文書電子化を委託する前の契約チェック
NDA・再委託・データ消去証明で見る7項目

文書電子化の委託先が決まっても、法務部門による契約書の審査で手続きが止まる場面は少なくありません。審査を円滑に進めるため、契約書に必要な条項の抜け漏れを事前に洗い出しましょう。

体制が整っていても契約で抜けやすい7項目

設備や認証が整っていても、委託先との約束が書面に残っていなければ、事故時の責任の所在が曖昧になります。見積もり依頼の段階で、次の7項目を確認しましょう。

• 秘密保持契約（NDA）における秘密情報の定義と有効期間
• 作業員個人の守秘義務
• 再委託と海外拠点での作業
• 作業中のデータの取り扱い
• 納品後の消去と証明書
• 事故時の損害賠償・報告・保険
• 個人情報を含む場合の追加条項

秘密保持契約（NDA）で確認する条項

秘密情報の定義と有効期間

預ける文書や電子データだけでなく、業務手順書や文書に含まれる顧客情報なども秘密情報の範囲に含まれるか確認します。あわせて、目的外利用の禁止と契約終了後の守秘義務を明記しましょう。守秘義務の有効期間が短いと、期間が切れた後に情報が漏えいしても、委託先に契約上の責任を問えないおそれがあります。有効期間は、文書の機密性や保存期間を踏まえて設定してください。

作業員個人に守秘義務を課す方法

NDAを結ぶのは委託先企業ですが、実際にスキャンやデータ入力を行うのは個々の作業員です。作業員（派遣社員やアルバイトを含む）から秘密保持誓約書を取得することや、作業員への教育を実施することを、委託先の義務として契約に定めましょう。守秘義務が退職後も続く旨を誓約書に盛り込めば、担当者の交代や退職後の情報持ち出しに備えられます。

契約終了後の返還・消去義務

契約終了時に原本を返還し、電子データを消去する義務を条項に置きます。対象・期限・方法を定めておかないと、作業用のコピーや一時保存データが委託先に残り、意図しない閲覧や漏えいにつながりかねません。中間データの扱いと消去証明の取得については、後述の項目もあわせて確認しましょう。

再委託の可否と海外拠点での作業

再委託先の開示と事前承諾

再委託の有無に加え、再委託先の名称・作業内容・情報管理体制と、事前承諾の手続きを確認します。無断で再委託されると、委託元は情報の保管先やアクセス権限を把握できません。漏えい時の原因究明や責任の所在の特定も難しくなるため、注意が必要です。なお、マイナンバー（個人番号）を含む事務は、番号法（行政手続における特定の個人を識別するための番号の利用等に関する法律）第10条により、最初の委託者の許諾がなければ再委託できません。

データの越境移転が生じる場合の確認

個人データを含む文書を、委託先の海外現地法人や海外の再委託先が扱う場合は、個人情報保護法第28条の「外国にある第三者への提供」に当たります。委託であっても、原則として「外国にある第三者への提供を認める」旨の本人の同意が必要です。例外は、提供先がEU・英国にある場合や、日本の事業者に相当する措置を継続的に講じる体制（基準適合体制）を提供先が整備している場合などに限られます。作業国・移転するデータの範囲・現地での安全管理措置を事前に確認しましょう。

作業中のデータの取り扱い

作業環境のルール

私物端末への保存や許可されていない外部送信を防ぐには、作業環境のルールを具体的に定める必要があります。ネットワークの分離・USBメモリなど記録媒体の持ち込み制限・アクセス権限の設定・操作ログの保存といった条件を、契約書や仕様書に記載しておきましょう。

中間データ・バックアップの保持期間

作業途中のスキャン画像やOCR（文字認識）データ、バックアップなどについて、保存場所・保持期間・削除方法を定めます。納品データだけを管理対象にすると、中間データが委託先に長期間残りかねません。削除対象を列挙し、例外的に保管する場合の条件も決めておきましょう。

納品後の消去と証明書

データ消去証明書・原本廃棄証明書の取得

証明書の発行を契約条件に含め、対象データ・消去日（廃棄日）・実施方法・担当者などの記載事項を指定します。発行を有料とする委託先もあるため、追加費用の有無は見積もり段階で確認しましょう。電子化後の原本を廃棄する際の判断基準は、原本廃棄の解説ページで紹介しています。

消去期限の設定

消去期限は「検収完了後30日以内」のように、日数で具体的に定めます。日数に一律の基準はないため、データの機密性や社内規程に合わせて自社に適した期限を設定しましょう。

事故が起きたときの取り決め

損害賠償の上限

賠償の上限額と対象範囲は、契約締結前のすり合わせが欠かせません。たとえば上限が「委託料の総額まで」とされている場合、大量の個人情報が漏えいして調査費用や本人への通知費用が発生しても、十分な補償を受けられない可能性があります。情報漏えい・原本紛失・第三者からの請求などを想定し、上限額・例外の有無・対象となる損害を協議しましょう。

報告義務と報告期限

事故やその疑いを把握した際の報告期限・連絡先・初動対応を定めます。個人データの漏えい等が一定の要件に当たる場合、委託元は事態を知ってから概ね3〜5日以内に、個人情報保護委員会へ速報を行わなければなりません（個人情報保護法第26条）。「発覚から24時間以内に第一報」「判明した事実と影響範囲を順次共有」など期限と内容を具体的に決めておけば、委託元での報告や本人対応の遅れを防げるでしょう。

保険の有無

情報漏えいや賠償請求に備えた保険の加入状況に加え、補償限度額・対象となる事故・免責事項を確認します。保険に加入していても委託業務で生じた損害が補償の対象外となる場合もあるため、必要に応じて保険証券の写しや補償内容がわかる資料の提示を求めましょう。

個人情報を含む場合の追加条項

個人データの取り扱いを委託する場合、委託元には委託先に対する必要かつ適切な監督が求められます（個人情報保護法第25条）。安全管理措置・目的外利用の禁止・再委託の条件・事故発生時の報告に加え、委託先での取り扱い状況を確認する方法（定期報告や監査など）も条項に盛り込みましょう。マイナンバーを含む場合は、番号法による利用範囲の制限も踏まえ、対象書類・作業担当者・保管方法と消去方法を具体化することが重要です。

まとめ｜見積もり依頼時に契約チェックリストを添付する

7項目をチェックリストにまとめて見積もり依頼に添付し、各社の回答内容・追加費用・対応可能な条件を比較しましょう。契約書に記載がない項目は、仕様書や覚書で補えるかも確認してください。損害賠償の範囲や消去期限まで具体的に回答できるかどうかが、安心して文書を預けられる委託先かを見極める判断材料になります。

セキュリティ体制で選ぶ
文書電子化業者を見る