秘密管理性の確保で
営業秘密を守る実務体系

不正競争防止法上の営業秘密は、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上または営業上の情報で、公然と知られていないものを指します。営業秘密として保護されるためには、秘密管理性、有用性、非公知性という三つの要件を満たす必要があります。

次の比較表は、営業秘密の三要件が何を意味し、実務でどこが問題になりやすいかを整理しています。三要件はそれぞれ独立した観点ですが、秘密管理性が弱いと、どれほど有用で非公知の情報でも営業秘密としての保護が難しくなる可能性がある点を読み取れます。

秘密管理性とは、会社が特定の情報を秘密として管理しようとする意思が、客観的な管理措置によって従業員等に明確に示されている状態を指します。経営者が頭の中で秘密だと考えているだけでは足りず、情報に接する人が一般情報と区別できることが重要です。

秘密情報は、会社が秘密として扱いたい情報全般を指す実務用語として使われます。営業秘密は、その中でも不正競争防止法上の三要件を満たす情報です。社内規程では秘密情報を広く分類し、その中から営業秘密に該当し得る重要情報を特定して、より丁寧に管理する設計が有効です。

秘密管理性の確保は、細かな対策を単に並べるだけでは安定しません。守る情報を特定し、その情報が秘密だと分かるようにし、接触者を管理し、実際の業務でルールが形だけになっていないかを点検する必要があります。

情報の特定

秘密として管理する情報の範囲が曖昧なままだと、従業員や取引先は何を秘密として扱うべきか判断できません。顧客情報、製造条件、研究ノート、ソースコード、M&A資料、入札価格などを、情報資産台帳や秘密情報リストに落とし込むことが出発点です。

次の比較表は、情報を特定するための方法と具体例を整理しています。表の左側ほど管理の入口、右側ほど実務上の具体化を示しており、自社がどの方法で秘密情報を見える形にしているかを確認できます。

認識可能性

秘密であることを認識できる状態にするには、秘、社外秘、Confidential、Restrictedなどの表示、秘密情報専用フォルダ、権限グループ、データルーム、就業規則、情報管理規程、秘密保持誓約書、研修、重要会議での冒頭注意、外部提供時のNDAなどを組み合わせます。

接触者の管理

アクセス制限は、秘密管理意思を認識しやすくする重要な手段です。部門、職務、プロジェクト単位でのアクセス権設定、最小権限、退職・異動時の権限削除、共有リンクの期限設定、管理者権限の棚卸し、多要素認証、アクセスログ・ダウンロードログの保全が有効です。

運用の実効性

情報管理規程が整っていても、現場で私物端末撮影、個人クラウド保存、私用メール転送、退職者アカウントの残存が起きている場合、秘密管理性の確保は弱くなります。組織変更、SaaS導入、テレワーク拡大、生成AI利用、M&A、海外展開に合わせて年1回以上の見直しを行うことが重要です。

秘密管理性の確保は、入社時の誓約書だけでは完成しません。職務、プロジェクト、異動、退職、委託契約の開始・終了に合わせて、アクセスできる情報と守秘義務の範囲を更新する必要があります。

次の時系列は、採用から外部者管理までの主要な局面を整理しています。順番に見ることで、秘密情報の説明、権限付与、棚卸し、回収、削除、NDAをどの時点で実施すべきかを読み取れます。

退職時の実務手順

次の判断の流れは、退職予定を把握した後の対応順序を示しています。上から下へ進むほど証拠保全と外部流出防止に近づくため、誓約書だけで終わらせず、端末・アカウント・ログを一体で確認することが重要です。

秘密管理性の確保と情報セキュリティ対策は密接に関連しますが、同じ概念ではありません。法律上の秘密管理性では、秘密管理意思の認識可能性が中心になります。秘密表示、NDA、就業規則、アクセス制限があり、従業員が秘密情報であると認識できる状態であれば、サイバーセキュリティ対策が最新水準でなくても秘密管理性が認められる場合があります。

一方で、情報セキュリティ対策が不十分であれば、実際の漏えいリスクは高まり、被害拡大、証拠不足、顧客・当局対応の失敗につながります。情報セキュリティ部門は、認証・認可基盤、多要素認証、端末管理、EDR、DLP、CASB、SIEM、クラウド設定監査、ログ保全、シャドーIT検出、インシデント対応を担います。

以下の一覧は、秘密管理性の確保で失敗しやすいパターンと改善策をまとめています。各項目は、規程や表示があっても現場運用とずれると弱点になる場面を示しており、自社で同じ状態がないかを確認できます。

法務部門と情報セキュリティ部門は、秘密情報分類基準、秘密情報管理規程、NDA・委託契約・共同研究契約の標準条項、生成AI利用ルール、退職時チェックリスト、インシデント対応、ログ保全基準、証拠保全手順を共同で管理する必要があります。

社内規程へ落とし込む方法

秘密管理性の確保を社内規程に落とし込む場合、情報管理基本規程、秘密情報管理規程、情報セキュリティ規程、個人情報管理規程、生成AI利用規程、退職時手続規程、契約管理規程を整合させます。規程が多すぎると現場で運用されにくいため、チェックリストやテンプレートと組み合わせます。

次の比較表は、情報分類の例と主な管理措置を示しています。上から下へ進むほど漏えい時の影響が大きく、承認、権限、ログ、暗号化、データルームなどの管理水準を引き上げる必要があることを読み取れます。

規程条項では、秘密情報を文書、図面、電子ファイル、データベース、ソースコード、研究ノート、試作品、口頭説明、会議内容など媒体を問わず定義し、秘密表示、分別管理、アクセス管理、生成AI入力禁止、退職時の返却・削除を具体的に定めます。実際に使う条項は、会社の実情に応じて専門家の確認を受けることが一般的です。

訴訟・紛争を見据えた立証

次の一覧は、営業秘密侵害訴訟、仮処分、刑事相談、社内調査で秘密管理性の確保を説明するために有用な資料を整理しています。平時から証拠の保管場所と保存期間を決めておくことで、漏えい後に慌てて資料を作る状態を避けられる点を読み取れます。

漏えい発生時の初動対応

次の判断の流れは、秘密情報の漏えいが疑われる場合の初動対応を示しています。上から下へ進むほど被害拡大防止と責任追及に関わるため、事実確認を急ぎつつ証拠を壊さないこと、専門家と連携することを読み取れます。

証拠保全では、対象端末の利用停止、クラウドログの保存期間確認、メール・チャット・SaaSログのエクスポート、退職者端末の返却時イメージ取得、関係者ヒアリングの順番と記録方法、仮処分・証拠保全手続、刑事相談前の資料整理を検討します。

Q1. 社外秘と表示すれば、それだけで秘密管理性の確保は十分ですか。

一般的には、秘密表示は有効な管理措置の一つとされています。ただし、表示が濫用されている、一般情報と分別されていない、私物端末への保存が放置されている、取引先へ無制限に渡しているなどの事情によって評価が変わる可能性があります。具体的には、管理実態と証拠を整理して専門家へ相談する必要があります。

Q2. パスワードをかけていれば十分ですか。

一般的には、パスワードは秘密管理措置の一つとされています。ただし、共有ID、付箋への記載、長期間未変更、退職者も知っている状態、ログがない状態ではリスクがあります。重要情報では、権限管理、多要素認証、ログ、退職時変更を組み合わせる必要があります。

Q3. NDAがなければ営業秘密になりませんか。

一般的には、取引先に秘密情報を提供する場面でNDAは重要とされています。ただし、NDAがないことだけで常に秘密管理性が否定されるとは限らず、秘密表示、メール本文での秘密指定、開示記録などの事情も問題になります。立証を考えると、NDAと書面による秘密指定を残すことが実務上重要です。

Q4. 顧客名簿は必ず営業秘密になりますか。

一般的には、顧客名簿は営業秘密になり得る情報とされています。ただし、秘密として管理されていること、事業活動に役立つこと、公然と知られていないことが必要です。CRM権限、秘密表示、持出禁止、退職時確認、私物端末保存禁止、アクセスログなどの有無で結論が変わる可能性があります。

Q5. 個人情報なら自動的に営業秘密になりますか。

一般的には、個人情報は個人情報保護法上の安全管理措置の対象になり、一般情報との区別が比較的明確になる場合があります。ただし、自動的に営業秘密になるわけではありません。有用性、非公知性、秘密管理性の三要件を個別に検討する必要があります。

Q6. クラウドに保存すると秘密管理性は失われますか。

一般的には、クラウドに保存しただけで秘密管理性が失われるとは限らないとされています。重要なのは、秘密として管理されているかです。アクセス制御、秘密表示、NDA・利用契約、ログ、外部共有制限、退職時権限削除などが整備されているかで評価が変わります。

Q7. 生成AIに入力した情報は営業秘密性を失いますか。

一般的には、入力先のAIサービスの契約・設定、学習利用の有無、第三者提供の有無、入力情報の管理状況によって評価が変わります。外部AIへ秘密情報を不用意に入力すると、秘密管理性の確保が問題になる可能性があります。承認済みツール、入力禁止情報、ログ、契約確認を整備する必要があります。

Q8. 退職者に誓約書を書いてもらえば十分ですか。

一般的には、退職時誓約書は重要な資料とされています。ただし、それだけで十分とは限りません。在職中から秘密情報が特定・表示・権限管理されていたこと、退職時に端末・資料・クラウド・アカウントを確認したこと、必要に応じてログを確認したことが重要です。

Q9. 情報セキュリティ認証を取得すれば秘密管理性の確保は十分ですか。

一般的には、情報セキュリティ認証は有用とされています。ただし、それだけで個別情報の秘密管理性が当然に認められるわけではありません。営業秘密として保護したい情報について、秘密表示、分別管理、アクセス制限、従業員への周知、NDAなどがあるかが問われます。

Q10. 秘密管理性の確保は法務部だけでできますか。

一般的には、法務部だけで完結しにくい領域とされています。法務部は規程、契約、訴訟対応を担いますが、実際の秘密管理性の確保には、経営、事業部、知財、情報システム、情報セキュリティ、人事、内部監査、経理、研究開発、営業、M&A担当、外部専門家の連携が必要です。