納品物のウイルス混入・データ事故の責任｜受け渡し方法の取り決め 2026

まず、安心してください。納品データにウイルスが混入するリスクは、正しい取り決めをしておけば大部分は防げます。「納品データ ウイルス 責任」と検索した皆さんは、おそらく外注先から受け取ったファイルにセキュリティソフトが反応した、あるいはこれから外注を始めるにあたって事前にリスクを潰しておきたいと考えているのではないでしょうか。この記事では、納品データにウイルスが混入していた場合の法的な責任の所在、契約書に盛り込むべき条項、そして実務での検査体制の作り方を、発注する側の目線で具体的にお伝えします。

納品データのウイルス混入は他人事ではない

私が42歳でメーカーを辞めて独立を準備していた頃、最初に痛感したのは「データのやり取りは思っている以上にリスクが高い」ということでした。中小企業庁の調査でも、サプライチェーンを経由したセキュリティ被害は年々増加傾向にあると指摘されています。外部の制作会社やフリーランスに業務を委託する以上、納品物にマルウェアが含まれているリスクをゼロにすることはできません。

特に問題になりやすいのは、以下のようなケースです。

・Officeファイルのマクロ機能を悪用したウイルス ・圧縮ファイル（ZIP）に偽装された実行ファイル ・PDFに埋め込まれたスクリプト ・画像ファイルに見せかけた不正プログラム ・USBメモリなど物理媒体経由の感染

在宅ワーク・業務委託の形態が一般化する中、発注者と受注者の物理的な距離が離れているケースが増えました。対面でのやり取りがない分、データそのものの安全性を担保する仕組みが以前にも増して重要になっています。警察庁の統計でも、法人・団体のランサムウェア被害は高止まりしており、感染経路として取引先や委託先を経由したケースが一定数報告されています。総務省も企業のサプライチェーンセキュリティ対策の必要性を繰り返し発信しています。

つまり「納品データにウイルスが入っていた」という事態は、特殊な業種だけの話ではありません。Webサイト制作、記事執筆、デザイン、経理代行、動画編集など、あらゆる業務委託において起こり得るリスクとして、契約の段階から想定しておく必要があります。

責任の所在はどう決まるのか

民法上の基本的な考え方

まず大前提として、日本の民法には「納品データにウイルスが含まれていた場合、自動的に受注者が全額賠償する」という明文規定はありません。責任の所在は、個別の契約内容と、実際に生じた損害の因果関係によって判断されます。

業務委託契約は多くの場合、成果物の完成を目的とする「請負契約」か、業務の遂行そのものを目的とする「準委任契約」のいずれかに分類されます。請負契約の場合、民法上の契約不適合責任（旧・瑕疵担保責任）の枠組みで、納品物が「契約の内容に適合しない」と評価されれば、発注者は修補請求や損害賠償請求ができる可能性があります。ウイルスが混入したデータは、通常「契約の内容に適合しない成果物」と評価されやすいと考えられます。

ただし、これはあくまで一般論です。実際の裁判や交渉では、以下のような点が争点になります。

・受注者が意図的にウイルスを混入させたのか、過失によるものか ・受注者の作業環境（PC）が既に感染していたのか ・発注者側の環境で感染した可能性はないか ・契約書にウイルス対策に関する条項があったか ・受注者にウイルスチェックの義務が明記されていたか

法務省や国民生活センターの相談事例を見ても、こうした「どちらの環境で感染したか特定できない」ケースは実務上、責任の所在を巡って揉めやすい典型例です。だからこそ、契約の時点で責任分担のルールを明確にしておくことが重要になります。

過失の有無がカギになる

ウイルス混入の責任を考える上で最も重要なのは「過失があったかどうか」です。受注者が最低限のセキュリティ対策（OSのアップデート、セキュリティソフトの導入、不審なメールを開かない等）を怠っていた結果としてウイルスに感染し、それが気づかないまま納品物に混入した場合、受注者側の過失が認定されやすくなります。

一方で、受注者が一般的な注意義務を尽くしていたにもかかわらず、未知の脆弱性を突かれて感染した場合は、受注者に過失があったとは言い切れないケースもあります。ゼロデイ攻撃と呼ばれる、対策が間に合わない新種のウイルスによる被害は、受注者個人の努力だけでは防ぎきれない側面があるためです。

私自身、外注を始めたばかりの頃に苦い経験をしました。ある制作会社に見積もりだけを比較して発注先を決めたところ、納品されたZIPファイルにセキュリティソフトが反応したことがありました。幸い実害はありませんでしたが、契約書にセキュリティ対策の取り決めが一切なかったため、相手先とどう責任を分担すべきか分からず、対応に時間を取られました。この経験から、皆さんには最初から契約書にセキュリティ条項を入れることを強くお勧めしています。

損害賠償の範囲はどこまで及ぶか

仮に受注者の過失が認められた場合、損害賠償の範囲も論点になります。一般的に想定される損害には、以下のようなものがあります。

・感染したPC・サーバーの復旧費用 ・業務停止による逸失利益 ・情報漏洩が生じた場合の調査費用・通知費用 ・取引先への説明・信頼回復のためのコスト

ただし、日本の裁判実務では、損害賠償の範囲が「通常生じる損害」に限定される傾向があります（民法416条の考え方）。逸失利益のような間接的な損害まで賠償対象に含めるには、契約時にその旨を明記しておくか、損害の発生が予見可能であったことを立証する必要があります。

このため、業務委託契約書に「賠償額の上限」や「賠償の対象範囲」を定めておくことは、発注者・受注者双方にとって重要です。上限を定めないまま契約すると、万が一の際に交渉が長期化するリスクが高まります。

契約書に盛り込むべき具体的な条項

セキュリティ対策の義務化条項

まず基本となるのが、受注者に対して一定水準のセキュリティ対策を義務付ける条項です。具体的には、以下のような内容を盛り込むことを検討してください。

・作業に使用するPCへのセキュリティソフトの導入と定期更新 ・OS・ソフトウェアの最新化 ・納品前のウイルススキャンの実施 ・不審なファイル・リンクを開かない基本的な情報セキュリティ意識の徹底

これらを「努力目標」ではなく「契約上の義務」として明記することで、万が一の際に受注者の過失を立証しやすくなります。中小企業庁が公開している中小企業向けセキュリティガイドラインでも、委託先に対する契約上のセキュリティ要求事項の明記が推奨されています。

納品前検査の義務条項

次に重要なのが、納品前にウイルスチェックを行い、その結果を発注者に報告することを義務付ける条項です。「納品データは事前にウイルスチェック済みであることを保証する」という一文を契約書に入れるだけでも、責任の所在を明確にする効果があります。

さらに厳格に管理したい場合は、以下のような仕組みも検討できます。

・納品前にウイルスチェックのスクリーンショットを提出させる ・信頼できるクラウドストレージ（ウイルススキャン機能付き）経由での納品を指定する ・重要なプロジェクトでは第三者機関によるセキュリティ監査を挟む

損害賠償・免責条項

契約書には、万が一ウイルス混入による損害が発生した場合の賠償の範囲、上限額、免責事由についても明記しておくべきです。例えば以下のような条項が考えられます。

受注者は、納品するデータについて、納品時点で一般的に利用可能なウイルス対策ソフトウェアによる検査を実施し、これに合格したものであることを保証する。当該保証に反し、受注者の故意または過失により発注者に損害が生じた場合、受注者は当該損害（直接損害に限る）につき、本契約に基づく報酬額を上限として賠償する責任を負う。 出典: 中小企業庁

このように賠償額の上限を「報酬額」に限定するのは、フリーランスなど個人受注者にとって過度に重い責任を負わせないためのバランス感覚でもあります。発注者側としても、上限を定めておくことで交渉の長期化を防げます。

受け渡し方法の指定条項

データの受け渡し方法自体を契約書で指定しておくことも、リスク低減に有効です。実務上よく使われる方法には、以下のようなものがあります。

・クラウドストレージ（ウイルススキャン機能があるサービスを選定） ・専用のファイル転送サービス（送信時に自動スキャンされるもの） ・パスワード付きZIPよりも、スキャン可能な形式での受け渡しを優先する ・USBメモリなど物理媒体の使用は原則禁止する

パスワード付きZIP（いわゆるPPAP方式）は、セキュリティソフトによるスキャンをすり抜けやすいという問題が以前から指摘されています。総務省も行政機関でのPPAP廃止を進めており、民間の業務委託でも同様の見直しが進んでいます。契約時に「PPAP方式での納品は禁止し、スキャン可能なクラウドストレージ経由とする」と明記しておくことをお勧めします。

発注前に確認すべきチェックポイント

受注者のセキュリティ意識を見極める

契約前の段階で、受注者のセキュリティに対する意識をある程度見極めることができます。以下のような質問を投げかけてみるとよいでしょう。

・「作業環境ではどのようなセキュリティ対策をされていますか」 ・「納品前にウイルスチェックは行っていますか」 ・「これまでにセキュリティ関連のトラブルはありましたか」

きちんとした受注者であれば、これらの質問に具体的に答えられるはずです。曖昧な回答や、質問自体を煙たがるような反応がある場合は、注意が必要です。

見積もり比較だけで判断しない

発注先を選ぶ際、多くの発注者は費用と納期を最優先で比較しがちです。しかし、セキュリティ体制やコミュニケーションの質を軽視すると、後々のトラブルにつながりやすくなります。

私が経験した失敗も、まさにこのパターンでした。3社から見積もりを取り、金額の安さだけで発注先を決めた結果、契約書の内容を十分に詰めないまま作業が始まってしまいました。後から振り返ると、金額差はわずか1万円程度だったにもかかわらず、セキュリティ条項の有無という重要な違いを見落としていたのです。皆さんには、価格だけでなく、契約内容の丁寧さやコミュニケーションの質も含めて総合的に判断することをお勧めします。

仲介手数料と直接契約のコスト差

外注先を探す方法には、大きく分けて「代理店・制作会社を通す方法」と「フリーランスに直接依頼する方法」の2つがあります。代理店を経由する場合、中間マージンが上乗せされるため、同じ予算でも受け取れる作業量やクオリティが目減りしやすい傾向があります。

一方、フリーランスへ直接依頼すれば、中間マージンが発生しない分、同じ予算でより手厚い作業を依頼できる可能性が高まります。ただし、直接契約の場合は、代理店が担っていた品質管理やセキュリティチェックの機能を、発注者自身が契約書と運用ルールでカバーする必要があります。つまり「安いから直接契約にする」だけでなく、セキュリティ面の取り決めをきちんと自分たちで用意することが、直接契約を成功させる前提条件になります。

実際にウイルスが検出された場合の対応フロー

初動対応

万が一、納品されたデータからウイルスが検出された場合、慌てず以下の手順で対応することをお勧めします。

1. 該当ファイルを直ちに隔離し、開かない・実行しない
2. 感染の疑いがあるPC・ネットワークを一時的に切り離す
3. セキュリティソフトの検出ログ・エラーメッセージを保存する
4. 受注者に事実関係を確認し、経緯を記録する
5. 必要に応じてセキュリティ専門業者に相談する

初動対応の速さが、被害の拡大を防ぐ最大のポイントです。特にファイルを実行してしまう前に検出できた場合は、被害を最小限に抑えられる可能性が高くなります。

受注者への確認事項

受注者に対しては、以下のような点を冷静に確認していきましょう。

・いつ、どの作業環境で当該ファイルを作成したか ・作成時点でセキュリティソフトは稼働していたか ・他の取引先にも同様のファイルを納品していないか ・過去にも同様の事象があったか

感情的な追及ではなく、事実関係を整理する姿勢で臨むことが、その後の交渉をスムーズに進めるコツです。契約書にセキュリティ条項が明記されていれば、この確認作業も進めやすくなります。

損害賠償請求を検討する場合

実際に損害が生じ、受注者側の過失が明らかな場合は、損害賠償請求を検討することになります。ただし、フリーランスなど個人の受注者に対して過大な請求を行うことは、現実的な回収可能性の観点からも慎重に判断すべきです。

多くのケースでは、まず話し合いによる解決を目指し、それでも折り合いがつかない場合に弁護士への相談や、少額訴訟などの法的手続きを検討する流れになります。中小企業庁や商工会議所などが提供する無料相談窓口を活用するのも一つの方法です。

リスクを最小化する仕組み作り

検査体制を仕組み化する

一度の注意喚起だけでリスクをゼロにすることはできません。継続的に外注を活用する企業・個人事業主は、以下のような検査体制を仕組みとして定着させることをお勧めします。

・納品データは必ず社内の検疫用PC・サンドボックス環境で一次チェックする ・複数のセキュリティソフトでダブルチェックする ・重要なファイル形式（実行ファイル、マクロ付きOfficeファイル）は原則受け取らない運用にする ・定期的に取引先へセキュリティ対策の確認アンケートを実施する

こうした仕組みは、一度構築してしまえば運用コストはさほど大きくありません。むしろ、事故が起きた後の対応コストと比較すれば、事前投資として十分見合うものです。

契約書テンプレートの整備

毎回ゼロから契約書を作成するのは非効率です。セキュリティ条項・納品前検査条項・賠償条項をあらかじめ盛り込んだ契約書テンプレートを整備しておけば、発注のたびに条項の抜け漏れを心配する必要がなくなります。特に複数の受注者に繰り返し発注する企業にとって、テンプレート化は業務効率化とリスク管理の両面で有効です。

契約書の作成にあたっては、ビジネス文書検定のような資格を持つ人材に文書整備を依頼するのも一つの選択肢です。適切な文書作成スキルを持つ人材が関わることで、条項の曖昧さや解釈の余地を減らすことができます。

独自データの考察

@SOHOで蓄積してきた業務委託データを見ると、セキュリティ関連の取り決めを契約書に明記しているケースほど、トラブル発生時の解決がスムーズに進む傾向が見られます。特に「納品前検査の義務」と「賠償額の上限設定」の2つを明記しているケースでは、当事者間の話し合いだけで解決に至る割合が高くなっています。

逆に、口頭でのやり取りだけで発注し、契約書自体を作成していないケースでは、トラブル発生時に「言った・言わない」の水掛け論になりやすく、解決までに長い時間を要する傾向があります。特に発注者・受注者の関係が対面でなくオンライン完結の場合、この傾向はより顕著です。

20年この市場を見てきた立場から言えば、長く良好な関係を築いている発注者と受注者のペアほど、契約書を「形式的な書類」ではなく「トラブルを未然に防ぐコミュニケーションツール」として活用しています。単発の発注で終わる関係では契約内容が疎かになりがちですが、継続的な取引を前提とする関係では、双方がセキュリティ体制について率直に話し合う土壌ができているのです。

もう一つ運営者として見てきた実感があります。中間マージンが乗らない直接取引は、発注者にとって同じ予算でより手厚い検査体制やコミュニケーションに予算を回せる余地を生みます。仲介手数料の分だけ、契約書の精査やセキュリティ対策への投資に回せる予算が増えるということです。手数料0%という条件は単なる金額の話ではなく、浮いた予算を安全性の担保に振り向けられるという質的なメリットとして捉えると分かりやすいでしょう。実際、直接契約を続けている発注者の多くは、浮いた予算の一部を検査ツールの導入やセキュリティ研修に充てているという声も聞かれます。

もし業務委託先を探す段階であれば、AIコンサル・業務活用支援のお仕事やAI・マーケティング・セキュリティのお仕事といったガイドを参考に、専門性を持つ人材の相場感を先に把握しておくと、契約交渉がスムーズになります。また、システム開発を伴う業務ではアプリケーション開発のお仕事のページで、開発工程におけるセキュリティ体制の一般的な水準を確認しておくのも有効です。

制作物の受け渡しにおいて、外部からのウイルス感染は納品データだけでなく、取引先経由で組織全体に波及するリスクもはらんでいます。取引先経由のウイルス侵入を防ぐ！中小企業のサプライチェーンリスク管理では、委託先だけでなく取引先全体を視野に入れたリスク管理の考え方を解説しています。あわせて確認しておくと、契約書の条項設計により具体性を持たせられます。

なお、受注者側の立場から見ると、業務中の事故やトラブルに備えた保険加入も重要な論点です。発注者としても、受注者がフリーランスが加入すべき民間保険3選｜所得補償・賠償責任・医療保険で紹介されているような賠償責任保険に加入しているかどうかを確認することは、万が一の際の実効的な補償を確保する上で有効な確認事項になります。契約書上の賠償条項があっても、実際に受注者側に支払い能力がなければ絵に描いた餅になりかねません。保険加入の有無を発注前のチェックリストに加えておくことをお勧めします。

さらに、セキュリティ対策の重要性は制作業務に限りません。組織全体のリスク管理体制を統括する立場の人材を外部から迎える動きも広がっています。マーケティング責任者を外注するメリット｜業務委託CMOの戦略立案と実行力で紹介されているような外部専門人材の活用は、マーケティング領域に限らず、セキュリティガバナンス全体を俯瞰する視点を組織にもたらす一つの手段として参考になります。

まとめに代えて、契約前に確認したい最終チェック

ここまで、納品データのウイルス混入における責任の所在、契約書に盛り込むべき条項、実際の対応フローについて解説してきました。最後に、発注前に確認しておきたいポイントを整理します。

・契約書にセキュリティ対策の義務条項があるか ・納品前検査の義務と報告方法が明記されているか ・損害賠償の範囲と上限額が定められているか ・受け渡し方法（クラウドストレージ等）が指定されているか ・受注者が賠償責任保険に加入しているか

私も42歳で独立準備を始めたとき、契約書の細部まで気を配る余裕がなく、価格と納期ばかりに目が行っていました。しかし、セキュリティを含めた契約条項の丁寧さは、長期的に信頼できる取引relationshipを築くための土台になります。皆さんが外注先を選ぶ際は、価格だけでなく、こうした条項の有無をぜひ確認基準に加えてみてください。

よくある質問

Q. 納品データにウイルスが混入していた場合、必ず受注者が賠償責任を負いますか？

必ずしもそうとは限りません。責任の所在は契約内容や過失の有無によって判断されます。受注者が最低限のセキュリティ対策を怠っていた場合は過失が認定されやすくなりますが、契約書にセキュリティ条項がないと責任の所在が曖昧になりやすいため、事前の取り決めが重要です。

Q. 契約書にはどんなセキュリティ条項を入れればよいですか？

セキュリティ対策の義務化、納品前ウイルスチェックの義務、賠償額の上限設定、受け渡し方法の指定（クラウドストレージ経由・PPAP禁止等）の4つを基本条項として盛り込むことをお勧めします。テンプレート化しておくと毎回の契約作成が効率化できます。

Q. 発注者側でもできるウイルス対策はありますか？

社内に検疫用のPCやサンドボックス環境を用意し、受け取ったファイルを開く前にスキャンする運用が有効です。複数のセキュリティソフトでのダブルチェックや、実行ファイル・マクロ付きファイルを原則受け取らない運用ルールも効果的です。

Q. 仲介会社を通さず直接契約する場合、セキュリティ面で不利になりませんか？

仲介会社が担っていた品質・セキュリティチェックの機能を、発注者自身が契約書と運用ルールでカバーする必要はあります。ただし中間マージンが発生しない分、浮いた予算を検査体制やセキュリティ研修に振り向けられるという利点もあります。

無料で案件を掲載する

入力は3分ほど。掲載料も取引手数料も0円です。@SOHOに登録しているフリーランス・副業ワーカーから、早ければ当日中に最初の応募が届きます。