個人情報漏洩に備える保険の選び方｜補償される費用と対象外の範囲

個人情報漏洩保険を調べている人が本当に知りたいのは、「自分の規模でも入る必要があるのか」と「入ったら何が払われるのか」の2点だと思います。結論から書きます。顧客の氏名と連絡先を1件でも預かって仕事をしているなら、検討する意味はあります。そして保険が払うのは賠償金だけではなく、むしろ事故対応の実費のほうが金額として大きくなります。

私はアパレルブランドのEC運営を外部から支援する仕事をしていて、顧客リストや注文データに触れる機会が日常的にあります。この仕事を始めたとき、正直なところ保険のことは頭にありませんでした。考えが変わったのは、取引先から「漏えいしたときの費用負担はどちらが持つのか」を契約書で決めたいと言われたときです。そこで初めて、漏えい時に発生する費用の内訳を調べました。金額の桁が想像と違っていました。

この記事では、保険商品の比較の前に、漏えい時に何にいくらかかるのかをデータで整理します。そのうえで、補償される項目、対象外になりやすい範囲、保険料の相場、そして業務委託で預かる側が確認すべき契約条件を順に書きます。

個人情報漏洩保険とサイバー保険は、守る対象が違う

最初に整理が必要なのが、名前の似た2つの保険の違いです。ここを混同すると、必要な補償が抜けます。

個人情報漏洩保険は、個人情報や法人情報が外部に漏れたことに起因する損害を対象にします。漏れた本人からの損害賠償請求への備えと、事故対応にかかる費用の備えが中心です。原因はサイバー攻撃に限定されません。ノートパソコンを電車に置き忘れた、USBメモリを紛失した、メールの宛先をBCCではなくCCで送った、従業員が顧客リストを持ち出した。こうした人為的なミスや内部不正も対象に含まれます。

サイバー保険は、サイバー攻撃を起点とした損害全般を対象にします。情報漏えいも含みますが、それ以外にシステムが停止したことによる営業損失、ランサムウェアで暗号化されたデータの復旧費用、ネットワークの中断に伴う利益の減少までカバーします。攻撃の経路に着目した保険だと考えるとわかりやすいです。

どちらを選ぶかは、自分の業務でどのリスクが現実的かで決まります。顧客データを扱うが自社でシステムを運営していない人は、漏えい保険の範囲で足ります。自社でサーバーやサービスを運営していて、止まると売上が直接落ちる人は、サイバー保険の範囲が必要です。両方に該当する場合は、サイバー保険で漏えいまで含めてカバーできる商品を選ぶほうが、重複がなく整理しやすくなります。

データそのものの復旧を補償に含めるかどうかも、商品によって分かれます。

データ復元費用特約（オプション特約）をセットすることで、サイバー攻撃により失った電子情報の復元・補修・再作成にかかる費用を1,000万円を限度に補償します。 出典: aig.co.jp

標準の補償ではなくオプションの特約として設定されている点に注意してください。データの再作成に1,000万円という限度額が設定されているのは、それだけの金額がかかりうるという実務の反映です。顧客データベースを一から作り直す作業を外注したときの金額を想像すれば、桁として不自然ではありません。

漏洩が起きたとき、何にいくらかかるのか

保険の必要性を判断するには、事故の費用構造を知る必要があります。ここが最も誤解されている部分です。多くの人は「漏れた人への賠償金」だけを想像しますが、実際の費用の大半は対応の実費です。

費用は大きく7項目に分かれます。第1に事故調査費用です。何件が漏れたのか、どの経路で漏れたのかを特定するための調査で、専門業者によるフォレンジック調査を依頼すると数十万円から数百万円の規模になります。この調査結果がないと、後続のすべての判断ができません。

第2に本人への通知費用です。漏えいの対象になった本人全員に通知する必要があり、郵送する場合は1通あたり数十円から百円台の実費がかかります。1万件なら封筒と印刷と郵送で100万円前後です。件数に比例して線形に増える費用なので、保管件数が多い事業者ほど負担が重くなります。

第3にコールセンターの設置費用です。通知を出せば問い合わせが来ます。自分で対応しきれないので外部に委託することになり、期間と回線数に応じて費用が発生します。

第4にお詫びの費用です。実務では金券やポイントを送る対応が定着していて、1人あたり500円から1,000円程度が相場です。1万件なら500万円から1,000万円です。法的な義務ではありませんが、行わないという選択が難しいのが現実です。

第5に弁護士費用です。賠償請求への対応、監督官庁への報告書の作成、公表文の確認などで発生します。第6にシステムの復旧と再発防止にかかる費用、第7に公表や広告にかかる費用です。

そして、これらに加えて損害賠償があります。裁判例では1人あたりの慰謝料は数千円から数万円の範囲に収まることが多いのですが、対象者が多いと総額は大きくなります。

個人情報を1件でも漏えいさせると、企業は事故対応をせまられます。対応を誤ると、企業イメージの低下や、取引先からの取引停止などにもつながりかねません。さらに、多くの被害者から慰謝料などの損害賠償を請求される可能性も否定できません。 出典: aig.co.jp

「1件でも」という点が重要です。件数が少なければ対応しなくてよいという線はありません。100件の漏えいでも調査は必要で、通知も必要で、公表の判断も必要です。固定的にかかる費用があるため、小規模な漏えいのほうが1件あたりのコストは高くつきます。

補償される費用の項目を、契約前に突き合わせる

商品を選ぶときは、前の章で挙げた7項目のうちどれが補償されるかを、項目ごとに突き合わせてください。パンフレットの「トータルにサポート」という表現だけでは判断できません。

AIG損保の個人情報漏洩保険は、不正アクセスや情報漏えいのリスクに対し、4つのステップでトータルに企業をサポートします。 出典: aig.co.jp

こうした説明は補償の設計思想を伝えるものであって、個別の費用が出るかどうかの答えではありません。確認すべきは約款の支払対象費用の一覧です。

標準で含まれていることが多いのは、損害賠償金、争訟費用、事故調査費用、通知費用、コールセンター費用、お詫び費用、公表にかかる費用です。特約で追加する形になりやすいのは、データの復元費用、システムの復旧費用、利益損失、そして原因の特定に至らなかった場合の費用です。

特に確認してほしいのが3点あります。1つ目は、原因が特定できなかった場合の扱いです。調査しても漏えいの有無や経路が確定しないケースは実際にあります。漏えいが確認できないと保険金が支払われない設計だと、調査費用が自己負担になります。漏えいのおそれがある段階で発生した費用を対象にする商品を選んでください。

2つ目は、お詫び費用の上限です。1人あたりいくらまで、総額いくらまでという制限が設定されていることがあります。1人あたり500円が上限の契約で、実務上1,000円の金券を送る判断をしたなら、差額は自己負担です。

3つ目は、支払限度額と免責金額の組み合わせです。免責金額が50万円に設定されている商品では、小規模な漏えいのほとんどが自己負担になります。保険料を抑えるために免責金額を上げると、現実に起きやすい事故で使えない保険になります。小規模な事業者は、限度額を下げても免責金額を低く保つほうが実用的です。

対象外になりやすい範囲

免責事由も先に読んでください。次の項目は多くの商品で対象外か、条件付きの扱いになります。

故意による情報の持ち出しは、自分が行った場合は当然に対象外です。ただし従業員や外注先が行った内部不正は対象に含まれる商品があります。人を使って仕事をしている人には重要な差です。

罰金や課徴金、行政上の制裁金は対象外です。個人情報保護法に基づく命令に違反した場合、法人には高額の罰金が科される可能性がありますが、これは保険では賄えません。

ランサムウェアの身代金も、多くの商品で対象外です。支払うことが犯罪組織への資金提供になるという判断があるためです。身代金は払わずに復旧する前提で、バックアップの設計を考える必要があります。

既知の脆弱性を放置していた場合の扱いは商品によって分かれます。修正プログラムが公開されているのに長期間適用していなかったケースで、支払いを制限する条項を置いている商品があります。ここは運用の問題として、更新の記録を残しておくことが自分を守ります。

契約上の義務違反そのものによる損害も、対象外になりやすい部分です。守秘義務契約に違反したこと自体に対する違約金は、賠償金とは別枠で扱われます。

暗号化の有無も確認点です。漏えいしたデータが暗号化されており、解読される可能性が低い場合は、そもそも本人への通知義務が生じないという扱いがあります。保険の側でも、事故として扱われない可能性があります。これは不利な話ではなく、暗号化しておけば事故そのものを小さくできるという意味です。

保険料の相場と、規模に応じた決め方

金額の感覚です。個人情報漏洩保険の保険料は、保管している個人情報の件数、売上高、業種、支払限度額、特約の有無で決まります。

小規模な事業者向けのプランでは、年間2万円台から始まる商品があります。保管件数が数千件、売上規模が小さい個人事業主なら、この水準で支払限度額5,000万円程度の契約が組めることがあります。保管件数が数万件を超える、あるいは要配慮個人情報を扱う業種では、年間十数万円から数十万円のレンジに上がります。

料率に最も効くのは保管件数です。前述のとおり通知費用とお詫び費用が件数に比例するため、保険会社のリスク計算も件数で動きます。つまり、不要なデータを保持しないことが保険料の引き下げに直結します。退会した顧客のデータを何年も持ち続けている事業者は多いのですが、保管期間の上限を決めて削除する運用に変えるだけで、リスクも保険料も下がります。これは保険を検討する前にやるべき整備です。

支払限度額の決め方は、保管件数から逆算するのが実務的です。件数 × 通知費用の単価 + 件数 × お詫び費用の単価 + 調査費用の見込み + コールセンター費用の見込み。この合計が、対応費用としての必要額の目安になります。1万件を保管しているなら、通知とお詫びだけで1,000万円前後を見込むことになります。ここに調査と対応の費用が乗るので、限度額5,000万円は過大ではありません。

加入の経路は3つあります。損害保険会社の代理店を通じた個別契約、業界団体や職能団体の団体契約、そして事業者向けの総合的な賠償責任保険への特約としての付加です。小規模な事業者は、単独で個人情報漏洩保険を契約するより、事業者向けの賠償責任保険に情報漏えいの特約を付けるほうが割安になることが多いです。すでに賠責に入っている人は、まず現在の契約に特約を付けられるかを代理店に確認してください。

保険料は事業に必要な支出として必要経費に計上できます。どの保険料が経費に入り、どれが所得控除なのかの区分は混同されやすいので、個人事業主の保険料は経費にできる？仕訳と確定申告の方法で勘定科目まで確認しておくと申告で迷いません。

業務委託で顧客データを預かる側のリスク

ここからが、私と同じように外部から支援する立場の人に向けた話です。自社の顧客データではなく、クライアントの顧客データを扱う場合、リスクの構造が変わります。

まず、漏えいの責任がどちらにあるかという問題です。個人情報保護法では、個人データの取扱いを外部に委託する場合、委託した側に委託先を監督する義務があります。つまり、委託元も責任を免れません。一方で、実際に漏らしたのが受託者であれば、委託元から受託者へ損害の補償を求める流れになります。委託契約書に「情報漏えいが生じた場合、受託者は委託者に生じた一切の損害を賠償する」と書かれていれば、対応費用の全額を請求されうる立場です。

この「一切の損害」という書き方が危険です。前章で見たとおり、1万件の漏えいなら対応費用は1,000万円を超えます。月額数十万円の委託料で受けている仕事に対して、この規模の賠償責任を負うのは釣り合いません。私は取引先との契約でここを交渉し、賠償額の上限を年間の委託料の範囲に定めてもらいました。交渉自体はすんなり通りました。発注する側も、受託者が払えない金額を書いても意味がないことは理解しています。

次に、データの受け渡し方です。顧客リストをメールの添付ファイルで送ってくるクライアントは、まだ珍しくありません。これは受け取る側にとってリスクです。受け取った時点で自分の環境にデータが置かれ、自分が管理責任を負います。アクセス権を付与してもらってクライアントの環境内で作業する形にすれば、自分の手元にデータを置かずに済みます。ECの運営支援では、管理画面の権限を必要な範囲だけ付与してもらう形が現実的です。

3つ目に、作業環境の管理です。個人で仕事をしていると、私用のパソコンと仕事のパソコンが同じという人が多いです。家族が使う端末に顧客データが入っている状態は、説明のしようがありません。作業用のユーザーアカウントを分ける、ディスクを暗号化する、画面ロックを短時間で掛ける。この3つは費用がかからないので、今日できます。

4つ目に、退出時の処理です。契約が終わったときに、預かったデータを削除して削除した旨を報告する。この手順を契約書に書いておくと、後から「まだ持っているのではないか」という疑いを持たれません。自分を守る手続きでもあります。

私が過去にやりかけて止めた失敗を1つ書きます。複数のブランドの商品データを同じフォルダにまとめて作業していたことがあります。効率は上がりますが、クライアントAのデータとクライアントBのデータが同じ場所にあるという状態は、どちらのクライアントにも説明できません。案件ごとにフォルダを完全に分け、終了したら丸ごと消す運用に変えました。効率は落ちましたが、こちらが正しいです。

保険の前にやる4つの整備。これで必要な限度額が下がる

保険料は、抱えているリスクの大きさで決まります。だからリスクを小さくすれば保険料も下がります。順番として、保険の見積もりを取る前にこの4つを済ませてください。どれも費用はかかりません。

1つ目は、持っているデータの棚卸しです。今どこに、誰の、どんな情報が、何件あるのかを一覧にします。やってみると、使っていないデータがかなり出てきます。3年前に終わった案件のフォルダ、ダウンロードしたままの注文一覧のCSVファイル、メールの添付ファイル。私が最初に棚卸しをしたとき、手元にあった個人情報の件数は自分の想定の3倍でした。棚卸しをしないまま保険の見積もりを依頼すると、実態とずれた件数を申告することになります。申告した件数と実際が違うと、事故のときに支払いで争いになります。

2つ目は、保管期間を決めて削除することです。案件終了から何か月で消すというルールを1行決めて、実行します。件数が減れば、通知費用とお詫び費用の見込みが減り、必要な支払限度額が下がります。保険料はそれに連動します。削除は最も費用対効果の高いリスク低減策です。

3つ目は、受け渡しの経路を固定することです。メールの添付でデータを受け取るのをやめて、クライアントの管理画面に権限をもらう、あるいはアクセス制御のあるストレージを経由する形に変えます。経路が固定されていれば、どこに何があるかが常に分かります。分かっていれば、事故のときに調査の範囲が狭まり、調査費用も下がります。

4つ目は、端末の分離と暗号化です。作業用のユーザーアカウントを家族の使うものと分け、ディスク全体を暗号化し、画面ロックを短時間で掛ける設定にします。前述のとおり、暗号化されたデータが漏れて解読の可能性が低い場合は、そもそも報告や通知の義務が生じない扱いになりえます。事故を事故にしないための設定で、標準機能で完結するので追加の出費はありません。

この4つを済ませてから見積もりを取ると、申告する件数が減り、管理体制の説明ができる状態になります。保険会社は管理体制を料率に反映するので、同じ限度額でも保険料が下がる余地があります。整備を後回しにして保険で全部を賄おうとすると、高い保険料を払って、それでも事故のときに管理の不備を問われるという最も悪い組み合わせになります。

扱うデータの種類で、優先度は変わる

もう1点、自分が扱っているデータの種類を分類してください。同じ1件でも、リスクの重さが違います。

最も重いのは、要配慮個人情報です。健康状態、病歴、犯罪の経歴、人種や信条に関する情報がここに入ります。これが含まれる漏えいは件数を問わず報告義務の対象で、賠償額も高くなる傾向があります。健康食品や美容関連のECで、問診のような形で体の状態を聞いているなら、要配慮個人情報を保有している可能性があります。自覚していない事業者が多い領域です。

次に重いのが、財産的な被害につながる情報です。クレジットカード番号、銀行口座、ログイン情報。これも件数を問わず報告義務の対象になります。EC事業者が決済を外部のサービスに任せている場合、カード情報は自社に保存されていないことが多いので、この点は確認する価値があります。持っていないなら、リスクとして計上する必要がありません。

その次が、住所と氏名と連絡先の組み合わせです。単体では被害につながりにくいものの、件数が多いと総額が大きくなります。通販事業の顧客リストはここに該当します。

最も軽いのは、メールアドレス単体や、個人を特定できない統計データです。ただしメールアドレスの一斉送信でBCCとCCを間違えると、アドレスの相互露出という形の漏えいになります。件数は少なくても起きやすい事故で、実際に頻度としては最多の類型です。送信前の宛先確認を手順に入れておいてください。

優先度の結論は明快です。要配慮個人情報か財産情報を持っているなら、保険は早めに手配する。氏名と連絡先だけなら、まず件数を減らす整備を先にやって、そのうえで規模に合った限度額を決める。持っているデータの種類を知らないまま商品を比較するのは、順番が逆です。

事故が起きたときの手順と、報告の義務

万が一の手順も決めておきます。個人情報保護法では、一定の類型の漏えいについて個人情報保護委員会への報告と本人への通知が義務づけられています。

報告が必要になる類型は4つです。要配慮個人情報が含まれる場合、クレジットカード番号などで財産的被害が生じるおそれがある場合、不正アクセスや内部不正など不正の目的によるおそれがある場合、そして1,000人を超える漏えいが生じた場合です。自社の漏えいがこのどれかに当たるなら、報告は義務です。

報告には期限があります。事態を知った後、速やかに行う速報と、詳細を確定させて行う確報の2段階です。速報は数日以内、確報は原則として30日以内、不正アクセス等による場合は60日以内が目安とされています。この期間内に調査を終えて内容を固める必要があるので、事故を知ってからの初動が遅れると間に合いません。制度の詳細と報告の様式は個人情報保護委員会の案内を確認してください。

手順としては、次の順で動きます。第1に、被害の拡大を止めます。不正アクセスならネットワークから切り離す、紛失なら遠隔でロックする。第2に、保険会社または代理店に連絡します。事故対応費用の補償を受けるには、調査や対応の手配について事前の了解が必要な商品があります。自分で業者を手配してから連絡すると、費用が対象外になることがあります。

第3に、委託元への報告です。クライアントのデータを扱っている場合、委託元が報告義務の主体になるので、こちらの判断で公表や通知を進めてはいけません。事実を速やかに伝え、対応の主導はクライアント側に委ねます。第4に、調査です。何が、何件、どの経路で漏れたのかを確定させます。第5に、報告と通知、そして再発防止策の実施です。

最も避けたいのは、事態を小さく見せようとして報告を遅らせることです。報告義務違反は制裁の対象になりますし、後から発覚したときの信用の損失は漏えいそのものより大きくなります。データで言えば、初動の速さと最終的な取引継続率には明確な関係があります。早く出して早く直した事業者は取引が続いています。

データを預かる仕事が増えているという構造

フリーランスと在宅ワークの市場を20年運営してきた立場から見ると、外部に委託される業務の性質が変わってきました。以前は、成果物を作って納品する形の仕事が中心でした。今は、クライアントの業務そのものに入り込んで、データを触りながら運用する形の仕事が増えています。EC運営支援、SNSの運用代行、顧客対応、名簿の整理、広告の運用。どれも顧客データに触ります。

運営者として見てきた限り、この変化に運用の整備が追いついていません。受ける側は成果物を作る意識のままで、預かるデータの管理責任が増えたことに気づいていない。発注する側も、委託先の管理体制を確認する手順を持っていない。双方が整備していない状態で取引が成立しているケースが多いのが実情です。

ただし、これは機会でもあります。管理体制を説明できること、賠責と漏えいの備えがあることを示せる人は、発注する側から見て安心できる相手になります。特に上場企業や医療や金融に関わる案件では、委託先の選定基準に情報管理の項目が入ります。年間数万円の保険料と、運用ルールを1枚の文書にまとめる手間で、受注できる案件の層が変わります。

もう1つ、取引の形についても書いておきます。中間に仲介が入る取引では、情報管理の条件が仲介の規約で一律に決まり、個別の交渉ができません。直接契約なら、データの受け渡し方法、賠償の上限、保管期間を相手と決められます。しかも中間マージンが乗らないぶん、発注する側は同じ予算でより多く頼めて、受ける側の手取りは厚くなる。この構造が続くと、取引が単発で終わらずに翌月も続きやすくなります。20年見てきた実感として、データを扱う仕事は特に、条件を自分で決められる取引の比率が高い人のほうが長く続いています。

情報管理を扱える人材の需要は、実際に伸びている領域です。何が求められていて何から始められるかはAI・マーケティング・セキュリティのお仕事に整理があるので、自分の経験と接点があるかを確認してみてください。生成AIを業務に導入する支援も、扱うデータの範囲を決める作業が不可欠で、AIコンサル・業務活用支援のお仕事に工程の整理があります。

単価の水準を確かめたい人は、公的統計ベースの相場を見てから条件を決めてください。開発やシステム側の仕事ならソフトウェア作成者の年収・単価相場に地域別のレンジが出ています。ネットワークやインフラの知識を客観的に示したい人にはCCNA（シスコ技術者認定）が、情報管理を任せてよい相手かどうかの判断材料として機能します。

最後に。個人情報漏洩保険は、事故が起きた前提で費用を賄う道具です。事故そのものを減らすのは運用のほうです。不要なデータを持たない、受け渡しの経路を決める、端末を分けて暗号化する、終わったら消す。この4つを先にやってから保険を検討すると、必要な限度額が下がって保険料も下がります。順番を逆にしないでください。

よくある質問

Q. 個人情報漏洩保険とサイバー保険はどちらを選べばよいですか？

顧客データを扱うが自社でシステムを運営していないなら、個人情報漏洩保険の範囲で足ります。自社でサーバーやサービスを運営していて、止まると売上が直接落ちるなら、システム停止による利益損失まで対象にするサイバー保険が必要です。両方に該当する場合は、漏えいまで含むサイバー保険を1本で契約するほうが重複がありません。

Q. 漏洩が起きると実際にいくらかかりますか？

賠償金より対応の実費のほうが大きくなります。事故調査費用が数十万円から数百万円、本人への通知が1通あたり数十円から百円台、お詫びの金券が1人あたり500円から1,000円程度です。1万件の漏えいなら通知とお詫びだけで1,000万円前後を見込むことになり、これに調査とコールセンターと弁護士費用が乗ります。

Q. 保険料はいくらくらいですか？

保管している個人情報の件数、売上高、業種、支払限度額で決まります。小規模な事業者向けなら年間2万円台から始まる商品があり、保管件数が数万件を超える場合や要配慮個人情報を扱う場合は年間十数万円から数十万円になります。すでに事業者向けの賠償責任保険に入っている人は、情報漏えいの特約を付けるほうが割安になることが多いです。

Q. クライアントのデータを預かる業務委託でも保険は必要ですか？

必要性は高いです。委託契約書に「情報漏えいが生じた場合、一切の損害を賠償する」と書かれていると、1,000万円規模の対応費用を請求されうる立場になります。まず契約で賠償額の上限を委託料の範囲に定める交渉をし、そのうえで保険で備えるのが順番です。データを自分の環境に置かず、クライアントの環境で作業する形にするのも有効です。