マーケティング会社は個人データ漏えいの責任をどこまで負う？契約・情報管理・保険による備えを解説
広告運用やアクセス解析、LINE公式アカウントの運用、CRMデータを使った分析など、マーケティング会社が顧客企業の個人データに触れる場面は年々増えています。問い合わせフォームの送信内容や広告の計測データ、CSVでダウンロードした会員リストなどがその典型です。
一方で、サイバー攻撃の手口は高度化しており、どれだけ対策を講じても漏えいを完全に防ぐことは困難です。そのため、マーケティング会社としては「万が一漏えいした場合、自社はどこまで責任を負うのか」をあらかじめ整理しておく必要があります。
本記事では、データを扱うマーケティング会社・広告代理店・分析会社に向けて、契約で責任を限定できる範囲と限界、契約だけでは守り切れない部分を情報の取り扱いの仕組みで補う方法、そしてプライバシーポリシー・契約書・保険の役割分担について解説します。
この記事の目次
マーケティング会社が個人データ漏えいで負う3つの責任
マーケティング会社が顧客企業から預かった個人データを漏えいさせた場合、問題となる責任は大きく次の3つに分かれます。
- 顧客企業に対する契約上の責任
- データの本人に対する不法行為責任
- 個人情報保護法上の責任
顧客企業に対する契約上の責任
業務委託契約や秘密保持契約に定めた安全管理義務・秘密保持義務に違反したとして、顧客企業から損害賠償を請求される可能性があります（債務不履行責任）。
顧客企業側の損害には、原因調査の費用、本人への通知やお詫びの費用、問い合わせ窓口の設置費用、見舞金のほか、信用低下による売上の減少なども含まれ得ます。漏えいの規模によっては、受け取っていた委託料を大きく上回る金額になることも珍しくありません。
データの本人に対する不法行為責任
データの本人（顧客企業のエンドユーザー）とマーケティング会社の間には、契約関係がありません。そのため、本人からは不法行為に基づく損害賠償を請求されることになり、顧客企業との契約で定めた責任限定条項は、本人には及びません。
ベネッセ個人情報漏えい事件では、最高裁判所が、氏名や住所などの基本的な情報の漏えいであってもプライバシーの侵害となり得るとして、精神的損害の有無を審理し直すよう命じています（最判平成29年10月23日）。一人あたりの金額は小さくても、件数が多ければ総額は大きくなります。
個人情報保護法上の責任
委託を受けて個人データを取り扱う事業者も、個人情報保護法上の「個人情報取扱事業者」として、安全管理措置を講じる義務を負います。漏えい等が発生した場合には、個人情報保護委員会への報告や本人への通知の対象となり、同委員会から報告徴収や指導・勧告を受ける可能性もあります。
この3つのうち、契約で調整できるのは、主に顧客企業に対する責任です。本人に対する責任や個人情報保護法上の責任は契約の外にあるため、情報の取り扱いの仕組みと保険で備える必要があります。
契約で情報漏えいの責任をどこまで限定できるか
まずは、顧客企業との契約で責任をどこまで限定できるのかを見ていきましょう。
責任限定条項の典型的な定め方
BtoBの業務委託契約では、受託者の損害賠償責任を限定する条項を置くのが一般的です。典型的には、次の2つを組み合わせます。
- 損害の範囲の限定：「直接かつ現実に生じた通常の損害」に限り、逸失利益・間接損害・特別損害を除く
- 賠償額の上限：「損害の原因となった個別契約に基づき、過去○か月間に受領した委託料の合計額」を上限とする
事業者間の契約には契約自由の原則が働くため、このような責任限定条項は原則として有効です。月額数十万円の運用報酬で、顧客企業の事業全体に及ぶ損害まで負うのは釣り合いがとれない、という合理的な理由もあります。
故意・重過失の場合は責任限定条項が効かない
ただし、責任限定条項はどのような場合にも効くわけではありません。故意または重大な過失によって生じた損害についてまで責任を限定する部分は、公序良俗や信義則の観点から無効とされる、または限定的に解釈される傾向にあります。
第90条（公序良俗）
公の秩序又は善良の風俗に反する法律行為は、無効とする。
民法
システム開発の分野では、SQLインジェクション対策を怠ってクレジットカード情報が流出した事案で、裁判所が受託者の重過失を認め、責任限定条項の適用を否定した裁判例があります（東京地判平成26年1月23日）。この裁判例では、当時すでに広く知られていた基本的な対策を講じていなかったことが、重過失と評価されました。
マーケティング会社に置き換えると、たとえば次のような状態は、重過失と評価されるおそれがあります。
- 広告アカウントや解析ツールのIDとパスワードを複数人で使い回し、二要素認証も設定していない
- 顧客企業から受け取った会員リストを、個人のPCやクラウドストレージに期限なく保存している
- 退職した担当者や契約が終了した外注先のアクセス権限を削除していない
つまり、責任限定条項は、基本的な安全管理を怠った場合の盾にはなりません。契約の効力を保つためにも、後述する情報の取り扱いの仕組みづくりが欠かせません。
責任限定条項が及ばない相手・場面
責任限定条項の効力は、契約の当事者間にしか及びません。前述のとおり、データの本人からの請求や、個人情報保護委員会による行政上の対応には影響しません。
また、取引の相手方が個人事業主などで「消費者」にあたる場合には消費者契約法が適用され、事業者の故意・重過失による責任を免除する条項や、責任の全部を免除する条項は無効となります（同法第8条）。ウェブサイト上の利用規約で取引する場合には、定型約款の規定（民法第548条の2以下）により、相手方の利益を一方的に害する条項が合意の内容とならないおそれもあります。
賠償上限額は「払える額」と「保険でカバーできる額」から逆算する
賠償上限額を決める際は、顧客企業が受け入れられる水準かどうかに加え、自社が実際に支払える額かどうかを検討する必要があります。
ここで役立つのがサイバー保険です。賠償上限額と保険の補償額をそろえておけば、上限までの賠償は保険で支払い、上限を超える部分は契約で切るという一貫した設計になります。
大口の顧客企業からは、上限額の引上げや撤廃を求められることもあります。その場合でも、個人データを預かるプランに限って上限額を引き上げ、その分を料金に反映するなど、条件と価格を連動させて交渉することが可能です。
契約だけでは守り切れない部分を情報の取り扱いの仕組みで担保する
前述のとおり、契約で限定できる責任には限界があります。ここでは、契約だけでは守り切れない部分を、情報の取り扱いの仕組みによってどのように担保するかを解説します。
個人データを預からない設計にする
漏えいのリスクを最も確実に下げる方法は、そもそも個人データを自社の手元に置かないことです。広告運用や分析の多くは、氏名やメールアドレスがなくても成り立ちます。そこで、たとえば次のような2つのプランに分ける設計が考えられます。
- 標準プラン：顧客企業側で仮名化・マスキングしたデータのみを扱い、自社のサーバーやPCには個人を特定できるデータを保存しない
- データ預かりプラン：生データを預かる必要がある案件に限り、取り扱うデータの範囲・保存場所・削除期限を個別契約の別紙に明記し、管理コストに見合う料金を設定する
この形にすると、責任の重さと報酬が連動するため、顧客企業にも料金の違いを説明しやすくなります。
「契約上は関与せず、実際は触っている」状態を避ける
LINE公式アカウントの運用や広告アカウントの管理では、広告主、運用会社、マーケティング会社が多層的に関わることがあります。このとき、契約上は個人データに関与しない建付けにしているにもかかわらず、実際には管理画面にログインして顧客情報を閲覧・ダウンロードしている、という状態が生じがちです。
事故が起きた場合、責任の有無は契約の形式ではなく実態で判断されます。データに触らないのであれば契約上も実態上も関与しない、触るのであれば委託の連鎖として正しく契約に入り、扱う範囲を絞る、のどちらかに寄せることが安全です。最も危険なのは、契約上は関与していないことになっているのに、実際はデータに触っている状態です。
「委託」と「第三者提供」を整理する
顧客企業がマーケティング会社に個人データを渡す場合、通常は個人情報保護法上の「委託」にあたり、本人の同意なく提供することができます。
第27条（第三者提供の制限）
5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
個人情報の保護に関する法律
個人情報の保護に関する法律 第二十七条
その代わり、顧客企業には委託先を監督する義務があり（同法第25条）、マーケティング会社は委託された業務の範囲内でしかデータを利用できません。
注意が必要なのは、複数の顧客企業から預かったデータを突き合わせて分析したり、自社のサービス改善や他社向けの提案に転用したりする使い方です。これらは委託の範囲を超え、第三者提供として本人の同意が必要になる可能性があります。契約書では、利用目的を個別の業務に限定し、統計化した知見など自社が利用できる範囲を明確に書き分けておくべきです。
また、Cookieや広告IDなど、自社では個人を特定できない情報であっても、提供先で個人データとして取得されることが想定される場合には、「個人関連情報」の規律（同法第31条）が問題となります。計測タグを設計する段階で整理しておくことが望ましいでしょう。
再委託とアクセス権限を管理する
マーケティング会社では、フリーランスの運用者やデザイナーなどの外注先を使うことが多く、ここが管理の弱点になりやすい部分です。過去には、自治体から住民データの処理を受託した事業者の再々委託先のアルバイトがデータを持ち出した事案で、委託元である自治体の損害賠償責任が認められた裁判例もあります（大阪高判平成13年12月25日）。
実務上は、次のような手当てが考えられます。
- 個人データを扱う案件では、再委託を顧客企業の事前承諾制とする
- 外注先との契約で、データの持ち出し禁止、学習に利用される設定の生成AIサービスへの入力禁止、終了時の削除報告を義務づける
- アカウントは担当者ごとに発行して共有IDを使わず、二要素認証を必須とする
- 案件の終了、担当者の交代、外注先との契約終了の際に、アクセス権限を削除する手順を決めておく
エクスポートしたデータの保存と削除のルールを決める
業務によっては、CSVでのダウンロードや、スプレッドシートへの自動出力が避けられないこともあります。これを一律に禁止すると業務が成り立ちません。現実的なのは、エクスポートする項目、保存場所、削除期限を顧客企業と事前に合意し、別紙に記録しておくことです。
持ち続ける必要のないデータは、漏えいすれば損害だけが残ります。問い合わせデータが何年も前からサーバーに残っていた、という例は珍しくありません。契約終了後一定期間内の削除を契約に明記し、定期的な棚卸しを社内ルールにすることが有効です。
漏えい時の報告と初動を準備する
個人情報保護法では、要配慮個人情報の漏えい、財産的被害が生じるおそれのある漏えい、不正アクセスなど不正の目的による漏えい、1,000人を超える漏えいなどが発生し、またはそのおそれがある場合に、個人情報保護委員会への報告と本人への通知が義務づけられています。
第26条（漏えい等の報告等）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
個人情報の保護に関する法律
報告は、事態を知った後速やかに（おおむね3〜5日以内）行う「速報」と、原則として30日以内（不正の目的によるものは60日以内）に行う「確報」の2段階です。
上記のただし書のとおり、委託先であるマーケティング会社は、委託元である顧客企業に速やかに通知すれば、自ら報告する義務を免れます。そのため、契約では「事故またはそのおそれを認識した時点で直ちに通知する」ことと、通知先や連絡手段を決めておくことが重要です。初動の遅れは、それ自体が過失の評価に影響します。
社内では、誰が判断し、誰が顧客企業に連絡し、どのフォレンジック調査会社や弁護士に相談するかを、平時から手順書にまとめておくことをおすすめします。
個人データ漏えいにおけるプライバシーポリシー・契約書・保険の役割分担
ここまで見てきたとおり、漏えいへの備えは1つの書面だけで完結するものではありません。プライバシーポリシー、契約書、サイバー保険には、それぞれ次のような役割があります。
- プライバシーポリシー：本人や顧客企業に対し、自社が個人データをどのように扱うかを公表する
- 契約書：顧客企業や外注先との間で、扱うデータの範囲、安全管理、再委託、事故時の通知、賠償の範囲と上限を決める
- サイバー保険：契約では切り離せない調査費用、通知費用、賠償金、事業中断の損失などを金銭面で補う
プライバシーポリシーはBtoB受託の実態に合わせる
マーケティング会社のプライバシーポリシーは、一般消費者向けのひな形をそのまま使っていることが少なくありません。しかし、受託業務の中で扱う個人データについては、自社は委託先の立場にあります。
そのため、自社が事業者として取得する個人情報（問い合わせ者や取引先担当者の情報など）と、受託業務で顧客企業から預かる個人データを書き分けることが重要です。後者については、委託の範囲内で取り扱うことを明記しておくべきでしょう。
また、自社サイトに解析ツールや広告タグを設置している場合は、電気通信事業法の外部送信規律（同法第27条の12）への対応も必要です。マーケティング会社自身のサイトがこの点で不備を抱えていると、提案先からの信頼を損ないかねません。
契約書は顧客企業向けと外注先向けで条件をそろえる
契約書は、顧客企業向けと外注先向けの両方を、同じ考え方でそろえることが重要です。顧客企業に対して再委託の事前承諾や生成AIサービスへの入力制限を約束しても、外注先との契約に同等の義務がなければ、自社が間に挟まれて責任を負うことになります。
また、顧客企業向けの契約では賠償上限を置く一方で、外注先向けの契約では、外注先の故意・過失による損害を自社が回収できる設計にしておくと、責任の流れが一貫します。秘密保持契約についても、業務委託契約の賠償条項との関係を整理しておく必要があります。
サイバー保険で契約では切れない部分を受け止める
契約を整えても、漏えい時の調査費用、本人への通知やお詫びの費用、本人からの損害賠償請求、事業中断による損失は残ります。これらを受け止めるのがサイバー保険です。
サイバー保険を設計する際のポイントは、次の3つです。
- 契約上の賠償上限額と保険の補償額を合わせる
- 受託業務で預かったデータの漏えいが補償の対象に含まれるかを確認する
- 外注先の過失による事故や、契約で引き受けた責任が、免責事由にあたらないかを確認する
保険会社に見積りを依頼する前に、「契約でカバーできない部分」を一覧にしておくと、必要な補償内容を正確に伝えることができます。
まとめ：個人データの取扱いと責任範囲の設計は弁護士に相談を
マーケティング会社が顧客企業の個人データを扱う以上、漏えいのリスクをゼロにすることはできません。大切なのは、契約で責任を限定し、情報の取り扱いの仕組みで事故の可能性と被害を小さくし、残った部分を保険で受け止めるという、3つを組み合わせた設計です。
これらは別々に作るものではありません。個人データを預かるかどうかでプランを分け、それに応じて契約の別紙・賠償上限・再委託の条件を変え、上限額と保険の補償額をそろえ、プライバシーポリシーにはその実態を反映する、というように連動させる必要があります。
契約書の責任限定条項が実際に機能するか、委託と第三者提供の整理が適切かといった判断には、専門的な知識が求められます。自社の体制に不安がある場合には、IT分野と個人情報保護法に詳しい弁護士に相談することをおすすめします。
当事務所による対策のご案内
モノリス法律事務所は、IT、特にインターネットと法律の両面に豊富な経験を有する法律事務所です。当事務所では、マーケティング会社・広告代理店・分析会社などに対し、プライバシーポリシーの作成・改定、業務委託契約書や秘密保持契約書の作成・レビュー、漏えい時の対応体制の整備などのサポートを行っております。下記記事にて詳細を記載しております。
カテゴリー: IT・ベンチャーの企業法務
