国外にある第三者への個人データの提供（以降、越境移転と呼ぶ）にどう対応するかが、近年ビジネスパーソンの注目を集めている。本連載の第1回では、この問題が多くの企業で経営課題として重要になりつつあることと、その背景を解説し、併せて今後の連載の進め方に触れる。

企業が扱うさまざまな個人データが国境を越えることも珍しくなくなった（写真／Shutterstock）

［画像のクリックで拡大表示］

個人データの越境移転対応は経営課題に

　近年、企業の担当者が個人データの越境移転に関して対応を迫られる事例が増加している。読者が真っ先に思い浮かべるのが、2021年3月に明らかになったLINEの事例であろう。同社が提供するメッセージサービス「LINE」における日本のユーザーの個人情報が、業務再委託先であるLINE Chinaおよび資本関係にない1社（いずれも中国法人）からアクセス可能であったことが報道から明らかになった。それを受け、LINEが批判を受けるとともに、総務省や個人情報保護委員会の報告徴収などが実施された。

　LINEの親会社であるZホールディングスは、本件の事案を受けて「グローバルなデータガバナンスに関する特別委員会」を設置した。同委員会は本件事案について、LINEは多数のユーザーを抱え、公共機関も利用するなどデジタル社会のインフラとなりつつあること、通信の秘密が保障されるためユーザーからの期待がとりわけ大きく、法令順守のみならず、より高い社会的信頼を得るための不断の実践が求められるとした。そのうえで、本件事案はLINEに対する社会的信頼を損なうものであったと総括している。

　この事案の具体的な問題点として、同委員会は、中国でガバメントアクセス（後述）の権限を規定する国家情報法が制定されたことに対し、懸念が表明されていたにもかかわらず業務移管が行われたこと、同法を含む経済安全保障への感度が低かったこと、中国への再委託は実務上不要であったこと、などを指摘している。

　これらの動きから、公共性の高いサービスを提供しているなど企業の置かれた状況によっては、経済安全保障の観点を含め、既存の法令順守を超えた対応が、越境移転対応についても求められているといえる。そして、このような法令順守を超えた対応ができなければ、連鎖的にレピュテーションにも影響するといった懸念から、自社サービスの顧客離れが加速していく可能性もある。実際、LINEの事案が明らかになった後、複数の自治体がLINEのサービスの利用を停止している。

　しかし、LINEの事案で問題となった越境移転規制は15年の個人情報保護法改正で導入されたものであり、重要なものではあるものの、これまで大きな問題は指摘されてこなかった。では、なぜ今になってこのような大きな問題に発展したのであろうか。

　これを読み解くには、個人データの越境移転に関連する文脈の変化を押さえておく必要がある。特に（1）アウトソーシングの拡大といった企業の内部的な事情、（2）ガバメントアクセスの脅威拡大などの外部的な事情、という2つのトレンドを捉えることが重要である。

企業のアウトソーシングやクラウドサービスの利用拡大が要因に

　第一の要因として挙げられるのが、企業におけるクラウドサービスやアウトソーシングの利用拡大である。例えば、既に多くの企業が企業内システムとして米マイクロソフトの「Office 365」といったSaaS（ソフトウエア・アズ・ア・サービス）ソフトや、クラウド基盤としてAWS（アマゾン・ウェブ・サービス）、Google Cloud（グーグルクラウド）などを利用している。

　これらはサービスの提供元が米国を中心とした外国企業であり、サーバー所在地も米国にある可能性がある（サーバーの所在地はサービスによって指定が可能なものもある）。サービスの提供言語が日本語であり、利用料も日本円で示されているため、実際には外国のサービスを利用しており、個人データも国境を越えて移転されているという点に気づきにくい。

　また、LINEの事案で明らかになったように、企業においてはソフトウエア開発コストの削減のため、外国にある協力会社・グループ会社を活用した開発、いわゆるオフショア開発も一般的となっている。このように開発工程が細分化される中で、個人データを含む自社のどのようなデータが、どの拠点で、どのように利用されているかを把握することが困難になってしまう。実際、LINEも開発工程を細分化して国際的に分業する中で、このような理解を十分にできていなかったことが明らかになっている。