LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

業務委託エンジニアは、委託先の会社に雇われたまま、こちらの開発現場に入って働く技術者です。その人が現場を離れることを、この記事では離任と呼びます。自社の社員の退職ではないので退職の手続には載りませんが、社内の資料やシステムに触れていた点は社員と変わりません。

どこまで手を打てばよいのか。目安になる公的な資料があります。経済産業省の「秘密情報の保護ハンドブック」です。*1 平成28年（2016年）2月に作られ、令和6年（2024年）2月に最終改訂されています。*1

この資料は、情報漏えい対策として有効と考えられる対策をできる限り収集して包括的に紹介するものだとされています。*1 何社が実施しているかの調査ではありません。この記事では、資料の分け方と、離任した業務委託エンジニアをどこに置けるかを確かめます。

自社内で働く業務委託エンジニアは従業員等に入る

ハンドブックは第3章で、情報漏えい対策の相手を4つに分けています。従業員等、退職者等、取引先、外部者です。*1 この4つそれぞれに、5つの「対策の目的」ごとの対策例が並びます。*1

その5つは、接近の制御（権限のない人を情報に近づけない）、持出し困難化（複製や持ち出しを物理的・技術的に阻む）、視認性の確保（漏えいが記録や目撃で見つかりやすい状態を作る）、秘密情報に対する認識向上（秘密だと知らなかったという言い逃れを防ぐ）、信頼関係の維持・向上等（職場のモラルを保つ）です。*1

業務委託エンジニアがどこに入るかは、従業員等の定義にあります。典型的には自社が雇用する従業員だが、役員や派遣労働者、委託先従業員、実習生などであって、自社内において勤務する者を含む、とされています。*1

取引先の項の注にも、同じことが書かれています。自社内で業務を行う委託先従業員等については従業員等に向けた対策の対象となる、という一文です。*1

契約が終わるときの項目は、別の記事「SES契約終了で決める6項目｜アクセス権と知財の帰属」で整理しました。

離任後を退職者等に置く理由

次に、離任したあとです。資料は委託先従業員の離任後を名指ししていません。そこで4つの区分を順に見ます。

従業員等の条件は、自社内において勤務することです。*1 勤務が終われば条件を満たしません。取引先の項の注は、人の側を従業員等に向けた対策の対象としているので、*1 取引先では扱われません。外部者は基本的に前の3つ以外の者と定義されているので、*1 先に退職者等に当たるかを見ます。その退職者等は、契約期間や実習期間が満了した派遣労働者や実習生など、自社内での勤務を終了した者を広く含む、とされています。*1

名指しされているのは派遣労働者と実習生で、委託先従業員という語はありません。*1 勤務を終了した者を広く含むという書き方には、離任した技術者も収まると読めます。退職者等に当たる以上、外部者にはなりません。これはこの記事の読み方です。

決まらない点もあります。自社内が何を指すかの説明がなく、完全に在宅で働く技術者が入るかどうかは読み取れません。ただし資料は、接近の制御で雇用関係の終了や契約の終了に伴うテレワークのアクセス権限の削除を挙げ、視認性の確保でもテレワーク時のログの保存を挙げています。*1 社外から働く相手も対策の対象なので、在宅であることだけを理由に外れるとは読めません。これはこの記事の読み方です。

離任のときに使える対策を3つ

ここからは、離任のときに使える対策を3つ挙げます。資料が退職者等に向けて挙げているものから選びました。いずれも退職時と退職の申出を契機に書かれているので、離任のどの日に当てるかを先に決めます。この記事では、契約を更新しないと固まった日を申出の日、最終出社日を退職時に当てました。資料の申出は本人から会社への行為ですが、業務委託では発注側が決めることもあるので、どちらが決めたかは問いません。在宅で出社日がなければ、契約の満了日を退職時に当てます。

1つめは、アクセス権と利用者IDの削除です。退職時には遅滞なく、その退職者の情報システムの利用者IDやアクセス権限（テレワークのための権限を含む）を削除する、とされています。*1 加えて、IDカードや入館証を回収したうえで、そのIDカードでは施錠された区域への解錠ができなくなっていることを確認する、とあります。*1

2つめは、貸与した機器と記録媒体の返却です。中途退職者については、退職の申出を受けてから速やかに会社貸与の記録媒体や情報機器を返却させる、とされています。*1 返却時には、記録媒体や内部の電子データに対して利用者が設定したパスワードも提出させる、という注が付いています。*1

3つめは、秘密保持契約の締結です。退職予定者等との面談等を通じて、在職中にアクセスした秘密情報を確認し、それらが秘密保持義務の対象に含まれるように義務を設定する、とされています。*1 触れた範囲を離任日までに本人と洗い出すことになります。契約を結ぶ場合があることを本人へ事前に知らせておくと手続がスムーズだ、ともあります。*1

資料は会社を辞める場面に限っていません。認識向上の説明には、入社時や異動時、重要プロジェクトへの配属時・転出時・終了時にも秘密保持契約を取り交わすことが有効だとあります。*1 視認性の確保にも、退職をきっかけとした対策の厳格化が挙げられています。*1

つまずきやすい難所

資料のとおりに進めても、業務委託エンジニアでは引っかかる点が3つあります。

1つめは、5つの目的のうち1つが使いにくいことです。従業員等の項の注記に、自社が直接雇用する者以外には信頼関係の維持・向上等の観点からの対策は効果が乏しい場合もあるため、それ以外の目的の対策を着実に実施していくことが重要だ、と書かれています。*1 退職者等に向けたこの目的には、適切な退職金支払いと、退職金の減額などの社内処分の2つが挙がっています。*1 受け入れた側は雇用主ではないので、この2つは実行できません。

2つめは、人が離任しても契約は続いていることです。返還義務や消去義務が働くのは契約満了時や契約解除時だとされています。*1 技術者が委託先の中で別の仕事に移っただけなら契約は残り、渡した資料も委託先に残ります。人の側と会社の側の対策は別々に進みます。これはこの記事の読み方です。

3つめは、区分に置くことと手続が回ることは別だという点です。受け入れた側は雇用主ではないため、退職に伴う社内の手続が自動では始まりません。資料も、誰がいつ動くかまでは決めていません。契約の満了日を、発注の担当者が人事とシステム管理の双方に渡すことになります。これはこの記事の読み方です。

担当者が抜けたあとに何が残るかは、別の記事「担当者の離脱に備える3つの確認、技術情報は41.2％が個人依存」で見ました。

外注時に確認しておきたい点

委託先の会社には、取引先に向けた対策が別にあります。*1 離任に関わるものを3つ挙げます。

1つめは、取扱者を指定し、変更に許可を要する形にすることです。取扱者とは、委託先の中で秘密情報を扱う人として決めた相手を指します。契約書等で取扱者を指定すること、変更には自社の許可が必要である旨を規定することが具体例として挙げられています。*1 条項を置いても届け出があるとはかぎりませんが、知らせずに替えたことを契約違反として問える形にはなります。

2つめは、終わるときの返還と消去を先に書いておくことです。契約満了時や契約解除時に取引先が秘密情報を持ち続けることのないよう、委託契約や秘密保持契約等に返還義務や消去義務を設けることが重要だ、とされています。*1 電子データなら、消去した旨の報告義務や証明義務も有効だとあります。*1

3つめは、契約終了後の取扱いを先に確かめることです。取引先が実施する秘密情報の具体的管理方法や契約終了後の取扱いを事前に確認した上で、契約書に定めることが有効だ、とされています。*1 何を秘密として守るかは、別の記事「営業秘密の秘密管理措置と情報漏えい対策の違い」で整理しました。

まとめ：4つの区分と離任の置き場所

読み取れることは4つです。第一に、経済産業省の秘密情報の保護ハンドブックは、対策の相手を従業員等、退職者等、取引先、外部者の4つに分けています。第二に、自社内において勤務する委託先従業員は従業員等に含まれ、委託先の会社は取引先です。第三に、離任したあとについて資料は委託先従業員を名指ししていません。従業員等の条件は勤務していること、外部者は前の3つ以外の者と定義されているので、勤務を終了した者を広く含む退職者等に当たると読みました。これはこの記事の読み方です。第四に、アクセス権と利用者IDの削除、貸与した機器と記録媒体の返却、秘密保持契約の締結は離任でも使えます。この記事では契約を更新しないと固まった日を申出の日、最終出社日を退職時に当てました。

よくある質問

出典

1. *1　参考：経済産業省「秘密情報の保護ハンドブック」（平成28年2月策定・最終改訂 令和6年2月）（https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/handbook/full.pdf）。出典：経済産業省「秘密情報の保護ハンドブック」。第1章の本書の目的、第3章3-4の対策の相手の4区分（従業員等・退職者等・取引先・外部者）とそれぞれの範囲および取引先の項の注、3-2の5つの対策の目的とその説明、接近の制御における雇用関係の終了・契約の終了とテレワークの記述、視認性の確保におけるテレワーク時のログの記述、秘密保持契約を取り交わす場面の記述、従業員等の項の留意点、退職者等に向けた対策のうちアクセス権の制限・貸与物の返却・秘密保持契約等の締結・退職をきっかけとした対策の厳格化・信頼関係の維持・向上等に置かれた2つ、取引先に向けた対策のうち取扱者の指定と変更の許可・返還義務および消去義務・契約終了後の取扱いの事前確認の一次情報として。策定年月と最終改訂年月は表紙の記載による（確認日2026年9月19日）（2026年9月確認）

Tweet