データ提供契約の作り方｜利用範囲・AI学習・契約終了時の取扱い

こんにちは。LegalAgent 代表弁護士の朝戸です。

販売実績を取引先へ提供して需要予測に使ってもらう。設備の稼働ログを分析会社へ渡し、故障の予兆を調べてもらう。こうした取引では、提供先がデータを加工し、分析結果やAIモデルを作ることがあります。その成果を別の顧客向けにも使ってよいのか、契約が終わった後も使い続けてよいのかは、当初の説明だけでは決まらないことがあります。

契約書に「データの所有権は提供者に帰属する」と書いても、それぞれの利用が認められるかは、なお確認が必要です。提供する情報、認める利用、成果物の取扱いを具体的に定める必要があります。本稿では、既に保有するデータを相手方へ提供する取引を念頭に、契約を作る際の確認事項を説明します。

データの保護と契約で定める利用条件

所有権という言葉だけでは決まらない利用範囲

民法85条・206条が定める所有権は、有体物を対象とする権利です。記録媒体とそこに保存された情報は別であり、電子データそのものについて、物の所有権が当然に成立するとは解されていません。

契約上の「所有権」という表現にも、利用条件についての合意という意味が認められる場合があります。当事者がその言葉で何を約束したかは、契約全体や取引の経緯から解釈されます。ただ、その一文だけで、複製、第三者への提供、加工、契約終了後の利用まで合意できているかは不明確です。紛争が生じた後の解釈に委ねる範囲を減らすため、認める行為と禁止する行為を条項に書き分けることが大切だと考えています。

また、契約による利用制限は、基本的に契約当事者間の約束です。無断で流出したデータを取得した第三者に対する請求では、契約以外の根拠が必要になります。契約上の管理義務と、法律による保護の要件を併せて確認します。

営業秘密・限定提供データ・著作権の確認

不正競争防止法2条6項・7項は、営業秘密と限定提供データを定めています。営業秘密には、秘密として管理されていること、事業活動に有用であること、公然と知られていないことが必要です。秘密保持義務を課して取引先に開示する場合も、要件を満たせば営業秘密として保護されます。相手方への秘密である旨の表示、アクセス制限、再開示の管理等が問題になります。

限定提供データは、業として特定の者に提供する情報として、電磁的方法により相当量蓄積・管理されている技術上又は営業上の情報で、営業秘密を除くものです。一定の利用者だけがアクセスできるデータベースなどについて、実際の提供・管理方法に即して該当性を検討します。現在の条文は営業秘密を除外しているため、社外への提供の有無に加え、秘密管理の状況等を踏まえて分類します。

いずれも、法律所定の不正な取得、使用、開示等に対する保護です。データの種類や管理状況、行為の態様等によって要件が異なり、契約違反があれば必ず不正競争にも該当するとは限りません。

さらに、著作権法12条の2は、情報の選択又は体系的な構成に創作性を有するデータベースを著作物として保護しています。個々の数値や事実、データベースの構成、収録された文章・画像の権利は、それぞれ確認が必要です。提供者がデータベースを管理しているという事情だけで、収録された第三者の著作物についても自由な利用を許諾できるとは限りません。

データ提供契約で確認する五つの項目

1．提供対象と利用目的・範囲

最初に、契約の対象となるデータを特定します。項目、対象期間、件数、更新頻度、ファイル形式、提供方法を別紙等で定めると、何を受け取れる契約なのかを双方で確認できます。継続提供の場合は、仕様変更の通知時期や、項目を廃止するときの手続も決めておきます。

利用目的は、実際の業務が分かる程度まで具体化します。例えば、店舗別の需要予測を目的とするなら、対象商品、対象店舗、利用する部署、予測結果を提供する相手方を確認します。「自社の業務のため」という記載では、提供者が想定していない別事業への利用まで含むかが争いになり得ます。

特に、データをAIに入力して分析することと、AIモデルを追加学習させることは、別の利用として扱う必要があります。自社専用モデルの作成だけを認めるのか、他の顧客にも提供するモデルの改善まで認めるのかを明記します。外部の生成AIサービスへ入力する場合は、その提供者による保存や学習利用の条件も確認します。

2．加工データ・分析結果・AIモデルの取扱い

加工後の情報を一括して「成果物」と定義すると、元データを並べ替えたファイル、統計値、分析レポート、学習済みモデルが同じ条項の対象になります。性質が異なるものは、定義を分けた上で取扱いを決める方が、双方の認識を合わせやすいと考えています。

各成果について、誰が保有するか、相手方へ引き渡すか、誰がどの目的で利用できるか、第三者へ提供できるかを定めます。著作権等が発生する場合の帰属・利用許諾に加え、権利の発生が当然ではない統計値等についても契約上の利用条件が必要です。

例えば、集計結果の外部提供を認める場合でも、集計対象が少なければ、元の店舗や取引先の実績を推測できることがあります。集計の単位、元データの復元を禁止する範囲、公開前の確認手続を検討します。「匿名化した成果は自由に利用できる」という一文だけで、個人情報や営業上の機密の問題が解消したと判断しないことが大切です。

3．第三者への提供・再委託・安全管理

分析会社がクラウド事業者や再委託先を使うことと、分析会社が別の顧客へデータを販売することでは、提供者が負うリスクが異なります。前者を認めるための条項が、後者まで許す内容になっていないかを確認します。

再委託を認める場合は、事前承諾又は通知の要否、再委託先に課す義務、提供先による監督、事故時の連絡先を定めます。外国での保存・アクセスがある場合は、国・地域や利用サービスも把握します。安全管理については、アクセス権限、認証、暗号化、ログの保存等を、データの機密性と運用に応じて具体化します。

漏えい等が発生した場合の初報期限、調査への協力、拡大防止、対外説明の分担も必要です。監査権を設ける場合は、実地立入りだけに限定せず、報告書や第三者認証の提示等も含め、実施できる方法を決めておきます。

4．提供権限・品質・責任分担

提供者側では、第三者との契約、秘密保持義務、著作権、個人情報保護法等との関係で、約束した利用を認められるかを確認します。受領者側では、その確認結果をどの範囲で保証してもらうか、権利に関する申立てがあった場合に誰が調査・対応するかを検討します。

品質については、正確性、完全性、最新性を区別します。過去のログに欠損があることと、毎日更新すると約束したデータが届かないことでは、対応が異なります。既知の欠損を開示した上で提供するのか、不具合時に修補・再提供するのか、更新停止時に料金を調整するのかを決めます。

分析結果の精度まで提供者が保証するのかも別の論点です。入力データの品質と、分析手法や利用判断による結果を分け、損害賠償の範囲・上限、責任制限の例外を交渉します。全面免責とする場合も、相手方がそのデータを何に使うかを踏まえて、引き受ける義務と整合する内容かを確認します。

5．契約終了時の利用停止・返還・削除

終了条項では、元データ、複製物、加工データ、分析結果、AIモデルを分けて扱います。元データを削除した後も、合意した統計結果やモデルの利用を認める場合は、その条件と存続期間を明記します。反対に、終了後の利用を認めない場合は、利用停止の対象と確認方法を定めます。

バックアップや法令上保存が必要な記録については、直ちにすべて削除できるとは限りません。保管目的を限定し、通常業務での利用を禁止した上で、保存期間と削除時期を決める方法があります。削除証明についても、証明の対象範囲と確認手順をそろえる必要があります。

AIの学習に使用した情報を、学習済みモデルから個別に取り除けるかは、技術的な確認が必要です。元ファイルの削除だけで学習への影響も消えると考えず、終了時の対応が困難な利用は、提供前の段階で禁止又は制限することも検討します。

個人データを含む場合の追加確認

対象に個人データが含まれる場合は、契約上の名称とは別に、個人情報保護法上の取扱いを確認します。個人情報保護委員会の通則編ガイドラインでは、第三者提供、委託、共同利用等の要件が説明されています。

利用目的の達成に必要な範囲で取扱いを委託する場合は、同法27条5項1号により第三者に該当しない場合があります。ただし、受託者が自社の別事業のために使うことまで、委託という説明だけで認められるわけではありません。同委員会Q&AのQ7-41は、委託された個人データと受託者が独自に取得した個人データ等を、本人ごとに突合する場合を取り上げています。目的外の利用や組合せを予定している場合は、提供の仕組みから検討する必要があります。

共同利用では、共同利用する旨、データの項目、共同利用者の範囲、利用目的、管理責任者に関する事項等が確認対象です。これらを、あらかじめ本人に通知し、又は容易に知り得る状態に置くなどの要件を満たす必要があります。外国にある第三者への提供については、同法28条の適用も確認します。

また、最終的な成果が個人を識別できない統計情報になる場合でも、元の個人データを取得・利用・提供する段階の適法性は別途確認が必要です。氏名を削除した場合も、残る情報や他の情報との照合によって個人を識別できるか等を確認します。関連する条項の確認については、個人情報取扱条項のチェックポイントもご参照ください。

なお、令和8年改正個人情報保護法では、一定の統計作成等のための特例が設けられ、10月1日には政令・規則整備に向けた考え方が公表されています。本稿の実務対応は現行の取扱いを前提としています。新たな特例を利用する契約では、対象となる処理、施行時期、確定した規則上の条件を確認する必要があります。

締結前に確認したい実際のデータの流れ

契約書のレビューでは、データの取得元から、提供先、外部サービス、再委託先、成果物の利用者までを、簡単な図や一覧にして確認すると役立ちます。各段階について、データの種類、処理の目的、保存場所、保存期間、担当者を記載します。

例えば、需要予測だけを依頼したつもりでも、分析会社が汎用モデルの改善に継続利用する設計であれば、契約上もその利用について合意が必要です。一方、既に共有を予定している集計結果まで一律に禁止すると、取引の目的を達成できなくなります。事業部門と技術部門に実際の処理を確認し、その内容を利用許諾、禁止行為、終了条項に反映することが、データ提供契約の出発点だと考えています。