M&P Legal Note 2017 No.2-1

クラウドサービスと改正個人情報保護法
2017 年 2 月 28 日
松田綜合法律事務所
弁護士 森田 岳人
一口にクラウドサービスといっても、多種多様な第１ はじめにサービスがありますし、常に新しいサービスも生み出されていますが、以下の 3 つに分類するのが近年、クラウドサービスといわれるサービスが社一般的です。

会全体に浸透し、企業個人を問わず、利用が広まっています。

SaaS（Software as a Service）:アプリケーシ

また、パーソナルデータといわれる個人に関わるョンソフトウェアの機能をインターネット情報（住所、氏名、購買履歴、家族構成、年齢、経由で提供するサービスを提供すること。

移動履歴など）が、さまざまな事業者により幅広

一番身近なサービス。例えば、Gmail、Googleく取得され、利用されています。

Calender、Dropbox、OneDrive などです。

さらに、このようなパーソナルデータを取り扱う事業者が、そのデータを自社内のサーバーや PC のハードディスク等に保管して利用するだけでなく、クラウドサービスを利用して、クラウド上でデータを保管したり、利用したりすることが増加してPaaS（Platform as a Service）：アプリケーションを稼動させるプラットフォーム機能をインターネット経由で提供するサービスを提供すること。例えば Google App Engine 、Windows Azure などです。

います。
そのような社会情勢の中、平成 27 年 9 月に個人IaaS（Infrastructure as a Service）：サー

情報保護法が改正され、平成 29 年 5 月 30 日に全バーの CPU、ストレージ等のインフラストラ面施行されることになりました（以下では全面施

クチャをインターネット経由で提供するサ

行後の個人情報保護法のことを「改正個人情報保ービスを提供すること。例えば Google護法」といいます）。

Compute Engine、Amazon Elastic Compute

本稿では、改正個人情報保護法によって、クラウCloud などです。

ドサービスがどのように整理されるかを説明します。

第３ 改正個人情報における整理
それでは、自社で個人データを取り扱っている

第２ クラウドサービスの種類

個人情報取扱事業者が、その取り扱いにおいてク1
M&P Legal Note 2017 No.2-1

ラウドサービスを利用する場合に、改正個人情報正個人情報保護法 20 条、ガイドライン通則編別添

保護法ではどのように取り扱われるのかを見てみ「講ずべき安全管理措置の内容」）を講じる必要がます。

あります（個人情報保護委員会 Q＆A33 ページ）。

ただ、自らの安全管理措置の一環としての安全管

１ 「第三者提供」にあたらない場合個人情報取扱事業者が、自社内にある個人データを、クラウドサービスを提供する事業者のサーバー等で保管する場合ですが、形式だけを見れば、個人データが自社以外の第三者の元に移転していますので、「第三者提供」にあたりそうです。個人
データを「第三者提供」する場合には、原則として本人同意が必要となります（改正個人情報保護理措置が、委託先の監督（改正個人情報保護法 22条）と、具体的にどのように異なるのかについては、明確ではありません。例えば、個人情報取扱事業者がクラウドサービスを利用するときに、自らの安全管理措置の一環として、当該クラウドサービス事業者においてきちんと安全管理措置が取られているかどうかを確認しなければならないとすれば、「委託先の監督」（改正個人情報保護法 22条）と実質的にはあまり変わりません。

法 23 条 1 項）。
しかし、個人情報保護委員会は、クラウドサービス事業者が契約条項によってサーバー等に保管されている個人データを取り扱わないこととなっており、適切にアクセス制御を行なっている場合には、「第三者提供」にはあたらないと解釈しています（個人情報保護委員会 Q＆A132 ページ）
。つまり、個人情報取扱事業者が個人データを外部（第三者）の倉庫に厳重に保管する場合には、自社内に保管する場合と同列に見るということです。
この個人情報保護委員会の解釈は実務的に重要であり、この解釈のおかげで「第三者提供」とはならないクラウドサービスも多いでしょう。

留意点の 2 つ目は、「第三者提供」にあたらない
ためには、クラウドサービス事業者が契約条項によってサーバー等に保管されている個人データを取り扱わないこととなっており、適切にアクセス制御を行なっていることが必要ですが、具体的にどのような場合に「個人データを取り扱わない」「適切にアクセス制御を行なっている」と評価できるのかについて、明確ではないという点です。
実務上の対応としては、「クラウドサービスは第三者提供にあたらない」と安易に考えず、契約条項や利用規約等をよく確認し、慎重に判断する必要があるでしょう。

ただし、留意点が 2 つあります。

２ 「第三者提供」にあたる場合

まず、「第三者提供」とならないということは、個人情報取扱事業者が自社で個人データを管理しているということと同じです。

（１）クラウドサービス事業者が国内事業者である場合

したがって、クラウドサービスを利用して個人データを保管する場合には、個人情報取扱事業者が自ら果たすべき安全管理措置の一環として、改正個人情報保護法の求める適切な安全管理措置（改個人情報取扱事業者が、自社の有する個人データをクラウドサービス事業者（国内事業者）に移転させる場合、上記１に該当しないのであれば、「第三者提供」として原則同意が必要となります（改1個人情報保護委員会 Q＆A

正個人情報保護法 23 条 1 項）。

http://www.ppc.go.jp/files/pdf/kojouhouQA.pdf

2M&P Legal Note 2017 No.2-1ただし、利用目的の達成のために必要な範囲であれば、同意がなくても個人データの取り扱いの全して、この手段が使えなくなることは、実務に大きな影響を与えるでしょう。

部又は一部を委託することが可能です（以下「業務委託による例外規定」といいます。改正個人情報保護法 23 条 5 項 1 号）。
実務上は、この例外規定に該当する場合も多いでしょう。
なお、この場合、個人情報取扱事業者には委託先に対する監督義務が生じます（改正個人情報保護法 22 条）。監督義務の具体的な内容としては、①
適切な委託先の選定、②委託契約の締結、③委託ただ、個人データを提供する先が外国事業者であったとしても、「個人情報保護委員会規則で定める基準に適合する体制を整備している者」であれば、国内事業者と同様に、業務委託による例外規定を使用することが可能です（改正個人情報保護法 24 条）。
したがって、外国事業者がこの基準に適合する体制を有しているかどうかが、重要になります。

先における個人データ取扱状況の把握と整理されここでいう「個人情報保護委員会規則で定める基ています（個人情報保護委員会 ガイドライン通則準」とは以下の２つのうち、いずれかを満たすこ編 42 ページ）。とです（改正個人情報保護法施行規則 11 条。個人情報保護委員会（２）クラウドサービス事業者が外国事業者である場合
ところで、個人情報取扱事業者が自社の有する個人データをクラウドサービス事業者に移転させる際、当該クラウドサービス事業者が外国の事業者である場合には、今回の改正によって注意が必要となります。
まず、クラウドサービス事業者が外国の事業者であっても、上記１に該当する場合には、そもそも「第三者提供」ではありませんので、国内の事業者と特に違いはなく、上記１で述べたことがあてはまります。

ガイドライン外国第三者提供編

6 ページ）。
①適切かつ合理的な方法により、改正個人情報保護法第 4 条第 1 節の規定の趣旨に添った措置の実施が確保されていること。例えば、外国事業者との契約において、外国事業者による個人情報の利用目的を定めたり、安全管理措置を講ずることを定めたりすることです。
②外国事業者が、個人情報の取扱に係る国際的な枠組みに基づく認定を受けていること。具体的には、外国事業者が、アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システムの認証を取得していることです。

問題は、クラウドサービス事業者への個人データの移転が「第三者提供」に該当する場合です。
今回の改正によって、新しく外国への個人データの移転に規制が設けられ（改正個人情報保護法 24条）、外国の事業者に対して「第三者提供」をする場合には、業務委託による例外規定（改正個人情報保護法 23 条 5 項 1 号）が使えなくなりました。
この業務委託による例外規定は、これまで実務において多用されてきましたので、外国事業者に対外国の事業者への第三者提供については、改正個人情報保護法上は条文が１つしかありませんが、その内容や解釈が複雑になっています。
したがって、外国の事業者への第三者提供が問題となったときには、事実関係（提供先、提供する情報、提供先との契約関係等）をよく確認した上で、個人情報保護委員会のガイドライン外国第三者提供編を参照しながら、個人情報保護法上許容

3
M&P Legal Note 2017 No.2-1

される第三者提供なのか否かを、慎重に確認する必要があるでしょう。

松田綜合法律事務所〒100-0004

この記事に関するお問い合わせ、ご照会は以下の東京都千代田区大手町二丁目６番１号

連絡先までご連絡ください。

朝日生命大手町ビル７階
電話：03-3272-0101

弁護士 森田

FAX：03-3272-0102

岳人

morita@jmatsuda-law.com

この記事に記載されている情報は、依頼者及び関係当事者のための一般的な情報として作成されたものであり、教養及び参考情報の提供のみを目的とします。いかなる場合も当該情報について法律アドバイスとして依拠し又はそのように解釈されないよう、また、個別な事実関係に基づく具体的な法律アドバイスなしに行為されないようご留意下さい。

4
M&P Legal Note 2017 No.2-1