業務委託で秘密保持契約は必要？ひな形と押さえるべき8つの項目を解説

フリーランスや外部企業へ業務を委託するときは、顧客情報や社内資料などを共有する機会があります。その際に「業務委託契約とは別に秘密保持契約も必要なのか」「ひな形のどこを修正すればよいのか」と迷う担当者もいるでしょう。

この記事では、秘密保持契約の使い分けや例文に加え、確認したい8つの項目を解説します。締結後の情報管理や漏えい時の対応も紹介するので、参考にしてください。

業務委託で秘密保持契約を結ぶ目的

秘密保持契約は、取引で共有する情報の範囲や利用条件を定め、無断開示や目的外利用を防ぐための契約です。「NDA」や「守秘義務契約」とも呼ばれます。

業務委託では顧客リストやソースコード、未公開の事業計画などを外部へ渡すことがあります。誰が、何のために、どこまで扱えるのかを明確にし、違反時の責任を確認する根拠を作ることが主な目的です。

不正競争防止法上の「営業秘密」は秘密として管理され、有用で、公然と知られていないという3要件を満たす情報です。契約で定める「秘密情報」と同じ範囲とは限りません。

契約がなくても法律で保護される場合はありますが、対象情報と義務を合意しておけば、認識の違いを減らせます。締結後はアクセス制限などの管理も必要です。

業務委託契約と秘密保持契約の使い分け

業務委託契約と秘密保持契約の使い分けについて、2つのケースを紹介します。

秘密保持条項だけで対応できるケース

業務委託契約に十分な秘密保持条項があり、情報を渡す前に締結できる際は、別途NDAを用意せずに対応できる場合があります。業務委託契約では仕事内容や報酬などの条件と併せて、秘密保持義務を定めることが可能です。

そのときに確認したいのは「秘密を漏らさない」という一文の有無だけではありません。実際の取引に必要となる、以下の内容がそろっているかチェックしましょう。

不足があれば、既存の条項を補う方法もあります。書類を増やすこと自体を目的にせず、必要な情報が適切な時期から保護される内容になっているか確認しましょう。

NDAを別途用意したいケース

業務委託契約を結ぶ前に秘密情報を共有するのであれば、先にNDAを締結する方法が適しています。例えば、見積もりや提案を受けるために、面談で顧客情報やシステムの仕様を見せる場合です。締結の基準は「業務開始前」ではなく、「秘密情報を開示する前」と考えましょう。

既存の秘密保持条項が簡素で、管理条件を詳しく定めたい場合にも、別途NDAを用意する方法があります。複数案件を継続して依頼するなら、共通の管理ルールをまとめることで契約確認の負担を抑えられます。

秘密保持契約書のひな形と使い方

ひな形は、必要な条項を検討する際に活用できます。ここでは例文と調整するポイントを解説します。

発注企業から情報を開示する場合の例文

以下は、発注企業を「甲」、委託先を「乙」、委託する業務を「本業務」とした記載例です。主要条項の一部を示したもので、契約書の全文ではありません。

INPIT（独立行政法人工業所有権情報・研修館）の公開ひな形を参考に、業務委託向けに作成した例です。実際の契約には、管理方法や返還・削除、期間、損害賠償などの条項も検討する必要があります。

なお、全文の書式はINPITが公開するWord・PDF形式のひな形を参照できます。

（参考：https://www.inpit.go.jp/katsuyo/ip-contract.html）

自社の業務に合わせて調整するポイント

ひな形を使う際は、当事者名に加えて対象業務や利用目的、共有先、秘密保持の期間を実際の取引に合わせます。例えば、利用目的が「見積もりの作成」だけになっている契約では、受注後の制作や開発まで想定されておらず、目的の見直しが必要です。

自社だけが情報を開示するなら一方開示型、委託先の技術やノウハウも受け取るなら双方開示型を検討しましょう。発注者か受注者かではなく、誰の情報を保護する必要があるかで選んでください。

また、既存の業務委託契約とも照合し、秘密情報の範囲や期間、責任が矛盾しないようにします。どの契約を優先するかも明確にし、判断が難しい条件は法務担当者や弁護士に確認するのも一つの手です。

秘密保持契約書で確認したい8つの項目

秘密保持契約書を作成・確認する際は、次の8項目を押さえましょう。条項があるかだけでなく、実際の業務に合う内容かを確認することが大切です。

1. 秘密情報の定義と除外対象

秘密情報は、委託先が「何を保護すべきか」を判断できるように定義します。顧客リスト、設計資料、販売実績など、業務で共有する情報を洗い出して契約上の対象に含めましょう。

一方、すでに公開されている情報や、開示情報を使わず独自に開発した情報などは、除外条件を設けるのが一般的です。例外に当たることを誰が証明するかも整理しておくと、認識の違いを減らせます。

また、口頭説明や画面共有にも注意が必要です。「秘密である旨を明示した情報」を保護する契約なら、会議中の告知と、開示後にメールなどで対象を特定する手順・期限を決め、指定漏れを防ぎましょう。

2. 利用目的と第三者への開示条件

秘密情報を利用できる目的は「○○システムの開発」「○○商品の広告制作」など、対象業務に結び付けて定めます。「取引のため」とだけ書くよりも、別案件への流用や業務外での利用を防ぎやすくなります。

第三者への共有については、事前承諾を原則とするか、業務上必要な担当者や弁護士などへの開示をどの条件で認めるかを整理してください。開示する情報を必要な範囲に絞り、共有先にも適切な秘密保持義務が及ぶようにしましょう。

裁判所などから法令に基づく開示を求められた場合の連絡方法も、確認が必要です。また、委託先が実績としてSNSやポートフォリオに掲載する場合は、公開範囲や事前承認の条件を明確にしておくと安心です。

3. 再委託の条件と責任の範囲

委託先が業務の一部を別の事業者へ任せる場合、自社の知らない相手に情報が渡る可能性があります。再委託の可否と、認める場合の申請・承諾の手続きを契約で定めましょう。申請時には以下を確認できる形にします。

そのうえで、再委託先にも必要な秘密保持義務を負わせ、情報提供を業務に必要な範囲に限定します。

ただし、再委託を承諾しただけで、情報管理が適切に行われるとは限りません。委託先による再委託先の監督、事故時の報告、違反が起きた場合の責任まで取り決めておくことが必要です。再々委託が想定される場合も、同じ管理・確認が行き届く仕組みにしましょう。

4. 情報の管理方法と外部ツールの利用条件

契約には利用可能なクラウドや保存先、私物端末の使用、複製・持ち出しの条件を定めます。細かな設定や手順は別紙にまとめ、委託先と合意した版を管理すると、実務で参照しやすくなるでしょう。

生成AIを利用する場合は、入力できる情報と事前承認の要否を決め、入力内容が学習に使われるか、どのように保存されるかを確認することも大切です。個人データを入力する場合には、個人情報保護法上の利用目的や第三者提供の規律にも注意が必要となります。

併せて、管理状況の報告や監査に協力する義務を設けます。確認対象・方法・頻度を具体化し、委託先が実行できる内容にしてください。

5. 契約期間と終了後の秘密保持義務

NDAの有効期間と、契約終了後も秘密保持義務を負う期間は分けて定めます。例えば、契約期間を1年間としつつ、期間中に開示した情報の秘密保持義務は、終了後も一定期間続くように設計できます。

期間は一律に3年や5年と決めるのではなく、情報を保護する必要性に応じて検討しましょう。短期間で公表する企画情報と、長く競争力の源泉になる技術情報では、必要な期間が異なるためです。期限を設けない扱いを検討する場合も、対象情報や委託先の負担を確認します。

自動更新の有無や終了手続きも決め、秘密保持義務に加えて返還・廃棄や損害賠償など、終了後も適用する条項を明確にしておきましょう。

6. 秘密情報の返還・廃棄と消去証明

契約終了時や返還を求めたときに、何を、いつまでに、どの方法で返還・廃棄するかを定めます。紙の原本だけでなく、端末に保存したファイルやクラウド上のデータなども対象として確認しましょう。

返還・削除の完了を把握するため、対象データ、実施日、実施方法、確認者などを記載した報告や消去証明の提出を求める方法があります。書類を受け取るだけでなく、契約上の対象が網羅されているかを見ることが大切です。

法令上の保存義務がある資料や、すぐに個別削除できないバックアップは、例外の範囲を具体化します。保管が続く情報には利用制限と秘密保持義務を残し、削除可能な時期や方法も取り決めましょう。

7. 漏えい時の報告と調査への協力

漏えいが確定した場合だけでなく、その疑いがある段階で委託先から連絡を受けられるようにします。報告先や連絡方法、報告事項などを決め、休日や担当者不在時の連絡経路も用意しましょう。

第一報では、発覚日時、対象となる情報、判明している影響、実施済みの措置などを確認します。原因がすべて分かるまで連絡を待たせず、未確認事項は追加報告する仕組みにすると、初動を早められます。

また、被害拡大の防止やログの保全、調査への協力も契約に盛り込みます。ここで定める委託先から自社への報告期限は、行政機関への法令上の報告期限とは別のものです。自社の判断・対応に必要な時間を確保できる条件にしてください。

8. 違反時の損害賠償と差止め

秘密保持義務に違反した場合の損害賠償について、対象となる損害、賠償額の上限、上限を適用しない場合などを確認します。例えば、故意や重大な過失による漏えいを、通常の責任制限と同じ扱いにするかは検討が必要です。

また、被害が広がるのを防ぐため、情報の利用・開示の停止や資料の返還を求める条件も定めます。実際に差止めが認められるかは、契約や法令の要件、事実関係によって判断されます。

NDAを結んでいても、損害が自動的に全額補償されるわけではありません。請求では違反行為や損害との因果関係などが問題になるため、証拠を残せる管理も必要です。取引内容とリスクに見合う条件を双方で合意しましょう。

NDAと併せて確認したい著作権・個人情報

秘密情報を守る取り決めに加え、成果物を利用する権利や、個人データの安全管理についても確認が必要です。

成果物の著作権と利用条件は別途定める

NDAを締結しても、成果物の著作権が発注企業へ移るわけではありません。制作費を支払って納品を受けただけでも、原則として著作権の譲渡があったことにはならないため、業務委託契約などで権利の扱いを明確にします。

確認するのは、著作権を譲渡するのか、利用許諾を受けるのかという点です。利用許諾なら、掲載媒体、改変、二次利用など、予定する使い方が認められるかを具体的に確認しましょう。

委託先が以前から持っている写真やテンプレート、ノウハウなどと、今回新たに制作する成果物も区別します。既存素材まで一括して自社に帰属すると考えず、必要な利用範囲を合意しておくことが大切です。

個人データの取扱いには委託先の監督も必要になる

顧客データベースなどの個人データの取扱いを委託する場合、NDAを結ぶだけでは個人情報保護法上の対応は完了しません。委託元には、委託先に対する必要かつ適切な監督が求められます。

具体的には安全管理措置を確認して委託先を選び、契約で取扱条件を合意し、委託後も管理状況を把握します。取り扱う情報の内容や量、漏えい時の影響などに応じて、報告や確認の方法を決めることが重要です。

個人データの管理条件は、業務委託契約や別紙に整理する方法があります。必要な条件を合意し、実際に守られているか確認するところまで委託元の業務として組み込みましょう。

発注企業が行う情報漏えいの予防策3つ

どれだけ気をつけていても、情報漏えいが発生する可能性をゼロにすることは困難です。漏えいの可能性を少しでも低くするために、3つの予防策を押さえておきましょう。

【契約前】委託先の情報管理体制を確認する

発注企業の担当者は、契約前に以下の内容を確認しましょう。

「適切に管理している」という回答だけで済ませず、実際にどの機器やサービスを使うのかを把握してください。

また、自社の情報管理責任者と委託先の窓口も明確にします。通常の問い合わせ先に加え、情報の誤送信や端末紛失が起きたとき、誰へ連絡するかを双方で共有しておくことが必要です。

開始前の確認は、共有する情報の一覧や契約締結の完了、利用ツールの承認などをチェックリストにまとめると管理しやすくなります。各項目の確認担当者と完了日を残し、確認が済んでから資料共有やアカウント発行へ進む流れを整えましょう。

【業務中】アクセス権限と共有状況を管理する

発注企業は、委託先へ渡す情報を業務に必要な範囲に絞り、担当者ごとにアクセス権限を設定しましょう。例えば、一部の顧客への対応を依頼する場合に、全顧客のデータを閲覧・ダウンロードできる権限を与える必要があるかを見直します。

情報共有には承認済みのツールを使い、資料への秘密表示や、共有相手・日時の記録を残しましょう。操作ログが保存される設定になっているかどうかも確認すると、誤操作や事故の調査に役立ちます。

担当者や依頼内容が変わった際には、不要になった権限を解除してください。委託先による保存・共有の状況も定期的に確認し、契約時の管理ルールと現場の運用がずれていれば、原因と改善方法を話し合います。

【契約終了時】権限停止とデータ削除を確認する

契約が終わったら、発注企業は委託先のアカウントを停止し、共有フォルダや社内システムへのアクセス権限を解除します。その際、貸与端末や資料の回収も終了手続きに組み込みましょう。

委託先に残るデータは、契約で合意した条件に沿って返還・削除を求めます。再委託先に渡した情報も確認対象です。実施記録や消去証明を受け取り、対象データと対応内容に漏れがないかを照合します。

また、終了後も続く秘密保持義務と、例外的に保存する情報の条件の再確認も必要です。契約書、返還記録、権限解除や削除の確認記録は自社の保存ルールに従って保管し、後から対応を説明できるようにしておきます。

委託先で情報漏えいが発生した場合の対応

委託先で情報漏えいが発生した場合、発注企業側にはさまざまな対応が求められます。ここでは以下の3つを解説します。

被害拡大の防止と証拠の保全

発注企業の担当者は、委託先から報告を受けた段階で社内の責任者や法務・情報システム担当者へ共有し、対応する窓口を決めます。状況に応じて公開リンクの無効化やアクセス権限の停止などを行い、情報が広がるのを防ぎましょう。

慌てて端末を初期化したり、記録を一律に削除したりすると、調査に必要な証拠を失うおそれがあります。データの削除や端末の操作は、情報システム担当者や外部の専門家と方法を確認して進めてください。

影響調査と必要な報告・通知

委託先で情報漏えいが発覚したら、発注企業は委託先と協力して以下を調査しましょう。

また、顧客名簿などの個人データが漏えいし、次のいずれかに当てはまる場合は、原則として個人情報保護委員会などの行政機関への報告と、情報が漏れた顧客や従業員への通知が必要です。

（出典：個人情報保護委員会）

行政機関への報告は調査の完了を待たず、判明している内容を速やかに伝えます。最初の報告は、報告が必要な事態を知ってからおおむね3〜5日以内が目安です。その後、同じ日を起点として30日以内、不正行為が疑われる場合は60日以内に詳しい内容を報告します。

対象となる顧客や従業員にも、状況に応じて速やかに連絡し、漏えいした情報の内容や想定される被害、問い合わせ先などをわかりやすく伝えましょう。

再発防止と契約上の責任の確認

原因が判明した後に委託先と改善策を決めます。誤送信なら宛先確認や共有方法、不適切な権限設定なら付与・見直しの手順など、原因に対応した対策が必要です。担当者の注意不足だけで片付けず、同じミスを防ぐ仕組みまで見直しましょう。

並行して契約条項と事実関係を確認し、損害賠償や契約解除などの対応を法務担当者・弁護士と検討します。

業務を再開する場合は、改善の完了、必要な権限の再設定、連絡体制の見直しなどを確認してください。再開後の点検時期も決め、対策が現場で継続されているかを確かめることが大切です。

業務委託の採用は「Workship」の活用がおすすめ

業務委託を採用する際は、株式会社GIGが運営する「Workship」の活用がおすすめです。

Workshipは、IT・DX領域の即戦力となるフリーランスや副業人材を、低コストかつスピーディーに採用できる業務委託向けマッチングプラットフォームです。約65,000人の豊富な人材データベースから企業が直接スカウト可能で、エージェントからの提案も受けられるハイブリッド型のサービスを提供しており、双方合意があれば正社員転換も可能です。

・導入企業数 1,800社以上

・フリーランス・副業人材登録数 64,900人以上

・掲載案件数 5,300件以上

・最短3日でのアサイン

・募集作成から面談・契約・稼働管理までシステム内で完結する利便性、そして成約まで無料

というコストパフォーマンスとスピード感が強みです。

「IT人材の正社員採用が難航している」「一時的に開発リソースが足りない」「初めて業務委託を活用したい」といったお悩みがあれば、ぜひWorkshipにご相談ください。

専任のスタッフが、求人作成から人材提案まで伴走してサポートいたします。

お問い合わせはこちら

サービス資料請求（無料）はこちら

事例インタビューはこちら

無料アカウント登録はこちら