---
title: "クラウドに置く個人データと保存場所（国内・海外）の考え方｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/cloud-personal-data-location/
description: "クラウドに個人データを置くとき、事業者が個人データを取り扱うことになっているかで扱いが分かれます。個人情報保護委員会のQ&Aをもとに、「提供」の考え方、外国の事業者やサーバーを使うときの確かめ方、保存場所の選び方を説明します。"
updated: 2026-11-14
publisher: "アメリア・テクノロジー株式会社"
---
# クラウドに置く個人データと保存場所（国内・海外）の考え方

クラウドに個人データを置くとき、事業者が個人データを取り扱うことになっているかで扱いが分かれます。個人情報保護委員会のQ&Aをもとに、「提供」の考え方、外国の事業者やサーバーを使うときの確かめ方、保存場所の選び方を説明します。

2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

クラウドと運用（CLOUD & OPERATIONS）のコラム

## この記事の要点

- クラウドの事業者が個人データを取り扱わないことになっており、アクセスの制御が適切に行われている場合は、個人データの「提供」に当たらず、本人の同意は要らないとされています。
- 提供に当たらない場合でも、利用する会社は自ら安全管理措置を講じる必要があり、外国にある事業者のサービスを使うときは、その外国の制度を把握したうえで措置を講じます。
- 国内のリージョンを選んでも、事業者が外国にある場合の考え方は同じとされているため、保存場所と事業者の所在国の両方を確かめ、本人が知り得る状態にしておきます。

クラウドに[個人データ](https://www.ameliatechnology.co.jp/glossary/personal-information/)を置くときは、個人情報保護法の上で、クラウドの事業者が個人データを取り扱うことになっているかどうかで扱いが分かれます。事業者が取り扱わないことになっていれば、個人データの「提供」には当たりませんが、利用する会社は自ら安全管理措置を講じる必要があり、外国にある事業者のサービスを使う場合は、その外国の制度を把握したうえで措置を講じます。この記事では、個人情報保護委員会のQ&Aをもとに、考え方を整理します。個別の判断は弁護士などの専門家にご確認ください。

## クラウドに個人データを置くのは「提供」に当たるのですか

クラウドに個人データを置いても、事業者が個人データを取り扱わないことになっていれば、「提供」には当たりません。個人情報保護委員会のQ&Aは、保存するデータに個人データが含まれるかどうかではなく、クラウドの事業者が個人データを取り扱うことになっているかどうかが判断の基準になるとしています。

そのうえで、事業者が個人データを取り扱わないことが契約で決まっており、アクセスの制御が適切に行われている場合は、個人データの提供には当たらず、本人の同意は要らないとしています。

出典：[「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/)（Q7-53）

クラウドの事業者と利用する会社の役割の分け方は、[責任共有モデルとは。クラウドの事業者が守る範囲、利用者が守る範囲](https://www.ameliatechnology.co.jp/blog/shared-responsibility-model-explained/)で説明しています。事業者が個人データを取り扱うかどうかは、利用規約やデータの扱いを定めた契約の条項で確かめます。

## 提供に当たらない場合、利用する会社は何をすればよいですか

提供に当たらない場合でも、利用する会社は、自らの安全管理措置として、適切な措置を講じる必要があります。Q&Aは、クラウドの利用が「提供」に当たらない場合は、委託先の監督の義務（法第25条）は課されないものの、利用する会社は自らの安全管理措置の義務にもとづいて、適切な措置を講じる必要があるとしています。

出典：[「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/)（Q7-54）

クラウドでの安全管理措置として、まず手を付けたいのは、誰がデータに触れられるかの管理、保存したデータの暗号化、外から見られる設定になっていないかの点検です。設定の誤りによる漏えいの防ぎ方は、[クラウドの設定ミスによる情報漏えいと、防ぎ方](https://www.ameliatechnology.co.jp/blog/cloud-misconfiguration/)、権限の考え方は[クラウドの権限管理（IAM）の基本。最小の権限とは](https://www.ameliatechnology.co.jp/blog/cloud-iam-least-privilege/)で説明しています。

「提供」に当たらない場合に、利用する会社が行うこと

- **委託先の監督の義務（法第25条）**：課されない
- **安全管理措置**：**自ら講じる必要がある**
- **まず手を付けること**：誰がデータに触れられるかの管理、保存したデータの暗号化、外から見られる設定の点検

個別の判断は弁護士などの専門家にご確認ください

## 外国の事業者やサーバーを使うときは、何を確かめればよいですか

外国にある事業者のクラウドを使い、そのサーバーに個人データを保存する場合は、その外国の個人情報の保護に関する制度などを把握したうえで、安全管理措置を講じます。Q&Aは、外国にある事業者のクラウドを使う場合、提供に当たらないときでも、利用する会社は外国で個人データを取り扱うことになるため、その外国の制度などを把握したうえで安全管理措置を講じる必要があるとしています。日本国内にあるサーバーに個人データが保存される場合も同様であるとしています。

あわせて、保有個人データの安全管理措置として、クラウドの事業者が所在する外国と、個人データが保存されるサーバーが所在する外国の名称を、本人が知り得る状態に置く必要があるとしています。サーバーの所在国を特定できない場合は、その旨と、参考になる情報を示すとしています。

出典：[「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/)（Q10-25）

つまり、保存場所を国内にするかどうかだけでなく、事業者がどこの国にあるかも確かめる必要があります。プライバシーポリシーなどで本人に示す内容が、いまの使い方と合っているかも見直しておきます。

## 事業者が個人データを取り扱う場合は、どうなりますか

事業者が個人データを取り扱うことになっている場合は、個人データの提供に当たり、委託などの扱いを考えることになります。たとえば、クラウドの上のシステムの運用を外部の会社に頼み、その会社がデータの中身を扱う場合です。

提供先が外国にある第三者に当たる場合は、法第28条の「外国にある第三者への提供の制限」が関わります。同条は、原則として本人の同意を求め、日本と同等の水準の制度がある国の第三者や、一定の基準に適合する体制を整えている第三者への提供は、扱いが異なることを定めています。解釈は、個人情報保護委員会の「外国にある第三者への提供編」のガイドラインに示されています。

出典：[個人情報の保護に関する法律（e-Gov 法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057)、[個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/)

どちらに当たるかは、契約の中身と実際の運用で判断が分かれることがあります。運用を頼む会社との取り決めは、[クラウド運用の契約で決めておくこと（範囲・対応時間・責任）](https://www.ameliatechnology.co.jp/blog/cloud-operations-contract/)でも説明しています。個別の判断は弁護士などの専門家にご確認ください。

## 保存場所は、どう選べばよいですか

保存場所は、業務の都合、法令や取引先の求め、障害への備えを合わせて選びます。AWS・Microsoft Azure・Google Cloud は、いずれも日本国内にリージョンを持っています。2026年11月時点で、AWS は東京と大阪、Azure は東日本（東京・埼玉）と西日本（大阪）、Google Cloud は東京と大阪のリージョンを公表しています。

出典：[AWS Regions（AWS）](https://docs.aws.amazon.com/global-infrastructure/latest/regions/aws-regions.html)、[Azure regions list（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/reliability/regions-list)、[Regions and zones（Google Cloud）](https://docs.cloud.google.com/compute/docs/regions-zones)

選ぶときに確かめておきたいのは、次の点です。

| 確かめること | 見ておきたい点 |
|---|---|
| 保存の場所 | 本番のデータ、バックアップ、操作の記録が、それぞれどのリージョンにあるか |
| 事業者の所在国 | 契約の相手の事業者がどこの国にあるか |
| データの扱い | 事業者が個人データを取り扱わないことが、契約や規約で決まっているか |
| 付随するサービス | 監視やログ、生成AIなどのサービスが、データを別の場所へ送っていないか |
| 本人への示し方 | 所在国の名称などを、本人が知り得る状態にしているか |

国内のリージョンを選んでも、バックアップの複製先や、付随するサービスが海外のリージョンを使っていることがあります。リージョンの選び方と障害への備えは、[リージョンとアベイラビリティゾーン。障害に備えた配置の考え方](https://www.ameliatechnology.co.jp/blog/region-availability-zone-design/)で説明しています。生成AIのサービスを使う場合のデータの扱いは、[生成AIをクラウドで使うときのデータの守り方](https://www.ameliatechnology.co.jp/blog/genai-cloud-data-protection/)にまとめています。

## 当社のご支援

アメリア・テクノロジーの[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、本番のデータ・バックアップ・記録の保存場所の洗い出し、権限と暗号化の設定、保存場所を踏まえた構成の設計をご支援しています。個人情報保護法の上の判断そのものは、弁護士などの専門家とご相談ください。個人データを扱うシステムの設定の点検は、[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)でもお受けしています（当社が構築・運用している環境の診断は、自己点検として扱います）。

- 個人情報保護法
- クラウド
- 保存場所
- 安全管理措置

## この記事に出てくる用語

- [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/)
- [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/)
- [責任共有モデル](https://www.ameliatechnology.co.jp/glossary/shared-responsibility-model/)
- [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/)
- [IAM（IDとアクセスの管理）](https://www.ameliatechnology.co.jp/glossary/iam/)
- [サーバー](https://www.ameliatechnology.co.jp/glossary/server/)
- [プライバシーポリシー](https://www.ameliatechnology.co.jp/glossary/privacy-policy/)
- [AWS（Amazon Web Services）](https://www.ameliatechnology.co.jp/glossary/aws/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第28条（外国にある第三者への提供の制限）
   外国にある第三者に個人データを提供する場合は、第27条第1項の各号の場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければなりません。事業の承継などを定めた第27条第5項は、この例外に含まれません。日本と同等の水準の制度がある国として規則で定める国（EU・英国）にある者や、基準に適合する体制を整えている者は、対象から除かれます。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正））
   個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成28年11月（令和7年12月一部改正））
   外国にある第三者への個人データの提供（法第28条）について、同意の取り方、同等の水準の制度がある国（EU・英国）、基準に適合する体制などの解釈を示したガイドラインです。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/)
- [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/)
- [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/)

[クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### クラウドの構築と運用を任せる

AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。

[クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/)

### クラウドの状態を、無料で確かめる

15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。

[クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「クラウドに置く個人データと保存場所（国内・海外）の考え方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/cloud-personal-data-location/