委託先で情報漏洩が起きたら、採用担当者は社内の対応責任者へ共有し、委託先との事実確認、被害拡大の防止、影響範囲の特定、報告・通知の判断を並行して進めます。 応募者への説明と選考の連絡を、誰が担うかも決める必要があります。

「採用システムで不正アクセスが発生した」「採用代行会社が応募者の情報を誤送信した」。連絡を受けた直後は、何が確定し、何を確認中なのかが分からないこともあるでしょう。

この記事では、応募者の個人データの取扱いを外部へ委託している民間企業向けに、初動の5ステップと採用担当者の確認事項を整理します。

目次

委託先の情報漏洩でも、自社での対応確認が必要

委託先で起きた事故でも、自社が行う報告や応募者への対応を確認します。 委託先から「対応中」と連絡があった場合も、対象範囲と担当を具体的に把握しましょう。

2026年10月2日、ワンダーテーブルは、アルバイト採用に関する業務の委託先が提供する採用管理サービスで不正アクセスが発生し、管理していた個人情報の一部が流出したと公表しました※1。採用データを扱う外部サービスの事故は、利用企業の応募者対応にもつながります。

個人情報保護委員会のガイドラインでは、報告対象となる事態について、原則として委託元・委託先の双方に報告・本人通知の義務が生じるとされています。委託先が法令に沿って委託元へ通知した場合には、委託先の義務が免除される仕組みがあります※2。

外部サービスとの関係は、契約と実際のデータの扱いで確認します。サービスを利用するすべての場合を同じ「委託」と考えず、自社の義務は法務・個人情報の管理責任者と整理してください。

採用担当者が進める初動対応5ステップ

まず責任者と連絡経路を決め、事実確認と被害拡大の防止に着手します。 以下の順で担当を整理しつつ、報告・通知の判断を後回しにしないよう、複数の対応を並行して進めましょう。

委託先の情報漏洩への初動対応。社内共有、拡大防止、影響特定、報告・通知の判断、応募者対応を並行して進める

1. 社内へ共有し、対応責任者と窓口を決める

委託先からの第一報を、採用部門の中だけにとどめず共有します。 受け取った日時、連絡者、説明内容を記録し、社内の事故対応ルールに沿って責任者へ報告してください。

次の表は、事故対応で分担したい役割の例です。少人数の企業では兼任でもよいので、誰が担当するかを明確にします。

役割主に確認・判断すること
採用担当・採用責任者対象応募者、選考状況、連絡への影響
情報システム・セキュリティ担当被害拡大の防止、ログなどの記録の保全、再開条件
法務・個人情報の管理責任者報告・本人通知の要否、期限、契約上の義務
経営・広報対外説明、公表、問い合わせ対応の方針

委託先への質問は窓口をまとめ、回答を関係者が確認できる記録へ残します。委託先の発生日・検知日と、自社が事態を知った日時は分けて記録しましょう。

2. 委託先に事実を確認し、拡大防止と記録の保全を進める

現在も情報が外部へ出る状態か、どこまで対処できたかを確認します。 接続の停止や権限の変更などは情報システム部門と判断し、調査に必要なログやメールを保全してください。調査前の一括削除や初期化は、記録を失うおそれがあるため、担当部門と相談します。

委託先への第一報の確認では、次の事項を聞きます。未判明の項目には、確認担当と次の回答予定も付けてもらいましょう。

確認項目委託先に聞く内容
発生・発覚の経緯いつ、何が起き、何を根拠に把握したか
対象のサービス・期間自社のどの契約・機能・利用期間が関係するか
現在の対処アクセスの遮断、追加流出の防止、記録の保全はどこまで済んだか
対象情報と規模自社に関係する情報項目、人数、対象者を特定できるか
対外対応行政への報告、本人通知、公表の担当と実施状況
次の連絡次回の報告時刻、連絡窓口、緊急時の連絡方法

委託先へ確認する6項目。発生・発覚の経緯、対象サービスと期間、対処、対象情報と人数、対外対応、次回連絡

3. 応募者と情報項目ごとに、影響範囲を特定する

「応募者情報が対象」という説明を、誰の何が含まれるのかまで具体化します。 履歴書、職務経歴書、面接記録、連絡先などを分け、漏洩が確認された情報と、可能性を調査中の情報を区別してください。

選考中の人だけでなく、過去の応募者や辞退者、不採用者のデータが残っていないかも確認します。対象者の一覧を自社の記録と照合し、データの件数と重複を除いた人数も分けましょう。

マイナンバーが含まれる場合は、別の報告ルールや報告先の確認が必要です※3。内定後の手続き情報まで扱うサービスでは、履歴書だけを調べて対象確認を終えないようにします。

4. 報告・本人通知の要否と、実施する担当を決める

法務・管理責任者と、報告対象か、誰がいつまでに報告・通知するかを決めます。 個人情報保護委員会は、民間事業者の報告対象として、主に次の4つを示しています。いずれも漏洩等が発生した場合だけでなく、そのおそれがある場合も含みます※3。

人数が少ない事故でも、ほかの条件に該当する可能性があります。情報の内容や保護の状況、法令上の例外も含めて判断します。委託先が報告するときも、自社の対象データと法的な対応がどこまで含まれているかを確認しましょう。

次の表は、報告対象となる一般の個人データについての、主な報告・通知の時期です※2・3。

対応時期の考え方
速報報告対象の事態を知ってから速やかに。目安は概ね3〜5日以内
確報知った日から30日以内。不正の目的による行為が疑われる所定の事態では60日以内
本人への通知事態の状況に応じて速やかに。確報と同じ期限とは限らない

速報は、その時点で分かっている内容で報告します※2。原因調査の完了を待つ前に、現在の情報で必要な対応を判断してください。法人では、担当役員への報告日だけでなく、社内のいずれかの部署が報告対象の事態を知った時点が基準になります※2。

報告対象となる一般の個人データの事態では、速報は速やかに行い概ね3〜5日以内が目安。確報は知った日から30日以内、不正目的の行為が疑われる所定の事態は60日以内。本人通知は状況に応じて速やかに行う

5. 応募者への説明と、選考中の連絡を整える

応募者には、自分に関係する情報、現在の対応、注意してほしいこと、問い合わせ先が分かる説明を用意します。 確認済みの事実と調査中の内容を分け、次の案内時期も可能な範囲で伝えましょう。

例えば、電話番号やメールアドレスが対象なら、なりすましの連絡などへの注意と、正しい問い合わせ方法を案内します。「二次被害を確認していない」と「被害がない」は区別し、判明していないことを断定しないようにしてください。

本人通知が必要な事態で、個別の通知が困難な場合には、公表や問い合わせ窓口の設置などの代替措置が認められる場合があります※2。Web上のお知らせだけで足りると一律に判断せず、通知の方法を確認します。

同時に、面接予定、選考結果、内定の回答期限への影響を整理します。システム停止中の連絡方法を決め、代替の連絡でも、応募書類を広い宛先へ再送するような運用を避けましょう。

応募者への説明事項。対象となる情報、確認済みの事実と調査状況、注意点と対応、次の連絡と問い合わせ窓口

再開前に見直したい、採用データの管理

再開の判断では、復旧状況に加え、再発防止策と自社の運用を確認します。 委託先からの報告を踏まえ、担当、実施期限、確認する方法まで記録してください。

見直したいのは、アクセス権限、再委託先の管理、不要なデータの削除、事故時の通知・協力体制です。個人情報保護委員会も2026年10月7日の注意喚起で、保有する個人データの必要性を確認し、不要となったデータの消去に努めることを取り上げています※4。事故調査のために保存する記録と、日常の保管データは担当部門と整理しましょう。

採用業務の分担を棚卸しする際は、中途採用の工数を削減する方法も参考にできます。作業ごとに、扱う情報と管理する人を対応させると、確認漏れを見つけやすくなります。

採用サービスを見直すときは、運用の分担も確認を

導入時には、機能とあわせて、企業が受け取る情報や自社で管理する範囲も確認しましょう。アバキャリアの企業向けページでは、利用の流れと資料請求の案内をご覧いただけます。

アバキャリアの企業向けサービスを見る →

採用サービスを選ぶときも、情報の扱いを確認する

私たちNexusAdvisorsは、採用業務を効率化するときも、情報を扱う範囲と責任を明確にすることが大切だと考えています。

私たちNexusAdvisorsが運営するアバキャリア（AVACAREER）では、企業が受け取った求職者情報について、利用規約に利用範囲や管理上のルールを定めています。漏洩等が生じた場合やそのおそれがある場合には、企業から当社への通知と調査への協力を求めています。

契約上の取り決めと、法令に基づく報告・本人通知は、それぞれ確認が必要です。サービスを利用する企業側でも、受け取る面談記録などを誰が確認し、どこに保存するかを決めておきましょう。

よくある質問

委託先が「まだ調査中」と言っている場合は待ってよいですか？

調査状況を確認しながら、自社で必要な拡大防止や報告の判断を進めます。速報では把握済みの内容を報告できるため※2、調査中という理由だけで対応を止めないようにしましょう。

不採用になった応募者への対応も必要ですか？

対象かどうかは、現在の選考状況だけでは決まりません。過去に保存した応募者データも調査範囲に含め、対象情報と報告・通知の要件に応じて判断してください。

初動で決めたいのは、確認事項と対応する人

委託先で情報漏洩が起きたら、社内共有、拡大防止、影響範囲の特定、報告・通知の判断、応募者対応を進めます。第一報を受けた日時と内容を記録し、各対応の責任者と次の確認時刻を決めるところから始めましょう。

これからの採用業務を、誰がどう担うか整理する

アバキャリアは、企業のAIと候補者の専属AIが面談し、企業が記録を読んで会うかどうかを判断するサービスです。求人票作成から面談記録の確認まで、利用の流れを企業向けページでご確認ください。

アバキャリアの導入の流れを確認する →

注釈

※1 ワンダーテーブル「個人情報漏えいについてお知らせとお詫び」（2026年10月2日公表・2026年10月25日確認）

※2 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（3-5-3、3-5-4等・2026年10月25日確認）

※3 個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年10月25日確認）

※4 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日公表・2026年10月25日確認）