Web制作会社の責任と損害賠償は「サイトが攻撃された日」に問われる──制作と保守で違う責任の形、契約で決める上限・免責・範囲外・お客様の義務
この記事は、Web制作会社の責任と損害賠償の範囲を、セキュリティの事故を前提に、契約で決めておく方法を扱います。
「Web制作 責任 損害賠償」で調べる経営者の多くは、すでに不安な場面に立っています。
お客様のサイトが改ざんされた。フォームから情報が漏れたかもしれない。その費用を、誰が負うのか。
「作ったのは御社ですよね」と言われたとき
「御社が作ったサイトが改ざんされた。調査費も、お詫びの費用も、御社で持ってほしい」
このとき、契約書に責任の範囲が書かれていなければ、話し合いは感情から始まります。
しかも、事故の最中は、復旧の作業と責任の話が同時に進みます。
責任の範囲は、事故の前にしか、落ち着いて決められません。
制作会社の責任範囲とは、何を約束し、何を約束せず、事故のときにどこまで負担するかを、制作と保守それぞれの契約で先に決めた線である
黒字化の外科医です。制作会社の責任と損害賠償を、契約の言葉に落とす手順を解剖します。
なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。
先に決めるべき理由は、三つあります。
第一に、制作と保守では、責任の形が違うから。
制作は、決めたものを完成させて引き渡す仕事で、請負の形が多くなります。2020年施行の改正民法で、従来の「瑕疵担保責任」は「契約不適合責任」に改められ、引き渡したものが契約の内容に合わないとき、修補などの追完、代金の減額、損害賠償、解除が問題になります。
保守は、決めた作業を継続して行う仕事で、準委任の形で整理されることが多くあります。この場合は、結果を約束するのではなく、注意を尽くして作業を行うことが中心になります。
第二に、「契約の内容」が書かれていないと、何が不適合かを決められないから。
契約不適合責任は、契約の内容と比べて判断されます。納品時点でどんなセキュリティの水準を約束したのか、書かれていなければ、お客様の期待がそのまま「契約の内容」として主張されかねません。
第三に、セキュリティの事故は、制作会社だけでは防げないから。
お客様のパスワードの管理、社員のパソコン、サーバー会社の障害。原因が複数にまたがる事故で、責任の分け方を決めていないと、一番近くにいる制作会社に負担が集まります。
契約で決めておく4つのこと
1. 責任の上限
損害賠償の額に上限を設けます。
よく使われるのは、「直近〇か月分の委託料」や「その案件の制作費」を上限にする形です。
ただし、故意や重大な過失がある場合まで上限が及ぶかは争いになりやすく、条項の書き方は専門家に確認してください。
2. 免責
制作会社が責任を負わない場面を、具体的に書きます。
お客様の管理するID・パスワードの漏えい、お客様が自分で入れたプラグイン、サーバー会社など他社のサービスの障害、公表前の脆弱性を突かれた攻撃などです。
3. 保守の範囲外
保守契約で「やること」と「やらないこと」を分けます。
保守契約がない期間や、範囲外の作業で起きた不具合は、都度の見積もりとすることも書きます。保守の範囲の決め方は、こちらで扱っています。
▶ セキュリティ保守を「善意の無償対応」のままにしない──更新・監視・バックアップ・WAF・報告・緊急対応の6つで、契約された商品にする
4. お客様の義務
お客様にお願いすることを、義務として書きます。
管理画面のIDを社内で共有しない、退職者のアカウントを止める、連絡先が変わったら知らせる、制作会社の推奨する更新を拒む場合は書面で伝える、などです。
今すぐ試せる：自社の契約書の責任条項を点検するプロンプト
私はWeb制作会社の経営者です。自社の制作契約書と保守契約書の、セキュリティの事故に関わる条項を点検してください。
【貼り付ける文書】
・制作契約書の該当部分：〔貼り付け〕
・保守契約書（または約款）の該当部分：〔貼り付け〕
1. 損害賠償の上限があるか、あればその基準を抜き出す。
2. 免責の場面が具体的に書かれているか確認する。
3. 保守の範囲と範囲外が、作業ごとに書かれているか確認する。
4. お客様の義務（ID管理、連絡、推奨する更新への対応）が書かれているか確認する。
5. 不足している点を一覧にし、追加する条項の考え方を示す。
最終的な文言は弁護士が確認する前提で、論点の整理にとどめること。責任範囲工場：事故の前に決める点検表
【制作契約】
□ 納品時点で行ったセキュリティ上の対応を、一覧にして渡したか
□ 契約不適合の通知の期間を、契約で定めたか
□ 損害賠償の上限と、その基準を書いたか
□ 納品後の更新は保守契約の範囲であり、制作の範囲外と書いたか
【保守契約】
□ 作業ごとに、やること・やらないこと・頻度を書いたか
□ 緊急対応の受付時間と料金を書いたか
□ バックアップの保管期間と、復旧できる範囲を書いたか
□ 損害賠償の上限と、免責の場面を書いたか
□ お客様の義務と、推奨する更新を断った場合の扱いを書いたか
【事故のとき】
□ 誰に、何時間以内に連絡するかを決めたか
□ 原因の調査と復旧の費用の負担を、どう決めるかを書いたか契約書全体に入れておく条項は、こちらで整理しています。
▶ Web制作の契約書に、必ず入れておく11の条項──業務範囲、修正回数、検収、著作権と人格権の不行使、損害賠償の上限。なぜ必要かまで
構造的なリスク
逆説を指摘しておきます。
責任を限定する条項を増やすほど、お客様には「逃げ道ばかりの契約」に見えます。
上限と免責だけを並べた契約は、信頼を失い、提案の段階で負けることがあります。
だから、免責を書くのと同じ重さで、「これは必ずやります」を書きます。
約束する作業が具体的であるほど、限定する条項も受け入れられやすくなります。
よくあるQ&A
Q. 昔の契約に、責任の上限が書かれていない。
保守契約の更新や改定のときに、約款として追加を提案してください。料金の改定と同時に「範囲と責任を明確にする」と伝えると、話を切り出しやすくなります。
Q. お客様が更新を拒んで、その後に被害が出たら？
更新を勧めた記録と、拒まれた記録を、メールで残しておいてください。契約に「推奨する更新を断った場合の扱い」を書いておくことが、一番の備えです。
Q. 個人情報が漏れたときの報告は、誰がするのか？
一般に、個人情報を取り扱う事業者であるお客様が中心になり、制作会社は事実の調査と記録で協力する形になります。役割は契約で先に決め、個別の判断は個人情報保護委員会などの公的な窓口に確認してください。
最後に
制作会社の責任は、事故が起きた日に、契約書の言葉で決まります。
約束すること、約束しないこと、上限、お客様の義務を、事故の前に書いておいた会社だけが、事故の最中にも復旧に集中できるのです。
約款の条項例は、こちらのキットに収めました。
▶ セキュリティ保守の提案書キット──3プランのメニュー表、提案書8枚、説明トークと反論への答え、約款の条項例、月次報告書の型、AIプロンプト
これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。
#Web制作会社 #損害賠償 #責任範囲 #契約不適合責任 #保守契約 #契約書 #制作会社経営 #中小企業 #セキュリティ保守 #リスク管理
