取引終了した外注先が顧客データを持ち続けるリスク｜返却と消去の求め方 2026

2026年2月11日

中西直美

この記事のポイント

✓契約終了データ返却消去でお悩みの発注者向けに
✓外注先へのデータ返却・消去の求め方
✓実務フローを解説します

「契約終了データ返却消去」で検索されたということは、今まさに外注先との契約を終えようとしている、あるいは終えたばかりなのではないでしょうか。顧客リストや売上データ、SNSのアカウント情報を渡した相手との関係が切れるとき、頭の片隅に小さな不安がよぎる。これは自然な反応です。大丈夫です。契約終了後のデータ管理は、正しい手順を知っていれば、きちんと自分の手でコントロールできます。この記事では、外注先にデータの返却・消去を求める具体的な方法と、次に契約するときに同じ不安を抱えなくて済むための契約書の作り方を、順を追ってお話しします。

契約終了後もデータが残り続ける問題は、なぜ今注目されているのか

在宅ワークや業務委託を活用する個人事業主・中小企業が増えるなかで、契約終了後のデータの行方は見落とされがちな論点です。SNS運用、経理事務、広告運用代行など、外部のフリーランスや制作会社に業務を委託する場面では、顧客リスト、決済情報、広告アカウントのログイン情報、投稿素材など、事業の根幹に関わるデータを相手に預けることになります。契約が続いている間はその関係に問題を感じなくても、契約が終わった瞬間から「あのデータは今どこにあるのか」という問いが浮かび上がります。

セキュリティ評価サービスを提供する企業の調査では、契約終了後のデータ取り扱いについて興味深い実態が報告されています。

昨今、ランサムウェア感染やアクセス権限の設定ミスによる個人情報の漏えい事案が日々発生し、セキュリティ脅威が拡大しています。先日は、利用契約が終了したクラウドサービスから、アクセス権限の設定ミスにより個人情報が漏えいする事案が発生しました。クラウドサービスの利用契約中は、クラウドサービスへの預託データが適切に管理されていることを定期的に評価することが多いですが、契約終了後に評価することは通常ありません。出典: assured.jp

契約中は毎月の請求や成果物のやり取りを通じて、発注者と受注者の間に自然な緊張感が保たれています。ところが契約が終わった瞬間、その緊張感はすっと消えてしまいます。相手が悪意を持っているかどうかは関係ありません。単に「もう見なくなったデータの管理」に、誰も意識を向けなくなるだけなのです。これは受注者側の落ち度というより、契約終了という区切りが持つ構造的な盲点だと捉えたほうが実態に近いでしょう。

個人情報保護の観点からも、企業が業務委託先に個人データを取り扱わせる場合、委託先の管理状況を把握し続ける責任は発注者側にあります。契約が終わったからといって、その責任が自動的に消えるわけではありません。むしろ「契約終了後こそ」、発注者が能動的に確認すべきタイミングだと考えてください。

契約終了後のデータ、返却・消去義務はどこまで法的に定まっているのか

まず知っておいていただきたいのは、日本の法制度上、業務委託契約が終了したときに受注者が自動的にデータを返却・消去する義務を負う、という一律のルールは存在しないということです。データの返却・消去義務は、基本的に契約書に明記された条項に基づいて発生します。契約書に何も書かれていなければ、法的にグレーな状態のまま関係が終わってしまう、というのが実務上の現実です。

一方で、個人情報を含むデータについては、個人情報保護法の趣旨から、委託先は委託された目的の範囲でしかデータを利用・保管できません。契約が終了し、委託の目的が消滅した以上、そのデータを合理的な期間を超えて保持し続けることは、個人情報保護の考え方に反すると解釈されるのが一般的です。とはいえ、これは「解釈」であり、明文の削除期限が契約書にない限り、いつまでに消去すべきかという具体的な線引きは曖昧なままになりがちです。

下請取引の公正性を扱う法律の観点からも、発注者と受注者の力関係を踏まえた適正な取引が求められています。

この度、契約終了後のデータ取り扱いについてクラウドサービス事業者の主な対策実態をAssured独自データ（Assuredがセキュリティ評価を実施したクラウドサービス）からまとめ発表します。出典: assured.jp

つまり結論としては、法律だけに頼ってデータの安全な返却・消去を実現することはできません。契約書に「返却の方法」「消去の期限」「証明の提出」を具体的に書き込んでおくことが、唯一の確実な手段だということです。次の章で、契約終了時に実際にどう動けばよいかを、ステップごとに整理します。

データ返却・消去の実務フロー：契約終了前にやるべき5つのステップ

契約終了が決まったら、慌てずに次の5つのステップで進めてください。順番を守ることが、トラブルを避ける一番の近道です。

ステップ1：委託したデータの棚卸しをする

まず、その外注先にどんなデータを渡していたかを洗い出します。顧客リストのExcelファイル、広告アカウントのログイン情報、SNSのパスワード、デザインの元データ、契約書のPDF控えなど、業務の過程で受注者の手元に渡ったものをすべてリストアップしてください。契約開始時の共有フォルダやメールの添付履歴を遡ると、思った以上に多くのデータを渡していたことに気づくはずです。この棚卸しをしないまま契約終了の連絡だけを済ませてしまうと、後になって「あのデータはどうなったか」を個別に確認する二度手間が発生します。

ステップ2：返却してほしいデータと消去してほしいデータを分ける

すべてのデータを一律に「返却」してもらう必要はありません。顧客リストのように事業継続に必須のデータは返却を求め、外部に漏れると困るパスワードやアクセス権限は返却ではなく即時の消去（変更）を求める、というように使い分けます。特にログイン情報やAPIキーは、返却してもらう前提そのものが危険です。契約終了と同時にパスワードを変更し、アクセス権限を失効させることのほうが優先度は高くなります。

ステップ3：書面またはメールで正式に依頼する

口頭やチャットの一言で済ませず、必ず記録に残る形（メールまたは書面）で、返却・消去を依頼してください。件名に「業務委託契約終了に伴うデータ返却・消去のお願い」のように明記し、対象データの一覧、返却方法（USBでの手渡しか、パスワード付きファイル共有か）、消去完了の報告期限を具体的に書きます。2週間程度を目安に期限を設定するケースが多いですが、データ量や業務の引き継ぎ状況に応じて調整してください。

ステップ4：消去完了の証明を受け取る

意外と見落とされがちなのがこのステップです。「消去しました」という一言の返信だけでなく、可能であれば消去したファイル名やフォルダのスクリーンショット、あるいは簡単な消去完了報告書を提出してもらうよう依頼してください。特に個人情報を含むデータの場合、後から漏えいが発覚した際に「契約終了時に消去済みであることを確認していた」という記録が、発注者側の説明責任を果たす材料になります。

ステップ5：アクセス権限を発注者側からも遮断する

受注者に消去を依頼するだけでなく、発注者側からも共有フォルダの招待を取り消す、共有ドライブの権限を削除する、パスワードを変更するといった対応を必ず行ってください。相手が善意で消去を約束してくれていても、システム上のアクセス経路が残っていれば、意図しない形でデータに触れられる可能性はゼロになりません。「相手の対応を待つ」だけでなく、「自分でも遮断する」という二重の備えが安心につながります。

契約書に「データ返却・消去条項」を入れる際の書き方とチェックポイント

ここまで読んで「今回の契約にはそもそもデータに関する条項がなかった」と気づいた方も多いと思います。ご安心ください。今回の経験を、次の契約から活かせば十分です。契約書に盛り込むべきポイントを整理します。

消去の期限を明記する

「契約終了後、速やかに消去する」という表現だけでは、受注者によって解釈の幅が生まれてしまいます。「契約終了日から30日以内に消去し、消去完了報告書を提出すること」のように、具体的な日数と、報告義務までセットで書いておくことが重要です。

返却の方法と形式を指定する

顧客データをどのファイル形式で、どういった手段（暗号化した上でのメール添付、パスワード付きクラウドストレージ、物理媒体の郵送など）で返却するかを明記します。形式を指定しないと、受注者が使い慣れた独自のフォーマットで返却してきて、発注者側でそのまま使えないというケースも起こり得ます。

バックアップデータの扱いも忘れない

見落とされやすいのが、受注者が業務効率化のために取っていたバックアップやローカルの作業用フォルダです。「本体データだけでなく、バックアップ・複製データについても同様に消去すること」という一文を加えておくと、抜け漏れを防げます。

消去できない場合の代替措置を定める

法令上の保存義務（税務関連書類など）がある場合、受注者はデータを一定期間保持しなければならないことがあります。この場合は「業務利用目的での使用を停止し、法定保存期間経過後に消去する」といった代替措置を契約書に定めておくと、双方にとって現実的な運用になります。

こうした条項は、決して受注者を疑っているという意味ではありません。むしろ、きちんとした条項があることで、受注者側も「何をすればよいか」が明確になり、安心して業務を引き受けられます。曖昧なままにしておくことのほうが、双方にとって不安の種を残す結果になるのです。

外注先を変更・解約するときに起こりやすいトラブルと回避策

実際に外注先の切り替えや解約を経験した発注者から、よく聞くトラブルのパターンをいくつか紹介します。

一つ目は、「連絡が取れなくなり、データの所在が分からなくなる」というケースです。フリーランスとの取引では、体調不良や事業の方向転換によって、突然連絡が途絶えてしまうことがあります。こうしたリスクに備えるには、契約中から定期的にデータのバックアップを発注者側でも取っておくことが有効です。相手からの返却を前提にせず、常に自社でも最新のデータを保持しておく体制を作っておけば、万が一連絡が取れなくなっても業務への影響を最小限に抑えられます。

二つ目は、「解約後もSNSアカウントのパスワードが変更されず、投稿権限が残っていた」というケースです。SNS運用代行では特に起こりやすいトラブルで、解約後に第三者が投稿してしまうリスクにつながります。契約終了と同時に、発注者自身がパスワードを変更し、二段階認証を設定し直すという手順を、事前に自社の運用マニュアルに組み込んでおくことをおすすめします。

三つ目は、「引き継ぎ資料が不十分で、次の外注先が同じ作業を一からやり直すことになった」というケースです。これはデータの消去とは逆の問題ですが、根っこは同じです。契約終了時のデータの扱いを曖昧にしていると、返却されるべき情報まで一緒に失われてしまいます。契約書に「業務マニュアル・作業手順の引き継ぎ資料を提出すること」という項目を加えておくと、次の外注先へのスムーズな移行にもつながります。

私自身、フリーランスとして独立してから、業務の一部を別のフリーランスに外注する立場になった経験があります。最初に依頼した相手との契約を終えるとき、見積もり比較ばかりに気を取られて、データの取り扱いについて何も取り決めていなかったことに気づき、慌てて連絡を取り直したことがありました。幸い相手は誠実に対応してくれましたが、あのとき「もし連絡が取れない相手だったら」と思うと、今でも背筋が伸びる思いです。この経験があったからこそ、次に契約するときは必ず、データの返却・消去の条項を最初から入れるようにしています。

業務委託契約と個人情報保護、それぞれの視点から見た消去義務の違い

データの返却・消去を考えるとき、「業務委託契約上の義務」と「個人情報保護の観点から求められる義務」は、似ているようで少し性質が異なります。この違いを理解しておくと、契約書の設計がより的確になります。

業務委託契約上の義務は、あくまで契約書に書かれた内容に基づきます。書いていなければ、原則として法的な強制力は弱くなります。一方、個人情報保護の観点からの義務は、契約書の記載の有無にかかわらず、個人情報を取り扱う事業者としての一般的な責任として存在します。顧客の氏名、連絡先、購買履歴といった個人データを含む場合は、たとえ契約書に明記していなくても、目的外利用や不要な保持を避けるべきだという考え方が土台にあります。

この二つの義務を分けて考えると、契約書に書くべき優先順位も見えてきます。個人情報を含むデータについては特に厳格な期限と消去証明を求め、それ以外の業務資料については実務上無理のない範囲で返却・消去を求める、というメリハリをつけることができます。すべてのデータを同じ厳しさで扱おうとすると、かえって受注者との関係がぎくしゃくしてしまうこともあるので、データの性質に応じた線引きを意識してみてください。

直接契約とエージェンシー経由、データ管理責任の所在はどう変わるか

ここまで契約終了時の実務フローを見てきましたが、そもそもの契約の結び方によっても、データ管理責任の所在は変わってきます。

代理店や仲介会社を通じてフリーランスに業務を依頼する場合、データの管理責任が発注者、仲介会社、実際に作業するフリーランスの三者に分散します。契約終了時に「誰がデータを持っているのか」「消去の責任は誰にあるのか」が曖昧になりやすく、確認すべき相手が増える分、返却・消去のプロセスも複雑になりがちです。加えて、仲介会社を通す取引では、その分の手数料が上乗せされるため、同じ予算でも発注できる業務量は目減りします。

一方、フリーランスへ直接依頼する場合は、データを預ける相手が一人に絞られるため、契約終了時のやり取りもシンプルになります。誰にデータを預けたか、誰から返却・消去の報告を受けるべきかが明確なぶん、この記事で紹介したような実務フローもそのまま実行しやすくなります。加えて手数料0%で直接契約できる仕組みを使えば、仲介マージンがない分、同じ予算でより手厚く発注できる、あるいは受け手側の手取りを厚くできるという構造上の利点も生まれます。

20年この市場を見てきた運営者の立場から言えば、契約終了時のデータの扱いで揉めるケースの多くは、契約開始時点での取り決めの甘さに起因しています。長く良い関係を築いている発注者と受注者ほど、契約書の細部を曖昧にせず、最初にきちんと確認し合っている傾向があります。単発の作業を依頼して終わりにするのではなく、「この人になら安心して任せられる」という信頼関係を築くために時間をかけている発注者ほど、契約終了時のトラブルも少ないというのが、運営者として見てきた実感です。データの返却・消去条項をきちんと定めることは、相手を疑う行為ではなく、むしろ双方が安心して次のステップに進むための、ごく当たり前の準備だと捉えていただければと思います。

外注先の選び方に関連して、業務内容ごとにどんな依頼先を探せばよいか迷う方も多いと思います。AIを活用した業務効率化を進めたい場合はAIコンサル・業務活用支援のお仕事で、社内のAI導入や業務フローの見直しを支援できる人材の探し方を紹介しています。広告運用やセキュリティ対策まで含めて外部の専門家に相談したい場合は、AI・マーケティング・セキュリティのお仕事で、それぞれの分野における依頼の進め方をまとめています。

また、社内システムやツールの開発を外部に依頼する機会がある方には、アプリケーション開発のお仕事で、開発委託時に押さえておきたいポイントを解説しています。開発委託ではソースコードや顧客データベースへのアクセス権限が絡むため、契約終了時のデータ返却・消去の取り決めが特に重要になる分野です。

発注する相手の単価感を事前に把握しておきたい場合は、ソフトウェア作成者の年収・単価相場や著述家，記者，編集者の年収・単価相場で、職種ごとの相場データを確認できます。相場を把握したうえで見積もりを比較すると、金額だけで判断してしまうリスクを減らせます。

契約に関わる書類作成のスキルを持つ人材を探す際の目安としては、ビジネス文書検定の資格情報も参考になります。契約書やデータ取り扱いに関する社内規定の整備を、こうした資格を持つ人材に相談するという選択肢もあります。ITインフラの管理を委託する場合は、CCNA（シスコ技術者認定）を持つ人材であれば、ネットワーク機器の設定変更やアクセス権限の管理についても、より専門的な対応を期待できます。

小規模事業者が外注活用と並行して活用できる支援策として、一人親方持続化補助金では、業務委託にかかる費用の一部を補助金でまかなう方法も紹介しています。外注先との契約を見直すタイミングで、こうした制度の活用も検討してみると、コスト面での不安を減らせるはずです。

契約終了後のデータ管理は、一度きちんとした手順を身につけてしまえば、次からは自然に対応できるようになります。今回の契約終了をきっかけに、次からは最初の契約書の段階でデータ返却・消去の条項を入れる習慣をつけていただければ、同じ不安を繰り返し抱えることはなくなります。焦らず、一つずつ確認していきましょう。あなたは一人で抱え込む必要はありません。