法律・契約・組織規程｜データ利用・法律・権利の読み方

このページはプロモーション（広告）を含みます。

データ利用・法律・権利の読み方（初級・読む25分＋演習25分）

この授業のゴール

• データ利用のルールを「法律」「契約」「組織規程」の3層に分類し、それぞれが誰を縛るかを説明できる
• 「法律上は問題なさそう」でも契約や社内規程で禁止される例を挙げ、3層すべてを確認する必要性を説明できる
• データ利用の相談を受けたとき、確認すべき文書と相談先を3層ごとに書き出せる
• 個別の法律判断を断定せず、根拠（どの文書のどの部分か）と不確かな点を分けて記録できる

仕事でどう使うか

データの仕事では、分析の技術より前に「このデータを、この目的で、この方法で使ってよいか」という確認が必ず入ります。ここを飛ばすと、正しい分析でも公開できなかったり、取引先との信頼を失ったり、作り直しになったりします。

この授業は ET01 の入口です。以降の授業（個人情報、著作権、同意、保存・削除、公式情報の確認）は、すべてここで学ぶ「3層の地図」の上に置かれます。

前提

次の言葉を使います。

• データ・情報・判断の違い → データ・情報・判断の違い
• DS／ML／DX／RS の4つの仕事のイメージ → DSの仕事を小例で体験、MLの仕事を小例で体験、DXの仕事を小例で体験、研究の仕事を小例で体験

法律の専門知識は前提にしません。条文を暗記する授業ではなく、「どの種類のルールを、どこで確認し、誰に聞くか」を整理する授業です。

この授業の位置づけ：法律・ガイドラインの説明は、執筆時点（2026年）の一般的な説明です。法令・ガイドラインは改正され、管轄（国・地域）や個別の事実で結論が変わります。この授業は法的助言ではありません。実際の案件では、最新の公式情報を確認し、社内の法務・知財・個人情報保護の担当者や弁護士などの専門家に相談してください。教材の自己採点で「合格」しても、それは法的な承認ではありません。

身近な状況：「法務に聞いたらOKと言われた」のに止められた

架空の会社「みどり食品」のデータ分析担当・佐藤さんの例です。

• 取引先の小売チェーンから、店舗別・日別の販売データを受け取っている。受け取りの際に「データ提供契約」を結んでいる。
• 佐藤さんは、このデータで別の取引先向けの需要予測モデルを作れば役立つと考えた。
• 販売データには個人名は含まれていない。社内の詳しい人に聞くと「個人情報ではないから、法律上はたぶん大丈夫」と言われた。

ところが、上司が契約書を読むと次の一文がありました。

「受領者は、本データを本契約の目的（共同販促の効果測定）以外に利用してはならない。」

さらに、社内のデータ利用規程には「社外から受領したデータを別案件に使うときは、データ管理責任者の承認を得る」とありました。

結論は「この使い方は、少なくとも契約と社内規程の点で、今のままでは進められない」です。法律の問題がなさそうでも、契約と規程という別のルールが止めていたのです。

この例から分かることは3つです。

1. ルールは1種類ではない。法律・契約・組織規程という層がある。
2. 1つの層で「問題なし」でも、他の層で「不可」なら進められない。
3. 「たぶん大丈夫」は根拠ではない。どの文書のどの部分を読んだかを示す必要がある。

直感的な説明：3枚のフィルターを重ねる

データ利用のルールは、3枚のフィルターを重ねたものだと考えてください。光（やりたい使い方）は、3枚すべてを通り抜けたときだけ向こう側に届きます。

ポイントは次のとおりです。

• 重ねると最も厳しい条件が残る：法律で許される範囲より、契約や規程のほうが狭いことはよくあります。そのときは狭いほうに従います。
• 契約で法律を外すことは原則できない：「個人情報を自由に使ってよい」という契約を結んでも、法律が求める義務はなくなりません（法律には当事者の合意で変えられない部分があります）。
• 規程は社内では強い：法律違反でなくても、規程違反は懲戒や取引停止の原因になります。

たとえ話の限界：実際には3層がきれいに分かれないこともあります。たとえば行政のガイドラインは法律そのものではありませんが、法律の解釈を示すものとして実務で重く扱われます。また契約の解釈に争いがあれば、最終的には裁判所の判断になります。フィルターのたとえは「全部確認する」という習慣をつけるためのものです。

正確な定義：3層の性質と確認先

各層をもう少し正確に整理します。

① 法律（法令）：国会が定める法律と、それに基づく政令・省令・規則などをまとめて法令と呼びます。違反すると、行政からの指導・命令、罰則、損害賠償などにつながりえます。データの仕事で関わりやすいのは、個人情報保護法、著作権法、不正競争防止法（営業秘密などの保護）、電気通信事業法などです。どの法律が関わるか、どの条文がどう適用されるかは事実関係によって変わるため、専門家の確認が必要です。

② 契約：当事者が合意した約束です。紙の契約書だけでなく、Webサービスで「同意する」ボタンを押した利用規約や、データセットに付いたライセンス（利用許諾条件）も、一般に契約やそれに近い約束として扱われます。原則として契約は結んだ当事者だけを縛ります。違反すると、契約解除・損害賠償・取引停止などにつながりえます。

③ 組織規程：組織が自分のメンバー向けに定めたルールです。就業規則や、それに基づく情報管理の規程などです。違反すると社内の処分の対象になりえます。外部の人は縛りませんが、自分は縛られます。

3層を区別するときの質問：

よくある混同：「法律」と「契約」を混ぜて、「規約に書いてあるから法律違反だ」「法律で認められているから規約は無視してよい」と言うのは誤りです。前者は契約違反の問題で、後者は法律と契約を別々に確認していません。

記録の型：確認したことは、次の4点をセットで残します。

1. 層（法律／契約／規程）
2. 文書名と該当箇所（例：「データ提供契約 第5条 目的外利用の禁止」「データ利用規程 4.2」）
3. 読み取ったこと（例：「目的外利用は禁止。目的は共同販促の効果測定」）
4. 不確かな点と確認先（例：「需要予測が『効果測定』に含まれるかは不明。法務と相手方に確認」）

段階付き例題：社外データを別案件に使えるか整理する

冒頭の佐藤さんのケースを、手順どおりに整理します。

入力（事実）

• データ：小売チェーンA社から受け取った店舗別・日別の販売数量（個人名・会員番号なし）
• やりたいこと：別の取引先B社向けの需要予測モデルの学習に使う
• 文書：A社とのデータ提供契約、社内のデータ利用規程

ステップ1：やりたいことを分解する。「使う」を、①社内で分析する、②モデルの学習に使う、③学習したモデルをB社向けに提供する、に分けます。行為ごとに許可が違うことがあるからです。

ステップ2：層ごとに文書を読む。

ステップ3：結論を、根拠と不確かさを分けて書く。

結論（暫定）：B社向けモデルへの利用は、現状では進めない。
根拠：A社契約第5条の目的外利用禁止、データ利用規程4.2の承認要件。
不確かな点：法律面は一般的な理解に基づく暫定評価で、法務の確認前。
次の行動：①A社に目的追加の可否を相談（契約変更）、②データ管理責任者に承認申請、③法務に法律面の確認を依頼。

ステップ4：代わりの案を考える。止めるだけでなく、進める道を示すと仕事が前に進みます。たとえば「A社と契約を変更して目的に需要予測を加える」「B社自身のデータで学習する」「公開されている統計データで代用する（その利用条件も確認する）」などです。

出力の意味：この表があれば、上司や法務は「何を確認済みで、何が未確認か」を一目で見られます。結論だけを書いた「使えません」「使えます」より、相談の時間が大幅に短くなります。

操作して理解する：ルールの文を3層に振り分ける

次の文が、どの層のルールか考えてください。答えは表の下にあります。

答え

• (1) 契約（利用規約）。法律ではないので「違法」とは限りませんが、規約に同意して使っているなら契約違反になりえます。
• (2) 組織規程。法律や契約が許していても、社員はこれに従います。
• (3) 法律（個人情報保護法の利用目的の特定に関する定めの趣旨）。
• (4) 契約（NDA）。結んだ当事者を縛ります。
• (5) 契約（ライセンス）。CC（クリエイティブ・コモンズ）ライセンスは著作権者が示す利用許諾の条件です。背景には著作権法があり、ライセンスの条件を守らない利用は、許諾の範囲外の利用として著作権の問題にもなりえます。このように2つの層が関わることもあります。

値を変えて考える：(1)の規約が「自動取得を禁じる」から「APIを通じた取得のみ許可する」に変わったら、何を確認しますか？ → APIの利用規約（取得量の上限、商用利用、再配布の可否）という新しい契約文書を読む必要が出ます。ルールが変わると、読むべき文書も変わります。

発展：3層以外に気にすべきもの

実務では、3層の外側や間にあるものも判断に影響します。

• 行政のガイドライン・Q&A：法律の解釈や運用を示す公式資料です。法律そのものではありませんが、事業者は通常これに沿って運用します。個人情報なら個人情報保護委員会、著作権なら文化庁、AIの事業者向けの指針なら総務省・経済産業省などが資料を公表しています（名称と最新版は公式サイトで確認してください）。
• 業界の自主ルール・認証：業界団体の指針や、取得している認証（情報セキュリティの認証など）の要求事項。守らないと認証の維持や取引に影響します。
• 管轄の違い：海外の利用者のデータや海外のサービスを使う場合、その国・地域の法律（例：EU（欧州連合）の一般データ保護規則 GDPR（General Data Protection Regulation）など）が関わる可能性があります。どの法律が適用されるかの判断自体が専門的です。
• 倫理・評判（レピュテーション）：法律・契約・規程のどれにも反しなくても、利用者が知ったら驚く使い方は信頼を失います。ET02〜ET06 で扱う公平性・プライバシー・社会的影響の観点です。

限界：この授業の3層モデルは「確認漏れを防ぐ地図」です。層どうしの優先関係（例：契約のどの条項が法律で無効になるか）や、規程の解釈は、個別の文言と事実によって変わります。その判断は専門家の役割で、データ担当者の役割は事実と根拠をそろえて相談できる状態にすることです。

よくある失敗

失敗1：「法律上OK」だけで進め、契約を読んでいない

誤った例：

「このデータには個人情報が含まれないので、法律上の問題はありません。B社向けモデルに使います。」

なぜ誤りか：確認したのは法律の層（しかも一般的な理解）だけです。データの提供元との契約に「目的外利用の禁止」があれば、個人情報でなくても使えません。契約違反は取引停止や損害賠償の原因になりえます。

直し方：3層の表を作り、空欄を残さない。

「法律OK」は「全体OK」ではありません。

失敗2：利用規約の違反を「違法」と言い切る（法律と契約の混同）

誤った例：

「このサイトは利用規約でスクレイピング（プログラムでWebページから情報を自動収集すること）を禁止しているので、スクレイピングは違法です。」

なぜ誤りか：利用規約は契約の層のルールです。規約違反は契約違反の問題であり、ただちに「法律違反」とは限りません。逆に、規約が許していても、収集した情報に個人情報や著作物が含まれれば法律の問題は別に生じえます。2つの層を混ぜると、相談先も対策も間違えます。

直し方：「何の層の、どのルールに反する可能性があるか」を分けて書く。

「利用規約（契約）で自動取得が禁止されているため、規約に反する可能性が高い。法律面（著作権・個人情報など）の評価は別途必要で、未確認。」

「違法」という言葉は、法律の専門家の判断なしに使わないほうが安全です。

失敗3：根拠を書かずに結論だけ断定する

誤った例：

「調べた結果、問題ありません。」

なぜ誤りか：どの文書を読んだのか、どこまで確認したのかが分かりません。後で問題が見つかったとき、誰がどの時点で何を根拠に判断したのか追えません。また、データ担当者が個別の法律判断を断定すると、組織として正式な確認を経たかのように誤解されます。

直し方：根拠・確認日・不確かな点・確認先を書く。

「2026年10月時点で、データ提供契約（2025年4月版）第3条・第5条とデータ利用規程（第4版）4.2を確認。社内分析は契約目的に含まれると読める。モデルの外部提供は目的に含まれるか不明のため、法務に確認依頼中。法律面の評価は未実施。」

「問題ない」と言えるのは、確認した範囲についてだけです。

まとめ

• データ利用のルールは、法律（国）・契約（当事者の合意）・組織規程（自分の組織）の3層で確認する。
• 3層のうち1つでも不可なら進められない。最も厳しい条件が残る。
• 法律と契約を混同しない。規約違反を「違法」と言い切らず、法律で許されても契約は別に確認する。
• 記録は「層・文書名と該当箇所・読み取ったこと・不確かな点と確認先・確認日」をセットで残す。
• 個別の法律判断は断定せず、事実と根拠をそろえて専門家に相談できる状態にするのがデータ担当者の役割。

用語

法令（laws and regulations）

国会が定める法律と、それに基づく政令・省令・規則などの総称。違反すると行政処分・罰則・損害賠償などにつながりうる。

契約（contract）

当事者どうしの合意による約束。契約書のほか、利用規約やライセンスも契約またはそれに近い約束として扱われることが多い。原則として当事者だけを縛る。

組織規程（internal policy / rules）

会社や大学などが自らのメンバー向けに定めたルール。データ利用規程、情報セキュリティ規程、生成AI利用ガイドラインなど。

秘密保持契約（NDA）（Non-Disclosure Agreement）

受け取った秘密情報を第三者に開示しない、目的外に使わないなどを約束する契約。

目的外利用（use beyond the stated purpose）

契約や利用目的で定めた範囲を超えてデータを使うこと。契約・法律の両方で問題になりうる。

よくある質問

なぜ法律だけでなく契約や規程まで確認する必要があるのですか？

データの利用を止めるのは法律だけではないからです。実務で多いのは、契約の目的外利用禁止や、社内規程の承認手続きで止まるケースです。3層のどれか1つでも不可なら進められません。

利用規約とライセンスは何が違いますか？

どちらも利用の条件を定めたものですが、利用規約はサービス（Webサイト、API）を使うときの条件、ライセンスは著作物やデータなどを使う許諾の条件を指すことが多いです。どちらも「契約の層」に置いて、文書名と該当箇所を記録します。ライセンスの背景には著作権などの権利があるので、法律の層も関わることがあります。

社内規程が古くて、現状に合っていない場合はどうしますか？

自分の判断で無視せず、規程の所管部署に「この状況はどう扱うか」を問い合わせ、必要なら改定を提案します。回答はメールなどで記録に残します。現場判断で例外を作ると、後で説明できなくなります。

海外のサービスやデータを使うと、どこで失敗しやすいですか？

日本の法律だけを見て、相手国の法律やサービス提供者の規約（準拠法・データの保存場所）を見落とすことです。どの国の法律が適用されるかの判断は専門的なので、海外が関わると分かった時点で法務に相談します。

急ぎの案件で、全部の確認が間に合わないときはどう判断しますか？

確認が済んだ範囲だけで進められる代替案を探します（個人情報を除いたデータで試す、公開統計で代用する、承認を並行申請するなど）。「確認が済むまで本番データは使わない」を原則にし、未確認のまま進めた場合のリスクを上司に書面で伝えて判断を仰ぎます。

条件が変わったら、確認をやり直す必要がありますか？

あります。目的・データの範囲・共有先・使うサービス・契約や規程の版が変わったら、その部分の確認をやり直します。記録に確認日と版を書いておくと、何をやり直せばよいかが分かります。

確認問題

次に学ぶこと

次は 個人情報と利用目的 で、法律の層のうちデータの仕事で最も関わる「個人情報と利用目的」を学びます。

関連：データの出所と利用条件の記録は 出所と利用条件、部門間の合意とデータ所有者は 「データ所有者と利用者」（有料版）、「部門間の合意」（有料版）、ベンダーとの契約の確認は 「費用・契約・運用」（有料版） で扱います。