昨今、多くの企業がクラウドサービスを利用しており、なかには海外のクラウドサービスを利用する例も少なくありません。

個人情報保護法では、「個人情報取扱事業者は外国にある第三者に個人データを提供する場合、これについての本人の同意が必要」と規定されていますが、海外のクラウドサービスを利用する場合や国外のクラウドサーバーにデータを保管している場合は、この法律が適用されるのでしょうか。

今回は2022年4月に施行された改正個人情報保護法に関して、特にお問い合わせの多い「外国にある第三者への提供が認められる条件」と「ソーシャルプラグイン」について、解説します。

※ソーシャルプラグイン：ソーシャルネットワーキングサービス（SNS）が、ウェブサイトのページ上に設置できるように提供している機能、プログラムのこと

※本メディアサイト「まもりの種」では、2022年4月に施行された改正個人情報保護法について、お届けしています。これまでの記事については下部をご参照ください。

Q：海外のクラウドサービスは外国にある第三者にあたるのか

海外のクラウドサービスに個人データを保存する場合、データの所在は海外にあります。一見、海外のクラウドサービス＝「外国にある第三者」のように見えますが、「外国にある第三者」に該当する場合とそうでない場合に分かれます。まずはその定義から確認していきましょう。

外国にある第三者の定義

個人情報保護法における「外国にある第三者」の「第三者」とは、個人データを提供する個人情報取扱事業者と個人データによって識別される本人以外の者を言い外国政府なども含まれます。法人の場合は、個人データを提供する個人情報取扱事業者と別の法人格を有するかどうかで「第三者」に該当するかを判断します。

（例）

• 　・外資系企業の日本法人が外国にある親会社に個人データを提供する場合、親会社は「外国にある第三者」に該当
• 　・日系企業の東京本店が外資系企業の東京支店に個人データを提供する場合、当該外資系企業の東京支店は、日本国内で「個人情報データベース等」を事業の用に供している「個人情報取扱事業者」に該当し、「外国にある第三者」には該当しない

海外のクラウドサービスを利用していたとしても、それを管理するのが日本企業であり、現地の支店など同一法人格内で個人データを移動する場合には「外国にある第三者」への提供には該当しません。

また、海外のクラウドサービスが個人データを取り扱うかどうかによって、個人情報取扱事業者の対応は異なります。

個人情報を取り扱う場合

海外のクラウドサービスを保有する法人が個人データを取り扱う場合は、個人情報保護法に従って国名等を本人に通知する必要があります。併せて、当該国の制度等を加味したうえで安全措置を講じ、その内容を本人の知り得る状態に置かなければなりません。

個人情報を取り扱わない場合

しかしながら、海外のクラウドサービスに個人データを保存する場合でも、そのサーバーを保有する法人が個人データを取り扱わないとする場合は、第三者への提供には該当しません。第三者へ提供しないということは、つまり本人の同意も不要です。この場合の「個人データを取り扱わない」とは、契約条項や利用約款等にその旨が記載されていることや、アクセス制限が適用されているなどの措置が取られている状態を指します。

また、クラウドサーバーを通じてデータを共有する場合も同様の対応が求められます。海外のクラウドサービスを利用している企業は、今一度契約内容を確認するのが望ましいでしょう。

Q：WebサイトにGoogleやFacebook等のタグを埋め込むことは個人関連情報の提供になるのか

個人関連情報とは「生存する『個人に関する情報』であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう」と定義されており、cookieがその代表例として挙げられます。

この個人関連情報を第三者に提供した場合に、提供先において、何らかの方法により個人情報と関連付けることができるという場合には、あらかじめ本人の同意が必要であり、取得主体は原則、提供先となります。

ここでよく聞かれるのが「自社WebサイトにGoogleやFacebook等のタグを埋め込んだ場合は、個人関連情報の提供になるのか？」という点ですが、結論、個人関連情報の提供にはなりません。

理由としては、GoogleやFacebook等のタグを埋め込んだとしても、自社ではそのタグで収集した閲覧履歴を取り扱わない為、Google社やMeta社やが仮にユーザーIDを紐づけの有無に関わらず、提供にはならないということになります。

一方で、自社Webサイトにタグを埋め込む場合には、各サイトのプライバシーポリシー等を十分に理解したうえで判断する必要があります。また、個人関連情報の取得においては、あらかじめ自社サイトにその旨を明示し、必要に応じて同意取得することが望ましいといえるでしょう。

個人情報保護法にまつわる対応は専門家への依頼がおすすめ

クラウドサーバーやSNSの利用は昨今のビジネスでは避けて通れないものとなっています。企業が提供するサービス内容も常に進化していることを踏まえると、個別ごとのケースにおいて、法律の解釈を照らし合わせる必要があります。こうした課題を適切に対応するには、外部の専門家を巻き込んで進めていくことをおすすめします。ここでは、個人情報保護法関連に強い外部コンサルティングサービスCoach MAMORU＜コーチマモル＞をご紹介します。

Coach MAMORU＜コーチマモル＞は、専門コンサルタントが企業に情報セキュリティ教育やコンサルティングを行うサービスです。上記のような個人情報保護法に関する対策を提案したり、ガイドラインをチェック・アドバイスしたり、課題の把握から運用が定着するまで、一貫したサポートを行います。個人情報保護法は今後も定期的な改正が見込まれます。スピーディかつ的確な対応を継続するために、利用を検討してみてはいかがでしょうか。

Coarch MAMORU URL：https://www.mamoru-kun.com/security_consulting/

海外のクラウドサーバーやSNSの利用には十分な注意を

個人情報保護法に関する対応は、抜け漏れがあれば違反となり、社会的信用にも影響を及ぼします。海外のクラウドサーバーやソーシャルプラグインを利用する場合は、個人情報保護法に適しているか、契約内容を十分に理解したうえでの利用が求められます。今回ご紹介したサービス等を利用して、情報セキュリティ事故を未然に防止する対策を講じましょう。

Pマーク取得企業も新たな「構築・運用指針」に対応した運用を

今回の改正個人情報保護法に合わせて、Pマーク取得企業も新たな「構築・運用指針」に対応していかなければなりません。次の審査まで時間に余裕があったとしても、2022年4月以降は新たな基準での運用が求められています。Pマーク取得企業は今回の対応を「個人情報に対する意識向上」の好機だととらえ、積極的に進めていきましょう。

Pマーク取得企業も新たな「構築・運用指針」に対応した運用を

今回の改正個人情報保護法に合わせて、Pマーク取得企業も新たな「構築・運用指針」に対応していかなければなりません。次の審査まで時間に余裕があったとしても、2022年4月以降は新たな基準での運用が求められています。Pマーク取得企業は今回の対応を「個人情報に対する意識向上」の好機だととらえ、積極的に進めていきましょう。

個人情報保護法改正（2022年4月施行）関連記事

第1回【2022年4月施行】個人情報保護法改正、6つのポイントとは？
第2回【2022年4月施行】個人情報保護法改正、6つのポイントを徹底解説
第3回【2022年4月施行】個人情報保護法改正、プライバシーポリシー改訂のポイント
第4回【2022年4月施行】個人情報保護法改正、開示請求のポイント
第5回【2022年4月施行】個人情報保護法改正、個人関連情報・オプトアウト規制・不適正利用に関する対応ポイント
第6回【2022年4月施行】個人情報保護法改正、従業員教育で取り上げるべきポイント教育
第7回【2022年4月施行】個人情報保護法改正、個人データ漏洩等の報告・対応について
第8回【2022年4月施行】個人情報保護法改正、個人データの取り扱いに関する安全管理措置について
第9回【2022年4月施行】個人情報保護法改正Q&A、海外のクラウドサーバーやソーシャルプラグインに関する考え方
第10回【2022年4月施行】改正個人情報保護法対応に向けた主なTo Doを解説！（全企業対象）
第11回【2022年4月施行】改正個人情報保護法対応に向けた主なTo Doを解説！（Pマーク取得企業対象）