Quick Answers
東京リージョンに置けば、越境移転のルールは関係なくなりますか
そうとは限りません。個人情報保護委員会のQ&Aは、外国の事業者が運営するクラウドで、サーバが日本国内にあっても、その事業者が個人データを取り扱っているなら「外国にある第三者への提供」に当たり得るとしています。見られているのはサーバの場所だけでなく、事業者がデータを取り扱うかどうかです。
顧客は、こちらの回答から何を必要としているのですか
自社の文書にそのまま書ける材料です。同じQ&Aは、外国事業者のクラウドを使う会社が、提供に当たらない場合でも、公表する安全管理措置の中で「クラウド事業者が所在する外国の名称」と、サーバが国外にあれば「サーバが所在する外国の名称」を明らかにすることを想定しています。国名と、その裏づけになる措置を、貼り付けられる形で渡すのが近道です。

TL;DR

「データは日本にありますか」という質問は、たいてい二つに分かれます。サーバはどの国にあるか、そしてどの国のどの会社がデータを取り扱うか。個人情報保護委員会のQ&Aでは、外国の事業者がデータを取り扱えば、サーバが東京でも外国にある第三者への提供になり得ます。また提供に当たらない場合でも、顧客は事業者の所在国と、サーバが国外にあればその国名を公表する立場にあります。回答には、リージョン、自社の所在国とアクセス元、取り扱いの有無と契約上の根拠、再委託先、準拠法・管轄を入れます。個別の法的な結論は日本の弁護士に委ねます。

Key Takeaways

「東京リージョンです」で終わらない理由

海外のベンダーの多くは、保存場所の質問にクラウドのリージョン名で答えます。大手3社はいずれもその答えを用意できます。AWSはアジアパシフィック（東京）と（大阪）、Google Cloudは東京と大阪、Microsoft AzureはJapan EastとJapan Westを掲げています。顧客からは「バックアップも国内2拠点で完結しますか」と続けて聞かれることもあります。もっともな質問で、正直な答えは自社の実際の構成しだいです。主データベースが東京にあっても、ログやバックアップ、サポートツール、再委託先は別の国にあることがあります。

ただ、より大きな抜けは技術の話ではありません。日本の個人情報保護法は、サーバの場所だけを見ているわけではないからです。法律の実務上の解釈は個人情報保護委員会（PPC）がQ&Aで示しており、その中の三つの回答を押さえると、顧客から来る追加の質問のほとんどに説明がつきます。

個人情報保護委員会のQ&Aが示していること

Q7-53：事業者が「取り扱うかどうか」で決まる

Q&Aによれば、クラウドに個人データを保存することがクラウド事業者への「提供」に当たるかは、保存するデータに個人データが含まれるかどうかではなく、事業者がその個人データを取り扱うこととなっているかどうかで判断します。取り扱わないこととなっていれば提供には当たらず、本人の同意も、委託先の監督も必要ありません。取り扱わないこととなっている例として、契約条項で取り扱わない旨を定め、適切にアクセス制御を行っている場合が挙げられています。続くQ7-54は、その場合でも利用する側は自社の安全管理措置として適切な措置を講じる必要がある、としています。

Q12-4：サーバが国内というだけでは決まらない

Q&Aは続けて、外国の事業者が運営するクラウドでサーバが日本国内にある場合を取り上げています。その事業者が個人データを取り扱っているなら、外国にある第三者への提供に当たり得る、という整理です。ただしQ&Aは、外国の事業者でも日本国内でデータを取り扱い、国内で個人情報データベース等を事業に用いていると認められる場合は、外国にある第三者への提供に当たらないとしています。「サーバは東京にあります」だけでは越境移転の話から外れません。当たるかどうかは実態しだいなので、誰がどこから取り扱うかをはっきり書くことがいっそう大事になります。

Q10-25：顧客は国名を公表する

外国事業者のクラウドの利用が提供に当たらない場合でも、Q&Aは、利用する会社がその国の個人情報保護制度を把握したうえで安全管理措置を講じる必要があり、サーバが日本国内にある場合も同様だとしています。そして公表する安全管理措置の中で、「クラウド事業者が所在する外国の名称」と「個人データが保存されるサーバが所在する外国の名称」を明らかにすることを想定しています。これは保有個人データに関する公表事項（32条）の一部で、2022年4月の改正以降、外国で個人データを取り扱う場合の「外的環境の把握」が含まれるようになりました。

三つを並べて読むと、顧客のメールの意味が見えてきます。顧客は「信頼できる会社か」を漠然と尋ねているのではありません。自社のプライバシーポリシーや安全管理措置の公表文に載せるために、国名（事業者の所在国と、サーバが国外にあればその国）と措置の説明を必要としているのです。

提供に当たる場合：同意か、継続的な確認か

こちらへのデータの受け渡しが外国にある第三者への提供に当たる場合は、個人情報保護法28条の話になります。PPCの「外国にある第三者への提供編」ガイドラインでは、顧客は原則として本人の事前同意を得る必要があります。例外は、日本と同等の水準にあると指定された国（現在はEUと英国）にある相手への提供、相手が基準に適合する体制（いわゆる相当措置）を整えている場合、その他法律上の例外に当たる場合です。EU・英国の指定は、相手がその国にいる場合の話です。米国の事業者がGDPR準拠をうたっていても、28条の扱いはそれとは別になります。

2022年4月1日以降に取る同意では、顧客はあらかじめ本人に、移転先の国の名称、その国の個人情報保護制度に関する情報、移転先が講じる措置に関する情報を示す必要があります。相当措置のルートを使う場合は、移転先での実施状況とその国の制度を定期的に（ガイドライン上「年に1回程度又はそれ以上」）確認し、本人から求められれば措置に関する情報を提供します。どちらのルートでも、顧客は材料を求めてこちらに戻ってきます。なお、国の制度に関する情報については、PPCが外国の制度の調査結果を公開しています。

同意や相当措置のルート、スタッフのアクセス元を公開ページでどう見せるかは、トラストページのローカライズについての記事で扱いました。本記事は、個別の問い合わせへの返答に絞ります。

日本の買い手が慎重に聞く背景

2021年、大手メッセージングアプリの運営会社で、海外の委託先の担当者が利用者のデータにアクセスできる状態だったことが報じられ、PPCが調査に入りました。PPCは3月19日に報告を求め、3月31日から立入検査を行い、4月23日にLINE株式会社へ指導を行っています。指導の中心は委託先の監督で、委託先・再委託先の開発者にアクセス権を与える際の必要性と範囲の検討、アクセスログの保存と分析、定期的な監査が求められました。外国にある第三者への提供についても、体制は概ね整っているものの一部に改善を要するとされています。これは指導であって、命令や罰則ではありません。なお、PPCの文書には関係した国名は出てきません。国名は当時の報道と同社の発表によるものです。

この件のあと、日本のセキュリティ担当者が「どこに保存されるか」に加えて「誰がどこからアクセスできるか」を尋ねるのは珍しくなくなりました。大企業は公的な枠組みにも慣れています。政府調達には、クラウドサービスを事前に評価するISMAPという制度があり、金融機関はFISC（金融情報システムセンター）の安全対策基準になじみがあります。総務省の「クラウドサービスの安全・信頼性に係る情報開示指針」（2017年）には、事業者の本店所在地、係争に関する規程・管轄裁判所、データセンターの所在地といった項目が並んでいます。顧客のチェックシートはこうした一覧を下敷きにしていることが多く、保存場所と一緒に準拠法や管轄も聞かれると考えておくのが無難です。

そのまま使える回答テンプレート

以下は営業・CS・セキュリティ担当者が使うためのたたき台です。英語版は海外の本社と中身をすり合わせるため、日本語版は顧客に送るためのものです。［ ］は自社の実際の構成と契約に合わせて埋め、当てはまらない行は削ってください。

回答テンプレート（日本語・顧客向け）

1. 保存場所：個人データを含むお客様データは、日本国内の［AWS アジアパシフィック（東京）リージョン］に保存しています。バックアップは［日本国内（大阪リージョン）］、アプリケーションのログは［国名］に保存しています。

2. 提供事業者：本サービスは［国名］法人の［会社名］が提供しています。日本国内での［営業・サポート］は［日本法人名］が担当しています。

3. 個人データの取扱い：［当社の［国名］のサポート・開発担当者は、［目的］に必要な場合に限りお客様データにアクセスすることがあります。アクセス権は申請ごとに付与し、記録を取得して［期間］ごとに確認しています。］または［契約書第［x］条により、当社はお客様が保存する個人データを取り扱いません。また、［手段］によりお客様データへのアクセスを技術的に制限しています。］

4. 再委託先：［名称・目的・所在国］は［URL］に掲載しています。追加する場合は［x日］前にお知らせします。

5. 安全管理措置：［保存時・通信時の暗号化、アクセス制御、アクセスログの取得、監査・認証］

6. 準拠法・管轄：契約の準拠法は［法］、管轄裁判所は［裁判所］です。

English version (for headquarters)

1. Where the data is stored: Customer data, including personal data, is stored in [AWS Asia Pacific (Tokyo)], Japan. Backups are stored in [Asia Pacific (Osaka), Japan]. Application logs are stored in [country].

2. Who operates the service: The service is provided by [Company], incorporated in [country]. [Japanese subsidiary] handles [sales and support] in Japan.

3. Whether we handle personal data: [Our staff in [countries] may access customer data only to [purpose], with access granted per request, logged and reviewed every [period].] or [Under Section [x] of our agreement, we do not handle personal data stored by the customer, and access is technically restricted by [control].]

4. Sub-processors: [Names, purposes and countries], listed at [URL]. We notify customers [x days] before adding one.

5. Security measures: [Encryption at rest and in transit, access control, access logging, audits/certifications].

6. Governing law and jurisdiction: The agreement is governed by [law], with [court] as the competent court.

この形にする理由：1と2で、Q&Aが顧客に公表を求めている国名（事業者の所在国と、サーバが国外にあればその国）がそろいます。サーバが国内にあることを明記しておくのも、顧客には役立ちます。3は越境移転に当たるかどうかを左右する点への答えで、どちらの場合でも正直に書けます。4〜6は、チェックシートで次に聞かれやすい項目です。

言わないほうがよい三つの言い方

「東京リージョンなので、越境移転には当たりません」

Q12-4は、外国の事業者が取り扱う場合は国内サーバでも提供に当たり得るとしています。リージョンは事実として伝え、結論は顧客側の弁護士に委ねます。

「SaaSは提供に当たらないので、同意は不要です」

多くのSaaS事業者は、サポートなどで何らかの形で顧客データを扱います。Q7-53が当てはまるのは、事業者が取り扱わないこととなっている場合です。そう言えるなら契約条項とアクセス制御で裏づけ、言えないならその旨を伝えて措置を説明します。

「GDPRに準拠しているので、日本の要件も満たしています」

EU・英国の指定は、その国にいる相手についての話です。他の国の会社がGDPRに沿っているからといって、そのまま当てはまるわけではありません。自社の措置を具体的に説明するほうが伝わります。

返信する前のチェックリスト

  1. データのすべての置き場所を確認した（主データ、バックアップ、ログ、サポートツール）。
  2. データにアクセスできる会社の所在国を挙げられる（再委託先を含む）。
  3. 自社がデータを取り扱うかどうかを把握し、その根拠となる契約条項とアクセス制御を示せる。
  4. 回答に国名をはっきり書いている。顧客が自社の公表文にそのまま使えるように。
  5. 準拠法と管轄裁判所を契約どおりに書いている。
  6. 顧客に同意が必要かどうかの結論を、こちらから断定していない。それは顧客側の弁護士の判断です。
  7. 日本語版を日本語に堪能な人が確認した。訳文ではなく、明快な回答として読めるように。

本記事は一般的な枠組みの解説であり、法的助言ではありません。自社のサービスと契約に即した判断は、日本の弁護士にご確認ください。

出典

よくある質問

日本の会社に売るには、データを国内に置かなければなりませんか

日本の法律は、個人データを国外に置くこと自体を禁じてはおらず、条件を定めています。ただし方針として国内保存を望む、あるいは求める顧客もいます。まず顧客の規程を確かめ、保存場所と取り扱う会社の両方を説明できるようにしておくのが現実的です。

サーバは東京にあるのに、なぜ本社の所在国まで聞かれるのですか

個人情報保護委員会のQ&Aでは、外国の事業者が個人データを取り扱えば、サーバが国内でも外国にある第三者への提供になり得るうえ、提供に当たらない場合でも、顧客は事業者の国と、サーバが国外にあればその国名を公表することになっているためです。

「当社は個人データを取り扱いません」と答えてよいですか

実態としてそうであり、契約条項とアクセス制御で裏づけられる場合に限られます（Q7-53が想定している状況です）。サポートや開発の担当者がデータにアクセスできるなら、そのことと管理の方法を伝えます。

回答に準拠法や管轄裁判所まで入れたほうがよいですか

入れておくと話が早く進みます。日本のセキュリティチェックシートでは、保存場所と並んで事業者の所在地、準拠法、管轄裁判所が聞かれることが多く、総務省のクラウド情報開示指針にも同様の項目があります。