クラウドに置く個人データと保存場所（国内・海外）の考え方

クラウドに個人データを置くときは、個人情報保護法の上で、クラウドの事業者が個人データを取り扱うことになっているかどうかで扱いが分かれます。事業者が取り扱わないことになっていれば、個人データの「提供」には当たりませんが、利用する会社は自ら安全管理措置を講じる必要があり、外国にある事業者のサービスを使う場合は、その外国の制度を把握したうえで措置を講じます。この記事では、個人情報保護委員会のQ&Aをもとに、考え方を整理します。個別の判断は弁護士などの専門家にご確認ください。

クラウドに個人データを置くのは「提供」に当たるのですか

クラウドに個人データを置いても、事業者が個人データを取り扱わないことになっていれば、「提供」には当たりません。個人情報保護委員会のQ&Aは、保存するデータに個人データが含まれるかどうかではなく、クラウドの事業者が個人データを取り扱うことになっているかどうかが判断の基準になるとしています。

そのうえで、事業者が個人データを取り扱わないことが契約で決まっており、アクセスの制御が適切に行われている場合は、個人データの提供には当たらず、本人の同意は要らないとしています。

出典：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）（Q7-53）

クラウドの事業者と利用する会社の役割の分け方は、責任共有モデルとは。クラウドの事業者が守る範囲、利用者が守る範囲で説明しています。事業者が個人データを取り扱うかどうかは、利用規約やデータの扱いを定めた契約の条項で確かめます。

提供に当たらない場合、利用する会社は何をすればよいですか

提供に当たらない場合でも、利用する会社は、自らの安全管理措置として、適切な措置を講じる必要があります。Q&Aは、クラウドの利用が「提供」に当たらない場合は、委託先の監督の義務（法第25条）は課されないものの、利用する会社は自らの安全管理措置の義務にもとづいて、適切な措置を講じる必要があるとしています。

出典：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）（Q7-54）

クラウドでの安全管理措置として、まず手を付けたいのは、誰がデータに触れられるかの管理、保存したデータの暗号化、外から見られる設定になっていないかの点検です。設定の誤りによる漏えいの防ぎ方は、クラウドの設定ミスによる情報漏えいと、防ぎ方、権限の考え方はクラウドの権限管理（IAM）の基本。最小の権限とはで説明しています。

外国の事業者やサーバーを使うときは、何を確かめればよいですか

外国にある事業者のクラウドを使い、そのサーバーに個人データを保存する場合は、その外国の個人情報の保護に関する制度などを把握したうえで、安全管理措置を講じます。Q&Aは、外国にある事業者のクラウドを使う場合、提供に当たらないときでも、利用する会社は外国で個人データを取り扱うことになるため、その外国の制度などを把握したうえで安全管理措置を講じる必要があるとしています。日本国内にあるサーバーに個人データが保存される場合も同様であるとしています。

あわせて、保有個人データの安全管理措置として、クラウドの事業者が所在する外国と、個人データが保存されるサーバーが所在する外国の名称を、本人が知り得る状態に置く必要があるとしています。サーバーの所在国を特定できない場合は、その旨と、参考になる情報を示すとしています。

出典：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）（Q10-25）

つまり、保存場所を国内にするかどうかだけでなく、事業者がどこの国にあるかも確かめる必要があります。プライバシーポリシーなどで本人に示す内容が、いまの使い方と合っているかも見直しておきます。

事業者が個人データを取り扱う場合は、どうなりますか

事業者が個人データを取り扱うことになっている場合は、個人データの提供に当たり、委託などの扱いを考えることになります。たとえば、クラウドの上のシステムの運用を外部の会社に頼み、その会社がデータの中身を扱う場合です。

提供先が外国にある第三者に当たる場合は、法第28条の「外国にある第三者への提供の制限」が関わります。同条は、原則として本人の同意を求め、日本と同等の水準の制度がある国の第三者や、一定の基準に適合する体制を整えている第三者への提供は、扱いが異なることを定めています。解釈は、個人情報保護委員会の「外国にある第三者への提供編」のガイドラインに示されています。

出典：個人情報の保護に関する法律（e-Gov 法令検索）、個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（個人情報保護委員会）

どちらに当たるかは、契約の中身と実際の運用で判断が分かれることがあります。運用を頼む会社との取り決めは、クラウド運用の契約で決めておくこと（範囲・対応時間・責任）でも説明しています。個別の判断は弁護士などの専門家にご確認ください。

保存場所は、どう選べばよいですか

保存場所は、業務の都合、法令や取引先の求め、障害への備えを合わせて選びます。AWS・Microsoft Azure・Google Cloud は、いずれも日本国内にリージョンを持っています。2026年11月時点で、AWS は東京と大阪、Azure は東日本（東京・埼玉）と西日本（大阪）、Google Cloud は東京と大阪のリージョンを公表しています。

出典：AWS Regions（AWS）、Azure regions list（Microsoft Learn）、Regions and zones（Google Cloud）

選ぶときに確かめておきたいのは、次の点です。

国内のリージョンを選んでも、バックアップの複製先や、付随するサービスが海外のリージョンを使っていることがあります。リージョンの選び方と障害への備えは、リージョンとアベイラビリティゾーン。障害に備えた配置の考え方で説明しています。生成AIのサービスを使う場合のデータの扱いは、生成AIをクラウドで使うときのデータの守り方にまとめています。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、本番のデータ・バックアップ・記録の保存場所の洗い出し、権限と暗号化の設定、保存場所を踏まえた構成の設計をご支援しています。個人情報保護法の上の判断そのものは、弁護士などの専門家とご相談ください。個人データを扱うシステムの設定の点検は、セキュリティ診断と対策でもお受けしています（当社が構築・運用している環境の診断は、自己点検として扱います）。