コラム

１．はじめに
個人情報保護法の改正法が2017年5月1日に施行されたことを受けて，各企業において改正法への対応を検討され，当事務所でも，実務対応や個人情報保護規程の改訂等についてご相談を受けました。
先日のコラム（第107回 個人情報保護法対応事故情報のグループ間共有における注意）で，個人情報保護法への実務対応として「事故情報のグループ間共有における注意点」を取り上げましたが，今回は，同法への実務対応のうち，データ送信をめぐる問題点を取り上げます。
企業に限らず病院など多くの事業所では，個人データを含む様々な情報をサーバーに保存して利用しています。全ての情報を自社サーバーで賄っている事業所はごく一部で，多くの事業所では，外部事業者の提供するサーバーを利用し，その際に個人データを含むデータを他社サーバーに送信しています。
設例として，Ａ社が，顧客の個人データを含むデータを，Ｂ社と契約を結んでＢ社サーバーに送信して利活用する場合に，個人情報保護法上，どのような点に注意しなければならないのかを考えてみます。

２．第三者提供にあたるか
まず，Ａ社がＢ社サーバーに個人データを送ることが第三者提供に該当し，Ａ社の顧客から「同意」（法２３条１項柱書）を得る必要があるのでしょうか。
この問題は，改正前の個人情報保護法では必ずしも明らかにされていませんでしたが，改正法に関する「個人情報の保護に関する法律についてのガイドライン」と，そのＱ＆Ａ（「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏洩等の事案が発生した場合等の対応について」に関するＱ＆Ａ，以下，Ｑ&Ａといいます）で考え方が整理されました。
まず，Ｂ社が単にサーバーを提供するだけでＡ社のデータを取り扱わないこととなっている場合には，Ａ社がＢ社に個人データを「提供」したことにはならないとされています。例えば，Ｂ社がサーバー機能だけを提供していて，Ａ社のデータにはアクセスしないような場合です。どのようなケースが「データを取扱わないこととなっている」かに関しては，Ａ社とＢ社との契約でサーバーに送信された個人データをＢ社が取扱わない旨が定められており，アクセス制御がなされているようなケースが挙げられています（Ｑ&Ａ５－３３，３４）。
一方で，Ａ社がＢ社のサーバーに個人データを送信し，Ｂ社においてＡ社のデータを自社事業のために取り扱う場合には「第三者提供」にあたります。例えば，Ａ社が保有する顧客データをＢ社サーバーに送信し，Ｂ社がＡ社の顧客データを利用して自社のビジネスを行うような場合には，事業者のサーバーに個人データを送信することが「第三者提供」にあたります（例えば，Ａ社がaという機器を販売した顧客のデータベースを作成しているときに，Ｂ社が，a機器購入者に対してa機器の利用状況を分析して効率的な利用方法をアドバイスするサービスをＢ社の事業として提供するため，Ａ社から顧客のデータベースの情報の提供を受けるような場合です）
この場合には，Ａ社は，第三者提供にあたっての「同意」を得るか，又はオプトアウトの手続をとる必要があります。

３．個人データの取扱いの「委託」にあたるか
「２」の前段のように「第三者提供」にあたらないとしても，Ａ社は，「個人データの取扱いの全部又は一部を委託」するものとして，その委託先を監督（法２２条）しなければならないのでしょうか。
この点についても，Ｑ＆Ａで，Ｂ社が単にサーバーを提供するだけでＡ社のデータを取り扱わないことになっている場合には，「委託」にもあたらないことが明らかにされました（Ｑ&Ａ５－３３）。従来からも，例えば，個人データの入った小包を宅急便業者に渡して配送を委託するような場合は，宅急便業者は個人データそのものを取り扱う訳ではないことから，個人データの取り扱いの「委託」には該らないと整理されており，これと同じ考え方によるものです。
もっとも，「第三者提供」にも「委託」にも該らないから個人情報保護法上の対応が全く不要かというとそうではなく，個人情報取扱事業者として安全管理措置（法２０条）を講ずる必要がありますので，個人データの取扱状況を確認する手段の整備，取扱状況の把握，アクセス制御，外部からの不正アクセス等の防止などを行うためたにＢ社に対する一定の管理・監督は必要です。

４．個人データの取扱いの「委託」にあたる場合
それでは，例えば，顧客に対してインターネット上のサービスを提供しているＡ社が，各顧客のサービス利用時間，頻度や内容などの分析をＢ社に依頼し，そのためにＢ社サーバーに情報を送信する場合はどうでしょうか。
この場合には，Ｂ社はＡ社の顧客に関する情報を分析するため，まさに個人データを取り扱うことになりますので，個人データの取扱いの「委託」にあたります。そのためＡ社としては，委託先に対する「必要かつ適切な監督」を行う必要が生じ（法２２条），定期的な監査，再委託する際の手順や安全管理措置の状況の確認等について契約書で定め，これを履行すべきことになります。
それでは，委託先であるＢ社が国外事業者である場合はどうでしょうか。
国内の事業者に個人データの取扱いを委託するために個人データを提供する場合と異なり，国外事業者に提供する場合には，「委託」であっても第三者提供にあたります（法２４条）。そのため，Ａ社は，各顧客から，あらかじめ「外国にある第三者への提供を認める旨の本人の同意」を得る必要があります。顧客の同意を得なければならないため，Ａ社では，手間はかかるものの，インターネット上のサービス提供の際に，その画面上などで上記同意を得るべきことになります。「第三者」の国名や社名をどの程度明示する必要があるかについては，Ｑ＆Ａでは，「実質的に本人からみて提供先の国名等を特定できる方法」や「国名等を特定する代わりに外国にある第三者に提供する場面を具体的に特定する方法」が挙げられていますが（Ｑ＆Ａ９－２），これはあくまでも例示ですので，各社ごとに工夫して記載すると良いと思います。

５．さいごに
以上，他社のサーバーに個人データを送信する場合について，複数のパターンを考えてみました。
我々がご相談を受けるケースでも，データを送信する目的，送信先でのデータの取扱い，送信する情報の内容などは様々ですので，都度，上記のいずれの形態に近いのかを検討した上で対応を決定しています。
本稿が，今後のご検討の一助になれば幸いです。

以上