海外SaaSを使うときの個人データの越境移転

1. 「委託だから同意は不要」で止まらない

個人データの取扱いを外部に委託する場合は、委託の範囲内であれば個人情報保護法27条5項1号により「第三者」に該当せず、第三者提供についての本人同意は不要です。ただし、SaaSやクラウドの利用が常に「委託」と整理されるわけではなく、提供事業者がデータを取り扱うか、どの目的で利用するかなど、契約と実態の確認が必要です。

ところが、その委託先が外国にある事業者である場合には、話がもう一段あります。個人情報保護法28条は、外国にある第三者への個人データの提供について、第三者提供の規律とは別に規制を置いています。ここでいう「第三者」には委託先も含まれるため、委託であることを理由に28条の検討を省略することはできません。

海外ツールでは、契約条件やデータフローを確認しないまま導入すると、外国にある第三者への提供に関する検討が漏れやすくなります。以下、実務の順序で整理します。

2. 3つの経路のどれで進めるか

外国にある第三者に個人データを提供する場合、次のいずれかの経路をとることになります。

SaaS利用では③の基準適合体制を根拠とする場合があります。提供先との契約等により、法の求める相当措置を継続的に実施する体制を確保し、実施状況を継続的に確認します。実務では、事業者が用意しているデータ処理契約（DPA）や標準契約条項を確認し、それが③の要件を満たす内容になっているかを見ることになります。

3. ①同意を根拠にする場合の情報提供

同意を根拠とする場合、同意を得ようとする時点で、あらかじめ本人に次の情報を提供しなければなりません。

• 当該外国の名称
• 適切かつ合理的な方法により得られた当該外国の個人情報の保護に関する制度に関する情報
• 当該第三者が講ずる個人情報の保護のための措置に関する情報

したがって、本人同意を根拠とする場合に、「海外のサーバーに保管することがあります」といった抽象的な説明だけで済ませることはできません。同意を得ようとする時点で、原則として当該外国の名称、当該外国の制度に関する情報、提供先が講ずる措置に関する情報を提供する必要があります。移転先の国がその時点で特定できない場合には、規則に定める別の情報提供が必要になります。

4. ③基準適合体制を根拠にする場合の継続的な義務

③を根拠として提供する場合、提供して終わりではありません。提供元には、次の義務があります。

• 相当措置の継続的な実施を確保するために必要な措置を講ずること
• 本人の求めに応じて、その相当措置に関する情報を提供すること

前者には、提供先による相当措置の実施状況と、その実施に影響を及ぼすおそれのある当該外国の制度の有無・内容を、定期的に確認することが含まれます。「定期的」とは年に1回程度又はそれ以上の頻度とされているため、少なくとも年1回程度の棚卸しを運用に組み込むことになります。

5. クラウドを使っているだけの場合

実務でよく議論になるのが、クラウドサービスの利用です。当該事業者が個人データを取り扱わないこととなっている場合には、そもそも個人データの提供に該当しないという整理があり得ます。この場合、28条の検討は不要となります。

ただし、この整理が成り立つのは、契約上、当該事業者が個人データを取り扱わない旨が定められており、かつ、適切にアクセス制御が行われているなどの条件を満たす場合です。提供事業者が自らの目的でデータを利用する場合（たとえば、サービス改善や機械学習のために入力内容を利用する場合）には、この整理は使えません。

したがって、確認すべきは次の点になります。

1. 利用規約・DPAに、事業者がデータを自らの目的で利用する旨の定めがないか
2. 入力データの学習利用に関するオプトアウトの設定が、意図したとおりになっているか
3. サポート対応等で事業者側がデータにアクセスし得る設計になっていないか
4. 再委託先（サブプロセッサ）の一覧が開示されており、その所在国が確認できるか

生成AIのサービスを業務に導入する場面では、2が特に問題となりやすい点です。無償プランと有償プランで学習利用の扱いが異なる例も多くあります。

6. 実務の進め方

着手する場合、次の順序をお勧めします。

手順1：使っているツールの棚卸し

部署ごとに、個人データが入るツールを洗い出します。顧客管理、メール配信、問い合わせ管理、会計、採用管理、勤怠、チャット、ストレージ、分析、生成AI。現場が独自に契約している無償ツールが漏れやすい点に注意してください。

手順2：それぞれについて3点を確認する

• 提供先・再委託先の所在国と、データの保管・処理場所（サーバ所在地だけで28条の適用が決まるわけではない）
• 契約類型（提供に当たるか、取り扱わないこととなっているか）
• 提供に当たる場合の根拠（①同意／②同等水準国／③基準適合体制）

手順3：プライバシーポリシーと突き合わせる

棚卸しの結果と、現に公表しているプライバシーポリシーの記載が一致しているかを確認します。ポリシーは、実際のデータの流れと一致していることが出発点です。利用目的の記載が実態より狭ければ目的外利用の問題が生じ、広すぎれば特定の要件を満たさないという評価を受けかねません。

手順4：確認の記録を残す

③を根拠とする場合の継続的な確認は、記録がなければ実施したことを示せません。棚卸しの表に、確認日と確認者の欄を設けておくとよいでしょう。

7. 漏えいが起きたとき

あわせて、平時に決めておくべき点を挙げておきます。個人データの漏えい等が発生した場合、一定のときは個人情報保護委員会への報告と本人への通知が義務づけられます。対象となるのは、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、または本人の数が1,000人を超える場合です。

委員会への報告は速報と確報に分かれ、速報は発覚後速やかに（目安として3～5日以内）、確報は原則30日以内、不正の目的のおそれがある場合は60日以内とされています。

委託先で漏えいが起きた場合も、委託元が報告義務を負う場面があります。海外の事業者が関わると、事実確認だけで時差と言語の分だけ時間を失います。誰が事実確認を行い、誰が報告・通知の要否を判断し、誰が実行するかを、平時に決めておく必要があります。

---

なお、2026年7月17日に改正個人情報保護法が公布されており、一部を除き公布日から起算して2年以内で政令で定める日から施行されます。政令・規則・ガイドラインの整備が進行中であるため、施行時には本記事の記載も再確認を要します。本記事は一般的な情報の提供であり、個別の法的助言ではありません。個別の判断にあたっては、個人情報保護委員会のガイドラインおよびQ&Aの最新版をご確認ください。データの棚卸しやプライバシーポリシーの整備については、お問い合わせフォームからご相談ください。関連する行政の指針は、個人情報・データ保護のガイドライン一覧にまとめています。