日用雑貨の製造を行う W 社では,業務拡大に向けて販売管理のためのシステム(以下,販売管理システムという)構築を予定している。システム構築のメンバである G 君は,上司の指導の下に RFP を作成して,X 社から提案を受けた。RFP の概要と X 社からの提案は,次のとおりである。 なお,W 社にとって重要な顧客情報の扱いについては,契約時に必要な処置を講じることにした。 〔RFP の概要〕 システムの目的:製造した商品に関して,顧客に対する受注から出荷までの管理を行う。 システムの要件:商品数は,当初は 2,000 品目で,最大 5,000 品目を管理する。顧客数は,当初は 500 社で,最大 2,000 社を管理する。1 日の受注件数は,最大 200 件とする。弊社の規模と業務に合った適切なソフトウェアパッケージの利用を前提とする。 納期:発注から 6 か月以内とする。 〔X 社からの提案〕 導入費用:700 万円 前提条件:Y 社の販売管理ソフトウェアパッケージと Z 社のデータベースソフトを利用し,不足する機能の開発を行います。サーバは CPU が一つのものを 2 台導入します。1 台は本番機とし,もう 1 台は,本番機に障害が発生した場合に稼働させるコールドスタンバイ機とします。 契約条件:要件定義からシステムテストまでの一括請負契約とします。弊社の開発物に関する瑕疵担保期間は,検収後 6 か月とします。 導入期間:4 か月 保守:保守契約を結ぶことによって,導入したシステムに関する問合せ,障害の切分けの対応を行います。 販売管理システムの開発で顧客情報を X 社に直接利用させるために, W 社が行っておくべきことはどれか。
平成23年度 特別試験 ITパスポート試験 問91
这道题的解析和你的作答记录。
問 91
错误ア
整体承包合同是关于开发本身的约定 —— 把从需求定义到系统测试的整套开发工作发包给 X 公司, 并让其承担完成责任 —— 它并不规定信息的处理规则。即使早早签下承包合同, X 公司可以把客户信息用于什么目的、用到什么程度、能否交给第三方、结束之后如何处置, 仍然什么都没有确定。相反, 「尽快」签约意味着在没有核验报价内容和需求是否合理的情况下就发包, 对发包方来说并不可取。它没有回答本题所问的客户信息保护这一论点。
错误イ
在没有保密义务约定、尚未正式签约的阶段就把客户信息的详细数据交出去, 是最不该做的应对。没有合同, X 公司就不会产生保护信息的义务, 即使发生泄露或超出目的的使用, 也没有追究责任的依据。而且如果提案未被采纳、最终没有签约, 交出去的客户信息还可能一直留在供应商那里。这种做法也违反了个人信息保护法所要求的对受托方的监督, 不能以开发顺利为理由来正当化。
- ウ
正解 正确答案是 ウ「为了防止客户信息被 X 公司泄露到外部或被不当处理, 与 X 公司签订保密义务合同」。本题是一组案例中的一环: 日用杂货制造商 W 公司把销售管理系统的建设发包给外部供应商 X 公司, 而本题的场景是为了开发而让 X 公司直接使用 W 公司的客户信息。客户信息对 W 公司而言是重要信息, 让公司外部的 X 公司直接使用它, 就意味着把原本处于本公司管理之下的信息, 变成其他公司的员工也能接触处理的状态, 于是新产生了泄露、超出目的的使用、非法复制等风险。因此, 在交出信息之前要先签订保密义务合同(保密协议, NDA: Non-Disclosure Agreement), 以书面形式约定 (1) 保密信息的范围, (2) 使用目的仅限于本次开发, (3) 禁止向第三方披露及再委托, (4) 合同结束时的返还或删除, (5) 违约时的损害赔偿等责任。这样一来, X 公司一方作为组织也就承担了保护信息的法律义务, 万一发生泄露, 责任归属也很明确。另外, 如果客户信息中包含往来客户经办人的姓名、联系方式等个人信息, 个人信息保护法要求委托方对受托方进行必要且适当的监督, 而通过合同作出约定正是这种监督的第一步。因此, 在让 X 公司直接使用客户信息之前, W 公司应当做的就是与 X 公司签订保密义务合同。
错误エ
Y 公司是 X 公司所使用的销售管理软件包的供应商, 而许可合同是关于这款软件可以使用多少套、可以用到多大规模的使用许可约定。按客户数量购买相应的许可, 在系统导入上确实是必要的, 但这并不会因此限制 X 公司对客户信息的处理, 也没有防止信息泄露的效果。许可规模这个论点是另一道题(W 公司应购买的许可组合)的主题, 与本题所问的客户信息保护措施无关。
- 保密义务合同(保密协议, NDA) = 在让外部对象处理本公司的机密信息或个人信息时, 必须在交出信息之前签订的合同。它约定保密信息的范围、使用目的的限定、禁止向第三方披露及再委托、结束时的返还或删除、违约时的责任等, 使对方承担保护信息的法律义务。
- 当把包含个人信息的数据的处理委托给外部时, 委托方负有对受托方进行必要且适当的监督的义务。其基本手段就是通过合同作出约定; 而像在签约前就把数据交出去, 或者只把合同形式(承包/委托)与许可合同安排妥当这类做法, 都不算是采取了保护信息的措施。