日用雑貨の製造を行う W 社では,業務拡大に向けて販売管理のためのシステム(以下,販売管理システムという)構築を予定している。システム構築のメンバである G 君は,上司の指導の下に RFP を作成して,X 社から提案を受けた。RFP の概要と X 社からの提案は,次のとおりである。 なお,W 社にとって重要な顧客情報の扱いについては,契約時に必要な処置を講じることにした。 〔RFP の概要〕 システムの目的:製造した商品に関して,顧客に対する受注から出荷までの管理を行う。 システムの要件:商品数は,当初は 2,000 品目で,最大 5,000 品目を管理する。顧客数は,当初は 500 社で,最大 2,000 社を管理する。1 日の受注件数は,最大 200 件とする。弊社の規模と業務に合った適切なソフトウェアパッケージの利用を前提とする。 納期:発注から 6 か月以内とする。 〔X 社からの提案〕 導入費用:700 万円 前提条件:Y 社の販売管理ソフトウェアパッケージと Z 社のデータベースソフトを利用し,不足する機能の開発を行います。サーバは CPU が一つのものを 2 台導入します。1 台は本番機とし,もう 1 台は,本番機に障害が発生した場合に稼働させるコールドスタンバイ機とします。 契約条件:要件定義からシステムテストまでの一括請負契約とします。弊社の開発物に関する瑕疵担保期間は,検収後 6 か月とします。 導入期間:4 か月 保守:保守契約を結ぶことによって,導入したシステムに関する問合せ,障害の切分けの対応を行います。 販売管理システムの開発で顧客情報を X 社に直接利用させるために, W 社が行っておくべきことはどれか。
平成23年度 特別試験 ITパスポート試験 問91
この問題の解説と、これまでの解答の記録です。
問 91
不正解ア
一括請負契約は「要件定義からシステムテストまでの開発一式を、完成責任を負わせて X 社に発注する」という開発そのものの取決めであり、情報の取扱いルールを定めるものではない。請負契約を早く結んでも、X 社が顧客情報をどの目的にどこまで使ってよいか、第三者に渡してよいか、終了後にどう処分するかは何も決まらないままである。むしろ「早急に」結ぶことは、見積内容や要件の妥当性を検証しないまま発注することになり、発注側としては望ましくない。顧客情報の保護という設問の論点に答えていない。
不正解イ
守秘義務の取決めが無い正式契約前の段階で顧客情報の詳細データを渡すのは、最もやってはいけない対応である。契約が無ければ X 社に情報を守る義務が発生せず、漏えいや目的外利用が起きても責任を問う根拠が無い。さらに提案が不採用となって契約に至らなかった場合、渡した顧客情報がベンダ側に残り続けるおそれもある。個人情報保護法が求める委託先の監督にも反しており、開発の円滑さを理由に正当化できるものではない。
- ウ
正解 正解は ウ「顧客情報が X 社によって外部に漏れたり、不適切に取り扱われたりしないように、X 社と守秘義務契約を結ぶ」。本問は、日用雑貨メーカーの W 社が販売管理システムの構築を外部ベンダの X 社に発注するという一連の事例の一部で、開発のために W 社の顧客情報を X 社に直接扱わせようとする場面である。顧客情報は W 社にとって重要な情報であり、これを社外の X 社に直接利用させるということは、自社の管理下にある情報を他社の従業員が扱える状態にするということで、漏えい・目的外利用・不正コピーといったリスクが新たに生じる。そこで情報を渡す前に、守秘義務契約(秘密保持契約、NDA:Non-Disclosure Agreement)を結び、(1) 秘密情報の範囲、(2) 利用目的を本開発に限定すること、(3) 第三者への開示・再委託の禁止、(4) 契約終了時の返却または消去、(5) 違反した場合の損害賠償などの責任、を文書で取り決めておく。こうしておけば、X 社側にも組織として情報を守る法的義務が生じ、万一漏えいが起きたときの責任の所在も明確になる。なお、顧客情報に取引先の担当者名や連絡先といった個人情報が含まれる場合には、個人情報保護法が委託元に対して委託先の必要かつ適切な監督を義務付けており、契約による取決めはその監督の第一歩にもなる。したがって、顧客情報を X 社に直接利用させる前に W 社が行っておくべきことは、X 社との守秘義務契約の締結である。
不正解エ
Y 社は X 社が利用する販売管理ソフトウェアパッケージのベンダであり、ライセンス契約はそのソフトウェアを何本・どの規模まで使ってよいかという使用許諾の取決めである。顧客数に応じたライセンスを購入することはシステム導入上は必要だが、それによって X 社による顧客情報の取扱いが制限されるわけではなく、情報漏えいを防ぐ効果は無い。ライセンス規模の論点は別問(W 社が購入すべきライセンスの組合せ)の主題であり、本問が問う顧客情報の保護策とは無関係である。
- 守秘義務契約(秘密保持契約、NDA)=自社の機密情報や個人情報を外部の相手に扱わせるときに、情報を渡す前に結んでおく契約。秘密情報の範囲、利用目的の限定、第三者への開示・再委託の禁止、終了時の返却または消去、違反時の責任などを定め、相手方に情報を守る法的義務を負わせる。
- 個人情報を含むデータの取扱いを外部に委託する場合、委託元には委託先に対する必要かつ適切な監督義務がある。その基本手段が契約による取決めであり、契約前にデータを渡す・契約形態(請負/委任)やライセンス契約だけを整えるといった対応では、情報保護の措置を講じたことにならない。