秘密保持のチェックリスト──外部に実務を任せる前に

外部の右腕やCOO代行（社外COOとも呼ばれます）に実務を任せるということは、会社の内側を見せるということです。数字、取引先、社員の状況、顧客の情報、これからの計画。任せる範囲が広いほど、情報の扱いは大事になります。「信頼できそうだから」で始めて、あとから「何を渡してよかったのか」で困る場面を、Tech Bloom は多く見てきました。

秘密保持のチェックリストとは、外部に実務を任せる前に、会社の情報がどう守られるかを「契約」「管理」「AI」「権限」の四つの観点で確かめる一覧です。頼む側と頼まれる側が同じ前提に立つための道具です。

この記事では、確かめておく事項の一覧、法律が守る「秘密」とは何か、個人情報を含む仕事を任せるときに求められること、権限と共有のルールを整理します。法律の細部は、弁護士など専門家と連携して進めてください。

確認事項の全体像

確かめることは四つの分類に収まります。契約に書かれているか、管理が分かれているか、AIの使い方に線引きがあるか、権限を会社が握っているか、です。

分類	確かめること	確かめ方
契約	秘密保持が契約書の条項になっているか。対象の範囲、期間、終了後の返却・消去、第三者への開示の条件	契約書の条項を読む。ひな形の出どころを聞く
管理	会社ごとに情報を分けて管理しているか。ほかの支援先のために使わないと明言しているか。保管場所と権限	保管場所とツールの分け方を説明してもらう
AI	入力した情報が学習に使われない設定・契約のサービスを使っているか。何にAIを使い、何に使わないか	使うサービス名と設定を聞く。使う場面の一覧をもらう
共有	社外と共有する前に、必ず社長の確認を取るか。共有の記録が残るか	共有の手順と記録の残し方を聞く
権限	各ツールのアカウントと権限は会社が持ち、終了時に外せるか	アカウントの持ち主と、終了時の手順を確認する

最初の面談でこの表を一つずつ聞き、答えが曖昧な項目を契約前に詰めます。頼む相手がオンライン秘書やBPOなら任せる範囲も変わるので、違いは「オンライン秘書・BPOとの違い」で確かめてください。

法律が守る「秘密」とは何か

社内の情報を「秘密」と呼んでいても、法律が守る営業秘密になっているとは限りません。経済産業省の営業秘密のページでは、営業秘密は不正競争防止法で定義されており、「有用性」「秘密管理性」「非公知性」の三つの要件を満たす情報だと説明されています。被害にあったときに法律上の措置をとるには、営業秘密として管理されていることが必要だとも書かれています。

つまり、外部に渡す前に「自社で秘密として管理している状態」を作っておくことが出発点です。

要件	意味（一般的な理解）	社内での対応の例
有用性	事業に役立つ情報であること	顧客一覧、原価、設計、営業の進め方などを棚卸しする
秘密管理性	秘密として管理されていること	「社外秘」の表示、アクセスできる人の限定、保管場所の分離
非公知性	一般に知られていないこと	Webや資料で公開済みのものと区別する

不正競争防止法の第2条第1項では、不正の手段により営業秘密を取得する行為や、営業秘密を示された者が不正の利益を得る目的でそれを使用・開示する行為などが「不正競争」として列挙され、第3条には、営業上の利益を侵害されるおそれがある者が侵害の停止や予防を請求できることが書かれています。どの情報が該当するかの判断は、弁護士など専門家の領域です。

Tech Bloom の現場で見る典型は、「全部が秘密」と言いながら、どの資料にも表示がなく、誰でも開けるフォルダに置かれている状態です。秘密にしたい情報とそうでない情報を分けるだけで、契約の条項も管理の分け方も具体的になります。

契約で取り決めること

秘密保持を口頭で済ませると、何が秘密で、いつまで守るのか、終わったあとにどうするのかが曖昧になります。契約書の条項として、少なくとも次を書きます。

条項	書く内容	抜けやすい点
対象	業務を通じて知った情報のうち、何を秘密とするか	口頭で伝えた情報、社員や取引先の情報が含まれるか
期間	契約中と、終了後どのくらい続くか	終了後の期間が書かれていない
終了時の扱い	返却か消去か、その確認方法	複製やクラウド上の残りをどうするか
例外	法令で開示が求められる場合、すでに公知の情報など	例外が広すぎて意味がなくなる
再委託	相手がさらに外部に出せるか。出すなら条件	相手が使う外注先やツールに触れていない

経済産業省の営業秘密のページには、秘密情報の保護ハンドブックの参考資料として、秘密保持誓約書といった各種契約書等の参考例が公開されています。ひな形をそのまま使わず、自社の事業に合わせて確かめ、必要に応じて弁護士に確認します。

契約の条項を確かめる手順は、次の順番が現実的です。

1. 相手から契約書のひな形を受け取る。なければ自社のひな形を出す
2. 上の表の五つの条項があるかを見る。ない条項は追加を依頼する
3. 対象の範囲を、自社の事業に合わせて具体的に書き直す
4. 気になる条項を弁護士など専門家に確認する
5. 双方で確認したうえで締結する（締結の判断は社長）

個人情報を含む仕事を任せるとき

顧客名簿や社員の情報など、外部に任せる実務には個人情報を含むものが少なくありません。個人情報保護委員会の個人情報の保護に関する法律についてのガイドライン（通則編）では、個人データの取扱いの全部または一部を委託する場合、委託を受けた者に対する必要かつ適切な監督を行わなければならない（法第25条）と説明されています。つまり、任せる側にも義務があります。

同じガイドラインでは、委託先の監督として次の三つが挙げられています。

1. 適切な委託先の選定：委託先の安全管理措置が委託元と同等であることをあらかじめ確認する
2. 委託契約の締結：安全管理措置の内容と、取扱状況を委託元が把握できることを盛り込む
3. 委託先における個人データ取扱状況の把握：定期的に確かめ、必要なら見直す

さらに、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこと、とも書かれています。営業資料の作成なら顧客名を伏せた実績だけを渡す、請求の確認なら会社のツール上で必要な項目だけを扱う、というように、任せる仕事に個人情報が本当に必要かを先に考え、必要な範囲だけ渡すのが原則です。

なお、このガイドラインは、従業員の数が100人以下の個人情報取扱事業者を「中小規模事業者」として、安全管理措置の手法の例を別に示しています。小さな会社でも義務がなくなるわけではありません。自社が何をすべきかは、専門家と連携して確かめてください。

管理の分け方とAIの扱い

複数の会社を支援する相手に頼むときは、「情報を会社ごとに分けているか」を確かめます。分けているとは、フォルダやツールのワークスペースが会社ごとに独立していて、ほかの会社の作業中に混ざらないことです。「ほかの支援先のために使わない」と明言しているかも聞いておきます。

いまは多くの実務でAIが使われます。確かめるのは「入力した情報が学習に使われない設定・契約か」と「何にAIを使うのか」の二つです。調査や下書き、集計といった裏側の作業に使い、やり取りと最終確認は人が行う、という線引きがあれば安心できます。詳しくは「AIを裏側で使う右腕」で説明しています。

権限と共有のルール

業務ツールのアカウントや権限は、会社が持ちます。外部の担当者には必要な権限だけを渡し、契約が終わったら外します。個人のアカウントに会社のデータが残る形は避けます。手順は次のとおりです。

1. 会社名義でアカウントを作り、外部の担当者を「招待」する形にする
2. 渡す権限を、任せる仕事に必要な最小限にする
3. 誰に何の権限を渡したかを一覧にして会社側で持ち、定期的に見直す
4. 契約が終わったら、その日のうちに権限を外し、返却・消去の確認を受ける

外部の右腕が、社員や取引先、専門家と直接やり取りする場面は多くあります。そのときの原則は「社長の承認のもとで」です。社外に情報を共有する前には必ず社長の確認を取り、何をいつ誰に共有したかを、チャットのスレッドなどあとから追える場所に残します。

よくある失敗

Tech Bloom の現場で見る失敗は、どれも悪意ではなく「決めていなかった」ことから起きます。

• 口約束で始める。「信頼しているから」で契約書に条項がなく、終了時にもめる
• ひな形を丸写しにする。対象の範囲が自社の事業と合っておらず、肝心の情報が対象外になっている
• 個人アカウントで作業させる。担当者の個人アカウントにデータが残り、終了後に消せない
• 終了した人の権限が残る。以前の外注先や退職者のアカウントがそのまま生きている
• 「必要な範囲」を決めずに全部渡す。個人情報まで含めて丸ごと共有し、監督のしようがなくなる
• AIの設定を聞かない。相手がどのサービスをどう使っているか分からないまま任せる

失敗を防ぐ近道は、最初の面談で上の確認事項を一つずつ聞くことです。外注先が多い会社は、「外注管理の方法」の台帳で誰に何を頼んでいるかを先に一覧にすると確かめやすくなります。

渡す前のチェックリスト

• 秘密保持が契約書の条項になっている（対象・期間・終了時・例外・再委託）
• 秘密にしたい情報とそうでない情報を、自社で分けている
• 任せる仕事に個人情報が必要かを考え、必要な範囲だけ渡すことにした
• 相手の管理の方法（保管場所、会社ごとの分離）と、AIのサービス・設定・使う場面を聞いた
• ツールのアカウントは会社名義で、外部には招待と最小限の権限で渡す
• 誰に何の権限を渡したかの一覧を会社側で持っている
• 社外への共有は社長の承認のもとで行い、記録が残る
• 終了時の返却・消去と、権限を外す手順が決まっている
• 気になる条項は弁護士など専門家に確認した

Tech Bloom の現場では

Tech Bloom では、秘密保持を契約書の条項として取り決めています。情報は会社ごとに分けて管理し、ほかの支援先には使いません。AIは入力した情報が学習に使われない設定で、調査・下書き・集計・確認の裏側に使い、お客様とのやり取りと最終確認は人が行います。お客様のために外部と共有するときは、必ず事前にご確認いただきます。

進め方は「聞く → 整理する → 動かす → 仕組みにする」の順です。トライアルの1か月では、業務の棚卸しの中で、どの情報に触れる必要があり、どの情報は触れずに済むかも一緒に整理します。「社長業務の棚卸し」の手順と合わせて進めると、任せる仕事と渡す情報が同時に決まります。

契約の詳細は本契約の前にご説明し、疑問点はすべてお答えします。引き受ける範囲はサービスの案内に、プランは料金に、関連する質問はよくある質問にまとめています。

まとめ

• 情報の守り方は、契約・管理・AI・権限の四つで確かめる
• 法律が守る営業秘密には要件があり、自社で秘密として管理していることが前提
• 秘密保持は契約書の条項に。対象・期間・終了時・例外・再委託まで書く
• 個人データを委託する側には監督の義務がある。必要な範囲だけ渡す
• AIは学習に使われない設定かと使う範囲を聞く。ツールの権限は会社が持ち、終了時に外す

よくある質問

秘密保持契約は、どちらが用意するのですか

どちらが用意しても構いません。Tech Bloom では、業務委託契約書の中に秘密保持の条項を入れてご提示します。会社の雛形がある場合は、それに沿うこともできます。

秘密保持契約を結べば、それで十分ですか

契約は出発点であって、それだけでは足りません。営業秘密として守られるには自社で秘密として管理していることが前提ですし、個人データを委託する側には委託先を監督する義務があります。情報の分け方、権限の持ち方、共有の記録まで決めておくと、契約の条項が実際に機能します。

社員に、外部の人が入ることをどう説明すればよいですか

「社長の右腕として、決めたことを進める役割の人」と説明するのが分かりやすいでしょう。何を任せ、何を任せないか、どの情報に触れるかを社内でも共有すると、混乱が減ります。「外部COO（COO代行）とは」では、引き受ける範囲と引き受けない範囲も書いています。

AIに入れてよい情報と、入れてはいけない情報の線引きは

公開済みの情報や方針の骨子は問題になりにくく、社内の数字や取引先名を含む文書は、学習に使われない設定・契約のサービスに限って必要な範囲だけ、個人情報や認証情報はAIの設定にかかわらず入れない、というのが Tech Bloom の線引きです。契約前に相手と一覧で確認しておくことをおすすめします。

終了したあと、情報はどうなりますか

契約の取り決めに従って返却または消去し、その旨をご報告します。あわせて、会社側で渡していた権限を外していただきます。

まずは30分、状況を聞かせてください

情報の扱いについての疑問も、その場でお答えします。お問い合わせからどうぞ。