データ越境移転の法的要件とGDPR対応のポイント

海外のクラウド、メール配信、アクセス解析、オンライン会議など、日常的に使う外部サービスを通じて、顧客や従業員の情報が国外へ送られることがあります。

自社が海外向けに事業をしていなくても、氏名、メールアドレス、問い合わせ内容、購入履歴などが、どのサービスへ送られ、どこに保存されるのか説明できないと不安ですよね。

まずデータの行き先を把握し、適用されるルールや契約は法務の専門家やサービス事業者へ確認します。

そのうえで、問い合わせフォームやEC機能など、外部公開されたWeb機能の弱点はWeb診断で確認できます。

この記事では、海外サービス利用時に整理する情報と、法務・契約、社内運用、Web技術の確認先をご紹介します。

セキュリティー診断さん

データ越境…？ 海外にデータを送るってことだよね？ それって何か特別なルールがあるの？ 普通にメールとかで送っちゃってたけど…まずいのかな？

海外へ送られるデータと行き先を把握する

データ越境移転とは、個人データを国境を越えて送信したり、国外のサーバーへ保存したりすることです。

海外事業者のサービスを使うだけでも該当する場合があります。

最初に、次の情報をサービスごとに整理します。

• 対象データ：氏名、メールアドレス、問い合わせ内容、購入履歴、従業員情報など
• 利用サービス：顧客管理、メール配信、決済、アクセス解析、オンラインストレージなど
• 運営会社と保存先：契約先の会社と、データが保存・処理される国や地域
• 委託・再委託先：運営会社から別の事業者へ処理を委託する可能性
• 利用目的：問い合わせ対応、商品提供、決済、分析など、データを使う理由

契約書やサービスのプライバシー情報を見ても分からない項目は、推測せず事業者へ問い合わせます。

ここで必要なのは詳細な法務台帳を完成させることではなく、自社だけでは判断できない箇所と、確認すべき相手を見つけることです。

適用されるルールは事業とデータの扱いから確認する

国外へデータを送る場合は、GDPRだけでなく、日本の個人情報保護法など、事業内容や移転方法に応じたルールを確認します。

GDPRの適用は多言語ページだけで決まらない

GDPRは、EU・EEAにいる人へ商品やサービスを提供している実態や、その人の行動を追跡しているかなどを踏まえて適用を判断します。

多言語ページや問い合わせフォームがあるという理由だけで、適用されるとも、適用されないとも断定できません。

個人データを扱う根拠も同意だけではありません。

契約の履行など別の根拠が関係する場合があるため、自社の具体的な事業と処理内容を整理して専門家へ確認します。

法務・契約面で確認すること

適用ルールが分かったら、次の点を法務の専門家や海外サービス事業者と確認します。

• 本人へ、利用目的や国外での取扱いをどのように説明するか
• 海外サービスとの契約に、データの取扱いと事故時の連絡が定められているか
• 国外移転や個人データ処理に必要な根拠を満たしているか
• 委託先と再委託先をどのように把握し、管理するか

データ保護への影響を具体的に評価する必要がある場合は、GDPR対応で行うDPIAの実施手順も参考にしてください。

セキュリティー診断さん

えっ、GDPRってそんなに厳しいルールなの！ ？ ちゃんと勉強しないとまずいね！

法務・契約と技術面を分けて確認する

データの国外移転では、適用法、契約、本人への説明と、システムの安全性を分けて確認します。

どちらも個人データを守るために必要ですが、確認する内容と相談相手が異なります。

個人データの安全管理を確認する

技術面と社内運用では、データへアクセスできる人を必要な範囲に制限できているか、送信や保存時に暗号化されているか、不要になったデータを削除できるかを確認します。

事故に備えて、影響範囲を確認する担当、海外事業者へ連絡する担当、法務やセキュリティの専門家へ相談する条件も決めておきます。

報告や本人通知の要否と時期は、適用ルールや事故の内容で変わるため、一律に判断せず専門家へ確認してください。

Web診断で確認できる範囲

Web診断では、外部公開された問い合わせフォーム、ログイン画面、EC機能、アクセス制御、APIなどに、情報漏洩につながる技術的な弱点がないかを確認します。

一方、適用法の判断、国外移転の根拠、海外サービスとの契約、本人への説明は法務・契約の確認事項です。

社内PC、社内ネットワーク、クラウド内部の設定も、公開Web機能を対象とする診断とは確認範囲が異なります。

公開Web機能の確認を診断へ任せる

『セキュリティー診断さん』では、診断するWebサイトやECサイト、外部公開APIのURLを指定し、外部から悪用できる弱点がないかを確認できます。

GDPRへの準拠を保証するものではなく、海外へデータを送る公開Web機能に技術的な弱点を残さないために活用します。

診断結果で問題のある場所と優先度が分かれば、制作会社や開発会社へ具体的な修正を依頼し、修正後の再確認へつなげられます。

セキュリティー診断さん

自分たちで全部やろうとするんじゃなくて、専門のサービスに頼んでサイトの健康診断をしてもらうのが確実ってことか！

外部サービスやWeb機能を変更した後に再確認する

海外サービスの契約先や保存先が変わったときは、データの行き先、委託・再委託先、本人への説明を見直します。

問い合わせフォームやEC機能、外部公開APIを改修したときは、新たな技術的弱点が生じていないか確認します。

『セキュリティー診断さん』の継続診断は、公開Web機能の変更後や修正後に安全性を再確認する方法として活用できます。

まとめ：データの行き先を把握して確認先を分けよう

海外サービスを利用するときは、氏名、メールアドレス、問い合わせ内容、購入履歴、従業員情報などが、どのサービスへ送られ、どこに保存されるのかを整理します。

適用される法律、国外移転の根拠、契約、本人への説明、委託先管理は、法務の専門家やサービス事業者へ確認します。

アクセス制限、暗号化、削除、事故対応は、自社の担当者と技術の専門家を交えて確認します。

公開された問い合わせフォーム、ログイン画面、EC機能、アクセス制御、APIの技術的な弱点は、Web診断で確認できます。

海外へデータを送る公開Web機能に弱点を残さないために、『セキュリティー診断さん』へ対象URLの診断を任せ、結果を制作会社や開発会社への修正依頼に活用してみませんか？

セキュリティー診断さん

ヨシ！ まずは自分たちのサイトが安全かどうか、プロに見てもらうことから始めればいいんだな！ (๑•̀ㅂ•́)و✧