個人情報保護法「外的環境の把握」とサーバー所在

重要なのは、外国のクラウドサービスを利用して個人データをそのサーバーに保存する場合も対象になり得ることです。個人情報保護委員会の公式 FAQ は、外国にある第三者の提供するクラウドサービスの管理するサーバーに個人データを保存する場合、当該外国の制度等を把握する必要があるとしています（出典: 個人情報保護委員会 FAQ Q10-25、ppc.go.jp/all_faq_index/faq1-q10-25/）。

プライバシーポリシーに何を書く必要がありますか？

保有個人データについては、「安全管理のために講じた措置」を本人の知り得る状態に置くことが求められます（法第32条第1項第4号・施行令第10条第1号）。外国で個人データを取り扱う場合、この公表内容に外的環境の把握が含まれ、実務上は個人データを保存するサーバーの所在国名を示したうえで、当該国の制度を把握して安全管理措置を実施している旨を記載する形が一般的です。

さらに FAQ では、サーバーの所在国が特定できない場合には、特定できない旨とその理由、および本人に参考となるべき情報を明らかにする必要があるとされています（出典: 同 FAQ）。マルチリージョン構成の海外 PaaS やログ・ビルドの保存先が別の国にあるサービスでは、この「所在国の特定」自体が難しく、プライバシーポリシーの記載が複雑になりがちです。

国内サーバーを使うと何が変わりますか？

個人データの取扱いが日本国内で完結する構成であれば、そもそも「外国において個人データを取り扱う」場面が生じないため、外国の制度把握や所在国の公表といった外的環境の把握に関する説明が不要になります。プライバシーポリシーの安全管理措置の記載は国内前提のシンプルな内容で済み、ユーザーや委託元への説明も一段軽くなります。

逆に、海外 PaaS を使う場合は次を確認する必要があります。

アプリ本体だけでなく、データベース・ログ・バックアップがどの国に保存されるか
所在国を特定して公表できるか、できない場合の記載をどうするか
委託元のセキュリティチェックで越境の説明を求められたときに回答できるか（セキュリティチェックシートに回答するとき参照）

hanamii ではどうなりますか？

hanamii はさくらインターネットの日本国内データセンター上で稼働し、アプリケーションの実行環境が国内で完結します（国内データ所在が要件のとき参照）。個人データを扱う Web アプリのホスティングとして利用する場合、サーバー所在に起因する外的環境の把握の論点を発生させない構成が取れます。

※本ガイドは一般的な情報提供であり、法的助言ではありません。個別の事案への適用は、個人情報保護委員会の公表資料の原文確認や専門家への相談をおすすめします。

出典（2026年9月時点）

個人情報保護委員会 FAQ「外的環境の把握」（クラウドサービス利用の場合）: ppc.go.jp/all_faq_index/faq1-q10-25/
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」各編: ppc.go.jp/personalinfo/legal/

次のガイド

自治体・公共案件で使うとき