このページでわかること
- IT業界NDAが一般NDAと異なる理由（保護対象・GDPR対応・OSS条項）
- ソースコード・PII・ログデータを法的に守るための具体的条項
- 存続期間（3年/5年/無期限）の選び方
- 違反時の差止請求・損害賠償・刑事罰の範囲
- 退職時の情報返還義務・GitHubポートフォリオ問題
IT業界NDAの特殊性
IT業界向けのNDA（秘密保持契約書）は、一般的な企業間NDAと比較して保護すべき情報の種類・技術的管理要件・国際法規制（GDPR等）の3点で大きく異なります。一般版NDAをそのままIT業界に使うと、ソースコード漏洩・顧客DBの第三者提供・OSSライセンス違反が契約上の「抜け穴」になるリスクがあります。
| 項目 | 一般版NDA | IT業界特化NDA |
|---|---|---|
| 主な保護対象 | 経営情報・販売情報・顧客リスト | ソースコード・設計書・PII・ログデータ・モデル重み |
| 保護対象の定義 | 「機密と指定した情報」 | 例示列挙（コード・DB・API仕様・認証情報等）＋開示者の指定＋口頭開示の書面確認 |
| 法的根拠 | 不正競争防止法（国内） | 不正競争防止法 + 個人情報保護法 + GDPR（EU向け案件） |
| OSS条項 | なし | 許可ライセンスの別紙・コピーレフト型は事前承諾・OSS部分の除外（このテンプレートの第15条） |
| 退職時の対応 | 「情報を返還・廃棄する」 | 復元不能な廃棄・廃棄証明書・リポジトリ等のアクセス権削除まで特定（第8条） |
| 存続期間 | 契約ごとに決める | ソースコード等は5年、PII/顧客データは「保有期間＋3年」 |
ソースコード・設計書の秘密保持
ソースコードが 不正競争防止法2条6項 の「営業秘密」として保護されるには、①秘密管理性（GitHubプライベートリポジトリ・アクセス制限済みGitLab・パスワード管理）、②有用性（競合他社が利用すれば経済的利益を得る）、③非公知性（OSS公開済みでない）の3要件を満たす必要があります。
IT業界向けNDAでは以下を「秘密情報」として明示列挙することを推奨します。
- コンピュータプログラム（ソースコード・バイナリ・コンパイル済みファイル）
- システム設計書・アーキテクチャ図・ER図・API仕様書
- テスト仕様書・脆弱性診断レポート・セキュリティポリシー
- インフラ構成（Terraform/CloudFormation等のIaCファイル）
- 機械学習モデルの構造・学習済み重み・訓練データセット
- Slack DM・Notionページ・Confluenceドキュメント（秘密と分かる状況で開示されたもの）
顧客データ・PII（個人情報）取扱
顧客データ・個人識別情報（PII: Personally Identifiable Information）は、NDA違反だけでなく個人情報保護法およびGDPR（EU一般データ保護規則）の制裁対象にもなります。このテンプレートでは、次の条項で契約上の責任範囲を決めています。
- 個人情報（PII）が含まれるときは、日本の個人情報保護法のほか、EU居住者の分はGDPR、カリフォルニア州住民の分はCCPA/CPRAなどを守る（第7条1項）
- 漏洩を見つけたら直ちに開示者へ通知し、GDPRの通知義務（33条1項は、把握から72時間以内を目安に監督当局へ通知することを管理者に求めています）や個人情報保護法の報告義務に協力する（第7条2項）
- データを国外に移すときは、標準契約条項（SCC）などの適法な根拠を確保する（第7条3項）
- 個人情報は、保有している間と、返還・廃棄が終わった後3年は義務が続く（第11条3項）
OSS利用ガイドライン
GPLv3は、コピーを手にした人に作品全体を同じライセンスで許諾することを求めます（5条c）。GPLコードを組み込んだものを渡す相手とNDAを結ぶと、非開示の約束と食い違うことがあります。このテンプレートの第15条と別紙は、次のように整理しています。
- 許可ライセンスリスト（MIT・Apache 2.0・BSD 2-Clause・BSD 3-Clause等）を別紙に明示
- 「別紙許可リスト掲載のOSSコンポーネント自体はNDAの秘密情報から除外する」と明記
- 別紙に載せていないライセンス（GPL・AGPL・LGPL等を含む）のOSSを開示者のコードに組み込むときは、事前の書面承諾を得る（第15条2項）
- OSS利用申請・承認フローを社内ポリシーとして整備する
守るべき情報の範囲（限定列挙 vs 例示列挙）
秘密情報の定義方式は限定列挙型と例示列挙型の2種類があり、それぞれトレードオフがあります。このテンプレートの第2条は、例示列挙に「開示者が秘密として指定した情報」を足し、口頭で開示された情報は14日以内の書面確認で対象にする形です。
| 方式 | メリット | デメリット | IT業界での推奨場面 |
|---|---|---|---|
| 限定列挙型 （「以下の情報のみを秘密情報とする」） | 受領側の予見可能性が高い・過剰な義務を避けられる | 列挙漏れが抜け穴になる・新技術・新サービスへの対応が遅れる | 短期プロジェクト・スコープ限定の業務委託 |
| 例示列挙型 （「以下を含むがこれに限らない秘密情報」） | 網羅性が高い・新しい情報形態にも対応 | 何が秘密情報かが不明瞭・受領側に不利 | 長期の共同開発・技術提携・M&Aデューデリ |
| 二重構造型 （限定列挙 + 追加指定条項） | 明確性と柔軟性のバランス | 条項が複雑になる・双方の確認コスト増 | このテンプレートの第2条に近い形（例示＋指定＋口頭の書面確認） |
このテンプレートの第2条の書き方（要旨）: 「秘密情報とは、本目的に関連して開示された情報をいい、(1)ソースコード、(2)設計書・仕様書、(3)データベース構造、(4)APIキー・認証情報、(5)顧客情報、(6)個人情報（PII）……(10)その他開示当事者が秘密として指定した情報を含むが、これに限らない。口頭・視認・GitHub招待等で開示された情報は、開示日から14日以内に書面（メール可）で「秘密」と特定された場合に秘密情報として扱う。」
GDPR/個人情報保護法対応
EU域内の個人データを取り扱うIT企業・エンジニアは、NDAと並行して、次の点に気をつけてください。処理者に個人データの処理を任せるときは、契約（Data Processing Agreement: DPA）で定める必要があります（GDPR第28条3項）。第28条の義務違反は、制裁金が1,000万ユーロまたは前会計年度の全世界売上高の2%のいずれか高い方までの枠です（83条4項a）。処理の基本原則や同意の条件（5条・6条・7条・9条）の違反は、2,000万ユーロまたは4%の枠です（83条5項a）。
| 法規制 | 適用対象 | 主な義務 | NDAでの対応 |
|---|---|---|---|
| 個人情報保護法（日本） | 日本国内の個人情報取扱事業者 | 目的明示・安全管理・第三者提供制限 | 「個人情報を委託目的以外に使用しない」条項 |
| GDPR（EU） | EU域内居住者の個人データを処理する事業者 | 処理者との契約（28条3項）・データ侵害の監督当局への通知（33条1項） | 個人データの処理を任せるときは、NDAとは別にDPAを結ぶ。このテンプレートの第7条は、法令を守ることと漏洩時の協力を定めるにとどまり、DPAの代わりにはなりません |
日本の 個人情報保護委員会ガイドライン（通則編） では、個人データの委託先に対する監督義務（法第25条）が規定されており、NDA内に「委託先が安全管理措置を実施していることを定期的に確認する権利」を盛り込むことが望まれます。
存続期間（3年/5年/無期限の判断軸）
NDAの「存続期間」とは、契約終了後も秘密保持義務が続く期間のことです。IT業界では情報の種類に応じて存続期間を使い分けることが重要です。
| 情報の種類 | 推奨存続期間 | 理由 |
|---|---|---|
| ソースコード・アーキテクチャ設計 | 5年 | このテンプレートの第11条2項は、一般の秘密情報を契約終了後5年としています。年数は情報の性質に合わせて書き換えてください |
| 顧客データ・PII（個人情報） | 保有期間＋3年 | 保有している間は義務が続き、返還・廃棄が終わった後も3年続く（第11条3項） |
| 営業情報・事業計画 | 5年（第11条2項） | ソースコードと同じ扱いです。短くしたいときは第11条2項を書き換えます |
| セキュリティ情報（脆弱性・認証情報） | パッチ適用または廃棄まで | このテンプレートには入れていません。必要なら第11条2項を書き換えます。パッチ後は秘密性が下がりますが、廃棄したシステムの旧脆弱性情報は攻撃に使われる可能性があります |
| 無期限 | 非推奨 | 保護する情報の性質に見合わないと争われる余地がある（民法90条）。営業秘密にあたる情報は、NDAの期間とは別に不正競争防止法でも保護される |
存続期間が長すぎる、あるいは無期限の条項は、保護する情報の性質に見合わない場合に問題になることがあります。ソースコードなど技術情報では、情報の性質に応じて長めの期間を設ける例も実務にはあります。期間は一律に決めず、情報ごとにその必要性を説明できる長さにしておくのが安全です。営業秘密にあたる情報は、秘密として管理されている限り、NDAの期間とは別に不正競争防止法でも保護されます。
違反時のペナルティ（差止請求・損害賠償・違約金）
IT業界NDAの違反には、民事（差止請求・損害賠償・違約金）と刑事（不正競争防止法）の両方が適用されます。違約金（損害賠償額の予定）を定められるのは企業間（取引先との）NDAだけです。従業員との秘密保持契約や入社時・退職時の誓約書に違約金や賠償額の予定を入れることは、労働基準法16条（「使用者は、労働契約の不履行について違約金を定め、又は損害賠償額を予定する契約をしてはならない。」）で禁止されています。従業員の違反には、実際に生じた損害の賠償を請求します。
| 手段 | 根拠法令 | 内容 | IT業界での実務ポイント |
|---|---|---|---|
| 差止請求 | 不正競争防止法3条 | 侵害行為の停止・予防を命じる仮処分・本訴 | 営業秘密の使用・開示が続いている場合は、本訴を待たずに仮処分の申立てを検討する |
| 損害賠償請求 | 不正競争防止法4条・民法709条・415条 | 実損害・逸失利益・信用回復費用 | 損害額の立証が難しいことが多い。従業員の違反では、違約金ではなく実際に生じた損害の賠償を請求する（労働基準法16条） |
| 違約金 | 民法420条1項・3項／労働基準法16条 | 損害賠償額の予定（違約金は賠償額の予定と推定される） | 企業間（取引先との）NDAに限り定められる。金額は取引の内容に見合うかを個別に検討する。従業員との契約・誓約書には定められない（労働基準法16条） |
| 刑事告発 | 不正競争防止法21条2項・5項 | 2項1号: 営業秘密を示された者による、不正の利益を得る目的などでの領得（横領・複製・消去の仮装） 2号: 領得した営業秘密の使用・開示 3号: 示された役員・従業者による使用・開示 4号: 役員・従業者であった者による、在職中の申込み・請託に基づく退職後の使用・開示 いずれも10年以下拘禁刑・2,000万円以下罰金（併科あり）／国外での使用目的など（5項）: 罰金の上限3,000万円 | どの号にあたるかで、行為と対象者が変わります。警察・検察への相談・告訴を検討する |
営業秘密として守られるには、秘密として管理されていること（秘密管理性）が要ります。 経済産業省 営業秘密管理指針 で、管理の考え方を確認してください。このテンプレートの第5条（管理基準）は、技術的・組織的・人的・物理的な措置の守り方を、取引先に求める形で定めています。
サイバー攻撃などの不可抗力で秘密情報が漏れたときの責任は、第13条が分けています。受領した側は、漏れた時点で第5条の管理基準を守っていたときに限って免責され、免責される場合でも、開示者への速やかな通知・被害拡大の防止・原因調査への協力は残ります。基準を守っていなかったときは免責されません。
退職時の情報返還義務
このテンプレートは会社と会社の間のNDAです。従業員が退職するときの誓約は、秘密保持誓約書で結びます。このテンプレートの第8条は、契約終了時の返還・廃棄、復元不能な方法での廃棄と廃棄証明書、リポジトリ等のアクセス権の削除を定めています。以下は、従業員の誓約書や社内規程に入れる内容の目安です。
IT業界では退職時にローカルPCへのソースコードコピー・クラウドストレージへの私的バックアップ・個人GitHubリポジトリへのプッシュが問題になることがあります。次のような取り決めを置いておくと、トラブルを防ぎやすくなります。
- 返還・削除対象の明示: ソースコード（ローカルコピー含む）・設計書・顧客データ・アクセス認証情報（APIキー・パスワード等）
- 削除確認書面の取得: 退職日または契約終了日に「秘密情報の完全削除・返還完了確認書」を交わす
- 個人GitHubリポジトリの確認: 業務コードを個人アカウントにプッシュしていないことを誓約させる
- クラウドサービスのアクセス権限剥奪: AWS/GCP/Azure・GitHub・GitLab・Slack・Notionの招待取り消しと確認
- デバイスの証拠保全手続き: 業務PCを会社が回収し、必要に応じてフォレンジック調査を実施する権限
業務で使ったコードを個人のポートフォリオとして公開したいエンジニアは、退職前に「公開可能範囲の確認書面」を会社から取得することを推奨します。公開済みのOSSプロジェクトや会社が明示的に許可したコードに限り、個人ポートフォリオへの掲載が認められます。
業界特化条項のNG/OK比較
IT業界のNDAでよく見られるNG条項と推奨のOK条項を比較します。
| 場面 | NGの書き方（リスクあり） | OKの書き方（推奨） |
|---|---|---|
| 秘密情報の定義 | 「開示された全ての情報を秘密情報とする」 | 「ソースコード・設計書・顧客データ等（第○条に列挙）および書面で秘密と指定した情報」 |
| OSSの取扱い | （OSS条項なし） | 「別紙許可ライセンスリスト掲載のOSSコンポーネントはNDA対象から除外する」 |
| 存続期間 | 「永遠に秘密保持義務を負う」 | 「契約終了後5年間（PIIは保有期間終了後3年間）」 |
| 退職時の対応 | 「秘密情報を返還または廃棄する」 | 「ローカルコピー・個人リポジトリ・クラウドバックアップを削除し、書面で確認する」 |
| GDPR対応 | （個人データ条項なし） | 「EU居住者の個人データを扱うときはGDPRを守る」（処理者に任せるときは、別にDPAを結ぶ） |
| 違約金（企業間NDAのみ） | 従業員の誓約書に「違反1件につき○○万円の違約金を支払う」と入れる（労働基準法16条違反） | 企業間NDAでは「違反1件につき○○万円の違約金を請求できる」と定められる（民法420条）。従業員との契約は「実際に生じた損害を賠償する」とする |
| 口頭開示 | （口頭開示の取扱いなし） | 「口頭開示後14日以内に書面または電磁的記録で秘密旨を通知した情報は秘密情報とする」 |
IT業界NDA よくある質問
ソースコードはNDAの「秘密情報」に含まれますか？
Slack DMやNotionのメモもNDA対象になりますか？
顧客データベース（個人情報含む）の漏洩はNDA違反だけですか？
OSSライセンス（特にGPL）とNDAは矛盾しませんか？
GitHubの秘密リポジトリに上げたコードでも退職後に使えますか？
ログデータ・行動データはPII（個人識別情報）に含まれますか？
NDAの存続期間を「無期限」にすることはできますか？
ITエンジニアが副業先に既存の設計知識を使ってよいですか？
業務委託（フリーランス）エンジニアへのNDAはどう書きますか？
クラウドサービス上のデータ（AWS S3・GCS等）の漏洩責任はどうなりますか？
退職時に自分が作ったコードを「ポートフォリオ」に使えますか？
IT業界NDAの違反差止請求・損害賠償の相場はどのくらいですか？
参考文献・出典
本ページの内容は以下の情報源に基づき作成しています（2026-10-12 確認時点）。
このテンプレートは役に立ちましたか？
残り 300 字
返信はできません。お名前・メールアドレス・電話番号など、個人がわかることは書かないでください。返事が必要なときはお問い合わせから送ってください。
探している書式が見つからないときは、リクエストを送ってください。