「クラウドサービスを使うと個人情報が海外に行ってしまうのでは」という不安は、障がい福祉事業所の管理者からよく聞かれる質問です。生成AIサービスの多くは海外の事業者が提供しており、サーバーも海外に設置されていることが少なくありません。この記事では、個人情報保護法における「越境移転」規制の基本的な考え方と、クラウドサービス選定時に確認すべきポイントをステップ形式で解説します。
ステップ1:そもそも「越境移転」とは何か
個人情報保護法では、個人データを外国にある第三者に提供する場合、原則として本人の同意を得るか、一定の基準を満たす体制を整えることが求められています。ここでいう「外国にある第三者」には、海外に本社やサーバーを置くクラウドベンダーも含まれ得ます。ただし、単にサーバーが海外にあるだけで直ちに越境移転規制の対象になるとは限らず、契約の形態(委託か提供か)によって整理が変わる点に注意が必要です。
ステップ2:利用しているクラウドサービスがどこに該当するか確認する
- データセンターの所在地(国内リージョンを選択できるか)
- ベンダー自体の本社所在地と適用される法律
- サポートやログ確認のために海外の担当者がアクセスする可能性があるか
- 再委託先(サブプロセッサ)の所在地
「国内リージョンを選べる」と表示されていても、障がい対応やサポートの際に海外拠点の担当者がアクセスする契約になっているケースがあります。約款だけでなく、サポート体制の説明資料まで確認することをおすすめします。
ステップ3:同意取得が必要かどうかの整理
越境移転にあたって本人同意が不要となる代表的なケースには、移転先が個人情報保護委員会の指定する国・地域である場合や、移転先事業者が我が国の個人情報保護法と同等の水準にある体制を整備している場合などがあります。この判断は個別性が高いため、契約前に専門家へ確認することが望ましいですが、事業所としてはまず「同意が必要になる前提」で利用者への説明資料を準備しておくと安全です。
ステップ4:重要事項説明書・契約書への反映
クラウド型の記録システムや生成AIツールを導入する際は、重要事項説明書やご利用のしおりに「記録の一部をクラウド上で管理しており、データセンターは国内(または海外)に所在する」旨を明記し、同意欄を設ける事業所が増えています。すでに紙の契約書を使っている場合も、次回の様式改定のタイミングで反映を検討するとよいでしょう。
| 確認項目 | 国内サーバー | 海外サーバー |
|---|---|---|
| 越境移転規制の適用 | 基本的に対象外 | 対象になり得る |
| 利用者への説明 | 個人情報の利用目的の説明で足りることが多い | 越境移転を含めた追加説明が望ましい |
| 契約確認の重点 | 委託先管理・再委託の有無 | 移転先の法制度・体制整備の状況 |
ステップ5:Hope Care AIのようなツールを選ぶ際の視点
Hope Care AIは国内向けに設計された障がい福祉・介護事業所向けサービスであるため、こうしたクラウドサービスを比較検討する際は、まずセキュリティのページでデータの保存場所や管理体制を確認し、特長のページでどのような設計思想で作られているかを把握することが第一歩になります。
越境移転の該非判断は法改正や指定国・地域の見直しで変わることがあります。導入時に確認して終わりにせず、年に一度程度、契約更新のタイミングでベンダーに最新の状況を確認する習慣をつけると安心です。
まとめにかえて:判断に迷ったときの相談先
越境移転規制は条文の文言だけでは判断が難しい論点が多く、事業所単独で完結させようとせず、社会保険労務士や弁護士、あるいは個人情報保護委員会の相談窓口を活用することをおすすめします。クラウドサービスの利便性と法令遵守は両立できるものですが、そのためには契約内容を「何となく」ではなく具体的に確認する姿勢が欠かせません。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。