HubSpot、Salesforce、Slack、Notion、Google Workspaceなど、中小企業やスタートアップが日常的に使っているSaaS（クラウド型のソフトウェアサービス）の多くは、海外の事業者が運営しています。つまり、顧客情報や会員情報をこれらのツールで管理している場合、個人データの取扱いに外国の事業者が関わっている可能性があります。
しかし、先述のようなサービスを利用している場合でも、
「委託として使っているから第三者提供には当たらない」
「クラウド例外の整理は済んでいる」
と考えている方も多いのではないでしょうか。
個人データを渡す相手が外国の事業者である場合には、国内の整理とは別に、個人情報保護法（以下「法」）28条（外国にある第三者への提供）のルールが関わってくるため、国内向けの考え方をそのまま当てはめると、対応が足りなくなることがあります。
そのような場合、取引先のセキュリティチェックシートや上場準備の審査で、個人データの保存場所や海外への移転について説明を求められることもあります。
この記事では、海外SaaSを使う企業が押さえておきたい法28条の仕組みと、実務での確認手順、プライバシーポリシーへの反映方法を整理します。委託やクラウド例外の基本的な考え方は既存の記事に譲り、外国が関わる場合に特有のルールに絞ってお話しします。
「委託だから大丈夫」とは限らない理由
問題になるのは、サーバーの場所より「誰が取り扱うか」
法28条で問題になるのは、外国にある事業者が個人データを取り扱うかどうかです。サーバーの所在地だけで決まるわけではありません。
個人情報保護委員会のQ&Aでも、外国の事業者が運営するクラウドで、サーバーが日本国内にある場合であっても、その事業者が保存された個人データを取り扱っていれば、外国にある第三者への提供に当たるとされています。ただし、その事業者が日本国内で個人情報データベース等を事業の用に供していると認められる場合は、これに当たりません。
一方、SaaS事業者が個人データを取り扱わない契約・運用になっていれば「提供」には当たりません。これがいわゆる「クラウド例外」と呼ばれるものです。詳しくは「クラウドサービスを使うと「第三者提供」になるのか？」で解説しています。
外国の事業者への委託には、追加の確認が必要
国内の事業者であれば、委託・事業承継・共同利用によって個人データを渡す場合、渡した相手は「第三者」に当たらないものとされ、本人の同意は不要です（法27条5項）。委託先に個人データを渡すこと自体は「提供」ですが、この規定によって第三者提供の規制がかからない、という仕組みです。
ところが、渡す相手が法28条の「外国にある第三者」に当たる場合、この扱いは使えません。そのため、たとえ委託であっても、原則として本人の同意が必要になります（法28条1項）。
ただし、外国の事業者がすべて「外国にある第三者」に当たるわけではなく、提供先の所在国や個人情報保護の体制によって変わりますので、次の3つのルートを確認します。なお、委託そのものの考え方は「個人情報の取扱いの委託とは？」をご覧ください。
外国にある第三者への提供で確認する３つのルート
海外事業者が提供するSaaS利用で確認することになるポイントは、大きく3つです。
（１）提供先の事業者がEUまたは英国に所在する場合：
個人情報保護委員会が「日本と同等の水準にある」と認めた国で、法28条の「外国」から除かれています。この場合は国内と同じ扱いになり、委託であれば法27条5項の整理がそのまま使えます。
（２）提供先の事業者が一定の基準に適合する体制を整えている場合（施行規則16条）：
この場合も法28条1項の対象から外れ、委託であれば法27条5項の整理が使えます。
基準は2通りあり、一つは提供元と提供先の間の契約などで、日本の個人情報保護法の趣旨に沿った措置（利用目的の範囲内での取扱い、安全管理措置、再提供の制限など）が確保されていること。もう一つは、提供先がAPEC CBPRまたはグローバルCBPR（越境プライバシールール）の認証を受けていることです。サービスのブランド名だけで判断せず、実際に個人データの提供を受ける事業者が認証を取得しているかを確認します。
（３）あらかじめ本人の同意を得る：
本人の同意があれば外国の事業者にも提供が可能となります。
ただし、単に第三者提供に対する同意だけでは足りず、外国の事業者への提供に対する同意が必要となります。
また、同意を得る際には、移転先の国名、その国の個人情報保護制度、移転先が講じている措置に関する情報を本人に提供する必要があります（法28条2項、施行規則17条）。
なお、法27条1項各号に当たる場合は、本人の同意がなくても外国にある第三者に提供できます。
具体的には、法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが難しい場合、公衆衛生の向上や児童の健全な育成のために特に必要で同意を得ることが難しい場合、国や地方公共団体などの法令上の事務に協力する必要がある場合、学術研究目的の一定の場合です。
いずれも例外的な場面を想定したもので、顧客管理や業務の効率化のために海外SaaSを使うといった、一般的なビジネス分野における利用で該当するケースは少ないと考えられます。
実務での確認手順
使っているSaaSと個人データの流れを洗い出す
まず対応するのは、顧客や会員の情報を扱っているSaaSの洗い出しです。HubSpotで見込み客を管理している、Salesforceに契約顧客の情報がある、SlackやNotionに問い合わせ内容や名簿が流れている。こうした状況を一覧にしていきます。
そのうえで、SaaSごとに、サービス提供事業者が個人データを取り扱うかどうかを確認します。取り扱う場合は、委託に伴う提供なのか、それ以外の第三者提供なのかを整理し、提供先が「外国にある第三者」に当たるか（EU・英国の事業者か、基準に適合する体制があるか）を判断します。
なお、クラウド例外として提供に当たらない場合でも、外国が関わる以上、安全管理措置の確認は必要です（後述）。
判断の手がかりになるのは、各事業者が公表しているデータ処理契約（DPA：Data Processing Agreement）、プライバシーポリシー、利用規約です。
何のデータをどのツールで扱っているかを把握することは、越境移転の整理だけでなく、安全管理の面でも共通の第一歩になります。存在を把握していない個人データは、管理しようがないからです。
DPAで日本法への対応を確認する
主要な海外SaaSの多くはDPAを用意しています。ただここで注意したいのは、DPAやEUの標準契約条項（SCC）が整っていることと、日本の個人情報保護法が求める措置をカバーしていることは、必ずしも同じではないという点です。SCCはもともとEUのGDPRに対応するための条項です。
体制整備のルートを根拠にする場合、ガイドライン（外国にある第三者への提供編）が挙げる項目のうち、委託で特に確認したいのは次の点です。すべてを契約に明記する必要はなく、実質的に確保されていれば足ります。
- 利用目的の範囲内でのみ取り扱うことが定められているか
- 安全管理措置、従業者や再委託先の監督について定めがあるか
- 第三者への再提供が制限されているか
- 漏えいが起きた場合の通知について定めがあるか
- 本人からの開示等の請求や苦情に、委託元が対応できるよう協力する定めがあるか
また、このルートは契約時に確認して終わりではありません。提供先での措置の実施状況や、それに影響する外国の制度を定期的に確認する必要があり、ガイドラインでは年に1回程度またはそれ以上の頻度とされています（法28条3項、施行規則18条）。措置の継続が難しくなった場合は、提供を停止するなどの対応も求められます。
英文のDPAや利用規約を日本法の要件と照らし合わせ、改訂のたびに確認し直す作業は、法務担当者がいない会社では負担になりがちです。必要に応じて、専門家の確認を活用するのも一つの方法です。
あわせて、事業者とサーバーの所在国も確認しておきます。複数の地域にデータセンターを持ち、契約プランや設定によって保存先が変わるSaaSもあるため、管理画面の設定も見ておきます。これが分からなければ、次に説明する本人への情報提供や公表ができません。
プライバシーポリシーへの反映
3つの情報提供義務を区別する
海外SaaSの利用に関わる本人への情報提供には、そのルートに応じて3つの義務があります。
| 区分 | 求められる対応 | タイミング |
|---|---|---|
| 同意ルート（法28条2項） | 移転先の国名・制度・措置の情報を本人に提供 | 同意を得る前 |
| 体制整備ルート（法28条3項） | 体制整備の方法・措置の概要・国名や制度などを情報提供 | 本人の求めがあったとき |
| 安全管理措置（法32条1項4号） | 講じた安全管理措置（外国の名称を含む）を本人の知り得る状態に置く | 常時（求めに応じ遅滞なく回答する形も可） |
いずれも、プライバシーポリシー本文への記載そのものが条文で義務づけられているわけではありません。ただ、まとめて記載しておけば、本人への説明や問い合わせへの対応がしやすくなります。
なお、同意ルートでは、掲載しておくだけでは足りず、同意の判断の前に本人がその情報を確認できるよう、確認を明示的に求めるなどの方法で提供する必要があります。
クラウド例外でも示しておくべきこと
クラウド例外として提供に当たらない場合でも、外国の事業者のクラウドサービスを使う以上、その国の個人情報保護制度等を把握したうえで安全管理措置を講じる必要があります（外的環境の把握）。これはサーバーが日本国内にある場合も同様です（Q&A10-25）。
そのうえで、保有個人データを管理しているのであれば、サービス提供事業者の所在国とサーバーの所在国、それらの国の制度等を踏まえて講じた安全管理措置の内容を、本人の知り得る状態に置く必要があります。サーバーの所在国を特定できない場合は、その旨と理由、本人の参考となる情報（所在国の候補など）を示します。
このうち安全管理措置の内容は、自社が実際に講じている措置を書く必要があります。ひな形の文言をそのまま使うと、実態と合わない記載になりかねません（「プライバシーポリシーをテンプレートで作成するリスクとは？」も参照）。
安全管理措置の全体像は「安全管理措置とは？」で解説しています。
記載の正確さは、洗い出しの精度にかかっています。
SaaSを追加・乗り換えたとき、事業者がDPAや利用規約を改訂したときは、プライバシーポリシーの記載も見直すタイミングです。いまの記載が利用実態と合っているか不安な場合は、プライバシーポリシー見直し診断で現状をチェックすることもできます。
まとめ
海外SaaSを日常的に使っていると、法28条や安全管理措置への対応が必要になる場面は少なくありません。ポイントは、サーバーの場所ではなく「外国の事業者が個人データを取り扱うか」で判断することと、そして「委託だから」「クラウド例外だから」という国内向けの整理をそのまま当てはめないことです。
対応の手順は、使っているSaaSと個人データの流れを洗い出すことから始まります。そのうえで、SaaS事業者が個人データを取り扱うか、提供先が外国にある第三者に当たるかを整理し、体制整備ルートを使う場合はDPAの中身と継続的な確認の仕組みを整えます。その結果を、同意・求めに応じた情報提供・安全管理措置の公表という3つの義務に沿って本人に示すことが、無理のない進め方です。
使っているSaaSが越境移転に当たるかどうか、いまのプライバシーポリシーの記載が実態と合っているかどうかを確認したい方は、プライバシーポリシー見直し診断からお気軽にご相談ください。利用中のサービスや現在のプライバシーポリシーを確認しながら、必要な対応を一緒に整理します。
