⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

情報セキュリティに関する誓約書(業務委託先向け)

第1部: 書式本文

【委託元会社名】(以下「委託元」という)は、業務委託先である【委託先会社名】に所属する【作業者所属・氏名】(以下「本人」という)に対し、業務遂行にあたっての情報セキュリティ遵守事項を提示し、本人は下記事項を誓約する。

第1条(目的) 本誓約書は、本人が委託業務の遂行にあたり、委託元から提供され又は業務上知り得た情報の管理を徹底することを目的とする。

第2条(情報の持出禁止) 本人は、委託元の許可なく、業務上取り扱う情報(個人情報を含む)を記録した媒体、機器又は資料を委託元の指定する作業場所外へ持ち出さない。

第3条(アクセス権限の遵守) 本人は、委託元から付与されたアクセス権限の範囲を超えて、システム又は情報に アクセスしない。

第4条(私物機器の利用制限) 本人は、委託元が許可した場合を除き、私物のパソコン、記憶媒体又はクラウドサービスを用いて委託業務に関する情報を保存し、又は送信しない。

第5条(パスワード等の管理) 本人は、業務上付与されたID、パスワードその他の認証情報を第三者に開示せず、適切に管理する。

第6条(委託先内での再委託の制限) 本人は、委託元の事前の書面による承諾なく、委託業務を委託先内の他の者又は第三者に再委託しない。

第7条(事故発生時の報告) 本人は、情報の紛失、漏えい、不正アクセスその他の事故が発生し、又はそのおそれがあることを知った場合、直ちに委託元の定める窓口に報告する。

第8条(業務終了時の返還・廃棄) 本人は、委託業務の終了時又は委託元の指示があったときは、保有する委託元の情報及び記録媒体を速やかに返還又は廃棄する。

第9条(監督への協力) 本人は、委託元が委託先の情報管理状況を監督するために行う報告徴求又は実地確認に協力する。

第10条(違反時の対応) 本人が本誓約に違反した場合、委託元は委託先に対し是正を求め、又は委託契約に定める措置をとることができる。

以上、本誓約書の内容を確認し、下記に署名する。

【署名日】 【委託先会社名・作業者所属・氏名】 印

第2部: 立場別・場面別の書き換えパターン

A. 情報システム担当の立場から

情報システム担当としては、貸与機器の設定変更禁止やセキュリティソフトの無効化禁止など、技術的な遵守事項を具体的に追加することが望ましい。

修正例:「本人は、委託元から貸与された機器のセキュリティ設定を変更せず、導入されたセキュリティソフトウェアを無効化し、又はアンインストールしない。」

一言解説:抽象的な「情報管理の徹底」だけでは技術的な逸脱行為を防げないため、機器設定に関する具体的な禁止事項を明記することが実効性を高める。

B. 委託先管理担当の立場から

委託先管理担当としては、複数の委託先作業者が関与する場合に備え、誓約書の取得状況を委託先ごとに一覧管理する運用を前提とした規定を設けることが有効である。

修正例:「委託先は、本誓約書を委託業務に従事する作業者ごとに取得し、委託元の求めに応じて提出可能な状態で保管する。」

一言解説:個人情報保護法上の委託先監督義務を果たすには、個々の作業者からの誓約取得状況を委託元が把握できる体制が必要である。

C. 総務担当の立場から

総務担当としては、入退室管理や来訪時の身分証提示など、物理的セキュリティに関する遵守事項もあわせて定めることが望ましい。

修正例:「本人は、委託元の事業所に立ち入る際、入退館証を着用し、指定されたエリア以外への立入りを行わない。」

一言解説:情報セキュリティは論理的な対策だけでなく物理的な入退室管理とあわせて運用することで実効性が高まる。

委託先管理担当としてはさらに、複数階層の再委託が生じる業務では、末端の再委託先作業者に至るまで同水準の誓約が及ぶよう、委託先に対して再委託先からの誓約取得を義務付けることが望ましい。

修正例:「委託先は、再委託を行う場合、再委託先の作業者からも本誓約書と同内容の誓約を取得し、その写しを委託元に提出する。」

一言解説:再委託が重なるほど末端の作業者の管理が委託元から見えにくくなるため、誓約の連鎖を契約構造として組み込んでおくことが実効性を確保する上で重要である。

第3部: 書き方と法的ポイント解説

本書式は、業務委託先の作業者に対し、委託元の情報を取り扱う際の遵守事項を誓約させる場面で使用する。委託先が個人情報を一切取り扱わない単純な物品納入のみの取引には過剰な内容となる場合があり、取扱う情報の性質に応じて内容を調整する必要がある。

根拠法令としては、個人情報保護法第25条が個人データの取扱いを委託する場合、委託元が委託先に対して必要かつ適切な監督を行わなければならないと定めており、誓約書の取得はこの監督義務を履行する手段の一つとなる。また、同法第26条は漏えい等が発生した場合の個人情報保護委員会への報告義務及び本人への通知義務を定めており、委託先で発生した事故についても委託元が対応を要する場合がある。営業秘密に該当する情報については、不正競争防止法上の管理性要件を満たすための管理措置としても本書式が機能し得る。

実務でよくある失敗として、第一に、委託契約書自体には秘密保持条項を設けているものの、実際に作業する個々の作業者からは個別の誓約を取得しておらず、末端の作業者による情報漏えいを防ぐ実効性を欠いているケースがある。作業者単位で誓約書を取得する運用に改めることが対策となる。第二に、私物のクラウドストレージやメールへの転送を明示的に禁止していなかったため、作業者が業務効率化のために情報を私物端末に転送し漏えいにつながるケースがあり、私物機器・私物クラウドサービスの利用制限を具体的に明記する必要がある。第三に、再委託の可否について明確な定めがなく、委託先がさらに別の下請へ業務を再委託し、委託元の把握していない者が情報にアクセスするケースがあり、再委託には委託元の事前承諾を要する旨を明記することが望ましい。

第四に、再委託が複数階層にわたる業務において、末端の再委託先作業者からは誓約書を取得しておらず、当該作業者による情報漏えいが発生した際に委託元への説明責任を果たせないケースがあり、再委託先からの誓約取得を委託先の義務として明記することが対策となる。

委託先の監督体制や情報の重要度に応じた具体的な管理措置は個別の業務内容により異なるため、実際の運用にあたっては弁護士又は情報セキュリティの専門家に個別に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 情報の持出禁止の範囲(媒体・機器・資料)を明記したか
• [ ] アクセス権限の範囲を超えたアクセスの禁止を明記したか
• [ ] 私物機器・私物クラウドサービスの利用制限を明記したか
• [ ] 認証情報(ID・パスワード)の管理方法を定めたか
• [ ] 再委託の制限及び事前承諾の要否を明記したか
• [ ] 事故発生時の報告窓口及び報告期限を定めたか
• [ ] 業務終了時の情報返還・廃棄義務を定めたか
• [ ] 委託元による監督(報告徴求・実地確認)への協力を定めたか
• [ ] 作業者単位での誓約書取得・管理運用を整理したか
• [ ] 物理的セキュリティ(入退室管理)に関する事項を検討したか
• [ ] 再委託先作業者からの誓約取得義務を委託先に課したか
• [ ] 機器設定の変更・セキュリティソフト無効化の禁止を明記したか