クラウドサービスに個人情報に預ける場合には「個人情報保護法」に注意が必要【2023年3月加筆】

2020年8月27日 IT企業のための法律, ブログ, 個人情報の管理

クラウドサービスを利用する場合

自社で、顧客の個人情報を取り扱っていますが、クラウドサービスを導入する場合、どのような点に気をつけなくてはならないでしょうか。

クラウドを通じて個人情報を利用する場合に気を付けるべきは、個人情報保護法の規制です。

個人情報の提供に該当するか否か

クラウドサービスを利用しようとする事業者が「個人情報取扱事業者」に該当する場合、クラウドを通じて個人情報を取り扱うに当たっては、個人情報保護法の規制を受ける場合があります。

具体的には、クラウドサービスにおいて、利用者の保有する情報は、クラウド事業者の管理するサーバに保管されることとなります。

このように、かかるクラウド事業者の管理するサーバへの個人情報データの移動が、個人情報保護法上の「提供」に該当するか否かがまず問題となります。

「提供」に該当すると、本人の同意や記録義務などの面倒手続きが必要になります。

ここで、「提供」とは、個人データ等を、自己以外の者が利用可能な状態に置くことをいい、個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば、「提供」に当たるとされています。

また、特にクラウドについては、「クラウドサービスの利用が、本人の同意が必要な第三者提供又は委託に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。

当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合には、当該個人情報取扱事業者は個人データを提供したことにはならないため、『本人の同意』を得る必要はありません。」とされています。

そして、ここにいう「当該個人データを取り扱わないこととなっている場合」については、「契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。」と説明されています。

したがって、以上で示された解釈からしますと、仮に保存データに対するクラウド事業者のアクセス権が認められており、クラウド事業者がユーザーの保存した個人データを取り扱うこととなっている場合には、「提供」に当たることとなります。

他方、保存データについて利用規約上等でクラウド事業者がこれを取り扱わない旨が定められており、適切にアクセス制御がなされている場合には、「提供」には当たらないことにします。

第三者提供か委託か

クラウドサービス提供事業者の管理するサーバへのデータの移動が、個人情報保護法上の第三者への「提供」に該当する場合、原則として、あらかじめ本人の同意を取得することが必要となります。

他方、個人データの提供が「個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合」には、「第三者」への提供とはならず、本人の同意は必要ありません。

もっとも、この場合、「個人データ」の委託先への提供に伴い、利用者は、委託先に対する必要かつ適切な監督を行う義務として、次の2点を行う必要があります。

適切な委託先の選定
委託契約の締結及び委託先における個人データ取扱状況の把握を

この点、クラウドが利用される場合というのは、利用者が自己が行う個人データの管理業務の一部をクラウド事業者に分担させる関係にあるといえますし、クラウドサーバに保管された個人データは、クラウド契約の終了の際、利用者に返却又は消去され、クラウド事業者の下には残らないことが通常であると思われます。

したがって、クラウド事業者への個人データの提供は、委託先への提供(よって、本人からの同意は不要)であると評価できる場合がほとんどであると思われます。

ただし、クラウド契約上、クラウド事業者に移転された個人情報がクラウド事業者自身の目的のために利用される場合や、クラウド契約終了後もクラウド事業者の下に残されるような場合には、クラウド事業者は委託先ではない(よって、第三者への提供であり、本人からの同意が必要)と解されるケースもあり得ますので、クラウド契約締結に当たっては注意すべきです。