LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

業務委託で来てもらったエンジニアの契約が終わっても、社員が退職するときのような社内の手続は始まらない。気づいたら、現場を離れた人の利用者IDがまだ使える状態で残っていた——。業務委託エンジニアを受け入れている現場では、こうした見落としが起こりがちです。業務委託エンジニアの離任とは、委託先の会社に雇われたまま自社の開発現場で働いていた技術者が、その現場を離れることを指します。

自社の社員の退職ではないので、社内の退職の手続の対象になりません。それでも、社内の資料やシステムに触れていた点は社員と変わらないため、情報を守る対策は欠かせません。その目安になるのが、経済産業省の「秘密情報の保護ハンドブック」です。ただし万能ではなく、雇用主ではない受け入れ側には使いにくい対策もあります。本記事では、業務委託エンジニアを受け入れている開発部門や人事の担当者に向けて、ハンドブックの4つの区分、離任したあとの位置づけ、離任のときに進める対策、そして委託先の会社と確認したい点を整理します。

秘密情報の保護ハンドブックとは

秘密情報の保護ハンドブックは、平成28年（2016年）2月に作られ、令和6年（2024年）2月に最終改訂された経済産業省の資料です。有効と考えられる情報漏えい対策を、できる限り集めて紹介しています。^*1 対策を一覧として見渡し、自社の状況に合うものを選んで使う資料と考えると扱いやすくなります。

資料の第3章は、対策を5つの「対策の目的」に分けています。権限のない人を情報に近づけない「接近の制御」、複製や持ち出しを物理的・技術的に難しくする「持出し困難化」、人の目や記録で漏えいに気づける状態を作る「視認性の確保」、秘密だと知らなかったという言い逃れを防ぐ「秘密情報に対する認識向上」、職場のモラルを保つ「信頼関係の維持・向上等」の5つです。

そのうえで資料は、対策の相手を従業員等、退職者等、取引先、外部者の4つに分け、4つの相手のそれぞれについて、5つの目的に沿った対策例を示しています。^*1 業務委託エンジニアの離任を考えるときは、まず本人がこの4つのどこに当たるかを確かめると、どの対策を使えばよいかが分かります。

4つの区分と業務委託エンジニア

4つの区分の範囲は、資料の中で次のように示されています。

業務委託エンジニアが現場にいる間にどこに入るかは、従業員等の定義から分かります。自社が雇用する従業員が典型ですが、委託先従業員などであって自社内において勤務する者も含むとされています。^*1 取引先の項の注にも、自社内で業務を行う委託先従業員等は、従業員等に向けた対策の対象となるという一文があります。

つまり、業務委託エンジニア本人は従業員等に、本人を雇っている委託先の会社は取引先に入ります。同じ契約に関わっていても、人と会社で対策の区分が分かれる点を押さえておくと、この後の話が整理しやすくなります。契約が終わるときに決めておく項目は、別の記事「SES契約終了で決める6項目｜アクセス権と知財の帰属」で扱っています。

離任したあとはどの区分か

迷いやすいのは、離任したあとです。資料は、委託先従業員が離任したあとの区分を名指ししていません。そこで、4つの区分の定義を順に見比べます。従業員等の条件は自社内において勤務することなので、勤務が終われば当たりません。取引先は会社を相手にした区分なので、技術者本人は入りません。

残るのは退職者等と外部者です。外部者は基本的に前の3つ以外の者と定義されているので、先に退職者等に当たるかを見ます。退職者等は、契約期間や実習期間が満了した派遣労働者や実習生など、自社内での勤務を終了した者を広く含むとされています。^*1 委託先従業員という語はありませんが、勤務を終了した者を広く含むという書き方からすると、離任した業務委託エンジニアも退職者等に当たると考えられます。退職者等に当たれば、外部者にはなりません。

この当てはめは、資料の定義を見比べた本記事の整理です。資料には「自社内」が何を指すかの説明がなく、完全に在宅で働く技術者が含まれるかは読み取れません。ただ、資料は接近の制御で、雇用関係の終了や契約の終了に伴うテレワークのアクセス権限の削除を挙げ、視認性の確保でもテレワーク時のログの保存を挙げています。^*1 在宅で働く人も対策の対象に入っているので、在宅であることを理由に対策を省かずに進めておくのがよいでしょう。

離任のときに進める3つの対策

離任のときに使える対策を、資料が退職者等に向けて挙げているものから3つ選びました。資料では、これらの対策を行う時期を「退職時」と「退職の申出を受けたとき」で示しています。業務委託エンジニアには本人からの退職の申出がないこともあるので、どの日を当てるかを先に決めておくと進めやすくなります。たとえば、契約を更新しないと決まった日を申出の日、最終出社日を退職時とみなし、在宅で出社日がなければ契約の満了日を退職時とみなす、という当て方です。

1つめは、アクセス権（システムや資料を使える権限）と利用者IDの削除です。資料は、退職時には遅滞なく、その退職者の情報システムの利用者IDやアクセス権限を、テレワークのための権限も含めて削除するとしています。^*1 あわせて、IDカードや入館証を回収したうえで、そのIDカードでは施錠された区域を解錠できなくなっていることを確認する、とあります。

2つめは、貸与した機器と記録媒体の返却です。中途退職者については、退職の申出を受けてから速やかに、会社が貸与した記録媒体（USBメモリなど）や情報機器を返却させるとされています。^*1 返却のときには、記録媒体や内部の電子データに利用者が設定したパスワードも提出させる、という注が付いています。

3つめは、秘密保持契約（知った秘密を漏らさない約束）の締結です。資料は、退職予定者等との面談などを通じて在職中にアクセスした秘密情報を確認し、それらが秘密保持義務の対象に含まれるように義務を設定するとしています。^*1 業務委託エンジニアなら、離任日までに本人と一緒に、どの資料やシステムに触れていたかを書き出すことになります。契約を結ぶ場合があることを本人に前もって知らせておくと、手続がスムーズに進むともされています。

こうした対策は、会社を辞める場面だけのものではありません。資料は、入社時や異動時、重要なプロジェクトへの配属時・転出時・終了時にも秘密保持契約を取り交わすことが有効だとしています。^*1 業務委託エンジニアが現場に加わるときに契約を結んでおけば、離任のときは、その契約をもとに触れていた資料を確かめられます。

つまずきやすい点

資料のとおりに進めても、業務委託エンジニアの離任では引っかかりやすい点が3つあります。一つ目は、5つの目的のうち「信頼関係の維持・向上等」が使いにくいことです。従業員等の項の注記には、自社が直接雇用する者以外には、この目的の対策は効果が乏しい場合もあるため、それ以外の目的の対策を着実に実施していくことが重要だと書かれています。^*1

退職者等に向けたこの目的の対策には、適切な退職金の支払いと、退職金の減額などの社内処分の2つが挙がっています。受け入れた側は雇用主ではないので、どちらも実行できません。残る4つの目的の対策を、漏れなく進めることになります。

二つ目は、人が離任しても、委託先の会社との契約は続いている場合があることです。資料が返還義務や消去義務を置くのは、契約満了時や契約解除時です。技術者が委託先の中で別の仕事に移っただけなら契約は残り、渡した資料も委託先の手元に残ります。人に向けた対策と会社に向けた対策は、別々に進める必要があります。

三つ目は、区分が決まっても手続が自動では始まらないことです。受け入れた側は雇用主ではないため、人事の退職の手続は使えません。資料も、社内の誰がいつ動くかまでは決めていません。発注を担当する人が契約の満了日を人事とシステム管理の担当に早めに伝えておくと、削除や返却の漏れを防ぎやすくなります。担当者が抜けたあとに何が残るかは、別の記事「担当者の離脱に備える3つの確認、技術情報は41.2％が個人依存」で扱っています。

外部に委託するときに確認しておきたい点

委託先の会社は取引先に当たり、資料には取引先に向けた対策が別に示されています。離任に関わるものを3つ挙げます。一つ目は、秘密情報を扱う人を決め、その人を替えるときは自社の許可を要する形にすることです。資料は、契約書などで取扱者を指定することと、変更には自社の許可が必要である旨を規定することを具体例に挙げています。^*1 条項を置いておけば、委託先が知らせずに担当を替えたときに、契約違反として問える形になります。

二つ目は、契約が終わるときの返還と消去を先に書いておくことです。資料は、契約満了時や契約解除時に取引先が秘密情報を持ち続けることのないよう、委託契約や秘密保持契約などに返還義務や消去義務を設けることが重要だとしています。^*1 電子データについては、消去した旨の報告義務や証明義務も有効だとあります。

三つ目は、契約終了後の扱いを事前に確かめることです。取引先が実施する秘密情報の具体的な管理方法や契約終了後の取扱いを事前に確認したうえで、契約書に定めることが有効だとされています。^*1 何を秘密として守るかの決め方は、別の記事「営業秘密の秘密管理措置と情報漏えい対策の違い」で整理しています。

まとめ：離任で確かめておきたい3つの点

業務委託エンジニアの離任で情報を守るうえで、確かめておきたい点は3つに整理できます。第一に、現場にいる間の業務委託エンジニアは従業員等、委託先の会社は取引先と、人と会社で区分が分かれること。第二に、離任したあとは退職者等に当たると考えて、アクセス権と利用者IDの削除、貸与した機器と記録媒体の返却、秘密保持契約の締結を進めること。第三に、契約を更新しないと決まった日と最終出社日を、発注の担当者が人事とシステム管理の担当に早めに伝えることです。この3点を踏まえておけば、「契約は終わったのに、利用者IDがまだ使える状態で残っていた」という事態を避けやすくなります。離任の手続の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：経済産業省「秘密情報の保護ハンドブック」（平成28年2月策定・最終改訂 令和6年2月）（https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/handbook/full.pdf）。出典：経済産業省「秘密情報の保護ハンドブック」。第1章の本書の目的、第3章の対策の相手の4区分とその範囲、取引先の項の注、5つの対策の目的、テレワークに関する記述、退職者等・取引先に向けた対策を参照（確認日2026年9月19日）（2026年9月確認）

Tweet