LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

金融機関のシステムを受託していると、検査や監督のやりとりから生まれた資料を見せられる場面が出てきます。指摘の内容を知らないまま是正の設計はできない一方、その資料は本来、機関の外へ出せないものとして扱われてきました。この線引きを条文の側から書き直す案が出ています。

米国の連邦預金保険公社は2026年6月30日、情報の開示と題する規則案を公示しました*1。連邦規則集第12編第309部を改め、秘密情報の開示に関する規定を更新・明確化する内容で、公社の事前の許可を求めずに秘密情報を共有できる相手を条文で列挙します*1。意見の締切は当初2026年8月31日でしたが、2026年10月5日まで延長されました*2。

確かめたい点は4つあります。何が秘密情報なのか、誰に渡せるのか、契約に何を書く必要があるのか、受け取ったあとの義務は何か。規則本文から順に見ていきます。

秘密情報の範囲と、そこから外れるもの

まず、対象の定義です*1。

第309.31条は秘密情報を情報自由法にもとづく開示の対象から除外される、あらゆる形式の公社の記録その他の公社の情報、および当該記録または情報から派生し、もしくはこれに関連する情報と定めます*1。例として、預金取扱機関と金融会社の監督または破綻処理に関する情報、法令の執行に関する情報、公社が受け付けた消費者からの申立てに関する情報が挙げられています*1。

派生し、もしくは関連する情報まで含む書き方が実務では重く働きます*1。検査の指摘そのものだけでなく、それを引用した社内の資料や、対応の計画を記した文書も範囲に入り得る建て方です*1。

一方で、除かれるものも2つ明記されました*1。1つは預金取扱機関その他の当事者が、自らの業務目的のために作成し、または作成させ、自らが保有する文書で、その写しが公社の手元にあれば秘密情報に当たる場合であっても除かれます*1。もう1つは最終命令、その改正もしくは修正、または法により公表もしくは公衆の利用に供することが特に求められる措置もしくは文書です*1。

1つ目の除外は、線引きの手がかりになります*1。自社が業務のために作った設計書や試験の記録は、同じ内容が検査のやりとりで公社へ渡っていたとしても、自社の手元にあるものは秘密情報として扱われません*1。逆に、公社の記録そのものや、そこから写した内容は範囲に入ります*1。

原則の側も条文にあります*1。第309.32条(a)はこの部に定める場合、または法により求められる場合を除き、いかなる者も、職務の遂行のために当該情報を真に必要とする公社の役員・従業員・代理人以外の者へ、秘密情報を開示し、またはその開示を許してはならないとします*1。開示は例外として組み立てられている構造です*1。

そして第309.32条(b)がいかなる者の占有、保管または管理の下にある秘密情報も、公社の財産のままであり、この部に定める場合を除いて開示することはできないと定めます*1。手元にあっても自社の資産にはならない、という位置づけです*1。

事前の許可なしに渡せる7つの相手

ここが今回の案の中心です*1。

第309.37条(a)(1)は預金取扱機関は、業務上の目的のために必要または適切である場合、次の者へ秘密情報を開示することができるとして7つを列挙します*1。

受託の立場から見ると(v)が該当します*1。適格サービス提供者の定義は第309.31条にあり、預金取扱機関と契約関係を有し、かつ次のいずれかを提供する主体です*1。(i)当該機関の顧客への金融商品またはサービスの提供に関連して用いられる、当該機関への製品またはサービス、(ii)当該機関の経営または業務に関する助言もしくは相談のサービス、(iii)当該機関への技術的な基盤*1。

(iii)が技術的な基盤と端的に書かれている点は見逃せません*1。金融商品の提供に直接関わらない基盤の部分だけを受託している場合でも、契約関係があればこの定義に届く書き方です*1。従来、事前の許可を求めるかどうかで迷いが生じやすかった領域が、条文の列挙に入った形になります*1。

(vii)には数の制限が付いています*1。5年間で3社までとされ、開示する情報はデューデリジェンスの過程で他に入手できるものであってはならず、相手方候補自身のデューデリジェンスの代わりに用いてはならないとされます*1。書面の合意に至った相手方については、この数の制限は適用されません*1。

年数による例外もあります*1。同条(b)は、権限のある部門長から別段の通知がないかぎり、秘密情報が作成され、または最後に修正された時点から少なくとも25年が経過している場合、消費者のプライバシーや営業秘密に関する法など他の開示の制限の対象となる情報を含まないかぎり、開示できるとします*1。

親会社についても同条(c)が、預金取扱機関が開示できるのと同じ範囲・条件・相手方の類型で開示できると定めます*1。列挙に含まれない相手への開示は同条(d)により、権限のある部門長が正当な理由にもとづき個別に認可する形になります*1。

適格秘密保持契約に書く5つの要件

渡す前に必要な手続きが定められています*1。

第309.37条(a)(2)は(a)(1)の(iii)から(vii)までにもとづく開示に先立ち、または同時に、預金取扱機関は情報の受領を予定する者と適格秘密保持契約を締結しなければならないとします*1。(i)と(ii)、つまり自機関と関連会社の役職員は対象外で、外部の相手には契約が要る構造です*1。

その適格秘密保持契約の要件が第309.31条に5つ並びます*1。

(4)と(5)が、受託側の作業に直結します*1。(4)は業務上知る必要と同契約に拘束されるという2つを重ねて求めます*1。閲覧できる人を業務上の必要で絞り、その人たちを同じ秘密保持の枠に入れる二段構えです*1。誰が見られるかを技術的に絞り込む話は特権ID管理とPAMの導入で扱う設計と重なり、境界を前提にしない考え方はゼロトラストの導入で整理しています。

(5)は契約の当事者ではない公社に執行の道を開くものです*1。自社と委託元の二者間の合意に、第三者が権利を持つ形になるため、契約の雛形をそのまま使えるとは限りません*1。準拠法の指定も(2)で求められているため、日本法を準拠法とする既存の雛形との整合を確かめる作業が入ります*1。契約書の管理そのものの仕組みは契約管理システムの開発で扱っています。

逆方向の共有についても条文があります*1。第309.37条(e)は公社の検査を受けるサービス提供者であって秘密情報を占有するものは、サービスを提供している預金取扱機関に対し、当該秘密情報を共有することができるとし、2つの条件を付けます*1。当該開示が業務上の目的を満たすために必要または適切であることと、開示に先立ち、または同時に、受領を予定する者と適格秘密保持契約を締結することです*1。

公社の検査を受ける立場のサービス提供者にとっては、自らが持つ情報を提供先の機関へ戻す経路が明示されたことになります*1。ここでも契約が前提になっている点は同じです*1。

受け取ったあとに残る義務

渡された側の義務も条文にあります*1。

第309.39条(a)は開示に先立ち、権限のある部門長は、必要と認めるその他の条項および条件を書面で求めることができるとします*1。挙げられているのは、情報の秘密性の保護、情報が関わる預金取扱機関の財務上の健全性、当該情報に名前が記載された個人の正当なプライバシーの利益、そして開示により影響を受け得るその他の利益です*1。列挙の要件を満たしていても、個別に条件が追加される余地が残る構造です*1。

同条(b)はこの節にもとづく秘密情報の開示は、別段の記載がないかぎり、公社が適用法の下で当該秘密情報について主張し得る特権または保護を放棄し、もしくは他に影響を与えることを意図したものではないと定めます*1。開示されたからといって、法的な保護が外れるわけではないという確認です*1。

そして同条(c)が実務上の要点です*1。権限のある部門長または公社の議長は、その裁量により、秘密情報を開示する認可を取り消すことができるとし、続けて認可が取り消された秘密情報を占有する者は、実行可能なかぎり速やかに、当該秘密情報を破棄し、または公社へ返還しなければならないと定めます*1。

この義務は、保管の設計に跳ね返ります*1。破棄または返還を求められる可能性があるため、受け取った情報がどこに保存され、どこへ複製されたかを追える状態にしておく必要が出てきます*1。バックアップや検索用の索引に取り込まれていると、破棄の完了を説明しにくくなります*1。どこまで残すかという判断の枠組みは保持期間とローテーションで扱う考え方が土台になります。

開示が裁量であることも明記されています*1。第309.33条(b)は、この節にもとづく開示は裁量によるものであり、秘密情報の開示を求めるものと解してはならないこと、および議長または権限のある部門長が開示の形式・方法・範囲を拒否し、または制限する権限をいかなる形でも制約するものと解してはならないことを定めます*1。

あわせて第309.38条は、秘密情報を受け取った者について、権限のある部門長が正当な理由にもとづき、他の者への開示を認可できるとします*1。連邦または州の機関も対象に含まれます*1。列挙にない相手への再開示は、この認可の経路を通ることになります*1。

なお、金融機関のシステムを受託する際の枠組みは国内にもあります。国内の考え方は金融のシステム委託で扱っており、欧州の耐性の枠組みはEU DORAが求める金融のデジタル耐性で整理しています。

受託側が先に決めておくとよい4点

ここまでを契約と運用の作業に落とします。

1点目は、自社がどの号に当たるかの確認です*1。適格サービス提供者の定義は、契約関係の有無と、提供しているものが3つの類型のどれに当たるかで決まります*1。技術的な基盤のみの受託でも(iii)に届く書き方なので、契約書に記載した業務の範囲と、実際に提供しているものを突き合わせて整理しておきます。

2点目は、秘密保持契約の雛形の点検です*1。5要件のうち、準拠法の指定と第三受益者の明記は、国内の雛形には通常入っていません*1。既存の契約に追補で足すのか、案件ごとに別の契約を結ぶのかを先に決めておくと、情報を受け取る段で止まりません。

3点目は、閲覧できる人の絞り込みと記録です*1。(4)は業務上知る必要と契約への拘束の両方を求めます*1。受け取った情報を置く場所を限定し、その場所へのアクセス権を持つ人の一覧と、その人が秘密保持の枠に入っている根拠を対応づけて残します。誰がいつ参照したかを追える形は監査ログで扱う設計と同じです。

4点目は、破棄または返還の手順です*1。認可の取消しがあり得るため、受け取った情報の保存先と複製先を台帳で持ち、削除の対象を機械的に列挙できる状態にしておきます*1。バックアップの世代と検索用の索引を対象に含めるかを先に決め、破棄の完了を示す記録の形も併せて決めておきます。

意見の締切は2026年10月5日です*2。規則案の段階であり、最終の規則で文言が変わる余地は残ります*1。ただし、事前の許可なしに渡せる相手を列挙し、その条件として契約の要件を並べるという構造は案の骨格です*1。自社の契約と保管の状態を先に把握しておくと、確定したときの作業が点検で済みます。

まとめ：監督上の秘密情報の扱いで押さえる3つの視点

米国の連邦預金保険公社は2026年6月30日、連邦規則集第12編第309部を改める「情報の開示」規則案を公示し、意見の締切は2026年10月5日まで延長されました。押さえたい視点は三つあります。第一に、渡せる相手が条文で列挙されたこと。預金取扱機関は、業務上の目的に必要または適切である場合、自機関の役職員、関連会社、外部の法律顧問・会計士・監査人、議決権株式の50パーセントを超える株主、適格サービス提供者、上級執行役員の申し出を受けた個人、そして合併などの相手方候補へ、公社の事前の許可を求めずに秘密情報を開示できます。適格サービス提供者は、契約関係を持ち、顧客への金融商品やサービスに関連する製品・サービス、経営や業務に関する助言・相談、または技術的な基盤を提供する主体と定義されました。第二に、契約の要件。外部の相手へ渡す前に適格秘密保持契約が必要で、書面であること、合衆国または州の法を準拠法とすること、目的外の利用と再開示の禁止、業務上知る必要があり契約に拘束される者への閲覧の限定、そして公社を第三受益者として民事訴訟で執行できる旨の明記という5つを満たします。第三に、受け取ったあとの義務。秘密情報は誰の手元にあっても公社の財産のままで、認可が取り消された場合は実行可能なかぎり速やかに破棄または返還します。

よくある質問

出典

1. *1　参考：米国連邦官報 91 FR 39726「Disclosure of Information」（連邦預金保険公社・RIN 3064-AG16・規則案・2026年6月30日公示・連邦規則集第12編第309部を改正）（https://www.federalregister.gov/documents/2026/06/30/2026-13123/disclosure-of-information）。規則案の一次情報として。要旨（関連会社その他の主体との秘密監督情報の共有を公社の事前の許可なしに行えるようにする旨、裁量による開示の要件の簡素化、情報自由法にもとづく開示の規則の更新、法的手続に関連する開示の明確化）と、提案された規則本文を確認した。第309.31条の定義（関連会社、権限のある部門長、秘密情報とその2つの除外、親会社、者、適格秘密保持契約の5要件、適格サービス提供者の契約関係と3つの類型）、第309.32条(a)(b)の開示の禁止と公社への帰属、第309.33条(a)(b)の裁量、第309.37条(a)(1)(i)から(vii)までの列挙と(vii)の5年間で3社までの制限・書面の合意がある場合の例外・知る必要による限定・書面による権利放棄、同条(a)(2)の適格秘密保持契約の締結、(b)の25年、(c)の親会社、(d)の正当な理由による認可、(e)の公社の検査を受けるサービス提供者から機関への共有の2条件、第309.38条の他の者への再開示の認可、第309.39条(a)の追加の条項と条件、(b)の特権の不放棄、(c)の認可の取消しと破棄または返還を確認した。全文テキスト（federalregister.gov の full_text/text/2026/06/30/2026-13123.txt）で照合した。確認日は2026年9月8日。（2026年9月確認）
2. *2　参考：米国連邦官報「Disclosure of Information; Extension of Comment Period」（連邦預金保険公社・意見募集期間の延長・2026年8月28日公示）（https://www.federalregister.gov/documents/2026/08/28/2026-17649/disclosure-of-information-extension-of-comment-period）。意見の締切の確認として。2026年6月30日に公示された規則案「Disclosure of Information」について、公衆の意見募集期間を2026年8月31日から2026年10月5日へ延長し、提案を分析して意見を準備する時間を追加で与える旨を確認した。確認日は2026年9月8日。（2026年9月確認）

Tweet