JIPDECセミナー「個人情報のクラウド保管 実務における対応ポイント」（2023.9.5開催）【講演レポート】JIPDECセミナー「個人情報のクラウド保管 実務における対応ポイント」

ディスカッション「クラウド利用における個人情報保管の論点を整理する」
パネリスト
個人情報保護委員会事務局

参事官補佐 木村 一輝氏

アマゾンウェブサービスジャパン合同会社
公共政策部 シニアマネージャー 矢野 敏樹氏
インタセクト・コミュニケーションズ株式会社
リスク管理室 室長 甘利友朗氏

株式会社セールスフォース･ジャパン
プライバシーリーガル チーフプライバシーオフィサー
フィリップ・アームストロング氏
モデレータ
JIPDEC 認定個人情報保護団体事務局

奥原

本日は、個人情報保護委員会事務局
ビスジャパン

事務局長 奥原 早苗

木村様、サービス提供事業者としてアマゾンウェブサー

矢野様、クラウドサービス利用者としてインタセクト・コミュニケーションズ

甘利様、クラウドサービス利用者兼サービス提供事業者としてセールスフォース

アームスト

ロング様にご参加いただき、それぞれのお立場からクラウドでの個人データ管理についてよく受けられる質問等を取り上げてご説明いただきます。

あるある事例とその対応策
木村氏 クラウドサービスを利用される事業者の方々が、最も気にされている点は「提供」があるかどうかという点かと思います。判断のポイントは「個人データを取り扱っているかどうか」です
が、そのクラウドサービスが個人データを取り扱っているかどうかは、サービスの実態を把握しなければわからないため、ぜひ、クラウド事業者とユーザー企業の間でコミュニケーションを取りながら整理していただきたいと思います。
一方、クラウド事業者の方から「預かったデータを自社のサービス向上のために使用したい」というお問い合わせも多くいただきます。これも、データの取扱いをどのように整理するかによって異なってきます。委託に基づいて取り扱っているのであれば、委託元の目的のためにのみ使用可能なので、基本的には自社のサービス向上には使えません。どうしてもサービス提供側と利用側で考え方が異なっている場合があるので、預けておしまいではなく、よく話し合っていただきたいと思います。

1

JIPDECセミナー「個人情報のクラウド保管 実務における対応ポイント」（2023.9.5開催）

矢野氏 「取り扱わないということはどういうことか」が議論になりますが、「取り扱い」についての定義が明らかでないため、個人情報保護委員会から出されるQ&Aやガイドライン等を指針としつつも実務で詰めていかなければならないところが難しいと感じています。
実際には、契約等で取り扱わない旨の合意があり、それを担保するためにアクセス制御等の技術的措置をどのようにするか、クラウド利用側の法務部門がクラウド事業者とコミュニケーシ
ョンを取ると同時に、技術部門とも連携して暗号化ツールの利用や認証制度の取得状況やそれぞれの認証のカバー範囲等を確認していくことになります。この確認作業は複雑で大変だと思うので、クラウドサービス事業者が公開しているベストプラクティスやホワイトペーパー、より詳細部分に関する自主的な第三者検証結果などを参考にすることが有効です。このほかにも、データの保管場所をユーザーが選択可能か、復元不可能なデータ消去手段があるか、各国政府の要請に対してどのように対応しているか、等の確認も必要です。
甘利氏 私たちは、苦労したくないからCBPRを取得してクラウドを利用しているので、あまり大きな苦労を感じたことはありません。積極的にクラウドを利用していくべきと思いますが、その中でデータの暗号化は重要だと考えています。クラウド内のデータベースそのものの暗号化も重要ですし、オペレーションで発生したPDFやExcelファイル等の授受の際も暗号化しておくことで万が一の事態でも被害を最小化できます。
アームストロング氏

私たちは、どうしても話を簡単にしたくなりがちですが、管理は何かを１回やって終わりではなく、毎年チェックしていかなければなりません。また、双方の責任範囲を確認したり、暗号化や2要素認証等の技術的措置、個人情報保護に関する社員教育等も非常に重要です。

今後に向けた助言
木村氏 我々としては、民間事業者による自主的な取り組みに期待をしています。最近は、個人情報保護に留まらず、事業がプライバシーに与える影響を評価すること（プライバシーインパクトアセスメント（PIA））も推奨されています。
また、DPO、CPOと呼ばれる個人データ取扱責任者を設置し、その方々が企業内で実質的に責任者として活動できるような体制/予算を整備することが必要です。
自社が持っているデータを可視化すること（データマッピング）は、安全管理の第一歩です。
そのうえで、どういった法律が適用されるのか、重要度はどの程度か、必要な安全管理措置は何か、どのようにデータを利活用できるかといったことを考えることにも積極的に取り組んでいただきたいと思います。
矢野氏

民間の自主的な取り組みが求められている中では、こういったセミナー等の場も通じて民間で議論を深めていく必要を感じますし、実際に、最近は生成AIやクラウドサービスでの「取り扱わない合意」等について弁護士の方も含めて議論されている印象があります。議論の中では、
生成AIサービスに入力された個人データが機械学習に利用されない場合はクラウド例外の適用があり得るかもしれないとの試論もあるようで、いろいろなアイデアが出始めて来ているよう

2

JIPDECセミナー「個人情報のクラウド保管 実務における対応ポイント」（2023.9.5開催）です。個人情報保護委員会の注意喚起では、個人データを含むプロンプトが応答の出力以外の目的で取り扱われる場合は法律上問題になる可能性があるので、当該個人データが機械学習に利用されないことを十分に確認することが求められています。こういった点から、まず生成AIに関しては機械学習に用いられるかどうかを規約等で確認することが実務的に重要なポイントになってきます。さらに、もし機械学習に用いられる場合は、利用者がオプトアウトできるかどうかも非常に重要となるので、こういった実務上のポイントを踏まえて自社のAIサービス利用ポリシーの策定や社員教育などを行っていく必要があります。
もう１点、トピックスとしてPETs（Privacy Enhancing Technologies：プライバシー強化技術）が挙げられます。PETsはデータを公開せずに分析や洞察を得るための技術で、暗号化技術や秘密計算等のツールが該当します。日本をはじめ各国でPETsに関するレポートが出されていますが、これらの技術が今後の法解釈にどのようにつながっていくのかと言った点も民間、官民で議論して行けると良いと思います。


Privacy-enhancing technologies (PETs) （ICO）

「欧米主要国におけるプライバシー強化技術（PETs）の利用に関する法制度に関する調査（報告書）（個人情報保護委員会 令和５年３月）

甘利氏 日本の個人情報保護法だけでも、個人情報、要配慮個人情報、特定個人情報、匿名加工情報、仮名加工情報、それぞれについて考えなければならない事態になっているところに、さらに越境の場合、各国規制との整合も考えなければならない、クラウドサービスを契約するにしても契約主体やデータセンターの所在国がどこなのか、等考慮しなければならない事柄がどんどん複雑になって対応が困難になってきています。このような状況では、標準化が非常に重要になってきます。企業としてコストや労力は最小限に抑えたいのですが、これからの時代では標準化という概念を優先して戦略を立てていくことが効率的だと思います。
アームストロング氏

生成AIに関しては「新しい道具」と捉えた方が良いと思います。基本的なプライバシー保護の取り組みを行っていれば、生成AIのリスクはかなり軽減するので、現在の自社のプライバシーポリシーやセキュリティポリシーを確認し、生成AIも含めた形にアップデートすることをお勧めします。一方、サプライヤーとしてAIを使用する場合は、データをどのように扱おうとしているのかを整理し、提供にあたる可能性がある場合には必要な承認プロセスを整備する必要があります。
今後、生成AIを利用する場合、AI開発企業と直接締結するケースやAIサービスを持つクラウドサービスプロバイダーと締結するケース等が考えられますが、契約により自社の入力データをトレーニングデータとして使用させないことは可能です。
生成AI発表当初に騒がれたのは、あくまでも消費者向けサービスとして一般公開された生成AIに自社のソースコード等機密情報を入力してしまったことによるものです。その点では、AIに関する社内教育は非常に重要です。AIはあくまでもツールであり、ツール利用にあたっては通常業務と同様にプライバシーやセキュリティ等を当然考慮する必要があること、さらに、AIのリスクとして「幻覚（hallucinations）」があるということを伝える必要があります。

3

JIPDECセミナー「個人情報のクラウド保管 実務における対応ポイント」（2023.9.5開催）

AIを利用すると、アイデア等は非常に良い情報を得ることができますが、ファクトに関しては95％は概ね正しいものの、残り5％は事実とまったく異なる結果が出てくることがあるので、確認作業がコンプライアンスの点からも非常に重要となります。
奥原

クラウド利用に関しては、データの「取り扱い」とは何を指すのか、「第三者提供」にあたるのか「委託」なのか、契約が日本法人でサーバーが国外に設置されている場合はどこの法律が適用されるのか等、要素が複雑に絡みあい、多くの企業の方々が整理に苦慮されていらっしゃいます。
認定個人情報保護団体では、対象事業者の方々からの様々なご質問を受け付けていますので、ご不明点などございましたら是非お問い合わせください。

個人情報保護委員会事務局参事官補佐 木村 一輝氏
2015年弁護士登録（68期）
丸の内総合法律事務所入所、2022年1月より個人情報保護委員会事務局参事官補佐（任期付公務員）として勤務。

アマゾンウェブサービスジャパン合同会社
公共政策部 シニアマネージャー 矢野 敏樹氏
1997年弁護士登録。 法律事務所、米ニューヨーク大学ロースクール留学（著作権情報センターCRIC在外研究員）、外務省（知的財産室）及びグーグルアジア太平洋地域公共政策部カウンセルなどを経て、19年より現職。

4

JIPDECセミナー「個人情報のクラウド保管 実務における対応ポイント」（2023.9.5開催）

インタセクト・コミュニケーションズ株式会社
リスク管理室 室長 甘利友朗氏

通信事業者にてエンジニアリング、個人情報保護業務に従事。 ソフトバンク株式会社（現：ソフトバンクグループ株式会社）にてグループ情報セキュリティマネジメントに従事。 株式会社ドワンゴにてリスクマネジメント、グループ内部統制に従事。 現
在、インタセクトにてリスクマネジメント、経営企画、DX推進プロジェクト、大阪大学 健康情報工学共同研究講座 研究員、等に従事。 東北大学内 次世代放射光施設「ナノテラス」の名付け親。

株式会社セールスフォース･ジャパン
プライバシーリーガル チーフプライバシーオフィサー
フィリップ・アームストロング氏
ニューヨーク州、ワシントン州、オンタリオ州弁護士。Salesforce JAPAN Privacy Legal T
eamのリーダーであると同時に、セールスフォース・ジャパンのチーフ・プライバシー・オフィサー（CPO）として、新しい法律の解釈やコンプライアンスをサポートするポリシーやプロセスの開発、政府関係との連携による法律の相互運用性の推進、商取引のサポートなど、地域全体のプライバシーに関する取り組みに従事している。

JIPDEC 認定個人情報保護団体事務局
事務局長 奥原 早苗
美容業界の法務部門、お客様対応部門を経て、2003年より公益社団法人日本消費生活アドバイザー・コンサルタント・相談員協会に所属、2018年より理事/消費者志向推進委
員会 委員長、2020年より顧問。
2016年から消費者代表としてJIPDECの各種有識者検討会や委員会等に外部委員として参画、2020年より認定個人情報保護団体事務局に勤務、2021年より現職。
2018年より玉川大学工学部講師（「消費生活科学」担当）
資格：消費生活アドバイザー、消費生活専門相談員、プライバシーマーク審査員

本内容は、2023年9月5日に開催されたJIPDECセミナー「個人情報のクラウド保管 実
務における対応ポイント」でのディスカッション内容を取りまとめたものです。

5