クラウドサービス(SaaS)の利用時にサービス事業者へ個人データを送信する際の留意点

IT・情報セキュリティ 公開 更新

 当社では、個人データの処理を行うクラウドサービス(SaaS)の利用を検討しております。このクラウドサービス(SaaS)を利用するためには、個人データをクラウドサービス事業者に送信しなければならないのですが、どのような点に留意するべきでしょうか。

 クラウドサービス(SaaS)の利用に伴いクラウドサービス事業者に個人データを送信する場合の留意点は、クラウドサービス事業者が国内の事業者であるのか、それとも、国外の事業者であるのかによって異なります。

 国内のクラウドサービス事業者に個人データを送信する場合には、基本的には個人データの取扱いの委託に該当し、本人の同意を得る必要はありませんが、クラウドサービス事業者の監督義務を負うことになる点に留意が必要です。これに対して、国外のクラウドサービス事業者に個人データを送信する場合には、一定の要件を備える必要がある点に留意が必要です。

解説

目次

  1. 個人データの「提供」に該当しない場合
  2. 個人データを国内のクラウドサービス事業者に提供する場合
  3. 個人データを国外のクラウドサービス事業者に提供する場合
  4. まとめ

個人データの「提供」に該当しない場合

 クラウドサービス事業者が国内の事業者であるか、国外の事業者であるかを問わず、クラウドサービス事業者に対して、個人データを送信する場合において、当該クラウドサービス事業者が、当該個人データを取り扱わないこととなっているときは、当該個人情報取扱事業者は個人データを「提供」したことにはならないため、本人の同意を得る必要はありません。

 そして、クラウドサービス事業者が、「当該個人データを取り扱わないこととなっている」場合とは、契約条項によって当該クラウドサービス事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます(個⼈情報保護委員会「『個⼈情報の保護に関する法律についてのガイドライン』及び『個⼈データの漏えい等の事案が発⽣した場合等の対応について』に関するQ&A」Q5−33)。

 これに対して、設例においては、個人データの処理を行うクラウドサービス(SaaS)を利用するために個人データを送信しておりますので、クラウドサービス事業者が、「当該個人データを取り扱わないこととなっている」場合には該当しません。
 そのため、設例における個人データのクラウドサービス事業者への送信は、個人データの「提供」に該当することになります。

個人データを国内のクラウドサービス事業者に提供する場合

 個人データを「提供」する場合においても、データの打ち込み等、情報処理を委託するために個人データを提供するときは、個人情報取扱事業者の利用目的の達成に必要な範囲内であれば、あらかじめ本人の同意を得ることなく、クラウドサービス事業者に対して、個人データの委託をすることができます(個人情報保護法23条5項1号、個⼈情報保護委員会「個⼈情報の保護に関する法律についてのガイドライン(通則編)」3−4−3)。

 そのため、個人データを国内のクラウドサービス事業者に提供する場合において、設例のように個人データの処理を行うクラウドサービス(SaaS)を利用するために個人データを送信するときには、個人データの委託に該当することになります。
 したがって、設例の場合には、本人の同意を得る必要はありません。

 ただし、個人データの取扱いを委託する場合には、クラウドサービス事業者に対して、必要かつ適切な監督を行わなければならない点に留意が必要です。すなわち、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模および性質、個人データの取扱状況(取り扱う個人データの性質および量を含む)等に起因するリスクに応じて、必要かつ適切な措置(①適切な委託先の選定、②委託契約の締結、③委託先における個人データ取扱状況の把握)を講じることが求められています(個人情報保護法22条、個⼈情報保護委員会「個⼈情報の保護に関する法律についてのガイドライン(通則編)」3−3−4)。

個人データを国外のクラウドサービス事業者に提供する場合

 個人データを国外のクラウドサービス事業者に提供する場合には、国内のクラウドサービス事業者に個人データを提供する場合とは異なり、委託において本人の同意を不要とする例外規定が存在しません。そのため、個人データを国外のクラウドサービス事業者に提供する場合には、原則として、本人の同意を得る必要があります(個人情報保護法24条)。

 ただし、個人情報保護法24条の「外国」および「第三者」から、それぞれ以下のものが除外されているため、「外国」から除外されている国のクラウドサービス事業者に個人データを提供する場合、および、「第三者」から除外されているクラウドサービス事業者に個人データを提供する場合には、本人の同意は不要となります。


【国外のクラウドサービス事業者への個人データの提供において本人の同意が不要な場合】

「外国」から除外されている国 「第三者」から除外されている者
個人情報保護法24条 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるもの 個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者
規則、告示 平成三十一年一月二十三日時点における欧州経済領域協定に規定された国

アイスランド、アイルランド、イタリア、英国、エストニア、オーストリア、オランダ、キプロス、ギリシャ、クロアチア、スウェーデン、スペイン、スロバキア、スロベニア、チェコ、デンマーク、ドイツ、ノルウェー、ハンガリー、フィンランド、フランス、ブルガリア、ベルギー、ポーランド、ポルトガル、マルタ、ラトビア、リトアニア、リヒテンシュタイン、ルーマニア及びルクセンブルク(「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」(平成31年個人情報保護委員会告示第1号))
  1. 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること(施行規則11条の2第1項)
  2. 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること(施行規則11条の2第2項)

 個人データを国外のクラウドサービス事業者に提供する場合において、本人から同意を取得するときは、事業の性質および個人データの取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によらなければなりません。具体的な方法として、提供先の国・地域名を個別に示す方法、実質的に本人からみて提供先の国名等を特定できる方法(本人がサービスを受ける際に実質的に本人自身が個人データの提供先が所在する国等を決めている場合)、国名等を特定する代わりに外国にある第三者に提供する場面を具体的に特定する方法等が考えられます(「『個⼈情報の保護に関する法律についてのガイドライン』及び『個⼈データの漏えい等の事案が発⽣した場合等の対応について』に関するQ&A」Q9−2)。

まとめ

 以上の通り、クラウドサービス(SaaS)の利用に伴いクラウドサービス事業者に個人データを送信する場合の留意点は、国内のクラウドサービス事業者であるか、それとも、国外のクラウドサービス事業者であるかによって異なります。

 国内のクラウドサービス事業者に個人データを送信する場合には、基本的には個人データの取扱いの委託に該当し、本人の同意を得る必要はありません。ただし、クラウドサービス事業者に対して必要かつ適切な監督を行わなければならない点に留意が必要です。
 これに対して、国外のクラウドサービス事業者に個人データを送信する場合には、一定の要件を備える必要がある点に留意が必要です。

<追記>
2021年1月4日:下記2点の表現を改めました。
  • 冒頭Aの「国外のクラウドサービス事業者に個⼈データを送信する場合」に関する解説箇所について、表現を一部改めました。
  • 「4 まとめ」の「国外のクラウドサービス事業者に個⼈データを送信する場合」に関する解説箇所について、表現を一部改めました。

この実務Q&Aを見ている人はこちらも見ています

無料会員登録で
リサーチ業務を効率化

1分で登録完了

無料で会員登録する