個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第16問: クラウドサービスを利用して個人データを保存する場合について、ガイドライン上の考え方として最も適切なものはどれか。

正解: 2. クラウド事業者が個人データを取り扱わないこととなっている場合、当該事業者への提供に当たらず、委託にも該当しないと解される

個人情報保護委員会のQ&Aは、クラウドサービス提供事業者が当該個人データを取り扱わないこととなっている場合には、当該事業者に個人データを提供したことにはならないとしています。この場合、法第27条の第三者提供にも法第25条の委託にも当たりませんが、自らが果たすべき安全管理措置として、契約により事業者が個人データを取り扱わない旨が定められ、適切にアクセス制御が行われていること等を確認する必要があります。判断の基準は保存するデータに個人データが含まれるかどうかではなく、クラウド事業者が個人データを取り扱うこととなっているかどうかです。サーバが外国にある場合も、この場合は外国にある第三者への提供には当たりませんが、外的環境の把握が必要です。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: クラウド・第三者提供該当性・安全管理措置・外的環境の把握