営業秘密の管理｜「社外秘」の表示とアクセス権限の実務

こんにちは！Legal Agent代表弁護士の朝戸です。

顧客情報を保存した共有フォルダに「社外秘」と付ける。技術資料の閲覧権限を開発部門に限定する。従業員や業務委託先と秘密保持の約束を交わす。いずれも情報を守るための大切な対応ですが、法律がすべての会社に同じ措置の組み合わせを求めているわけではありません。

営業秘密の管理では、情報に接する人が「会社はこの情報を秘密として扱っている」と分かる状態をつくることが出発点になります。そのうえで、実際の流出を防ぐ対策と、問題が生じた際に管理状況を説明するための記録を考えていきます。今回は、法律上の保護要件と日常の管理業務を分けながら、共有ドライブ、クラウドサービス、退職時の対応を見ていきます。

営業秘密として保護されるための3つの要件

不正競争防止法2条6項は、営業秘密について、秘密として管理され、事業活動に有用であり、公然と知られていない情報であることを求めています。一般に、それぞれ「秘密管理性」「有用性」「非公知性」と呼ばれます。

顧客名簿、設計図、原価情報なども、その名称だけで営業秘密になるわけではありません。例えば、公開されている連絡先を並べた一覧と、非公開の取引条件や商談履歴を含むデータベースとでは、検討すべき情報の内容が異なります。紛争になった場合には、守りたい情報が何かを特定し、その情報について3つの要件を検討する必要があります。

「社外秘」という社内区分も、法律上の結論を自動的に決めるものではありません。ただし、その表示は秘密として扱う意思を伝える重要な手段になり得ます。表示を付けても無意味だと考えるのも、表示さえあれば必ず保護されると考えるのも、いずれも適切ではないと考えています。

なお、営業秘密に該当することと、特定の相手に差止めや損害賠償を請求できることも別の問題です。取得、利用、開示の態様が同法の「不正競争」に当たるかを確認し、差止めでは営業上の利益の侵害又はそのおそれ、損害賠償では故意・過失や損害など、それぞれの要件を検討します。

秘密管理性の中心は、秘密だと分かる状態

経済産業省の営業秘密管理指針（2025年3月31日改訂）は、企業の秘密管理意思が管理措置によって明確に示され、従業員等がその意思を認識できることを重視しています。裁判所を拘束するルールではありませんが、管理方法を検討する際の重要な資料です。

ここで気を付けたいのは、「アクセス制限」と「秘密だと認識できること」が、それぞれ独立した必須条件として要求されているわけではないという点です。アクセス制限は、秘密であることを伝えるための一つの方法でもあります。秘密だと認識できる状態が保たれていれば、アクセス制限が不十分であることだけで直ちに秘密管理性が否定されるものではありません。

例えば、営業担当者全員が顧客データを使う会社では、業務上、その部門の全員に閲覧権限が必要なことがあります。その人数だけで結論を出すのではなく、対象情報の範囲、秘密表示、取扱いの説明、社内規程などを通じて、秘密として扱う意思が伝わっていたかを確認します。小規模な会社であれば、担当者が限られ、口頭の説明などで明確に共有されている事情も考慮されます。

一方、何も管理措置を取らず、経営者の心の中で重要だと思っていただけでは足りません。また、公開済みの資料まで区別なくすべて「極秘」と表示すると、本当に守るべき情報の範囲が分かりにくくなります。社内ルールは、情報を使う人が具体的に判断できる内容にすることが大切です。

表示・権限・契約を、情報の性質に合わせる

管理方法を考える際には、まず「どの情報を」「誰に対して」「どの場面で」秘密として扱うのかを書き出します。未公開の製品仕様、顧客別の価格条件、買収交渉資料など、対象を具体的にすると、必要な表示や権限設定も決めやすくなります。

紙の文書であれば、秘密である旨の表示や、施錠できる保管場所の利用が考えられます。電子データであれば、ファイルやフォルダの名称、文書内の表示、システム画面の注意書き、パスワードやアクセス権限などが候補になります。指針の具体例は、こうした方法を情報の性質や事業の実情に応じて選ぶ考え方を示しています。

ここから、「秘密表示、アクセス制限、秘密保持契約の3つがそろわなければ保護されない」という結論は出てきません。例えば、秘密表示によって取扱いが明確に伝わる場合と、特定の担当者だけが利用するシステム上で管理する場合とでは、適切な方法が異なります。複数の措置を組み合わせることは有益ですが、その組み合わせ自体を法律上の一律の必須条件としないことが重要です。

実務では、表示の付け方だけでなく、複製したファイルや抜粋資料にも秘密の扱いが伝わるかを確認します。元のフォルダには表示があっても、メールに添付した資料には何も記載がない場合、受領者への説明が不足することがあります。取引先に渡す場合は、対象、利用目的、再提供の条件を契約と実際の送付方法の両方で確認します。

社内規程や研修も、単に「秘密を漏らしてはいけない」と伝えるだけで終えない方がよいと考えています。どのフォルダの何が対象か、外部共有には誰の判断が必要か、判断に迷ったらどこへ相談するかまで示すと、現場の行動につながります。

クラウドと退職時の管理は、漏えい防止と記録を意識する

クラウドに保存したことだけで、営業秘密としての性質を失うわけではありません。指針も、電子情報の管理方法の一つとしてクラウドの利用を想定しています。確認したいのは、利用しているサービスの名前よりも、共有範囲、管理者の設定、利用者への説明、外部提供の条件です。

例えば、社内メンバーだけに共有したつもりでも、「リンクを知っている全員」が閲覧できる設定になっていることがあります。このような場合、秘密管理性だけでなく、実際に誰が取得できたか、情報が公に知られた状態になったかという別の問題も生じ得ます。設定画面を一度確認して終えるのではなく、外部共有の一覧と担当者を定期的に照合する運用が必要になります。

退職者や契約終了後の委託先については、情報システム部門だけでは利用中のサービスを把握しきれない場合があります。人事、事業部、管理部門が協力し、アカウント、共有リンク、外部招待、端末内の複製、APIキーなどを確認します。退職日や業務終了日に合わせて権限を調整し、資料の返却・削除や引継ぎの結果を記録することが考えられます。

ただし、アカウント停止が一時的に遅れたという事実だけで、当然に秘密管理性が失われると断定することはできません。指針も、認識可能性に大きな影響を与えない一時的な管理の不備と、管理が形骸化した状態とを区別しています。法的な評価は具体的な事情によりますが、実際の漏えいリスクを減らすために速やかに是正する必要がある点は変わりません。

問題が発生した場合に備え、規程の版、周知日、研修記録、権限の変更履歴、外部共有の承認記録などを残しておくと、当時の状態を説明しやすくなります。調査を始めてからログを消したり、元のファイルを上書きしたりすると確認が難しくなるため、保存の対象と担当者もあらかじめ決めておくとよいと考えています。

NDAの保護範囲と営業秘密の保護範囲

秘密保持契約（NDA）では、不正競争防止法上の営業秘密より広い範囲を秘密情報として定めることができます。法律上の営業秘密に当たらない情報であっても、契約の定めに従って保護される場合があります。ただし、契約に違反したこと、損害が生じたことなど、請求に必要な要件は別途確認する必要があります。

反対に、契約書の定義が広いからといって、すべての情報が不正競争防止法上の営業秘密になるわけではありません。NDAは秘密として扱う意思を伝える手段にもなりますが、情報の内容や開示時の扱いと併せて検討します。契約上の義務を負わない第三者との関係では、同法が定める取得・利用・開示の類型や、その第三者の認識などが問題になります。

まず取り組むなら、特に重要な情報を数種類選び、保存場所、利用者、秘密であることの伝え方、外部共有の手順、管理責任者を一枚にまとめてみるとよいと考えています。その内容を規程やNDAと照合し、実際の設定と食い違っている箇所を直していきます。管理を厳しくすることだけを目的にせず、業務に必要な利用を続けながら、秘密として扱う範囲を明確にすることが大切です。

契約条項の確認については秘密保持条項のレビュー実務を、退職者等の競業対策については競業避止義務の実務上の限界もご参照ください。