秘密管理性を強化する
社内規程のポイント

不正競争防止法上の営業秘密は、秘密管理性、有用性、非公知性の三要件を満たす情報として整理されます。社内規程は、このうち秘密管理性について、対象者が秘密として扱う必要がある情報だと認識できる状態を作る役割を担います。

次の一覧は、営業秘密の三要件を並べたものです。三つの項目は互いに補完し合いますが、社内規程では特に秘密管理性をどう示すかが重要になります。

秘密管理性の本質は「会社が秘密だと思っているか」だけではなく、従業員、役員、派遣社員、委託先、取引先が、対象情報を一般情報とは違う扱いにする必要があると認識できるかにあります。

次の判断の流れは、規程がどの問いに答える必要があるかを示しています。上から順に確認することで、秘密管理意思が抽象的な理念で止まっていないかを読み取れます。

高度な情報セキュリティを網羅的に入れなければ保護されない、という理解は実務を過度に硬直させます。一方で、何も管理しない状態でもよいという意味ではありません。会社規模、業態、情報価値、リスク、費用に合った「説明できる管理」を整えることが重要です。

秘密情報管理が機能しない会社では、「誰かが管理しているはず」という状態が起きやすくなります。社内規程では、情報ごとに情報オーナーを置き、分類、表示、アクセス権限、外部開示、保存、廃棄、見直しの第一次的責任を明確にします。

管理単位の考え方も重要です。支店、事業本部、研究所、プロジェクトなど、実際に秘密情報を管理する単位ごとに認識可能性が問われ得るため、全社共通の最低基準と部門別の追加ルールを組み合わせます。

次の表は、秘密管理に関係する主要業務の責任分担を示しています。実行責任、最終責任、協議先、報告先を分けることで、法務だけ、ITだけ、現場だけに偏らない体制を読み取ることができます。

アクセスは、業務上必要な範囲に限る Need to Know 原則を基本にします。ただし、情報の性質、従業員の職務、執務環境に応じて必要な措置は変わるため、分類に応じた段階設計が現実的です。

次の表は、情報分類ごとのアクセス設計を示しています。分類が重くなるほど、承認、期限、ログ監査が強まる点を読み取ると、過度な全社一律管理を避けやすくなります。

アクセス権限は、付与時よりも異動時、退職時、プロジェクト終了時に崩れやすい領域です。次の時系列は、権限をどのタイミングで見直すかを示しており、削除漏れや外部共有リンクの放置を防ぐ読み方ができます。

共有ID、退職者アカウントの残存、パスワード貼付、使い回しは、現代の情報管理として避ける必要があります。個人IDの共有禁止、多要素認証、管理者権限の定期見直し、緊急時例外アクセスの記録を規程化します。

営業秘密を社外に開示する場合、NDA又は書面による秘密管理意思の明示が有力な証拠になります。ただし、NDAだけで十分とは限りません。社内で対象情報が特定され、開示範囲、承認者、送付方法、返還・削除が管理されている必要があります。

次の判断の流れは、重要資料を外部に出す前に確認する順序を示しています。順番どおりに見ることで、NDA前開示、範囲不明確な開示、ログ不足を避ける読み方ができます。

NDAでは、対象情報の定義が広すぎると、何が営業秘密なのかが曖昧になることがあります。包括的な定義を置きながら、別紙、開示資料一覧、データルーム、質問回答履歴で対象を特定します。

次の表は、NDAや外部開示手順で確認する条項を整理したものです。秘密情報の定義だけでなく、目的、開示先、複製、クラウド保存、漏えい時対応まで一体で読むことが重要です。

親会社、子会社、兄弟会社、海外拠点の間でも、法的には別法人として扱われる場面があります。グループ内共有でも、共有目的、対象法人、担当者、海外移転、再共有、返還・削除を規程化します。

M&A、資本提携、共同研究、ライセンス交渉、IPO準備、監査対応では、多数の機密資料を外部に開示します。資料ごとの閲覧権限、ダウンロード可否、ウォーターマーク、競合先への開示制限、クリーンチーム運用、質問回答の審査、交渉終了時のアクセス停止を手順化します。

情報セキュリティ対策と秘密管理性のための秘密管理措置は、必ずしも同じではありません。法律上の秘密管理性を説明する最低限の措置と、実際に漏えいを防ぐための技術的対策を分けて設計し、必要なところで接続します。

次の比較表は、法的秘密管理措置と対応する情報セキュリティ対策を整理したものです。左列は秘密管理性の説明に効く措置、右列は実際の漏えい予防を支える技術的対策として読み取ってください。

テレワーク、モバイル、BYODでは、会社の物理的管理が及ばない環境で秘密情報にアクセスします。会社支給端末、MDM、覗き見防止、自宅印刷制限、公共Wi-Fi制限、VPN、ゼロトラスト、端末暗号化、ローカル保存制限、紛失時報告を規程化します。

クラウド・SaaS・外部ストレージでは、承認済みサービス、共有リンク、外部共有承認、利用規約、データ利用、学習利用、サブプロセッサ、保管国、監査ログ、シャドーIT禁止、例外申請を定めます。

生成AI利用では、秘密情報の入力によりAIサービス提供者への情報提供、学習利用、ログ保存、国外移転、第三者出力、社内外の再共有などのリスクが生じます。令和7年改訂の営業秘密管理指針は、生成AIから情報が出力された一事だけで直ちに秘密管理性が否定されるわけではないと整理しつつ、第三者への提供により否定される可能性にも注意しています。

次の表は、生成AI利用規程の主要条項を示しています。禁止情報だけでなく、承認済み環境、例外承認、ログ、教育、契約審査、インシデント対応を同時に読むことが重要です。

営業秘密管理規程は、定義だけで終わらせず、分類、表示、利用、外部開示、従業員義務、教育、監査、インシデント対応まで含めると運用しやすくなります。

次の表は、営業秘密管理規程の章立て例です。各章が、情報の特定から漏えい時対応までのどの段階を受け持つかを読み取ると、自社規程の不足箇所を確認できます。

条項案は、そのまま使うのではなく、自社の業種、対象情報、雇用形態、システム、契約関係に合わせて調整します。次の例は、規程に必要な論点を漏らさないためのたたき台として読むことが重要です。

Q1. NDAを結んでいれば秘密管理性は十分ですか。

一般的には、NDAは外部開示先に対する秘密管理意思を示す重要な手段とされています。ただし、社内で対象情報が特定され、表示され、アクセス管理され、従業員へ周知されているかによって評価は変わる可能性があります。具体的な規程設計や紛争対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. 「社外秘」と書けば営業秘密になりますか。

一般的には、表示は秘密管理性を支える重要な措置とされています。ただし、有用性、非公知性、表示の形骸化の有無、従業員が秘密として認識できる運用の有無によって結論が変わる可能性があります。具体的な管理方法は、対象情報と運用実態を確認して専門家へ相談する必要があります。

Q3. アクセス制限がないと秘密管理性は必ず否定されますか。

一般的には、アクセス制限は認識可能性を担保する手段の一つとされています。秘密表示、秘密保持契約、研修、分別管理なども秘密管理措置になり得ます。ただし、何らの秘密管理措置もない場合は秘密管理性を説明しにくくなる可能性があります。具体的な見通しは、情報の性質と運用状況により変わります。

Q4. 退職者に対する最重要対応は何ですか。

一般的には、退職時誓約書だけでなく、退職前後のアクセス権限削除、端末・媒体回収、私用環境への保存確認、大量ダウンロード等のログ確認を一体で行うことが重要とされています。ただし、職種、権限、競合転職の有無、証拠関係によって必要な対応は変わります。具体的には弁護士等の専門家へ相談する必要があります。

Q5. 生成AIに営業秘密を入力したら、直ちに営業秘密でなくなりますか。

一般的には、生成AIへの入力や出力の一事だけで直ちに秘密管理性が否定されるとは限らないと整理されています。ただし、外部AIサービス提供者に情報が提供される場合、契約条件、学習利用、保存、第三者提供、社内ルールの有無によって評価が変わる可能性があります。具体的な対応は、利用環境と契約条件を確認して専門家へ相談する必要があります。

Q6. 中小企業でも営業秘密管理規程は必要ですか。

一般的には、会社規模にかかわらず、守りたい情報を特定し、従業員が秘密として認識できる最低限のルールを置くことが重要とされています。ただし、大企業と同じ分量や投資が常に求められるわけではありません。秘密情報一覧、表示、アクセス制限、NDA、誓約書、退職時確認、生成AI入力制限、漏えい時連絡先から始める方法が考えられます。

Q7. 個人情報保護規程があれば営業秘密管理規程は不要ですか。

一般的には、個人情報保護法上の安全管理措置と、不正競争防止法上の営業秘密管理は目的と要件が異なる制度とされています。顧客情報のように両方に該当し得る情報は、個人情報管理と営業秘密管理を同時に満たす設計が必要になる可能性があります。具体的な規程体系は、扱う情報と委託関係に応じて専門家へ相談する必要があります。