出店者との契約が賃貸借契約に留まり、個人情報の取扱いを委託していない場合、不適切な取扱いに関する責任は出店者にあると考えます。
施設側の対応は、出店者とお客様の間を適切に取り持つことが基本となります。
ただし、一般のお客様からは施設運営企業に関係する企業と捉えられることも想定され、風評被害等のレピュテーションリスクがあります。
そのため、同様の事象が発生しないよう自社としての対応を検討し、その結果を是正処置票又はインシデント記録に記載しておくことが望ましいです(必要に応じて他の出店者へ注意喚起を行う等の対応が考えられます)。
また、問い合わせが生じたときに備え、出店者から事実確認の結果及び再発防止策の実施等を含めた報告書の提出を求めることをご検討ください。
個人情報保護委員会への報告については、漏えい等が発生した個人データを取り扱う事業者が報告義務を負うことが原則であり、かつ個人の権利利益を害するおそれが大きい類型に該当する場合に限られます。
施設側が自ら報告を行う必要はないケースが多いと考えられます。
なお、委託先による漏えいではないため、Pマークの審査で指摘対象となる可能性は低いと考えますが、審査で確認された場合に備え、上記の是正処置票又はインシデント記録を提示できるように整えておくとよいです。