AIツールの選び方 — 個人データを入れるなら、確認するのは3か所です

「どのAIツールを使えばよいですか」という質問を、顧問先からも自治体からもよく受けます。

多くの場合、比較表が用意されています。精度、価格、日本語対応、セキュリティ対策。 どれも大切ですが、この表を眺めていても答えは出ません。

個人データを入れるつもりなら、比較表とは別のところで、使えるかどうかが先に決まってしまうからです。

結論

個人データを入れないのであれば、この記事の話は起きません。 その場合に残る論点は、業務で生成AIに情報を入れてよいかで扱った契約上の秘密保持義務・営業秘密・法令上の守秘義務のほうです。

入れるのであれば、確認するのは次の3か所です。順番に効いてきます。

そして、ここが最も誤解されている点です。

外国にある第三者への提供では、委託であっても本人の同意が必要になります。 国内であれば委託に伴う提供は本人の同意なしにできますが、その扱いは第28条には及びません。

「安全そうかどうか」で決まる話ではありません

導入の稟議に添付される資料は、たいていセキュリティ対策の比較になっています。暗号化、認証、監査ログ。

しかし個人情報保護法が問題にしているのは、対策の厚さではありません。個人データが誰の手に渡ったのか、その相手はどこにいるのかです。対策が厚い事業者であっても、渡っている事実は変わりません。

対象になるのは「個人データ」です。定義は次のとおりです。

この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

— 個人情報の保護に関する法律第16条第3項

（以下、法令・規則・告示の引用は e-Gov 法令検索と告示の原文どおりです。条番号が漢数字なのはそのためで、地の文では算用数字を使っています。）

個人情報データベース等とは、特定の個人情報を電子計算機を用いて検索できるように体系的に構成したものなどをいいます（法第16条第1項）。顧客名簿、人事データ、表計算ソフトで管理している一覧表が典型です。

同項は、この定義から「利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるもの」を括弧書きで除いています。通則編はこう補足しています。

なお、法第16 条第1 項及び政令第4 条第1 項に基づき、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの（例：市販の電話帳・住宅地図等）を構成する個人情報は、個人データに該当しない

— 通則編「個人データ（法第16条第3項関係）」

市販の名簿類はここで外れますが、自社で作った一覧表は外れません。 実務で問題になるのは、ほぼ後者のほうです。

見落とされやすいのは、そこから取り出したものも個人データだという点です。通則編は次の事例を挙げています。

【個人データに該当する事例】 事例1）個人情報データベース等から外部記録媒体に保存された個人情報 事例2）個人情報データベース等から紙面に出力された帳票等に印字された個人情報

— 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」「個人データ（法第16条第3項関係）」

データベースから取り出した時点で個人データでなくなる、という整理ではないということです。一覧表から1件分をコピーしてプロンプトに貼り付ける行為も、この考え方の延長にあります。「1件だけだから」で外れるものではありません。

① その事業者が、入力したデータを「取り扱う」ことになっているか

最初の分岐がここです。これに当たれば、②と③は問題になりません。 ただし後述のとおり、自分の側の義務まで消えるわけではありません。

個人情報保護委員会は、クラウドサービスの利用について次のように示しています。

クラウドサービスには多種多様な形態がありますが、クラウドサービスの利用が、本人の同意が必要な第三者提供（法第27条第1項）又は委託（法第27条第5項第1号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。

— 「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Ａ7-53

判断されているのは、データの中身ではなく、相手が取り扱うことになっているかどうかです。

「取り扱わないこととなっている場合」が何を指すかも、同じQ&Aに書かれています。

当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。

— 同 Ａ7-53

委員会が挙げているのは、契約条項とアクセス制御の2つがそろっている場合です。原文は「場合等が考えられます」と書いており、これだけに限ると言い切ってはいませんが、この2つが無いまま「取り扱わないことになっている」と整理するのは難しいと考えてください。

ここに当たれば、同意も委託先の監督も要りません

当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合には、当該個人情報取扱事業者は個人データを提供したことにはならないため、「本人の同意」を得る必要はありません。

また、上述の場合は、個人データを提供したことにならないため、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供される場合」（法第27条第5項第1号）にも該当せず、法第25条に基づきクラウドサービス事業者を監督する義務はありません。

— 同 Ａ7-53

外国の事業者が運営するサーバでも同じです。

個人情報取扱事業者が、外国にある事業者が外国に設置し、管理・運営するサーバに個人データを保存する場合であっても、当該サーバを運営する当該外国にある事業者が、当該サーバに保存された個人データを取り扱わないこととなっている場合には、外国にある第三者への提供（法第28条第1項）に該当しません。

— 同 Ａ12-3

★「クラウドだから当たる」ではありません

ここを取り違えると、以降の判断が全部ずれます。

委員会が基準にしているのは、サービスの形態ではなく、契約条項の有無とアクセス制御の実態です。「クラウドサービスだから該当する」という一般則は書かれていません。

入力した内容を読み取って応答を作るサービスでは、事業者がその内容を取り扱わないという整理は、契約条項でそう定められていない限り成り立ちません。 利用規約に「入力内容を学習には使いません」と書かれていることと、「取り扱いません」と定められていることは別のことです。前者は取り扱ったうえで用途を限る約束であり、取り扱わないという約束ではありません。

確認するのは、規約のうたい文句ではなく、条項です。 見当たらないのであれば、①には当たらないものとして②に進んでください。

①に当たっても、義務がゼロになるわけではありません

「提供」に当たらないという整理は、提供に関する義務を外すだけです。自分の側の義務は残ります。

表の2行目を「サーバが外国にあるときの話」と読まないでください。 委員会はこう書いています。

この場合、個人情報取扱事業者は、外国において個人データを取り扱うこととなるため、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。日本国内に所在するサーバに個人データが保存される場合においても同様です。

— 同 Ａ10-25

引き金になっているのは、外国の事業者のサービスを使っているという事実であって、サーバがどこにあるかではありません。 これは②の判断（後述）と同じ考え方です。

表の3行目も見落とされがちです。 委員会は、サーバが所在する国を特定できない場合の扱いまで示しています。

他方、個人データが保存されるサーバが所在する国を特定できない場合には、サーバが所在する外国の名称に代えて、①サーバが所在する国を特定できない旨及びその理由、及び、②本人に参考となるべき情報を本人の知り得る状態に置く必要があります。

— 同 Ａ10-25

つまり、「どこに保存されるか分からない」で終わりにはできません。 分からないなら、分からない旨とその理由を公表することになります。選定の段階で保存先を確認しておくほうが、はるかに楽です。

② 契約の相手方は、どこの法人か

①に当たらないなら、次は提供先が「外国にある第三者」かどうかです。

ここはサーバの所在地では決まりません。 まず、自社と別の法人格かを見ます。そのうえで、その法人が日本国内で「個人情報データベース等」を事業の用に供していると認められるかを見ます。この2段構えです。

法人の場合、個人データを提供する個人情報取扱事業者と別の法人格を有するかどうかで「第三者」に該当するかを判断する。

例えば、日本企業が、外国の法人格を取得している当該企業の現地子会社に個人データを提供する場合には、当該日本企業にとって「外国にある第三者」への個人データの提供に該当するが、現地の事業所、支店など同一法人格内での個人データの移動の場合には「外国にある第三者」への個人データの提供には該当しない。

— 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」2-2

外国法人であっても、外れる場合があります。

また、外国の法令に準拠して設立され外国に住所を有する外国法人であっても、例えば、日本国内に事務所を設置している場合、又は、日本国内で事業活動を行っている場合など、日本国内で「個人情報データベース等」を事業の用に供していると認められるときは、当該外国法人は、「外国にある第三者」には該当しない。

— 同 2-2

ただし、日本に拠点があるという事実だけでは足りません。

もっとも、日本国内で個人情報データベース等を事業の用に供していると認められるか否かは、日本国内における事業の実態を勘案して、個別の事例ごとに判断することとなるため、国内に出張所を有することのみをもって直ちに当該外国事業者への個人データの提供が「外国にある第三者への提供」に該当しないこととなるわけではありません。

— Q&A Ａ12-5

★「サーバが日本にあるから大丈夫」は正確ではありません

これは実際に何度も聞く説明ですが、委員会は逆の整理を示しています。

当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを取り扱っている場合には、サーバが国内にある場合であっても、外国にある第三者への提供（法第28条第1項）に該当します。ただし、当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを日本国内で取り扱っており、日本国内で個人情報データベース等を事業の用に供していると認められる場合には、外国にある第三者への提供（法第28条第1項）に該当しません（ガイドライン（外国ある第三者への提供編）2-2参照）。

— 同 Ａ12-4（「外国ある第三者」は原文ママ。正しくは「外国にある第三者」）

ただし書まで読んでください。 サーバが国内にあることは理由になりませんが、その外国法人が日本国内で個人情報データベース等を事業の用に供していると認められるなら、そこで外れます。前項の「日本に事務所を置いている場合」と同じ話です。外れる根拠はサーバではなく、日本国内での事業の実態のほうにあります。

反対に、自社が外国に置いて自ら管理・運営するサーバであれば、外国にあっても該当しません（Ａ12-3）。別の法人格の手に渡ったかどうかが判断の軸であって、データが物理的にどこにあるかではないということです。

実務では、申込画面の契約当事者を見ます

同じサービス名でも、契約の相手方が日本法人であることも、外国法人であることもあります。利用規約の冒頭か末尾、あるいは申込画面の下部に、契約当事者の名称が書かれています。そこが出発点です。

日本法人と契約しているなら、②では外れる可能性があります。ただし、その日本法人が処理を外国の親会社に回しているのであれば、そちらで別途②の判断が要ります。

また、②で外れても、その日本法人は「第三者」ではあります。 ①に当たらない以上、個人データを提供したことになります。「国内だから何も要らない」ではありません。

★①に当たらないとき、それが「委託」になるとは限りません

ここは取り違えやすいところです。①に当たらないなら自動的に委託になる、という関係ではありません。

委員会は、保守サービスについての問いに、二択で答えています。

当該保守サービスを提供する事業者（中略）がサービス内容の全部又は一部として情報システム内の個人データを取り扱うこととなっている場合には、個人データを提供したことになり、本人の同意を得るか、又は、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第27条第5項第1号）しているものとして、法第25条に基づき当該保守サービス事業者を監督する必要があります。

— Q&A Ａ7-55

「本人の同意を得るか、又は、委託として監督するか」です。 ①に当たらなかった時点で決まるのは「提供したことになる」というところまでで、そこから先は分かれます。

分かれ目は、条文の中にあります。第27条第5項第1号は「利用目的の達成に必要な範囲内において」委託する場合の規定です。 通則編は、この語の効き方をこう書いています。

この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。

— 通則編「第三者に該当しない場合（法第27条第5項・第6項関係）」の「（1）委託（法第27条第5項第1号）」

つまり、提供事業者が入力内容を自社の目的にも使うのであれば、その提供は委託ではありません。 委託でないなら第27条第5項第1号で第三者から外れることもなく、原則に戻って本人の同意（法第27条第1項）が要ります。

ここで、①のところで見た「学習には使いません」と「取り扱いません」の違いが効いてきます。 規約が「入力内容を当社のサービス改善や機械学習に利用することがあります」と書いているなら、それは①に当たらないだけでなく、委託でもありません。 相手が日本法人であっても、本人の同意が要る場面です。

逆に、規約やデータ処理条項が利用者の指示に従ってのみ処理する旨を定めているのであれば、委託として整理でき、法第25条の委託先の監督義務を果たすことになります（後述）。

確認するのはここでも条項です。 「提供事業者が入力内容を自社の目的に使うことがあるか」を、規約の中から探してください。

③ 外国にある第三者なら、委託でも本人の同意が必要です

ここが、この記事で最もお伝えしたい点です。

条文を原文で見てください。

個人情報取扱事業者は、外国（中略）にある第三者（中略）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

— 個人情報の保護に関する法律第28条第1項

除かれているのは「前条第一項各号」、つまり第27条第1項の7つの号（法令に基づく場合など）だけです。委託は第27条第5項第1号であって、第1項各号ではありません。

第27条第5項の書き出しも確かめてください。

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

一　個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

— 同法第27条第5項

「前各項の規定の適用については」と書かれています。前各項とは第27条第1項から第4項までです。第28条は入っていません。

委員会も、この点を正面から問いにして答えています。

Ｑ12-1　委託は法第27条第1項の第三者提供に当たらないとされていますが、外国にある第三者に個人データの取扱いを委託する場合は、法第28条第1項に基づいて「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。

Ａ12-1　個人情報取扱事業者が、外国にある第三者に個人データを提供する場合には、以下の①から③までのいずれかに該当する場合を除き、法第28条第1項に基づきあらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要があります。この点は、外国にある第三者に個人データの取扱いを委託する場合も同様です。

— Q&A Ｑ12-1・Ａ12-1

「委託だから同意は要らない」は、国内でしか通じない整理です。

同意を取らずに済む経路は3つあります。

★ここを通っても、第27条は残ります

AかBに当たると、外れるのは第28条だけです。 国内の第三者提供と同じ枠組みに戻るのであって、何の手当ても要らなくなるわけではありません。ガイドラインが明記しています（Cはもともと第27条第1項各号の話なので、ここではAとBを扱います）。

上記（1）の場合、当該第三者が所在する国は、法第28条第1項における「外国」に該当しない。また、上記（2）の場合、当該第三者は、法第28条第1項における「第三者」に該当しない。したがって、これらの場合には、法第28条第1項の適用がないため、個人情報取扱事業者は、当該第三者への個人データの提供に際して、「外国にある第三者への個人データの提供を認める旨の本人の同意」を得る必要はない。

ただし、当該第三者への個人データの提供に当たっては、法第27条の規定による次の（ア）から（エ）のいずれかの方法による必要がある。

（ア）本人の同意に基づき提供する方法（法第27条第1項柱書） （イ）法第27条第1項各号に掲げる場合により提供する方法（後略） （ウ）オプトアウトにより提供する方法（法第27条第2項） （エ）委託、事業承継又は共同利用に伴って提供する方法（法第27条第5項各号）

— ガイドライン（外国にある第三者への提供編）2

ツールの利用で使うのは、多くの場合（エ）の委託です。 ただし前節のとおり、（エ）に乗せられるのは提供事業者が委託された業務の範囲内でしか取り扱わない場合で、そうでなければ（ア）の本人の同意に戻ります。委託である以上は、法第25条の委託先の監督義務がかかります。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

— 個人情報の保護に関する法律第25条

これは、契約の相手方が日本法人だった場合も同じです。 ②で外れても、①（提供に当たらない）に当たっていないのであれば、前節のとおり委託か、本人の同意かのどちらかであり、委託であれば監督義務が残ります。「外国ではないから終わり」ではありません。

指定国は、欧州経済領域の30か国と英国だけです

告示の原文はこうなっています。

２　個人情報の保護に関する法律施行規則（中略）第十五条第一項各号のいずれにも該当する外国として個人情報保護委員会が定めるものは、次のとおりとする。

　一　次に掲げる欧州経済領域協定に規定された国 　アイスランド、アイルランド、イタリア、エストニア、オーストリア、オランダ、キプロス、ギリシャ、クロアチア、スウェーデン、スペイン、スロバキア、スロベニア、チェコ、デンマーク、ドイツ、ノルウェー、ハンガリー、フィンランド、フランス、ブルガリア、ベルギー、ポーランド、ポルトガル、マルタ、ラトビア、リトアニア、リヒテンシュタイン、ルーマニア及びルクセンブルク

　二　英国

— 平成31年個人情報保護委員会告示第1号（最終改正2023年4月18日）

欧州経済領域協定に規定された30か国と、英国。それだけです。

「EUと英国」と説明されることがありますが、告示が挙げているのはEUではなく欧州経済領域です。 ノルウェー・アイスランド・リヒテンシュタインはEU加盟国ではありませんが、この一号に入っています。委員会自身も「EU」という語を使っていますが、そのEUは告示の国を指すものとして定義されています。

具体的には、令和3年9月時点でEU及び英国が該当します。なお、ここでいうEUとは、平成31年個人情報保護委員会告示第1号に定める国（ただし、英国を除きます。）を指します。

— Q&A Ａ12-2

確認するときは、EUかどうかではなく、告示の列挙にその国名があるかを見てください。

条件も付いています。告示の3の一は、一号の国に所在する者について「一般データ保護規則（中略）に基づく規律に服する者」とし、英国に所在する者について「英国一般データ保護規則（中略）に基づく規律に服する者」としています。その国にあれば自動的に外れる、というものではありません。

そして、米国は入っていません。 主要なAIサービスの提供元は米国法人であることが多く、この経路はまず使えないと考えておくのが実際です。

②の基準適合体制は、契約か、認証か

施行規則第16条は2つの経路を示しています。

法第二十八条第一項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。

一　個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。

二　個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

— 個人情報の保護に関する法律施行規則第16条

第1号の「適切かつ合理的な方法」については、ガイドラインが事例を挙げています。

事例1）外国にある事業者に個人データの取扱いを委託する場合 　提供元及び提供先間の契約、確認書、覚書等

— ガイドライン（外国にある第三者への提供編）4-1

つまり、契約書の中に日本の個人情報保護法の趣旨に沿った措置を書き込んでおく、という経路です。 事業者が用意しているデータ処理条項（DPA）が、これに当たるかどうかを読むことになります。

第2号は、APEC越境プライバシールール（CBPR）システムまたはグローバルCBPRシステムの認証です。提供先が認証を取得しているかどうかは、その事業者の公表資料で確認します。なお、この体制の整備について、委員会への事前の届出は要りません（ガイドライン4）。

②を選ぶと、毎年の確認義務が乗ります

ここを見落とすと、導入した後で困ります。

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

— 個人情報の保護に関する法律第28条第3項

その「必要な措置」の中身が施行規則第18条第1項です。

一　当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。

二　当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（中略）の当該第三者への提供を停止すること。

— 個人情報の保護に関する法律施行規則第18条第1項（第2号の括弧書きは個人関連情報への読替えに関する部分のため中略した）

「定期的に」の頻度も、ガイドラインが示しています。

ここでいう「定期的に確認」とは、年に1回程度又はそれ以上の頻度で確認することをいう。

— ガイドライン（外国にある第三者への提供編）6「相当措置の継続的な実施を確保するために必要な措置」（規則第18条第1項第1号関係）

ツールを選ぶということは、この年次の確認を毎年やると決めることでもあります。 誰がやるのかを決めずに導入すると、翌年には誰も見ていない状態になります。

3つのどれにも当たらないとき — 同意で処理するのは、実際には重い

同意を取る場合、取る前に情報提供が要ります。

法第二十八条第二項又は法第三十一条第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。

一　当該外国の名称 二　適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報 三　当該第三者が講ずる個人情報の保護のための措置に関する情報

— 個人情報の保護に関する法律施行規則第17条第2項

2番目が特に重い項目です。ガイドラインは、単に制度の名前を挙げれば足りるとはしていません。

「当該外国における個人情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個人情報の保護に関する制度と我が国の法（個人情報の保護に関する法律）との間の本質的な差異を本人が合理的に認識できる情報でなければならず（後略）

— ガイドライン（外国にある第三者への提供編）5「同意取得時の情報提供」のうち「提供すべき情報」（規則第17条第2項関係）

外国の制度を調べ、日本の法律との本質的な差異を、本人が分かるように示す。顧客名簿を扱うたびにこれをやるのは、現実的ではありません。

だからこそ、実務では**この記事の①（そもそも提供に当たらない形にする）**か、**上の表のB・基準適合体制（契約または認証で体制を確保する）**に寄せることになります。この判断は、ツールを選ぶ段階でしかできません。

選定のときに聞くこと

稟議の前に、次の5つを確認してください。カタログではなく、規約と契約書に書かれています。

1と2を混同しないでください。 1は「渡っていない」という整理、2は「誰に渡ったか」という話です。1で外れるなら2と3は問題になりませんが、4は残ります。 提供に当たらなくても、外国の制度を把握して措置を講じ、その内容を公表することは求められるからです。なお、1で外れるための条項は、探して見つからないなら無いものとして扱ってください。

1で外れなかったときに効いてくるのが5です。 1で外れないからといって、自動的に委託になるわけではありません。相手が国内か外国かにかかわらず、委託か、本人の同意かの分かれ目がここにあります。

自治体は、そもそも枠組みが違います

ここまでは民間の事業者、つまり個人情報取扱事業者の話です。

自治体は個人情報保護法第5章（行政機関等の義務等）の適用を受け、外国にある第三者への提供は第28条ではなく第71条で規律されます。 条文の構造も違います。

行政機関の長等は、外国（中略）にある第三者（中略）に利用目的以外の目的のために保有個人情報を提供する場合には、法令に基づく場合及び第六十九条第二項第四号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。

— 個人情報の保護に関する法律第71条第1項

扱う情報の呼び方も「個人データ」ではなく「保有個人情報」です。 さらに自治体には情報セキュリティポリシーによる格付けがあり、個人情報かどうかを判断する前に、そこで扱いが決まります。

自治体の方は自治体で生成AIに入れてよい情報はどこまでかを先にお読みください。この記事の順序をそのまま当てはめないでください。

私立の学校法人は、民間と同じ枠組みです

法第16条第2項は、個人情報取扱事業者から国の機関・地方公共団体・独立行政法人等・地方独立行政法人を除いていますが、私立の学校法人はこのいずれにも当たりません。 したがって、この記事の3つの分岐がそのまま当てはまります。

在学者・保護者・卒業生の名簿を扱う場面が多く、「一覧表から取り出して貼り付ける」が最も起きやすい組織でもあります。事務局でツールを選ぶときは、1と2から確認してください。

規約は変わります。確認した日を残してください

この記事で挙げた条文とガイドラインは、日々動くものではありません。まず動くのは事業者側です。

ただし、法律のほうも動くことが決まっています。

「個人情報の保護に関する法律等の一部を改正する法律案」は、令和8年4月7日に第221回国会（特別会）に提出された。国会における審議を経て、同年7月10日に成立、同年7月17日に公布

— 個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」（令和8年7月31日）

その附則は、施行の時期をこう定めています。

この法律は、公布の日から起算して二年を超えない範囲内において政令で定める日から施行する。（ただし書略）

— 個人情報の保護に関する法律等の一部を改正する法律 附則第1条

施行日は、この記事を書いた2026年9月の時点でまだ決まっていません。 委員会は「円滑な施行に向け、引き続き、政令、規則、ガイドライン等の検討を行ってまいります」としており、この記事が前提としているのは改正前の現行法です。

改正の中には、この記事が扱う委託に関係するものがあります。

データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務の見直しを行う。（第30条の3、第58条の2）

— 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（令和8年7月）

委託先の側に義務が置かれることになるため、施行後は契約の書きぶりも変わっていきます。 いま結んだ契約がそのまま通るとは限りません。施行日と、それに合わせて出るガイドラインを、委員会のサイトで追ってください。

契約の相手方が日本法人から外国法人に変わることも、その逆もあります。データ処理条項が差し替わることもあります。一度確認して終わりにせず、確認した日付と、確認した条項の版を記録に残してください。

基準適合体制で処理している場合は、そもそも年に1回程度以上の確認が義務です。記録がなければ、その確認をしたことも示せません。

まとめ

• 個人データを入れないなら、この記事の3つの分岐は起きません。 ただし秘密保持義務・営業秘密・守秘義務は別に効きます
• ①提供事業者がその個人データを取り扱わない旨の条項があり、適切にアクセス制御が行われていれば、「提供」に当たりません。 委託先の監督義務も生じません。ただし安全管理措置、外国の制度の把握、講じた措置の公表、漏えい時の報告義務は残ります。外国の制度の把握は、サーバを国内に置いても外れません
• ②「外国にある第三者」かどうかは、サーバの所在地では決まりません。 別の法人格かどうかと、その法人が日本国内で個人情報データベース等を事業の用に供していると認められるかで決まります。サーバが国内にあっても該当することがあり、逆に自社が外国に置いて自ら運営するサーバなら該当しません
• ③外国にある第三者への提供では、委託であっても本人の同意が必要です。 第27条第5項の「第三者に該当しない」は「前各項の規定の適用については」であり、第28条には及びません
• 同意を避ける経路は、**指定国（欧州経済領域協定に規定された30か国と英国のみ）**か、**基準適合体制（契約等またはCBPR認証）**です。後者を選ぶと年に1回程度以上の確認義務が乗ります
• 指定国や基準適合体制を通っても、外れるのは第28条だけで、第27条は残ります。 ①に当たらないなら、委託か、本人の同意かのどちらかです（相手が日本法人でも同じです）
• ①に当たらないことと、委託であることは別です。 第27条第5項第1号の委託は「利用目的の達成に必要な範囲内において」のもので、提供事業者が入力内容を自社の目的にも使うなら委託ではなく、本人の同意（法第27条第1項）が要ります。 委託であれば法第25条の委託先の監督義務がかかります
• 選定の段階で確認するのは、取り扱わない旨の条項、契約の相手方の法人、指定国か基準適合体制か、保存先の国、事業者が自社の目的にも使うかの5つです
• 自治体は第71条と情報セキュリティポリシーの枠組みで、順序そのものが違います