。情報を扱う人数や場所を把握することが、実効性のある管理につながります。

8．再委託で見落としやすい問題

委託先が、さらに別の会社へ業務を任せることを再委託といいます。例えば、顧客データの入力を委託した会社が、入力作業の一部を別の事業者へ依頼するケースです。

再委託が行われると、情報を扱う企業が増えるため、誰がどの情報にアクセスできるのか把握しにくくなる可能性があります。

個人情報保護委員会のガイドラインでは、再委託先、業務内容、個人データの取扱方法などについて、事前報告や承認、必要に応じた監査などを通じて確認することが望ましいとされています。

9．建設業・製造業で考える情報共有

建設業では、元請会社と協力会社の間で、現場の入場者情報や担当者の連絡先などを共有することがあります。製造業では、外注先へ担当者情報や取引に関するデータを渡す場合があります。

このような情報共有では、必要な情報だけを渡しているか、共有先の担当者を把握しているか、業務終了後の取扱いを決めているかが重要です。

ただし、図面や製造データのすべてが個人データに該当するわけではありません。個人情報保護法上の義務と、企業秘密・技術情報を守るための管理は区別して考える必要があります。

社長が確認したいのは、「外部の会社へ渡した情報が、その後どこで、誰に使われるのか」という点です。

10．委託元・委託先・取引先の役割比較

この表は一般的な管理の考え方です。実際の法律上の義務や責任分担は、情報の種類、契約関係、利用目的などによって異なります。

11．社長向け10項目チェックリスト

すべてを一度に見直す必要はありません。まずは多くの顧客情報を扱う委託先や、業務への影響が大きい委託先から確認しましょう。

12．事故が起きたときの連絡と初動

委託先から不正アクセスや情報漏えいの連絡を受けた場合、まず確認したいのは、自社の情報が対象に含まれるかどうかです。委託先の公式説明を確認し、漏えいの可能性がある情報、対象期間、実施済みの対応を整理します。

次に、社内の責任者へ報告し、顧客への説明や行政機関への報告が必要かを検討します。個人情報保護委員会への報告や本人通知の要否は、事故の内容と法令上の要件によって判断する必要があります。

委託先と委託元の双方が関係する事故では、誰が何を確認し、誰が顧客へ連絡するかを早期に整理することが重要です。未確認の内容を断定したり、委託先の責任と決めつけたりすることは避けましょう。

また、情報漏えいを知らせるメールを装ったフィッシングにも注意が必要です。届いたリンクから安易にログインせず、公式サイトや既知の連絡先を通じて確認しましょう。

13．まとめ｜今日できる一つの行動

ソニー生命が代理店として取り扱ったメディケア生命の顧客情報約38万5,000件が漏えいした事例は、複数の企業が情報を取り扱う仕組みについて考えるきっかけになります。

ただし、今回の不正アクセスの原因が委託先管理の不備だったと確認されたわけではありません。事実と一般的な教訓を分けて考えることが大切です。

個人データの取扱いを委託する企業には、委託先に対する必要かつ適切な監督が求められます。委託先の選定、契約内容、取扱状況、再委託、事故時の連絡体制を、業務内容に応じて確認しましょう。

公式一次情報

• ソニー生命｜不正アクセスと情報漏えいに関するお知らせ（2026年10月28日）
• メディケア生命｜情報漏えいに関するお知らせ
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編・委託先の監督）
• 個人情報保護委員会｜ガイドラインに関するQ＆A

※本記事は2026年10月30日時点の情報を基に作成しています。ソニー生命の事故について確認された事実と、一般的な委託先管理の実務対策を区別しています。