SaaS・クラウドサービス利用時の個人情報チェック｜契約前に見るべき項目

第7話で委託・第三者提供・共同利用の違いを学びました。第14話は、それをSaaS・クラウドという具体的な場面に当てはめる回です。SaaS導入を萎縮させるためではなく、契約前に確認し、導入後に運用すれば、適正に使いやすくなる——その視点で読んでください。

まず結論｜SaaS導入前に見るべき5つの視点

SaaS・クラウド利用時には、少なくとも次の5つの視点で確認します。この順番で見れば、論点を取りこぼしにくくなります。

1. どの個人データを保存・処理するか
2. サービス提供者が個人データを取り扱うか
3. 委託・第三者提供・クラウド例外のどれに近いか
4. 海外保存・外国事業者・再委託があるか
5. 漏えい時通知・データ削除・契約終了時処理があるか

SaaS・クラウドで扱う個人データの種類

まず、そのサービスでどんな個人データを扱うかを把握することが出発点です。扱う情報の機微さによって、確認の優先度も変わります。

クラウドサービス利用は第三者提供か、委託か、提供に当たらないのか

クラウドサービス利用の個人情報保護法上の整理は、一律ではありません。個人情報保護委員会のQ&Aを踏まえると、サービス提供者が個人データを取り扱うか、契約条項、アクセス制御、処理内容によって整理する必要があります。大きく次の3つに分けて考えると理解しやすくなります。

委託・第三者提供・共同利用の基本的な違いは第7話：第三者提供・委託・共同利用の違いで整理しています。本記事では、クラウド特有の論点に絞って見ていきます。

「クラウド例外」と呼ばれる整理に注意

実務上「クラウド例外」と呼ばれることがある整理があります。これは法令上の正式名称ではなく、クラウドサービス提供事業者が当該個人データを取り扱わないこととなっている場合に、個人データの「提供」に該当しないと整理される場面を指す実務上の呼び方です。個人情報保護委員会のQ&Aでは、クラウドサービス提供事業者が当該個人データを取り扱わないこととなっている場合には、個人データの提供に該当しないと説明されています。具体的には、契約条項によってサービス提供者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合などが想定されています。この場合、委託（法27条5項1号）にも該当せず、委託先の監督義務（法25条）は生じないと整理されます。

委託に当たる場合の確認ポイント

SaaS・クラウド利用が委託に当たる場合（提供者が自社の利用目的の範囲内で個人データを処理する場合）は、委託先の必要かつ適切な監督が問題になります（法25条）。契約前に、次の項目を確認しておきましょう。

委託契約・DPAの詳細な条項は個人情報と契約条項で扱います。本記事では契約前の確認ポイントの整理にとどめます。

第三者提供に当たる場合の確認ポイント

サービス提供者や提携先が、取得した個人データを独自目的で利用する場合は、第三者提供の論点が生じ得ます。たとえば、広告配信事業者が自社目的で利用する、外部プラットフォームが分析・広告目的で利用する、提携先が見込み顧客情報を自社営業に使う、といったケースです。SaaS事業者がサービス改善やAI学習等に利用する可能性がある場合も、利用規約を確認する必要があります。

第三者提供の詳細は第7話、個人情報はどこまで共有できるかをご覧ください。

外国事業者・海外サーバ・外国再委託先の確認

SaaS・クラウドでは、契約先が日本法人でも、サーバ、運営会社、サポート拠点、再委託先、グループ会社が海外にある場合があります。外国が関係する場合は、外国にある第三者への提供（法28条）や、外的環境の把握の論点を確認する必要があります。

個人情報保護委員会の整理では、外国にある第三者に個人データの取扱いを委託する場合は、外国にある第三者への提供（法28条第1項）に該当します。一方、クラウド事業者が当該個人データを取り扱わないこととなっている場合は、サーバが外国にあっても、そもそも提供に該当しないため、外国にある第三者への提供にも該当しないと整理されます。ただし、その場合でも外的環境の把握として、保存国の制度等を踏まえた安全管理措置が必要になります。

DPA・利用規約・セキュリティ資料で見るべき項目

SaaS契約では、料金表やサービス機能だけでなく、利用規約、DPA（データ処理に関する取り決め）、プライバシーポリシー、セキュリティ資料、再委託先一覧、SLA、サポート規約などを確認する必要があります。これらに、個人データの取扱いに関する重要な情報が書かれています。

漏えい時通知・インシデント対応条項

SaaS・クラウド利用時には、漏えい等が発生したときに、どのタイミングで、誰に、どの内容を通知してもらえるかが重要です。事故が起きてから「通知の取り決めがなかった」と気づくと、初動が遅れます。

漏えい時の初動は第10話、報告義務の詳細は速報・確報の報告義務をご覧ください。クラウド例外の整理の場合、報告義務は利用事業者が負うのが原則です。

データ返還・削除・契約終了時の処理

SaaS・クラウド契約では、契約終了時に個人データを返還できるか、削除されるか、バックアップに残るか、削除証明が出るかを確認する必要があります。「契約終了時に自動的に全データが削除される」とは限りません。

社内側の保存期間・削除ルールは第9話：個人情報の社内管理ルールとあわせて整えましょう。

権限管理・ログ・管理者設定

SaaSは契約して終わりではありません。導入後の運用では、管理者権限、ユーザー権限、ログ、外部共有、MFA、退職者アカウント削除などの設定が重要です。多くの漏えいは、設定ミスや権限の放置から生じます。

安全管理措置の考え方は第8話、社内管理ルールは第9話をご覧ください。

用途別｜SaaS・クラウドサービスの確認ポイント

用途によって、扱う個人データもリスクも異なります。代表的な用途ごとに、確認ポイントを整理します。

生成AIサービス利用時の追加注意点

生成AIサービスに、個人情報、契約情報、相談記録、従業員情報、顧客情報を入力する場合は、通常のSaaS確認に加えて、入力データの保存、学習利用、再委託、ログ、利用者権限、社内ルールを確認する必要があります。「無料の生成AIツールなら社内利用だから問題ない」とは言えません。

生成AIの委託・再委託・入力情報管理の詳細は、生成AI時代の委託・再委託チェックリスト、法務でChatGPTはどこまで使える？で扱います。本記事では入口の整理にとどめます。

法務・情シス・事業部門が確認すべき質問

SaaS導入の相談を受けたら、次の質問で論点を洗い出します。部署横断で確認すると、抜けを防げます。

SaaS・クラウド個人情報チェックリスト

SaaS・クラウド導入時の個人情報チェックリストです。チェックが付かない項目が、契約前に詰めるべき課題になります。

よくある誤解と正しい理解

SaaS・クラウド利用をめぐる代表的な誤解を整理します。

このシリーズでの次の学び方

SaaS・クラウドの確認ポイントを押さえたら、いよいよ最終回です。第15話では、これまでの全15話の内容を、企業法務担当者が使えるチェックリストとして総整理します。本記事までで学んだ取得・利用・外部提供・安全管理・社内管理・漏えい対応・場面別管理・外部サービスを、一枚で見渡せる形にまとめます。

まとめ｜契約前・導入時・運用時・終了時の各段階で確認する

SaaS・クラウドサービス利用時は、どの個人データを扱うか、サービス提供者が個人データを取り扱うか、委託・第三者提供・外国提供の論点、契約条項、安全管理措置、漏えい時通知、データ削除を一体で確認する必要があります。クラウド利用は便利ですが、確認すべきポイントは契約前だけでなく、導入時・運用時・契約終了時の各段階にあります。