個人情報の越境移転：GDPR・SCC対応の法務ポイント

クラウド、グループ会社間共有、海外SaaS、カスタマーサポート、AIサービスなどを利用すると、個人データが国境を越える場面は日常的に発生します。ただし、法的な「越境移転」は、単にサーバーが海外にあるかどうかだけで決まるものではありません。EUのGDPRと日本の個人情報保護法では、移転該当性の考え方も、移転を適法化する仕組みも異なります。

実務では、まずデータフローと当事者の役割を確定し、そのうえで、EU側では十分性認定・SCC・BCR等、日本側では外国第三者提供に関する同意・指定国・相当措置体制等のどのルートを使うのかを判断します。SCCを締結しただけで完了するわけでも、海外クラウドを使っただけで直ちに違法になるわけでもありません。

1．越境移転は「海外サーバーに保存したか」だけで判断しない

越境移転の判断をサーバー所在地だけで行うと、必要な対応を見落とす一方で、不要なSCCや同意取得を積み重ねることにもなります。まず、GDPRと日本法を別々に整理する必要があります。

1-1．GDPRでは「輸出者・輸入者」の関係を見る

欧州データ保護会議（EDPB）は、GDPR第5章が適用される「第三国又は国際機関への移転」について、①当該処理についてGDPRの適用を受ける管理者又は処理者が輸出者であること、②輸出者が別の管理者・共同管理者・処理者に個人データを送信その他の方法で利用可能にすること、③その輸入者が第三国又は国際機関に所在すること、という3つの累積的な基準を示しています。

したがって、同一法人の従業員が出張先の第三国から社内システムにアクセスするような場面では、別の「輸入者」に提供しているとはいえず、第5章上の移転に当たらない場合があります。ただし、その場合でも、国外での処理に伴う政府アクセス、端末管理、通信経路等のリスクは、GDPR第24条・第32条等の観点から評価しなければなりません。

1-2．日本法もサーバー所在地だけでは決まらない

日本の個人情報保護法第28条は、「外国にある第三者」への個人データ提供を規律します。自社が外国に設置したサーバーを自ら管理するだけなら、外国第三者への提供ではありません。また、外国クラウド事業者のサーバーを利用していても、その事業者が保存データを取り扱わない契約・運用になっている場合には、第28条の外国第三者提供に当たらないと個人情報保護委員会は整理しています。反対に、外国事業者がデータを取り扱うなら、サーバーが日本国内にあっても外国第三者提供になり得ます。

2．EUから日本への移転――十分性認定が使える範囲を確認する

EUから日本への個人データ移転では、まず欧州委員会による日本の十分性認定が利用できるかを確認します。GDPR第45条の十分性認定の対象となる移転は、SCC等の追加的な第5章上の移転ツールを用いずに行うことができます。欧州委員会は2019年に日本について十分性認定を行い、2023年の第1回レビューでも十分な保護水準が維持されていると結論付けました。

もっとも、「日本なら常に十分性認定で移せる」と単純化するのは危険です。現行の2019年決定は、個人情報保護法の適用を受ける個人情報取扱事業者への移転を中心とする枠組みです。学術研究分野や公的部門への範囲拡大については協議が進められており、2025年には学術研究分野の協議が成功裏に終了したことが公表されました。しかし、2026年9月3日時点でEUR-Lex上の現行根拠として確認できる日本の実施決定は2019年決定です。大学・公的機関等への移転では、正式な対象拡大決定の発効状況を個別に確認すべきです。

2-1．十分性認定でも日本側の追加ルールは残る

EUから十分性認定に基づき日本へ移転された個人データについては、日本の個人情報保護法に加えて、個人情報保護委員会の「補完的ルール」が適用されます。十分性認定は「EU側の第5章上の移転ツールが不要になる」仕組みであって、GDPR上の利用目的・安全管理・処理者管理等や、日本側の個人情報保護法上の義務まで消すものではありません。

特に、日本からさらに第三国へ再移転する場合は注意が必要です。補完的ルールは、十分性認定によりEUから受領した個人データの再移転について、本人への情報提供・同意や、契約等による同等水準の措置の確保など、保護の連続性を求めています。

3．GDPRの移転根拠――十分性認定、適切な保護措置、例外を使い分ける

GDPR第44条は、第三国移転を一律に禁止する規定ではありません。移転後もGDPRによる保護水準が損なわれないよう、第5章の条件を満たすことを求めています。実務上は、次の順で候補を確認すると整理しやすくなります。

3-1．第49条の例外は「通常運用の代替ルート」にしない

GDPR第49条は、十分性認定や第46条の適切な保護措置を利用できない場合でも、明示的同意、データ主体との契約履行に必要な移転、重要な公益等の一定の例外を認めています。しかし、EDPBはこれらを例外として制限的に解釈し、恒常的・反復的な業務移転を第49条だけで支える運用は避けるべきだとしています。海外SaaSの通常利用や継続的なグループ会社間共有を「本人同意があるから第49条で処理する」と設計するのではなく、まず十分性認定・SCC・BCR等の継続利用に適したルートを検討します。

特に明示的同意を用いる場合は、単に「国外へ提供します」と同意を得るだけでは足りません。十分性認定や適切な保護措置がないこと、移転先で想定される具体的なリスク等について情報を提供したうえで、当該移転について明示的な同意を取得する必要があります。

例えば、米国については、EU-US Data Privacy Frameworkへの参加事業者であれば十分性認定ルートが利用できますが、米国内のすべての事業者が対象ではありません。クラウドベンダーを選ぶときは、法人名・認証状況・処理主体を確認する必要があります。

4．2021年版SCC――4つのモジュールを役割関係に合わせる

欧州委員会は2021年6月、第三国移転用の現行SCCを採択しました。SCCは一枚の汎用契約ではなく、輸出者と輸入者の役割関係に応じてモジュールを選択する構造です。

4-1．Module 2・3ではGDPR第28条の処理者条項も内包される

Commission Q&Aによれば、Module 2とModule 3はGDPR第28条に必要な条項を組み込んでいます。そのため、SCCと同じ処理関係について、別途第28条契約を二重に作らなければならないわけではありません。ただし、マスターサービス契約やセキュリティ付属書、サービス仕様等との整合性は別途確認する必要があります。

4-2．SCCの本文より「附属書」が実務上の弱点になりやすい

SCC本文を貼り付けただけでは足りません。附属書では、当事者と役割、データ主体、データカテゴリー、センシティブデータ、移転頻度、処理目的、保管期間、サブプロセッサー、技術的・組織的措置、監督機関等を具体化します。実際のデータフローと附属書がずれていると、SCCを締結していても運用に耐えません。

将来のグループ会社等を参加させる場合には、ドッキング条項を使う設計も可能です。もっとも、SCC本文に独自修正を加え、データ主体の権利を害したり条項と矛盾したりすると、EU標準条項としての性質を失うおそれがあります。独自の責任制限、補償、監査手続等は、SCCとの優先関係を整理したうえで設計すべきです。

5．重要な落とし穴――輸入者自身がGDPRの直接適用を受ける場合

2021年版の第三国移転用SCCは、どの海外企業にも使えるわけではありません。欧州委員会のQ&Aは、移転先の処理自体がGDPR第3条により直接GDPRの適用を受ける管理者・処理者への移転には、現行2021年版SCCを使用できないと明示しています。GDPR義務が直接適用される輸入者に同じ義務を重ねると、一部で重複・齟齬が生じるためです。

欧州委員会はこのケース向けの追加SCCを開発中と説明しており、2026年時点のCommission Q&Aでも同じ整理が維持されています。したがって、「EUから第三国へ出るなら、とりあえず2021 SCC」という運用は避け、輸入者にGDPRが直接適用されるかを先に確認する必要があります。

6．TIA（Transfer Impact Assessment）――SCCのClause 14を実装する

十分性認定のない第三国にSCC等で移転する場合、契約書だけでなく、移転先国の法令・実務がSCCの履行を妨げないかを評価する必要があります。2021年版SCCのClause 14は、当事者が移転先国の法令・実務と具体的な移転事情を踏まえて評価し、その評価を文書化することを求めています。実務上、この評価をTIAと呼ぶことが一般的です。

TIAでは、国名だけで機械的に「安全／危険」と判定するのではなく、データの種類・機微性、暗号化状態、処理目的、受領者の業種、政府アクセスの可能性、転送経路、サブプロセッサー、鍵の保有者、過去の政府アクセス要請等を具体的に確認します。

6-1．EDPBの6ステップで運用する

1. 移転先・再移転先を含むデータフローを把握する。
2. 十分性認定、SCC、BCR等の移転ツールを特定する。
3. 移転先国の法令・実務が選択したツールの実効性に影響するかを評価する。
4. 必要な場合にのみ、追加的な技術・契約・組織上の措置を選定する。
5. 必要な承認・契約変更・社内手続を実施する。
6. 移転先法令、ベンダー、データフローの変化を定期的に再評価する。

7．補完措置は「SCCなら常に必須」ではない

旧来の説明では「SCCを締結したら暗号化等の補完措置が必須」とまとめられることがありますが、正確ではありません。まずTIAを行い、SCCだけではEUと本質的に同等の保護を確保できないと評価される場合に、必要な追加措置を設計します。

有効な補完措置を講じても保護水準を確保できない場合には、移転を開始しない、又は既存移転を停止・終了することまで検討しなければなりません。「暗号化しているから大丈夫」ではなく、鍵の所在や復号可能性まで評価することが重要です。

7-1．外国政府・捜査機関からの開示要求も契約と運用で備える

第三国の裁判所や行政当局からデータ開示を求められた場合、その外国当局の命令があるというだけでGDPR上の越境移転が当然に適法化されるわけではありません。EDPBのGDPR第48条ガイドラインは、第三国当局の判決・決定について、国際協定等に基づく場合を含め、GDPR第5章上の移転根拠を別途確認する必要があることを明確にしています。

SCCを利用する場合も、政府アクセス要請を受けたときの通知、要請の適法性の審査、合理的な根拠がある場合の異議申立て、開示範囲の最小化、対応記録の保存等を実際に運用できるか確認します。DPAやセキュリティ付属書でも、法執行機関等からの要請に関する通知・協力・透明性報告のルールを整合させておくことが重要です。

8．再移転・サブプロセッサーを見落とさない

越境移転対応で最も起きやすい漏れは、契約相手の所在地だけを確認し、その先の処理連鎖を把握していないケースです。クラウドやSaaSでは、ホスティング、監視、カスタマーサポート、障害解析、バックアップ、DR、メール配信、分析、生成AI機能等に複数のサブプロセッサーが関与します。

契約レビューでは、サブプロセッサー一覧と所在地、追加時の通知・異議申立て、データセンターだけでなくリモートアクセス拠点、再移転に用いる移転根拠、削除・返還、監査情報を確認します。「EUリージョンを選択したから域外移転はない」とは限らず、第三国のサポート要員がデータへアクセスできる設計も確認対象です。

9．日本から海外への移転――個人情報保護法第28条の3ルート

日本から外国の第三者へ個人データを提供する場合、個人情報保護法第28条の検討が必要です。外国への「委託」であっても、第27条の通常の委託先扱いだけでは足りず、第28条の外国第三者提供の規律が別途問題になります。

9-1．同意取得は「海外に送ります」だけでは足りない

本人同意を根拠にする場合、あらかじめ、移転先となる外国の名称、適切かつ合理的な方法で得たその国の個人情報保護制度に関する情報、提供先が講ずる個人情報保護措置に関する情報を提供する必要があります。移転先国が未確定の場合の特則もあるため、クラウドで国が増減する場合は、契約締結時にデータロケーションを特定できる設計が望まれます。

9-2．相当措置体制を使う場合は「締結時」だけで終わらない

相当措置体制を根拠に外国第三者へ提供した場合、提供先が相当措置を継続的に実施しているか、また、その実施に影響し得る外国法制度があるかを、適切かつ合理的な方法で定期的に確認する必要があります。個人情報保護委員会のガイドラインは、この「定期的な確認」を年に1回程度又はそれ以上の頻度としています。加えて、法改正、処理国・サブプロセッサーの変更、サービス仕様の変更等があれば、定期確認を待たず臨時に再評価する運用が望まれます。実施に支障が生じた場合は必要な措置を講じ、継続的実施の確保が困難になれば提供を停止しなければなりません。本人から求めがあれば、法令所定の情報提供も必要です。

10．クラウド利用の判断――「サーバー国」と「取扱者」を分ける

このため、ベンダー質問票で「データセンター所在地」だけを聞く運用は不十分です。管理主体、サポートアクセス拠点、復号権限、ログ閲覧権限、障害対応時のアクセス、再委託先まで確認する必要があります。

11．日EU間の相互認証――双方向で同じルールではない

日EU間では相互の十分性・指定国の枠組みにより、個人データを比較的円滑に移転できます。ただし、EU→日本ではGDPR第45条の十分性認定と日本の補完的ルール、日本→EUでは個人情報保護法第28条上の指定国としての取扱いが問題となり、法的構造は同じではありません。

日本法上、個人情報保護委員会が我が国と同等の水準にある制度を有する外国として指定しているのはEU及び英国です。そのため、日本からEU又は英国へ移す場合、第28条第1項の外国第三者提供同意が常に必要になるわけではありません。一方、通常の第三者提供規制、委託先監督、安全管理、利用目的等は引き続き検討が必要です。

12．契約レビューではSCC・DPA・本体契約を一体で読む

越境移転の契約は、SCCだけを別ファイルで確認しても足りません。DPA、マスターサービス契約、セキュリティ付属書、サブプロセッサー規約、データロケーション仕様、プライバシーポリシー等を横断して、矛盾がないか確認します。

13．実務では「越境移転台帳」を作る

移転規制は、契約書だけでは継続管理できません。少なくとも、データ輸出者、輸入者、役割、データ種類、目的、移転先国、ホスティング国、リモートアクセス国、サブプロセッサー、移転根拠、SCCモジュール、TIA実施日、補完措置、再評価日を一覧化した「越境移転台帳」を作ると、更新漏れを防ぎやすくなります。

新しいSaaSや生成AIサービスを導入するときは、情報システム部門だけで契約を進めず、プライバシー・法務レビューの入口に「国外アクセスの有無」「学習・二次利用」「サブプロセッサー」「データ保持」「削除」「モデル改善への利用」等を組み込むことが重要です。

13-1．新規ベンダー導入時の7ステップ

1. 対象データと利用目的を特定する。
2. Controller / Processor等の役割を確定する。
3. 国外への提供・アクセス・再移転の有無を可視化する。
4. GDPRと日本法それぞれの移転該当性を判定する。
5. 十分性認定、SCC、相当措置体制等の移転根拠を選ぶ。
6. 必要なTIA・補完措置・契約条項を実装する。
7. 移転台帳へ登録し、変更・更新・サブプロセッサー追加を継続監視する。

14．2026年改正個人情報保護法との関係

日本では、2026年7月17日に個人情報保護法等の改正法が公布されました。改正法は一部を除き、公布日から2年以内の政令で定める日に施行される予定であり、個人情報保護委員会は政令・規則・ガイドラインの整備を進めています。

本稿で説明した第28条の外国第三者提供については、2026年9月3日時点で現行ガイドラインに基づく運用を前提としています。今後、改正法の施行準備に伴い、関連する規則・ガイドラインやクラウド実務の整理が更新される可能性があるため、施行前に再確認することが必要です。

15．よくある質問

主な公的資料

• EU一般データ保護規則（GDPR）第44条以下（EUR-Lex）
• European Commission「Adequacy decisions」
• European Commission「New Standard Contractual Clauses – Questions and Answers」
• European Commission「Publications on the Standard Contractual Clauses (SCCs)」
• European Data Protection Board Guidelines 05/2021（GDPR第3条と第5章の関係）
• European Data Protection Board Recommendations 01/2020（補完措置）
• European Data Protection Board Guidelines 2/2018（GDPR第49条の例外）
• European Data Protection Board Guidelines 02/2024（GDPR第48条・第三国当局からの開示要求）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」令和7年12月一部改正
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドラインに関するQ&A」Q12-1、Q12-3、Q12-4等
• 個人情報保護委員会「EU及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」
• 個人情報保護委員会「令和8年 改正個人情報保護法について」

まとめ

個人情報の越境移転対応では、「海外に送るからSCC」「海外サーバーだから本人同意」といった一律判断は適切ではありません。最初に実際のデータフロー、輸出者・輸入者の役割、アクセス主体、再移転先を確定し、GDPRと日本法のそれぞれで移転該当性と移転根拠を判定する必要があります。

EU側では、十分性認定が使えない場合にSCC等を選択し、Clause 14に沿ったTIAを行い、必要な場合に補完措置を実装します。日本側では、第28条の指定国・相当措置体制・本人同意等のルートを適切に使い分け、相当措置体制を使う場合は継続的な確認まで行うことが重要です。