個人情報保護法には「クラウド例外」と呼ばれる考え方があります。これは、クラウドサービスを利用して個人データを保存する場合に、一定の条件を満たせば、そのクラウド事業者への個人データの提供が「第三者提供」に該当しないと整理できる、というものです。障がい福祉・介護事業所がクラウド型の記録システムや生成AIサービスを導入する際、この考え方を理解しておくことは非常に重要です。本記事では具体例を交えて、わかりやすく解説します。
クラウド例外とは何か
個人情報保護委員会のガイドラインQ&Aでは、クラウドサービス事業者が、契約条項によってサーバーに保存された個人データを「取り扱わない」こととされており、適切にアクセス制御を行っている場合には、当該クラウド事業者は個人データの「提供を受ける主体」にはあたらないと解される、という趣旨の考え方が示されています。つまり、クラウド事業者が中身を見ない・取り扱わないことが契約上担保されていれば、事業所からクラウド事業者への個人データの受け渡しは第三者提供として扱わなくてよい、という整理です。
クラウド例外が適用されるかどうかは、サービスの契約条項や技術的な仕組みによって個別に判断されます。「クラウドだから自動的に対象外」という単純な話ではない点に注意が必要です。
クラウド例外が適用されるための主な条件
- クラウド事業者が個人データを「取り扱わない」旨が契約条項等で明確にされていること
- クラウド事業者の従業員等が、当該データにアクセスしない技術的・運用的な管理がなされていること（適切なアクセス制御）
- クラウド事業者が、保存されたデータの中身を利用目的として使用しないこと
具体例で考える
| サービスの種類 | クラウド例外の当てはまりやすさ |
|---|---|
| 記録データを保存するだけのクラウドストレージ（アクセス制御あり、事業者は中身を見ない契約） | 適用されやすいと整理される代表例 |
| 介護記録システムで、事業者が保守目的以外でデータを見ない契約になっている場合 | 条件を満たせば適用の余地あり |
| 生成AIサービスで、入力内容をモデルの学習・改善に利用する規約になっている場合 | 「取り扱わない」とは言いにくく、適用は慎重に検討する必要がある |
なぜ生成AIサービスでは慎重な検討が必要なのか
クラウド例外は、あくまでクラウド事業者が保存データを「取り扱わない」ことが前提です。一方、生成AIサービスの多くは、入力された内容を回答生成の過程で処理し、場合によってはサービス改善や学習のために利用する規約になっていることがあります。この場合、単純な保存だけのクラウドストレージとは異なり、事業者側がデータを「取り扱っている」と評価される可能性が高く、クラウド例外の前提が崩れることが考えられます。
「クラウドサービスだから第三者提供にはあたらない」と一括りに考えてしまうのは誤解のもとです。特に生成AI系のサービスは、学習利用の有無、データ保存期間、アクセス権限の設計などをサービスごとに個別に確認する必要があります。
事業所が確認すべきチェックポイント
- 利用規約・プライバシーポリシーに「事業者は保存データを取り扱わない」旨の記載があるか
- 入力データがAIの学習・モデル改善に利用される可能性がある旨の記載がないか
- 従業員によるデータアクセスが技術的に制限されているか（アクセスログ管理、暗号化等）
- 委託契約書・利用契約書にデータの取扱いに関する条項が明記されているか
実務上の対応
クラウド例外の適用可否を事業所単独で厳密に判断するのは難しい場合が多く、契約書や規約の文言解釈については、弁護士など専門家に確認することが望ましいです。一方で、事業所として最低限できることは、利用しているサービスの規約を確認し、疑問点をベンダーに問い合わせることです。Hope Care AIのようなサービスを検討する際は、セキュリティのページでデータの取扱い方針を確認し、不明点があれば導入前に問い合わせておくとよいでしょう。
制度全体の理解を深めたい場合は制度解説ページもあわせてご参照ください。クラウド例外は複雑な論点であるため、正確な適用判断は専門家への相談を前提に進めることをおすすめします。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。