営業秘密管理を
経営・法務・情報セキュリティで整える

不正競争防止法上の営業秘密とは、概括すれば、秘密管理性、有用性、非公知性の三要件をすべて満たす情報です。漏えい後の裁判では、情報に価値があるだけでは足りず、その情報を会社が本当に秘密として管理していたかが厳しく問われます。

次の一覧は、三要件の意味と営業秘密管理での実務上の着眼点を表します。三要件は同じ重さで並んでいますが、管理の不備で争点化しやすいのは秘密管理性です。各要件について、情報そのものの性質と会社の管理行動を分けて読み取ります。

営業秘密管理では秘密管理性が中心争点になりやすいです

秘密管理性の中心は、営業秘密保有者の秘密管理意思が管理措置によって従業員等に明確に示され、従業員等の認識可能性が確保されることです。完璧な防御が要求されるという意味ではなく、企業規模、業態、職務、情報の性質、執務環境等に応じた合理的な管理措置が求められます。

• 会社だけが秘密だと思っていた状態では不十分です。
• 従業員から見て、何が秘密で、どう扱うべきかが分かる必要があります。
• 全資料を秘密とする乱暴な指定は、管理の形骸化を招きます。
• 重要情報の性質、部署、媒体、人数、リスクに応じた合理的な措置を選びます。
• 法的保護に必要な秘密管理措置と、高度な情報セキュリティ措置は重なりますが同一ではありません。

有用性は利益を直接生む情報だけに限られません

顧客リスト、価格表、仕入原価、製造条件、研究開発データ、設計図、検査方法、営業マニュアル、代理店政策、未発表製品情報、M&A交渉資料などは典型例です。失敗した研究データ、欠陥情報、採用しなかった製造条件、精度が低かったAIモデルの試験結果なども、競合にとって探索コストを下げる価値を持つため、有用性が認められ得ます。

ただし、脱税方法や有害物質の違法投棄方法など、公序良俗に反する内容は、法律上保護する正当な利益が乏しいため、有用性が否定される方向になります。

非公知性では断片情報と組合せ情報を分けて考えます

合理的な努力で入手できる刊行物、公開ウェブサイト、展示会資料、市販製品の容易な解析、公開特許公報、一般に入手可能なデータセット等から容易に知ることができる情報は、非公知性を欠く可能性があります。一方で、断片的な公知情報が複数存在していても、その組合せ、配列、パラメータ、選別、運用条件が容易に再構成できない場合には、非公知性が認められる余地があります。

次の強調枠は、営業秘密侵害が問題になった場合の民事・刑事上の重みを表します。管理不備があると、差止めや損害賠償の前提である営業秘密該当性の説明が難しくなる点が重要です。数字は制裁の強さを理解する目安として読み取ります。

次の比較表は、営業秘密として保護される場合に検討し得る民事上の救済を表します。どの救済も、情報の特定と秘密管理措置の証明が土台になる点が重要です。救済名だけでなく、実務上どの行動を止めるか、どの資料を保護するかを読み取ります。

刑事対応は強力ですが、どの情報が営業秘密かを明確に説明すること、不正取得・不正使用・不正開示の証拠を保全すること、捜査・公判で秘密内容をどう守るかを検討することが必要です。初動段階から、弁護士、デジタルフォレンジック専門家、社内情報システム部門、コンプライアンス部門が連携する必要があります。

営業秘密管理では、全員に便利な状態よりも、必要な人が必要な範囲で使える状態が重要です。情報セキュリティでいう最小権限の原則、法務でいう目的外利用禁止、知財管理でいう秘匿範囲の限定が重なります。

アクセス権設計では、閲覧、編集、ダウンロード、印刷、社外送信、外部共有リンクの作成、権限付与・削除の承認者、退職・異動・出向解除・委託終了時の削除担当を決めます。接近の制御、持出し困難化、視認性の確保、認識向上、信頼関係の維持・向上を組み合わせます。

次の比較表は、ロールベースアクセス制御の例を表します。個人ごとの例外を積み上げるだけでは管理が破綻しやすいため、部署、職務、プロジェクト、役職、地域、雇用形態に基づいて権限を束ねる点が重要です。対象者とアクセス範囲の対応関係を読み取ります。

次の判断順序は、アクセス権を付与してから削除するまでの管理の流れを表します。営業秘密漏えいでは、退職者、転職者、出向解除者、委託終了先、共同研究終了後の関係者が問題になりやすい点が重要です。開始時、利用中、終了時の統制が途切れないかを読み取ります。

退職者・異動者の権限削除は最重要統制です

退職日当日又は最終出社日前に、メール、クラウド、VPN、SaaS、Git、CRM、ERP、データベースのアカウント停止を行います。共有フォルダ、外部共有リンク、チャット、プロジェクト管理ツールのアクセス削除、会社貸与PC、スマートフォン、USB、紙資料、ノート、入館証、鍵の回収も必要です。

私用端末、私用クラウド、私用メールへの保存・転送がないかを確認し、退職時誓約書、秘密保持義務、競業避止義務、返還義務、削除義務を説明します。退職前一定期間の大量ダウンロード、外部送信、印刷、USB接続、クラウド同期ログも確認します。

社内規程には管理全体を入れ込みます

秘密情報管理規程には、目的、適用対象者、秘密情報・営業秘密の定義、情報分類と表示方法、アクセス権付与・変更・削除の手続、保存・複製・印刷・持出し・送信・廃棄のルール、クラウド・SaaS・生成AI・チャット・外部ストレージの利用ルール、テレワーク・出張・展示会・学会・商談・共同研究の取扱いを盛り込みます。

さらに、委託先・取引先への開示手続、第三者から受領した秘密情報の取扱い、退職・異動時の返還・削除・確認、教育・研修、ログ管理・監査、違反時の報告・調査・懲戒・損害賠償請求、インシデント発生時の初動対応、規程の見直しを定めます。

次の比較表は、従業員等から秘密保持誓約を取得する主なタイミングを表します。誓約書だけで秘密管理性が完成するわけではありませんが、対象情報、義務範囲、目的外使用禁止、返還・削除、退職後義務を明確にする補助線になる点が重要です。どの場面で何を確認するかを読み取ります。

競業避止義務は慎重に限定します

営業秘密を守るために退職者へ競業避止義務を課したい場面があります。しかし、競業避止義務は職業選択の自由や労働者の生活に影響するため、広すぎる制限は無効又は一部無効と判断されるリスクがあります。秘密保持義務、不使用義務、持出し禁止、返還・削除義務、転職先への開示禁止を中心に設計し、競業避止義務を置く場合は、対象者、期間、地域、競業行為の範囲、代償措置、守るべき利益を慎重に限定します。

テレワークでは、会社施設内の物理的統制が弱まります。自宅、コワーキングスペース、カフェ、出張先、移動中の車内・電車内で営業秘密にアクセスするため、覗き見、私用端末保存、家庭内共有PC、私用クラウド同期、印刷物放置、会話漏れ、外部Wi-Fi、紛失・盗難などのリスクが増えます。

クラウドに営業秘密を保存したからといって、それだけで秘密管理性が失われるわけではありません。ただし、許可クラウドと禁止クラウドの区別、個人アカウント利用の制限、共有リンク作成権限の限定、外部共有承認、多要素認証、退職・異動時の即時権限削除、管理者ログ・アクセスログ・ダウンロードログ、データ所在地、委託先、再委託先、暗号化、バックアップの確認が必要です。

次の一覧は、テレワーク、クラウド、生成AI、個人情報、内部不正をまとめて見るための管理領域を表します。これらは別々のテーマに見えても、同じデータやログを扱うため一体設計が重要です。どの場面でどの規程・契約・技術対策が必要になるかを読み取ります。

生成AIへの入力管理を規程化します

生成AIは文章作成、コード生成、要約、翻訳、顧客対応、研究開発、契約レビュー補助等に有用です。しかし、営業秘密を外部生成AIに不用意に入力すると、入力データの保存、学習利用、管理者閲覧、外部委託先処理、ログ保管、国外移転、再出力などのリスクが生じます。

次の比較表は、生成AI利用規程で少なくとも定める項目を表します。生成AIは利便性が高い一方で、入力時点で社外処理が起き得る点が重要です。許可ツール、入力禁止情報、例外承認、契約確認、出力確認、ログ、教育を一続きで読み取ります。

顧客データは営業秘密と個人情報の両面で管理します

顧客名簿、取引履歴、購買履歴、問い合わせ履歴、医療・健康情報、採用候補者情報、従業員評価情報などは、営業秘密であると同時に個人情報又は個人データに該当することがあります。営業秘密管理上の秘密表示、アクセス制御、持出し制限に加え、個人情報保護法上の利用目的、第三者提供、委託先監督、安全管理措置、漏えい時の報告・本人通知、CRM・MAツール・クラウド・外部コールセンター・営業代行会社への委託管理を併せて検討します。

内部不正は疑う文化ではなく発見しやすい仕組みで防ぎます

営業秘密の漏えいは、外部攻撃だけでなく、従業員、役員、派遣社員、委託先、退職者、共同研究者など、正当なアクセス権を持つ内部者によっても発生します。重要なのは、疑う文化を作ることではなく、不正を起こしにくく、起きても発見しやすく、正当に働く人を守る仕組みです。

次の比較表は、内部不正の典型シナリオと対策を表します。内部者は正当なアクセス権を持つため、入口の認証だけでは防ぎにくい点が重要です。行動の兆候と対策を対応させて読み取ります。

ログ監視、メール監査、端末監査、DLP、入退室記録、防犯カメラは有効ですが、従業員のプライバシーや労務管理上の透明性に配慮する必要があります。就業規則、情報システム利用規程、プライバシーポリシー、労使コミュニケーションを整え、監視目的、対象、範囲、保存期間、閲覧権限を明確にすることが望まれます。

M&A、投資、IPOでは、営業秘密管理の水準が会社価値の説明に直結します。重要な技術・顧客・価格・データ・ノウハウの一覧、秘匿化と権利化の判断方針、秘密情報管理規程、NDA、共同研究契約、委託契約、従業員・役員・退職者誓約書、外部委託先・クラウド・SaaSの管理、過去の漏えい・紛争、個人情報保護、サイバーセキュリティ、ソースコード・AIモデル・データセットの権利帰属、監査ログとアクセス権管理が確認されます。

次の一覧は、M&A・投資・IPOの場面で確認されやすい管理項目を表します。買主・投資家側の確認と、売主側の情報開示統制を同時に考える点が重要です。価値評価、開示範囲、データルーム、競合買主、専門家への再開示を読み取ります。

業種別に管理対象が変わります

営業秘密管理の基本は共通ですが、重要情報の形は業種で異なります。製造業では製造条件、配合比、温度、圧力、反応時間、検査方法、歩留まり改善ノウハウ、工場立入、撮影、持込端末、図面複製、USB、外注加工先への開示、金型・治具・試作品・設備設定の管理が重要です。

IT・SaaS・AI企業では、ソースコード、モデル、学習データ、特徴量、評価データ、脆弱性情報、ロードマップ、顧客利用ログ、Git、クラウド、CI/CD、チケット、チャット、外部開発者、OSS利用、生成AIへの入力禁止情報、APIキー、秘密鍵、認証情報を重点的に扱います。

医薬・ヘルスケアでは、研究データ、臨床関連資料、製造販売承認前情報、GxP文書、広告審査資料、患者情報、個人情報、要配慮個人情報、薬機法、臨床研究規制、CRO、CMO、医療機関、大学との契約管理が重要です。

金融・保険では、顧客情報、与信モデル、審査ロジック、不正検知ルール、取引監視シナリオ、未公表案件、金融規制、個人情報、マネロン対策、委託先管理、クラウド利用基準との整合を確保します。

建設・不動産では、入札情報、見積原価、施工ノウハウ、設計図、地権者情報、開発計画、協力会社条件、JV、下請、設計事務所、自治体、地権者との情報共有にNDAと開示範囲管理を導入します。

大学・研究機関では、共同研究の相手先企業から受領した秘密情報だけでなく、大学・研究機関が生み出した研究・実験データも営業秘密に該当し得ます。研究の自由、論文発表、学生・留学生・共同研究員の流動性、研究室単位の運用、知財本部・産学連携本部の関与を踏まえ、発表前レビュー、共同研究契約、研究ノート、データ管理、退職・卒業時の持出し確認が重要です。

次の比較表は、営業秘密管理を担う専門職・部門の役割を表します。営業秘密管理は一部門だけでは完結しないため、責任分界と連携先を明確にする点が重要です。経営、法務、知財、IT、人事、監査、外部専門家の役割を読み取ります。

Q1. 秘密表示がないと営業秘密になりませんか。

一般的には、秘密表示は有力な管理措置とされています。ただし、情報の性質、アクセス制限、就業規則、誓約書、保管状況、従業員の認識可能性などによって結論が変わる可能性があります。具体的な見通しは、対象情報と管理実態を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. パスワードだけで十分ですか。

一般的には、電子ファイルやフォルダのパスワード設定は管理措置の一つとされています。ただし、重要な情報では、多要素認証、アクセス権、ログ、ダウンロード制限、教育、誓約書を組み合わせる必要がある場合があります。具体的な設計は、情報の重要性、アクセス者、利用環境、漏えい時影響によって変わります。

Q3. クラウドに保存すると営業秘密ではなくなりますか。

一般的には、外部クラウドを利用していても、秘密として管理されていれば直ちに秘密管理性が失われるとは整理されていません。ただし、アクセス制御、認証、共有リンク、ログ、契約、退職時削除の状況によって評価が変わる可能性があります。具体的には、利用サービスの契約条件と運用実態を確認する必要があります。

Q4. 生成AIに営業秘密を入力してもよいですか。

一般的には、会社が許可し、契約上・技術上の管理が確認された環境で、入力可能情報として承認された場合に限って検討されます。ただし、入力データの学習利用、保存、再利用、第三者提供、国外移転、削除、ログ閲覧の条件によってリスクは変わります。具体的な利用可否は、社内規程と契約条件を確認したうえで専門家へ相談する必要があります。

Q5. 顧客名簿は営業秘密ですか。

一般的には、顧客名簿は営業上有用で非公知であり、秘密として管理されていれば営業秘密になり得るとされています。ただし、誰でも入手できる公開情報の単純な寄せ集めであったり、社内で秘密として管理されていなかったりする場合には、結論が変わる可能性があります。また、個人情報にも該当し得るため、個人情報保護法上の対応も必要です。

Q6. 退職者が記憶しているノウハウも営業秘密ですか。

一般的には、従業員が体得した無形のノウハウは、一般情報との区別や職業選択の自由との関係で慎重な検討が必要とされています。カテゴリーリスト化や文書化により、従業員の予見可能性を確保することが重要です。具体的には、対象ノウハウの特定性、管理状況、退職者の職務内容を整理して専門家へ相談する必要があります。

Q7. NDAがあれば営業秘密管理は十分ですか。

一般的には、NDAは対外的な契約上の義務を作る重要な手段とされています。ただし、社内で秘密情報が管理されていなければ、営業秘密性の説明が弱くなる可能性があります。NDA、秘密表示、アクセス制御、開示記録、社内規程、教育、ログを組み合わせる必要があります。

Q8. 中小企業でも営業秘密管理は必要ですか。

一般的には、中小企業でも営業秘密管理は重要とされています。製造ノウハウ、顧客関係、価格条件、職人技、地域ネットワークなど、少数の重要情報が競争力の源泉になることがあります。ただし、企業規模や業態に応じて合理的な措置を選べばよいと整理されており、具体的な範囲は自社のリスクに応じて決める必要があります。