このページの要点
- 個人データを第三者に提供するには、法令に基づく場合などを除き、あらかじめ本人の同意が必要（個人情報保護法27条1項）。
- 利用目的の達成に必要な範囲の委託、事業承継、一定の事項を公表したうえでの共同利用は、第三者提供に当たらない（同条5項）。委託先の監督義務は残る（同法25条）。
- 外国にある第三者への提供は、法令に基づく場合などを除き、指定国（EEA・英国）か、基準に適合する体制を整備した事業者でない限り、外国の名称・制度などの情報を示したうえで本人の同意が必要（同法28条）。
- 海外のクラウドに保存するだけで、事業者がデータを取り扱わない契約・運用なら「提供」に当たらない場合がある。その場合も、外国の名称を含む外的環境を安全管理措置として公表する。
個人データを第三者に提供するには、原則として本人の同意が要る
個人情報取扱事業者は、法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが難しい場合などを除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりません（個人情報保護法27条1項）。
ただし、次の場合は、提供を受ける者は「第三者」に当たらないとされています（同条5項）。
| 類型 | 内容 | アプリ・Webサービスでの例 |
|---|---|---|
| 委託（1号） | 利用目的の達成に必要な範囲内で、個人データの取扱いの全部又は一部を委託すること | サーバー・データベースの運用、メール配信、問い合わせ対応の外注、開発会社による保守 |
| 事業承継（2号） | 合併その他の事由による事業の承継に伴って提供すること | サービスの事業譲渡、会社の合併 |
| 共同利用（3号） | 特定の者との間で共同して利用する場合で、共同利用する旨、項目、範囲、目的、責任者の名称などをあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているとき | グループ会社間で会員情報を共通に使う |
委託であれば本人の同意は不要ですが、委託した事業者は、委託先に対して必要かつ適切な監督を行わなければなりません（同法25条）。27条5項は「第三者に当たらない」ことを定める規定で、監督の義務の根拠は25条です。プライバシーポリシーで委託先の監督に触れるときは、この二つを混同しないようにします。
「第三者に提供しません」とだけ書くと、かえって誤解を生む
プライバシーポリシーに「法令に基づく場合を除き、本人の同意なく第三者に提供しません」とだけ書いている例は多くあります。しかし、実際には複数の外部事業者に情報を送っているのに、委託や外国にある第三者への提供の説明がないと、利用者からは「第三者に提供しないと書いてあるのに、外部に送っている」と見えてしまいます。委託と第三者提供の違いを一言補ったうえで、委託先の類型や、外国の事業者に提供する場合の説明を書きます。プライバシーポリシー全体の構成はプライバシーポリシーのページで扱っています。
- 利用者自身が公開した情報：共有機能で利用者が自分の判断で公開した情報が他の人に見られることは、運営者による第三者提供ではありません。その旨と、共有ページに含まれる情報の範囲を書いておきます。
- 取引の相手方への共有：マッチングで、対面の待ち合わせのために相手方に氏名や電話番号を伝える仕様なら、本人の同意を得た第三者提供として、共有する時点と範囲を規約とプライバシーポリシーに書き、同意を取る画面を設計します。仕様が「連絡はアプリ内のメッセージだけ」なら、書類もそれに合わせます。
- 提携先への送客：提携する事業者に利用者を紹介する場合、運営者から提携先に個人情報を渡すのか、渡さないのかを決めます。渡さないなら、提携先から受け取る成約の情報も、個人を特定できない集計の値に限るとすっきりします。
外国にある第三者への提供には、別のルールがかかる
個人データを外国にある第三者に提供する場合には、原則として、あらかじめ「外国にある第三者への提供を認める旨の本人の同意」を得なければなりません（個人情報保護法28条1項）。この場合、国内であれば第三者に当たらない委託であっても、28条が適用されます。国内向けの「委託なら同意は要らない」という整理が、外国の委託先には当てはまらないということです。
法令に基づく場合など27条1項各号に当たる場合のほか、同意が不要になるのは次の場合です。
- 提供先が、個人の権利利益を保護するうえで日本と同等の水準にあると認められる制度を持つ国として個人情報保護委員会規則で定められた国（EEA＝EU加盟国とアイスランド・ノルウェー・リヒテンシュタイン、及び英国）にあり、GDPR又は英国GDPRの規律に服する者であること
- 提供先が、個人情報保護法が求める措置に相当する措置を継続的に講ずるために必要な体制として、個人情報保護委員会規則で定める基準に適合する体制を整備していること
同意を得ようとする場合には、あらかじめ、①その外国の名称、②その外国の個人情報の保護に関する制度、③提供先が講ずる個人情報の保護のための措置を、本人に提供しなければなりません（同法28条2項、同法施行規則17条2項）。国の名称を特定できない場合や、提供先の措置についての情報を提供できない場合は、それぞれその旨と理由を示します。基準に適合する体制を整備した提供先に提供した場合は、その措置が続いていることを確保するための措置を講じ、本人の求めに応じて情報を提供する義務があります（同条3項）。
外国かどうかは、サーバーの場所ではなく、事業者の所在で判断する
「サーバーは東京リージョンにあるから、外国への提供には当たらない」と考えている方は少なくありません。しかし、外国にある第三者に当たるかどうかは、提供先の事業者がどこの国にあるかで判断し、サーバーの所在地で判断するものではないとされています。米国の事業者のサービスで保存先を日本に指定していても、その事業者が個人データを取り扱うのであれば、外国にある第三者への提供になり得ます。逆に、外国の事業者であっても、日本国内で事業を行い個人情報取扱事業者に当たる場合は、外国にある第三者には当たりません。
出発点になるのは、契約の相手がどこの国の法人かの確認です。同じクラウドサービスでも、請求先の地域などによって契約の相手が日本法人になる場合と外国法人になる場合があります。決済代行サービスでは、契約の相手は日本法人でも、個人データの取扱いについては海外のグループ会社が契約の当事者に加わっていることがあります。事務所では、外部サービスごとに、契約の主体と所在国を利用規約やデータの取扱いに関する文書で確認してから、プライバシーポリシーの書き方を決めています。
外部サービスの整理の例
| 外部サービス | 国内の事業者 | 外国の事業者（同等国・体制整備以外） | 事業者がデータを取り扱わない保存だけ |
|---|---|---|---|
| サーバー・データベース | 委託（同意不要・監督） | 28条：同意又は体制の確認 | 提供に当たらない場合あり（外的環境の公表） |
| メール配信・顧客管理 | 委託（同意不要・監督） | 28条：同意又は体制の確認 | － |
| 決済代行 | 委託又は第三者提供（決済事業者が自らの目的で使う範囲） | 28条の検討が必要 | － |
| 生成AIのAPI | 委託（学習に使われない設定の確認） | 28条：同意又は体制の確認 | － |
| 解析ツール（Cookie等） | 外部送信の公表が中心 | 個人データを渡さないなら通常は28条の問題にならない | － |
表は整理の目安です。実際の判断は、各サービスの契約条項、データの取扱い、設定によって変わります。
保存先にすぎない場合の「クラウド例外」
クラウドサービスに個人データを保存していても、契約の条項でクラウドの事業者が個人データを取り扱わない旨が定められ、適切にアクセスが制御されている場合は、個人データを「提供」したことにならないとされています。この場合は、委託にも、外国にある第三者への提供にも当たりません。
ただし、それで何もしなくてよいわけではありません。外国のクラウドに保存するなら、その国の制度を把握したうえで安全管理措置を講じ（外的環境の把握）、事業者やサーバーの所在国の名称を、安全管理措置の内容として公表します。
また、「取り扱わない」と言えるかどうかは、サービスの契約条項次第です。事業者がデータを処理する立場（処理者）として位置づけられている公開の規約であれば、取り扱わないとは整理しにくくなります。事務所では、アプリの実行基盤やデータベースの保管だけを担い、事業者の従業員が中身を閲覧・処理しないことが契約条項で確認できるものはこの区分とし、確認できないものは委託先の区分に移す、という整理をしています。判断が分かれるものは、委託として整理しておくほうが安全です。
同意を取るか、提供先の体制を確認するか
| 道 | 必要なこと | 向いている場面 |
|---|---|---|
| 提供先が同等国（EEA・英国）にある | 所在国の確認 | 提供先がEEA又は英国に所在し、GDPR又は英国GDPRの規律に服する場合（個人情報保護委員会告示平成31年第1号） |
| 提供先が基準に適合する体制を整備している | 契約等の内容の確認、継続的な措置の実施状況の確認（年1回程度）、本人の求めに応じた情報提供 | 事業者向けSaaSで、顧客から本人の同意を取り直すのが現実的でない場合 |
| 本人の同意を得る | 同意の前に、外国の名称、制度、提供先の措置の情報を提供 | 個人向けのアプリで、登録時に同意を取れる場合 |
個人で運営しているアプリでは、提供先の体制を継続的に確認する負担が重いため、登録の画面で、外国の名称などの情報を示したうえで同意を取る方法をおすすめすることが多くあります。一方、事業者に提供する顧客管理のSaaSでは、事業者が自分の顧客全員から外国への提供の同意を取り直すことは現実的ではありません。この場合は、SaaSの運営者が提供先の体制を確認する方式を主とし、同意の方式を補助とする構成に組み替える方法があります。
ご相談でよく聞かれること：外国の事業者の書き方
Q委託先の一覧は、事業者の名前を挙げる方式と、「クラウド事業者」のように類型で書く方式のどちらがよいですか。
A外国にある第三者への提供の情報提供は、提供先ごとに国名と措置を示すのが基本なので、外国の事業者を多く使うSaaSでは名前を挙げる方式が中心になります。緊急に差し替える場合に備えて、「同種の役割を担う他の事業者に緊急に変更する場合は、事後に通知する」と定めておく方法をとりました。
Q一覧には、どの国を書けばよいですか。
A外国にある第三者への提供の判断に使う「契約主体の所在国」と、外的環境の把握の公表に使う「処理・保存の地域」は、別の欄に分けて書きました。同じ説明を2か所に書くと、片方だけ改訂されて古いまま残るので、一方から他方を参照する形にします。
Q制度の説明には何を書けばよいですか。
Aたとえば米国であれば、個人情報の保護に関する包括的な連邦法がなく分野ごとの法律で規律されていることなどを、個人情報保護委員会が公表している調査などをもとに記載します。対象にならない国の制度まで並べると、どこまでが同意の対象か分かりにくくなるので、必要な国に絞ります。
業務で使う身近なツールも、運営主体の所在国を確認する
問い合わせフォームのサービス、チャットツール、オンラインストレージ、メール配信サービスなど、日々の業務に組み込んだツールにも、利用者の個人情報が入ります。プライバシーポリシーで「システムを提供する事業者」と抽象的に書いて済ませず、運営主体がどこの国の法人か、海外のグループ会社がデータにアクセスすると公表されていないかを確認します。
一方で、解析ツールやWebフォントの配信のように、Cookieやアクセスの情報が自動で送られるものは、外部送信として公表する話が中心で、氏名や連絡先を海外の事業者に渡して取り扱わせるものとは分けて考えます。ただし、解析ツールの設定で、送った情報を提供先が自社の目的にも使えるようにすると、委託の範囲を外れることがあります。外部送信の整理はCookieと外部送信規律のページで扱っています。
生成AIのAPIに入力データを送るとき
利用者が入力した文章や画像を、外部の生成AIのAPIに送って処理するサービスが増えています。APIの提供元の規約で、送信したデータと出力が学習に使われず、提供元がデータの処理者として扱うことが確認できる場合は、利用目的の達成に必要な範囲の委託として整理できます。それでも、提供元が米国の法人であれば、外国にある第三者への提供の論点は最初から存在します。
依頼者からいただいた構成の資料では、AIの処理地域は「日本を指定」とされていましたが、実装を確認すると、使っているAPIの契約形態には処理・保存の地域を指定する仕組みがなく、日本を指定していたのはアプリの実行基盤の設定だったことが分かりました。そこで、「当社が地域を指定する仕組みはなく、提供元の施設がある国で処理・保存されることがある」と改めました。地域の記載は、実装を確認するまで断定しないことが大切です。AIサービスの規約全体については、AI・APIの利用規約のページで扱っています。
公開前のチェック：第三者提供と外国にある第三者
- 外部サービスごとに、委託・第三者提供・共同利用・保存だけのどれに当たるかを整理した
- 外部サービスの契約の主体と所在国を、規約やデータの取扱いの文書で確認した
- 外国にある第三者への提供について、同等国・体制の確認・本人の同意のどの道をとるかを決めた
- 同意を取る場合、外国の名称・制度・提供先の措置を同意の前に示す画面を用意した
- 外国のクラウドに保存するだけの場合も、外的環境の把握を安全管理措置として公表した
- プライバシーポリシーで、委託と第三者提供の違いが分かるように書いた
- 生成AIのAPIの学習利用の有無と処理地域を、実装と契約で確認した
よくあるご質問
個人情報の取扱いを外部に委託するとき、本人の同意は必要ですか？
利用目的の達成に必要な範囲内の委託であれば、委託先は第三者に当たらず、本人の同意は不要です（個人情報保護法27条5項1号）。ただし、委託先に対する必要かつ適切な監督が必要です（同法25条）。委託先が外国にある場合は、外国にある第三者への提供のルール（同法28条）がかかります。
サーバーを日本に置けば、外国にある第三者への提供には当たりませんか？
外国にある第三者に当たるかどうかは、提供先の事業者の所在国で判断し、サーバーの所在地では判断しないとされています。外国の事業者が個人データを取り扱うのであれば、保存先が日本でも外国にある第三者への提供になり得ます。
海外のクラウドサービスを使うには、必ず利用者の同意が必要ですか？
クラウドの事業者が個人データを取り扱わない旨が契約で定められ、アクセスが適切に制御されている場合は、提供に当たらないとされています。また、提供先がEEA・英国にあってGDPR等の規律に服する場合や、基準に適合する体制を整備している場合は、同意に代わる道があります。どれにも当たらない場合は、情報を示したうえで本人の同意を得ます。
外国にある第三者への提供の同意を取るとき、何を示せばよいですか？
同意の前に、外国の名称、その外国の個人情報の保護に関する制度、提供先が講ずる個人情報の保護のための措置を示します（個人情報保護法28条2項、同法施行規則17条2項）。国の名称を特定できない場合や措置の情報を提供できない場合は、その旨と理由を示します。
生成AIのAPIに利用者の入力を送るのは、第三者提供ですか？
提供元の規約で、送信したデータが学習に使われず、提供元が処理者として扱うことが確認できる場合は、委託として整理できることがあります。ただし、提供元が外国の法人であれば、外国にある第三者への提供の検討が必要です。プライバシーポリシーには、送信すること、学習に使われるかどうか、所在国を書きます。
あわせて読みたい、関連する別のガイド
- ネイルサロンの利用規約・プライバシーポリシー・特商法表記ネイルサロン開業の法務ガイド
- SNS運用代行の業務委託契約書に入れるべき条項SNS運用代行の契約ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別のサービスに必要な対応は、提供する機能、取得するデータ、課金の方法、利用者の範囲によって異なります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたアプリ・Webサービス・SaaS・プラットフォームの利用規約、プライバシーポリシー、特定商取引法に基づく表記、外部送信ポリシー、開発委託契約書などを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月15日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省 / 消費者庁 特定商取引法ガイド
