海外のツールに顧客情報を入れてよい？｜越境の決まりを確かめる

「使っている道具を並べたら、その多くが海外の事業者のものだった」「顧客の情報を入れてよいのか、確かめないまま使っている」——道具を入れ替える場面で見過ごされがちな論点です。これは、道具の入れ替えでは済みません。顧客の情報を国外に置く行為として、国内の道具とは別の手続きがかかります。この記事では、同意が要る場合と要らない場合の区別を整理します。

なぜいま確かめる必要があるのか

この話が実務に上がってきた背景は単純です。マーケの現場で使う道具の多くが、海外の事業者の提供するものになったためです。配信の仕組み、顧客の管理、日程の調整、形の入力、動画の配信。この10年で、国内の事業者だけで業務を回す会社は少数になりました。そして、これらの道具には顧客の情報が入ります。

以前は、この点があまり議論されませんでした。情報が国内にあるか国外にあるかを、意識する場面が少なかったためです。しかし、個人情報を扱う決まりが整備され、外国にある相手への提供について明確な規定が置かれました。いまは、確かめないまま進めることが許されない状況です。

実務で困るのは、判断の材料が見つけにくいことです。道具の紹介の頁には、機能と価格は書かれていても、情報がどこに置かれるかは書かれていないことがあります。契約の条件を読み込まないと分かりません。その読み込みを誰がやるかも、決まっていない会社が多いはずです。

もうひとつの困りごとは、範囲の広さです。顧客の情報を入れる道具だけが対象ではありません。社員の情報を扱う道具も、応募者の情報を扱う道具も同じです。マーケの部門だけで完結する話ではなくなります。

それでも、判断の枠組み自体は複雑ではありません。「提供に当たるか」「当たるなら例外はあるか」「例外がないなら同意を取る」。この3段階で整理できます。順に見ていきます。

なお、この記事は法律の解釈を示すものではありません。実際の判断は、自社の状況に合わせて法務や専門家に確かめてください。ここで示すのは、確かめるべき論点の一覧です。何を聞けばよいかが分かっていれば、相談の時間が短くて済みます。論点を持たずに相談すると、調べ直しから始まって時間だけが過ぎます。

個人データを「渡す」とはどういうことか

言葉の定義から始めます。ここを曖昧にしたまま議論すると、「うちは渡していない」「いや渡している」という水掛け論になります。決まりの中の「提供」は、日常語の「渡す」より広い概念です。その広さを知っておくと、判断が速くなります。

あわせて、対象になる情報の範囲も確かめます。何が個人データに当たるかを取り違えると、必要のない対応に時間を使うことになります。逆に、対象なのに見落とすと、事故になります。

最初に、対象になる行為を定めます。決まりが問題にしているのは、個人データを第三者に提供する行為です。ここでいう提供は、物理的に送ることだけを指しません。相手が見られる状態に置くことも含まれます。画面を共有する、閲覧の権限を与える、そうした形も対象です。

そのため、海外の事業者の提供する道具に情報を入れる行為は、多くの場合、その事業者への提供に当たると考えられます。自社の中で使っているつもりでも、情報は相手の管理する場所に置かれるためです。「自社の中で使うだけ」という感覚が通用しません。

では、どんな情報が対象になるのか。個人を識別できる情報を、体系的に整理したものが対象です。名刺の情報、問い合わせの記録、配信の名簿。マーケの現場で扱うもののほとんどが該当します。

会社名と部署名だけなら対象外か、という質問をよく受けます。個人の名前が含まれていなくても、他の情報と照らし合わせて個人が分かる場合は対象になります。実務では、対象になる前提で設計するほうが安全です。

逆に、統計として集計した数字は対象になりません。業種ごとの件数、地域ごとの割合。個人にたどり着けない形にしてあれば、この話の外に出ます。分析だけが目的なら、集計してから外部の道具に入れる方法もあります。

整理すると、判断の起点は「個人にたどり着ける情報か」です。たどり着けるなら、次の段階に進みます。たどり着けないなら、この記事の残りは読まなくて構いません。

国内の委託と、海外の委託は扱いが違う

ここが、いちばん誤解されている部分です。国内であれば、業務の委託に伴って個人データを渡す場合、第三者への提供には当たらないとされています。だから、国内の事業者の道具を使うときに同意は要りません。

この感覚のまま、海外の事業者に切り替える会社があります。同じ委託なのだから同じだろう、という理解です。しかし、外国にある第三者への委託は、別の条文の対象になります。所管の委員会の案内でも、その点がはっきり示されています。

なぜ扱いが違うのか。理由は、その国の制度が日本と同じとは限らないためです。情報を守る決まりが弱い国に置かれれば、本人にとっての危険が変わります。だから、本人に選ばせるという構造になっています。

結果として、原則はあらかじめ本人の同意を得ることになります。国内の委託のように、黙って進めることはできません。ただし、この原則には例外が用意されています。実務では、その例外に当てはまるかを先に確かめます。

例外に当てはまらず、同意も取れない場合はどうするか。その道具を使わないという判断になります。厳しく聞こえますが、多くの場合は例外のどれかに当てはまるので、実際に使えなくなる場面はそれほど多くありません。

同意が要らない3つの場合

原則が同意だと分かったところで、例外を見ます。実務では、この例外に当てはまるかどうかで作業量が大きく変わります。同意を取る設計は手間がかかるため、まず例外の可能性を確かめるのが現実的な順序です。

例外は3つ定められています。国で判断するもの、相手の体制で判断するもの、そして通常の第三者提供でも同意が不要とされる場合です。順に見ていきます。

区分	内容	実務での確かめ方
同等の水準の国	個人情報の保護の制度が我が国と同等の水準にあると認められる国として規則で定める国にある第三者	所管の委員会が示す国の一覧を確かめる
基準に適合する体制	個人データの取扱いについて、基準に適合する体制を整備している第三者	契約や規程で、必要な措置が確保されているかを確かめる
法定の例外	法令に基づく場合など、通常の第三者提供でも同意が不要とされる場合	該当する場面は限られる。個別に確認する

実務でよく使われるのは、上の2つです。1つ目は、相手の国が一覧に載っていれば、それだけで済みます。確認は簡単ですが、対象になる国は限られています。

2つ目の体制による方法が、現実的な選択肢です。相手の事業者が、必要な措置を講じることを契約などで確保していれば、同意なしに提供できます。海外の大手の事業者は、この形に対応した契約の条項を用意していることが多くあります。

ただし、この方法を選んだ場合は義務が残ります。移転した後も、相当する措置が続けて実施されるよう必要な措置を講じること。そして、本人から求められたら、その内容を伝えること。使い始めたら終わり、ではありません。

この継続の義務が、実務では見落とされます。契約を結んだ時点で安心してしまい、その後の確認を誰も行っていない。年に一度、相手の対応状況を確かめる作業を、担当と時期を決めて組み込んでおいてください。

同意を取る場合に伝える3つの情報

例外に当てはまらなければ、同意を取ります。ここで注意したいのは、同意という言葉の軽さに引きずられないことです。利用の規約に一文を入れて同意の押印を求める、といった形では要件を満たしません。

求められているのは、判断に必要な材料を渡したうえでの同意です。相手は、自分の情報がどの国に行き、その国でどう守られるのかを知ったうえで選ぶ。材料を渡さない同意は、同意として扱われません。

例外に当てはまらない場合は、本人の同意を取ります。ただし、同意を取ればよいという単純な話ではありません。同意を求める前に、伝えるべき情報が定められています。

• 移転する先の外国の名称
• その外国における個人情報の保護に関する制度の情報
• 移転する先の第三者が講ずる、個人情報の保護のための措置の情報

この3つを、あらかじめ本人に提供したうえで同意を得ます。事後の同意では要件を満たしません。情報を入れてから「同意してください」と伝えるのは、順序が逆です。

実務での難しさは、2番目の情報です。相手の国の制度を調べて、分かりやすく説明する必要があります。所管の委員会が主な国の制度の情報を公表しているので、それを参照する形が現実的です。

国の名称が特定できない場合の扱いも定められています。その場合は、特定できない旨とその理由、そして本人に参考となるべき情報を提供します。複数の国のいずれかに置かれる仕組みの道具では、この形になることがあります。

同意を取る場面は、後の節で扱います。ここで押さえるのは、同意を取る前に3つの情報を渡す必要がある、という順序だけです。

提供に当たらない場合がある

ここまで読むと、海外の道具は使いにくいと感じるかもしれません。ただし、そもそも提供に当たらないとされる場合があります。実務では、この形に当てはまることが少なくありません。

条件は2つです。契約の条項で、その外部の事業者がサーバの中のデータを取り扱わない旨が定められていること。そして、適切にアクセスの制御を行っていること。この2つを満たせば、提供には当たらないとされています。

この場合、同意も、体制の確認も要りません。そもそも提供していないという整理になるためです。外部の場所を借りて、自社が自社のデータを置いているだけ、という考え方です。

実際、多くのクラウドの道具はこの形に近い契約の条項を置いています。事業者が中身を見ない、使わないと明記されているかどうか。契約書や利用の条件の該当する部分を探して、その一文があるかを確かめてください。

ただし、注意が要ります。事業者が中身を分析して機能の改善に使う、という条項がある場合は、取り扱わないとは言えません。無料の道具や、利用の記録を活用すると書かれた道具は、特に慎重に読んでください。

そして、この形に当てはまったとしても、何もしなくてよいわけではありません。次の節で扱う作業が残ります。

外的環境の把握という作業

提供に当たらないと分かって、安心する担当者は多いはずです。ただし、ここで手を止めると片手落ちになります。提供に当たらなくても、自社の情報が外国で扱われている事実は変わらないためです。

この事実に対応する作業が、別に定められています。名前は堅いのですが、内容は難しくありません。調べて、対応して、書く。この3つだけです。

• 方針の頁の記載は、道具を切り替えたら必ず見直す
• 調べた内容と日付を社内に残しておくと、次回の更新が楽になる
• 複数の国にまたがる場合は、国ごとに把握した内容を整理しておく

提供に当たらない場合でも、自社の個人データが外国で取り扱われることに変わりはありません。そのため、安全に管理する義務の一環として、別の作業が求められます。

それが、外的環境の把握と呼ばれるものです。内容は3段階です。まず、その外国の個人情報の保護に関する制度を調べる。次に、調べた内容に応じて必要な安全の管理の措置を実施する。そして、実施していることを方針の頁などに記載する。

記載が求められる点が、実務上の要点です。社内で調べて対応するだけでは足りません。本人が読める形で、外部に示す必要があります。自社の個人情報の取扱いに関する方針の頁に、この記述があるかを確かめてください。

記載の内容は、それほど長いものではありません。どの国で取り扱っているか、その国の制度をどう把握したか、それに応じてどんな措置を講じているか。この3点が分かる形であれば足ります。

よくある不備は、方針の頁が何年も更新されていないことです。使っている道具が変われば、取り扱われる国も変わります。道具を切り替えたら、方針の頁も見直す。この連動を、手順の中に組み込んでおいてください。

使っている道具を棚卸しする

ここまでの内容を、自社に当てはめる作業に移ります。最初にやるのは、道具の棚卸しです。何を使っていて、そこに個人の情報が入っているかを一覧にします。

• 道具の名称と、提供している事業者の所在する国
• その道具に入れている情報の種類（名前、連絡先、所属など）
• 情報が保存される場所（どの国のサーバか）
• 契約の条項に、事業者が中身を取り扱わない旨があるか
• 基準に適合する体制に関する条項があるか
• 自社の方針の頁に、その国が記載されているか

この一覧を作るだけで、対応すべき道具が絞り込めます。多くの場合、問題になるのは数個です。全部を一度に見直そうとせず、個人の情報が多く入っているものから着手してください。

情報が保存される場所は、契約の条件に書かれていることがあります。書かれていない場合は、事業者に問い合わせます。この問い合わせに答えられない事業者は、その時点で採用の判断を見直す材料になります。

棚卸しの結果は、年に一度は更新してください。道具は増えます。現場が独自に導入した道具が、いつのまにか顧客の情報を抱えていることがあります。購買の記録と突き合わせると、抜けを見つけやすくなります。

契約書のどこを見るか

棚卸しで対象の道具が絞れたら、契約の内容を確かめます。ここで多くの担当者が止まります。契約書は長く、言い回しも独特で、どこを読めばよいか分からないためです。読むべき箇所は4つに絞れます。

なお、原文が日本語でない場合もあります。訳文が用意されていれば、それを読んで構いません。ただし、解釈が分かれる部分では原文が優先される旨が書かれていることがあるので、その点は確かめてください。

道具を選ぶ段階で契約書を読むのは、負担の大きい作業です。全文を読む必要はありません。見るべき箇所は決まっています。

ひとつめは、データの取扱いに関する条項です。事業者が顧客のデータをどう扱うかが書かれています。「取り扱わない」「アクセスしない」といった表現があるかを探します。

ふたつめは、保存の場所に関する条項です。どの国のどの地域に置かれるかが書かれていることがあります。選べる場合は、対応が簡単な地域を選ぶという判断もできます。

みっつめは、データの取扱いに関する付随の合意です。海外の事業者は、個人情報の取扱いについて別の文書を用意していることがあります。本体の契約書だけを読んでいると、この文書を見落とします。

よっつめは、再委託に関する条項です。事業者がさらに別の事業者に処理を任せる場合があります。その相手がどこにいるかまで、追えるようになっているかを確かめます。

読むのが難しい場合は、事業者の窓口に直接聞くのが早道です。「日本の個人情報の決まりに関して、どの形に該当するか」を質問すれば、多くの事業者は説明の資料を持っています。

同意を取る場面の設計

同意が必要になる場合、どこで取るかを設計します。後から取り直すのは大変なので、情報を集める入口で取るのが基本です。

代表的な入口は3つです。問い合わせや資料の請求の形。イベントや配信の申し込みの形。そして、展示会での名刺の交換です。

形での取得は、比較的やりやすい部分です。送信の前に説明を表示し、確認の操作を求める形にすれば要件を満たせます。3つの情報へたどり着ける案内を置くことも忘れないでください。

難しいのは、名刺の交換です。その場で説明して同意を得るのは現実的ではありません。この場合、後から連絡して同意を得る形か、そもそも同意が不要な形で運用する設計にするかを選びます。

実務では、後者を選ぶ会社が多くなります。つまり、提供に当たらない形か、基準に適合する体制の形で運用できる道具を選ぶという判断です。道具の選定の段階で、この観点を入れておくと運用が楽になります。

イベントや配信で集めた情報の扱い

マーケの現場に落とし込むと、いちばん考えることが多いのがイベントの周りです。使う道具の数が多く、情報が複数の場所を経由するためです。ここを整理できれば、他の場面は応用で対応できます。

整理の単位は、催しごとではなく道具ごとにします。同じ道具を複数の催しで使っているなら、一度確かめれば以降は使い回せます。催しごとにゼロから確かめる運用にすると、続きません。

マーケの現場で、いちばん情報が集まるのがイベントです。申し込みの形、当日の受付、配信の記録、事後の調査。それぞれの段階で、別の道具を使っていることがあります。

この場合、道具ごとに扱いが変わります。申し込みの形は国内の道具、配信は海外の道具、調査はまた別の海外の道具、という構成は珍しくありません。

整理の方法は、情報の流れを1枚に描くことです。どこで集めて、どこに保存し、どこへ渡すか。矢印で描くと、国境を越える箇所が目で分かります。

共催のイベントでは、さらに注意が要ります。相手の会社に参加者の情報を渡す場合、その相手が外国の会社なら、これも越境の話になります。共催の取り決めを作るときに、この点を確かめてください。

配信の道具の中には、参加者の映像や音声が記録されるものもあります。録画を残す場合、その録画がどこに保存されるかも確認の対象です。顔が映る記録は、扱いを慎重にする必要があります。

見直しの手順

2番目と3番目で迷ったら、その道具の事業者に直接聞くのが最短です。日本の市場を意識している事業者なら、説明の資料を用意していることがほとんどです。

4番目の方針の頁の更新は、後回しにされがちです。しかし、外的環境の把握は記載して初めて要件を満たす部分があります。調べただけで終わらせないでください。

やってはいけない進め方

• 国内の委託と同じ感覚で、海外の道具に顧客の情報を入れる
• 無料の道具を試用のつもりで使い、本番の名簿をそのまま取り込む
• 同意を取ってから3つの情報を伝える（順序が逆）
• 契約を結んだ時点で終わりにし、その後の確認を行わない
• 方針の頁を数年更新せず、いま使っていない道具の記載を残したままにする
• 現場が個別に導入した道具を、把握しないまま放置する

2番目は、実務でいちばん多い事故です。試してみるだけのつもりで、手元にある名簿を取り込んでしまう。無料の道具は、利用の記録を活用すると定めていることが多く、取り扱わないという条件を満たさない場合があります。

6番目は、組織の問題です。便利な道具を見つけた現場が、自分の判断で使い始める。止めるのではなく、導入の前に相談する窓口を作るほうが現実的です。

5番目は、点検で見つかります。方針の頁と、実際に使っている道具の一覧を突き合わせる。年に一度この作業をするだけで、記載のずれは防げます。

社内でどう分担するか

ここまでの作業は、担当が決まっていないと止まります。誰の仕事でもない状態が、いちばん危険です。道具はマーケが選び、契約は法務が見て、記載は誰も直さない。この形になっている会社が少なくありません。

窓口を1つ決め、相談の様式を用意する。この2つだけで、現場が黙って導入する事態はかなり減ります。禁止するのではなく、相談しやすくするほうが実務では効きます。

この対応を、マーケの担当が1人で抱えるのは無理があります。法律の解釈が絡み、契約の確認が要り、方針の頁の更新まで及ぶためです。

分担の形はこうなります。道具の棚卸しと、情報の流れの整理はマーケが担う。契約の条項の確認と解釈は法務が担う。方針の頁の更新は、両者が一緒に行う。

マーケの側が担うべきなのは、実態を把握する部分です。どの道具に何が入っているかは、現場でしか分かりません。ここを法務に丸投げすると、机上の確認だけで実態と合わない結論が出ます。

窓口を1つ決めておくことも効きます。新しい道具を検討するとき、誰に相談すればよいかが決まっていれば、現場が黙って導入する事態が減ります。

相談の様式も用意しておくと早くなります。道具の名称、事業者の所在、入れる情報の種類、契約の条項の該当部分。この4項目を書いてもらえば、判断に必要な材料がそろいます。

道具を選ぶ段階で見る観点

ここまでは、すでに使っている道具への対応でした。最後に、これから選ぶ道具の話をします。実は、こちらのほうが重要です。選定の段階で条件に入れておけば、後から対応する作業そのものが発生しないためです。

現場が道具を選ぶとき、見るのは機能と価格と使いやすさです。そこに、情報の置き場所という観点を1つ足す。観点を足すだけなので、選定の手間はほとんど増えません。

いちばん楽なのは、導入の前に確かめることです。使い始めてから対応するより、選定の条件に入れておくほうが手戻りがありません。

見る観点は4つです。情報の保存の場所を選べるか。事業者が中身を取り扱わないと明記されているか。日本の決まりに対応した説明の資料があるか。そして、再委託の相手まで開示されているか。

この4つを、機能や価格と同じ欄に並べてください。比較の表に項目として入っていれば、検討の初期から意識されます。後から思い出す形では、必ず抜けます。

国内の事業者を優先するという方針も、選択肢のひとつです。手続きが軽くなるぶん、運用の負担が減ります。機能の差が小さいなら、その差を対応の手間と比べて判断してください。

ただし、国内の事業者であっても、その裏で海外の仕組みを使っている場合があります。契約の条件に、再委託や保存の場所の記載があるかを確かめてください。

よくある質問

社員の情報を扱う道具も対象になりますか

なります。対象は顧客の情報に限られません。社員、応募者、取引先の担当者。個人にたどり着ける情報を海外の事業者の道具に入れるなら、同じ検討が必要です。人事や総務の部門とも、情報を共有しておいてください。

試用の期間中でも、決まりは適用されますか

適用されます。試用かどうかは、決まりの適用に関係ありません。試したい場合は、実在しない架空の情報で確かめるのが安全です。本番の名簿を取り込むのは、判断が終わってからにしてください。

方針の頁には、事業者の名前まで書く必要がありますか

事業者の名前そのものを書くことが常に求められるわけではありません。求められるのは、外国で取り扱っていること、その国の制度を把握していること、それに応じた措置を講じていることが分かる記載です。詳細な書き方は、法務や専門家に確かめてください。

すでに何年も使っている道具は、いまから対応できますか

できます。まず現状を把握し、どの形に該当するかを判定します。提供に当たらない形か、基準に適合する体制の形であれば、同意を取り直す必要はありません。方針の頁の記載を整えるところから着手してください。

まとめ

海外の事業者の道具に顧客の情報を入れる行為には、国内の道具とは別の決まりがかかります。国内の委託は第三者への提供に当たらないとされますが、外国にある相手への委託は別の条文の対象になり、原則として本人の同意が要ります。

ただし、例外が3つあります。相手の国が同等の水準にあると認められる一覧に載っている場合。相手が基準に適合する体制を整えている場合。そして、法定の例外に当たる場合です。体制による方法を選んだときは、その後の確認の義務が残ります。

契約の条項で事業者が中身を取り扱わないと定められ、適切にアクセスの制御がされていれば、そもそも提供に当たりません。この場合でも、外的環境の把握としてその国の制度を調べ、措置を講じ、方針の頁に記載する作業が残ります。まずは道具の棚卸しから始めてください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。