クラウドサービス（SaaS）の利用時にサービス事業者へ個人データを送信する際の留意点

個人データの「提供」に該当しない場合

　クラウドサービス事業者が国内の事業者であるか、国外の事業者であるかを問わず、クラウドサービス事業者に対して、個人データを送信する場合において、当該クラウドサービス事業者が、当該個人データを取り扱わないこととなっているときは、当該個人情報取扱事業者は個人データを「提供」したことにはならないため、本人の同意を得る必要はありません。

　そして、クラウドサービス事業者が、「当該個人データを取り扱わないこととなっている」場合とは、契約条項によって当該クラウドサービス事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます（個⼈情報保護委員会「『個⼈情報の保護に関する法律についてのガイドライン』及び『個⼈データの漏えい等の事案が発⽣した場合等の対応について』に関するQ&A」Q5−33）。

　これに対して、設例においては、個人データの処理を行うクラウドサービス（SaaS）を利用するために個人データを送信しておりますので、クラウドサービス事業者が、「当該個人データを取り扱わないこととなっている」場合には該当しません。
　そのため、設例における個人データのクラウドサービス事業者への送信は、個人データの「提供」に該当することになります。

個人データを国内のクラウドサービス事業者に提供する場合

　個人データを「提供」する場合においても、データの打ち込み等、情報処理を委託するために個人データを提供するときは、個人情報取扱事業者の利用目的の達成に必要な範囲内であれば、あらかじめ本人の同意を得ることなく、クラウドサービス事業者に対して、個人データの委託をすることができます（個人情報保護法23条5項1号、個⼈情報保護委員会「個⼈情報の保護に関する法律についてのガイドライン（通則編）」3−4−3）。

　そのため、個人データを国内のクラウドサービス事業者に提供する場合において、設例のように個人データの処理を行うクラウドサービス（SaaS）を利用するために個人データを送信するときには、個人データの委託に該当することになります。
　したがって、設例の場合には、本人の同意を得る必要はありません。

　ただし、個人データの取扱いを委託する場合には、クラウドサービス事業者に対して、必要かつ適切な監督を行わなければならない点に留意が必要です。すなわち、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模および性質、個人データの取扱状況(取り扱う個人データの性質および量を含む)等に起因するリスクに応じて、必要かつ適切な措置（①適切な委託先の選定、②委託契約の締結、③委託先における個人データ取扱状況の把握）を講じることが求められています（個人情報保護法22条、個⼈情報保護委員会「個⼈情報の保護に関する法律についてのガイドライン（通則編）」3−3−4）。

個人データを国外のクラウドサービス事業者に提供する場合

　個人データを国外のクラウドサービス事業者に提供する場合には、国内のクラウドサービス事業者に個人データを提供する場合とは異なり、委託において本人の同意を不要とする例外規定が存在しません。そのため、個人データを国外のクラウドサービス事業者に提供する場合には、原則として、本人の同意を得る必要があります（個人情報保護法24条）。

　ただし、個人情報保護法24条の「外国」および「第三者」から、それぞれ以下のものが除外されているため、「外国」から除外されている国のクラウドサービス事業者に個人データを提供する場合、および、「第三者」から除外されているクラウドサービス事業者に個人データを提供する場合には、本人の同意は不要となります。

【国外のクラウドサービス事業者への個人データの提供において本人の同意が不要な場合】

　個人データを国外のクラウドサービス事業者に提供する場合において、本人から同意を取得するときは、事業の性質および個人データの取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によらなければなりません。具体的な方法として、提供先の国・地域名を個別に示す方法、実質的に本人からみて提供先の国名等を特定できる方法（本人がサービスを受ける際に実質的に本人自身が個人データの提供先が所在する国等を決めている場合）、国名等を特定する代わりに外国にある第三者に提供する場面を具体的に特定する方法等が考えられます（「『個⼈情報の保護に関する法律についてのガイドライン』及び『個⼈データの漏えい等の事案が発⽣した場合等の対応について』に関するQ&A」Q9−2）。

まとめ

　以上の通り、クラウドサービス（SaaS）の利用に伴いクラウドサービス事業者に個人データを送信する場合の留意点は、国内のクラウドサービス事業者であるか、それとも、国外のクラウドサービス事業者であるかによって異なります。

　国内のクラウドサービス事業者に個人データを送信する場合には、基本的には個人データの取扱いの委託に該当し、本人の同意を得る必要はありません。ただし、クラウドサービス事業者に対して必要かつ適切な監督を行わなければならない点に留意が必要です。
　これに対して、国外のクラウドサービス事業者に個人データを送信する場合には、一定の要件を備える必要がある点に留意が必要です。