営業秘密とは、企業が「社外秘」と呼んでいる情報すべてを指す言葉ではありません。
不正競争防止法上の営業秘密として保護を受けるには、「秘密管理性」「有用性」「非公知性」の3要件をすべて満たす必要があります。
顧客リスト、製造方法、設計図、ソースコード、価格情報、研究データなどは営業秘密になり得ますが、価値のある情報でも秘密として管理されていなければ、不正競争防止法上の営業秘密として保護を受けられない可能性があります。
企業では、「機密情報を漏らさない」という対策だけでなく、「法的保護を受けられる状態で管理しているか」という観点も必要です。
営業秘密とは
不正競争防止法は、営業秘密を「秘密として管理されている、生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義しています。
経済産業省は、営業秘密の要件を次の3つに整理しています。
- 秘密管理性
- 有用性
- 非公知性
3要件のうち一つでも満たさなければ、不正競争防止法上の「営業秘密」に該当しない可能性があります。
営業秘密・機密情報・個人情報の違い
企業では「機密情報」「社外秘」「個人情報」「営業秘密」が混在しやすいため、意味を分けて管理します。
| 用語 | 主な意味 | 主な法的根拠 |
|---|---|---|
| 営業秘密 | 不正競争防止法の3要件を満たす技術上・営業上の情報 | 不正競争防止法 |
| 機密情報 | 企業が秘密として扱う情報の総称 | 契約・社内規程等を含む |
| 個人情報 | 生存する個人を識別できる情報等 | 個人情報保護法 |
| 個人データ | 個人情報データベース等を構成する個人情報 | 個人情報保護法 |
例えば顧客リストは、個人情報であると同時に、秘密管理性・有用性・非公知性を満たせば営業秘密にも該当し得ます。
一方、製品の設計データには個人情報が含まれなくても、営業秘密として保護される場合があります。
個人情報の分類は「個人情報とは？分類の違いと企業での適切な取り扱い方を解説」で整理しています。
営業秘密の3要件
1. 秘密管理性
秘密管理性とは、企業がその情報を秘密として管理していることです。
単に「これは大事な情報だ」と社内で考えているだけではなく、情報へアクセスする従業員が「会社がこの情報を秘密として管理している」と認識できる状態にします。
具体的な管理方法としては次が考えられます。
- 文書やファイルへ「機密」「社外秘」等を表示する
- アクセスできる従業員を業務上必要な者へ限定する
- 機密データを保存するシステムの権限を分ける
- 秘密情報の取扱規程を定める
- 従業員へ秘密情報の対象を周知する
- 退職時に情報の返還・削除を確認する
- 委託先との契約で秘密保持義務を定める
2025年3月に改訂された経済産業省の「営業秘密管理指針」は、秘密管理性について、情報の合理的な区分だけを絶対条件とするのではなく、企業の秘密管理意思が従業員等に明確に示されているかという観点で判断する考え方を示しています。
クラウドストレージを利用しているから営業秘密として認められない、ということでもありません。クラウド上でも、権限、表示、規程、運用などを通じて秘密として扱われていることを客観的に示せる状態にします。
2. 有用性
有用性とは、その情報が事業活動に役立つ技術上・営業上の情報であることです。
代表例は次のとおりです。
- 製品設計図
- 製造方法
- ソースコード
- アルゴリズム
- 研究開発データ
- 顧客リスト
- 仕入先リスト
- 原価情報
- 価格戦略
- 営業計画
- マーケティング計画
- 未公開の事業計画
現在利益を生んでいる情報だけが対象ではありません。
経済産業省の営業秘密管理指針では、失敗した研究データなども、同じ失敗を避けて研究開発費を節約できる場合には有用性を持ち得ると説明されています。
一方、脱税や有害物質の排出など公序良俗に反する内容については、法律上保護する正当な利益が乏しく、有用性が認められないとされています。
3. 非公知性
非公知性とは、その情報が一般に知られておらず、通常の方法では容易に入手できないことです。
例えば、自社だけが保有する製造ノウハウや、公開前の設計情報は非公知性を持ち得ます。
一方、次のような情報は非公知性を失う可能性があります。
- 自社Webサイトで公開済みの情報
- 一般に販売されている資料から容易に入手できる情報
- 業界内で広く知られている方法
- 正当な方法で容易に再現・取得できる情報
「社内では非公開」というだけでなく、社外でも一般に知られていないかを確認します。
営業秘密になり得る情報の例
営業秘密は技術情報だけではありません。
| 分類 | 例 |
|---|---|
| 技術 | 設計図、製造方法、ソースコード、研究データ |
| 営業 | 顧客リスト、価格表、商談方針、販売戦略 |
| 調達 | 仕入価格、調達先、取引条件 |
| 経営 | 未公表の事業計画、M&A検討情報 |
| 運用 | 独自の業務ノウハウ、運用手順 |
| 失敗情報 | 失敗した実験・開発の記録 |
ただし、表に該当する情報が自動的に営業秘密になるわけではありません。3要件を満たす管理が前提です。
「社外秘」と書けば営業秘密になるわけではない
秘密表示は秘密管理性を示す一つの手段ですが、表示だけで十分とは限りません。
例えば「社外秘」と書かれたファイルが全社員から自由に閲覧でき、社外共有も制限されず、退職者がアクセスできる状態では、企業の秘密管理意思がどの程度示されていたかが問題になります。
反対に、すべてのファイルへ一律に「機密」と付ける運用も、何を本当に秘密としているのか分かりにくくなります。
情報分類に応じて、アクセス権、共有範囲、持ち出し可否、保存先、ログ保存を変える方が管理しやすくなります。
営業秘密が侵害された場合の法的措置
営業秘密の不正取得、使用、開示などが不正競争防止法上の侵害行為に該当する場合、民事上・刑事上の措置が問題になります。
経済産業省は、営業秘密侵害に対して差止めや損害賠償等の民事上の措置、刑事罰が設けられていることを案内しています。
警視庁は、営業秘密の持ち出し等について、個人では10年以下の拘禁刑または2,000万円以下の罰金、法人では5億円以下の罰金が科される場合があると案内しています。
実際の適用条項や法定刑は、取得・使用・開示の態様、国外での使用目的などによって異なるため、個別事件では最新法令と事実関係を確認します。
営業秘密を守るための管理方法
営業秘密を保護するには、法務部門が秘密保持契約を作るだけでも、情報システム部門がDLPを導入するだけでも足りません。
人、システム、契約、退職・委託のプロセスを組み合わせます。
情報を分類する
まず「どの情報を営業秘密として守るか」を特定します。
- 極秘
- 機密
- 社外秘
- 社内公開
など、自社の業務に合った分類を定め、分類ごとの取扱ルールを決めます。
アクセス権を最小化する
営業秘密へアクセスできる者を業務上必要な範囲に限定します。
- 部署単位ではなく職務単位で権限を付ける
- 特権IDを分離する
- 定期的に権限を棚卸しする
- 異動・退職時に即時変更する
- 委託先へ必要以上の権限を渡さない
アクセス制限は、漏洩防止だけでなく秘密管理性を示す管理策にもなります。
操作ログを保存する
持ち出しが疑われた場合、「誰がいつ、何を取得したか」を確認できなければ事実関係の立証が難しくなります。
ファイルアクセス、クラウドダウンロード、USBコピー、メール送信など、主要な持ち出し経路のログを確認できるようにします。
DLPで持ち出し経路を監視する
DLPは、営業秘密や個人情報などのデータを識別し、USB、メール、Webアップロードなどを監視・制御する製品です。
詳細は「DLPとは？情シス担当が押さえるべき仕組み・機能・導入判断の全知識」で解説しています。
私物メール・クラウドへの送信を管理する
退職前の情報持ち出しでは、私物メール、USB、個人クラウドなどが経路になる場合があります。
禁止ルールだけでなく、技術的な制御と監査ログを組み合わせます。
退職・異動プロセスを整える
退職者対策は退職日当日だけではなく、退職申出後から始めます。
- 不要な権限を縮小する
- 大量ダウンロード等を確認する
- 貸与端末・媒体を回収する
- 個人クラウド等への保存がないか確認する
- 秘密保持義務を再確認する
- 退職時にアカウントを停止する
退職予定者だけを一律に不正の主体とみなすのではなく、情報資産の重要度に応じて同じプロセスを適用できるようにします。
委託先・再委託先を管理する
営業秘密を外部企業へ共有する場合は、契約とシステムの両面を確認します。
- 秘密情報の定義
- 利用目的
- 再委託の条件
- 保管場所
- アクセス権
- 複製・持ち出し
- インシデント報告
- 契約終了時の返還・削除
- 監査権
取引終了後にクラウドアカウントや共有リンクが残っていないかも確認します。
営業秘密の漏洩が疑われたときの初動
内部持ち出しや不正アクセスが疑われる場合は、証拠が消える前に保全します。
- 法務・情報システム・セキュリティ責任者へ報告する
- 対象アカウントと端末を特定する
- メール、クラウド、ファイルサーバー等のログを保全する
- 必要に応じてアクセス権を停止する
- 持ち出された情報の範囲を特定する
- 営業秘密の3要件を満たす管理状況を確認する
- 委託先・取引先への影響を確認する
- 弁護士等と民事・刑事上の対応を検討する
- 警察への相談・被害申告等を検討する
- 再発防止策を実施する
持ち出しの疑いがある従業員の端末を慌てて初期化したり、ログを上書きしたりすると、後の調査や法的対応に必要な証拠を失う可能性があります。
セキュリティ対策Labでは「機密情報・営業秘密の漏洩事例」として実際の持ち出し・漏洩事例も整理しています。
情報システム・法務部門が確認したいチェックリスト
- 営業秘密として守る情報を定義しているか
- 情報分類を従業員が理解できるか
- 機密ファイル・システムのアクセス権を制限しているか
- ファイルやシステム上で秘密であることを認識できるか
- 共有リンクやクラウドの公開範囲を管理しているか
- 私物メール・個人クラウドへの送信を管理しているか
- USB等の外部媒体を管理しているか
- ファイルアクセスやダウンロードのログを保存しているか
- 委託先・再委託先との秘密保持条件を確認しているか
- 契約終了後のデータ削除を確認しているか
- 退職者のアカウント停止・データ返還手順があるか
- 大量ダウンロード等の異常を検知できるか
- 漏洩時に証拠保全を行う手順があるか
まとめ
営業秘密として法的保護を受けるには、情報に価値があるだけでは足りません。
秘密管理性、有用性、非公知性の3要件を満たす必要があります。特に企業側で管理できるのは秘密管理性です。
情報分類、アクセス制御、秘密表示、ログ、DLP、委託先管理、退職時の権限停止などを組み合わせ、「企業が秘密として管理していること」を従業員や委託先が認識できる状態にします。
営業秘密の漏洩が疑われた場合は、情報の削除や端末初期化を急ぐのではなく、アクセス停止と証拠保全を並行し、持ち出された情報と管理状況を確認してから法的対応を検討します。
