SaaSの導入が広がる中、「このSaaSにデータを入れて大丈夫か」「海外サーバーに個人情報を保存してよいのか」という判断に悩む担当者は増えています。個人情報保護法への対応に加え、条件によってはGDPR（EU一般データ保護規則）も関係してきます。ベンダーとのデータ保護の取り決めが不十分なまま利用を開始すると、後から問題が表面化するおそれがあります。
本記事では、SaaSを導入・利用する際のデータ保護リスクの把握方法、ベンダー選定時に確認すべきポイント、DPA（データ処理契約）の意味と実務を解説します。SaaS活用に特化した国際データ転送リスクとベンダー選定を対象としています。GDPR対応と日本企業のデータ品質管理全般についてはGDPR正確性の原則と日本企業の実務対応：個人データ品質管理の具体的な手順もあわせてご参照ください。
国際データ転送とは何か——なぜリスクになるか
「国際データ転送」とは、個人データが国境を越えて移転・提供されることを指します。ただし注意が必要なのは、海外サーバーに保管することと、外国にある第三者へ個人データを提供することは、必ずしも同じではないという点です。多くの海外SaaSは米国やEUのデータセンターにデータを保管しますが、それだけで直ちに第三者提供に当たると決まるわけではありません。該当するかどうかは、提供先が個人データを取り扱うのか、契約上の取り決めやアクセス制御がどうなっているかを踏まえて判断します（後述の「クラウド例外」）。外国にある第三者へ個人データを提供する場合、日本の個人情報保護法では原則として事前の本人同意が必要です。ただし、日本と同等の水準にあると認められる国への提供や、提供先が日本法に相当する措置を継続的に講じる体制を整備している場合など、法令の要件を満たせば同意以外の方法も認められます。どれが必要かは移転先とデータの性質で変わります。また本人の同意を根拠にする場合は、移転先の国の名称やその国の個人情報の保護に関する制度の有無などを、あらかじめ本人に情報提供することが求められます。「同意をもらえばよい」だけでは足りない点に注意してください。
- GDPRが関係する場合：日本企業でも、EU域内に拠点がある、EU域内の個人に商品・サービスを提供している、その行動を監視している、といった条件に当てはまるとGDPRの適用を受けることがあります。EUの個人データを扱うというだけで一律に適用されるわけではありません。第三国への移転では、十分性認定や標準契約条項（SCC）など、条件を満たす移転根拠を確認します。拘束的企業準則（BCR）は主に企業グループ内の移転に使う仕組みです
- 日本の個人情報保護法の場合：日本の個人情報保護法では、外国にある第三者への提供は原則として事前の本人同意が必要です。相当の水準にあると認められる国への提供や、提供先の体制整備など、法令上の要件を満たす場合は同意以外の方法も認められます
- B2Bデータの場合：法人そのものに関する情報だけで個人を識別できる情報を含まなければ、通常は個人情報に当たりません。ただし担当者の氏名や個人を識別できるメールアドレスが含まれれば個人情報になります。項目だけで判断せず、他の情報と照らし合わせて個人を特定できないかも踏まえて判断してください
ここで押さえておきたいのが、SaaSを使うこと自体が常に「第三者への提供」になるわけではない、という点です。なお以下の整理はSaaSに限った話ではなく、IaaSなども含めたクラウドサービス全般に当てはまります。クラウドサービスの利用が第三者提供や委託に当たるかどうかは、提供事業者が個人データを取り扱うか、契約上どう制限されているか、アクセス制御がどうなっているかを踏まえて判断します。事業者が個人データを取り扱わないことが契約上定められ、適切なアクセス制御が行われている場合には、第三者提供にも委託にも当たらないと整理されることがあります。いわゆる「クラウド例外」と呼ばれる考え方です。なおこれは日本の個人情報保護法上の整理で、GDPRにそのまま当てはまるものではありません。
ただしこれは、契約書にそう書いてあれば足りるというものではありません。個人情報保護委員会は、保守用のアカウントでデータを参照できる状態になっており、技術的なアクセス制御がなく、実際にベンダーが個人データを取り扱っていた事例について注意喚起を出しています。確認すべきは契約書の文言だけではありません。管理者権限が誰に付与されているか、保守作業時にどこまで参照できるか、暗号化している場合は鍵を誰が持っているかまで含めて、取り決めと実態が一致しているかを見てください。
そしてもう一点、提供に当たらない場合でも、利用する側の安全管理措置の義務は残ります。外国のサーバーにデータを保存するなど、外国で個人データを取り扱うことになる場合は、その国の個人情報の保護に関する制度を把握したうえで必要かつ適切な安全管理措置を講じる「外的環境の把握」が求められます。具体的には、その国の法制度や、政府機関がデータにアクセスしうる仕組みの有無などが確認の対象になります。「第三者提供に当たらないから何も確認しなくてよい」ということにはなりません。
ベンダー選定時に確認すべき5つのポイント
SaaSを選定・更新する際に、データ保護の観点から次の5点を確認しておくことで、後からの問題発覚を防げます。
- ①データの保管場所（データレジデンシー）：データはどの国・地域のサーバーに保管されるか。「日本リージョン選択可能か」「日本リージョンを選んでも一部ログが米国に送られるか」を確認します
- ②DPA（データ処理契約/Data Processing Agreement）の締結可否：ベンダーがDPAを提供しているか、または事業者規約でDPAに相当する内容をカバーしているかを確認します。GDPRが関係する場合は、処理者との取り決めを文書化することが求められます
- ③セキュリティ認証・第三者保証：ISO/IEC 27001（ISMS）の認証取得状況や、SOC 2報告書の有無と対象範囲を確認します。なおSOC 2は「認証」ではなく、サービス組織の統制に関する保証報告書です。いずれも管理体制を評価する材料であって、個別サービスにリスクがないことを保証するものではありません
- ④データのエクスポートと削除：契約終了時に必要なデータを取り出せるか、ベンダー側で確実に削除されるかを確認します（GDPRの「データポータビリティ権」とは別の、移行可能性の話です）
- ⑤サブプロセッサの開示：SaaSベンダーが業務委託している下請け処理者（例：クラウドインフラプロバイダー）のリストが開示されているか確認します
DPAとは何か：実務での確認方法
DPA（Data Processing Agreement / データ処理契約）とは、データ管理者（利用する企業）とデータ処理者（SaaSベンダー）の間で、データの取り扱いのルールを定めるものです。GDPRでは管理者と処理者の間で契約などの法的行為が必要とされていますが、「DPA」という名前の独立した書類でなければならないわけではありません。日本の個人情報保護法でも、独立したDPAの締結自体が一律の法定要件とされているわけではなく、委託先を監督することが求められています。多くのSaaSでは標準のDPAをWebサイト上で公開しており、同意することで締結が完了する形式が増えています。提供の有無と内容はベンダーごとに違うため、利用するサービスごとに確認してください。
日本の個人情報保護法では、個人データの取り扱いを委託する場合に委託先を監督することが求められます。DPAやこれに相当する条項を含む利用規約を確認して保存しておくことが、その証跡になります。契約担当者・法務担当者と連携して、主要なSaaSについてはDPAの締結状況を確認・記録しておくことをお勧めします。
社内規程への反映：SaaS導入審査のチェックリスト
個別のSaaS導入のたびにデータ保護の確認を属人的に行うのではなく、「SaaS導入審査チェックリスト」として社内規程に組み込むことで、担当者が変わっても一定水準の確認ができる体制が整います。
| 確認項目 | 確認方法 | 記録先 |
|---|---|---|
| データ保管国・リージョン | 利用規約・サービス仕様書で確認 | 審査シート |
| 個人情報の有無 | 利用するデータの種類を棚卸し | 審査シート |
| DPAの締結・確認 | ベンダーサイトでDPA入手・同意 | 契約フォルダ |
| セキュリティ認証・第三者保証 | ISO/IEC 27001の認証、SOC 2報告書を入手 | 審査シート |
| データ削除・ポータビリティ | 利用規約・サポートで確認 | 審査シート |
SaaS導入時のデータ保護確認チェックリスト例
SaaSベンダー切り替え時のデータリスク
SaaSの解約・乗り換えは、見落とされやすいデータリスクの発生タイミングです。解約後に元のSaaS内のデータが削除されるまでの猶予期間（リテンション期間）はベンダーによって異なります。数十日で削除されるものもあれば、数か月保持されるものもあり、幅があります。切り替え前にデータのエクスポートが完了しているか、後継サービスへのインポートが検証済みかを確認する手順を、乗り換えプロジェクトの中に組み込む必要があります。
また、SaaSが収集したメタデータ（ログイン記録・操作ログ・AIによる分析結果など）は、データのエクスポートに含まれないことがあります。特にAI機能付きSaaSでは、自社データをモデルの学習に使用するかどうかのオプトアウト設定も確認が必要です。SaaS切り替えの際は「本当に欲しいデータが全部出せるか」を事前に必ず確認してください。なお保持期間・削除のタイミング・エクスポートできる範囲・AIの学習に使われる条件は、サービスの仕様や契約プラン、設定によって異なります。すべてのSaaSに共通する仕様はないため、導入時点の規約と管理画面の設定を確認し、重要な点はベンダーから書面で回答を得てください。
データプライバシーリスクへの対応は、SaaS単体の問題ではなく、組織全体のデータガバナンスの一部です。どのSaaSに何のデータがあるかを把握する「SaaSデータ台帳」を整備しておくことで、契約更新・解約・監査対応の際に必要な情報を素早く参照できます。SaaS利用が多い組織ほど、この台帳が内部統制上の重要な資産になります。
よくある質問
無料プランや、現場が勝手に契約した小規模なSaaSも審査の対象にすべきですか？
契約の規模ではなく、入れるデータで判断してください。無料プランであっても顧客の氏名やメールアドレスを入力していれば、有償の基幹システムと同じ論点が発生します。実務では、現場が個別に契約したツールほど把握から漏れます。まずは「どの部署がどのSaaSに何のデータを入れているか」を一覧にすることから始めてください。審査の仕組みは、その一覧で全体像が見えてから作るほうが現実的です。
ベンダーは「データは預かるだけで中身は見ない」と言っています。それなら確認は不要ですか？
取り決めとしてそうなっていても、実態が伴っているかは別に確認が必要です。保守用のアカウントで中身を参照できる状態になっていないか、アクセスを技術的に制限する仕組みがあるかを確認してください。過去には、契約上は取り扱わないとされていながら実際には参照できる状態だった事例について、個人情報保護委員会から注意喚起が出ています。また、仮に第三者提供に当たらない整理になったとしても、利用する側の安全管理措置の義務はなくなりません。外国のサーバーに保存するなら、その国の制度を把握したうえで必要な措置を講じる必要があります。
日本リージョンを選べるSaaSなら、海外移転の論点は考えなくてよいですか？
そうとは限りません。本体のデータは日本に保管されても、ログや監視情報、サポート対応の過程で海外の拠点から参照される構成になっていることがあります。また、ベンダーが使っている下請けの処理者（クラウド基盤など）が海外にある場合もあります。リージョンの選択肢があるかどうかだけで判断せず、サブプロセッサの一覧と、サポート体制がどこから提供されるかまで確認してください。
AI機能のあるSaaSで、自社データが学習に使われないか心配です。
確認すべきは2点です。1つは、入力したデータをモデルの改善に利用するかどうかの設定があるか、既定でどちらになっているか。もう1つは、その設定が契約上どう位置づけられているか（規約に明記されているか、設定を変えるだけか）です。あわせて、AIが生成した分析結果やログが解約時のエクスポートに含まれるかも確認しておくと、後の乗り換え時に困りません。
まとめ
SaaSのデータ保護リスクは「使ってはいけない」ではなく「リスクを把握した上で適切な契約・体制で使う」という姿勢で対応するものです。DPAの確認・データ保管場所の把握・SaaS導入審査の仕組み化という3点を整備することで、監査・内部統制への対応と安全なSaaS利用の両立が可能になります。なお個人情報保護法は見直しが継続している分野です。本記事は考え方の整理であり、適用される要件の最新の内容は、個人情報保護委員会が公表しているガイドラインやQ&Aでご確認ください。契約内容の定期的な見直しとあわせて、参照する資料も最新のものに更新してください。データ保護の観点からSaaS利用を見直したい場合や、個人情報を含むデータの整備については、BFT Insightにご相談ください。